Die Datenschutzgrundverordnung verlangt Unternehmen einiges ab. Im Artikel 30 der Datenschutzgrundverordnung (DSGVO) nennt sie das sog. Verzeichnis von Verarbeitungstätigkeiten (kurz VVT). Ziel dieses Beitrages ist es insbesondere zu klären, wer ein Verzeichnis führen muss, was in ein Verzeichnis gehört und wie es aufgebaut ist. Des Weiteren sollen Beispiele das Verständnis vereinfachen. Damit soll ein erfolgreiches Verzeichnis nichts mehr im Wege stehen! 

Um die Einhaltung der DSGVO nachzuweisen, muss jeder Verantwortliche gemäß Art. 30  (1) DSGVO ein sog. Verzeichnis der Verarbeitungstätigkeiten führen. In diesem Verzeichnis sind alle Verarbeitungen, bei denen personenbezogene Daten verarbeitet werden, zu dokumentieren. Die Dokumentation kann entweder schriftlich oder elektronisch geführt werden. Es ist jedoch relevant, dass das Verzeichnis vollständig ist, heißt dass alle Verarbeitungstätigkeiten aufgelistet sind, damit man im Ernstfall, auf Verlangen der Behörden, die Liste vorlegen kann. Wie es für die DSGVO üblich ist, führen Verstöße zu hohen Geldstrafen – gem. Art. 83 DSGVO bis zu 10 Mio. EUR oder bis zu 2 % des Jahresumsatzes.

Grundsätzlich sind alle Verantwortlichen iSd. DSGVO zur Erstellung verpflichtet. Ausgenommen von der Pflicht sind Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, wenn das Unternehmen nicht regelmäßig Daten oder sensitive Daten nach Art. 9 DSGVO (z.B. Gesundheitsdaten) verarbeitet oder sonstige Datenschutzrisiken für Rechte und Freiheiten der betroffenen Personen bestehen. Kurz gesagt – die Ausnahme ist so nützlich wie ein Ventilator in der Hölle und sollte schnell vergessen werden.

Die nachfolgende kurze Liste soll alle wichtige Punkte auflisten, die Sie bei der Erstellung  Ihrer Dokumentation von Verarbeitungstätigkeiten beachten sollten.

• Namen und Kontaktdaten des Verantwortlichen
• Die Zwecke der Verarbeitung z.B. Marketingzwecke, Personalbeschaffung
• Eine Beschreibung der Kategorien von Betroffenen und deren personenbezogenen Daten z.B. Adressdaten von Kunden, Lebensläufe von Bewerbern
• Kategorien von möglichen Empfängern der Daten z.B. der Steuerberater der Firma, der Betriebsrat
• Informationen zur Übermittlung in Drittstaaten z.B. Schweiz oder andere nicht EU-Länder oder keine
• Vorgesehene Löschungsfristen für die verarbeiteten Daten z.B. bis zu 8 Monate nach Beendigung des Bewerbungsverfahrens 
• Wenn möglich eine Beschreibung der technischen und organisatorischen Maßnahmen – TOMs – hier am besten auf das Sicherheitskonzept verweisen
• Die Rechtsgrundlage der Verarbeitung, also z.B. aufgrund eines Vertrages, der Einwilligung usw. 

Fazit: Man kommt als Unternehmer nicht drum herum ein Verzeichnis von Verarbeitungstätigkeiten zu führen – die Ausnahmen von der Pflicht sind zu dünn. ABER das ist wie man sehen kann, gar kein Problem. Eine Excel Datei mit den nötigen Daten ist schnell erstellt und ihre Aktualisierung bedarf insbesondere für kleinere Unternehmen keinen gröberen Zeit- oder Personalaufwand. Datenschutz ist ohne ein gut strukturiertes VVT nicht möglich, deswegen spricht vieles dafür auf die Qualität zu achten. 

Haben Sie bereits Erfahrungen mit dem Thema Verzeichnis von Verarbeitungstätigkeiten gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen und uns gegenseitig helfen! 

Wieder Neuigkeiten von der Insel. Unser Lieblingsthema rund um den Brexit hat eine neue Schlagzeile hervorgebracht. Die EU-Kommission hat am 28. Juni 2021 nach langer Beratung den neuen Angemessenheitsbeschluss für die Briten erlassen. Die Beantwortung der Fragen: Was das konkrete Problem war, was es mit so einem Beschluss auf sich hat und weitere interessante Fragen, sollen das Ziel dieses kurzen Beitrags sein. 

