Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Internationaler Datentransfer

  • EuG Bindl: EU-Kommission muss 400 Euro für Facebook-Login zahlen

    Ausgerechnet die Europäische Kommission muss wegen eines Datenschutzverstoßes Schadensersatz zahlen. Mit Urteil vom 8. Januar 2025 (Rs. T-354/22, Bindl/Kommission) hat das Gericht der Europäischen Union (EuG) entschieden, dass die Kommission einem Bürger 400 Euro zahlen muss, weil beim Login über Facebook auf einer ihrer Websites personenbezogene Daten ohne geeignete Garantien in die USA übermittelt wurden. Die Entscheidung ist auch für private Website-Betreiber lehrreich.

    Der Fall

    Der Kläger hatte sich im März 2022 auf der Website der „Konferenz zur Zukunft Europas“ für eine Veranstaltung angemeldet und dafür die Option „Mit Facebook anmelden“ genutzt. Dabei wurden nach den Feststellungen des Gerichts unter anderem seine IP-Adresse und Browserinformationen an Meta Platforms in den USA übermittelt. Zu diesem Zeitpunkt gab es nach dem Schrems-II-Urteil keinen Angemessenheitsbeschluss für die USA; das Data Privacy Framework trat erst im Juli 2023 in Kraft. Die Kommission hatte für die Übermittlung auch keine sonstigen geeigneten Garantien vorgesehen. Weitere Vorwürfe des Klägers, insbesondere zu Datenübermittlungen über ein Content-Delivery-Netzwerk eines anderen US-Anbieters, sah das Gericht dagegen nicht als erwiesen an.

    Die Entscheidung

    • Die Kommission hat durch die Einbindung des Facebook-Logins die Übermittlung der IP-Adresse an Meta ermöglicht und ist dafür verantwortlich.
    • Die Übermittlung ohne geeignete Garantien stellt einen hinreichend qualifizierten Verstoß gegen eine Rechtsnorm dar, die dem Einzelnen Rechte verleiht.
    • Der Kläger befand sich in einer Lage der Ungewissheit darüber, wie seine Daten, insbesondere seine IP-Adresse, verarbeitet werden. Das genügte als immaterieller Schaden; der Kausalzusammenhang war hinreichend unmittelbar.
    • Das Gericht sprach die geforderten 400 Euro zu. Weitere Ansprüche, etwa wegen einer behaupteten Verletzung des Auskunftsrechts, wies es mangels nachgewiesenen Schadens ab.

    Für die Datenverarbeitung durch EU-Organe gilt nicht die DSGVO, sondern die inhaltlich weitgehend parallele Verordnung (EU) 2018/1725. Die Grundsätze lassen sich aber gut auf private Website-Betreiber übertragen. Gegen das Urteil ist ein Rechtsmittel zum EuGH möglich.

    Was Website-Betreiber daraus lernen sollten

    1. Wer Login-Funktionen, Plugins oder Skripte von Drittanbietern einbindet, ist für die dadurch ausgelösten Datenübermittlungen mitverantwortlich, ähnlich wie bei den dynamisch geladenen Google Fonts.
    2. Heute ist zu prüfen, ob der Empfänger unter dem Data Privacy Framework zertifiziert ist oder andere Garantien bestehen.
    3. Für nicht notwendige Zugriffe auf Endgeräte ist nach dem TDDDG zusätzlich eine Einwilligung erforderlich.
    4. Die Datenschutzerklärung muss die Dienste und Übermittlungen benennen.

    Schon ein Login-Button kann erhebliche Folgen haben, und bereits die Ungewissheit über die Datenverarbeitung wird als Schaden anerkannt. Gern prüfen wir, welche Drittdienste auf Ihrer Website Daten übermitteln. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Cloud-Dienste datenschutzkonform auswählen: Checkliste für KMU

    Cloud-Dienste sind für kleine und mittlere Unternehmen heute Standard: E-Mail und Office-Anwendungen, Dateiablage, Buchhaltung, Kundenverwaltung, Terminbuchung. Die Vorteile liegen auf der Hand, nämlich keine eigene Serverinfrastruktur, Zugriff von überall und automatische Updates. Datenschutzrechtlich bleibt das Unternehmen aber verantwortlich für die Daten, die es in die Cloud legt. Die Auswahl des Anbieters ist deshalb eine wichtige Compliance-Entscheidung.

    1. Vertrag zur Auftragsverarbeitung

    Cloud-Anbieter verarbeiten Daten in aller Regel im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist daher Pflicht. Große Anbieter stellen Standardverträge bereit, die meist nicht verhandelbar sind. Prüfen Sie, ob sie die gesetzlichen Mindestinhalte enthalten und ob der Anbieter Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder für das Training von KI-Funktionen. Einzelheiten im Beitrag zum Auftragsverarbeitungsvertrag.

    2. Serverstandort und Drittlandbezug

    Wo werden die Daten gespeichert, und wer hat Zugriff? Viele Anbieter bieten Rechenzentren in der EU an. Bei US-Anbietern ist zu prüfen, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind. Auch bei EU-Rechenzentren können Zugriffe aus Drittländern stattfinden, etwa durch Support-Mitarbeiter oder Unterauftragnehmer. Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.

    3. Sicherheit und Zertifizierungen

    • Verschlüsselung bei Übertragung und Speicherung,
    • Zwei-Faktor-Authentifizierung und differenzierte Rechteverwaltung,
    • Protokollierung von Zugriffen,
    • anerkannte Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder dem C5-Kriterienkatalog des BSI,
    • klare Regeln zur Meldung von Sicherheitsvorfällen.

    4. Datenschutzfreundliche Konfiguration

    Viele Probleme entstehen nicht durch den Anbieter, sondern durch die Einstellungen beim Kunden: öffentlich freigegebene Ordner, zu weit gefasste Berechtigungen, aktivierte Telemetrie oder automatische KI-Funktionen. Prüfen Sie die Einstellungen vor dem Start und wählen Sie die datenschutzfreundlichsten Optionen. Der BGH hat jüngst betont, dass problematische Voreinstellungen einen Verstoß gegen den Grundsatz der Datenminimierung begründen können; siehe unseren Beitrag zum Facebook-Scraping-Urteil.

    5. Löschung und Exit-Strategie

    Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder den Vertrag beenden? Achten Sie darauf, dass Sie Ihre Daten in einem gängigen Format exportieren können und dass der Anbieter sie nach Vertragsende löscht. Auch Backups beim Anbieter sollten in den Löschprozess einbezogen sein.

    6. Berufsgeheimnisträger

    Für Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger gelten zusätzliche Anforderungen. Dienstleister sind zur Verschwiegenheit zu verpflichten, und es ist sorgfältig zu prüfen, ob die Inanspruchnahme der Cloud für die Tätigkeit erforderlich ist. Hinweise für Praxen enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    7. Dokumentation

    Halten Sie Ihre Auswahlentscheidung, den Vertrag, die geprüften Einstellungen und die Unterauftragsverarbeiter fest und nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Bei umfangreicher Verarbeitung sensibler Daten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Eine strukturierte und dokumentierte Auswahl erspart später teure Nachbesserungen. Wir begleiten Sie beim Umstieg in die Cloud und prüfen auf Wunsch auch bereits genutzte Dienste. Kontakt aufnehmen oder Termin buchen.

  • EU-US Data Privacy Framework: Was der neue Beschluss bedeutet

    Drei Jahre nach dem Ende des Privacy Shields gibt es wieder einen Angemessenheitsbeschluss für die USA. Am 10. Juli 2023 hat die Europäische Kommission das EU-US Data Privacy Framework (DPF) angenommen. Er ist mit seiner Annahme in Kraft getreten. Für viele Unternehmen, die US-Dienstleister nutzen, bedeutet das eine erhebliche Erleichterung, wenn auch mit Einschränkungen.

    Wie funktioniert das Data Privacy Framework?

    Ähnlich wie beim Privacy Shield gilt der Angemessenheitsbeschluss nicht für die USA insgesamt, sondern nur für Unternehmen, die sich beim US-Handelsministerium nach dem DPF zertifiziert haben. Sie verpflichten sich zur Einhaltung bestimmter Datenschutzgrundsätze. Übermittlungen an zertifizierte Unternehmen sind dann ohne weitere Garantien wie Standardvertragsklauseln zulässig (Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, lässt sich in einer öffentlichen Liste auf der Website des DPF-Programms prüfen.

    Was ist neu gegenüber dem Privacy Shield?

    Der EuGH hatte das Privacy Shield im Schrems-II-Urteil vor allem wegen der weitreichenden Zugriffsbefugnisse der US-Nachrichtendienste und fehlender Rechtsbehelfe für EU-Bürger gekippt. Mit der Executive Order 14086 vom Oktober 2022 haben die USA darauf reagiert: Zugriffe der Nachrichtendienste sollen auf das Notwendige und Verhältnismäßige beschränkt werden. Zudem wurde ein zweistufiger Rechtsbehelfsmechanismus geschaffen, der in einem neuen „Data Protection Review Court“ mündet, an den sich auch Personen aus der EU wenden können.

