19. November 2019

Facebook Fanpages: Änderungen bei Facebook Insights

Nach einem Urteil des Europäischen Gerichtshofs (EuGH) und einem Beschluss der Datenschutzkonferenz (DSK) aus dem letzten Jahr, die feststellten, dass Fanpages auf Facebook nicht rechtskonform betrieben werden können, reagierte Facebook bereits mit der Ergänzung einer Vereinbarung zur gemeinsamen Datenverarbeitung mit Fanpage-Betreibern nach Art 26 DSGVO in seinen Nutzungsbedingungen. Problematisch war für den Gerichtshof vor allem, dass Facebook mit den Betreibern solcher Fanpages keine Verträge zur gemeinsamen Datenverarbeitung geschlossen hat.

Lesen sie hier, welche Änderungen Facebook im November 2019 an dem Passus zur gemeinsamen Datenverarbeitung vorgenommen hat und was Betreiber von Facebook Fanpages jetzt zu beachten haben.

Trotz der Ergänzung der AGB verblieben Zweifel daran, ob Facebook Fanpages DSGVO-konform betrieben werden können. Ungeklärt bleiben musste die Frage nach der Rechtsgrundlage aus Art. 6 Abs. 1 S. 1 DSGVO für die Datenverarbeitung auf Seiten des Betreibers der Fanpage.
Ein berechtigtes Interesse nach Art 6 Abs. 1 S. 1 f DSGVO kann darin gesehen werden, dass die Seitenbetreiber mehr Nutzer durch besser auf ihre Zielgruppe abgeschirmte Posts erreichen können. Dagegen spricht zwar die Ansicht der DSK, jedoch ist diese umstritten. Bis diese Frage durch die Rechtsprechung entschieden wurde, verbleiben Fanpage-Betreiber weiter im Unklaren über die Möglichkeiten eines DSGVO-konformen Trackings. Insofern hat auch die Veränderung der AGB zu Insights durch Facebook nichts an der Uneindeutigkeit der Rechtslage geändert.

Was genau hat Facebook geändert?

Mit dem Update durch Facebook sind die AGB zu Facebook Insights deutlich umfangreicher geworden.

Facebook nennt das Kind endlich beim Namen und erkennt in den Geschäftsbedingungen zu Insights an, dass das Unternehmen und die Fanpage-Betreiber „gemeinsam Verantwortliche gemäß Artikel 26 DSGVO für die Verarbeitung dieser personenbezogenen Daten[„Insights-Daten“]“ sind. Dieser Passus war zwar zuvor schon vorhanden, ist jedoch durch die Nennung der Norm eindeutiger geworden.

Weiterhin erklärt Facebook seinerseits eindeutig und im Klartext, welche technisch-organisatorischen Maßnahmen (TOM) eingesetzt werden, um die verarbeiteten Daten vor unberechtigtem Zugriff zu schützen.

TOM: Welche Pflichten müssen Fanpage-Betreiber erfüllen?

Facebook übernimmt zwar durch seine AGB einen großen Teil der Pflichten im Rahmen der gemeinsamen Verarbeitung nach Art. 26 DSGVO, aber das bedeutet nicht, dass die Fanpage-Betreiber nicht auch in der Verantwortung stehen. Sie sollten weiterhin die folgenden Punkte beachten:

Es ist wichtig, dass Sie auf Ihrer Fanpage eine Datenschutzerklärung bereit stellen, in der genannt wird, wer auf Seiten des Fanpage-Betreibers Verantwortlicher ist und zu welchen Zwecken sowie auf welcher Rechtsgrundlage Daten verarbeitet werden. Die Erklärung sollte zudem auch nähere Ausführungen zum berechtigten Interesse an der Datenverarbeitung nach Art 6 Abs. S. 1 f DSGVO enthalten, wenn dieses die gewählte Rechtsgrundlage für die Datenverarbeitung ist. Weiterhin sollte die Erklärung einen Link zu Facebooks Informationen über Insights enthalten.
Bis jetzt ist noch nicht eindeutig geklärt, ob die AGB-Passagen zu Facebook-Insights eine wirksame Vereinbarung zur gemeinsamen Datenverarbeitung nach Art. 26 DSGVO sind. Es gibt gute Gründe, die dafür sprechen, jedoch sehen die Datenschutzbehörden das ganze bisher anders. Bis diese Frage abschließend durch die Rechtsprechung geklärt wurde, sollten Seitenbetreiber aufmerksam die Entwicklung Facebook Insights verfolgen.
Wichtig ist auch, dass Sie Betroffenenanfragen, die Insights betreffen, innerhalb von sieben Kalendertagen an Facebook weiterleiten. Dazu sind Sie laut den AGB verpflichtet. Darunter könnten auch Anfragen zu fassen sein, die generell danach fragen, welche Daten Ihr Unternehmen zu einer natürlichen Person verarbeitet. Dagegen sprechen jedoch gleich mehrere Gründe: Facebook gibt über Insights nur anonymisierte Daten weiter und auf Facebook herrscht für User auch keine Klarnamenspflicht. Das heißt, dass Sie die Daten, die über Insights verarbeitet werden, in den allermeisten Fällen gar nicht dem Anfragenden zuordnen können. Mithin sind Sie auch nicht dazu verpflichtet solch allgemeine Anfragen an Facebook weiterzuleiten.

Wenn Sie diese Punkte bereits beim Betrieb ihrer Fanpage beachten, ändert sich auch durch die AGB Änderung auf Seiten von Facebook nichts. Sie können also weiterhin Facebook Insights zur Optimierung Ihrer Fanpage nutzen, ohne in Konflikt mit der DSGVO zu stehen.

Mehr zum Thema

18. September 2023

Alternativen zum klassischen Cookie-Banner – Paywalls, PUR-Modelle und PIMS

Das Werbetracking bietet Telemedienanbieterinnen und -anbietern die Möglichkeit, den Nutzerinnen und Nutzern personalisierte Werbung auszuspielen und damit die Darstellung ihrer Inhalte zu finanzieren. Der folgende Beitrag untersucht die rechtlichen Herausforderungen personalisierter Werbung und zeigt praktische Lösungsansätze auf.
Weiterlesen
12. Juli 2023

Die wichtigsten Fragen zu Datenübermittlung an US-Dienste: Was bedeutet der neue EU-US Datenschutzrahmen für Unternehmen?

Die Europäische Kommission hat einen neuen Angemessenheitsbeschluss nach Artikel 45 Abs. 3 der DSGVO für die USA erlassen: Das „EU-US Data Privacy Framework“ (EU-US-Datenschutzrahmen). Damit stellt die Kommission nach dem vom EuGH im Juli 2020 gekippten Privacy Shield erneut fest, dass die USA ein angemessenes Schutzniveau für aus der EU übermittelte personenbezogene Daten gewährleisten können.
Weiterlesen
24. April 2023

Digitales Marketing und Datenschutz – Handlungsempfehlungen für E-Commerce-Unternehmen

Gerade aufgrund des riesigen Online-Angebots für sämtliche Produkte und Dienstleistungen sowie der in der Vergangenheit aufgetretenen Datenschutzvorfälle bei großen Online-Händlern, kann effektiver und gut umgesetzter Datenschutz für E-Commerce-Unternehmen bei der Ansprache von Kund:innen ein unersetzliches Asset darstellen. Wir geben einen Überblick!
Weiterlesen

7. November 2019

Microsoft 365 und Datenschutz — passt das zusammen?

Office ist von modernen Arbeitsplätzen nicht wegzudenken. Inzwischen wird aber fast überall die cloudbasierte Version Microsoft 365 – früher Office 365 – genutzt, die neben allen praktischen Vorteilen datenschutzrechtliche Risiken mit sich bringt. Eine negative Datenschutz-Folgenabschätzung im Auftrag der niederländischen Regierung, das vorläufige Verbot zum Einsatz von Microsoft 365 in Schulen durch den hessischen Datenschutzbeauftragten sowie das Abraten des Bundesdatenschutzbeauftragten haben viele Anwender und Entscheider verunsichert. In diesem Artikel zeigen wir auf, welche Risiken genau beim Einsatz solcher Produkte drohen. Darüber hinaus geben wir einen Einblick darin, welche dieser Risiken Sie vermeiden können.

Umfangreiche Datenverarbeitungen

Problematisch ist in erster Linie, dass Microsoft nicht transparent arbeitet bzw. dies in der Vergangenheit nicht immer getan hat. Das gilt zum Beispiel für die sogenannte Telemetrie. Diese wird verwendet, um Diagnose- und Metadaten über die Nutzung und Leistung von Anwendungen und Anwendungskomponenten zu sammeln. In der Regel geschieht das, um die Software sicherer zu machen oder Fehler zu finden und zu beseitigen.
Diagnosedaten gehen über die zur Verwendung von Office notwendig verarbeiteten Daten hinaus und werden laut Microsoft für die Verbesserung und die Sicherheit der Dienste verwendet. Sie können über eine ID den Nutzern zugeordnet werden. Nutzer können in den Einstellungen die Verarbeitung der Diagnosedaten reduzieren. Metadaten sind Zusatzinformationen über die Office-Nutzung wie beispielsweise das Erstellungsdatum von Dateien, Titel oder Autor.
Bis vor kurzem bot Microsoft keine umfassenden Dokumentations- oder Einstellungsmöglichkeiten und kein Datenanzeigetool für einen genauen Überblick über die mittels Telemetrie gesammelten Daten. Das hat sich durch die Implementierung des sogenannten „Microsoft Diagnostic Data Viewers“ geändert. In diesem Tool können die Office-Nutzer nachvollziehen, welche Daten bei der Office-Nutzung unter welchen Datenschutzeinstellungen erfasst werden. Zudem hat das Unternehmen die Verwendung von Diagnosedaten minimiert. Sie werden nur noch für drei statt zuvor acht Verwendungszwecke verarbeitet.
Viele dieser Telemetrie- und Diagnosedaten sind personenbezogen im Sinne des Art. 4 Nr. 1 Datenschutz-Grundverordnung („DSGVO“). Für ihre Verarbeitung bedarf es daher einer Rechtsgrundlage. Infrage kommt hier vor allem das berechtigte Interesse von Unternehmen nach Art. 6 Abs. 1 lit. f DSGVO an der Nutzung von geräteunabhängigen Office-Dokumenten für die reibungslose Zusammenarbeit innerhalb des eigenen Teams. Laut der im Auftrag der niederländischen Regierung durchgeführten Datenschutz-Folgenabschätzung gibt es aber bislang bei den meisten Datenverarbeitungen keine Gründe, weshalb ein Personenbezug überhaupt erforderlich sei.

Auf datenschutzrechtliche Vereinbarungen achten

Microsoft sieht sich bisher im Verhältnis zum Lizenznehmer von Microsoft 365 primär in der Rolle des Auftragsverarbeiters. Ob ein Unternehmen nach Art. 28 DSGVO als Auftragsverarbeiter tätig ist, hängt insbesondere davon ab, ob es weisungsgebunden tätig wird, keine eigene Entscheidungskompetenz über die Verarbeitung der Daten hat und ob ihm die Zwecke und Mittel der Verarbeitung vorgegeben werden. Jedoch deuten die von Microsoft angegebenen Zwecke für die Verarbeitung von Diagnosedaten, wie zum Beispiel der Einsatz für Produktentwicklung und die Unterstützung von maschinellem Lernen, nicht auf eine weisungsgebundene Verarbeitung hin. Weil für diese Verarbeitungen keine Vorgaben in den Online Service Terms (OST, Vertragsbedingungen für die Nutzung von Microsoft 365) gemacht werden, ist eher von einer Datenverarbeitung in gemeinsamer Verantwortung nach Art. 26 DSGVO auszugehen. Damit diese rechtmäßig ist, muss jedoch zumindest vereinbart werden, welcher Partner Pflichten nach der DSGVO, wie zum Beispiel die Wahrung von Betroffenenrechten und die Einhaltung von Informationspflichten, übernimmt. Der Abschluss datenschutzrechtlicher Verträge mit Microsoft ist weiterhin nur in Form der OST möglich. Diese können von Microsoft einseitig geändert werden. Das kann nachteilig sein, datenschutzrechtlich ist es allerdings zulässig.

Weitere Probleme beim Datenschutz

Die Office-Telemetriedaten und systemgenerierten Ereignisprotokolle werden für mindestens 30 Tage und höchstens bis zu 18 Monate auf Microsofts US-Servern gespeichert. Die Daten können auch noch länger gespeichert werden, wenn ein einzelnes Microsoft-Team eine eigene Teilmenge von Daten exportiert hat. Mittlerweile ist es allerdings für die Administratoren auf Nutzerseite jederzeit möglich, die bei Microsoft hinterlegten Telemetriedaten zu löschen. Einen weiteren wichtigen Schritt tätigte das Unternehmen mit dem Angebot für Geschäftskunden, Microsoft 365 über deutsche Server nutzen zu können das nun stetig ausgebaut werden soll. Allerdings ist hier zu beachten, dass Microsoft weiterhin Daten für seine eigenen Zwecke verarbeitet und das Verbleiben der Daten innerhalb der EU in vollem Umfang jedenfalls fraglich ist.

Daraus ergeben sich folgende Datenschutzrisiken:

Es ist für Unternehmen aufgrund mangelnder Transparenz nicht immer möglich, einen Überblick über die spezifischen Risiken für mit Microsoft 365 verarbeitete Daten zu gewinnen (dies gilt aktuell vor allem für die browserbasierten Versionen und Apps).
Die diskussionswürdige Einordnung von Microsoft als Auftragsverarbeiter anstelle einer gemeinsamen Verantwortlichkeit im Sinne von Art. 26 DSGVO.
Die fehlende Zweckbindung sowohl für die Verarbeitung historisch gesammelter Diagnosedaten als auch die Möglichkeit, neue Ereignisse dynamisch hinzuzufügen. Das widerspricht Art. 5 Abs. 1 b DSGVO, nach dem die Zwecke der Datenverarbeitung bereits zum Zeitpunkt der Erhebung der Daten feststehen müssen.
Die Übermittlung von Diagnosedaten außerhalb des EWR. Diese erfolgt momentan auf der Grundlage des EU-US Privacy Shields, dessen weiterer Bestand aufgrund eines Verfahrens vor dem Europäischen Gerichtshofs fraglich ist. Die Tatsache, dass Microsoft lokale Server innerhalb der EU anbietet, ist daher zu begrüßen und sollte entsprechend genutzt werden.
Darüber hinaus ist noch nicht geklärt, wie der CLOUD-Act (Clarifying Lawful Overseas Use of Data Act) sich auf die Herausgabepraxis von bei Microsoft gespeicherten Daten gegenüber amerikanischen Behörden auswirken wird.
Problematisch ist auch die unbestimmte Aufbewahrungsdauer von Diagnosedaten. Eine unbestimmte Speicherdauer verstößt in vielen Fällen gegen die Pflicht aus Art. 17 Abs. 1 DSGVO, personenbezogene Daten zu löschen.

Folgen für die Praxis

Die umfassende und teilweise nebulöse Verarbeitung von Telemetriedaten durch Microsoft 365 bringt datenschutzrechtliche Herausforderungen mit sich. Mittlerweile ist es für Administratoren möglich, diese stark einzuschränken oder komplett zu unterbinden. Vorläufig sollten Administratoren das Senden von Telemetriedaten für Microsoft 365 komplett unterbinden und Programme aus dem Office-Paket, für die das noch nicht möglich ist, nicht für die Nutzung freigeben. Mit einem erhöhten Datenschutzrisiko verbunden, ist zudem die Web-Version von Microsoft 365, auf die am besten verzichtet werden sollte. Wer den Cloud-Dienst OneDrive nutzt, sollte zumindest auf die Speicherung vertraulicher Informationen verzichten.

Weiterhin kritisch ist auch die Nutzung von Controller Connected Experiences wie z.B. Übersetzungsdiensten. Bei diesen sammelt Microsoft Nutzungsdaten in einem nicht bekannten Umfang. So lange Microsoft dort nicht für Klarheit sorgt, sollten diese Dienste deaktiviert werden. Wenn Microsoft dem einzelnen Anwender in verständlicher Sprache und hinreichend deutlich darlegen kann, welche Daten bei der Nutzung dieser Dienste verarbeitet werden, ist ein rechtmäßiger Einsatz vorstellbar.

Weiterhin sollte der Ausgang des EuGH Verfahrens zum Privacy Shield (Rechtssache Schrems II) genauso wie die lokale Datenspeicherung von Microsoft genau beobachtet werden. Problematisch ist auch, dass US-Strafverfolgungsbehörden durch den CLOUD-Act die Möglichkeit erhalten auf alle bei US-Unternehmen gespeicherten Daten unabhängig vom Speicherort zuzugreifen. Nach amerikanischer Rechtsauffassung ist das entgegen der bisherigen Rechtspraxis auch ohne ein Rechtshilfeersuchen an die zuständigen europäischen Sicherheitsbehörden möglich. Microsoft hat versichert, Auskunftsersuchen von Behörden nur stattzugeben, wenn zunächst ein Kontakt zwischen amerikanischer Behörde und europäischem Betroffenen hergestellt wurde. Ob Microsoft dieses Versprechen halten kann, wird sich zeigen.

Um der unbegrenzten Speicherung der bereits erhobenen Telemetriedaten zu entgehen, sollten Administratoren die mittlerweile von Microsoft bereitgestellten Löschtools nutzen. Die Erfassung von Telemetriedaten kann und sollte auf Anwenderseite auf die niedrigste Stufe „Sicherheit“ eingestellt werden. Darüber hinaus sollten Unternehmen Microsoft dazu drängen, Verträge für die Datenverarbeitung in gemeinsamer Verantwortung nach Art. 26 DSGVO abzuschließen. Je nachdem welche Dienste aus dem 365-Paket genutzt werden, sollte auch eine Datenschutz-Folgenabschätzung durchgeführt werden.

Ebenfalls zum Paket gehört Microsoft Teams, ein Messenger und Tool für Videokonferenzen. Nicht erst seit Aufkommen der Corona-Pandemie wird die Anwendung häufig für die Unternehmenskommunikation genutzt. Für Unternehmen empfehlen sich hier die kostenpflichtigen Versionen bzw. die in Microsoft 365 integrierte Version, um alle Sicherheitseinstellungen wie Mehr-Faktor-Authentifizierungen auszuschöpfen, um einen rechtskonformen Einsatz zu gewährleisten. Bei der Nutzung von Microsoft Teams gilt ebenfalls, dass der öffentliche Austausch vertraulicher Informationen vermieden werden sollte.

Mit den hier genannten Maßnahmen und dank der von Microsoft vorgenommenen Verbesserungen kann Microsoft 365 aus unserer Sicht bis auf Weiteres datenschutzkonform genutzt werden. Auf Grund der hier aufgezeigten Risiken gibt es allerdings keine dauerhafte Garantie für den datenschutzkonformen Einsatz von Microsoft 365. Diese Risiken sind auch der Grund dafür, dass Unternehmen, die diese Software bereits einsetzen oder einen Einsatz planen, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen und datenschutzfreundliche Nutzereinstellungen vornehmen sollten.

