Nutzungsverbot des Newsletter-Tools Mailchimp und Konsequenzen für andere Drittlandtransfers

Das Schrems-II-Urteil zum Datentransfer in Drittländer wie die USA ist nun endgültig bei den Aufsichtsbehörden angekommen. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) untersagte nach einer Beschwerde die Weitergabe von E-Mailadressen an das beliebte Newsletter-Tool Mailchimp. Was auf den ersten Blick unscheinbar daher kommt, ist tatsächlich von enormer Tragweite für viele Unternehmen.

Warum die Weitergabe der Daten an Mailchimp nicht rechtskonform war

Grundsätzlich gibt es nichts am Einsatz eines Dienstleisters für den Versand von Newslettern auszusetzten, dies kann völlig rechtskonform gestaltet werden. Die Verarbeitung von E-Mailadressen für eine Newsletter, auch unter Einsatz eines Auftragsverarbeiters, ist über die Einwilligung der betroffenen Empfänger, durch einen eventuell bestehenden Vertrag oder auch über ein berechtigtes Interesse legitimiert. Details dazu finden Sie in unserer Anleitung für rechtskonformes E-Mailmarketing.

Komplizierter wird der Fall aber, sobald die Daten dafür in ein Drittland übersendet werden. Die DSGVO sieht für die Übermittlung personenbezogener Daten in ein Land außerhalb der EU besondere Regelungen vor. Erklärtes Ziel ist es, dass das Schutzniveau, welches die DSGVO für personenbezogene Daten vorsieht, nicht untergraben wird. Dafür sieht die DSGVO mehrere Möglichkeiten vor. Etwas vereinfacht dargestellt sind dies:

  • Das Datenschutzniveau in einem Empfängerland wurde von der EU-Kommission durch einen sogenannten Angemessenheitsbeschluss als ausreichend eingestuft.
  • Der Abschluss von Standardvertragsklauseln mit dem Empfänger im Drittland.
  • Das Vorliegen eines besonderen Ausnahmetatbestandes nach Art. 49 DSGVO.

Am häufigsten – und auch im Fall von Mailchimp als US-Dienstleister relevant – ist die zweite Möglichkeit: der Abschluss von Standardvertragsklauseln (Standard Contractual Clauses, SCC). Bei diesen handelt es sich im Grunde um einen Vertrag, dessen Inhalt von der EU-Kommission vorgegeben ist, und dessen Einhaltung ein ausreichendes Datenschutzniveau garantieren soll.

Mit dem Schrems-II-Urteil hat der EuGH (Europäische Gerichtshof) den Abschluss von solchen Verträgen aber unter einen klaren Vorbehalt gestellt. Getreu dem Motto „Papier ist geduldig“ muss der für die Verarbeitung der Daten Verantwortliche prüfen, ob der Vertragspartner im Drittland die Vorgaben der Standardvertragsklauseln überhaupt einhalten kann. Gerade im Fall der USA ist das häufig nicht der Fall, da staatliche Einrichtungen auf Grundlage nationalen Rechts zum Teil uneingeschränkt personenbezogene Daten europäischer Bürger sammeln und nutzen (können). Für diese besteht keine Möglichkeit, sich gegen die Verarbeitung ihrer Daten durch US-Behörden gerichtlich zur Wehr zu setzen.

Standardvertragsklauseln alleine stellen daher regelmäßig keine Möglichkeit dar, den Datentransfer zu legitimieren. Der grundrechtsverletzende Zugriff muss ausgeschlossen sein.

Deshalb muss der Abschluss von Standardvertragsklauseln immer mit folgendem Prüfungsprozess verbunden sein:

  • Kann der Empfänger im Drittland die Klauseln überhaupt einhalten?
  • Wenn nein: Gibt es zusätzliche Maßnahmen (z.B. Datenverschlüsselung), die getroffen werden können und dann auch getroffen werden müssen, um die Einhaltung doch zu garantieren?
  • Wenn nein: Der Transfer ist nicht erlaubt

Im Fall von Mailchimp hat der Verantwortliche diese notwendige Prüfung nicht durchgeführt. Da die Firma, die hinter Mailchimp steht, in den USA sitzt, hätte eine Prüfung stattfinden müssen. Das BayLDA schreibt dazu:

„Nach unserer Bewertung war der Einsatz von Mailchimp […] – und somit auch die Übermittlung Ihrer E-Mail-Adresse an Mailchimp, […] datenschutzrechtlich unzulässig, weil […] nicht geprüft hatte, ob für die Übermittlung an Mailchimp zusätzlich zu den (zum Einsatz gekommenen) EU-Standarddatenschutzklauseln noch “zusätzliche Maßnahmen” im Sinne der EuGH-Entscheidung “Schrems II” […] notwendig sind, um die Übermittlung datenschutzkonform zu gestalten, und vorliegend zumindest Anhaltspunkte dafür bestehen, dass Mailchimp grundsätzlich Datenzugriffen von US-Nachrichtendiensten auf Grundlage der US-Rechtsvorschrift FISA702 (50 U.S.C. § 1881)  als möglicher sog. Electronic Communications Service Provider unterfallen kann und somit die Übermittlung nur unter Ergreifung solcher zusätzlicher Maßnahmen (sofern geeignet) zulässig sein konnte.

Wir haben dem Unternehmen mitgeteilt, dass daher die o.g. Übermittlungen personenbezogener Daten in die USA unzulässig waren.“ (Quelle)

Was die Entscheidung des BayLDA für andere Unternehmen bedeutet

Der Bescheid des BayLDA zeigt vor allem eines sehr deutlich auf: Die Aufsichtsbehörden bleiben nicht untätig.

Verantwortliche, die bisher noch nichts unternommen haben und weiterhin unbedarft personenbezogene Daten in Drittländer wie die USA übermitteln, sollten spätestens jetzt wachgerüttelt sein und tätig werden.

Mailchimp ist dabei nur ein relevanter Fall von vielen und es ist wohl eher dem Zufall geschuldet, dass es den Einsatz dieses Dienstleisters getroffen hat. Betroffen sind alle Empfänger personenbezogener Daten in Drittländern. Es spielt auch keine Rolle ob die Server auf denen die Daten verarbeitet werden in Europa stehen. Viele Unternehmen in der EU unterliegen dem Irrtum, dass kein Zugriff amerikanischer Behörden droht, wenn der Server des jeweiligen US-Dienstleisters in Europa steht. Gerade große US-Firmen wie Google, Amazon und Microsoft werben gerne damit, eine europäische Tochtergesellschaft mit Serverstandort in Europa zu haben, und erwecken damit den irreführenden Eindruck, dass damit die Problematik gelöst wäre.

Ein Serverstandort in der EU schützt jedoch nicht vor US-Gesetzen: Der CLOUD Act ermächtigt US-Behörden auch auf Daten zuzugreifen, die US-amerikanische Dienstleister und deren Tochtergesellschaften außerhalb der USA speichern – selbst, wenn dies einen Konflikt mit dem nationalen Recht vor Ort darstellt.

Anleitung zur Prüfung Ihrer Datentransfers

Vor diesem Hintergrund möchten wir Unternehmen eine umfangreiche Schritt-für-Schritt Anleitung anbieten, die sich an den Empfehlungen des Europäischen Datenschutzausschusses (EDSA) orientieren. Für den Abschluss neuer Verträge fangen Sie direkt bei Schritt 2 an:

Prüfung Ihrer Drittlandstransfers

  1. Ermitteln Sie zunächst alle internationalen Datentransfers
    Dazu sollte ein Blick in Ihr Verzeichnis der Verarbeitungstätigkeiten genügen – dort müssten alle relevanten Informationen zu finden sein. Wenn kein solches Verzeichnis besteht oder dieses die relevanten Informationen nicht enthält, haben Sie direkt das nächste To-Do gefunden, da es sich dabei um ein gesetzliches Erfordernis handelt. Hinweis: Beachten Sie dabei, dass es nicht auf den Serverstandort ankommt!
  2. Standardvertragsklauseln zur Prüfung heraussuchen
    Wichtig: Vielen Verantwortlichen ist der Abschluss der Klauseln oft gar nicht bewusst. Bei Onlinediensten werden diese meist mit dem Hauptvertrag und/oder dem Auftragsverarbeitungsvertrag zusammen abgeschlossen.
  3. Prüfung ob die Klauseln vom Datenempfänger im Drittland einhaltbar sind
    Es muss festgestellt werden, inwieweit das vermeintlich angemessene Datenschutzniveau beim Empfänger in rechtlicher oder tatsächlicher Hinsicht beeinträchtigt werden kann. Hier wird in der Tat von Ihnen verlangt, sich im Detail mit den örtlichen Gesetzen und Gegebenheiten für Ihren Kooperationspartner oder Dienstleister in einem Drittland auseinanderzusetzen. Sie haben festzustellen, welche Beeinträchtigungen des Datenschutzniveaus möglich sind und ob diese für die betroffene Verarbeitung unter Berücksichtigung aller Umstände relevant sind. Im Fall der USA bietet sich hierzu eine Abfrage beim Datenempfänger an, ob er von den relevanten Gesetzen betroffen ist.
  4. Konsequenzen aus dem Ergebnis ziehen
    In einem folgenden Schritt muss nun überlegt werden, inwieweit gefundenen Beeinträchtigungen des Datenschutzniveaus durch geeignete Maßnahmen technischer, tatsächlicher oder vertraglicher Art begegnet werden kann. Diese Maßnahmen sind zu ergreifen.
  5. Regelmäßige Überprüfung
    Zuletzt ist die Einhaltung der eigenen sowie vereinbarten Maßnahmen zu kontrollieren, und zwar – wie üblich – nicht nur einmalig, sondern regelmäßig während der gesamten Laufzeit. Das Gleiche gilt für die rechtlichen und tatsächlichen Umstände im Drittland, denen mit den zusätzlichen Maßnahmen begegnet wird. Ändern sich diese Umstände, muss reagiert werden.

Wenn eine Prüfung nicht stattgefunden hat, nicht möglich ist oder zum Ergebnis kommt, dass das Datenschutzniveau nicht einhaltbar ist, ist die Verarbeitung zu unterlassen. Bei schon bestehenden Verträgen kommt bei Nichteinhaltbarkeit durch den Empfänger ein Sonderkündigungsrecht in Betracht.

Im Fall der Untersagung von Mailchimp war der Grund, dass schon der grundlegende dritte Schritt unserer Übersicht, die notwendige Überprüfung, ob der Transfer grundsätzlich zulässig ist, nicht durchgeführt wurde. Wäre Sie durchgeführt worden, wäre aller Voraussicht nach ein negatives Ergebnis herausgekommen. Darauf lassen auch die Ausführungen des BayLDA schließen. Für Mailchimp-Nutzer heißt das konkret, dass es dringend empfehlenswert ist, sich zu überlegen ob nicht eine datenschutzkonforme europäische Alternative besser wäre.

Die enorme Tragweite der Entscheidung

Der Bescheid des BayLDA wirkt erst mal unscheinbar. Nur ein Newsletter-Tool und unmittelbare Wirkung nur gegenüber einem Verantwortlichen und statt Bußgeld nur eine Untersagung. Dahinter verbirgt sich aber datenschutzrechtlicher Sprengstoff. Denn weitere Überprüfungen werden folgen. Den Behörden liegen schon jede Menge Beschwerden vor, denen sie nachgehen müssen und es werden sicher immer mehr folgen.

Dass nur eine Untersagung des Einsatzes herausgekommen ist und kein Bußgeld verhängt wurde dürfte auch damit zusammenhängen, dass man zunächst milde Mittel zur Durchsetzung des geltenden Datenschutzrechts wählt. Ziel der Aufsichtsbehörden ist nicht das Strafen, sondern das Erreichen eines guten Datenschutzniveaus in ihrem Aufgabenbereich. Wenn die Problematik aber nach einer gewissen Zeit immer noch regelmäßig auftritt, Verantwortliche also trotz der bekannten Anforderungen nicht tätig werden, dürften Bußgelder die unweigerliche Folge sein.

Wie Sie jetzt Rechtssicherheit für sich schaffen können

Unserer Erfahrung nach sind viele Unternehmen noch nicht gut aufgestellt was den rechtskonformen Drittlandstransfer angeht. Mangels echter Alternativen oder auch mangels Kenntnis der Problematik wird immer noch auf Dienstleister aus Drittländern gesetzt, deren Einsatz nicht konform möglich ist oder zusätzliche Maßnahmen, die den Einsatz konform machen würden, wurden nicht getroffen.

Hier sei wegen seiner Relevanz als Beispiel der US-Dienstleister Microsoft mit seiner Office-Suite Microsoft 365 (ehemals: Office 365) genannt. Viele Verantwortliche setzen auf diese allgegenwärtigen Microsoftlösungen, ohne sich überhaupt Gedanken um die datenschutzrechtliche Umsetzung zu machen.

Alle Informationen zum datenschutzkonformen Einsatz von Microsoft 365: Ratgeber, Whitepaper und Webinare!

Noch tiefer greift das Problem, wenn ein Datentransfer nicht nur aus Gründen der Drittlandtransferproblematik nicht konform ist, sondern schon in seinen Grundsätzen nicht konform geregelt ist. Gerade im Fall der Auftragsverarbeitung werden notwendige Verträge häufig gar nicht oder nur ungeprüft geschlossen – die Risiken sind den Verantwortlichen oft nicht bewusst. Im Rahmen der Überprüfungen nach den Beschwerden zum Drittlandstransfer werden auch solche bußgeldbewehrten Versäumnisse aufgedeckt werden.

Eine dokumentierte Prüfung von Verträgen und Klauseln zum Datentransfer bedeutet natürlich oft den Verzicht auf favorisierte Dienstleister. Im Gegenzug gewinnt man aber an Rechtskonformität – heute ein oft wichtiger Wettbewerbsfaktor. Die Firma hinter Mailchimp wird das jetzt wahrscheinlich nicht zu knapp zu spüren bekommen. Und regelmäßig lässt sich mit Dienstleistern verhandeln und durch Änderungen der vorgelegten Verträge oder durch das Vereinbaren von zusätzlichen Maßnahmen eine konforme Lösung finden. Wenn Sie dabei Unterstützung suchen, beraten Sie unsere erfahrenen Experten gerne.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Bußgeld wegen Verstoßes gegen die datenschutzrechtliche Rechenschaftspflicht

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württembergs (LfDI) verhängte am 10. März 2021 eine Geldbuße in Höhe von 300.000 Euro gegen den VfB Stuttgart. Der Fußball-Bundesligist akzeptierte den Bescheid und will sich in Zukunft vermehrt für den Datenschutz engagieren. Damit findet ein laut Behörde „ungewöhnliches“ Verfahren seinen Abschluss.

Hintergrund des Bußgelds

Der VfB Stuttgart, der keine Rechtsmittel gegen das verhängte Bußgeld einlegen möchte, teilte in einer Pressemitteilung mit, dass das Bußgeld verhängt wurde, weil „bei der Zusammenarbeit mit einem externen Dienstleister die gebotenen vertraglichen Grundlagen in Bezug auf die Überlassung von Daten nicht geschaffen wurden. Zudem wurde gegen datenschutzrechtliche Dokumentationspflichten im Umgang mit personenbezogenen Daten verstoßen, da die E-Mail zu dem untersuchten Vorgang aus dem Jahr 2018 beim VfB nicht mehr aufzufinden war.“

Der LfDI begründete das Bußgeld in seiner eigenen Mitteilung mit „fahrlässiger Verletzung der datenschutzrechtlichen Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO.“

Die Höhe des Bußgelds scheint dabei mit 300.000 € milde auszufallen. Der LfDI hob besonders hervor, dass der Verein im Rahmen der Aufarbeitung nicht nur vorbildlich mit der Behörde kooperiert habe, sondern auch eine Verbesserung des Datenschutzmanagements festgestellt werden konnte und in Zukunft ein Engagement für die Stärkung des Datenschutzes geplant sei. Der VfB möchte sich vor allem im Bereich Datenschutzsensibilisierung für junge Leute engagieren. Auch war ein Teil der Vorwürfe schon verjährt und wurde daher gar nicht mehr untersucht.

Tipp: Wir kommentieren regelmäßig verhängte DSGVO-Bußgelder und erläutern, was andere Unternehmen tun können, um solche Strafen zu vermeiden!

Die datenschutzrechtliche Rechenschaftspflicht

Nicht nur das öffentliche Interesse, sondern auch die Begründung des Bußgelds mit der datenschutzrechtlichen Rechenschaftspflicht macht diesen Fall besonders interessant. Die Rechenschaftspflicht ist in Art. 5 Abs. 2 DSGVO verankert. Hiernach ist der Verantwortliche für die Einhaltung der in Art. 5 Abs. 1 DSGVO aufgezählten Grundsätze (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit) verantwortlich und muss deren Einhaltung nachweisen können.

Kontaktiert die Aufsichtsbehörde ein Unternehmen und verlangt Auskunft darüber, ob dieses personenbezogene Daten datenschutzkonform verarbeitet (in diesem Fall: Mitgliederdaten an einen Dienstleister weitergibt), so muss das Unternehmen diese Frage beantworten können. Die Beweispflicht für die ordnungsgemäßen Verarbeitung liegt beim Verantwortlichen. Wie der Nachweis zu erbringen ist unterliegt keiner bestimmte Form. Vielmehr ist es dem Verantwortlichen überlassen, wie er seiner Pflicht nachkommt.

Der VfB Stuttgart konnte einen solchen Nachweis wohl nicht erbringen. Um in Zukunft seiner Rechenschaftspflicht nachkommen zu können bedurfte es einer „kostenträchtigen Umstrukturierung und Verbesserung [des] Datenschutzmanagements“.

Ein solches Datenschutzmanagement bzw. Datenschutz-Managementsystem (DSMS) stellt die Grundlage des Schutzes personenbezogener Daten in Unternehmen dar. Ziel eines solchen Systems ist es, geplante, dokumentierte und funktionierende Prozesse, die es erlauben die relevanten Datenschutzvorschriften einzuhalten, aufzubauen, zu kontrollieren und laufend zu verbessern. Starre Vorgaben, wie das DSMS aussehen muss, gibt es nicht. Die eigene Umsetzung muss sich am Ende aber am Erfolg messen lassen.

Gängige Vorgehensweise ist es, sich an etablierten (zertifizierbaren) Managementsystemen anderer Themenbereiche zu orientieren. Aufgrund der thematischen Überschneidung bietet sich vor allem der Bereich Informationssicherheit und die ISO 27001 an.

Unsere langjährige Erfahrung im Bereich Datenschutz und Informationssicherheit, unter anderem als Datenschutzbeauftragte und ISO27001 Auditoren, hat uns aufgezeigt, dass ein Datenschutzmanagementsystem, das auf den vier Schritten des PDCA-Modells (Planung, Umsetzung, Kontrolle und Optimierung) aufbaut, einen sehr effizienten Weg bietet, um ein angemessenes Datenschutzniveau im Unternehmen zu erreichen.

Fazit

Der VfB Stuttgart hat das Bußgeld akzeptiert und bemüht sich jetzt um Wiedergutmachung. Man möchte das Vertrauen in den Verein, vor allem das der Mitglieder wiederherstellen. Die ersten Stimmen, unter anderem die des LfDI BaWü, Dr. Stefan Brink, finden lobende Worte für den transparenten Umgang und die umfassende Aufarbeitung des Datenschutzverstoßes. Besonders das geplante Engagement des Bundesligavereins im Bereich Datenschutzsensibilisierung der Jugend stößt auf großen Zuspruch. Schade, dass es dafür erst eines Bußgeldverfahrens bedurfte.

Am Ende wäre es für alle Beteiligten, allen voran natürlich für den Verein selbst und für die vom Verstoß betroffenen Personen besser gewesen, wenn es gar nicht so weit gekommen wäre. Der Fall zeigt deutlich, dass es sich lohnt, den Datenschutz so früh wie möglich anzugehen und mit einem funktionierenden Managementsystem vorzusorgen. Zudem wird verdeutlich wie wichtig die vollständige Kooperation und Aufarbeitung eines Verstoßes sein kann.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Datenschutz-Probleme beim Einsatz von US-Dienstleistern

Für den Transfer personenbezogener Daten in die USA und andere Drittstaaten muss im Empfängerland tatsächlich (und nicht nur auf dem Papier) ein entsprechendes Datenschutzniveau vorliegen. Das hat der Europäische Gerichtshof (EuGH) in seinem Urteil zum EU-U.S. Privacy Shield deutlich gemacht. Garantien wie EU-Standardvertragsklauseln reichen also nicht aus, wenn Gesetze vor Ort diese untergraben. Doch genau das ist in den USA der Fall.

Datenschutzfeindliche Gesetzgebung in den USA

In den USA gibt es vier Gesetze, die den Zugriff amerikanischer Behörden auf Daten regeln und die für die Bewertung des internationalen Datentransfers von besonderer Relevanz sind:

  • Foreign Intelligence Surveillance Act (FISA) von 1978;
  • USA Patriot Act von 2001;
  • USA Freedom Act von 2005 sowie
  • CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018.

Die Grundlage für nachrichtendienstliche Datenerhebung durch US-Behörden im Ausland bildet der FISA, zu welchem der Patriot Act und der Freedom Act befristete Änderungsgesetze darstellen. Eine zentrale Norm im FISA ist Section 702, welche die Überwachung von Nicht-US-Bürgern außerhalb des US-Territoriums etwa durch die NSA (National Security Agency) regelt. Das durch den Whistleblower Edward Snowden bekannt gewordene PRISM-Programm der NSA beruht z.B. auf FISA 702.

Der Freedom Act, der den Patriot Act weitestgehend modifiziert hat, erweitert die ohnehin schon äußerst weitreichenden Eingriffsmöglichkeiten von US-Behörden noch einmal stark.

Der CLOUD ACT, der entgegen seines Titels nichts mit Cloud-Diensten zu tun hat, ist hinsichtlich seines Regelungsgehalts von den genannten Gesetzen zu unterscheiden. Betroffen sind nicht nachrichtendienstliche Überwachungen, sondern die Erhebung von elektronischen Beweismitteln für Strafverfahren. Darauf gestützt werden können strafverfahrensrechtliche Durchsuchungs- und Beschlagnahmebeschlüsse einer US-Behörde zur Herausgabe von Daten als Beweismittel, auch wenn diese außerhalb des US-Territoriums gespeichert sind. Der CLOUD Act (auf Deutsch: „Gesetz zur Klarstellung über die rechtmäßige Verwendung von Daten im Ausland“) stellt somit klar, dass es keine Bedeutung hat, in welchem Land die Daten gespeichert sind.

Darüber hinaus gibt es noch die durch Präsident Reagan im Jahre 1981 erlassene Executive Order 12.333 (EO 12.333). Diese bevollmächtigt die Regierung zur Durchführung elektronischer Überwachungsmaßnahmen im Ausland zwecks Sammlung „ausländischer geheimdienstlicher Informationen“. Über den Umfang und die technische Ausgestaltung der Maßnahmen ist nicht viel bekannt. Gesichert ist jedenfalls, dass sie der Regierung einen großen Spielraum für die Überwachung von US-Amerikanern und anderen Staatsbürgern ohne richterliche Kontrolle oder andere Schutzbestimmungen bieten.

Bewertung der US-Gesetze durch den EuGH

Der EuGH prüfte im Verfahren zum EU-U.S. Privacy Shield, ob die Vereinigten Staaten das nach Art. 45 DSGVO (Datenschutz-Grundverordnung) im Licht der durch die Grundrechtecharta verbürgten Grundrechte erforderliche Schutzniveau gewährleistet. Grund für die Entscheidung, das EU-U.S. Privacy Shield für ungültig zu erklären, war zum einen, dass die staatlichen Einrichtungen der USA auf Grundlage nationalen Rechts aus Gründen der nationalen Sicherheit, der Strafverfolgung oder anderer im öffentlichen Interesse liegender Ziele uneingeschränkt personenbezogene Daten europäischer Bürger sammeln und nutzen. Weder Section 702 FISA noch die EO 12333 enthalten Einschränkungen der Zugriffsrechte oder Eingrenzungen des Umfangs der Datensammlung, was unvereinbar mit den Vorgaben der DSGVO ist.

Des Weiteren fehle es an einem effektiven gerichtlichen Rechtsschutz vor diesen Eingriffen.  Es besteht für europäische Bürger keine Möglichkeit, sich gegen die Verarbeitung ihrer Daten durch US-Behörden gerichtlich zu wehren. Auch der Vorschlag der US-Regierung, für alle Betroffenen in der EU eine Ombudsperson im Rahmen des EU-U.S. Privacy Shields einzusetzen, könnte dem keine Abhilfe schaffen. Zum einen eröffnet diese Ombudsperson den Betroffenen keinen Rechtsweg zu einem Organ, das Garantien böte, die einem gerichtlichen Rechtsschutz gleichwertig wären. Zum anderen zweifelt der EuGH aufgrund der Ernennung durch den US-Außenminister an der Unabhängigkeit der Ombudsperson.

Serverstandort ist bei US-Unternehmen irrelevant

Viele Unternehmen in der EU unterliegen dem Irrtum, dass kein Zugriff amerikanischer Behörden droht, wenn der Server des jeweiligen US-Dienstleisters in Europa steht. Gerade große US-Firmen wie Google, Amazon und Microsoft werben gerne damit, eine europäische Tochtergesellschaft mit Serverstandort in Europa zu haben, wodurch kein Transfer in die USA stattfinden würde.

Ein Serverstandort in der EU schützt jedoch nicht vor US-Gesetzen: Der CLOUD Act ermächtigt US-Behörden auch auf Daten zuzugreifen, die US-amerikanische Dienstleister und deren Tochtergesellschaften außerhalb der USA speichern – selbst, wenn dies einen Konflikt mit dem nationalen Recht vor Ort darstellt.

Die DSGVO regelt in Art. 48 die Herausgabe von Daten an Behörden, wofür nach der Vorschrift ein Rechtshilfeabkommen erforderlich ist. Dennoch kann sich bspw. Google Ireland dem Datenherausgabeverlangen von US-Behörden nicht mit der Begründung entgegensetzen, die DSGVO erlaube dies nicht ohne ein entsprechendes Rechtshilfeabkommen, da Google Ireland einem amerikanischen Mutterkonzern angehört, der den amerikanischen Gesetzen unterliegt.

Fazit: Das Sanktionsrisiko steigt

Derzeit wird eine Übermittlung von Daten in die USA über den Abschluss sog. EU-Standardvertragsklauseln gerechtfertigt. In seinem Urteil zum EU-U.S. Privacy Shield hat der EuGH angemerkt, dass diese weiterhin ein taugliches Mittel sind, für ein angemessenes Datenschutzniveau zu sorgen. Jedoch müssen Datenexporteure zusätzliche, insbesondere technische Maßnahmen treffen, um die Daten vor einem Zugriff durch Behörden etc. zu schützen.

Da US-Dienstleister den oben aufgeführten Gesetzen unterliegen, ist es ihnen nicht ohne weiteres möglich, die Vorgaben der DSGVO einzuhalten. Welche weiteren Maßnahmen getroffen werden können, hat der Europäische Datenschutzausschuss (EDSA) in seiner Handlungsempfehlung zusammengestellt.

An der Entscheidung des EuGHs, das EU-U.S. Privacy Shield für ungültig zu erklären, erkennt man, dass der EuGH den Grundrechtsschutz europäischer Bürgerinnen und Bürger durchaus ernst nimmt. Nicht nur die USA, sondern auch andere Länder haben ähnliche Gesetze, die Behörden Zugriff auf Daten europäischer Bürgerinnen und Bürger gestatten. So stehen nun zum Beispiel auch das Vereinigte Königreich und dessen nationale Gesetze aufgrund des Brexits auf dem Prüfstand der Europäischen Kommission. Im hier näher beleuchteten Fall der USA hat der EuGH aufgrund einer Klage die Bewertung vor- und damit den Verantwortlichen zum Teil auch abgenommen. Bei anderen Drittländern müssen Verantwortliche selbst tätig werden.

Wer sich nicht daran hält, riskiert hohe Bußgelder. Aus der vermeintlichen Untätigkeit der Aufsichtsbehörden sollten keine falschen Schlüsse gezogen werden. Denn gerade im Fall der USA wurde den Aufsichtsbehörden durch die Feststellungen des EuGH ein klarer Maßstab vorgegeben und es gibt wenig Ermessensspielraum.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Die europäische Cloud GAIA-X

Um unabhängig von den führenden amerikanischen und chinesischen Cloud-Anbietern zu sein, wird seit 2019 an einer europäischen Cloud gearbeitet. Ziel ist es, eine sichere Dateninfrastruktur nach europäischen Datenschutz-Standards zur Verfügung zu stellen. Wie wichtig ein solches Projekt ist, hat zuletzt die EuGH-Entscheidung zum Datentransfer in die USA deutlich gemacht.

Was steckt hinter GAIA-X?

Die Initiative GAIA-X (benannt nach der griechischen Gottheit Gaia) wurde im Herbst 2019 von deutschen und französischen Partnern gestartet. Europäische Vertreter aus Politik, Wirtschaft und Wissenschaft in Zusammenarbeit mit der EU-Kommission schlossen sich daraufhin für das Projekt zusammen. Mittlerweile sind mehr als 300 Organisationen beteiligt, darunter u.a. Siemens, Bosch, SAP und die Telekom sowie der Digitalverband Bitkom, der Bundesverband der Deutschen Industrie oder die IG Metall, um nur einige zu nennen. Eine Beteiligung steht allen Interessenten offen, die das Ziel der Europäischen Union von Datensouveränität und Datenverfügbarkeit unterstützen wollen.

Im September 2020 gründeten 22 Unternehmen und Organisationen aus Deutschland und Frankreich die internationale gemeinnützige Gesellschaft GAIA-X AISBL mit Sitz in Brüssel. Sie koordiniert die Zusammenarbeit aller Beteiligten.

Ziel des Projekts GAIA-X

GAIA-X soll eine sichere Dateninfrastruktur, ein sog. digitales Ökosystem werden. Sie stellt eine europäische Cloud-Lösung dar, die wettbewerbsfähig gegenüber internationalen Cloud-Angeboten sein soll.

Wohl bekanntestes Beispiel für ein internationales Cloud-Angebot ist AWS (Amazon Web Services) aus den USA. AWS wird z.B. von Dropbox, Netflix oder Reddit genutzt. Microsoft und Google gehören ebenfalls zu den größten Cloud-Anbietern. Alibaba Cloud ist der größte Cloud-Anbieter Chinas.

Die Vision der am Projekt GAIA-X Beteiligten ist es, ein europäisches Äquivalent dazu zu schaffen. Daten und Dienste sollen verfügbar gemacht werden, indem sie zusammengeführt und geteilt werden.

Die Besonderheit gegenüber den nicht-europäischen Cloud-Anbietern ist die Sicherstellung europäischer Werte. Die Grundprinzipien des Projekts sind:

  • Europäischer Datenschutz
  • Offenheit und Transparenz
  • Freier Marktzugang und europäische Wertschöpfung
  • Souveränität und Selbstbestimmtheit
  • Authentizität und Vertrauen
  • Modularität und Interoperabilität
  • Nutzerfreundlichkeit

Datenschutzrechtliche Notwendigkeit

Dass eine solche Alternative zu den etablierten Cloudanbietern dringend notwendig ist, zeigt sich immer wieder. Zuletzt durch das „Schrems II“-Urteil des europäischen Gerichtshofs (EuGH). Nachdem das im Grunde von Anfang an zum Scheitern verurteilte EU-U.S. Privacy Shield, welches den Datentransfer in die USA in vielen Fällen ermöglichte, durch das Urteil gekippt wurde, steht der internationale Datentransfer oftmals auf wackeligen Beinen.

Ein Transfer von personenbezogenen Daten in Drittländer darf nur stattfinden, wenn das grundrechtlich garantierte Schutzniveau eingehalten werden kann. Das ist aber häufig mit den zur Verfügung stehenden rechtlichen und technischen Mitteln nicht möglich. Die Folge davon ist zum Beispiel, dass ein Großteil des Datentransfers an und mit US-Clouddienstleistern nicht rechtmäßig ist. Der Transfer findet mangels echter Alternativen dennoch statt.

Aus der bisherigen Zurückhaltung der Aufsichtsbehörden, solche Verstöße zu ahnden, sollte jedoch nicht auf eine Legitimierung des Vorgehens geschlossen werden. Diese Zurückhaltung kann jederzeit enden. Der Landesbeauftragte für Datenschutz in Baden-Württemberg hat erst kürzlich in einem Interview mit dem Handelsblatt verlauten lassen, dass Unternehmen mit einer massiven Bußgeldgefahr konfrontiert sind. Früher oder später werden die Behörden handeln müssen. Das Urteil des EuGHs hat diesbezüglich keinen Interpretationsspielraum gelassen. Im Zusammenhang mit der Aussage verwies der Landesbeauftragte auch auf GAIA-X als hoffnungsvolles Projekt, welches langfristig eine Lösung sein könne.

Die Umsetzung von GAIA-X

Die Idee von GAIA-X ist, dass existierende Systeme weiterentwickelt, verbessert und vernetzt werden. Dies geschieht durch Einbeziehung zur Verfügung gestellter Bedarfsbeispiele (Use Cases) und Informationen beteiligter Domänen für ein Basis-Framework. Ganz vereinfacht ist ein Basis-Framework ein Programmiergerüst, das nach unterschiedlichen Bedürfnissen angepasst werden kann. Dieser Standard mit Anpassungsmöglichkeiten wird als digitales Ökosystem bezeichnet. Es wird durch die Beteiligten jeweils bedarfsgemäß weiterentwickelt. Besondere Bedeutung kommt dabei der Einsatz von Open-Source-Technologien zu. Außerdem erreicht ein Basis-Framework, dass zunächst nicht kompatible Schnittstellen nun doch einen Datentransfer ermöglichen.

Für Unternehmen bietet GAIA-X Vorteile hinsichtlich der Skalierung von Daten. Durch einen Austausch über GAIA-X sollen sie weltweit konkurrenzfähig bleiben. Kleinere und mittelgroße Unternehmen sollen durch den eingeführten Standard vom intradomän- und interdomänspezifischen Austausch profitieren.

Aber auch für einzelne Nutzer dürfte die europäische Cloud vorteilhaft sein: So soll die Souveränität der Nutzer der Cloud-Dienstleistungen sichergestellt werden. Außerdem können die Nutzer ihre Daten kategorisieren, so dass sie selbst entscheiden können, wie ihre Daten verarbeitet und wo sie gespeichert werden.

Positiver Nebeneffekt des gesamten Projekts ist, dass digitale Technologien in der Europäischen Union gestärkt und in die Weiterentwickelung investiert wird.

Datenschutz und Informationssicherheit bei GAIA-X

Der Datenschutz ist einer der Grundpfeiler des Projekts GAIA-X. Um ihn sicherzustellen, bestehen bereits einige Regelungswerke.

  • Es gibt beispielsweise einen EU Cloud CoC (Code of conduct), der Cloud-Anbietern Verhaltensweisen zum Datenschutz vorgibt. Dieser basiert auf der DSGVO.
  • Die CISPE (Cloud Infrastructure Services Providers in Europe) arbeitet an einem CISPE-Verhaltenskodex für Datenschutz im Bereich „Infrastructure as a Service (IaaS)“.
  • Bezüglich einer europäischen Zertifizierung nach Art. 42 DSGVO, veröffentlichte AUDITOR (European Cloud Service Data Protection Certification) ein Konzept. Dabei werden Verpflichtungen der Cloud-Anbieter festgelegt. Grundlage ist ein Stufenmodell, das nach den jeweiligen Cloud-Services unterscheidet und deren Verpflichtungen dementsprechend festlegt.
  • Auch die CSPCERT (European Cloud Service Provider Certification) gibt Empfehlungen im Bereich Sicherheitszertifizierung von Cloud-Diensten. Sie ist eine Interessengruppe von privaten und öffentlich-rechtlichen Akteuren.
  • Zum gleichen Thema passte das Bundesamt für Sicherheit in der Informationstechnik (BSI) in 2020 ihren C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) an. Es wurden Erfahrungen von Nutzern und Betreibern erfasst und in die Neufassung eingearbeitet. Der aktuelle Stand der Technik wurde berücksichtigt. Der Katalog bietet Kriterien für interne Kontrollen, damit Anbieter ihre Verpflichtungen erfüllen.

Kritik an GAIA-X

Mit GAIA-X gibt es endlich ein vielversprechendes Projekt, welches europäische Datensouveränität ermöglichen könnte. Einige kritische Stimmen sind aber auch zu hören:

Mittlerweile sind auch Microsoft, Google und Amazon an dem Projekt beteiligt. Es gibt Befürchtungen, dass durch deren Mitwirkung kein europäischer Standard geschaffen werden kann. Schließlich verpflichten Gesetze wie Cloud Act oder Patriot Act US-amerikanische Unternehmen dazu, auf Anfrage Daten ihrer Nutzer an amerikanische Behörden herauszugeben. Diese Pflicht besteht auch, wenn die Daten in Europa gespeichert werden. Fraglich ist dann jedoch, ob GAIA-X ein Dienst dieser Unternehmen ist. Denn wäre das der Fall, wäre das gesamte Projekt seit Beitritt von Microsoft, Google und Amazon zum Scheitern verurteilt. Da sich die europäischen Beteiligten aber nicht ins eigene Knie schießen wollen, indem sie diese Unternehmen an der Konzeption und Durchführung teilhaben lassen, wird man davon ausgehen müssen, dass zwar Microsoft und Co. mitwirken, sie aber keine Dienste anbieten werden, die sie zur Datenübermittlung an Behörden zwingt. Vielmehr verspricht man sich vermutlich von deren Knowhow zu profitieren.

Andererseits fragt man sich natürlich, was sich die marktführenden Unternehmen davon versprechen, bei der Entwicklung einer europäischen Cloud mitzuarbeiten. Gerade Wissen ist ein Wertfaktor eines Unternehmens, das nicht umsonst und schon gar nicht an einen potenziellen, zukünftigen Konkurrenten herausgegeben oder geteilt wird. Letztendlich sollte GAIA-X gerade für diese Unternehmen nach dessen Einführung eine Konkurrenz darstellen. Es bleibt abzuwarten und kritisch zu beobachten, welchen Einfluss die amerikanischen Unternehmen auf das Projekt haben.

Ein weiterer Aspekt, der sich als Herausforderung in dem Zusammenhang mit GAIA-X und der Beteiligung US-amerikanischer Unternehmen darstellt, sind deren verfügbaren Business-Produkte. Denn als Marktführer erfolgreicher Online-Dienste, die in fast jedem Unternehmen genutzt werden, müsste GAIA-X vergleichbare IT-Lösungen anbieten, damit insgesamt eine Unabhängigkeit von amerikanischen Dienstleistern erreicht wird. Die Entwickler von GAIA-X müssen sich die Frage stellen, wie sie es bewerkstelligen wollen, dass Unternehmen z.B. Microsoft 365 nicht ohne datenschutzkonforme Einstellungen weiterverwenden oder gar auf eine europäische Alternative setzen. Eine solche Alternative muss es dann aber erst einmal geben und das zu einem vergleichbaren Preis, mit vergleichbarer Leistung wie z.B. Microsoft 365.

Ausblick

Noch befindet sich GAIA-X in der Projektphase. Es sind noch keine Dienste für Nutzer verfügbar. Allerdings gibt es bereits Dokumente zur technischen Umsetzung und zum weiteren Projektverlauf, die öffentlich verfügbar sind.

Ab wann die Cloud zu nutzen ist, ist noch nicht bekannt. Solange muss abgewartet, kritisch beobachtet und verfolgt werden, wie sich das Projekt entwickelt. Für Interessenten mit dem nötigen Fachwissen besteht auch weiterhin die Möglichkeit aktiv das Projekt GAIA-X mitzugestalten.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

B3S Medizinische Versorgung: Ziele, Aufbau und Nachweis

Krankenhäuser, die zur sogenannten Kritischen Infrastruktur (KRITIS) gehören, müssen regelmäßig nachweisen, dass sie über eine ausreichende Informationssicherheit verfügen. Dafür eignet sich insbesondere der Branchenspezifische Sicherheitsstandard (B3S) Medizinische Versorgung. Doch wie ist der B3S aufgebaut? Was müssen Krankenhäuser tun, um die Vorgaben des B3S zu erfüllen? Und warum ist der B3S Medizinische Versorgung nicht nur für KRITIS-Krankenhäuser relevant?

Was ist der B3S Medizinische Versorgung?

Krankenhäuser, die als KRITIS gelten, müssen seit Inkrafttreten des IT-Sicherheitsgesetzes (Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme) die Vorgaben des § 8a BSI-Gesetz (BSIG) erfüllen. Wie alle Betreiber von Kritischen Infrastrukturen müssen KRITIS-Krankenhäuser ihre Informationssicherheit dem Stand der Technik entsprechend gestalten und dies dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachweisen.

Um einen entsprechenden Nachweis erbringen zu können, sollten KRITIS-Betreiber auf anerkannte Standards wie die Normen ISO 27001 und ISO 27002 zurückgreifen. Auch wäre ein Vorgehen nach ISO 27001 auf Basis IT-Grundschutz (BSI-Grundschutz) wäre möglich, aber sehr aufwendig.

