open search
close
Datenschutz

Compliance beim Datentransfer: Zur „Fragenbogenaktion“ der Datenschutzbehörden

Print Friendly, PDF & Email
Datentransfer

Seit dem Ende von „Safe Harbor“ steht der Datentransfer in das außereuropäische Ausland zunehmend im Blickwinkel der Datenschutzbehörden.  Seit Anfang November 2016 haben nunmehr zehn deutsche Landesdatenschutzbehörden unter der Federführung des Bayrischen Landesamtes für Datenschutzaufsicht eine so genannte „Prüfaktion“ eingeleitet, bei der solche Verarbeitungsprozesse unter die Lupe genommen werden sollen. Auch für (noch) nicht betroffene Unternehmen lohnt sich ein Blick auf die Inhalte der Prüfung.

Hintergrund der Prüfung

Die Datenschutzbehörden führen als Hintergrund ihrer Prüfung an, dass die Nutzung personenbezogener Daten in den letzten Jahren enorm zugenommen habe, sowie die zunehmende Prävalenz von Cloud Computing. Faktisch aber dürfte maßgeblich das Ende des „sicheren Hafens“ für Datentransfers in die USA und die entstehende Rechtsunsicherheit ausschlaggebend für die Aktion geworden sein.

Zweck der Prüfung

Das Bayrische Landesamt für Datenschutzaufsicht formuliert den Zweck der Aktion wie folgt:

Die Prüfung soll (…) auch der Sensibilisierung von Unternehmen für gerade die Verarbeitungsprozesse dienen, bei denen personenbezogene Daten in Nicht-EU-Länder übermittelt werden (…) Die bisherige Erfahrung der Datenschutzaufsichtsbehörden zeigt, dass sich Unternehmen bei Nutzung [cloudbasierter] Produkte [von Herstellern aus dem EU-Ausland] nicht immer der Tatsache bewusst sind, dass dadurch eine Übermittlung personenbezogener Daten in Nicht-EU-Staaten stattfindet und entsprechende datenschutzrechtliche Konsequenzen daraus resultieren.

Alles also rein unverbindlich und nur zur Sensibilisierung? Das wäre zu kurz gegriffen.


„Fragebogenaktion“ oder Prüfung?

Die Landesdatenschutzbehörden begreifen ihre Fragebogenaktion als Teil einer Prüfung im Sinne des § 38 BDSG. Als solches verlangen die Datenschutzbehörden auch unter dem Fragebogen eine Bestätigung der Richtigkeit der Auskünfte durch die Unternehmensleitung.

Werden im Rahmen einer Prüfung nach § 38 BDSG Defizite festgestellt und innerhalb einer Frist nicht umgesetzt, sind förmliche Anordnungen, Zwangsgeldandrohungen oder Bußgelder denkbar. Die Bayerische LDA formuliert dies so:

Ziel unserer Prüfungen ist es nicht, Sachverhalte für die Durchführung eines Bußgeldverfahrens zu suchen. Entsprechend erhalten wir von den bisher geprüften Unternehmen zur Vor-Ort-Prüfung zumeist eine positive Resonanz. Viele verantwortliche Stellen betrachten unsere Vor-Ort-Prüfungen (zumindest im Nachhinein) als eine konstruktive Beratung.

Ob ein „Fragebogen“ gleich eine „Prüfung“ im Rechtssinne darstellt, könnte durchaus kritisch hinterfragt werden. Faktisch aber wird eine Nicht- oder nicht zutreffende Beantwortung der Fragebögen aber für Unternehmen keine Option darstellen, möchten sie sich nicht an dieser Front eine Auseinandersetzung mit den Datenschutzbehörden eröffnen.

Anders als in der Vergangenheit, wo die Behörden durchaus einen regional unterschiedlichen Grad an Konsequenz bei der Ahndung von Verstößen an den Tag legten, ist nunmehr damit zu rechnen, dass eher der strengen Linie aus Hamburg, Niedersachsen & Co. gefolgt wird, und tatsächlich Bußgelder verhängt werden könnten. Auch die bisher eher zurückhaltendere Linie etwa des Bayerischen LDA muss also keinen Bestand haben.

Adressaten der Prüfung

Im Rahmen der Prüfung wurden bereits bzw. werden noch rund 500 Unternehmen angeschrieben, die – laut Datenschutzbehörden – nach dem Zufallsprinzip ausgewählt wurden. Davon fallen rund 150 allein in den Zuständigkeitsbereich des Bayerischen LDA. Hierbei werden Unternehmen unterschiedlicher Größenordnungen und verschiedener Branchen angefragt.

Inhalt der Prüfung

Neben allgemeinen Fragen zu Rechtsgrundlagen eines Datentransfers ins außereuropäische Ausland [etwas „hinterlistig“: die Möglichkeit der Auswahl der Rechtsgrundlage „Safe Harbor“] fragen die Datenschutzbehörden auch gezielt nach dem Einsatz von Produkten und Leistungen externer Anbieter gefragt, die – nach bisherigen Erfahrungen der Aufsichtsbehörden – mit einer Übermittlung personenbezogener Daten in Nicht-EU-Staaten verbunden sind.

Das schließt unter Anderem die folgenden externen Leistungen und Produkte ein:

  • Fernwartung
  • Support
  • Ticketing-Systeme
  • Customer Relationship Management
  • Bewerbermanagement.
  • Cloud-Services und Officelösungen
  • Kommunikationsdienste
  • Kollaborationsplattformen.

Wo können Sie den Fragebogen einsehen?

Für Interessierte ist der Fragebogen der Datenschutzbehörden veröffentlicht auf der Homepage der Bayerischen LDA (Download, *.docx).

Dr. Till Heimann

Rechtsanwalt
Fachanwalt für Arbeitsrecht
Partner
Till Heimann berät Arbeitgeber mit Fokus auf Unter­neh­mens­trans­ak­tio­nen (mit anschlie­ßen­der Integration), Umstruk­tu­rie­run­gen auf Unter­neh­mens- und Betriebsebene und Har­mo­ni­sie­rung von Arbeits­be­din­gun­gen. Besondere Expertise besitzt Till Heimann darüber hinaus hinsichtlich der Beratung zu regulierter Vergütung (Banken/Kapitalanlagegesellschaften u.A. Institute), von Unternehmen der Technologiebranche sowie von Startups. Er besitzt langjährige Erfahrung in der Steuerung inter­na­tio­na­ler Projekte.
Verwandte Beiträge
Datenschutz Neueste Beiträge

Kann der Auskunftsanspruch nach Art. 15 DS-GVO rechtsmissbräuchlich sein? Ja, sagt das LAG Sachsen!

Das LAG Sachsen hat entschieden, dass ein Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO ausscheidet, wenn das Auskunftsbegehren rechtsmissbräuchlich ist. Anlass der Entscheidung war, dass ein Arbeitnehmer während eines laufenden Rechtsstreits gegen den Arbeitgeber Auskunftsansprüche geltend machte. Diese Informationen wollte der Arbeitnehmer gegen den Arbeitgeber verwenden, um seine behaupteten Überstunden beweisen zu können. Das LAG urteilte, dass dieser Zweck nicht von der DS-GVO gedeckt und…
Datenschutz ESG Neueste Beiträge

Beschäftigtendaten – darf man sie zum Beispiel für ESG-Befragungen einfach nutzen? (Video)

Im Laufe eines Arbeitslebens sammeln Arbeitgeber von ihren Mitarbeitenden viele Daten, beginnend bei der Bewerbung über die Einstellung und auch während des Beschäftigungsverhältnisses. Teilweise werden diese Informationen auch durch Umfragen aktiv gesammelt – derzeit sehr aktuell etwa beim Thema ESG. Dabei stellt sich die Frage, ob diese einmalig für einen bestimmten Zweck gesammelten Daten auch für andere Zwecke als den ursprünglichen genutzt werden können, etwa…
Arbeitsrecht 4.0 Arbeitsrecht in der Pandemie Compliance Datenschutz Mobile Working Neueste Beiträge

Mobiles Arbeiten – Do's and Don'ts bei der Begründung und Beendigung

Agile Arbeitsstrukturen und die modernen Formen des Arbeitens „when-ever-and where-ever“ fordern ein hohes Maß an Flexibilität von Arbeitszeit und Arbeitsort. Der Gesetzgeber hat diese Themen bisher nur rudimentär aufgegriffen, weshalb der Praxis in vielen Bereichen ein weiter Gestaltungsrahmen bleibt. Da die Rechtsprechung insbesondere mit Blick auf den allgemeinen Arbeitnehmerschutz jedoch nicht müde wird, in für die Arbeitnehmer nachteilige Gestaltungen einzugreifen, bringen diese Gestaltungsformen auch Gestaltungsrisiken…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.