Internationaler Datenschutz

Innerhalb der Europäischen Union gilt das so genannte Territorialprinzip. Es besagt, dass das Datenschutzrecht des jeweiligen Landes gilt, in welchem das Unternehmen seinen Sitz hat. Mit Sitz ist aber nicht zwangsläufig der Hauptsitz gemeint. Sollte beispielsweise ein spanisches Unternehmen eine Niederlassung in Deutschland unterhalten und hier personenbezogene Daten verarbeiten, gilt das deutsche BDSG. Unterhält wiederum ein deutsches Unternehmen eine Niederlassung in Spanien und verarbeitet dort personenbezogene Daten, gilt spanisches Recht.

Staaten, die außerhalb des EU-Gemeinschaftsgebietes liegen, werden als Drittländer bezeichnet. Im Allgemeinen verhält es sich so, dass auch hier das Territorialprinzip gilt und somit das Datenschutzrecht des jeweiligen Landes zu berücksichtigen ist.

Aufgrund von EU-Vorgaben existiert jedoch eine entscheidende Einschränkung. Es ist zwischen sicheren und unsicheren Drittländern zu unterscheiden. Ein Datentransfer in Drittländer ist nur gestattet, wenn es sich um ein sicheres Drittland handelt. Ob ein Drittland als sicher oder unsicher einzustufen ist, hat wiederum die EU definiert. Als sichere Drittländer gelten Staaten, deren Datenschutzniveau mit dem Niveau der EU vergleichbar ist und somit als angemessen gilt.

Unternehmen sind jedoch nicht vollständig die Hände gebunden, schließlich können sie sich für solche Vorhaben auch das Einverständnis der Betroffenen holen. Dies ist am Ende der entscheidende Punkt: Wenn Betroffene ihr ausdrückliches Einverständnis erteilen, kann eine Datenverarbeitung auch in unsicheren Drittländern zulässig sein.

Die zu bewertenden Auftragsdatenverarbeitungen sind gesondert zu analysieren. Wir unterstützen Sie bei der Auswahl eines angemessen Vorgehens. Bei Fragen freuen wir uns Ihnen mit Rat und Tat zur Seite zu stehen.

Auftragsverarbeitung

Mit Einführung der DSGVO wurde der Begriff Auftragsdatenverarbeitung von der Auftragsverarbeitung abgelöst. Ebenso der frühere Auftragsdatenverarbeiter vom Auftragsverarbeiter. Aber nicht nur die Begrifflichkeiten sind in der DSGVO neu geregelt, sondern auch einige der anzuwendenden Vorschriften bei der Verarbeitung von personenbezogenen Daten im Auftrag.

Die folgenden Anwendungsfälle verdeutlichen die Verarbeitung von personenbezogenen Daten im Auftrag:

Lohnbuchhaltung: Das Unternehmen leitet personenbezogene Daten zu einzelnen Mitarbeitern gezielt weiter. Hierunter befinden sich sogar sensible Daten, weil unter anderem die Höhe des Einkommens oder die Anzahl der Kinder mitgeteilt wird.

Kundenservice: Besonders im Kundenservice ist Outsourcing stark verbreitet, viele Unternehmen betreuen ihre Kunden nicht mehr selbst. Wenn beispielsweise Reparaturen innerhalb der Garantiezeit anstehen, werden externe Service-Partner eingeschaltet, die zugleich personenbezogene Daten übermittelt bekommen.

Personalbeschaffung: Im produzierenden Gewerbe ist es nicht ungewöhnlich, dass sich Unternehmen gezielt Fachkräfte bei Arbeitsvermittlern oder Zeitarbeitsfirmen leihen. Auch hier werden sensible Daten regelmäßig im Auftrag übermittelt.

Seit Einführung der DSGVO können Aufsichtsbehörden gezielte Sanktionen gegen den Verantwortlichen und den Auftragsverarbeiter verhängen. Seit dem 25.05.2018 hat der Gesetzgeber den rechtlichen Rahmen erheblich verschärft und die maximale Höhe für Bußgelder heraufgesetzt. Seither können Fehler, die mit der auftragsmäßigen Verarbeitung personenbezogener Daten in Verbindung stehen, nach Art. 83 DSGVO mit einer Geldstrafe von bis zu 4 Prozent des weltweit erzielten Jahresumsatzes des Unternehmens verhängt werden.

Um gemäß DSGVO und BSDG konform zu agieren unterstützen wir sie gerne. Die zu regelnden Punkte werden im Folgenden gemäß Art. 28 DGVO aufgezählt:

• Gegenstand und Dauer der Verarbeitung.
• Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten. Art der Daten und Kreis der Betroffenen.
• Garantie der technischen und organisatorischen Maßnahmen.
• Berichtigung, Löschung und Sperrung von Daten.
• Etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen.
• Kontrollrechte des Auftraggebers und entsprechende Duldungs- und Mitwirkungspflichten des Auftragnehmers.
• Verpflichtung der Mitarbeiter des Auftragnehmers zur Vertraulichkeit.
• Mitwirken bei Datenschutz-Folgenabschätzungen und Meldepflichten.
• Mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen.
• Zusammenwirken bei Anfragen und Ansprüchen von betroffenen Personen
• Ausmaß der Weisungsbefugnisse, welche sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält.
• Rückgabe von Datenträgern sowie Löschung gespeicherter Daten nach Auftragsbeendigung.

Zur Herstellung des angemessenen Datenschutzes in Ihrer Organisation prüfen unsere Experten, ob Vertragsverhältnisse über die Auftragsverarbeitung bestehen und ob sie den Anforderungen des Datenschutzes gerecht werden. Andernfalls passen wir gemeinsam die Verträge an oder schließen neue ab. Anschließend überwachen wir alle relevanten Geschäftsprozesse, damit auf Änderungen umgehend reagiert werden kann. Unterliegt Ihre Institution den Anforderungen für Auftragsverarbeitung? Wir helfen Ihnen gerne weiter, nehmen Sie jetzt Kontakt zu uns auf.

‍