Ein historischer Moment für den Datenschutz?

Sachliche Grundlage

Ausgangspunkt ist die Beauftragung eines externen Dienstleisters als sog. Auftragsdatenverarbeiter mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten. Dies setzt einen schriftlichen Vertrag zwischen den Parteien voraus. Die gesetzliche Grundlage hierzu (Bundesdatenschutzgesetz BDSG) schreibt eine Vielzahl von Einzelheiten vor, die zum Schutz der personenbezogenen Daten explizit in diesem Vertrag benannt und festgelegt werden müssen. Besonders relevant sind dabei auch die Datensicherheitsmaßnahmen (technische und organisatorische Maßnahmen), die vom Dienstleister zum Schutz der Daten getroffen werden müssen. All diese Maßnahmen müssen konkret und spezifisch festgelegt werden – sind sie jedoch löchrig, etwa wenn die korrekte Festlegungen zu unzureichend ist, eröffnet sich die Möglichkeit eines Ordnungswidrigkeitsverfahrens, welches mit einer Geldbuße von bis 50.000,- € geahndet werden kann.

Zum Sachverhalt

Nun verhängte das BayLDA gegen ein Unternehmen eine Geldbuße in fünfstelliger Höhe. Die Grundlage hierfür sah das Landesamt in den schriftlichen Aufträgen des Unternehmens mit mehreren externen Dienstleistern. In diesen legte die Firma nur unzureichend den Schutz der Daten durch Datensicherheitsmaßnahmen dar. Die Angaben zu den erforderlichen Maßnahmen enthielten nur Wiederholungen des Gesetzes und pauschale Aussagen – nicht jedoch konkrete Maßnahmen. Richtigerweise ist dies unzureichend. Grund hierfür ist, dass ich die datenschutzrechtliche Verantwortung auch bei der Einschaltung von externen Dienstleistern, beim Auftraggeber liegt. Auch unterliegt der Auftraggeber einer Kontrollpflicht hinsichtlich der Datensicherheitsmaßnahmen gegenüber dem Dienstleister. Um all dies gewährleisten zu können, müssen die festgelegten technisch-organisatorischen Maßnahmen in dem abzuschließenden schriftlichen Auftrag spezifisch festgelegt werden. Allein dadurch kann der Auftraggeber seiner Kontrollpflicht nachkommen und beurteilen, ob die personenbezogenen Daten bei seinem Auftragnehmer z.B. gegen Auslesen oder Kopieren durch Unbefugte, gegen Verfälschung oder sonstige unberechtigte Abänderung oder gegen zufällige Zerstörung geschützt sind.

Stellungnahme des BayLDA

„Augen auf beim Einbinden von Dienstleistern. Jeder Auftraggeber muss wissen und gegebenenfalls auch prüfen, was sein Auftragnehmer mit den Daten macht.“, appelliert Thomas Kranig, der Präsident des BayLDA an die Auftraggeber. „Die Datensicherheitsmaßnahmen müssen konkret und spezifisch im Vertrag festgelegt werden. Unspezifische oder pauschale Beschreibungen reichen nicht aus. Wir werden auch künftig in geeigneten Fällen Verstöße in diesem Bereich mit Geldbußen ahnden.“

Fazit

Datenschutzrechtliche Themen sind oftmals sehr komplex. Welche vertraglichen Festlegungen bzgl. der Datensicherheitsmaßnahmen getroffen werden müssen, kann nicht ohne Einzelfallbetrachtung des jeweiligen Dienstleisters und den von diesem zum Einsatz gebrauchten Datenverarbeitssystemen beantwortet werden. Der gesetzliche Maßstab im Bezug auf die Datensicherheitsmaßnahmen bemisst sich nach § 9 BDSG. In dieser Norm werden Maßnahmen in den Bereichen Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle verlangt. Grundsätzlich muss der schriftliche Auftrag daher also spezifische Festlegungen zu diesen Fragen enthalten. Weiterhin bietet das BayLDA einen Leitfaden (ausgehend von § 11 BDSG) für diese Fragestellung.

Abschließend setzt das BayLDA mit dieser Entscheidung ein klares Signal: Nicht nur fehlender, sondern auch unzureichender Datenschutz bei der Verarbeitung von personenbezogenen Daten wird verfolgt und bestraft. Die Festsetzung in der Höhe des Bußgeldes, sowie die Aussage von Thomas Kranig verdeutlichen nochmals die Wichtigkeit der Einhaltung des BDSG. Insofern sorgte das BayLDA für einen historischen Moment im Themenfeld Datenschutz und Datensicherheit.

__

Bildquelle

Pixabay (CCO Public Domain)

__

Um eine datenschutzkonforme Verwendung des Tools zu ermöglichen, haben Google mit den Aufsichtsbehörden (insb. der Hamburger Datenschutzbehörde) Bedingungen für eine datenschutzrechtskonforme Anwendung des Tools ausgehandelt.

