Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: DSGVO-Praxis

  • Datenschutz-Jahrescheck für KMU: 12 Punkte vor dem Jahresende

    Datenschutz ist kein Projekt, das einmal abgeschlossen wird, sondern eine Daueraufgabe. Das Jahresende ist ein guter Zeitpunkt, um Bilanz zu ziehen: Was hat sich im Unternehmen verändert, welche neuen Tools sind hinzugekommen, welche rechtlichen Entwicklungen müssen berücksichtigt werden? Unser 12-Punkte-Check hilft kleinen und mittleren Unternehmen, ihren Datenschutz mit überschaubarem Aufwand auf Stand zu bringen.

    Organisation und Dokumentation

    1. Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell, mit neuen Prozessen, neuer Software und ohne weggefallene Verfahren? Unsere Anleitung hilft.
    2. Hat sich die Mitarbeiterzahl verändert, und ist die Benennung des Datenschutzbeauftragten noch korrekt gemeldet?
    3. Gibt es für jeden neuen Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag, und sind Unterauftragnehmer und Drittlandübermittlungen geprüft?
    4. Ist der Löschlauf erledigt? Bewerberdaten, alte Angebote, Daten ausgeschiedener Beschäftigter und Bestände mit abgelaufenen Aufbewahrungsfristen werden gemäß Löschkonzept bereinigt.

    Website und Marketing

    1. Welche Cookies und Drittdienste lädt die Website? Stimmen Cookie-Banner und Datenschutzerklärung noch mit der Realität überein? Seit Mai 2024 heißt das TTDSG übrigens TDDDG; veraltete Verweise sollten angepasst werden.
    2. Sind Einwilligungen für Newsletter und Werbung dokumentiert, und werden Abmeldungen und Widersprüche zuverlässig umgesetzt?
    3. Haben Kontaktformulare nur die nötigen Pflichtfelder, und kommen Antworten auf Online-Bewertungen ohne Kundendaten aus?

    IT-Sicherheit

    1. Sind Updates, Zwei-Faktor-Authentifizierung, Berechtigungen, Offline-Backups und ein getesteter Wiederherstellungsprozess auf Stand? Hinweise in unserem Beitrag zu TOMs nach Art. 32 DSGVO.
    2. Ist der Notfallplan aktuell, mit Telefonliste, Meldewegen für Datenpannen und, falls einschlägig, den NIS2-Meldepflichten?

    Beschäftigte und KI

    1. Haben alle Beschäftigten eine aktuelle Datenschutzschulung erhalten, und ist die KI-Kompetenz nach Art. 4 AI Act abgedeckt?
    2. Welche KI-Tools werden genutzt, und sind Inventar und Richtlinie aktuell? Seit August 2026 gelten die Transparenzpflichten der KI-Verordnung; die Hochrisiko-Pflichten für Anhang-III-Systeme folgen nach dem KI-Omnibus ab Dezember 2027 (siehe unseren Beitrag zum KI-Omnibus).
    3. Wie viele Auskunfts- und Löschanfragen gab es, wurden die Fristen eingehalten, und wo hakte es?

    Ergebnisse festhalten

    Dokumentieren Sie den Jahrescheck kurz: Datum, geprüfte Punkte, festgestellte Lücken, verantwortliche Personen und Fristen für die Umsetzung. Das erfüllt nicht nur die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, sondern verbessert auch Ihre Position, falls es einmal zu einer Datenpanne, einer Beschwerde oder einer Abmahnung kommt.

    In kleinen Unternehmen ist ein solcher Check oft an einem halben Tag erledigt. Wenn Sie ihn gemeinsam mit uns durchgehen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Abmahnung wegen Datenschutzverstoß erhalten: So reagieren Sie richtig

    Ein Schreiben mit kurzer Frist, einer vorformulierten Unterlassungserklärung und einer Kostennote: Abmahnungen wegen Datenschutzverstößen sind für viele kleine Unternehmen ein Schreckmoment. Seit der EuGH sowohl Verbraucherverbänden als auch Mitbewerbern ein Klagerecht bei DSGVO-Verstößen zugestanden hat, ist das Risiko gestiegen. Hinzu kommen Forderungen von Privatpersonen. Wer richtig reagiert, kann den Schaden begrenzen oder unberechtigte Forderungen abwehren.

    Schritt 1: Ruhe bewahren, Frist notieren

    Abmahnungen setzen meist kurze Fristen von einer bis zwei Wochen. Die Frist sollte ernst genommen werden, denn nach ihrem Ablauf droht eine einstweilige Verfügung oder Klage. Ignorieren ist keine Option. Ebenso wenig sollte die beigefügte Unterlassungserklärung ungeprüft unterschrieben werden.

    Schritt 2: Wer mahnt ab, und mit welchem Recht?

    • Verbraucherverbände müssen bestimmte Voraussetzungen erfüllen, etwa die Eintragung in die Liste qualifizierter Einrichtungen.
    • Mitbewerber müssen tatsächlich in einem konkreten Wettbewerbsverhältnis stehen.
    • Privatpersonen können Unterlassung und unter Umständen Schadensersatz verlangen, wenn ihre eigenen Daten betroffen sind.

    Bei auffälligen Serienforderungen, etwa nach Newsletter-Anmeldung mit sofortigem Auskunftsersuchen, kann ein Rechtsmissbrauch vorliegen. Der EuGH hat dies in seinem Urteil vom März 2026 anerkannt; siehe unseren Beitrag „Missbräuchliche Auskunftsersuchen“.

    Schritt 3: Liegt der Verstoß tatsächlich vor?

    Häufige Vorwürfe sind: Tracking ohne Einwilligung, dynamisch eingebundene Schriftarten oder Karten, fehlerhafte Datenschutzerklärung, Werbe-E-Mails ohne Einwilligung, unbeantwortete Auskunftsersuchen. Prüfen Sie den Vorwurf technisch und rechtlich und beheben Sie einen tatsächlichen Verstoß sofort. Praktische Hinweise geben unsere Beiträge zum Cookie-Banner und zur Datenschutzerklärung.

    Schritt 4: Die Unterlassungserklärung prüfen

    Eine strafbewehrte Unterlassungserklärung bindet dauerhaft. Verstößt das Unternehmen später erneut, wird eine Vertragsstrafe fällig. Vorformulierte Erklärungen sind oft zu weit gefasst, enthalten feste hohe Vertragsstrafen oder ein Schuldanerkenntnis. In vielen Fällen ist eine modifizierte Unterlassungserklärung sinnvoll, die nur den konkreten Verstoß erfasst und eine angemessene Vertragsstrafe vorsieht. Ob überhaupt eine Erklärung abgegeben werden sollte, hängt von der Berechtigung der Abmahnung ab.

    Schritt 5: Kosten und Schadensersatz

    Ob und in welcher Höhe Abmahnkosten zu erstatten sind, hängt vom Abmahnenden und von gesetzlichen Beschränkungen ab. Mitbewerber können bei bestimmten Datenschutzverstößen kleinerer Unternehmen nach dem UWG keinen Aufwendungsersatz verlangen. Schadensersatzforderungen von Privatpersonen setzen einen tatsächlich erlittenen Schaden voraus; Einzelheiten in unserer Zwischenbilanz zum DSGVO-Schadensersatz.

    Vorbeugen

    Die beste Verteidigung ist eine regelmäßig geprüfte Website und funktionierende Prozesse für Betroffenenanfragen. Ein jährlicher Datenschutz-Check der Website kostet wenig im Vergleich zu einer Abmahnung.

    Nicht jede Abmahnung ist berechtigt, aber jede verdient eine sorgfältige Prüfung; unterschreiben Sie die Unterlassungserklärung nie ungeprüft. Liegt Ihnen eine Abmahnung wegen eines Datenschutzverstoßes vor, prüfen wir sie kurzfristig und vertreten Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • Data Act: „Access by Design“ ab 12.09.2026 – Datenschutz mitdenken

    Seit einem Jahr ist der Data Act anwendbar; im September 2025 hatten wir über die Grundzüge berichtet. Nun steht die nächste wichtige Frist an: Vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen nach Art. 3 Abs. 1 des Data Act so konzipiert sein, dass Nutzer standardmäßig einfach, sicher und, soweit relevant und technisch durchführbar, direkt auf die Produktdaten zugreifen können. Für Hersteller, aber auch für Händler und Anbieter von Apps zu vernetzten Geräten bedeutet das konkrete Umsetzungsarbeit.

    Was heißt „Access by Design“?

    Die Daten, die ein vernetztes Produkt bei seiner Nutzung erzeugt, etwa Betriebs-, Verbrauchs- oder Sensordaten, sollen dem Nutzer ohne Hürden zugänglich sein. Wie das technisch umgesetzt wird, schreibt der Data Act nicht im Detail vor: denkbar sind ein Download im Kundenkonto, eine Schnittstelle oder ein direkter Zugriff am Gerät. Der Zugang muss aber bereits im Produktdesign mitgedacht werden.

    Die datenschutzrechtliche Seite

    Viele Produktdaten sind personenbezogen: Die Fahrdaten eines Autos, die Verbrauchsdaten eines smarten Zählers oder die Aktivitätsdaten eines Wearables lassen Rückschlüsse auf Personen zu. Der Data Act lässt die DSGVO unberührt und schafft keine eigene Rechtsgrundlage. Daraus folgen mehrere Aufgaben:

    • Nutzer eines Produkts ist nicht immer die betroffene Person. Wer ein Fahrzeug least oder ein Gerät mit anderen teilt, darf nicht ohne Weiteres auf personenbezogene Daten Dritter zugreifen. Identität und Berechtigung sind daher zu prüfen.
    • Verlangt ein Nutzer die Weitergabe an einen Dritten, muss bei personenbezogenen Daten eine Rechtsgrundlage nach der DSGVO bestehen.
    • Datenzugänge sind Angriffsflächen und müssen nach dem Stand der Technik abgesichert werden.
    • Art. 25 DSGVO verlangt, Datenschutz von Anfang an in die Produktentwicklung einzubauen; das passt zur Logik des Data Act.
    • Bei umfangreicher Verarbeitung etwa von Standort- oder Gesundheitsdaten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Verhältnis zur Datenübertragbarkeit

    Für personenbezogene Daten besteht daneben weiterhin das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Die Rechte überschneiden sich, haben aber unterschiedliche Voraussetzungen. Unternehmen sollten ihre Prozesse für Anfragen deshalb so gestalten, dass beide Regelwerke abgedeckt sind.

    Checkliste für Hersteller

    1. Welche Produkte werden nach dem 12. September 2026 neu in Verkehr gebracht?
    2. Welche Daten erzeugen sie, welche davon sind personenbezogen?
    3. Wie wird der Zugang technisch bereitgestellt und abgesichert?
    4. Wie werden Nutzer und betroffene Personen unterschieden?
    5. Sind vorvertragliche Informationen und Datenschutzhinweise angepasst?
    6. Sind die Ausnahmen für Kleinst- und Kleinunternehmen einschlägig?

    Wer den Datenzugang umsetzt, sollte Datenschutz und IT-Sicherheit von Beginn an mitdenken, sonst entstehen aus der neuen Pflicht neue Risiken. Hersteller und Händler vernetzter Produkte unterstützen wir bei der Umsetzung von Data Act und DSGVO. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Auf Online-Bewertungen antworten: Datenschutz-Fallen vermeiden

    Online-Bewertungen sind für Handwerksbetriebe, Praxen, Restaurants und Dienstleister ein wichtiger Faktor. Eine unfaire Ein-Stern-Bewertung ärgert, und die Versuchung ist groß, in der öffentlichen Antwort „die Dinge richtigzustellen“. Genau hier liegt eine Datenschutzfalle: Wer in seiner Antwort Informationen über den Kunden preisgibt, verarbeitet personenbezogene Daten und veröffentlicht sie. Das ist häufig unzulässig und wird von Aufsichtsbehörden beanstandet.

    Warum eine Antwort datenschutzrelevant ist

    Auch wenn eine Bewertung unter einem Pseudonym verfasst ist, weiß das Unternehmen oft, wer dahintersteckt. Nennt es in der Antwort Behandlungsdetails, Auftragsumfang, Zahlungsverhalten oder gar den Namen, verknüpft es öffentlich die Bewertung mit Informationen aus der Kundenbeziehung. Dafür fehlt in aller Regel eine Rechtsgrundlage. Das berechtigte Interesse, sich gegen Kritik zu verteidigen, rechtfertigt keine Offenlegung von Kundendaten, die über das Notwendige hinausgeht.

    Besonders heikel: Gesundheitsberufe

    Bei Ärzten, Zahnärzten, Therapeuten und Pflegediensten kommt die Schweigepflicht hinzu. Schon die Bestätigung, dass eine bestimmte Person Patient war, kann eine Verletzung von Privatgeheimnissen darstellen. Antworten wie „Bei Ihrer Behandlung im März haben wir …“ sind tabu. Weitere Hinweise enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    So antworten Sie richtig

    1. Bleiben Sie allgemein. Bedanken Sie sich für das Feedback und beschreiben Sie Ihre Standards, ohne auf den konkreten Fall einzugehen.
    2. Nennen Sie keine Details aus der Kundenbeziehung: keinen Namen, kein Datum, keine Leistungsdetails, keine Zahlungsinformationen.
    3. Bieten Sie ein Gespräch an: „Bitte melden Sie sich direkt bei uns, damit wir Ihr Anliegen klären können.“
    4. Bleiben Sie sachlich. Emotionale oder herabsetzende Antworten schaden dem Ansehen mehr als die Bewertung selbst.
    5. Lassen Sie Antworten auf kritische Bewertungen vor der Veröffentlichung gegenlesen.

    Unzulässige Bewertungen entfernen lassen

    Statt öffentlich zu streiten, ist es oft besser, gegen rechtswidrige Bewertungen vorzugehen. Bewertungsplattformen müssen Beanstandungen prüfen, etwa wenn kein Kundenkontakt stattgefunden hat, wenn unwahre Tatsachen behauptet werden oder wenn eine Bewertung beleidigend ist. Maßgeblich ist dabei die Abgrenzung zwischen zulässiger Meinungsäußerung und unzulässiger Tatsachenbehauptung. Ein klassisches Beispiel ist die von uns früher besprochene Hotelbewertung „Hühnerstall“.

    Bewertungen aktiv einholen

    Wer Kunden nach dem Auftrag per E-Mail um eine Bewertung bittet, betreibt Werbung im Sinne des Wettbewerbsrechts. Dafür ist grundsätzlich eine Einwilligung erforderlich, sofern nicht die enge Bestandskundenausnahme greift. Einzelheiten dazu in unserem Beitrag „Newsletter rechtssicher versenden“.

    Eine freundliche, allgemeine Antwort mit Gesprächsangebot wirkt professionell und vermeidet Datenschutzverstöße. Gegen rechtswidrige Bewertungen gehen wir für Sie vor, und wir beraten Sie, wie Sie auf Kritik antworten dürfen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Datenschutz im Verein: Leitfaden für den Vorstand

    Sportverein, Förderverein, Kleingartenverein, Chor: Auch Vereine verarbeiten personenbezogene Daten, von der Mitgliederliste über Bankdaten für den Beitragseinzug bis zu Fotos auf der Website. Die DSGVO gilt für sie genauso wie für Unternehmen. Viele ehrenamtliche Vorstände sind deshalb verunsichert. Mit einigen Grundregeln lässt sich Datenschutz im Verein aber pragmatisch umsetzen.

    Wer ist verantwortlich?

    Verantwortlicher im Sinne der DSGVO ist der Verein als solcher, vertreten durch den Vorstand. Der Vorstand muss dafür sorgen, dass die Datenschutzpflichten erfüllt werden. Ehrenamtliche Übungsleiter, Kassenwarte oder Abteilungsleiter, die mit Mitgliederdaten arbeiten, handeln für den Verein und sind auf die Vertraulichkeit zu verpflichten.

    Mitgliederdaten: Was ist erlaubt?

    Daten, die für die Mitgliedschaft erforderlich sind, also Name, Anschrift, Geburtsdatum, Bankverbindung für den Beitragseinzug und Abteilungszugehörigkeit, dürfen auf Grundlage der Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) verarbeitet werden. Eine Einwilligung ist dafür nicht nötig. Für alles, was darüber hinausgeht, braucht es eine eigene Rechtsgrundlage, häufig eine Einwilligung, etwa für die Veröffentlichung von Geburtstagen in der Vereinszeitung oder für Fotos im Internet.

    Typische Fragen aus der Praxis

    • Für Übersichtsaufnahmen von öffentlichen Vereinsveranstaltungen gelten andere Maßstäbe als für Porträts. Für gezielte Einzelaufnahmen auf Website und Social Media sollte eine Einwilligung eingeholt werden, bei Kindern die der Eltern. Grundsätze dazu in unserem Beitrag zu Fotos auf der Website.
    • Möchte ein Mitglied die Mitgliederliste haben, etwa um eine Mitgliederversammlung zu beantragen, kann ein berechtigtes Interesse bestehen. Die Herausgabe ist auf das Erforderliche zu beschränken.
    • Die Veröffentlichung von Namen in Ergebnislisten und Spielberichten ist im Sportbereich vielfach üblich und kann auf berechtigte Interessen gestützt werden; Mitglieder sollten vorab informiert werden und widersprechen können.
    • WhatsApp-Gruppen sind praktisch, aber datenschutzrechtlich heikel, weil Telefonnummern für alle sichtbar sind. Die Teilnahme sollte freiwillig sein, Alternativen sollten angeboten werden; siehe WhatsApp im Unternehmen.
    • Nach dem Austritt sind die Daten ehemaliger Mitglieder zu löschen, soweit keine Aufbewahrungspflichten, etwa für Beitragsbuchungen, bestehen.

    Die Pflicht-Basics für jeden Verein

    1. Datenschutzhinweise im Aufnahmeantrag und auf der Website.
    2. Ein Verzeichnis von Verarbeitungstätigkeiten, für Vereine meist mit wenigen Einträgen erledigt; siehe unsere Anleitung.
    3. Die Verpflichtung der Ehrenamtlichen auf Vertraulichkeit.
    4. Sichere Aufbewahrung: Mitgliederdaten gehören nicht unverschlüsselt auf private USB-Sticks, für private Rechner braucht es klare Regeln.
    5. Auftragsverarbeitungsverträge mit Dienstleistern wie Anbietern von Vereinsverwaltungssoftware oder dem Webhoster.
    6. Ein Ablauf für Anfragen, etwa zu Auskunft und Löschung.

    Braucht der Verein einen Datenschutzbeauftragten?

    Für die Benennungspflicht nach § 38 BDSG zählen auch Ehrenamtliche, wenn sie in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Kleine Vereine erreichen die Schwelle von 20 Personen meist nicht. Große Vereine mit vielen Abteilungen sollten sie aber prüfen. Einzelheiten in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Mit Datenschutzhinweisen, einem kleinen Verarbeitungsverzeichnis und verpflichteten Ehrenamtlichen ist ein Verein gut aufgestellt. Wenn Ihr Vorstand Unterstützung braucht, etwa bei Einwilligungen für Fotos oder bei Anfragen von Mitgliedern, sprechen Sie uns an. Kontaktformular oder Termin buchen.

  • NIS2-Umsetzungsgesetz in Kraft: Cybersicherheit trifft Datenschutz

    Nach langem Gesetzgebungsverfahren hat der Bundestag am 13. November 2025 das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) beschlossen; es ist am 6. Dezember 2025 in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie um und erweitert den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten erheblich. Eine Übergangsfrist gibt es nicht. Viele mittelständische Unternehmen müssen nun klären, ob sie betroffen sind und wie die neuen Pflichten mit dem Datenschutz zusammenhängen.

    Wer ist betroffen?

    Das Gesetz erfasst Unternehmen in zahlreichen Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Unterschieden wird zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Maßgeblich sind neben dem Sektor vor allem Größenschwellen: In der Regel sind Unternehmen ab 50 Beschäftigten oder ab bestimmten Umsatz- und Bilanzschwellen erfasst. Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Unternehmen, bei denen die erfassten Tätigkeiten nur einen vernachlässigbaren Teil ausmachen, sollen nicht automatisch erfasst sein. Die Betroffenheit muss jedes Unternehmen selbst prüfen.

    Die wichtigsten Pflichten

    • Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Voraussetzung ist ein Unternehmenskonto („Mein Unternehmenskonto“).
    • Verlangt sind angemessene technische, operative und organisatorische Maßnahmen zur Beherrschung von Cyberrisiken, etwa zu Notfallmanagement, Backups, Zugangskontrolle, Verschlüsselung und Sicherheit der Lieferkette.
    • Erhebliche Sicherheitsvorfälle sind in einem mehrstufigen Verfahren an das BSI zu melden.
    • Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und kann bei Pflichtverletzungen persönlich haften.

    Zusammenspiel mit der DSGVO

    NIS2 dient der Sicherheit von Netz- und Informationssystemen, die DSGVO dem Schutz personenbezogener Daten. Trotz unterschiedlicher Ziele überschneiden sich beide Regelwerke stark:

    • Ein Cyberangriff kann zugleich ein meldepflichtiger NIS2-Vorfall gegenüber dem BSI und eine meldepflichtige Datenschutzverletzung gegenüber der Datenschutzaufsicht nach Art. 33 DSGVO sein. Beide Meldungen haben eigene Fristen und Adressaten. Der Notfallplan sollte beide Wege abbilden; siehe unseren Beitrag „Ransomware-Angriff: Datenschutz-Notfallplan für KMU“.
    • Viele NIS2-Maßnahmen sind zugleich technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Ein integriertes Sicherheitskonzept spart Aufwand.
    • Die NIS2-Anforderungen an die Sicherheit der Lieferkette lassen sich mit der Prüfung von Auftragsverarbeitern verbinden.

    Auch nicht erfasste Unternehmen sind betroffen

    Wer selbst nicht unter das Gesetz fällt, kann als Zulieferer oder Dienstleister einer erfassten Einrichtung mittelbar betroffen sein. Kunden werden vermehrt vertragliche Sicherheitszusagen und Nachweise verlangen.

    Sinnvoll ist, Cybersicherheit und Datenschutz in einem gemeinsamen Managementsystem mit klaren Meldewegen für beide Regelwerke zusammenzuführen. Ob Ihr Unternehmen unter NIS2 fällt und wie sich die Prozesse abstimmen lassen, prüfen wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH zu pseudonymisierten Daten: Personenbezug ist relativ

    Ob Daten „personenbezogen“ sind, entscheidet darüber, ob die DSGVO überhaupt anwendbar ist. Besonders umstritten war bislang, wie pseudonymisierte Daten zu behandeln sind, die an Dritte weitergegeben werden, die selbst niemanden identifizieren können. Mit Urteil vom 4. September 2025 (Rs. C-413/23 P, EDSB/SRB) hat der Gerichtshof der Europäischen Union dazu wichtige Klarstellungen getroffen.

    Der Fall

    Der Einheitliche Abwicklungsausschuss (SRB), eine EU-Einrichtung, hatte im Rahmen der Abwicklung einer Bank Stellungnahmen von Aktionären und Gläubigern eingeholt. Diese Stellungnahmen wurden mit einem alphanumerischen Code versehen und ohne Namen an ein Beratungsunternehmen weitergegeben, das sie auswerten sollte. Nur der SRB konnte die Codes den Personen zuordnen. Betroffene beschwerten sich beim Europäischen Datenschutzbeauftragten (EDSB), weil sie über die Weitergabe nicht informiert worden waren. Der EDSB gab ihnen recht; das Gericht der EU hob diese Entscheidung auf. Der EuGH hatte nun im Rechtsmittelverfahren zu entscheiden.

    Die Kernaussagen

    • Pseudonymisierte Daten sind nicht in jedem Fall für jeden personenbezogen. Je nach den Umständen kann die Pseudonymisierung verhindern, dass andere Personen als der Verantwortliche die betroffene Person identifizieren. Für einen Empfänger, der vernünftigerweise keine Möglichkeit zur Identifizierung hat, können die Daten daher nicht personenbezogen sein.
    • Wer wie der SRB über die Zuordnungsinformationen verfügt, verarbeitet weiterhin personenbezogene Daten.
    • Ob die Betroffenen über die Empfänger informiert werden mussten, ist aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen, nicht aus Sicht des Empfängers. Die Informationspflicht bestand daher unabhängig davon, ob die Daten für das Beratungsunternehmen personenbezogen waren.
    • Persönliche Stellungnahmen und Ansichten sind als Ausdruck des Denkens einer Person eng mit ihr verknüpft und damit personenbezogen.

    Der EuGH hob das Urteil des Gerichts auf und verwies die Sache zurück.

    Was bedeutet das für Unternehmen?

    Das Urteil bestätigt einen „relativen“ Ansatz beim Personenbezug. Es kann Datenweitergaben erleichtern, etwa an Analysedienstleister, Forschungspartner oder KI-Entwickler, wenn diese die Daten wirksam nicht re-identifizieren können. Zugleich gilt:

    • Der Verantwortliche bleibt an die DSGVO gebunden und muss die Betroffenen über Empfänger informieren; siehe unseren Beitrag zu den Informationspflichten nach Art. 13 DSGVO.
    • Ob ein Empfänger tatsächlich nicht identifizieren kann, hängt von technischen und organisatorischen Vorkehrungen ab: Trennung der Zuordnungsschlüssel, vertragliche Verbote der Re-Identifizierung, Begrenzung zusätzlicher Informationen.
    • Eine sorgfältige Dokumentation dieser Bewertung ist unverzichtbar, ebenso wie angemessene technische und organisatorische Maßnahmen.

    Pseudonymisierung ist ein wirksames Werkzeug, ihre Wirkung muss aber für jeden Empfänger konkret geprüft und dokumentiert werden. Wenn Sie Daten pseudonymisiert an Dienstleister oder Partner weitergeben möchten, prüfen wir Ihr Konzept. Nachricht senden oder Termin buchen.

  • Data Act gilt seit 12.09.2025: Verhältnis zur DSGVO und To-dos

    Seit dem 12. September 2025 ist die europäische Datenverordnung (Verordnung (EU) 2023/2854, „Data Act“) in weiten Teilen anwendbar. Sie regelt den Zugang zu und die Nutzung von Daten, die bei der Nutzung vernetzter Produkte entstehen, vom smarten Haushaltsgerät über Maschinen bis zum vernetzten Fahrzeug. Daneben enthält sie Regeln zum Wechsel von Cloud-Anbietern und zu unfairen Vertragsklauseln. Für Datenschutzverantwortliche stellt sich vor allem die Frage, wie sich der Data Act zur DSGVO verhält.

    Worum geht es im Data Act?

    • Nutzer vernetzter Produkte und verbundener Dienste erhalten Rechte auf Zugang zu den von ihnen erzeugten Daten und können verlangen, dass diese an Dritte, etwa einen Reparaturbetrieb, weitergegeben werden.
    • Hersteller und Anbieter müssen vor Vertragsschluss informieren, welche Daten das Produkt erzeugt und wie Nutzer darauf zugreifen können.
    • Bestimmte einseitig auferlegte Klauseln über Datenzugang und Datennutzung zwischen Unternehmen sind unwirksam.
    • Anbieter von Datenverarbeitungsdiensten müssen den Wechsel zu einem anderen Anbieter ermöglichen. Wechselentgelte werden schrittweise abgeschafft; ab dem 12. Januar 2027 sind sie unzulässig.

    Die weiteren Fristen

    • Ab 12. September 2026 müssen vernetzte Produkte und verbundene Dienste, die danach in Verkehr gebracht werden, so gestaltet sein, dass Nutzer standardmäßig einfach auf ihre Daten zugreifen können („Access by Design“, Art. 3 Abs. 1).
    • Ab 12. September 2027 gelten die Regeln über unfaire Vertragsklauseln unter bestimmten Voraussetzungen auch für Altverträge, die vor dem 12. September 2025 geschlossen wurden.

    Kleinst- und kleine Unternehmen sind von den Pflichten des Kapitels II für ihre Produkte und Dienste unter bestimmten Voraussetzungen ausgenommen; für mittlere Unternehmen gibt es eine Übergangsregelung.

    Data Act und DSGVO

    Der Data Act lässt die DSGVO unberührt. Im Konfliktfall geht das Datenschutzrecht vor. Der Data Act schafft auch keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Gibt ein Hersteller Nutzungsdaten eines vernetzten Produkts heraus, die sich auf eine natürliche Person beziehen, etwa Fahrdaten oder Daten eines smarten Thermostats, muss dafür weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO bestehen. Die Zugangsrechte des Data Act ergänzen insoweit das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, gehen aber darüber hinaus, weil sie auch nicht personenbezogene Daten erfassen.

    In der Praxis ist es oft schwierig, personenbezogene und nicht personenbezogene Daten sauber zu trennen. Gemischte Datensätze unterliegen regelmäßig beiden Regelwerken.

    Was Unternehmen jetzt tun sollten

    1. Prüfen Sie, ob Sie betroffen sind: Stellen Sie vernetzte Produkte her oder bieten verbundene Dienste an? Nutzen Sie solche Produkte im Betrieb? Sind Sie Cloud-Anbieter?
    2. Erstellen Sie ein Dateninventar: Welche Daten entstehen, welche davon sind personenbezogen?
    3. Passen Sie Datennutzungsverträge mit Kunden und Lieferanten sowie Cloud-Verträge an.
    4. Legen Sie für Datenherausgaben mit Personenbezug Rechtsgrundlagen, Informationspflichten und Schutzmaßnahmen fest.
    5. Berücksichtigen Sie die neuen Wechselrechte bei der Auswahl von Cloud-Diensten.

    Der Data Act ist kein Datenschutzgesetz, wirkt aber eng mit dem Datenschutzrecht zusammen; für Hersteller läuft die nächste Frist im September 2026. Welche Pflichten auf Ihr Unternehmen zukommen, klären wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) einfach erklärt

    Der Wechsel des Stromanbieters, der Fitness-App oder des Online-Dienstes soll nicht daran scheitern, dass die eigenen Daten beim alten Anbieter „gefangen“ sind. Deshalb gibt Art. 20 DSGVO Betroffenen das Recht auf Datenübertragbarkeit. Es gehört zu den weniger bekannten Betroffenenrechten und wird in der Praxis oft mit dem Auskunftsrecht verwechselt.

    Was umfasst das Recht?

    Betroffene können verlangen, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie dürfen diese Daten einem anderen Verantwortlichen übermitteln. Soweit technisch machbar, können sie auch verlangen, dass die Daten direkt von einem Anbieter an den anderen übermittelt werden.

    Wann gilt das Recht?

    Das Recht ist an drei Voraussetzungen geknüpft:

    1. Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag (nicht etwa auf berechtigten Interessen oder gesetzlichen Pflichten).
    2. Die Verarbeitung erfolgt mithilfe automatisierter Verfahren, also nicht in Papierakten.
    3. Es geht um Daten, die die Person selbst bereitgestellt hat. Dazu zählen aktiv eingegebene Daten (z. B. Profilangaben) und nach überwiegender Auffassung auch Daten, die durch die Nutzung eines Dienstes beobachtet werden (z. B. Nutzungsverläufe, Messwerte eines Fitness-Trackers). Nicht erfasst sind dagegen vom Unternehmen abgeleitete Daten wie Scores oder Bewertungen.

    Abgrenzung zum Auskunftsrecht

    Das Auskunftsrecht nach Art. 15 DSGVO dient der Transparenz: Betroffene sollen erfahren, welche Daten verarbeitet werden. Es ist weiter, umfasst auch abgeleitete Daten und gilt unabhängig von der Rechtsgrundlage. Die Datenübertragbarkeit dient dagegen der Wiederverwendung: Die Daten sollen in einem Format bereitgestellt werden, das ein anderer Anbieter einlesen kann. Zur Auskunft siehe unseren Beitrag „Datenauskunft verlangen“.

    Welches Format ist geschuldet?

    Die DSGVO schreibt kein bestimmtes Format vor. „Strukturiert, gängig und maschinenlesbar“ sind etwa CSV-, JSON- oder XML-Dateien. Ein PDF oder ein Screenshot genügt in der Regel nicht, weil sich die Daten nicht ohne Weiteres weiterverarbeiten lassen.

    Hinweise für Unternehmen

    • Anfragen sind wie andere Betroffenenanfragen innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO).
    • Die Identität des Anfragenden ist angemessen zu prüfen.
    • Rechte und Freiheiten Dritter dürfen nicht beeinträchtigt werden, etwa wenn exportierte Daten Informationen über andere Personen enthalten.
    • Eine Exportfunktion im Kundenkonto kann den Aufwand erheblich reduzieren.
    • Die Datenübertragbarkeit bedeutet nicht automatisch die Löschung beim bisherigen Anbieter. Dafür ist ein gesonderter Löschantrag erforderlich.

    Ausblick: Data Act

    Ab dem 12. September 2025 gilt der europäische Data Act. Er gewährt Nutzern vernetzter Produkte eigene Zugangs- und Weitergaberechte, die über Art. 20 DSGVO hinausgehen und auch nicht personenbezogene Daten erfassen. Wir werden darüber gesondert berichten.

    Anbieter von Online-Diensten mit Kundenkonten fahren gut mit einer einfachen Exportfunktion und einem festgelegten Ablauf für solche Anfragen. Wir unterstützen Betroffene beim Anbieterwechsel ebenso wie Unternehmen bei der Beantwortung von Anfragen nach Art. 20 DSGVO. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • Offboarding und Datenschutz: Checkliste beim Ausscheiden

    Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

    1. Zugänge und Geräte

    • Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
    • Passwörter für gemeinsam genutzte Konten ändern,
    • Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
    • Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
    • Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
    • Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

    2. Das E-Mail-Postfach

    Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

    3. Website, Social Media und Printmaterial

    Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

    4. Personalakte und Fristen

    Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

    5. Daten im Kopf und auf privaten Geräten

    Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

    6. Auskunftsersuchen vorbereiten

    Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Die Kurz-Checkliste

    1. Zugänge sperren, Geräte zurücknehmen.
    2. Postfach-Regelung umsetzen.
    3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
    4. Löschfristen für Personalakte vormerken.
    5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
    6. Ansprechpartner für Auskunftsersuchen festlegen.

    Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Cloud-Dienste datenschutzkonform auswählen: Checkliste für KMU

    Cloud-Dienste sind für kleine und mittlere Unternehmen heute Standard: E-Mail und Office-Anwendungen, Dateiablage, Buchhaltung, Kundenverwaltung, Terminbuchung. Die Vorteile liegen auf der Hand, nämlich keine eigene Serverinfrastruktur, Zugriff von überall und automatische Updates. Datenschutzrechtlich bleibt das Unternehmen aber verantwortlich für die Daten, die es in die Cloud legt. Die Auswahl des Anbieters ist deshalb eine wichtige Compliance-Entscheidung.

    1. Vertrag zur Auftragsverarbeitung

    Cloud-Anbieter verarbeiten Daten in aller Regel im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist daher Pflicht. Große Anbieter stellen Standardverträge bereit, die meist nicht verhandelbar sind. Prüfen Sie, ob sie die gesetzlichen Mindestinhalte enthalten und ob der Anbieter Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder für das Training von KI-Funktionen. Einzelheiten im Beitrag zum Auftragsverarbeitungsvertrag.

    2. Serverstandort und Drittlandbezug

    Wo werden die Daten gespeichert, und wer hat Zugriff? Viele Anbieter bieten Rechenzentren in der EU an. Bei US-Anbietern ist zu prüfen, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind. Auch bei EU-Rechenzentren können Zugriffe aus Drittländern stattfinden, etwa durch Support-Mitarbeiter oder Unterauftragnehmer. Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.

    3. Sicherheit und Zertifizierungen

    • Verschlüsselung bei Übertragung und Speicherung,
    • Zwei-Faktor-Authentifizierung und differenzierte Rechteverwaltung,
    • Protokollierung von Zugriffen,
    • anerkannte Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder dem C5-Kriterienkatalog des BSI,
    • klare Regeln zur Meldung von Sicherheitsvorfällen.

    4. Datenschutzfreundliche Konfiguration

    Viele Probleme entstehen nicht durch den Anbieter, sondern durch die Einstellungen beim Kunden: öffentlich freigegebene Ordner, zu weit gefasste Berechtigungen, aktivierte Telemetrie oder automatische KI-Funktionen. Prüfen Sie die Einstellungen vor dem Start und wählen Sie die datenschutzfreundlichsten Optionen. Der BGH hat jüngst betont, dass problematische Voreinstellungen einen Verstoß gegen den Grundsatz der Datenminimierung begründen können; siehe unseren Beitrag zum Facebook-Scraping-Urteil.

    5. Löschung und Exit-Strategie

    Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder den Vertrag beenden? Achten Sie darauf, dass Sie Ihre Daten in einem gängigen Format exportieren können und dass der Anbieter sie nach Vertragsende löscht. Auch Backups beim Anbieter sollten in den Löschprozess einbezogen sein.

    6. Berufsgeheimnisträger

    Für Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger gelten zusätzliche Anforderungen. Dienstleister sind zur Verschwiegenheit zu verpflichten, und es ist sorgfältig zu prüfen, ob die Inanspruchnahme der Cloud für die Tätigkeit erforderlich ist. Hinweise für Praxen enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    7. Dokumentation

    Halten Sie Ihre Auswahlentscheidung, den Vertrag, die geprüften Einstellungen und die Unterauftragsverarbeiter fest und nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Bei umfangreicher Verarbeitung sensibler Daten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Eine strukturierte und dokumentierte Auswahl erspart später teure Nachbesserungen. Wir begleiten Sie beim Umstieg in die Cloud und prüfen auf Wunsch auch bereits genutzte Dienste. Kontakt aufnehmen oder Termin buchen.

  • Ransomware-Angriff: Datenschutz-Notfallplan für KMU

    Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

    Warum ein Cyberangriff fast immer eine Datenpanne ist

    Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Der Notfallplan: Die ersten 72 Stunden

    1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
    2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
    3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
    4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
    5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
    6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
    7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
    8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

    Lösegeld zahlen?

    Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

    Haftung und Schadensersatz

    Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

    Vorsorge: Was jetzt zu tun ist

    • mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
    • Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
    • zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
    • Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
    • ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
    • Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

    Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.

  • Gesundheitsdaten in Arztpraxis und Therapie: Datenschutz-Leitfaden

    Arztpraxen, Zahnärzte, Physiotherapie- und Psychotherapiepraxen sowie Pflegedienste verarbeiten täglich Gesundheitsdaten. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und genießen erhöhten Schutz. Hinzu kommt die ärztliche Schweigepflicht, deren Verletzung nach § 203 StGB strafbar sein kann. Datenschutz ist in Gesundheitsberufen damit keine Formalie, sondern Teil der Berufspflichten.

    Rechtsgrundlage der Verarbeitung

    Für die Behandlung selbst ist in der Regel keine Einwilligung erforderlich. Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG erlaubt die Verarbeitung für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik und der Behandlung, wenn sie durch Fachpersonal erfolgt, das einer Geheimhaltungspflicht unterliegt. Eine Einwilligung wird aber nötig, wenn Daten für andere Zwecke genutzt oder an Dritte weitergegeben werden sollen, etwa an privatärztliche Verrechnungsstellen, und keine gesetzliche Erlaubnis greift. Für die Weitergabe an Abrechnungsstellen ist wegen der Schweigepflicht regelmäßig eine Einwilligung bzw. Schweigepflichtentbindung einzuholen.

    Typische Risiken im Praxisalltag

    • Am Empfang und im Wartezimmer sind Gespräche über Diagnosen und Medikation oft für andere hörbar. Diskretionszonen und eine sensible Kommunikation helfen.
    • Telefonische Auskünfte über Befunde gehören nur an eindeutig identifizierte Patienten, nicht an Angehörige ohne Berechtigung.
    • Für den Befundversand sind unverschlüsselte E-Mails regelmäßig nicht ausreichend. Mehr dazu in unserem Beitrag zur E-Mail-Verschlüsselung.
    • Terminabsprachen oder gar Befunde per privatem Messenger sind besonders riskant; siehe WhatsApp im Unternehmen.
    • Monitore am Empfang sollten so ausgerichtet sein, dass Patienten keine fremden Daten sehen, und Akten nicht offen liegen.

    Dienstleister und IT

    Praxissoftware, Online-Terminbuchung, IT-Wartung und Cloud-Speicher: Wer externe Dienstleister einsetzt, braucht einen Auftragsverarbeitungsvertrag und muss zusätzlich die Schweigepflicht beachten. § 203 Abs. 3 StGB erlaubt die Offenbarung gegenüber mitwirkenden Personen, wenn dies für deren Tätigkeit erforderlich ist; diese sind aber zur Geheimhaltung zu verpflichten. Für Online-Terminbuchungstools ist genau zu prüfen, welche Daten an den Anbieter fließen und ob dieser sie für eigene Zwecke nutzt.

    Aufbewahrung und Auskunft

    Für die ärztliche Dokumentation gelten besondere Aufbewahrungsfristen, insbesondere nach § 630f BGB in der Regel zehn Jahre nach Abschluss der Behandlung, sofern andere Vorschriften keine abweichenden Fristen vorsehen. Patienten haben ein Einsichtsrecht nach § 630g BGB und zusätzlich einen Auskunfts- und Kopieanspruch nach Art. 15 DSGVO. Der EuGH hat im Oktober 2023 entschieden, dass die erste Kopie der Patientenakte nach der DSGVO grundsätzlich unentgeltlich zur Verfügung zu stellen ist.

    Datenschutzbeauftragter und DSFA

    Größere Praxen und Medizinische Versorgungszentren verarbeiten Gesundheitsdaten in erheblichem Umfang. Ob deshalb ein Datenschutzbeauftragter zu benennen und eine Datenschutz-Folgenabschätzung durchzuführen ist, hängt von Größe und Umfang ab und sollte für jede Praxis geprüft werden.

    Klare Abläufe am Empfang, sichere Kommunikation, sorgfältig ausgewählte Dienstleister und ein geordneter Umgang mit Patientenakten decken die wichtigsten Risiken ab. Für Praxen und Pflegedienste prüfen wir den Datenschutz gern im Detail. Schreiben Sie uns oder buchen Sie einen Termin.

  • Informationspflichten nach Art. 13 DSGVO: Datenschutzhinweise offline

    Bei Datenschutzhinweisen denken die meisten an die Datenschutzerklärung auf der Website. Die Informationspflichten der DSGVO gelten aber unabhängig vom Kanal. Wer am Telefon einen Termin vereinbart, im Laden eine Kundenkarte ausfüllen lässt oder auf der Baustelle einen Auftrag aufnimmt, erhebt ebenfalls personenbezogene Daten und muss die Betroffenen informieren. Gerade kleine Betriebe übersehen das häufig.

    Wann muss informiert werden?

    Werden Daten direkt bei der betroffenen Person erhoben, ist sie nach Art. 13 DSGVO zum Zeitpunkt der Erhebung zu informieren. Stammen die Daten aus anderen Quellen, etwa von einem Auftraggeber, einem Adresshändler oder aus öffentlichen Verzeichnissen, gilt Art. 14 DSGVO: Die Information muss dann innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, erfolgen. Eine Pflicht entfällt nur, soweit die Person bereits über die Informationen verfügt.

    Welche Inhalte sind nötig?

    Die Pflichtangaben entsprechen denen der Website-Datenschutzerklärung: Verantwortlicher, gegebenenfalls Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, Empfänger, Drittlandübermittlungen, Speicherdauer, Betroffenenrechte und Beschwerderecht. Eine ausführliche Liste finden Sie in unserem Beitrag „Datenschutzerklärung für die Website: Diese Angaben sind Pflicht“.

    Das Mehrebenen-Modell

    Niemand erwartet, dass Sie einem Kunden am Telefon zwei Seiten Datenschutzhinweise vorlesen. Die Aufsichtsbehörden akzeptieren ein gestuftes Vorgehen: Auf der ersten Ebene werden die wichtigsten Informationen kurz mitgeteilt, also wer die Daten verarbeitet, wozu, und wo es die vollständigen Informationen gibt. Auf der zweiten Ebene stehen die vollständigen Hinweise bereit, etwa als Aushang, Handzettel, auf der Website oder auf Wunsch per Post.

    Praxisbeispiele

    • Bei der telefonischen Terminvereinbarung genügt ein kurzer Hinweis („Ihre Daten verwenden wir zur Terminplanung, Infos zum Datenschutz finden Sie auf unserer Website oder wir senden sie Ihnen zu“); die vollständigen Hinweise folgen mit der Terminbestätigung.
    • Im Ladengeschäft mit Kundenkarte gehören die Datenschutzhinweise auf das Anmeldeformular oder auf ein separates Blatt; für Werbung ist eine gesonderte Einwilligung nötig.
    • Handwerksbetriebe drucken die Hinweise auf die Rückseite des Angebots oder legen sie der Auftragsbestätigung bei.
    • In der Arztpraxis bieten sich ein Aushang im Wartebereich und ein Merkblatt bei der Anmeldung an.
    • Bei Videoüberwachung ist ein Hinweisschild vor dem überwachten Bereich anzubringen; siehe unseren Beitrag zur Videoüberwachung im Laden oder in der Praxis.

    Beschäftigte und Bewerber nicht vergessen

    Auch gegenüber Beschäftigten und Bewerbern bestehen Informationspflichten. Viele Unternehmen händigen neuen Mitarbeitenden daher mit dem Arbeitsvertrag ein Informationsblatt zur Datenverarbeitung im Beschäftigungsverhältnis aus. Für Bewerber empfiehlt sich ein Hinweis in der Eingangsbestätigung; Einzelheiten in unserem Beitrag zu Bewerberdaten.

    Typische Fehler

    • Keine Hinweise außerhalb der Website.
    • Veraltete Hinweise, die neue Dienstleister oder Software nicht erwähnen.
    • Information erst nach Wochen oder gar nicht, wenn Daten von Dritten stammen.
    • Unverständliche Fachsprache statt klarer, einfacher Formulierungen.

    Mit einem Mehrebenen-Modell und einigen Standardtexten für Telefon, Formulare und Aushänge sind die Anforderungen ohne großen Aufwand zu erfüllen. Diese Texte erstellen wir gern für Ihren Betrieb, für Kunden ebenso wie für Beschäftigte und Bewerber. Kontakt · Termin buchen

  • Interner oder externer Datenschutzbeauftragter? Vor- und Nachteile

    Muss ein Unternehmen einen Datenschutzbeauftragten benennen, etwa weil in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, folgt sofort die nächste Entscheidung: eigener Mitarbeiter oder externer Dienstleister. Beide Modelle sind nach Art. 37 Abs. 6 DSGVO zulässig. Welche Lösung besser passt, hängt von Größe, Branche und Ressourcen ab. Zu den Voraussetzungen der Benennungspflicht siehe unseren Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Anforderungen an jeden Datenschutzbeauftragten

    Unabhängig vom Modell muss der Datenschutzbeauftragte über berufliche Qualifikation und insbesondere Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen (Art. 37 Abs. 5 DSGVO). Er muss frühzeitig eingebunden werden, darf bei der Erfüllung seiner Aufgaben keine Weisungen erhalten, berichtet unmittelbar der höchsten Managementebene und darf wegen seiner Aufgabenerfüllung nicht benachteiligt werden (Art. 38 DSGVO). Zudem dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen.

    Der interne Datenschutzbeauftragte

    Vorteile: Ein interner Datenschutzbeauftragter kennt das Unternehmen, seine Abläufe und Ansprechpartner. Er ist vor Ort, schnell erreichbar und genießt häufig das Vertrauen der Belegschaft.

    Nachteile und Risiken:

    • Geschäftsführung, IT-Leitung, Personalleitung oder Marketingleitung scheiden wegen Interessenkonflikten in der Regel aus, weil sie über Zwecke und Mittel von Verarbeitungen mitentscheiden. Der EuGH hat bestätigt, dass die nationalen Gerichte das Vorliegen eines Interessenkonflikts im Einzelfall prüfen müssen.
    • Ein interner Datenschutzbeauftragter, dessen Benennung verpflichtend ist, kann nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG nur aus wichtigem Grund abberufen und nur aus wichtigem Grund gekündigt werden, und zwar auch noch ein Jahr nach Ende der Tätigkeit. Das Bundesarbeitsgericht hat diesen besonderen Schutz nach Vorlage an den EuGH bestätigt, wie wir im Beitrag zur Abberufung eines Datenschutzbeauftragten berichtet haben.
    • Das Unternehmen muss Schulungen finanzieren und ausreichend Arbeitszeit freistellen.

    Der externe Datenschutzbeauftragte

    Externe Datenschutzbeauftragte bringen Erfahrung aus vielen Unternehmen und Branchen mit. Interessenkonflikte sind seltener. Ein besonderer Kündigungsschutz besteht nicht, der Vertrag kann nach den vereinbarten Bedingungen beendet werden. Die Kosten sind planbar.

    Nachteile: Ein externer Dienstleister kennt die internen Abläufe zunächst weniger gut und ist nicht ständig vor Ort. Das lässt sich durch einen festen internen Ansprechpartner (Datenschutzkoordinator) ausgleichen. Achten Sie bei der Auswahl auf nachgewiesene Fachkunde und Erreichbarkeit.

