Durch den Status „Trusted Data Processor“ verpflichten sich Auftragsverarbeiter zu regelmäßigen Mitwirkungspflichten gegenüber Kontrollstellen und können im Gegenzug im Rechtsverkehr ein Qualitätssiegel verwenden, um ihre Nachweis- und Rechenschaftspflichten leichter zu erfüllen, rechtssicherer zu agieren und Aufwände zu reduzieren (vgl. hier). Da es sich jedoch, um eine gebührenpflichtige Verpflichtung handelt, stellt sich die Frage, ob sich […]
Auftragsverarbeiter
Art. 15 DSGVO: Sind Subunternehmen auch Empfänger – was gilt im Auftragsverhältnis innerhalb eines Konzerns?
Mit dem Urteil vom 12.01.2023 hat der EuGH klargestellt, was Datenschützer schon lange vermuteten: Verantwortliche haben bei der Bearbeitung eines Auskunftsersuchens nach Art. 15 DSGVO primär die konkreten Empfänger zu benennen und es ist ihnen nur im Ausnahmefall gestattet, auf die Kategorien von Empfängern zu verweisen (siehe auch Urteil des EuGH, 12.01.2023, C‑154/21). Im Anschluss […]
Hilfe, mein Auftragsverarbeiter will keinen Vertrag schließen!
Auch fast fünf Jahre nach Inkrafttreten der DSGVO kommt es in einigen Fällen nach wie vor zu folgender Situation: Dienstleister, die mit der Verarbeitung von personenbezogenen Daten beauftragt wurden bzw. werden sollen, zeigen keine Reaktion auf Anfragen zum Abschluss, zur Überarbeitung oder zur Aktualisierung eines Auftragsverarbeitungsvertrags. Datenschutzrechtlich Verantwortliche stellt dies wiederum vor große Herausforderungen. Auf […]
Auf schmalem Grat
Die Datenschutzkonferenz (DSK) hat einen Beschluss vom 31.01.2023 veröffentlicht, in dem es um die datenschutzrechtliche Bewertung von Zugriffsmöglichkeiten öffentlicher Stellen von Drittländern auf personenbezogene Daten geht, die innerhalb der EU bzw. dem EWR verarbeitet werden. Ohne den Elefanten im Raum zu benennen, ist dieser Beschluss vor allem im Hinblick auf den CLOUD Act der USA […]
Verarbeitung personenbezogener Daten – gemeinsame Verantwortung oder Übermittlung an eigenständigen Dritten
Bei der Beteiligung mehrerer Parteien an einer Verarbeitung personenbezogener Daten ist die richtige Einordnung der datenschutzrechtlichen Verantwortlichkeit von entscheidender Bedeutung. Je nach Art der Beteiligung sind unterschiedliche Vereinbarungen und Rechtsgrundlagen erforderlich. In den meisten Fällen wird ein Unternehmen ein anderes mit einer Dienstleistung beauftragen, so dass ein Auftragnehmer – Auftraggeber-Verhältnis vorliegt. In Teil 1 dieser […]
Wer ist Verantwortlicher für die Verarbeitung personenbezogener Daten?
Sobald unterschiedliche Stellen an einer Verarbeitung personenbezogener Daten beteiligt sind, stellt sich die Frage der datenschutzrechtlichen Verantwortlichkeit. Diese Beitragsreihe soll einen verständlichen Überblick zu den häufigsten Situationen geben, um die eigene datenschutzrechtliche Verantwortlichkeit mit den sich daraus ableitenden Rechten und Pflichten besser einordnen zu können. Auf eine Wiedergabe der gesetzlichen Definitionen wird nach Möglichkeit verzichtet. […]
Vier gewinnt – Millionenbußgeld gegen VW
Am 26.07.2022 hat Barbara Thiel, die Landesdatenschutzbeauftrage Niedersachsens öffentlich gemacht, dass gegen die Volkswagen AG ein Bußgeld in Höhe von 1,1 Mio. EUR verhängt wurde. (Die Pressemitteilung finden Sie hier). Kurz und knapp, was war geschehen? Ein Erprobungsfahrzeug von VW wurde 2019 durch die österreichische Polizei für eine Verkehrskontrolle angehalten. Wie sich dabei herausstellte, waren […]
Die neuen Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern
Im Sommer 2021 veröffentlichte die EU-Kommission neue Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer. Etwas untergegangen und zunächst vielleicht auch wieder in Vergessenheit geraten ist dabei, dass die EU-Kommission zeitgleich auch Standardvertragsklauseln zur Verwendung zwischen Verantwortlichen und Auftragsverarbeitern (wir berichteten) veröffentlicht hat. Es handelt sich dabei quasi um ein Muster für Verträge zur Auftragsverarbeitung. […]
Und täglich grüßt das Bußgeld
CNIL reagiert auf unzureichende Maßnahmen gegen Credential Stuffing Angriffe Ende Januar gab die französische Datenschutzbehörde (CNIL) bekannt, dass sie ein Bußgeld in Höhe von insgesamt 225.000 Euro gegen einen Online Shop Betreiber (i.H.v. 150.000 Euro) und dessen Auftragsverarbeiter (i.H.v. 75.000 Euro) verhängt hat. Ursache für das Bußgeld sind unzureichende technische und organisatorische Maßnahmen zur Abwehr […]
Getrennt, gemeinsam oder im Auftrag?
Bei der Übermittlung von personenbezogenen Daten zwischen Unternehmen oder öffentlichen Stellen unterscheidet das Datenschutzrecht zwischen einer getrennten Verantwortlichkeit, einer gemeinsamen Verantwortlichkeit und einer Auftragsverarbeitung. Die Auftragsverarbeitung war denjenigen bereits bekannt, für die Datenschutz schon vor dem Bußgeldkatalog der Datenschutz-Grundverordnung von Interesse war. Ebenso ist die getrennte Verantwortlichkeit für viele einleuchtend und klar festzustellen. Doch fast […]
Homeoffice für Auftragsverarbeiter
Die Arbeit im Homeoffice ist für viele Menschen in Deutschland in den letzten Tagen zur Normalität geworden. Ganz ohne Zweifel kann es für die Betroffenen ein großer Vorteil sein, wenn sie von zuhause arbeiten können. Die Betreuung von Kindern lässt sich besser gewährleisten und die Ansteckungsgefahr im Hinblick auf den Coronavirus wird gesenkt, wenn der […]
Kontrollrechte des Verantwortlichen gegenüber Subauftragsverarbeitern im Sinne des Art. 28 Abs. 4 DSGVO
Thema dieses Beitrags ist die Frage, ob dem Verantwortlichen beim Vorliegen einer Auftragsverarbeitung auch ein Inspektionsrecht gegenüber weiteren Auftragnehmern (im Folgenden: Subauftragsverarbeitern) eingeräumt werden muss. Also, ob ein Auftragsverarbeiter der Subauftragsverarbeiter einschaltet in den Auftragsverarbeitungsvertrag ein Inspektionsrecht im Sinne des Art. 28 Abs. 3 lit. h) DSGVO für den Verantwortlichen aufnehmen muss? Die Frage ist […]
PayPal – Auftragsverarbeiter ja oder nein?
Es gibt wenige Unternehmen, die noch keinen Vertrag zur Auftragsverarbeitung (AV) ihrer Geschäftspartner oder Dienstleister im Briefkasten hatten, oder aber selbst an alle ihre Geschäftskontakte einen herausgeschickt haben. Dass in vielen Fällen der AV nach Art. 28 DSGVO gar nicht das richtige Rechtsinstrument ist, ist meist erst einmal zweitrangig. Frei nach dem Motto: Lieber ein […]
Der Streifzug geht weiter – der neue Microsoft-ADV-Vertrag
Im ersten Teil unseres Beitrags haben wir uns neben einigen „formalen“ Aspekten primär den allgemeinen Sicherheitsstandards sowie dem Thema Auditierung des ADV-Vertrags von Microsoft gewidmet. Abschließend wollen wir nun klären, welche inhaltlichen Schwerpunkte man darüber hinaus bei der Begutachtung des vertraglichen Konstrukts von Microsoft setzen sollte. Nachtwanderung Wer sich mit dem Text des Art. 28 […]
Abenteuer-Ausflug für Datenschützer – der neue Microsoft-ADV-Vertrag
Nachdem es nun weniger als ein Jahr noch ist, bis die Datenschutz-Grundverordnung (DSGVO) in Kraft tritt und damit gewissermaßen der Countdown zum Schlussspurt eingeläutet ist, wollen wir die Gelegenheit beim Schopfe packen und einen der großen Knackpunkte, der auch in der Praxis erhebliche Bedeutung hat, aufgreifen, nämlich die Auftragsdatenverarbeitung – oder nach neuer Terminologie: Auftragsverarbeitung. […]
1 2