Neuer US-Angemessenheitsbeschluss für den Datenverkehr zwischen der EU und der USA

Trans-Atlantic Data Privacy Framework

Neuer US-Angemessenheitsbeschluss für den Datenverkehr zwischen der EU und der USA

Trans-Atlantic Data Privacy Framework

Trotz Kritiken am Data Privacy Framework – die EU Kommission erklärt die USA als sicheres Drittland

Einleitung

 

Die Europäische Kommission hat am 10. Juli 2023 den neuen Angemessenheitsbeschluss Trans-Atlantic Data Privacy Framework für den Datenschutzrahmen EU-USA angenommen.

Die Europäische Kommission hat beschlossen, dass es sich bei den Vereinigten Staaten um ein Drittland mit gleichwertigem Schutzniveau für personenbezogene Daten, vergleichbar mit dem der EU, handelt und damit weitere Schutzmaßnahmen bei der Datenübermittlung entfallen, wenn das jeweilige US-Unternehmen sich dem Datenschutzrahmen anschließt, mithin die Einhaltung der Datenschutzpflichten gewährleistet. Laut Kommissionspräsidentin Ursula von der Leyen führe das auf beiden Seiten zu mehr Rechtssicherheit.

Was ist neu?

Der Zugang der US-Nachrichtendienste auf EU-Daten bleibe dabei, laut Kommission, auf ein notwendiges und verhältnismäßiges Maß beschränkt. Was darunter zu verstehen ist, wird nicht konkretisiert. Als Rechtsbehelfe bzw. überprüfende Stellen bei nicht ordnungsgemäßer Behandlung der Daten durch US-Unternehmen sind ein Civil Liberties Protecition Officer (CLPO) und ein Gericht zur Datenschutzüberprüfung (Data Protection Review Court, DPRC) vorgesehen, an die Einzelpersonen sich wenden können. Das Gericht soll feststellen, ob bei der Datenerhebung gegen Garantien verstoßen wurde und kann die Löschung der Daten anordnen. Ob Verstöße festgestellt wurden und Abhilfemaßnahmen getroffen wurden, wird dem Beschwerdeführer nicht mitgeteilt.

US-Unternehmen können sich dem Data Privacy Framework anschließen, indem sie sich verpflichten, bestimmte Datenschutzgrundsätze zu wahren, wie beispielweise die Löschung personenbezogener Daten bei Wegfall des Zwecks der Erhebung. Auf der Website der US International Trade Administration, US Department of Commerce (www.dataprivacyframework.gov/s/data-protection-authorities), kann eingesehen werden, welche Unternehmen sich dem Data Privacy Framework unterworfen haben.

Die Webseite befindet sich zum Zeitpunkt der Veröffentlichung noch teilweise im Aufbau und noch sind keine zertifizierten US-Unternehmen veröffentlicht. Wie schnell der Zertifizierungsprozess vonstattengeht, wird sich in den nächsten Wochen zeigen und ob bereits dann erste US-Unternehmen in der Zertifizierten-Liste veröffentlicht sind.

Bedeutung für europäische Unternehmen

Für europäische Unternehmen bedeutet der US-Angemessenheitsbeschluss, dass keine zusätzlichen Standardvertragsklauseln mehr nötig wären, sofern sie unter dem US-Angemessenheitsbeschluss zertifizierte US-Unternehmen als Dienstleister verwenden. In praktischer Hinsicht bedeutet das eine Erweiterung der Auswahl an (zertifizierten) Dienstleistern und die Vereinfachung von Vertragsverhandlungen.

Kritik und Ausblicke

Die Nichtregierungsorganisation None of Your Business („NOYB“) kündigte bereits an schon Verfahrensoptionen vorbereitet zu haben. Der Vorsitzende Max Schrems, österreichischer Jurist und Datenschutzaktivist sowie Anlassgeber der Schrems I und Schrems II Urteile, kritisiert den Angemessenheitsbeschluss und bezeichnet ihn als Kopie des „Privacy Shields“ und „Safe Harbour“ – die vorangegangenen und durch den EuGH aufgehobenen US-Angemessenheitsentscheidungen aus 2015 und 2020.

Er wirft der Europäischen Kommission vor, keine substanziellen Änderungen zu beabsichtigen, sondern basierend auf kurzfristigem politischem Denken zu handeln und damit zum dritten Mal die Urteile des Europäischen Gerichtshof (EuGH) zu ignorieren. Auch hat der EuGH das Massenüberwachungssystem der USA (FISA 702) als nicht verhältnismäßig und als Verstoß gegen die EU-Grundrechtscharta erklärt. Wenngleich die neue Executive Order 14086, die Grundvoraussetzung für den Angemessenheitsbeschluss war, nunmehr eine Verhältnismäßigkeit fordert, so ist zu befürchten, dass aufgrund einer fehlenden gemeinsamen Definition abweichende Verständnisse des Begriffes Verhältnismäßigkeit von EU und USA vorliegen werden, die zu abweichenden Bewertungen einzelner Maßnahmen, auch im Lichte der EuGH-Rechtsprechung, führen werden.

Bei einer erfolgreichen Anfechtung könnte der EuGH das Abkommen während des gesamten Verfahrens aussetzen. Mit einer endgültigen Entscheidung kann dann erst 2024 oder 2025 gerechnet werden.

Empfehlungen für europäische Unternehmen

Bis auf weiteres sollten Standardvertragsklauseln mit US-Unternehmen beibehalten werden, soweit diese nicht zertifiziert sind. Jedoch können Datenschutzerklärungen dahingehend angepasst werden, dass der Abschnitt über die Vereinigten Staaten als unsicheres Drittland entfernt werden kann. Ein Hinweis auf die Standardvertragsklausel sollte jedoch bis zur Zertifizierung des Dienstleisters erhalten bleiben. Sollte der Angemessenheitsbeschluss nach Ankündigung der Organisation „NOYB“ erneut vor dem EuGH landen und dann für unzureichend erklärt werden, hätte dies wieder zur Folge, dass personenbezogen Daten in unzulässigerweise an US-Dienstleister übermittelt wurden. Deshalb ist es ratsam, bis zur endgültigen Klärung beim EuGH weiterhin Standardvertragsklauseln für die Datenübermittlung zu verwenden.

 

Frühere Artikel zu diesem Thema finden Sie hier:

Der EDSA und das Trans-Atlantic Data Privacy Framework (Teil 1)

Der EDSA und das Trans-Atlantic Data Privacy Framework (Teil 2)

 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Der EDSA und das Trans-Atlantic Data Privacy Framework (2)

Trans-Atlantic Data Privacy Framework

Der EDSA und das Trans-Atlantic Data Privacy Framework (2)

Trans-Atlantic Data Privacy Framework

Kann auf Basis der derzeitigen Data Privacy Framework Prinzipien eine Angemessenheitsentscheidung ergehen?

Einleitung

In unserem ersten Artikel der kurzen Beitragsreihe vom 29.03.2023 sind wir bereits auf die Kritikpunkte des Europäischen Datenschutzausschusses („EDSA“) am Entwurf des Angemessenheitsbeschlusses („Data Privacy Framework“) eingegangen.

Im Nachfolgenden möchten wir noch tiefer ins Detail gehen und weitere aufgekommene Kritiken anderer Stellen vorstellen.

Kurzer Rückblick: was ist und soll das Data Privacy Framework?

Grundsätzlich sieht das Data Privacy Framework („DPF“) eine Vielzahl von Grundsätzen und Regeln vor, um ein angemessenes Datenschutzniveau bei der Übermittlung von personenbezogen Daten zu gewährleisten. Die neuen Grundsätze sind, ebenso wie die vorherigen Safe Harbor Prinzipien und die Privacy Shield Prinzipien, an der Datenschutz-Grundverordnung orientiert und sollen ein mit der EU vergleichbares Datenschutzniveau herstellen.

Die Grundsätze wurden in Absprache von der Europäischen Kommission, der Industrie und anderen Interessengruppen entwickelt und werden als die „Schlüsselkomponente“ („key component“) des DPF beschrieben.

Sie sollen einerseits einen „praktischen Regelungsmechanismus“ („ready-to-use mechanism“) für die Datenübermittlungen aus der EU an die USA bieten, andererseits sollen die so übermittelten personenbezogene Daten gemäß EU-Rechtsvorschriften gesichert und geschützt werden. Man könnte also sagen, dass es sich bei den Grundsätzen um eine „light“-Version der Rechte und Pflichten der DS-GVO handelt.

An den Grundsätzen gibt es jedoch durchaus berechtigte Kritik, vor allem von Seiten des EDSA sowie von Mitgliedern des Europäischen Parlaments (MdEPs).

Wenngleich der EDSA die zahlreichen Aktualisierungen der Grundsätze für die Verarbeitung personenbezogener Daten begrüßt, so stellt er doch auch fest, dass eine Reihe von Grundsätzen im Wesentlichen die gleichen geblieben sind wie sie es bereits bei Safe Harbor und dem Privacy Shield waren (Article 29 Working Party, Opinion 01/2016 on the EU – U.S. Privacy Shield draft adequacy decision).

Aus diesem Grund bleiben auch weiterhin einige Kritikpunkte bestehen, die bereits bei Safe Harbor und Privacy Shield bestanden, wie z.B. die Ausnahmen vom Auskunftsrecht, das Fehlen von Schlüsseldefinitionen oder die mangelnde Klarheit darüber, wie die Grundsätze auf Auftragsverarbeiter anzuwenden sind.

Darüber hinaus fordert der EDSA die Kommission direkt auf, konkreter zu werden. Es soll unter anderem eine klare Begrenzung für Ausnahmen von der Pflicht zur Einhaltung der Grundsätze geben.

Weiterhin wird in der Stellungnahme auch betont, wie wichtig eine wirksame Aufsicht und Durchsetzung des Datenschutzschildes in den USA ist.

Auch kündigt der EDSA an, die Wirksamkeit der neu geschaffenen Rechtsbehelfe, die den betroffenen Personen zur Verfügung stehen, genau beobachten zu wollen.

Gleichzeitig bringt der EDSA auch eine gewisse Besorgnis zum Ausdruck, unter anderem über die mögliche Massenerfassung von Daten oder über die mangelnde Überwachung, wenn es um die Frage der Einhaltung der Anforderungen der DSGVO gehe.

Insgesamt sieht der EDSA aber noch Klärungsbedarf vor allem, was die praktische Umsetzung angeht.

Dieser durchaus kritischen Haltung haben sich nun auch die MdEP in ihrer im April erschienenen Stellungnahme (s. Pressemitteilung vom 13.04.2023 und Resolution vom 11.05.2023) angeschlossen. Sie teilten ebenfalls die Ansicht, dass das vorgeschlagene DPF zwar eine Verbesserung im Vergleich zu den früheren Mechanismen darstelle, aber nicht ausreicht, um eine Angemessenheitsentscheidung für die Übermittlung personenbezogener Daten zu rechtfertigen.

Sie haben mit ihren Äußerungen klar zum Ausdruck gebracht, dass die Europäische Kommission den USA auf dieser Basis keinen Angemessenheitsbeschluss erlassen solle.

Wie der EDSA weisen auch die MdEP darauf hin, dass die neue Verordnung keine ausreichenden Garantien für eine Übermittlung bietet.

Die Mitglieder schließen sich im Wesentlichen den bereits von der EDSA vorgetragenen Kritikpunkten an, wie der bestehenden Möglichkeit der massenhaften Sammlung personenbezogener Daten, der Möglichkeit des Zugriffs von US-Behörden auf personenbezogene Daten von EU-Bürgern oder dem Umstand, dass die Entscheidungen des mit der US Executive Order (14086) geschaffenen Gerichts für den Betroffenen oberflächlich und intransparent bleiben und somit das Recht auf Auskunft und Berichtigung verletzen.

Die MdEP empfehlen eine Rahmenregelung zu finden, die den rechtsicheren Datentransfer zwischen der EU und den USA gewährleistet. Insbesondere solle mehr Rechtssicherheit statt mehr Rechtsunsicherheit geschaffen werden. Ein auf wackligen Beinen aufgestelltes DPF würde Gefahr laufen, das Schicksal seiner Vorgänger zu erleiden.  

Auch nach Ansicht von NOYB („None Of Your Business“), dem Europäischen Zentrum für digitale Rechte, würde ein Angemessenheitsbeschluss in seiner jetzigen Form einer Überprüfung durch den EuGH nicht standhalten. Damit würde der Kreislauf der Verhandlungen über einen sicheren Datentransfer zwischen der EU und den USA erneut in Gang gesetzt.

Fazit

Somit bleibt die Frage offen, ob die Europäische Kommission die Angemessenheitsentscheidung für Datenübermittlungen auf der Grundlage des derzeitig in seiner gültigen Fassung vorliegenden DPF trotz der Kritiken von EDSA und MdEP erlassen wird.

Sofern der Angemessenheitsbeschluss ergeht, können sich die europäischen Unternehmen jedoch auf diesen berufen, um Daten in die USA zu übermitteln und dies ohne zusätzliche Datenschutzgarantien einführen zu müssen.

Wir werden Sie über die weiteren Entwicklungen auf dem Laufenden halten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Der EDSA und das Trans-Atlantic Data Privacy Framework (1)

Trans-Atlantic Data Privacy Framework

Stellungnahme des EDSA zum Trans-Atlantic Data Privacy Framework

Trans-Atlantic Data Privacy Framework

Ist Die DS-GVO-konforme Datenübermittlung in die USA bald problemlos möglich? – Teil I

Einleitung

Im ersten Teil der Beitragsreihe wird ein Abstract der unverbindlichen Stellungnahme des Europäischen Datenschutzausschusses (EDSA) zu dem Entwurf des „Trans-Atlantic Data Privacy Framework“ – das neue Datenschutzabkommen zwischen der EU und den USA – dargestellt.  

In den folgenden Beiträgen werden die einzelnen Kritikpunkte mit den geforderten Nachbesserungsbedarf des EDSA detaillierter unter die Lupe genommen. 

Worum geht es? 

US-amerikanische Gesetze erlauben den US-Geheimdienst den Zugriff auf personenbezogene Daten, die aus der EU in die USA übermittelt bzw. dort verarbeitet werden. Personenbezogene Daten genießen in der EU jedoch ein höheres Schutzniveau als in den USA. Deshalb hat der EuGH das EU-US-Datenschutzschild 2020 („Privacy Shield“) im sog. Schrems ll-Fall für ungültig erklärt (Rechtssache C-3111/18). Nach „Safe Harbour“ war das „Privacy Shield“ das zweite Abkommen, welches als Absicherung für die Datenübermittlung in die USA diente. Für einen angemessenen Datenrechtsschutz musste nach dem Kippen dieses zweiten Abkommens also erneut eine neue Regelung her. Auf politischer Ebene einigte man sich daher auf ein neues, drittes Abkommen: das „Data Privacy Framework“, kurz „DPF“. 

Im Oktober 2022 erließ US-Präsident Biden als Ausfluss des neuen EU-US Abkommens eine Verordnung (US Executive Order (EO) 14086), die darauf abzielt, das Datenschutzniveau für alle von Überwachungsmaßnahmen betroffenen Personen zu erhöhen, um insbesondere die EU-Datenschutzanforderungen bei Datenübermittlungen in die USA zu erfüllen. Die EU-Kommission veröffentlichte daraufhin am 13.12.2022 den Entwurf eines Angemessenheitsbeschlusses, um die USA auf Basis der neuen US-Verordnung als sog. Sicheres Drittland zu deklarieren.   

Der Europäische Datenschutzausschuss (EDSA) wurde von der EU-Kommission um Stellungnahme zum Angemessenheitsbeschluss gebeten. Diese Stellungnahme veröffentliche der EDSA am 28.02.2023. In dieser Bewertung geht es insbesondere um die kommerziellen Aspekte als auch um den Zugang zu und um die Verwendung von personenbezogenen Daten aus der EU durch die öffentlichen US-Stellen.  

Obwohl die Bewertung kritische Aspekte aufzeigt, legt die EU-Kommission die Ablehnung des Beschlusses jedoch nicht nahe. Vielmehr empfiehlt der EDSA, dass die geltend gemachten Bedenken berücksichtigt und die Europäische Kommission die geforderten Klarstellungen vornimmt, um die Begründung ihres Entscheidungsentwurfes zu festigen. 

Wie schätzt der EDSA den Angemessenheitsbeschluss insgesamt ein? 

Der EDSA stellt insgesamt fest, dass der US-Rechtsrahmen aufgrund der erlassenen EO 14086 nun konkrete Zwecke benennt, wann Daten erhoben werden dürfen und dass Prinzipien der Verhältnismäßigkeit zu berücksichtigen sind. Aber es bedarf der genauen Überwachung, dass und wie die Anforderungen in der Praxis umgesetzt werden. Dazu gehört auch die Überprüfung der internen Strategien und Verfahren auf Behördenebene. 

Was kritisiert der EDSA am Beschlussentwurf?  

Die Liste ist lang und es lässt sich daraus ableiten, wie der Entwurf einzuschätzen ist. Die wesentlichen Kritikpunkte sind: 

  • Fehlen von detaillierten Informationen über den rechtlichen Kontext in den USA zum besseren Verständnis der DPF-Grundsätze, wie z.B. die fehlende Beschreibung der nach US-Recht geltenden Verpflichtungen zum Schutz der Privatsphäre. 
  • Nach der Verordnung besteht die Möglichkeit, die Pflicht zur Einhaltung der im DPF-genannten Grundsätze einzuschränken. Ohne die vollständige Kenntnis des US-Rechts sowohl auf Bundes- als auch auf Staatsebene, ist der Umfang der Einschränkungsmöglichkeiten im DPF nicht klar erkenntlich, sodass zur Klarstellung des Anwendungsbereichs die Einschränkungen im Beschlussentwurf aufgenommen werden müssen.  
  • Unstrukturierte Anhänge erschweren das Auffinden und Nachschlagen von Informationen. 
  • Uneinheitliche Verwendung von Begriffen wie „Verarbeitung“, kann zu Rechtsunsicherheiten führen. 
  • Es bedarf einer Klarstellung des Umfangs des Auskunftsrechts betroffener Personen sowie die Forderungen dies im Haupttext des Angemessenheitsbeschlusses und nicht nur als ergänzende Erläuterung in den Fußnoten aufzunehmen. 
  • Keine Erläuterungen zur Ausübung des Widerspruchsrecht. 
  • Befreiung von der Vertragspflicht für gruppeninterne Übermittlungen, sodass Weiterübermittlungen von Daten nicht nur für begrenzte und spezifizierte Zwecke auf der Grundlage eines Vertrags zwischen der DPF-Organisation und dem Dritten bzw. einer vergleichbaren Vereinbarung innerhalb einer Unternehmensgruppe erfolgen darf, wenn auch der Dritte zur Einhaltung des Schutzniveau verpflichtet ist.  
  • Fehlende spezifische Schutzmaßnahmen bzgl. der rasanten Entwicklungen im Bereich der automatisierten Entscheidungsfindung und des Profilings – zunehmend mit Hilfe von KI-Technologie. 
  • Überprüfungen der Einhaltung der DPF-Grundsätze beschränken sich auf formale Anforderungen (z.B. ausbleibende Reaktion von benannten Kontaktstellen), obwohl die Überprüfung der Einhaltung der materiellen Anforderungen entscheidend ist.  
  • Fehlende nähere Erläuterung, ob Rechtsbehelfe es der betroffenen Person ermöglichen, Zugang zu den sie betreffenden personenbezogenen Daten zu erhalten oder die Berichtigung oder Löschung dieser Daten zu erwirken. 
  • Fehlende nähere Erläuterungen zu den Grundsätzen und Garantien für die Weiterverwendung von Daten, insbesondere in Bezug auf geltenden Vorschriften und Schutzmaßnahmen für die Weiterübermittlung, Weiterverwendung und Offenlegung personenbezogener Daten, die zu Strafverfolgungszwecken in den USA erhoben und anschließend in Drittländer, auch im Rahmen internationaler Abkommen, übermittelt werden. 
  • Fehlende Definition des Begriffs „Signals Intelligence“ – Informationen, die durch die Erfassung und Analyse der elektronischen Signale und Kommunikationen eines bestimmten Ziels gewonnen werden – in der EO 14086. 
  • Fehlende Abhängigkeit der Annahme des Beschlusses von der Annahme aktualisierter Strategien und Verfahren zur Umsetzung von der EO 14086 durch alle US-Geheimdienste. 
  • Fehlende Klarheit über die Bewertung von geltenden Aufbewahrungsvorschriften für personenbezogene Daten von US-Personen, die so nicht als Maßstab für EU-Personen herangezogen werden können. 
  • Die Möglichkeit in der EO 14086, dass der Präsident der Vereinigten Staaten weitere Ziele in Bezug auf die Verordnung in die Liste aufnehmen kann. 
  • Mangelnde Überprüfung, ob internationale Abkommen mit Drittländern oder internationalen Organisationen bestehen, die besondere Bestimmungen für die internationale Übermittlung personenbezogener Daten durch Nachrichtendienste an Drittländer vorsehen könnten. 

Fazit zur Stellungnahme des EDSA 

Insgesamt nimmt der EDSA positiv zur Kenntnis, dass die EO 14086 im Vergleich zum vorherigen 

Rechtsrahmen wesentliche Verbesserungen bietet, insbesondere im Hinblick auf die Einführung der 

Grundsätze der Notwendigkeit und Verhältnismäßigkeit von datenschutzrechtlichen Eingriffen und des individuellen Rechtsbehelfs für betroffene Personen in der EU.  

In Anbetracht der oben dargestellten Kritikpunkte schlägt der EDSA vor, dass die Bedenken ausgeräumt werden und die EU-Kommission die geforderten Klarstellungen liefert. Dies würde die Begründung des Beschlussentwurfs festigen und eine genaue Überwachung der konkreten Umsetzung dieses neuen Rechtsrahmens, insbesondere der darin vorgesehenen Garantien, in den künftigen gemeinsamen Überprüfungen sicherstellen. 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Sonderkündigungsschutz für Datenschutzbeauftragte

Sonderkündigungsschutz für Datenschutzbeauftragte

Die ordentliche Kündigung eines internen Datenschutzbeauftragten ist nicht möglich.

Sonderkündigungsschutz für Datenschutzbeauftragte

Interne Datenschutzbeauftragte: Sonderkündigungsschutz mit Konfliktpotential. 

Der deutsche Sonderkündigungsschutz für betriebsinterne Datenschutzbeauftragte ist europarechtskonform und verletzt nicht die Grundrechte des Arbeitgebers. Das hat das Bundesarbeitsgericht (BAG) mit seinem Urteil vom 25. August 2022 – 2 AZR 225/20 bestätigt.

Einleitung

Datenschutzbeauftragte haben eine exponierte Rolle mit Konfliktpotential. Daher ist im deutschen Recht vorgesehen, dass interne Datenschutzbeauftragte öffentlicher und nichtöffentlicher Stellen nur aus wichtigem Grund gekündigt werden dürfen (§§ 6 Abs. 4, 38 Abs. 2 BDSG). Bei nichtöffentlichen Stellen ist zudem die Kündigung auf Verlangen der Aufsichtsbehörde möglich (vgl. § 40 Abs. 6 S. 2 BDSG). Durch die Regelung soll sichergestellt werden, dass behördliche und betriebliche Datenschutzbeauftragte ihre Pflichten unabhängig und frei von Angst vor Repressalien ausüben können. Die nationale Regelung im BDSG geht allerdings über das Schutzniveau der europäischen DS-GVO hinaus. Art. 38 Abs. 3 S. 2 DS-GVO stellt lediglich fest, dass die Abberufung oder Kündigung von Datenschutzbeauftragten nicht aufgrund der Erfüllung ihrer Aufgaben erfolgen darf. Die ordentliche Kündigung eines/einer Datenschutzbeauftragen aus anderen Gründen ist somit nach der DS-GVO möglich.

Das BAG musste sich mit der Frage nach der Vereinbarkeit beider Regelungen auseinandersetzen und bezog auch an den EuGH zur Klärung mit ein. In dem zugrunde liegenden Fall hatte eine Arbeitnehmerin, die u. a. als Datenschutzbeauftragte bestellt worden war, ihren Arbeitgeber verklagt, weil sie im ersten halben Jahr nach Beginn des Arbeitsverhältnisses noch während der Probezeit ordentlich gekündigt wurde.

Kein Konflikt mit Europarecht

Im Rahmen des vom BAG angestrengten Vorabentscheidungsverfahrens hat der EuGH entschieden, dass abweichende nationale Regelungen zum Kündigungsschutz von Datenschutzbeauftragten mit der DS-GVO vereinbar sind, sofern sie die Verwirklichung der Ziele der DS-GVO nicht beeinträchtigen (EuGH, Urteil vom 22. Juni 2022 – C-534/20). Das wäre der Fall, wenn die Kündigung eines/einer Datenschutzbeauftragten seitens der verantwortlichen Stelle, der/die nicht im Sinne der DS-GVO agiert, verhindert oder in unzumutbarer Weise erschwert werden würde. Abgesehen davon steht den Unionsmitgliedstaaten aber grundsätzlich frei, den Kündigungsschutz zu erweitern. Schließlich haben sie die Gesetzgebungskompetenz im Bereich des Arbeitsrechts. Die DS-GVO dient gerade nicht der Regelung des Arbeitsverhältnisses, sondern dem Schutz personenbezogener Daten. Das BAG hat sich in seiner Entscheidung darauf gestützt und die Regelung im BDSG mit Verweis in das Arbeitsrecht folgerichtig für zulässig befunden.

Kein ungerechtfertigter Eingriff in die Grundrechte des Arbeitgebers

Der Arbeitgeber wird durch den im BDSG normierten Sonderkündigungsschutz nicht in unzulässiger Weise in seinen Grundrechten beschränkt. Zwar wurde ein Eingriff in die Berufsfreiheit (Art. 12 GG) gesehen, weil die Möglichkeit besteht, dass der Arbeitgeber als Unternehmer durch die Regelung in seiner Erwerbs- und Leistungstätigkeit beeinträchtigt wird. Dieser sei jedoch gerechtfertigt. Nach Ansicht des BAG sei die Regelung nämlich notwendig, um im Interesse eines effektiven Datenschutzes sicherzustellen, dass der/die Datenschutzbeauftragte wegen der unabhängigen Ausübung seiner/ihrer Tätigkeit keine Nachteile zu befürchten hat. Hinzu kommt, dass es dem Arbeitgeber freistehe, einen internen Mitarbeiter oder externen Dritten zu bestellen. Der Arbeitgeber müsse demnach eine eigenverantwortliche Abwägung treffen.

Was ist hinsichtlich der Kündbarkeit von Datenschutzbeauftragen zu berücksichtigen?

Der Sonderkündigungsschutz für Datenschutzbeauftrage öffentlicher und nichtöffentlicher Stellen, besteht für diejenigen, welche in einem Arbeitsverhältnis mit der verantwortlichen Stelle stehen. Es gilt

… unabhängig davon, ob die Kündigung mit der Erfüllung der datenschutzrechtlichen Aufgaben zusammenhängt.

… unabhängig davon, ob die Tätigkeit als Datenschutzbeauftragte/r nur einen Teil der Gesamttätigkeit des Arbeitnehmers oder der Arbeitnehmerin ausmacht.

… auch bei neu eingestellten ArbeitnehmerInnen sofort – nicht etwa erst nach der vereinbarten Probezeit.

… noch ein Jahr nach dem Ende der Tätigkeit als Datenschutzbeauftragte/r fort (§ 6 Abs. 4 S. 3 BDSG).

Der Sonderkündigungsschutz erstreckt sich nicht auf externe Datenschutzbeauftragte. Sie stehen in einem Dienstleistungsverhältnis zu der verantwortlichen Stelle und sind daher nicht in selbem Maße schutzbedürftig. Hinsichtlich ihrer Kündigung gilt jedoch weiterhin der europarechtliche Art. 38 Abs. 3 S. 2 DS-GVO. Das bedeutet auch in ihrem Fall darf die ordentliche oder außerordentliche Kündigung nicht allein deshalb erfolgen, weil der/die Datenschutzbeauftragte seine/ihre Aufgaben nach § 39 Abs. 1 DS-GVO erfüllt. Zwar steht es den Mitgliedstaaten frei einen besonderen Kündigungsschutz zu gewähren, wovon Deutschland im Hinblick auf interne Datenschutzbeauftragte auch Gebrauch gemacht hat, das Schutzniveau der DS-GVO für die Kündbarke it von Datenschutzbeauftragten darf jedoch in keinem Fall unterschritten werden.  

Falls Sie Fragen oder Anliegen im Zusammenhang mit der Bestellung, Abberufung oder Kündigung von Datenschutzbeauftragten haben, stehen wir Ihnen gerne zur Seite.

Kontakt: RA Matthias Bendixen

 

Instanzenzug

AG Nürnberg vom 22.07.2019, Az. 3 Ca 4080/18

https://openjur.de/u/2297433.html

 

Berufung

LArbG Nürnberg, Urteil v. 19.02.2020 – 2 Sa 274/19

https://openjur.de/u/2296978.html

 

Revision

BAG, Urteil vom 25. August 2022 – 2 AZR 225/20

(Vorlagebeschluss des BAG vom 30.07.2020:

EuGH, Urteil vom 22. Juni 2022, Az. C – 534/20)   

 

 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

Oktober 2024 kommt schneller als man denkt

Einleitung

Spätestens seit der pandemiebedingten Kontaktreduktion hat die digitale Transformation auch in Deutschland alle gesellschaftlichen Bereiche durchzogen. Doch besonders im Bereich der kritischen Infrastruktur ist die Digitalisierung auch durchaus risikobehaftet: Unternehmen, Staatsbetriebe und Behörden sehen sich einer steigenden Bedrohung durch Cyberangriffe und -attacken ausgesetzt, denen sie mit geeigneten Maßnahmen begegnen müssen.

Wie real diese Bedrohung ist, zeigte in den letzten Jahren allein in Deutschland der lebensbedrohliche Hackerangriff auf das Uniklinikum Düsseldorf im Jahr 2020, die Cyberattacke auf den IT-Dienstleister der Landeshauptstadt Schwerin 2021, und jüngst mit dem wiederholten Angriff (sog. Brute-Force-Attacke) auf die Systeme der Stadt Potsdam im Dezember 2022, nachdem sie bereits 2020 Gegenstand einer Cyberattacke war.

Diese Entwicklung beobachtet auch die Europäische Union kritisch und hat daher bereits 2016 mit der Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen (NIS) die erste EU-weite Gesetzgebungsmaßnahme für Einrichtungen im Bereich der kritischen Infrastruktur getroffen, um auf ein einheitliches, sich gegenseitig unterstützendes Cybersicherheitsniveau in den EU-Mitgliedstaaten hinzuwirken. Die Umsetzung erfolgte in Deutschland vor allem über Anpassungen des IT-Sicherheitsgesetzes, welches aber auch zuvor schon viele Anforderungen erfüllte.

Nach der Überprüfung dieser Richtlinie und ihrer Wirkung hat die EU es jedoch für erforderlich gehalten, die bereits bestehende Richtlinie nachzuschärfen. So wurde vergangenen November vom Rat der Europäischen Union und dem Europäischen Parlament die überarbeitete sogenannte NIS-2-Richtlinie angenommen. Am 27.12.2022 ist sie dann veröffentlicht worden und am 16.01.2023 in Kraft getreten.

1. Erweiterung und Konkretisierung des Anwendungsbereichs

Welche Sektoren betrifft die Richtlinie?

In den Anhängen I und II sind insgesamt achtzehn Sektoren definiert, in der ersten NIS-Richtlinie waren es nur sieben Sektoren. Zudem wurden die Sektoren in „Sektoren mit hoher Kritikalität“ und „sonstige kritische Sektoren“ aufgegliedert.

Sektoren mit hoher Kritikalität

(Anhang I)

  • Energie (Elektrizität; Fernwärme und -kälte; Erdöl; Erdgas; Wasserstoff)
  • (Luft-, Schienen-, Straßen-)Verkehr und Schifffahrt
  • Bankwesen
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • Digitale Infrastruktur
  • Verwaltung von IKT (B-to-B)
  • Öffentliche Verwaltung
  • Weltraum

Sonstige kritische Sektoren (Anhang II)

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Produktion, Herstellung und Handeln mit chemischen Stoffen
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe/Herstellung von Waren
  • Anbieter digitaler Dienste, konkret: Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke
  • Forschung

 

Für welche öffentliche und private Einrichtungen innerhalb der Sektoren gilt die Richtlinie? 

Die Richtlinie regelt durch einheitliche Kriterien, welche öffentlichen und privaten Einrichtungen, die innerhalb der Sektoren tätig sind, verpflichtet werden (Art. 2):

  • alle Unternehmen, ab einer Beschäftigtenanzahl von 50 Personen und einem Jahresumsatz bzw. einer Jahresbilanz von mindestens 10 Millionen Euro
  • Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten
  • Vertrauensdiensteanbieter
  • Namenregister der Domäne oberster Stufe (Registries) und DNS-Diensteanbieter
  • Einrichtung, die im jeweiligen Mitgliedstaat einziger Anbieter eines Dienstes sind, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist
  • Einrichtungen, die auf nationaler oder regionaler Ebene für den betreffenden Sektor, die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren im jeweiligen Mitgliedstaat eine besondere Bedeutung haben
  • Einrichtungen, bei denen sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte
  • Einrichtungen, bei denen eine Störung ihrer Dienste zu einem wesentlichen Systemrisiko führen könnte
  • bestimmte kritische Einrichtungen der öffentlichen Verwaltung
  • Ggf. Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Einrichtungen, die Domänennamenregistrierungsdienste erbringen (Registrare)
  • Einrichtungen, die von dem jeweiligen Mitgliedstaat nach Art. 6 der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden

2. Festlegung konkreter Pflichten für betroffene Einrichtungen:

  • Pflicht zum Ergreifen von Risikomanagementmaßnahmen in einem durch die Richtlinie festgelegten Mindestumfang (vgl. Art. 21 Abs. 2)
  • Berichtspflichten gegenüber bestimmten nationalen Stellen/Behörden (Art. 23)
  • Ggf. Pflicht zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind, sofern der jeweilige Mitgliedstaat dies bestimmt
  • Für Registries und Registrare: Pflicht, zukünftig genaue und vollständige Domänennamen-Registrierungsdaten unter Beachtung der Datenschutzbestimmungen in einer eigenen Datenbank zu sammeln und zu pflegen, zu validieren und zu beauskunften (Art. 28).

Die Einhaltung dieser Pflichten soll durch nationale Aufsichtsbehörden kontrolliert und bei Nichteinhaltung mit Geldbußen sanktioniert werden. Die konkrete Ausgestaltung der Aufsichts- und Durchsetzungsmaßnahmen erfolgt durch die Mitgliedstaaten, wobei die Richtlinie auch in diesem Bereich Vorgaben macht.

3. Bestimmung des Verhältnisses zu sektorspezifischen Rechtsvorschriften

Gibt es für die erfassten Sektoren bereits spezielle, mindestens gleich wirksame EU-Vorschriften, wie beispielsweise in der Verordnung über die digitale operative Betriebsstabilität digitaler Systeme des Finanzsektors (DORA – Digital Operational Resilience Act) und aufgrund der Richtlinie über die Resilienz kritischer Einrichtungen (CER – Critical Entities Resilience Directive), sind diese vorrangig anzuwenden (Art. 5).

4. Ausweitung der Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten durch…

  • das (bereits zuvor bestandene) Netzwerk der nationalen Computer-Notfallteams (CSIRTs)
  • Einrichtung einer europäische Schwachstellendatenbank durch die Agentur der Europäischen Union für Cybersicherheit (ENISA) auf Basis von Mitteilungen mitgliedstaatliche CSIRT Koordinatoren
  • Schaffung des Europäischen Netzwerkes der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe)
  • Veranstaltung von themenbezogenen Peer Reviews durch Sachverständige für Cybersicherheit (Teilnahme freiwillig)

Umsetzung der Richtlinie

Die Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach ihrem Inkrafttreten durch eigene Gesetzgebung in nationales Recht umsetzen. Die Richtlinie legt nur Mindestanforderungen im Bereich der Cybersicherheit fest, sodass die Mitgliedsstaaten nach Belieben auch ein höheres Schutzniveau etablieren können.
Für Unternehmen empfiehlt es sich bereits jetzt zu kontrollieren, ob sie (neuerdings) von der Richtlinie betroffen sind und falls ja, die Planung der Neuerungen voranzutreiben. Die technische Umsetzung kann teilweise viel Zeit in Anspruch nehmen und die reale Gefahr von Cyberangriffen besteht unabhängig von der gesetzlichen Absicherung.

Falls Sie Fragen bezüglich der Richtlinie oder der dadurch erforderlich werdenden Anpassungen haben, beraten wir Sie gerne.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Ist Google Analytics in Unternehmen rechtswidrig?

Google Analytics

Google Analytics: Das ist die aktuelle Einschätzung internationaler Datenschutzbehörden.

Google Analytics

Ist die Nutzung von Google Analytics in meinem Unternehmen rechtswidrig? 

Einleitung 

Google Analytics ist ein allseits bekannter Webanalyse-Dienst und wird von sehr vielen Websitebetreibern gerne genutzt. Im Rahmen der Verarbeitung werden Nutzerdaten gesammelt und von Google ausgewertet, um Einsicht in das Nutzerverhalten zu erlangen. Aus diesen Daten lassen sich Änderungen für Optimierungsprozesse der Website ableiten, entwickeln und umsetzen. Die häufige Nutzung des Analyse-Tools lässt sich auch darauf zurückführen, dass die meisten Funktionen kostenlos sind.

Die Vorteile liegen somit klar auf der Hand. 

Allerdings ist die Nutzung von Google Analytics unter anderem aufgrund des Datentransfers in die USA seit dem zweiten Schrems-Urteil des Europäischen Gerichtshofs immer wieder der Kritik von Datenschutzbehörden ausgesetzt. In den letzten Monaten äußerten sich mehrere europäische Datenschutzbehörden kritisch über die Anwendung von Google Analytics. Doch ist die Nutzung tatsächlich rechtswidrig? 

Was ist das Problem an der Nutzung von Google Analytics? 

Zunächst einmal merken die Webseiten-Nutzer ohne ausreichend transparente Information nicht, wie viele oder welche Daten gesammelt werden. Denn diese Prozesse laufen im Hintergrund. Im Rahmen der Analyse können die gesammelten Daten sowie die IP-Adresse einem Nutzer eindeutig zugeordnet werden. Zwar werden diese Daten laut Google pseudonymisiert. Jedoch, so die Kritik, sei diese Pseudonymisierung als Schutzmechanismus nicht ausreichend.  

Des Weiteren gelten die USA als Drittland im Sinne der DS-GVO. Für eine Datenübermittlung in Drittländer ist eine entsprechende Rechtsgrundlage erforderlich. Zwischen Deutschland und den USA wurde dazu ursprünglich der Privacy Shield genutzt. Diese Rechtsgrundlage entfiel jedoch mit Urteil des Europäischen Gerichtshofs im Jahr 2020 („Schrems II“).

Seit einiger Zeit arbeitet die Europäische Kommission mit den USA ein neues Datenschutzabkommen aus. Im März 2022 wurde eine erste Einigung erzielt.

Nachdem Präsident Joe Biden am 7. Oktober 2022 eine „Excecutive Order“ erließ, die den Datenschutz von Europäern gegen Abhöraktivitäten der US-Geheimdienste verbessern soll, ist nun die EU-Kommission am Zug. Doch bis diese einen zugunsten der USA wirkenden Angemessenheitsbeschluss erlässt, dürften noch einige Wochen oder gar Monate vergehen.  

Wie ist die aktuelle Einschätzung internationaler Datenschutzbehörden? 

Aufgrund dieser Problematiken entschied die österreichische Datenschutzbehörde (ÖDSB) im Januar 2022 als erste Behörde über den rechtswidrigen Einsatz von Google Analytics. Bei dem Einsatz der Tracking-Software liege ein Verstoß gegen Art. 44 DS-GVO vor, da die Übermittlung personenbezogener Daten in die USA ohne Rechtsgrundlage erfolge.  

Im Verlauf des Jahres folgten noch weitere europäischen Datenschutzbehörden (u.a. CNIL, GPDP) dieser Einschätzung und erklärten die Nutzung von Google Analytics als rechtswidrig. 

Weitere Behörden werden sich diesem Urteil voraussichtlich noch anschließen. 

Was muss ich als Website-Betreiber bei der Nutzung nun beachten? 

Viele Optionen für den Website-Betreiber für einen datenschutzkonformen Einsatz von Google-Analytics gibt es laut den Datenschutzbehörden nicht.  

Eine ausdrückliche und freiwillige Einwilligung der Nutzer ist einerseits für die Verarbeitung als solche, also die Analyse, essenziell. Hier liegt die Rechtsgrundlage in Art. 6 Abs. 1 S. 1 lit. a, Art. 7 DS-GVO. Zudem ist mit Blick auf den Drittlandtransfer eine Einwilligung ratsam, welche sich dann nach Art. 49 Abs. 1 a DS-GVO richtet.

Jedoch wird auch diese Vorgehensweise von den Datenschutzbehörden weitgehend kritisch betrachtet, weil es sich bei der Vorschrift um eine Ausnahmevorschrift von Art. 44 DS-GVO handele. Die Einwilligung soll nur für einzelne Übermittlungen erteilt werden. Im Rahmen von Google Analytics erfolgt allerdings eine fortwährende Drittlandübermittlung, sodass nicht mehr von einem Ausnahmefall gesprochen werden könne. 

In jedem Fall sollte eine Anpassung des Codes vorgenommen werden, sodass eine vollständige Weitergabe der IP-Adresse verhindert und damit eine Identifizierung der Person erschwert wird.  

Zudem sollte die Nutzung von Google Analytics und in welchem Umfang diese stattfindet, in der Datenschutzerklärung benannt werden. 

Gibt es alternative Tracking Modelle zu Google Analytics? 

Ja, die gibt es und der Markt dafür wächst.

Website-Betreiber, die kein Risiko eingehen wollen, sollten sich mit alternativen Tracking- und Analyse-Tools auseinandersetzen, welche personenbezogene Daten ausschließlich in der EU verarbeiten, auf websiteübergreifendes Tracking verzichten und eine frühzeitige Anonymisierung personenbezogener Daten sicherstellen.  

Fazit 

Nachdem sich nun ein paar Datenschutzbehörden gegen den Einsatz von Google Analytics ausgesprochen haben und in weiteren 23 Staaten bereits mehrere Datenschutzbeschwerden in diesem Zusammenhang vorliegen, ist eine Nutzung von Google Analytics riskant.

Daher ist es ratsam sich über die genutzten Programme im Unternehmen zu informieren und bei Bedarf Alternativen zu suchen.

Mittlerweile gibt mehrere Alternativen auf dem Markt, die je nach Bedarf passend für die eigene Website sein können.

Gerne helfen wir Ihnen bei der Auswahl. Wer auf Nummer sicher gehen will, der verzichtet gänzlich auf die Verwendung von Google Analytics.

Letztlich liegt es im Ermessen des Website-Betreibers. Dabei ist zu beachten, dass bei Verstößen nicht nur Google, sondern der Website-Betreiber für Datenschutzverstöße verantwortlich sein kann. 

Über die rechtliche Entwicklung einer rechtskonformen Nutzung von Google Analytics sowie ähnlichen Programmen werden wir Sie hier weiterhin informieren. 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Fristablauf für alte Standardvertragsklauseln

Standard Contractual Clauses

SCC-Fristende am 27.12.2022 - Schon umgestellt?

Standard Contractual Clauses

Alte Standardvertragsklauseln müssen umgestellt werden

Einleitung 

Achtung bei der Datenübermittlung in Drittländer: Verträge, die vor dem 27.09.2021 geschlossen worden sind und die Übermittlung personenbezogener Daten in Länder außerhalb der europäischen Union oder des europäischen Wirtschaftsraums oder an internationale Organisationen zum Gegenstand haben, müssen bis zum 27.12.2022 auf die neuen Standardvertragsklauseln umgestellt werden. So sieht es Art. 4 Abs. 4 des Durchführungsbeschlusses 2021/914 der Europäischen Kommission vom 04.06.2021 vor.

Warum erfolgt die Umstellung?

Nach den Art. 44 ff. Datenschutz-Grundverordnung (DS-GVO) unterliegt die Übermittlung personenbezogener Daten, die an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, besonderen Zuverlässigkeitsforderungen. Auf diese Weise soll die Einhaltung des europäischen Datenschutzstandards gewährleistet werden.

Eine Möglichkeit ist die Verwendung von Standardvertragsklauseln (vgl. Art. 46 Abs. 2 Buchstabe c) DS-GVO) der Europäischen Kommission. Im vergangenen Jahr hat die Kommission ihre Klauseln allerdings erneuert und an das aktuelle Datenschutzniveau angepasst. Die Verwendung der alten Klauseln genügt seitdem nicht mehr, was auch zur Folge hat, dass bei Verträgen, die bereits vor dem 27.09.2021 unter Verwendung der alten Klauseln geschlossen wurden, auf die neuen Standardvertragsklauseln umgestellt werden muss.

Weitere Informationen zu den Hintergründen, dem Inhalt der neuen Standardvertragsklauseln, aber auch ihren Chancen und Risiken finden Sie in unserem Blog-Eintrag von Juni 2021.

Hat sich durch den Erlass der „Executive Order“ zur Umsetzung des „Trans-Atlantic Data Privacy Framework (TADPF)“ etwas für den Datentransfer in die USA geändert?

Am 07.10.2022 hat Präsident Joe Biden eine Durchführungsverordnung (“Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities”) unterschrieben, mit der die angekündigte Grundsatzvereinbarung zum Datentransfer zwischen den USA und der EU (EU-U.S. Data Privacy Framework) in US-amerikanisches Recht umgesetzt werden soll (https://www.whitehouse.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-u-s-data-privacy-framework/).

Diese Durchführungsverordnung hat allerdings keine unmittelbaren Auswirkungen für europäische Unternehmen, die personenbezogene Daten in die USA übermitteln. Sie muss erst noch von der Europäischen Kommission überprüft und datenschutzrechtlich bewertet werden. Solange kein Angemessenheitsbeschluss im Sinne des Art. 45 Abs. 3 DS-GVO vorliegt, bleibt für Unternehmen weiterhin nur die Möglichkeit sich der Standardvertragsklauseln zu bedienen.

Welche Herausforderungen bringt die Umstellung mit sich?

Die neuen Klauseln der Europäischen Kommission sind modular aufgebaut: Zu wählen ist zwischen Bausteinen für vier verschiedene Konstellationen. Ebenso enthalten die neuen Standardvertragsklauseln verschiedene Anhänge, mit denen die konkret vorliegende Situation transparent erfasst werden kann. Diese müssen folglich entsprechend individualisiert werden.

Die Verwendung der Klauseln entbindet außerdem nicht davon, im konkreten Fall eine individuelle Risikoabschätzung vorzunehmen. Sie müssen überprüfen, ob die Rechtslage und die Bearbeitung von etwaigen Auskunftsersuchen einer Behörde im Drittland einen angemessenen Schutz personenbezogener Daten gewährleisten können.

Erforderlich ist daher auch, Ihre Bestandsverträge darauf zu prüfen, ob ggf. dort getroffene Vereinbarungen noch dem aktuellen Datenschutzniveau entsprechen und diese andernfalls ebenfalls erneuern.
Unter Umständen finden in Ihrem Unternehmen auch Datenexporte statt, von denen Sie bislang nichts wussten und die auf eine rechtlich solide Basis gebracht werden müssen.

  • Benötigen Sie Hilfe bei der Umsetzung oder bei der Datentransfer-Folgenabschätzungen?
  • Sind Sie unsicher, ob in Ihren Verträgen Anpassungen vorgenommen werden müssen?
  • Oder haben Sie weiterführende Fragen zum Datentransfer mit Drittländern oder internationalen Organisationen?

Gerne stehen wir Ihnen als spezialisierte Datenschutz- und IT-Kanzlei in diesen Fragen zur Verfügung. Wir begleiten und unterstützen Sie in der Lösungsfindung für einen rechtssicheren Umgang mit personenbezogenen Daten.

Was droht bei Fristversäumnis?

Stellt eine Aufsichtsbehörde eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen ohne geeignete Rechtsgrundlage fest, kann sie nach Art. 58 Abs. 2 Buchstabe i) i. V. m. Art. 83 Abs. 5 Buchstabe c) DS-GVO ein Bußgeld verhängen.

Die Höhe des Bußgeldes erreicht dabei bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Die Aufsichtsbehörde kann sogar anordnen, dass die Datenübermittlungen ausgesetzt werden (vgl. Art. 58 Abs. 2 Buchstabe j) DS-GVO).

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Cloud-Anbieter in den USA rechtswidrig?

Cloud-Anbieter USA

OLG Karlsruhe kippt umstrittenen Beschluss!

Cloud-Anbieter USA

Cloud-Anbieter in den USA rechtswidrig?

Einführung

Neues zum Datentransfer in die USA! Nachdem die Vergabekammer Baden-Württemberg am 13.07.2022 in einem Beschluss festgestellt hat, dass Cloud-Anbieter in den USA, und unter anderem auch ihre EU-Tochterunternehmen, gegen die Datenschutz-Grundverordnung (DS-GVO) verstoßen, hat das Oberlandesgericht (OLG) Karlsruhe diesen höchstumstrittenen Beschluss nun wieder aufgehoben.

Laut Beschluss der Vergabekammer sei die Verwendung dieser Cloudanbieter rechtswidrig, da mit ihnen ein unzulässiger Datentransfer in ein Drittland einhergeht, bei dem die Daten der EU-Bürgerinnen und -Bürger nicht ausreichend geschützt werden. Der Europäische Gerichtshof (EuGH) kippte 2020 in der Schrems II- Entscheidung das Privacy Shield, welches zuvor die Datenübermittlung rechtfertigte. Grund dafür waren vor allem die weitgehenden Überwachungsgesetze und die Zugriffsmöglichkeiten auf die Daten seitens der US-Behörden (Hierzu haben wir bereits einen Blog-Artikel verfasst: https://rickert.law/eugh-transatlantisches-eu-us-privacy-shield-ist-nichtig/).

Wie kam es zu dem Beschluss der Vergabekammer? Und aus welchen Gründen hat das OLG Karlsruhe den Beschluss der Vergabekammer aufgehoben?

Das Problem ist der US-amerikanische CLOUD Act

Im vorliegenden Fall ging es zwar um eine vergaberechtliche Streitigkeit, es wurde aber auch gleichzeitig die Konformität einer Software mit der DS-GVO überprüft. Neben Preis und Qualität waren nämlich auch Datenschutz und IT-Sicherheit für die Erteilung des Zuschlags ausschlaggebend.

Das betroffene Unternehmen hat seinen Sitz in der EU und ist die Tochtergesellschaft eines US-Konzerns. Aufgrund des US-amerikanischen CLOUD Acts kann es den US-Behörden erlaubt sein, auch auf Daten zuzugreifen, welche sich auf Servern außerhalb der USA befinden, sofern es sich dabei um Daten von Tochterunternehmen handelt. Wegen dieser Zugriffsmöglichkeit auf Daten von EU-Bürgerinnen und -Bürgern hat die Vergabekammer den Clouddienst als unzulässig eingestuft.  Ob und in welchem Umfang ein Zugriff stattfindet, war für die Vergabekammer irrelevant.

Wann wäre ein Datentransfer in ein Drittland gerechtfertigt?

Der Datentransfer in ein Drittland, also ein Land außerhalb der EU/des EWR kann nach den Artt. 44ff. DS-GVO gerechtfertigt sein. Dazu muss entweder ein Angemessenheitsbeschluss für das jeweilige Land erlassen worden sein (dies ist für die USA nicht der Fall) oder es müssen andere Rechtfertigungsmittel wie etwa Standardvertragsklauseln verwendet werden, wobei jedoch in jedem Einzelfall überprüft werden muss, ob das EU-Datenschutzrecht eingehalten wurde.

Die Standardvertragsklauseln waren nach Ansicht der Vergabekammer im vorliegenden Fall jedoch nicht ausreichend, denn es läge ein “latentes” Risiko des Zugriffs seitens US-Stellen aufgrund des CLOUD Acts vor und das verstöße somit gegen EU-Datenschutzrecht.

Kritik am Beschluss und Aufhebungsgründe

Der Beschluss der Vergabekammer bekam von Anfang an viel Gegenwind. Vor allem die Landesdatenschutzbeauftragte Baden-Württemberg sprach einiges an Kritik aus. Dieser Kritik schloss sich dann auch das OLG Karlsruhe an, welches die Gültigkeit des Beschlusses überprüfte und ihn am 07.09.2022 schließlich aufhob. Die Entscheidung des OLG Karlsruhe ist auch rechtskräftig.

Doch was war so bedenklich an dem Beschluss der Vergabekammer? Warum hat das OLG den Beschluss gekippt?

Die Landesdatenschutzbeauftragte Baden-Württemberg hielt folgende Punkte für bedenklich:

  • Die Vergabekammer hat nicht die aktuellen Standardvertragsklauseln der EU überprüft, sondern ältere.
  • Außerdem hat die Vergabekammer ein mögliches Zugriffsrisiko seitens der US-Stellen mit einer tatsächlichen Datenübermittlung gleichgesetzt.

Zudem wurde von Datenschützern bemängelt, dass die Vergabekammer bei ihrer Entscheidung die Möglichkeit einer Verschlüsselung der Daten völlig außer Acht gelassen habe.

Das OLG stützt seine Entscheidung nun vor allem auf letzteren Kritikpunkt der baden-württembergischen Datenschutzbehörde. Solange der Anbieter verbindlich zusage, dass mit Nutzung des Onlinedienstes kein Drittlandtransfer stattfinde, dürfe sich auch darauf verlassen werden. Auf solche vertraglichen Zusagen könne man so lange vertrauen, bis konkrete Anhaltspunkte vorlägen, die einen Anlass für Zweifel geben.

Solche Zweifel seien im vorliegenden Fall aber eben nicht gegeben. Allein die Tatsache, dass die US-Konzernmutter auf die Daten zugreifen könnte, reiche nicht aus, um an der Seriosität der Vertragsangaben zu zweifeln. Grundsätzlich darf man also auf die Angaben von Softwareanbietern vertrauen, wenn es um die Datenschutzkonformität geht.

Fazit

Der Beschluss hätte, insofern er Bestand gehabt hätte, erhebliche Auswirkungen für privatrechtliche Fragestellungen im IT- und Datenschutzrecht gehabt! Da dieser nun aber aufgehoben wurde, sind Anbieter mit US-amerikanischen Konzernmüttern in Vergabeverfahren weiterhin zu berücksichtigen und auch die Nutzung solcher Cloudanbieter kann im Einzelfall weiterhin möglich sein.

Aus der Entscheidung des OLG Karlsruhe geht ebenfalls hervor, dass man sich grundsätzlich auf die Vertragsangaben hinsichtlich der Datenschutzkonformität verlassen kann und nur im Fall konkreter Anhaltspunkte weitere Informationen eingeholt und das Leistungsversprechen überprüft werden müssen.

Außerdem arbeitet die EU-Kommission derzeit mit den zuständigen Stellen in den USA an einer zukünftigen Lösung für Datentransfers zwischen der EU und den USA. Ein solches Nachfolgeabkommen wird jedoch nicht vor Ende des Jahres erwartet.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN

Wieviel EU steckt im Datenschutz von UK & CH?

EU-Datenschutz

Datenschutz im Vereinigten Königreich und der Schweiz

EU-Datenschutz

Wieviel EU steckt im Datenschutz in UK und CH?  

Einleitung

Nach etwas mehr als zwei Jahren nach dem Austritt des Vereinigten Königreichs („UK) werden jetzt die unterschiedlichen Gesinnungen von UK und der Europäischen Union („EU“) deutlich. Der Austritt zieht datenschutzrechtliche Folgen nach sich. Ein dem britischen Parlament vorliegender Gesetzesentwurf befindet sich derzeit noch in der Anfangsphase der Lesungen. Dahinter steckt die Motivation der britischen Regierung, Verbesserungen der 2018 in Kraft getretenen EU-Datenschutz-Grundverordnung (DS-GVO) vorzunehmen. 

Im Kontrast dazu steht das neueste datenschutzrechtliche Gesetzesvorhaben der Schweiz. Obwohl die Schweiz kein Mitglied der Europäischen Union ist, nähert sie sich dieser in vielerlei Hinsicht an – so auch im Datenschutzrecht. 

Mögliche neue Regelungen in UK 

Die britische Seite kritisiert, dass gemäß den derzeitigen Regelungen gewisse Hürden für Unternehmen und Konsumenten bestünden, weshalb der Regierung ein neuer Gesetzesentwurf namens „Data Protection and Digital Information Bill“ vorliegt.  

So sei es beispielsweise für kleine Unternehmen umständlich, einen Datenschutzbeauftragten zu ernennen. Diese Pflicht soll wegfallen. Weiterhin seien vor allem kleine Unternehmen zunehmend mit einer Ungewissheit konfrontiert, weshalb allgemein ein Verbesserungsbedürfnis bestehe, insbesondere in Bezug auf die vermeintlich hohen datenschutzrechtlichen Anforderungen an Unternehmen. Befürchtet wird ein Regime, das nur auf der Einhaltung von Verpflichtungen basiere anstelle eines Systems, welches zu proaktivem Handeln ermutige.  

Behörden müssen Betroffene nicht mehr über automatisierte Entscheidungsfindung informieren 

Diese Änderung stellt einen großen Unterschied zur EU-DS-GVO dar. Die zuständigen Behörden sollen nicht mehr verpflichtet sein, betroffene Personen über eine automatisierte Entscheidungsfindung zu informieren. Ein begründendes Beispiel: Wenn die Daten einer Person von polizeilichem Interesse sind, würde ein Hinweis an die Person die laufende polizeiliche Untersuchung beeinträchtigen können.  

Die Protokoll-Pflicht entfällt  

Zudem soll die Pflicht zur Erstellung von Protokollen über Datenverarbeitungen wegfallen. Diese Protokolle stellen eine technische und organisatorische Maßnahme im Sinne des Art. 32 EU-DS-GVO dar und dienen der sog. Eingabekontrolle. Hierdurch soll, in DS-GVO konformer Weise, protokolliert werden, wer wann Zugriff auf personenbezogene Daten genommen hat und wie er diese weiterverarbeitet hat (insbes. Veränderung der Daten), um eine unbefugte Verarbeitung nachträglich feststellen und überprüfen zu können. Der britische Gesetzgeber hält dies jedoch für zu ressourcenintensiv, es stünde in keinem Verhältnis zum daraus resultierenden Mehrwert. Es sei unwahrscheinlich, dass jemand, der zu Unrecht auf Daten zugreift, eine ehrliche Rechtfertigung dokumentiere.  

Regelungen zur Einwilligung bleiben, erweitert um eine Liste, wann ein legitimes Interesse an der Datenverarbeitung besteht 

Unverändert erhalten   sollen die Regelungen zur Einwilligung bleiben. Um den Unternehmen aber die Einschätzung zu erleichtern, ob eine Einwilligung erforderlich ist, oder ob die Verarbeitung ggf. auf die flexiblere Rechtsgrundlage des legitimen Interesses gestützt werden kann, hat die Regierung dem neuen Gesetzesentwurf in Anhang 1 eine Liste angefügt. Sie führt auf, unter welchen Voraussetzungen sie ein legitimes Interesse an der Datenverarbeitung anerkennt. Zum Beispiel für die nationale und öffentliche Sicherheit und zur Verteidigung („national security, public security and defence“), oder zum Erkennen, Ermitteln und Verhindern von Straftaten („detecting, investigating or preventing crime“).  

Benennung eines „Senior Responsible Individual“ statt eines Datenschutzbeauftragten 

Die Pflicht zur Ernennung eines Datenschutzbeauftragten soll vor allem für kleine Unternehmen wegfallen. Stattdessen sollen Behörden und Unternehmen unter bestimmten Voraussetzungen eine „leitende verantwortliche Person“ („Senior Responsible Individual“) bestimmen. Sie wäre zuständig für die Datenschutzrisiken innerhalb der Organisation sowie für die Delegierung der erforderlichen Aufgaben an angemessen fähige Personen. Diese Person soll zum „Senior Management“ gehören, und damit eine signifikante Rolle in der Entscheidungsfindung über Verarbeitungsaktivitäten in der Gesamtheit oder wesentlichen Teilen der Organisation einnehmen.  

Sie wäre verantwortlich für die Durchführung oder Delegierung folgender Aufgaben:  

  • Überwachung der Datenschutz-Compliance mit geltenden Gesetzen;  
  • sicherstellen, dass der Verantwortliche Maßnahmen zur Einhaltung der Compliance entwickelt, implementiert und regelmäßig überprüft;  
  • Schulungen der Mitarbeiter;  
  • Bearbeitung von Beschwerden im Zusammenhang mit der Datenverarbeitung;  
  • Bearbeitung von Datenpannen.  

Die Aufgaben der verantwortlichen Person des Senior Managements unterscheiden sich nach dem Gesetzesentwurf nicht wesentlich von den Aufgaben, die der Datenschutzbeauftragte nach der EU-DS-GVO übernimmt oder übernehmen kann. Der wesentliche Unterschied ist also die Zugehörigkeit zum Senior Management.  

Damit dürfte die Unabhängigkeit bzw. die Neutralität der verantwortlichen Person in Frage stehen, denn als Teil des Senior Managements hat sie, im Gegensatz zu einem unabhängigen oder gar externen Datenschutzbeauftragten, wohl ein erhebliches Interesse daran, Datenverarbeitungen ohne größere Hürden zu ermöglichen. Auch wenn die verantwortliche Person ihre Aufgaben an andere fähige Personen des Unternehmens delegieren kann, so besteht doch die Befürchtung, dass künftig die ein oder andere Datenverarbeitung aufgrund des Interesses des Unternehmens eher durchgewunken wird, als wenn ein externer Datenschutzbeauftragter beraten hätte. 

Auch im Hinblick auf die Konsumenten sollen Hürden genommen und Verarbeitungen vereinfacht werden.  

Opt-Out-Verfahren statt Opt-In-Verfahren bzgl. Cookies 

Die Zustimmung zur Cookies-Nutzung auf Websites soll von dem derzeitigen Opt-In-Verfahren in ein Opt-Out-Verfahren umgewandelt werden. Dies solle Nutzern helfen, sich nicht durch zahlreiche Zustimmungsbanner klicken zu müssen und dadurch mögliche Frustration verhindern. Ähnlich wie bei dem Deutschen Verfahren „PIMS“ („Personal Information Management System“) nach dem TTDSG, soll es zudem eine generelle Verwaltungsmöglichkeit und Übersicht über die Datenverarbeitung in den Browser-Einstellungen geben, sodass eine Einwilligung auf jeder einzelnen Website überflüssig werde.  

Soft-Opt-In für Marketing-Maßnahmen durch nicht-kommerzielle Organisationen 

Eine weitere Änderung sieht das neue Gesetzesvorhaben im Rahmen des sog. „Soft-Opt-In“ vor. „Soft-Opt-In“ ermöglicht Direktwerbung an bestehende Kunden zu senden, die dem nicht unbedingt ausdrücklich zugestimmt haben. Bisher war diese Möglichkeit des Marketings nicht-kommerziellen Organisationen verwehrt, nun soll eine Erweiterung diesbezüglich stattfinden. 