Mehr zum Thema

6. Februar 2024

Digital Operational Resilience Act (DORA): Umsetzung der Anforderungen durch professionelle Beratung

In einer Welt, in der Cyber-Attacken und IT-Pannen zu den größten Bedrohungen für den Finanzsektor geworden sind, ist proaktives Handeln keine Option mehr, sondern eine Notwendigkeit. Der europäische Gesetzgeber hat dies mit der Einführung des Digital Operational Resilience Act (DORA) klar zum Ausdruck gebracht. Wir unterstützen Sie bei der Umsetzung.
Weiterlesen
26. Januar 2024

Verzeichnis von Verarbeitungstätigkeiten (VVT) einfach erklärt – mit Checkliste zum Download

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten (VVT) erstellen? Wie wird er aufgebaut? Wie oft muss das VVT aktualisiert und überprüft werden? In welcher Form und Sprache muss das VVT geführt werden? Eine Übersicht mit Checklisten und Tipps.
Weiterlesen
9. Januar 2024

Effektive Datenschutz-Risikoanalysen: Anwendungsbereiche und Vorteile des Threat Modeling

In Zeiten zunehmender Cyberbedrohungen können Unternehmen durch die Mitigation von Datenschutzrisiken nicht nur sich selbst und ihre Beschäftigten vor Bedrohungen bewahren, sondern vor allem auch den Schutz ihrer Kund:innen effektiver gewährleisten. Ein Schlüsselelement der Risikoanalyse ist das sogenannte Threat Modeling. Wir erläutern, was Threat Modeling beinhaltet und wie es speziell in der Datenschutzberatung eingesetzt wird.
Weiterlesen

24. Oktober 2019

Anonymisierung von Gesundheitsdaten – Theorie und Praxis

Dass Daten unheimlich wertvoll sein können und sich mit Big Data unzählige neue Möglichkeiten ergeben, ist längst kein Geheimnis mehr. Daten sind begehrt und auch der Gesundheitssektor bildet da keine Ausnahme. Im Gegenteil: Große Datenmengen werden beispielsweise in Krankenhäusern in der Regel ohnehin schon erhoben (z.B., wenn Computertomografie-Scans gespeichert oder Daten über den körperlichen Zustand aufgenommen werden). Zum anderen lassen sich mit der Zusammenführung all dieser Daten immer bessere Analysen erzielen. Unter dem Stichwort „Big Data“ können aus großen und ungeordneten Datenmengen Gesetzmäßigkeiten herausgelesen werden, mit denen Krankheiten immer besser verstanden und bekämpft werden können.

Keine Daten ohne Datenschutz?

Doch auch angesichts dieser sicherlich begrüßenswerten Ziele werden gegen die uneingeschränkte Nutzung von Big Data-Anwendungen einige datenschutzrechtliche Bedenken angemeldet – auch und gerade im Gesundheitsbereich. Denn fast alle dieser erhobenen Daten sind sogenannte personenbezogene Daten, die die EU-Datenschutz-Grundverordnung („DSGVO“) in Art. 4 Nr. 1 als Informationen definiert, „die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Zum Schutz dieser Personen, der „Betroffenen“, werden der Datenverarbeitung einige Schranken auferlegt. Im Gesundheitsbereich gelten sogar noch strengere Vorgaben, da Gesundheitsdaten als besonders sensibel und damit besonders schutzwürdig eingestuft werden. Damit ist allerdings nicht gemeint, dass sich die DSGVO neuen Technologien in den Weg stellen möchte. Vielmehr soll zunächst vor allem auch die Transparenz der Datenverarbeitung verbessert werden, was im Ergebnis auch dazu führen kann, dass das Vertrauen der betroffenen Personen in die Rechtsmäßigkeit und Sicherheit der Verarbeitung ihrer Daten gestärkt wird.

Wer sich nun möglichst wenig mit den datenschutzrechtlichen Vorgaben auseinandersetzen möchte, kann auf das Mittel der Anonymisierung von Daten zurückgreifen. Dabei wird der Personenbezug der Daten derart aufgehoben, dass sie keine personenbezogenen Daten mehr darstellen – damit sind datenschutzrechtliche Regelungen (insbesondere die DSGVO) nicht mehr anwendbar. Zwar können Big Data-Anwendungen grundsätzlich auch auf der Basis von nicht-anonymisierten personenbezogenen Daten durchgeführt werden, doch müssen dann alle datenschutzrechtlichen Anforderungen der DSGVO erfüllt werden. Das ist im Gesundheitsbereich sehr oft nicht oder nur mit hohem Aufwand möglich, da allein schon die Erfüllung der Informationspflichten bei großen Datenmengen sehr arbeitsintensiv sein kann. In vielen Fällen fehlt es auch an einer gesetzlichen Rechtsgrundlage für die gewünschte Verarbeitung der Daten, so dass dann auf eine Einwilligung der Betroffenen zurückgegriffen werden muss, die allerdings jederzeit auch widerrufen werden kann. Nach einer Anonymisierung der Daten hingegen gilt die DSGVO nicht mehr und die Daten können zu Forschungs- oder sonstigen Zwecken genutzt werden, ohne dass datenschutzrechtliche Anforderungen oder Beschränkungen (wie z.B. auch der Zweckbindungsgrundsatz) beachtet werden müssen.

Was Anonymisierung bedeutet

Zunächst sollte die Anonymisierung nicht mit der Pseudonymisierung von Daten verwechselt werden. Unter Pseudonymisierung ist die Verarbeitung von Daten in der Weise zu verstehen, dass sie in der Folge nur dann noch einer spezifischen Person zugeordnet werden können, wenn man hierzu auf zusätzliche und gegebenenfalls an anderer Stelle vorhandene Informationen zurückgreifen kann, die es erlauben, einen konkreten Personenbezug (wieder) herzustellen. Die betroffene Person ist dann zwar nicht mehr „bestimmt“, aber immer noch „bestimmbar“. Die Bestimmbarkeit reicht allerdings aus, um solche Informationen noch als personenbezogene Daten einzuordnen. Für anonyme Daten hingegen besteht auch unter Hinzuziehung zusätzlicher Angaben keine Möglichkeit, sie auf eine bestimmte Person zu beziehen. Die DSGVO muss deshalb bei anonymen Daten nicht beachtet werden, weil für niemanden mehr ein datenschutzrechtliches Risiko besteht.

Das klingt allerdings einfacher, als es in der Praxis oftmals tatsächlich ist. Denn da es für anonymisierte Daten keinerlei datenschutzrechtliche Vorgaben mehr gibt, muss zum Schutz der Personen, auf die sich das ursprüngliche Datenmaterial bezieht, der Personenbezug auch wirklich zweifelsfrei unmöglich gemacht worden sein – entsprechend hoch kann der mit dem Anonymisierungsprozess verbundene Aufwand sein. Auch das gilt für das Gesundheitswesen wieder in besonderem Maße. Denn neben ihrer Sensibilität weisen Gesundheitsdaten oftmals einen hohen Grad an Individualität auf, welcher die Identifizierung der betroffenen Personen unter Umständen auch dann noch möglich macht, wenn sonstige Klarangaben oder IDs (wie zum Beispiel eine Patientennummer o.Ä.) fehlen bzw. gelöscht werden. Zudem können systemarchitektonische Umstände dazu führen, dass eine Anonymisierung nicht ohne Weiteres umsetzbar ist. Das kann insbesondere dann der Fall sein, wenn die Aufhebung des Personenbezugs eigentlich die Löschung einer bestimmten Angabe (wie z.B. eine Patientennummer) erfordern würde, dieser Angabe aber eine systemarchitektonische Funktion zukommt und ihre Löschung zum Zusammenbruch des Verarbeitungssystems oder zu Funktionseinschränkungen führen würde. Um eine Anonymisierung doch erreichen zu können, gibt es verschiedene Verfahren, von denen einige im Folgenden vorgestellt werden.

Die Methode in der Praxis

Zuvor aber ist zu beachten, dass auch der Vorgang der Anonymisierung für sich genommen eine Datenverarbeitung im Sinne der DSGVO darstellt. Als solche bedarf auch die Anonymisierung selbst einer Rechtsgrundlage, um rechtmäßig zu sein. In Betracht kommen sowohl die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) als auch die Verarbeitung zugunsten wissenschaftlicher Forschung oder statistischer Zwecke (§ 27 BDSG). Die Anforderungen daran sind in den meisten Fällen allerdings vergleichsweise gering, da der Personenbezug ja gerade entfernt wird.

Zurück zur eigentlichen Anonymisierung: Was also muss mit den Daten nun gemacht werden? Werden einfach Name und Adresse entfernt, reicht das in aller Regel nicht aus, um die Daten zu anonymisieren. Aus den übrigen Daten (beispielsweise über Krankheitsbilder oder verabreichte Medikamente in Kombination mit dem behandelnden Arzt oder auch nur dem Wohnort) lässt sich oft trotzdem die betreffende Person schnell identifizieren. Einheitliche Vorgaben, die man erfüllen muss, um eine Anonymisierung zu erreichen, gibt es leider nicht – denn welche Maßnahmen zur Anonymisierung genau notwendig sind, hängt immer von der Datenlage im konkreten Fall ab. Je individueller und einzigartiger die Daten, desto mehr muss verändert werden. Seltene Attribute sollten also in aller Regel entfernt werden. Für ein besseres Ergebnis gibt es sechs gängige Anonymisierungstechniken (diese werden häufig unterschiedlich betitelt), die auch miteinander kombiniert werden können, wenn nicht sogar auch miteinander kombiniert werden sollten.

Mit der Methode der Verallgemeinerung können die Maßstäbe der jeweiligen Datensätze vergrößert werden, sodass die Daten keiner einzelnen Person mehr zugeordnet werden können. Die Verallgemeinerung muss dabei einerseits groß genug sein, um den Personenbezug ausschließen zu können; andererseits darf sie nicht so groß sein, dass die jeweilige Information ihre Aussagekraft völlig verliert: Erhalten alle Patienten innerhalb einer verallgemeinerten Gruppe aufgrund der Verallgemeinerung im Ergebnis das gleiche Medikament, hat die Verallgemeinerung wenig genützt.

Bei der Methode der Nichtangabe wird das zu schützende Datum nicht verwendet, also einfach weggelassen. Zum Beispiel kann bereits durch eine Löschung einer ganzen Tabellenspalte einer Datenbank eine Anonymisierung erfolgen. Letztlich ist die Nichtangabe die sicherste Methode Daten zu Anonymisieren, solange genügend Daten nicht angegeben worden sind.

Greift man auf die Methode der Maskierung/Ersetzung zurück, werden die zu schützenden Daten mit einer Konstanten oder sich ändern den Wert, Zeichen oder Zeichenkette ersetzt. Sobald der Tag und der Monat von Geburtsdaten jeweils auf „00“ geändert wird oder die Namen auf feste Zeichenkette z.B. Max Mustermann umgestellt werden erfolgt bereits dadurch eine Maskierung. Eine Maskierung kann auch erfolgen in dem das Datum durch mit einem sich erhöhendem Wert ersetzt wird.

Ein(e) Verwürfelung/Tausch der in den Datensätzen enthaltenen Werte erfolgt bei der Mischungs-/Shuffelingsmethode. Die Grundlage für diese Durchmischung sollte eine Zufallsverteilung sein, die jedem Datenfeld die Daten bzw. Teilmenge der Daten eines anderen Datenfeldes zuordnet, wodurch letztlich ein neuer Datensatz gebildet wird.

Durch die sog. Varianzmethode werden die Werte zahlenbasierter Daten erhöht oder verringert, ohne dabei die Aussage der Statistik zu verändern. Das lässt sich mit Veränderungen wie des Geburtsdatums vom 14. auf den 17. August oder der Körpergröße von 1,77 m auf 1,72 m erreichen. Ähnlich ist das Vertauschen einzelner Werte, indem die verschiedenen Attribute einfach anderen Personen zugeordnet werden. Das verändert nicht die statistische Aussage und kann dennoch dazu führen, dass nicht mehr klar ist, welche Gesundheitsdaten zu welcher Person gehören.

Letztlich kann eine Anonymisierung der Daten auch durch die sogenannten Kryptografischen Methoden erfolgen. Hierbei kommen Verschlüsselungs- und/oder Hash-Algorithmen zum Einsatz die die verschiedenen Daten soweit automatisiert anonymisieren.

Fazit

Trotz allem gibt es durchaus kritische Stimmen, die die Methode der Anonymisierung für das Gesundheitswesen grundsätzlich in Frage stellen und davon ausgehen, dass sich bei Gesundheitsdaten, will man sie noch vernünftig verwenden, ein Personenbezug fast immer wieder herstellen lässt. Doch letztlich muss von Fall zu Fall entschieden werden, ob die vorhandenen Methoden ausreichend und ob die am Ende verallgemeinerten, geänderten oder vertauschten Daten für die Verwendung zu den gewünschten Zwecken noch geeignet sind. Denn nur wenn es gelingt, einen Datensatz zu generieren, bei dem die Identifizierung der Betroffenen nicht mehr möglich oder aufgrund des erforderlichen unverhältnismäßigen Aufwands praktisch nicht mehr durchführbar ist, sind die Daten anonymisiert und frei verwendbar. Ist das nicht möglich, müssen alle datenschutzrechtlichen Vorgaben beachtet werden. Grundsätzlich lässt sich festhalten, dass Datenschutz und neue Technologien wie Big Data-Anwendungen auch im Gesundheitswesen miteinander vereinbar sind. Will man sich bei der Verarbeitung und Auswertung von Daten und Informationen darauf berufen, dass diese vor der Verarbeitung anonymisiert wurden, sollten die Anforderungen und Möglichkeiten einer datenschutzrechtlich sicheren Anonymisierung in der Praxis sorgfältig geprüft und beachtet werden.

Mehr zum Thema

23. April 2024

Informationssicherheit im Gesundheitssektor – neue Regeln für die Cybersecurity

Mit der zunehmenden Vernetzung und der fortschreitenden Digitalisierung des Gesundheitswesens ist der Schutz informationstechnischer Systeme zu einem zentralen Anliegen der Branche geworden. Denn funktionierende IT-Systeme sind eine wesentliche Voraussetzung für die Sicherheit der Versorgung im Allgemeinen und die Patientensicherheit im Besonderen.
Weiterlesen
12. Juli 2023

Die wichtigsten Fragen zu Datenübermittlung an US-Dienste: Was bedeutet der neue EU-US Datenschutzrahmen für Unternehmen?

Die Europäische Kommission hat einen neuen Angemessenheitsbeschluss nach Artikel 45 Abs. 3 der DSGVO für die USA erlassen: Das „EU-US Data Privacy Framework“ (EU-US-Datenschutzrahmen). Damit stellt die Kommission nach dem vom EuGH im Juli 2020 gekippten Privacy Shield erneut fest, dass die USA ein angemessenes Schutzniveau für aus der EU übermittelte personenbezogene Daten gewährleisten können.
Weiterlesen
22. März 2023

Joint Controller Agreement: Vorteile und Herausforderungen der gemeinsamen Verantwortlichkeit

Die Vereinbarung über die gemeinsame Verantwortlichkeit („Joint Controller Agreement“ oder auch kurz „JCA“ genannt) erscheint vielen Verantwortlichen in der Praxis noch immer als kompliziert und umständlich. Doch zu Unrecht: Mit der sorgfältigen Ausgestaltung des Agreements können verantwortliche Unternehmen von vielen Vorteilen profitieren, Effizienzgewinne durch vorausschauende Prozessgestaltung erzielen und ein entsprechendes effektives Risikomanagement betreiben.
Weiterlesen

17. Oktober 2019

Personenbezogene Daten: Verarbeitung DSGVO-konform

Die Datenschutz-Grundverordnung (DSGVO) wirkt nun seit über einem Jahr. Zentrales Anliegen der DSGVO ist die Regelung der Verarbeitung von personenbezogenen Daten. Dabei definiert die DSGVO personenbezogene Daten einerseits selbst, unterscheidet andererseits aber auch zwischen verschiedenen Kategorien personenbezogener Daten und stellt für ihre rechtmäßige Verarbeitung unterschiedliche Anforderungen. Im Folgenden soll ein Überblick über Wesensmerkmale personenbezogener Daten nach der DSGVO gewährt und auf die Besonderheiten bestimmter Kategorien personenbezogener Daten eingegangen werden.

Hintergrund: Personenbezogene Daten – Der Einstieg in die DSGVO

Zunächst stellt sich die Frage, weshalb die Definition von personenbezogenen Daten so bedeutsam ist. Die Antwort darauf liegt nahe und wird von der DSGVO selbst geliefert: Sie findet nur dann Anwendung, wenn personenbezogene Daten verarbeitet werden. Geschützt werden sollen dabei aber nicht in erster Linie die Daten selbst, sondern die dahinterstehenden „natürlichen Personen“. Gemeint sind damit alle Einzelpersonen bzw. Menschen ab ihrer Geburt. Ausgenommen sind damit Daten von Unternehmen, Anstalten, Stiftungen etc. als so genannte juristische Personen. Der Schutz der Datenschutz-Grundverordnung greift damit auch im Falle von Fake-Profilen, erfundenen Identitäten und anderen Konstellationen, in denen es an existierenden Menschen fehlt, nicht ein.

Was sind personenbezogene Daten?

Die DSGVO selbst definiert als personenbezogene Daten „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person“ beziehen. Ob Daten personenbezogen sind, hängt nach der DSGVO damit entscheidend davon ab, ob die betroffene Person dadurch identifizierbar wird. Nach der DSGVO ist dies nicht nur dann der Fall, wenn die Daten selbst sofort eine Identifizierung ermöglichen (etwa die Angaben zu Namen, Alter, Aussehen), sondern auch dann, wenn sie erst durch die Zuordnung oder Zusammenführung mit anderen Informationen oder Daten eine solche Identifizierung ermöglichen. Erfasst sind damit alle Daten, die in irgendeiner Form einer Person zugeordnet werden können. Dazu zählen etwa die Telefonnummer, das KFZ-Kennzeichen oder Personal- und Kundennummern. Die Identität einer Person kann sich dabei als genetische, geistige, wirtschaftliche, kulturelle oder soziale Identität ergeben.

Nach dem Schutzzweck der DSGVO ist das Kriterium der personenbezogenen Daten möglichst weit auszulegen, um einen umfangreichen Schutz zu ermöglichen. Demgemäß werden auch weniger eindeutige Informationen wie die IP-Adresse (soweit deren Zusammenführung mit anderen Daten eine Identifizierung ermöglicht), Arbeitszeiterfassungen oder Standorte zu personenbezogenen Daten gezählt. Auch subjektive Informationen, wie Beurteilungen (etwa der Kreditwürdigkeit) können personenbezogene Daten darstellen. Natürlich sind auch solche Informationen erfasst, die sich ohne Wörter, Buchstaben und Zahlen ergeben, wie bspw. das Foto einer Person.

