Source: https://www.mailjet.de/dsgvo/
Timestamp: 2018-05-20 19:28:24+00:00

Document:
DSGVO: Alles, was Sie wissen müssen
DSGVO: Das Wichtigste auf einem Blick
Alle Antworten auf die grundlegenden Fragen
Macht die EU-Datenschutz-Grundverordnung einen Unterschied bei B2B und B2C?
Warum sollte ich DSGVO-konform sein? Was sind die genauen Vorteile?
Wo gilt die Datenschutz-Grundverordnung (DSGVO)?
Was ist geblieben? Welche Regeln gelten unter der Datenschutz-Grundverordnung weiterhin?
Was passiert, wenn mit Drittanbietern zusammenarbeite? Kann ich diese weiterhin nutzen?
Wie verhält es sich mit US-Unternehmen, die ihre Daten in den USA speichern?
Wie kann ich sichergehen, dass die Drittanbieter, mit denen ich zusammenarbeite DSGVO-konform sind?
Gibt es ein Zertifikat, das bescheinigt, dass man DSGVO-konform ist?
Reicht eine starke Firewall unter DSGVO aus, um die Daten zu schützen oder müssen auch Datenbanken verschlüsselt werden?
Wie genau wirkt sich die DSGVO auf das E-Mail Marketing aus?
Ist das Profiling unter der DSGVO erlaubt?
Welche Strafen drohen bei Datenschutzverstöße?
Ist Mailjet DSGVO-konform?
Die Datenschutz-Grundverordnung (DSGVO), englisch General Data Protection Regulation
(GDPR), ist eine vom Europäischen Parlament, dem Rat der Europäischen Union und die Europäische Kommission beschlossene Verordnung mit dem Ziel, die Rechte für EU-Bürger hinsichtlich des Datenschutzes zu stärken und zu vereinheitlichen. Konkrete Ziele sind:
Die DSGVO unterscheidet nicht zwischen B2B und B2C, sondern gilt nach Art. 2 Abs. 1 für beide gleichermaßen. Hintergrund dafür ist, dass die Datenschutz-Grundverordnung dem Schutz natürlicher Personen statt juristischer Personen gilt. Da jedoch die Versendung von Werbemitteln an B2B-Adressen in den meisten Fällen direkt an Funktionsträger der juristischen Personen, sprich personenbezogen erfolgt, finder die neue EU-Datenschutz-Grundverordnung auch hier Anwendung, sofern konkrete Personen wie Mitarbeiter angesprochen werden.
DSGVO-konform zu sein, hat abgesehen von keiner Strafzahlung zahlreiche Vorteile:
Sie geben Ihren Kunden/Empfängern die Kontrolle über ihre Daten
Stellt Ihre Kunden an die erste Stelle
Bessere Markenreputation
Mehr Empfänger, Kunden und Umsatz
Der Text der DSGVO wurden im Mai 2016 im Amtsblatt der Europäischen Union veröffentlicht. Die Verordnung tritt am 20.Tag nach ihrer Veröffentlichung in Kraft, gilt jedoch verbindlich und unmittelbar erst ab dem 25. Mai 2018 in allen EU-Mitgliedstaaten. Einer Verlängerung der Übergangsfrist ist nicht geplant.
Der Räumliche Anwendungsbereich ist in Art. 3 DSGVO geregelt. Darin heißt es, dass die Datenschutz-Grundverordnung für alle 28 EU-Mitgliedsstaaten und für Unternehmen und Organisationen außerhalb der EU gilt, sofern die Datenverarbeitung EU-Bürgerinnen und Bürger betrifft. Es ist unerheblich, ob die betreffende Person sich kurz- oder längerfristig in der EU aufhält. Die Staatsangehörigkeit oder der Status als Unionsbürger spielt hier keine Rolle. Dieser räumliche Anwendungsbereich ist nachträglich vertraglich nicht änderbar.
Auch ist es unerheblich, welche Art Dienstleistung oder Produkte Unternehmen oder Organisationen anbieten. Entscheidend ist allein, ob hier personenbezogene Daten von EU-Bürgerinnen und Bürgern erhoben und verarbeitet werden.
Nicht alles wird sich unter der neuen EU-DSGVO ändern. Folgende Bestimmungen gelten auch weiterhin:
Das primäre Ziel, die Grundrechte und Grundfreiheiten von natürlichen Person zu schützen, bleibt bestehen. Insbesondere das Recht auf informationelle Selbstbestimmung bleibt unberührt.
Das zweite Grundsatz, dass keine personenbezogenen Daten erhoben oder verarbeitet werden dürfen, solange eine Rechtsvorschrift etwas Anderes bestimmt, bleibt in Kraft. Ausnahmen werden weiterhin streng reguliert.
Was wird sich mit der neuen DSGVO konkret ändern?
Das sind die 8 Schlüsseländerungen:
Eindeutige Definition von personenbezogenen Daten: Sämtliche Daten, die der Identifizierung einer Person dient
Ausdrückliche Zustimmung erforderlich
Information, welche Daten wo und seit wann gespeichert werden
Konkretere Bestimmung wann ein Datenschutzbeauftragter zu ernennen ist.
Übermittlung der Daten an betroffene Personen, Kontrolle ihrer Daten
Strengere technische und organisatorische Maßnahme
Was passiert, wenn ich mit Drittanbietern zusammenarbeite? Kann ich diese weiterhin nutzen?
Die DSGVO gilt nicht nur für Unternehmen, die die Daten speichern sondern auch für diejenigen die diese Daten verarbeiten. Ihr Unternehmen wird laut Datenschutzgrundverordnung als Datenverarbeiter angesehen und trägt somit die gleiche Verantwortung wie ein Lösungsanbieter, der die Daten speichert.
Wichtig: Sofern der von Ihnen genutzte Drittanbieter nicht DSGVO konform ist, so gelten Sie automatisch auch nicht als konform. In diesem Fall drohen Ihnen die gleichen Strafen.
Des Weiteren gilt: Wenn Sie Daten an Dritte weitergeben, müssen die Einwilligung der betroffenen Personen erlangen, die es Ihnen erlaubt, Daten an diese Drittanbieter zu übermitteln. Eine einfache Zustimmung einer Weitergabe der Daten an die “ Kategorie: Dritte” reicht für die neue DSGVO nicht aus.
Wie verhält es sich mit US-Unternehmen, die ihre Daten in den USA speichern und unter Privacy Shield operieren Sind diese DSGVO konform?
Wenn Sie mit einem Lösungsanbieter außerhalb Europas arbeiten wird es gemäß der Datenschutz-Grundverordnung zu einer Prüfung der Angemessenheitsanforderungen kommen. Um den Anforderungen gerecht zu werden, müssen sie in ihrer Organisation alle DSGVO Verpflichtungen erfüllen – einschließlich aller technischen und organisatorischen Maßnahmen zur Gewährleistung des Datenschutzes. Sie können sich nicht einfach auf ihre bisherige Zertifizierung verlassen, sondern müssen diese Maßnahmen proaktiv umsetzen (und ihre Prozesse weiter aktualisieren).
Eine Übermittlung personenbezogener Daten an ein Drittland wie etwa die USA oder eine internationale Organisation darf vorgenommen werden, wenn die Europäische Kommission der Meinung ist, das Folgendes erfüllt ist:
Rechtsstaatlichkeit, Achtung der Menschenrechte und Grundfreiheiten
öffentliche und nationale Sicherheit, angewandtes Strafrecht und der Zugang der Behörden zu personenbezogenen Daten
Aufsichtsbehörden, die die Einhaltung aller Rechtsvorschriften und Datenschutzrichtlinien überwacht
Datenschutzvorschriften, Berufsregeln und Sicherheitsvorschriften auch hinsichtlich der Übermittlung personenbezogner Daten an Dritte
Um sicherzustellen, dass Sie unter der DSGVO ordnungsgemäß mit Drittanbietern (CRM, E-Mail Service Provider, Cloudspeicher, Team Messenger etc.) zusammenarbeiten, gehen Sie folgende 8 Schritte:
Schritt 1: Lieferantenliste erstellen. Um einen Überblick zu erhalten, welche Services Sie bereits nutzen oder zukünftig nutzen möchten.
Schritt 2: Weg der Daten während des gesamten Kundenlebenszyklus abbilden. Klären Sie, welche Daten wann zu welchem Drittanbieter gehen.
Schritt 3: Risikobewertung vornehmen. Wie wichtig ist Dienstleister x? Wie hoch ist die Gefahr, dass es zu einer Datenpanne kommt? Erstellen Sie eine Wichtigkeitsliste (Bsp): 1. CRM, 2. E-Mail Service Provider …. 5. Landing Page Builder etc.
