Source: https://www.activemind.de/magazin/author/klaus/page/2/
Timestamp: 2019-02-16 23:49:14+00:00

Document:
Home » Archiv für Klaus Foitzick » Seite 2
Die Herausforderung bei der Kunden-IT
Zum Portfolio der Hamburger CEE Group gehören zahlreiche Photovoltaik- und Windparks in Deutschland. Und es werden immer mehr. Um die Prozesse der vielen Unternehmen der CEE Group zu optimieren, bündelte man die IT-Tätigkeiten der Gruppe in der Lampe Equity Management GmbH. Als dort nach einigen Jahren ein Informationssicherheits-Managementsystem (ISMS) eingeführt werden sollte, um die Zertifizierung nach ISO 27001 zu erreichen, wurde Handlungsbedarf sichtbar:
„Unsere IT-Infrastrukturen sind in großem Umfang und sehr organisch gewachsen. Doch dies ist nicht endlos skalierbar, dafür sind die Anforderungen unseres Unternehmens an Effizienz und Sicherheit zu hoch“, erläutert CEE Operations-Geschäftsführer Christian Bertsch-Engel, verantwortlich für die Umstrukturierung der IT-Landschaft der Lampe Equity Management.
Umsetzung 1: Austausch der gesamten IT
Um die Herausforderungen zu meistern, wurde ein Experte der activeMind AG als externer Sicherheitsbeauftragter bestellt. Zudem besetzte man die Position des technischen Leiters neu, um interne und externe Kompetenzen zu bündeln. In einem ersten Arbeitsschritt ging es dann darum, den vollständigen Austausch der vorhandenen Hardware zu realisieren. Christian Bertsch-Engel: „Im laufenden Geschäftsbetrieb die Unternehmens-IT zu ändern, davor scheut man sich ja eher. Für uns war es daher besonders angenehm, dass unser Team während des gesamten Prozesses durch die activeMind AG begleitet wurde.“
So übernahm der externe Sicherheitsbeauftragte die Ausschreibung des Hardware-Austauschs, die Erstellung des Anbieterkatalogs und den Entwurf des technischen Lösungsvorschlags. Auch die Angebotsprüfung und Auswahl des Anbieters wurde durch die activeMind AG durchgeführt. Parallel dazu konnte durch den neuen technischen Leiter ein internes Störungsmanagement entwickelt und implementiert werden.
„Wir setzen vorwiegend auf eigene IT und lagern nicht in Rechenzentren aus. Daher brauchten wir nicht nur neue Workstations, sondern auch Server bzw. die gesamte Storage-Struktur. Das Ergebnis sollte eine prozessorientierte und hochverfügbare Umgebung sein“, so Christian Bertsch-Engel. „Die juristischen, organisatorischen und IT-Kenntnisse der activeMind AG waren hierbei sehr wertvoll. Auch in die Vertragsverhandlungen und die Überprüfung des Anbieters nach § 11 Bundesdatenschutzgesetz (BDSG) hat sich unser externer Sicherheitsbeauftragter wertstiftend eingebracht.“ Insgesamt begleitete die activeMind AG die Lampe Equity Management GmbH bei der technischen Integration bis zur Abnahme.
Umsetzung 2: Vorbereitung zur ISO-Zertifizierung
Auf Basis der neuen Infrastruktur konnte nun die Zertifizierung nach ISO 27001 durch den TÜV angestrebt werden. Der Ausbau des notwendigen IT-Monitorings wurde intern verwirklicht. Der externe Sicherheitsbeauftragte unterstützte währenddessen bei der Risikoanalyse, der datenschutzrechtlichen Prüfung und bei der Erstellung der IT-Dokumentation. Interne Audits bereiteten optimal auf das Zertifizierungsaudit vor.
„In weniger als anderthalb Jahren seit der Erfassung des technischen Ist-Zustands erlangten wir gemeinsam mit der activeMind AG die erfolgreiche Zertifizierung nach ISO 27001 ohne Abweichungen“, freut sich Christian Bertsch-Engel. „Überzeugt hat uns dabei vor allem der Rundum-Service und die pragmatische Herangehensweise der Experten. Mit der activeMind AG an unserer Seite und mit unserer neuen IT sind wir sicherheitstechnisch und datenschutzrechtlich bestens für zukünftiges Wachstum gerüstet!“
Zuletzt geändert am: 26. Juni 2017 16. Januar 2019
Die Anpassung des deutschen Datenschutzrechts
Um den Anforderungen der neuen europäischen Datenschutz-Grundverordnung gerecht zu werden, muss das bestehende Bundesdatenschutzgesetz (BDSG) in Deutschland geändert werden. Dafür diskutieren die deutschen Gesetzgebungsorgane derzeit das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU). Nach dem Entwurf der Bundesregierung (activeMind berichtete) und der ersten Lesung im Bundestag am 9. März 2017 fand bereits am 27. März 2017 eine öffentliche Anhörung im Innenausschuss des Bundestages statt (siehe dieses Video und die Protokolle).
Nach weiteren Überarbeitungen des Gesetzentwurfes könnten die 2. und 3. Lesung im Plenum des Bundestages recht bald stattfinden. Das „BDSG-neu“ wird also recht zügig Realität für alle Unternehmen, die personenbezogene Daten verarbeiten oder durch Dritte verarbeiten lassen.
Das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (als PDF beim Bundestag verfügbar) hat also vor allem zwei Aufgaben: Einerseits muss das BDSG hinsichtlich einiger Aspekte an die Vorschriften der DSGVO angeglichen werden. Andererseits ist der Gesetzgeber aufgerufen, die in der DSGVO vorgesehenen Gestaltungsspielräume für nationales Recht auszudifferenzieren. Auf diesem Wege soll möglichst umfassend Rechtssicherheit geschaffen werden.
Anlässlich der Anhörung im Innenausschuss äußerten einige Sachverständige und Verbände in mündlichen und schriftlichen Stellungnahmen (siehe diese Liste) Kritik am Gesetzesentwurf. Auf der einen Seite würde nicht ausreichend Rechtssicherheit geschaffen. Man würde sogar hinter das derzeit geltende Datenschutzrecht in Deutschland und das Schutzniveau der DSGVO zurückfallen.
Auf der anderen Seite würden mit der Novelle des deutschen Datenschutzrechts zu viele nationale Sonderregelungen geschaffen, die den eigentlichen Zweck der DSGVO konterkarieren – das Datenschutzrecht in der EU zu harmonisieren, um einen grenzüberschreitenden Datenverkehr zu vereinfachen. Peter Schaar, ehemaliger Bundesbeauftragter für Datenschutz und Informationsfreiheit, fasst diese Aspekte in seiner Stellungnahme so zusammen:
„Zu befürchten ist, dass der deutsche Datenschutz teils unter dem in der übrigen EU vorgesehenen Niveau bleibt und auch darüber hinaus Sonderwege beschreitet, die weder im Sinne der Bürgerinnen und Bürger noch der Unternehmen sein können. Zu befürchten ist auch, dass andere Mitgliedstaaten sich an der deutschen Gesetzgebung orientieren und ebenfalls eigene Wege gehen könnten. Im Ergebnis wäre schlimmstenfalls ein weiterhin zersplittertes Datenschutzrecht in der EU.“
Das neue Datenschutzrecht kommt mit Aufgaben
Unabhängig davon, wie berechtigt die angebrachten Kritikpunkte sein mögen, wird die grundlegendste Reform des deutschen Datenschutzrechts der letzten zwei Jahrzehnte sehr bald abgeschlossen sein. Immerhin ist seit Inkrafttreten der DSGVO im Mai 2016 fast die Hälfte der Übergangsfrist bis zur Anwendbarkeit abgelaufen. Der deutsche Gesetzgeber muss sich also tatsächlich beeilen, wenn den Unternehmen Zeit bleiben soll, die neuen Regelungen umzusetzen.
Die Kritik der Sachverständigen und auch des Bundesrates (siehe diese Stellungnahme) zeigt, dass noch akuter Anpassungsbedarf beim Anpassungsgesetz vorliegt. Dennoch könnten nach Einschätzung einiger Experten die 2. und 3. Lesung im Bundestag schon Ende April 2017 erfolgen. Vermutlich will man an federführender Stelle das Gesetz in jedem Fall noch vor der Sommerpause und der Bundestagswahl im September 2017 durchbringen.
Update (20.04.2017): Die zweite und dritte Lesung im Bundestag finden am Donnerstag, 27. April 2017 statt. Zum Gesetzesentwurf liegt eine Beschlussempfehlung des Innenausschusses vor, ebenso die Stellungnahme des Bundesrates mit der Gegenäußerung der Bundesregierung sowie ein Antrag der Fraktion von Die Linke.
Zuletzt geändert am: 3. April 2017 16. Januar 2019
Zuletzt geändert am: 7. Februar 2017 16. Januar 2019
Zuletzt geändert am: 23. Januar 2017 16. Januar 2019
Zuletzt geändert am: 3. Januar 2017 16. Januar 2019
Die meisten Unternehmen in der EU mit mehr als neun Mitarbeitern müssen einen Datenschutzbeauftragten bestellen. Für die allermeisten lohnt es sich dabei, auf einen externen Datenschutzbeauftragten zu setzen. Denn ein solcher Experte verfügt bereits über das notwendige juristische, technische und organisatorische Wissen, um den Datenschutz im Unternehmen effektiv und rechtskonform umzusetzen. Wie die Bestellung eines externen Datenschutzbeauftragten (DSB) funktioniert, erklären wir Ihnen in fünf einfachen Schritten!
1. Schritt: Auswahl des geeigneten Datenschutzbeauftragten
Wenn Sie sich im Unternehmen entschieden haben, anstelle eines Mitarbeiters (als internen betrieblichen DSB) lieber einen Datenschutz-Experten als externen Datenschutzbeauftragten zu bestellen, sollten Sie bei der Auswahl des geeigneten Dienstleisters mindestens auf folgende Merkmale achten:
Die als externe DSB zu bestellenden Mitarbeiter des Anbieters verfügen über eine entsprechende juristische Qualifikation mit Spezialisierung auf das Datenschutzrecht und die datenschutzrechtlichen Nachbargebiete.
Der Anbieter hat Mitarbeiter, die umfassende IT-Kenntnisse vorweisen können, denn nur so kann der Anbieter Ihre IT überhaupt richtig prüfen und Ihnen bei der konkreten Umsetzung der gesetzlichen Vorgaben in Ihrem Unternehmen helfen.
Das Team des Anbieters verfügt nachweislich über eine mehrjährige (Berufs-)Erfahrung im Bereich Datenschutz und Datensicherheit, damit alle Beratungsprozesse möglichst hochgradig optimiert sind.
Der Anbieter kann Erfahrungen aus Ihrer Branche vorweisen, so dass etwaige Spezialisierungen Ihres Geschäftsmodells nicht zu unerwarteten Hindernissen werden.
Die Integration des internationalen Datenschutzrechts ist beim Anbieter eingeschlossen, damit Sie beim Einsatz von Cloud-Computing, Datentransfers in die USA oder dem Einsatz von Software-as-a-Service (SaaS) datenschutzkonform arbeiten können.
Im Idealfall gestaltet der Anbieter seine Leistungs- und / oder Kostenstruktur für den externen Datenschutzbeauftragten transparent (z. B. als Datenschutz-Flatrate), so dass Sie vor Kostenfallen bzw. bösen Überraschungen sicher sind.
2. Schritt: Kick-off-Meeting & Dokumentenprüfung
Nachdem Sie sich für das zu Ihrem Unternehmen passende Angebot entschieden haben, wird bzw. sollte ein Kick-off-Meeting stattfinden. Bei dieser ersten Besprechung (vor Ort) werden Ihr Management und andere Verantwortliche
über die rechtlichen und tatsächlichen Anforderungen des Datenschutzes und der damit zusammenhängenden Fragen der Datensicherheit informiert
und auf die zu erfüllenden Aufgaben vorbereitet.
Zu diesem Kick-off-Meeting sollten Sie dem Datenschutz-Dienstleister vorhandene Unterlagen über den aktuellen organisatorischen und technischen Status im Bereich Datenschutz und IT-Sicherheit vorlegen können. Manche Anbieter wollen diese Unterlagen bereits vorab sichten. Sie können in der Regel anonymisiert und von Geschäftszahlen bereinigt sein.
Der zukünftige externe Datenschutzbeauftragte wird diese Unterlagen sichten, bewerten und auf Vollständigkeit sowie Rechtskonformität überprüfen. Dabei prüft er unter Umständen auch gleich die Website Ihres Unternehmens mit.
[av_sidebar widget_area=’artikelserie-dsb‘ av_uid=’av-1qzwnh3′]
3. Schritt: Datenschutz-Audit
Als nächster Schritt bei der Bestellung des externen Datenschutzbeauftragten folgt das Datenschutz-Audit direkt bei Ihnen im Unternehmen. Das Audit sollte an dem Standort erfolgen, an dem die maßgebliche Unternehmens-IT betrieben wird, damit sich die Prüfer einen konkreten Eindruck verschaffen können.
Im Rahmen des Datenschutz-Audits werden mit unterschiedlichen Verantwortlichen – insbesondere aus den Bereichen IT, Personal, Marketing und Vertrieb – Fragen zu IT-Sicherheitsmanagement, Datenschutzmanagement und Gebäudesicherheit abgeklärt.
Das Audit dient dazu, den Ist-Zustand im Bereich des Datenschutzes zu dokumentieren. Es werden die im Unternehmen bereits getroffenen und noch umzusetzenden Maßnahmen erfasst, die für einen datenschutzkonformen Zustand erforderlich sind.
Im Idealfall prüfen die Experten des Datenschutz-Anbieters nach anerkannten und systematischen Kriterien, etwa den Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Davon können Sie ausgehen, wenn ein entsprechend zertifizierter BSI-Auditor dabei ist.
4. Schritt: Auditbericht & Maßnahmenkatalog
Der folgende Auditbericht stellt gewissermaßen die Arbeitsgrundlage für den zu bestellenden externen Datenschutzbeauftragten dar. Dieser kann daraus die fortlaufende Verbesserung der datenschutzrechtlichen Situation in Ihrem Unternehmen herleiten bzw. herbeiführen. Dafür sollte der Bericht
eine ausführliche Beschreibung der beim Audit vorgefundenen datenschutzrechtlichen Situation im Unternehmen beinhalten und
zu den einzelnen Befunden jeweils eine Handlungsempfehlung geben.
Bei sehr guten Datenschutz-Anbietern sind die Handlungsempfehlungen im Auditbericht mit verschiedenen Prioritätsstufen und Reifegraden versehen. Dadurch können Sie schnell erkennen, ob die Umsetzung die Erfüllung des gesetzlich geforderten Mindeststandards darstellt oder ein darüberhinausgehendes Datenschutz- und Datensicherheitsmanagement verwirklicht.
Übrigens: Für viele kleinere Unternehmen sind die Datenschutz-Maßnahmen bis zu diesem Zeitpunkt bei einigen Anbietern durch das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) finanziell förderbar.
5. Schritt: Bestellung des externen Datenschutzbeauftragten
Nach diesen wichtigen Vorbereitungsschritten sind Sie soweit: Sie können den Experten des Anbieters als externen Datenschutzbeauftragten bestellen. Die Bestellung als formaler Akt sollte dokumentiert erfolgen (z. B. mit unserer Vorlage zur DSB-Bestellung).
Je nach Anbieter kann es sein, dass Sie hierbei zwischen verschiedenen Tarifen wählen können, z. B. von der einfachen Umsetzung der gesetzlichen Mindestanforderungen bis hin zum proaktiven Datenschutz-Management. Bei der Entscheidungsfindung sollten Sie vor allem folgende Aspekte beachten:
Wie viele Aufgaben wollen Sie an den externen Datenschutzbeauftragten delegieren – und wie viele können Sie überhaupt intern erledigen?
Ist Ihr Unternehmen in einer hinsichtlich des Datenschutzes besonderen Branche (z. B. Finanzen, Gesundheit) tätig?
Verfügt Ihr Unternehmen über mehrere Standorte, ggfs. sogar im Ausland bzw. handelt es sich um einen Konzern?
Fazit: Machen Sie den Datenschutz zur Chefsache
Die geschilderten fünf Schritte sind ein prototypischer Weg zur Bestellung eines externen Datenschutzbeauftragten im Unternehmen. Die Vorschläge beruhen auf der langjährigen Praxis der activeMind AG in diesem Bereich. Andere Anbieter können durchaus andere Wege nehmen.
Als Unternehmer sollten Sie jedoch darauf achten, dass Ihr Weg zum externen Datenschutzbeauftragten ähnlich systematisch erfolgt. Denn nur systematisch umgesetzter und entsprechend dokumentierter Datenschutz macht Ihr Unternehmen rechtskonform – und verschafft Ihnen darüber hinaus einen Wettbewerbsvorteil. Selbst wenn Ihnen das Thema Datenschutz also lästig erscheinen sollte, die Bestellung eines externen Datenschutzbeauftragten sollten Sie zur Chefsache machen!
Zuletzt geändert am: 5. Dezember 2016 16. Januar 2019
Zuletzt geändert am: 28. Oktober 2016 16. Januar 2019
Unternehmen, die im Gesundheitssektor aktiv sind, können sich derzeit über zwei sehr interessante Megatrends freuen: Zum einen ermöglicht die Individualisierung medizinischer Bedürfnisse und gesundheitlicher Vorsorge eine Vielzahl neuer Geschäftsmodelle. Zum anderen hilft die Digitalisierung dabei, Interessierte immer gezielter anzusprechen und Kunden – Patienten ebenso wie Ärzte und Therapeuten – jederzeit mit passenden Dienstleistungen zu versorgen. Eine besonders große Herausforderung stellt jedoch der Datenschutz im medizinischen Bereich dar. Denn Daten über Diagnosen von Ärzten, Medikamente und Therapien sind besonders sensibel. Warum es sich für Gesundheitsunternehmen daher besonders lohnt, einen externen Datenschutzbeauftragten beratend hinzuzuziehen, erklärt Dirk Becker, Geschäftsführer von iPrax Systems im Best Practice Interview.
Welches Produkt bietet Ihr Unternehmen im Gesundheitsbereich an?
Wir vertreiben eine Praxis-Software für Physiotherapeuten, Ergotherapeuten, Logopäden und Podologen. Mit iPrax können Sie alle wichtigen Verwaltungsaktivitäten einer Praxis digital abwickeln: Terminplanung und -vergabe, Patientenmanagement, Rezepte und Abrechnung. Dabei ist es egal, ob Sie gerade in der Praxis sind oder unterwegs, denn mit iPrax haben Sie online wie offline mit Ihrem iPad oder Mac immer Zugriff auf alle relevanten Daten. Mehrere Endgeräte lassen sich einfach synchronisieren, wodurch auch die Zusammenarbeit im Team erleichtert wird.
Wie relevant ist der Datenschutz bei Ihrer Software?
Bei Praxissoftware spielt der Datenschutz natürlich eine sehr große Rolle. Schon die gesetzlichen Vorgaben sind hier besonders streng, weil ja sensible Daten von Patienten verarbeitet werden. Darüber hinaus gebietet unser unternehmerisches Selbstverständnis, alles organisatorisch und technisch Mögliche zu unternehmen, um den Schutz der über unsere Software verarbeiteten Daten zu gewährleisten.
Welche sensiblen Daten werden bei iPrax verarbeitet?
Neben den Stammdaten der Patienten speichern die anwendenden Therapeuten alle relevanten Gesundheitsdaten wie den ärztlichen Befund, die Behandlungsdokumentation und die Rezepthistorie.
Warum haben Sie sich für einen externen Datenschutzbeauftragen entschieden?
Über das Wissen für die Erstellung, Implementierung und Einhaltung eines Datenschutzkonzepts verfügt unserer Meinung nach nur ein Profi als externer Datenschutzbeauftragter. Dies trifft insbesondere auf kleinere Unternehmen zu, die ihre Personalressourcen sehr gezielt einsetzen müssen. Außerdem kann ein „professioneller Datenschützer“ die ganzen Prozesse viel schneller abwickeln – schließlich macht er das ja den ganzen Tag und verfügt über entsprechende Erfahrung.
Was hat sich durch die Beratung der activeMind AG in Ihrem Unternehmen verändert?
Wir konnten bei allen betroffenen Mitarbeitern das Bewusstsein zum Schutz von personenbezogenen Daten stark erhöhen.
Können Sie das erreichte Datenschutzniveau nutzen, um besser Neukunden zu gewinnen?
Indirekt hilft der bei iPrax umgesetzte Datenschutz sicherlich. Unsere Kunden prüfen uns zwar in der Regel nicht im Sinne einer Auftragsdatenverarbeitung. Sie gehen aber davon aus, dass alles technisch und organisatorisch Mögliche durch uns als Anbieter unternommen wird, um die gesetzlichen Vorgaben zum Schutz der Daten zu gewährleisten. Unser Datenschutzmanagement gewährleistet bestmöglich, dass wir dieses Vertrauen niemals aufs Spiel setzen.
Zuletzt geändert am: 17. Oktober 2016 16. Januar 2019
Zertifizierung nach ISO 27001 und ISO 9001 für MediaKom [Best Practice]
Wenn Unternehmen einen Dienstleister für Business-Process-Outsourcing (BPO) suchen, sollten die Faktoren Informationssicherheit, Datenschutz und Qualitätsmanagement eine ausschlaggebende Rolle spielen. Immerhin werden dem Anbieter meist sensible Geschäfts- und Kundendaten anvertraut. Dazu kommt, dass die DSGVO die Sicherstellung der Integrität, Verfügbarkeit und Sicherheit von Daten verlangt. Genau diese Anforderungen werden auch bei einer ISO 27001-Zertifizierung geprüft. Wie diese mithilfe der activeMind AG zu erlangen sind, erklärt Thomas Dittmar, Technischer Leiter der MediaKom GmbH & Co. KG – Gesellschaft für Informations- und Dialogmanagement im Best Practice Interview.