Der Austritt des Vereinigten Königreichs aus der EU hat auf vielen Gebieten Auswirkung – die DS-GVO nicht ausgenommen. Durch den vollzogenen Brexit gilt UK nun als Drittland.In Hinsicht auf den Datenaustausch wurde England eine Übergangsfrist bis einschließlich heute, den 30. Juni 2021, eingeräumt. Verständlich, dass man nun handeln musste, um den Austausch für Datenexporteure und -Importeure zu erleichtern. 

Innerhalb der Union ist die Verarbeitung von personenbezogenen Daten im Sinne eines Auftrags gem. Art 28 soweit erleichtert, dass ein Auftragsverarbeitungsvertrag (AVV) ohne Weiteres zwischen den Parteien  abgeschlossen werden kann. Kommt jedoch der Datenimporteur aus einem Drittland sieht der Sachverhalt etwas anders aus. Da in der Union die informationelle Selbstbestimmung durch die DS-GVO einheitlich gesichert ist, müssen Vorkehrungen getroffen werden, um dies auch für EU-Ausland zu garantieren. Die für die Praxis relevantesten Tools sind hierbei die sog. Angemessenheitsbeschlüsse und die Standardvertragsklauseln (SCC). Zweiteres wird womöglich in einem späteren Beitrag näher erläutert.

Ein Angemessenheitsbeschluss ist salopp gesagt die „Créme de la Créme“ für die Übermittlung personenbezogener Daten an Drittländer. 

Die Kommission überwacht fortlaufend die Entwicklungen in Drittländern. Kommt sie zum Entschluss, dass ein Land ein ähnliches Datenschutzniveau wie die EU hat, wird das Land als „sicheres Land“ eingestuft. Dadurch wird das Abschließen von AVV gem. Art 28 soweit erleichtert, dass keine weiteren Verträge oder Einwilligungen abgeschlossen bzw. eingeholt werden müssen. 

Genau zu diesem Ergebnis ist die Eu-Kommission gekommen. Durch den Beschluss am 28. Juni gilt UK als solch ein sicheres Land. Nun können AVV weiterhin problemlos abgeschlossen werden. 

Jedoch darf man die Entscheidung der Kommission kritisch hinterfragen. Fast schon amüsant war hierbei der Weg zum Erlass. Dem Europäischen Parlament wurde der Entwurf zur Abstimmung vorgelegt. Am 21. Mai 2021 wurde er mehrheitlich abgelehnt. Kritikpunkte aus der Entschließung P9_TA (2021) 0262 sind unter anderem, die durch Edward Snowden aufgedeckte, Massenüberwachung und mangelnde Umsetzungen von datenschutzrechtlichen Vorgaben (selbst als UK noch Unionsmitglied war). Trotz vorliegenden Bedenken entschloß sich die Kommission ihr Vorhaben durchzubringen. Ob die Befürchtungen des Parlamentes sich bewahrheiten werden, bleibt abzuwarten.

Zusammenfassend lässt sich folgendes festhalten: Der Angemessenheitsbeschluss sorgt jedenfalls für Erleichterung für alle Datenexporteure (bspw. deutsche Unternehmen) und Datenimporteure (Englische Unternehmen). Sie können weiterhin ihre Datenverarbeitung im Auftrag auf Basis einer einfachen AVV gem. Art 28 DS-GVO fortsetzen. Nichtsdestotrotz sind Unternehmen gut beraten diese AVV in Hinblick auf die Anforderungen aus Art. 28 noch mal zu überprüfen. 

Haben Sie bereits Erfahrungen mit dem Thema Angemessenheitsbeschluss gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen!

WIX ist ein weltweiter Anbieter von Website-Baukästen mit Sitz in Tel Aviv und bietet eine cloudbasierte Plattform zur Erstellung von HTML5-Websites und Mobile-Websites. Mithilfe von WIX lassen sich Funktionen in die eigene Website integrieren, welche von WIX oder Drittanbietern entwickelt wurden. Damit lässt sich quasi im Handumdrehen ein eigener Online-Shop oder Blog entwickeln. Wir zeigen Ihnen, welche Punkte Sie beim Thema Datenschutz bei der Erstellung einer Seite mit WIX beachten sollten

Bei der Erstellung von Websites müssen jedoch auch datenschutzrechtliche Anforderungen eingehalten werden. Bedient sich der Nutzer einer solchen Plattform, muss er sicherstellen, dass seine Website am Ende auch datenschutzkonform ist, da der Nutzer als Betreiber der Website hierfür allein verantwortlich ist.

