Source: https://www.compliance-net.de/content/checkliste-auftragsverarbeitung
Timestamp: 2020-06-05 13:13:17+00:00

Document:
compliance-net | Checkliste Auftragsverarbeitung
StartseiteCheckliste Auftragsverarbeitung
Da dieses Thema derzeit von vielen Unternehmen bearbeitet wird, werden solche Verträge in großer Zahl zwischen Unternehmen ausgetauscht, teilweise wechselseitig. Um nun zu prüfen, ob ein Vertrag die Anforderungen des Gesetzes erfüllt und ggf. auch eigenen Anforderungen (wie beispielsweise an die Technischen und Organisatorischen Maßnahmen) gerecht wird, empfiehlt sich der Einsatz einer Checkliste, die vor Unterzeichnung bearbeitet wird.
Eine solche Checkliste haben wir erstellt und nutzen diese in der Praxis. Ohne Übernahme einer Gewähr und zur Nutzung auf eigene Verantwortung stellen wir diese hier gern zum Download zur Verfügung.
Bei Fragen zum Thema sprechen Sie uns gern an!
Checkliste Prüfung von Verträgen über eine Auftragsverarbeitung.docx
Die neue EU-Datenschutzgrundverordnung (EU-DSGVO) ist zum 25.05.2016 in Kraft getreten und wird zum 25.05.2018 wirksam. Damit wird sie ab dem 25.05.2018 die bereits seit 1995 geltende EU-Datenschutzrichtlinie Richtlinie 95/46/EG und das Bundesdatenschutzgesetz (BDSG) mit dem Ziel ablösen, das Datenschutzniveau innerhalb der EU anzugleichen und die Rechte der Betroffenen stärker zu schützen.Verglichen mit anderen Ländern wird sich in Deutschland nicht alles grundsätzlich ändern. Viele der datenschutzrechtlichen Konzepte und Grundsätze der EU-DSGVO sind ähnlich dem in Deutschland bisher geltenden Bundesdatenschutzgesetz (BDSG). Nichtsdestotrotz ist es unumgänglich, die Datenschutzpraxis in Ihrem Unternehmen zu überprüfen und das Datenschutzmanagement bis zum 25. Mai 2018 nach den regulatorischen Anforderung der EU-DSGVO sowie dem im April verabschiedeten Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (DSAnpUG-EU) anzupassen und weiterzuentwickeln.Am Ende dieses Artikels ist ein Umsetzungsplan aufgeführt. So könnte eine praxisorientierte Vorgehensweise zur Umsetzung der regulatorischen Anforderungen der EU-DSGVO in Ihrem Unternehmen aussehen.1. Vorrang der EU-DSGVO vor Rechtsvorschriften der MitgliedsstaatenDie EU-DSGVO wirkt unmittelbar und direkt, ohne dass es ihrer innerstaatlichen Umsetzung bedarf.Die EU-Verordnung geht Rechtsvorschriften der einzelnen Mitgliedsstaaten vor. Sofern die EU-DSGVO keine ausdrücklichen Möglichkeiten für einzelstaatliche Regelungen vorsieht, verdrängt die Verordnung Vorschriften der Mitgliedsstaaten zur Datenverarbeitung.Die EU-DSGVO geht Regelungen wie z. B. dem Kreditwesengesetz oder den Sozialgesetzbüchern vor, sofern diese nicht die in der EU-DSGVO aufgestellten Anforderungen an Ausnahmevorschriften zur EU-DSGVO erfüllen.2. MarktortprinzipAusgangspunkt für die Bestimmung des räumlichen Anwendungsbereichs ist Artikel 3 EU-DSGVO.Die EU-DSGVO findet Anwendung für alle datenverarbeitenden Unternehmen mit Sitz in der EU. Die Verordnung ist auch für Unternehmen außerhalb der EU ohne einen Sitz in einem Mitgliedsland gültig, sofern diese Daten von EU-Bürgern verarbeiten und ihre Produkte oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten, sofern sich diese in der EU aufhalten.3. Bußgelder und SanktionenDer Bußgeldrahmen erhöht sich gegenüber dem bisherigen Recht drastisch (vgl. Artikel 83 EU-DSGVO).Bis dato galt nach dem BDSG eine Haftungshöchstgrenze von 300.000 Euro. Zukünftig werden die Sanktionen stark erhöht.Der Verstoß gegen bestimmte Anforderungen kann eine Geldstrafe von bis zu 2% des gesamten weltweiten Jahresumsatzes oder 10.000.000 EUR bedeuten (je nachdem, welcher Wert höher ist). Die Verletzung bestimmter Anforderungen kann eine Geldbuße von bis zu 4% des gesamten weltweiten Jahresumsatzes oder 20.000.000 EUR bedeuten (je nachdem, welcher Wert höher ist).4. Stellung des DatenschutzbeauftragtenBis dato wirkt der Datenschutzbeauftragte nach § 4f Abs. 1 Satz 1 BDSG „auf die Einhaltung“ der Vorschriften über den Datenschutz hin. Danach hat er derzeit eine beratende und unterstützende Funktion und übernimmt keine Gewähr dafür, dass die verantwortliche Stelle alle datenschutzrechtlichen Standards umsetzt.Anders als nach dem bisherigen Recht regelt Artikel 39 Abs. 1 Buchst. b EU-DSGVO umfassende Überwachungspflichten. Diese gehen ihrem Wortlaut nach über ein bloßes „Hinwirken“ deutlich hinaus.Der Datenschutzbeauftragte erlangt damit im Unternehmen in seiner Stellung eine große Unabhängigkeit (vgl. hierzu Erwägungsgrund 97 der EU-DSGVO). Die Ausprägungen der Unabhängigkeit, insbesondere die Unabhängigkeit von fachlichen Weisungen und die Verpflichtung zur Gewährleistung eines unmittelbaren Berichtswegs des Datenschutz­beauftragten zur höchsten Managementebene sind in Art. 38 Abs. 3 S. 1 und 3 EU-DSGVO geregelt.Im Sinne eines durchgreifenden Datenschutzmanagements ist es sinnvoll, den Datenschutz­beauftragten auch organisatorisch unmittelbar der Leitung des Unternehmens zu unterstellen.Die damit verbundene Sonderstellung verschafft dem Datenschutzbeauftragten im Unternehmen unter anderem die ggf. notwendige Autorität.5. Datenschutz-FolgenabschätzungDie Datenschutz-Folgenabschätzung nach Artikel 35 EU-DSGVO weicht erheblich von der bisherigen Vorabkontrolle nach § 4d Abs. 5 BDSG ab.Eine Datenschutz-Folgenabschätzung nach Artikel 35 EU-DSGVO ist immer dann vom Verantwortlichen (nicht vom Datenschutzbeauftragten) durchzuführen, wenn eine Datenverarbeitung voraussichtlich hohe Risiken für die persönlichen Rechte und Freiheiten der davon betroffenen Personen zur Folge hat.Hierbei sind insbesondere Eintrittswahrscheinlichkeit und Schwere möglicher Risiken zu bewerten. Es sollten immer Art, Umfang, Umstände, verfolgte Zwecke sowie Ursachen möglicher Risiken bewertet werden.Geprüft werden sollten in diesem Zusammenhang die Maßnahmen und Verfahren, mit denen bestehende Risiken abgeschwächt und die Vorgaben der EU-DSGVO eingehalten werden können.Sollte die Datenschutz-Folgenabschätzung ergeben, dass die geplante Datenverarbeitung ein hohes Risiko zur Folge hätte, muss der Verantwortliche die zuständige Aufsichtsbehörde einschalten, sofern er keine Maßnahmen zur Eindämmung des Risikos trifft (vgl. hierzu Artikel 36 EU-DSGVO).6. Risikobasierter DatenschutzDer risikobasierte Ansatz ist eine der Neuerungen im Datenschutzrecht.Personenbezogene Daten sind schützenswert, weil durch ihre Verarbeitung in die Betroffenenrechte eingegriffen werden kann. Die Erwägungsgründe 75 und 91 sind hier von entscheidender Bedeutung.Auszug aus Erwägungsgrund 75 EU-DSGVO:„Die Risiken für die Rechte und Freiheiten natürlicher Personen – mit unterschiedlicher Eintrittswahrscheinlichkeit und Schwere – können aus einer Verarbeitung personenbezogener Daten hervorgehen (…)“. Demnach kommt es in erster Linie auf das Risiko des Eingriffs für die Rechte und Freiheiten der Betroffenen an, nicht auf die personenbezogenen Daten des Betroffenen.Auszug aus Erwägungsgrund 91 EU-DSGVO:„Eine Datenschutz-Folgenabschätzung sollte durchgeführt werden, wenn die personenbezogenen Daten für das Treffen von Entscheidungen in Bezug auf bestimmte natürliche Personen im Anschluss an eine systematische und eingehende Bewertung persönlicher Aspekte natürlicher Personen auf Grundlage eines Profilings dieser Daten (…) verarbeitet werden.