    Auswirkungen auch auf Standardvertragsklauseln

    Die Verbesserungen im US-Recht gelten unabhängig davon, auf welche Grundlage eine Übermittlung gestützt wird. Wer weiterhin Standardvertragsklauseln mit nicht zertifizierten Empfängern nutzt, kann diese Entwicklung in seinem Transfer Impact Assessment berücksichtigen. Das erleichtert die Bewertung erheblich.

    Bleibt der Beschluss bestehen?

    Datenschutzaktivisten haben bereits angekündigt, den Beschluss gerichtlich überprüfen zu lassen. Ob der EuGH das Data Privacy Framework diesmal bestätigt, ist offen. Unternehmen sollten deshalb nicht alle Vorkehrungen über Bord werfen. Es kann sinnvoll sein, bestehende Standardvertragsklauseln als „Rückfallebene“ beizubehalten.

    Checkliste für Unternehmen

    1. US-Dienstleister erfassen und prüfen, ob sie nach dem DPF zertifiziert sind und ob die Zertifizierung die betroffenen Daten (z. B. Personaldaten) abdeckt.
    2. Datenschutzerklärung und Verzeichnis von Verarbeitungstätigkeiten aktualisieren: Rechtsgrundlage ist Art. 45 DSGVO statt der bisherigen Garantien.
    3. Standardvertragsklauseln als zusätzliche Absicherung vorerst beibehalten.
    4. Das DPF regelt nur die Übermittlung. Alle anderen Pflichten bleiben bestehen, etwa die Einwilligung für Cookies nach dem TTDSG oder ein Auftragsverarbeitungsvertrag.
    5. Die gerichtliche Entwicklung im Blick behalten.

    Sinnvoll ist, die Dokumentation jetzt anzupassen und zugleich für den Fall vorzusorgen, dass auch dieser Beschluss vor dem EuGH scheitert. Bei der Umstellung Ihrer US-Datentransfers auf das Data Privacy Framework helfen wir gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • 1,2 Mrd. Euro Bußgeld gegen Meta: Folgen für US-Datentransfers

    Am 22. Mai 2023 hat die irische Datenschutzbehörde (Data Protection Commission, DPC) gegen Meta Platforms Ireland ein Bußgeld von 1,2 Milliarden Euro verhängt. Es ist das höchste Bußgeld seit Geltung der DSGVO. Gegenstand sind die Übermittlungen personenbezogener Daten europäischer Facebook-Nutzer in die USA. Meta hat angekündigt, gegen die Entscheidung vorzugehen.

    Der Hintergrund

    Das Verfahren ist eine direkte Folge des Schrems-II-Urteils des EuGH aus dem Jahr 2020. Nach dem Wegfall des Privacy Shields stützte Meta die Übermittlungen auf Standardvertragsklauseln in Verbindung mit zusätzlichen Maßnahmen. Die DPC kam zu dem Ergebnis, dass diese Maßnahmen die Risiken für die Grundrechte der Nutzer nicht ausräumten, die sich aus dem Zugriff US-amerikanischer Behörden ergeben.

    Die Rolle des Europäischen Datenschutzausschusses

    Bemerkenswert ist das Zustandekommen der Entscheidung. Der ursprüngliche Entscheidungsentwurf der irischen Behörde sah kein Bußgeld vor. Andere europäische Aufsichtsbehörden erhoben Einwände. Der Europäische Datenschutzausschuss (EDSA) fasste daraufhin im Streitbeilegungsverfahren nach Art. 65 DSGVO einen verbindlichen Beschluss, auf dessen Grundlage die DPC das Bußgeld verhängte.

    Die Anordnungen

    • Meta muss künftige Übermittlungen personenbezogener Daten in die USA innerhalb von fünf Monaten aussetzen.
    • Meta muss innerhalb von sechs Monaten die rechtswidrige Verarbeitung, einschließlich der Speicherung in den USA, von bereits rechtswidrig übermittelten Daten europäischer Nutzer beenden.

    Bedeutung für kleine und mittlere Unternehmen

    Auf den ersten Blick betrifft die Entscheidung nur einen Großkonzern. Die rechtliche Argumentation gilt aber für jedes Unternehmen, das Daten in die USA übermittelt oder US-Dienste nutzt: Standardvertragsklauseln allein genügen nicht, wenn der Empfänger Überwachungsgesetzen unterliegt und die Daten im Klartext verarbeiten kann. Das deckt sich mit der Linie, die etwa die österreichische Datenschutzbehörde zu Google Analytics vertreten hat.