Schritt 4: Klärung, ob Datenschutzbeauftragter benötigt wird. Um sich weitere Hilfe mit ins Boot zu holen.
Schritt 5: Prüfung aller Verträge und Einführung neuer Klauseln. Verpflichten Sie Drittanbieter Ihnen sämtliche Unteranbieter sowie jegliche Standorte von Datenzentren aufzulisten, wo die Daten gespeichert und verarbeitet werden.
Schritt 6: Prüfung, ob alle Drittanbieter DSGVO konform sind. Prüfung sowohl von EU- als auch von Nicht-EU Lösungsanbietern.
Schritt 7: Ggf. Wechsel zu DSGVO konformen Drittanbietern Bis 25. Mai 2018. Idealerweise bis Anfang Mai 2018, um ausreichend Zeit zu haben für Schritt 8.
Schritt 8: AV-Vertrag (Auftragsverarbeitungs-Vertrag) abschließen. Schließen Sie strenge Vertraulichkeits-, Datenschutz- und Datenresidenzklauseln mit den Drittanbietern ab. Im AV-Vertrag sollten folgende Fragen beantwortet sein:
Wo sind die Daten und Anwendungen gespeichert?
Sind diese Daten jemals aus der EEA gezogen worden?
Werden jemals Daten zwischen Rechenzentren außerhalb der EU übertragen?
Informieren Sie mich immer, wenn meine Daten übertragen werden?
Welche Datenkontrollen und Risikomanagementprozesse haben Sie?
Wie verwalten Sie den Freigabeprozess auf Ihrer Plattform, um ein angemessenes Datenschutzniveau zu gewährleisten?
Wer kann auf meine Daten zugreifen, unter welchen Umständen und was können sie sehen? Wird dieser Zugriff verfolgt?
Kann ich Ihre Sicherheit und technische Maßnahmen zum Schutz der Daten prüfen?
Verfügen Sie über einen Prozess, der Sie über Sicherheitsverstöße informiert?
Welche Maßnahmen ergreifen Sie, um ab Mai 2018 DSGVO-konform handeln zu können?
Es wird einen Zertifizierungsprozess geben und Unternehmen, die diese Zertifizierung anbieten. Ein solches Zertifikat ist in der neuen Verordnung vorgesehen. Doch zum jetzigen Zeitpunkt warten wir noch auf eine solche spezifische Genehmigung, die die Datenüberwachungsbehörden an Drittfirmen erteilen.
Das Ausfüllen von Kontaktformularen (Contact us forms) ist ein klassisches Anwendungsfall bei der Sammlung von personenbezogenen Daten. Streng genommen sollte das Formular selbst nur die erforderlichen Informationen anfragen, die für eine ordnungsgemäße Bearbeitung erforderlich sind. Sie sollten klar und transparent formulieren, dass das Formular nur für den Kontakt selbst und nicht für andere Zwecke verwendet wird. Sprich, ein Extrahieren der Daten zu anderen Zwecken, wie etwa Zusenden von Info-Post und Marketing E-Mails ist nicht zulässig.
Im Allgemeinen reicht eine starke Firewall nicht aus. Um die Sicherheit aufrechtzuerhalten und eine Verarbeitung zu verhindern, die einen Verstoß gegen die Datenschutz-Grundverordnung darstellt, sollten Sie Maßnahmen zur Minderung dieser Risiken, wie z. B. Verschlüsselung, ergreifen. Diese Maßnahmen sollten ein angemessenes Sicherheitsniveau, einschließlich der Vertraulichkeit, gewährleisten, wobei die Risiken und die Art der zu schützenden personenbezogenen Daten zu berücksichtigen sind.
Für das E-Mail Marketing greifen DSGVO und zukünftig ePrivacy Richtlinie. Die EU Richtlinie wird dabei in nationales Recht umgesetzt bzw. bestätigt: §7 UGW Unzumutbare Belästigungen:
Es macht datenschutzrechtlich keinen Unterschied, ob Sie E-Mail Kontaktlisten bei einem Drittanbieter speichern oder ob Sie diese auf Ihren eigenen Server speichern, zum Versand aber einen Drittanbeter nutzen.
Folgendes sollten Sie unter DSGVO vermeiden:
DON’T: Keine Versand von systematischen werblichen E-Mails jeglicher Art ohne Einwilligung. Gilt auch bei Kaltakquise.