“Die neue EU-DSGVO sieht hier einen risikobasierten Ansatz, also die Einführung eines Risikomanagements im Hinblick auf Datenschutzziele in einer Organisation.Risikomanagement muss ein fester Bestandteil der betriebswirtschaftlichen Unternehmensführung sein. 7. Datensicherheit und SchutzzieleDas Bußgeldrisiko bei unzureichender Datensicherheit ist eine weitere wesentliche Änderung in der EU-DSGVO.Artikel 32 EU-DSGVO beschreibt sehr ausführlich die Kriterien der technischen und organisatorischen Maßnahmen, um ein angemessenes Schutzniveau zu erzielen.Hier sind die Begriffe „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“ von grundlegender Bedeutung. Neu ist in diesem Zusammenhang der Begriff der „Belastbarkeit“.Verantwortliche müssen bei der Datenverarbeitung die „Belastbarkeit“ ihrer Dienste und Systeme gewährleisten. Der Begriff „Belastbarkeit“ ist jedoch nicht näher definiert. In der englischen Fassung steht der Begriff „resilience“, was so viel bedeutet wie „Widerstandsfähigkeit“. Der Begriff Widerstandsfähigkeit in Bezug auf die Systeme und Dienste wurde bereits im Zusammenhang mit dem Notfallmanagement bekannt.7.1 Schutzbedarf personenbezogener DatenIm Vorfeld der Verarbeitung personenbezogener Daten sollten sich die Verantwortlichen darüber klar sein, welchen Schutzbedarf die relevanten personenbezogenen Daten haben. Dies ist notwendig, um ein angemessenes Schutzniveau nach Artikel 32 Abs. 1 EU-DSGVO festlegen zu können.Bei der Beurteilung wird in der Regel auf das Schadenspotential abgezielt. Dazu kann auf eine Kategorisierung eines „normalen“, „hohen“ und „sehr hohen“ Schutzbedarfes abgestellt werden. Die Schutzbedarfsfeststellung ist ein erster Schritt, wenn es darum geht, geeignete technische und organisatorische Maßnahmen auszuwählen.7.2 RisikobewertungDer Begriff des „Risikos“ findet mehrfach in der EU-DSGVO Anwendung. Die Maßnahmen, die zum Schutz personenbezogener Daten getroffen werden sollen, müssen künftig unter Berücksichtigung des „Risikos“ ausgewählt werden.Hier müssen objektive Kriterien für Eintrittswahrscheinlichkeit und Schwere eines Risikos für die Rechte und Freiheiten natürlicher Personen festgelegt werden. Es gilt, nicht die Unternehmenswerte, sondern den Betroffenen im Sinne des Datenschutzes in den Fokus der Risikobewertung zu stellen.7.3 Technische und organisatorische MaßnahmenDer Verantwortliche muss unter Berücksichtigung u. a. des Stands der Technik und der Implementierungskosten geeignete technische und organisatorische Maßnahmen treffen (vgl. Artikel 32 EU-DSGVO). Folglich wird zu prüfen sein, was beim jeweiligen Verfahren als Stand der Technik angesehen wird. Andererseits muss bei der Beurteilung auch die Verhältnismäßigkeit einer Maßnahme hinsichtlich des Aufwands berücksichtigt werden.7.4 Nachweise der Konformität (Rechenschaftspflicht nach Artikel 5 Abs. 2 EU-DSGVO)Inwieweit ein Verantwortlicher sich an die Verarbeitungsgrundsätze der EU-DSGVO hält und die Sicherheit der Verarbeitung gewährleistet, wird zukünftig im Rahmen einer Nachweiserbringung relevant werden. Zertifizierungen werden zunehmend an Bedeutung gewinnen.8. Ausblick zur SicherheitTechnische Aspekte der Datenverarbeitung, die bislang eher unter „IT-Sicherheit“ anzusiedeln waren, bekommen durch die EU-DSGVO eine höhere Bedeutung für Datenschutzverantwortliche, als es bislang durch das BDSG abgebildet wurde. Verstöße können zukünftig mit Bußgeldern von bis zu 2 Prozent des weltweiten (Konzern-)Jahresumsatzes geahndet werden. Das ist von wesentlicher Bedeutung für Unternehmen (vgl. hierzu auch EG 148 EU-DSGVO). Bisher waren Verstöße gegen § 9 BDSG nicht bußgeldrelevant.9. EinwilligungenDie Anforderungen an eine datenschutzkonforme Einholung der Einwilligung des Betroffenen für die Verarbeitung und Nutzung seiner personenbezogenen Daten sind mit der EU-DSGVO höher. Die grundsätzlichen Anforderungen an die Wirksamkeit einer rechtsgültigen Einwilligung werden durch die EU-DSGVO zwar nicht wesentlich verändert – der Schutz von Minderjährigen unter 16 Jahren wird jedoch zusätzlich gestärkt.Artikel 7 und 8 der EU-DSGVO regeln genau die Voraussetzungen, die für eine Einwilligung zur Datenverarbeitung zu beachten sind.Einwilligungen Minderjähriger sind generell nur dann wirksam, wenn und insoweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.10. Meldepflicht bei DatenschutzverletzungenUnverzüglich, spätestens jedoch innerhalb von 72 Stunden, nach Bekanntwerden der Datenschutzverletzungen müssen Unternehmen Datenschutzverletzungen nach Artikel 33 Abs. 1 EU-DSGVO bei der zuständigen Behörde melden. Zusätzlich müssen die betroffenen Personen hierüber informiert werden, wenn der Vorfall voraussichtlich ein hohes Risiko für ihre persönlichen Rechte und Freiheiten zur Folge hat.Will ein Unternehmen ausschließen, dass bei jeder unterbliebenen Meldung an die Aufsichtsbehörden ein Bußgeld nach Artikel 83 Abs. 4 Buchst. a EU-DSGVO droht (bis zu 2 % des globalen (Konzern-)Jahresumsatzes), muss ein entsprechender Prozess für das Management solcher Meldungen aufgesetzt werden oder es muss grundsätzlich jeder Datenschutzverstoß gemeldet werden.11. DokumentationspflichtenZukünftig muss durch die Verantwortlichen die Einhaltung der Datenschutzgrundsätze nachgewiesen werden können. Es muss eine umfassende Dokumentation mit den Inhalten des Verzeichnisses aus Artikel 30 EU-DSGVO geführt werden. Eine Ausnahmeregelung ist für Unternehmen mit weniger als 250 Beschäftigten vorgesehen, die nicht oder nur gelegentlich personenbezogene Daten verarbeiten. Diese hat in der Praxis allerdings nur wenig Relevanz. 12. Privacy by Design und Privacy by DefaultArtikel 25 Abs. 1 EU-DSGVO regelt den Grundsatz der „privacy by design“; Abs. 2 die Anforderung „privacy by default“.Unternehmen müssen ihre IT-Systeme grundsätzlich so ausgestalten, dass sie die Datenschutzgrundsätze des Artikel 5 EU-DSGVO wirksam umsetzen, insbesondere das Gebot der Datenminimierung – sie sollen also nur gerade so viele Daten erheben, wie zur Erfüllung des verfolgten Zwecks erforderlich ist.Zudem sollen IT-Systeme so „voreingestellt“ sein, dass sie grundsätzlich nur solche personenbezogenen Daten verarbeiten, wie für den jeweils verfolgten Zweck erforderlich ist.Realisiert werden können diese Anforderungen dadurch, indem Verantwortliche personenbezogene Daten minimieren und Daten schnellstmöglich pseudonymisiert werden. Schon bei der Entwicklung und Ausgestaltung von IT-Produkten, Diensten und Anwendungen sollte bei der Ausgestaltung der Pflichten- und Lastenhefte das Recht auf Datenschutz einfließen. Verstöße gegen das Gebot, Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen zu gewährleisten, können mit Bußgeldern geahndet werden (bis zu 2 Prozent des (Konzern-)Jahresumsatzes des Unternehmens oder Konzerns).13. Das Recht auf „Vergessenwerden“ und auf LöschungDie EU-DSGVO sieht umfassendere Löschpflichten als die Regelung in § 35 BDSG vor. Das Recht auf Löschung personenbezogener Daten ist in Artikel 17 EU-DSGVO geregelt.Der Verantwortliche muss personenbezogene Daten ohne unangemessene Verzögerung löschen. Ausnahmen sind in Artikel 17 Abs. 1 EU-DSGVO aufgeführt.Ein hier aufgeführter Grund kann darin liegen, dass von der betroffenen Person Widerspruch nach Artikel 21 Abs. 1 EU-DSGVO gegen die Verarbeitung ihrer personenbezogenen Daten eingelegt wurde. In einem solchen Fall muss der Verantwortliche diese Daten löschen, sofern keine vorrangigen berechtigten Gründe für die weitere Verarbeitung vorliegen.Wenn ein Verantwortlicher zu löschende personenbezogene Daten öffentlich gemacht hat, muss er andere Verantwortliche, die diese Daten verarbeiten, darüber informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu oder aller Kopien oder Replikationen von diesen personenbezogenen Daten verlangt hat.In Artikel 17 Abs. 3 EU-DSGVO sind Ausnahmen dieser Löschpflichten aufgeführt.Fehler bei der Verpflichtung zum Löschen von personenbezogenen Daten werden mit Bußgeldern geahndet (bis zu 4 Prozent des (Konzern-)Jahresumsatzes).14. Hinweise zur Umsetzung der EU-DSGVO in Ihrem Unternehmen14.1 BestandsaufnahmeZunächst sollte bis Ende des 3. Quartals 2017 eine Bestandsaufnahme vorgenommen werden. Das ist elementar für das Gelingen der Umsetzung. Konkret geht es um folgende Aufgaben:Ermittlung aller datenschutzrechtlich relevanten Prozesse (d.h. Prozesse, im Rahmen derer personenbezogene Daten verarbeitet werden) im UnternehmenPrüfung, welche Daten durch welche Systeme erhoben werdenErmittlung (im Hinblick auf sich ändernde Informationspflichten) aller datenschutzrechtlichen Hinweise an außenstehende betroffene Personen (vormals: Betroffene) oder Arbeitnehmer sowie der aktuellen DatenschutzerklärungErmittlung aller datenschutzrechtlich relevanter Verträge (insb. betreffend Auftragsverarbeitung und Auslagerungen/Outsourcing)Ermittlung aller übrigen datenschutzrechtlich relevanten Dokumente, wie beispielsweise der datenschutzrechtlichen EinwilligungenErmittlung der datenschutzrechtlich relevanten Stakeholder (z.B. Lieferanten)14.2 NeuausrichtungIn einer zweiten Umsetzungsphase (4. Quartal 2017) sind dann die ermittelten Prozesse, Verträge und Dokumente an der EU-DSGVO neu auszurichten.Es gilt also in einem ersten Schritt, den Ist-Stand und den Soll-Stand nach der EU-DSGVO zu ermitteln. In einem zweiten Schritt sind dann die erforderlichen Anpassungen vorzunehmen. Im Detail dreht es sich dabei um die folgenden Aufgaben:Für alle datenschutzrechtlich relevanten Prozesse ist eine Datenschutz-Folgenabschätzung (vormals „Vorabkontrolle“) durchzuführen. Es sind die ausführlichen Dokumentationspflichten zu beachten.Für die datenschutzrechtlich relevanten Prozesse ist zu ermitteln, ob sie auf Erlaubnistatbeständen der EU-DSGVO beruhen (vgl. Artikel 6, 8, 9 und 22 EU-DSGVO).Die datenschutzrechtlichen Hinweise an betroffene Personen innerhalb und außerhalb des Unternehmens sind an Anforderungen der EU-DSGVO anzupassen, insbesondere an die Informationspflichten aus Artikel 13 (Direkterhebung der Daten bei der betroffenen Person) oder Artikel 14 (Erhebung nicht direkt bei der betroffenen Person).Verträge über die Auftragsverarbeitung sind an die Änderungen in Artikel 28 EU-DSGVO anzupassen.Vorhandene Einwilligungen sind an die erhöhten Anforderungen der EU-DSGVO anzupassen, um sicherzugehen, dass sie auch nach Wirksamwerden der EU-DSGVO fortgelten, insbesondere ist ausdrücklich auf die Möglichkeit des Widerrufs und die Rechtsfolgen eines Widerrufs hinzuweisen.Die vorhandenen technischen und organisatorischen Maßnahmen (TOM) sind anhand des Artikel 32 Abs. 1 EU-DSGVO zu überarbeiten.Die übrigen Verträge und Dokumente sind ebenfalls dahingehend zu prüfen, ob sie nach der EU-DSGVO angepasst werden müssen.Soweit Betriebs- oder Dienstvereinbarungen angepasst werden müssen, ist frühzeitig der Betriebsrat zu informieren und in den Abstimmungsprozess einzugliedern.14.3 Nachweis der Umsetzung EU-DSGVOSpätestens im 1. Quartal 2018 muss der zuvor ermittelte Änderungs- und Anpassungsbedarf umgesetzt werden. Danach muss geprüft werden, ob die Anpassungen tatsächlich vorgenommen worden sind. Die Kontrollen beinhalten im Wesentlichen Folgendes:Im Rahmen eines internen „Audits“ sind die umgestellten Prozesse, Dokumente, Verträge und TOM daraufhin zu überprüfen, ob die Anpassungen an die EU-DSGVO tatsächlich vorgenommen worden sind.Im Rahmen von externen Audits sind insb. Auftragsverarbeiter und Dienstleister daraufhin zu überprüfen, ob sie ebenfalls die geforderten Änderungen vorgenommen haben, die durch die Umstellung auf die EU-DSGVO notwendig waren.Dokumentation der vorgenommenen Anpassungen und Änderungen
Ein Beitrag unserer Kooperationspartnerin Inge Seher. Inge Seher ist Fachanwältin für gewerblichen Rechtsschutz bei Kramer und Partner Rechtsanwälte (http://www.anwaltskanzlei-online.de/) und zertifizierte Datenschutzbeauftragte (TÜV).Der Europäische Gerichtshof (EuGH) hat in dieser Woche für großes Aufsehen gesorgt.Mit Urteil vom 05.06.2018 (Az. C-210/16) entschied der EuGH, dass jeder Facebook-Seitenbetreiber mitverantwortlich für mögliche Datenschutzverstöße von Facebook sei. Es komme nicht darauf an, ob der Facebook-Seitenbetreiber Einfluss auf die personenbezogenen Daten der Besucher habe, noch dass er die personenbezogenen Daten überhaupt nicht kenne. Entscheidend sei allein, dass er eine Facebook-Seite betreibe und somit als Mitverantwortlicher personenbezogene Daten verarbeite. Da Facebook und der Facebook-Seitenbetreiber gemeinsame Verantwortliche sind, ist der Seitenbetreiber, ebenso wie Facebook, auch für die Erfüllung der Informationspflichten und die Ansprüche der Betroffenen mitverantwortlich.Das Urteil des EuGH bezieht sich auf die (alte) Datenschutzrichtlinie (Richtlinie 95/46/EG). Es ist aber davon auszugehen, dass das Urteil auf die DSGVO übertragen werden kann, da es um ähnliche Regelungen in Bezug auf die Mitverantwortlichkeit geht.Unternehmen, die eine Facebook-Seite betreiben, wird diese Entscheidung hart treffen. Denn sie haben keinen Einfluss auf die Verarbeitung der personenbezogenen Daten durch Facebook, haften aber als Mitverantwortliche und müssen somit mit Abmahnungen, Bußgeldern oder sogar Auskunftsersuchen der Betroffenen rechnen. Facebook ist für die Datenschutzbehörden ein rotes Tuch und es ist damit zu rechnen, dass die Datenschutzbehörden diese Entscheidung zum Anlass nehmen, weitere Datenschutzverstöße durch Facebook direkt bei dem Seitenbetreiber zu sanktionieren. Auch hierfür hat der EuGH in seinem Urteil Tür und Tor eröffnet.Wir sparen uns an dieser Stelle Ausführungen dazu, worum es bei dem Streit eigentlich ging. Klar ist, dass jeder betroffen ist, der eine Facebook-Seite betreibt, insbesondere zu gewerblichen Zwecken.Die Frage ist jetzt: Wie gehen wir mit dieser Entscheidung um?1. Müssen Sie sofort handeln?Bei der Entscheidung des EuGH handelt es sich um eine Entscheidung zu einer Vorlagefrage des Bundesverwaltungsgerichts. Das Bundesverwaltungsgericht hat dem EuGH Fragen zur Datenschutzrichtlinie gestellt, um ein endgültiges Urteil in einem Rechtstreit zwischen der Datenschutzbehörde Schleswig-Holstein und dem Unternehmen „Wirtschaftsakademie Schleswig-Holstein GmbH“ zu entscheiden.Das bedeutet, dass nun das BVerwG unter Bezugnahme der Entscheidung des EuGH ein endgültiges Urteil fällen wird. Das Gericht muss die EuGH-Entscheidung dabei auf den Einzelfall des Rechtsstreits anwenden. Hierbei zählt nicht allein, ob ein Facebook-Seitenbetreiber für mögliche Datenschutzverstöße durch Facebook haftet, sondern, ob Facebook auch tatsächlich Datenschutzverstöße vornimmt.Auf das Urteil des BVerwG zu warten, wäre meines Erachtens aber ein Spiel mit der Zeit. Denn in dem Urteil geht es noch um die alte Rechtslage. Die neue Rechtslage unter der DSGVO ist weit schärfer und gefährlicher.2. Begeht Facebook überhaupt Datenschutzverstöße, für die Sie mithaften?Viele Punkte, die die DSGVO vorschreibt, werden von Facebook nicht umgesetzt. Das offensichtlichste Beispiel ist die intransparente Datenschutzerklärung (verschachtelte Sätze, keine konkreten Angaben), wo doch die DSGVO vorschreibt, den Betroffenen so transparent wie möglich aufzuklären. So heißt es bei Facebook zum Thema „Wie verarbeiten und übermitteln wir Daten im Rahmen unserer globalen Dienste? Wir teilen Informationen weltweit, sowohl intern zwischen den Facebook-Unternehmen als auch extern mit unseren Partnern sowie mit denen, mit denen du dich auf der ganzen Welt verbindest und mit denen du etwas teilst…“ Wer die externen Partner sind, bleibt Facebooks Geheimnis. Wozu die Daten weitergeben werden, wird auch nicht näher erläutert.Der EuGH hat sich klar ausgedrückt. Wenn Sie als Facebook-Seitenbetreiber mitverantwortlich für die Datenverarbeitung und die damit einhergehenden Pflichten nach der DSGVO sind, dann verstoßen auch Sie gegen die Informationspflichten gegenüber den Betroffenen. Wenn Sie rechtssicher sein wollen, müssten Sie eine transparente Datenschutzerklärung für die Facebook-Seitennutzer abgeben, in der Sie erklären, wie Facebook mit den jeweiligen personenbezogenen Daten umgeht. Das können Sie nicht? Dann wird es auch nichts mit dem rechtssicheren Betreiben einer Facebook-Seite.3. Was kann passieren? (Risikoabwägung, falls Sie auf die Facebook-Seite nicht verzichten wollen)Ich bin der Auffassung, dass die Aufsichtsbehörden mit dem Betreiben einer Facebook-Seite einen klaren Verstoß gegen die DSGVO sehen werden und somit, unter Berufung auf die Entscheidung des EuGH, Verwarnungen bzw. Untersagungsverfügungen aussprechen oder sogar Bußgelder verhängen werden.Und angesichts unserer abmahnfreudigen Gesellschaft ist auch damit zu rechnen, dass Abmahnungen von Wettbewerbern ausgesprochen werden. Denn das Risiko eines solchen Unternehmens ist denkbar gering. Eine einstweilige Verfügung vor einem Gericht ist schnell beantragt. Die Gerichte erlassen, auch wenn ich es für juristisch bedenklich halte, oft ohne weitere Prüfung eine einstweilige Verfügung, welche dann im Raum steht. Dann muss das abgemahnte Unternehmen erst mal Geld in die Hand nehmen, um die einstweilige Verfügung aus der Welt zu schaffen. In diesem Fall ist es nicht selten, dass die Entscheidung erst in der Berufungsinstanz aufgehoben wird (wenn überhaupt).Auch kann es passieren, dass Betroffene plötzlich von ihrem Auskunftsrecht Gebrauch machen. Hier allerdings dürfte schnell Abhilfe geschaffen werden können. Sie als Facebook-Seitenbetreiber haben keine Daten und müssten somit auf den Mitverantwortlichen, nämlich Facebook, verweisen.4. Worauf läuft das alles hinaus?Es ist ein leidiges Thema und für die Unternehmen eine sehr schlechte Entscheidung des EuGH. Meiner Meinung nach wird es darauf hinauslaufen, dass das Betreiben von Social-Media-Seiten für viele Unternehmen ein zu großes Risiko darstellt. Andere Unternehmen werden es vielleicht aus wirtschaftlichen Gründen und unter Abwägung des finanziellen Risikos zunächst darauf ankommen lassen. Facebook wird entweder einlenken und transparenter über die Verarbeitung der Daten aufklären, oder ein neues System einführen, um zu versuchen, die Datenschutzpflichten weiterhin zu umgehen.5. Was ist mit Social Plugins?Hier wird es in naher Zukunft ebenfalls eine Entscheidung des EuGH geben. Wir halten Sie auf dem Laufenden.Und hier ein paar Ausschnitte aus dem Urteil zu den Fragen:In welchem Umfang sammelt Facebook personenbezogene Daten?33 Wie aus den dem Gerichtshof vorgelegten Akten hervorgeht, erfolgt die im Ausgangsverfahren in Rede stehende Datenverarbeitung im Wesentlichen in der Weise, dass Facebook auf dem Computer oder jedem anderen Gerät der Personen, die die Fanpage besucht haben, Cookies platziert, die die Speicherung von Informationen in den Web-Browsern bezwecken und für die Dauer von zwei Jahren wirksam bleiben, sofern sie nicht gelöscht werden. Außerdem geht aus den Akten hervor, dass in der Praxis Facebook die in den Cookies gespeicherten Informationen empfängt, aufzeichnet und verarbeitet, insbesondere wenn eine Person die „Facebook-Dienste, Dienste, die von anderen Mitgliedern der Facebook-Unternehmensgruppe bereitgestellt werden, und Dienste, die von anderen Unternehmen bereitgestellt werden, die die Facebook-Dienste nutzen“, besucht. Außerdem können andere Stellen wie Facebook-Partner oder sogar Dritte „auf den Facebook-Diensten Cookies verwenden, um [diesem sozialen Netzwerk direkt] bzw. den auf Facebook werbenden Unternehmen Dienstleistungen bereitzustellen“.34 Diese Verarbeitungen personenbezogener Daten sollen u. a. zum einen Facebook ermöglichen, sein System der Werbung, die es über sein Netzwerk verbreitet, zu verbessern. Zum anderen sollen sie dem Betreiber der Fanpage ermöglichen, zum Zweck der Steuerung der Vermarktung seiner Tätigkeit Statistiken, die Facebook aufgrund der Besuche dieser Seite erstellt, zu erhalten, die es ihm beispielsweise ermöglichen, Kenntnis von den Profilen der Besucher zu erlangen, die seine Fanpage schätzen oder die seine Anwendungen nutzen, um ihnen relevantere Inhalte bereitstellen und Funktionen entwickeln zu können, die für sie von größerem Interesse sein könnten.35 Auch wenn der bloße Umstand der Nutzung eines sozialen Netzwerks wie Facebook für sich genommen einen Facebook-Nutzer nicht für die von diesem Netzwerk vorgenommene Verarbeitung personenbezogener Daten mitverantwortlich macht, ist indes darauf hinzuweisen, dass der Betreiber einer auf Facebook unterhaltenen Fanpage mit der Einrichtung einer solchen Seite Facebook die Möglichkeit gibt, auf dem Computer oder jedem anderen Gerät der Person, die seine Fanpage besucht hat, Cookies zu platzieren, unabhängig davon, ob diese Person über ein Facebook-Konto verfügt. Warum haftet ein Facebook-Seitenbetreiber für die Verarbeitung der personenbezogenen Daten mit?36 In diesem Rahmen geht aus den dem Gerichtshof unterbreiteten Angaben hervor, dass die Einrichtung einer Fanpage auf Facebook von Seiten ihres Betreibers eine Parametrierung u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten impliziert, die sich auf die Verarbeitung personenbezogener Daten zum Zweck der Erstellung der aufgrund der Besuche der Fanpage erstellten Statistiken auswirkt. Mit Hilfe von durch Facebook zur Verfügung gestellten Filtern kann der Betreiber die Kriterien festlegen, nach denen diese Statistiken erstellt werden sollen, und sogar die Kategorien von Personen bezeichnen, deren personenbezogene Daten von Facebook ausgewertet werden. Folglich trägt der Betreiber einer auf Facebook unterhaltenen Fanpage zur Verarbeitung der personenbezogenen Daten der Besucher seiner Seite bei.37 Insbesondere kann der Fanpage-Betreiber demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen, so u. a. Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation, Informationen über den Lebensstil und die Interessen seiner Zielgruppe und Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite, die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren, sowie geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind, und ihm ganz allgemein ermöglichen, sein Informationsangebot so zielgerichtet wie möglich zu gestalten.38 Zwar werden die von Facebook erstellten Besucherstatistiken ausschließlich in anonymisierter Form an den Betreiber der Fanpage übermittelt, jedoch beruht die Erstellung dieser Statistiken auf der vorhergehenden Erhebung – durch die von Facebook auf dem Computer oder jedem anderen Gerät der Personen, die diese Seite besucht haben, gesetzten Cookies – und der Verarbeitung der personenbezogenen Daten dieser Besucher für diese statistischen Zwecke. Die Richtlinie 95/46 verlangt jedenfalls nicht, dass bei einer gemeinsamen Verantwortlichkeit mehrerer Betreiber für dieselbe Verarbeitung jeder Zugang zu den betreffenden personenbezogenen Daten hat.39 Unter diesen Umständen ist festzustellen, dass der Betreiber einer auf Facebook unterhaltenen Fanpage wie die Wirtschaftsakademie durch die von ihm vorgenommene Parametrierung u. a. entsprechend seinem Zielpublikum sowie den Zielen der Steuerung oder Förderung seiner Tätigkeiten an der Entscheidung über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten der Besucher seiner Fanpage beteiligt ist. Daher ist der Betreiber im vorliegenden Fall als in der Union gemeinsam mit Facebook Ireland für diese Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 einzustufen.

References: § 4
 Art. 38
 § 4
 § 9
 § 35
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 2