    Hoffnung auf ein neues Abkommen

    Die EU-Kommission arbeitet an einem neuen Angemessenheitsbeschluss für die USA, dem sogenannten EU-US Data Privacy Framework. Grundlage ist eine Executive Order des US-Präsidenten vom Oktober 2022, die die Zugriffe der Nachrichtendienste beschränken und einen neuen Rechtsbehelfsmechanismus schaffen soll. Ob und wann der Beschluss erlassen wird, ist offen. Ebenso offen ist, ob er einer erneuten Überprüfung durch den EuGH standhalten würde.

    Was Unternehmen jetzt tun sollten

    1. Übermittlungen in die USA im Verzeichnis von Verarbeitungstätigkeiten erfassen und aktualisieren.
    2. Sicherstellen, dass die neuen Standardvertragsklauseln verwendet werden und ein Transfer Impact Assessment vorliegt.
    3. Wirksame zusätzliche Maßnahmen prüfen, etwa Verschlüsselung mit Schlüsselhoheit in der EU.
    4. Für kritische Anwendungen Alternativen mit Datenverarbeitung in der EU in Betracht ziehen.
    5. Die Entwicklung rund um das Data Privacy Framework verfolgen.

    Bis eine tragfähige Nachfolgeregelung für das Privacy Shield vorliegt, bleibt der Datentransfer in die USA ein Thema, das dokumentiert geprüft und regelmäßig neu bewertet werden muss. Wir unterstützen Sie dabei, Ihre US-Dienste rechtssicher aufzustellen. Zum Kontaktformular oder Termin buchen.

  • WhatsApp im Unternehmen: Datenschutzrisiken und Alternativen

    Schnell ein Foto vom Schaden an den Handwerker schicken, Termine mit Kunden abstimmen, im Team kurz etwas klären: Messenger wie WhatsApp gehören zum Alltag, auch im Beruf. Für Unternehmen bringt die Nutzung jedoch erhebliche datenschutzrechtliche Risiken mit sich. Wer WhatsApp geschäftlich einsetzt, sollte die Problemfelder kennen und bewusst entscheiden.

    Problem 1: Das Adressbuch

    Die private WhatsApp-App greift, wenn der Nutzer es zulässt, auf das Adressbuch des Smartphones zu und gleicht die Telefonnummern mit den Servern des Anbieters ab. Befinden sich auf einem Diensthandy Kontaktdaten von Kunden, Lieferanten oder Kollegen, werden diese damit an einen Dritten übermittelt, ohne dass die Betroffenen davon wissen oder eingewilligt haben. Dafür fehlt in aller Regel eine Rechtsgrundlage. Abhilfe schaffen technische Lösungen, die das Adressbuch von der App trennen, etwa Container-Lösungen auf Diensthandys.

    Problem 2: Datenübermittlung in die USA

    WhatsApp gehört zum Meta-Konzern. Auch wenn Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an (wer mit wem wann kommuniziert), die auch in Drittländer übermittelt werden können. Seit dem Schrems-II-Urteil ist die Übermittlung in die USA nur mit zusätzlichen Garantien zulässig, deren Wirksamkeit im Einzelfall zu prüfen ist. Wie streng Aufsichtsbehörden diese Frage sehen, zeigt die Entscheidung der österreichischen Datenschutzbehörde zu Google Analytics.

    Problem 3: Kontrolle und Dokumentation

    Werden geschäftliche Chats auf privaten Smartphones geführt, verliert das Unternehmen die Kontrolle über die Daten. Auskunftsersuchen, Löschpflichten und Aufbewahrungspflichten für Geschäftskorrespondenz lassen sich kaum erfüllen. Scheidet ein Mitarbeiter aus, nimmt er die Kundenkommunikation mit.

    WhatsApp Business: die bessere Wahl?

    Die Business-Varianten von WhatsApp bieten zusätzliche Vertragsbedingungen für Unternehmen. Bei der API-Lösung lassen sich Nachrichten außerdem über Dienstleister verwalten, ohne auf das Adressbuch zuzugreifen. Die Drittlandfrage bleibt aber auch dort zu prüfen. Ob ein Einsatz vertretbar ist, hängt von der konkreten Konfiguration, den vertraglichen Grundlagen und den kommunizierten Inhalten ab.

    Empfehlungen für die Praxis

    1. Entscheiden Sie bewusst, ob ein Messenger überhaupt dienstlich genutzt werden darf und wenn ja, welcher.
    2. Prüfen Sie Alternativen. Es gibt Messenger europäischer Anbieter, die gezielt für den Unternehmenseinsatz konzipiert sind und Auftragsverarbeitungsverträge anbieten.
    3. Gesundheitsdaten, Vertragsunterlagen oder Bankdaten gehören nicht in Messenger-Chats.
    4. Verwalten Sie Diensthandys mit Mobile-Device-Management, getrennten Containern und Regelungen für Verlust und Ausscheiden.
    5. Stellen Sie Nutzungsregeln für Beschäftigte auf und schließen Sie, soweit möglich, einen Auftragsverarbeitungsvertrag mit dem Anbieter.
    6. Informieren Sie Kunden in der Datenschutzerklärung über die Nutzung.

