open search
close
Datenschutz

Compliance beim Datentransfer: Zur “Fragenbogenaktion” der Datenschutzbehörden

Print Friendly, PDF & Email
Datentransfer

Seit dem Ende von “Safe Harbor” steht der Datentransfer in das außereuropäische Ausland zunehmend im Blickwinkel der Datenschutzbehörden.  Seit Anfang November 2016 haben nunmehr zehn deutsche Landesdatenschutzbehörden unter der Federführung des Bayrischen Landesamtes für Datenschutzaufsicht eine so genannte “Prüfaktion” eingeleitet, bei der solche Verarbeitungsprozesse unter die Lupe genommen werden sollen. Auch für (noch) nicht betroffene Unternehmen lohnt sich ein Blick auf die Inhalte der Prüfung.

Hintergrund der Prüfung

Die Datenschutzbehörden führen als Hintergrund ihrer Prüfung an, dass die Nutzung personenbezogener Daten in den letzten Jahren enorm zugenommen habe, sowie die zunehmende Prävalenz von Cloud Computing. Faktisch aber dürfte maßgeblich das Ende des “sicheren Hafens” für Datentransfers in die USA und die entstehende Rechtsunsicherheit ausschlaggebend für die Aktion geworden sein.

Zweck der Prüfung

Das Bayrische Landesamt für Datenschutzaufsicht formuliert den Zweck der Aktion wie folgt:

Die Prüfung soll (…) auch der Sensibilisierung von Unternehmen für gerade die Verarbeitungsprozesse dienen, bei denen personenbezogene Daten in Nicht-EU-Länder übermittelt werden (…) Die bisherige Erfahrung der Datenschutzaufsichtsbehörden zeigt, dass sich Unternehmen bei Nutzung [cloudbasierter] Produkte [von Herstellern aus dem EU-Ausland] nicht immer der Tatsache bewusst sind, dass dadurch eine Übermittlung personenbezogener Daten in Nicht-EU-Staaten stattfindet und entsprechende datenschutzrechtliche Konsequenzen daraus resultieren.

Alles also rein unverbindlich und nur zur Sensibilisierung? Das wäre zu kurz gegriffen.


“Fragebogenaktion” oder Prüfung?

Die Landesdatenschutzbehörden begreifen ihre Fragebogenaktion als Teil einer Prüfung im Sinne des § 38 BDSG. Als solches verlangen die Datenschutzbehörden auch unter dem Fragebogen eine Bestätigung der Richtigkeit der Auskünfte durch die Unternehmensleitung.

Werden im Rahmen einer Prüfung nach § 38 BDSG Defizite festgestellt und innerhalb einer Frist nicht umgesetzt, sind förmliche Anordnungen, Zwangsgeldandrohungen oder Bußgelder denkbar. Die Bayerische LDA formuliert dies so:

Ziel unserer Prüfungen ist es nicht, Sachverhalte für die Durchführung eines Bußgeldverfahrens zu suchen. Entsprechend erhalten wir von den bisher geprüften Unternehmen zur Vor-Ort-Prüfung zumeist eine positive Resonanz. Viele verantwortliche Stellen betrachten unsere Vor-Ort-Prüfungen (zumindest im Nachhinein) als eine konstruktive Beratung.

Ob ein “Fragebogen” gleich eine “Prüfung” im Rechtssinne darstellt, könnte durchaus kritisch hinterfragt werden. Faktisch aber wird eine Nicht- oder nicht zutreffende Beantwortung der Fragebögen aber für Unternehmen keine Option darstellen, möchten sie sich nicht an dieser Front eine Auseinandersetzung mit den Datenschutzbehörden eröffnen.

Anders als in der Vergangenheit, wo die Behörden durchaus einen regional unterschiedlichen Grad an Konsequenz bei der Ahndung von Verstößen an den Tag legten, ist nunmehr damit zu rechnen, dass eher der strengen Linie aus Hamburg, Niedersachsen & Co. gefolgt wird, und tatsächlich Bußgelder verhängt werden könnten. Auch die bisher eher zurückhaltendere Linie etwa des Bayerischen LDA muss also keinen Bestand haben.

Adressaten der Prüfung

Im Rahmen der Prüfung wurden bereits bzw. werden noch rund 500 Unternehmen angeschrieben, die – laut Datenschutzbehörden – nach dem Zufallsprinzip ausgewählt wurden. Davon fallen rund 150 allein in den Zuständigkeitsbereich des Bayerischen LDA. Hierbei werden Unternehmen unterschiedlicher Größenordnungen und verschiedener Branchen angefragt.