Der WIX-Baukosten als solches ist nicht automatisch datenschutzkonform und dies sollte der Nutzer auch nicht erwarten, da es sich hier um einen weltweiten Anbieter handelt. Der Nutzer muss einige Anpassungen an der Website vornehmen, um den Anforderungen der DSGVO gerecht werden zu können. Neben einer Datenschutzerklärung muss der Nutzer die Möglichkeit der Löschung von personenbezogenen Daten anbieten, sowie auch eine Löschung des Accounts des Users. Zudem sollte die Möglichkeit geschaffen werden, sich bspw. von Werbung oder Newslettern usw. abzumelden. All diese Bausteine sind in WIX nicht automatisch enthalten, weshalb bei der Erstellung einer Website mit WIX also grundsätzlich Vorsicht geboten ist. WIX bietet für diese Anforderungen jedoch auch Erweiterungen an, die zum Teil aber kostenpflichtig sind.

Letztlich müssen einige Informationen trotzdem selbst erstellt werden, wie z.B. die Datenschutzerklärung. WIX bietet hierfür eine juristische Textvorlage an. Allerdings ist auch hier Vorsicht geboten, da WIX selber darauf verweist, dass es sich bei der Vorlage nicht um eine Rechtsberatung handelt und empfiehlt selber die Einholung juristischen Rates.

So einfach wie es klingt, ist es also nicht. Haben Sie bereits Erfahrungen mit WIX gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen!

Nach dem Urteil des EuGH vom Juli 2020 verstößt das Abkommen „EU-Privacy-Shield“ zwischen der Europäischen Kommission und der USA gegen höherrangiges Recht. Und damit ist auch ein Datentransfer an eine US-Firma grundsätzlich nicht mehr möglich.

Bei Microsoft 365 handelt es sich um einen Online-Dienst, einer Office-Webanwendung und einem Office-Software-Abonnement, welches cloudbasiert ist. Faktisch haben weit über 90 % aller Unternehmen Microsoft-Produkte im Einsatz, meist handelt es sich dabei um Microsoft oder Office 365. Dies könnte in datenschutzrechtlicher Hinsicht nunmehr problematisch sein, da Microsoft zahlreiche Telemetriedaten seiner Nutzer sammelt. Diese Daten fallen jedoch unter den Anwendungsbereich der DS-GVO, da es sich um personenbezogene Daten handelt, diese jedoch durch die Datensammlung von Microsoft an ein Drittstaat übermittelt werden. Hierbei entsteht das eigentliche Problem in Sachen Datenschutz und Informationssicherheit.

Prüfung und Risikoabschätzung der internen Prozesse

In einem Whitepaper der audatis Consulting GmbH zeigt diese Lösungsansätze für den Einsatz von Microsoft 365 auf. Neben der Identifikation und Klassifizierung der Daten und organisatorischen Maßnahmen wird beispielsweise die Durchführung einer Risikoanalyse empfohlen. Dabei ist eine Datenschutz-Folgenabschätzung von besonderer Relevanz. Zu analysieren sind hier, ob die Prozesse grundsätzlich ein datenschutzrechtliches Risiko für betroffene Personen darstellen und ob diese ein Risiko für die als kritisch eingestuften Daten und Informationen darstellen. Zudem sollen ausreichende Maßnahmen etabliert werden, um die identifizierten Risiken zu minimieren.

Von zentraler Bedeutung sind die datenschutzrechtlichen Rahmenbedingungen, wozu der Abschluss der Online Service Terms und die darin enthaltenen EU-Standardvertragsklauseln zusammen mit dem Datenschutzbeauftragten gehört.

Darüber hinaus wird ein Berechtigungs- und Datenschutzkonzept empfohlen sowie u.a. ein mehrstufiges Rollout-Konzept mit Datenschutzbeauftragten, Informationssicherheitsbeauftragen und Betriebsrat für die Einführung von Microsoft 365.

Welche Maßnahmen halten Sie für sinnvoll? Sollten eventuell noch weitere Maßnahmen ergriffen werden? Schreiben Sie es in die Kommentare. Als Community können wir gemeinsam voneinander lernen.

Wenn Sie im Unternehmen mit Datenschutz zu tun haben, werden Sie sicherlich schonmal über das Thema Datenübermittlung in ein Drittland gestoßen sein. Aufgrund der zunehmenden Internationalisierung der Unternehmensprozesse verbleiben personenbezogene Daten häufig nicht in der EU, sondern müssen auch an Drittländer übermittelt werden, sei es an eine im Drittland ansässige Tochtergesellschaft oder an einen beauftragten Dienstleister mit Drittlandbezug.

Gleichwertiger Schutz in Drittländern ist Voraussetzung

Mit der Entscheidung in der Sache „Schrems II“ (Urteil vom 16.07.2020, AZ: C-311/18) hat der EuGH klargestellt, dass personenbezogene Daten von EU-Bürgern nur dann an Drittländer außerhalb des europäischen Wirtschaftsraumes übermittelt werden dürfen, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Dabei wurde das sog. Privacy Shield, eine Vereinbarung über den Datenaustausch zwischen Europa und den USA, (EU-Durchführungsbeschluss 2016/1250) für unwirksam erklärt. Die darin geregelten Schutzmaßnahmen führen nach Ansicht der Richter nicht zu einem gleichwertigen Schutz und es fehlen ausreichende Rechtsschutzmöglichkeiten.

