Trusted Data Processor – die Verhaltensregel für Auftragsverarbeiter

Bei der Auftragsverarbeitung hapert es vor allem bei der Kontrolle der Auftragnehmer und Subauftragnehmer. Eine Verhaltensregel nach Art. 40 DSGVO soll nun Abhilfe schaffen. Dienstleister können sich als Trusted Data Processor zertifizieren lassen. Wir beleuchten, inwieweit die Hoffnungen berechtigt sind, durch dieses Zertifikat künftig weniger Hürden im Bereich der Auftragsverarbeitung nehmen zu müssen und zeigen auf, wo es weiterhin Herausforderungen für Verantwortliche und Auftragsverarbeiter gibt.

Herausforderungen bei der Auftragsverarbeitung

In nahezu keinem anderen Bereich des Datenschutzes bestehen so viele Schwierigkeiten wie bei der Auftragsverarbeitung:

Die zu findende Bandbreite an Herangehensweisen ist extrem. Auch wenn die Datenschutz-Grundverordnung (DSGVO) mittlerweile seit mehreren Jahren gilt und das Thema nun wirklich nicht neu ist, besteht oft in erschreckend großem Maß noch Verbesserungsbedarf bei jedem der genannten Schritte.

Die Aufsichtsbehörden nähern sich der Problematik mittlerweile, wenn auch eher zögerlich. So erfolgen in einigen Branchen Überprüfungen der vertraglichen Regelungen und die presseträchtige Diskussion über den rechtskonformen Einsatz von großen Cloud-Angeboten, insbesondere Microsoft 365, dürfte inzwischen auch jeder nur halbwegs Interessierte mitbekommen haben. Konsequenzen gibt es allerdings derzeit kaum. Das ist – je nach Sichtweise – angenehm gemütlich oder frustrierend; man wird sich aber wohl kaum dauerhaft darauf einstellen können.

Die Verhaltensregel für Auftragsverarbeiter

Vor diesem Hintergrund ist es sehr zu begrüßen, dass es nun vermehrt Bemühungen gibt, Ordnung in das Chaos zu bringen und den Bereich der Auftragsverarbeitung für alle beteiligten Kreise zu vereinfachen. Die DSGVO sieht dafür selbst auch einige Mittel vor, so etwa in Art. 40 Abs. 2 die Einführung von Verhaltensregeln.

Eine solche Selbstverpflichtung hat Mitte 2022 der Verein zur Förderung von Verhaltensregeln (VFV) in der Version 1.0 für Auftragsverarbeiter herausgegeben. Die Regelung wurde unter Beteiligung der Gesellschaft für Datenschutz und Datensicherheit (GDD) sowie des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD) entwickelt. Die Verhaltensregel ist vom Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg genehmigt und trägt damit einen gewissen offiziellen Stempel.

Über die DSZ Datenschutz Zertifizierungsgesellschaft mbH, deren Träger die gerade genannten privaten Stellen sind, wird ein kostenpflichtiges Zertifikat angeboten, mit dem die Einhaltung der Verhaltensregel nachgewiesen werden kann.

Inhalte der Verhaltensregel

Bei der folgenden Diskussion zur Verhaltensregel für Auftragsverarbeiter unterstellen wir, dass das Verfahren zur Vergabe und Aufrechterhaltung des Zertifikats nicht zu beanstanden ist und gehen allein auf die wesentlichen Anforderungen ein, die Auftragsverarbeiter erfüllen müssen, um das Zertifikat bzw. damit verbundene Siegel Trusted Data Processor tragen zu dürfen.

Im Text gemachte Kapitelangaben beziehen sich auf die Verhaltensregel.

Geltungsbereich

Die Verhaltensregel richtet sich allein an den privatrechtlichen deutschen Markt, also an deutsche Anbieter aus dem nicht-öffentlichen Bereich, die Leistungen für deutsche Abnehmer erbringen.

Anforderungen an den Vertrag zur Auftragsverarbeitung

Die Verhaltensregel sieht grundsätzlich vor, dass die Regelung der Auftragsverarbeitung mittels der EU-Standardvertragsklauseln gemäß des Durchführungsbeschlusses der EU-Kommission C (2021) 3701 erfolgt. Gemeint ist damit der Mustervertrag für die Auftragsverarbeitung, nicht zu verwechseln mit den Standardvertragsklauseln im Zusammenhang mit Drittlandtransfers. Die Verwendung anderer Vertragsmuster ist zulässig, soweit einige Mindestregelungen beachtet werden.

Viele der Mindestanforderungen sind dabei gängig und üblicherweise in entsprechenden Verträgen zu finden. Auch haben Dienstleister meist weniger Schmerzen, mit diesen Regelungen zu leben. Auf diese verbreiteten, einfachen Anforderungen wird daher hier nicht weiter eingegangen, sie sind im Detail sämtlich in der Verhaltensregel nachzulesen.

Die folgenden vorgesehenen Regelungen bereiten jedoch erfahrungsgemäß Probleme und sollen daher herausgehoben werden:

  • Der Auftraggeber muss das Recht haben, Überprüfungen durchzuführen und der Auftragnehmer muss diese Überprüfungen im erforderlichen Umfang unterstützen. Viele Verträge, auch solche sehr namhafter Anbieter, sehen ein echtes eigenes Prüfungsrecht für Verantwortliche aber schlichtweg nicht vor.
  • Arbeiten außerhalb der Geschäftsräume bzw. Betriebsstätte sind nur zulässig, soweit sie der Auftraggeber genehmigt. An allen entsprechenden Orten müssen uneingeschränkt Kontrollen auch für den Auftraggeber und die Aufsichtsbehörden möglich sein.
  • Unterbeauftragung
    • Unterauftragsverarbeiter müssen ausnahmslos dieselben Verpflichtungen gegenüber dem Auftraggeber haben, wie der Auftragnehmer selbst. Insbesondere muss auch bei Subunternehmen eine eigene Kontrolle des Auftraggebers möglich sein.
    • Die Angaben zu Unterauftragsverarbeitern und Unterunterauftragsverarbeitern müssen konkret und sehr detailliert sein (Kapitel 4.1).
    • Der Auftraggeber muss die Möglichkeit haben, Veränderungen beim Einsatz von Unterauftragsverarbeitern in einer angemessenen Frist (14 bis 30 Tage) zu widersprechen (Kapitel 4.2).
    • Ungeachtet der eigenen Kontrollrechte des Auftraggebers kontrolliert der Auftragsverarbeiter die Unterauftragsverarbeiter regelmäßig und dokumentiert (Kapitel 4.3).
  • Der Auftragsverarbeiter muss einen Prozess zur regelmäßigen Eigenkontrolle einführen und umsetzen und dem Auftraggeber auf Anforderung berichten. Dieser Prozess fehlt noch sehr oft. Und Achtung: Ziel der Kontrolle ist hier nur die Einhaltung der Weisungen des Auftraggebers; also wohl gemerkt nicht die Umsetzung der technischen und organisatorischen Maßnahmen entsprechend Art. 32 Abs. 1 d) DSGVO.

Diese Regelungen sind alle wichtig und richtig. Sie entsprechen auch dem, was Aufsichtsbehörden erwarten und prüfen.

Probleme bei der Umsetzung

In der täglichen Praxis zeigt sich aber, dass sehr viele Dienstleister mit den genannten Punkten größere Probleme haben.

Insbesondere wenn es darum geht, alle Unterauftragsverarbeiter wie vorgesehen zu verpflichten oder aber die Kontrollrechte des Auftraggebers im Home-Office von Beschäftigten sicherzustellen, wird es dünn. Gerade den letztgenannten Aspekt umschiffen doch immer noch sehr viele Dienstleister dadurch, dass er erst gar nicht angesprochen wird, wo sie zumeist intern schon gar nicht die Vorbedingungen geschaffen haben und den Arbeitnehmer noch nicht einmal selbst kontrollieren dürften.

Auch mit der vorgesehenen detaillierten Information über Subauftragnehmer und Subsubauftragnehmer tun sich erfahrungsgemäß viele Dienstleister noch genauso schwer, wie mit der eigenen Kontrolle von eingesetzten Unterauftragnehmern – erst recht mit einer Kontrolle, die es verdient, als solche bezeichnet zu werden.

Der Umstand, dass Dienstleister und deren Subdienstleister meist nicht in einer abgeschotteten linearen Lieferkette arbeiten, sondern auch andere Auftraggeber über sich haben, macht es zudem völlig nachvollziehbar schwierig, exakt gleiche Leistungsversprechen in allen Verträgen zu machen. Man kann insbesondere im technischen Bereich nicht dem Kunden A etwas versprechen, was Kunde B anders haben will. Und auch im organisatorischen Bereich wird es für den Dienstleister irgendwann nicht mehr praktikabel sein, zig Extrawürste braten zu müssen. Dienstleister müssen Ihre Leistungen zumindest einigermaßen standardisieren, um wirtschaftlich arbeiten zu können. Je verzweigter die Lieferkette also ist, desto schwieriger wird es werden, hier tatsächlich die geforderte Übereinstimmung zu erreichen. Das ist alles sicher nicht unmöglich, erfordert aber oft spürbare Anstrengungen.

Was bringt die Verhaltensregel?

So weit, so gut. Auftragsverarbeiter, die sich der Verhaltensregel unterwerfen und dies dann schwarz auf weiß nachweisen können, haben sicherlich einen nicht unerheblichen Vorteil gegenüber anderen Anbietern. Vor allem die Gewähr, dass zentral wichtige Regelungen im Vertrag enthalten sind und auch umgesetzt werden, dürfte für viele Verantwortliche wichtig und beruhigend sein.

Aus unserer Sicht beschränkt sich die Verhaltensregel und dementsprechend auch das Zertifikat allerdings auf Umstände, die in der Praxis zwar längst nicht immer richtig umgesetzt werden, die aber im Grunde weder sonderlich schwierig noch wirklich streitig sind und die sich meist mit überschaubarem Aufwand lösen lassen.

Der große Knackpunkt aber, die technischen und organisatorischen Maßnahmen (TOM), bleibt jedoch außen vor und so gesehen kratzen Verhaltensregel und Zertifikat leider nur an der Oberfläche. Worüber sich der gesamte Markt freuen würde, wäre Brief und Siegel über die korrekte Umsetzung geeigneter technischer und organisatorischer Maßnahmen. Vor allem aber zu den technischen Maßnahmen fehlen in der Verhaltensregel der Inhalt und dem Zertifikat die Aussage.

Die allergrößten und oft entnervenden Probleme für verantwortliche Auftraggeber bleiben diesen komplett erhalten:

  • Wie bekomme ich meinen Dienstleister dazu, zum Auftrag passende technische und organisatorische Maßnahmen zuzusagen, und diese so auch zu beschreiben, dass sie als Maßstab für eine Bewertung und Kontrolle taugen?
  • Und wer nimmt mir die Beurteilung und Kontrolle dann verlässlich ab?

Die Gesamtverantwortung bleibt schließlich immer beim Auftraggeber. Dieser muss als datenschutzrechtlich Verantwortlicher sicherstellen, dass vor allem auch Kontrollen dem Risiko angemessen regelmäßig erfolgen. In diesem Zusammenhang ist wichtig zu wissen, dass die Verhaltensregel eine durchgehende Kontrolle aller Zertifikatsinhaber oder eine einem bestimmten Risiko angemessene Häufigkeit von Kontrollen gar nicht vorsieht (Kapitel 5.3.1).

Vielmehr sind künftig zwei Mal pro Jahr Kontrollen bei nur 5% der zufällig ausgewählten Zertifikatsinhaber vorgesehen. Zweimal pro Jahr werden von 100 Unternehmen fünf geprüft, im Ergebnis also 90 nicht! Falls der Zufall hierbei überhaupt dasselbe Unternehmen mehrfach trifft, erfolgt eine erneute Kontrolle erst nach 2 Jahren. Nach Verhaltensregel kann der Abstand zwischen Kontrollen im Ernstfall sogar sieben Jahre betragen, erst dann ist eine Wiederholung zwingend.

Auftraggeber sollten daher bei Ihrem zertifizierten Dienstleister anklopfen und zumindest erfragen, wann er tatsächlich das letzte Mal kontrolliert wurde. Und um es Auftraggebern ganz unmissverständlich zu sagen: Die Hauptaufgabe, den Dienstleister dort zu kontrollieren, wo es wichtig, kompliziert und aufwändig ist (TOM), bleibt Ihnen!

Auch aus Sicht des Auftragsverarbeiters wird die Hauptlast im Zusammenhang mit Kontrollen nicht beseitigt. Er wird ggf. nach wie vor mit unkoordinierten und zufällig über das Jahr verteilten Kontrollen durch die diversen Auftraggeber konfrontiert sein und im schlimmsten Fall alle paar Wochen Besuch von mehr oder weniger motivierten und qualifizierten Prüfern erhalten oder zumindest immer wieder irgendwelche Fragebögen ausfüllen müssen, die vielleicht sogar etwas mit dem ihm erteilten Auftrag und den tatsächlich gemachten Zusagen zu tun haben. Dienstleister müssen sich also weiterhin überlegen, wie sie mit dem Kontrolldruck umgehen wollen und andere Wege finden, ihre Auftraggeber möglichst einheitlich koordiniert glücklich zu machen und aktive Kontrollen so nach Möglichkeit zu vermeiden.

Fazit

In der Gesamtbetrachtung gehen Verhaltensregelung und Zertifikat in die richtige Richtung, aber der Weg wird eben nicht zu Ende beschritten. Ob sich die doch nicht ganz unerhebliche Investition für Erwerb und Aufrechterhaltung des Zertifikats über die Einhaltung der Verhaltensregel für Auftragsverarbeiter lohnt, sollte gut durchgerechnet werden. Immerhin geht es um fast 5.000 Euro im ersten Jahr und dann laufend 2.440 Euro jährlich.

Wir werden allerdings alle damit rechnen müssen, dass auch dieses Zertifikat – wie viele andere Siegel und Papiere auch – oft als Bluff ausreichen wird. Ob und wie viele Verantwortliche merken, dass ihre Pflichten damit nicht annähernd erledigt sind, muss sich noch zeigen.

Eventuell ist der praktische Nutzen des Zertifikats daher aber zumindest aktuell doch höher, als hier angenommen.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Wer haftet, wenn Beschäftigte die Verpflichtung zur Vertraulichkeit verweigern?

Wenn Mitarbeiter sich weigern, eine Verpflichtung auf Vertraulichkeit bzw. eine Verschwiegenheitserklärung zu unterschreiben, kann dies äußerst unangenehm für Arbeitgeber werden. Daran ändert auch eine derzeit oft zitierte Stellungnahme einer Datenschutzbehörde nichts.

Die Pflicht zur Verpflichtung

Im altehrwürdigen Bundesdatenschutzgesetz fand sich in § 5 BDSG a.F. noch das Datengeheimnis. In der Datenschutz-Grundverordnung (DSGVO) gibt es dieses Geheimnis begrifflich nicht mehr und eine Aussage über die Verpflichtung zur Vertraulichkeit findet sich ausdrücklich nur noch in Art. 28 DSGVO in Bezug auf Auftragsverarbeitungs-Verhältnisse.

Es ist aber völlig unstreitig, dass eine Verpflichtung und entsprechende Schulung bzw. Sensibilisierung von Mitarbeitern hinsichtlich ihrer Datenschutzpflichten und damit auch zur notwendigen Vertraulichkeit zu den wesentlichen technischen und organisatorischen Maßnahmen (TOM) gehören. Nachdem Verantwortliche solche Maßnahmen auch nachweisen können müssen, hat sich an der Praxis, Mitarbeiter entsprechend schriftlich zu verpflichten, nicht viel geändert.

Tipp: Nutzen Sie unsere kostenlose Vorlage für die Verpflichtung von Mitarbeitern auf Vertraulichkeit.

Merkwürdige Ansicht des BayLDA

Nun hat das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in seinem kürzlich erschienenen 11.  Tätigkeitsbericht eine bemerkenswerte Aussage dazu getroffen, die mittlerweile auch in Fachkreisen leider wenig reflektiert wiederholt wird.

Kernaussage des BayLDA im Kapitel 11.3 des Berichts ist, dass es unerheblich sein soll, wenn sich Mitarbeiter weigern, die Verpflichtung zur Vertraulichkeit zu unterschreiben. Es wäre vielmehr ausreichend, wenn der entsprechende Prozess nachgewiesen werden könnte. Soweit der Arbeitgeber Mitarbeiter auf ihre Pflichten hinweist und gegebenenfalls den Umstand der Weigerung vermerkt, wären die Pflichten demnach erfüllt.

Delegation muss sorgfältig erfolgen

Wie aber bitte schön ist es mit der Haftung von Verantwortlichen in Bezug auf ihr Auswahlverschulden? Die ganz allgemein bestehende Sorgfaltspflicht erfordert es, bei der Übertragung jeglicher Aufgabe darauf zu achten, dass der Beauftragte sowohl fachlich als auch persönlich entsprechend geeignet ist (siehe dazu auch unser Ratgeber über Verantwortung, Haftung und Delegierbarkeit beim Datenschutz).

Wie soll in diesem Zusammenhang damit umgegangen werden, wenn sich ein Mitarbeiter explizit weigert, einfachste und grundlegende Anforderungen im Datenschutz zu erfüllen? Der Nachweis, eine geeignete Person eingesetzt zu haben, würde wohl kaum gelingen. Im Gegenteil: Der vorsätzliche Verstoß gegen das Gebot, nur persönlich geeignete Personen einzusetzen, wäre nach Ansicht der Behörde ja sogar auch noch zu dokumentieren.

Dies passt hinten und vorne nicht zusammen und stellt aus unserer Sicht ein massives Haftungsrisiko dar!

Arbeitgeber sollten vielmehr kritisch überlegen, wie mit Mitarbeitern umgegangen werden muss, die sich ausdrücklich weigern, das Unternehmen bei der Erfüllung der eigenen Compliance- Verpflichtungen zu unterstützen und damit mindestens gegen eine arbeitsvertragliche Nebenpflicht verstoßen. Nach unserer Ansicht kann und muss dies die vorhersehbaren arbeitsrechtlichen Konsequenzen haben. Zumindest darüber, ob der sich verweigernde Mitarbeiter ohne Änderungen im Aufgabenbereich einfach weiterbeschäftigt werden darf, muss nachgedacht werden.

Auffallend ist, dass im Kontext Datenschutz offenbar von einzelnen Verantwortlichen auch in diesem Fall wieder ein ganz anderer Maßstab angelegt wird als er sonst völlig selbstverständlich wäre. Würde ein Mitarbeiter beispielsweise nicht zusagen wollen, die Finger aus der Kasse zu lassen oder Umweltschutzvorgaben zu beachten, wäre doch wahrscheinlich im Zweifel niemand auf die Idee gekommen, dafür bei der Aufsicht nachzufragen.

Fazit: Im Zweifel haftet der Arbeitgeber

Wenn sich ein Mitarbeiter ausdrücklich weigert, datenschutzrechtlich notwendige Maßnahmen mitzutragen, muss das für jeden Arbeitgeber ein deutliches Alarmzeichen sein. Nicht zu reagieren, erzeugt fast vorhersehbar ein Haftungsrisiko.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Auswirkungen der Rechenschaftspflicht auf die Aufbewahrungs- und Löschpflichten

Dass es sich bei der durch die Datenschutz-Grundverordnung (DSGVO) eingeführten Rechenschaftspflicht um die zentrale Änderung im Datenschutzrecht handelt, dürfte sich mittlerweile herumgesprochen haben. Keine andere Regelung hat so weitreichende Auswirkungen auf die Praxis bei Verantwortlichen.

Große Fragezeichen gibt es jedoch noch hinsichtlich des Einflusses der Rechenschaftspflicht auf die sich aus der DSGVO ebenfalls ergebenden Löschpflichten. Hier besteht noch Klärungsbedarf.

Die Rechenschaftspflicht in der DSGVO

In früheren Zeiten genügte es, die eigenen Prozesse so im Griff zu haben, dass nichts passierte. Was allerdings nicht unbedingt bedeutete, dass Verantwortliche im Datenschutz tatsächlich sauber aufgestellt waren. Das nichts passierte, konnte auch Zufall oder reine Glückssache sein.

Nunmehr verlangt Art. 5 Abs. 2 DSGVO den aktiven und vor allem anlasslosen Nachweis vom Verantwortlichen, dass die Grundsätze im Datenschutz beachtet und wirksam umgesetzt werden. Es kommt nicht darauf an, ob jemals etwas schiefgeht.

Das bedeutet regelmäßig mehr Aufwand als früher und stellt immer noch eine reichlich hohe Zahl an Verantwortlichen vor größte Herausforderungen. Der Aufbau und erfolgreiche Betrieb eines Datenschutz-Managementsystems (DSMS) und die hierzu notwendige Erhöhung der Reifegrade der datenschutzrelevanten Prozesse ist keine ganz triviale Aufgabe.

Mit diesem kurzen Artikel soll ein bislang weniger diskutierter Aspekt in diesem Zusammenhang beleuchtet werden. Wir weisen allerdings darauf hin, dass uns zu diesem Problembereich derzeit (Dezember 2022) noch keine verbindlichen Positionen von Gerichten oder Aufsichtsbehörden bekannt sind. Der Artikel soll daher primär als Denkanstoß verstanden werden. Ob sich die hier beschriebene Schlussfolgerung durchsetzt, bleibt abzuwarten.

Die Rechenschaftspflicht ist eine Pflicht und damit auch im Sinne von Art. 6 DSGVO als solche zu verstehen. Das heißt, die Rechenschaftspflicht bietet nicht etwa nur die Möglichkeit, bestimmte Informationen zu verarbeiten, sondern sie schreibt dies verbindlich vor. Ein Verstoß gegen die Rechenschaftspflicht eröffnet nun auch immerhin den nach DSGVO größtmöglichen Bußgeldrahmen, siehe Art. 83 Abs. 5 a) DSGVO. Fehler könnten folglich gravierende Konsequenzen haben.

Wenn wir betrachten, welche Informationen im Zusammenhang mit der Erfüllung der Rechenschaftspflicht relevant werden, kommt schnell eine doch recht eindrucksvolle Liste zusammen, die sich gar nicht zwingend auf personenbezogene Daten beschränkt. Um nur einige Beispiele aufzuzählen – und das ganz sicherlich nicht abschließend:

  • Nachweise im Zusammenhang mit dem Betrieb des Datenschutz-Managementsystems, allem voran die Dokumentation der vom Verantwortlichen aktuell verfolgten Datenschutzpolitik. Daneben dürften auch etwa die Tätigkeitsberichte des Datenschutzbeauftragten und Nachweise über das sonstige Meldewesen relevant sein, über das das Management überhaupt erst in die Lage versetzt wird, den eigenen Pflichten nachzukommen.
  • Die Dokumentation über Verletzungen des Schutzes personenbezogener Daten, ungeachtet der Meldepflicht, Art. 33 Abs. 5 DSGVO.
  • Löschprotokolle, Sperrvermerke und Nachweise über Berichtigungen sowie allgemein die Eingabekontrolle.
  • Nachweise zur korrekten Umsetzung der technischen und organisatorischen Maßnahmen. Hierzu gehören neben den Richtlinien bzw. Konzepten auch die Ergebnisse der internen Audits und auch andere Prüfprotokolle sowie das laufende Monitoring.
  • Erteilte und widerrufene Einwilligungen, wobei es beispielsweise im Zusammenhang mit Marketingmaßnahmen ja entscheidend auf den Zeitpunkt der letzten Werbung ankommt, die auf eine Einwilligung gestützt wurde.
  • Eingang und korrekte Behandlung von Betroffenenanfragen, auch und insbesondere dann, wenn der Betroffene die sofortige Löschung fordert.
  • Nachweise über die regelmäßige Kontrolle von eingesetzten Auftragsverarbeitern.
  • Nachweise zur Verpflichtung und Schulung von Personal.
  • Durchgeführte Transfer Impact Assessments (TIA) und die Überwachung von Dienstleistern im Zusammenhang mit Verarbeitungen in Drittländern.

Allerdings erlaubt selbst die Erfüllung einer rechtlichen Verpflichtung nicht vorbehaltslos die Verarbeitung von personenbezogenen Daten. Auch Art. 6 Abs. 1 c) DSGVO steht unter der Einschränkung der Erforderlichkeit. Dies ist eine qualitative sowie quantitative Begrenzung und eben auch eine zeitliche Grenze.

Nachweispflicht schön und gut – aber wie lange eigentlich?

Wie lange die Rechenschaftspflicht erfüllt werden muss, wird in der DSGVO selbst allerdings gar nicht beantwortet. Im Ergebnis besteht die Rechenschaftspflicht gegenüber der zuständigen Aufsichtsbehörde. In allen anderen Fällen gilt das normale Prozessrecht mit den dort üblichen Beweislastverteilungen. Nur im Verhältnis zur Exekutive muss der Entlastungsbeweis erbracht werden. Entscheidend für die Frage der Erforderlichkeit ist also, wie lange die Aufsichtsbehörde einen solchen verlangen kann und das wiederum hängt von den zeitlichen Grenzen ab, innerhalb derer die Behörde überhaupt eine Handhabe hätte.

Konkret wird damit die Verfolgungsverjährung relevant. So extrem die Sanktionen nach der DSGVO in der Praxis sein können, es handelt sich rechtlich gesehen um Ordnungswidrigkeiten, die in Deutschland im Gesetz über Ordnungswidrigkeiten geregelt sind. Die Antwort auf die Frage der Verfolgungsverjährung liefert somit § 31 Abs. 2 Nr. 1 OWiG. Sowohl Bußgelder nach Art. 83 Abs. 4 als auch nach Abs. 5 DSGVO liegen im Höchstmaß über fünfzehntausend Euro, damit gilt eine Frist von drei Jahren.

Achtung: Solche Fristen wären im Einzelfall und exakt, also tagesgenau, zu berechnen und im Hinterkopf sollten Verantwortliche haben, dass die DSGVO in Art. 17 Abs. 1 eine unverzügliche Löschung von personenbezogenen Daten vorsieht. Auch wenn dieser Begriff im Kontext der DSGVO nicht völlig identisch seine im deutschen Recht übliche Bedeutung haben wird; ein längeres Warten und Sammeln, um dann gebündelt zu löschen, wird sich nur schwer vertreten lassen. Nach unserer Einschätzung wird man wohl von maximal einem Monat ausgehen müssen, wenn man den Grundgedanken des Art. 12 Abs. 3 DSGVO heranzieht.

Anzumerken ist, dass hier die mit der DSGVO angepeilte Rechtsvereinheitlichung innerhalb der EU nicht annähernd erreicht ist. Hier wäre ein Nachjustieren des EU-Gesetzgebers sehr wünschenswert. Denn, je nachdem, wo man hinblickt, gelten völlig unterschiedliche Fristen. So ist man bei Ordnungswidrigkeiten in Irland wohlmöglich bereits nach einem halben Jahr aus dem Schneider, in den Niederlanden muss man zwei Jahre abwarten, in Spanien sprechen wir über vier Jahre und in Kroatien sind es sogar 5 Jahre.

Hier werden insbesondere Unternehmensgruppen Freude haben, die zentrale Dienste (Shared Services) für über die EU verstreute Stellen anbieten. Selbstverständlich muss in jedem konkreten Einzelfall geprüft werden, wann eine Frist läuft und wodurch sie ggf. unterbrochen wird und wenn ja wie lange.

Zur Vollständigkeit sei noch kurz die Verjährung von (Schadens-)Ersatzansprüchen Betroffener angesprochen. Auch diese ist nicht in der DSGVO geregelt, sondern richtet sich nach dem jeweiligen nationalen Recht. In Deutschland beträgt die Regelverjährungsfrist nach § 195 BGB drei Jahre, allerdings beginnt diese Frist erst mit dem Ende des relevanten Kalenderjahres, siehe § 199 Abs. 1 BGB. Sie läuft damit faktisch erst nach dem dritten vollen Kalenderjahr ab und zwar einheitlich und gesammelt für alles, was innerhalb des ursprünglich maßgeblichen Jahres anfiel; praktisch können bei Verstößen zu Jahresanfang damit sogar knapp vier Jahre zusammenkommen.

Eine datenschutzrechtlich schwierige Diskussion

Im gerade genannten Zusammenhang wäre die aus der Praxis wünschenswerte gesammelte Löschung zu bestimmten und nicht allzu häufigen Zeiten also möglich. Allerdings sind die Aufsichtsbehörden (und das wohl zu Recht) zurückhaltend, was eine pauschale Ausdehnung von Aufbewahrungsfristen auf lediglich denkbare Verjährungsfristen angeht. Wer folglich Daten aufbewahren möchte, um sich im Fall von Rechtsstreitigkeiten verteidigen zu können, sollte dies nur in den Einzelfällen tun, in denen sich eine rechtliche Auseinandersetzung auch aufgrund von greifbaren Tatsachen bereits abzeichnet. Sonst ist die Speicherung nicht erforderlich. Die verlockende Hintertür, einfach allgemein die zivilrechtliche Verjährung anzusetzen und nicht auf die punktgenaue Verfolgungsverjährung zu achten, steht leider nicht ganz so weit offen.

Last but not least: Es ist derzeit noch völlig ungeklärt, ob nicht nach dem hier beschriebenen Gedankengang in vielen Bereichen auch eine längere Aufbewahrung angezeigt ist, als bislang oft üblich. So wird doch die Rechenschaftspflicht schließlich umso strenger gesehen werden, je kritischer eine Verarbeitung ist. Beispielsweise wird der Umgang mit Beschäftigtendaten typischerweise immer als besonders sensibel angesehen. Im Zusammenhang mit den Daten abgelehnter Bewerber hat sich jedoch in der Praxis die Löschung nach sechs Monaten etabliert. Damit ist aber doch der Nachweis der Rechtmäßigkeit dieser Verarbeitung nach Art. 5 Abs. 1 a) DSGVO über drei Jahre hinweg überhaupt nicht möglich.

Überspitzt gesagt: Nachdem fast alles irgendwie relevant für die Rechenschaftspflicht sein kann, müsste nicht ganz allgemein eine Mindestaufbewahrungsfrist von drei Jahren gelten? Ausgenommen vielleicht die Fälle rechtswidriger Verarbeitung, in denen diese Frist dann nur für die Nachweise gilt, die im Zusammenhang mit der Korrektur des Verstoßes anfallen.

Wie bereits oben gesagt: Eine klare und vor allem einheitliche gesetzliche Regelung innerhalb der DSGVO wäre schön und würde auch innerhalb der EU für gleiche Bedingungen sorgen. Aktuell fahren Verantwortliche in einigen Ländern gefahrloser als andere. Es macht schließlich einen deutlichen Unterschied, ob Bußgelder schon in einem halben Jahr nicht mehr verhängt werden können oder erst nach deutlich längerer Zeit.

Fazit: Es wartet möglicherweise viel Arbeit in Sachen Löschkonzepte

Hier schlummert gegebenenfalls ein ganz gehöriger Berg an Arbeit. Noch nicht allzu viele Verantwortliche oder Berater haben sich neben den regelmäßig diskutierten Bereichen (Daten von Bewerbern und Mitarbeitern, Fristen in der Buchhaltung und steuerrechtliche Aufbewahrungsfristen) mit Aufbewahrungsfristen auseinandergesetzt. Wo nicht eine der üblicherweise betrachteten längeren Fristen gilt, gibt es daher wohl etwas zu tun.

Angesichts der Vielzahl an Informationen, die im hier relevanten Zusammenhang aufbewahrt und dann zumindest in den Fällen, in denen es um personenbezogene Daten geht, relativ punktgenau gelöscht werden müssen, steht vermutlich bei vielen Verantwortlichen noch eine umfangreiche Überarbeitung der eigenen Löschkonzepte und der dahinterstehenden Löschpläne an.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Verantwortung, Haftung und Delegierbarkeit des Datenschutzes im Unternehmen

Die Verantwortung für die Einhaltung des Datenschutzes trägt der „Verantwortliche“. Handelt es sich um ein Unternehmen, also eine juristische Person, kann diese natürlich nicht selbst handeln. Die Verantwortung für den Datenschutz im Unternehmen trägt daher der für das Unternehmen bzw. die juristische Person Vertretungsberechtigte, in der Regel also der Geschäftsführer, Vorstand oder allgemein Manager.

In der Praxis wird oft versucht, das Thema Datenschutz abzugeben. Vielfach erhofft sich die Geschäftsführung dadurch auch eine Übertragung der Verantwortung und im Ergebnis eine Befreiung von der eigenen Haftung. Jedoch kann durch die bloße Delegation einer Aufgabe keine Befreiung von der Verantwortung erreicht werden. Unter welchen Bedingungen zumindest eine anteilige „Enthaftung“ möglich ist, erläutert dieser Artikel.

Inwieweit kann der Datenschutz delegiert werden?

Selbst wenn Unternehmen einen Datenschutzbeauftragten bestellt haben, verringert sich nicht automatisch die Verantwortung der Unternehmensleitung für den Datenschutz. Denn die Pflichten des Datenschutzbeauftragten bestehen im Wesentlichen darin, zu kontrollieren, ob der Datenschutz im Unternehmen korrekt umgesetzt wird und insbesondere, ob die Unternehmensleitung eine hierfür geeignete Strategie verfolgt. Zusätzlich hat der Datenschutzbeauftragte Beratungs- und Hinweispflichten in Bezug auf datenschutzrechtliche Belange.

Für die korrekte Umsetzung des Datenschutzes ist und bleibt das Unternehmen selbst verantwortlich; in letzter Linie also die Geschäftsführung. Diese kann nun zwar Aufgaben zur Erledigung an Mitarbeiter oder Externe übertragen. Mit der Delegation einer Aufgabe geht die Verantwortung aber keinesfalls verloren, sondern sie wandelt sich lediglich um.

Kriterien zur Delegation des Datenschutzes im Unternehmen

Bei der Delegation des unternehmerischen Datenschutzes muss die eigentlich verantwortliche Geschäftsführung besondere Kriterien erfüllen, um ihrer Sorgfaltspflicht nachzukommen:

Auswahl geeigneter Mitarbeiter

Die Geschäftsführung hat sich bereits im Rahmen der Auswahl des Aufgabenempfängers zu vergewissern, dass dieser über ausreichende persönliche und fachliche Kompetenzen verfügt, um die Aufgabe fachgerecht durchzuführen (siehe auch der Beschluss des Düsseldorfer Kreis vom November 2010).

Wann ein Mitarbeiter für eine bestimmte Position geeignet ist, bestimmt sich jeweils nach dem Einzelfall. Als Richtwert gilt: Je verantwortungsvoller die Aufgabe ist, desto größer sollte die Fachkunde und Praxiserfahrung im künftigen Tätigkeitsbereich sein. Bei leitenden Angestellten sollte zudem darauf geachtet werden, dass diese über genügend Führungskompetenzen verfügen und auch in der Lage sind, größerem Druck standzuhalten. Zusätzlich sind Interessenskonflikte zu vermeiden: Niemand sollte einen Prozess überwachen, für den er selbst verantwortlich ist.

Einweisung in die Datenschutz-Aufgaben

Der Aufgabenempfänger sollte, soweit notwendig, vor der Aufnahme der Tätigkeit in sein neues Aufgabenfeld eingewiesen werden. Dabei sind ihm insbesondere die mit der neuen Tätigkeit verbundenen Aufgaben und Pflichten zu erklären sowie die gängigen Arbeitsabläufe zu erläutern. Auch der korrekte Umgang mit benötigten Betriebsmitteln, beispielsweise der Einsatz von Verschlüsselungs- und Datenübertragungstechnologien spielt hierbei ggf. eine wichtige Rolle.

Im Hinblick auf den Datenschutzbeauftragten ist hier insbesondere die Beschreibung der Verarbeitungstätigkeiten zu nennen, die den Beauftragten auf seine Aufgaben vorbereiten und bei ihrer Erledigung unterstützen sollen.

Organisation und Position im Unternehmen

Ein besonderes Augenmerk verdient die Organisation bzw. die Position oder Rolle des mit dem Datenschutz Beauftragten im Unternehmen. Die Geschäftsführung sollte stets darauf achten, dass dem Aufgabenempfänger sämtliche Ressourcen zur Verfügung stehen, die zur Erfüllung der Aufgaben und Pflichten nötig sind. Auch müssen dem Beauftragten die nötigen Kompetenzen und Berechtigungen eingeräumt und die entsprechenden Aufgabengebiete klar definiert werden.

Aus Gründen der Transparenz und Nachweisbarkeit sollten Gegenstand und Umfang der Delegation jeweils konkret festgelegt und festgehalten werden. Denn genau diese Dokumentation kann unter Umständen im Streitfall darüber entscheiden, wer die tatsächliche Verantwortung für ein (ausgebliebenes) Handeln trägt. Mit der durch die Datenschutz-Grundverordnung eingeführten Rechenschaftspflicht sind Aufzeichnungen zum Beweis, dass man dieser Pflicht nachgekommen ist, ohnehin unabdingbar.

Datenschutz-Schulung und Aufklärung

Der Aufgabenempfänger sollte mit den einschlägigen gesetzlichen Bestimmungen vertraut gemacht werden. Je nach Reichweite der Tätigkeit kann eine allgemeine Belehrung unter Umständen nicht mehr ausreichend sein; stattdessen sind spezifische Fortbildungen zu Datenschutzthemen angemessen.

Zudem muss bei jedem Angestellten zu jeder Zeit Klarheit darüber herrschen, für welchen Teil des Betriebsablaufes der jeweilige Mitarbeiter verantwortlich ist und welche gesetzlichen Regelungen und anderweitigen Rahmenbedingungen bei der Ausübung der Tätigkeit einzuhalten sind.

Die Aufklärungs- und Schulungspflicht besteht übrigens grundsätzlich auch dann, wenn die Geschäftsführung davon ausgehen kann, dass der Mitarbeiter bereits über einschlägige Kenntnisse verfügt. Auf die Besonderheiten des jeweiligen Einsatzes muss immer hingewiesen werden.

Kontrolle des ausgeübten Datenschutzes

Die Geschäftsführung muss sich grundsätzlich von der korrekten Erledigung der übertragenen Aufgabe überzeugen. Eine umfassende Pflicht zur Kontrolle einzelner Umsetzungsschritte besteht jedoch grundsätzlich nicht. Auch hier bestimmt sich der Umfang der Kontrolle entsprechend den Umständen des jeweiligen Einzelfalls. Was verlangt die eigene Sorgfalt?

Wichtige Kriterien dabei sind insbesondere die Zumutbarkeit von Überwachungsmaßnahmen, die Unternehmensgröße, die Qualifikation des Mitarbeiters, die Bedeutung oder Komplexität der Aufgabe sowie der Aufbau der innerbetrieblichen Organisation. So kann im Regelfall die Durchführung von Stichprobenprüfungen für eine Erfüllung der Kontrollpflichten genügen. Ebenso ist zu erwarten, dass sich das Management regelmäßig durch die Beauftragten berichten lässt, um ggf. steuernd einzugreifen.

Kriterien für die Einholung externen Rats

Um mit der gebotenen Sorgfalt zu entscheiden, muss der Entscheider dies auf einer angemessenen Informationslage tun. Liegen die notwendigen Informationen oder die notwendige Fachkunde nicht vor, müssen diese beigebracht werden.

Gerade im Bereich des Datenschutzrechts kann es also durchaus sein, dass es die Sorgfalt erfordert, externen Rat einzukaufen. Wird eine solche Beratung in Anspruch genommen, darf der Verantwortliche auf diesen Rat nach ständiger Rechtsprechung des Bundesgerichtshofs unter folgenden Bedingungen vertrauen:

  • Der Berater muss fachliche Befähigung ausweisen. Diese äußert sich in der Regel durch Zugehörigkeit zu einem bestimmten Berufstand, etwa Rechtsanwälte, Steuerberater oder Wirtschaftsprüfer. Entscheidend ist selbstverständlich, dass Beruf und die zu erfüllenden Anforderungen zueinander passen. In der Praxis muss beachtet werden, dass der Datenschutzbeauftragte zwar anerkannter Beruf ist, aber im Gegensatz zu den genannten Beispielen keine Berufsausbildung oder einen Abschluss erfordert. Derzeit darf sich jeder so nennen und seine Leistung anbieten. Um nicht in die eigene Haftung zu laufen, sollten Verantwortliche daher im Ernstfall kritisch hinterfragen, ob ein externer Datenschutzbeauftragter die notwendige Befähigung tatsächlich besitzen kann. Dass die einmalige Teilnahme an irgendeinem – im besten Falle mehrtägigen – Seminar zum Zertifizierten Datenschutzbeauftragten nicht ausreicht, um aus dem Stand heraus die notwendige Fachkunde auch für komplexere Fragestellungen zu erwerben, sollte offensichtlich sein.
  • Der Berater muss unabhängig sein.
  • Der Berater muss ausreichend informiert worden sein. Hierbei handelt es sich um eine Bringschuld! D.h. das Unternehmen muss aktiv informieren. Natürlich sollte der Berater auch gezielt fragen.

Das Ergebnis der Beratung muss zumindest einer Plausibilitätskontrolle unterworfen werden. Basiert das Ergebnis auf vollständigen Informationen, ist es nachvollziehbar und widerspruchsfrei? Sind alle diese Voraussetzungen zweifelsfrei erfüllt, haftet im Zweifelsfall nicht mehr der Verantwortliche, sondern ggf. der externe Berater.

Fazit: Datenschutz ist delegierbar, die Haftung bleibt

Erst wenn alle oben genannten Kriterien bei der Delegation des Datenschutzes erfüllt sind, ist kein Zweifel an der Sorgfaltspflicht der Geschäftsführung mehr gegeben. Verantwortliche Manager müssen sich aber letztendlich von dem Traum verabschieden, den Datenschutz durch Delegation oder Bestellung eines Beauftragten vollständig ad acta legen zu können.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Checkliste der Aufsichtsbehörden für Auftragsverarbeitungsverträge

Einige der deutschen Datenschutz-Aufsichtsbehörden prüfen derzeit die von großen Anbietern eingesetzten Verträge zur Auftragsverarbeitung. Die zur Prüfung verwendete und veröffentlichte Checkliste bietet auch für andere Unternehmen gute Anhaltspunkte für die vorgeschriebene Vereinbarung zwischen Verantwortlichen und Auftragsverarbeitern.

Die Checkliste für AV-Verträge

Was die Behörden erwarten, ist vorhersehbar und richtig. In einigen Punkten wird erfreulicherweise hinsichtlich etlicher Bedingungen Klarheit geschaffen, die sich nach wie vor in vielen Verträgen finden und die von den Verwendern mit einer bemerkenswerten Hartnäckigkeit verteidigt werden.

Wir fassen die praxisrelevanten Hinweise aus der Checkliste kurz zusammen und kommentieren diese:

Vertragsform

Wenn es um eine Auftragsverarbeitung geht, ist eine für die Parteien verbindliche vertragliche Regelung zwingend, soweit die betroffene Verarbeitung im Auftrag nicht durch den Gesetzgeber geregelt ist. Der Vertrag muss elektronisch oder schriftlich vorliegen und alle gesetzlich vorgesehenen Angaben, insbesondere zu den Umständen und dem Umfang der Verarbeitung, enthalten. Alle Angaben müssen präzise, vollständig und konkret sein und zu der im Auftrag erbrachten Verarbeitung passen.

Hinweis: Die in der Praxis oft vorkommenden schwammigen und schlampigen Formulierungen sind also unzureichend.

Bezug zum Hauptvertrag

Verweise auf einen Hauptvertrag sind möglich. Dieser muss dann aber auch für eine Prüfung vorliegen und es müssen sämtliche Pflichtinhalte tatsächlich, konkret und passend für die relevante Auftragsverarbeitung vorhanden sein.

Hinweis: Diese Pflicht, dann auch den Hauptvertrag vorzulegen, gilt auch bei einer Kontrolle durch Dritte. Es sollte daher im Vorfeld abgeklärt werden, ob eine Offenlegung des Hauptvertrages immer gewünscht ist, oder ob es nicht sinnvoller wäre, die entsprechenden Punkte im Auftragsverarbeitungsvertrag zu regeln und dann eben nur diesen vorlegen zu müssen.

Weisungsgebundenheit

Der Auftragsverarbeiter ist weisungsabhängig und muss jegliche Verarbeitung, die nicht von einer Weisung getragen wird, mitteilen.

Hinweis: Viele Dienstleister lassen sich in ihren Vertragsmustern auch Verarbeitungen zu eigenen Zwecken gestatten, etwa statistische Auswertungen oder die Verbesserung der eigenen Leistungen und Produkte. Hierbei bleibt regelmäßig völlig offen und im Ergebnis ungelöst, woher der Auftraggeber das Recht haben soll, diese Verarbeitung zu genehmigen. Wer hier als Verantwortlicher nicht aufpasst, dem wird möglicherweise eine rechtswidrige Datenweitergabe untergeschoben.

Auch zur möglichen Kostenpflicht ist eine klare Aussage enthalten. Nur Leistungen, die über die Vertragspflichten hinausgehen und nicht erforderlich sind, um Verstöße abzustellen, dürfen berechnet werden.

Pflichten des Auftragsverarbeiters

Alle Unterstützungspflichten dem Verantwortlichen gegenüber müssen vollständig und konkret aufgeführt sein. Gleiches gilt für die Löschpflicht nach Auftragserledigung. Die Checkliste empfiehlt hier oftmals die Übernahme des Gesetzeswortlaut.

Technische und organisatorische Maßnahmen

Die wohl praktisch wichtigste Klarstellung betrifft die technischen und organisatorischen Maßnahmen und die Kontrollrechte des Verantwortlichen:

Die technischen und organisatorischen Maßnahmen müssen konkret beschrieben sein und die Bewertung zulassen, dass sie im relevanten Einzelfall ausreichend sind.

Hinweis: Gerade dies ist nach wie vor in den allermeisten Verträgen nicht der Fall. Vielmehr beschränken sich die enthaltenen Beschreibungen fast regelmäßig auf unvollständige und völlig offen formulierte Aussagen, die nicht erkennen lassen, was der Dienstleister im Detail versprechen möchte.

Der Verantwortliche muss selbst das Recht haben, die Einhaltung der technischen und organisatorischen Maßnahmen zu kontrollieren und das nötigenfalls auch vor Ort. Ein abschließender Verweis auf Kontrollen, Zertifizierungen oder sonstige Maßnahmen durch Dritte ist unzulässig. Ebenso darf das Kontrollrecht nicht allein auf die Vorlage von Unterlagen beschränkt sein.

Hinweis: Gerade die großen Cloud-Anbieter erfüllen diese Anforderung regelmäßig nicht.

Unterauftragnehmer

Unterauftragnehmer dürfen nur mit dem Willen des Verantwortlichen eingesetzt werden. Sollen Subdienstleister bereits im Vertrag genannt werden, so sind diese darin konkret, vollständig, mit Anschrift und einer wenigstens stichwortartigen Beschreibung ihrer Aufgaben aufzunehmen. Ein Verweis auf eine Aufstellung auf einer Website ist nicht zulässig. Auch muss der Auftragsverarbeiter auf neue oder veränderte Subdienstleister aktiv hinweisen; die Schaffung einer Abrufmöglichkeit genügt nicht.

Hinweis: Auch diese Anforderungen erfüllen die ganz großen Anbieter regelmäßig nicht.

Interessant ist der Hinweis zu den Folgen, falls eine Änderung bei Subdienstleistern nicht genehmigt wird. Hier gehen die Aufsichtsbehörden davon aus, dass zumindest eine kurzfristige Beendigung der Zusammenarbeit durch den Auftragsverarbeiter nach verweigerter Zustimmung nicht möglich sein soll.

Bei der Übertragung von Pflichten auf den Subdienstleister ist der konkrete Auftragsverarbeitungsvertrag Maßstab, nicht allgemein Art. 28 DSGVO.

Hinweis: Auch dies wird von vielen Dienstleistern in der Praxis derzeit nicht korrekt umgesetzt. Eine Abstimmung der Rechte und Pflichten im Verhältnis nach oben (zum Verantwortlichen) mit den Rechten und Pflichten nach unten (im Verhältnis zu Subdienstleistern) erfolgt regelmäßig nicht.

Drittlandtransfer

Die Regelung von Übertragungen in Drittstaaten muss ggf. auch ein ausreichendes Datenschutzniveau unter Berücksichtigung von Behördenzugriffen vorsehen. Allein der Abschluss von Standardvertragsklauseln genügt nicht.

Fazit: Viele Auftragsverarbeitungsverträge erfüllen nicht die Anforderungen

Die Checkliste der Aufsichtsbehörden macht deutlich, dass in der Praxis viele Verträge zur Verarbeitung personenbezogener Daten im Auftrag nicht den Ansprüchen genügen. Viele Unternehmen machen es sich derzeit noch zu einfach und verkennen, dass saubere Vereinbarungen und insbesondere eine möglichst klare Beschreibung der geschuldeten Maßnahmen im Interesse aller liegt. Die deutlichen Hinweise in der Checkliste machen hoffentlich viele ärgerliche Diskussionen künftig überflüssig.

Tipp: Füllen Sie unsere kostenlose Vorlage für einen Auftragsverarbeitungsvertrag gewissenhaft und erfüllen so die oben aufgeführten Anforderungen der Aufsichtsbehörden.

Jetzt unverbindlich anfragen: Einer unserer Experten als externer Datenschutzbeauftragter für Ihr Unternehmen!

Geschrieben am:

Datenschutz-Managementsystem im Unternehmen

Ein angemessenes Datenschutz-Managementsystem (DSMS) ist unverzichtbare Voraussetzung, um datenschutzrechtliche Anforderungen des Gesetzes aber auch der Kunden belegbar zu erfüllen. Wie ein solches Datenschutz-Managementsystem aussehen kann und welche Punkte besonders zu beachten sind, erklären wir Ihnen in vier wichtigen Schritten.

Warum bedarf es überhaupt eines Datenschutzmanagementsystems?

Genau wie in anderen Managementbereichen, obliegt es auch im Datenschutz der Geschäftsführung, die Einhaltung der Anforderungen sicherzustellen, also zu organisieren und zu ermöglichen. In vielen Fällen wird jedoch davon ausgegangen, dass sich die Pflichten der Geschäftsführung auf die Bestellung eines Datenschutzbeauftragten beschränken und sich fortan der Datenschutzbeauftragte um alle weiteren Angelegenheiten kümmern muss. Diese Vorstellung gibt es auch etliche Jahre nach Inkrafttreten der DSGVO immer noch, sie ist aber nach wie vor falsch.

Völlig unabhängig von der etwaigen Pflicht zur Bestellung eines Datenschutzbeauftragten, trägt die Geschäftsführung die Verantwortung für den Aufbau einer geeigneten Organisation, die Bereitstellung angemessener Ressourcen und die Vorgabe eines Rahmens, also einer greifbaren Umsetzungsstrategie, zur Erfüllung der Datenschutzanforderungen. Ebenso hat die Leitung dafür zu sorgen, dass alle vorgesehenen Umsetzungen gesteuert erfolgen und kontrolliert werden. Um den Datenschutz im Unternehmen pflichtgemäß zu handhaben, ist es zwingend, dass die Geschäftsführung Herr der relevanten Prozesse bleibt. Das Management muss sich sichtbar zur Verantwortung im Bereich Datenschutz bekennen und die Belegschaft über die Bedeutung des Datenschutzes informieren (bzw. entsprechend schulen).

Eine sehr praxistaugliche Orientierung bietet für diese Managementaufgaben das PDCA-Modell (Plan-Do-Check-Act), anhand dessen die nachstehend beschriebenen Schritte von Planung, Umsetzung, Kontrolle und Optimierung ausgerichtet sind.

Planung (P): Ist- und Soll-Zustand des Datenschutzes vergleichen

Die Einbindung des Datenschutzes in die Geschäftsabläufe muss durchdacht und geplant werden, um einerseits einen optimalen Schutz der Daten gewährleisten zu können und andererseits den Ressourceneinsatz möglichst gering zu halten. Daher gilt es zunächst einmal, den datenschutzrechtlichen Ist-Zustand zu erfassen und ihn mit dem gewünschten Soll-Zustand zu vergleichen. Hierzu sollte sich die Geschäftsführung bewusst machen, dass es in einem Unternehmen kaum Bereiche gibt, in denen Datenschutz keine Relevanz hat. So finden sich personenbezogene Daten in jeder E-Mail, jeder Rechnung, jedem Lieferschein, jeder Terminvereinbarung, in jedem Smartphone usw. Selbst eine Strichliste am Kaffeeautomaten ist datenschutzrelevant.

Stehen das gesetzlich geforderte oder von der Leitung gewünschte Niveau und die zu erreichenden Ziele fest, müssen die Wege zu deren Erreichung bestimmt und nachvollziehbar vorgegeben werden. Mindestens ist sicherzustellen, dass keinerlei personenbezogene Daten unkontrolliert oder ohne Rechtsgrundlage verarbeitet werden. Auch ist unumgänglich, Änderungen des Rechts und der Sicherheitstechnik konstant zu verfolgen und ggf. Anpassungen vorzunehmen.

Freilich erfordert all dies einiges an Zeit und Energie und kann nicht vollständig von der Geschäftsführung persönlich umgesetzt werden. Diese sollte daher die Aufgaben sinnvoll nach Qualifikationen und Kompetenzen delegieren und dabei stets darauf achten, den Überblick über die Verteilung zu wahren. Auch die Zuweisung von Verantwortung an geeignete und zuverlässige Personen ist originäre Aufgabe der Geschäftsführung.

Umsetzung (D): Datenschutzprozesse standardisieren

Sodann sind die Ziele umzusetzen. Dieser Schritt besteht im Wesentlichen darin, Regelungen, also Anweisungen und Leitlinien zu erstellen, an denen sich die Mitarbeiter bei der täglichen Arbeit orientieren können, und die begleitenden technischen Maßnahmen zu ergreifen. Regelungen müssen stets angemessen sein, sowohl was die Anforderungen angeht als auch was die an bestimmte Adressaten gerichteten Forderungen betrifft. Allgemein gilt, dass Abläufe im Unternehmen standardisiert und schriftlich fixiert werden sollten. Wichtige Regelungsbereiche sind, um nur einige wenige zu nennen, beispielsweise:

Kontrolle (C): Datenschutzmaßnahmen evaluieren

Im Rahmen der Kontrolle wird überprüft, ob die umgesetzten Maßnahmen eingehalten werden und ob diese die beabsichtigte Wirkung entfalten. Es geht vor allem darum, Bereiche mit weiterem Handlungsbedarf zu identifizieren und Verbesserungsmöglichkeiten festzustellen.

Wesentlich ist hier, die Umsetzungserfolge sinnvoll messbar zu machen und dann in bestimmten Abständen auch tatsächlich zu messen, um überhaupt eine Vergleichsmöglichkeit zu erhalten. Denn sind zwar Datenschutzvorschriften vorhanden, werden diese aber im Ergebnis durch Mitarbeiter ignoriert, kann dies ohne weiteres zu Bußgeldern führen, wie eine Verurteilung der DEBEKA bereits vor einigen Jahren zeigte.

Optimieren (A): Datenschutz verbessern

Anschließend gilt es, das Vorgehen und die zugrundeliegenden Regelungen regelmäßig zu überdenken und festzustellen, wie deren Wirksamkeit verbessert werden kann oder sogar muss. Dabei sind auch alternative Maßnahmen oder Anpassungen in Betracht zu ziehen. Veränderte Rahmenbedingungen machen meist eine Anpassung des Vorgehens erforderlich.

Softwareunterstützte Umsetzung eines DSMS

Gerade die Messung und notwendige Korrektur der eigenen Vorgehensweise erfolgt in der Praxis häufig nicht oder völlig unzureichend. Dies liegt einerseits schlicht und ergreifend daran, dass Verantwortliche – teils trotz Beratung – nicht wissen, dass es interner Audits bedarf. Zum anderen und weitaus häufiger wird der Aufwand gescheut.

Das eigene Datenschutz-Managementsystem inklusive der Voraussetzungen, der Umsetzung und eben der Messung wirksam voranzutreiben und Aufgaben zu verteilen und nachzuverfolgen, ist nicht ganz einfach. Unternehmen können sich hier durch Einsatz geeigneter Software das Leben dramatisch einfacher machen und zugleich die immer notwendige Dokumentation führen.

Übrigens: activeMind stellt den betreuten Mandanten ein eigens entwickeltes Compliance-Portal bereit, das Dokumentenmanagementsystem und Terminplanung sowie Ticketsystem mit den Funktionalitäten der üblichen Datenschutz-Management-Softwarelösungen verbindet. Neben einer zentralen Ablage und gemeinsamen Pflege und Versionierung derselben Dokumente und Aufzeichnungen, lassen sich auch Aufgaben nachverfolgen, Erfolge dokumentieren, Pflichtdokumente des Datenschutzes erstellen usw.

Fazit: Ein Managementsystem für den Datenschutz ist der einzige richtige Weg

Die Erfahrung zeigt, dass ein Datenschutz-Managementsystem mit den vier Schritten des PDCA-Modells (Planung, Umsetzung, Kontrolle und Optimierung) einen sehr effizienten Weg bietet, um ein angemessenes Datenschutzniveau im Unternehmen zu erreichen. Darüber hinaus können Datenschutzmaßnahmen so stetig verbessert und schnell an sich ändernde Bedingungen angepasst werden.

In unserem Portal für Datenschutzbeauftragte finden Sie Ratgeber und kostenlose Vorlagen für alle Aufgaben des unternehmerischen Datenschutzes.

Geschrieben am:

Technische und organisatorische Maßnahmen zum Datenschutz

Die Datenschutz Grundverordnung (DSGVO) gilt mittlerweile nun schon seit einigen Jahren. Dennoch stellen wir fast täglich in unserer Arbeit fest, wie groß die Unsicherheiten bei der korrekten Interpretation und Umsetzung sind. Einen Bereich, in dem auffällig viele Schwierigkeiten bestehen und in dem – unverblümt ausgedrückt – auch jede Menge Unsinn fabriziert wird, stellen die technischen und organisatorischen Maßnahmen dar. Nicht nur im Kontext der eigenen Verantwortung bestehen hier offensichtlich größere Probleme bei Verantwortlichen. Auch im Rahmen der Auftragsverarbeitung liefern Dienstleister erschreckend oft Beschreibungen der Maßnahmen nach Art. 32 DSGVO die wenig geeignet sind, ihren Zweck zu erfüllen.

Neben den handwerklichen Fehlern, die oft den Eindruck vermitteln, als wäre die Beschreibung primär mit dem Ziel größtmöglicher Aufwandsvermeidung erstellt worden – Hauptsache es steht irgendwas auf dem Papier –, scheinen auch die einzelnen Begriffe schlichtweg nicht korrekt verstanden zu werden. Sie werden laienhaft interpretiert, vermischt, verwechselt und nicht zuletzt übergangen oder übersehen.

In einem früheren Artikel boten wir bereits Hilfestellung für die Umsetzung geeigneter Maßnahmen. Heute gehen wir einen Schritt zurück und erläutern die einzelnen in Art. 32 DSGVO genannten Maßnahmen. Damit schaffen wir das notwendige Grundverständnis für die korrekte Umsetzung und eine brauchbare Beschreibung.

Die in Art. 32 DSGVO genannten Maßnahmen

Eine Bemerkung vorab. Diese in Art. 32 DSGVO enthaltene Liste ist nicht abschließend. Je nach Anwendungsszenario muss eine Verarbeitung auch durch weitere und andere Maßnahmen abgesichert werden. Die Beispiele, die der europäische Gesetzgeber an dieser Stelle nennt, dürfen aber als Minimum dessen angesehen werden, womit man sich mindestens beschäftigen muss. Dementsprechend sollte eine Beschreibung auch auf jede einzelne Maßnahme eingehen und wenn dies nur erfolgt, um klarzustellen, dass die Maßnahme zwar im konkreten Einzelfall nicht relevant ist aber eben nicht übersehen wird.

Pseudonymisierung

Die Pseudonymisierung ist in Art. 4 Nr. 5 DSGVO definiert. Entscheidend ist, dass bei der eigentlichen Verarbeitung von Daten die Einzelinformationen, die eine Identifikation des Betroffenen ermöglichen, fehlen. Diese letztgenannten Informationen müssen also vor der Verarbeitung aus den verarbeiteten Datenbeständen entfernt werden. Zudem muss verhindert werden, dass pseudonyme Daten und die zur Identifikation notwendigen Informationen wieder zusammengefügt werden. Eine Entpseudonymisierung darf nicht ohne weiteres möglich sein.

Der Begriff wird sehr oft mit der Anonymisierung vermischt oder verwechselt. Anonyme Daten können einer Person gar nicht mehr zugeordnet werden, sie sind keine personenbezogenen Daten und unterliegen nicht (mehr) dem Datenschutz. Bei pseudonymen Daten ist die Zuordnung über zusätzliche Informationen weiterhin möglich, aber eben unterbunden. In beiden Fällen wird in der Praxis meist übersehen, dass es oft nicht ausreicht, eindeutige Identifikatoren wie etwa den Namen zu entfernen. Auch andere Informationen die für sich gesehen oder in Kombination mit weiteren Daten eindeutige Treffer ermöglichen, müssen beseitigt werden.

Tipp: Lesen Sie auch unsere ausführlichen Ratgeber zur Pseudonymisierung und Anonymisierung.

Verschlüsselung

Gemeint ist der Einsatz von Kryptographie. Personenbezogene Daten werden durch den Einsatz kryptographischer Maßnahmen vor unbefugtem Zugriff geschützt. Dies kann bzw. muss bei Daten in Ruhe und/oder bei Übertragung sichergestellt sein und zwar lückenlos. Die eingesetzten Verschlüsselungsmethoden müssen ausreichend stark und sicher sein. Gegebenenfalls verwendete Schlüssel sind sicher zu verwalten.

Vertraulichkeit

Dieser Begriff aus der klassischen Informationssicherheit wird meist korrekt eingeordnet. Es geht um den Schutz von Informationen vor unbefugter Preisgabe. Die zur Umsetzung dieses Ziels erforderlichen Maßnahmen beziehen sich auf die räumlich-physikalische Sicherheit (Zutrittskontrolle), den logischen Schutz vor unbefugtem Zugriff auf Systeme, Anwendungen und Daten (Zugangskontrolle), die Sicherstellung, dass Daten ausschließlich an Berechtigte übertragen werden (Weitergabekontrolle) und auch die zuvor genannte Verschlüsselung gehört mit zu den geeigneten Verfahren.

Aus Sicht eines Verantwortlichen geht es konkret etwa um die Einrichtung räumlicher Sicherheitsbereiche, Berechtigungskonzepte und die gesteuerte Weitergabe von Informationen entsprechend einer eindeutigen Klassifizierung. Auch andere einfache Maßnahmen, wie das Anbringen von Sichtschutz oder die Aufstellung von Systemen und eine Clean-Desk-Policy sowie automatische Bildschirmsperren und Abmeldungen gehören in diesen Bereich.

Erfahrungsgemäß empfiehlt sich bei der Kontrolle der eigenen Umsetzung oder der Maßnahmen eines Dienstleisters ein kurzer Blick auf die möglichen Verarbeitungsorte. Zu oft wird alleine die Sicherheit des Rechenzentrums geschildert und Aussagen zur Sicherheit in den eigenen Arbeitsräumen und erst recht zu den Maßnahmen an anderen Arbeitsplätzen, insbesondere im Home-Office, fehlen häufig gänzlich.

Weiterlesen: Eine Checkliste zu Datenschutz und Informationssicherheit bei mobiler Arbeit finden Sie hier.

Selbstverständlich gehört es auch in diesen Bereich, Mitarbeiter und Dienstleister zuverlässig auf die Wahrung der Vertraulichkeit zu verpflichten.

Kostenloser Download: Nutzen Sie unser Muster für eine Verpflichtungserklärung und Vertraulichkeitserklärung.

Integrität

Geschützt werden die Authentizität von Daten, deren Richtigkeit, Vollständigkeit und der Schutz vor unbefugter Veränderung.

Wesentlich gehört hierzu die Eingabekontrolle, also die Protokollierung, wer wann welche Daten in welcher Art und Weise verarbeitet hat, um Veränderungen nachvollziehbar zu machen. Ergänzend können beispielsweise Signaturen und Prüfziffern eingesetzt werden, um nachzuweisen, dass Informationen unverändert sind.

Verfügbarkeit

Auch hier handelt es sich um einen althergebrachten Begriff aus der Informationssicherheit, der unter dem Blickwinkel der Datenschutz-Grundverordnung nicht anders zu verstehen ist als bisher. Dennoch werden die Maßnahmen aus diesem Bereich in der Praxis nicht sauber beschrieben. Häufig ist der Blick einerseits zu eng und konzentriert sich allein auf einige wenige Maßnahmen, die ausschließlich zentrale Systeme schützen. Andererseits werden unter diesem Begriff auch Maßnahmen subsumiert, die an dieser Stelle nichts verloren haben; meist angeführt von der Beschreibung der Datensicherungsmaßnahmen.

Im Zusammenhang mit der Verfügbarkeit sind Maßnahmen gefragt, die sicherstellen, dass Informationen zur Verfügung stehen, wann und wo sie berechtigterweise benötigt werden. Neben einer Beschreibung von Redundanzen ist hier etwa auch zu beantworten, wie die Schutzmaßnahmen vor Umweltgefahren oder mutwilliger Beschädigung aussehen. Auf das Fehlen von single points of failure (einzelnen Schwachstellen) muss eingegangen werden und möglicherweise auch auf die zur Verfügung stehenden Bandbreiten. Die Sicht darf dabei nicht alleine auf den Serverraum und die Elektrik beschränkt werden. Auch die Systeme und Netzwerkkomponenten, die Mitarbeiter für ihre Arbeit benötigen, müssen betrachtet werden.

Belastbarkeit

Kaum ein Maßnahmenbereich wird so häufig nicht behandelt, wie dieser. Meist wird der Begriff zwar in der entsprechenden Überschrift eines beschreibenden Absatzes noch genannt, fast regelmäßig fehlen aber dann passende Aussagen dazu.

Zu behandeln und darzustellen ist hier die Toleranz bzw. Widerstandsfähigkeit von Systemen und Anwendungen gegen Störungen und Unregelmäßigkeiten. Vor allem Aussagen zur Härtung und laufenden Überwachung sind hier zu erwarten. Auch eine automatische Lastverteilung, Möglichkeiten zur Skalierung im laufenden Betrieb oder die Abschaltung und Isolierung instabiler Systeme sind  weitere Gesichtspunkte.

Wiederherstellbarkeit

An dieser Stelle geht es darum, die tatsächlich beeinträchtigte Verfügbarkeit und den Zugang zu Daten so schnell wie möglich wieder zu gewährleisten. Hier ist die Datensicherung und die Möglichkeit eines restores (Wiederherstellung) korrekt aufgehoben. Aber auch die Möglichkeiten des Wiederaufbaus einzelner Systeme oder sogar kompletter Systemlandschaften sind hier möglicherweise relevant; also im Extremfall auch Gesichtspunkte der kurzfristigen Wiederbeschaffung zerstörter Komponenten. Als zusätzliche Absicherung wären gegebenenfalls Standby oder Ausweichsysteme oder gar ganze Rechenzentren interessant.

Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen

Zu dieser in Art. 32 DSGVO letztgenannten Maßnahme wird erfahrungsgemäß viel geschrieben; nur leider selten das richtige. Gefragt ist hier nach den internen Audits, nach der laufenden und angemessenen Selbstkontrolle.

Ob ein Datenschutzbeauftragten bestellt wurde, ist für sich allein gesehen ebenso irrelevant, wie die Frage, ob es Auftragsverarbeitungsverträge oder Vertraulichkeitsverpflichtungen gibt oder ob auf eingetretene Störungen oder Reklamationen reagiert wird. Auch der vielfach zu begegnenden, pauschalen und nicht weiter ausgeführten Behauptung, dass ein Datenschutz-Managementsystem (DSMS) eingerichtet wäre, ist unzureichend. Und warum an dieser Stelle fast gewohnheitsmäßig auf das Vorhandensein der Beschreibung der Verarbeitungstätigkeiten eingegangen wird, erschließt sich ebenfalls nicht.

Die zentral zu beantwortende Frage ist stattdessen, wie laufend – und gerade ohne einen konkreten Anlass – gemessen und sichergestellt wird, dass die eingesetzten technischen und organisatorischen Maßnahmen funktionieren. Zu erwarten sind damit also Aussagen zum Auditprogramm, welches sich der Verantwortliche selbst auferlegt. Wie oft und in welchem Umfang findet welche Prüfung durch wen statt?

Ergänzend: Die Frage der Angemessenheit oder der Verhältnismäßigkeit

In der täglichen Praxis begegnen uns mit schöner Regelmäßigkeit Situationen, in denen die vermeintlich fehlende Angemessenheit oder eben die vorhandene Unverhältnismäßigkeit als Rechtfertigung herangezogen werden, um als besonders aufwendig oder teuer empfunde Maßnahmen nicht umzusetzen. Paradebeispiele hierfür sind der Verzicht auf interne Audits oder andere Kontrollen, etwa die regelmäßige Prüfung von Berechtigungen oder die Auswertung von Protokollen.

Dieses Verständnis ist falsch. Entscheidend ist nicht der Aufwand oder die Kosten, die mit einer Datensicherheitsmaßnahme verbunden sind, sondern inwieweit dem zu behandelnden Risiko begegnet wird. Maßnahmen sind dann angemessen, wenn sie das Risiko so begrenzen, dass es im Ergebnis für den Betroffenen noch zumutbar und unter Abwägung aller Umstände vertretbar ist. Dies ist das zu erreichende Minimum, mehr muss nicht umgesetzt werden.

Der Verantwortliche muss also nicht mehr umsetzen und nicht mehr investieren als zur Erreichung dieses Minimums notwendig ist. Das allerdings muss er umsetzen. Wird die Schaffung der einem bestimmten Risiko angemessenen Datensicherheit – in welcher Hinsicht auch immer – zu aufwendig, darf nicht die Maßnahme unterlassen werden, sondern die Datenverarbeitung hat zu unterbleiben!

Jede andere Interpretation würde den Sinn der Vorschrift ad absurdum führen; je riskanter und damit aufwendiger abzusichern eine Verarbeitung wäre, desto weniger müsste man umsetzen? Das kann nicht sein.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Großes Datenleck im Onlinehandel

Medienberichten zufolge gibt es derzeit eine erhebliche Datenpanne bei großen Onlineplattformen. Betroffen sollen unter anderem Otto, Kaufland, Check24, idealo und Mediamarkt sein. Konkret geht es um die von diesen Anbietern betriebenen Marktplätze, auf denen externe Händler ihre Waren anbieten können. Was die betroffenen Unternehmen jetzt tun sollten und was andere Verantwortliche aus der Datenpanne lernen können.

Von der Postadresse über die E-Mail-Adresse bis hin zu Telefonnummern, Angaben zu den bestellten Waren und sogar Bankverbindungen – zahlreiche Kundendaten waren ungeschützt über das Internet zugänglich – soweit bekannt, über Jahre. Die von dem Datenleck betroffenen Personen haben bislang nichts hiervon erfahren; ebenso die Aufsichtsbehörden. Die Plattformbetreiber weisen jede Verantwortung von sich und die Händler haben offenbar noch nicht reagiert.

Wie ist das Ganze aus Sicht des Datenschutzes zu beurteilen?

Meldepflichtige Datenpanne

Klar dürfte sein, dass von einer unbefugten Offenbarung ausgegangen werden muss und damit von einer Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO (Datenschutz-Grundverordnung). Diese wäre nach Art. 33 DSGVO grundsätzlich innerhalb von 72 Stunden meldepflichtig. Die Lücke wurde im vergangenen Sommer aufgedeckt. Dass hier keine Risiken vorliegen, was eine Meldung ausnahmsweise entbehrlich machen würde, lässt sich kaum vernünftig begründen.

Angesichts der betroffenen Benutzerzahlen und der Daten, die ein sehr hohes Missbrauchsrisiko bergen, muss auch von einem entsprechend hohen Risiko ausgegangen werden. Zusätzlich wären folglich auch die Betroffenen zu informieren gewesen, siehe Art. 34 DSGVO.

Ein Verstoß gegen diese Pflichten ist eine Ordnungswidrigkeit, die nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro bzw. bis zu 2% des global im Vorjahr erzielten Jahresumsatzes geahndet werden kann.

Dass die Betreiber der Onlineplattform sich hier versuchen, aus der Verantwortung zu ziehen, ist vor diesem Hintergrund nachvollziehbar. Aber was ist hiervon zu halten?

Auftragsverarbeitung

Sicher wird der externe Händler Verantwortlicher für seinen Bereich sein. Aber: Zumindest wird der Einsatz der Plattform als Auftragsverarbeitung mit dem Anbieter der Plattform als Auftragsverarbeiter angesehen werden müssen. Damit wäre zumindest eine gesamtschuldnerische Haftung für eingetretene Schäden von Betroffenen angelegt, Art. 82 DSGVO.

Die erfahrungsgemäß sehr interessante Frage wäre in diesem Zusammenhang auch, ob in diesen Fällen denn auch die notwendigen Verträge nach Art. 28 DSGVO vorliegen und ob jemals ein verantwortlicher Marktplatzteilnehmer den Marktplatzbetreiber auf Einhaltung seiner vertraglichen Versprechen, konkret der technischen und organisatorischen Maßnahmen, kontrolliert hat. Auch hierin lägen gegebenenfalls weitere Verstöße gegen Vorgaben der DSGVO, die ebenfalls mit den gerade genannten Bußgeldern belegt werden können.

Gemeinsame Verantwortlichkeit

Es gibt aber noch einen weiteren Aspekt, der in der Praxis gerne vernachlässigt und in solchen Fällen wohl besonders leicht „übersehen“ wird. In aller Regel setzt der Einkauf über einen Marktplatz (auch) ein Konto beim Marktplatzbetreiber also der Onlineplattform voraus. Zumindest im Hinblick auf einige Stammdaten von Benutzern dürfte aller Wahrscheinlichkeit nach eine gemeinsame Verantwortlichkeit von Plattformbetreiber und externem Händler vorliegen.

Auch in diesen Fällen müsste es gemäß Art. 26 DSGVO einen eigenen Vertrag geben, in dem die gemeinsam Verantwortlichen die Details dieser Kooperation festlegen. Darin würde unter anderem eine Regelung enthalten sein müssen, wer welche Verantwortungen trägt und wie die Rechte von Betroffenen gewährleistet werden. Die Inhalte der Vereinbarung müssten den Betroffenen auch bekannt gemacht worden sein.

Dass es diese Vereinbarung möglicherweise nicht gibt, ändert jedoch nichts an der rechtlichen Einordnung als gemeinsame Verantwortlichkeit. Und damit haben wir einen dritten Bereich erreicht, in dem nochmals die oben genannten Bußgeldvorschriften relevant werden können.

Nur ergänzend an dieser Stelle noch der Hinweis, dass die gemeinsame Verantwortlichkeit auch dazu führt, dass Betroffene ihre Rechte ungeachtet der Vereinbarung zwischen den gemeinsamen Verantwortlichen gegenüber jedem einzelnen der Verantwortlichen geltend machen können, siehe Art. 26 Abs. 3 DSGVO.

Fazit: Verantwortung übernehmen, schnell handeln, besser vorsorgen

Unser Rat an die möglicherweise Betroffenen ist, sich gegebenenfalls mit den Verantwortlichen in Verbindung zu setzen und um Aufklärung zu bitten. Über diese Adresse lässt sich überprüfen, ob man von der Lücke betroffen ist: www.leckchecker.wortfilter.de

Den beteiligten Unternehmen können wir eigentlich nur ans Herz legen, sich im eigenen Interesse um schnellstmögliche Aufklärung und proaktive Kooperation mit den Aufsichtsbehörden zu bemühen. Die Aufsichtsbehörden sind natürlich auf diesen Fall aufmerksam geworden und werden ihre Nachforschungen anstellen. Die Einschätzung, nicht verantwortlich zu sein, ist weder für die Aufsichtsbehörden noch für ein möglicherweise später beteiligtes Gericht in irgendeiner Form bindend.

Was die technischen Lücken angeht, so können wir nicht beurteilen, ob diese in vorwerfbarer Art und Weise bestanden. Es ist noch im Einzelfall zu klären, ob und inwieweit ein Verstoß gegen Vorschriften der Datensicherheit vorliegt. Ganz nebenbei: dies wäre dann der vierte Anlass, aus dem ein entsprechendes Bußgeld nach den oben genannten Grundsätzen fällig werden könnte.

Falls aber die vermutlich notwendigen Verträge nicht existieren, so hätte sich dies mit Sicherheit durch die Beteiligung eines qualifizierten (!) Datenschutzberaters vermeiden lassen.

Bestellen Sie jetzt einen Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Datenverarbeitung in gemeinsamer Verantwortlichkeit

Betrachtet man moderne Datenverarbeitungen, gibt es kaum noch Verantwortliche, die hierbei noch völlig allein agieren. Der Austausch von Daten mit anderen Stellen ist mittlerweile eher die Regel als die Ausnahme. Dies gilt ganz besonders innerhalb von Konzernen und anderen Unternehmensgruppen, die untereinander zentrale Dienste bereitstellen („shared services“) oder aber Datenbestände in anderer Art und Weise zusammen nutzen.

Die Fragen, ob und wie personenbezogene Daten in datenschutzrechtlich zulässiger Art und Weise ausgetauscht und genutzt werden dürfen, stehen hierbei im Mittelpunkt und sind oft nicht ganz einfach zu beantworten. Die Verarbeitung im Auftrag ist in diesem Zusammenhang bereits altbekannt, mit dem Instrument der gemeinsamen Verantwortlichkeit haben allerdings viele Stellen noch große Schwierigkeiten. Oft wird schon gar nicht erkannt, dass eine gemeinsame Verantwortlichkeit vorliegt und an der korrekten Umsetzung mangelt es dann erst recht.

So hat sich längst noch nicht überall herumgesprochen, dass eine gemeinsame Verantwortlichkeit zwingend vertraglich zu regeln ist. Aber auch den umgekehrten Fall gibt es. So nehmen viele Unternehmen oder deren Berater allein deswegen eine gemeinsame Verantwortlichkeit an, weil die gleichen Daten der gleichen Betroffenen verarbeitet werden. Dies allein ist aber nicht ausschlaggebend.

Kriterien für die Bestimmung einer gemeinsamen Verantwortlichkeit

Die gemeinsame Verantwortlichkeit bei der Verarbeitung personenbezogener Daten ist in Art. 4 Nr. 7 DSGVO und Art. 26 Abs. 1 S. 1 DSGVO geregelt. Wesentlich ist danach, dass mehrere Verantwortliche gemeinsam Zweck und Mittel der Datenverarbeitung festlegen. Dies ist zugleich der entscheidende Unterschied zur Auftragsverarbeitung, bei der eine Stelle verbindlich bestimmt und die andere weisungsabhängig ausführt.

Im Sinne eines möglichst weitgehenden Schutzes der betroffenen Personen sind keine hohen Anforderungen an eine gemeinsame Verantwortlichkeit zu stellen. Insbesondere die jüngere Rechtsprechung des Europäischen Gerichtshofs (EuGH) zeigt, dass diese Anforderungen niederschwellig zu verstehen sind und mitunter bereits Kleinigkeiten genügen, um – selbst unwillentlich – mit einer anderen Stelle als gemeinsam Verantwortlicher zu gelten.

Weder ist eine gleichberechtigte Entscheidung über die Zwecke und Mittel der Datenverarbeitung notwendig noch ein gleichrangiges Interesse der Beteiligten oder eine gleichwertige Verantwortung. Auch die verfolgten Zwecke müssen nicht identisch oder vergleichbar sein. Es ist noch nicht einmal wesentlich, dass überhaupt alle Parteien Zugriff auf die gemeinsam verarbeiteten personenbezogenen Daten erhalten.

Ausreichend ist vielmehr, dass ein Beitrag zur Entscheidung über die Zwecke und Mittel einer Verarbeitung erbracht wird, die durch die andere Partei und primär in deren Interesse erfolgt. Ein gutes Beispiel hierfür sind Facebook Fanpages. Der Inhaber der Fanpage erhält lediglich anonyme Statistiken und mehr will er auch im Zweifel gar nicht. Über die Fanpage ermöglicht er es Facebook aber überhaupt erst, personenbezogene Daten der Besucher zu sammeln und auszuwerten. Der Fanpagebetreiber hat damit maßgeblichen Einfluss zumindest auf die Frage, ob personenbezogene Daten verarbeitet werden; er liefert einen kausalen Beitrag zur Datenverarbeitung durch Facebook. Dieses gemeinsame Element genügt laut EuGH, um eine gemeinsame Verantwortlichkeit zu begründen.

Für die Praxis wichtig ist, dass es nicht darauf ankommt, ob eine Vereinbarung zur Verantwortlichkeit besteht oder welchen Inhalt diese hat. Die Beteiligten können nicht vertraglich bestimmen, dass eine Verarbeitung gemeinsam erfolgt oder nicht. Auch dieser Irrtum hält sich leider weiterhin hartnäckig. Allein entscheidend ist die Realität. Sind die Bedingungen für eine gemeinsame Verantwortlichkeit tatsächlich gegeben, liegt auch eine vor. Die zwingende vertragliche Regelung der Zusammenarbeit ist keine Voraussetzung der gemeinsamen Verantwortlichkeit, sondern deren Folge.

Konkrete Handlungspflichten gemeinsam Verantwortlicher

Vereinbarung über gemeinsame Verarbeitung

Wie bereits angesprochen, muss nach Art. 26 Abs. 1 S. 2 DSGVO eine Vereinbarung zwischen den gemeinsam Verantwortlichen abgeschlossen werden. Das Gesetz schreibt dabei zwar keine bestimmte Form vor, mit Blick auf etwaige Informationspflichten gegenüber dem Betroffenen gem. Art. 26 Abs. 2 S. 2 DSGVO und drohende Geldbußen (siehe unten) sollte jedoch mindestens eine Regelung in Textform abgeschlossen werden.

Als Mindestinhalt sollte die Vereinbarung die tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber den Betroffenen nach Art. 26 Abs. 2 S. 1 DSGVO beinhalten. Darüber hinaus sollte die Verteilung der Verantwortlichkeiten der jeweils Beteiligten definiert werden. Gibt es eine gesetzliche Regelung, die diese Pflichten des Verantwortlichen festschreibt, geht diese vor.

Es empfiehlt sich, die folgenden Inhalte in der Vereinbarung zu berücksichtigen:

  1. Beschreibung der Datenverarbeitung, siehe dazu Art. 28 Abs. 3 S. 1 Hs. 2 DSGVO,
  2. Phasen, Funktionen und Beziehungen aller gemeinsam Verantwortlichen des gesamten Datenverarbeitungsprozesses,
  3. generelle Beschreibung der Verteilung der datenschutzrechtlichen Verantwortlichkeiten,
  4. eine Festlegung der jeweiligen Rechtmäßigkeitsvoraussetzungen (Beispiel: Um die personenbezogenen Daten der Betroffenen zu verarbeiten, ist deren Einwilligung erforderlich. Hier sollte festgehalten werden, wer die Einwilligungserklärungen verfasst).
  5. Umgang mit Betroffenenrechten, insbesondere
  6. Vereinbarung über technisch-organisatorische Maßnahmen (Art. 32 DSGVO),
  7. Klärung der Zusammenarbeit bzgl. einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO),
  8. Zusammenarbeit bei Feststellung, Behandlung und Meldung von Datenschutzverletzungen, (Art. 33 und 34 DSGVO),
  9. Nennung von gegenseitigen Ansprechpartnern für den Datenschutz und Vereinbarung von Notfall- und Eskalationsmechanismen (z. B. im Falle von Datenschutzverletzungen oder Behördenanfragen),
  10. Pflichten zur gegenseitigen Übermittlung von Informationen (z. B. für die Erstellung von Verarbeitungsverzeichnissen),
  11. bei internationalen Übermittlungen Festlegung der eingesetzten Mechanismen und Verantwortlichkeiten (werden Daten in ein Land außerhalb der EU übermittelt, so ist der Betroffene gem. Art. 44 ff. EU DSGVO hierüber zu informieren, hier ist insbesondere Art. 47 EU DSGVO zu beachten),
  12. Regelungen zum Change-Management (wie wird auf den Datenschutz betreffende Änderungen reagiert?) sowie
  13. Regelungen zum Haftungsausgleich im Innenverhältnis (Art 82 DSGVO).

Information der Betroffenen

Betroffenen ist nach Art. 26 Abs. 2 S. 2 DSGVO „das Wesentliche der Vereinbarung zur Verfügung zu stellen“. Da das Gesetz hierfür keine bestimmte Form vorsieht, sollte es ausreichen, die entsprechenden Ausführungen hierzu in die Datenschutzhinweise zu integrieren.

Es bleibt die Frage offen, was das für die Betroffenen Wesentliche ist, worüber sie also informiert werden müssen. Einerseits sollte über die Art der Zusammenarbeit sowie insbesondere darüber informiert werden, welche Daten zwischen den Beteiligten ausgetauscht werden. Andererseits sollte erläutert werden, wie und gegenüber wem sie Betroffenenrechte ausüben können.

Achtung: Unabhängig von den in der Vereinbarung getroffenen Regelungen kann der Betroffene seine Rechte nach Art. 26 Abs. 3 DSGVO grundsätzlich gegenüber jedem Verantwortlichen geltend machen.

Haftungsrisiken für gemeinsam Verantwortliche

Wie auch im Bereich der Auftragsverarbeitung führt auch die gemeinsame Verantwortlichkeit gem. Art. 82 Abs. 2 S. 1, Abs. 4 DSGVO zu einer gesamtschuldnerischen Haftung. Ein Betroffener kann den ihm entstandenen Schaden also von jedem Verantwortlichen voll ersetzt verlangen. Der zahlende Verantwortliche kann sich dann natürlich an seine Mitstreiter wenden, um den gezahlten Gesamtbetrag anteilig von diesen zurückzubekommen. Umso wichtiger ist es, eine klare Regelung für den Innenausgleich zu treffen.

Das zweite Risiko sind Geldbußen, die durch Aufsichtsbehörden nach Art. 83 Abs. 4 lit. a) DSGVO gegenüber den gemeinsam Verantwortlichen verhängt werden können. Beispielsweise kann die Aufsichtsbehörde ein Bußgeld verhängen, wenn eine gemeinsame Verantwortlichkeit vorliegt, aber zwischen den Beteiligten keine Vereinbarung i.S.v. Art. 26 Abs. 2 S. 1 DSGVO abgeschlossen wurde. Allein das Fehlen dieses Papiers kann bis zu 10 Mio. Euro kosten oder aber 2 % des gesamten weltweit erzielten Jahresumsatzes – je nachdem welcher Betrag höher ist.

Fazit: Ordentliche Vereinbarungen und tatsächliche Zusammenarbeit

Die klare Regelung zu gemeinsam Verantwortlichen sollte gerade für Konzerne von Interesse sein, die Daten zwischen ihren verschiedenen Gesellschaften transferieren. Entscheidend ist dabei allerdings eine ordnungsgemäß gestaltete Vereinbarung zwischen den Beteiligten und – was noch viel wichtiger ist –, dass tatsächlich mindestens zwei Verantwortliche im Sinne von Art. 26 DSGVO miteinander personenbezogene Daten verarbeiten.

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am:

Regelmäßige Kontrolle von Auftragsverarbeitern

Die Datenschutz-Grundverordnung (DSGVO) schreibt bei einer Verarbeitung personenbezogener Daten im Auftrag die regelmäßige Kontrolle des Dienstleisters vor. Doch wie oft muss eine solche Kontrolle des Auftragsverarbeiters erfolgen? Worauf muss der Verantwortliche dabei achten? Und wie ist mit auftretenden Problemen umzugehen? Unsere praktische Anleitung zeigt Lösungen für die typischsten Probleme auf!

Die DSGVO gilt mittlerweile mehrere Jahre. Zu ihrem Start wurden sehr viele Vereinbarungen zur Auftragsverarbeitung hektisch und teils mehr oder weniger sinnvoll abgeschlossen oder auf Stand gebracht. Nach Unterschrift wurden die neuen oder aktualisierten Verträge abgelegt und gelegentlich vergessen. Nun wird es allerdings höchste Zeit, eingesetzte Dienstleister einer Regelkontrolle zu unterziehen!

Auswahl und wiederholte Kontrollen von Auftragsverarbeitern

Viele wesentliche Neuerungen im Bereich der Auftragsverarbeitung ergaben sich durch die DSGVO nicht. Auch die Pflicht, eingesetzte Dienstleister nicht nur zu Beginn sorgfältig auszuwählen, sondern diese auch im Laufe der Kooperation weiterhin zu kontrollieren, ist gleichgeblieben. Art. 28 Abs. 1 DSGVO sagt ganz klar aus, dass der Verantwortliche nur mit Auftragsverarbeitern zusammenarbeitet, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Dies ist eine laufende, keine einmalige Pflicht. Sie besteht für jedes Auftragsverarbeitungsverhältnis, grundsätzlich unabhängig von dessen Dauer und Bedeutung.

Eine verbindliche Vorgabe, wie häufig im Laufe einer Kooperation eine Kontrolle erfolgen muss, fehlt nach wie vor. Auch hier richtet sich die Anforderung nach dem Risiko im Einzelfall. Je kritischer die Verarbeitung, desto häufiger und intensiver muss kontrolliert werden.

Als Daumenregel können die bisherigen Aussagen der Aufsichtsbehörden herangezogen werden. Eine unterjährige Kontrolle ist nur bei hohen Risiken geboten. Lange Abstände von zwei Jahren und mehr sollten jedenfalls mit einer guten Begründung untermauert werden können. Ein Abstand von fünf Jahren ist nicht mehr akzeptabel.

Wir empfehlen daher, Kontrollen im Normalfall alle ein bis anderthalb Jahre durchzuführen. Dies wird üblichen Risiken angemessen sein und bringt den Verantwortlichen nicht in die Verlegenheit, sich rechtfertigen zu müssen oder sich dem Vorwurf der mangelnden Sorgfalt ausgesetzt zu sehen.

Typische Probleme bei der Kontrolle von Auftragsverarbeitern

Viele Verantwortlichen sehen sich bei Kontrollen mit dem Problem konfrontiert, wie man denn den auftragsverarbeitenden Dienstleister nun eigentlich prüft oder wie man vorgelegte Nachweise interpretiert. Im Folgenden schildern wir einige typische Fehler oder Hürden, denen wir in unserer Beratungspraxis mit schöner Regelmäßigkeit begegnen, und zeigen, worauf es tatsächlich ankommt.

Die Prüfung oder der Nachweis erfolgt per Standardfragebogen.

Bei einem bereits abgeschlossenen Vertrag ist ein offen formulierter Fragebogen unpassend! Im Gegensatz zur Phase vor Abschluss des Vertrages, in der es noch galt, die konkreten technischen und organisatorischen Maßnahmen festzustellen und ggf. noch über diese zu verhandeln, geht es nach geschlossenem Vertrag um die Prüfung, ob der Dienstleister seine im Vertrag verbrieften Versprechen auch hält. Maßstab ist, was vereinbart wurde – und nur noch das. Nichts anderes schuldet der Auftragsverarbeiter!

Spätestens jetzt rächt sich, wenn die Maßnahmen beim Abschluss des Vertrages nicht oder nur ungenau festgelegt wurden. Die Kontrolle einer nicht definierten Leistung ist schwierig. Wer nur „Kartoffeln“ bestellt, darf sich nicht wundern oder beschweren, wenn er statt der benötigten zwei Kilogramm festkochende, ein halbes Kilogramm mehligkochende erhält. Warum ausgerechnet im Bereich des Datenschutzes so häufig nicht exakt bestellt bzw. vereinbart wird, obwohl es hier schnell kritisch werden könnte, ist nicht nachvollziehbar.

Wer als Verantwortlicher erst im Rahmen einer Kontrolle mehr oder etwas anderes erwartet, hat beim Abschluss des Vertrages nicht aufgepasst. Statt einer Prüfung sollte hier die Vereinbarung – also der Vertrag über die Auftragsverarbeitung selbst – auf Stand gebracht werden.

Merke: Die Kontrolle des Auftragsverarbeiters hat sich ausschließlich an den tatsächlich vereinbarten Maßnahmen zu orientieren.

Als Nachweis wird unverändert die gleiche Aufzählung oder Beschreibung geliefert, die bereits dem Vertrag anhängt.

Dies ist kein Nachweis! Es geht im Rahmen der Kontrolle nicht mehr um die Beschreibung der Maßnahmen, sondern um den Nachweis, dass diese auch umgesetzt werden. Durchgeführte Messungen und deren Ergebnis sind gefragt! Aktuelle Belege für eine existierende Maßnahme sind notwendig – nicht eine Wiederholung des Versprechens.

Merke: Akzeptieren Sie keine simple Wiederholung des vertraglichen Versprechens. Fordern Sie nachvollziehbare Belege dafür, dass es eingehalten wird.

Es werden untaugliche Zertifikate vorgelegt oder akzeptiert.

Es gibt derzeit leider immer noch kein einziges Zertifikat, welches für sich allein ausreicht, um die allgemeinen Anforderungen der DSGVO nachzuweisen. Erst recht gilt dies, wenn es um individuelle Anforderungen geht, wie sie sich im Vertrag zwischen Verantwortlichem und Auftragsverarbeiter wiederfinden.

Zudem zertifiziert sich der Auftragsverarbeiter in aller Regel aus seiner eigenen Perspektive. Beispielsweise besagt ein ISO 27001-Zertifikat, dass die eigenen Risiken des Auftragsverarbeiters im Bereich der Informationssicherheit mittels eines Managementsystems behandelt werden. Eine Aussage für fremde Risiken (also die der betroffenen Personen) kann das Zertifikat nicht enthalten. Diese spiegeln sich nur mittelbar wider und das auch nur, falls sie überhaupt betrachtet und korrekt einbezogen wurden.

Auch ist allein dem Zertifikat nicht zu entnehmen, ob denn überhaupt alle für den Verantwortlichen relevanten Kapitel der ISO 27002 umgesetzt wurden. Vielleicht spielt ja für den Dienstleister Verschlüsselung keine Rolle und das Kapitel mit den passenden Maßnahmen wurde gar nicht umgesetzt? Dies wäre fatal, wenn im Bereich des Verantwortlichen der Einsatz von Kryptografie hoch wichtig ist.

Es darf auch nicht vergessen werden, dass diese spezielle Zertifizierung allein das Vorliegen eines Managementsystems bestätigt, aber keine Aussage über ein bestimmtes Sicherheitsniveau trifft. Der Zertifikatsinhaber kennt den richtigen Weg, aber es ist völlig offen, wie weit er ihn schon gegangen ist.

Viele der in der Praxis sonst vorgelegten Zeugnisse und Bestätigungen sehen schön aus, sind aber von vornherein nicht verwertbar, da – im Gegensatz zu veröffentlichten Standards ­– schon gar nicht bekannt ist, was eigentlich Gegenstand der Prüfung war und welche Hürden übersprungen werden mussten, um die Bescheinigung zu erhalten. Es sind tatsächlich „Datenschutzbescheinigungen“ im Umlauf, die nichts weiter bestätigen, als dass ein Mitarbeiter der ausstellenden Stelle vor Ort war.

Tipp: Prüfen Sie als Verantwortlicher daher bei Bestätigungen, Zeugnissen oder Zertifikaten sehr sorgfältig, welchen Aussagegehalt und welche Bedeutung diese tatsächlich für das konkrete Auftragsverarbeitungsverhältnis haben und ob nicht ggf. zusätzliche Nachweise notwendig sind.

Es werden untaugliche Nachweise erbracht.

Auch das kommt häufig vor: Der Dienstleister belegt zwar eine Messung und liefert ein positives Ergebnis, nur leider passt das Ganze nicht zur versprochenen Maßnahme. Typisch sind hier etwa Angaben zur Verschlüsselung und zum Back-up, wenn es eigentlich um die Frage der Belastbarkeit geht. Oder es tauchen Angaben zur Protokollierung von Benutzereingaben im Zusammenhang mit der Verfügbarkeit auf. Ebenfalls hat der Gebäudebrandschutz nicht zwingend etwas mit der Frage der Wiederherstellbarkeit zu tun.

In diesem Zusammenhang ist es weniger tragisch, wenn sich der Dienstleister bei der Zuordnung der Maßnahme zum Gewährleistungsziel irrt, das Bild aber insgesamt dennoch vollständig ist. Ärgerlich wird es, wenn durch die Angabe unpassender Maßnahmen verschleiert wird, dass ein Gewährleistungsziel nicht erfüllt ist, es also gar keine passenden Maßnahmen gibt. Insbesondere mit der Beschreibung von Maßnahmen zur Erfüllung  des Art. 32 Abs. 1 d) DSGVO haben erschreckend viele Dienstleister überraschend große Probleme.

Tipp: Hinterfragen Sie jede nachgewiesene Maßnahme, ob diese überhaupt geeignet ist, das vereinbarte Ziel zu unterstützen. Ziehen Sie ggf. Ihren IT-Spezialisten heran. Prüfen Sie, ob alle Gewährleistungsziele abgedeckt sind.

Der erbrachte Nachweis wäre zwar grundsätzlich geeignet, ist aber nicht nachvollziehbar.

Übliche Fälle sind Bestätigungen eines Prüfers oder des eigenen Datenschutzbeauftragten, in denen sich zu den einzelnen relevanten Maßnahmen lediglich die isolierte Feststellung findet, diese wären erfüllt. Wie der Autor zu seinem Ergebnis kommt, verrät er nicht.

Entscheidend ist hier, dass der Verantwortliche durch einen Bericht selbst in die Lage versetzt wird, die Prüfung gedanklich nachzuvollziehen. Was ist die Anforderung? Was und wie wurde geprüft? Was wurde festgestellt? Welche Schlussfolgerung erlaubt diese Feststellung? Auf Basis welcher persönlichen Qualifikation erlaubt sich der Urteilende seine Aussage?

Tipp: Prüfen Sie bei der Beurteilung von Berichten oder Prüfungen, ob nachvollziehbar ist, wie die Einzelergebnisse und die Gesamtbewertung zustande kommen.

Es wird zwar das Vorhandensein einer Regelung nachgewiesen – nicht aber deren Einhaltung

In solchen Fällen kann der eingesetzte Dienstleister zwar belegen, dass es Vorgaben für bestimmte Bereiche gibt. Dass aber der tatsächliche Ist-Zustand mit dem auf dem Papier vorgesehenen Soll-Zustand übereinstimmt, kann sehr häufig nicht nachgewiesen werden. Zu oft erfolgen die hierfür notwendigen Selbstüberprüfungen nicht, da es keine tauglichen Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung gibt. Lediglich auf Datenpannen oder aufgetretene Störungen zu reagieren, ist in diesem Zusammenhang nicht ausreichend.

Die nachgewiesenen Maßnahmen sind für den Auftrag nicht relevant.

Der Dienstleiser liefert einen Nachweis für eine passende Maßnahme, nur leider ist diese für den Auftrag gar nicht relevant. Sie wird vielmehr allein für eigene Zwecke eingesetzt. Praktisch begegnet man mit schöner Regelmäßigkeit der professionellen Verschlüsselung, die bei genauerem Hinsehen allerdings nur bei Übermittlung der eigenen Lohndaten an das eigene Lohnbüro oder den eigenen Steuerberater des Dienstleisters eingesetzt wird und damit für den vom Verantwortlichen erteilten Auftrag keinerlei Bedeutung hat.

Ebenso populär ist die ausführliche Beschreibung und Kontrolle der Maßnahmen im Rechenzentrum, in dem jedoch nur die eigenen Verarbeitungen des Dienstleisters erfolgen. Schade, wenn die Leistung im Auftrag im Wesentlichen aus den Geschäftsräumen des Auftragsverarbeiters erbracht wird, hierzu aber keine Nachweise vorliegen.

Nebenbei erwähnt: Im Vertrag an sich sollten sich schon gar keine Maßnahmen finden, die nichts mit dem Auftrag zu tun haben. Diese haben dort nichts verloren, begegnen aber in der Praxis immer noch massenhaft.

Merke: Legen Sie besonderes Augenmerk darauf, dass tatsächlich die Ihnen geschuldeten und für Sie relevanten Maßnahmen nachgewiesen werden.

Es werden zu wenige Nachweise erbracht und unangenehme Punkte umschifft.

Typische Fälle sind:

  1. Die versprochene Kontrolle der eingesetzten Subdienstleister.
  2. Die eigenen Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
  3. Die regelmäßige und angemessene Schulung der eigenen Mitarbeiter.
  4. Die Kontrolle bestehender Berechtigungen.
  5. Der Aufbau einer Regelungslandschaft und die regelmäßige Pflege.

In Fällen solcher Lücken genauer nachzuhaken, ist notwendig und kann oft sehr ernüchternd sein. Suchen Sie sich als Stichprobe ein paar wenige, ganz konkrete, aber ggf. unangenehme Versprechen heraus und nageln Sie den Dienstleister darauf fest.

Tipp: Verlangen Sie zumindest in einigen kritischen Punkten ganz konkrete Nachweise als Stichprobe. Überlassen Sie die Auswahl von Stichproben nicht allein dem Dienstleister.

Nachweise werden aus Sicherheitsgründen nicht erbracht.

Eher dreist ist der Fall, dass an sich vertraglich zugesagte Nachweise dann im Ernstfall aus Sicherheitsbedenken verweigert werden. Ob es um die komplette Verweigerung jeder Auskunft geht oder um etwa die Preisgabe von Details zur Güte eingesetzter Passwörter, alles kann einem in der Praxis begegnen.

Hierbei vergessen Sie bitte nicht, dass der Verantwortliche eben dies ist: verantwortlich. Zudem sehen Gesetz und Vertrag vor, dass der Auftragsverarbeiter im notwendigen Umfang mitwirkt. Die Maßnahmen, deren Umsetzung der Verantwortliche ggf. sogar selbst nachzuweisen hat, vor diesem geheim zu halten, geht nicht. Bedenken können jederzeit durch eine entsprechende Vertraulichkeitsvereinbarung ausgeräumt werden.

Tipp: Lassen Sie sich nicht abwimmeln. Sie haben die gesetzliche Pflicht sowie das gesetzliche und vertragliche Recht, zu kontrollieren und die hierfür notwendigen Auskünfte zu erhalten.

Vorgehen bei der Kontrolle des Auftragsverarbeiters

Selbstverständlich gilt auch im Rahmen solcher Kontrollen der Grundsatz der Angemessenheit. Aufwand und Tiefe müssen und dürfen dem mit der Verarbeitung verbundenen Risiko entsprechen. Eine Kontrolle jeder einzelnen Maßnahme ist bei normalen Risiken regelmäßig nicht notwendig. Eine angemessene Zahl von Stichproben genügt. Eine Vertiefung ist angezeigt, wenn Stichproben fehlschlagen.

In der nächsten Runde zieht man dann andere Stichpunkte und setzt andere Schwerpunkte. Im Laufe der Kooperation sollte der Verantwortliche in allen Bereichen einmal vorbeigekommen sein.

Hilft alles nichts, muss ggf. selbst und vor Ort im Detail kontrolliert werden. Wobei die oben gegebenen Hinweise entsprechend gelten. Leider zeigt auch hier die Erfahrung, dass der Aufwand für eine vor Ort Inspektion leider häufig vergebens ist, wenn vorher bereits alle Versuche gescheitert sind, aus der Ferne geeignete Nachweise zu erhalten.

Falls der Auftragsverarbeiter keine Konsequenzen zieht

Eine gescheiterte Prüfung muss Folgen haben. Ein „Weiter so“ kann es nicht geben. Setzt der Verantwortliche in voller Kenntnis der Mängel den Auftragsverarbeiter trotzdem weiter ein, wird eine Aufsichtsbehörde hierfür eher wenig Verständnis aufbringen.

Reagieren Sie auf Verstöße und Mängel. Verfolgen Sie diese nach. Ziehen Sie die notwendigen Konsequenzen. Schlimmstenfalls sollte die Kooperation beendet werden.

Übrigens: Verschuldet der Dienstleister eine berechtigte außerordentliche Kündigung durch den Verantwortlichen, macht dies den Dienstleister regelmäßig schadensersatzpflichtig. Den Aufwand, der durch eine verfrühte Beendigung der Zusammenarbeit und die Suche nach einem neuen Dienstleister (verglichen mit den Kosten bei einer ordentlichen Beendigung) zusätzlich entsteht, hat der bisherige Dienstleister zu ersetzen.

Fazit: Ohne Kontrolle keine Auftragsverarbeitung

Die regelmäßige Kontrolle eingesetzter Auftragsverarbeiter ist nicht nur vorgeschrieben, sondern auch sinnvoll. Denn zum einen haftet der Verantwortliche zumindest teilweise für Datenschutzverstöße mit. Zum anderen trifft ein möglicher Imageschaden vor allem den Verantwortlichen. Die wirtschaftlichen Folgen sind in beiden Fällen nicht abzusehen.

Da sich die Kontrolle von Auftragsverarbeitern insbesondere aus Perspektive des technischen Datenschutzes für viele Verantwortliche schwierig gestaltet, gilt gerade in diesem Bereich: Holen Sie sich den Rat eines Fachmanns, der sämtliche Aspekte versteht, erläutern und in technischer, rechtlicher und tatsächlicher Hinsicht beurteilen kann!

Bestellen Sie jetzt einen unserer Experten als externen Datenschutzbeauftragten für Ihr Unternehmen und profitieren von der DSGVO-Compliance zum Flatratepreis!

Geschrieben am: