Während wir uns bei unserem letzten Beitrag zur Beitragsreihe über den Kriterienkatalog des DSGVO – information privacy standard mit den Informationspflichten des Kunden beschäftigt haben, widmen wir uns heute dem wichtigem Aspekt der Auftragsverarbeitung. Kapitel P.4 Auftragsverarbeitung Viele Unternehmen bedienen sich bei der Bereitstellung ihrer Dienste externer Dienstleister – etwa im Rahmen von Hosting- oder […]
Auftragsverarbeitung
Wann haftet mein Unternehmen für Auftragsverarbeiter?
Der Einsatz von externen Dienstleistern und die Auslagerung bestimmter Prozesse ist für fast alle Unternehmen selbstverständlich. Dies kann verschiedenste Gründe haben, beispielsweise nicht ausreichende personelle Kapazitäten, Verbesserung von Arbeitsprozessen oder Sicherstellung der Verfügbarkeiten (z. B. durch Backups in externen Rechenzentren). Sofern personenbezogene Daten des Verantwortlichen in dessen Auftrag (weisungsgebunden) durch Dienstleister verarbeitet werden, handelt es sich […]
Datenschutz im Franchising
Jedes Unternehmen, das personenbezogene Daten verarbeitet, unterliegt der Datenschutz-Grundverordnung (DSGVO). Daher stellt sich im Kontext von Franchise-Systemen die Frage, welche Besonderheiten bei der Datenverarbeitung – insbesondere im Hinblick auf die Datenübermittlung – bestehen. Ziel dieses Blogbeitrags ist es, das Franchising aus datenschutzrechtlicher Sicht zu durchleuchten. Was ist Franchising? Unter Franchising ist eine Kooperation zweier selbstständiger […]
Gemeinsame Verantwortlichkeit nach DSGVO – neue Orientierungshilfe des BayLfD
Wie sich aus Art. 26 der Datenschutz-Grundverordnung (DSGVO) ergibt, ist die gemeinsame Verantwortlichkeit immer dann einschlägig, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegen. Auch wenn die Rechtsvorschrift wohl jedem Datenschützer bekannt sein wird, ist davon auszugehen, dass der Umgang damit weitaus weniger vertraut ist, als bspw. mit […]
Sind Schulfotograf*innen Verantwortliche oder Auftragsverarbeiter?
Sofern externe Schulfotograf*innen beauftragt werden, um Klassenfotos der Schüler*innen anzufertigen, stellt sich die Frage, wer datenschutzrechtlich verantwortlich ist. Die datenschutzrechtlichen Pflichten ergeben sich daraus, ob die externen Fotograf*innen eigenverantwortlich über die Zwecke und Mittel der Datenverarbeitung entscheiden oder weisungsgebunden gegenüber der Schule tätig werden. Die Frage nach der Verantwortlichkeit ist entscheidend, weil den Verantwortlichen bestimmte […]
Verwendung privater E-Mail-Adressen und Endgeräte in der Kommunalvertretung
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BaWü) hat in seinem Tätigkeitsbericht 2023 die Verwendung von privaten E-Mail-Adressen durch Mitglieder von Gemeinderäten und die damit einhergehenden datenschutzrechtlichen Probleme thematisiert. Insbesondere läge die Herausforderung darin, die Rechtmäßigkeit der Datenverarbeitung durch die Gemeinde – welche hierbei verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist […]
Verantwortliche haften für Auftragsverarbeiter – EuGH schließt sich Generalanwalt an
Der Europäische Gerichtshof (EuGH) hat sich in seinem Urteil vom 05.12.2023 (C-683/21) nicht nur mit der gemeinsamen datenschutzrechtlichen Verantwortlichkeit beschäftigt (wir berichteten). In der sechsten und letzten Vorlagefrage, die das litauische Verwaltungsgericht dem EuGH vorlegte, ging es um die Bußgeldhaftung eines Verantwortlichen für Datenverarbeitungen seines Auftragsverarbeiters. So wurde gefragt, ob … … von Art. 83 […]
AVATAR – Die Macht warmer Technologie
