Grund für die Zweifel an einem angemessenen Datenschutzniveau sind die in den Vereinigten Staaten gültigen Massenüberwachungsgesetze, die es den Geheimdiensten ermöglichen Ausländer ohne Gerichtsbeschluss zu überwachen. Dies wurde 2013 durch Edward Snowdens Enthüllungen aufgedeckt. Die Befugnisse zur Massenüberwachung wurden nach dem 11. September 2001 zur Terrorismusbekämpfung eingeführt.

Zertifizierte Unternehmen

Der Beschluss erstreckt sich aber nicht auf die gesamten Vereinigten Staaten. US-Unternehmen müssen ein Selbstzertifizierungsverfahren durchlaufen, im Rahmen dessen sie sich verpflichten, bestimmte Datenschutzvorgaben zu erfüllen, um somit ein angemessenes Datenschutzniveau zu gewährleisten. Zertifizierte Unternehmen werden auf der Webseite des Data Privacy Frameworks geführt: https://www.dataprivacyframework.gov/list

Kritik trotz Verbesserungen

Jedoch ist fraglich, ob das Ganze auf Dauer Bestand haben wird. Die beiden Vorgänger des Data Privacy Frameworks – „Safe Harbor“ und „Privacy Shield“ – wurden durch zwei Klagen des Datenschutzaktivisten Maximilian Schrems vor dem Europäischen Gerichtshof für unwirksam erklärt (EuGH, 06.10.2015 – C-362/14 “Schrems I” und EuGH, 16.07.2020 – C-311/18 “Schrems II”). Das wesentliche Problem war, dass sich die US-Geheimdienste theoretisch trotzdem über die Vereinbarungen hinwegsetzen konnten.

Um einem „Schrems III“ vorzubeugen, wurden im Rahmen des Frameworks weitreichendere Maßnahmen getroffen:

• Die US-Geheimdienste müssen nun prüfen, ob ein Zugriff auf die Daten von EU-Bürgern verhältnismäßig ist.
• Es gibt einen Rechtsbehelfsmechanismus, im Rahmen dessen Beschwerden eingereicht und überprüft werden können.

Trotzdem wird auch das Data Privacy Framework von Maximilian Schrems scharf kritisiert. Die von ihm gegründete Nichtregierungsorganisation noyb hält die Verbesserungen für nicht stichhaltig und kündigt an, wieder vor den Europäischen Gerichtshof ziehen zu wollen.

Fazit

Eine Übermittlung von personenbezogenen Daten an US-Unternehmen, die unter dem Data Privacy Framework zertifiziert sind, ist vorerst als rechtssicher zu bezeichnen. Wenn das Framework erneut für unwirksam erklärt werden sollte, müssen Unternehmen Ihre Datenübermittlungen wieder hauptsächlich auf die Verwendung der EU-Standardvertragsklauseln stützen. Diese wurden aber ebenso schon in Frage gestellt, da sich US-Unternehmen kaum an die enthaltenen Verpflichtungen halten können. Leider geht mit dem Einsatz von US-Unternehmen immer ein gewisses Restrisiko einher.

Der Beitrag Data Privacy Framework – Neue Sicherheit für Datenübermittlungen in die USA? erschien zuerst auf Datenschutz-Manager-24.

Für Datenverarbeitungen bedarf es grundsätzlich einer Rechtsgrundlage. Die Verarbeitung kann zum Beispiel erlaubt sein, wenn diese zur Erfüllung eines Vertrags mit den betroffenen Personen (hier der Fahrer der Fahrzeuge) erforderlich sind (Art. 6 Abs. 1 lit. b DSGVO). Das kann auch ein Beschäftigungsverhältnis sein (§ 26 Abs. 1 BDSG). Ob die GPS-Überwachung wirklich erforderlich ist, richtet sich nach der Stellenbeschreibung und der Ausgestaltung des Arbeitsvertrags. Außerdem kann es erforderlich sein, den Betriebsrat einzubinden.

Als Alternative kann das sog. berechtigte Interesse des Betriebs in Frage kommen (Art. 6 Abs. 1 lit. f DSGVO). Hierzu müssen zunächst die Zwecke, zu denen die Ortungsdaten erfasst werden sollen, festgelegt sein. Dient die Erfassung zum Beispiel der Routenplanung oder der Missbrauchsprävention? Außerdem muss die Erfassung der Standortdaten zur Wahrung des Interesses des Betriebs erforderlich sein. Dabei dürfen die Interessen oder Grundrechte der betroffenen Personen nicht überwiegen. Diese Interessenabwägung sollte dokumentiert werden.

Stellt sich die Standortüberwachung als schwerwiegender Eingriff dar und kann nicht auf ein Vertragsverhältnis gestützt werden, wird diese Datenverarbeitung regelmäßig unzulässig sein. Gibt es im Einzelfall eine Rechtfertigung für die Überwachung, sind die folgenden Punkte zu beachten:

Risikoabwägung

Die DSGVO verfolgt einen risikobasierten Ansatz. Deshalb muss für diese Datenverarbeitung eine Risikoabwägung erfolgen. Hier müssen die möglichen Risiken für die betroffenen Personen identifiziert werden. Das kann ein Überwachungsdruck, Missbrauch durch Arbeitgeber etc. sein. Wird das Risiko als „hoch“ eingeschätzt, muss eine sogenannte Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchgeführt werden. Dabei ist der Datenschutzbeauftragte des Unternehmens einzubinden.

Speicherung der Daten

In vielen Fällen kann es ausreichend sein, wenn nur die Livedaten erfasst werden und keine andauernde Speicherung der Standortdaten erfolgt. Hier hat die hessische Datenschutzaufsicht bereits eine Anordnung gegen ein Logistikunternehmen durchgesetzt, welches die Standortdaten nicht mehr speichern, sondern nur noch live tracken durfte.

Das vollständige Urteil zu der Anordnung finden Sie hier: https://www.rv.hessenrecht.hessen.de/bshe/document/LARE220002547

Transparente Information

Die betroffenen Personen müssen vor der ersten Erfassung ihrer Daten transparent und verständlich über den Vorgang informiert werden. Die Inhalte der Information richten sich nach Art. 13 DSGVO. Im Einzelfall muss entschieden werden, wie man den betroffenen Personen diese Information zukommen lassen kann. Mitarbeitern kann man diese sicherlich in gedruckter Form überreichen. Oftmals sind die Nutzer eines Fahrzeugs so aber nicht sicher erreichbar. Dann hat sich als besonders praktikabel die Information durch Aufkleber mit QR-Code in den Fahrzeugen erwiesen. Diese verlinken auf die erforderlichen Informationen, die auf der Internetseite des Verantwortlichen hinterlegt sind.

Technische Besonderheiten

Es gibt eine Reihe von Dienstleistern, die technische Lösungen für die Standortüberwachung anbieten. Bei der Auswahl sollten Sie die Funktionen der Software prüfen. Die Speicherdauer der Daten sollte anpassbar sein. Außerdem sollten die Zugriffsrechte auf die Daten auf die notwendigsten Personen begrenzt werden. In den meisten Fällen handelt es sich bei der Dienstleistung um eine Auftragsverarbeitung, für die ein entsprechender Vertrag nach Art. 28 DSGVO abgeschlossen werden muss.

Der Beitrag GPS-Überwachung von Fahrzeugen erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag DSK-Orientierungshilfe: Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail erschien zuerst auf Datenschutz-Manager-24.

Achtung! Der Originaltext wird derzeit durch die DSK aktualisiert.

Der Beitrag DSK-Kurzpapier Nr. 12: Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern erschien zuerst auf Datenschutz-Manager-24.

Achtung! Der Originaltext wird derzeit durch die DSK aktualisiert.

Der Beitrag DSK-Kurzpapier Nr. 13: Auftragsverarbeitung – Art. 28 DSGVO erschien zuerst auf Datenschutz-Manager-24.

Achtung! Der Originaltext wird derzeit durch die DSK aktualisiert.

Der Beitrag DSK-Kurzpapier Nr. 16: Gemeinsam für die Verarbeitung Verantwortliche – Art. 26 DSGVO erschien zuerst auf Datenschutz-Manager-24.

Wenn Sie (oder Ihre Dienstleister) mit solchen Unternehmen zusammenarbeiten, dann müssen Sie die neuen Standardvertragsklauseln vereinbaren. Hierfür haben Sie bei Altverträgen bis zum 27.12.2022 Zeit. Neuverträge dürfen seit dem 29.09.2021 nur nach den neuen Klauseln abgeschlossen werden.

Aufgrund der Fülle der Arbeiten (siehe Handlungsempfehlungen) sollten Sie mit der Umsetzung nicht zu lange warten. Gute Dienstleister sollten sich diesbezüglich auch schon aktiv bei Ihnen gemeldet haben oder derzeit daran arbeiten.

Besonderheit Vereinigtes Königreich (UK)

Nach dem Austritt von UK aus der EU war lange Zeit unklar, wie mit Datenübermittlungen nach UK umzugehen ist. Zwischenzeitlich hat die EU aber für Klarheit gesorgt und einen sogenannten Angemessenheitsbeschluss erlassen. Dieser attestiert UK ein angemessenes Datenschutzniveau und Daten können wie mit einem Land innerhalb der EU ausgetauscht werden.

Aber Vorsicht: Der Beschluss gilt zunächst nur für vier Jahre!

Handlungsempfehlungen

1. Bestandsaufnahme: Prüfen Sie, ob Daten Ihrer Kunden, Mitarbeiter oder anderen Personen in Ländern außerhalb der EU verarbeitet werden. Fragen Sie diesbezüglich auch bei Auftragsverarbeitern nach. Dabei ist zu beachten, dass Auftragsverarbeiter ggf. mit Konzerngesellschaften oder anderen Dienstleistern außerhalb der EU zusammenarbeiten, die Zugriff haben können.
2. Anfrage nach neuen SCCs: Wenn notwendig, führen Sie bezüglich der neuen Standardvertragsklauseln eine Anfrage bei den betroffenen Partnern an. Wenn diese wiederum Dienstleister einsetzen, fragen Sie nach dem Stand der Verträge hierzu und fordern Sie ggf. eine Kopie der Vereinbarungen zum Nachweis an. Prüfen Sie in jedem Fall auch, ob die gelieferten SCCs die richtigen sind, da es vier verschiedene Module gibt.
3. Anfrage nach Sicherheitsmaßnahmen: Der Abschluss von SCCs allein reicht nicht aus. Es müssen eventuell besondere Sicherheitsmaßnahmen (beispielsweise Serverstandort in der EU, Pseudonymisierung oder Verschlüsselung) umgesetzt werden. Fragen Sie diese bei den Dienstleistern an. Prüfen Sie in jedem Fall, ob durch die Sicherheitsmaßnahmen ein angemessenes Datenschutzniveau hergestellt wird.
4. Protokollierung: Zum Nachweis protokollieren Sie bitte alle Vorgänge. Die Aufsichtsbehörden prüfen internationalen Datenverkehr derzeit über verschiedene Wege.

Der Beitrag Neue Standardverträge für internationale Datenübermittlungen erschien zuerst auf Datenschutz-Manager-24.

Die Datenschutzkonferenz (Zusammenschluss der Aufsichtsbehörden des Bundes und der Länder) stuft bereits eine Wartung von IT-Systemen, bei denen eine Kenntnisnahme von personenbezogenen Daten nicht ausgeschlossen werden kann, als eine Auftragsverarbeitung mit der entsprechenden Notwendigkeit eines Vertrags ein (siehe Seite 3 Kurzpapier Nr: 13).

Auffassung des Europäischen Datenschutzausschusses (EDSA)

Der Europäische Datenschutzausschuss hat hierzu eine etwas differenzierte Einschätzung. Es komme darauf an, ob der Auftragnehmer überhaupt mit der Verarbeitung von personenbezogenen Daten beauftragt wird und ob personenbezogene Daten bei der Wartung lediglich zufällig und in begrenztem Umfang zur Kenntnis genommen werden. In diesen Fällen sei es ausreichend, angemessene technische und organisatorische Maßnahmen zu treffen. Dies könnte z.B. eine Geheimhaltungsvereinbarung oder Vertraulichkeitsverpflichtung für den Dienstleister sein. Eine weitere organisatorische Maßnahme könnte eine Vorgabe an die eigenen Mitarbeiter sein, vor einem Wartungseinsatz Anwendungen und Dokumente mit vertraulichen Daten zu schließen (siehe Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO Version 2.0, Seite 32 Nr. 83: „Beispiel: IT-Berater, der einen Software-Fehler behebt“).

Fazit

Sollte ein Dienstleister im Rahmen eines allgemeinen IT-Supports umfangreichen, systematischen Zugriff auf personenbezogene Daten haben, wird der Abschluss einer Vereinbarung zur Auftragsverarbeitung regelmäßig erforderlich sein. Bei wenigen gelegentlichen Wartungseinsätzen, bei denen ein Zugriff auf personenbezogene Daten auf ein zufälliges Minimum reduziert werden kann, könnte demnach eine Vereinbarung zur Auftragsverarbeitung entbehrlich sein.

Der Beitrag Auftragsverarbeitung bei Wartung von IT-Systemen erschien zuerst auf Datenschutz-Manager-24.

Der Beitrag EDSA-Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO erschien zuerst auf Datenschutz-Manager-24.