Kategorie: Datenschutz

Sonderkündigungsschutz für Datenschutzbeauftragte

Die ordentliche Kündigung eines internen Datenschutzbeauftragten ist nicht möglich.

Interne Datenschutzbeauftragte: Sonderkündigungsschutz mit Konfliktpotential.

Der deutsche Sonderkündigungsschutz für betriebsinterne Datenschutzbeauftragte ist europarechtskonform und verletzt nicht die Grundrechte des Arbeitgebers. Das hat das Bundesarbeitsgericht (BAG) mit seinem Urteil vom 25. August 2022 – 2 AZR 225/20 bestätigt.

Einleitung

Datenschutzbeauftragte haben eine exponierte Rolle mit Konfliktpotential. Daher ist im deutschen Recht vorgesehen, dass interne Datenschutzbeauftragte öffentlicher und nichtöffentlicher Stellen nur aus wichtigem Grund gekündigt werden dürfen (§§ 6 Abs. 4, 38 Abs. 2 BDSG). Bei nichtöffentlichen Stellen ist zudem die Kündigung auf Verlangen der Aufsichtsbehörde möglich (vgl. § 40 Abs. 6 S. 2 BDSG). Durch die Regelung soll sichergestellt werden, dass behördliche und betriebliche Datenschutzbeauftragte ihre Pflichten unabhängig und frei von Angst vor Repressalien ausüben können. Die nationale Regelung im BDSG geht allerdings über das Schutzniveau der europäischen DS-GVO hinaus. Art. 38 Abs. 3 S. 2 DS-GVO stellt lediglich fest, dass die Abberufung oder Kündigung von Datenschutzbeauftragten nicht aufgrund der Erfüllung ihrer Aufgaben erfolgen darf. Die ordentliche Kündigung eines/einer Datenschutzbeauftragen aus anderen Gründen ist somit nach der DS-GVO möglich.

Das BAG musste sich mit der Frage nach der Vereinbarkeit beider Regelungen auseinandersetzen und bezog auch an den EuGH zur Klärung mit ein. In dem zugrunde liegenden Fall hatte eine Arbeitnehmerin, die u. a. als Datenschutzbeauftragte bestellt worden war, ihren Arbeitgeber verklagt, weil sie im ersten halben Jahr nach Beginn des Arbeitsverhältnisses noch während der Probezeit ordentlich gekündigt wurde.

Kein Konflikt mit Europarecht

Im Rahmen des vom BAG angestrengten Vorabentscheidungsverfahrens hat der EuGH entschieden, dass abweichende nationale Regelungen zum Kündigungsschutz von Datenschutzbeauftragten mit der DS-GVO vereinbar sind, sofern sie die Verwirklichung der Ziele der DS-GVO nicht beeinträchtigen (EuGH, Urteil vom 22. Juni 2022 – C-534/20). Das wäre der Fall, wenn die Kündigung eines/einer Datenschutzbeauftragten seitens der verantwortlichen Stelle, der/die nicht im Sinne der DS-GVO agiert, verhindert oder in unzumutbarer Weise erschwert werden würde. Abgesehen davon steht den Unionsmitgliedstaaten aber grundsätzlich frei, den Kündigungsschutz zu erweitern. Schließlich haben sie die Gesetzgebungskompetenz im Bereich des Arbeitsrechts. Die DS-GVO dient gerade nicht der Regelung des Arbeitsverhältnisses, sondern dem Schutz personenbezogener Daten. Das BAG hat sich in seiner Entscheidung darauf gestützt und die Regelung im BDSG mit Verweis in das Arbeitsrecht folgerichtig für zulässig befunden.

Kein ungerechtfertigter Eingriff in die Grundrechte des Arbeitgebers

Der Arbeitgeber wird durch den im BDSG normierten Sonderkündigungsschutz nicht in unzulässiger Weise in seinen Grundrechten beschränkt. Zwar wurde ein Eingriff in die Berufsfreiheit (Art. 12 GG) gesehen, weil die Möglichkeit besteht, dass der Arbeitgeber als Unternehmer durch die Regelung in seiner Erwerbs- und Leistungstätigkeit beeinträchtigt wird. Dieser sei jedoch gerechtfertigt. Nach Ansicht des BAG sei die Regelung nämlich notwendig, um im Interesse eines effektiven Datenschutzes sicherzustellen, dass der/die Datenschutzbeauftragte wegen der unabhängigen Ausübung seiner/ihrer Tätigkeit keine Nachteile zu befürchten hat. Hinzu kommt, dass es dem Arbeitgeber freistehe, einen internen Mitarbeiter oder externen Dritten zu bestellen. Der Arbeitgeber müsse demnach eine eigenverantwortliche Abwägung treffen.

Was ist hinsichtlich der Kündbarkeit von Datenschutzbeauftragen zu berücksichtigen?

Der Sonderkündigungsschutz für Datenschutzbeauftrage öffentlicher und nichtöffentlicher Stellen, besteht für diejenigen, welche in einem Arbeitsverhältnis mit der verantwortlichen Stelle stehen. Es gilt

… unabhängig davon, ob die Kündigung mit der Erfüllung der datenschutzrechtlichen Aufgaben zusammenhängt.

… unabhängig davon, ob die Tätigkeit als Datenschutzbeauftragte/r nur einen Teil der Gesamttätigkeit des Arbeitnehmers oder der Arbeitnehmerin ausmacht.

… auch bei neu eingestellten ArbeitnehmerInnen sofort – nicht etwa erst nach der vereinbarten Probezeit.

… noch ein Jahr nach dem Ende der Tätigkeit als Datenschutzbeauftragte/r fort (§ 6 Abs. 4 S. 3 BDSG).

Der Sonderkündigungsschutz erstreckt sich nicht auf externe Datenschutzbeauftragte. Sie stehen in einem Dienstleistungsverhältnis zu der verantwortlichen Stelle und sind daher nicht in selbem Maße schutzbedürftig. Hinsichtlich ihrer Kündigung gilt jedoch weiterhin der europarechtliche Art. 38 Abs. 3 S. 2 DS-GVO. Das bedeutet auch in ihrem Fall darf die ordentliche oder außerordentliche Kündigung nicht allein deshalb erfolgen, weil der/die Datenschutzbeauftragte seine/ihre Aufgaben nach § 39 Abs. 1 DS-GVO erfüllt. Zwar steht es den Mitgliedstaaten frei einen besonderen Kündigungsschutz zu gewähren, wovon Deutschland im Hinblick auf interne Datenschutzbeauftragte auch Gebrauch gemacht hat, das Schutzniveau der DS-GVO für die Kündbarke it von Datenschutzbeauftragten darf jedoch in keinem Fall unterschritten werden.

Falls Sie Fragen oder Anliegen im Zusammenhang mit der Bestellung, Abberufung oder Kündigung von Datenschutzbeauftragten haben, stehen wir Ihnen gerne zur Seite.

Kontakt: RA Matthias Bendixen

Instanzenzug

AG Nürnberg vom 22.07.2019, Az. 3 Ca 4080/18

https://openjur.de/u/2297433.html

Berufung

LArbG Nürnberg, Urteil v. 19.02.2020 – 2 Sa 274/19

https://openjur.de/u/2296978.html

Revision

BAG, Urteil vom 25. August 2022 – 2 AZR 225/20

(Vorlagebeschluss des BAG vom 30.07.2020:

EuGH, Urteil vom 22. Juni 2022, Az. C – 534/20)

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Datenschutzbeauftragter Sonderkündigungsschutz

NIS-2 – Jetzt bereits die Anforderungen kennenlernen

Oktober 2024 kommt schneller als man denkt

Einleitung

Spätestens seit der pandemiebedingten Kontaktreduktion hat die digitale Transformation auch in Deutschland alle gesellschaftlichen Bereiche durchzogen. Doch besonders im Bereich der kritischen Infrastruktur ist die Digitalisierung auch durchaus risikobehaftet: Unternehmen, Staatsbetriebe und Behörden sehen sich einer steigenden Bedrohung durch Cyberangriffe und -attacken ausgesetzt, denen sie mit geeigneten Maßnahmen begegnen müssen.

Wie real diese Bedrohung ist, zeigte in den letzten Jahren allein in Deutschland der lebensbedrohliche Hackerangriff auf das Uniklinikum Düsseldorf im Jahr 2020, die Cyberattacke auf den IT-Dienstleister der Landeshauptstadt Schwerin 2021, und jüngst mit dem wiederholten Angriff (sog. Brute-Force-Attacke) auf die Systeme der Stadt Potsdam im Dezember 2022, nachdem sie bereits 2020 Gegenstand einer Cyberattacke war.

Diese Entwicklung beobachtet auch die Europäische Union kritisch und hat daher bereits 2016 mit der Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen (NIS) die erste EU-weite Gesetzgebungsmaßnahme für Einrichtungen im Bereich der kritischen Infrastruktur getroffen, um auf ein einheitliches, sich gegenseitig unterstützendes Cybersicherheitsniveau in den EU-Mitgliedstaaten hinzuwirken. Die Umsetzung erfolgte in Deutschland vor allem über Anpassungen des IT-Sicherheitsgesetzes, welches aber auch zuvor schon viele Anforderungen erfüllte.

Nach der Überprüfung dieser Richtlinie und ihrer Wirkung hat die EU es jedoch für erforderlich gehalten, die bereits bestehende Richtlinie nachzuschärfen. So wurde vergangenen November vom Rat der Europäischen Union und dem Europäischen Parlament die überarbeitete sogenannte NIS-2-Richtlinie angenommen. Am 27.12.2022 ist sie dann veröffentlicht worden und am 16.01.2023 in Kraft getreten.

1. Erweiterung und Konkretisierung des Anwendungsbereichs

Welche Sektoren betrifft die Richtlinie?

In den Anhängen I und II sind insgesamt achtzehn Sektoren definiert, in der ersten NIS-Richtlinie waren es nur sieben Sektoren. Zudem wurden die Sektoren in „Sektoren mit hoher Kritikalität“ und „sonstige kritische Sektoren“ aufgegliedert.

Sektoren mit hoher Kritikalität

(Anhang I)

Energie (Elektrizität; Fernwärme und -kälte; Erdöl; Erdgas; Wasserstoff)
(Luft-, Schienen-, Straßen-)Verkehr und Schifffahrt
Bankwesen
Finanzmarktinfrastrukturen
Gesundheitswesen
Trinkwasser
Abwasser
Digitale Infrastruktur
Verwaltung von IKT (B-to-B)
Öffentliche Verwaltung
Weltraum

Sonstige kritische Sektoren (Anhang II)

Post- und Kurierdienste
Abfallbewirtschaftung
Produktion, Herstellung und Handeln mit chemischen Stoffen
Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Verarbeitendes Gewerbe/Herstellung von Waren
Anbieter digitaler Dienste, konkret: Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke
Forschung

Für welche öffentliche und private Einrichtungen innerhalb der Sektoren gilt die Richtlinie?

Die Richtlinie regelt durch einheitliche Kriterien, welche öffentlichen und privaten Einrichtungen, die innerhalb der Sektoren tätig sind, verpflichtet werden (Art. 2):

alle Unternehmen, ab einer Beschäftigtenanzahl von 50 Personen und einem Jahresumsatz bzw. einer Jahresbilanz von mindestens 10 Millionen Euro
Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen elektronischen Kommunikationsdiensten
Vertrauensdiensteanbieter
Namenregister der Domäne oberster Stufe (Registries) und DNS-Diensteanbieter
Einrichtung, die im jeweiligen Mitgliedstaat einziger Anbieter eines Dienstes sind, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist
Einrichtungen, die auf nationaler oder regionaler Ebene für den betreffenden Sektor, die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren im jeweiligen Mitgliedstaat eine besondere Bedeutung haben
Einrichtungen, bei denen sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte
Einrichtungen, bei denen eine Störung ihrer Dienste zu einem wesentlichen Systemrisiko führen könnte
bestimmte kritische Einrichtungen der öffentlichen Verwaltung
Ggf. Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen, sofern der jeweilige Mitgliedstaat dies bestimmt
Einrichtungen, die Domänennamenregistrierungsdienste erbringen (Registrare)
Einrichtungen, die von dem jeweiligen Mitgliedstaat nach Art. 6 der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden

2. Festlegung konkreter Pflichten für betroffene Einrichtungen:

Pflicht zum Ergreifen von Risikomanagementmaßnahmen in einem durch die Richtlinie festgelegten Mindestumfang (vgl. Art. 21 Abs. 2)
Berichtspflichten gegenüber bestimmten nationalen Stellen/Behörden (Art. 23)
Ggf. Pflicht zur Verwendung spezieller IKT-Produkte, -Dienste und -Prozesse, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind, sofern der jeweilige Mitgliedstaat dies bestimmt
Für Registries und Registrare: Pflicht, zukünftig genaue und vollständige Domänennamen-Registrierungsdaten unter Beachtung der Datenschutzbestimmungen in einer eigenen Datenbank zu sammeln und zu pflegen, zu validieren und zu beauskunften (Art. 28).

Die Einhaltung dieser Pflichten soll durch nationale Aufsichtsbehörden kontrolliert und bei Nichteinhaltung mit Geldbußen sanktioniert werden. Die konkrete Ausgestaltung der Aufsichts- und Durchsetzungsmaßnahmen erfolgt durch die Mitgliedstaaten, wobei die Richtlinie auch in diesem Bereich Vorgaben macht.

3. Bestimmung des Verhältnisses zu sektorspezifischen Rechtsvorschriften

Gibt es für die erfassten Sektoren bereits spezielle, mindestens gleich wirksame EU-Vorschriften, wie beispielsweise in der Verordnung über die digitale operative Betriebsstabilität digitaler Systeme des Finanzsektors (DORA – Digital Operational Resilience Act) und aufgrund der Richtlinie über die Resilienz kritischer Einrichtungen (CER – Critical Entities Resilience Directive), sind diese vorrangig anzuwenden (Art. 5).

4. Ausweitung der Unterstützung und Erleichterung der strategischen Zusammenarbeit und des Informationsaustauschs zwischen den Mitgliedstaaten durch…

das (bereits zuvor bestandene) Netzwerk der nationalen Computer-Notfallteams (CSIRTs)
Einrichtung einer europäische Schwachstellendatenbank durch die Agentur der Europäischen Union für Cybersicherheit (ENISA) auf Basis von Mitteilungen mitgliedstaatliche CSIRT Koordinatoren
Schaffung des Europäischen Netzwerkes der Verbindungsorganisationen für Cyberkrisen (EU-CyCLONe)
Veranstaltung von themenbezogenen Peer Reviews durch Sachverständige für Cybersicherheit (Teilnahme freiwillig)

Umsetzung der Richtlinie

Die Mitgliedstaaten müssen die Richtlinie innerhalb von 21 Monaten nach ihrem Inkrafttreten durch eigene Gesetzgebung in nationales Recht umsetzen. Die Richtlinie legt nur Mindestanforderungen im Bereich der Cybersicherheit fest, sodass die Mitgliedsstaaten nach Belieben auch ein höheres Schutzniveau etablieren können.
Für Unternehmen empfiehlt es sich bereits jetzt zu kontrollieren, ob sie (neuerdings) von der Richtlinie betroffen sind und falls ja, die Planung der Neuerungen voranzutreiben. Die technische Umsetzung kann teilweise viel Zeit in Anspruch nehmen und die reale Gefahr von Cyberangriffen besteht unabhängig von der gesetzlichen Absicherung.

Falls Sie Fragen bezüglich der Richtlinie oder der dadurch erforderlich werdenden Anpassungen haben, beraten wir Sie gerne.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Ist Google Analytics in Unternehmen rechtswidrig?

Google Analytics: Das ist die aktuelle Einschätzung internationaler Datenschutzbehörden.

Ist die Nutzung von Google Analytics in meinem Unternehmen rechtswidrig?

Einleitung

Google Analytics ist ein allseits bekannter Webanalyse-Dienst und wird von sehr vielen Websitebetreibern gerne genutzt. Im Rahmen der Verarbeitung werden Nutzerdaten gesammelt und von Google ausgewertet, um Einsicht in das Nutzerverhalten zu erlangen. Aus diesen Daten lassen sich Änderungen für Optimierungsprozesse der Website ableiten, entwickeln und umsetzen. Die häufige Nutzung des Analyse-Tools lässt sich auch darauf zurückführen, dass die meisten Funktionen kostenlos sind.

Die Vorteile liegen somit klar auf der Hand.

Allerdings ist die Nutzung von Google Analytics unter anderem aufgrund des Datentransfers in die USA seit dem zweiten Schrems-Urteil des Europäischen Gerichtshofs immer wieder der Kritik von Datenschutzbehörden ausgesetzt. In den letzten Monaten äußerten sich mehrere europäische Datenschutzbehörden kritisch über die Anwendung von Google Analytics. Doch ist die Nutzung tatsächlich rechtswidrig?

Was ist das Problem an der Nutzung von Google Analytics?

Zunächst einmal merken die Webseiten-Nutzer ohne ausreichend transparente Information nicht, wie viele oder welche Daten gesammelt werden. Denn diese Prozesse laufen im Hintergrund. Im Rahmen der Analyse können die gesammelten Daten sowie die IP-Adresse einem Nutzer eindeutig zugeordnet werden. Zwar werden diese Daten laut Google pseudonymisiert. Jedoch, so die Kritik, sei diese Pseudonymisierung als Schutzmechanismus nicht ausreichend.

Des Weiteren gelten die USA als Drittland im Sinne der DS-GVO. Für eine Datenübermittlung in Drittländer ist eine entsprechende Rechtsgrundlage erforderlich. Zwischen Deutschland und den USA wurde dazu ursprünglich der Privacy Shield genutzt. Diese Rechtsgrundlage entfiel jedoch mit Urteil des Europäischen Gerichtshofs im Jahr 2020 („Schrems II“).

Seit einiger Zeit arbeitet die Europäische Kommission mit den USA ein neues Datenschutzabkommen aus. Im März 2022 wurde eine erste Einigung erzielt.

Nachdem Präsident Joe Biden am 7. Oktober 2022 eine „Excecutive Order“ erließ, die den Datenschutz von Europäern gegen Abhöraktivitäten der US-Geheimdienste verbessern soll, ist nun die EU-Kommission am Zug. Doch bis diese einen zugunsten der USA wirkenden Angemessenheitsbeschluss erlässt, dürften noch einige Wochen oder gar Monate vergehen.

Wie ist die aktuelle Einschätzung internationaler Datenschutzbehörden?

Aufgrund dieser Problematiken entschied die österreichische Datenschutzbehörde (ÖDSB) im Januar 2022 als erste Behörde über den rechtswidrigen Einsatz von Google Analytics. Bei dem Einsatz der Tracking-Software liege ein Verstoß gegen Art. 44 DS-GVO vor, da die Übermittlung personenbezogener Daten in die USA ohne Rechtsgrundlage erfolge.

Im Verlauf des Jahres folgten noch weitere europäischen Datenschutzbehörden (u.a. CNIL, GPDP) dieser Einschätzung und erklärten die Nutzung von Google Analytics als rechtswidrig.

Weitere Behörden werden sich diesem Urteil voraussichtlich noch anschließen.

Was muss ich als Website-Betreiber bei der Nutzung nun beachten?

Viele Optionen für den Website-Betreiber für einen datenschutzkonformen Einsatz von Google-Analytics gibt es laut den Datenschutzbehörden nicht.

Eine ausdrückliche und freiwillige Einwilligung der Nutzer ist einerseits für die Verarbeitung als solche, also die Analyse, essenziell. Hier liegt die Rechtsgrundlage in Art. 6 Abs. 1 S. 1 lit. a, Art. 7 DS-GVO. Zudem ist mit Blick auf den Drittlandtransfer eine Einwilligung ratsam, welche sich dann nach Art. 49 Abs. 1 a DS-GVO richtet.

Jedoch wird auch diese Vorgehensweise von den Datenschutzbehörden weitgehend kritisch betrachtet, weil es sich bei der Vorschrift um eine Ausnahmevorschrift von Art. 44 DS-GVO handele. Die Einwilligung soll nur für einzelne Übermittlungen erteilt werden. Im Rahmen von Google Analytics erfolgt allerdings eine fortwährende Drittlandübermittlung, sodass nicht mehr von einem Ausnahmefall gesprochen werden könne.

In jedem Fall sollte eine Anpassung des Codes vorgenommen werden, sodass eine vollständige Weitergabe der IP-Adresse verhindert und damit eine Identifizierung der Person erschwert wird.

Zudem sollte die Nutzung von Google Analytics und in welchem Umfang diese stattfindet, in der Datenschutzerklärung benannt werden.

Gibt es alternative Tracking Modelle zu Google Analytics?

Ja, die gibt es und der Markt dafür wächst.

Website-Betreiber, die kein Risiko eingehen wollen, sollten sich mit alternativen Tracking- und Analyse-Tools auseinandersetzen, welche personenbezogene Daten ausschließlich in der EU verarbeiten, auf websiteübergreifendes Tracking verzichten und eine frühzeitige Anonymisierung personenbezogener Daten sicherstellen.

Fazit

Nachdem sich nun ein paar Datenschutzbehörden gegen den Einsatz von Google Analytics ausgesprochen haben und in weiteren 23 Staaten bereits mehrere Datenschutzbeschwerden in diesem Zusammenhang vorliegen, ist eine Nutzung von Google Analytics riskant.

Daher ist es ratsam sich über die genutzten Programme im Unternehmen zu informieren und bei Bedarf Alternativen zu suchen.

Mittlerweile gibt mehrere Alternativen auf dem Markt, die je nach Bedarf passend für die eigene Website sein können.

Gerne helfen wir Ihnen bei der Auswahl. Wer auf Nummer sicher gehen will, der verzichtet gänzlich auf die Verwendung von Google Analytics.

Letztlich liegt es im Ermessen des Website-Betreibers. Dabei ist zu beachten, dass bei Verstößen nicht nur Google, sondern der Website-Betreiber für Datenschutzverstöße verantwortlich sein kann.

Über die rechtliche Entwicklung einer rechtskonformen Nutzung von Google Analytics sowie ähnlichen Programmen werden wir Sie hier weiterhin informieren.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

analysetools google analytics tracking

Fristablauf für alte Standardvertragsklauseln

SCC-Fristende am 27.12.2022 - Schon umgestellt?

Alte Standardvertragsklauseln müssen umgestellt werden

Einleitung

Achtung bei der Datenübermittlung in Drittländer: Verträge, die vor dem 27.09.2021 geschlossen worden sind und die Übermittlung personenbezogener Daten in Länder außerhalb der europäischen Union oder des europäischen Wirtschaftsraums oder an internationale Organisationen zum Gegenstand haben, müssen bis zum 27.12.2022 auf die neuen Standardvertragsklauseln umgestellt werden. So sieht es Art. 4 Abs. 4 des Durchführungsbeschlusses 2021/914 der Europäischen Kommission vom 04.06.2021 vor.

Warum erfolgt die Umstellung?

Nach den Art. 44 ff. Datenschutz-Grundverordnung (DS-GVO) unterliegt die Übermittlung personenbezogener Daten, die an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, besonderen Zuverlässigkeitsforderungen. Auf diese Weise soll die Einhaltung des europäischen Datenschutzstandards gewährleistet werden.

Eine Möglichkeit ist die Verwendung von Standardvertragsklauseln (vgl. Art. 46 Abs. 2 Buchstabe c) DS-GVO) der Europäischen Kommission. Im vergangenen Jahr hat die Kommission ihre Klauseln allerdings erneuert und an das aktuelle Datenschutzniveau angepasst. Die Verwendung der alten Klauseln genügt seitdem nicht mehr, was auch zur Folge hat, dass bei Verträgen, die bereits vor dem 27.09.2021 unter Verwendung der alten Klauseln geschlossen wurden, auf die neuen Standardvertragsklauseln umgestellt werden muss.

Weitere Informationen zu den Hintergründen, dem Inhalt der neuen Standardvertragsklauseln, aber auch ihren Chancen und Risiken finden Sie in unserem Blog-Eintrag von Juni 2021.

Hat sich durch den Erlass der „Executive Order“ zur Umsetzung des „Trans-Atlantic Data Privacy Framework (TADPF)“ etwas für den Datentransfer in die USA geändert?

Am 07.10.2022 hat Präsident Joe Biden eine Durchführungsverordnung (“Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities”) unterschrieben, mit der die angekündigte Grundsatzvereinbarung zum Datentransfer zwischen den USA und der EU (EU-U.S. Data Privacy Framework) in US-amerikanisches Recht umgesetzt werden soll (https://www.whitehouse.gov/briefing-room/statements-releases/2022/10/07/fact-sheet-president-biden-signs-executive-order-to-implement-the-european-union-u-s-data-privacy-framework/).

Diese Durchführungsverordnung hat allerdings keine unmittelbaren Auswirkungen für europäische Unternehmen, die personenbezogene Daten in die USA übermitteln. Sie muss erst noch von der Europäischen Kommission überprüft und datenschutzrechtlich bewertet werden. Solange kein Angemessenheitsbeschluss im Sinne des Art. 45 Abs. 3 DS-GVO vorliegt, bleibt für Unternehmen weiterhin nur die Möglichkeit sich der Standardvertragsklauseln zu bedienen.

Welche Herausforderungen bringt die Umstellung mit sich?

Die neuen Klauseln der Europäischen Kommission sind modular aufgebaut: Zu wählen ist zwischen Bausteinen für vier verschiedene Konstellationen. Ebenso enthalten die neuen Standardvertragsklauseln verschiedene Anhänge, mit denen die konkret vorliegende Situation transparent erfasst werden kann. Diese müssen folglich entsprechend individualisiert werden.

Die Verwendung der Klauseln entbindet außerdem nicht davon, im konkreten Fall eine individuelle Risikoabschätzung vorzunehmen. Sie müssen überprüfen, ob die Rechtslage und die Bearbeitung von etwaigen Auskunftsersuchen einer Behörde im Drittland einen angemessenen Schutz personenbezogener Daten gewährleisten können.

Erforderlich ist daher auch, Ihre Bestandsverträge darauf zu prüfen, ob ggf. dort getroffene Vereinbarungen noch dem aktuellen Datenschutzniveau entsprechen und diese andernfalls ebenfalls erneuern.
Unter Umständen finden in Ihrem Unternehmen auch Datenexporte statt, von denen Sie bislang nichts wussten und die auf eine rechtlich solide Basis gebracht werden müssen.

Benötigen Sie Hilfe bei der Umsetzung oder bei der Datentransfer-Folgenabschätzungen?
Sind Sie unsicher, ob in Ihren Verträgen Anpassungen vorgenommen werden müssen?
Oder haben Sie weiterführende Fragen zum Datentransfer mit Drittländern oder internationalen Organisationen?

Gerne stehen wir Ihnen als spezialisierte Datenschutz- und IT-Kanzlei in diesen Fragen zur Verfügung. Wir begleiten und unterstützen Sie in der Lösungsfindung für einen rechtssicheren Umgang mit personenbezogenen Daten.

Was droht bei Fristversäumnis?

Stellt eine Aufsichtsbehörde eine Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen ohne geeignete Rechtsgrundlage fest, kann sie nach Art. 58 Abs. 2 Buchstabe i) i. V. m. Art. 83 Abs. 5 Buchstabe c) DS-GVO ein Bußgeld verhängen.

Die Höhe des Bußgeldes erreicht dabei bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Die Aufsichtsbehörde kann sogar anordnen, dass die Datenübermittlungen ausgesetzt werden (vgl. Art. 58 Abs. 2 Buchstabe j) DS-GVO).

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Cloud-Anbieter in den USA rechtswidrig?

OLG Karlsruhe kippt umstrittenen Beschluss!

Cloud-Anbieter in den USA rechtswidrig?

Einführung

Neues zum Datentransfer in die USA! Nachdem die Vergabekammer Baden-Württemberg am 13.07.2022 in einem Beschluss festgestellt hat, dass Cloud-Anbieter in den USA, und unter anderem auch ihre EU-Tochterunternehmen, gegen die Datenschutz-Grundverordnung (DS-GVO) verstoßen, hat das Oberlandesgericht (OLG) Karlsruhe diesen höchstumstrittenen Beschluss nun wieder aufgehoben.

Laut Beschluss der Vergabekammer sei die Verwendung dieser Cloudanbieter rechtswidrig, da mit ihnen ein unzulässiger Datentransfer in ein Drittland einhergeht, bei dem die Daten der EU-Bürgerinnen und -Bürger nicht ausreichend geschützt werden. Der Europäische Gerichtshof (EuGH) kippte 2020 in der Schrems II- Entscheidung das Privacy Shield, welches zuvor die Datenübermittlung rechtfertigte. Grund dafür waren vor allem die weitgehenden Überwachungsgesetze und die Zugriffsmöglichkeiten auf die Daten seitens der US-Behörden (Hierzu haben wir bereits einen Blog-Artikel verfasst: https://rickert.law/eugh-transatlantisches-eu-us-privacy-shield-ist-nichtig/).

Wie kam es zu dem Beschluss der Vergabekammer? Und aus welchen Gründen hat das OLG Karlsruhe den Beschluss der Vergabekammer aufgehoben?

Das Problem ist der US-amerikanische CLOUD Act

Im vorliegenden Fall ging es zwar um eine vergaberechtliche Streitigkeit, es wurde aber auch gleichzeitig die Konformität einer Software mit der DS-GVO überprüft. Neben Preis und Qualität waren nämlich auch Datenschutz und IT-Sicherheit für die Erteilung des Zuschlags ausschlaggebend.

Das betroffene Unternehmen hat seinen Sitz in der EU und ist die Tochtergesellschaft eines US-Konzerns. Aufgrund des US-amerikanischen CLOUD Acts kann es den US-Behörden erlaubt sein, auch auf Daten zuzugreifen, welche sich auf Servern außerhalb der USA befinden, sofern es sich dabei um Daten von Tochterunternehmen handelt. Wegen dieser Zugriffsmöglichkeit auf Daten von EU-Bürgerinnen und -Bürgern hat die Vergabekammer den Clouddienst als unzulässig eingestuft. Ob und in welchem Umfang ein Zugriff stattfindet, war für die Vergabekammer irrelevant.

Wann wäre ein Datentransfer in ein Drittland gerechtfertigt?

Der Datentransfer in ein Drittland, also ein Land außerhalb der EU/des EWR kann nach den Artt. 44ff. DS-GVO gerechtfertigt sein. Dazu muss entweder ein Angemessenheitsbeschluss für das jeweilige Land erlassen worden sein (dies ist für die USA nicht der Fall) oder es müssen andere Rechtfertigungsmittel wie etwa Standardvertragsklauseln verwendet werden, wobei jedoch in jedem Einzelfall überprüft werden muss, ob das EU-Datenschutzrecht eingehalten wurde.

Die Standardvertragsklauseln waren nach Ansicht der Vergabekammer im vorliegenden Fall jedoch nicht ausreichend, denn es läge ein “latentes” Risiko des Zugriffs seitens US-Stellen aufgrund des CLOUD Acts vor und das verstöße somit gegen EU-Datenschutzrecht.

Kritik am Beschluss und Aufhebungsgründe

Der Beschluss der Vergabekammer bekam von Anfang an viel Gegenwind. Vor allem die Landesdatenschutzbeauftragte Baden-Württemberg sprach einiges an Kritik aus. Dieser Kritik schloss sich dann auch das OLG Karlsruhe an, welches die Gültigkeit des Beschlusses überprüfte und ihn am 07.09.2022 schließlich aufhob. Die Entscheidung des OLG Karlsruhe ist auch rechtskräftig.

Doch was war so bedenklich an dem Beschluss der Vergabekammer? Warum hat das OLG den Beschluss gekippt?

Die Landesdatenschutzbeauftragte Baden-Württemberg hielt folgende Punkte für bedenklich:

Die Vergabekammer hat nicht die aktuellen Standardvertragsklauseln der EU überprüft, sondern ältere.
Außerdem hat die Vergabekammer ein mögliches Zugriffsrisiko seitens der US-Stellen mit einer tatsächlichen Datenübermittlung gleichgesetzt.

Zudem wurde von Datenschützern bemängelt, dass die Vergabekammer bei ihrer Entscheidung die Möglichkeit einer Verschlüsselung der Daten völlig außer Acht gelassen habe.

Das OLG stützt seine Entscheidung nun vor allem auf letzteren Kritikpunkt der baden-württembergischen Datenschutzbehörde. Solange der Anbieter verbindlich zusage, dass mit Nutzung des Onlinedienstes kein Drittlandtransfer stattfinde, dürfe sich auch darauf verlassen werden. Auf solche vertraglichen Zusagen könne man so lange vertrauen, bis konkrete Anhaltspunkte vorlägen, die einen Anlass für Zweifel geben.

Solche Zweifel seien im vorliegenden Fall aber eben nicht gegeben. Allein die Tatsache, dass die US-Konzernmutter auf die Daten zugreifen könnte, reiche nicht aus, um an der Seriosität der Vertragsangaben zu zweifeln. Grundsätzlich darf man also auf die Angaben von Softwareanbietern vertrauen, wenn es um die Datenschutzkonformität geht.

Fazit

Der Beschluss hätte, insofern er Bestand gehabt hätte, erhebliche Auswirkungen für privatrechtliche Fragestellungen im IT- und Datenschutzrecht gehabt! Da dieser nun aber aufgehoben wurde, sind Anbieter mit US-amerikanischen Konzernmüttern in Vergabeverfahren weiterhin zu berücksichtigen und auch die Nutzung solcher Cloudanbieter kann im Einzelfall weiterhin möglich sein.

Aus der Entscheidung des OLG Karlsruhe geht ebenfalls hervor, dass man sich grundsätzlich auf die Vertragsangaben hinsichtlich der Datenschutzkonformität verlassen kann und nur im Fall konkreter Anhaltspunkte weitere Informationen eingeholt und das Leistungsversprechen überprüft werden müssen.

Außerdem arbeitet die EU-Kommission derzeit mit den zuständigen Stellen in den USA an einer zukünftigen Lösung für Datentransfers zwischen der EU und den USA. Ein solches Nachfolgeabkommen wird jedoch nicht vor Ende des Jahres erwartet.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Beschluss Cloud-Anbieter DSGVO OLG Karslruhe USA Vergabekammer

Wieviel EU steckt im Datenschutz von UK & CH?

Datenschutz im Vereinigten Königreich und der Schweiz

Wieviel EU steckt im Datenschutz in UK und CH?

Einleitung

Nach etwas mehr als zwei Jahren nach dem Austritt des Vereinigten Königreichs („UK) werden jetzt die unterschiedlichen Gesinnungen von UK und der Europäischen Union („EU“) deutlich. Der Austritt zieht datenschutzrechtliche Folgen nach sich. Ein dem britischen Parlament vorliegender Gesetzesentwurf befindet sich derzeit noch in der Anfangsphase der Lesungen. Dahinter steckt die Motivation der britischen Regierung, Verbesserungen der 2018 in Kraft getretenen EU-Datenschutz-Grundverordnung (DS-GVO) vorzunehmen.

Im Kontrast dazu steht das neueste datenschutzrechtliche Gesetzesvorhaben der Schweiz. Obwohl die Schweiz kein Mitglied der Europäischen Union ist, nähert sie sich dieser in vielerlei Hinsicht an – so auch im Datenschutzrecht.

Mögliche neue Regelungen in UK

Die britische Seite kritisiert, dass gemäß den derzeitigen Regelungen gewisse Hürden für Unternehmen und Konsumenten bestünden, weshalb der Regierung ein neuer Gesetzesentwurf namens „Data Protection and Digital Information Bill“ vorliegt.

So sei es beispielsweise für kleine Unternehmen umständlich, einen Datenschutzbeauftragten zu ernennen. Diese Pflicht soll wegfallen. Weiterhin seien vor allem kleine Unternehmen zunehmend mit einer Ungewissheit konfrontiert, weshalb allgemein ein Verbesserungsbedürfnis bestehe, insbesondere in Bezug auf die vermeintlich hohen datenschutzrechtlichen Anforderungen an Unternehmen. Befürchtet wird ein Regime, das nur auf der Einhaltung von Verpflichtungen basiere anstelle eines Systems, welches zu proaktivem Handeln ermutige.

Behörden müssen Betroffene nicht mehr über automatisierte Entscheidungsfindung informieren

Diese Änderung stellt einen großen Unterschied zur EU-DS-GVO dar. Die zuständigen Behörden sollen nicht mehr verpflichtet sein, betroffene Personen über eine automatisierte Entscheidungsfindung zu informieren. Ein begründendes Beispiel: Wenn die Daten einer Person von polizeilichem Interesse sind, würde ein Hinweis an die Person die laufende polizeiliche Untersuchung beeinträchtigen können.

Die Protokoll-Pflicht entfällt

Zudem soll die Pflicht zur Erstellung von Protokollen über Datenverarbeitungen wegfallen. Diese Protokolle stellen eine technische und organisatorische Maßnahme im Sinne des Art. 32 EU-DS-GVO dar und dienen der sog. Eingabekontrolle. Hierdurch soll, in DS-GVO konformer Weise, protokolliert werden, wer wann Zugriff auf personenbezogene Daten genommen hat und wie er diese weiterverarbeitet hat (insbes. Veränderung der Daten), um eine unbefugte Verarbeitung nachträglich feststellen und überprüfen zu können. Der britische Gesetzgeber hält dies jedoch für zu ressourcenintensiv, es stünde in keinem Verhältnis zum daraus resultierenden Mehrwert. Es sei unwahrscheinlich, dass jemand, der zu Unrecht auf Daten zugreift, eine ehrliche Rechtfertigung dokumentiere.

Regelungen zur Einwilligung bleiben, erweitert um eine Liste, wann ein legitimes Interesse an der Datenverarbeitung besteht

Unverändert erhalten sollen die Regelungen zur Einwilligung bleiben. Um den Unternehmen aber die Einschätzung zu erleichtern, ob eine Einwilligung erforderlich ist, oder ob die Verarbeitung ggf. auf die flexiblere Rechtsgrundlage des legitimen Interesses gestützt werden kann, hat die Regierung dem neuen Gesetzesentwurf in Anhang 1 eine Liste angefügt. Sie führt auf, unter welchen Voraussetzungen sie ein legitimes Interesse an der Datenverarbeitung anerkennt. Zum Beispiel für die nationale und öffentliche Sicherheit und zur Verteidigung („national security, public security and defence“), oder zum Erkennen, Ermitteln und Verhindern von Straftaten („detecting, investigating or preventing crime“).

Benennung eines „Senior Responsible Individual“ statt eines Datenschutzbeauftragten

Die Pflicht zur Ernennung eines Datenschutzbeauftragten soll vor allem für kleine Unternehmen wegfallen. Stattdessen sollen Behörden und Unternehmen unter bestimmten Voraussetzungen eine „leitende verantwortliche Person“ („Senior Responsible Individual“) bestimmen. Sie wäre zuständig für die Datenschutzrisiken innerhalb der Organisation sowie für die Delegierung der erforderlichen Aufgaben an angemessen fähige Personen. Diese Person soll zum „Senior Management“ gehören, und damit eine signifikante Rolle in der Entscheidungsfindung über Verarbeitungsaktivitäten in der Gesamtheit oder wesentlichen Teilen der Organisation einnehmen.

Sie wäre verantwortlich für die Durchführung oder Delegierung folgender Aufgaben:

Überwachung der Datenschutz-Compliance mit geltenden Gesetzen;
sicherstellen, dass der Verantwortliche Maßnahmen zur Einhaltung der Compliance entwickelt, implementiert und regelmäßig überprüft;
Schulungen der Mitarbeiter;
Bearbeitung von Beschwerden im Zusammenhang mit der Datenverarbeitung;
Bearbeitung von Datenpannen.

Die Aufgaben der verantwortlichen Person des Senior Managements unterscheiden sich nach dem Gesetzesentwurf nicht wesentlich von den Aufgaben, die der Datenschutzbeauftragte nach der EU-DS-GVO übernimmt oder übernehmen kann. Der wesentliche Unterschied ist also die Zugehörigkeit zum Senior Management.

Damit dürfte die Unabhängigkeit bzw. die Neutralität der verantwortlichen Person in Frage stehen, denn als Teil des Senior Managements hat sie, im Gegensatz zu einem unabhängigen oder gar externen Datenschutzbeauftragten, wohl ein erhebliches Interesse daran, Datenverarbeitungen ohne größere Hürden zu ermöglichen. Auch wenn die verantwortliche Person ihre Aufgaben an andere fähige Personen des Unternehmens delegieren kann, so besteht doch die Befürchtung, dass künftig die ein oder andere Datenverarbeitung aufgrund des Interesses des Unternehmens eher durchgewunken wird, als wenn ein externer Datenschutzbeauftragter beraten hätte.

Auch im Hinblick auf die Konsumenten sollen Hürden genommen und Verarbeitungen vereinfacht werden.

Opt-Out-Verfahren statt Opt-In-Verfahren bzgl. Cookies

Die Zustimmung zur Cookies-Nutzung auf Websites soll von dem derzeitigen Opt-In-Verfahren in ein Opt-Out-Verfahren umgewandelt werden. Dies solle Nutzern helfen, sich nicht durch zahlreiche Zustimmungsbanner klicken zu müssen und dadurch mögliche Frustration verhindern. Ähnlich wie bei dem Deutschen Verfahren „PIMS“ („Personal Information Management System“) nach dem TTDSG, soll es zudem eine generelle Verwaltungsmöglichkeit und Übersicht über die Datenverarbeitung in den Browser-Einstellungen geben, sodass eine Einwilligung auf jeder einzelnen Website überflüssig werde.

Soft-Opt-In für Marketing-Maßnahmen durch nicht-kommerzielle Organisationen

Eine weitere Änderung sieht das neue Gesetzesvorhaben im Rahmen des sog. „Soft-Opt-In“ vor. „Soft-Opt-In“ ermöglicht Direktwerbung an bestehende Kunden zu senden, die dem nicht unbedingt ausdrücklich zugestimmt haben. Bisher war diese Möglichkeit des Marketings nicht-kommerziellen Organisationen verwehrt, nun soll eine Erweiterung diesbezüglich stattfinden.

Gemeinsames Vorhaben von UK und USA, aber Sanktionen für Datenschutzverstöße wie in der EU

Bemerkenswert ist auch ist ein geplantes Vorhaben des Vereinigten Königreichs in Kooperation mit den USA. Die beiden Länder gaben in einem gemeinsamen Statement im Juli 2022 bekannt, dass sie den Zugriff auf Daten, welche strafrechtlich relevant sind, zwischen den Staaten erleichtern möchten. Ziel sei es, schwere Kriminalität zu bekämpfen, aber gleichzeitig die demokratischen Standards zu wahren.

Annäherungen an die Europäische Union gäbe es nach dem Gesetzesentwurf jedoch in Sachen Sanktionen. Das derzeitige Maximum von £ 500.000 soll auf bis zu 4% des Jahresumsatzes eines Unternehmens oder max. £17.5 Mio. erhöht werden. Dies entspricht den vergleichbaren Regelungen der EU-DS-GVO in Art. 83.

Neue Regelungen in der Schweiz

Im Gegensatz zum Vereinigten Königreich regelt die Schweiz die Dinge hingegen positiv. Das neue Datenschutzgesetz (DSG) und die Ausführungsbestimmungen in der neuen Datenschutzverordnung (DSV) der Schweiz soll am 01.09.2023 in Kraft treten. Die wichtigste Neuerung umfasst die Forderung nach erhöhter Transparenz und Stärkung der Rechte der betroffenen Personen.

Ausweitung der Informationspflichten gegenüber Betroffenen

Die erhöhte Transparenz soll unter anderem durch eine Erweiterung der Informationspflichten gewährleistet werden. Diese sind vergleichbar mit den Pflichten aus Art. 13/14 EU-DS-GVO. Ab September nächsten Jahres soll nun auch eine Informationspflicht für die Verarbeitung jeglicher personenbezogenen Daten gelten. Bisher galt dies nur für die Verarbeitung besonders schützenswerter Daten und die Erstellung von Persönlichkeitsprofilen. Außerdem soll die betroffene Person von der verantwortlichen Stelle darüber informiert werden, wenn eine Entscheidung ausschließlich auf automatisierter Verarbeitung beruht. Zusätzlich soll die betroffene Person auch fordern können, dass eine Einzelentscheidung von einer natürlichen Person überprüft werden soll. Eine Einwilligung soll auf jeden Fall bei sog. „Profiling mit hohem Risiko“ notwendig sein.

Pflicht zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten

Vergleichbar mit der aus der EU-DS-GVO bekannten Pflicht zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten, sollen auch nach dem neuen Schweizer DSG alle Datenverarbeitungen vom Verantwortlichen Auftragsbearbeiters (in der EU-DS-GVO Auftragsverarbeiter) dokumentiert werden („Verzeichnis der Bearbeitungstätigkeiten“). Sinngemäß enthalten die Verzeichnisse dieselben Inhalte und Informationen wie sie aus Art. 30 EU-DS-GVO bereits bekannt sind.

Gesetzliche Regelung der Rolle des Auftragsverarbeiters & Auftragsverarbeitungsvereinbarung

Die Rolle des Auftragsbearbeiters ist dabei neu und entspricht dem klassischen Auftragsverarbeiter im Sinne der EU-DS-GVO. Die Verarbeitung darf an einen Auftragsbearbeiter nur vertraglich oder durch Gesetz übertragen werden.

Eine weitere Übertragung der Verarbeitung durch den Auftragsbearbeiter an einen Dritten muss vorab durch den Verantwortlichen genehmigt werden. In der DSV finden sich ergänzende Regelungen zu dem dann erforderlichen Vertrag zwischen dem Verantwortlichen und Auftragsbearbeiters.

Die verpflichtenden Inhalte stimmen im Wesentlichen mit den Anforderungen der EU-DS-GVO überein, z.B.: Kategorien der Personendaten sowie der betroffenen Personen; Art und Zweck der Bekanntgabe von Personendaten („Zweck der Verarbeitung“), Datentransfers in weitere Staaten, Empfänger oder Kategorien von Empfänger (bspw. Unter-Auftragsbearbeiter), Anforderungen an Aufbewahrung, Löschung und Vernichtung der Daten, Verpflichtung angemessene Maßnahmen zur Einhaltung der vertraglichen Klauseln.

Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung

Hinzu kommt – ebenfalls in Anlehnung an die EU-DS-GVO – die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung. Auch hier entsprechen die schweizerischen Regelungen im Wesentlichen denen des Art. 35 EU-DS-GVO.

Erhöhung der Sanktionen für Datenschutzverstöße

Hier hält es die Schweiz wie die UK: Die Sanktionen für Verstöße sollen verschärft werden. Sie erreichen aber bei weitem nicht das Niveau der auf EU-Ebene geregelten Sanktionen. Zwar ist die Rede von „privaten Personen“, jedoch dürfen hier nicht Privatpersonen darunter verstanden werden.

Vielmehr sind hierunter die juristischen Personen des Privatrechts der Schweiz zu verstehen, denn das DSG findet Anwendung auf private Personen und Bundesorgane. Für etwaige Pflichtverletzungen können schweizerische Unternehmen künftig also mit Bußen bis zu 250.000 Franken belegt werden.

Dieser Höchstsatz gilt insoweit für sämtliche mögliche Verfehlungen, also insbesondere Verletzung Informations-, Auskunfts- und Mitwirkungspflichten sowie von Sorgfaltspflichten (hier auf Antrag) und Verletzungen der beruflichen Schweigepflicht sowie bei Missachtung von Verfügungen.

Bei dem derzeitigen Wechselkurs (Stand 26.09.2022) entsprächen 250.000 Franken in etwa 261.977,50 €. Im Vergleich zu den EU-DS-GVO Höchstsätzen von 10 Millionen bzw. 20 Millionen Euro also nur ein Bruchteil.

Gebührenpflichtige Unterstützung des EDÖB

Auffällig ist hingegen, dass im Gegensatz EU-DS-GVO oder bspw. dem deutschen Bundesdatenschutzgesetz, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte („EDÖB“) Gebühren für bestimmte Leistungen verlangen. Zum Beispiel für: Stellungnahmen zu einem Verhaltenskodex, Genehmigungen von Standarddatenschutzklauseln und verbindlichen unternehmensinternen Datenschutzvorschriften, Konsultation aufgrund einer Datenschutz-Folgenabschätzung, Beratung in Fragen des Datenschutzes.

Hier bleibt nur zu hoffen, dass die Gebührenforderungen am Ende nicht zu einem Hindernis für den Datenschutz und die Einhaltung durch die schweizerischen Unternehmen werden.

Fazit

Während das Vereinigte Königreich einen eher unternehmensfreundlichen Kurs einschlägt, passt sich die Schweiz mehr den konsumentenfreundlichen Regelungen der EU an und nimmt viele Bestimmungen der EU-DS-GVO in das neue DSG auf.

Die wesentlichen Änderungen bzw. Angleichungen sollen anhand der nachfolgenden Tabelle veranschaulicht werden.

Vergleichstabelle

EU-DS-GVO

Vereinigtes Königreich

Schweiz

Art. 5 I lit. b)

Grundsatz der Zweckbindung

Erweiterung um Faktoren, die beachtet werden sollen, wenn ein neuer Zweck hinzukommen soll

Art. 6 Abs. 1 f)

Rechtmäßigkeit der Verarbeitung

Abwägung des Verantwortlichen, ob Interessen an Verarbeitung personenbezogener Daten die Rechte der betroffenen Personen überwiegen

Liste von berechtigten Interessen, für deren Verarbeitung das Erfordernis der Abwägung entfällt

Direktmarketing

„Soft-Opt-In“ nun auch für nicht-kommerzielle Organisationen

Art. 13/14

Informationspflichten

Abschaffung von Informationspflichten ggü. Betroffenen bzgl. automatisierter Entscheidungsfindung

Informationspflicht nun auch für Verarbeitung jeglicher personenbezogenen Daten

Art. 27

Ernennung eines EU-Vertreters

Anforderung aus Art. 27 EU-DS-GVO wurde gestrichen (Paragraf 13 DPDI)

Wegfall der Pflicht der Ernennung eines Datenschutzbeauftragten für (kleine) Unternehmen

Benennung eines Vertreters in Schweiz, wenn Verantwortliche nicht in Schweiz ansässig

Art. 28

Auftragsverarbeitung

Auftragsbearbeiter und Vertrag zur Auftragsbearbeitung

Art. 32

Technische und organisatorische Maßnahmen (TOMs)

Verankerung von TOMs

Art. 35, 36

Datenschutzfolgenabschätzung

Wenn Verarbeitung wahrscheinlich zu hohem Risiko für Einzelnen führt

Anforderung einer vorherigen Konsultation abgeschafft, ersetzt durch freiwilligen Konsultationsprozess (Paragraf 17, 18 DPDI)

Datenschutzfolgenabschätzung

Art. 83

Geldbußen

Im Fokus Unternehmen

Bis zu 20 Mio. € oder 4% des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens

Erhöhung der Bußgelder

Derzeitiges Maximum bei £ 500.000

Annährung an EU-DSGVO

Bis zu 4% des Jahresumsatzes oder £17.5 Mio.

Verschärfung der Sanktionen

Aber nicht vergleichbar mit Höhe der Geldbußen aus DSGVO

Bis zu 250.000 Franken

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Brexit Datenschutz Datenschutzbeauftragter DSGVO EU Schweiz UK

Sind Adresshandel und Datenschutz noch vereinbar?

Einzig die Datenschutzbehörde aus NRW hält an den Regelungen von § 28 BDSG fest.

Sind Adresshandel und Datenschutz noch vereinbar?

Einführung

An wen verschicken Sie Ihre Werbemailings, wenn Sie entweder noch gar keine Kundenadressen haben oder Ihren Kundenkreis erweitern wollen?

Sie kaufen sich einfach Empfängeradressen und wandeln, wenn das Werbemailing erfolgreich war, die gekauften Adressen in konkrete Kundenadressen um.

Genau diese Möglichkeit des Adresskaufs und damit der Kundengewinnung steht gerade auf der Kippe. Obwohl es weit verbreitete Geschäftspraxis ist und bislang unter der Datenschutz-Grundverordnung (DS-GVO) auch als allgemein zulässig gilt, sprachen sich kürzlich einige Datenschutzbeauftragte der Länder dagegen aus.

Ist das das Aus des Adresshandels und somit das des Direktmarketings?

Was bedeutet Adresshandel?

Adresshandel bezeichnet den An- und Verkauf von Postadressen deutscher Haushalte und ist damit wichtiger Teil des Direktmarketings von Unternehmen. Adressagenturen stellen möglichst aktuelle Adressdaten zusammen, aus denen sich Unternehmen passgenau ihre Zielgruppe herausfiltern können. An diese Adressen verschicken sie dann maßgeschneiderte Werbung wie z.B. Flugblätter, um im Idealfall die Empfänger zu neuen Kunden zu machen. Es ist quasi die analoge Version von individualisierten Werbeanzeigen im Internet, welche anhand von Analysen des Nutzerverhaltens geschaltet werden.

Ist Adresshandel mit der DS-GVO und dem BDSG vereinbar?

Bislang galt der Adresshandel unter der DS-GVO und dem Bundesdatenschutzgesetz (BDSG) deshalb als allgemein zulässig, da hierfür berechtigte Geschäftsinteressen der Unternehmen (Erweiterung des Kundenstammes) vorliegen, die die individuellen Einwilligungen der Betroffenen entbehrlich machen. Geregelt ist dies in § 28 BDSG.

Der Großteil der Datenschutzbehörden der Länder spricht sich nun aber gegen eine allgemeine Zulässigkeit aus und verlangt eine vorherige freiwillige Einwilligung der betroffenen Personen, bevor deren Adressen an Unternehmen verkauft werden. Die Geschäftsinteressen der ankaufenden Unternehmen reichen ihrer Ansicht nach nicht aus und würden den Schutz der persönlichen Daten der Betroffenen nicht überwiegen. Das liegt unter anderem daran, dass Privatpersonen Direktwerbung als Folge des Adresshandels eher als störend empfinden und sich oftmals fragen, woher die werbenden Unternehmen ihre Adressen überhaupt haben.

Setzen sich die Datenschützer durch, bedeutet das für die Praxis, dass der Adresshandel in der derzeitigen Form kaum noch stattfinden kann, da die Einholung einer vorherigen Einwilligung nahezu unmöglich wäre. Denn:

Privatpersonen würden dem Verkauf ihrer Adressen auf Nachfrage der Adresshändler wohl eher selten zustimmen.
Auch wenn Privatpersonen ihre Adressdaten im Rahmen eines Geschäftsabschlusses im Internet für den Verkäufer bereitstellen, folgt daraus nicht, dass sie auch der Verwendung ihrer Adresse durch andere Unternehmen zustimmen.

Einzig die Datenschutzbehörde aus NRW schließt sich dieser Ansicht der Datenschutzbeauftragten der Länder nicht an. Sie hält die derzeitige Praxis des Adresshandels für zulässig und die Bedenken für unbegründet. Dieser Meinung folgt auch der Deutsche Dialogmarketingverband (DDV), welcher die Auffassung der Datenschutzbeauftragten der übrigen Länder nur für eine von vielen möglichen Rechtsmeinungen hält.

Wie geht es nun weiter?

Der Adresshandel soll nach Angaben der Berliner Datenschutzbehörde auch Thema der nächsten bundesweiten Datenschutzkonferenz (DSK) im November 2022 werden. Wir müssen abwarten, ob und mit welchem Inhalt die DSK einen Beschluss in Bezug auf den Adresshandel erlassen wird. Bis dahin bleibt alles beim Alten und Unternehmen können ihr derzeitiges Direktmarketing problemlos weiterführen.

Was passiert jedoch, wenn die DSK einen ablehnenden Beschluss erlassen sollte? Können die bisher gekauften Adressen noch weiterverwendet werden?

Die Antworten auf diese Fragen sind noch ungewiss und können derzeit noch nicht abschließend getroffen werden. Zwar sind die Beschlüsse der DSK rechtlich nicht bindend, aber sie haben maßgeblichen Einfluss auf die Entwicklung des Datenschutzrechts in Deutschland und sollten deshalb auch genauestens verfolgt werden. Verbindliche Änderungen treten dann erst mit möglichen Anpassungen der DS-GVO und des BDSG ein.

Fazit

Die Bedenken der Datenschutzbeauftragten sagen erst einmal nichts über die Zulässigkeit des Adresshandels aus. Dieser ist nach der derzeitigen Rechtslage mit dem Datenschutzrecht vereinbar und wird auch nicht automatisch durch einen möglichen Beschluss der DSK unzulässig.

Dennoch heißt es abwarten, wie sich die Vereinbarkeit von Datenschutz und Adresshandel weiterentwickelt. Ob sich die DSK in Zukunft konkret gegen den Adresshandel aussprechen wird und wie sich dies auf die Rechtslage auswirkt, wird noch spannend. Vor allen Dingen für Adresshändler und für (junge) Unternehmen, die zu Werbezwecken Adressdaten kaufen.

Haben Sie hierzu noch gezielte Fragen? Wir stehen Ihnen gerne zur Verfügung.

Ihre Ansprechpartnerin: RAin Lena Wassermann

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Geschäftsführer einer GmbH haften persönlich bei Datenschutzverstoß

Die Kernaussage der DSG-VO hinsichtlich des Beschäftigtendatenschutz laut §26 BDSG und der Umgang mit besonderen Situationen

Beschäftigtendatenschutz: Was darf der Chef?

Einführung 

Beschäftigtendatenschutz und Datenschutzverstoß: Es geht um die Überwachung der Mitarbeitenden. Wie weit darf sie gehen, wo sind die Grenzen und welches Gesetz regelt es. Anders gefragt: was darf der Chef?

Noch gibt es kein eigenes Gesetz, dafür aber zahlreiche Regelungen, die Anhaltspunkte liefern. Die Verhandlungen in Richtung einheitliches Beschäftigtenschutzgesetz laufen jedoch wieder an, nachdem der letzte Entwurf von 2010 nie verabschiedet wurde. Bisher hat nur Finnland ein solches Beschäftigtendatenschutzgesetz, die übrigen EU-Länder arbeiten mit Einzelfallregelungen.

Es gilt also, die aktuellen Entwicklungen auf dem Schirm zu halten. Aktuell regelt insbesondere die DSG-VO den Beschäftigtendatenschutz. Sollte es aber zu einem eigenen Gesetz kommen, müsste die DSG-VO weiter konkretisiert werden.

Wo stehen wir im Beschäftigtendatenschutz derzeit?

Die Kernaussage der DSG-VO hinsichtlich des Beschäftigtendatenschutz laut §26 BDSG ist, dass personenbezogene Daten der Arbeitnehmer erhoben werden dürfen, wenn sie für die Erfüllung, Aufnahme oder Beendigung eines Arbeitsverhältnisses erforderlich sind. Die Erhebung bedarf dann nicht der Einwilligung des Betroffenen.

Darunter fallen

Bewerberdaten
allgemeine Personen- und Kontaktdaten
Kontoverbindung
Tätigkeitsprofil bzw. Position
Gesundheitsdaten
Religionszugehörigkeit (notwendig für die Lohnabrechnung)

Für die Erhebung darüberhinausgehender Daten bedarf es möglicherweise der Einwilligung des Betroffenen.

Warum brauchen wir ein Beschäftigtendatenschutzgesetz?

Die Frage ist: Wie soll mit besonderen Situationen umgegangen werden? Wie steht es z.B. mit der Videoüberwachung in der Produktion? Darf der Chef die Emails lesen, die vom Arbeitsrechner aus versendet werden? Darf er die Chronik der Internetnutzung überwachen?

Die allgemein gehaltenen Regelungen der DSG-VO sind wenig konkret und nur bedingt für Einzelfälle ausgelegt, sie decken eher Standardsituationen ab. Es ist schwer zu klären, welche Daten denn nun wirklich für die Erfüllung, Aufnahme oder Beendigung eines Arbeitsverhältnisses erforderlich sind.

Die Interessen von Beschäftigten und Vorgesetzten können sehr weit auseinander liegen. Missbrauchsmöglichkeiten gibt es auf beiden Seiten.

Das entscheidende Argument für mehr Beschäftigtendatenschutz ist das Machtgefälle zwischen Beschäftigten und ihren Vorgesetzten. Hier kann man nicht von „gleichem Recht für alle“ sprechen. Die Abhängigkeit von Lohn und Arbeitsplatz drängen den Beschäftigten in eine unsouveräne Rolle und lassen ihn manch bittere Pille schlucken aus Angst vor Konsequenzen. Eine solche bittere Pille sind z.B. Daten, die über ihn erhoben werden, gegen die er sich aber nicht zu wehren traut.

Ein Gesetz könnte Klarheit und Schutz für alle Beteiligten schaffen.

Ausblick

Der vom Bundesministerium für Arbeit und Soziales gegründete unabhängige Beirat und der Deutsche Gewerkschaftsbund haben Empfehlungen und Vorschläge ausgearbeitet, die jedoch zum Teil nicht sehr detailreich ausfallen. Bei der Ausgestaltung steht dem Gesetzgeber also noch ein großer Spielraum offen.

Immerhin, die Empfehlungen und der Gesetzesentwurf wurden bereits veröffentlicht (s.u.). Vor dem Hintergrund der Festlegung im Koalitionsvertrag rückt es in den Bereich des Möglichen, dass ein Gesetz noch in dieser Legislaturperiode erlassen werden könnte. Mal sehen, wie der Gesetzgeber die Entwürfe ausarbeitet und was Bundestag und Bundesrat dazu sagen.

Wenn Sie weiterführende Fragen zum Thema Beschäftigtendatenschutz haben, zögern Sie nicht, uns anzusprechen.

Arbeitsrecht: Patrick Jardin
Datenschutz: Lena Wassermann

Downloads

DGB-Entwurf-eines-Beschaeftigtendatenschutzgesetzes

Ergebnisse-Beirat-Beschaeftigtendatenschutz

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Datenschutzverstoß

Beschäftigtendatenschutz: Was darf der Chef?

Die Kernaussage der DS-GVO hinsichtlich des Beschäftigtendatenschutz laut §26 BDSG und der Umgang mit besonderen Situationen

Beschäftigtendatenschutz: Was darf der Chef?

Einführung 

Beschäftigtendatenschutz: Es geht um die Überwachung der Mitarbeitenden. Wie weit darf sie gehen, wo sind die Grenzen und welches Gesetz regelt es. Anders gefragt: was darf der Chef?

Noch gibt es kein eigenes Gesetz, dafür aber zahlreiche Regelungen, die Anhaltspunkte liefern. Die Verhandlungen in Richtung einheitliches Beschäftigtendatenschutzgesetz laufen jedoch wieder an, nachdem der letzte Entwurf von 2010 nie verabschiedet wurde. Bisher hat nur Finnland ein solches Beschäftigtendatenschutzgesetz, die übrigen EU-Länder arbeiten mit Einzelfallregelungen.

Es gilt also, die aktuellen Entwicklungen auf dem Schirm zu halten. Aktuell regelt insbesondere die DS-GVO den Beschäftigtendatenschutz. Sollte es aber zu einem eigenen Gesetz kommen, müsste die DS-GVO weiter konkretisiert werden.

Wo stehen wir im Beschäftigtendatenschutz derzeit?

Die Kernaussage der DS-GVO hinsichtlich des Beschäftigtendatenschutz laut §26 BDSG ist, dass personenbezogene Daten der Arbeitnehmer erhoben werden dürfen, wenn sie für die Erfüllung, Aufnahme oder Beendigung eines Arbeitsverhältnisses erforderlich sind. Die Erhebung bedarf dann nicht der Einwilligung des Betroffenen.

Darunter fallen

Bewerberdaten
allgemeine Personen- und Kontaktdaten
Kontoverbindung
Tätigkeitsprofil bzw. Position
Gesundheitsdaten
Religionszugehörigkeit (notwendig für die Lohnabrechnung)

Für die Erhebung darüberhinausgehender Daten bedarf es möglicherweise der Einwilligung des Betroffenen.

Warum brauchen wir ein Beschäftigtendatenschutzgesetz?

Die allgemein gehaltenen Regelungen der DS-GVO sind wenig konkret und nur bedingt für Einzelfälle ausgelegt, sie decken eher Standardsituationen ab. Es ist schwer zu klären, welche Daten denn nun wirklich für die Erfüllung, Aufnahme oder Beendigung eines Arbeitsverhältnisses erforderlich sind.

Die Interessen von Beschäftigten und Vorgesetzten können sehr weit auseinander liegen. Missbrauchsmöglichkeiten gibt es auf beiden Seiten.

Ein Gesetz könnte Klarheit und Schutz für alle Beteiligten schaffen.

Ausblick

Wenn Sie weiterführende Fragen zum Thema Beschäftigtendatenschutz haben, zögern Sie nicht, uns anzusprechen.

Arbeitsrecht: Patrick Jardin
Datenschutz: Lena Wassermann

Downloads

DGB-Entwurf-eines-Beschaeftigtendatenschutzgesetzes

Ergebnisse-Beirat-Beschaeftigtendatenschutz

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

Beschäftigtendatenschutz

GmbH: Online-Gründung bald möglich

Ab August 2022 tritt das DiRUG in Kraft und bestimmte Kapitalgesellschaften können durch ein notarielles Online-Verfahren gegründet werden. Damit schafft die neue Richtlinie erhebliche Erleichterung bei Geschäftsgründungen, von der in erster Linie Start-ups und kleine Unternehmen profitieren.

Stand April 2022

Bald ist sie möglich:
Die Online-Gründung von GmbH und UG (haftungsbeschränkt)

Einführung

Bereits 2019 trat die europäische Digitalisierungsrichtlinie (Richtlinie (EU) 2019/1151) in Kraft, welche als Teil des Company Law Packages der EU den Einsatz digitaler Werkzeuge und Verfahren im Gesellschaftsrecht ermöglichen soll. Die Richtlinie ergänzt die Gesellschaftsrechtsrichtlinie (Richtlinie (EU) 2017/1132) aus dem Jahr 2017 und ändert deren Vorgaben in einigen Punkten ab.

Es galt die Inhalte der Richtlinie bis zum 31. Juli 2021 in nationales Recht umzuwandeln. Auf Antrag der deutschen Regierung wurde der Bundesrepublik jedoch eine einjährige Verlängerung gewährt. Im Juni 2021 wurde sodann das Gesetz zur Umsetzung der Digitalisierungsrichtline (DiRUG) von Bundestag und Bundesrat beschlossen und tritt zum 01. August 2022 in Kraft.

Kern des neuen Gesetzes ist die Möglichkeit der schnelleren und vor allem deutlich vereinfachten Online-Gründung von Kapitalgesellschaften, insbesondere von Gesellschaften mit beschränkter Haftung (GmbHs) und Unternehmensgesellschaften (UGs – haftungsbeschränkt).

In diesem Beitrag gehen wir auf die kommenden Neuerungen durch das DiRUG ein, wobei der Fokus auf der Online-Gründung der GmbH und der UG (haftungsbeschränkt) liegt.

Möglichkeit der Online-Gründung von GmbHs und UGs (haftungsbeschränkt)

Die Digitalisierungsrichtlinie hat zwei Grundaussagen bzgl. der Online-Gründung getroffen:

Es soll die Online-Gründung ohne physische Präsenz vor dem Notar oder der Notarin ermöglicht werden, und
das Gründungsverfahren soll innerhalb einer kurzen Zeit abgeschlossen sein.

Konkret bedeutet letzteres, dass der Gründungsprozess innerhalb von fünf Arbeitstagen realisiert werden soll, sofern die Gründer und Gründerinnen natürliche Personen sind und Musterformulare verwendet werden.

Sind diese Voraussetzungen nicht erfüllt, darf das Gründungsverfahren nicht länger als zehn Arbeitstage dauern. Zweck der Neuerungen ist es, Zeit- und Verwaltungsaufwand bei der Gründung zu reduzieren, aber gleichzeitig die bei Präsenzterminen übliche Rechtssicherheit zu wahren.

Während Gründern einer GmbH oder UG (haftungsbeschränkt) der bislang übliche Gang zum Notar oder Notarin künftig erspart werden kann, ist die Anwesenheit eines Notars/Notarin dennoch Voraussetzung. Die Möglichkeit eines virtuellen Zusammenkommens schafft ein eigens dafür angelegtes Videokommunikationssystem der Bundesnotarkammer.

Durch das Kommunikationssystem der Bundesnotarkammer können die Parteien in Echtzeit miteinander sprechen und Dokumente und Vertragsentwürfe übermitteln.

Die Niederschrift des Gründungsvertrages erfolgt beim Online-Gründungsverfahren elektronisch und die Unterschriften werden durch qualifizierte elektronische Signaturen ersetzt, welche durch das System zur Verfügung gestellt werden.

Nicht zugelassen für die Online-Gründung einer GmbH oder UG (haftungsbeschränkt) ist die Verwendung marktüblicher Videokommunikationssysteme. Zum einen bleibt auf diese Weise der hoheitliche Charakter gewahrt, zum anderen wird dadurch sichergestellt, dass Dritte keinen Zugriff auf die sensiblen Daten bekommen.

Teilnahme nur mit sicherem Identitätsnachweis

Um an dem digitalen Verfahren teilzunehmen, müssen sich die Beteiligten sicher identifizieren können. Für diese elektronische Identifikation ist ein elektronischer Identitätsnachweis erforderlich, wie bspw. der Personalausweis mit eID-Funktion.

Der Notar oder die Notarin gleicht nach dem Einlesen des Identitätsnachweises das Lichtbild mit dem Erscheinungsbild der Beteiligten ab. Die Bundesnotarkammer hat für das Einlesen des Identitätsnachweises eigens eine kostenfreie App zur Verfügung gestellt.

Des Weiteren kommt das digitale Gründungsverfahren nur in Betracht, wenn es sich um eine Bargründung handelt, d.h. die Gesellschafter und Gesellschafterinnen das Stammkapital durch die Zahlung gesetzlicher Zahlungsmittel (Bareinlagen) leisten, anstatt (auch) durch Sacheinlagen.

Die Richtlinie hat es offengelassen, ob das digitale Gründungsverfahren auch für GmbHs und UGs (haftungsbeschränkt) mit Sacheinlagen oder andere Kapitalgesellschaften wie Aktiengesellschaften (AG) gestattet werden soll. Der deutsche Gesetzgeber hat von dieser Möglichkeit jedoch keinen Gebrauch gemacht, sodass der Anwendungsbereich zunächst noch eingeschränkt ist.

Diese Einschränkungen werden zusätzlich dadurch bestärkt, dass die Nutzung der zugelassenen elektronischen Identifikationsmittel den Bürgerinnen und Bürgern der EU-Mitgliedstaaten vorbehalten bleibt. Gesellschafter und Gesellschafterinnen aus Drittstaaten sind somit generell vom Online-Verfahren ausgeschlossen.

Weitere Änderungen durch das DiRUG

Neben dem Online-Gründungsverfahren von GmbHs sieht das DiRUG aber noch weitere digitale Neuerungen vor.

So können zukünftig Beglaubigungen mittels Videokommunikation durch den Notar durchgeführt werden. Dies gilt etwa für Handelsregistereintragungen durch Einzelkaufleute oder Kapitalgesellschaften (GmbH, AG, KGaA oder durch deutsche und EU- oder EWG-Zweigniederlassungen) gem. § 12 Abs. 1 S. 2HGB n.F., oder die Beglaubigung einer elektronischen Signatur gem. § 40a BeurkG n.F..

Darüber hinaus wird die Registerpublizität neugestaltet. Es wird eine “register only”-Lösung eingeführt, welche besagt, dass Bekanntmachungen von Handelsregistereintragungen künftig nur noch durch das erstmalige Abrufen der jeweiligen Informationen über das Registerportal der Länder erfolgt.

Dadurch sollen Redundanzen durch mehrfache Bekanntmachungen entfallen. Der Abruf der Daten aus dem Handelsregister wird gebührenfrei möglich sein. Damit dies umsetzbar ist, zahlen die eingetragenen Rechtsträger eine Bereitstellungsgebühr.

Auch ein grenzüberschreitender Informationsaustausch über disqualifizierte Führungspersonen soll erfolgen.

Das Unternehmensregister wird gem. § 9c HGB n.F. mit der Beantwortung von ausländischen Anfragen und der Weiterleitung von Informationsersuchen deutscher Gerichte betraut. Zudem werden gem. § 6 Abs. 2 S. 3 GmbHG n.F. bzw. § 76 Abs. 3 S. 3 AktG n.F. deutsche Geschäftsführer und Vorstände auch dann disqualifiziert, wenn ihnen im Ausland ein Berufs- oder Gewerbeverbot erteilt wurde.

Zudem findet ein grenzüberschreitender Informationsaustausch über Zweigniederlassungen statt.

Gem. § 13a HGB n.F. werden auch Informationen über ausländische Zweigniederlassungen in EU-/EWR-Staaten eingetragen, sofern sie von einer deutschen Kapitalgesellschaft errichtet wurden. Für ausländische Geschäftsführer und Vorstände entfällt zudem gem. § 37 Abs. 2 AktG n.F. analog bzw. § 8 Abs. 3 GmbHG n.F. analog das Erfordernis einer Versicherung über das Nichtvorliegen von Bestellungshindernissen. Dies gilt jedoch nicht für die gesetzlichen Vertreter von Kapitalgesellschaften aus Drittstaaten.

Fazit

Dass die physische Anwesenheitspflicht beim Notar oder der Notarin entfällt, stellt schon mal eine erhebliche Entlastung dar, vor allem, wenn sich die Parteien an unterschiedlichen Orten oder in unterschiedlichen Ländern aufhalten. Die weiterhin notwendige notarielle Verlesung findet nun online statt. Auch die auf max. 10 Tage begrenzte Antrags-Bearbeitungszeit ist ein attraktiver Aspekt, mit dem sich eine Unternehmensgründung deutlich besser planen lässt.

Schade ist, dass der deutsche Gesetzgeber wohl die zwingenden Vorgaben der Digitalisierungsrichtlinie umgesetzt hat, darüber hinaus aber keine Änderungen bspw. in Bezug auf Online-Gründungen von AGs vorgenommen hat.

Außerdem ist lediglich das Gründungsverfahren in digitaler Form zugelassen, nicht jedoch spätere Satzungsänderungen oder Umwandlungsvorgänge.

Insgesamt ist in Sachen Digitalisierung im Gesellschaftsrecht der Anfang gemacht und es bestehen noch große Ausbaumöglichkeiten.

NOCH FRAGEN?

Wir freuen uns auf Ihre Anfrage zu diesem und weiteren Themen!

KONTAKT AUFNEHMEN

online-Gründung GmbH online-Gründung UG