Aktuelle Entwicklungen zur DSGVO im August Missverständnisse zur Einwilligung ausräumen!

Viele Probleme bei der Umsetzung der Datenschutz-Grundverordnung entstehen dadurch, dass Vorgaben falsch interpretiert werden. Die Aufsichtsbehörden unternehmen einiges an Anstrengungen, um für die notwendige Klarheit zu sorgen. Prominente Beispiele sind die Notwendigkeit der Einwilligung und die Regelung von Auftragsverarbeitungen.

Anbieter zum Thema

Insider Research

FTAPI Software GmbH

valvisio international AG

Die Personalleiter kleiner und mittelständischer Unternehmen bewerten die Datenschutz-Grundverordnung (DSGVO) als problematisch, so eine aktuelle Umfrage des ifo Instituts und der Firma Randstad. Der Aufwand, den die Umsetzung der DSGVO mit sich bringt, wird insgesamt am häufigsten als negativer Punkt genannt. Zum einen werden die nicht unerheblichen Kosten der Umsetzung genannt, zum anderen der Arbeitsaufwand, den die Umstellung und die neuen Dokumentationsvorschriften erzeugen. Die Unternehmen bewegt zudem die Angst vor der Abmahn-Maschinerie wegen (angeblicher) Verstöße gegen die DSGVO.

Doch nicht alle Sorgen und Probleme haben eine Berechtigung. Der Aufwand und die Kosten könnten reduziert werden, wenn es mehr Klarheit zur DSGVO gäbe. Viele Datenschutz-Berater berichten davon, dass sie in den Unternehmen auf falsche Vorstellungen und unzureichendes Wissen rund um die DSGVO treffen. Entsprechend hoch ist der Bedarf an Beratung. Hier bieten sich im Rahmen ihrer Ressourcen auch die Aufsichtsbehörden für den Datenschutz an. In rascher Folge veröffentlichen sie FAQ-Listen und stellen eine Hotline für Unternehmen und andere betroffene Stellen zur Verfügung. Ein wesentliches Ziel muss es deshalb sein, dass sich die Unternehmen nochmals genau mit den Vorgaben, aber auch mit ihren Rechten vertraut machen.

Aktuelle Entwicklungen zur DSGVO im Juli

Was Aufsichtsbehörden jetzt zur DSGVO verlangen

Unklarheiten bei der Auftragsverarbeitung

Ein wichtiges Beispiel für weiteren Klärungsbedarf stellen die Auftragsverarbeitungen (Artikel 28 DSGVO) dar. Liegt eine Verarbeitung personenbezogener Daten im Auftrag der verantwortlichen Stelle vor, hat dies eine Reihe von Konsequenzen für die Vertragsinhalte, die notwendigen Prüfungen und die Verantwortlichkeiten für den Datenschutz.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW hat nun dargelegt, wann zum Beispiel Steuerberatungsleistungen als Datenverarbeitung im Auftrag zu sehen sind. Es ist nicht so, dass immer dann, wenn ein Dienstleister personenbezogene Daten für ein Unternehmen verarbeitet, auch eine Auftragsverarbeitung vorliegt. Stattdessen gilt:

• Entscheidend sind die vertraglichen Aufgabenfestlegungen, zum Beispiel zwischen dem Mandanten und dem Steuerberater.

• Eine Auftragsverarbeitung liegt dann vor, wenn eine Aufgabe ohne eigene Entscheidungskompetenzen übertragen wird (wie bei der reinen Lohn- und Gehaltsabrechnung).

• Keine Auftragsverarbeitung ist hingegen bei weisungsunabhängigen Aufgaben oder Dienstleistungen gegeben, wie bei der Erstellung des Jahresabschlusses oder der klassischen Steuerberatung.

• Es sind auch Mischformen möglich, bei denen dann die Tätigkeiten jeweils entsprechend eingestuft werden müssen und als Auftragsverarbeitung oder eben keine Auftragsverarbeitung zu behandeln sind.

Ein weiterer Punkt bei Auftragsverarbeitungen verdient eine genauere Betrachtung: Wie der Bayerische Landesbeauftragte für den Datenschutz berichtet, wurden bayerische öffentliche Stellen von Auftragsverarbeitern unter anderem mit dem Ansinnen konfrontiert, einer Vertragsklausel zuzustimmen, die dem Auftraggeber eine Vor-Ort-Kontrolle nur gegen ein besonderes Entgelt ermöglicht.

Auch wenn es sich hierbei um öffentliche Stellen handelt und der Bayerische Landesbeauftragte für den Datenschutz auch nur für diese öffentlichen Stellen zuständig ist, gilt der Hinweis auch für Unternehmen, da datenschutzrechtlich auf die DSGVO Bezug genommen wird:

Die Wahrnehmung der Kontrollrechte des Auftraggebers darf aus datenschutzrechtlicher Sicht (Artikel 28 DSGVO) nicht von einem besonderen Entgelt abhängig gemacht werden. Dies gilt gerade auch für Vor-Ort-Kontrollen beim Auftragsverarbeiter. Ein gesondertes Entgelt würde einer Ausübung der Kontrollrechte entgegenwirken.

Auch Unternehmen sollten bei der Prüfung von neuen Auftragsverarbeitungs-Bedingungen sowie bei Verhandlungen über Anpassungen in bestehenden Vertragsbeziehungen darauf achten, dass sie sich für die Ausübung ihrer gesetzlichen Kontrollrechte nicht zu einem besonderen Entgelt verpflichten lassen.

Neues eBook „DSGVO und jetzt?“

Die DSGVO ist eine Daueraufgabe

Falsche Vorstellung von dem Bedarf an Einwilligungen

Besonders viel unnötiger Aufwand entsteht durch eine falsche Interpretation, wann eine Einwilligung vorliegen oder nochmals eingeholt werden muss. Verschiedene Aufsichtsbehörden für den Datenschutz haben deshalb klargestellt:

• In den meisten Fällen kann die Verarbeitung personenbezogener Daten auf gesetzliche bzw. vertragliche Grundlagen gestützt werden. Dann ist keine zusätzliche Einwilligung notwendig.

• Ist die Verarbeitung personenbezogener Daten zur Erfüllung eines Vertrages erforderlich, kann sie somit auch ohne eine Einwilligung des jeweiligen Vertragspartners durchgeführt werden.

• Wenn die Verarbeitung personenbezogener Daten über das vertraglich vereinbarte Maß oder den Zweck hinausgehen soll, ist eine gesonderte Einwilligung notwendig.

• Besteht Unklarheit über die Rechtsgrundlage für eine Datenverarbeitung, ist es vor allem auf Grund der Sicherheit und Transparenz sowohl für verantwortliche Stellen als auch für betroffene Personen nicht schädlich, wenn vorsorglich eine Einwilligung eingeholt wird, so die Aufsichtsbehörden.

Es zeigt sich: Viele (erneut) eingeholte Einwilligungen waren gar nicht erforderlich. Unternehmen sollten sich den Artikel 6 DSGVO nochmals ansehen, denn dort ist die Einwilligung nur eine von mehreren möglichen Rechtsgrundlagen. Weitere mögliche Grundlagen können sein:

• Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.

• Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.

• Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

• Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

• Für Unternehmen gilt zudem diese Option: Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Die Interessenabwägung ist ein wichtiges Instrument für die Datenverarbeitung in Unternehmen, sie muss aber dann auch ausgeführt und dokumentiert werden, wenn sie anstelle der anderen Rechtsgrundlagen zur Anwendung kommen soll.

Bereits diese Klarstellungen durch die Aufsichtsbehörden können Unternehmen dabei helfen, den teilweise unnötigen Aufwand bei der Umsetzung der DSGVO zu reduzieren. Die DSGVO bedeutet zweifellos einiges an Aufwand, doch es wird auch einiges an unnötigem Aufwand betrieben.

Neues eBook „DSGVO-Compliance“

Datenschutz ist ein Prozess, kein Projekt

(ID:45418899)