Alternativ können für die verschiedenen Sektoren der Kritischen Infrastruktur sogenannte Branchenspezifische Sicherheitsstandards (B3S) entwickelt werden. Ebendies hat die Deutsche Krankenhausgesellschaft (DKG) mit dem Branchenspezifischen Sicherheitsstandard (B3S) Medizinische Versorgung getan (die aktuellste Version finden Sie online bei der DKG).

Das BSI hat diesen B3S Medizinische Versorgung als „geeignet zur Umsetzung der Anforderungen nach § 8a Abs. 1 BSI-Gesetz“ anerkannt. Können Krankenhäuser den Nachweis erbringen, die Vorgaben des B3S zu erfüllen, wird auch davon ausgegangen, dass sie alle gesetzlich vorgeschriebenen Maßnahmen erfüllen.

Was sind die Ziele des B3S Medizinische Versorgung?

Die gesetzlichen Anforderungen

Ziel des B3S Medizinische Versorgung ist es, die Umsetzung der gesetzlichen Vorgaben des § 8a Abs. 1 BSI-Gesetz nachzuweisen:

Betreiber Kritischer Infrastrukturen sind verpflichtet, […] angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht.

Schutzziele und spezifische Faktoren

Um dies zu erreichen, definiert der B3S Medizinische Versorgung die vier im Gesetzestext genannten Schutzziele Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit wie folgt:

  • Verfügbarkeit von Dienstleistungen, Funktionen eines Informationssystems, IT-Systems, IT-Netzinfrastruktur oder auch von Informationen ist dann gegeben, wenn diese von den Anwendern stets wie vorgesehen genutzt werden können.
  • Integrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen.
  • Authentizität der Informationen ist sichergestellt, wenn sie von der angegebenen Quelle erstellt wurden.
  • Vertraulichkeit stellt den Schutz vor unbefugter Preisgabe von Informationen sicher. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in zulässiger Weise zugänglich sein.

Die vier (für alle KRITIS-Betreiber gültigen) Schutzziele müssen im Rahmen des B3S Medizinische Versorgung allerdings immer in Verbindung mit den zwei Faktoren Patientensicherheit und Behandlungseffektivität betrachtet werden:

  • Patientensicherheit als die Freiheit von unvertretbaren Risiken einer physischen Verletzung oder eines Schadens an der Gesundheit von Menschen. Dies schließt auch die Vermeidung einer nachhaltigen psychischen Belastung ein.
  • Behandlungseffektivität stellt die wirksame Behandlung des Patienten unter Benutzung von Informationen und wirksamen Therapiemaßnahmen, ggf. auf Basis eines Informationsaustausches zwischen unterschiedlichen verantwortlichen Organisationseinheiten, sicher.

Angemessene TOM gemäß Stand der Technik

Um die vier Schutzziele zu erreichen, fordert der Gesetzgeber die KRITIS-Betreiber auf, angemessene technische und organisatorische Vorkehrungen bzw. Maßnahmen zu treffen, die dem Stand der Technik entsprechen.

Bei diesen technischen und organisatorischen Maßnahmen handelt es sich um einen Sammelbegriff. Er umfasst einerseits die Prozesse, die regeln, wie genau die einzelnen Anforderungen zu erfüllen sind – etwa eine IT-Nutzungsrichtlinie oder ein Berechtigungskonzept. Andererseits ist damit die tatsächliche und technische Umsetzung der Vorgaben gemeint – also etwa der Einsatz von Anti-Virensoftware oder Firewalls.

Beim Stand der Technik geht es darum, die Weiterentwicklung technischer Systeme zu berücksichtigen und ggf. Updates oder den Austausch veralteter Lösungen zu erzwingen. Für den B3S Medizinische Versorgung ist hierbei zu beachten, dass sich der Stand der Technik nicht auf Medizingeräte bezieht, sondern ausschließlich auf Informationen und informationsverarbeitende Systeme.

Wie ist der B3S Medizinische Versorgung aufgebaut?

Zur Erreichung der oben diskutierten Schutzziele fordert der B3S Medizinische Versorgung die Errichtung eines Informationssicherheits-Managementsystems (ISMS). Dafür orientiert sich der B3S an der Norm ISO 27001 in Verbindung mit den allgemeinen Umsetzungsempfehlungen der ISO 27002 und den spezifischen Umsetzungsempfehlungen für das Gesundheitswesen der ISO 27799. Aus allen drei Normen wurden die für Krankenhäuser relevanten Aspekte übernommen.

Hinsichtlich der Informationssicherheit von Medizingeräten, die in IT-Netzwerke eingebunden sind, kommt zusätzlich die DIN EN 80001-1 „Anwendung des Risikomanagements für IT-Netzwerke, die Medizinprodukte beinhalten – Teil 1“ zum Tragen.

Zentraler Aspekt der Normen ist eine Gefährdungs- und Risikoanalyse. Dafür erfolgt ein Mapping von Bedrohungs-Szenarien mit entsprechenden Schwachstellen. Es ergeben sich verschiedene Gefährdungen, die nach den Kriterien der Eintrittswahrscheinlichkeit und Schadensauswirkung beurteilt werden. Hierfür gibt es festgesetzte Risikoklassen und in den Normen ISO 27002 bzw. 27799 entsprechende Vorschläge für Gegenmaßnahmen.

Bei der Risikoanalyse und den daraus resultierenden Maßnahmen unterscheidet der B3S Medizinische Versorgung zwischen drei in Großbuchstaben gekennzeichneten Stufen:

  • MUSS: Die Einhaltung der Anforderung ist zwingend für die Umsetzung des B3S.
  • SOLL: Die Einhaltung der Anforderung ist grundsätzlich erforderlich. Sofern durch die Nicht-Umsetzung die Informationssicherheit nicht gefährdet wird, kann auf die Umsetzung verzichtet werden. Die Nicht-Umsetzung ist nachvollziehbar zu begründen.
  • KANN: Die Einhaltung der Anforderungen wird empfohlen, ist jedoch nicht zwingend für die Umsetzung des B3S.

Wie kann ein Nachweis der Umsetzung des B3S Medizinische Versorgung erfolgen?

Festlegung des B3S-Geltungsbereichs

Zunächst gilt es den jeweils individuellen B3S-Geltungsbereich abzugrenzen, also jene Strukturen, „die für die Erbringung der kritischen Dienstleistung (stationäre medizinische Versorgung) notwendig sind.“ Das können einzelne Betriebsstätten, Krankenhausstandorte oder mehrere Standorte zugleich sein. Der B3S-Geltungsbereich kann sich aber auch innerhalb eines Standorts auf zentrale Strukturen beschränken.

Soweit in einem Krankenhaus vorhanden, gehören zum B3S-Geltungsbereich folgende Werte:

  • Apothekensystem
  • Bettenterminals
  • Bettenterminals (PDMS Terminals)
  • Blut- und Transfusionsprodukteverwaltung
  • Diensttelefonie/Festnetz
  • Diensttelefonie/Mobil
  • Dokumenten-Management-System / Enterprise-Content-Management
  • Energieversorgung (IT-gesteuert, IT-benötigt)
  • Fax-Betrieb
  • Gase (IT-gesteuert)
  • Gebäudeleittechnik/Gebäudeautomationstechnik (IT-gesteuert)
  • Heil- und Hilfsmittelversorgungssysteme
  • IT-basierte Diagnose und Therapie-Systeme (allgemein)
  • Klima/Kühlung (IT-gesteuert, IT-benötigt)
  • Krankenhausinformationssystem (KIS)
  • Laborinformationssystem (LIS)
  • Lichttechnik (IT-gesteuert, IT-benötigt)
  • Liegenschaftsverwaltungssystem
  • Mobile Devices im Behandlungsprozess
  • Netzgebundene Alarmierungssysteme (allgemein)
  • Netzgebundene medizintechnische Systeme (allgemein)
  • OP-Planungssystem
  • Patientenmanagementsystem (PDMS/Intensivdatenverwaltung)
  • Picture Archive and Communication System (PACS)
  • Radiologieinformationssystem (RIS)
  • Rohrpostsysteme
  • Rufsysteme
  • Telemedizinsysteme
  • Telemetriesysteme
  • Teleradiologiesysteme
  • Transportanlagen/Aufzüge (IT-gesteuert/IT-zugangsberechtigt)
  • Transportlogistik (Patienten-, Proben-, Speisen- und Arzneimitteltransporte)
  • Versorungs- und Entsorgungstechnik (IT-gesteuert)
  • Videoüberwachung (IT-gesteuert)
  • Wärme/Heizungssysteme (IT-gesteuert)
  • Wasserversorgung (IT-gesteuert, IT-benötigt)
  • Wechselsprechtechnik
  • Zugangs- und Schließsysteme (IT-gesteuert)

Eine besondere Herausforderung besteht dabei in der häufig in Krankenhäusern anzutreffenden Doppelstruktur von Informationstechnischen Anlagen und Systemen der Medizintechnik. Letztere sind  meist als geschlossene Systeme konzipiert und dürfen nur unter bestimmten Voraussetzungen mit IT-Systemen gekoppelt werden. Die gesetzlichen Vorgaben führen zudem regelmäßig zu folgender Problematik:

Medizintechnik-Anlagen entsprechen mit Blick auf Informationssicherheit häufig noch nicht dem aktuellen Stand der Technik aus IT-Sicht. Regulatorische Anforderungen aus dem Bereich der Medizinprodukte sind vielfach nicht mit der gelebten Praxis aus den Bereichen der Informationstechnik in Einklang zu bringen, (z. B. Freigabe von Software-Updates durch den Hersteller eines Medizinproduktes). Häufig kommen eingebettete Betriebssysteme („embedded systems“) zur Anwendung, die weitgehend gekapselt betrieben werden. Antiviren-Programme gehören i.d.R. nicht zum Standard medizintechnischer Anlagen.

Zusätzlich erschwerend wirkt die in vielen Krankenhäusern anzutreffende getrennte personelle Zuständigkeit für Informationstechnische und Medizintechnik-Systeme. Hier gilt es unter Einbindung der Leitungsebene von Anfang an alle Entscheidungsträger in die Prozesse einzubinden.

Erhebung, Dokumentation und Steuerung

Innerhalb des B3S-Geltungsbereichs gilt es nun, den Ist-Zustand zu ermitteln. Dafür sind alle für das ISMS relevanten Systeme, Strukturen und Prozesse sowie deren jeweiliger Status festzustellen. So entsteht eine Dokumentation zur Planung, Steuerung und Kontrolle des ISMS. Im Abgleich mit den Vorgaben des B3S als Soll-Zustand ergeben sich die notwendigen Aufgaben.

So ist vor allem eine geeignete Informationssicherheitsstruktur aufzubauen. In Richtlinien, Konzepten und Verfahrensbeschreibungen wird die Ausgestaltung der Informationssicherheit schriftlich fixiert. Diese Dokumente sind den betroffenen Mitarbeitern zur Verfügung zu stellen. Auch die Schulung von Mitarbeitern ist zwingend vorgesehen.

Weil es sich um ein Managementsystem handelt, ist regelmäßig zu prüfen, welche Fortschritte es gibt und wie gut die Vorgaben greifen. Die erstellten Richtlinien, Konzepte und Vorgaben selbst sind in festgesetzten Abständen zu prüfen und ggfs. zu aktualisieren.

Praktische Umsetzung im Krankenhaus

Um die beschriebenen Prozesse entsprechend zu steuern, ist die Bestellung eines (internen oder externen) Informationssicherheitsbeauftragten zwingend vorgesehen. Er ist für Organisation, Durchführung und Überwachung des ISMS zuständig.

In den wenigsten Krankenhäusern werden alle Vorgaben des B3S Medizinische Versorgung auf einmal umsetzbar sein. Ein ISMS beruht jedoch explizit auf dem Prinzip kontinuierlicher Verbesserung. Dafür bedarf es einer sinnvollen Priorisierung und permanenten Erfolgsmessung der Maßnahmen.

Prüfung durch unabhängige Dritte

KRITIS-Krankenhäuser müssen die Umsetzung der gesetzlichen Vorgaben spätestens alle zwei Jahre dem BSI proaktiv nachweisen. Die Prüfung der Umsetzung des B3S Medizinische Versorgung erfolgt durch einen vom BSI zugelassenen Auditor bzw. Wirtschaftsprüfer. Aufwand und Umfang einer solchen Prüfung entsprechen in etwa einem Audit nach ISO 27001.

Wenn sich Krankenhäuser, die nicht zur KRITIS gehören, für ein ISMS gemäß B3S Medizinische Versorgung entscheiden (siehe unten), gibt es keine Pflicht zum regelmäßigen aktiven Nachweis gegenüber dem BSI. Es ist aber dringend empfohlen, die Umsetzung durch einen unabhängigen kompetenten Auditor jährlich zu prüfen zu lassen.

Für welche Krankenhäuser gilt der B3S?

Wie eingangs erwähnt, ist der B3S Medizinische Versorgung nicht vorgeschrieben, um die Erfüllung der Vorgaben des § 8a Abs. 1 BSI-Gesetz nachzuweisen. Der Gesetzgeber sieht dafür „Sicherheitsaudits, Prüfungen oder Zertifizierungen“ vor. Als eigens für Krankenhäuser entwickelte Best Practice ist es jedoch sehr empfehlenswert, den B3S als Vorlage für die Errichtung des ISMS im Krankenhaus zu wählen.

KRITIS-Krankenhäuser

Der B3S der DKG richtet sich insbesondere Krankenhäuser, die gemäß BSI-KritisV als Kritische Infrastruktur gelten.

Zur Kritischen Infrastruktur Deutschlands gehören alle Krankenhäuser, in deren IT-Systemen mehr als 30.000 vollstationäre Fälle pro Jahr verarbeitet werden. Achtung: Für Einrichtungen mit mehreren Standorten ist die Gesamtzahl aller Fälle relevant, die über gemeinsame IT-Systeme laufen. Krankenhäuser müssen jeweils bis zum 31. März prüfen, ob sie diesen Schwellenwert im Vorjahr überschritten haben. Falls ja, ist das BSI zu informieren und das Krankenhaus gilt ab dem 1. April als KRITIS.

