Datenschutzbeauftragte sind auch bei der aktuellen Kurzarbeit in vielen Unternehmen unverzichtbar. Gerade in den momentanen Situationen treten viele Fragen auf, bei denen der Datenschutzbeauftragte zwingend involviert werden sollte. Die Neuorganisation von Arbeitsabläufen, die Zunahme der elektronischen Datenverarbeitung, das Arbeiten aus dem Home-Office und auch die Nutzung von Videokonferenzsystemen werfen einige datenschutzrechtliche Fragen auf.
Der Verantwortliche muss also auch in dieser angespannten Lage dem Datenschutzbeauftragten die Wahrnehmung der Kontroll- und Beratungsaufgaben innerhalb des Unternehmens durch die Bereitstellung von Ressourcen ermöglichen, Art. 38 Abs. 2 DSGVO.
Art. 38 Abs. 2 DSGVO gilt auch dann, wenn ein Unternehmen in Kurzarbeit geht. In der Regel wird in verringertem Umfang weitergearbeitet. Und auch wenn nicht, hat es weiterhin Beschäftigte, Kunden, Interessenten und Webseitenbesucher und verarbeitet deren Daten.
Die Arbeit des Datenschutzbeauftragten darf deshalb keinesfalls vollständig eingestellt werden. Der Datenschutzbeauftragte muss frühzeitig in alle datenschutzrelevanten Fragen des Unternehmens eingebunden werden. Und muss die Möglichkeit haben, regelmäßig das E-Mailpostfach einzusehen und auch telefonisch und/oder per E-Mail für die Beschäftigten, Kunden und gegebenenfalls weitere betroffene Personen erreichbar sein. Dies gilt im Falle eines externen Datenschutzbeauftragten ebenfalls für die diesem bereitgestellten Datenschutzkoordinatoren im Unternehmen.
In der aktuellen Lage ist es verständlich, dass sich die Prioritäten im Unternehmen verlagern. Der Datenschutzbeauftragte nimmt im Unternehmen jedoch auch während der aktuellen Situation eine wichtige Stellung ein, die gerade in Zeiten des dezentralen Arbeitens nicht vernachlässigt werden darf.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Videokonferenzdienste erfreuen sich zur Zeit zunehmender Beliebtheit. Sie können helfen, gewohnte Arbeitsabläufe während der angeordneten Kontaktsperren aufrechtzuerhalten. Nicht alle Lösungen sind jedoch für den geschäftlichen Einsatz empfehlenswert.
Insbesondere der US-amerikanische Anbieter Zoom fiel bereits mehrfach durch Sicherheits- und Datenschutzmängel auf. Sogar die New Yorker Generalstaatsanwaltschaft sah sich nach einigen unschönen Zwischenfällen gezwungen, Ermittlungen aufzunehmen. Mittlerweile hat man bereits Nachbesserungen in Aussicht gestellt. Es soll künftig nicht mehr möglich sein, als Außenstehender einfach an fremden Videokonferenzen teilzunehmen.
Wichtig für Unternehmen ist: Sprechen sie möglichst vor der Einführung neuer Software mit Ihrem Datenschutz- und Informationssicherheitsbeauftragten! Nur auf diesem Weg erhalten Sie eine kompetente und unabhängige Einschätzung der Risiken von Datenverarbeitungsprozessen. Außerdem kann eine bestehende Lösung bei Bedarf besser abgesichert werden.
Ansonsten können sich Schnellschüsse zum öffentlichkeitswirksamen Debakel entwickeln. Selbst das bayerische Innenministerium bot ungesicherte Zugänge zu Videokonferenzräumen an. Lassen wir uns dies eine Warnung sein und weiterhin besonnen auf die Herausfordeungen der Krise reagieren.
Florian S.
Justiziar | M.A.
Consultant für Datenschutz
Die Datenschutzgrundverordnung ist nun seit knapp 1,5 Jahren in Kraft und die Kommunikation der Aufsichtsbehörden mit Unternehmen nimmt zu. Die anfängliche Zurückhaltung flacht ab und es werden aktiv Prüfungen und Untersuchungen vorgenommen.
Dabei stellen sich Unternehmen oft die Frage in welcher Sprache muss ich mit der Aufsichtsbehörde kommunizieren und in welcher Sprache muss ich meine Dokumente vorhalten. Gerade weltweit agierende Konzernunternehmen fertigen ihre Unterlagen in der Regel in Englisch an. Dies ist auch zulässig, so lange ein international aufgestelltes Unternehmen als Unternehmenssprache Englisch festgelegt hat.
Hier ist vor allem auch in Hinblick auf die Informationspflichten gegenüber den Beschäftigten zu beachten, dass alle Beschäftigten diese verstehen können.
Bei Bedarf kann eine deutsche Aufsichtsbehörde aber Teile oder ganze Dokumente in Deutsch anfordern.