    Entscheidungshilfe

    • Kleine Unternehmen mit überschaubarer Datenverarbeitung fahren mit einem externen Datenschutzbeauftragten häufig günstiger und flexibler.
    • Größere Unternehmen mit vielen Verarbeitungen und eigener Rechts- oder Compliance-Abteilung können von einem internen Datenschutzbeauftragten profitieren, sofern ein geeigneter Kandidat ohne Interessenkonflikt verfügbar ist.
    • Möglich sind auch Mischmodelle, etwa ein externer Datenschutzbeauftragter mit einem internen Koordinator.

    Formalien nach der Benennung

    Die Benennung sollte schriftlich erfolgen. Die Kontaktdaten sind zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). Beim externen Datenschutzbeauftragten regelt ein Dienstleistungsvertrag Umfang, Erreichbarkeit und Vergütung.

    Maßgeblich sind am Ende Fachkunde, Unabhängigkeit, ausreichende Ressourcen und die Vermeidung von Interessenkonflikten. Bei der Auswahl und beim Vertrag mit einem externen Datenschutzbeauftragten unterstützen wir Sie. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • E-Mail-Verschlüsselung: Wann ist sie nach der DSGVO Pflicht?

    E-Mail ist nach wie vor das wichtigste Kommunikationsmittel im Geschäftsleben. Mit ihr werden täglich Rechnungen, Verträge, Lohnabrechnungen, Arztbriefe oder Bewerbungen versendet. Die DSGVO schreibt keine bestimmte Verschlüsselungstechnik vor. Sie verlangt aber in Art. 32 ein dem Risiko angemessenes Schutzniveau. Ob und wie E-Mails verschlüsselt werden müssen, hängt deshalb vom Inhalt ab.

    Zwei Arten der Verschlüsselung

    Transportverschlüsselung (TLS): Die Verbindung zwischen den E-Mail-Servern wird verschlüsselt. Die Nachricht liegt jedoch auf den beteiligten Servern im Klartext vor. TLS ist heute weit verbreitet und schützt gegen das Mitlesen auf dem Übertragungsweg. Inhaltsverschlüsselung (Ende-zu-Ende): Die Nachricht selbst wird verschlüsselt, etwa mit S/MIME oder OpenPGP, und kann nur vom Empfänger entschlüsselt werden. Auch die Betreiber der Server können den Inhalt nicht lesen.

    Der risikobasierte Ansatz der Aufsichtsbehörden

    Die Datenschutzkonferenz hat in einer Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail Maßstäbe formuliert. Vereinfacht gilt:

    • Für alltägliche Geschäftskorrespondenz mit normalem Risiko genügt in der Regel eine obligatorische Transportverschlüsselung, die sicher konfiguriert ist.
    • Bei hohem Risiko, also bei sensiblen Daten wie Gesundheitsdaten, Kontoverbindungen in Verbindung mit weiteren Daten, Personalakten oder Daten über strafrechtliche Verfahren, ist regelmäßig eine Ende-zu-Ende-Verschlüsselung oder ein gleichwertiges Verfahren erforderlich.

    Praktische Alternativen

    Da Ende-zu-Ende-Verschlüsselung voraussetzt, dass auch der Empfänger mitmacht, setzen viele Unternehmen auf praktikable Alternativen:

    • verschlüsselte PDF- oder ZIP-Anhänge mit starkem Passwort, wobei das Passwort auf anderem Weg (z. B. telefonisch oder per SMS) übermittelt wird,
    • Portallösungen, bei denen der Empfänger einen Link zu einem gesicherten Download-Bereich erhält,
    • Kundenportale, in denen Dokumente in einem geschützten Kundenkonto bereitgestellt werden.

    Was ist mit Einwilligung des Empfängers?

    Häufig wünschen Kunden oder Patienten ausdrücklich den unverschlüsselten Versand. Ob und in welchen Grenzen Betroffene auf das Schutzniveau verzichten können, ist umstritten. Einige Aufsichtsbehörden halten einen Verzicht für die eigenen Daten des Betroffenen in bestimmten Konstellationen für möglich, wenn er informiert und ausdrücklich erfolgt. Für Daten Dritter ist ein Verzicht ausgeschlossen. Dokumentieren Sie solche Fälle sorgfältig.

    Organisatorische Maßnahmen nicht vergessen

    Viele E-Mail-Datenpannen entstehen nicht durch Hacker, sondern durch Fehlbedienung: falscher Empfänger durch Autovervollständigung, offener Verteiler statt BCC, falscher Anhang. Schulungen, eine kurze Prüfroutine vor dem Versand sensibler Daten und technische Hilfen, etwa Warnhinweise bei externen Empfängern, helfen. Passiert doch etwas, gilt unser Leitfaden zur Datenpanne. Die E-Mail-Sicherheit sollte zudem in Ihrem TOM-Konzept beschrieben sein.

    Eine Lösung, die dem Risiko entspricht, nützt nur, wenn sie im Alltag auch genutzt wird. Gern prüfen wir mit Ihnen, wie Ihre E-Mail-Kommunikation datenschutzkonform und praktikabel aufgestellt werden kann. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.

  • Hinweisgeberschutzgesetz: Datenschutz bei der internen Meldestelle

    Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Es setzt die EU-Whistleblower-Richtlinie um und verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt diese Pflicht ab dem 17. Dezember 2023. Eine Meldestelle verarbeitet zwangsläufig hochsensible personenbezogene Daten über die hinweisgebende Person, über beschuldigte Personen und über Dritte. Ohne sauberen Datenschutz lässt sie sich deshalb nicht umsetzen.

    Vertraulichkeit als Kernpflicht

    Das HinSchG verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen vertraulich zu behandeln. Die Identität darf grundsätzlich nur den Personen bekannt werden, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind. Dieses Vertraulichkeitsgebot geht über die allgemeinen Anforderungen der DSGVO hinaus und muss organisatorisch und technisch abgesichert werden.

    Rechtsgrundlage der Datenverarbeitung

    Die Verarbeitung personenbezogener Daten durch die Meldestelle ist zulässig, soweit sie zur Erfüllung der Aufgaben nach dem HinSchG erforderlich ist. Datenschutzrechtlich stützt sie sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Auch besondere Kategorien personenbezogener Daten, die in Meldungen häufig vorkommen, dürfen unter den gesetzlichen Voraussetzungen verarbeitet werden, allerdings nur mit angemessenen Schutzmaßnahmen.

    Praktische Umsetzung

    • Ein spezielles, verschlüsseltes Hinweisgebersystem ist einem allgemeinen E-Mail-Postfach deutlich überlegen. Auf ein Postfach, auf das auch die Geschäftsführung oder die IT-Administration Zugriff haben, sollte verzichtet werden.
    • Nur die benannten Mitarbeitenden der Meldestelle dürfen Zugriff haben. Das muss in einem Berechtigungskonzept festgelegt werden.
    • Wird die Meldestelle an Dritte ausgelagert oder Software eines Anbieters genutzt, ist ein Auftragsverarbeitungsvertrag zu schließen. Bei Servern außerhalb der EU sind die Regeln zum Drittlandtransfer zu beachten.
    • Hinweisgeber und betroffene Personen sind über die Datenverarbeitung zu informieren. Gegenüber beschuldigten Personen kann die Information aufgeschoben werden, solange sie die Aufklärung gefährden würde.
    • Die Dokumentation der Meldungen ist nach dem HinSchG grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen. Diese Frist gehört in Ihr Löschkonzept.
    • Wegen der Sensibilität der Daten ist häufig eine Datenschutz-Folgenabschätzung angezeigt.

    Spannungsfeld: Auskunftsanspruch

    Beschuldigte Personen können nach Art. 15 DSGVO Auskunft verlangen, auch darüber, woher die Daten stammen. Das kollidiert mit dem Schutz der hinweisgebenden Person. Die DSGVO und das BDSG lassen Einschränkungen des Auskunftsrechts zu, wenn Rechte Dritter überwiegen. In der Praxis ist eine sorgfältige Abwägung im Einzelfall erforderlich; die Identität der hinweisgebenden Person ist regelmäßig zu schützen.

    Rolle des Datenschutzbeauftragten

    Der Datenschutzbeauftragte sollte bei der Einrichtung der Meldestelle beteiligt werden. Ob er selbst die Meldestelle übernehmen kann, ist im Einzelfall zu prüfen, weil Interessenkonflikte entstehen können. Die Rollen sollten in jedem Fall klar getrennt sein.

    Eine Meldestelle funktioniert nur, wenn Hinweisgeber ihr vertrauen. Unternehmen mit 50 bis 249 Beschäftigten bleibt dafür Zeit bis Mitte Dezember. Wenn Sie den Datenschutz bei der Einrichtung von Anfang an mitdenken wollen, sprechen Sie uns an: Kontakt oder Online-Termin.

  • Auftragsverarbeitung oder gemeinsame Verantwortung? Abgrenzung

    Arbeiten zwei Unternehmen bei der Verarbeitung personenbezogener Daten zusammen, muss geklärt werden, in welcher Rolle sie handeln. Die DSGVO kennt drei Konstellationen: Auftragsverarbeitung, gemeinsame Verantwortlichkeit und die Übermittlung an einen eigenständigen Verantwortlichen. Die Einordnung entscheidet darüber, welcher Vertrag nötig ist, wer haftet und wer den Betroffenen Auskunft geben muss. In der Praxis wird sie oft falsch vorgenommen, und dann wird der falsche Vertrag unterschrieben.

    Die Leitfrage: Wer entscheidet über Zwecke und Mittel?

    Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter verarbeitet dagegen im Auftrag und nach Weisung (Art. 4 Nr. 8 DSGVO). Entscheidend sind nicht die Bezeichnungen im Vertrag, sondern die tatsächlichen Verhältnisse.

    Auftragsverarbeitung

    Typisch sind „Hilfsfunktionen“: Hosting, Cloud-Speicher, Newsletter-Versand, Lohnabrechnung nach Vorgaben, Aktenvernichtung, IT-Support. Der Dienstleister verfolgt keine eigenen Zwecke mit den Daten und darf sie nicht für sich nutzen. Erforderlich ist ein Vertrag nach Art. 28 DSGVO. Einzelheiten haben wir in unserem Beitrag zum Auftragsverarbeitungsvertrag zusammengestellt.

    Gemeinsame Verantwortlichkeit

    Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel fest, sind sie gemeinsam verantwortlich (Art. 26 DSGVO). Der EuGH hat den Begriff weit ausgelegt. So ist nach seiner Rechtsprechung der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für bestimmte Verarbeitungen verantwortlich; wir hatten über diese Entscheidung berichtet. Auch die Einbindung von Social-Media-Plugins auf einer Website kann eine gemeinsame Verantwortlichkeit für die Erhebung und Übermittlung der Daten begründen. Weitere Beispiele: gemeinsame Marketingaktionen mehrerer Unternehmen, gemeinsam betriebene Plattformen oder Konzernstrukturen mit zentraler Kundendatenbank.

    Gemeinsam Verantwortliche müssen in einer Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere gegenüber den Betroffenen. Das Wesentliche der Vereinbarung ist den Betroffenen zur Verfügung zu stellen. Unabhängig von der internen Aufteilung können Betroffene ihre Rechte gegenüber jedem der Verantwortlichen geltend machen.

    Eigenständige Verantwortliche

    Viele Dienstleister handeln eigenverantwortlich, etwa Steuerberater bei der fachlichen Beratung, Rechtsanwälte, Banken, Versandunternehmen oder Inkassounternehmen bei Forderungsübernahme. Hier ist weder ein Auftragsverarbeitungsvertrag noch eine Vereinbarung nach Art. 26 DSGVO erforderlich. Für die Übermittlung braucht der abgebende Verantwortliche aber eine Rechtsgrundlage nach Art. 6 DSGVO.

    Prüfschema für die Praxis

    1. Verfolgt der Partner mit den Daten eigene Zwecke? Wenn nein, spricht viel für Auftragsverarbeitung.
    2. Darf der Partner über wesentliche Aspekte (welche Daten, wie lange, an wen) selbst entscheiden? Dann ist er Verantwortlicher.
    3. Werden Zwecke und Mittel gemeinsam festgelegt oder greifen die Entscheidungen ineinander? Dann liegt gemeinsame Verantwortlichkeit vor.
    4. Das Ergebnis wird dokumentiert und im Verzeichnis von Verarbeitungstätigkeiten festgehalten.

    Bevor ein Standardvertrag unterschrieben wird, der nicht zur Konstellation passt, lohnt sich eine kurze Prüfung der tatsächlichen Entscheidungsbefugnisse. Wir klären mit Ihnen, welche Vereinbarung Sie mit Ihrem Partner brauchen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Kontaktformular auf der Website datenschutzkonform gestalten

    Das Kontaktformular ist für viele Unternehmen der wichtigste Weg, über die Website neue Anfragen zu erhalten. Zugleich werden hier personenbezogene Daten erhoben: Name, E-Mail-Adresse, Telefonnummer und häufig Angaben zum Anliegen, die sehr persönlich sein können. Mit wenigen Grundregeln lässt sich ein Kontaktformular datenschutzkonform gestalten, ohne Interessenten abzuschrecken.

    Regel 1: Nur die nötigen Pflichtfelder

    Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) dürfen nur die Daten verlangt werden, die zur Bearbeitung der Anfrage erforderlich sind. In der Regel genügen eine Kontaktmöglichkeit, meist die E-Mail-Adresse, und das Nachrichtenfeld. Name, Telefonnummer, Firma oder Anschrift sollten freiwillige Felder sein und als solche gekennzeichnet werden. Wer eine Telefonnummer zur Pflicht macht, obwohl per E-Mail geantwortet werden kann, verstößt gegen diesen Grundsatz.

    Regel 2: Das Einwilligungshäkchen ist meist überflüssig

    Viele Formulare verlangen ein Häkchen „Ich willige in die Verarbeitung meiner Daten ein“. Das ist in der Regel nicht notwendig und kann sogar schaden. Wer eine Anfrage stellt, möchte eine Antwort; die Verarbeitung der Daten zu diesem Zweck lässt sich auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf das berechtigte Interesse an der Beantwortung (lit. f) stützen. Eine Einwilligung ist dagegen jederzeit widerruflich und muss alle Wirksamkeitsvoraussetzungen erfüllen, die wir im Beitrag „Einwilligung nach DSGVO wirksam einholen“ beschrieben haben. Ausreichend ist ein klarer Hinweis auf die Datenschutzerklärung direkt am Formular.

    Anders ist es, wenn die Daten für weitere Zwecke genutzt werden sollen, etwa für einen Newsletter. Dafür ist eine gesonderte, freiwillige Einwilligung erforderlich, die nicht an die Anfrage gekoppelt sein darf.

    Regel 3: Verschlüsselte Übertragung

    Die Übertragung der Formulardaten muss mindestens per TLS verschlüsselt erfolgen (HTTPS). Das ist heute Standard, sollte aber geprüft werden, auch für die Weiterleitung der Formularinhalte per E-Mail an das Unternehmen. Bei besonders sensiblen Anfragen, etwa in Arztpraxen oder Kanzleien, sollte erwogen werden, die Formularinhalte nicht unverschlüsselt per E-Mail weiterzuleiten, sondern in einem geschützten Bereich abzurufen.

    Regel 4: Spamschutz ohne Datenabfluss

    Captcha-Dienste großer Anbieter übertragen Daten über das Nutzerverhalten häufig an Server in Drittländern und setzen Cookies. Prüfen Sie Alternativen wie sogenannte Honeypot-Felder oder lokal betriebene Lösungen. Wird ein externer Dienst genutzt, ist er in der Datenschutzerklärung zu nennen und gegebenenfalls einwilligungspflichtig.

    Regel 5: Speicherdauer festlegen

    Anfragen, aus denen kein Auftrag wird, sollten nach angemessener Zeit gelöscht werden. Viele Formular-Plugins speichern Einsendungen zusätzlich in der Datenbank der Website, oft unbegrenzt. Deaktivieren Sie diese Funktion, wenn Sie sie nicht benötigen, oder richten Sie eine automatische Löschung ein. Mehr dazu in unserem Beitrag zum Löschkonzept.

    Regel 6: Transparente Information

    Die Datenschutzerklärung muss das Kontaktformular abdecken: Zweck, Rechtsgrundlage, Empfänger (etwa der Hosting-Anbieter), Speicherdauer. Eine Übersicht der Pflichtangaben finden Sie in unserem Beitrag „Datenschutzerklärung für die Website“.

    Ein schlankes Formular schafft Vertrauen und senkt die Hemmschwelle für Anfragen. Wenn Sie Website und Kontaktformular prüfen lassen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Einwilligung nach DSGVO wirksam einholen: 6 Voraussetzungen

    „Wir holen einfach eine Einwilligung ein“: Diese Lösung liegt nahe, wenn Unternehmen unsicher sind, ob eine Datenverarbeitung zulässig ist. Die Einwilligung ist aber nur eine von sechs Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO, und sie ist an strenge Voraussetzungen geknüpft. Eine unwirksame Einwilligung ist rechtlich wertlos, und eine widerrufliche Einwilligung kann ein schlechteres Fundament sein als eine andere Rechtsgrundlage.

    Brauchen Sie überhaupt eine Einwilligung?

    Vor der Einwilligung steht die Frage nach anderen Rechtsgrundlagen. Für die Abwicklung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung gesetzlicher Pflichten (lit. c) oder auf Grundlage berechtigter Interessen (lit. f) ist keine Einwilligung erforderlich. Wer für eine Vertragsabwicklung trotzdem eine Einwilligung einholt, gerät in Erklärungsnot, wenn der Kunde sie widerruft. Typische Fälle, in denen eine Einwilligung nötig ist: Werbung per E-Mail ohne Bestandskundenausnahme, nicht notwendige Cookies, Veröffentlichung von Fotos, Talentpools, Verarbeitung von Gesundheitsdaten außerhalb gesetzlicher Erlaubnisse.

    Die sechs Voraussetzungen

    1. Freiwilligkeit: Die Person muss eine echte Wahl haben. Problematisch ist es, wenn eine Leistung von einer nicht erforderlichen Einwilligung abhängig gemacht wird (Koppelungsverbot, Art. 7 Abs. 4 DSGVO) oder ein Machtungleichgewicht besteht, etwa im Arbeitsverhältnis.
    2. Bestimmtheit: Die Einwilligung muss sich auf einen oder mehrere konkrete Zwecke beziehen. Pauschale Einwilligungen „in die Nutzung zu Marketingzwecken durch Partnerunternehmen“ sind regelmäßig unwirksam, wie schon ältere Rechtsprechung zu Einwilligungen für eine Vielzahl von Unternehmen zeigt.
    3. Informiertheit: Die Person muss wissen, wer die Daten wofür verarbeitet und dass sie die Einwilligung widerrufen kann.
    4. Eine unmissverständliche Handlung, also aktives Ankreuzen, Klicken oder eine Erklärung. Schweigen oder vorangekreuzte Kästchen genügen nicht, wie der BGH im Urteil „Cookie-Einwilligung II“ bestätigt hat.
    5. Trennung von anderen Erklärungen: Wird die Einwilligung zusammen mit anderen Erklärungen abgegeben, etwa in AGB, muss sie klar davon abgehoben sein (Art. 7 Abs. 2 DSGVO).
    6. Widerrufbarkeit: Der Widerruf muss so einfach sein wie die Erteilung. Darauf ist vor Abgabe hinzuweisen (Art. 7 Abs. 3 DSGVO).

    Besondere Fälle

    Für Gesundheitsdaten und andere sensible Daten muss die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO „ausdrücklich“ erfolgen. Bei Online-Diensten, die sich direkt an Kinder richten, ist bis zum vollendeten 16. Lebensjahr die Zustimmung der Eltern erforderlich (Art. 8 DSGVO). Für Beschäftigte enthält § 26 Abs. 2 BDSG eigene Vorgaben zur Freiwilligkeit und verlangt grundsätzlich Schrift- oder elektronische Form; Beispiele dazu in unserem Beitrag zu Mitarbeiterfotos auf der Website.

    Nachweis und Verwaltung

    Der Verantwortliche muss nachweisen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO). Dokumentieren Sie deshalb Zeitpunkt, Inhalt der Erklärung und Art der Abgabe. Widerrufe müssen zuverlässig und schnell umgesetzt werden, und zwar in allen Systemen, in denen die Daten verwendet werden.

    Prüfen Sie zuerst, ob eine andere Rechtsgrundlage greift; die Einwilligung ist kein Allheilmittel. Gern sehen wir uns Ihre Einwilligungstexte an oder klären mit Ihnen, welche Rechtsgrundlage für Ihre Verarbeitung trägt. Kontaktformular oder Online-Termin.

  • WhatsApp im Unternehmen: Datenschutzrisiken und Alternativen

    Schnell ein Foto vom Schaden an den Handwerker schicken, Termine mit Kunden abstimmen, im Team kurz etwas klären: Messenger wie WhatsApp gehören zum Alltag, auch im Beruf. Für Unternehmen bringt die Nutzung jedoch erhebliche datenschutzrechtliche Risiken mit sich. Wer WhatsApp geschäftlich einsetzt, sollte die Problemfelder kennen und bewusst entscheiden.

    Problem 1: Das Adressbuch

    Die private WhatsApp-App greift, wenn der Nutzer es zulässt, auf das Adressbuch des Smartphones zu und gleicht die Telefonnummern mit den Servern des Anbieters ab. Befinden sich auf einem Diensthandy Kontaktdaten von Kunden, Lieferanten oder Kollegen, werden diese damit an einen Dritten übermittelt, ohne dass die Betroffenen davon wissen oder eingewilligt haben. Dafür fehlt in aller Regel eine Rechtsgrundlage. Abhilfe schaffen technische Lösungen, die das Adressbuch von der App trennen, etwa Container-Lösungen auf Diensthandys.

    Problem 2: Datenübermittlung in die USA

    WhatsApp gehört zum Meta-Konzern. Auch wenn Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an (wer mit wem wann kommuniziert), die auch in Drittländer übermittelt werden können. Seit dem Schrems-II-Urteil ist die Übermittlung in die USA nur mit zusätzlichen Garantien zulässig, deren Wirksamkeit im Einzelfall zu prüfen ist. Wie streng Aufsichtsbehörden diese Frage sehen, zeigt die Entscheidung der österreichischen Datenschutzbehörde zu Google Analytics.

    Problem 3: Kontrolle und Dokumentation

    Werden geschäftliche Chats auf privaten Smartphones geführt, verliert das Unternehmen die Kontrolle über die Daten. Auskunftsersuchen, Löschpflichten und Aufbewahrungspflichten für Geschäftskorrespondenz lassen sich kaum erfüllen. Scheidet ein Mitarbeiter aus, nimmt er die Kundenkommunikation mit.

    WhatsApp Business: die bessere Wahl?

    Die Business-Varianten von WhatsApp bieten zusätzliche Vertragsbedingungen für Unternehmen. Bei der API-Lösung lassen sich Nachrichten außerdem über Dienstleister verwalten, ohne auf das Adressbuch zuzugreifen. Die Drittlandfrage bleibt aber auch dort zu prüfen. Ob ein Einsatz vertretbar ist, hängt von der konkreten Konfiguration, den vertraglichen Grundlagen und den kommunizierten Inhalten ab.

    Empfehlungen für die Praxis

    1. Entscheiden Sie bewusst, ob ein Messenger überhaupt dienstlich genutzt werden darf und wenn ja, welcher.
    2. Prüfen Sie Alternativen. Es gibt Messenger europäischer Anbieter, die gezielt für den Unternehmenseinsatz konzipiert sind und Auftragsverarbeitungsverträge anbieten.
    3. Gesundheitsdaten, Vertragsunterlagen oder Bankdaten gehören nicht in Messenger-Chats.
    4. Verwalten Sie Diensthandys mit Mobile-Device-Management, getrennten Containern und Regelungen für Verlust und Ausscheiden.
    5. Stellen Sie Nutzungsregeln für Beschäftigte auf und schließen Sie, soweit möglich, einen Auftragsverarbeitungsvertrag mit dem Anbieter.
    6. Informieren Sie Kunden in der Datenschutzerklärung über die Nutzung.

    Die private WhatsApp-App auf dem Diensthandy ist die schwierigste Variante. Wenn Sie Messenger-Kommunikation mit Kunden anbieten möchten, prüfen wir die geplante Lösung und erstellen die nötigen Richtlinien. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

    Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

    Rechtsgrundlage: Art. 13 DSGVO

    Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

    Die Pflichtangaben im Überblick

    • Name und Kontaktdaten des Verantwortlichen,
    • Kontaktdaten des Datenschutzbeauftragten, falls benannt,
    • Zwecke und Rechtsgrundlagen jeder Verarbeitung,
    • bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
    • Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
    • Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
    • Speicherdauer oder Kriterien für ihre Festlegung,
    • Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
    • Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
    • ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

    Typische Verarbeitungen auf Websites

    Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

    Die häufigsten Fehler

    • Kopierte Muster ohne Bezug zur tatsächlichen Website.
    • Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
    • Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
    • Die pauschale Berufung auf „berechtigte Interessen“ für alles.
    • Juristische Bleiwüsten ohne Gliederung.

    Generator oder individuell?

    Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

    Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.

  • Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

    Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den Instrumenten der DSGVO, die in kleinen und mittleren Unternehmen oft unbekannt sind oder gefürchtet werden. Dabei ist sie im Kern ein strukturiertes Nachdenken über Risiken, bevor eine neue Datenverarbeitung startet. Art. 35 DSGVO verlangt sie nur in bestimmten Fällen. Welche das sind und wie eine DSFA abläuft, erläutern wir im Folgenden.

    Wann ist eine DSFA erforderlich?

    Eine DSFA ist durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:

    • systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung dient,
    • umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen,
    • systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

    Die „Muss-Liste“ der Aufsichtsbehörden

    Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungsvorgängen veröffentlicht, für die stets eine DSFA durchzuführen ist. Dazu zählen beispielsweise umfangreiche Verarbeitungen von Standortdaten, die Zusammenführung von Daten aus verschiedenen Quellen, die umfassende Überwachung von Beschäftigten oder der Einsatz bestimmter neuer Technologien zur Interaktion mit Betroffenen. Prüfen Sie diese Liste bei jeder neuen Verarbeitung.

    Als Faustregel helfen zudem die Kriterien des Europäischen Datenschutzausschusses, etwa Bewertung und Scoring, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen wie Beschäftigte oder Kinder und innovative Technologien. Treffen mindestens zwei dieser Kriterien zu, ist in der Regel eine DSFA angezeigt.

    Typische Fälle in der Praxis

    • umfangreiche Videoüberwachung von Geschäftsräumen,
    • GPS-Ortung von Dienstfahrzeugen oder Leistungskontrollen von Beschäftigten,
    • Patientenverwaltung in größeren Praxen oder Pflegediensten,
    • Kundenbindungsprogramme mit umfassendem Profiling,
    • neue Software, die große Mengen Beschäftigtendaten automatisiert auswertet.

    Ablauf einer DSFA

    1. Die geplante Verarbeitung und ihre Zwecke werden beschrieben, einschließlich der berechtigten Interessen.
    2. Es folgt die Bewertung von Notwendigkeit und Verhältnismäßigkeit: Geht es auch mit weniger Daten?
    3. Dann werden die Risiken bewertet: Welche Schäden drohen den Betroffenen, wie wahrscheinlich und wie schwer sind sie?
    4. Festgelegt werden die Abhilfemaßnahmen, also technische und organisatorische Maßnahmen, die das Risiko reduzieren.
    5. Am Ende stehen Ergebnis und Dokumentation, unter Einbindung des Datenschutzbeauftragten, sofern benannt.

    Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Das kommt in der Praxis selten vor.

    Folge für den Datenschutzbeauftragten

    Wichtig für kleinere Unternehmen: Wer Verarbeitungen durchführt, die einer DSFA unterliegen, muss nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Mehr dazu in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Prüfen Sie bei jedem neuen Projekt mit Personenbezug kurz, ob eine DSFA nötig ist, und halten Sie auch das Ergebnis dieser Vorprüfung fest. Bei der Einschätzung und der Durchführung unterstützen wir Sie. Sprechen Sie uns an oder buchen Sie einen Termin.

  • Videoüberwachung im Laden oder in der Praxis: Was ist erlaubt?

    Ladendiebstahl, Vandalismus, Einbrüche: Viele Inhaberinnen und Inhaber kleiner Geschäfte, Praxen oder Werkstätten überlegen, eine Kamera zu installieren. Die Technik ist günstig und schnell montiert. Rechtlich ist Videoüberwachung aber ein sensibles Thema, denn sie erfasst Kunden, Patienten, Passanten und Beschäftigte. Im Folgenden geht es um Kameras im Kundenbereich. Zur Überwachung von Beschäftigten haben wir anlässlich eines Millionenbußgeldes bereits einen eigenen Beitrag veröffentlicht.

    Die Rechtsgrundlage

    Für private Unternehmen richtet sich die Videoüberwachung öffentlich zugänglicher Räume nach Art. 6 Abs. 1 lit. f DSGVO, also nach einer Interessenabwägung. Die Sondervorschrift des § 4 BDSG ist nach Rechtsprechung des Bundesverwaltungsgerichts für private Stellen insoweit nicht anwendbar, die Abwägung folgt aber ähnlichen Grundsätzen. Zulässig ist eine Überwachung, wenn

    • ein berechtigtes Interesse besteht, etwa der Schutz vor Diebstahl oder Sachbeschädigung,
    • die Kamera zur Erreichung dieses Zwecks geeignet und erforderlich ist, es also kein milderes, gleich wirksames Mittel gibt,
    • die Interessen der gefilmten Personen nicht überwiegen.

    Das berechtigte Interesse sollte möglichst konkret belegt werden, zum Beispiel durch frühere Diebstähle oder Einbrüche, Anzeigen oder eine besondere Gefährdungslage. Pauschale Befürchtungen reichen in der Regel nicht.

    Wo Kameras tabu sind

    • Umkleidekabinen, Toiletten und Behandlungsräume,
    • Sitz- und Aufenthaltsbereiche in Gastronomie und Wartezimmern, in denen sich Menschen länger aufhalten,
    • öffentlicher Straßenraum und Nachbargrundstücke,
    • Pausen- und Sozialräume der Beschäftigten.

    Hinweisschilder sind Pflicht

    Die Überwachung muss erkennbar sein, bevor Personen den überwachten Bereich betreten. Die Aufsichtsbehörden empfehlen ein zweistufiges Informationsmodell: Ein gut sichtbares Schild nennt mit Kamerasymbol Name und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage, Speicherdauer, die Kontaktdaten des Datenschutzbeauftragten (falls vorhanden) und den Ort, an dem die vollständigen Informationen nach Art. 13 DSGVO erhältlich sind. Das kann ein Aushang an der Kasse oder die Website sein.

    Speicherdauer

    Aufnahmen sind zu löschen, sobald sie nicht mehr erforderlich sind. Ob ein Vorfall vorliegt, lässt sich in der Regel innerhalb weniger Tage feststellen. Viele Aufsichtsbehörden halten daher eine Speicherdauer von etwa 72 Stunden für den Regelfall angemessen. Längere Fristen bedürfen einer besonderen Begründung, etwa bei Betrieben, die über das Wochenende geschlossen sind. Halten Sie die Frist auch in Ihrem Löschkonzept fest.

    Technik und Organisation

    • Bildausschnitt auf das Notwendige begrenzen, Privatzonen ausblenden.
    • Keine Tonaufnahmen, denn das Mitschneiden des nicht öffentlich gesprochenen Wortes kann strafbar sein.
    • Zugriff nur für wenige berechtigte Personen, mit Protokollierung.
    • Cloud-Kameras sorgfältig auswählen; bei externer Speicherung ist ein Auftragsverarbeitungsvertrag nötig.
    • Eintrag ins Verzeichnis von Verarbeitungstätigkeiten; bei umfangreicher Überwachung kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Und die Attrappe?

    Eine Kamera-Attrappe verarbeitet keine Daten und fällt daher nicht unter die DSGVO. Sie kann aber zivilrechtlich problematisch sein, wenn sie bei Nachbarn oder Beschäftigten einen erheblichen Überwachungsdruck erzeugt.

    Kamerawinkel, Speicherdauer und Zugriffsrechte sollten vor der Montage feststehen und dokumentiert sein. Wenn Sie eine Videoüberwachung planen oder Post von der Aufsichtsbehörde bekommen haben, beraten wir Sie gern. Kontaktformular · Termin buchen

  • TOMs nach Art. 32 DSGVO: Praxisleitfaden für KMU

    „Technische und organisatorische Maßnahmen“, kurz TOMs, klingt nach IT-Abteilung und Sicherheitszertifikat. Tatsächlich betrifft Art. 32 DSGVO jedes Unternehmen, vom Handwerksbetrieb bis zum Mittelständler. Die Vorschrift verlangt, die Sicherheit personenbezogener Daten durch Maßnahmen zu gewährleisten, die dem Risiko angemessen sind. Nicht jedes Unternehmen braucht deshalb ein Hochsicherheitsrechenzentrum, wohl aber ein durchdachtes Sicherheitskonzept.

