Auftragsdatenverarbeitung

Unternehmen geben heute zahlreiche Verarbeitungstätigkeiten an externe Dienstleister ab. Dazu gehören etwa Cloud-Anbieter, IT- und Hosting-Dienstleister, Call-Center, Lohnabrechnungsstellen, Marketingagenturen oder Anbieter von Software-as-a-Service-Lösungen. Sobald ein Dienstleister personenbezogene Daten weisungsgemäß im Auftrag verarbeitet, handelt es sich regelmäßig um eine Auftragsverarbeitung im Sinne von Art. 28 DS-GVO. Die Verantwortung für die datenschutzkonforme Verarbeitung geht nicht auf den…

Die Erfahrung aus der Praxis zeigt immer wieder, wie wichtig es ist seine Dienstleister regelmäßig zu überprüfen. Rein kommerzielle und Effizienz-Erwägungen stehen aus Datenschutzsicht da natürlich nicht im Mittelpunkt der Betrachtung. Verstöße gegen den Datenschutz können aber mittelbar sehr wohl auch finanziell erhebliche Auswirkungen haben, denn eine rechtswidrige Datenverarbeitung kann Schadenersatzansprüche der Betroffenen zu Folge…

Die EDSA (= der  Europäische Datenschutzausschuss, dass sind die, die scheinbar permanent nur englische Entschließungen veröffentlichen) veröffentlichte am 20.12.202 einen Fall, in welchem die polnische Aufsichtsbehörde einen Verantwortlichen zu einem Bußgeld von 2.500 polnischen Zloty (etwa 540 Euro) verurteilte, weil der für die Verarbeitung Verantwortliche einen Auftragsverarbeiter ohne schriftlichen Vertrag eingesetzt hatte und nicht überprüft…

Der EuGH hat nun zu der praxisrelevanten Frage entschieden, inwieweit sich der Verantwortliche im Rahmen eines Auskunftsersuchens eines Betroffenen hinsichtlich der Emfänger der Daten des Betroffenen konkret äußern muss. In den Datenschutzerklärungen und Datenschutzinformationen kann man sich nach der wohl herrschenden Meinung ja auf die Kategorien der Empfänger beschänken. Bei Auskunftsersuchen waren die Ansichten meines…

  Schon seit mindestens zwei Jahren besteht die Problematik, dass der Einsatz von Microsoft 365 (und andere Diensten) von den Aufsichtsbehörden klar problematisiert wird. Es gab da ja schon einmal seitens der Datenschutzkonferenz (DSK) einen Beschluss, bei deren Ergebnis sich die Aufsichtsbehörden jedoch selber nicht ganz einig waren, vgl. https://www.datenschutzkonferenz-online.de/media/pr/20201030_protokoll_3_zwischenkonferenz.pdf. Wer sich wirklich für das…

Unternehmen sind als Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Einhaltung des Datenschutzes verantwortlich. Zentrale Vorschrift ist hier Art. 5 Abs. 2 DSGVO: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“ In Abs. 1 sind übrigens die Grundsätze der ordnungsgemäßen Datenverarbeitung aus Sicht der DSGVO…

Einen sehr informativen Artikel zum Thema Brexit finden Sie hier. Ich fasse hier mal zusammen. Wir dürfen wohl erstmal davon ausgehen, dass es im Falle eines ungeregelten Austritts kein Angemessenheitsbeschluss zum 30.3.2019 durch die EU erlassen wird, was heißt, dass Unternehmen jetzt Vorsorge treffen sollten. Das fängt damit an, dass Sie nun prüfen müssen, ob Sie mit Unternehmen aus UK…

Bisher konnte man unter Verweis auf  das  Kurzpapier Nr. 13 der Datenschutzkonferenz noch gut vertreten, dass Tätigkeiten wie Lohnabrechnungen durch den Steuerberater – ensprechend der bisherigen Linie vor dem 25.5. 2018 – keine Auftragsverarbeitung seien. In dem Kurzpapier heißt es nur knapp: „Anhang BKeine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen, für die bei…