Inhalt der Prüfung

Neben allgemeinen Fragen zu Rechtsgrundlagen eines Datentransfers ins außereuropäische Ausland [etwas “hinterlistig”: die Möglichkeit der Auswahl der Rechtsgrundlage “Safe Harbor”] fragen die Datenschutzbehörden auch gezielt nach dem Einsatz von Produkten und Leistungen externer Anbieter gefragt, die – nach bisherigen Erfahrungen der Aufsichtsbehörden – mit einer Übermittlung personenbezogener Daten in Nicht-EU-Staaten verbunden sind.

Das schließt unter Anderem die folgenden externen Leistungen und Produkte ein:

  • Fernwartung
  • Support
  • Ticketing-Systeme
  • Customer Relationship Management
  • Bewerbermanagement.
  • Cloud-Services und Officelösungen
  • Kommunikationsdienste
  • Kollaborationsplattformen.

Wo können Sie den Fragebogen einsehen?

Für Interessierte ist der Fragebogen der Datenschutzbehörden veröffentlicht auf der Homepage der Bayerischen LDA (Download, *.docx).

31 beiträge

Dr. Till Heimann




Till Heimann berät Arbeitgeber mit Fokus auf Unter­neh­mens­trans­ak­tio­nen (mit anschlie­ßen­der Integration), Umstruk­tu­rie­run­gen auf Unter­neh­mens- und Betriebsebene und Har­mo­ni­sie­rung von Arbeits­be­din­gun­gen. Besondere Expertise besitzt Till Heimann darüber hinaus in der Beratung innerhalb der Technologiebranche, der Startup-Beratung, der Unterstützung bei Fragen der Nutzung von IT und Social Media am Arbeits­platz sowie bei Kün­di­gun­gen mit Krank­heits­be­zug. Außerdem ist er erfahren in der Steuerung inter­na­tio­na­ler Projekte.
Verwandte Beiträge
Arbeitsrecht 4.0 Datenschutz Digitalisierung Individualarbeitsrecht Kollektivarbeitsrecht Neueste Beiträge

Einsatz von KI im Personalwesen – Chance oder Risiko?

Immer mehr Unternehmen beschäftigen sich mit dem Einsatz von künstlicher Intelligenz (KI) im Personalwesen. Zum Beispiel um geeignete Bewerber im Auswahlprozess herauszufiltern oder aber auch im bereits bestehenden Arbeitsverhältnis im Rahmen der Mitarbeiterentwicklung oder der Leistungsbeurteilung. Dabei können je nach Anwendungsfall verschiedene datenschutzrechtliche Risiken entstehen, die eine genauere Auseinandersetzung mit der DSGVO verlangen. Darüber hinaus ist bei der Einführung von derartigen KI-Systemen daran zu denken,…
Datenschutz Neueste Beiträge

Kopie personenbezogener Mitarbeiterdaten – Keine Pflicht zur Herausgabe umfassender Unterlagen

Nach der DSGVO kann der Arbeitnehmer vom Arbeitgeber eine Kopie der personenbezogenen Daten verlangen, die Gegenstand der Verarbeitung durch den Arbeitgeber sind. Die Reichweite dieses Anspruchs ist nach wie vor umstritten. Eine Klärung durch das BAG ist bislang nicht erfolgt. Nun hat sich das ArbG Bonn (Urteil vom 16.07.2020 – 3 Ca 2026/19) gegen ein weites Verständnis des Anspruchs ausgesprochen und klargestellt, dass nur die…
Betriebsrat Datenschutz Kollektivarbeitsrecht Mitbestimmung Neueste Beiträge

Datenschutz-Folgenabschätzung – zwingender Bestandteil einer „IT-Betriebsvereinbarung“?

Mit der rasant fortschreitenden Digitalisierung sind zwei Themen aus arbeitsrechtlicher Sicht von dauerhafter und erheblicher Bedeutung: Das Recht des Mitarbeiterdatenschutzes und die Mitbestimmung des Betriebsrats bei der Einführung und Anwendung von „technischen Einrichtungen“ im Sinne des § 87 Abs. 1 Nr. 6 BetrVG. Einigkeit besteht dahingehend, dass die Betriebsparteien bei der Wahrnehmung des Mitbestimmungsrechts nach § 87 Abs. 1 Nr. 6 BetrVG die Vorgaben der…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.