    Der risikobasierte Ansatz

    Art. 32 Abs. 1 DSGVO nennt als Kriterien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen. Eine Arztpraxis mit Gesundheitsdaten muss also höhere Anforderungen erfüllen als ein Blumenladen mit einer Kundenkartei. Ausdrücklich genannt werden unter anderem Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.

    Technische Maßnahmen: Die Basics

    • individuelle Benutzerkonten, starke Passwörter und Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriffe,
    • ein Berechtigungskonzept, nach dem jeder nur die Daten sieht, die er für seine Arbeit benötigt,
    • regelmäßige Updates von Betriebssystemen, Programmen und Firewalls,
    • Verschlüsselung von Laptops, Smartphones und mobilen Datenträgern, die Website nur über HTTPS,
    • regelmäßige Backups, getrennt vom Produktivsystem, mit getesteter Wiederherstellung,
    • Virenschutz und Filter für E-Mail-Anhänge.

    Organisatorische Maßnahmen

    • Verpflichtung aller Beschäftigten auf Vertraulichkeit,
    • Schulung und Sensibilisierung, insbesondere zu Phishing-E-Mails,
    • klare Regeln für Homeoffice, private Geräte und die Weitergabe von Daten,
    • Zutrittskontrolle zu Büro- und Serverräumen,
    • Clean-Desk-Regel und datenschutzgerechte Aktenvernichtung,
    • ein Notfallplan für Datenpannen und IT-Ausfälle.

    Gerade für mobiles Arbeiten lohnt ein Blick in unsere Homeoffice-Checkliste. Und für den Ernstfall sollte jeder wissen, wie eine Datenpanne binnen 72 Stunden gemeldet wird.

    Dokumentation: Das TOM-Konzept

    Die Maßnahmen sollten schriftlich dokumentiert werden. Das TOM-Dokument dient mehreren Zwecken: Es ist Teil der Rechenschaftspflicht, wird im Verzeichnis von Verarbeitungstätigkeiten referenziert und ist Anlage zu Auftragsverarbeitungsverträgen, wenn Sie selbst als Dienstleister tätig sind. Gliedern Sie es nach Schutzzielen und beschreiben Sie konkret, was umgesetzt ist. Das Dokument soll die gelebte Praxis abbilden, keine Wunschliste.

    Regelmäßig überprüfen

    Der Stand der Technik entwickelt sich weiter. Was vor drei Jahren ausreichend war, kann heute veraltet sein. Planen Sie mindestens eine jährliche Überprüfung ein und passen Sie die Maßnahmen bei neuen Systemen oder Vorfällen an. Dass unzureichende Sicherheitsmaßnahmen zu empfindlichen Bußgeldern führen können, zeigt etwa das Verfahren gegen einen Telekommunikationsanbieter, über das wir im Beitrag zum Urteil des LG Bonn berichtet haben.

    Viele wirksame Maßnahmen wie Zwei-Faktor-Authentifizierung, Updates, Backups und Schulungen lassen sich mit überschaubarem Aufwand umsetzen. Wenn Sie Ihre TOMs dokumentieren oder überprüfen lassen möchten, helfen wir Ihnen. Kontakt oder Online-Termin.

  • Newsletter rechtssicher versenden: Double-Opt-in und Einwilligung

    E-Mail-Newsletter gehören für viele kleine und mittlere Unternehmen zu den wirksamsten Marketinginstrumenten. Rechtlich bewegen sie sich allerdings an der Schnittstelle von Datenschutz- und Wettbewerbsrecht. Wer ohne wirksame Einwilligung Werbe-E-Mails verschickt, riskiert Abmahnungen von Wettbewerbern, Unterlassungsansprüche der Empfänger und Maßnahmen der Datenschutzaufsicht. Mit den richtigen Prozessen lässt sich das Risiko jedoch gut beherrschen.

    Grundsatz: Werbung per E-Mail nur mit Einwilligung

    Nach § 7 Abs. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten grundsätzlich eine unzumutbare Belästigung. Datenschutzrechtlich wird die Verarbeitung der E-Mail-Adresse für den Newsletter in der Regel ebenfalls auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt. Die Einwilligung muss freiwillig, informiert und eindeutig sein; ein vorangekreuztes Kästchen genügt nicht. Das hat der BGH zuletzt im Zusammenhang mit Cookies noch einmal deutlich gemacht, wie wir im Beitrag zum Urteil „Cookie-Einwilligung II“ erläutert haben.

    Das Double-Opt-in-Verfahren

    Wer sich für einen Newsletter anmeldet, könnte eine fremde E-Mail-Adresse eintragen. Im Streitfall muss der Versender aber beweisen, dass gerade der Inhaber der Adresse eingewilligt hat. Deshalb hat sich das Double-Opt-in-Verfahren als Standard etabliert:

    1. Der Nutzer trägt seine E-Mail-Adresse in ein Formular ein und bestätigt die Einwilligungserklärung.
    2. Er erhält eine Bestätigungs-E-Mail mit einem Link, die keine werblichen Inhalte enthält.
    3. Erst nach Klick auf den Link wird die Adresse in den Verteiler aufgenommen.

    Speichern Sie Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse und den Wortlaut der Einwilligung. Nur so können Sie die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen.

    Was gehört ins Anmeldeformular?

    • Pflichtfeld nur für die E-Mail-Adresse, weitere Angaben wie der Name freiwillig (Datenminimierung),
    • klare Beschreibung der Inhalte und der Versandhäufigkeit,
    • Hinweis auf das jederzeitige Widerrufsrecht,
    • Link auf die Datenschutzerklärung,
    • Hinweis auf Tracking, falls Öffnungs- und Klickraten personenbezogen ausgewertet werden.

    Ausnahme für Bestandskunden

    § 7 Abs. 3 UWG erlaubt E-Mail-Werbung ohne Einwilligung, wenn der Unternehmer die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten hat, sie für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet, der Kunde nicht widersprochen hat und bei der Erhebung sowie bei jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen wird. Alle Voraussetzungen müssen gleichzeitig vorliegen. Die Ausnahme ist eng und eignet sich nicht für allgemeine Newsletter an alle Kontakte.

    Newsletter-Dienstleister

    Viele Unternehmen nutzen externe Versanddienste. Mit diesen ist ein Auftragsverarbeitungsvertrag zu schließen. Sitzt der Anbieter in den USA, ist die Übermittlung gesondert abzusichern. Seit Juni 2021 stehen dafür die neuen Standardvertragsklauseln zur Verfügung, deren Einsatz aber eine Bewertung im Einzelfall voraussetzt. Anbieter mit Sitz und Servern in der EU sind häufig die einfachere Lösung.

    Abmeldung und Löschung

    Jeder Newsletter muss einen gut sichtbaren Abmeldelink enthalten. Abmeldungen sind unverzüglich umzusetzen. Die Adresse darf danach nur noch insoweit gespeichert werden, wie es für den Nachweis der früheren Einwilligung oder für eine Sperrliste erforderlich ist.

    Haben Sie eine Abmahnung wegen Werbe-E-Mails erhalten, oder soll Ihr Newsletter-Setup vorab geprüft werden? Schreiben Sie uns über das Kontaktformular oder buchen Sie einen Termin.

  • Neue Standardvertragsklauseln 2021: Fristen und To-dos

    Knapp ein Jahr nach dem Schrems-II-Urteil des EuGH hat die Europäische Kommission am 4. Juni 2021 neue Standardvertragsklauseln (Standard Contractual Clauses, SCC) für die Übermittlung personenbezogener Daten in Drittländer verabschiedet (Durchführungsbeschluss (EU) 2021/914). Die bisherigen Klauseln aus den Jahren 2001, 2004 und 2010 laufen aus. Für Unternehmen, die mit Dienstleistern oder Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums zusammenarbeiten, besteht damit Handlungsbedarf.

    Die wichtigsten Neuerungen

    • Statt getrennter Vertragswerke gibt es ein einheitliches Dokument mit vier Modulen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Gerade die Konstellation „Auftragsverarbeiter an Unterauftragsverarbeiter“ war bislang nicht abgedeckt.
    • Über eine „Kopplungsklausel“ können weitere Parteien später beitreten.
    • Die Parteien müssen zusichern, dass sie geprüft haben, ob Recht und Praxis im Bestimmungsland die Einhaltung der Klauseln verhindern. Diese Prüfung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Damit greift die Kommission die Vorgaben des EuGH aus Schrems II auf.
    • Der Datenimporteur muss den Exporteur grundsätzlich über Zugriffsersuchen von Behörden informieren und deren Rechtmäßigkeit prüfen.
    • Die Module für Auftragsverarbeiter enthalten die Anforderungen des Art. 28 DSGVO, sodass für diese Punkte kein separater Vertrag erforderlich ist.

    Die Übergangsfristen

    Der Beschluss tritt am 27. Juni 2021 in Kraft. Die alten Standardvertragsklauseln dürfen für neue Verträge nur noch bis zum 27. September 2021 verwendet werden. Bereits bestehende Verträge auf Basis der alten Klauseln bleiben bis zum 27. Dezember 2022 wirksam, sofern die Verarbeitung unverändert bleibt und geeignete Garantien gewährleistet sind. Bis dahin müssen alle Altverträge umgestellt sein.

    Separate Klauseln für die Auftragsverarbeitung in der EU

    Am selben Tag hat die Kommission zusätzlich Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU nach Art. 28 Abs. 7 DSGVO veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Ihre Nutzung ist freiwillig. Sie bieten aber eine solide Grundlage, wenn Sie einen Auftragsverarbeitungsvertrag neu aufsetzen möchten.

    To-do-Liste für Unternehmen

    1. Alle Drittlandübermittlungen erfassen, einschließlich der Unterauftragsverarbeiter Ihrer Dienstleister.
    2. Klären, welches Modul für die jeweilige Konstellation passt.
    3. Für jede Übermittlung eine Bewertung der Rechtslage im Drittland (Transfer Impact Assessment) erstellen und dokumentieren.
    4. Gegebenenfalls zusätzliche Maßnahmen festlegen, etwa Verschlüsselung oder Pseudonymisierung. Der Europäische Datenschutzausschuss hat hierzu Empfehlungen veröffentlicht.
    5. Neue Verträge ab sofort auf Basis der neuen Klauseln abschließen; Altverträge bis spätestens 27. Dezember 2022 umstellen.
    6. Das Verzeichnis von Verarbeitungstätigkeiten aktualisieren.

    Lösen die neuen Klauseln das US-Problem?

    Nicht automatisch. Die Klauseln bieten einen verbesserten vertraglichen Rahmen, ändern aber nichts an der Rechtslage in den USA, die der EuGH beanstandet hat. Ob eine Übermittlung zulässig ist, hängt weiterhin von der Einzelfallprüfung und gegebenenfalls ergänzenden Maßnahmen ab. Das betrifft besonders Website-Dienste wie Analyse- oder Marketing-Tools, für die ohnehin eine Einwilligung über einen rechtssicheren Cookie-Banner einzuholen ist.

    Bis Ende 2022 ist Zeit, aber die Bestandsaufnahme sollte jetzt beginnen. Bei der Umstellung der Verträge und beim Transfer Impact Assessment unterstützen wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Bewerberdaten: Wie lange speichern, wann löschen?

    Bewerbungen enthalten eine Fülle personenbezogener Daten: Lebenslauf, Zeugnisse, Fotos, mitunter Angaben zu Gesundheit, Familienstand oder Religion. Für Arbeitgeber stellt sich deshalb regelmäßig die Frage, was mit den Unterlagen abgelehnter Bewerberinnen und Bewerber geschehen soll. Einfach aufbewahren „für alle Fälle“ ist keine gute Idee. Gleichzeitig wäre eine sofortige Löschung nach der Absage oft vorschnell.

    Rechtsgrundlage im Bewerbungsverfahren

    Bewerberinnen und Bewerber gelten nach § 26 Abs. 8 BDSG als Beschäftigte. Ihre Daten dürfen verarbeitet werden, soweit dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG). Erforderlich sind Angaben, die für die Beurteilung der Eignung relevant sind. Fragen nach Schwangerschaft, Religion oder Gewerkschaftszugehörigkeit sind im Regelfall unzulässig. Werden besondere Kategorien von Daten mitgeteilt, gelten die strengeren Voraussetzungen des § 26 Abs. 3 BDSG.

    Wie lange dürfen Unterlagen nach der Absage gespeichert werden?

    Nach Abschluss des Verfahrens entfällt der ursprüngliche Zweck. Arbeitgeber haben aber ein berechtigtes Interesse, sich gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) verteidigen zu können. Ansprüche auf Entschädigung oder Schadensersatz müssen nach § 15 Abs. 4 AGG innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend gemacht werden; für die anschließende Klage gilt eine Frist von drei Monaten (§ 61b ArbGG). Hinzu kommt eine angemessene Zeit für Zustellungen. In der Praxis hat sich daher eine Aufbewahrungsdauer von etwa sechs Monaten nach der Absage etabliert, die auch von Aufsichtsbehörden regelmäßig akzeptiert wird. Danach sind die Daten zu löschen, sofern kein Rechtsstreit anhängig ist.

    Talentpool: nur mit Einwilligung

    Möchten Sie interessante Kandidatinnen und Kandidaten für künftige Stellen vormerken, benötigen Sie dafür grundsätzlich eine Einwilligung. Diese sollte gesondert abgefragt werden und nicht versteckt in der Datenschutzerklärung stehen. Sie sollte eine konkrete Speicherdauer nennen und auf das jederzeitige Widerrufsrecht hinweisen. Ohne Einwilligung ist die Speicherung über die Sechs-Monats-Frist hinaus kaum zu rechtfertigen.

    Recherchen im Internet und in sozialen Netzwerken

    Dürfen Personalverantwortliche Bewerber „googeln“? Die Recherche in beruflich ausgerichteten Netzwerken ist eher vertretbar, weil diese gerade der beruflichen Selbstdarstellung dienen. Private Profile in sozialen Netzwerken sind dagegen in der Regel tabu. Werden Daten bei Dritten erhoben, ist zudem die Informationspflicht nach Art. 14 DSGVO zu beachten.

    Organisation im Bewerbermanagement

    • Informieren Sie Bewerber bei Eingang der Bewerbung über die Datenverarbeitung (Art. 13 DSGVO), etwa mit einer Eingangsbestätigung und einem Link auf Datenschutzhinweise.
    • Beschränken Sie den Zugriff auf die am Auswahlverfahren beteiligten Personen.
    • Nutzen Sie für Bewerbungen per E-Mail ein eigenes Postfach statt persönlicher Postfächer.
    • Wenn Sie ein Online-Bewerbermanagement einsetzen, schließen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag.
    • Nehmen Sie Bewerberdaten in Ihr Löschkonzept auf und automatisieren Sie die Löschung, wo möglich.

    Auskunftsansprüche von Bewerbern

    Auch abgelehnte Bewerber können Auskunft über die zu ihnen gespeicherten Daten verlangen, einschließlich Notizen aus Vorstellungsgesprächen. Wie solche Anfragen strukturiert beantwortet werden, zeigt unser Leitfaden zu Auskunftsersuchen. Formulieren Sie interne Notizen deshalb stets sachlich.

    Wenn Sie Ihren Bewerbungsprozess datenschutzrechtlich überprüfen lassen möchten, von der Eingangsbestätigung bis zur Löschroutine, sprechen Sie uns an. Zum Kontaktformular oder direkt einen Termin buchen.

  • Löschkonzept erstellen: Wann Daten gelöscht werden müssen

    Speicherplatz ist billig, deshalb bewahren viele Unternehmen Daten einfach auf. Kundendaten aus dem Jahr 2010, Bewerbungen von vor drei Jahren, alte E-Mail-Postfächer ausgeschiedener Mitarbeiter: In fast jedem Betrieb finden sich Datenbestände, die längst hätten gelöscht werden müssen. Die DSGVO verlangt jedoch, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein Löschkonzept hilft, diesen Grundsatz systematisch umzusetzen.

    Warum ein Löschkonzept?

    Ein Löschkonzept beschreibt, welche Daten wann und wie gelöscht werden. Es ist nicht ausdrücklich im Gesetz genannt, ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), aus dem Recht auf Löschung (Art. 17 DSGVO) und aus der Pflicht, im Verzeichnis von Verarbeitungstätigkeiten Löschfristen anzugeben. Weniger Daten bedeuten zudem weniger Risiko: Bei einer Datenpanne oder einem Auskunftsersuchen ist der Aufwand umso geringer, je schlanker die Datenbestände sind.

    Schritt 1: Datenkategorien bilden

    Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten. Fassen Sie Daten zu Kategorien mit gleicher Speicherdauer zusammen, etwa: Bewerbungsunterlagen, Personalakten, Rechnungen und Buchungsbelege, Geschäftsbriefe, Angebote ohne Auftrag, Newsletter-Abonnenten, Videoaufzeichnungen, Protokolldaten der Website.

    Schritt 2: Fristen bestimmen

    Für jede Kategorie ist zu klären, wie lange sie benötigt wird. Maßgeblich sind vor allem gesetzliche Aufbewahrungspflichten. Nach § 147 AO und § 257 HGB sind etwa Buchungsbelege und Handelsbücher zehn Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre aufzubewahren. Hinzu kommen Verjährungsfristen für mögliche Ansprüche, die eine längere Speicherung rechtfertigen können, wenn sie konkret begründet sind. Achten Sie auch auf den Fristbeginn, häufig der Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

    Schritt 3: Zuständigkeiten und Routinen

    Legen Sie fest, wer für die Löschung welcher Daten verantwortlich ist und wann sie erfolgt, zum Beispiel einmal jährlich im ersten Quartal. Wo möglich, sollten Löschungen automatisiert werden. Viele Programme bieten Funktionen zur automatischen Löschung oder Archivierung. Wo Daten nach Ablauf der Frist nicht sofort gelöscht werden können, etwa wegen laufender Aufbewahrungspflichten für einzelne Bestandteile, ist eine Sperrung bzw. Einschränkung der Verarbeitung vorzusehen.

    Schritt 4: Wie wird gelöscht?

    Löschen bedeutet, dass die Daten nicht mehr oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Das bloße Verschieben in den Papierkorb genügt nicht. Für Papierakten bietet sich eine zertifizierte Aktenvernichtung an. Der Dienstleister ist dann in der Regel Auftragsverarbeiter, mit dem ein Vertrag nach Art. 28 DSGVO zu schließen ist. Auch Backups müssen berücksichtigt werden: Hier genügt es in der Regel, wenn sie nach einem festgelegten Zyklus überschrieben werden und gelöschte Daten bei einer Wiederherstellung nicht reaktiviert werden.

    Schritt 5: Dokumentieren

    Halten Sie das Konzept schriftlich fest und protokollieren Sie die durchgeführten Löschläufe. So können Sie gegenüber Aufsichtsbehörden und Betroffenen belegen, dass Sie den Grundsatz der Speicherbegrenzung umsetzen.

    In vielen kleinen Unternehmen genügt eine Tabelle mit Datenkategorie, Frist, Fristbeginn, Verantwortlichem und Löschmethode, sofern sie mit einem festen jährlichen Löschtermin auch gelebt wird. Bei der Einführung und bei Fragen zu Aufbewahrungsfristen unterstützen wir Sie: Nachricht senden oder Termin online buchen.

  • Auftragsverarbeitungsvertrag (AVV): Wann nötig, was rein muss

    Kaum ein Unternehmen verarbeitet seine Daten heute ausschließlich selbst. Hosting, Cloud-Speicher, E-Mail-Marketing, Fernwartung der IT oder die externe Lohnabrechnung: Überall dort, wo ein Dienstleister im Auftrag mit personenbezogenen Daten arbeitet, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung. Fehlt er, liegt ein Verstoß vor, den Aufsichtsbehörden sowohl beim Auftraggeber als auch beim Dienstleister ahnden können.

    Was ist Auftragsverarbeitung?

    Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Er entscheidet nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung. Typische Beispiele sind Rechenzentren, Software-as-a-Service-Anbieter, Newsletter-Dienste, Aktenvernichter, Callcenter oder IT-Dienstleister mit Zugriff auf Kundendaten.

    Keine Auftragsverarbeitung: Typische Abgrenzungen

    Nicht jede Zusammenarbeit mit Dritten ist Auftragsverarbeitung. Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater bei der fachlichen Beratung oder Wirtschaftsprüfer handeln regelmäßig eigenverantwortlich. Auch Banken, Post- und Paketdienste oder Inkassounternehmen, die Forderungen übernehmen, sind in der Regel eigene Verantwortliche. Entscheiden zwei Unternehmen gemeinsam über Zwecke und Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO mit eigenen Vertragspflichten vorliegen.

    Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

    • Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen,
    • Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
    • Verpflichtung der eingesetzten Personen zur Vertraulichkeit,
    • angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
    • Regelungen zum Einsatz von Unterauftragsverarbeitern,
    • Unterstützung bei Betroffenenrechten und bei Datenpannen,
    • Löschung oder Rückgabe der Daten nach Ende des Auftrags,
    • Nachweis- und Kontrollrechte des Verantwortlichen.

    Auf diese Punkte sollten Sie achten

    Lassen Sie sich eine Liste der Unterauftragsverarbeiter geben und vereinbaren Sie ein Informations- und Widerspruchsrecht bei Änderungen. Setzt der Dienstleister Server oder Subunternehmer außerhalb der EU ein, braucht es eine tragfähige Übermittlungsgrundlage; seit dem Schrems-II-Urteil reicht das Privacy Shield hierfür nicht mehr aus. Für Datenpannen sollten kurze Meldefristen vereinbart werden, denn Ihre eigene 72-Stunden-Frist beginnt mit Kenntnis. Einzelheiten in unserem Leitfaden zur Datenpanne.

    Standardverträge großer Anbieter

    Große Plattformen bieten ihre Auftragsverarbeitungsverträge meist nur als nicht verhandelbare Standardbedingungen an, häufig online im Kundenkonto. Das ist zulässig, entbindet aber nicht von der Prüfung, ob die Inhalte den Anforderungen genügen. Speichern Sie die jeweils akzeptierte Fassung ab; ein Link auf die aktuelle Version des Anbieters genügt für Ihre Dokumentation nicht.

    Organisation im Unternehmen

    Führen Sie eine Übersicht aller Auftragsverarbeiter mit Vertragsstatus. Diese Liste lässt sich unmittelbar mit Ihrem Verzeichnis von Verarbeitungstätigkeiten verknüpfen, in dem die Empfänger ohnehin anzugeben sind. Ob ein Vertrag erforderlich ist, sollte vor der Einführung neuer Software geprüft werden, nicht erst danach.

    Mit einer Übersicht der Dienstleister, geprüften Standardverträgen und einem Blick auf Unterauftragnehmer und Drittlandbezüge ist das Thema gut zu beherrschen. Wir entwerfen Auftragsverarbeitungsverträge und prüfen die Verträge Ihrer Dienstleister. Schreiben Sie uns oder buchen Sie direkt einen Termin.

  • Verzeichnis von Verarbeitungstätigkeiten erstellen: Anleitung

    Fragt eine Aufsichtsbehörde nach dem Stand des Datenschutzes, ist eines der ersten Dokumente, das sie sehen möchte, das Verzeichnis von Verarbeitungstätigkeiten (VVT). Es ist das Herzstück der Datenschutzdokumentation und zugleich ein wertvolles Arbeitsinstrument: Wer weiß, welche Daten wo und wozu verarbeitet werden, kann Auskunftsersuchen beantworten, Löschfristen umsetzen und Risiken erkennen. Dennoch fehlt das Verzeichnis in vielen kleinen und mittleren Unternehmen oder ist veraltet.

    Wer muss ein Verzeichnis führen?

    Art. 30 DSGVO verpflichtet grundsätzlich jeden Verantwortlichen und jeden Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern in Art. 30 Abs. 5 DSGVO greift in der Praxis kaum: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Da nahezu jedes Unternehmen regelmäßig Lohnabrechnungen erstellt oder Kundendaten pflegt, erfolgt die Verarbeitung „nicht nur gelegentlich“. Im Ergebnis braucht damit fast jedes Unternehmen ein Verzeichnis, und zwar unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss.

    Was ist eine „Verarbeitungstätigkeit“?

    Eine Verarbeitungstätigkeit ist ein zusammenhängender Geschäftsprozess mit einem bestimmten Zweck, nicht jedes einzelne IT-System. Typische Einträge sind etwa: Lohn- und Gehaltsabrechnung, Bewerbermanagement, Kundenverwaltung, Rechnungsstellung, Newsletter-Versand, Website-Betrieb, Videoüberwachung, Zeiterfassung. Ein kleiner Handwerksbetrieb kommt oft mit 10 bis 20 Einträgen aus.

    Pflichtangaben nach Art. 30 Abs. 1 DSGVO

    • Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten,
    • die Zwecke der Verarbeitung,
    • die Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Bewerber) und der personenbezogenen Daten,
    • die Kategorien von Empfängern, einschließlich Empfängern in Drittländern,
    • gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien,
    • wenn möglich die vorgesehenen Löschfristen,
    • wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

    Gerade die Angaben zu Drittlandübermittlungen sollten nach dem Schrems-II-Urteil des EuGH überprüft werden: Wer bisher „USA – Privacy Shield“ eingetragen hat, muss die Grundlage neu bewerten.

    In fünf Schritten zum Verzeichnis

    1. Gehen Sie Abteilung für Abteilung durch und fragen Sie: Mit welchen personenbezogenen Daten arbeiten Sie, und wozu?
    2. Erfassen Sie alle Dienstleister, also Steuerberater, Lohnbüro, IT-Dienstleister, Cloud-Anbieter und Newsletter-Tool. Alle Empfänger gehören ins Verzeichnis.
    3. Ordnen Sie die Rechtsgrundlage nach Art. 6 DSGVO zu. Das ist nicht ausdrücklich gefordert, erleichtert aber die Erfüllung der Informationspflichten.
    4. Legen Sie Löschfristen fest und orientieren Sie sich dabei an gesetzlichen Aufbewahrungspflichten, etwa aus Handels- und Steuerrecht.
    5. Verweisen Sie für die technischen und organisatorischen Maßnahmen auf ein zentrales TOM-Dokument.

    Typische Fehler

    • Das Verzeichnis wird einmal erstellt und nie aktualisiert.
    • Statt Prozessen werden nur Softwareprodukte aufgelistet.
    • Löschfristen fehlen vollständig oder lauten pauschal „gesetzliche Fristen“.
    • Auftragsverarbeiter werden nicht genannt, Verträge nach Art. 28 DSGVO fehlen.

    Form und Vorlage

    Das Verzeichnis ist schriftlich zu führen, wobei die elektronische Form genügt (Art. 30 Abs. 3 DSGVO). Eine Tabelle reicht für kleine Unternehmen völlig aus. Die Aufsichtsbehörden der Länder stellen Muster zur Verfügung, die sich gut als Ausgangspunkt eignen. Auf Anfrage ist das Verzeichnis der Aufsichtsbehörde zur Verfügung zu stellen.

    Planen Sie einen festen Termin im Jahr ein, um das Verzeichnis zu aktualisieren, und passen Sie es bei jeder neuen Software und jedem neuen Dienstleister an. Beim Erstellen oder Überprüfen helfen wir Ihnen gern: per Kontaktformular oder über einen Online-Termin.

  • Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten

    „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“ Solche Schreiben erreichen Unternehmen immer häufiger: von Kunden, von Bewerbern und besonders oft von ehemaligen Beschäftigten im Zusammenhang mit einem Kündigungsstreit. Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wichtigsten Betroffenenrechte. Wer es ignoriert oder unvollständig erfüllt, riskiert Beschwerden bei der Aufsichtsbehörde, Bußgelder und Klagen. Der folgende Ablauf hat sich in der Praxis bewährt.

    Schritt 1: Anfrage erkennen und Frist notieren

    Ein Auskunftsersuchen ist an keine Form gebunden. Es kann per E-Mail, Brief, Telefon oder über soziale Medien eingehen und muss das Wort „DSGVO“ nicht enthalten. Beschäftigte am Empfang, im Kundenservice und in der Personalabteilung sollten solche Anfragen erkennen und sofort weiterleiten. Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats zu erteilen (Art. 12 Abs. 3 DSGVO). Nur bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Das muss der betroffenen Person innerhalb des ersten Monats mitgeteilt und begründet werden.

    Schritt 2: Identität prüfen

    Sie dürfen Auskünfte nur an die berechtigte Person erteilen. Bestehen begründete Zweifel an der Identität, können Sie zusätzliche Informationen anfordern. Die Anforderungen müssen aber verhältnismäßig sein: Wer mit einem Kunden ohnehin über eine bekannte E-Mail-Adresse kommuniziert, kann in der Regel keine Ausweiskopie verlangen.

    Schritt 3: Daten zusammentragen

    Durchsuchen Sie alle relevanten Systeme: CRM, Buchhaltung, E-Mail-Postfächer, Personalakte, Ticketsysteme, Newsletter-Tool, Papierakten und Backups. Hier zahlt sich ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten aus, denn es zeigt, wo welche Daten verarbeitet werden.

    Schritt 4: Inhalt der Auskunft

    Die Auskunft umfasst zunächst die Bestätigung, ob überhaupt Daten verarbeitet werden. Falls ja, sind nach Art. 15 Abs. 1 DSGVO insbesondere mitzuteilen:

    • die Verarbeitungszwecke und die Kategorien der Daten,
    • die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern,
    • die geplante Speicherdauer oder die Kriterien für ihre Festlegung,
    • die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei einer Aufsichtsbehörde,
    • die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling.

    Zusätzlich ist nach Art. 15 Abs. 3 DSGVO eine Kopie der Daten zur Verfügung zu stellen. Wie weit dieser Anspruch reicht, ist in der Rechtsprechung noch umstritten. Wer die Kopie gerichtlich durchsetzen will, muss jedenfalls einen hinreichend bestimmten Antrag stellen; pauschale Forderungen nach „allen E-Mails“ können daran scheitern.

    Schritt 5: Rechte Dritter beachten

    Die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Namen von Kollegen, Geschäftsgeheimnisse oder Daten anderer Kunden sind daher gegebenenfalls zu schwärzen. Eine vollständige Verweigerung der Auskunft lässt sich damit aber in der Regel nicht begründen.

    Schritt 6: Sicher übermitteln und dokumentieren

    Die erste Kopie ist unentgeltlich. Übermitteln Sie die Auskunft auf sicherem Weg, etwa verschlüsselt oder per Post. Eine versehentliche Übermittlung an die falsche Person wäre selbst eine Datenpanne; was dann zu tun ist, beschreibt unser Leitfaden zur 72-Stunden-Meldung. Dokumentieren Sie Eingang, Bearbeitung und Versand der Auskunft.

    Was droht bei Fehlern?

    Eine verspätete oder unvollständige Auskunft kann zu Beschwerden bei der Aufsichtsbehörde und zu Bußgeldern führen. Zudem können Betroffene ihren Anspruch gerichtlich durchsetzen. Wie Gerichte den Streitwert solcher Verfahren bemessen, haben wir im Beitrag zum Streitwert eines Auskunftsanspruchs beschrieben.

    Gerade im Arbeitsrechtsstreit lohnt sich eine sorgfältige Prüfung, bevor die Auskunft das Haus verlässt. Liegt Ihnen ein Ersuchen vor und läuft die Frist bereits, unterstützen wir Sie bei der Beantwortung. Nehmen Sie Kontakt auf oder buchen Sie kurzfristig einen Termin.

  • Videokonferenz-Tools datenschutzkonform nutzen: 7 Prüfpunkte

    Teambesprechungen, Mandantengespräche, Bewerbungsinterviews: Videokonferenzen sind in den vergangenen Wochen für viele Unternehmen unverzichtbar geworden. Häufig wurde das Tool genutzt, das gerade verfügbar war. Jetzt ist ein guter Zeitpunkt, die Auswahl auf eine solide datenschutzrechtliche Grundlage zu stellen. Denn bei Videokonferenzen werden zahlreiche personenbezogene Daten verarbeitet: Namen, E-Mail-Adressen, IP-Adressen, Bild und Ton, Chatnachrichten und mitunter Aufzeichnungen.

    1. Wer ist verantwortlich?

    Das Unternehmen, das eine Videokonferenz organisiert und den Dienst auswählt, ist in der Regel Verantwortlicher. Der Anbieter des Tools wird typischerweise als Auftragsverarbeiter tätig. Das hat Konsequenzen: Sie müssen einen Anbieter auswählen, der hinreichende Garantien für die Sicherheit der Daten bietet, und mit ihm einen Vertrag nach Art. 28 DSGVO schließen.

