Source: https://www.bdsg-externer-datenschutzbeauftragter.de/category/auftragsdatenverarbeitung/
Timestamp: 2018-12-18 22:57:01+00:00

Document:
Auftragsdatenverarbeitung Archive | Externer Datenschutzbeauftragter DSGVO
Category Archives: Auftragsdatenverarbeitung
Auftragsdatenverarbeitung Behörde Datenschutz Datenschutzbeauftragter Datenschutzgrundverordnung EU-DSGVO Kommune Öffentliche Verwaltung
Anpassungsgesetz Datenschutz Datenschutzbeauftragter EU-DSGVO Grundverordnung Handlungsbedarf Neuerungen
EU US Pri­va­cy Shield ist da
Nach­dem die euro­päi­sche Kom­mis­si­on erwar­tungs­ge­mäß das recht umstrit­te­ne Pri­va­cy Shield als Nach­fol­ger von Safe Har­bor durch­ge­wun­ken hat, tritt die­se Rege­lung zum 01. August 2016 in Kraft. Nach Weg­fall der Safe Har­bor Rege­lung auf­grund eines Urteils des EUGH im Herbst 2015 – wir berich­te­ten – soll Pri­va­cy Shield eine belast­ba­re Grund­la­ge für die Zuläs­sig­keit des Aus­tauschs per­so­nen­be­zo­ge­ner Daten zwi­schen Euro­pa und den USA bil­den. Durch das Urteil des EUGH blie­ben hier­für ja ledig­lich die EU Stan­dard­ver­trags­klau­seln oder Ver­fah­rens­wei­sen im Rah­men der soge­nann­ten “bin­ding cor­po­ra­te rules” (BCR). Nach­dem eini­ge Unter­neh­men eine recht­zei­ti­ge Umstel­lung nach Weg­fall von Safe Har­bor auf die Stan­dard­ver­trags­klau­seln ver­säumt haben, wur­de zum Bei­spiel der Daten­schutz­be­auf­trag­te Ham­burgs, Prof. Dr. Johan­nes Cas­par bereits aktiv und ging dage­gen aktiv vor.
Es ver­wun­dert wenig, dass die betei­lig­ten EU Kom­mis­sa­re den Stel­len­wert und Wir­kungs­grad des von ihnen umge­setz­ten Pri­va­cy Shields loben. Nach ihrer Sicht sei­en erheb­li­che Zuge­ständ­nis­se zum Schutz per­so­nen­be­zo­ge­ner Daten in den USA von EU Bür­gern geleis­tet wor­den. Dass die­se ledig­lich in kur­zer Brief­form und ohne belast­ba­re recht­li­che Unter­maue­rung in Form von neu­en oder ange­pass­ten Geset­zen in den USA erbracht wur­den, stellt das Pri­va­cy Shield auf kein soli­des Fun­da­ment.
Die hier­durch … Weiterlesen
Die Auftragsdatenverarbeitung – Besonderheiten des Datenschutzrechts beim Outsourcing
Um was geht es bei Auftragsdatenverarbeitung?
Ein sper­ri­ger Begriff für einen ein­fa­chen Sach­ver­halt. Auf­trags­da­ten­ver­ar­bei­tung meint das klas­si­sche Out­sour­cing an einen exter­nen Dienst­leis­ter. Nur sind in die­sem spe­zi­el­len Fall per­so­nen­be­zo­ge­ne Daten betrof­fen. Für die­sen Fall hat der Gesetz­ge­ber im Bun­des­da­ten­schutz­ge­setz den § 11 BDSG “Auf­trags­da­ten­ver­ar­bei­tung” vor­ge­se­hen.
Um ein mög­lichst hohes Schutz­ni­veau zu gewähr­leis­ten und das Risi­ko von Daten­pan­nen bei der Aus­la­ge­rung auf Sub­un­ter­neh­mer zu mini­mie­ren, sieht § 11 BDSG Auf­trags­da­ten­ver­ar­bei­tung eini­ge Auf­la­gen vor. Um die Bedeu­tung und Ernst­haf­tig­keit des The­mas zu unter­strei­chen, ste­hen auf eine feh­len­de oder feh­ler­haf­te Umset­zung emp­find­li­che Buß­gel­der bis 50.000 Euro (§ 43 BDSG).