Name: AV1, knapp 30 Zentimeter groß und ziemlich niedlich anzusehen. Auch bekannt als Telepräsenzroboter oder -Avatar, tauchen diese kleinen Helferlein mit steigender Tendenz auch in deutschen Schulen auf. Eine smarte Lösung, um am Unterricht teilzunehmen und die sozialen Kontakte weiterhin zu pflegen, ohne persönlich anwesend zu sein. Denn soziale Isolation wirkt sich sowohl auf die […]
Parallelnutzung von Clouddaten – Auftragsverarbeitung and beyond
Der Siegeszug der Clouddienstleister ist unübersehbar. Während es früher üblich war, Software zu kaufen und auf den eigenen Firmenservern (on premise) zu installieren, setzen sich immer mehr die Angebote durch, bei denen die Software lediglich auf Zeit gemietet wird und auf den Rechnern des Anbieters ausgeführt wird. Stichwort: Software as a Service (SaaS). Dies erscheint […]
Datenschutz für Auftragnehmer
Wer als Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO personenbezogene Daten von einer verantwortlichen Stelle verarbeitet, hat verschiedene datenschutzrechtliche Verpflichtungen zu erfüllen. Ein gut umgesetztes Datenschutz-Managementsystem kann dabei für die potenziellen Auftraggeber ein Argument für eine Zusammenarbeit sein. Neben der eigentlich angebotenen Dienstleistung, hat auch die datenschutzrechtliche Implementierung und Umsetzung einen Einfluss auf die Wahl […]
Generalanwalt des EuGH bejaht: Verantwortliche trifft Bußgeldhaftung für Auftragsverarbeiter
Im Zuge des EuGH-Rundumschlags zum Datenschutz am 4. Mai 2023 (wir berichteten) kam es zu einer für die Praxis hoch relevanten, wenn auch nicht überraschenden Stellungnahme: Der Generalanwalt Emiliou äußerte sich in der Rechtssache C-683/21 zu der Frage, ob Bußgelder gemäß Art. 83 DSGVO gegen Verantwortliche (Art. 4 Nr. 7 DSGVO) verhängt werden können, wenn […]
Verhaltensregel „Trusted Data Processor“ – Ein Muss für Auftragsverarbeiter?
Durch den Status „Trusted Data Processor“ verpflichten sich Auftragsverarbeiter zu regelmäßigen Mitwirkungspflichten gegenüber Kontrollstellen und können im Gegenzug im Rechtsverkehr ein Qualitätssiegel verwenden, um ihre Nachweis- und Rechenschaftspflichten leichter zu erfüllen, rechtssicherer zu agieren und Aufwände zu reduzieren (vgl. hier). Da es sich jedoch, um eine gebührenpflichtige Verpflichtung handelt, stellt sich die Frage, ob sich […]
Update: Stellt die Lohn- und Gehaltsabrechnung durch einen Steuerberater eine Auftragsverarbeitung dar?
Bereits im Juli 2018 hatten wir uns mit diesem Thema in einem Blogbeitrag befasst und auf mehr Klarheit in der Zukunft gehofft. Die Zukunft ist mittlerweile eingetreten und mit ihr kam in der Tat auch mehr Klarheit. Hierzu also folgendes Update: Lange kam es darauf an Die datenschutzrechtliche Einordnung von Rechnungsprüfer*innen und Steuerberater*innen wurde in […]
Die Auftragsverarbeitung im Konzerngebilde
Wenn Unternehmen, die wirtschaftlich miteinander verwoben sind, personenbezogene Daten untereinander austauschen, sind viele gedanklich wohl bei der Überschrift zu diesem Artikel: Auftragsverarbeitung im Konzerngebilde. Unser Mitarbeiter Stefan R. Seiter hat sich diesem Thema in der aktuellen Ausgabe der Zeitschrift Datenschutz und Datensicherheit (DuD) gewidmet. Doch ist immer Auftragsverarbeitung drin, wo Auftragsverarbeitung drauf steht? Vieles spricht […]
Zur Ausgestaltung von Entgelten in Auftragsverarbeitungsverträgen für bayerische öffentliche Stellen
In Verträgen zur Auftragsverarbeitung sind die in Art. 28 DSGVO normierten Regelungen umzusetzen. Es obliegt dem Verantwortlichen, im Rahmen von Kontrollen beim Auftragsverarbeiter sicherzustellen, dass die Datenverarbeitung beim Auftragsverarbeiter in zulässiger Weise erfolgt. Art. 28 Abs. 3 lit. h DSGVO verpflichtet den Auftragsverarbeiter, dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem […]