Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Data Privacy Framework

  • Cloud-Dienste datenschutzkonform auswählen: Checkliste für KMU

    Cloud-Dienste sind für kleine und mittlere Unternehmen heute Standard: E-Mail und Office-Anwendungen, Dateiablage, Buchhaltung, Kundenverwaltung, Terminbuchung. Die Vorteile liegen auf der Hand, nämlich keine eigene Serverinfrastruktur, Zugriff von überall und automatische Updates. Datenschutzrechtlich bleibt das Unternehmen aber verantwortlich für die Daten, die es in die Cloud legt. Die Auswahl des Anbieters ist deshalb eine wichtige Compliance-Entscheidung.

    1. Vertrag zur Auftragsverarbeitung

    Cloud-Anbieter verarbeiten Daten in aller Regel im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist daher Pflicht. Große Anbieter stellen Standardverträge bereit, die meist nicht verhandelbar sind. Prüfen Sie, ob sie die gesetzlichen Mindestinhalte enthalten und ob der Anbieter Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder für das Training von KI-Funktionen. Einzelheiten im Beitrag zum Auftragsverarbeitungsvertrag.

    2. Serverstandort und Drittlandbezug

    Wo werden die Daten gespeichert, und wer hat Zugriff? Viele Anbieter bieten Rechenzentren in der EU an. Bei US-Anbietern ist zu prüfen, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind. Auch bei EU-Rechenzentren können Zugriffe aus Drittländern stattfinden, etwa durch Support-Mitarbeiter oder Unterauftragnehmer. Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.

    3. Sicherheit und Zertifizierungen

    • Verschlüsselung bei Übertragung und Speicherung,
    • Zwei-Faktor-Authentifizierung und differenzierte Rechteverwaltung,
    • Protokollierung von Zugriffen,
    • anerkannte Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder dem C5-Kriterienkatalog des BSI,
    • klare Regeln zur Meldung von Sicherheitsvorfällen.

    4. Datenschutzfreundliche Konfiguration

    Viele Probleme entstehen nicht durch den Anbieter, sondern durch die Einstellungen beim Kunden: öffentlich freigegebene Ordner, zu weit gefasste Berechtigungen, aktivierte Telemetrie oder automatische KI-Funktionen. Prüfen Sie die Einstellungen vor dem Start und wählen Sie die datenschutzfreundlichsten Optionen. Der BGH hat jüngst betont, dass problematische Voreinstellungen einen Verstoß gegen den Grundsatz der Datenminimierung begründen können; siehe unseren Beitrag zum Facebook-Scraping-Urteil.

    5. Löschung und Exit-Strategie

    Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder den Vertrag beenden? Achten Sie darauf, dass Sie Ihre Daten in einem gängigen Format exportieren können und dass der Anbieter sie nach Vertragsende löscht. Auch Backups beim Anbieter sollten in den Löschprozess einbezogen sein.

    6. Berufsgeheimnisträger

    Für Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger gelten zusätzliche Anforderungen. Dienstleister sind zur Verschwiegenheit zu verpflichten, und es ist sorgfältig zu prüfen, ob die Inanspruchnahme der Cloud für die Tätigkeit erforderlich ist. Hinweise für Praxen enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    7. Dokumentation

    Halten Sie Ihre Auswahlentscheidung, den Vertrag, die geprüften Einstellungen und die Unterauftragsverarbeiter fest und nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Bei umfangreicher Verarbeitung sensibler Daten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Eine strukturierte und dokumentierte Auswahl erspart später teure Nachbesserungen. Wir begleiten Sie beim Umstieg in die Cloud und prüfen auf Wunsch auch bereits genutzte Dienste. Kontakt aufnehmen oder Termin buchen.

  • EU-US Data Privacy Framework: Was der neue Beschluss bedeutet

    Drei Jahre nach dem Ende des Privacy Shields gibt es wieder einen Angemessenheitsbeschluss für die USA. Am 10. Juli 2023 hat die Europäische Kommission das EU-US Data Privacy Framework (DPF) angenommen. Er ist mit seiner Annahme in Kraft getreten. Für viele Unternehmen, die US-Dienstleister nutzen, bedeutet das eine erhebliche Erleichterung, wenn auch mit Einschränkungen.

    Wie funktioniert das Data Privacy Framework?

    Ähnlich wie beim Privacy Shield gilt der Angemessenheitsbeschluss nicht für die USA insgesamt, sondern nur für Unternehmen, die sich beim US-Handelsministerium nach dem DPF zertifiziert haben. Sie verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Übermittlungen an zertifizierte Unternehmen sind dann ohne weitere Garantien wie Standardvertragsklauseln zulässig (Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, lässt sich in einer öffentlichen Liste auf der Website des DPF-Programms prüfen.

    Was ist neu gegenüber dem Privacy Shield?

    Der EuGH hatte das Privacy Shield im Schrems-II-Urteil vor allem wegen der weitreichenden Zugriffsbefugnisse der US-Nachrichtendienste und fehlender Rechtsbehelfe für EU-Bürger gekippt. Mit der Executive Order 14086 vom Oktober 2022 haben die USA darauf reagiert: Zugriffe der Nachrichtendienste sollen auf das Notwendige und Verhältnismäßige beschränkt werden. Zudem wurde ein zweistufiger Rechtsbehelfsmechanismus geschaffen, der in einem neuen „Data Protection Review Court“ mündet, an den sich auch Personen aus der EU wenden können.

    Auswirkungen auch auf Standardvertragsklauseln

    Die Verbesserungen im US-Recht gelten unabhängig davon, auf welche Grundlage eine Übermittlung gestützt wird. Wer weiterhin Standardvertragsklauseln mit nicht zertifizierten Empfängern nutzt, kann diese Entwicklung in seinem Transfer Impact Assessment berücksichtigen. Das erleichtert die Bewertung erheblich.

    Bleibt der Beschluss bestehen?

    Datenschutzaktivisten haben bereits angekündigt, den Beschluss gerichtlich überprüfen zu lassen. Ob der EuGH das Data Privacy Framework diesmal bestätigt, ist offen. Unternehmen sollten deshalb nicht alle Vorkehrungen über Bord werfen. Es kann sinnvoll sein, bestehende Standardvertragsklauseln als „Rückfallebene“ beizubehalten.

    Checkliste für Unternehmen

    1. US-Dienstleister erfassen und prüfen, ob sie nach dem DPF zertifiziert sind und ob die Zertifizierung die betroffenen Daten (z. B. Personaldaten) abdeckt.
    2. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten aktualisieren: Rechtsgrundlage ist Art. 45 DSGVO statt der bisherigen Garantien.
    3. Standardvertragsklauseln als zusätzliche Absicherung vorerst beibehalten.
    4. Das DPF regelt nur die Übermittlung. Alle anderen Pflichten bleiben bestehen, etwa die Einwilligung für Cookies nach dem TTDSG oder ein Auftragsverarbeitungsvertrag.
    5. Die gerichtliche Entwicklung im Blick behalten.

    Sinnvoll ist, die Dokumentation jetzt anzupassen und zugleich für den Fall vorzusorgen, dass auch dieser Beschluss vor dem EuGH scheitert. Bei der Umstellung Ihrer US-Datentransfers auf das Data Privacy Framework helfen wir gern. Kontaktieren Sie uns oder buchen Sie einen Termin.