Die Standardvertragsklauseln der EU (Beschluss der Kommission vom 05.02.2010, 2010/87/EU) werden jedoch aufrechterhalten. Unternehmen können sich daher beim Datentransfer grundsätzlich auf diese Klauseln stützen. Diese enthalten nämlich Regelungen, die den Datenempfänger im Drittland auf das in der EU verlangte Schutzniveau verpflichten. Jedoch muss hier geprüft werden, ob die Standardvertragsklausen im Hinblick auf das Recht des Drittlands überhaupt einen angemessenen Schutz gewährleisten können. Dies zu prüfen ist Aufgabe des Datenübermittlers.

Bei der Datenübermittlung in ein Drittland ist der Datenempfänger auf die Standardvertragsklauseln zu verpflichten. Zusätzlich wird eine Auseinandersetzung mit den Regelungen des Drittlands unausweichlich. Sofern das Schutzniveau der EU nicht erreicht werden kann, sind zusätzliche Maßnahmen notwendig. Dabei können technische, organisatorische oder vertragliche Maßnahmen ergriffen werden, um ein angemessenes Schutzniveau zu erreichen.

Unternehmen wird daher empfohlen, ihre Datentransfers kritisch zu überprüfen und die weiteren Entwicklungen zu beobachten.

Haben Sie Beispiele für Maßnahmen, die ergriffen werden sollten, damit auf jeden Fall ein ausreichender Schutz gewährleistet wird? Teilen Sie diese in den Kommentaren. So können wir als Community gegenseitig von einander lernen.

Ihr Julius S. Schoor

Wer kennt das nicht? Beim Internetsurfen stößt man unweigerlich immer wieder auf diese Cookie-Banner, die das Lesen der Webseite massiv einschränken oder gar unmöglich machen. Entweder nehmen sie so viel Platz in Anspruch, dass man nur einen kleinen Teil der Webseite nutzen kann, oder sie legen sich so auf die Webseite, dass ein Lesen erst überhaupt nicht möglich ist.

Im letzteren Fall nennt man diese Cookie-Banner auch „Gatekeeper“. Sie stellen sowas dar, wie ein Türsteher, der einen nur dann „rein“ lässt, wenn man „OK“ geklickt hat. Die Nutzung solcher Gatekeeper ist im Übrigen rechtlich gar nicht mal so unumstritten. Aber das wäre ein anderer Blogbeitrag. 

Viele Nutzer machen es sich einfach und klicken den lästigen Cookie-Banner einfach „weg“ und haben dann irgendwann das unangenehme Gefühl von der Werbewirtschaft verfolgt zu werden: Sich mal eben für Rasenmäher interessiert, und schon tauchen Rasenmäher überall wieder auf – sei es bei Amazon, bei Facebook oder bei einem Newsportal.

Dem kann man in sehr vielen Fällen entgegenwirken, wenn man seine Gewohnheiten des einfachen „Wegklickens“ einfach ein wenig umstellt und sich und dem Datenschutz einen 2. Klick gönnt. Und so geht’s bei den allermeisten Cookie-Banner: 

1. Man klickt in dem jeweiligen Cookie-Banner erst auf „Einstellungen“ (oder dergleichen), statt gleich auf „OK“ oder „Alles akzeptieren“ zu klicken. 
2. Man klickt dann auf „Einstellungen speichern“ (o.ä.)

Das Recht verlangt nämlich eine datenschutzfreundliche Voreinstellung („Privacy by Design“). Danach muss in den Standardeinstellungen ein Tracking grundsätzlich ausgeschaltet sein. Man muss sich also in der Regel nicht die ganzen Einstellungen durchlesen und sich irgendwo austragen („Opt-Out“), sondern kann gleich auf „Einstellungen speichern“ klicken. 

Hier sehen ein Beispiel, welches häufig vorkommt:

Und ein zweites Beispiel:

Die Einstellungen werden dann lokal auf dem Rechner gespeichert. Und das ist in diesem Fall auch gut so: Denn beim nächsten Besuch der Webseite werden genau diese Informationen an den Provider übermittelt und auch die Info, dass ein Tracking nicht gewünscht ist. Und man kann ohne Trackingstress die Inhalte der Webseite genießen.

Haben Sie weitere Beispiele für eine 2-Klick Lösung von Cookie-Einwilligungen (gesehen)? Teilen Sie diese in den Kommentaren. So können wir als Community gegenseitig voneinander lernen.

Ihr Julius S. Schoor