    Die private WhatsApp-App auf dem Diensthandy ist die schwierigste Variante. Wenn Sie Messenger-Kommunikation mit Kunden anbieten möchten, prüfen wir die geplante Lösung und erstellen die nötigen Richtlinien. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Google Analytics rechtswidrig? Was aus der Entscheidung der DSB folgt

    Google Analytics ist das wohl meistgenutzte Webanalyse-Tool der Welt. Umso größer war die Aufmerksamkeit, als die österreichische Datenschutzbehörde (DSB) in einer Teilentscheidung vom Dezember 2021, veröffentlicht am 13. Januar 2022, feststellte: Der Einsatz von Google Analytics auf einer Website verstieß gegen die Vorgaben der DSGVO zur Datenübermittlung in Drittländer. Die Entscheidung geht auf eine Beschwerde der Organisation noyb zurück, die nach dem Schrems-II-Urteil zahlreiche Beschwerden gegen Website-Betreiber in ganz Europa eingereicht hatte.

    Die Kernaussagen der Entscheidung

    • Online-Kennungen wie IP-Adressen und Cookie-IDs sind jedenfalls in Kombination mit weiteren Informationen personenbezogene Daten. Es genügt, dass einzelne Nutzer ausgesondert werden können, insbesondere wenn sie zugleich in einem Google-Konto eingeloggt sind.
    • Der Website-Betreiber übermittelte als Verantwortlicher Daten an Google LLC in den USA.
    • Die abgeschlossenen Standardvertragsklauseln und die von Google angebotenen zusätzlichen Maßnahmen verhinderten nicht, dass US-Nachrichtendienste nach US-Recht auf die Daten zugreifen können.
    • Eine Verschlüsselung der gespeicherten Daten hilft nicht, wenn der Empfänger selbst über den Schlüssel verfügt.
    • Die IP-Anonymisierung war im konkreten Fall nicht korrekt umgesetzt und hätte nach Auffassung der Behörde ohnehin nicht genügt.

    Was die Entscheidung nicht sagt

    Es handelt sich um eine Einzelfallentscheidung einer nationalen Behörde, die sich auf die damals verwendeten Standardvertragsklauseln und die damalige Konfiguration bezieht. Die im Juni 2021 verabschiedeten neuen Standardvertragsklauseln wurden nicht geprüft. Ein generelles „Verbot“ von Google Analytics hat die Behörde nicht ausgesprochen. Gleichwohl haben sich inzwischen weitere europäische Aufsichtsbehörden, etwa in Frankreich, in vergleichbarer Weise geäußert, und die Argumentation lässt sich auf viele andere US-Dienste übertragen.

    Welche Optionen haben Website-Betreiber?

    1. Bewerten Sie das Risiko: Ist Google Analytics für Ihr Geschäft wirklich unverzichtbar, und welche Daten werden erfasst?
    2. Prüfen Sie Alternativen. Es gibt Analyse-Tools europäischer Anbieter mit Datenverarbeitung in der EU sowie Lösungen, die selbst gehostet werden können oder ohne Cookies auskommen.
    3. Eine Einwilligung allein löst das Problem nicht. Für Analyse-Cookies brauchen Sie nach dem TTDSG ohnehin eine Einwilligung; die Frage der Drittlandübermittlung ist davon zu unterscheiden. Ob eine Einwilligung nach Art. 49 DSGVO die Übermittlung dauerhaft tragen kann, ist zweifelhaft.
    4. Wer weiterhin auf Google Analytics setzt, sollte die Datenerhebung so weit wie möglich reduzieren und die Entscheidung dokumentieren.
    5. Beobachten Sie die politische Entwicklung: Die EU-Kommission und die US-Regierung verhandeln über einen Nachfolger des Privacy Shields.

    Die Probleme des Datentransfers in die USA betreffen nicht nur Konzerne, sondern jeden Website-Betreiber. Wir helfen Ihnen, das Risiko von Google Analytics und anderen US-Tools einzuschätzen und die Abwägung zu dokumentieren. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Neue Standardvertragsklauseln 2021: Fristen und To-dos

    Knapp ein Jahr nach dem Schrems-II-Urteil des EuGH hat die Europäische Kommission am 4. Juni 2021 neue Standardvertragsklauseln (Standard Contractual Clauses, SCC) für die Übermittlung personenbezogener Daten in Drittländer verabschiedet (Durchführungsbeschluss (EU) 2021/914). Die bisherigen Klauseln aus den Jahren 2001, 2004 und 2010 laufen aus. Für Unternehmen, die mit Dienstleistern oder Konzerngesellschaften außerhalb des Europäischen Wirtschaftsraums zusammenarbeiten, besteht damit Handlungsbedarf.