Was fällt alles unter den Begriff Auftragsdatenverarbeitung?
Am ein­fachs­ten läßt sich das an kon­kre­ten Bei­spie­len erklä­ren. Von einer Auf­trags­da­ten­ver­ar­bei­tung spricht man im Fal­le
der Nut­zung einer Mai­ling­agen­tur oder eines Let­ter­shops zum Erstel­len und Ver­sand von Anschrei­ben, die an natür­li­che Per­so­nen gerich­tet sind oder
der Durch­füh­rung der monat­li­chen Gehalts­ab­rech­nung durch eine exter­ne Lohn- und Gehalts­ab­rech­nungstel­le (nicht Steu­er­be­ra­ter) oder
des Ein­sat­zes einer extern gehos­te­ten Soft­ware zur Ver­wal­tung und zum Ver­sand von News­let­tern oder
der Beauf­tra­gung eines exter­nen Call­cen­ter oder Office-Ser­vices oder
dem teil­wei­sen oder voll­stän­di­gen Aus­la­gern des Rechen­zen­trums oder
in vie­len ähn­li­chen ver­gleich­ba­ren Fäl­len – fra­gen Sie Ihren Daten­schutz­be­auf­trag­ten oder gleich uns.
Ger­ne … Weiterlesen
Auftragsdatenverarbeitung Behörde Datenschutz Tipps Unternehmen
Bußgeld DSB Mangel Praxis Risiko Schutz Tipps Unternehmen
By Sascha Kuhrau | 29. August 2015
Lang­jäh­ri­ge Kun­den und Emp­fän­ger unse­rer Daten­schutz-Infor­ma­ti­on wer­den sich an das wie­der­keh­ren­de The­ma die­ses Bei­tra­ges sicher erin­nern und haben die Infor­ma­ti­on am Tag der Ver­öf­fent­li­chung der Pres­se-Infor­ma­ti­on des BayL­DA bereits als Son­der-News­let­ter erhal­ten. Auf­grund der Trag­wei­te des Vor­gangs infor­mie­ren wir hier noch mal auf unse­rem Daten­schutz-Fach­blog.
Es geht um das The­ma Out­sour­cing an exter­ne Dienst­leis­ter im Hin­blick auf mög­li­cher­wei­se betrof­fe­ne per­so­nen­be­zo­ge­ne Daten. Das Daten­schutz­recht spricht hier von einer Auf­trags­da­ten­ver­ar­bei­tung. Nicht weil hier ein Auf­trag ver­ge­ben wird, son­dern weil im Auf­trag der ver­ant­wort­li­chen Stel­le jemand Drit­tes mit den per­so­nen­be­zo­ge­nen Daten zu tun hat oder in Kon­takt kommt / kom­men kann. Die baye­ri­sche Lan­des­da­ten­schutz­be­hör­de hat jetzt wegen feh­ler­haf­ter Umset­zung der gesetz­lich vor­ge­schrie­be­nen Ver­fah­rens­wei­se und Inhal­te ein Buß­geld ver­hängt.
Feh­ler­haf­te Auf­trags­da­ten­ver­ar­bei­tung führt zu Buß­geld
Das ist so klar und deut­lich in § 43 Absatz 1 Satz 2b BDSG gere­gelt.
“(1) Ord­nungs­wid­rig han­delt, wer vor­sätz­lich oder fahr­läs­sig
ent­ge­gen § 11 Absatz 2 Satz 2 einen Auf­trag nicht rich­tig, nicht voll­stän­dig oder nicht in der vor­ge­schrie­be­nen Wei­se erteilt oder ent­ge­gen § 11 Absatz 2 Satz 4 sich nicht vor Beginn der Daten­ver­ar­bei­tung von der Ein­hal­tung der beim Auf­trag­neh­mer getrof­fe­nen tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men über­zeugt,”
Mit Datum vom 20. August 2015 gibt das Baye­ri­sche Lan­des­amt … Weiterlesen
Auftragsdatenverarbeitung Bundesdatenschutzgesetz Datenschutz Presse Unternehmen
Aufsichtsbehörde Bußgeld Recht Risiko Unternehmen Warnung
Hilfe bei Auftragsdatenverarbeitung
By Sascha Kuhrau | 23. März 2015
Out­sour­cing ist ein pro­ba­tes Mit­tel zur Kos­ten­kon­trol­le, aber auch um bewähr­tes Know How von extern in die Orga­ni­sa­ti­on zu holen. Sind dabei jedoch per­so­nen­be­zo­ge­ne Daten im Spiel, dann redet das Bun­des­da­ten­schutz­ge­setz mit sei­nem Para­graph 11 Auf­trags­da­ten­ver­ar­bei­tung ein erheb­li­ches Wört­chen mit.