Als Mailing- und BPO-Dienstleister verarbeiten wir täglich sensible personenbezogene Daten unserer Kunden, z. B. Krankenkassen, Gewerkschaften, Versicherungen, Kirchen oder Banken. Insofern stellen die Themen Datenschutz und Datensicherheit unternehmensweit eine übergeordnete Anforderung dar. Hierbei spielt die Einhaltung der strengen Vorgaben der Datenschutzgesetze sowie des Sozialgesetzbuches für uns die zentrale Rolle.
Zuletzt geändert am: 20. September 2016 6. Februar 2019
Wozu dienen Standardvertragsklauseln?
Möchte ein Unternehmen Daten an ein anderes Unternehmen weitergeben, bedarf es für diese Weitergabe stets einer eigenen Rechtsgrundlage sowie eines adäquaten Datenschutzrechts im Land des datenempfangenden Unternehmens.
Als Rechtsgrundlage infrage kommen insbesondere die Erforderlichkeit zur Durchführung eines Vertrags mit dem Betroffenen (z. B. Weitergabe an ein vom Betroffenen gebuchtes Hotel durch das Reisebüro, § 28 Abs. 1 S. 1 Nr. 1 Bundesdatenschutzgesetz [BDSG]), ein überwiegendes Unternehmensinteresse (z. B. bei der Erstellung eines konzernweiten Telefonverzeichnisses durch die datenempfangende Konzernmutter, § 28 Abs. 2 Nr. 2a BDSG) oder eine ausdrückliche Einwilligung des Betroffenen (z. B. in die Bonitätsprüfung eines Onlineshops durch eine Auskunftei, § 4 Abs. 1, 3 i. V. m. § 4a Abs. 1 BDSG).
Zusätzliche Herausforderungen können sich dem datenweitergebenden Unternehmen dann stellen, wenn die Daten vom datenempfangenden Unternehmen in einem sogenannten unsicheren Drittstaat ohne adäquates Datenschutzrecht verarbeitet werden sollen. Hierbei handelt es sich um Staaten außerhalb der EU und des EWR, die kein dem europäischen Recht vergleichbares Datenschutzniveau aufweisen. Zu diesen Ländern zählen auch die bedeutsamen Datenverarbeiter-Länder USA, China und Indien. Bei einer Datenverarbeitung in diesen Ländern sind die Daten des Betroffenen erhöhten Datenschutzrisiken ausgesetzt. Erteilt der Betroffene daher nicht mittelbar (wie beim Datentransfer zum Zwecke der Vertragsdurchführung) oder ausdrücklich (wie bei einer ausreichend informativen Einwilligungserklärung) sein Einverständnis in den Datenexport in ein solches Drittland, muss er durch zusätzliche Maßnahmen geschützt werden. Eine solche zusätzliche Maßnahme stellt insbesondere der Abschluss der Standardvertragsklauseln dar.
Was sind Standardvertragsklauseln?
Bei den Standardvertragsklauseln handelt es sich um von der Europäischen Kommission verabschiedete Vertragswerke. Unterzeichnet der Datenimporteur einen solchen Standardvertrag, verpflichtet er sich damit auf die Einhaltung europäischer Datenschutzstandards. Standardvertragsklauseln gibt es für zwei verschiedene Konstellationen:
In der einen Konstellation sollen Daten an ein Unternehmen weitergegeben werden, das – so, wie auch das weitergebende Unternehmen selbst – für die (weitere) Verarbeitung der Daten verantwortlich ist. Hierbei kann es sich zum Beispiel um die außereuropäische Konzernmutter des weitergebenden Unternehmens handeln, wenn diese ein konzernweites Telefonverzeichnis anlegen möchte und hierfür die entsprechenden Daten der Mitarbeiter der deutschen Tochter braucht. Als Rechtsgrundlage kommen hier u. U. die berechtigten Interessen der Mutter an einer Datenweitergabe infrage. Durch Unterzeichnen der Standardvertragsklauseln verpflichtet sich die Mutter darauf, die weitergebebenen Daten nach denselben Datenschutzstandards zu verarbeiten, denen auch ihre Tochter als Arbeitgeberin der betroffenen Mitarbeiter unterliegt.
In der zweiten Konstellation sollen Daten an ein Unternehmen gegeben werden, das die Daten nicht wie die Konzernmutter eigenverantwortlich, sondern als Dienstleister (z.B. Cloud-Dienstleister) – nur auf Weisung des weitergebenden Unternehmens – verarbeiten soll. Ein solches Verhältnis deutet auf eine Auftragsdatenverarbeitung hin. Diese ist jedoch, folgt man dem Wortlaut des deutschen Bundesdatenschutzgesetzes, mit Dienstleistern außerhalb des EU-/ EWR-Raums derzeit nicht möglich. Das Gesetz ist an der entsprechenden Stelle (§ 3 Abs. 8 S. 3 BDSG) unglücklich formuliert – und wurde bis heute nicht korrigiert. Eine Änderung der Gesetzeslage wird es erst mit der ab 2018 geltenden EU-Datenschutz-Grundverordnung geben.
Auftragsdatenverarbeitung mit außereuropäischen Dienstleistern – der Standardvertrag als Krücke
Dass es sich bei der deutschen Begrenzung der Auftragsdatenverarbeitung auf den EU-/ EWR-Raum aller Voraussicht nach um einen Gesetzesfehler handelt, ist auch den deutschen Aufsichtsbehörden bewusst. Sie verweisen in einer gemeinsamen Stellungnahme auf die zahlreiche Parallelen zwischen den gesetzlichen Anforderungen an einen deutschen Auftragsdatenverarbeitungsvertrag und den Inhalten des Dienstleister-Standardvertrags. Das Regierungspräsidium Darmstadt (das bis 1. Juli 2011 die hessische Datenschutzaufsichtsbehörde für den nichtöffentlichen Bereich war) sieht die gesetzlichen Anforderungen an eine Auftragsdatenverarbeitung nach deutschem Recht zum Teil erfüllt, wenn der Dienstleister-Standardvertrag abgeschlossen wird.
Diese Feststellung der ehemaligen Datenschutzaufsichtsbehörde ist aus rechtsdogmatischer Sicht sehr bedenklich, da hier die Ebene der rechtlichen Übermittlungsgrundlage mit der Selbstverpflichtung des datenempfangenden Unternehmens auf ein europäisches Datenschutzniveau vermischt wird. Aus Unternehmenssicht ist diese Vermischung der Behörden jedoch sehr zu begrüßen, da sich aus ihr im Ergebnis der Standardvertrag als „neuer Auftragsdatenverarbeitungsvertrag“ entpuppt. Was nach deutschem Recht also eigentlich nicht geht, soll aus Sicht der Behörden durch die europäischen Standardvertragsklauseln – die eigentlich einem ganz anderen Zweck dienen – möglich sein.
Oft übersehen: Aufsichtsbehörden verlangen Ergänzungen zum Standardvertrag
So einfach soll es dann aber doch nicht sein. Bei den Standardvertragsklauseln handelt es sich um ein vorgefertigtes Vertragswerk, das, um wirksam zu sein, zunächst einmal nur ausgefüllt, nicht jedoch individuell angepasst werden darf. Erlaubt sind nach der Aussage der Europäischen Kommission lediglich auftragsspezifische Ergänzungen, solange diese den vorgefertigten Regelungen des Vertrags nicht widersprechen.
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI) verlangt in Anlehnung an die oben erwähnte Gegenüberstellung des Düsseldorfer Kreises, dass der Standardvertrag (mindestens) um Vertragselemente ergänzt wird, die das deutsche Recht für die Auftragsdatenverarbeitung vorsieht, die jedoch im vorgefertigten Text fehlen bzw. nur rudimentär geregelt sind. Hierbei handelt es sich insbesondere um Regelungen zur Genehmigung bereits eingesetzter Subdienstleister des Datenimporteurs, zum Inhalt, zum Umfang und zur Dauer der Datenverarbeitung, zu den Betroffenenrechten und zum Weisungsrecht des Datenexporteurs. Entsprechende Regelungen sollen den Vorstellungen der Aufsichtsbehörden zufolge entweder in den Annex 1 zum Standardvertrag in den dortigen Punkt „Processing operations“ („Verarbeitung“) aufgenommen oder aber in einer Zusatzvereinbarung festgehalten werden.
Sensible Daten dürfen auch mittels Standardvertragsklauseln nur in bestimmten Fällen transferiert werden
Das Regierungspräsidium Darmstadt, das mit seiner Stellungnahme zu den Standardvertragsklauseln wohl einen der ersten wirtschaftsfreundlichen Akzente setzte, ist sich der vorgenommenen Vermischung der sogenannten ersten Prüfstufe (Rechtsgrundlage für den Datentransfer als solchen) und der zweiten Stufe (Sicherstellung eines ausreichenden Datenschutzniveaus) wohl bewusst. Die weitgehende Deckungsgleichheit der Regelungen der Vertragsklauseln mit dem deutschen Auftragsdatenverarbeitungsvertrag soll dem Regierungspräsidium zufolge daher nur im Rahmen einer Interessenabwägung zwischen datentransferierendem Unternehmen und den schutzwürdigen Interessen des Betroffenen „berücksichtigt“ werden. Faktisch sendet die Behörde damit jedoch ein klares Signal, dass eine Auftragsdatenverarbeitung mit außereuropäischen Dienstleisters über die Standardvertragsklauseln möglich ist, sobald eine Datenweitergabe – unabhängig vom Exportland – zulässig ist.
Eine Interessenabwägung scheidet allerdings aus, wenn sensible Daten im Sinne von § 3 Abs. 9 BDSG transferiert werden sollen, da in diesem Fall besondere gesetzliche Übermittlungsvoraussetzungen (§ 28 Abs. 6-9 BDSG) beachtet werden müssen. Sofern die Datenübertragung daher nicht zur Abwicklung des Vertragsverhältnisses erforderlich ist und der Betroffene auch nicht in rechtskonformer Weise in den Datentransfer eingewilligt hat, scheidet dieser in den meisten Fällen aus. Für den Fall, dass eine Datenweitergabe doch (ausnahmeweise) möglich ist, verlangt der Standardvertrag darüber hinaus in Klausel 4f, dass
„die betroffene Person bei der Übermittlung besonderer Datenkategorien vor oder sobald wie möglich nach der Übermittlung davon in Kenntnis gesetzt worden ist oder gesetzt wird, dass ihre Daten in ein Drittland übermittelt werden könnten, das kein angemessenes Schutzniveau im Sinne der Richtlinie 95/46/EG bietet“.
Rechtskonformer Transfer von Mitarbeiterdaten auf Basis von Standardvertragsklauseln: kritisch, aber nicht unmöglich
Neben der Übermittlung der gesetzlich definierten sensiblen Datenkategorien erweist sich auch eine Übermittlung von Mitarbeiterdaten als kritisch. Denn auch bei Mitarbeiterdaten erlaubt das Gesetz – zumindest auf den ersten Blick – keine Interessenabwägung. Der bundesdatenschutzrechtliche Mitarbeiterparagraph (§ 32 BDSG) gestattet eine Datenverarbeitung nur, wenn diese zur Abwicklung des Arbeitsverhältnisses oder zur Aufdeckung von Straftaten des Mitarbeiters erfolgen soll. Beides ist jedoch meist auch möglich, ohne, dass die Daten an einen Dienstleister (insbesondere an einen außereuropäischen) übertragen werden. Eine Einwilligung als Rechtsgrundlage scheidet als Übermittlungsgrundlage meist ebenfalls aus, da diese frei widerruflich wäre und die Rechtswirksamkeit aufgrund des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer von Behörden angezweifelt wird.
Die im bundesdatenschutzrechtlichen Mitarbeiterparagraphen fehlende Interessenabwägungsnorm ist wirtschaftsschädlich und widerspricht dem Anliegen der Europäischen Kommission sowie – wie oben gezeigt – auch der deutschen Aufsichtsbehörden, den Datenaustausch mit außereuropäischen Dienstleistern zu ermöglichen. Es ist daher sinnvoll, wie auch bei innereuropäischen Datentransfers, zumindest für den Austausch nichtsensibler Mitarbeiterdaten (Beispiel: konzernweites Telefonverzeichnis), eine Interessenabwägung als Rechtsgrundlage (§§ 28 Abs. 1 S. 1 Nr. 2, 28 Abs. 2 Nr. 2a BDSG) gelten zu lassen. Die sichere Alternative bleibt freilich der Einsatz eines europäischen Dienstleisters – sofern am Markt vorhanden.
Fazit: Datenaustausch mit außereuropäischen Dienstleistern erfordert Fingerspitzengefühl
Die Verarbeitung personenbezogener Daten durch einen Dienstleister in einem unsicheren Drittland ist – auch, wenn es auf den ersten Blick anders scheint – in sehr vielen Fällen rechtskonform möglich. Die deutschen Datenschutzbehörden erkennen eine Auftragsdatenverarbeitung mit außereuropäischen Dienstleistern auf Basis der Standardvertragsklauseln faktisch als Möglichkeit an. Dies sollte grundsätzlich auch für Mitarbeiterdaten gelten, solange keine sensiblen Daten betroffen sind. Letztere dürfen ohne ausreichend informierte Einwilligung des Betroffenen nur in den engen Grenzen des § 28 Abs. 6-9 BDSG exportiert werden.
Zuerst veröffentlicht am 6. Mai 2015, zuletzt aktualisiert am 5. September 2016
Zuletzt geändert am: 5. September 2016 16. Januar 2019

References: § 11
 § 28
 § 28
 § 4
 § 4
 § 3
 § 28