    2. Vertrag zur Auftragsverarbeitung

    Prüfen Sie, ob der Anbieter einen Auftragsverarbeitungsvertrag bereitstellt und ob dieser die Mindestinhalte des Art. 28 Abs. 3 DSGVO enthält. Achten Sie insbesondere darauf, dass der Anbieter die Daten nicht für eigene Zwecke, etwa für Werbung oder Produktanalysen, nutzen darf, soweit dies nicht offen geregelt und rechtlich zulässig ist.

    3. Serverstandort und Drittlandübermittlung

    Viele bekannte Dienste stammen von Anbietern aus den USA. Eine Übermittlung in Drittländer ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch Standardvertragsklauseln oder, für die USA, eine Zertifizierung des Anbieters nach dem EU-US Privacy Shield. Beachten Sie, dass die Zulässigkeit dieser Instrumente derzeit Gegenstand eines Verfahrens vor dem Gerichtshof der Europäischen Union ist. Anbieter mit Servern in der EU und Sitz in Europa reduzieren dieses Risiko.

    4. Sicherheit: Verschlüsselung und Zugangsschutz

    Mindestens eine Transportverschlüsselung sollte Standard sein. Für vertrauliche Gespräche ist eine Ende-zu-Ende-Verschlüsselung wünschenswert. Konferenzen sollten mit Kennwort oder Warteraum geschützt werden, damit keine ungebetenen Gäste teilnehmen. Links zu Besprechungen gehören nicht in öffentliche Kanäle.

    5. Datenschutzfreundliche Voreinstellungen

    Art. 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen. Deaktivieren Sie Funktionen, die Sie nicht benötigen, etwa „Aufmerksamkeitstracking“, automatische Aufzeichnungen oder die Weitergabe von Nutzungsdaten. Kamera und Mikrofon sollten beim Betreten der Konferenz standardmäßig ausgeschaltet sein.

    6. Aufzeichnungen nur mit klarer Grundlage

    Das Aufzeichnen einer Videokonferenz ist ein zusätzlicher Eingriff. Es bedarf einer eigenen Rechtsgrundlage und der vorherigen Information aller Teilnehmenden. Bei Beschäftigten ist zu beachten, dass eine Einwilligung im Arbeitsverhältnis nur wirksam ist, wenn sie freiwillig erfolgt. Im Zweifel sollte auf Aufzeichnungen verzichtet werden. Eine heimliche Aufnahme des gesprochenen Wortes kann zudem strafbar sein (§ 201 StGB).

    7. Information der Teilnehmenden

    Nach Art. 13 DSGVO sind die Teilnehmenden über die Datenverarbeitung zu informieren. Ein kurzer Hinweis in der Einladung mit Link auf ausführliche Datenschutzhinweise genügt in der Regel. Darüber hinaus gehört der Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten.

    Konferenzen aus dem Homeoffice

    Videokonferenzen finden häufig aus dem Homeoffice statt. Achten Sie auf einen neutralen Hintergrund und darauf, dass keine Unterlagen oder Bildschirminhalte mit fremden Daten sichtbar sind, gerade bei der Bildschirmfreigabe. Weitere Hinweise für das mobile Arbeiten finden Sie in unserer Homeoffice-Checkliste. Und falls doch einmal Daten in falsche Hände geraten, zeigt unser Leitfaden zur Meldung von Datenpannen, was dann zu tun ist.

    Halten Sie Ihre Auswahlentscheidung schriftlich fest und behalten Sie die Rechtsprechung zu Datenübermittlungen in die USA im Blick. Gern prüfen wir Ihr Videokonferenz-Tool und den zugehörigen Auftragsverarbeitungsvertrag. Kontaktieren Sie uns oder buchen Sie online einen Beratungstermin.

  • Homeoffice und Datenschutz: Checkliste für Arbeitgeber

    Innerhalb weniger Tage haben zahlreiche Unternehmen ihre Beschäftigten wegen der Corona-Pandemie ins Homeoffice geschickt. Was organisatorisch oft improvisiert werden musste, wirft datenschutzrechtliche Fragen auf: Darf auf dem privaten Laptop gearbeitet werden? Wie sind Akten zu Hause aufzubewahren? Und wer haftet, wenn etwas schiefgeht? Klar ist: Die DSGVO gilt auch am Küchentisch. Verantwortlich bleibt der Arbeitgeber. Unsere Checkliste hilft, die wichtigsten Punkte zügig umzusetzen.

    Verantwortung bleibt beim Unternehmen

    Auch wenn Beschäftigte von zu Hause aus arbeiten, bleibt das Unternehmen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es muss nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau sicherstellen. Das bedeutet nicht, dass jedes Homeoffice wie ein Rechenzentrum ausgestattet sein muss. Es bedeutet aber, dass klare Regeln und geeignete technische Mittel vorhanden sein müssen.

    Technik: Dienstgeräte und sichere Verbindungen

    • Dienstgeräte sind privaten Rechnern vorzuziehen, die sich kaum kontrollieren lassen. Ist die Nutzung privater Geräte unvermeidbar, sollten zumindest Virenschutz, aktuelle Updates und ein separates Benutzerkonto vorausgesetzt werden.
    • Festplatten von Laptops und mobile Datenträger sollten verschlüsselt sein.
    • Der Zugriff auf Unternehmenssysteme sollte über eine gesicherte Verbindung (VPN) erfolgen.
    • Starke Passwörter und eine automatische Bildschirmsperre nach kurzer Inaktivität gehören zur Grundausstattung.
    • Dateien gehören auf die vom Unternehmen freigegebenen Systeme, nicht in private Cloud-Speicher.

    Organisation: Klare Regeln für zu Hause

    Wichtig ist eine kurze, verständliche Homeoffice-Richtlinie. Sie sollte unter anderem festlegen, dass Familienmitglieder und Mitbewohner keinen Einblick in Unterlagen und Bildschirm erhalten, dass Telefonate mit vertraulichem Inhalt nicht in Hörweite Dritter geführt werden und dass Papierunterlagen verschlossen aufbewahrt und nicht im Hausmüll, sondern datenschutzgerecht entsorgt werden. Auch smarte Lautsprecher, die mithören können, sollten während vertraulicher Gespräche ausgeschaltet sein.

    Lassen Sie sich die Kenntnisnahme der Regeln bestätigen. Das dient der Sensibilisierung und hilft, gegenüber einer Aufsichtsbehörde die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen.

    Kommunikation und Videokonferenzen

    Mit dem Homeoffice steigt der Bedarf an Messenger- und Videokonferenzdiensten. Hier sollten nur Dienste eingesetzt werden, die das Unternehmen geprüft und freigegeben hat. Mit dem Anbieter ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Achten Sie auch darauf, wo der Anbieter Daten verarbeitet, und ob Übermittlungen in Drittländer stattfinden.

    Was tun, wenn doch etwas passiert?

    Geht ein Laptop verloren oder werden Unterlagen versehentlich an Dritte weitergegeben, müssen Beschäftigte wissen, wen sie sofort informieren. Die Uhr für die Meldung an die Aufsichtsbehörde läuft auch im Homeoffice. Wie Sie dann vorgehen, beschreiben wir ausführlich in unserem Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Beschäftigtendaten und Kontrolle

    Homeoffice ist kein Anlass für eine lückenlose Überwachung. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG und muss für das Beschäftigungsverhältnis erforderlich sein. Eine permanente Kontrolle von Tastatureingaben oder Bildschirminhalten ist regelmäßig unzulässig. Besteht ein Betriebsrat, ist dieser bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, zu beteiligen.

    Eine pragmatische Lösung lässt sich später in Ruhe weiterentwickeln, etwa über eine Betriebsvereinbarung. Für Ihre Homeoffice-Richtlinie oder die Prüfung Ihrer bestehenden Regelung stehen wir Ihnen zur Verfügung: Kontakt aufnehmen oder Termin buchen.

  • Datenpanne melden: So reagieren Sie richtig in 72 Stunden

    Eine E-Mail mit Kundendaten geht an den falschen Verteiler, ein Firmenlaptop wird im Zug gestohlen oder ein Trojaner verschlüsselt den Server: Datenpannen passieren auch in gut organisierten Unternehmen. Dann muss schnell und richtig reagiert werden. Die DSGVO sieht in Art. 33 eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden vor, in bestimmten Fällen nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen.

    Was ist eine „Verletzung des Schutzes personenbezogener Daten“?

    Art. 4 Nr. 12 DSGVO versteht darunter jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind also nicht nur Hackerangriffe, sondern auch alltägliche Fehler: der offene E-Mail-Verteiler, der verlorene USB-Stick, der Brief an die falsche Adresse oder die versehentlich gelöschte Kundendatenbank ohne Backup.

    Wann muss gemeldet werden?

    Grundsätzlich ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Diese Ausnahme ist eng. Ein Risiko liegt etwa nahe, wenn Gesundheits-, Bank- oder Zugangsdaten betroffen sind, wenn viele Personen betroffen sind oder wenn die Daten in die Hände unbekannter Dritter gelangt sein können. Kein Risiko besteht dagegen häufig, wenn ein ordnungsgemäß verschlüsseltes Gerät verloren geht.

    Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die Betroffenen unverzüglich und in klarer, einfacher Sprache informiert werden (Art. 34 DSGVO). Sie sollen sich schützen können, etwa indem sie Passwörter ändern oder eine Kreditkarte sperren lassen.

    Die 72-Stunden-Frist

    Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird, nicht erst, wenn alle Details geklärt sind. Wochenenden und Feiertage werden nicht ausgeklammert. Liegen noch nicht alle Informationen vor, darf die Meldung schrittweise erfolgen: Melden Sie zunächst, was Sie wissen, und reichen Sie weitere Angaben nach. Eine verspätete Meldung ist zu begründen.

    Notfallplan in fünf Schritten

    1. Schaden eindämmen: betroffene Systeme vom Netz nehmen, Zugänge sperren, Empfänger einer Fehlversendung um Löschung bitten.
    2. Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten sofort einbinden.
    3. Das Risiko einschätzen: Welche Daten, wie viele Personen, welche möglichen Folgen?
    4. Die Aufsichtsbehörde informieren (die meisten Länderbehörden bieten Online-Formulare an) und gegebenenfalls die Betroffenen benachrichtigen.
    5. Den Vorfall intern dokumentieren. Das verlangt Art. 33 Abs. 5 DSGVO für jede Datenpanne, auch wenn keine Meldung erfolgt.

    Was gehört in die Meldung?

    Mindestens anzugeben sind: die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

    Vorsorge ist die beste Reaktion

    Unternehmen, die vorab Zuständigkeiten festlegen, eine Checkliste bereithalten und ihre Mitarbeitenden sensibilisieren, verlieren im Ernstfall keine wertvolle Zeit. Ebenso wichtig sind angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dass Aufsichtsbehörden Sicherheitsmängel ahnden, zeigt etwa das Bußgeld gegen einen Social-Media-Anbieter wegen unzureichender Datensicherheit. Wer einen Datenschutzbeauftragten hat, sollte ihn eng einbinden. Ob eine Benennungspflicht besteht, erläutern wir in unserem Beitrag zur 20-Personen-Regel. Verschweigen ist im Übrigen die schlechteste aller Optionen: Eine unterlassene Meldung kann selbst ein Bußgeld nach sich ziehen.

    Wenn bei Ihnen eine Datenpanne eingetreten ist, zählt jede Stunde. Wir helfen kurzfristig bei Bewertung und Meldung und erstellen auf Wunsch auch einen Notfallplan für die Zukunft. Schreiben Sie uns oder vereinbaren Sie online einen Termin.

  • Datenschutzbeauftragter: Wann ist er Pflicht? Die 20-Personen-Regel

    Kaum eine Frage erreicht uns aus kleinen und mittleren Unternehmen so häufig wie diese: „Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Zum Jahreswechsel hat sich die Antwort für viele Betriebe geändert. Mit dem Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU wurde die Schwelle in § 38 Abs. 1 BDSG angehoben: Seit dem 26. November 2019 ist ein Datenschutzbeauftragter nach deutschem Recht erst dann zwingend zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zuvor lag die Grenze bei zehn Personen.

    Was auf den ersten Blick nach einer großen Entlastung klingt, hat jedoch einige Haken. Wir zeigen, wie Sie die Pflicht für Ihr Unternehmen richtig prüfen.

    Zwei Rechtsgrundlagen: DSGVO und BDSG

    Die Benennungspflicht ergibt sich aus zwei Quellen. Art. 37 DSGVO verlangt einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten, etwa Gesundheitsdaten. Zusätzlich hat der deutsche Gesetzgeber in § 38 BDSG eigene Tatbestände geschaffen. Neben der 20-Personen-Grenze gilt dort: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet, muss unabhängig von der Personenzahl einen Datenschutzbeauftragten benennen.

    Wer zählt zu den 20 Personen?

    Entscheidend ist nicht die Zahl der Arbeitsverträge, sondern wie viele Personen „ständig“ mit der automatisierten Verarbeitung personenbezogener Daten betraut sind. Dazu gehören in der Praxis nahezu alle Beschäftigten, die regelmäßig am Computer mit Kunden-, Lieferanten- oder Beschäftigtendaten arbeiten, also Vertrieb, Buchhaltung, Personalabteilung, Kundenservice und Geschäftsführung. Teilzeitkräfte, Auszubildende und freie Mitarbeiter zählen grundsätzlich als volle Köpfe mit, wenn sie diese Tätigkeit regelmäßig ausüben. Wer lediglich gelegentlich einen Lieferschein scannt, wird dagegen eher nicht erfasst.

    Unser Tipp: Erstellen Sie eine einfache Liste aller Personen mit Zugriff auf IT-Systeme, in denen personenbezogene Daten gespeichert sind, und dokumentieren Sie die Prüfung. So können Sie gegenüber einer Aufsichtsbehörde später nachvollziehbar darlegen, warum Sie die Pflicht verneint haben.

    Keine Pflicht heißt nicht: keine Pflichten

    Der wohl größte Irrtum: Wer unter der Schwelle bleibt, muss sich nicht um Datenschutz kümmern. Das ist falsch. Sämtliche Pflichten der DSGVO gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt ist. Dazu zählen insbesondere

    • die Informationspflichten nach Art. 13 und 14 DSGVO (Datenschutzhinweise),
    • das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO,
    • technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
    • Verträge zur Auftragsverarbeitung mit Dienstleistern nach Art. 28 DSGVO,
    • die Bearbeitung von Betroffenenanfragen, etwa Auskunftsersuchen nach Art. 15 DSGVO,
    • die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO.

    Die Verantwortung trägt in kleinen Unternehmen dann unmittelbar die Geschäftsleitung. Gerade deshalb kann es sinnvoll sein, freiwillig einen internen oder externen Datenschutzbeauftragten zu benennen oder sich zumindest regelmäßig beraten zu lassen. Wie wichtig die Unabhängigkeit dieser Funktion ist, zeigt auch die Diskussion um die Unabhängigkeit der Datenschutzaufsicht, über die wir bereits früher berichtet haben.

    Intern oder extern?

    Besteht eine Pflicht, haben Unternehmen die Wahl. Ein interner Datenschutzbeauftragter kennt die Abläufe, braucht aber die erforderliche Fachkunde, ausreichend Zeit und darf nicht in einen Interessenkonflikt geraten. Geschäftsführer, IT-Leiter oder Personalleiter scheiden deshalb regelmäßig aus. Zudem genießt ein interner Datenschutzbeauftragter nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG einen besonderen Kündigungsschutz. Ein externer Datenschutzbeauftragter bringt Erfahrung aus vielen Unternehmen mit und lässt sich vertraglich flexibler einbinden. Welche Lösung passt, hängt von Größe, Branche und Datenvolumen ab.

    Was ist nach der Benennung zu tun?

    Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht, etwa in der Datenschutzerklärung der Website, und der zuständigen Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Außerdem ist der Datenschutzbeauftragte frühzeitig in alle Fragen einzubinden, die den Schutz personenbezogener Daten betreffen, und mit den nötigen Ressourcen auszustatten. Die inhaltlichen Pflichten der DSGVO bleiben davon unberührt; sie gelten mit und ohne Datenschutzbeauftragten.

    Ob Ihr Betrieb einen Datenschutzbeauftragten benennen muss, prüfen wir gern gemeinsam mit Ihnen. Schreiben Sie uns über das Kontaktformular oder vereinbaren Sie direkt einen Online-Termin.