Der Einsatz von Google Analytics und unser Datenschutzrecht

Zur Klarstellung: Diese Bedingungen wurden Ende 2009 zwischen dem Hamburgischen Datenschutzbeauftragten und Google verhandelt. Schon damals ging Google nicht auf alle Forderungen der Datenschutzbehörde ein. Zwischenzeitlich hat sich auch das Recht und Google Analytics weiterentwickelt. Es ist also nicht gesagt, dass man selbst bei Umsetzung der Bedingungen heute den Einsatz von Google Analytics auf seine eigenen Seiten zu 100% datenschutzrechtskonform gestaltet.

Es ist lediglich dem Faktischen geschuldet, dass man derzeit (noch) darauf vertrauen kann, dass die Aufsichtsbehörden „nur“ auf die Umsetzung dieser Bedingungen aus 2009 achten. Das Risiko also für Webseitenbetreiber, die diese Bedingungen umgesetzt haben, dass sie in den Fokus der Aufsichtsbehörden geraten, dürfte damit sehr gering sein. Insofern empfiehlt sich eine Umsetzung allemal – unabhängig davon, ob man tatsächlich vollständig die datenschutzrechtlichen Bestimmungen beachtet.

Welche Bedingungen das sind und wie man sie umsetzt, steht in meinem Beitrag „Verwenden Sie Google Analytics datenschutzrechtskonform“.

Was gilt speziell für Berliner Betreiber von Webseiten?

Mit der Pressemitteilung des Berliner Beauftragten für Datenschutz Herrn Dix vom 15.09.2011 erklärt dieser, dass er die Ergebnisse aus 2009 „ausdrücklich“ begrüße und er von den Berlinern Webseitenbetreiber „eine zügige Anpassung ihrer Angebote“ erwarte. Er werde nun auch Kontrollen durchführen, „ob die Anbieter ihren gesetzlichen Verpflichtungen nachgekommen sind.“

Sollten Sie also Betreiber von Webseiten sein, die der Aufsicht der Berliner Aufsichtsbehörde unterstellt sind, sollten Sie die mit Google in 2009 ausgehandelten Bedingungen schon deshalb umsetzen, um aus dem Fokus der Aufsichtsbehörde zu kommen und so das Risiko eines teuren Busgeldverfahrens zu minimieren.

Zu diesen Bedingungen gehört auch der Abschluss einer schriftlichen Vereinbarung zur Auftragsdatenverarbeitung nach §11 BDSG (ADV). In der Praxis entpuppte sich dieser Punkt als ein rein bürokratischer Akt, da außer dem Hin-und-Her-Schicken von einer Menge Papier nichts passiert. Es gibt auf beiden Seiten kein Verhandlungs- oder Gestaltungsspielraum. Google kann es sich nicht leisten, mit jedem Anwender von Google Analytics individuelle Verträge auszuhandeln. Jeder, der mit Google eine solche ADV abschließen möchte, muss folgenden Passus unterschreiben: „Ich bestätige hiermit, dass ich die hier beigefügten ‚Google Analytics Bedingungen‘ …, wie von Google bereitgestellt, ohne Änderungen unterschrieben habe. Ich nehme einverständlich zur Kenntniss, dass ein wirksamer Vertrag zwischen mir und der Google Inc. nicht zu Stande kommt, sofern durch mich … inhaltliche Änderungen an den Vertragsdokumenten vorgenommen wurden.“

Also auch die Idee, man nehme einfach „heimlich“ ein paar Streichungen oder Ergänzungen am Papier vor, bevor ich es an Google sende, in der Hoffnung, sie werden nicht bemerkt, wird scheitern.

So bleibt dem einzelnen Anwender nur die Möglichkeit, die Bedingungen von Google zu akzeptieren oder auf den Einsatz von Google Analytics zu verzichten. Es ist darüber hinaus auch nicht bekannt, dass irgendein Anwender tatsächlich versucht hat, seine sich aus der ADV ergebenden Rechte, wie z. B. die Erteilung von Weisungen gegenüber Google, in Anspruch zu nehmen, geschweige denn durchzusetzen.

Ist die Anforderung zum Abschluss einer ADV tatsächlich nur dem Gesetz geschuldet?

Ja! Es ist nicht bekannt, dass irgendein Anwender tatsächlich versucht hat, seine sich aus der ADV ergebenden Rechte, wie z. B. die Erteilung von Weisungen gegenüber Google, in Anspruch zu nehmen, geschweige denn durchzusetzen.

Die Frage ist also erlaubt, ob diese gesetzliche Regelung lediglich der gesetzlichen Regelung wegen existiert. Gesetze sollten Realitäten zu Gunsten der Menschen formen und nicht ihrer selbst wegen sein. Denn dann verkommen wir in einen unsinnigen Bürokratismus, der den Menschen und sein natrugegebenes Recht auf das Streben nach Glück eher behindert statt fördert.