Nicht-KRITIS-Krankenhäuser

Der B3S medizinische Versorgung ist aber auch für Krankenhäuser, die nicht zur Kritischen Infrastruktur gehören, relevant. Seit Inkrafttreten des Patienten-Daten-Schutzgesetzes (PDSG) gibt es einen neuen § 75c SGB V, der die oben diskutierten Anforderungen an KRITIS-Krankenhäuser faktisch auf alle Krankenhäuser in Deutschland ausweitet. Demnach müssen Krankenhäuser bis zum 31. Dezember 2021 nachweisen können, dass sie „nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse“  getroffen haben. Einziger Unterschied ist, dass Nicht-KRITIS-Krankenhäuser den Nachweis nicht selbstständig regelmäßig erbringen müssen.

Inwiefern der bestehende B3S Medizinische Grundversorgung auch für Krankenhäuser, die nicht zur KRITIS gehören, als geeigneter Nachweis gelten wird oder ob es eine Art B3S light geben wird, ist derzeit noch nicht abschließend geklärt. Nach eigenen Angaben ist die DKG noch in Verhandlung mit dem BSI.

Sie wollen in Ihrem Krankenhaus möglichst schnell und effizient ein ISMS errichten? Dann bestellen Sie jetzt einen unserer Experten als externen Informationssicherheitsbeauftragten!

Geschrieben am:

Datenschutzkonformer Einsatz von WhatsApp für Unternehmen

Die Nutzung des Messenger-Dienstes WhatsApp ist auch für Unternehmen äußerst vorteilhaft: Attraktive Funktionen zur Strukturierung von Nachrichten, Empfängern und Inhalten bieten echte Mehrwerte. Darüber hinaus ist der Dienst kostenlos (zumindest monetär gesehen), unbeschränkt und über Ländergrenzen hinweg nutzbar. Doch können Unternehmen bzw. Businesskunden unter der EU-Datenschutz-Grundverordnung (DSGVO) WhatsApp überhaupt datenschutzkonform nutzen? Was gilt für die Kommunikation mit Kunden, Mitarbeitern oder Bewerbern?

Update Januar 2021: „WhatsApp aktualisiert seine Nutzungsbedingungen und seine Datenschutzrichtlinie“ – wenn Sie die App des amerikanischen Anbieters WhatsApp LLC, welcher zum Facebook-Konzern gehört, nutzen, wurde Ihnen diese Meldung in den letzten Tagen beim Start der App angezeigt. Die Änderungen treten am 8. Februar 2021 in Kraft – wer dann noch nicht zugestimmt hat kann den Messenger nicht weiterverwenden.

Das Einholen einer neuen Einwilligung legt die Vermutung nahe, dass sich Grundlegendes ändert. Aus datenschutzrechtlicher Sicht ist das aber nur bedingt der Fall. Insbesondere willigt man nicht in neue Verarbeitungen ein. Auf der Rechtsgrundlage einer Einwilligung werden nur die Geräteinformationen verarbeitet, die über die Berechtigungssteuerung abgefragt werden. Alle anderen personenbezogenen Daten werden nicht aufgrund einer Einwilligung verarbeitet. Laut WhatsApp stützt man die sonstigen Verarbeitungen vor allem auf die Notwendigkeit zur Erfüllung des Vertrags mit dem Nutzer, auf bestehende rechtliche Verpflichtungen und auf ein überwiegendes berechtigtes Interesse.

Unter letztgenannter Rechtsgrundlage werden auch die Marketingkommunikation und die Datenweitergabe an andere Facebook-Unternehmen verortet. Gerade die Weitergabe an andere Facebook-Unternehmen sorgt momentan im Netz für viel Empörung. Dabei muss man fairerweise sagen, dass sich für europäische Nutzer wenig ändert. Für diese gelten nicht die globalen, sondern eigene EU-Datenschutzbedingungen, in welchen steht: „Keine der Informationen, die WhatsApp […] weitergibt, dürfen für die eigenen Zwecke der Facebook-Unternehmen verwendet werden.“

Die Datenweitergabe erfolgt demnach nur, damit die anderen Facebook-Unternehmen „dabei helfen können, unsere Dienste zu betreiben, bereitzustellen, zu verbessern, zu verstehen, anzupassen, zu unterstützen und zu vermarkten.“ Beschrieben wird damit im Grunde eine Auftragsverarbeitungssituation, bei der ein anderes Unternehmen (z.B. Facebook) auf Weisung des Auftraggebers (WhatsApp) Daten verarbeitet, ohne Zwecke und Mittel selbst zu bestimmen.

Heißt das also, dass es ausgeschlossen ist, dass Facebook Daten zu eigenen Zwecken bekommt? Nein, nicht ganz. Aber zumindest nicht direkt. Unternehmen, die WhatsApp nutzen, können für die Kommunikation auf Drittanbietertools zurückgreifen. Unter anderem auch auf Facebook. Die Verantwortung sieht WhatsApp dann aber beim jeweiligen Unternehmen. Dieses muss dafür Sorge tragen eine Rechtsgrundlage für die Verarbeitung zu haben und Betroffene zu informieren: „Damit du weißt, wie ein Unternehmen deine Informationen verarbeitet (und zum Beispiel deine Informationen an Dritte oder Facebook weitergibt), solltest du dir die Datenschutzrichtlinie dieses Unternehmens durchlesen oder dich direkt an dieses Unternehmen wenden.“

Hinweis: Diese Änderungen betreffen nicht die Version „WhatsApp Business“ für Unternehmen. Die Business Version ermöglicht Unternehmen einen für die Verwendung des Messengers notwendigen Auftragsverarbeitungsvertrag mit WhatsApp zu schließen. Datenschutzrechtliche Verbesserungen gegenüber der Nicht-Business-Version bestehen sonst aber nicht. Aber auch die Nicht-Business-Version hat zum Teil erhebliche Relevanz für Unternehmen: nämlich dann, wenn Mitarbeiter sie auf Geschäftsgeräten installieren.

Was ändert sich also an unserer Einschätzung zum Einsatz von WhatsApp im Unternehmen? Im Grunde nichts. Die einzige Verbesserung durch die Datenschutzrichtlinie betrifft die Darstellung der Informationen. Der Text ist klarer und transparenter formuliert. An den stattfindenden Verarbeitungen ändert sich aber nichts. Unsere bisherige Empfehlung, WhatsApp aus Datenschutzgründen nicht oder nur unter sehr strengen Rahmenbedingungen einzusetzen, gilt nach wie vor unverändert.

Einen großen Pluspunkt sehen wir aber dennoch in den zustimmungsbedürftigen Änderungen: Viele Nutzer interessieren sich plötzlich für Alternativen zu WhatsApp und befassen sich mit der Nutzung ihrer Daten durch den App-Anbieter. Messenger, die den Datenschutz ernst nehmen, haben einen unverhofften Popularitätsschub bekommen. Und manch einer wird überrascht sein, wie viele personenbezogene Daten WhatsApp verarbeitet und mit wie wenig Daten dagegen andere Messenger auskommen.

Update Mai 2020: Die irische Datenschutzaufsichtsbehörde IPC prüft seit 2018, ob WhatsApp die Informationspflichten gem. Art. 12 – 14 DSGVO verletzt hat. Insbesondere wird von der IPC gerügt, dass WhatsApp nur mangelhaft über die Weitergabe von Nutzerdaten an die Konzernmutter Facebook informiert habe.

Die IPC hat einen Beschlussentwurf verfasst, zu dem WhatsApp die Möglichkeit hat, Stellung zu nehmen. Danach wird der Entwurf gem. Art. 60 DSGVO den betroffenen Aufsichtsbehörden der Mitgliedsstaaten vorgelegt. Sie können Einspruch einlegen, was den Zeitpunkt des endgültigen Beschlusses und der Verhängung eines Bußgelds gegen WhatsApp deutlich verzögern könnte.

Der Einsatz von WhatsApp im Unternehmen

Der Einsatz von WhatsApp ist für Unternehmen aller Branchen vor allem deswegen attraktiv, weil die App einen sehr hohen Verbreitungsgrad bei Nutzern von mobilen Endgeräten (Smartphones) hat. Die Anwendungsfälle sind zahlreich: Handwerksbetriebe und Maschinenhersteller lassen sich Defekte vorab per Bild zuschicken, um Ferndiagnosen durchzuführen oder Kostenvoranschläge zu erstellen. Personalagenturen erleichtern ihren Kandidaten die Kommunikation und treten mit Bewerbern durch die App unkompliziert in Kontakt.

Der Vorteil: Ansprechpartner aber auch Mitarbeiter können wesentlich besser erreicht werden. Findige Arbeitgeber nutzen die hohe private Aktivität ihrer Mitarbeiter, um diese Tag und Nacht für betriebliche Belange kontaktieren zu können. Auch WhatsApp-Gruppen für ganze Abteilungen sind hoch im Kurs bei den Mitarbeitern und weit verbreitet. Das Vorgehen steigert die Produktivität, ist bequem für alle Beteiligten und verschmilzt irrigerweise geschäftliche mit privater Kommunikation.

Was häufig übersehen wird ist, dass die Kontaktierung des WhatsApp-Accounts eines Kunden oder Mitarbeiters noch nicht bedeutet, dass es sich um einen Vorgang handelt, der dem Privatbereich zugeordnet werden kann. Die rein private Nutzung von WhatsApp unter Freunden bzw. in der Familie fällt nicht unter den Anwendungsbereich der DSGVO. Sofern der Zweck der Kontaktierung allerdings überwiegend geschäftlich ist, finden die europäischen Datenschutzregeln Anwendung.

Datenschutzrechtliche Herausforderungen beim geschäftlichen Einsatz von WhatsApp

Die DSGVO sieht einige Maßnahmen zum Schutz personenbezogener Daten von Nutzern vor, die von WhatsApp momentan nicht eingehalten werden. Die mit europäischem Datenschutzrecht unvereinbaren Praktiken sind u. a.:

  • Alle lokal gespeicherten Kontakte des WhatsApp-Nutzers werden zum Abgleich auf Server in den USA geschickt. Die Übermittlung dieser personenbezogenen Daten erfordert eine rechtswirksame Einwilligung jeder Kontaktperson, welche schlichtweg fehlt und den Datentransfer damit verbietet.
  • Obwohl die Kommunikationsinhalte Ende-zu-Ende verschlüsselt sind, beanstandet das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), dass Metadaten von WhatsApp in den USA verarbeitet werden. Metadaten sind alle Daten, außer dem eigentlichen Inhalt der Nachricht, d. h. auch Informationen zu Sender und Empfänger der WhatsApp-Nachricht.
  • In seinen FAQ zum Datenschutz bestätigt WhatsApp, dass Informationen wie Telefonnummer, Informationen zu den genutzten Geräten sowie Art und Häufigkeit der Nutzung an Facebook weitergegeben werden. Dieser Austausch wird von den Datenschutzbehörden als kritisch eingestuft.
  • Die Nutzungsbedingungen erlauben den geschäftlichen Einsatz der App nur mit voriger Einwilligung von WhatsApp. WhatsApp hat kürzlich sein neues Produkt „WhatsApp Business“ veröffentlicht, welches allerdings keine datenschutzrechtlichen Verbesserungen bringt.

Die datenschutzrechtlichen Mängel haben große Konzerne wie die Deutsche Bank, BMW und Continental dazu bewogen, die Nutzung von WhatsApp auf dienstlichen Handys zu verbieten. Weil unter der DSGVO Strafen von bis zu 20 Millionen Euro für Verstöße solcher Art drohen, steht viel auf dem Spiel. Auch für Lehrer hat der Landesbeauftragte für Datenschutz Baden-Württemberg ein klares WhatsApp-Verbot bei dienstlicher Kommunikation mit Schülern und Erziehungsberechtigten ausgesprochen.

Datenschutzkonforme Implementierung von WhatsApp im Unternehmen

Angesichts der oben aufgeführten Bedenken stellt sich die Frage, ob WhatsApp von Unternehmen überhaupt datenschutzkonform eingesetzt werden kann. Vom Einsatz der App zur Mitarbeiterkommunikation untereinander (zu geschäftlichen Zwecken) wird abgeraten, da WhatsApp nach Meinung des BayLDA ein Sicherheitsrisiko für die Organisation darstellt. Unter bestimmten Voraussetzungen können Unternehmen WhatsApp aber zumindest zur Kommunikation mit externen Geschäftspartnern nutzen oder Mitarbeitern den Einsatz auf Diensthandys einräumen.

WhatsApp auf Diensthandys zur privaten Nutzung

  • Sofern Sie Mitarbeitern die private Nutzung von WhatsApp auf dem Diensthandy ermöglichen möchten, kann ein Mobile Device Management (MDM) den privaten Bereich des Handys vom geschäftlichen abgrenzen. So kann der Arbeitgeber sicherstellen, dass WhatsApp nicht auf geschäftliche Kontakte zugreift und Fehlhandlungen nicht seiner Verantwortlichkeit unterliegen.
  • Sofern Ihr Unternehmen kein MDM nutzt, gibt es zusätzliche Apps wie z. B. Securecontact, die geschäftliche Kontakte vor dem Zugriff von WhatsApp schützen. Wichtig ist allerdings, dass diese Apps wiederum keine Kontakte durch die Welt schicken. Alternativ können Sie auch WhatsApp den Zugriff auf das Adressbuch untersagen, darunter leidet aber deutlich der Komfort.
  • Mitarbeiter müssen zu den genannten Maßnahmen im Rahmen des Direktionsrechts dokumentiert angewiesen werden.