DON’T: Soft Opt-in: Vorausgefüllte Ankreuzkästchen, bei dem der Nutzer den gesetzten Haken bei Desinteresse entfernen muss.
DON’T: Keine Verwendung von gekauften oder getauschten E-Mail Listen
Praktizieren Sie stattdessen Folgendes:
DO: Die Zustimmungserklärung ist prominent und von den Allgemeinen Geschäftsbedingungen getrennt
DO: Aktive Bitte sich in den Newsletter anzumelden
DO: Keine Verwendung von voreingestellten Kästchen oder andere Arten von Einverständniserklärungen
DO: Eindeutige und leicht verständliche Formulierungen
DO: Angabe über den Grund der Datensammlung sowie dessen geplante Nutzung
DO: Vorhandensein von granularen Optionen für die Zustimmung zu unabhängigen Verarbeitungsvorgängen
DO: Nennung der Parteien wo die Daten gespeichert werden (eigenes Unternehmen sowie ggf. Drittparteien)
DO: Kommunikation, dass die Einwilligung jederzeit widerrufen werden kann
DO: Sicherstellung, dass beim Widerruf der Nutzer keine Nachteile erwartet
DO: Sicherstellung, dass die Einwilligung keine Voraussetzung für eine Dienstleistung ist
DO: Bei Online-Dienste für Kinder: Maßnahmen zur Altersverifizierung und Zustimmung der Eltern
Der Widerruf der Einwilligung sollte so einfach wie möglich sein:
Opt-out zu jedem Zeitpunkt
Barrierefreier Ein-Schritt-Prozess max. Zwei-Schritt-Prozess
Wenn möglich, gleiche Methode wie bei der Einwilligung
Möglichkeiten für das Opt-out sind:
Opt-out durch schriftliche Kommunikation
Eine genaue Anleitung finden Sie in dem Artikel: Newsletter-Liste DSGVO-konform aufbauen: So geht’s
Das Profiling beschreibt eine automatisierte Verarbeitung personenbezogener Daten mit dem Ziel, ihr Verhalten vorherzusagen und Entscheidungen darüber zu treffen. Beispiele sind: Automatische Ablehnung eines Online-Kreditantrags, Online-Einstellungsverfahren.
Das Profiling wird in Art. 22 DSGVO erfasst:
„Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“ (Art 22 Abs. 1, DSGVO)
DON’T: Profiling bei unter 16-Jährige: Kinder verdienen einen besonderen Schutz in Bezug auf ihre persönlichen Daten (da sie eine verletzlichere Gruppe darstellen).
Datenschutzverstöße werden ab dem 25. Mai 2018 stärker bestraft. Die Höchststrafe für Unternehmen und Organisationen bei Nichteinhaltung der Datenschutz-Grundverordnung kann nach Art. 83 (5) DSGVO bis zu 20 Mio. € oder 4% des jährlichen weltweiten Umsatzes betragen, je nachdem welcher Wert größer ist. Es gibt nach Art. 83 (4) DSGVO einen abgestuften Ansatz zu Geldstrafen, z.B. Ein Unternehmen kann mit 2% verurteilt werden, weil er seine Aufzeichnungen nicht in der richtigen Reihenfolge hat (Artikel 28), ohne die Überwachungsbehörde darüber zu benachrichtigen und die Betroffenen über einen Verstoß ausreichend zu informieren oder keine Folgenabschätzung durchzuführen.
Ja, Mailjet ist seit Dezember 2017 EU DSGVO-konform.
Wir respektieren das Recht auf Information, auf Änderung, auf Datenübertragbarkeit und das Recht, vergessen zu werden und können diese Anfragen schnell bearbeiten.
Unser Kunde oder der Betroffene kann über unsere Webseite ein Support-Ticket eröffnen oder eine E-Mail Anfrage an uns senden: privacy@mailjet.com. Wir antworten direkt auf die Anfrage und informieren unsere Kunden, falls sie betroffen sind.
Wie bereiten Sie sich auf die DSGVO vor?
Wie arbeitet man mit Drittanbietern / Lösungsanbietern unter DSGVO?
EU Datenschutz-Grundverordnung und E-Mail Marketing
EU-Datenschutz-Grundverordnung und Zustimmung
Mailjet`s Verpflichtung zum Datenschutz

References: Art. 2
 Art. 3
 §7
 Art. 22
 Art. 83
 Art. 83