Gemeinsames Vorhaben von UK und USA, aber Sanktionen für Datenschutzverstöße wie in der EU 

Bemerkenswert ist auch ist ein geplantes Vorhaben des Vereinigten Königreichs in Kooperation mit den USA. Die beiden Länder gaben in einem gemeinsamen Statement im Juli 2022 bekannt, dass sie den Zugriff auf Daten, welche strafrechtlich relevant sind, zwischen den Staaten erleichtern möchten. Ziel sei es, schwere Kriminalität zu bekämpfen, aber gleichzeitig die demokratischen Standards zu wahren. 

Annäherungen an die Europäische Union gäbe es nach dem Gesetzesentwurf jedoch in Sachen Sanktionen. Das derzeitige Maximum von £ 500.000 soll auf bis zu 4% des Jahresumsatzes eines Unternehmens oder max. £17.5 Mio. erhöht werden. Dies entspricht den vergleichbaren Regelungen der EU-DS-GVO in Art. 83. 

Neue Regelungen in der Schweiz 

Im Gegensatz zum Vereinigten Königreich regelt die Schweiz die Dinge hingegen positiv. Das neue Datenschutzgesetz (DSG) und die Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) der Schweiz soll am 01.09.2023 in Kraft treten. Die wichtigste Neuerung umfasst die Forderung nach erhöhter Transparenz und Stärkung der Rechte der betroffenen Personen.  

Ausweitung der Informationspflichten gegenüber Betroffenen 

Die erhöhte Transparenz soll unter anderem durch eine Erweiterung der Informationspflichten gewährleistet werden. Diese sind vergleichbar mit den Pflichten aus Art. 13/14 EU-DS-GVO. Ab September nächsten Jahres soll nun auch eine Informationspflicht für die Verarbeitung jeglicher personenbezogenen Daten gelten. Bisher galt dies nur für die Verarbeitung besonders schützenswerter Daten und die Erstellung von Persönlichkeitsprofilen. Außerdem soll die betroffene Person von der verantwortlichen Stelle darüber informiert werden, wenn eine Entscheidung ausschließlich auf automatisierter Verarbeitung beruht. Zusätzlich soll die betroffene Person auch fordern können, dass eine Einzelentscheidung von einer natürlichen Person überprüft werden soll. Eine Einwilligung soll auf jeden Fall bei sog. „Profiling mit hohem Risiko“ notwendig sein. 

Pflicht zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten 

Vergleichbar mit der aus der EU-DS-GVO bekannten Pflicht zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten, sollen auch nach dem neuen Schweizer DSG alle Datenverarbeitungen vom Verantwortlichen Auftragsbearbeiters (in der EU-DS-GVO Auftragsverarbeiter) dokumentiert werden („Verzeichnis der Bearbeitungstätigkeiten“). Sinngemäß enthalten die Verzeichnisse dieselben Inhalte und Informationen wie sie aus Art. 30 EU-DS-GVO bereits bekannt sind.  

Gesetzliche Regelung der Rolle des Auftragsverarbeiters & Auftragsverarbeitungsvereinbarung 

Die Rolle des Auftragsbearbeiters ist dabei neu und entspricht dem klassischen Auftragsverarbeiter im Sinne der EU-DS-GVO. Die Verarbeitung darf an einen Auftragsbearbeiter nur vertraglich oder durch Gesetz übertragen werden.

Eine weitere Übertragung der Verarbeitung durch den Auftragsbearbeiter an einen Dritten muss vorab durch den Verantwortlichen genehmigt werden. In der DSV finden sich ergänzende Regelungen zu dem dann erforderlichen Vertrag zwischen dem Verantwortlichen und Auftragsbearbeiters.

Die verpflichtenden Inhalte stimmen im Wesentlichen mit den Anforderungen der EU-DS-GVO überein, z.B.: Kategorien der Personendaten sowie der betroffenen Personen; Art und Zweck der Bekanntgabe von Personendaten („Zweck der Verarbeitung“), Datentransfers in weitere Staaten, Empfänger oder Kategorien von Empfänger (bspw. Unter-Auftragsbearbeiter), Anforderungen an Aufbewahrung, Löschung und Vernichtung der Daten, Verpflichtung angemessene Maßnahmen zur Einhaltung der vertraglichen Klauseln.  

Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung 

Hinzu kommt – ebenfalls in Anlehnung an die EU-DS-GVO – die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung. Auch hier entsprechen die schweizerischen Regelungen im Wesentlichen denen des Art. 35 EU-DS-GVO.  

Erhöhung der Sanktionen für Datenschutzverstöße 

Hier hält es die Schweiz wie die UK: Die Sanktionen für Verstöße sollen verschärft werden. Sie erreichen aber bei weitem nicht das Niveau der auf EU-Ebene geregelten Sanktionen. Zwar ist die Rede von „privaten Personen“, jedoch dürfen hier nicht Privatpersonen darunter verstanden werden.

Vielmehr sind hierunter die juristischen Personen des Privatrechts der Schweiz zu verstehen, denn das DSG findet Anwendung auf private Personen und Bundesorgane. Für etwaige Pflichtverletzungen können schweizerische Unternehmen künftig also mit Bußen bis zu 250.000 Franken belegt werden.

Dieser Höchstsatz gilt insoweit für sämtliche mögliche Verfehlungen, also insbesondere Verletzung Informations-, Auskunfts- und Mitwirkungspflichten sowie von Sorgfaltspflichten (hier auf Antrag) und Verletzungen der beruflichen Schweigepflicht sowie bei Missachtung von Verfügungen.

Bei dem derzeitigen Wechselkurs (Stand 26.09.2022) entsprächen 250.000 Franken in etwa 261.977,50 €. Im Vergleich zu den EU-DS-GVO Höchstsätzen von 10 Millionen bzw. 20 Millionen Euro also nur ein Bruchteil.  

Gebührenpflichtige Unterstützung des EDÖB 

Auffällig ist hingegen, dass im Gegensatz EU-DS-GVO oder bspw. dem deutschen Bundesdatenschutzgesetz, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte („EDÖB“) Gebühren für bestimmte Leistungen verlangen. Zum Beispiel für: Stellungnahmen zu einem Verhaltenskodex, Genehmigungen von Standarddatenschutzklauseln und verbindlichen unternehmensinternen Datenschutzvorschriften, Konsultation aufgrund einer Datenschutz-Folgenabschätzung, Beratung in Fragen des Datenschutzes.

Hier bleibt nur zu hoffen, dass die Gebührenforderungen am Ende nicht zu einem Hindernis für den Datenschutz und die Einhaltung durch die schweizerischen Unternehmen werden. 

Fazit 

Während das Vereinigte Königreich einen eher unternehmensfreundlichen Kurs einschlägt, passt sich die Schweiz mehr den konsumentenfreundlichen Regelungen der EU an und nimmt viele Bestimmungen der EU-DS-GVO in das neue DSG auf.  

Die wesentlichen Änderungen bzw. Angleichungen sollen anhand der nachfolgenden Tabelle veranschaulicht werden.

 

Vergleichstabelle

EU-DS-GVO

Vereinigtes Königreich

Schweiz

Art. 5 I lit. b) 

Grundsatz der Zweckbindung 

Erweiterung um Faktoren, die beachtet werden sollen, wenn ein neuer Zweck hinzukommen soll 

Art. 6 Abs. 1 f) 

Rechtmäßigkeit der Verarbeitung 

Abwägung des Verantwortlichen, ob Interessen an Verarbeitung personenbezogener Daten die Rechte der betroffenen Personen überwiegen 

Liste von berechtigten Interessen, für deren Verarbeitung das Erfordernis der Abwägung entfällt 

Direktmarketing

„Soft-Opt-In“ nun auch für nicht-kommerzielle Organisationen 

Art. 13/14  

Informationspflichten

Abschaffung von Informationspflichten ggü. Betroffenen bzgl. automatisierter Entscheidungsfindung

Informationspflicht nun auch für Verarbeitung jeglicher personenbezogenen Daten

Art. 27 

Ernennung eines EU-Vertreters 

Anforderung aus Art. 27 EU-DS-GVO wurde gestrichen (Paragraf 13 DPDI) 

Wegfall der Pflicht der Ernennung eines Datenschutzbeauftragten für (kleine) Unternehmen 

Benennung eines Vertreters in Schweiz, wenn Verantwortliche nicht in Schweiz ansässig 

Art. 28 

Auftragsverarbeitung 

Auftragsbearbeiter und Vertrag zur Auftragsbearbeitung 

Art. 32 

Technische und organisatorische Maßnahmen (TOMs) 

Verankerung von TOMs 

Art. 35, 36 

Datenschutzfolgenabschätzung 

Wenn Verarbeitung wahrscheinlich zu hohem Risiko für Einzelnen führt 

Anforderung einer vorherigen Konsultation abgeschafft, ersetzt durch freiwilligen Konsultationsprozess (Paragraf 17, 18 DPDI) 

Datenschutzfolgenabschätzung

Art. 83  

Geldbußen 

Im Fokus Unternehmen 

Bis zu 20 Mio. € oder 4% des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens 

Erhöhung der Bußgelder 

Derzeitiges Maximum bei £ 500.000  

Annährung an EU-DSGVO 

Bis zu 4% des Jahresumsatzes oder £17.5 Mio. 

 

Verschärfung der Sanktionen 

Aber nicht vergleichbar mit Höhe der Geldbußen aus DSGVO 

Bis zu 250.000 Franken 

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!
KONTAKT AUFNEHMEN