WhatsApp zur Kundenkommunikation

  • Das BayLDA hat angekündigt, nicht zu beanstanden, wenn Unternehmen mit Kunden über WhatsApp in Verbindung treten, sofern auf die Datenschutzbedenken hingewiesen wurde und den Kunden gleichzeitig ein anderer sicherer Kommunikationsweg angeboten wird. Diese Aussage ist allerdings mit Vorsicht zu genießen, besonders für Unternehmen außerhalb Bayerns.
  • Eine allgemeingültige Alternative der Landesbeauftragten für den Datenschutz Niedersachsen ist es, Kunden über Bedenken zu informieren, einen sichereren Kommunikationsweg anzubieten und WhatsApp den Zugriff auf das Adressbuch zu verwehren (z. B. durch zusätzliche App oder Systemeinstellung). Klassischer Anwendungsfall ist eine Autowerkstatt, die ein WhatsApp-Handy bereithält. Nach bzw. bei telefonischen Anfragen kann leicht ein Bild des eingedellten Seitenschwellers empfangen werden um einen Kostenvoranschlag zu erstellen.
  • Sofern besondere personenbezogene Daten gemäß Art. 9 DSGVO verschickt werden sollen, ist von WhatsApp gänzlich abzuraten. Die Daten werden intern auf eine Art und Weise verarbeitet, die mit dem geltenden Datenschutzrecht nicht in Einklang zu bringen ist (keinerlei Zweckbeschränkung durch WhatsApp, kein Privacy by Design). Ein Beispiel wäre eine Apotheke, die Rezepte per WhatsApp empfängt oder Ärzte, die sich Fotografien von körperlichen Leiden zuschicken lassen.

Fazit: WhatsApp-Nutzung durch Unternehmen ist eingeschränkt möglich

Unter den oben aufgeführten Bedingungen ist WhatsApp in Unternehmen durchaus einsetzbar. Aktuelle Entscheidungen von Datenschutzaufsichtsbehörden und Gerichten sollten jedoch verfolgt werden (und fließen laufend in diesen Artikel ein).

Darüber hinaus könnte die geplante ePrivacy-Verordnung die Datensicherheit für Kommunikationsdienste wie WhatsApp neu regeln. Es bleibt zu hoffen, dass für Anwender dann mehr Rechtssicherheit geschaffen wird.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

10 Mio. Euro DSGVO-Bußgeld wegen Videoüberwachung von Mitarbeitern

Die niedersächsische Landesbeauftragte für Datenschutz (LfD) hat am 8. Januar 2021 ein Bußgeld in Höhe von 10,4 Millionen Euro gegen die notebooksbilliger.de AG verhängt. Dem Unternehmen wird vorgeworfen, seine Beschäftigten über zwei Jahre hinweg ansatzlos und damit widerrechtlich videoüberwacht zu haben (siehe auch die Pressemitteilung der LfD).

Hintergrund der DSGVO-Geldbuße

notebooksbilliger.de soll mindestens zwei Jahre lang seine Beschäftigten an Arbeitsplätzen, in Verkaufsräumen und anderen Aufenthaltsbereichen per Video überwacht haben, ohne dass hierfür eine Rechtsgrundlage vorlag. Dabei soll die Videoüberwachung weder auf einen bestimmten Zeitraum noch auf konkrete Beschäftigte beschränkt gewesen sein. Die Aufzeichnungen wurden wohl sogar in vielen Fällen 60 Tage lang gespeichert.

Auch Kunden seien betroffen gewesen, indem einige Kameras auf Sitzgelegenheiten der Verkaufsräume gerichtet waren und so zum Beispiel das Testen der angebotenen Geräte überwacht wurde.

Das Unternehmen stellte sich auf den Standpunkt, dass mithilfe der installierten Videokameras Straftaten, wie zum Beispiel Diebstähle, verhindert und aufgeklärt sowie der Warenfluss in den Lagern kontrolliert werden müsste.

Tipp: Wir kommentieren regelmäßig verhängte DSGVO-Bußgelder und erläutern, was andere Unternehmen tun können, um solche Strafen zu vermeiden!

Begründung der Bußgeldhöhe

Das verhängte Bußgeld ist das bisher höchste, das die LfD Niedersachsen seit Einführung der Datenschutz-Grundverordnung (DSGVO) verhängt hat und eines der höchsten Bußgelder in Deutschland überhaupt. Zur Verhinderung von Diebstählen, so die LfD, müssten zunächst mildere und weniger einschneidende Mittel von Unternehmensseite geprüft werden. Nur wenn keine milderen Mittel ersichtlich seien, könne eine Videoüberwachung verhältnismäßig sein. Die Videoüberwachung dürfe außerdem nur gegen solche Personen gerichtet werden, gegen die ein begründeter Verdacht der Begehung einer Straftat bestehe. Vorliegend hätte zum Beispiel als milderes Mittel gegen konkrete Personen eine stichprobenartige Taschenkontrolle erfolgen können.

Die LfD spricht im Falle von notebooksbilliger.de von einem schwerwiegenden Fall der Videoüberwachung im Betrieb und einem dauerhaften und anlasslosen Eingriff in die Persönlichkeitsrechte der Beschäftigten. Beschäftigte müssten nicht ihr Persönlichkeitsrecht aufgeben, weil sie vom Arbeitgeber unter Generalverdacht gestellt werden. Die Videoüberwachung stelle einen besonders intensiven Eingriff in das Persönlichkeitsrecht dar, da die Betroffenen den Druck empfinden, sich möglichst unauffällig zu benehmen, um nicht wegen abweichender Verhaltensweisen kritisiert oder sanktioniert zu werden, so die LfD. Insbesondere in Sitzbereichen, in denen sich Menschen typischerweise länger aufhalten, sei eine Videoüberwachung aufgrund der besonders schutzwürdigen Interessen der Betroffenen unverhältnismäßig.

Das ausgesprochene Bußgeld ist noch nicht rechtskräftig und das Unternehmen will sich laut eigener Pressemitteilung gegen das aus seiner Sicht „unverhältnismäßig und unrechtmäßige“ Bußgeld gerichtlich zur Wehr setzten. Dass ein solches Vorgehen durchaus Erfolg haben kann, zeigte erst Ende letzten Jahres ein Urteil im Fall 1&1, bei dem das zuständige Gericht das Bußgeld drastisch absenkte. Im Übrigen hat notebooksbilliger.de seine Videoüberwachung mittlerweile rechtmäßig ausgestaltet und dies der LfD Niedersachsen nachgewiesen.

Datenschutzrechtliche Einschätzung

Für Arbeitgeber kommt es vor allem darauf an, Videoüberwachungen datenschutzkonform auszugestalten (siehe dazu unser Ratgeber zur datenschutzkonformen Videoüberwachung im Unternehmen). Hierzu zählen neben der Auswahl der richtigen Rechtsgrundlage, die Prüfung eines milderen Mittels sowie eine Abwägung im Einzelfall unter Berücksichtigung der vernünftigen Erwartungen der betroffenen Personen. Die Prüfung sollte sehr genau durchgeführt und zu Nachweiszwecken unbedingt dokumentiert werden.

Das Bundesarbeitsgericht urteilte längst, dass Beschäftigte gemäß § 26 Abs. 1 BDSG nur dann am Arbeitsplatz überwacht werden dürfen, wenn ein auf Tatsachen gestützter Verdacht zur schweren Verletzung arbeitsvertraglicher Pflichten oder Straftaten vorliegt. Videoaufzeichnungen dürfen auch nur solange gespeichert werden, wie sie zur Erreichung des Zwecks erforderlich sind. Die Datenschutzkonferenz (DSK) der unabhängigen Datenschutzbehörden des Bundes und der Länder vertritt die Meinung, dass grundsätzlich innerhalb von ein bis zwei Tagen geklärt werden kann, ob das Videomaterial einer Sicherung bedarf (zum Beispiel, weil darauf eine Straftat festgehalten wurde und die Aufnahme für die Strafverfolgung benötigt wird, siehe auch unser Artikel zur Speicherungsdauer bei Videoüberwachung).

Schließlich müssen die Betroffenen über die Videoüberwachung ausreichend informiert werden (ein entsprechendes Hinweisschild zur Videoüberwachung können Sie mit unserem Generator kostenlos erstellen).

Ein solch schwerwiegender Verstoß gegen den Beschäftigtendatenschutz wie im Beispiel von notebooksbilliger.de erschüttert nicht nur das Vertrauen der eigenen Beschäftigten, sondern hat auch einen erheblichen Reputationsverlust für das gesamte Unternehmen zur Folge.

Datenschutzkonforme Videoüberwachung

Unser Workbook mit 45 Seiten voller Anwendungsbeispiele und Praxistipps
Jetzt bestellen
Geschrieben am:

Videokonferenzen datenschutzkonform durchführen (Anleitung)

Ob zur Durchführung von Teammeetings oder Konferenzen mit Kunden – Videokonferenztools sind aus dem Arbeitsalltag nicht mehr wegzudenken (vor allem während der Corona-Pandemie). Da auch hier personenbezogene Daten, nämlich Bild und Ton sowie Metadaten verarbeitet werden, sollten sowohl bei der Auswahl als auch beim Einsatz eines Videokonferenzsystems einige Punkte beachtet werden, um im Einklang mit dem Datenschutzrecht zu sein. Die Datenschutzkonferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat eine Orientierungshilfe zu den Anforderungen beim Einsatz von Videokonferenzsystemen veröffentlicht. Die wichtigsten Punkte und Hinweise haben wir für Sie in dieser Anleitung zusammengefasst.

In unserem großen Vergleich der Anbieter von Videokonferenztools finden Sie alle wichtigen Aspekte zu Datenschutz und Informationssicherheit im praktischen Überblick.

Drei Möglichkeiten für den Einsatz von Videokonferenzsystemen

In der Orientierungshilfe der DSK werden drei Möglichkeiten aufgezeigt, ein Videokonferenzsystem im Unternehmen zu implementieren:

  • ein selbstbetriebener Dienst
  • der Betrieb durch einen externen IT-Dienstleister
  • die Nutzung eines Online-Dienstes

Selbstbetriebene Videokonferenzen

Der Vorteil eines selbstbetriebenen Videokonferenzsystems besteht vor allem darin, dass die Datenerhebung und alle Datenflüsse selbst kontrolliert werden können. So ist sicherzustellen, dass Daten nur so verarbeitet werden, wie vorgesehen. Zudem erübrigt sich die Frage darüber, ob der Abschluss eines Auftragsverarbeitungsvertrages bzw. einer Vereinbarung zur gemeinsamen Verantwortlichkeit notwendig sind.

Videokonferenz mit IT-Dienstleister

Wer ein solches System nicht selbst betreiben möchte, kann einen externen Dienstleister damit beauftragen. Besteht dessen Auftrag in der Bereitstellung und Wartung des Videokonferenzsystems und hat der Dienstleister kein eigenes Interesse an den Daten, ist ein Auftragsverarbeitungsvertrag abzuschließen. Wichtig ist hier zu prüfen, ob die durch den Dienstleister eingesetzte Software Daten an den Hersteller oder andere Dritte weitergibt.

Nutzung von Online-Videokonferenz-Tools

Aufgrund des schnellen und komfortablen Einsatzes bedienen sich viele Unternehmen eines SaaS-Tools (Software as a Service), was bedeutet, dass der Dienst über das Internet angeboten wird. Doch gerade die größten und bekanntesten Tools haben ihren Sitz in den USA und verarbeiten die Daten dort. Nach der jüngsten Entscheidung des EuGHs und dem Wegfall des EU-U.S. Privacy Shields kann das problematisch sein.

Zunächst ist mit dem Dienstleister ein Auftragsverarbeitungsvertrag abzuschließen. Ein entscheidendes Auswahlkriterium sind die vom Dienstleister ergriffenen technischen und organisatorischen Maßnahmen, welche vorab dahingehend zu prüfen sind, ob der eingesetzte Dienstleister einen ausreichenden Schutz bietet. Grundsätzlich sind Anbieter, die ihren Sitz in Europäischen Union (EU) bzw. dem Europäischen Wirtschaftsraum (EWR) haben, zu bevorzugen. Da aber gerade die großen Anbieter von Videokonferenzsystemen ihren Sitz in den USA haben, ist seit dem Wegfall des EU-U.S. Privacy Shields darauf zu achten, dass der entsprechende Anbieter zusätzliche Garantien für die Sicherheit der Datenverarbeitung in den USA bietet.

Die DSK weist explizit darauf hin, dass bei „der Verwendung von Standardvertragsklauseln und anderen vertraglichen Garantien als Grundlage für Übermittlungen personenbezogener Daten in die USA […] nach der Entscheidung des Europäischen Gerichtshofs (EuGH) zusätzliche Maßnahmen zu ergreifen [sind], die sicherstellen, dass für diese Daten auch bei und nach ihrer Übermittlung ein im Wesentlichen gleichwertiges Schutzniveau wie das in der EU gewährleistet wird“.

Rechtliche Anforderungen an die Nutzung von Videokonferenzen

Verantwortliche ermitteln

Vor der Nutzung eines Videokonferenzsystems sind die datenschutzrechtlichen Verantwortlichkeiten klar festzulegen, da sich je nach Konstellation die jeweiligen Pflichten ergeben. Gerade bei der Nutzung von Online-Diensten ist diesbezüglich genau zu prüfen, ob der Anbieter die personenbezogenen Daten der Teilnehmer auch zu eigenen Zwecken verarbeitet oder Daten z. B. im Rahmen von Analyse und Tracking zu Werbezwecken an Dritte weitergibt. Liegt eine Verarbeitung des Anbieters auch zu eigenen Zwecken vor, kommt die Konstellation einer gemeinsamen Verantwortlichkeit zwischen Anbieter und Verantwortlichem in Betracht, welche eine Vereinbarung im Sinne des Art. 26 DSGVO erfordert. Zudem kann sich der Anbieter nicht auf die gleiche Rechtsgrundlage stützen wie der Verantwortliche, sondern benötigt selbst eine Rechtsgrundlage. Um diese Problematik zu verhindern, empfiehlt die DSK, im Auftragsverarbeitungsvertrag festzuhalten, dass der Anbieter die personenbezogenen Daten der Teilnehmer nur auf Weisung des Verantwortlichen und nicht für eigene Zwecke verarbeiten darf.

