- Anzeige -


Sie sind hier: Startseite » Fachartikel » Grundlagen

Datenschutz und Outsourcing


Geändertes Datenschutzrecht erfordert neue Verträge mit Datenverarbeitern
Betroffen sind auch Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung


Von Rechtsanwalt Dr. Thomas Helbing

(15.04.10) - Datenverarbeitungverträge müssen bestimmte Mindestregelungen beinhalten, so will es das neue Bundesdatenschutzgesetz. So müssen zum Bespiel Klauseln aufgenommen werden über die Benachrichtigung bei Datenschutzverstößen, Prüfrechte, die Einschaltung von Unterauftragnehmern sowie eine Reihe weiterer Punkte. Betroffen sind zum Beispiel Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung oder Verträge mit Unternehmen, die Personalinformationsssyteme anbieten, auch wenn es sich nur um Tochtergesellschaften oder die Konzernmutter handelt.

Genügen Verträge den Anforderungen nicht, drohen Bußgelder von bis zu 50.000 Euro. Bereits bestehende Vereinbarungen sollten überprüft und Unternehmensrichtlinien erarbeitet werden, die sicherstellen, dass zukünftige Verträge den neuen Regeln entsprechen.

Welche Verträge sind betroffen?
Alle Verträge, bei denen Dritte Daten für Ihr Unternehmen speichern, nutzen oder anderweitig verarbeiten, müssen den neuen Anforderungen genügen, insbesondere, wenn diese nach dem 1. September 2009 geschlossen, erneuert oder angepasst wurden. Diese so genannten "Auftragsdatenverarbeitungs-Verhältnisse" liegen immer dann vor, wenn ein Dritter für Ihr Unternehmen im Auftrag personenbezogene Daten verarbeitet oder darauf Zugriff hat.

Personenbezogene Daten sind sämtliche Informationen, die einer bestimmten oder bestimmbaren Person zugeordnet werden können, zum Beispiel Lieferadressen oder bisherige Käufe eines Kunden, Kontaktdaten von Geschäftspartnern oder Mitarbeiterdaten wie Name, Stellenbeschreibung, Lebenslauf oder Gehalt.

Die neuen Regeln betreffen auch konzerninterne Sachverhalte, zum Beispiel wenn eine Muttergesellschaft eine zentrale Kundendatenbank oder ein HR-System betreibt, in dem auch Kundendaten oder Mitarbeiterdaten der Tochtergesellschaften gespeichert sind.

Beispiele für möglicherweise betroffene Vertragsverhältnisse sind:
>> Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung
>> Verträge mit Archivierungs-Dienstleistern
>> Verträge mit Call Centern oder Direktmarketing-Agenturen (Mailings, Newsletter-Versand, Lettershops)
>> Verträge mit Unternehmen, die HR-Systeme oder Kundenverwaltungs-Systeme (CRM) anbieten
>> Verträge mit externen Prüfern und Wartungsfirmen
>> andere Verträge über die zur Verfügungstellung von IT-Ressourcen (z.B. Application Service Providing (ASP), Cloud Computing, Software-as-a-Service (SaaS), Website-Hosting, Online-Speicherplatz).

Von der Datenverarbeitung im Auftrag sind die Fälle zu unterscheiden, bei denen ein Unternehmen nicht nur die Datenverarbeitung, sondern eine ganze Aufgabe oder Funktion ausgelagert hat, z.B. die Kundenbetreuung. Für diese "Funktionsübertragungen" gelten andere und sogar strengere datenschutzrechtliche Anforderungen. Die Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung kann äußert schwierig sein und nur anhand der konkreten Umstände des Einzelfalles erfolgen.

Was verlangt das neue Recht?
Bereits bis zum 31. August 2009 galten für Auftragsdatenverarbeitungs-Verträge bestimmte Mindestandforderungen. Diese wurden jetzt konkretisiert und ausgeweitet.

Seit dem 1. September 2009 müssen die Parteien in einem schriftlichen Vertrag insbesondere Folgendes festlegen:

>> Umgang, Art und Zweck der Erhebung, Nutzung und Verarbeitung von Daten durch den Auftragnehmer
>> den Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmer
>> die vom Auftragnehmer zu treffenden technischen und organisatorischen Maßnahmen zur Datensicherheit
>> die Korrektur, Löschung und Sperrung von Daten durch den Auftragnehmer
>> die Befugnis des Auftragnehmers, die Datenverarbeitung an Unterauftragnehmer auszulagern
>> die Pflicht des Auftragnehmers, einen Datenschutzbeauftragten zu bestellen und seine Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten
>> Kontrollrechte des Auftraggebers
>> Verpflichtungen des Auftragnehmers, dem Auftraggeber Datenschutzverstöße mitzuteilen, und
>> die Rückgabe und Löschung der Daten beim Auftragnehmer am Ende des Auftrags

Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer voll verantwortlich sowie dafür, dass die genannten zwingenden vertraglichen Vereinbarungen getroffen wurden. Darüber hinaus stellt das Bundesdatenschutzgesetz klar, dass der Auftraggeber den Auftragnehmer sorgfältig im Hinblick auf die getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit auszusuchen hat. Auftraggeber müssen ihre Auftragnehmer regelmäßig kontrollieren und das Ergebnis der Kontrollen dokumentieren.

Hat der Auftragnehmer seinen Sitz außerhalb des Europäischen Wirtschaftsraumes (EWR) müssen zusätzliche Maßnahmen getroffen werden, um ein "angemessenes Datenschutzniveau" beim Auftragnehmer sicherzustellen. Hierfür verwenden viele Unternehmen die "EU Standardvertragsklauseln für die Übermittlung von personenbezogenen Daten an Datenverarbeiter in Drittländern".

Leider decken sich diese nicht voll mit den neuen strengen Anforderungen des deutschen Rechts. So sind etwa die Regelungen zur Mitteilung von Datenschutzverstößen in den EU Standardverträgen nur sehr vage geregelt. Werden von einem Auftragnehmer außerhalb des EWR unternehmenskritische Daten verarbeitet, sollten die Standardverträge deshalb durch zusätzliche vertragliche Regelungen ergänzt werden.

Welche Sanktionen drohen und wie wahrscheinlich sind diese?
Datenschutzbehörden können Unternehmen ohne ausreichende Verträge Bußgelder von bis zu 50.000 Euro auferlegen. Im Falle eines Datenschutzverstoßes beim Auftragnehmer können Betroffene Schadenersatzansprüche gegen den Auftraggeber geltend machen. Darüber hinaus können sich Datenschutzbeauftragte gegenüber ihrem Unternehmen haftbar machen, wenn sie es fahrlässig versäumen, die neuen Regelungen umzusetzen.

Auftragsdatenverarbeitungsverträge werden von Datenschutzbehörden normalerweise nicht ohne Anlass überprüft. Beschwert sich jedoch ein Betroffener, so werden von den Behörden Ermittlungen eingeleitet, in deren Rahmen von Unternehmen auch verlangt werden kann, die angewendeten Verträge vorzulegen. Ermittlungen können auch im Falle von Datenschutzverstößen aufgenommen werden. Da der deutsche Gesetzgeber nunmehr Meldepflichten bei bestimmten Verstößen vorgesehen hat, steigt die Wahrscheinlichkeit, dass Behörden von solchen Verstößen Kenntnis erlangen.

Welche Schritte empfehlen Sie? Wie können Sie helfen?

Kurzfristig:
>> Auftragdatenverarbeitungs-Verhältnisse erfassen, in denen Ihr Unternehmen Auftraggeber ist und anschließend anhand der folgenden Kriterien gewichten: Menge der Daten Sensibilität der Daten
Bedeutung der Daten für das Unternehmen, und
Status des Auftragsdatenverarbeiters (Konzernunternehmen, Sitz innerhalb oder außerhalb der EU, Ergebnisse früherer Kontrollen).
>> Unternehmenskritische Verträge prüfen und soweit erforderlich anpassen.

Mittelfristig:
>> Unternehmensrichtlinien, Vorlagen und Checklisten erarbeiten, die sicherstellen, dass neue Verträge gesetzeskonform sind.
>> Verfahren zur regelmäßigen Kontrolle von Datenverarbeitern einführen.
>> Altverträge schrittweise anpassen (z.B. im Rahmen von Vertragsverlängerungen).
Wir können Sie unterstützen bei der Prüfung bestehender Verträge, dem Entwurf und der Verhandlung erforderlicher Anpassungen sowie der Erarbeitung von internen Richtlinien und Checklisten.

Bitte kontaktieren Sie uns, wenn Sie weitere Informationen oder eine kostenlose Vorlage für eine Richtlinie oder Checkliste wünschen.

Autor: Dr. Thomas Helbing
Kurzvita: Dr. Thomas Helbing ist Rechtsanwalt und berät Unternehmen zu allen Fragen des Datenschutz-, IT- und Online-Rechts.
Weitere Beiträge und mehr über die Kanzlei finden Sie auf
www.thomashelbing.com.
E-Mail: helbing (at) thomashelbing.com
Telefon: (0 89) 39 29 70 07

Lesen Sie auch:
Standardvertragsklauseln und Auftragsverarbeiter

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Meldungen: Grundlagen

  • Automatisierte Speicherrichtlinien & Daten-GPS

    Die Globalisierung hat die Welt schrumpfen lassen. Nicht nur Reisende ziehen heute rund um den Globus, auch Daten sind dank Cloud Computing äußerst mobil und werden von Unternehmen aus den unterschiedlichsten Gründen zwischen Rechenzentren verschoben. Wir Menschen fühlen uns im eigenen Zuhause am sichersten. Auch für Unternehmensdaten gilt, dass das Risiko sie bei der Migration über Ländergrenzen hinweg zu verlieren, natürlich steigt. Als Mensch ist es heute mittels GPS sehr einfach, einen Standort zu bestimmen. Damit auch Unternehmen immer genau wissen, wo ihre Daten physisch gespeichert sind, bieten sich dank automatisierten Speicherrichtlinien und einem Daten-GPS neue Methoden, den exakten Standort von Daten festzulegen.

  • Mit SaaS & HaaS die IT-Abteilung entlasten

    In vielen Unternehmen stehen CIOs vor der Aufgabe, mit einer sich rasch entwickelnden IT-Welt Schritt halten zu müssen. Hinzu kommt, geeignetes Personal mit dem entsprechenden Know-how zu finden und sich stets gegen zunehmende Sicherheitsrisiken zu wappnen. Diese Herausforderungen beanspruchen zeitliche und finanzielle Ressourcen in der IT-Abteilung, die Unternehmen an anderer Stelle dringender bräuchten. Im Rahmen von Managed Services wie Software-as-a-Service (SaaS) und Hardware-as-a-Service (HaaS) werden Standardaufgaben an externe Dienstleister ausgelagert. Das schafft Freiräume und entlastet die IT-Abteilung. Welche Fragen sind relevant, um zu erkennen, ob auch das eigene Unternehmen von Managed Services profitieren kann.

  • Die Zukunft des File Sharing

    Um den Austausch von Forschungsdaten zwischen verschiedenen Teams am CERN zu ermöglichen, erfand Tim Berners-Lee in den achtziger Jahren, als Nebenprodukt sozusagen, das Internet. Heute ist das Internet die tragende Säule der weltweiten Kommunikation und aus unserem digitalen Leben nicht mehr wegzudenken. Überraschenderweise hat sich seit den frühen Tagen des Internets kaum etwas verändert: Nach wie vor werden für die Übermittlung von Dateien Protokolle aus den Anfangstagen des Internets genutzt. Zum damaligen Zeitpunkt war jedoch eine Welt, in der Datenmengen exponentiell wachsen, Hacker an allerlei Daten interessiert sind und Organisationen in denen zehntausende Mitarbeiter täglich millionenfach Dateien teilen, noch nicht vorstellbar. Worauf sollten Unternehmen also achten, wenn sie eine zukunftssichere File Sharing-Lösung nutzen möchten? Und welche neuen Technologien halten Einzug um Filesharing sicherer, komfortabler und schneller zu machen?

  • File Sharing im Unternehmen: Strategie gesucht

    Um Daten auszutauschen setzen die meisten Unternehmen noch immer auf die gute alte E-Mail, auch wenn diese Technologie offensichtlich nicht mehr auf dem neuesten Stand der Technik ist. Auch das ebenso veraltete FTP ist noch weit verbreitet, wenn es darum geht größere Dateien zu übermitteln. Den IT-Alptraum perfekt machen, intern oft nicht überwachte, File-Sharing-Dienste in der Cloud a la Dropbox & Co. Um striktere Compliance-Vorgaben zu erfüllen und die offensichtlich nicht gegebene Datensicherheit für ihr Unternehmen zu gewährleisten suchen IT-Verantwortliche suchen händeringend nach eine umfassenden Strategie um die genannten, unzuverlässigen Werkzeuge zu ersetzen und somit die Kontrolle über ihre sensiblen Daten zurückzugewinnen.

  • Privacy Shield und die Folgen

    Am 1. August 2016 trat das neue Privacy Shield-Abkommen in Kraft, das für Kunden und Anbieter von Cloud Computing-Services wieder Rechtssicherheit bieten und den transatlantischen Datenfluss wiederherstellen soll. Ob Privacy Shield die Nutzer besser schützen wird als der Vorgänger Safe Harbor wird von vielen Experten jedoch bezweifelt. Auch Subhashini Simha von Thru zweifelt das Abkommen an. Ihre Einschätzung der Folgen von Privacy Shield für Unternehmen hat sie in diesem Artikel zusammengefasst. Demnach benötigen Unternehmen zukünftig mehr denn je Flexibilität ihre Daten im Notfall auch im eigenen Rechenzentrum zu hosten und sie bei sich ändernder Rechtslage aus anderen Regionen abzuziehen.

  • Herausforderungen im Wissensmanagement

    Der Erfolg eines Projekts hängt von vielen Faktoren ab: Unterstützung durch das Top-Management, entsprechende Organisationsstrukturen sowie qualifizierte Mitarbeiter. Zudem spielt Wissen eine wichtige Rolle im Projektmanagement: Welche Methode eignet sich für das Projekt? Mit welchen Maßnahmen lässt sich das Projektziel erreichen? Wie können die Projektanforderungen erfüllt werden? Diese und weitere Fragen müssen Projektleiter beantworten können. Das Problem: Oftmals sind sich diese gar nicht bewusst, was sie und ihre Mitarbeiter wissen oder eben auch nicht wissen. Ein professionelles Wissensmanagement kann das Projektmanagement wirkungsvoll unterstützen, indem es vorhandenes Wissen bündelt, neue Erkenntnisse aufnimmt und alles für zukünftige Projekte verfügbar macht.

  • Unified Communications & Cloud-Kommunikation

    Den Begriff "Unified Communications" (UC) gibt es schon seit vielen Jahren. Er bezeichnet die Integration von Kommunikationsmedien in einer einheitlichen Anwendungsumgebung. Durch die Zusammenführung verschiedener Kommunikationsdienste soll UC die Erreichbarkeit der Kommunikationspartner verbessern und damit die Geschäftsprozesse beschleunigen.

  • Multi Cloud Sourcing

    Die Vorteile von Cloud Computing sind inzwischen bekannt: hohe Flexibilität und Skalierbarkeit zu genau kalkulierbaren Kosten. Doch wer Dienste von mehreren Anbietern nutzt, steht schnell vor einem Problem. Er muss die nötigen Informationen jedes Mal neu übertragen, wodurch unterschiedliche Datenbestände und Mehraufwand für das Management entstehen können. Ein einfaches Springen von Wolke zu Wolke ermöglicht Multi Cloud Sourcing. Für viele Unternehmen ist die Hybrid Cloud attraktiv. Sie kombiniert Skalierbarkeit mit Effizienz und verspricht zusätzlich Kostenersparnisse. Denn die Kunden müssen keine teuren Kapazitäten für Spitzenzeiten bereithalten, die im Rest des Jahres nicht genutzt werden.

  • Cloud als Backup-Speicher

    Rasant wachsende Datenmengen sowie die steigende Abhängigkeit der Unternehmen von ihren operativen Daten setzen die IT-Abteilung gewaltig unter Druck. CIOs müssen daher ihre Strategie für das Datenmanagement den veränderten Realitäten anpassen. Ein mögliches Werkzeug hierfür sind IT-Ressourcen aus der Cloud, die in die Backup- und Storage-Infrastruktur eingebunden werden. Die IT-Abteilung kann es sich nicht mehr leisten, auf die Cloud zu verzichten. Immer mehr Unternehmen in Deutschland setzen mittlerweile auf diese Technologie. In der Studie "Cloud-Monitor 2015" von KPMG und Bitkom vermelden die Analysten, dass bereits 44 Prozent der deutschen Unternehmen IT-Leistungen aus der Cloud beziehen. Weitere 24 Prozent planen oder diskutieren noch über den Einsatz. Dabei sind die gemachten Erfahrungen durchweg positiv, wie bis zu 78 Prozent der Befragten berichten.

  • Mit Cloud-Datenbanken vertraut machen

    In IT-Abteilungen vollzieht sich der größte Umbruch seit Einführung des PC und die modernen Rechenzentren müssen weiterentwickelt werden, um mit dieser Entwicklung Schritt zu halten. Dies ist besonders kritisch, da die IT für fast alle Geschäftsfunktionen eine immer wichtigere Rolle spielt. Unternehmen jeder Größe nutzen alle verfügbaren Technologien und Best Practices, um die Abläufe zu optimieren und Ineffizienzen zu reduzieren, und für viele bedeutet dies in erster Linie zwei Dinge: Virtualisierung und Cloud Computing. Jede IT-Abteilung versucht Zeit zu sparen, die Produktivität zu steigern und Abläufe zu optimieren. Mithilfe der Cloud und der Virtualisierung können in diesem Zusammenhang diese Komponenten nun im gesamten Unternehmen effizienter gestaltet werden.