Aus diesen Kriterien leitet sich auch ab, dass Daten, welche nur ein Unternehmen oder eine juristische Person betreffen (z.B. reine Verkaufszahlen eines Produktes) nicht unter den Schutzbereich der DSGVO fallen. Natürlich können diese Daten aber im Hinblick auf andere Gesetze relevant sein, zum Beispiel im Bereich des Geheimnisschutzes.

Rechtliche Bedeutung

Liegen personenbezogene Daten vor und werden diese verarbeitet, greift grundsätzlich der Schutz der Datenschutz-Grundverordnung (DSGVO). Für die allgemeinen personenbezogenen Daten folgt daraus, dass bei ihrer Verarbeitung die Grundsätze der Datensparsamkeit, Transparenz, Rechtmäßigkeit, Zweckbindung (Daten dürfen nur zu dem Zweck verarbeitet werden, zu dem sie auch erhoben wurden), Richtigkeit, Integrität und Vertraulichkeit, Speicherbegrenzung (Daten sollen nur solange gespeichert werden, wie es der Verarbeitungszweck erfordert) sowie die Rechenschaftspflicht (v.a. Dokumentation der verarbeiteten Daten und entsprechenden Vorgänge) eingreifen. Wichtigste Folge dieser Grundsätze ist, dass die Verarbeitung von personenbezogenen Daten grundsätzlich verboten ist, es sei denn es liegt eine spezielle Erlaubnisnorm bzw. Rechtsgrundlage vor. Die wichtigsten Rechtsgrundlagen sind dabei die Einwilligung des Betroffenen, das Überwiegen der Interessen des verarbeitenden Unternehmens gegenüber den Rechten und Interessen der betroffenen Person oder eine (sonstige) gesetzliche Grundlage. Dieses sog. Verbot mit Erlaubnisvorbehalt greift aber eben nur dann ein, wenn es wirklich um die Verarbeitung von personenbezogenen Daten geht. Verstöße gegen das Erfordernis einer Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten werden mit zum Teil hohen Bußgeldern belegt.

Wichtig und immer wieder ins Gedächtnis zu rufen ist dabei, dass der Schutz der DSGVO dann greift, wenn durch Daten eine Identifizierbarkeit der betroffenen Person entsteht. Unternehmen stehen hierbei häufig vor der Frage, ob sie die Anwendbarkeit der DSGVO (und damit drohende Bußgelder) ausschließen können, wenn sie Daten pseudonymisieren oder anonymisieren. Die Pseudonymisierung von Daten ändert nichts an der Anwendbarkeit der DSGVO, da auch Daten, die in Gruppen (etwa männliche Bewohner der Stadt M zwischen 40-50) oder Pseudonymen („user1“) erhoben werden, die Identifizierung einer bestimmten Person durch Zusammenführung mit anderen Daten ermöglichen. Allerdings tragen Pseudonymisierungen zur Datensicherheit und Datensparsamkeit bei und erleichtern Unternehmen damit die Einhaltung der Datenschutz-Grundverordnung. Dagegen fallen anonymisierte Daten gar nicht unter den Schutz der DSGVO, da im Falle einer vollständigen Anonymisierung gerade keine Identifizierbarkeit der betroffenen Person mehr besteht. Dabei ist allerdings zu beachten, dass eine vollständige Anonymisierung oft schwer zu erreichen und in bestimmten Fällen (z.B. bei Vorliegen von genetischen Daten) sogar unmöglich ist.

Besonders schutzwürdige personenbezogene Daten

Während personenbezogene Daten wegen der aus ihnen folgenden Identifizierbarkeit unter dem allgemeinen Schutz der DSGVO (Verbot der Verarbeitung mit Erlaubnisvorbehalt) stehen, sieht die DSGVO für besonders schutzwürdige personenbezogene Daten einen noch umfangreicheren Schutz vor. Zu diesen besonderen Kategorien personenbezogener Daten gehören Angaben zur rassischen oder ethnischen Herkunft, zur politischen Meinung, zu religiösen oder weltanschaulichen Überzeugungen, zu einer Gewerkschaftszughörigkeit, zum Sexualleben oder der sexuellen Orientierung und insbesondere Gesundheitsdaten, genetische und biometrische Daten.

Voraussetzungen für die Verarbeitung besonders schutzwürdiger personenbezogener Daten

Natürlich gilt das Verbot mit Erlaubnisvorbehalt auch und gerade bei der Verarbeitung besonders schutzwürdiger personenbezogener Daten. Demgemäß ist auch für die Verarbeitung dieser Daten eine Rechtsgrundlage gemäß Artikel 6 DSGVO erforderlich. Darüber hinaus verlangt die DSGVO aber in Artikel 9 weitere besondere Anforderungen für eine rechtmäßige Verarbeitung solcher Daten. Dabei sind verschiedene Rechtfertigungsmöglichkeiten, etwa die öffentliche Gesundheitsfürsorge (z.B. Schutz vor sich ausbreitenden Epidemien durch umfassende Information der Bevölkerung), die vorherige Veröffentlichung entsprechender Daten durch die betroffene Person selbst, Schutz lebenswichtiger Rechte und Interessen (Patient im Koma) oder die Geltendmachung eigener Rechte im Gerichtsverfahren genannt.

Die für die Praxis wichtigste Rechtsgrundlage für die Verarbeitung besonders sensibler Daten gemäß Artikel 9 DSGVO ist aber die Einwilligung des Betroffenen. Diese Einwilligung unterscheidet sich insoweit von der (allgemeinen) Einwilligung für die Verarbeitung (allgemeiner) personenbezogener Daten, als dass sie erkennbar gesondert (auch) für die Verarbeitung von z.B. Gesundheitsdaten für einen genau festgelegten Zweck erteilt werden muss. Dem Betroffenen muss außerdem deutlich sein, was Gesundheitsdaten sind. Wird die Einwilligung im Rahmen der allgemeinen Einwilligung eingeholt, ist dementsprechend auf eine besondere Hervorhebung zu achten. Zudem kann die Einwilligung für die Verarbeitung besonders geschützter Daten anders als die normale Einwilligungserklärung nicht durch konkludentes bzw. schlüssiges Verhalten erklärt werden, sondern muss im obigen Beispiel ausdrücklich und unzweifelhaft auf Gesundheitsdaten bezogen sein. Der Betroffene muss vorher auf die besondere Schutzbedürftigkeit dieser Daten hingewiesen werden. Wie alle Einwilligungserklärungen muss auch diese speziell freiwillig erfolgen, wobei aber an die Freiwilligkeit wegen der betroffenen besonders schutzwürdigen Daten höhere Anforderungen zu stellen sind. Sie fehlt etwa, wenn die Einwilligung Voraussetzung für eine Gegenleistungen ist, auf die der Betroffene ohnehin einen Anspruch hat (wie Lohn). Sie liegt dagegen in der Regel vor, wenn dem Betroffenen durch die Einwilligung besondere Vorteile erwachsen.

Unternehmen ist zu raten beim Umgang mit besonders schutzwürdigen personenbezogenen Daten nicht nur die Einwilligungserklärung und das dazugehörige Verfahren entsprechend anzupassen, sondern auch die Vorgaben der DSGVO zu technischen und organisatorischen Maßnahmen sowie zum Datenschutz durch Design (etwa von Websites) genau auf den Schutz solcher Daten anzupassen, da die Konsequenzen einer unrechtmäßigen Weitergabe von solchen Daten für Betroffene besonders intensiv sein können. So sollte explizit darauf geachtet werden, dass die Einwilligung in die Verarbeitung von Gesundheitsdaten sich auch auf die Weitergabe solcher Daten bezieht, soweit dies zum Verarbeitungszweck (etwa Ermittlung der richtigen Medikation) erforderlich ist.

Fazit

Die DSGVO gibt sehr genaue Kriterien für das Vorliegen von personenbezogenen Daten im Allgemeinen und für besondere Kategorien von personenbezogenen Daten vor. Halten sich Unternehmen an diese Vorgaben, kann das Risiko für Datenschutzverstöße minimiert werden. Ein besonderes Augenmerk ist immer auf das Kriterium der Identifizierbarkeit von Personen zu richten, um zu bestimmen ob die Datenschutz-Grundverordnung Anwendung findet.

7. Oktober 2019

Due Diligence: Prüfung der datenschutzrechtlichen Risiken

Nach den ersten Bußgeldern aufgrund von Datenschutzverstößen im Jahr 2018 sind sich heute die meisten Unternehmen der Risiken, die mit fehlender Datenschutzkonformität einhergehen, bewusst. Wie jedoch weitere Bußgelder und Sanktionen der Aufsichtsbehörden in den letzten Monaten zeigen, kommt Datenschutz im Rahmen der Unternehmens-Compliance dennoch weiterhin oftmals zu kurz. Sträflich vernachlässigt wird die Prüfung der Einhaltung der gesetzlichen Anforderungen an den Datenschutz nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) anscheinend auch beim Unternehmenserwerb (Mergers & Acquisitions).

Die Übernahme von datenschutzrechtlichen Risiken

Auch wenn die erwerbenden Unternehmen die eigene Einhaltung der datenschutzrechtlichen Anforderungen im Blick haben, prüfen sie dennoch regelmäßig nicht, ob das verkaufende Unternehmen (sog. Target) seinerseits die datenschutzrechtlichen Vorgaben einhält und die Anforderungen an die IT-Sicherheit sicherstellt bzw. in der Vergangenheit sichergestellt hat.
Dies kann jedoch schnell drastische Folgen in Form von Sicherheitslücken und datenschutzrechtlichen Risiken, aber auch einem erheblichen „eingekauften“ Bußgeldrisiko nach sich ziehen, für das der Erwerber haftet.

Ein aktuelles Beispiel für ein solches Versäumnis und deren Folgen ist das bei der britischen Datenschutzbehörde (ICO) anhängige Bußgeldverfahren gegen die Hotelkette Marriott. Satte 110 Millionen Euro Bußgeld drohen Marriott wegen einer Datenschutzpanne, die ihren Ursprung bei der Hotelkette Starwood hat. Hacker hatten sich nach bisherigen Erkenntnissen bereits im Jahr 2014 Zugang zu den IT-System von Starwood verschafft und konnten so auf dort gespeicherte Kundendaten zugreifen.

Als Marriott im Jahr 2016 die Hotelkette Starwood erwarb, blieb dies wohl aufgrund fehlender Überprüfung der IT-Infrastruktur und eines unterbliebenen datenschutzrechtlichen Audits unerkannt. Neben dem Bußgeld, das Marriott nun droht, dürfte vermutlich auch der Kaufpreis angesichts der bestehenden Risiken und der mangelhaften IT-Sicherheit sowie Datenschutz-Compliance „zu hoch“ ausgefallen sein. Von dem bei Marriott eingetretenen einem erheblichen Image-Schaden ganz zu schweigen.

Dieses Beispiel zeigt recht deutlich, dass im Vorfeld von Unternehmenszusammenführungen (Mergers & Acquisitions) genau geprüft werden sollte, wie es um Datenschutz und IT-Sicherheit im zu übernehmenden Unternehmen steht.

Eine Prüfung des zu übernehmenden Unternehmens auf bestehende datenschutzrechtliche Risiken, Einhaltung der DSGVO und des BDSG sowie die Sicherheit der IT-Infrastruktur lässt sich ohne Weiteres in eine im Rahmen des Erwerbs stattfindende sog. „Due Diligence“ integrieren. Einen Teil der Due Diligence stellt die Legal Due Diligence dar, also die Überprüfung der rechtlichen Aspekte des zu kaufenden Unternehmens.

Datenschutzrechtliche Aspekte innerhalb der Legal Due Diligence

Der Fall Marriott hat deutlich gemacht, dass Datenschutzrecht im Rahmen einer Due Diligence geprüft werden sollte. Datenschutzrechtliche Risiken können sich an verschiedenen Stellen im zu erwerbenden Unternehmen verbergen und erheblichen Schaden anrichten.

Insbesondere folgende Fragen sollten daher im Rahmen der Due Diligence geklärt werden:

Verarbeitet das zu kaufende Unternehmen personenbezogene Daten?

Im Rahmen der datenschutzrechtlichen Due Diligence ist zu prüfen, ob das zu kaufende Unternehmen rechtmäßig personenbezogene Daten verarbeitet. Das ist beispielsweise der Fall, wenn E-Mail-Adressen sowie Namen von Kunden abgespeichert werden, um ihnen Newsletter zukommen zu lassen. Dazu benötigt das Unternehmen jedoch eine Einwilligung des Kunden. Wird bei der Due Diligence festgestellt, dass diese nicht vorliegt, bedeutet das im Umkehrschluss, dass das zu kaufende Unternehmen rechtswidrig handelt. Es ist daher einem hohen Risiko ausgesetzt, Sanktionen von Datenschutzbehörden auferlegt zu bekommen. Aus diesem Grund müssen die Kundendaten, zu denen keine Einwilligung vorliegt, gelöscht werden und der Newsletterversand an diese Kunden fällt als wichtiges Werbemittel weg. Dies kann sich stark auf den Umsatz des Unternehmens auswirken und ist somit ein großer Negativfaktor für den Käufer des Unternehmens.

Hält das Unternehmen die Grundsätze der Datenverarbeitung nach der DSGVO ein?

Die DSGVO enthält einige Grundsätze, die bei der Verarbeitung personenbezogener Daten eingehalten werden müssen. So besagt der Grundsatz der Zweckbindung, die Daten dürften nur zu dem oder den Zwecken genutzt werden, zu denen sie auch erhoben wurden (z.B. E-Mail-Adressen nur zum Newsletterversand, wenn die Einwilligung auch nur dafür erteilt wurde und nicht für weitere Marketingzwecke). Nach dem Grundsatz der Richtigkeit muss zudem immer dafür gesorgt werden, dass die Daten auf dem neuesten Stand sind. Damit geht einher, dass sobald eine Unrichtigkeit festgestellt wird, die Daten gelöscht oder korrigiert werden müssen.

Insbesondere die Beachtung des datenschutzrechtlichen Grundsatzes der Integrität und Vertraulichkeit sollte im Rahmen der Due Diligence geprüft werden. Dieser schreibt die Gewährleistung der Sicherheit und des Schutzes der personenbezogenen Daten vor Verlust, Zugriff unbefugter Dritter sowie Zerstörung und Schädigung durch geeignete technische und organisatorische Maßnahmen vor. Gerade die Beachtung dieses Grundsatzes durch die Starwood Hotelkette hätte beim Kauf durch Marriott überprüft werden müssen. Dabei hätte die Sicherheitslücke im IT-System erkannt werden können.

Werden weitere wichtige Pflichten nach der DSGVO beachtet?

Verantwortliche müssen unter anderem durch technische und organisatorische Maßnahmen (TOM) sicherstellen, dass Daten sicher verarbeitet werden. Dazu müssen beispielsweise dem neuesten Stand der Technik entsprechende IT-Systeme eingesetzt werden und technologische Entwicklungen verfolgt werden. Die zu treffenden Maßnahmen sind dabei unter anderem am Risiko der Datenverarbeitung zu orientieren, so sind bei der Verarbeitung sensibler Daten erhöhte Anforderungen zu beachten. Zu geeigneten TOMs zählen unter anderem die Pseudonymisierung und Verschlüsselung von personenbezogenen Daten.

Des Weiteren kann ein Unternehmen die Pflicht treffen, mit einem anderen Unternehmen einen Auftragsverarbeitungsvertrag (AVV) abzuschließen. Das ist in den Konstellationen der Fall, in denen ein anderes Unternehmen weisungsgebunden mit einer datenverarbeitenden Dienstleistung beauftragt wird, z.B. beim Cloud Computing. Das Auftragsverarbeitungsverhältnis ist von gemeinsamer und getrennter Verantwortlichkeit abzugrenzen. Im Rahmen der Legal Due Diligence sollte daher geprüft werden, ob diese Abgrenzung zutreffend vorgenommen wurde oder fälschlicherweise kein AVV abgeschlossen wurde bzw. ein Vertrag über die Verarbeitung in Gemeinsamer Verantwortlichkeit (Joint Controllership Agreement) hätte abgeschlossen werden sollen.

Fazit: Ohne Prüfung der datenschutzrechtlichen Risiken wird der Unternehmenskauf zum Risiko

Leider hat das Datenschutzrecht im rechtlich höchst herausfordernden Gebiet des Unternehmenskaufs noch nicht den Stellenwert, der ihm zukommen sollte. So werden datenschutzrechtliche Risiken nur selten im Rahmen der Due Diligence geprüft. Der Fall Marriott zeigt jedoch, dass sich dies zu einem erheblichen finanziellen und wirtschaftlichen Risiko entwickeln kann. Diesem Risiko kann vorgebeugt werden, indem das zu erwerbende Unternehmen von Datenschutz- und IT- Sicherheitsexperten gründlich auf die Einhaltung der Vorgaben der DSGVO und dem BDSG durchleuchtet wird.

Obwohl bei vielen Unternehmenskäufen im Rahmen der Due Diligence dem Datenschutz noch wenig Beachtung zukommt, haben unsere Experten der ISiCO Datenschutz GmbH bereits Erfahrung bei der Kundenberatung in diesem Bereich vorzuweisen. Wir kennen die möglichen datenschutzrechtlichen Risiken und beraten unsere Kunden umfassend, damit ihr Unternehmenskauf ein Erfolg wird. Möchten Sie mehr zu diesem Thema wissen? Kontaktieren Sie uns gerne!

1. Oktober 2019

Update: Datenschutz im Krankenhaus: Ein Überblick

Update 20.09.2021

Krankenhäuser diagnostizieren Krankheiten, sie heilen und pflegen ihre Patienten. Diese wichtige Tätigkeit geschieht jedoch nicht im luftleeren Raum, sie ist gesetzlich reguliert. Viele Daten zu erheben, ist dabei für die Ärzte, Schwestern und Pfleger zwingend notwendig. Gesundheitsdaten betreffen einen sehr sensiblen Teil der Persönlichkeit. Es ist daher nur folgerichtig, dass die Datenschutz-Grundverordnung (DSGVO) in ihrem Artikel 9, die Landeskrankenhaus- und andere Spezialgesetze und das durch § 203 StGB sanktionierte ärztliche Berufsgeheimnis strenge Anforderungen an die Handhabung dieser Daten stellen.

Gerade in den letzten Jahren gab es seitens des Gesetzgebers viele Neuerungen und Initiativen, die mehr Daten- und Patientensouveränität, aber auch vereinfachte und transparente Behandlungs- und Abrechnungsabläufe versprechen. Exemplarisch zu nennen sind hier die elektronische Patientenakte (ePA) und das Patientendatenschutzgesetz (PDSG). Das Krankenhauszukunftsgesetz (KHZG) stellt dabei finanzielle Unterstützung zur Verfügung, die die Länder bis zum 31. Dezember 2021 beantragen können, damit Krankenhäuser in die Digitalisierung und ihre IT-Sicherheit und in moderne Notfallkapazitäten investieren können.

Im Lichte der neuen gesetzlichen Vorgaben und den daraus resultierenden Entwicklungen in Bezug auf den Schutz von Patientendaten und zur Anbindung an die Telematik-Infrastruktur von Krankenhäusern, gibt dieser Beitrag deshalb einen Einblick in die relevantesten Anforderungen. Viele in diesem Beitrag angesprochenen Fragen verdienen natürlich eine vertiefte Erläuterung. Hilfreiche weiterführende Artikel zu diesen Themen haben wir in den jeweiligen Passagen verlinkt.

Einführung

Gesundheitsdaten sind solche personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Nach Artikel 9 Abs. 1 der DSGVO ist die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt. Davon kann nur abgewichen werden, wenn eine der gesetzlichen Ausnahmen vorliegt (sog. „Generelles Verbot mit Erlaubnisvorbehalt“). Eine solche Ausnahme ist im Bundesdatenschutzgesetz (dort § 22 Abs. (1) BDSG) sowie in den länderspezifischen Landeskrankenhausgesetzen (für Berlin zum Beispiel: §24 Abs. 2 bis 7 oder §25 LKG Bln) normiert. Diese Gesetze erlauben die Verarbeitung von Patientendaten, insbesondere im Rahmen von Behandlungsverträgen.

Weiterhin sind alle Daten, die im Zusammenhang mit dem Behandlungsverhältnis erhoben wurden (einschließlich der Tatsache, dass diese stattfand) vom ärztlichen Berufsgeheimnis nach § 203 StGB geschützt. Werden diese ohne gesetzliche Erlaubnis an Dritte weitergegeben, drohen Haftstrafen von bis zu drei Jahren. Des Weiteren anwendbar und zu beachten sind die datenschutzrechtlichen Vorgaben weiterer bereichsspezifischer Spezialgesetze wie zum Beispiel der Sozialgesetzbücher V und X, des Infektionsschutzgesetz, der Röntgenverordnung oder der Krebsregistergesetze (einschließlich gegebenenfalls bestehender diesbezüglicher landesspezifischer Staatsverträge).

Pflichten zum Schutz von Patientendaten

Der Schutz von Patientendaten wird durch zahlreiche Pflichten konkretisiert. Die Wichtigsten sind:

Ein Verzeichnis der Verarbeitungstätigkeiten ist nach Artikel 30 DSGVO zu erstellen.
Die Patienten sind nach Artikel 13 DSGVO über bestimmte Umstände der Datenverarbeitung zu informieren.
Meldepflichten bei Datenschutzvorfällen nach den Artikeln 33 und 34 der DSGVO werden aufgrund der hohen Sensibilität von Patientendaten regelmäßig zu beachten sein.
Aus demselben Grund wird bei der Einführung neuer Systeme bzw. Verarbeitungstätigkeiten regelmäßig eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO notwendig sein, wenn in diesem Rahmen Patientendaten verarbeitet werden sollen.

Mit der Wirksamkeit des Patientendaten-Schutz-Gesetzes (PDSG) zum 1. Januar 2021 sind auch neue Regelungen des Datenschutzes und der Datensicherheit hinzugekommen:

§ 306 Abs. 3 SGB V n.F. betont nochmals den besonderen Schutzbedarf der zu den besonderen Kategorien im Sinne von Artikel 9 DSGVO gehörenden Daten und ordnet ein entsprechend hohes Schutzniveau an. Diesem ist durch Artikel 32 DSGVO Rechnung zu tragen. Artikel 32 DSGVO schreibt vor, dass personenbezogene Daten durch, dem Risiko angemessene, technisch-organisatorische Maßnahmen geschützt werden.
§307 SGB V n.F. regelt die datenschutzrechtliche Verantwortlichkeit der Telematikinfrastruktur. Nach dieser Norm müssen Daten, aufgrund des höheren Datenaustauschs im Gesundheitswesen, nun noch umfangreicher geschützt werden. Die Person, die die Mittel bereithält und nutzt, um mit der Telematikinfrastruktur zu arbeiten, ist auch für den Schutz der Daten verantwortlich. Genauer muss sie die zugehörige Datenschutzerklärung bereitstellen, der Informationspflicht nachkommen und andere Aufgabe im Datenschutz erfüllen.
Betreiber von Diensten und Komponenten innerhalb der Telematikinfrastruktur sind nun verpflichtet, Störungen und Sicherheitsmängel unverzüglich der gematik zu melden, § 329 Abs. 2 SGB V. Bei Verstoß droht ein Bußgeld von bis zu 300.000 Euro, § 395 Abs. 3 SGB V.

Betroffenenrechte im Gesundheitswesen

Den Betroffenen von Datenverarbeitungen — hier also den Patienten— stehen nach dem dritten Kapitel der DSGVO bestimmte Betroffenenrechte zu. Wichtig ist, diese zunächst zu erkennen und dann rasch und vollständig zu beantworten. Das bekannteste, aber bei weitem nicht das einzige, ist das Recht auf Auskunft über die verarbeiten Daten (Auskunftsrecht). Grundsätzlich kann der Patient nach Artikel 15 DSGVO Auskunft über die zu ihm gespeicherten Daten vom Krankenhaus verlangen. Dieses Recht kann jedoch aufgrund von Art. 9 Abs. 4 DSGVO in Verbindung mit § 630g BGB beschränkt werden, wenn der Patient Einsicht in seine Patientenakte verlangt. In § 630g BGB ist ein gleichgerichtetes zivilrechtliches Recht aus dem zugrundeliegenden Behandlungsvertrag geregelt. Danach kann die Einsichtnahme in seltenen Fällen unter anderem dann verwehrt werden, wenn therapeutische Gründe dagegensprechen. Dies kann zum Beispiel der Fall sein, wenn die Patientenakte psychiatrische und psychotherapeutische Behandlungen enthält und der Patient durch Kenntnis Schaden erleiden könnte. Welche Auswirkungen diese Sonderregel hat und wie ein sinnvoller Umgang mit Betroffenenanfragen aussehen kann, können sie hier nachlesen.

Interner Zugriff auf Patientendaten

Auch wenn ein Krankenhaus von den dort tätigen Mitarbeitern in der Regel als organisatorische Einheit angesehen wird, bedeutet dies nicht, dass personenbezogene Daten (und insbesondere Patientendaten) innerhalb eines Krankenhauses frei ausgetauscht werden dürfen. Ein Krankenhaus, aber auch andere Einrichtungen im Gesundheitsbereich, sind in datenschutzrechtlicher Hinsicht keine homogenen Einheiten. Es ist vielmehr grundsätzlich streng darauf zu achten, dass jeder Mitarbeiter nur Zugriff auf solche Daten hat, die er bzw. sie für die Ausführung ihrer jeweiligen Aufgaben zwingend benötigen. Die Einrichtung von Zugriffsrechten auf Vorrat ist datenschutzrechtlich nicht zulässig. Das gilt erst recht im Fall eines Krankenhausverbundes, in dem mehrere verschiedene Krankenhäuser und andere Einrichtungen (wie z.B. Rehabilitationseinrichtungen, Medizinische Versorgungszentren oder Service Gesellschaften) unter einem gemeinsamen Träger zusammengefasst sind. Weiter verkompliziert wird die Lage, wenn diese Einrichtungen noch von unterschiedlichen Trägern gehalten werden, auch wenn diese Träger zum selben Unternehmenskonzern gehören. Ein Konzernprivileg kennt das Datenschutzrecht grundsätzlich nicht – das gilt auch im Gesundheitsbereich. Dementsprechend große Sorgfalt sollte in die Ausgestaltung des internen Zugriffsrechte- und Rollenkonzepts gelegt werden, insbesondere was das Krankenhausinformationssystem („KIS“) und damit ggf. verbundene Sub-Systeme angeht.

Weitergabe von Patientendaten an Dritte

Im Krankenhausbetrieb müssen in vielfältigen Konstellationen Patientendaten an externe Stellen wie zum Beispiel Hausärzte, sonstige nachbehandelnde oder einweisende Ärzte, Konsiliarärzte, Krankenversicherungen, Behörden, den Medizinischen Dienst der Krankenkassen, Dienstleister, Angehörige und Besucher weitergegeben werden. In jedem dieser Fälle muss geprüft werden, ob, unter welchen Voraussetzungen und in welchem Umfang die Weitergabe bzw. Offenlegung von Patientendaten zulässig ist. Insbesondere ist zu prüfen, ob für die jeweilige Weitergabe eine Einwilligung des betroffenen Patienten erforderlich ist, welcher Form diese bedarf und ob eine solche informierte Einwilligung im konkreten Fall vorliegt und nicht widerrufen wurde.
In der Praxis manchmal schwierig und sensibel kann insbesondere die Weitergabe von Patientendaten an Angehörige oder Besucher sein. Die Weitergabe von Informationen zum Gesundheitszustand oder Genesungsfortschritt an Angehörige oder andere dem Patienten nahestehende Personen ist grundsätzlich nicht erlaubt. Ausnahmen bestehen, wenn der Patient in die Weitergabe eingewilligt hat oder zu einer Einwilligung aus gesundheitlichen Gründen nicht in der Lage ist und keine Anhaltspunkte für einen entgegenstehenden Willen des Patienten bestehen.

Mehr Informationen zum Thema:

Digitalisierung im Gesundheitswesen

Die Digitalisierung hat die Arbeit mit Gesundheitsdaten bereits weitreichend verändert. Papiergebundene Patientenakten sind zum Beispiel nicht mehr der Regelfall, sondern die Ausnahme geworden. Wearables, KI zur verbesserten Diagnose und Krankenhausorganisation werden bereits vielfach erprobt oder im Regelbetrieb eingesetzt. Ein Ende oder die Verlangsamung der Digitalisierung des Gesundheitswesens ist nicht absehbar, im Gegenteil: Durch das E-Health-Gesetz wurde die Anbindung aller maßgeblichen Beteiligten im Gesundheitswesen an die Telematik-Infrastruktur und somit die Schaffung technischer Voraussetzungen für einen breiteren und sicheren Datenaustausch im Gesundheitswesen vorangetrieben. Seit Anfang dieses Jahres (2021) sind die Krankenkassen nun gesetzlich verpflichtet, ihren Versicherten eine elektronische Patientenakte (ePA) als App oder Anwendung der elektronischen Gesundheitskarte zur freiwilligen Nutzung zur Verfügung zu stellen. Für Ärzte besteht seit dem 1.7.2021 die Pflicht, sich an die ePA anzuschließen, während Krankenhäuser sich gem. § 341 Abs. 7 SBG V bis zum 1.1.2021 mit den für den Zugriff auf die ePA erforderlichen Komponenten und Diensten auszustatten hatten und an die Telematikinfrastruktur nach § 306 anzuschließen. Die elektronische Patientenakte bündelt digital die Informationen aus Patientenakten wie unter anderem Diagnosen, Therapiemaßnahmen, Medikationspläne oder Behandlungsverläufe (vgl. § 341 II SGB V) und erlaubt Nutzer:innen diese Daten zentral zu speichern und gegenüber Ärzten:innen, Apotheken und anderen Leistungserbringern vorzuzeigen. Ziel ist die einfachere, präzisere und transparentere Kommunikation zwischen Akteuren im Gesundheitswesen.

Auf den ersten Blick könnte der Datenschutz als Hemmschuh dieser Entwicklung erscheinen: wie überall können digitale Innovationen nicht nur Probleme lösen, sondern auch neue Herausforderungen schaffen. Doch das ist ein Trugschluss – bisher ließ sich jede Innovation datenschutzkonform ausgestalten. Der Gesetzgeber muss dafür auf der einen Seite Rahmenbedingungen bereitstellen, mit denen sich die digitalen Lösungen wie gewünscht entfalten können, auf der anderen Seite aber auch auf entstandene Probleme reagieren. Dem ist der deutsche Gesetzgeber zuletzt mit Nachdruck nachgekommen. Zuletzt mit dem PDSG, durch welche Neuerungen im SGB V zu Regelungen des Datenschutzes und der Datensicherheit hinzugekommen sind (siehe dazu bereits oben) – Details zum PDSG finden sie hier.

Nach diesem Gesetz müssen Krankenhäuser ab dem 1. Januar 2022 gewisse Maßnahmen zur IT-Sicherheit verpflichtend umsetzen, vgl. §75c SGB V. Dabei geht es nach Absatz 1 um angemessene technisch-organisatorische Maßnahmen nach dem aktuellen Stand der Technik. Dies gilt für an die Telematik angeschlossene IT-Systeme und allgemein im Rahmen der Verarbeitung von Patientendaten. Unter „angemessenen organisatorischen und technischen Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit“ wird ein sogenanntes Informationssicherheitsmanagementsystem (ISMS) verstanden. Diese Verpflichtung gilt nach Absatz 3 für alle Krankenhäuser unabhängig von ihrer Größe – ausgenommen sind Krankenhäuser mit kritischer Infrastruktur (KRITIS), die diese Vorgaben bereits jetzt erfüllen müssen. § 75c Abs. 2 SGB V empfiehlt, zur Erfüllung der Verpflichtungen nach Absatz 1, die Anwendung des vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nach § 8a Abs. 2 BSI-Gesetz bestätigten branchenspezifischen Sicherheitsstandards (B3S) für Krankenhäuser. Auch wenn es sich dabei um keine zwingende Verpflichtung handelt, ist dieser Standard zur Umsetzung der Vorgaben des § 75c SGB V künftig zu empfehlen – eigene Sicherheitsstandards zu entwickeln und umzusetzen dürfte einen größeren Aufwand bedeuten.

Auch die strafrechtlich sanktionierte ärztliche Schweigepflicht (§ 203 StGB) ist seit 2018 kein Hindernis mehr für die Integration von IT-Dienstleistern. Die Weitergabe an externe Dienstleister ist durch die Reform des dritten Absatzes der Regelung nicht mehr vollständig ausgeschlossen. Dazu muss die Offenbarung gegenüber dem Dienstleister für die Mitwirkung und Unterstützung bei der Arbeit des Krankenhauses erforderlich sein. Weiterhin sollte das Krankenhaus sicherstellen, dass dem Dritten nur solche Daten offenbart werden, die für seine Tätigkeit notwendig sind. Dabei stellt das Gesetz die externen Dienstleister nicht auf dieselbe Stufe wie die Berufshelfer. Eine Offenbarung von Daten an Dritte, die unter den Schutz des § 203 StGB fallen, darf also erst erfolgen, wenn sichergestellt wurde, dass die oben genannten Voraussetzungen eingehalten werden.

Datenschutzvorfälle im Gesundheitswesen

Nicht ausreichende technisch-organisatorische Maßnahmen zum Schutz der Patientendaten sind ein prominentes Beispiel für Datenschutzvorfälle im Gesundheitswesen. Aus diesem Grund wurden bereits mehrere Bußgelder verhängt. Datenschutzvorfälle im Gesundheitswesen lassen sich mit angemessenen technisch-organisatorischen Maßnahmen zur Sicherstellung des Datenschutzes weitgehend vermeiden. Falls es ausnahmsweise trotzdem zum Datenschutzvorfall kommt, gilt es nicht nur, Meldepflichten gegenüber den Aufsichtsbehörden und den Betroffenen zu beachten. Mehr Informationen dazu finden sie hier.

Health-Apps und die Übermittlung von Gesundheitsdaten

Der Vorstoß von Gesundheitsminister Spahn, Gesundheits-Apps auf Rezept zu ermöglichen, ist bezeichnend: Die Digitalisierung verändert das Gesundheitswesen! Ärzt:innen dürfen gem. § 33a SGB V Gesundheits-Apps verschreiben und nach § 291g SGB V auch digitale (Video-)Sprechstunden anbieten. Das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) hat bereits letztes Jahr die ersten „Apps auf Rezept“ in das Verzeichnis für digitale Gesundheitsanwendungen (DiGA) aufgenommen. Was bei der Übermittlung von Gesundheitsdaten aus Health-Apps wie z.B. Fitnesstrackern zu beachten ist, haben wir hier für sie zusammengefasst.

Fazit

Die Digitalisierung hat das Gesundheitswesen vollends erfasst. Dabei wird der Datenschutz im Krankenhaus immer wichtiger – denn naturgemäß werden personenbezogene Daten verarbeitet, die besonders schützenswert sind. Neben dem Datenschutz ist auch das besondere Berufsgeheimnis für Angestellte im Gesundheitswesen von Bedeutung. Hier treffen Krankenhäuser in mehrfacher Hinsicht besondere Verantwortungen im Hinblick auf den Schutz der sensiblen Daten und damit auch der Resilienz ihrer IT-Systeme, und -prozesse. Diesen Handlungsbedarf hat der Gesetzgeber erkannt und zuletzt viele Gesetze geschaffen, die diesen Prozess fördern und unterstützen sollen. Dadurch stehen Krankenhäuser vermehrt vor Herausforderungen, die aber einen sehr wichtigen Beitrag leisten werden. Gerne unterstützen wir Sie bei der Umsetzung! Kontaktieren Sie uns jetzt.

23. September 2019

Voraussetzungen und Haftungsfragen im Rahmen der Auftragsverarbeitung

Zahlreiche Unternehmen beauftragen andere Dienstleister mit Vorgängen, die die Verarbeitung von personenbezogenen Daten beinhalten. Wichtige Beispiele sind Cloud-Dienste oder der Newsletterversand. Werden diese Daten dabei im Auftrag und streng nach Weisung des ersten Unternehmens verarbeitet, liegt eine Auftragsverarbeitung gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) vor. Im Bundesdatenschutzgesetz hieß dieser Vorgang noch „Auftragsdatenverarbeitung“. Grundsätzlich entbindet das Institut der Auftragsverarbeitung den Auftraggeber („verantwortliches Unternehmen/ Verantwortlicher“) nicht von der Pflicht auf die Einhaltung der DSGVO zu achten, da die Datenverarbeitung gerade im Interesse des Auftraggebers erfolgt. Dennoch folgen aus der Auftragsverarbeitung Besonderheiten im Rahmen der Einhaltung der DSGVO. Insbesondere bezüglich der vertraglichen Regelung der Auftragsverarbeitung als auch bezüglich entsprechender Haftungsfragen, sollten daher sowohl Auftragsverarbeiter als auch verantwortliche Unternehmen ein besonderes Augenmerk auf die neuen Regelungen legen.

Hintergrund: Die Regelung der Auftragsverarbeitung in der DSGVO

Die Auftragsverarbeitung unterscheidet sich von anderen Formen der Datenverarbeitung durch mehrere Unternehmen, insbesondere durch die strenge Weisungsgebundenheit, der der Auftragsverarbeiter gegenüber dem verantwortlichen Unternehmen unterliegt. So zeichnet sich die gemeinsame Verantwortlichkeit (Artikel 26 DSGVO) dadurch aus, dass beide beteiligten Unternehmen den Zweck der Datenverarbeitung gemeinsam festlegen. Demgegenüber werden bei der Auftragsverarbeitung Zweck und Mittel der Verarbeitung allein vom verantwortlichen Unternehmen festgelegt. Keine Auftragsverarbeitung liegt in der Regel bei Beauftragung von Berufsgeheimnisträgern, wie Rechtsanwälten oder Steuerberatern vor, da diese mit eigenem Entscheidungsspielraum und insoweit nicht weisungsgebunden agieren. Insoweit handelt es sich allerdings auch nicht um eine gemeinsame Verantwortlichkeit gemäß Artikel 26 DSGVO, sondern um eine dritte Möglichkeit der Datenverarbeitung durch zwei Stellen, in der -hier- beide Beteiligten allein und nebeneinander für die Datenverarbeitung in ihrer jeweiligen Sphäre verantwortlich sind.

Die DSGVO verlangt in Artikel 28 Abs.3, dass die Auftragsverarbeitung in einem Vertrag niedergelegt wird, der neben weiteren Mindestinhalten, wie der Art der verarbeiteten Daten und dem Verarbeitungszweck, insbesondere auch die Weisungsgebundenheit des Auftragsverarbeiters erkennen lässt. Ohne einen solchen Vertrag oder mit einem Vertrag, der die in Artikel 28 Abs.3 vorgegebene Inhalte nicht aufweist, erfolgt die Verarbeitung von Daten durch Auftragsverarbeiter ohne Rechtsgrundlage und ist damit bußgeldbewehrt.

Mindestinhalt eines Auftragsverarbeitungsvertrages:

Erkennbarkeit der Weisungsgebundenheit
Kategorie der verarbeiteten Daten
Verarbeitungszweck, Dauer und Mittel
Vertraulichkeitsvereinbarung
Verpflichtung des Auftragsverarbeiters die Vorgaben der Artikel 32ff. DSGVO einzuhalten
Verpflichtung des Auftragsverarbeiters keine weiteren Auftragsverarbeiter oder sonstige Dritte ohne vorherige Genehmigung des Verantwortlichen einzubeziehen
Pflicht zur Kooperation gegenüber Aufsichtsbehörden und Betroffenen

Rechte und Pflichten im Rahmen der Auftragsverarbeitung

a) Beauftragendes Unternehmen

Das beauftragende Unternehmen hat vor allem dafür einzustehen, dass es nur solche Unternehmen mit der Verarbeitung von Daten beauftragt, die die technischen und organisatorischen Garantien für eine DSGVO-konforme Datenverarbeitung gewährleisten. (Artikel 28 Abs.1 DSGVO). Zudem müssen beauftragende Unternehmen regelmäßig überprüfen, ob ihre Auftragsverarbeiter DSGVO-konform arbeiten. Unternehmen ist hier zweierlei zu empfehlen, eine interne und eine externe Kontrolle. Die interne Kontrolle sollte zunächst in einer übersichtlichen Zusammenstellung aller bisherigen Auftragsverarbeitungen bestehen. Sodann sollte in einem zweiten Schritt überprüft werden, ob diese Auftragsverarbeitungen den Anforderungen von Artikel 28 DSGVO entsprechen. Möglichkeiten um eine sorgsame Auswahl der Auftragsverarbeiter nachzuweisen und damit Bußgeldern zu entgehen, ist es Zertifizierungen nach Artikel 42 DSGVO zu verlangen, die der Auftragsverarbeiter im Rahmen eines Datenschutzaudits erlangt hat oder genehmigte Verhaltensregeln gemäß Artikel 40 DSGVO zur Grundlage des Auftragsverarbeitungsvertrages zu machen.

b) Rechte und Pflichten des Auftragsverarbeiters

Eine der wesentlichen Neuerungen der DSGVO besteht im Erfordernis der Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten für Auftragsverarbeiter (Artikel 30 DSGVO), auch wenn dieses nicht so umfangreicht sein muss, wie dasjenige, das Verantwortliche zu führen haben. Auch andere Pflichten, welche grundsätzlich nur den Verantwortlichen treffen, werden durch die DSGVO auf den Auftragsverarbeiter ausgedehnt. Dazu gehört etwa die Pflicht mit den Aufsichtsbehörden zusammenzuarbeiten (Artikel 31 DSGVO). Außerdem müssen Auftragsverarbeiter einen eigenen Vertreter in der EU zu Bennen, wenn sie Daten mit Bezug zu EU-Bürgern verarbeiten, ohne einen Sitz in der EU zu haben (Artikel 27 DSGVO). Weiterhin müssen Auftragsverarbeiter im Falle der Übertragung von Daten in Nicht-EU-Länder selbst darauf achten, dass die Voraussetzungen für die Übertragung von Daten in ein Nicht-EU-Land erfüllt sind (Artikel 44 DSGVO). Außerdem müssen Auftragsverarbeiter dafür Sorge tragen, dass die technischen und organisatorischen Maßnahmen für eine sichere Datenverarbeitung gewährleistet sind (Artikel 31 DSGVO). Insgesamt bringt die DSGVO damit deutlich zum Ausdruck, dass Auftragsverarbeiter für die Einhaltung der Vorgaben der DSGVO mitverantwortlich sind. Dies stellt eine wesentliche Neuerung gegenüber der Rechtslage vor Inkrafttreten der DSGVO dar.

Haftung

Während damit die grundsätzliche Haftung der Auftragsverarbeiter aus einer Gesamtschau der DSGVO hervorgeht, ist die Frage nach der Haftungsverteilung in Artikel 82 etwas unübersichtlich geregelt. Dabei ist nach zwei Ebenen der Haftung zu unterscheiden.

Auf der ersten Ebene geht es dabei um die Haftung für Verstöße gegen die DSGVO, etwa die Verarbeitung von Daten ohne Einwilligung oder sonstige Rechtsgrundlage, gegenüber dem Betroffenen selbst. Diesem gegenüber haften Verantwortlicher und Auftragsverarbeiter „gesamtschuldnerisch“ für materielle und immaterielle Schäden auf Schadensersatz. Das heißt genau genommen, dass sich der Betroffene aussuchen kann, von wem er einen etwaigen Schaden ersetzt verlangt, er kann also in voller Höhe gegen einen der Beteiligten vorgehen, unabhängig davon, welcher der Beteiligten für den Schaden verantwortlich ist.

Auf der zweiten Ebene, die das Innenverhältnis zwischen Auftragsverarbeiter und Verantwortlichem betrifft, kommt es dann darauf an, wer den Schaden in welchem Umfang verursacht hat. Insoweit ist eine detaillierte Regelung der Auftragsverarbeitung in dem o.g. Vertrag unerlässlich. Mit einer solchen Regelung kann der Verantwortliche nämlich zum Beispiel nachweisen, dass der Auftragsverarbeiter von Weisungen abgewichen ist und daher für den Schaden allein aufkommen muss, wenn dem Verantwortlichen zugleich der Nachweis gelingt, auch in sonst keinerlei Weise für den Schaden verantwortlich zu sein. Andersherum kann auch der Auftragsverarbeiter nachweisen, dass er sich genau an die Weisungen gehalten hat und auch in sonst keinerlei Hinsicht für den Schaden verantwortlich ist.

Auftragsverarbeiter und Verantwortlicher haben daher in ihrer jeweiligen Sphäre genau auf eine Dokumentation aller relevanten Vorgänge zu achten, um sich im Innenverhältnis der Haftung entziehen zu können.

Wichtig ist, dass neben dieser Haftungspflicht gegenüber dem Betroffenen zusätzlich die Möglichkeit der Verhängung von Bußgeldern durch die Aufsichtsbehörde gegenüber Verantwortlichem und Auftragsverarbeiter besteht, je nachdem wer seine Pflichten aus der DSGVO verletzt hat.

Privilegierung der Auftragsverarbeitung

Die DSGVO regelt grundsätzlich, dass für die Weitergabe von Daten an Dritte, d.h. vor allem an andere Unternehmen, eine gesonderte Rechtsgrundlage erforderlich ist, also z.B. ein überwiegendes Interesse des übertragenden Unternehmens oder eine Einwilligung des Betroffenen. Für den Fall der Auftragsverarbeitung trifft die DSGVO keine Sonderregelung, sodass man davon ausgehen könnte, dass auch für die Weitergabe von Daten vom verantwortlichen Unternehmen an den Auftragsverarbeiter nach dem Grundkonzept der DSGVO eine gesonderte Einwilligung des Betroffenen neben dem Auftragsverarbeitervertrag erforderlich ist.

Am 1. April 2019 veröffentliche das Bayerische Landesamt für Datenschutz allerdings eine Orientierungshilfe, in der eine Einigkeit der deutschen Aufsichtsbehörden bezüglich der Auslegung der DSGVO hinsichtlich dieser Fragestellung beschrieben wird.

Danach reicht die Rechtsgrundlage, gegenüber dem verantwortlichen Unternehmen als Voraussetzung für die Weitergabe der Daten an den Auftragsverarbeiter aus. Die Datenschutzbehörden sprechen in ihrer Stellungnahme davon, dass die Einheit der beiden Stellen „fingiert“ werde. Das heißt der Auftragsverarbeiter wird als Teil des Verantwortlichen und eben nicht als „dritte Stelle“ eingeordnet. Die Einwilligung gegenüber dem verantwortlichen Unternehmen wirkt damit wie eine Einwilligung gegenüber dem Auftragsverarbeiter.

Nicht zu verwechseln ist das (fehlende) Erfordernis einer gesonderten Rechtsgrundlage für die Weitergabe von Daten an den Auftragsverarbeiter jedoch mit der unbedingten Erforderlichkeit des Abschlusses eines Auftragsverarbeitervertrages zwischen Verantwortlichem und Auftragsverarbeiter. Gerade das Vorliegen eines solchen Vertrages, macht eine gesonderte Einwilligung des Betroffenen für die Weitergabe der Daten an den Auftragsverarbeiter entbehrlich.

Voraussetzungen für eine rechtmäßige Auftragsverarbeitung:

Auftragsverarbeitungsvertrag gemäß Artikel 28 Abs.3 DSGVO
Rechtsgrundlage für die Verarbeitung durch das verantwortliche Unternehmen

Wenn die generellen Voraussetzungen der Übertragung von Daten in Nicht-EU-Länder erfüllt sind (also v.a. eine Sicherheit dafür besteht, dass die Daten in diesem Land gemäß dem Schutzniveau der DSGVO verarbeitet werden, vgl. Art. 44 DSGVO) gilt die Privilegierung der Auftragsverarbeitung sogar dann, wenn der Auftragsverarbeiter in einem solchen Nicht-EU-Land sitzt.

Fazit

Die DSGVO hat die Voraussetzungen der Auftragsverarbeitung und etwaige Haftungsfragen explizit geregelt. Beauftragenden Unternehmen und Auftragsverarbeitern ist gleichermaßen zu raten bei Abschluss des Auftragsverarbeitervertrages sorgsam vorzugehen und alle anschließenden Vorgänge genau zu dokumentieren, um einer etwaigen Haftung und Bußgeldern zu entgehen. Für den Abschluss und die Prüfung entsprechender Auftragsverarbeitungsverträge stehen wir Ihnen gerne zur Verfügung!

12. September 2019

Künstliche Intelligenz im HR-Bereich: Datenschutz meistern!

Künstliche Intelligenz ist in aller Munde. Die unter diesem Oberbegriff zusammengefassten Technologien bergen für beinahe jeden Bereich der Wirtschaft gewaltige Potenziale. Personalabteilungen von Unternehmen können vom Einsatz künstlicher Intelligenz profitieren, um sich auf das Wesentliche zu konzentrieren. Die Automatisierung repetitiver Tätigkeiten im Bewerbungsmanagement und anderen Bereichen, das Erstellen von psychologischen Profilen von Bewerbern für Stellen mit Managementverantwortung oder die Förderung von Mitarbeitern können bereits von Künstlicher Intelligenz erledigt werden. Bei der Einführung und dem Betrieb gilt es gerade im Personalbereich den Datenschutz von Anfang an mitzudenken.

Dieser Artikel zeigt auf, welche Möglichkeiten für eine bessere Personalarbeit rechtskonform genutzt werden können. Dabei liegt der Fokus auf dem Bewerbungsprozess und der Personaladministration. Dort zeichnen sich momentan die größten Fortschritte ab.

Datenschutzrechtliche Herausforderungen im Bewerbungsverfahren

Branchenübergreifend gilt, dass die Motivation und Kompetenz des Personals über Erfolg und Misserfolg von Unternehmen entscheiden. Bereits beim Recruiting betreiben Unternehmen daher großen Aufwand, um den „richtigen“ Bewerber zu finden. Künstliche Intelligenz im Bewerbungsverfahren kann menschliche Arbeitskräfte von Routinetätigkeiten entlasten, damit diese mehr Zeit für menschliche Interaktion mit Bewerbern haben.

Chatbots

Zu den oben genannten Routinetätigkeiten zählt auch das Beantworten von wiederholt auftretenden Fragen im Bewerbungsprozess. Eine Künstliche Intelligenz, die als Chatbot programmiert ist, kann durch Natural Language Processing rund um die Uhr und 7 Tage die Woche Bewerberanfragen verstehen und zufriedenstellend beantworten. Sie kann so zur sinnvollen Ergänzung eines gelungenen Bewerbermanagements werden.

Unternehmen wollen Kandidaten mit den richtigen Qualifikationen und einschlägiger Berufserfahrung finden, treffen dabei aber häufig auf einen leergefegten Arbeitsmarkt. Das schnelle, vollständige und richtige Beantworten von Rückfragen der Bewerber kann das Bewerbererlebnis (sogenannte „candidate experience“) stark verbessern. Wer Fachkräfte gewinnen will, zeigt diesen deshalb im Bewerbungsprozess, dass er sie und ihre Anfragen ernst nimmt.

KI funktioniert jedoch nicht wie eine plug-and-play Lösung, die sofort nach der Installation die gewünschten Ergebnisse liefert. Um ihre Aufgabe zu erfüllen, muss sie zunächst trainiert werden. Dieses Training funktioniert — vereinfacht gesagt — so, dass die Künstliche Intelligenz Daten erhält, die den Daten, die sie später verarbeiten soll, möglichst ähnlich sind, diese auf die für den späteren Einsatz geplante Weise verarbeitet und korrigiert wird, wenn sie nicht das richtige Ergebnis geliefert hat.

Bereits zu diesem Zeitpunkt ist der Datenschutz zu beachten.

Um den Chatbot zu trainieren, sind nur Konversationen notwendig, nicht aber personenbezogene Daten. Werden also anonymisierte Datensätze verwendet, bestehen keine datenschutzrechtlichen Bedenken. Anonymisierung bedeutet, dass Menschen aus den Daten nicht mehr als einzelne Person identifiziert werden können. Es reicht dafür nicht aus, Namen und Adressen aus den Konversationsdaten zu löschen. Anonymisiert sind Daten erst dann, wenn aus diesen keine Rückschlüsse mehr auf einzelne Personen möglich sind. Sobald der Chatbot zufriedenstellende Antworten generiert, kann er in der Praxis eingesetzt werden.

Dabei sollte der Chatbot so wenige personenbezogene Daten wie möglich erfragen:

Fragt ein Bewerber zum Beispiel nach dem Status seiner Bewerbung sollte er zur Zuordnung des Bewerbers nicht gleich dessen Adresse, Geburtsdatum und Vor- und Zunamen abfragen. Es würde stattdessen ausreichen, nach seiner E-Mail-Adresse und dem Datum der Zusendung der Bewerbung oder der Bewerbernummer zu fragen.
Fragt ein Bewerber nach dem Ablauf des Bewerbungsverfahrens, reicht es aus, wenn der Chatbot danach fragt, welche Positionen für den Bewerber interessant sind.

Im Klartext heißt das: Der Chatbot sollte nur die Informationen vom Bewerber erfragen, die er unbedingt braucht, um sinnvolle Antworten zu generieren. Das verlangt das in Art. 5 Abs. 1 Lit. c DSGVO verankerte Prinzip der Datenminimierung. Darüber hinaus sollte der Bewerber darüber aufgeklärt werden, dass er mit einem Computer und nicht mit einem Menschen kommuniziert. Einerseits ist das fair gegenüber den Bewerbern, andererseits ist es nach dem Transparenzgebot aus Art 5 Abs. 1 Lit. a DSGVO wichtig, dass diese nachvollziehen können, dass ihre Eingaben nicht von einem Menschen, sondern einem Algorithmus beantwortet werden.

Headhunting

Das Recruiting von Fachkräften ist eine Herausforderung, die fast alle Unternehmen betrifft. Viele suchen daher aktiv nach passenden Kandidaten für ihr Unternehmen. Das ist jedoch zeitaufwändig. Startups, wie zum Beispiel „Searchtalent“, aber auch bereits etablierte Marken wie „XING“ („E-Recruiting 360°“) wollen diese Arbeit automatisieren. Hier gelten dieselben Grundsätze wie bei der direkten Ansprache von Bewerbern. Es ist also darauf zu achten, nur so viele Daten zu erheben wie unbedingt nötig, diese nur für den Zweck der Ansprache des Bewerbers zu verwenden und bei erfolgloser Ansprache unverzüglich zu löschen. Werden die hier beschriebenen Grundsätze der Datenminimierung, der Zweckbindung und der Speicherbegrenzung nicht beachtet, ist ein datenschutzkonformer Einsatz solcher Algorithmen nicht möglich.

Sortieren von Bewerbungen

Die Spreu vom Weizen zu trennen ist eine Fleißaufgabe, die das Bewerbererlebnis nicht verbessert und die Arbeitszeit von Personalern bindet. Hier kann ein Algorithmus Bewerbungen daraufhin überprüfen, ob sie mit der Stellenausschreibung übereinstimmen. Eine automatisierte Entscheidung darüber, ob ein Bewerber eingestellt wird, wäre eine sogenannte automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Dieses verstößt grundsätzlich gegen die DSGVO. Das wäre nicht der Fall, wenn die Künstliche Intelligenz besser als ein Mitarbeiter darin wäre, zu beurteilen, ob ein Bewerber gut zur Stellenausschreibung und in das Unternehmen passt. Das ist momentan unwahrscheinlich.Folglich sollten Personalabteilungen Einstellungsentscheidungen nicht an Algorithmen delegieren.

Generell muss bei der Verarbeitung von Daten durch eine Künstliche Intelligenz sichergestellt werden, dass diese diskriminierungsfrei arbeitet. Die Konferenz der deutschen Datenschutzaufsichtsbehörden empfiehlt dazu in ihrer Hambacher Erklärung die Trainingsdaten auf Diskriminierungen zu untersuchen und diese zu entfernen, bevor die KI mit ihnen trainiert wird. Die Ergebnisse einer KI sind in der Regel nicht vorhersehbar, daher sollte sie auch nach ihrer Implementierung darauf überwacht werden, dass sie niemanden diskriminiert. Dieses Problem ist bereits bei mehreren Anwendungen der Künstlichen Intelligenz beobachtet worden. So hat zum Beispiel Googles AdSense Plattform eher Männern als Frauen hochbezahlte Führungspositionen angeboten und Kunden Anzeigen auf Basis ihrer Gesundheitsinformationen angezeigt.

Persönlichkeitsprofil durch Stimmanalyse

Für Positionen, die für das Unternehmen elementar wichtig sind, können Tools wie „Precire“ eine sinnvolle Ergänzung des Bewerbungsprozesses sein. Dieses Tool soll es ermöglichen, innerhalb eines kurzen telefonischen Interviews und mit ein paar Textschnipseln aus der Art und Weise, wie ein Mensch spricht, ein valides Persönlichkeitsprofil zu gewinnen. Eine solche Analyse kann sehr tiefe Einblicke in die Persönlichkeit eines Bewerbers liefern. Soweit der Einsatz zulässig ist, können solche Tools auch für Mitarbeiter angeboten werden, die ihre Fähigkeiten weiterentwickeln wollen. So kann aus einem Assessment Tool auch ein Werkzeug werden, das besonders leistungsbereites Personal binden kann.

Die Erstellung von Persönlichkeitsprofilen durch Stimmanalyse kann jedoch nur ausnahmsweise datenschutzrechtlich zulässig sein. Das hängt stark davon ab, wie das Unternehmen sie einsetzt und für welche Stellen. Es kommt dabei vor allem darauf an, dass die im Persönlichkeitsprofil beurteilten Eigenschaften für die Stellenausschreibung sehr wichtig sind. Das ist vor allem für Führungskräfte und Eigenschaften, wie z.B. Durchsetzungsstärke, Einfühlungsvermögen und Resilienz interessant.

Eine Einwilligung in das Interview wird wahrscheinlich nicht ausreichen, da Einwilligungen nur dann wirksam sind, wenn sie freiwillig erteilt wurden. Zwischen Kandidat und Unternehmen besteht jedoch oft ein klares Machtgefälle. In diesen Fällen ist sehr genau anhand der Umstände zu prüfen, ob die Einwilligung überhaupt freiwillig erfolgte oder dem Bewerber keine Alternativen zum Interview angeboten wurden. Möglich ist auch, dass das Erstellen eines solchen Persönlichkeitsprofils zulässig ist, weil es für die Anbahnung des Arbeitsvertrages erforderlich ist. Dafür sind jedoch die strengen Maßstäbe der Erforderlichkeit zu beachten. Erforderlich ist eine Datenverarbeitung immer nur dann, wenn es keine andere Möglichkeit gibt, den Bewerbungsprozess mit weniger personenbezogenen Daten genauso effizient durchzuführen. Bei der überwältigenden Mehrheit der zu besetzenden Arbeitsplätze wird das nicht der Fall sein.

Personaladministration

Die Verwaltung von Personal ist oft arbeitsintensiv und von repetitiven Tätigkeiten geprägt. Gerade solche Aufgabenstellungen können oft sehr gut durch Programme mit künstlicher Intelligenz erledigt werden, wie die folgenden Beispiele zeigen.

Geschäftsreisen

Programme wie zum Beispiel Expenseit (Teil von SAPs Concur) können anhand eines Fotos Belege speichern, die Ausgaben den einzelnen Posten zuordnen und dadurch automatisch abrechnen. Wer jemals den Papierwust, der sich regelmäßig rund um Reisekostenabrechnungen auftürmt, sortieren und zuordnen musste, kann sich vorstellen, welche Einsparungs- und Komfortpotenziale solche Innovationen bringen. Diese Programme beginnen auch bereits die Buchung von Reisen zu vereinfachen, indem sie automatisiert das Vergleichen verschiedener Reise- und Unterkunftsoptionen übernehmen und dem Mitarbeiter die sinnvollsten Optionen vorschlagen. Ein sehr weitreichendes Feature ist die Lokalisierungsfunktion solcher Programme. Diese sagt anhand der abgerechneten Belege und Kreditkartendaten des Mitarbeiters voraus, wo dieser sich gerade befindet.

Die ersten beiden Anwendungen sind datenschutzrechtlich kaum anders zu behandeln, als die klassische Abrechnung und Buchung von Dienstreisen. Es ist lediglich darauf zu achten, dass zwischen dem Unternehmen und dem KI-Anbieter ein Auftragsverarbeitungsvertrag geschlossen wird. Weiterhin sollte der Auftraggeber sicherstellen, dass der Auftragnehmer, ausreichende technische und organisatorische Maßnahmen im Sinne von Art. 32 Abs. 1 DSGVO trifft. Werden bei der Verarbeitung Daten auf Server außerhalb der EU transferiert, sollte der Vertrag die Standarddatenschutzklauseln der EU-Kommission enthalten. Dann können die Daten nach Art. 46 Abs. 1, 2 Lit. c DSGVO auch ohne Genehmigung der Aufsichtsbehörde übermittelt werden.

Das Tracking von Personal ist jedoch ein recht tiefer Eingriff in das Recht der Mitarbeiter auf informationelle Selbstbestimmung, der wohl nur dann zu rechtfertigen ist, wenn der Mitarbeiter sich bei Geschäftsreisen im gefährlichen Umfeld bewegt. Reisen in Krisengebiete könnten ein Beispiel sein. Aber auch dann müsste eine solche Überwachung mit dem Einverständnis des Mitarbeiters erfolgen. Dieser kann jedoch nur dann wirksam einwilligen, wenn er die Zustimmung, ohne Nachteile für seine Tätigkeit befürchten zu müssen, verweigern kann.

Talentförderung

Wer Fachkräfte erfolgreich rekrutiert hat, will diese durch eine sinnstiftende Tätigkeit und Weiterentwicklungsmöglichkeiten an sein Unternehmen binden. Dazu gehört beispielsweise, dass Mitarbeiter mit Technologien arbeiten, die so intuitiv bedient werden können wie die Geräte und Interfaces, die der Mitarbeiter in seiner Freizeit nutzt. Gleichzeitig mit der Einführung solcher modernen Interfaces zum Beispiel für die Darstellung und Aufbereitung von Informationen werden Mitarbeiter häufig produktiver, weil die frustrierende Suche nach Einzelinformationen und das Erstellen von Überblicken entfällt. Dabei darf der Datenschutz nie aus den Augen verloren werden. Auch mit modernen Analysetools, wie z.B. SAP Analytics dürfen nicht mehr Daten verarbeitet werden, als für die Erfüllung des Zwecks notwendig. Hier kommt das in der DSGVO verankerte Prinzip der Datenminimierung zum Tragen.

Gerade gesuchte Fachkräfte arbeiten heute häufig dort, wo sie sich professionell am besten weiterentwickeln können. An dieser Stelle könnten Programme wie der Whatson Career Coach von IBM Unternehmen helfen, die Nase vorn zu haben. Sie bieten Mitarbeitern aufgrund von Erfahrungswerten aus dem Unternehmen, von IBM und Angaben des Mitarbeiters Angebote von interessanten Stellen im Unternehmen oder für Fortbildungen und Coachings. Ein solches Angebot wird regelmäßig nur mit der Einwilligung des Mitarbeiters rechtlich zulässig sein.

Fazit

Nicht nur für Bewerber, sondern auch für Human Resources Abteilungen ist der Bewerbungsprozess mit großen Unsicherheiten behaftet. Diese sind häufig mehr mit dem Abarbeiten von Routinetätigkeiten beschäftigt als mit der Kommunikation mit Kandidaten. Zu oft bleibt die Förderung der eigenen Mitarbeiter links liegen. Diese Probleme können durch den Einsatz von selbst lernenden Algorithmen gemildert werden. Wer bei der Implementierung einer künstlichen Intelligenz die rechtlichen Schranken beachtet, kann durch einen besseren Prozess des Einstellens von Mitarbeitern einen Wettbewerbsvorteil gegenüber seiner Konkurrenz erlangen. Das sollte nicht dazu führen, dass Unternehmen beginnen, anlasslos große Mengen von personenbezogenen Daten anzuhäufen, um diese später für das Training von Algorithmen oder andere vom ursprünglichen Erhebungszweck abweichende Tätigkeiten einzusetzen. Hier ist weiterhin streng auf die Grundsätze der Datenminimierung, Zweckbindung und der Speicherbegrenzung zu achten, die bei jeder rechtmäßigen Datenverarbeitung eingehalten werden. Ein gutes Löschkonzept sollte sowieso vorhanden sein. Es kann die Mitarbeiter aber auch für einen rechtskonformen Umgang mit Daten im Zusammenhang mit Künstlicher Intelligenz sensibilisieren.

Dabei gilt es zu beachten, dass nicht jeder Trend blind übernommen werden sollte. Auf eine Welle des Outsourcings von Tätigkeiten folgte zum Beispiel bei vielen Unternehmen das aufwendige Wiedereingliedern dieser Aufgaben. Daher gilt: Man sollte nur dort automatisieren, wo für Unternehmen und Mitarbeiter große Vorteile warten. Wie dieser Artikel zeigte, stehen rechtliche Hindernisse dem selten im Weg.

Absehbar ist, dass bei dem jetzigen Tempo der technischen Entwicklung Bereiche, wie zum Beispiel das Performancemonitoring, zukünftig vollautomatisiert werden können. Mit Spannung erwartet werden darf auch, wann die erste KI entwickelt werden kann, die flächendeckend Skilltrainings entwickeln kann. Diese Entwicklungen liegen allerdings noch in der Zukunft.

Lesen Sie auch folgende Beiträge:

Als Auftragsverarbeiter Künstliche Intelligenz trainieren: eine Anleitung

Künstliche Intelligenz und Datenschutz – Anwendungsfälle

5. September 2019

IoT und Datenschutz: Herausforderungen für Unternehmen

Das Internet of Things (IoT) ist dabei, das Leben von Privathaushalten und die Arbeit in der Wirtschaft zu revolutionieren. Viele Unternehmer und Privatleute treiben diese Entwicklung bereits mit Schwung voran. Schätzungen gehen davon aus, dass im Jahr 2020 25-50 Milliarden solcher Geräte benutzt werden. IoT-Geräte sind näher an ihren Nutzern als alle vorherigen Technologien und kennen diese daher deutlich besser. Das bietet große Chancen für nahezu alle potenziellen Anwendungsfelder. Um diese Möglichkeiten auszunutzen, sollten Unternehmen von Anfang an den Datenschutz beachten und mitdenken. Wie Unternehmen sich durch guten Datenschutz von der Konkurrenz absetzen können, aber auch wo Stolperfallen lauern können, zeigt Ihnen dieser Artikel. Der Fokus dieses Beitrags liegt dabei auf Anwendungen der Wirtschaft wie zum Beispiel dem Industrial IoT oder Smart Infrastructure.

Spätestens seit Experten herausfanden, dass aus zahlreichen WLAN-Glühbirnen ohne große technische Kenntnisse Netzwerkzugangsdaten unverschlüsselt ausgelesen werden können, sollte allen Anwendern bewusst sein, dass die Sicherheit von IoT-Produkten und der durch sie erfassten Daten kein Selbstläufer ist.

Um zu verstehen, welche Chancen und Risiken der Einsatz von IoT mit sich bringt, lohnt es sich darüber nachzudenken, was genau IoT ist. Vereinfacht gesagt geht es beim Internet of Things darum, Geräte mit einem kleinen Computer auszustatten und mit dem Internet zu verbinden. Häufig handelt es sich dabei um Sensoren oder Steuerungsmodule. Unternehmen können durch die mit IoT gewonnenen Daten ihre Abläufe verbessern, Reibungsverluste verringern und viele Aufgaben automatisieren. So steigt die Zufriedenheit von Mitarbeitern sowie Kunden und es können Kosten gesenkt werden. Unternehmen, die heute Probleme haben, Fachkräfte zu finden, werden im Wettbewerb um die besten Köpfe mit einem Arbeitsumfeld, das durch den Einsatz von IoT von Routinetätigkeiten entlastet wird, leichter Erfolg haben als Konkurrenten, die zögerlich bei der Implementierung waren.

Einer der größten Vorteile des Internet der Dinge (IoT) ist die Erhebung sehr präziser Daten in großen Mengen und deren Analyse in Echtzeit. In Kombination mit Anwendungen der künstlichen Intelligenz sind die oben genannten Vorteile bereits jetzt vielen Unternehmen auch ohne große IT-Budgets über Dienstleister wie zum Beispiel SAP, Salesforce oder IBM zugänglich.

Risiken bei Datenschutz und Datensicherheit

Wer diese Chancen nutzen möchte, darf dabei nicht die Risiken außer Acht lassen. IoT-Geräte erfassen in vielen Fällen personenbezogene Daten und erlauben auch über Meta-Daten Leistungs- und Verhaltenskontrollen von Mitarbeitern. Damit diese Verarbeitung rechtmäßig ist, braucht der Anwender eine Rechtsgrundlage. Eine Variante ist hierbei die Einwilligung. Sie kann vom Betroffenen jedoch jederzeit wiederrufen werden und ist daher wenig praktikabel. Gerade im Beschäftigungsverhältnis ist eine Einwilligung grundsätzlich schwierig. Daneben gibt es die Möglichkeit der Rechtmäßigkeit der Datenverarbeitung, wenn die Datenverarbeitung für die Durchführung eines Vertragsverhältnisses notwendig ist oder der Verarbeiter ein berechtigtes Interesse an der Nutzung der Sensoren hat. Natürlich sollte das vor der Anwendung von Spezialisten ausführlich geprüft und diese Prüfung dokumentiert werden.

Weiterhin muss das Unternehmen darauf Acht geben, dass es über seine IoT-Sensoren nicht mehr Daten erhebt, als es für seine Zwecke unbedingt benötigt. Diese Daten dürfen dann selbstverständlich nicht einfach in einem großen Datenpool gesammelt werden und später für andere als die ursprünglichen Zwecke genutzt werden. Die Datenschutz-Grundverordnung (DSGVO) gibt diese Anweisungen mit den Prinzipien der Datensparsamkeit und Zweckbindung vor. Das Anlegen eines Datenpools, zum Beispiel um eine KI zu trainieren, ist jedoch auch datenschutzkonform möglich. Daten können grundsätzlich anonymisiert problemlos gespeichert und zweckfremd genutzt werden. Hierbei muss allerdings sehr genau darauf geachtet werden, dass aus der Kombination der dann „anonymisierten“ Daten keine Rückschlüsse auf Personen mehr möglich sind. Ansonsten liegt keine echte Anonymisierung vor und es gelten nach wie vor die oben genannten engeren Grenzen für die Auswertung der Daten.

Dazu gehört für Unternehmer auch, dass sie sicherstellen, dass ihre Daten vor Verlust, Diebstahl oder sonstigem unberechtigten Zugriff gut geschützt sind. Es winken die bereits seit der Umsetzung der Datenschutz-Grundverordnung (DSGVO) bekannten technischen und organisatorischen Maßnahmen (TOM). Wer zur Erfüllung dieser vom Gesetzgeber gestellten Aufgabe seine IT-Landschaft auf bereits vorhandene oder zukünftige Sicherheitslücken überprüft, wird schnell das größte Risiko erkennen, das insbesondere beim Einsatz von IoT-Geräten existiert: Die noch nicht ausgereiften Sicherheitskonzepte bei der Implementierung derselben.

Das Risiko setzt sich aus den folgenden Komponenten zusammen:

Mangelnde Verschlüsselung
Mangelnde Kontrolle über personenbezogene Daten der Nutzer oder bedienenden Mitarbeiter
Daraus folgend Sorge der Unternehmen davor, im Fall von Cyberangriffen das Vertrauen der Kunden zu verlieren
Wichtiger Faktor für die Sicherheit von IoT Geräten i m Netzwerk: Aktuelle Firmware

Die Möglichkeit, Firmware zu aktualisieren, ist aufgrund der niedrigen Preise für IoT-Geräte vielmals nicht vorgesehen. Daher sind die Geräte anfällig für Angreifer von außen, die Schwachstellen in der Firmware ausnutzen. So können Angreifer Zugriff auf die Sensorik der IoT-Geräte oder gegebenenfalls deren Steuerungsfunktionen erhalten. Auf dem Gerät hinterlegte Daten, wie zum Beispiel Netzwerkschlüssel können so verloren gehen und zu einer Kompromittierung ganzer Netzwerke führen. Außerdem ist die Kommunikation anderer Geräte innerhalb des Netzwerks gefährdet. Es fehlen branchenweite Sicherheitsstandards, Zertifizierungen und Best Practices. Bei Anschaffung von IoT-Geräten ist in der Regel nicht klar, wie lange Software-Support für diese angeboten wird.

Aus diesen oft gravierenden Sicherheitsmängeln folgt, dass viele IoT-Geräte nicht ohne Weiteres datenschutzkonform eingesetzt werden können.

Lösungen für Datenschutz und IT-Sicherheit

Doch auch hier gibt es keine unlösbaren Probleme. Wer Datenschutz und IT-Sicherheit schon ohne den Einsatz von IoT in seinem Unternehmen ernst genommen hat, wird diese durch Anwendung derselben Grundsätze auf neue Technologien ohne größeren Aufwand implementieren können.

So können in neu entwickelte Systeme schon in der Konzeptionsphase Verfahren für die automatische Installation von Firmware-Updates eingebaut werden. Wobei hier wiederum darauf Wert gelegt werden sollte, dass nur authentifizierte Updates eingespielt werden können. In derselben Phase können bereits datenschutzfreundliche Voreinstellungen gewählt werden. Die Geräte sollten also nur die Daten erfassen und speichern oder weiterleiten, die sie unbedingt benötigen. Sie sollten, solange kein guter Sicherheitsstandard für IoT-Geräte erreicht ist, im Netzwerk so abgeschirmt werden, dass nicht die ganze Unternehmens-IT von wenigen befallenen Geräten kompromittiert werden kann. Zur Einhaltung solch guter Standards sollte auch gehören, dass die Geräte selbst möglichst wenig sensible Daten enthalten. Angreifer, die unberechtigten Zugriff auf ein Gerät erlangt haben, können so nur wenig Schaden für

geheime Unternehmensdaten oder den Datenschutz anrichten. Eine umfangreiche Sammlung von bereits vorhandenen grundlegenden Sicherheitsempfehlungen und Best Practices für den Einsatz von IoT und Smart Infrastructure hat die Agentur der Europäischen Union für Cybersicherheit zusammengestellt.

Fazit

Wer auf diese Weise ein Umfeld geschaffen hat, in dem der Datenschutz und damit einhergehend die IT-Sicherheit auch mit dem Einsatz von IoT und Smart Infrastructure kombinierbar sind, kann in die Offensive gehen und erklären, warum das eigene Unternehmen im Gegensatz zur Konkurrenz die Risiken des IoT für den Datenschutz und die IT-Sicherheit beherrscht. So kann man sich als Technologieführer in seiner Branche im Wettbewerb um Kunden und gute Mitarbeiter behaupten und in Führung gehen.

Produktivitätszuwächse, Einsparung von Reibungsverlusten, zufriedenere Mitarbeiter durch Entschlackung des Arbeitsalltags von Routineaufgaben und smartere Abläufe, sicherere Arbeitsplätze, bessere Wartung von Infrastruktur und vieles mehr sind Vorteile des Einsatzes von IoT in Unternehmen.

Die Liste der Vorteile, die der Einsatz von IoT und verwandter Technologien Unternehmen bringen kann, ist lang und überzeugend. Umso besser ist es daher, dass der Einsatz von IoT einerseits mit gutem Datenschutz vereint wird. Auf der anderen Seite gilt es jedoch für Unternehmen, der Schaffung unnötiger Datensilos oder der Zweckentfremdung von Daten vorzubeugen und die IT-Sicherheit stärker zu durchdenken, da diese durch den Einsatz von IoT vor neue Herausforderungen gestellt wird.

Wer jedoch schon vor der Implementierung dieser neuen Technologie solche Risiken bedenkt, sie in sinnvollen Datenschutzkonzepten berücksichtigt und das auch dokumentiert, wird die Vorteile dieser nächsten Evolutionsstufe der Informationsverarbeitung schneller und besser nutzen können als seine Konkurrenten.

Mehr zum Thema

23. April 2024

Informationssicherheit im Gesundheitssektor – neue Regeln für die Cybersecurity

Mit der zunehmenden Vernetzung und der fortschreitenden Digitalisierung des Gesundheitswesens ist der Schutz informationstechnischer Systeme zu einem zentralen Anliegen der Branche geworden. Denn funktionierende IT-Systeme sind eine wesentliche Voraussetzung für die Sicherheit der Versorgung im Allgemeinen und die Patientensicherheit im Besonderen.
Weiterlesen
1. April 2024

Ransomware-Prävention in Zeiten von KI – Wie Unternehmen Attacken vorbeugen können

Ransomware ist nach wie vor eine der größten Bedrohungen für Wirtschaftsunternehmen. Besonders IT-Dienstleister sind in den vergangenen Jahren in den Fokus von Cyberkriminellen gerückt. Durch präventive Maßnahmen der Cybersicherheit werden personenbezogene Daten angemessen und wirksam vor den alltäglichen Gefahren des digitalen Zeitalters geschützt.
Weiterlesen
20. Februar 2024

Die Deadline naht: Machen Sie Ihr Unternehmen noch vor Oktober fit für NIS-2

Mit der nahenden Deadline im Oktober für die nationale Umsetzung der Network and Information Security (NIS) Directive 2 (NIS-2) stehen Unternehmen vor der Herausforderung, nicht nur gesetzliche Vorgaben zu erfüllen, sondern auch ihre eigenen Geschäftsprozesse und die Sicherheit ihrer Informationstechnologie nachhaltig zu verbessern.
Weiterlesen

28. August 2019

PSD 2 & 2-Faktor-Authentifizierung: Umsetzungsbedarf für Online-Händler

Ab dem 14.09.2019 gilt die zweite Stufe der PSD2 Richtlinie. Dadurch gilt für fast alle Online-Zahlungen, die vom Kunden selbst getätigt werden, die Pflicht für Zahlungsdiensteanbieter eine starke Kundenauthentifizierung (Strong Customer Authentification – SCA) durchzuführen. Bei Internet-Zahlungen reicht es dann nicht mehr aus, lediglich die Informationen zum Zahlungsmittel einzugeben. Die Identität des Kunden muss bei den meisten Transaktionen zusätzlich beispielsweise durch eine Transaktionsnummer (TAN) und ein Passwort geprüft werden. Dieser Vorgang wird Zwei-Faktor-Authentifizierung (2FA) genannt. Die Einschätzungen darüber, welche Folgen dies für E-Commerce-Unternehmen haben kann, reichen von starken Umsatzeinbußen bis zu kaum spürbaren Anpassungen. Dieser Artikel beleuchtet die Folgen, die das zweite Paket der PSD2-Richtlinie und die Pflicht zur SCA auf den Onlinehandel haben wird und zeigt auf, was Händler zu beachten haben. Die BaFin hat zwar in einer Pressemitteilung vom 21.08.2019 erklärt, dass Kreditkartenzahlungen auch nach dem 14.09.2019 vorübergehend noch ohne SCA erfolgen dürfen, jedoch sollten Händler sich nicht auf diese nicht genau terminierte Übergangsregelung verlassen und bereits jetzt die Vorgaben der PSD2-Richtlinie vollständig umsetzen. Dieser Artikel konzentriert sich auf die Auswirkungen der PSD2-Richtlinie auf Online Händler. Er beleuchtet die veränderte Situation für Zahlungsdiensteanbieter, Zahlungsdienstleister und Banken nur soweit, wie das für die Darstellung notwendig ist.

Darstellung der Entstehungsgeschichte der zweiten Stufe der PSD2-Richtlinie

Um einen sicheren und EU-weit einheitlich regulierten Markt für Zahlungsdienste zu schaffen, Innovationen zu fördern und den Wettbewerb zu stärken, hat die Europäische Union die erste Zahlungsdiensterichtlinie aus dem Jahr 2007 (PSD) erlassen und diese später durch die zweite Zahlungsdiensterichtlinie (PDS 2) ersetzt. Die erste Stufe der durch die PSD2-Richtlinie vorgesehenen Änderungen wurde vom deutschen Gesetzgeber mit Wirkung zum 13.01.2018 umgesetzt. Die für die zweite Stufe wichtigen von der Europäischen Bankenaufsichtsbehörde EBA vorgegebenen „Regulatory Technical Standards“ (RTS) treten nach einer 18-monatigen Umsetzungsfrist am 14.09 2019 in Kraft.

Änderungen der gesetzlichen Anforderungen inkl. Ausnahmen, insbesondere SCA und 2FA

Neben bereits erfolgten Änderungen, wie der Absenkung der Haftung des Zahlers für leicht fahrlässig verursachte, nicht autorisierte Zahlungsvorgänge von maximal 150 Euro auf höchstens 50 Euro (§ 675v BGB) und der Abschaffung von Gebühren für SEPA-Basislastschriften, SEPA-Firmenlastschriften, SEPA-Überweisungen oder die Benutzung einer Zahlungskarte (§ 270a BGB) bringt die PSD2-Richtlinie durch ihre Umsetzung im Zahlungsdiensteaufsichtsgesetz (§ 55 Abs. 1 S. 1 Nr. 2, Abs 2 ZAG) auch die Pflicht mit sich, bei Bezahlvorgängen starke Kundenauthentifizierungen anzuwenden.

Diese Pflicht gilt grundsätzlich nur für Bezahlvorgänge, die vom Benutzer initiiert wurden, sogenannte „Push“-Zahlungen. Im Gegensatz dazu sind sogenannte „Pull“-Zahlungen, die vom Händler angefordert werden, nicht der Pflicht zur sogenannten Strong Customer Authentification (SCA) unterworfen.

Ausnahmen von der Pflicht zur starken Kundenauthentifizierung:

Kauf auf Rechnung
Lastschrift
Beträge unter 30 Euro (Wenn seit der letzten 2FA nicht mehr als 100 EURO bezahlt oder 5 Zahlungen getätigt wurden)
Widerkehrende Abonnement Zahlungen (Wenn der Betrag gleich bleibt und Auftragserteilung mit 2FA authentifiziert wurde)
Kontaktlose Zahlungen an Verkaufsstellen bis zu Einzelbeträgen von 50 Euro (Wenn seit der letzten 2FA nicht mehr als 150 EURO bezahlt oder 5 Zahlungen getätigt wurden)
Kontaktlose Zahlungen für Verkehrsentgelte und Parkgebühren
Zahlungen bei Online-Shops, die Kunden auf ihre Whitelists gesetzt haben
Transaktionen mit geringem Risiko

Dabei kann für Zahlungen zwischen 30 und 500 Euro anhand der vom Kartenherausgeber und den Aquirer (Unternehmen, das die Zahlung zwischen Kartenherausgeber und Händler vermittelt) ermittelten durchschnittlichen Betrugswerte von beiden gemeinsam beschlossen werden, welche Zahlungen als risikoarm anzusehen sind (Artikel 18 der PSD2 -Richtlinie). Die Betrugsrate darf dazu die im Anhang zu den Regulatory Technical Standards (RTS) definierten Werte nicht überschreiten und soll bei der Echtzeitüberwachung gewisser Risikofaktoren unauffällig bleiben.

Was sollte der Online-Handel ändern?

Nach Art 4 Abs. 1 RTS muss zur Autorisierung eines Zahlungsvorganges mit Hilfe der Zwei-Faktor-Authentifizierung durch den Kunden immer eine Kombination von zwei Merkmalen aus den drei folgenden Gruppen angegeben werden:
Wissen (Pin, Zugangsdaten et cetera), Besitz (Tan Generator, Handy mit Banking App et cetera) oder Inhärenz (Fingerabdruck, Iris, Gesichtszüge et cetera).
Diese Pflicht trifft die meisten Händler jedoch nicht direkt, da durch die Norm die Zahlungsdienstleister verpflichtet werden. Solche Anbieter wie zum Beispiel Klarna, Mastercard, Paypal oder Ähnliche haben dafür Sorge zu tragen, dass alle vom Kunden veranlassten Zahlungen, die nicht unter die oben genannten Ausnahmetatbestände fallen, nur durchgeführt werden, wenn der Kunde sie durch die Zwei-Faktor Authentifizierung (2FA) veranlasst hat. Kreditkartenzahlungen zum Beispiel werden daher nur noch zulässig sein, wenn sie eine Zwei-Faktor-Authentifizierung verlangen. Diese wird von allen großen Kreditkartenanbietern bereits optional angeboten und ist ab dem 14.09.19 für die nicht von den oben genannten Ausnahmen erfassten Zahlungen verpflichtend.

Die aus der Kartenzahlung im Alltag bekannte Kombination aus EC-Karte und PIN-Eingabe ist ein gutes Beispiel für eine funktionierende und vielfach erprobte 2FA. Die Regelung ist jedoch so formuliert, dass auch modernere Authentifizierungen, zum Beispiel über den Fingerabdruck oder den Iris-Scan möglich sind. Sie ist daher weitestgehend technologieneutral.

Der Online-Handel muss für die zweite Stufe der Einführung der PSD2-Richtlinie im September 2019 also nicht allzu viel ändern.

Er sollte nur noch Zahlungsmittel anbieten, die entweder von der Pflicht zur SCA ausgenommen sind (Kauf auf Rechnung, Lastschrift) oder sollte sicherstellen, dass die „Push“ Zahlungsmethoden, die er seinen Kunden anbietet, mit starken Kundenauthentifizierungen (SCA) abgesichert sind.

Weiterhin müssen Plattformen, die Verträge zwischen zwei Parteien vermitteln, wie zum Beispiel Amazon Marketplace, Etsy oder Kickstarter, entweder ihre Zahlungsströme so organisieren, dass sie selbst kein Geld transferieren oder eine Lizenz als Zahlungsdienstleister beantragen.

Fazit

Zumindest der Online-Handel hat bis zur Einführung der zweiten Stufe der PSD2 keine großen Anpassungsleistungen zu vollbringen. Die Zahlungen, die vom Kunden ausgehen, müssen bis auf wenige Ausnahmen durch die Zwei-Faktor-Authentifizierung (2FA) autorisiert werden, was jedoch Sache der Zahlungsdienstleister ist. Für Bestellungen auf Rechnung oder Lastschrift ändert sich nichts. Schwieriger ist das Thema für Zahlungsdienstleister und Zahlungsdiensteanbieter. Diese müssen genau prüfen, dass ihre Zahlungswege sicher sind und die Vorgaben der technischen Regulierungsstandards für starke Kundenauthentifizierungen eingehalten werden oder die aufwändige Betrugsprävention für Zahlungen in gewisser Höhe schultern.

1. August 2019

EuGH-Urteil zum Like-Button: Was Websitebetreiber jetzt tun und beachten müssen

Am 29.07.2019 hat der Europäische Gerichtshof (EuGH) entschieden, dass ein Websitebetreiber, der einen sog. Like-Button von Facebook einbindet, für die damit verbundene Verarbeitung personenbezogener Daten teilweise gemeinsam zusammen mit Facebook verantwortlich ist. Dieses Urteil (C-40/17, „Fashion ID“) hat Konsequenzen für viele Websitebetreiber. In diesem Beitrag wollen wir klären, was im Urteil entschieden wurde, welche Folgen es hat, welche Plugins und Tools es betrifft und was Websitebetreiber jetzt tun müssen.

Was hat der EuGH zur Verantwortlichkeit entschieden?

Mit dem Like-Button werden Kommunikationsdaten (wie IP-Adressen und Cookie-Kennungen) sofort beim Besuch der Website an Facebook übermittelt. Nun hat der EuGH entschieden, dass die Betreiber von Websites, die den Like-Button durch Facebooks Plugin einbinden, für die Erhebung und Übermittlung der personenbezogenen Daten der Besucher mitverantwortlich sind.

Denn der Websitebetreiber ermöglicht durch die Einbindung des Like-Buttons die Datenübertragung an Facebook und verfolgt damit wirtschaftliche Interessen, insbesondere Marketing und Werbung. Für diesen Teil der Datenverarbeitung haftet der Website-Betreiber gemeinsam mit Facebook. Allerdings ist er nicht verantwortlich für das, was Facebook anschließend mit den Daten macht.

Ist eine Einwilligung jetzt zwingend erforderlich?

Nein, entgegen einer teilweise verbreiteten Interpretation des Urteils urteilte der EuGH nicht, dass eine Einwilligung für den Like-Button zwingend erforderlich ist. Darüber hat nun das Oberlandesgericht (OLG) Düsseldorf im Ausgangsverfahren zu entscheiden.

Hinsichtlich der Rechtsgrundlage für die Datenverarbeitung entschied der EuGH jedoch, dass

falls eine Einwilligung erforderlich sein sollte, diese (auch) gegenüber dem Website-Betreiber erklärt werden müsse,
falls die Verarbeitung auf berechtigte Interessen des Websitebetreibers gestützt werden soll, sowohl auf die Interessen des Websitebetreibers als auch auf die von Facebook abgestellt werden müsse.

Welche direkten Folgen ergeben sich aus dem Urteil?

Weil der Websitebetreiber für die Datenverarbeitung durch die Einbindung des Like-Buttons mitverantwortlich ist (Joint Controllership), muss er nach Art. 26 DSGVO mit Facebook in einer Vereinbarung die Verteilung der datenschutzrechtlichen Pflichten festlegen. Man kann davon ausgehen, dass entsprechende Vereinbarungen bald von den Anbietern der sozialen Netzwerke wie Facebook zur Verfügung gestellt werden.

Außerdem muss der Betreiber über die Erhebung und Übermittlung der Daten an Facebook durch das Plugin in seiner Datenschutzerklärung informieren und im Übrigen auf die Datenschutzerklärung von Facebook verweisen. In der Vereinbarung nach Art. 26 DSGVO könnte jedoch auch festgelegt werden, dass Facebook über die Datenverarbeitung informiert und der Websitebetreiber darauf verweist.

Gilt das Urteil nur für den Facebook Like-Button?

Der EuGH entschied in dem konkreten Fall über den Like-Button von Facebook. Die Argumentation des Gerichts kann auch auf andere Plugins und Tools bzw. Drittinhalte übertragen werden, die der Betreiber einer Website oder App einbindet. Diese müssen

von Dritten angeboten werden und
auf personenbezogene Besucherdaten zugreifen, sie speichern und/oder übermitteln.

Der Betreiber der Website/App muss

gemeinsame Interessen/Zwecke mit dem Anbieter des Plugins/Tools verfolgen und
den Zugriff, das Speichern und/oder die Übermittlung der Daten durch Einbindung des Plugins/Tools ermöglichen.

Es ist also in einem ersten Schritt zu prüfen, welche Plugins und Tools in Ihren Websites und Apps genutzt und eingebunden werden. Wenn die oben genannten Voraussetzungen vorliegen, liegt ein Fall der gemeinsamen Verantwortlichkeit vor. Große Anbieter werden den in diesen Fällen nach Art. 26 DSGVO erforderlichen Vertrag wahrscheinlich zum Bestandteil ihrer AGB machen, sodass kein separater Vertrag geschlossen werden muss. Jedenfalls sollten Sie die Rechtsprechung zu vergleichbaren Fällen und die Meinung der Aufsichtsbehörden genau verfolgen.

Nicht betroffen sind Plugins und Tools, die auf dem eigenen Server betrieben werden und deren Daten man selbst verarbeitet. So funktioniert beispielsweise das Analysetool Matomo (ehemals Piwik). Darüber hinaus liegt keine gemeinsame Verantwortlichkeit, sondern eine Auftragsverarbeitung vor, wenn der Dritte einem Daten-Nutzungsverbot unterliegt und weisungsgebunden ist.

Was jetzt zu tun ist: Welche Maßnahmen muss ich treffen?

Prüfen Sie, welche Plugins und Tools Sie auf Ihrer Website nutzen. Achten Sie dabei explizit auf Social-Media-Plugins, die Sie auf Ihrer Website oder App einbinden und die personenbezogene Daten verarbeiten.
Informieren Sie sich bei den Anbietern der Social-Media-Plugins ob diese künftig Ihnen eine Vereinbarung nach Art. 26 DSGVO zur Verfügung stellen werden.
Stellen Sie Informationen über die Datenverarbeitung bei diesen Social-Media-Plugins in Ihrer Datenschutzerklärung bereit und informieren Sie dabei über die Phasen der Datenverarbeitung in gemeinsamer Verantwortlichkeit (Erhebung und Übermittlung).
Prüfen Sie, ob Sie ein berechtigtes Interesse an der Einbindung der Social-Media-Plugins haben, die Datenverarbeitung erforderlich ist und die schutzwürdigen Interessen der Besucher an der Nichtübermittlung ihrer Daten nicht überwiegen. Wenn Sie sicher gehen wollen, greifen Sie auf die sog. 2-Klick-Lösung mit Einwilligung oder datenschutzfreundliche Alternativen wie die entwickelte Open-Source-Lösung „Embetty/Shariff“ zurück, die keine personenbezogenen Daten beim Seitenaufruf übertragen.
Hinterfragen Sie Ihre Nutzung von Plugins und sonstiger Tools, die personenbezogene Daten an Dritte übermitteln und/oder Drittanbieter-Cookies anlegen. Sind diese Tools erforderlich? Informieren Sie in Ihrer Datenschutzerklärung über die Nutzung der Tools? Können Sie die Tools durch datenschutzfreundlichere Alternativen ersetzen?
Behalten Sie im Hinterkopf, dass die rechtliche Bewertung des EuGH auch auf andere Plugins und Tools übertragen werden könnte. Beachten Sie aber auch, dass die Aufsichtsbehörden bisher noch keine Stellungnahme abgegeben haben und das OLG Düsseldorf erst einmal im Ausgangsverfahren über die Nutzung des Like-Buttons entscheiden muss.

Ausblick für die Zukunft: Wie geht es weiter?

Aktuell herrscht in Deutschland die besondere Situation, dass nicht alle Vorgaben aus der sog. ePrivacy-Richtlinie ins deutsche Recht übernommen wurden. Deswegen gilt nach wie vor:

Ein genereller Einwilligungszwang für Cookies und vergleichbare Technologien besteht nicht.
Die sog. ePrivacy-Richtlinie, insbesondere Art. 5 Abs. 3, ist nicht unmittelbar anwendbar.

Das Urteil des EuGH kann ändert diese Grundsätze nicht. Solange nicht der Gesetzgeber oder ein deutsches Gericht verbindliche Aussagen zur Rechtsgrundlage bei der Nutzung von Cookies (mit personenbezogenen Daten) macht, richtet sich die Rechtmäßigkeit ihrer Verarbeitung nach Art. 6 Abs. 1 DSGVO. Danach kann die Verarbeitung neben den Rechtsgrundlagen „Einwilligung“ und „Vertragsdurchführung“ auch auf „berechtigte Interessen“ gestützt werden, solange die Datenverarbeitung erforderlich ist und die Interessen der betroffenen Personen nicht überwiegen. Die zuvor genannte Position wird auch von den deutschen Aufsichtsbehörden vertreten, vgl. Orientierungshilfe der Aufsichtsbehörden für Anbieter von Telemedien, Stand: März 2019, S. 7.

Bei der Interessenabwägung kommt insbesondere auch zum Tragen, welche Maßnahmen man zugunsten des Nutzers ergreift, etwa die

einfache Bereitstellung eines Opt-Out vom Tracking,
Einflussnahme auf die vernünftigen Erwartungen der betroffenen Personen,
Reduzierung der Speicherdauer der Daten,
Reduzierung des Datenumfangs und
Pseudonymisierung.

Gleichwohl machen die deutschen Aufsichtsbehörden in der erwähnten Stellungnahme für Anbieter von Telemedien auch deutlich, dass sie bei besonders weitreichenden Datenverarbeitungsvorgängen, insbesondere bei Cookies für Tracking wie bei Facebook Pixel, eine Einwilligung für erforderlich halten.

Insgesamt gibt es weiterhin keine gesetzliche oder höchstrichterliche einheitliche Linie. Gesetzlich wird diese Problematik zu Cookies erst die sog. ePrivacy-Verordnung regeln. Diese wird anders als ihr Vorgänger, die bereits erwähnte ePrivacy-Richtlinie, unmittelbar in Deutschland gelten. Bis dahin könnten jedoch noch Entscheidungen deutscher Gerichte Fälle in diesem Bereich konkretisieren und regeln.

Unsere erfahrenen Datenschutz-Experten beraten Sie gerne in Hinblick auf alle Neuigkeiten im Datenschutzrecht! Dies gilt insbesondere auch in Bezug auf die datenschutzkonforme Gestaltung von Websites trotz der bestehenden Rechtsunsicherheiten.

30. Juli 2019

Löschkonzepte nach der DSGVO – Leitfaden

Die Löschung von Daten nach der Datenschutz-Grundverordnung (DSGVO) muss grundsätzlich unter zwei Blickwinkeln betrachtet werden: Einmal aus der Sicht des Betroffenen, der ein Recht auf Löschung hat und einmal aus Sicht des Verantwortlichen, der eine Pflicht zur Löschung hat. Beides läuft allerdings auf eins hinaus: die verantwortlichen Stellen müssen irgendwann die Daten löschen.

Natürlich bringt das einen erheblichen Zeit- und Arbeitsaufwand mit sich. Unternehmen sollten das Ganze jedoch auch aus der Sicht der Betroffenen sehen. Schließlich möchte keiner, dass irgendwo auf Festplatten oder anderen Orten Informationen liegen, die eventuell fremden Personen Einblicke in das eigene Leben geben können. Genau das ist es auch, was die DSGVO bezweckt, nämlich den EU-Bürgern ihre Rechte auf Achtung des Privatlebens und auf Datenschutz nach der Grundrechtecharta zu sichern.

Ein effektives und funktionierendes Löschkonzept trägt dazu bei, dass Unternehmen die Löschpflichten einfach und zuverlässig umsetzen können. Es kann sicherstellen, dass die Gratwanderung zwischen löschen und aufbewahren gelingt. Außerdem tritt nicht nur eine positive Wirkung für den Datenschutz ein, sondern zusätzlich kann die Aufstellung eines Löschkonzepts zur internen Unternehmensorganisation beitragen, indem Geschäftsprozesse präzisiert und optimiert werden. Abgesehen davon können Verletzungen der Löschpflicht zu Sanktionen führen, wie erst vor kurzem in Dänemark geschehen: dort musste ein Unternehmen umgerechnet 160.000 Euro wegen unzureichender Löschung und mangelhafter Dokumentation zahlen.

Wir erklären Ihnen im Folgenden anhand eines Leitfadens, was sie bei der Löschung von personenbezogenen Daten und bei der Aufstellung eines Löschkonzepts zu beachten haben.

Wann muss gelöscht werden?

Zunächst sollte sich immer die Frage gestellt werden, wann personenbezogene Daten überhaupt gelöscht werden können. Einerseits muss immer dann gelöscht werden, wenn die betroffene Person es im Rahmen ihres Rechts auf Löschung verlangt. Andererseits besteht in mehreren gesetzlich festgeschriebenen Fällen die Löschverpflichtung der verantwortlichen Stelle. Die DSGVO verlangt demnach die Löschung, wenn

die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig ist,
die Einwilligung in die Datenverarbeitung widerrufen wurde und es an einer anderen Rechtsgrundlage zur Verarbeitung fehlt,
die betroffene Person Widerspruch gegen die Verarbeitung eingelegt hat,
die Verarbeitung unrechtmäßig war,
die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder Recht des Mitgliedstaats erforderlich ist oder
die personenbezogenen Daten in Bezug auf angebotene Dienste einer Informationsgesellschaft gem. Art. 8 Abs. 1 erhoben wurden.

Hier ein Beispiel: Ein Kunde erteilt einem Unternehmen die Einwilligung, seine E-Mail-Adresse zum Versenden von Newslettern zu verwenden. Er hat allerdings jederzeit das Recht, diese Einwilligung zu widerrufen und schon entfällt die Rechtsgrundlage. In diesem Fall wird sich in der Regel auch keine andere Rechtsgrundlage finden, sodass das Unternehmen verpflichtet ist, die E-Mail-Adresse zu löschen. Genauso sieht es z.B. aus, wenn es von vornherein keine Einwilligung zum Newsletterversand gab.

Aber Vorsicht: den Löschverpflichtungen stehen auch immer gesetzliche Aufbewahrungspflichten entgegen! In der DSGVO selbst werden einige Situationen aufgezählt, in denen nicht gelöscht werden darf, wie u.a. aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit oder für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Es lohnt sich außerdem dafür einen Blick in Spezialgesetze zu werfen. Datenschutzrecht ist nämlich auch immer branchenspezifisch zu beurteilen. So ergeben sich insbesondere steuerrechtliche Aufbewahrungspflichten, die Pflicht zur Aufbewahrung bestimmter Unterlagen aus der Geldwäscheprüfung bei Banken und u.a. auch Rechtsanwälten, die Pflicht zur Aufzeichnung und Speicherung von Kundentelefonaten von Unternehmen, die unter das Wertpapierhandelsgesetz fallen und auch im Personalwesen gibt es bestimmte Aufbewahrungspflichten zu beachten.

Das haben Sie bei der Aufstellung eines Löschkonzepts zu beachten

Checkliste:

Lokalisation der Daten: welche Daten sind wo in meinem Unternehmen?
Informierung über das konkrete Spannungsfeld Löschpflichten vs. Aufbewahrungspflichten im eigenen Unternehmen
Definition einer Löschregel: Löschfrist + Startzeitpunkt definieren
Festlegung: Wann sind die personenbezogenen Daten zu löschen? Z.B. Wegfall der Rechtsgrundlage
Aufstellung einer Tabelle pro Abteilung
Beachtung von Sonderfällen, z.B. Auftragsverarbeitung
Implementierung des Löschkonzepts und das Löschen an sich
Testen, testen, testen!

Ein Löschkonzept soll das Spannungsfeld zwischen Löschverpflichtung und Speicherpflichten auflösen. Das ist allerdings aufgrund der komplexen Regelungsmaterie im deutschen Recht schwieriger und komplexer als gedacht, weshalb ein Löschkonzept besonders ausgeklügelt und auf die jeweilige Branche angepasst sein muss. Einen Anhaltspunkt kann die Leitlinie Löschkonzept, die als DIN 66398 veröffentlich wurde, bieten. Dies ist jedoch nicht verpflichtend, es gibt auch noch andere Wege ein gut funktionierendes Löschkonzept aufzustellen. Dabei ist immer spezifisch auf die Bedürfnisse, die Organisation und die Kapazitäten des Unternehmens zu achten.

Ein praktisches Problem sollte dabei im Blick behalten und bereits bei der Entwicklung einer Strategie zur Aufstellung eines Löschkonzepts gelöst werden: oftmals ist es schwierig einen Überblick darüber zu gewinnen, wo im Unternehmen die zu löschenden Daten gespeichert sein können, welche Systeme die Daten untereinander austauschen und wer überhaupt die Daten erhalten hat. Cloud Computing und andere Technologien machen das kompliziert. Doch ein Blick in das VVT wird helfen, eine Bestandsaufnahme der Daten vorzunehmen.

In einem nächsten Schritt sollten die Daten in Kategorien eingeordnet werden, für die die jeweils gleiche Aufbewahrungsdauer gilt.

Zudem gilt: personenbezogene Daten sollten nicht nur zufällig, sondern nach sinnvollen Regeln gelöscht werden (sog. Löschregeln). Die Löschregel enthält eine Löschfrist sowie einen Startzeitpunkt, ab dem die Frist zu laufen beginnt.

Vor der Löschung sollten die Daten außerdem archiviert werden. Die Archivierung sollte in einem System stattfinden, das den gesetzlichen Vorschriften zur Aufbewahrung entspricht. Für die Archivierung personenbezogener Daten muss wiederum nach dem Rechtmäßigkeitsprinzip der DSGVO eine Rechtsgrundlage gefunden werden, da eine Zweckänderung anzunehmen ist. Die Rechtsgrundlage findet sich jedoch in der Regel in den berechtigten Interessen der verantwortlichen Stelle. So kann beispielsweise ein Arbeitgeber von abgelehnten Bewerbern ein Interesse daran haben, die Bewerberdaten für den Fall einer Klage nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) aufzubewahren. Die Aufbewahrungspflicht in dem Fall liegt bei sechs Monaten.

Grundsätzlich bietet es sich an, ein Löschkonzept pro Abteilung des Unternehmens zu haben, wie z.B. ein Löschkonzept für die Personalabteilung (HR). Dort können dann in verschiedenen Haupt- und Unterregistern Dokumentarten einsortiert werden, wie z.B. der Arbeitsvertrag als arbeitsrechtliche Vereinbarung oder Lebenslauf und Bewerbungsschreiben als Bewerbungsunterlagen im Falle einer Einstellung unter dem Hauptregister Einstellungsunterlagen.

Bei der Aufstellung des Löschkonzepts sind stets Sonderfälle zu beachten. Bei der Auftragsverarbeitung beispielsweise muss ein Auftraggeber im Rahmen einer Auftragsverarbeitung dem Auftragnehmer Löschkonzepte und Löschprotokolle zur Verfügung stellen.

Was ist eine Löschung überhaupt?

Nun stellt sich noch die Frage, was eine Löschung überhaupt ist. Darunter versteht man generell das physische, nicht rückgängig zu machende Vernichten von personenbezogenen Daten. Die Klärung dieser Frage klingt vielleicht zunächst überflüssig, aber ist auf den zweiten Blick berechtigt, da ggf. auch eine Anonymisierung eine Löschung darstellen kann. Insbesondere wenn eine physische Vernichtung für die verantwortliche Stelle unzumutbar ist, sehen die Aufsichtsbehörden das als datenschutzkonforme Alternative an.

Als allgemeines Vorgehen zur Löschung bietet es sich an, die jeweiligen Akten unverzüglich zu vernichten und zwar mit Mitteln, die ihrer Art oder ihrem Vertraulichkeitsgrad angemessen sind (z.B. Aktenvernichtung, Recycling, Löschung). Elektronische Daten auf Servern, Festplatten usw. sind zu löschen und sicher zu überschreiben. Elektronische Daten auf anderen Datenträgern werden durch physische Zerstörung dieser Datenträger vernichtet. Papierakten müssen mittels Aktenvernichter beseitigt werden, wobei sich Schutzklasse und Sicherheitsstufe nach der Datenträgervernichtungsnorm DIN 66399 richten.

Fazit: Mit Löschkonzept zur Compliance!

Ein Löschkonzept aufzustellen erfordert Zeitaufwand. Führen Sie es jedoch Schritt für Schritt und ordentlich durch, so kann es den Geschäftsbetrieb erleichtern und Compliance in Ihrem Unternehmen sicherstellen. Wichtig dabei ist allerdings, das Löschkonzept gründlich zu erstellen, da Löschpflicht und Aufbewahrungspflicht leicht zu Haftungsfallen werden können: Einerseits müssen Daten ab einem bestimmten Zeitpunkt gelöscht werden andererseits aber auch eine bestimmte Zeit lang aufbewahrt werden.

Diese Abgrenzung muss genau vorgenommen werden, weshalb es sich empfiehlt, Datenschutzexperten heranzuziehen. Die IT- und Rechtsexperten der ISiCO Datenschutz GmbH prüfen Ihr Löschkonzept auf Vollständigkeit und Richtigkeit und kümmern sich auf Wunsch um die Erstellung und Implementierung. Gerne stellen wir Ihnen auch einen Datenschutzbeauftragten zur Seite. Vertrauen Sie auf uns und unsere Expertise!

Wir melden uns bei Ihnen!

Vielen Dank für Ihre Nachricht. Wir melden uns bei Ihnen.

Es ist ein Fehler aufgetreten.

Newsletter

Was genau hat Facebook geändert?

TOM: Welche Pflichten müssen Fanpage-Betreiber erfüllen?

Mehr zum Thema

Alternativen zum klassischen Cookie-Banner – Paywalls, PUR-Modelle und PIMS

Die wichtigsten Fragen zu Datenübermittlung an US-Dienste: Was bedeutet der neue EU-US Datenschutzrahmen für Unternehmen?

Digitales Marketing und Datenschutz – Handlungsempfehlungen für E-Commerce-Unternehmen

Umfangreiche Datenverarbeitungen

Newsletter

Auf datenschutzrechtliche Vereinbarungen achten

Weitere Probleme beim Datenschutz

Daraus ergeben sich folgende Datenschutzrisiken:

Folgen für die Praxis

Mehr zum Thema

Digital Operational Resilience Act (DORA): Umsetzung der Anforderungen durch professionelle Beratung

Verzeichnis von Verarbeitungstätigkeiten (VVT) einfach erklärt – mit Checkliste zum Download

Effektive Datenschutz-Risikoanalysen: Anwendungsbereiche und Vorteile des Threat Modeling

Keine Daten ohne Datenschutz?

Newsletter

Was Anonymisierung bedeutet

Die Methode in der Praxis

Fazit

Mehr zum Thema

Informationssicherheit im Gesundheitssektor – neue Regeln für die Cybersecurity

Die wichtigsten Fragen zu Datenübermittlung an US-Dienste: Was bedeutet der neue EU-US Datenschutzrahmen für Unternehmen?

Joint Controller Agreement: Vorteile und Herausforderungen der gemeinsamen Verantwortlichkeit

Hintergrund: Personenbezogene Daten – Der Einstieg in die DSGVO

Was sind personenbezogene Daten?

Rechtliche Bedeutung

Besonders schutzwürdige personenbezogene Daten

Voraussetzungen für die Verarbeitung besonders schutzwürdiger personenbezogener Daten

Fazit

Die Übernahme von datenschutzrechtlichen Risiken

Datenschutzrechtliche Aspekte innerhalb der Legal Due Diligence

Verarbeitet das zu kaufende Unternehmen personenbezogene Daten?

Hält das Unternehmen die Grundsätze der Datenverarbeitung nach der DSGVO ein?

Werden weitere wichtige Pflichten nach der DSGVO beachtet?

Fazit: Ohne Prüfung der datenschutzrechtlichen Risiken wird der Unternehmenskauf zum Risiko

Einführung

Pflichten zum Schutz von Patientendaten

Betroffenenrechte im Gesundheitswesen

Interner Zugriff auf Patientendaten

Weitergabe von Patientendaten an Dritte

Mehr Informationen zum Thema:

Digitalisierung im Gesundheitswesen

Datenschutzvorfälle im Gesundheitswesen

Health-Apps und die Übermittlung von Gesundheitsdaten

Fazit

Hintergrund: Die Regelung der Auftragsverarbeitung in der DSGVO

Mindestinhalt eines Auftragsverarbeitungsvertrages:

Rechte und Pflichten im Rahmen der Auftragsverarbeitung

Haftung

Privilegierung der Auftragsverarbeitung

Voraussetzungen für eine rechtmäßige Auftragsverarbeitung:

Fazit

Datenschutzrechtliche Herausforderungen im Bewerbungsverfahren

Chatbots

Headhunting

Sortieren von Bewerbungen

Persönlichkeitsprofil durch Stimmanalyse

Personaladministration

Geschäftsreisen

Talentförderung

Fazit

Risiken bei Datenschutz und Datensicherheit

Lösungen für Datenschutz und IT-Sicherheit

Fazit

Mehr zum Thema

Informationssicherheit im Gesundheitssektor – neue Regeln für die Cybersecurity

Ransomware-Prävention in Zeiten von KI – Wie Unternehmen Attacken vorbeugen können

Die Deadline naht: Machen Sie Ihr Unternehmen noch vor Oktober fit für NIS-2

Darstellung der Entstehungsgeschichte der zweiten Stufe der PSD2-Richtlinie

Newsletter

Was sollte der Online-Handel ändern?

Fazit

Was hat der EuGH zur Verantwortlichkeit entschieden?

Ist eine Einwilligung jetzt zwingend erforderlich?

Welche direkten Folgen ergeben sich aus dem Urteil?

Gilt das Urteil nur für den Facebook Like-Button?

Was jetzt zu tun ist: Welche Maßnahmen muss ich treffen?