Rechtsgrundlage bestimmen

Für die Verarbeitung der Daten im Rahmen der Videokonferenz ist – wie bei jeder Verarbeitung – eine entsprechende Rechtsgrundlage erforderlich. Achtung: Auch für die Verarbeitung personenbezogener Daten von betroffenen Personen, die nicht Teilnehmer einer Videokonferenz sind (z. B. bei Autoren von präsentierten oder verschickten Dokumenten), bedarf es einer Rechtsgrundlage. Diese ist ggf. separat von der Rechtsgrundlage für die Verarbeitung der Teilnehmerdaten zu ermitteln.

Sofern sich für die Verarbeitung auf die Einwilligung der betroffenen Personen gestützt werden soll, sind einige Punkte zu beachten:

Voraussetzung für eine wirksame Einwilligung ist, dass diese in informierter Weise und freiwillig abgegeben wurde. Freiwillig bedeutet, dass die betroffene Person eine tatsächliche Wahlmöglichkeit in Bezug auf die Teilnahme an der Videokonferenz hat. Gerade im beruflichen oder schulischen Kontext ist das Bestehen dieser wesentlichen Voraussetzung diskutabel. Aufgrund der in einem solchen Verhältnis bestehenden Drucksituation muss man eventuell davon ausgehen, dass die Einwilligung nicht mehr freiwillig erfolgt, was insbesondere dann der Fall sein kann, wenn es den betroffenen Personen nicht möglich ist, ohne die Teilnahme an einer Videokonferenz an wichtige Informationen zu kommen. Daher ist darauf zu achten, dass Maßnahmen ergriffen werden, um stets eine Alternative zur Videokonferenz anzubieten. Ansonsten kann sich der Verantwortliche nicht auf die Rechtsgrundlage der Einwilligung stützen.

Die Erhebung und Nutzung von Mitarbeiterdaten zur Durchführung einer Videokonferenz ist auf § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG) oder – falls dies nicht für die Durchführung des Beschäftigungsverhältnisses erforderlich ist – auf Art. 6 Abs. 1 lit. f DSGVO zu stützen. Im Beschäftigungskontext ist insbesondere darauf zu achten, dass § 26 Abs. 1 BDSG stets die Erforderlichkeit der Verarbeitung fordert, d. h. es muss eine Interessenabwägung durchgeführt werden. Eine Interessenabwägung kann vor allem dann zugunsten der Mitarbeiter ausfallen, wenn das Videokonferenztool auch der Mitarbeiterüberwachung dient, z. B. durch Kontrolle der An- und Abwesenheiten. Ist dies der Fall, ist darüber hinaus nach § 87 Abs. 1 Nr. 6 BetrVG auch die Zustimmung des Betriebsrates einzuholen, wenn ein solcher vorhanden ist. Wird das Tool allein zur erleichterten Kommunikation eingesetzt, stehen in der Regel keine schutzwürdigen Interessen der Mitarbeiter entgegen.

Achtung: Gerade wenn sich Mitarbeiter im Home-Office befinden, wird auf die Nutzung von Videokonferenztools zurückgegriffen, um trotz der Distanz einen persönlichen Kontakt zu wahren. Die DSK problematisiert jedoch, dass andere Teilnehmer Einblicke in die Privatwohnung des Mitarbeiters erhalten können, dies aber ohne Einwilligung des Betroffenen nicht datenschutzkonform ist. Um dies zu verhindern, hat der Arbeitgeber dafür zu sorgen, dass derartige Einblick nicht möglich sind. Dies kann etwa dadurch erfolgen, dass Mitarbeiter angewiesen werden, den Hintergrund unscharf zu stellen oder auch einen virtuellen Hintergrund einblenden zu lassen, was mittlerweile bei vielen Anbietern von Videokonferenzsystemen angeboten wird.

Informationspflichten des Verantwortlichen

Ein weiterer wichtiger Punkt, den das Papier erwähnt, ist die Pflicht des Verantwortlichen, Betroffene über die mit der Nutzung des Dienstes verbundene Datenverarbeitung gem. Art. 13, 14 DSGVO zu informieren. Damit die Teilnehmer erfahren, an wen sie sich wenden können, ist der Verantwortliche der Durchführung der Videokonferenz unter Nennung seiner Kontaktdaten und ggf. der seines Datenschutzbeauftragten aufzuführen. Art und Zweck der Verarbeitung müssen genau definiert werden und beschränken sich bei Videokonferenzen auf die Durchführung dieser. Insbesondere die Anfertigung von Aufzeichnungen ist von diesem Zweck nicht umfasst, weshalb eine eigene Rechtsgrundlage hierfür vorliegen und die Aufzeichnungsmöglichkeit in den Informationen aufgezählt sein muss. In der Regel werden vor Beginn der Aufzeichnung entsprechende Einwilligungen der Teilnehmenden einzuholen sein.

Neben Art und Zweck ist auch die Rechtsgrundlage der Verarbeitung anzugeben und, soweit die Verarbeitung auf Art. 6 lit. f DSGVO gestützt wird, die einschlägigen berechtigten Interessen des Verantwortlichen. Was die Dauer der Speicherung personenbezogener Daten betrifft, geht diese grundsätzlich nicht über die Dauer der Konferenz hinaus, da die Videodaten lediglich für die Durchführung der Videokonferenz erforderlich sind. Wird ein Dienstleister herangezogen, ist dieser als Empfänger der Daten anzugeben.

Technische Anforderungen an Videokonferenzen

Bei der Prüfung der technischen und organisatorischen Maßnahmen des jeweiligen Videokonferenz-Anbieters sind laut DSK vor allem folgende Punkte wichtig:

Sicherheit der Verarbeitung

Um die Sicherheit der Daten auf dem Transportweg zu gewährleisten, ist mindestens eine Transportverschlüsselung entsprechend den einschlägigen technischen Richtlinien des Bundesamts für Sicherheit in der Informationstechnik (BSI) erforderlich. Sollte es sich um eine Verarbeitung sensibler Daten im Rahmen der Videokonferenz handeln, die mit einem hohen Risiko für die betroffenen Personen verbunden sind (z.B. Gesundheitsdaten), sollte zudem eine Ende-zu-Ende-Verschlüsselung und eine Verschlüsselung gespeicherter Daten vorhanden sein.

Um die Sicherheit zu erhöhen, empfiehlt die DSK bei vorhandenen Zusatzfunktionen wie privaten Chats, Screensharing und der Bereitstellung von Dokumenten in einem allen Teilnehmern offenstehenden Arbeitsbereich stets das Risiko im Hinterkopf zu behalten und die Funktionen ggf. zu unterbinden.

Nutzerauthentifizierung

Es ist darauf zu achten, dass nur der Personenkreis Zugriff auf Videokonferenzsitzungen und deren Daten haben, der dazu berechtigt ist. Um dies zu gewährleisten, sollte eine Nutzerauthentifizierung erfolgen. Die gebotene Stärke der Authentifizierung bemisst sich nach dem Risiko für die betroffenen Personen, das sich bei einem Bruch der Vertraulichkeit oder Integrität der Inhaltsdaten ergeben könnte. Bei normalen Risiken genügt eine Authentifizierung mit Nutzername und geeignetem Passwort, wohingegen bei einem hohen Risiko mindestens eine Zwei-Faktor-Authentifizierung erforderlich ist.

Externen Personen kann ein Gastzugang angeboten werden, der keine vorherige Nutzerauthentifizierung benötigt. Dieser kann z. B. über einen Einladungslink bereitgestellt werden. Die DSK hat folgende Bedingung für das Anbieten eines Gastzugangs aufgestellt:

  • Der Gastzugang ist für jeweiligen Anwendungsfall erforderlich.
  • Die Risiken für die Betroffenen, die durch eine nicht autorisierte Teilnahme entstehen, sind gering.
  • Es ist gewährleistet, dass nur Personen teilnehmen, die untereinander bekannt sind.
  • Nicht autorisierte Personen werden erkannt und können aktiv ausgeschlossen werden, noch bevor sie aktiv an der Videokonferenz teilnehmen können.

Installation und Softwareaktualisierung

Die DSK weist darauf hin, dass der Veranstalter der Videokonferenz auch dafür verantwortlich, ist, dass das System auf dem neuesten Stand ist und alle bekannt gewordenen Sicherheitslücken beseitigt wurden.

Rollentrennung

Bei der Auswahl des jeweiligen Tools, sollte darauf geachtet werden, dass mindestens folgende Rollen eingerichtet werden können:

  • Administrierende Person: verfügt über Berechtigungen zur Festlegung von Parametern und zur Zuweisung der Moderationsrolle.
  • Moderierende Person: verfügt über die Berechtigung, Videokonferenzen anzuberaumen, Personen einzuladen oder auszuschließen, Zutritt zu eröffnen und zu schließen und die Präsentationsrolle zuzuweisen.
  • Präsentierende Person: verfügt über die Berechtigung, Medien und Dokumente für die anderen Teilnehmer bereitzustellen und Wortemeldungen zu steuern.
  • Teilnehmende Person: verfügt ausschließlich über die Berechtigung, die eigenen Aufzeichnungs- und Wiedergabegeräte zu steuern.

Wichtig ist auch, dass jede Person ihre Kamera und ihr Mikrofon jederzeit deaktivieren kann.

Datensparsamkeit

Es dürfen nur die zur Bereitstellung des Dienstes zwingend erforderlichen technischen und sonstigen Informationen verarbeitet werden. „Analysen des Nutzungsverhaltens und die Verarbeitung personenbezogener Diagnose- und Telemetriedaten durch den Anbieter des eingesetzten Dienstes zu eigenen Zwecken widersprechen dem Grundsatz der Datensparsamkeit, sofern sie nicht für die Diensterbringung erforderlich sind und eine eigene Rechtsgrundlage haben“, so die DSK. Die Datenschützer nennen als Beispiel den Vorgang, wenn ein Nutzer an mehreren Konferenzen verschiedener Veranstalter gleichzeitig teilnimmt und damit eine Verkettung stattfindet.

Fazit: Videokonferenzsysteme nicht einfach mal nutzen

Die Orientierungshilfe der DSK zeigt deutlich auf, dass Videokonferenzen nicht einfach mal so eingesetzt werden sollten. Zu Beginn der Corona-Pandemie mussten viele Unternehmen plötzlich Meetings aus dem Home-Office ermöglichen und griffen dabei meist auf das am besten passende Videokonferenztools zurück. Doch mittlerweile ist ausreichend Zeit vergangen, um sich auch mit den datenschutzrechtlichen Aspekten von Videokonferenzen auseinanderzusetzen. Es ist durchaus wahrscheinlich, dass die Aufsichtsbehörden dies zukünftig kontrollieren und ggfs. sanktionieren.

Unternehmen sollten also – soweit noch nicht geschehen – zügig daran gehen, eingesetzte Tools für Videokonferenzen (möglichst) datenschutzkonform zu betreiben und notfalls auf andere Anbieter zurückzugreifen (siehe unser Vergleich). Hilfreich ist dafür auch die kurze Checkliste zum Datenschutz in Videokonferenzsystemen, die die DSK zusätzlich zur hier besprochenen Orientierungshilfe veröffentlicht hat.

Um Ihnen die Auswahl eines geeigneten Anbieters für Videokonferenzen zu erleichtern, haben wir Ihnen eine große Vergleichstabelle mit beliebten Meetingtools erstellt!

Sie wollen ausführliche Informationen zum Datenschutz bei E-Mailmarketing und Newsletter? Dann laden Sie sich jetzt unser kostenloses Whitepaper herunter!

Geschrieben am:

Datenschutz und DSGVO-Compliance für Vereine

Vereine und andere Non-Profit-Organisationen verarbeiten regelmäßig personenbezogene Daten – und sei es nur im Rahmen der Spenden- und Mitgliederverwaltung. Viele Vereine wiegen sich dabei in Sicherheit vor den Vorschriften der Datenschutz-Grundverordnung (DSGVO), weil nur Ehrenamtliche tätig sind oder sie weniger als 20 Personen beschäftigen. Doch auch die kleinsten Vereine müssen die Grundsätze der DSGVO beachten, sonst droht ein Bußgeld. Hier steht, worauf es beim Datenschutz in Verein ankommt.

Inwiefern ist der Verein Verantwortlicher im Sinne des Datenschutzrechts?

Die DSGVO findet auf Vereine grundsätzlich volle Anwendung. Irrelevant ist, ob der Verein gemeinnützig ist oder nicht, ob eingetragen oder nicht. Auch unterscheidet die DSGVO nicht zwischen öffentlichen und nicht-öffentlichen Stellen. Der Verein ist Verantwortlicher und muss sich das Tätigwerden seiner Organe und Untergliederungen zurechnen lassen.

Sind 20 oder mehr Personen im Verein ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss sogar ein Datenschutzbeauftragter bei der Aufsichtsbehörde gemeldet werden. Diese Position darf nicht von dem Vorstand übernommen werden, weil es zu einem Interessenskonflikt kommen kann, da er verpflichtet wäre sich selbst zu überwachen.

Welche Zwecke der Verarbeitung kommen für Vereine in Betracht?

Die personenbezogenen Daten, die in einem Verein verarbeitet werden, können unterschiedlicher Art sein. Einen Großteil stellen meist die Daten von Mitgliedern dar. Aber auch von Spendern, von Geschäftspartner und sonstigen Personen werden regelmäßig personenbezogene Daten verarbeitet. Für sie alle gilt die DSGVO.