    Die wichtigsten Neuerungen

    • Statt getrennter Vertragswerke gibt es ein einheitliches Dokument mit vier Modulen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter sowie Auftragsverarbeiter an Verantwortlichen. Gerade die Konstellation „Auftragsverarbeiter an Unterauftragsverarbeiter“ war bislang nicht abgedeckt.
    • Über eine „Kopplungsklausel“ können weitere Parteien später beitreten.
    • Die Parteien müssen zusichern, dass sie geprüft haben, ob Recht und Praxis im Bestimmungsland die Einhaltung der Klauseln verhindern. Diese Prüfung ist zu dokumentieren und der Aufsichtsbehörde auf Anfrage vorzulegen. Damit greift die Kommission die Vorgaben des EuGH aus Schrems II auf.
    • Der Datenimporteur muss den Exporteur grundsätzlich über Zugriffsersuchen von Behörden informieren und deren Rechtmäßigkeit prüfen.
    • Die Module für Auftragsverarbeiter enthalten die Anforderungen des Art. 28 DSGVO, sodass für diese Punkte kein separater Vertrag erforderlich ist.

    Die Übergangsfristen

    Der Beschluss tritt am 27. Juni 2021 in Kraft. Die alten Standardvertragsklauseln dürfen für neue Verträge nur noch bis zum 27. September 2021 verwendet werden. Bereits bestehende Verträge auf Basis der alten Klauseln bleiben bis zum 27. Dezember 2022 wirksam, sofern die Verarbeitung unverändert bleibt und geeignete Garantien gewährleistet sind. Bis dahin müssen alle Altverträge umgestellt sein.

    Separate Klauseln für die Auftragsverarbeitung in der EU

    Am selben Tag hat die Kommission zusätzlich Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU nach Art. 28 Abs. 7 DSGVO veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Ihre Nutzung ist freiwillig. Sie bieten aber eine solide Grundlage, wenn Sie einen Auftragsverarbeitungsvertrag neu aufsetzen möchten.

    To-do-Liste für Unternehmen

    1. Alle Drittlandübermittlungen erfassen, einschließlich der Unterauftragsverarbeiter Ihrer Dienstleister.
    2. Klären, welches Modul für die jeweilige Konstellation passt.
    3. Für jede Übermittlung eine Bewertung der Rechtslage im Drittland (Transfer Impact Assessment) erstellen und dokumentieren.
    4. Gegebenenfalls zusätzliche Maßnahmen festlegen, etwa Verschlüsselung oder Pseudonymisierung. Der Europäische Datenschutzausschuss hat hierzu Empfehlungen veröffentlicht.
    5. Neue Verträge ab sofort auf Basis der neuen Klauseln abschließen; Altverträge bis spätestens 27. Dezember 2022 umstellen.
    6. Das Verzeichnis von Verarbeitungstätigkeiten aktualisieren.

    Lösen die neuen Klauseln das US-Problem?

    Nicht automatisch. Die Klauseln bieten einen verbesserten vertraglichen Rahmen, ändern aber nichts an der Rechtslage in den USA, die der EuGH beanstandet hat. Ob eine Übermittlung zulässig ist, hängt weiterhin von der Einzelfallprüfung und gegebenenfalls ergänzenden Maßnahmen ab. Das betrifft besonders Website-Dienste wie Analyse- oder Marketing-Tools, für die ohnehin eine Einwilligung über einen rechtssicheren Cookie-Banner einzuholen ist.

    Bis Ende 2022 ist Zeit, aber die Bestandsaufnahme sollte jetzt beginnen. Bei der Umstellung der Verträge und beim Transfer Impact Assessment unterstützen wir Sie gern. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Schrems II: EuGH kippt Privacy Shield – was Unternehmen tun müssen

    Mit seinem Urteil vom 16. Juli 2020 in der Rechtssache C-311/18 („Schrems II“) hat der Gerichtshof der Europäischen Union das EU-US Privacy Shield mit sofortiger Wirkung für ungültig erklärt. Für tausende europäische Unternehmen, die Daten an US-Dienstleister übermitteln, entfällt damit eine zentrale Rechtsgrundlage. Betroffen sind E-Mail-Provider ebenso wie Cloud-Speicher und Webanalyse-Tools. Wir erläutern die Entscheidung und geben erste Handlungsempfehlungen.

    Hintergrund des Verfahrens

    Der österreichische Datenschutzaktivist Maximilian Schrems wandte sich gegen die Übermittlung seiner Daten durch Facebook Ireland an die Konzernmutter in den USA. Bereits 2015 hatte der EuGH auf seine Beschwerde hin das Safe-Harbor-Abkommen gekippt. Facebook stützte die Übermittlungen anschließend unter anderem auf Standardvertragsklauseln. Die irische Datenschutzbehörde legte dem EuGH daraufhin Fragen zur Wirksamkeit dieser Klauseln vor, im Laufe des Verfahrens auch zum Privacy Shield.

    Die Kernaussagen des EuGH

    • Der Angemessenheitsbeschluss der EU-Kommission zum Privacy Shield (2016/1250) ist ungültig. Die Überwachungsprogramme der US-Behörden sind nicht auf das zwingend erforderliche Maß beschränkt, und Betroffene aus der EU haben keinen wirksamen gerichtlichen Rechtsschutz. Eine Übergangsfrist hat der EuGH nicht gewährt.
    • Der Beschluss der Kommission über Standardvertragsklauseln (2010/87/EU) bleibt wirksam. Ihre bloße Unterzeichnung genügt allerdings nicht.
    • Der Datenexporteur muss, gegebenenfalls gemeinsam mit dem Empfänger, im Einzelfall prüfen, ob im Empfängerland ein der EU im Wesentlichen gleichwertiges Schutzniveau gewährleistet ist. Ist das nicht der Fall, sind zusätzliche Maßnahmen zu ergreifen oder die Übermittlung ist auszusetzen.
    • Die Aufsichtsbehörden sind verpflichtet, Übermittlungen auszusetzen oder zu verbieten, wenn die Klauseln im Drittland nicht eingehalten werden können.

    Was bedeutet das konkret?

    Unternehmen, die sich bisher allein auf die Privacy-Shield-Zertifizierung ihres US-Dienstleisters verlassen haben, brauchen eine neue Grundlage. Wer bereits Standardvertragsklauseln nutzt, muss prüfen, ob diese im konkreten Fall tatsächlich ausreichen. Bei US-Anbietern, die US-Überwachungsgesetzen unterliegen, ist das nach der Begründung des EuGH ohne zusätzliche Maßnahmen schwer darstellbar. Welche zusätzlichen Maßnahmen genügen, ist noch nicht abschließend geklärt; diskutiert wird etwa eine Verschlüsselung, bei der nur der europäische Kunde den Schlüssel hält. Der Europäische Datenschutzausschuss hat angekündigt, hierzu Empfehlungen zu erarbeiten.

    Erste Schritte für Ihr Unternehmen

    1. Stellen Sie fest, welche Dienstleister Daten in die USA oder andere Drittländer übermitteln. Das Verzeichnis von Verarbeitungstätigkeiten und die Liste Ihrer Auftragsverarbeiter sind ein guter Ausgangspunkt.
    2. Prüfen Sie, worauf sich die Übermittlung stützt: auf das Privacy Shield, auf Standardvertragsklauseln oder auf eine Ausnahme nach Art. 49 DSGVO.
    3. Fragen Sie den Anbieter, wie er auf das Urteil reagiert und welche zusätzlichen Garantien er anbietet.
    4. Prüfen Sie, ob es gleichwertige Anbieter mit Sitz und Datenverarbeitung in der EU gibt.
    5. Halten Sie Ihre Prüfung und Entscheidung schriftlich fest.

    Typische Anwendungsfälle sind Videokonferenzdienste, Cloud-Office-Lösungen und Analyse-Tools auf der Website. Hinweise zur Auswahl solcher Dienste finden Sie in unserem Beitrag zu datenschutzkonformen Videokonferenz-Tools. Bei Website-Diensten kommt häufig noch die Einwilligungspflicht für Cookies hinzu, die der BGH jüngst in seinem Urteil „Cookie-Einwilligung II“ bestätigt hat.

    Wer US-Dienstleister einsetzt, sollte die eigenen Drittlandübermittlungen jetzt erfassen und dokumentiert entscheiden, wie es weitergeht. Wir analysieren Ihre Datenflüsse und erarbeiten mit Ihnen eine tragfähige Lösung. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.

  • Videokonferenz-Tools datenschutzkonform nutzen: 7 Prüfpunkte

    Teambesprechungen, Mandantengespräche, Bewerbungsinterviews: Videokonferenzen sind in den vergangenen Wochen für viele Unternehmen unverzichtbar geworden. Häufig wurde das Tool genutzt, das gerade verfügbar war. Jetzt ist ein guter Zeitpunkt, die Auswahl auf eine solide datenschutzrechtliche Grundlage zu stellen. Denn bei Videokonferenzen werden zahlreiche personenbezogene Daten verarbeitet: Namen, E-Mail-Adressen, IP-Adressen, Bild und Ton, Chatnachrichten und mitunter Aufzeichnungen.

    1. Wer ist verantwortlich?

    Das Unternehmen, das eine Videokonferenz organisiert und den Dienst auswählt, ist in der Regel Verantwortlicher. Der Anbieter des Tools wird typischerweise als Auftragsverarbeiter tätig. Das hat Konsequenzen: Sie müssen einen Anbieter auswählen, der hinreichende Garantien für die Sicherheit der Daten bietet, und mit ihm einen Vertrag nach Art. 28 DSGVO schließen.

    2. Vertrag zur Auftragsverarbeitung

    Prüfen Sie, ob der Anbieter einen Auftragsverarbeitungsvertrag bereitstellt und ob dieser die Mindestinhalte des Art. 28 Abs. 3 DSGVO enthält. Achten Sie insbesondere darauf, dass der Anbieter die Daten nicht für eigene Zwecke, etwa für Werbung oder Produktanalysen, nutzen darf, soweit dies nicht offen geregelt und rechtlich zulässig ist.

    3. Serverstandort und Drittlandübermittlung

    Viele bekannte Dienste stammen von Anbietern aus den USA. Eine Übermittlung in Drittländer ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch Standardvertragsklauseln oder, für die USA, eine Zertifizierung des Anbieters nach dem EU-US Privacy Shield. Beachten Sie, dass die Zulässigkeit dieser Instrumente derzeit Gegenstand eines Verfahrens vor dem Gerichtshof der Europäischen Union ist. Anbieter mit Servern in der EU und Sitz in Europa reduzieren dieses Risiko.

    4. Sicherheit: Verschlüsselung und Zugangsschutz

    Mindestens eine Transportverschlüsselung sollte Standard sein. Für vertrauliche Gespräche ist eine Ende-zu-Ende-Verschlüsselung wünschenswert. Konferenzen sollten mit Kennwort oder Warteraum geschützt werden, damit keine ungebetenen Gäste teilnehmen. Links zu Besprechungen gehören nicht in öffentliche Kanäle.

    5. Datenschutzfreundliche Voreinstellungen

    Art. 25 DSGVO verlangt datenschutzfreundliche Voreinstellungen. Deaktivieren Sie Funktionen, die Sie nicht benötigen, etwa „Aufmerksamkeitstracking“, automatische Aufzeichnungen oder die Weitergabe von Nutzungsdaten. Kamera und Mikrofon sollten beim Betreten der Konferenz standardmäßig ausgeschaltet sein.

    6. Aufzeichnungen nur mit klarer Grundlage

    Das Aufzeichnen einer Videokonferenz ist ein zusätzlicher Eingriff. Es bedarf einer eigenen Rechtsgrundlage und der vorherigen Information aller Teilnehmenden. Bei Beschäftigten ist zu beachten, dass eine Einwilligung im Arbeitsverhältnis nur wirksam ist, wenn sie freiwillig erfolgt. Im Zweifel sollte auf Aufzeichnungen verzichtet werden. Eine heimliche Aufnahme des gesprochenen Wortes kann zudem strafbar sein (§ 201 StGB).

    7. Information der Teilnehmenden

    Nach Art. 13 DSGVO sind die Teilnehmenden über die Datenverarbeitung zu informieren. Ein kurzer Hinweis in der Einladung mit Link auf ausführliche Datenschutzhinweise genügt in der Regel. Darüber hinaus gehört der Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten.

    Konferenzen aus dem Homeoffice

    Videokonferenzen finden häufig aus dem Homeoffice statt. Achten Sie auf einen neutralen Hintergrund und darauf, dass keine Unterlagen oder Bildschirminhalte mit fremden Daten sichtbar sind, gerade bei der Bildschirmfreigabe. Weitere Hinweise für das mobile Arbeiten finden Sie in unserer Homeoffice-Checkliste. Und falls doch einmal Daten in falsche Hände geraten, zeigt unser Leitfaden zur Meldung von Datenpannen, was dann zu tun ist.

    Halten Sie Ihre Auswahlentscheidung schriftlich fest und behalten Sie die Rechtsprechung zu Datenübermittlungen in die USA im Blick. Gern prüfen wir Ihr Videokonferenz-Tool und den zugehörigen Auftragsverarbeitungsvertrag. Kontaktieren Sie uns oder buchen Sie online einen Beratungstermin.