Auf die Rei­hen­fol­ge kommt es an
Was oft nicht bekannt ist, Para­graph 11 BDSG schal­tet sich schon weit vor dem akti­ven Beginn der Zusam­men­ar­beit ein. Zuerst muss geprüft wer­den, ob eine Auf­trags­da­ten­ver­ar­bei­tung vor­liegt (z.B. exter­nes Rechen­zen­trum, Let­ter­shop, exter­ner News­let­ter, Fern­war­tung für Hard- und Soft­ware, etcpp .)
Ist das der Fall, gilt es, das Schutz­ni­veau des Anbie­ters zu prü­fen und das Ergeb­nis zu doku­men­tie­ren, die sog. Über­prü­fung der tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men (TOM). Sind die­se für das not­wen­di­ge Schutz­ni­veau aus­rei­chend, muss eine soge­nann­te Ver­ein­ba­rung zur Auf­trags­da­ten­ver­ar­bei­tung geschlos­sen wer­den. Hin­wei­se wie “Die Par­tei­en ver­ein­ba­ren, sich an deut­sches Daten­schutz­recht zu hal­ten” sind Geschich­te und unzu­rei­chend. Auch bei der Nut­zung der diver­sen Vor­la­gen aus dem Web soll­te man sehr vor­sich­tig sein. Oft sind die­se ver­al­tet (Novel­le in 2009), feh­ler­haft, unvoll­stän­dig oder ent­hal­ten Pas­sa­gen, die mas­siv gegen ande­res Recht ver­sto­ßen und somit eben­falls nicht gül­tig.
Mei­nen Sie, aber auch nur, bis Sie den Buß­geld­ka­ta­log des BDSG ken­nen­ge­lernt haben. Bis zu 50.000 … Weiterlesen
Auftragsdatenverarbeitung Behörde Datenschutz Unternehmen
Auftragsdatenverarbeitung Bussgeld
Datenschutz in der Arzt-Praxis – Wann brauchen Praxen einen Datenschutzbeauftragten?
By Sascha Kuhrau | 31. Oktober 2012
Vor­sicht Fal­le!
In den letz­ten Wochen haben zahl­rei­che Pra­xis­be­trei­ber Info-Post erhal­ten. Dar­in wur­de sug­ge­riert, eine Arzt­pra­xis habe stets einen Daten­schutz­be­auf­trag­ten zu bestel­len. Ansons­ten dro­hen Buß­gel­der und wei­te­res Unge­mach. Die Art und Wei­se der Dar­stel­lung ist nach Sicht z.B. der Ärz­te­kam­mer Nord­rhein ein “irre­füh­ren­des Ver­trags­an­ge­bot”, wes­halb eine ent­spre­chen­de Klar­stel­lung ver­öf­fent­licht wur­de.
Die gesetz­li­che Bestell­pflicht
§ 4 f BDSG regelt klar und deut­lich, wann ein Daten­schutz­be­auf­trag­ter zu bestel­len ist und wel­che Vor­aus­set­zun­gen die­ser zu erfül­len hat. “Über­setzt” heißt es für eine Pra­xis kon­kret: Sobald mehr als 9 Mit­ar­bei­ter stän­dig mit­tels EDV mit per­so­nen­be­zo­ge­nen Daten arbei­ten, ist ein Daten­schutz­be­auf­trag­ter zu bestel­len. Die Bestel­lung kann extern erfol­gen.
Daten­schutz ist Ver­trau­ens­sa­che
Prü­fen Sie in Fra­ge kom­men­de Anbie­ter genau, denn die Basis für eine lang­fris­ti­ge Zusam­men­ar­beit (wie sie der Gesetz­ge­ber wünscht) ist nun mal Ver­trau­en. Das Ange­bot soll­te seri­ös sein, Sie umfas­send infor­mie­ren und neben aktu­el­len Fach­kun­de­nach­wei­sen eben­falls den Ver­si­che­rungs­schutz des exter­nen Bera­ters umfas­sen.
Auch Ihre Pati­en­ten set­zen auf Ver­trau­en
Eine kürz­li­che Umfra­ge för­der­te beacht­li­che Fak­ten zu Tage:
95% der Befrag­ten hal­ten das Pati­en­ten­ge­heim­nis für ein wich­ti­ges, schüt­zens­wer­tes Gut!
89% der Befrag­ten wün­schen kei­ne Behand­lung durch einen Arzt, der die­sen Umstand igno­riert!
50% der Befrag­ten haben unge­wollt sen­si­ble Infor­ma­tio­nen ande­rer Pati­en­ten mit anhö­ren müs­sen!
Auftragsdatenverarbeitung Datenschutz Datenschutzbeauftragter Tipps
Mit Einwilligung wäre das wohl nicht passiert
By Sascha Kuhrau | 7. August 2012
Sicher haben Sie es in der Pres­se der letz­ten Wochen ver­folgt: ein bekann­ter Auto­ver­mie­ter mit Sitz in Ham­burg wur­de zur Zah­lung eines Buß­gelds in Höhe von 54.000 Euro ver­pflich­tet. Die zustän­di­ge Daten­schutz­be­hör­de nahm Anstoß an der Art und Wei­se der Umset­zung einer in der Bran­che übli­chen Siche­rungs­maß­nah­me hoch­wer­ti­ger Miet­fahr­zeu­ge mit­tels GPS Ortung. Erschwe­rend kam eine feh­len­de Rege­lung zur sog. Auf­trags­da­ten­ver­ar­bei­tung nach § 11 BDSG mit dem ein­ge­setz­ten Dienst­leis­ter hin­zu.
Der ham­bur­gi­sche Lan­des­da­ten­schutz­be­auf­trag­te Johan­nes Cas­par äußer­te sich dahin­ge­hend:
“Grund­sätz­lich ist die Moti­va­ti­on von Europ­car nach­voll­zieh­bar. Die heim­li­che Ortung von Miet­fahr­zeu­gen und die heim­li­che Kon­trol­le der Mie­ter stel­len jedoch einen schwe­ren Ein­griff in deren Per­sön­lich­keits­recht dar. Der Auto­ver­mie­ter hat es dadurch in der Hand, Bewe­gungs­pro­fi­le sei­ner Kun­den zu erstel­len. Mit Hil­fe der Ortungs­tech­nik lässt sich nicht nur rekon­stru­ie­ren, wer sich wann wo auf­ge­hal­ten hat, son­dern auch, wer zu wel­chem Zeit­punkt mit wel­cher Geschwin­dig­keit gefah­ren ist. Ins­be­son­de­re durch die anlass­lo­se Ortung wer­den die Mie­ter regel­mä­ßig unter einen Gene­ral­ver­dacht gestellt.”
In der Pres­se­mit­tei­lung vom 17.07.2012 heißt es wei­ter­hin:
“Da die Über­mitt­lung der Ortungs­da­ten ohne Wis­sen und ohne Ein­wil­li­gung der Mie­ter erfolg­te, war sie ord­nungs­wid­rig. Dane­ben gab es zwi­schen der Europ­car GmbH und der aus­füh­ren­den Fir­ma kei­nen Ver­trag zur Auf­trags­da­ten­ver­ar­bei­tung nach dem Bun­des­da­ten­schutz­ge­setz. … Weiterlesen
Auftragsdatenverarbeitung Bundesdatenschutzgesetz Datenschutz Tipps
Einwilligung Mangel Recht Tipps Unternehmen Verstoss Zweckbindung

References: EUGH 
 EUGH 
 § 11
 § 11
 § 43
 § 11
 § 11

§ 4
 § 11