Grundsätzlich ist die Verarbeitung personenbezogener Daten unzulässig. Es gilt jedoch der Grundsatz des Verbots mit Erlaubnisvorbehalt. Bei jeder Verarbeitung personenbezogener Daten hat der Verein deshalb festzulegen, zu welchen Zwecken die Verarbeitung erfolgt (Art. 5 Abs. 1 lit. b) DSGVO). Die Mitglieder stehen in einem Vertragsverhältnis mit ihrem Verein, das inhaltlich durch die Vereinsordnung bzw. -satzung bestimmt wird. In der Satzung hat der Verein daher sicherzustellen, dass nur Verarbeitungen vorgesehen werden, die für die Begründung und Durchführung der Mitgliedschaft oder des Vereinszwecks erforderlich sind. Für Mitarbeiter ist der Verein Arbeitgeber, für Dritte oft Vertragspartner.

Beispiel: Mitgliederverwaltung

Aus Art. 6 Abs. 1 lit. b) DSGVO ergibt sich etwa die Rechtsgrundlage für die Betreuung und Verwaltung der Mitglieder. Hierfür darf der Verein grundsätzlich Namen, Anschrift, Geburtsdatum und Bankverbindung verarbeiten. Alternativ ist es auch denkbar, dass der Verein ein berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f) DSGVO an weiteren Verarbeitungen hat, welches im konkreten Fall die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegt. Dies ist etwa bei dem Versand satzungsmäßiger Vereinspost bzw. Sitzungseinladungen denkbar.

Beispiel: Datenfluss an einen Dachverband

Das Vereinsmitglied ist nicht immer automatisch durch dieselbe Erklärung einem Dachverband beigetreten. Häufig ist der Verein selbst Mitglied im Dachverband. Dem Datenfluss vom Verein, mit dem ein Vertragsverhältnis besteht, hin zu einem Dachverband muss das Vereinsmitglied ausdrücklich zugestimmt haben. Dass der Verein selbst Mitglied des Dachverbands ist, ist dabei unerheblich. Dachverbände sind datenschutzrechtlich gesehen Dritte. In einzelnen Fällen kann die Übermittlung an einen Dachverband aber auch zur Verfolgung des Vereinsziels erfolgen (z.B. zur Organisation einer gemeinsamen Veranstaltung), wenn keine entgegenstehenden Interessen oder Grundrechte und Grundfreiheiten der betroffenen Personen überwiegen. Bei Kindern unter 16 Jahren gilt die Besonderheit, dass die Interessenabwägung in der Regel zu ihren Gunsten ausfällt.

Beispiel: Vertragliches Erfordernis

Besteht eine vertragliche Verpflichtung zur Weitergabe der Daten, sollte diese in der Vereinssatzung benannt werden. Schließlich können vertragliche Beziehungen die Weitergabe der Daten erforderlich machen. So laufen Versicherungsverträge, mit denen sich der Verein vor Haftungsansprüchen seiner Mitglieder schützt, häufig über den Dachverband. Auch können Verträge mit Lieferanten oder Dienstleistern die Weitergabe personenbezogener Daten notwendig machen (z.B. Ansprechpartner für Saalbuchungen oder Lieferanten). In diesen Fällen liegt es auch nahe, dass ein berechtigtes Interesse an der Verarbeitung besteht.

Beispiel: Mitgliederfotos

Darüber hinaus besteht die Möglichkeit, eine Verarbeitung auf eine Einwilligung der Mitglieder zu stützen. Notwendig ist eine solche zwingend für den Fall, dass Mitgliederfotos auf der vereinseigenen Website veröffentlicht oder wenn Geburtstagslisten intern ausgelegt werden.

Wann liegt eine Verarbeitung zur Erreichung des Vereinszwecks vor?

Der Vereinszweck ergibt sich in der Regel aus der Vereinssatzung. Lässt sich daraus die Notwendigkeit einer bestimmten Datenverarbeitung ableiten, kann z.B. die Weitergabe der Daten an Dritte oder die Veröffentlichung von bestimmten Mitgliederdaten (z.B. Name und Vereinszugehörigkeit) gerechtfertigt sein. Ruft die Vereinssatzung das Ziel eines persönlichen oder geschäftlichen Kontakts aus, kann es gerechtfertigt sein, Mitgliederlisten auszugeben, aus denen alle Mitglieder Daten anderer Mitglieder einsehen können. Der Zweck bestimmt auch, wie umfangreich die Listen mit Daten gefüllt sein dürfen.

Zu beachten ist, dass die Satzung immer nur insoweit in Bezug auf einen neuen Verwendungszweck geändert werden darf, als dass ein er mit dem ursprünglichen Zweck im Zusammenhang steht. Anderenfalls würde die verfassungsrechtlich geschützte Position der Mitglieder beeinträchtigt.

Wie behält der Verein den Überblick über seine Datenverarbeitungen?

Der Verein muss die Grundzüge seiner Datenverarbeitung dokumentieren. In der Regel werden sie mit in die Vereinssatzung aufgenommen. Alternativ kann eine Datenschutzordnung vom Vorstand oder der Mitgliederversammlung beschlossen werden, worin die Erhebung, Verarbeitung, Nutzung, Speicherung und Löschung von personenbezogenen Daten umschrieben wird. Aufzunehmen ist, welche Daten für welche Zwecke verwendet werden.

Aufgrund des Haftungsrisikos sollte genau geregelt sein, zu welchen Daten Entscheidungsträger Zugang haben und in welchem Umfang sie wie genutzt werden dürfen. Auch muss sichergestellt werden, dass keine unbefugten Dritten auf den Pool der Mitgliederdaten zugreifen können. Ohnehin ist der Verein verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu führen und auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen. Es bietet sich also an, die Verarbeitungen darin zentral zu dokumentieren und gleichzeitig der Rechenschaftspflicht entsprechend der DSGVO nachzukommen.

Wie müssen Vereine über Datenverarbeitungen informieren?

Bei Erhebung von personenbezogenen Daten ist die betroffene Person, egal ob Vereinsmitglied, Spender oder eine sonstige Person, über die Verarbeitung umfassend zu informieren (Art. 13 Abs. 1 und 2 DSGVO). Bei einer Datenerhebung nicht direkt von der betroffenen Person sind die zusätzlichen Anforderungen aus Art. 14 Abs. 1 und 2 DSGVO zu beachten. Ein Verstoß u.a. gegen die Informationspflicht kann ein Bußgeld nach sich ziehen (Art. 83 Abs. 5 lit. b) DSGVO). Die betroffene Person ist z.B. darauf hinzuweisen, welche Angaben im Vereinsblatt oder Internet veröffentlicht werden.

Sofern Einwilligungen von den Mitgliedern eingeholt werden müssen (z.B. im Fall von Mitgliederfotos auf der Website), hat diese stets informiert zu erfolgen. Es muss insbesondere klar sein, worin eingewilligt wird, wie die Daten verarbeitet werden und an welche Dritten sie weitergegeben werden. Nur dann ist die Einwilligung auch freiwillig erteilt. Es bietet sich an, diese Einwilligung bereits bei Beginn der Mitgliedschaft einzuholen und ein umfassendes Informationsschreiben auszuhändigen. Bei Kindern und Jugendlichen ist darauf zu achten, dass sie die Konsequenzen ihrer Einwilligung einschätzen können. Eine widerlegliche Vermutung dagegen besteht unter 13 Jahren, so dass die Einwilligung dann von einem Erziehungsberechtigten einzuholen ist.

Welche datenschutzrechtlichen Vorgaben gelten noch für Vereine?

Vereine haben außerdem die Voraussetzungen gem. Art. 32 DSGVO zu beachten und ein angemessenes Schutzniveau durch geeignete technische und organisatorische Maßnahmen zu schaffen. Art. 32 Abs. 1 DSGVO bietet hierfür eine beispielhafte Auflistung. Häufig liegen jahrealte Datensammlungen und Excel-Tabellen mit sensiblen Mitgliederdaten auf den Vereinscomputern. Stattdessen muss ein besonderes Augenmerk auf die Vertraulichkeit, Integrität und Verfügbarkeit dieser Daten gelegt werden.

Für den Fall, dass Vereine weisungsabhängige Dienstleister einsetzen, beispielsweise zur Verwaltung von Mitgliedern oder der Finanzen, muss ein Auftragsverarbeitungsvertrag geschlossen werden.

Der Verein hat auch Betroffenenanfragen nachzukommen und z.B. gem. Art. 17 Abs. 1 DSGVO Daten unverzüglich zu löschen, sofern keine Rechtsgrundlage für eine Speicherung mehr vorliegt. Außerdem bestehen Löschfristen, sodass der Verein ein personenbezogenes Datum löschen muss, sobald es für die ursprüngliche Verarbeitung nach Erhebung nicht mehr notwendig ist. Der Verein sollte daher über die bei ihm geltenden Löschfristen stets einen Überblick bewahren. Hierzu empfiehlt sich ein Löschungs- und Archivierungskonzept.

Fazit: Datenschutz ist Pflicht!

Auch im nicht-gewerblichen Bereich gilt: Der Datenschutz muss in der gesamten Organisation Berücksichtigung finden. Von der Internetpräsenz (Stichwort: Datenschutzerklärung) über die Vereinssatzung und den Mitgliederantrag bis hin zur Löschung von Mitgliederdaten. Findet in der Vereinspraxis kein strukturiertes Vorgehen im Bereich Datenschutz statt, kann die leichtsinnige Haltung der Vereinskasse schnell teuer zu stehen kommen.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Perspektiven für die ePrivacy-Verordnung unter deutscher EU-Ratspräsidentschaft 2020

Die ePrivacy-Verordnung sollte ursprünglich bereits 2018 gemeinsam mit der EU-Datenschutz-Grundverordnung (DSGVO) in Kraft treten. Nachdem ein Entwurf für die ePrivacy-Verordnung im November 2019 abgelehnt wurde, arbeitet die deutsche Regierung im Rahmen ihrer EU-Ratspräsidentschaft nun an einem neuen Vorschlag.

Update November 2020: Das Tauziehen um die ePrivacy-Verordnung geht weiter. Unter der Federführung der deutschen Ratspräsidentschaft ist am 4. November 2020 ein erneuter Entwurf vorgelegt worden. Der Entwurf sieht unter anderem zahlreiche Verschärfungen im Zuge der Rechtsgrundlage des berechtigten Interesses vor. Sollte der Entwurf in dieser Form angenommen werden, was derzeit als unwahrscheinlich gilt, wird es verantwortliche Datenverarbeiter künftig nicht mehr möglich sein, das Erheben von Endnutzer-Daten, darunter Verbindungs- und Standortdaten, Zugriffe auf Nutzer-Endgeräte und das Setzen von Cookies, auf ein überwiegend berechtigtes Interesse zu stützen.

Warum die ePrivacy-Verordnung bisher scheiterte

Die Ablehnung des Entwurfs der finnischen Ratspräsidentschaft in November 2019 wurde als bedeutender Rückschlag für den Datenschutz gesehen. Insbesondere im Hinblick auf Themen wie die Nutzung von Cookies und Nutzer-Tracking für zielgerichtete automatische Werbung soll die ePrivacy-Verordnung (vollständiger Name: Verordnung des Europäischen Parlaments und Rates bezüglich des Respektes der Privatsphäre und des Schutzes personenbezogener Daten in elektronischer Kommunikation die die Richtlinie 2002/58/EC widerruft (Richtlinie über Privatsphäre und Elektronische Kommunikation)) ergänzend zur DSGVO wirken.

Der Vorschlag wurde von einer großen Mehrheit der Vertreter der Mitgliedstaaten (darunter auch Deutschland) abgelehnt. Dabei ging manchen Staaten selbst der abgeschwächte Vorschlag der Finnen noch zu weit, andere Saaten wünschten sich jedoch stärkeren Schutz für Vertraulichkeit in der Online-Kommunikation.

Die Herausforderungen für die kommende ePrivacy-Verordnung

Deutschland hat im Juli 2020 die EU-Ratspräsidentschaft übernommen und plant nun einen Neustart bei der umstrittenen und auf Eis liegenden ePrivacy-Verordnung. Demnach sollen dafür zeitnah erste Vorschläge auf dem Tisch liegen und für September strebe man eine Einigung im Rat an.

Im Kern geht es darum, einen Kompromiss zwischen dem Datenschutz der Nutzer und den wirtschaftlichen Interessen zu finden. Dementsprechende Konfliktpunkte wie Nutzer-Tracking werden dabei im Fokus stehen. Besonderer Streitpunkt sind die Daten, die für zielgerichtete Werbung erhoben werden, also zum Beispiel ob man für das Setzen von Cookies die aktive Zustimmung des Nutzers braucht oder nicht. Die aktuelle Rechtslage ist hier wegen des Fehlens eines modernen und EU-weiten Ansatzes sehr unklar.

Etwas Licht ins Dunkel brachten bereits das Urteil des Europäischen Gerichtshof (EuGH) in der Sache Planet 49 zum Einsatz von Cookies sowie das Urteil des Bundesgerichtshofs (BGH). Auch die deutschen Datenschutzbehörden haben dargelegt, wie ihrer Auffassung nach ein DSGVO-konformes Nutzertracking gestaltet werden könnte. Dies sind aber nur die Ansichten der deutschen Behörden. Inwiefern diese richtig oder falsch sind, kann nur gerichtlich geklärt werden.

Die Rechtslage bleibt also weiterhin unklar und klare Handlungsempfehlungen können derzeit nicht gegeben werden. Auch sogenannte „Consent-Manager“ werden nicht immer eine optimale Lösung darstellen, da diese trotz richtiger Konfiguration, aufgrund mangelnder Transparenz wohl zumindest angreifbar, wenn nicht sogar unwirksam sein dürften.

Es bleibt spannend, ob sich Deutschland mit seinem Entwurf für die ePrivacy-Verordnung eher für einen strengeren Datenschutz oder wirtschaftliche Interessen aussprechen wird. In ersterem Falle könnte es für Websitebetreiber noch schwieriger werden, da Analysetools und Cookies eine wichtige Rolle bei zielgerichteter Werbung spielen.

Da allerdings auch bei der ePrivacy-Verordnung eine einjährige Übergangszeit vorgesehen ist, müssen Unternehmen und Websitebetreiber nicht mit einer plötzlichen Umsetzung des Entwurfs rechnen.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am: