Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Auftragsverarbeitung

  • KI-Meeting-Assistenten: Transkription und Protokoll datenschutzkonform

    Ein Klick, und die KI schreibt das Meeting mit, erstellt ein Protokoll und eine Aufgabenliste: KI-Meeting-Assistenten sind in vielen Videokonferenzdiensten integriert oder als eigenständige Tools verfügbar. Sie sparen Zeit, verarbeiten aber Stimme, gesprochene Inhalte und oft auch Bilder aller Teilnehmenden. Datenschutzrechtlich ist das ein deutlich stärkerer Eingriff als eine klassische Videokonferenz.

    Was passiert technisch?

    Die Tools zeichnen den Ton (teilweise auch das Bild) auf, wandeln Sprache in Text um, ordnen Redebeiträge Personen zu und erstellen mithilfe von Sprachmodellen Zusammenfassungen. Je nach Anbieter werden die Daten in der Cloud verarbeitet, gespeichert und mitunter zur Verbesserung der Modelle verwendet. Teilweise treten die Assistenten als eigene „Teilnehmer“ einer Konferenz auf, die von einzelnen Nutzern eingeladen werden, auch ohne Wissen der übrigen Teilnehmenden.

    Rechtliche Anforderungen

    • Die Aufzeichnung und Transkription ist eine eigenständige Verarbeitung, die eine Rechtsgrundlage braucht. Berechtigte Interessen an effizienter Dokumentation können sie im Einzelfall tragen; bei externen Teilnehmenden und sensiblen Inhalten wird häufig eine Einwilligung erforderlich sein.
    • Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Alle Teilnehmenden müssen daher vorab wissen, dass aufgezeichnet wird, und sollten dem zustimmen.
    • Informiert wird vor Beginn, in der Einladung und zu Beginn des Meetings. Ab dem 2. August 2026 gelten zudem die Transparenzpflichten der KI-Verordnung, etwa für KI-generierte Inhalte.
    • Beim Anbieter sind Auftragsverarbeitungsvertrag, Serverstandort, Ausschluss der Nutzung für Training und Löschfristen zu prüfen. Hinweise in unserem Beitrag zu Videokonferenz-Tools.

    Besonderheiten im Beschäftigungsverhältnis

    Transkripte von Teambesprechungen lassen Rückschlüsse auf Leistung und Verhalten einzelner Beschäftigter zu, etwa über Redeanteile oder Formulierungen. Eine Auswertung zu Kontrollzwecken ist regelmäßig unzulässig. Der Betriebsrat ist bei der Einführung zu beteiligen, weil es sich um eine technische Einrichtung handelt, die zur Leistungs- und Verhaltenskontrolle geeignet ist. Eine Einwilligung von Beschäftigten ist nur wirksam, wenn sie wirklich freiwillig ist. Künftig können zudem die Hochrisiko-Regeln der KI-Verordnung für bestimmte KI-Anwendungen im Beschäftigungsbereich greifen; deren Geltungsbeginn soll nach den laufenden Plänen des EU-Gesetzgebers allerdings verschoben werden.

    Regeln für den Einsatz im Unternehmen

    1. Nur freigegebene Tools nutzen; private Assistenten, die sich selbst in Meetings einwählen, unterbinden.
    2. Aufzeichnung standardmäßig aus, Aktivierung nur nach Ankündigung.
    3. Keine Aufzeichnung bei Personal-, Gesundheits- oder vertraulichen Mandantengesprächen.
    4. Transkripte kurz speichern, Protokoll behalten, Audiodatei löschen.
    5. Ergebnisse prüfen, denn KI-Zusammenfassungen können Aussagen verfälschen.
    6. Die Regeln in die KI-Richtlinie aufnehmen und Beschäftigte schulen; siehe KI-Kompetenz nach Art. 4 AI Act.

    Niemand darf von einer Aufzeichnung überrascht werden: Wer vorab informiert, Zustimmung einholt und sensible Gespräche ausnimmt, hält die Risiken gering. Bei der Einführung von KI-Meeting-Tools und einer Betriebsvereinbarung dazu beraten wir Sie gern. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Cloud-Dienste datenschutzkonform auswählen: Checkliste für KMU

    Cloud-Dienste sind für kleine und mittlere Unternehmen heute Standard: E-Mail und Office-Anwendungen, Dateiablage, Buchhaltung, Kundenverwaltung, Terminbuchung. Die Vorteile liegen auf der Hand, nämlich keine eigene Serverinfrastruktur, Zugriff von überall und automatische Updates. Datenschutzrechtlich bleibt das Unternehmen aber verantwortlich für die Daten, die es in die Cloud legt. Die Auswahl des Anbieters ist deshalb eine wichtige Compliance-Entscheidung.

    1. Vertrag zur Auftragsverarbeitung

    Cloud-Anbieter verarbeiten Daten in aller Regel im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist daher Pflicht. Große Anbieter stellen Standardverträge bereit, die meist nicht verhandelbar sind. Prüfen Sie, ob sie die gesetzlichen Mindestinhalte enthalten und ob der Anbieter Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder für das Training von KI-Funktionen. Einzelheiten im Beitrag zum Auftragsverarbeitungsvertrag.

    2. Serverstandort und Drittlandbezug

    Wo werden die Daten gespeichert, und wer hat Zugriff? Viele Anbieter bieten Rechenzentren in der EU an. Bei US-Anbietern ist zu prüfen, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind. Auch bei EU-Rechenzentren können Zugriffe aus Drittländern stattfinden, etwa durch Support-Mitarbeiter oder Unterauftragnehmer. Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.

    3. Sicherheit und Zertifizierungen

    • Verschlüsselung bei Übertragung und Speicherung,
    • Zwei-Faktor-Authentifizierung und differenzierte Rechteverwaltung,
    • Protokollierung von Zugriffen,
    • anerkannte Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder dem C5-Kriterienkatalog des BSI,
    • klare Regeln zur Meldung von Sicherheitsvorfällen.

    4. Datenschutzfreundliche Konfiguration

    Viele Probleme entstehen nicht durch den Anbieter, sondern durch die Einstellungen beim Kunden: öffentlich freigegebene Ordner, zu weit gefasste Berechtigungen, aktivierte Telemetrie oder automatische KI-Funktionen. Prüfen Sie die Einstellungen vor dem Start und wählen Sie die datenschutzfreundlichsten Optionen. Der BGH hat jüngst betont, dass problematische Voreinstellungen einen Verstoß gegen den Grundsatz der Datenminimierung begründen können; siehe unseren Beitrag zum Facebook-Scraping-Urteil.

    5. Löschung und Exit-Strategie

    Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder den Vertrag beenden? Achten Sie darauf, dass Sie Ihre Daten in einem gängigen Format exportieren können und dass der Anbieter sie nach Vertragsende löscht. Auch Backups beim Anbieter sollten in den Löschprozess einbezogen sein.

    6. Berufsgeheimnisträger

    Für Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger gelten zusätzliche Anforderungen. Dienstleister sind zur Verschwiegenheit zu verpflichten, und es ist sorgfältig zu prüfen, ob die Inanspruchnahme der Cloud für die Tätigkeit erforderlich ist. Hinweise für Praxen enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    7. Dokumentation

    Halten Sie Ihre Auswahlentscheidung, den Vertrag, die geprüften Einstellungen und die Unterauftragsverarbeiter fest und nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Bei umfangreicher Verarbeitung sensibler Daten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Eine strukturierte und dokumentierte Auswahl erspart später teure Nachbesserungen. Wir begleiten Sie beim Umstieg in die Cloud und prüfen auf Wunsch auch bereits genutzte Dienste. Kontakt aufnehmen oder Termin buchen.

  • Auftragsverarbeitung oder gemeinsame Verantwortung? Abgrenzung

    Arbeiten zwei Unternehmen bei der Verarbeitung personenbezogener Daten zusammen, muss geklärt werden, in welcher Rolle sie handeln. Die DSGVO kennt drei Konstellationen: Auftragsverarbeitung, gemeinsame Verantwortlichkeit und die Übermittlung an einen eigenständigen Verantwortlichen. Die Einordnung entscheidet darüber, welcher Vertrag nötig ist, wer haftet und wer den Betroffenen Auskunft geben muss. In der Praxis wird sie oft falsch vorgenommen, und dann wird der falsche Vertrag unterschrieben.

    Die Leitfrage: Wer entscheidet über Zwecke und Mittel?

    Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter verarbeitet dagegen im Auftrag und nach Weisung (Art. 4 Nr. 8 DSGVO). Entscheidend sind nicht die Bezeichnungen im Vertrag, sondern die tatsächlichen Verhältnisse.

    Auftragsverarbeitung

    Typisch sind „Hilfsfunktionen“: Hosting, Cloud-Speicher, Newsletter-Versand, Lohnabrechnung nach Vorgaben, Aktenvernichtung, IT-Support. Der Dienstleister verfolgt keine eigenen Zwecke mit den Daten und darf sie nicht für sich nutzen. Erforderlich ist ein Vertrag nach Art. 28 DSGVO. Einzelheiten haben wir in unserem Beitrag zum Auftragsverarbeitungsvertrag zusammengestellt.

    Gemeinsame Verantwortlichkeit

    Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel fest, sind sie gemeinsam verantwortlich (Art. 26 DSGVO). Der EuGH hat den Begriff weit ausgelegt. So ist nach seiner Rechtsprechung der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für bestimmte Verarbeitungen verantwortlich; wir hatten über diese Entscheidung berichtet. Auch die Einbindung von Social-Media-Plugins auf einer Website kann eine gemeinsame Verantwortlichkeit für die Erhebung und Übermittlung der Daten begründen. Weitere Beispiele: gemeinsame Marketingaktionen mehrerer Unternehmen, gemeinsam betriebene Plattformen oder Konzernstrukturen mit zentraler Kundendatenbank.

    Gemeinsam Verantwortliche müssen in einer Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere gegenüber den Betroffenen. Das Wesentliche der Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Unabhängig von der internen Aufteilung können Betroffene ihre Rechte gegenüber jedem der Verantwortlichen geltend machen.

    Eigenständige Verantwortliche

    Viele Dienstleister handeln eigenverantwortlich, etwa Steuerberater bei der fachlichen Beratung, Rechtsanwälte, Banken, Versandunternehmen oder Inkassounternehmen bei Forderungsübernahme. Hier ist weder ein Auftragsverarbeitungsvertrag noch eine Vereinbarung nach Art. 26 DSGVO erforderlich. Für die Übermittlung braucht der abgebende Verantwortliche aber eine Rechtsgrundlage nach Art. 6 DSGVO.

    Prüfschema für die Praxis

    1. Verfolgt der Partner mit den Daten eigene Zwecke? Wenn nein, spricht viel für Auftragsverarbeitung.
    2. Darf der Partner über wesentliche Aspekte (welche Daten, wie lange, an wen) selbst entscheiden? Dann ist er Verantwortlicher.
    3. Werden Zwecke und Mittel gemeinsam festgelegt oder greifen die Entscheidungen ineinander? Dann liegt gemeinsame Verantwortlichkeit vor.
    4. Das Ergebnis wird dokumentiert und im Verzeichnis von Verarbeitungstätigkeiten festgehalten.

    Bevor ein Standardvertrag unterschrieben wird, der nicht zur Konstellation passt, lohnt sich eine kurze Prüfung der tatsächlichen Entscheidungsbefugnisse. Wir klären mit Ihnen, welche Vereinbarung Sie mit Ihrem Partner brauchen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • WhatsApp im Unternehmen: Datenschutzrisiken und Alternativen

    Schnell ein Foto vom Schaden an den Handwerker schicken, Termine mit Kunden abstimmen, im Team kurz etwas klären: Messenger wie WhatsApp gehören zum Alltag, auch im Beruf. Für Unternehmen bringt die Nutzung jedoch erhebliche datenschutzrechtliche Risiken mit sich. Wer WhatsApp geschäftlich einsetzt, sollte die Problemfelder kennen und bewusst entscheiden.

    Problem 1: Das Adressbuch

    Die private WhatsApp-App greift, wenn der Nutzer es zulässt, auf das Adressbuch des Smartphones zu und gleicht die Telefonnummern mit den Servern des Anbieters ab. Befinden sich auf einem Diensthandy Kontaktdaten von Kunden, Lieferanten oder Kollegen, werden diese damit an einen Dritten übermittelt, ohne dass die Betroffenen davon wissen oder eingewilligt haben. Dafür fehlt in aller Regel eine Rechtsgrundlage. Abhilfe schaffen technische Lösungen, die das Adressbuch von der App trennen, etwa Container-Lösungen auf Diensthandys.

    Problem 2: Datenübermittlung in die USA

    WhatsApp gehört zum Meta-Konzern. Auch wenn Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an (wer mit wem wann kommuniziert), die auch in Drittländer übermittelt werden können. Seit dem Schrems-II-Urteil ist die Übermittlung in die USA nur mit zusätzlichen Garantien zulässig, deren Wirksamkeit im Einzelfall zu prüfen ist. Wie streng Aufsichtsbehörden diese Frage sehen, zeigt die Entscheidung der österreichischen Datenschutzbehörde zu Google Analytics.

    Problem 3: Kontrolle und Dokumentation

    Werden geschäftliche Chats auf privaten Smartphones geführt, verliert das Unternehmen die Kontrolle über die Daten. Auskunftsersuchen, Löschpflichten und Aufbewahrungspflichten für Geschäftskorrespondenz lassen sich kaum erfüllen. Scheidet ein Mitarbeiter aus, nimmt er die Kundenkommunikation mit.

    WhatsApp Business: die bessere Wahl?

    Die Business-Varianten von WhatsApp bieten zusätzliche Vertragsbedingungen für Unternehmen. Bei der API-Lösung lassen sich Nachrichten außerdem über Dienstleister verwalten, ohne auf das Adressbuch zuzugreifen. Die Drittlandfrage bleibt aber auch dort zu prüfen. Ob ein Einsatz vertretbar ist, hängt von der konkreten Konfiguration, den vertraglichen Grundlagen und den kommunizierten Inhalten ab.

    Empfehlungen für die Praxis

    1. Entscheiden Sie bewusst, ob ein Messenger überhaupt dienstlich genutzt werden darf und wenn ja, welcher.
    2. Prüfen Sie Alternativen. Es gibt Messenger europäischer Anbieter, die gezielt für den Unternehmenseinsatz konzipiert sind und Auftragsverarbeitungsverträge anbieten.
    3. Gesundheitsdaten, Vertragsunterlagen oder Bankdaten gehören nicht in Messenger-Chats.
    4. Verwalten Sie Diensthandys mit Mobile-Device-Management, getrennten Containern und Regelungen für Verlust und Ausscheiden.
    5. Stellen Sie Nutzungsregeln für Beschäftigte auf und schließen Sie, soweit möglich, einen Auftragsverarbeitungsvertrag mit dem Anbieter.
    6. Informieren Sie Kunden in der Datenschutzerklärung über die Nutzung.

    Die private WhatsApp-App auf dem Diensthandy ist die schwierigste Variante. Wenn Sie Messenger-Kommunikation mit Kunden anbieten möchten, prüfen wir die geplante Lösung und erstellen die nötigen Richtlinien. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Neue Standardvertragsklauseln 2021: Fristen und To-dos

    Knapp ein Jahr nach dem Schrems-II-Urteil des EuGH hat die Europäische Kommission am 4. Juni 2021 neue Standardvertragsklauseln (Standard Contractual Clauses, SCC) für die Übermittlung personenbezogener Daten in Drittländer verabschiedet (Durchführungsbeschluss (EU) 2021/914). Die bisherigen Klauseln aus den Jahren 2001, 2004 und 2010 laufen aus. Für Unternehmen, die mit Dienstleistern oder Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums zusammenarbeiten, besteht damit Handlungsbedarf.

    Die wichtigsten Neuerungen

    • Statt getrennter Vertragswerke gibt es ein einheitliches Dokument mit vier Modulen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Gerade die Konstellation „Auftragsverarbeiter an Unterauftragsverarbeiter“ war bislang nicht abgedeckt.
    • Über eine „Kopplungsklausel“ können weitere Parteien später beitreten.
    • Die Parteien müssen zusichern, dass sie geprüft haben, ob Recht und Praxis im Bestimmungsland die Einhaltung der Klauseln verhindern. Diese Prüfung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Damit greift die Kommission die Vorgaben des EuGH aus Schrems II auf.
    • Der Datenimporteur muss den Exporteur grundsätzlich über Zugriffsersuchen von Behörden informieren und deren Rechtmäßigkeit prüfen.
    • Die Module für Auftragsverarbeiter enthalten die Anforderungen des Art. 28 DSGVO, sodass für diese Punkte kein separater Vertrag erforderlich ist.

    Die Übergangsfristen

    Der Beschluss tritt am 27. Juni 2021 in Kraft. Die alten Standardvertragsklauseln dürfen für neue Verträge nur noch bis zum 27. September 2021 verwendet werden. Bereits bestehende Verträge auf Basis der alten Klauseln bleiben bis zum 27. Dezember 2022 wirksam, sofern die Verarbeitung unverändert bleibt und geeignete Garantien gewährleistet sind. Bis dahin müssen alle Altverträge umgestellt sein.

    Separate Klauseln für die Auftragsverarbeitung in der EU

    Am selben Tag hat die Kommission zusätzlich Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU nach Art. 28 Abs. 7 DSGVO veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Ihre Nutzung ist freiwillig. Sie bieten aber eine solide Grundlage, wenn Sie einen Auftragsverarbeitungsvertrag neu aufsetzen möchten.

    To-do-Liste für Unternehmen

    1. Alle Drittlandübermittlungen erfassen, einschließlich der Unterauftragsverarbeiter Ihrer Dienstleister.
    2. Klären, welches Modul für die jeweilige Konstellation passt.
    3. Für jede Übermittlung eine Bewertung der Rechtslage im Drittland (Transfer Impact Assessment) erstellen und dokumentieren.
    4. Gegebenenfalls zusätzliche Maßnahmen festlegen, etwa Verschlüsselung oder Pseudonymisierung. Der Europäische Datenschutzausschuss hat hierzu Empfehlungen veröffentlicht.
    5. Neue Verträge ab sofort auf Basis der neuen Klauseln abschließen; Altverträge bis spätestens 27. Dezember 2022 umstellen.
    6. Das Verzeichnis von Verarbeitungstätigkeiten aktualisieren.

    Lösen die neuen Klauseln das US-Problem?

    Nicht automatisch. Die Klauseln bieten einen verbesserten vertraglichen Rahmen, ändern aber nichts an der Rechtslage in den USA, die der EuGH beanstandet hat. Ob eine Übermittlung zulässig ist, hängt weiterhin von der Einzelfallprüfung und gegebenenfalls ergänzenden Maßnahmen ab. Das betrifft besonders Website-Dienste wie Analyse- oder Marketing-Tools, für die ohnehin eine Einwilligung über einen rechtssicheren Cookie-Banner einzuholen ist.

    Bis Ende 2022 ist Zeit, aber die Bestandsaufnahme sollte jetzt beginnen. Bei der Umstellung der Verträge und beim Transfer Impact Assessment unterstützen wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Auftragsverarbeitungsvertrag (AVV): Wann nötig, was rein muss

    Kaum ein Unternehmen verarbeitet seine Daten heute ausschließlich selbst. Hosting, Cloud-Speicher, E-Mail-Marketing, Fernwartung der IT oder die externe Lohnabrechnung: Überall dort, wo ein Dienstleister im Auftrag mit personenbezogenen Daten arbeitet, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung. Fehlt er, liegt ein Verstoß vor, den Aufsichtsbehörden sowohl beim Auftraggeber als auch beim Dienstleister ahnden können.

    Was ist Auftragsverarbeitung?

    Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Er entscheidet nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung. Typische Beispiele sind Rechenzentren, Software-as-a-Service-Anbieter, Newsletter-Dienste, Aktenvernichter, Callcenter oder IT-Dienstleister mit Zugriff auf Kundendaten.

    Keine Auftragsverarbeitung: Typische Abgrenzungen

    Nicht jede Zusammenarbeit mit Dritten ist Auftragsverarbeitung. Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater bei der fachlichen Beratung oder Wirtschaftsprüfer handeln regelmäßig eigenverantwortlich. Auch Banken, Post- und Paketdienste oder Inkassounternehmen, die Forderungen übernehmen, sind in der Regel eigene Verantwortliche. Entscheiden zwei Unternehmen gemeinsam über Zwecke und Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO mit eigenen Vertragspflichten vorliegen.

    Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

    • Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen,
    • Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
    • Verpflichtung der eingesetzten Personen zur Vertraulichkeit,
    • angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
    • Regelungen zum Einsatz von Unterauftragsverarbeitern,
    • Unterstützung bei Betroffenenrechten und bei Datenpannen,
    • Löschung oder Rückgabe der Daten nach Ende des Auftrags,
    • Nachweis- und Kontrollrechte des Verantwortlichen.

    Auf diese Punkte sollten Sie achten

    Lassen Sie sich eine Liste der Unterauftragsverarbeiter geben und vereinbaren Sie ein Informations- und Widerspruchsrecht bei Änderungen. Setzt der Dienstleister Server oder Subunternehmer außerhalb der EU ein, braucht es eine tragfähige Übermittlungsgrundlage; seit dem Schrems-II-Urteil reicht das Privacy Shield hierfür nicht mehr aus. Für Datenpannen sollten kurze Meldefristen vereinbart werden, denn Ihre eigene 72-Stunden-Frist beginnt mit Kenntnis. Einzelheiten in unserem Leitfaden zur Datenpanne.

    Standardverträge großer Anbieter

    Große Plattformen bieten ihre Auftragsverarbeitungsverträge meist nur als nicht verhandelbare Standardbedingungen an, häufig online im Kundenkonto. Das ist zulässig, entbindet aber nicht von der Prüfung, ob die Inhalte den Anforderungen genügen. Speichern Sie die jeweils akzeptierte Fassung ab; ein Link auf die aktuelle Version des Anbieters genügt für Ihre Dokumentation nicht.

    Organisation im Unternehmen

    Führen Sie eine Übersicht aller Auftragsverarbeiter mit Vertragsstatus. Diese Liste lässt sich unmittelbar mit Ihrem Verzeichnis von Verarbeitungstätigkeiten verknüpfen, in dem die Empfänger ohnehin anzugeben sind. Ob ein Vertrag erforderlich ist, sollte vor der Einführung neuer Software geprüft werden, nicht erst danach.

    Mit einer Übersicht der Dienstleister, geprüften Standardverträgen und einem Blick auf Unterauftragnehmer und Drittlandbezüge ist das Thema gut zu beherrschen. Wir entwerfen Auftragsverarbeitungsverträge und prüfen die Verträge Ihrer Dienstleister. Schreiben Sie uns oder buchen Sie direkt einen Termin.

  • Videokonferenz-Tools datenschutzkonform nutzen: 7 Prüfpunkte

    Teambesprechungen, Mandantengespräche, Bewerbungsinterviews: Videokonferenzen sind in den vergangenen Wochen für viele Unternehmen unverzichtbar geworden. Häufig wurde das Tool genutzt, das gerade verfügbar war. Jetzt ist ein guter Zeitpunkt, die Auswahl auf eine solide datenschutzrechtliche Grundlage zu stellen. Denn bei Videokonferenzen werden zahlreiche personenbezogene Daten verarbeitet: Namen, E-Mail-Adressen, IP-Adressen, Bild und Ton, Chatnachrichten und mitunter Aufzeichnungen.

    1. Wer ist verantwortlich?

    Das Unternehmen, das eine Videokonferenz organisiert und den Dienst auswählt, ist in der Regel Verantwortlicher. Der Anbieter des Tools wird typischerweise als Auftragsverarbeiter tätig. Das hat Konsequenzen: Sie müssen einen Anbieter auswählen, der hinreichende Garantien für die Sicherheit der Daten bietet, und mit ihm einen Vertrag nach Art. 28 DSGVO schließen.

    2. Vertrag zur Auftragsverarbeitung

    Prüfen Sie, ob der Anbieter einen Auftragsverarbeitungsvertrag bereitstellt und ob dieser die Mindestinhalte des Art. 28 Abs. 3 DSGVO enthält. Achten Sie insbesondere darauf, dass der Anbieter die Daten nicht für eigene Zwecke, etwa für Werbung oder Produktanalysen, nutzen darf, soweit dies nicht offen geregelt und rechtlich zulässig ist.

    3. Serverstandort und Drittlandübermittlung

    Viele bekannte Dienste stammen von Anbietern aus den USA. Eine Übermittlung in Drittländer ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch Standardvertragsklauseln oder, für die USA, eine Zertifizierung des Anbieters nach dem EU-US Privacy Shield. Beachten Sie, dass die Zulässigkeit dieser Instrumente derzeit Gegenstand eines Verfahrens vor dem Gerichtshof der Europäischen Union ist. Anbieter mit Servern in der EU und Sitz in Europa reduzieren dieses Risiko.

    4. Sicherheit: Verschlüsselung und Zugangsschutz

    Mindestens eine Transportverschlüsselung sollte Standard sein. Für vertrauliche Gespräche ist eine Ende-zu-Ende-Verschlüsselung wünschenswert. Konferenzen sollten mit Kennwort oder Warteraum geschützt werden, damit keine ungebetenen Gäste teilnehmen. Links zu Besprechungen gehören nicht in öffentliche Kanäle.

    5. Datenschutzfreundliche Voreinstellungen

    Art. 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen. Deaktivieren Sie Funktionen, die Sie nicht benötigen, etwa „Aufmerksamkeitstracking“, automatische Aufzeichnungen oder die Weitergabe von Nutzungsdaten. Kamera und Mikrofon sollten beim Betreten der Konferenz standardmäßig ausgeschaltet sein.

    6. Aufzeichnungen nur mit klarer Grundlage

    Das Aufzeichnen einer Videokonferenz ist ein zusätzlicher Eingriff. Es bedarf einer eigenen Rechtsgrundlage und der vorherigen Information aller Teilnehmenden. Bei Beschäftigten ist zu beachten, dass eine Einwilligung im Arbeitsverhältnis nur wirksam ist, wenn sie freiwillig erfolgt. Im Zweifel sollte auf Aufzeichnungen verzichtet werden. Eine heimliche Aufnahme des gesprochenen Wortes kann zudem strafbar sein (§ 201 StGB).

    7. Information der Teilnehmenden

    Nach Art. 13 DSGVO sind die Teilnehmenden über die Datenverarbeitung zu informieren. Ein kurzer Hinweis in der Einladung mit Link auf ausführliche Datenschutzhinweise genügt in der Regel. Darüber hinaus gehört der Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten.

    Konferenzen aus dem Homeoffice

    Videokonferenzen finden häufig aus dem Homeoffice statt. Achten Sie auf einen neutralen Hintergrund und darauf, dass keine Unterlagen oder Bildschirminhalte mit fremden Daten sichtbar sind, gerade bei der Bildschirmfreigabe. Weitere Hinweise für das mobile Arbeiten finden Sie in unserer Homeoffice-Checkliste. Und falls doch einmal Daten in falsche Hände geraten, zeigt unser Leitfaden zur Meldung von Datenpannen, was dann zu tun ist.

    Halten Sie Ihre Auswahlentscheidung schriftlich fest und behalten Sie die Rechtsprechung zu Datenübermittlungen in die USA im Blick. Gern prüfen wir Ihr Videokonferenz-Tool und den zugehörigen Auftragsverarbeitungsvertrag. Kontaktieren Sie uns oder buchen Sie online einen Beratungstermin.