Dies ergibt sich aus der in Deutschland definierten Amtssprache. Diese ist nach den Verwaltungsgesetzen der einzelnen Bundesländer deutsch.
Unten den oben genannten Umständen ist es erlaubt seine datenschutzrechtlichen Dokumentationen in Englisch zu pflegen. Man sollte sich aber bereits vorab um eine für den Einzelfall schnell zugängliche Übersetzungsmöglichkeit bemühen, um einem möglichen Verlangen der Aufsichtsbehörde zügig nachkommen zu können.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Mit der Datenschutzgrundverordnung (DSGVO) trat letztes Jahr auch das neue Bundesdatenschutzgesetz (BDSG) in Kraft. Dieses regelt in § 38 BDSG, dass Unternehmen ab zehn Mitarbeitern, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, einen Datenschutzbeauftragten benennen müssen. Hier wurde seitens Deutschlands die Öffnungsklausel in der der DSGVO genutzt. Kein anderes Land innerhalb der EU ist bei diesem Punkt derart streng.
Der Bundestag hat nun beschlossen, diese Schwelle auf 20 Mitarbeiter anzuheben. Dem muss der Bundesrat noch zustimmen. Begründet wird diese Änderung mit der Entlastung kleiner und mittlerer Unternehmen sowie ehrenamtlich tätiger Vereine.
Zu beachten ist jedoch, dass Unternehmen unabhängig von der Anzahl ihrer Mitarbeiter die Anforderungen der DSGVO erfüllen müssen. D.h. inhaltlich ändert sich durch diesen Beschluss für kleinere Unternehmen nichts. Ihnen wird lediglich die Möglichkeit eingeräumt die Anforderungen der DSGVO auch ohne einen Datenschutzbeauftragten zu erfüllen. Dann ist die Geschäftsführung und Vorstandschaft gefragt den Datenschutz im Unternehmen/Verein rechtskonform umzusetzen. Was ohne entsprechende Fachkunde oft schwierig werden kann.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Oftmals wird innerhalb einer Unternehmensgruppe nicht zwischen den einzelnen Unternehmen unterschieden und es werden personenbezogene Daten unüberlegt ausgetauscht, z.B. im Personalwesen oder bei der Einbindung von Kollegen aus anderen Unternehmen in den Kundensupport.
Dabei sind auch die einzelnen Unternehmen einer Unternehmensgruppe zueinander grundsätzlich Dritte. Auch die Datenschutzgrundverordnung (DSGVO) enthält kein Konzernprivileg. Sofern ein Unternehmen personenbezogene Daten, für die es verantwortlich ist, gegenüber anderen Unternehmen, die derselben Unternehmensgruppe angehören, offenlegt, muss diese Offenlegung daher datenschutzrechtlich abgesichert werden:
Der Verantwortliche kann die anderen Unternehmen, die derselben Unternehmensgruppe angehören, als Auftragsverarbeiter einsetzen und diese Auftragsverhältnisse über Verträge zur Auftragsverarbeitung absichern. Hierzu muss der Verantwortliche einen Vertrag zur Auftragsverarbeitung mit jedem Unternehmen oder mit dem Mutterkonzern, welcher wiederum die anderen Unternehmen als weitere Auftragsverarbeiter einsetzt, abschließen. Dies kann über einen Intercompany-Vertrag geregelt werden. Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f) DSGVO i.V.m. der bestehenden Datenschutzvereinbarung bzw. dem Intercompany-Vertrag i.S.v. Art. 28 Abs. 3 DSGVO.
Der Datenaustausch innerhalb eines Konzerns ist durch den Erwägungsgrund 48 der DSGVO als „berechtigtes Interesse“ privilegiert. Der Verantwortliche, der Teil einer Unternehmensgruppe ist, darf daher personenbezogene Daten innerhalb der Unternehmensgruppe übermitteln, sofern die empfangenden Unternehmen dieser Unternehmensgruppe ebenso angehören, die empfangenden Unternehmen dieser Unternehmensgruppe ihren Sitz innerhalb der EU/EWR haben, es internen Verwaltungszwecken dient und im Falle einer gemeinsamen Verarbeitung eine Vereinbarung i.S.v. Art. 26 Abs. 1 S. 2 DSGVO geschlossen wurde. Im Fall der gemeinsamen Verarbeitung kann dies in den Intercompany-Vertrag aufgenommen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f) DSGVO.
Sofern mit dem konzerninternen Datenaustausch Datenübermittlungen in Drittstaaten verbunden sind (z.B. weil ein Unternehmen seinen Sitz in den USA hat), müssen zusätzlich die Vorgaben der Art. 44 ff DSGVO beachtet werden.
Wir empfehlen, die konzerninternen Datenflüsse zu ermitteln, zu prüfen, auf welcher Rechtsgrundlage diese beruhen und etwaige damit verbundene Datenübermittlungen in Drittstaaten ohne angemessenes Datenschutzniveau datenschutzrechtlich abzusichern.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.