Aktuelle Entwicklungen zur DSGVO im August

Missverständnisse zur Einwilligung ausräumen!

| Autor / Redakteur: Oliver Schonschek / Peter Schmitz

Bei der DSGVO gibt es noch viel Klärungsbedarf, unter anderem zu Auftragsverarbeitung und Einwilligungen. Die Aufsichtsbehörden für den Datenschutz liefern jetzt erste Klarstellungen.
Bei der DSGVO gibt es noch viel Klärungsbedarf, unter anderem zu Auftragsverarbeitung und Einwilligungen. Die Aufsichtsbehörden für den Datenschutz liefern jetzt erste Klarstellungen. (© fotohansel - stock.adobe.com)

Viele Probleme bei der Umsetzung der Datenschutz-Grundverordnung entstehen dadurch, dass Vorgaben falsch interpretiert werden. Die Aufsichtsbehörden unternehmen einiges an Anstrengungen, um für die notwendige Klarheit zu sorgen. Prominente Beispiele sind die Notwendigkeit der Einwilligung und die Regelung von Auftragsverarbeitungen.

Die Personalleiter kleiner und mittelständischer Unternehmen bewerten die Datenschutz-Grundverordnung (DSGVO) als problematisch, so eine aktuelle Umfrage des ifo Instituts und der Firma Randstad. Der Aufwand, den die Umsetzung der DSGVO mit sich bringt, wird insgesamt am häufigsten als negativer Punkt genannt. Zum einen werden die nicht unerheblichen Kosten der Umsetzung genannt, zum anderen der Arbeitsaufwand, den die Umstellung und die neuen Dokumentationsvorschriften erzeugen. Die Unternehmen bewegt zudem die Angst vor der Abmahn-Maschinerie wegen (angeblicher) Verstöße gegen die DSGVO.

Doch nicht alle Sorgen und Probleme haben eine Berechtigung. Der Aufwand und die Kosten könnten reduziert werden, wenn es mehr Klarheit zur DSGVO gäbe. Viele Datenschutz-Berater berichten davon, dass sie in den Unternehmen auf falsche Vorstellungen und unzureichendes Wissen rund um die DSGVO treffen. Entsprechend hoch ist der Bedarf an Beratung. Hier bieten sich im Rahmen ihrer Ressourcen auch die Aufsichtsbehörden für den Datenschutz an. In rascher Folge veröffentlichen sie FAQ-Listen und stellen eine Hotline für Unternehmen und andere betroffene Stellen zur Verfügung. Ein wesentliches Ziel muss es deshalb sein, dass sich die Unternehmen nochmals genau mit den Vorgaben, aber auch mit ihren Rechten vertraut machen.

Was Aufsichtsbehörden jetzt zur DSGVO verlangen

Aktuelle Entwicklungen zur DSGVO im Juli

Was Aufsichtsbehörden jetzt zur DSGVO verlangen

24.07.18 - Beschwerden und Beratungen zur DSGVO fordern gegenwärtig die Aufsichtsbehörden für den Datenschutz stark. Trotzdem erwarten sie weitere Informationen von den Unternehmen. Auch Prüfungen zur Umsetzung der Datenschutz-Grundverordnung (DSGVO / GDPR) laufen bereits. Wir fassen die aktuelle Entwicklung zusammen und geben Tipps zum weiteren Vorgehen. lesen

Unklarheiten bei der Auftragsverarbeitung

Ein wichtiges Beispiel für weiteren Klärungsbedarf stellen die Auftragsverarbeitungen (Artikel 28 DSGVO) dar. Liegt eine Verarbeitung personenbezogener Daten im Auftrag der verantwortlichen Stelle vor, hat dies eine Reihe von Konsequenzen für die Vertragsinhalte, die notwendigen Prüfungen und die Verantwortlichkeiten für den Datenschutz.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW hat nun dargelegt, wann zum Beispiel Steuerberatungsleistungen als Datenverarbeitung im Auftrag zu sehen sind. Es ist nicht so, dass immer dann, wenn ein Dienstleister personenbezogene Daten für ein Unternehmen verarbeitet, auch eine Auftragsverarbeitung vorliegt. Stattdessen gilt:

  • Entscheidend sind die vertraglichen Aufgabenfestlegungen, zum Beispiel zwischen dem Mandanten und dem Steuerberater.
  • Eine Auftragsverarbeitung liegt dann vor, wenn eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen wird (wie bei der reinen Lohn- und Gehaltsabrechnung).
  • Keine Auftragsverarbeitung ist hingegen bei weisungsunabhängigen Aufgaben oder Dienstleistungen gegeben, wie bei der Erstellung des Jahresabschlusses oder der klassischen Steuerberatung.
  • Es sind auch Mischformen möglich, bei denen dann die Tätigkeiten jeweils entsprechend eingestuft werden müssen und als Auftragsverarbeitung oder eben keine Auftragsverarbeitung zu behandeln sind.

Ein weiterer Punkt bei Auftragsverarbeitungen verdient eine genauere Betrachtung: Wie der Bayerische Landesbeauftragte für den Datenschutz berichtet, wurden bayerische öffentliche Stellen von Auftragsverarbeitern unter anderem mit dem Ansinnen konfrontiert, einer Vertragsklausel zuzustimmen, die dem Auftraggeber eine Vor-Ort-Kontrolle nur gegen ein besonderes Entgelt ermöglicht.

Auch wenn es sich hierbei um öffentliche Stellen handelt und der Bayerische Landesbeauftragte für den Datenschutz auch nur für diese öffentlichen Stellen zuständig ist, gilt der Hinweis auch für Unternehmen, da datenschutzrechtlich auf die DSGVO Bezug genommen wird:

Die Wahrnehmung der Kontrollrechte des Auftraggebers darf aus datenschutzrechtlicher Sicht (Artikel 28 DSGVO) nicht von einem besonderen Entgelt abhängig gemacht werden. Dies gilt gerade auch für Vor-Ort-Kontrollen beim Auftragsverarbeiter. Ein gesondertes Entgelt würde einer Ausübung der Kontrollrechte entgegenwirken.

Auch Unternehmen sollten bei der Prüfung von neuen Auftragsverarbeitungs-Bedingungen sowie bei Verhandlungen über Anpassungen in bestehenden Vertragsbeziehungen darauf achten, dass sie sich für die Ausübung ihrer gesetzlichen Kontrollrechte nicht zu einem besonderen Entgelt verpflichten lassen.

Die DSGVO ist eine Daueraufgabe

Neues eBook „DSGVO und jetzt?“

Die DSGVO ist eine Daueraufgabe

28.05.18 - Mit dem Ende der zweijährigen Übergangszeit muss die Datenschutz-Grundverordnung nun angewendet werden. Die Zeit der Vorbereitung ist vorbei, es beginnt die Phase der dauerhaften Einhaltung der europäischen Datenschutz-Vorgaben. Das eBook „DSGVO und jetzt?“ fasst die wichtigsten Änderungen durch die DSGVO zusammen und gibt Unterstützung zur konkreten Anwendung. lesen

Falsche Vorstellung von dem Bedarf an Einwilligungen

Besonders viel unnötiger Aufwand entsteht durch eine falsche Interpretation, wann eine Einwilligung vorliegen oder nochmals eingeholt werden muss. Verschiedene Aufsichtsbehörden für den Datenschutz haben deshalb klargestellt:

  • In den meisten Fällen kann die Verarbeitung personenbezogener Daten auf gesetzliche bzw. vertragliche Grundlagen gestützt werden. Dann ist keine zusätzliche Einwilligung notwendig.
  • Ist die Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrages erforderlich, kann sie somit auch ohne eine Einwilligung des jeweiligen Vertragspartners durchgeführt werden.
  • Wenn die Verarbeitung personenbezogener Daten über das vertraglich vereinbarte Maß oder den Zweck hinausgehen soll, ist eine gesonderte Einwilligung notwendig.
  • Besteht Unklarheit über die Rechtsgrundlage für eine Datenverarbeitung, ist es vor allem auf Grund der Sicherheit und Transparenz sowohl für verantwortliche Stellen als auch für betroffene Personen nicht schädlich, wenn vorsorglich eine Einwilligung eingeholt wird, so die Aufsichtsbehörden.

Es zeigt sich: Viele (erneut) eingeholte Einwilligungen waren gar nicht erforderlich. Unternehmen sollten sich den Artikel 6 DSGVO nochmals ansehen, denn dort ist die Einwilligung nur eine von mehreren möglichen Rechtsgrundlagen. Weitere mögliche Grundlagen können sein:

  • Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.
  • Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.
  • Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.
  • Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
  • Für Unternehmen gilt zudem diese Option: Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Die Interessenabwägung ist ein wichtiges Instrument für die Datenverarbeitung in Unternehmen, sie muss aber dann auch ausgeführt und dokumentiert werden, wenn sie anstelle der anderen Rechtsgrundlagen zur Anwendung kommen soll.

Bereits diese Klarstellungen durch die Aufsichtsbehörden können Unternehmen dabei helfen, den teilweise unnötigen Aufwand bei der Umsetzung der DSGVO zu reduzieren. Die DSGVO bedeutet zweifellos einiges an Aufwand, doch es wird auch einiges an unnötigem Aufwand betrieben.

Datenschutz ist ein Prozess, kein Projekt

Neues eBook „DSGVO-Compliance“

Datenschutz ist ein Prozess, kein Projekt

30.04.18 - Die Umstellungsarbeiten im Datenschutz laufen bei vielen Unternehmen auf Hochtouren, den Termin 25. Mai 2018 fest im Blick. Wer die Anpassung auf die Datenschutz-Grundverordnung (DSGVO / GDPR) abgeschlossen hat, sollte seine Datenschutzmaßnahmen gleich fortsetzen. Das neue eBook zeigt, was ab dem 25. Mai 2018 ansteht. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45418899 / Compliance und Datenschutz )