Compliance beim Datentransfer: Zur „Fragenbogenaktion“ der Datenschutzbehörden

Seit dem Ende von „Safe Harbor“ steht der Datentransfer in das außereuropäische Ausland zunehmend im Blickwinkel der Datenschutzbehörden.  Seit Anfang November 2016 haben nunmehr zehn deutsche Landesdatenschutzbehörden unter der Federführung des Bayrischen Landesamtes für Datenschutzaufsicht eine so genannte „Prüfaktion“ eingeleitet, bei der solche Verarbeitungsprozesse unter die Lupe genommen werden sollen. Auch für (noch) nicht betroffene Unternehmen lohnt sich ein Blick auf die Inhalte der Prüfung.

Hintergrund der Prüfung

Die Datenschutzbehörden führen als Hintergrund ihrer Prüfung an, dass die Nutzung personenbezogener Daten in den letzten Jahren enorm zugenommen habe, sowie die zunehmende Prävalenz von Cloud Computing. Faktisch aber dürfte maßgeblich das Ende des „sicheren Hafens“ für Datentransfers in die USA und die entstehende Rechtsunsicherheit ausschlaggebend für die Aktion geworden sein.

Zweck der Prüfung

Das Bayrische Landesamt für Datenschutzaufsicht formuliert den Zweck der Aktion wie folgt:

Die Prüfung soll (…) auch der Sensibilisierung von Unternehmen für gerade die Verarbeitungsprozesse dienen, bei denen personenbezogene Daten in Nicht-EU-Länder übermittelt werden (…) Die bisherige Erfahrung der Datenschutzaufsichtsbehörden zeigt, dass sich Unternehmen bei Nutzung [cloudbasierter] Produkte [von Herstellern aus dem EU-Ausland] nicht immer der Tatsache bewusst sind, dass dadurch eine Übermittlung personenbezogener Daten in Nicht-EU-Staaten stattfindet und entsprechende datenschutzrechtliche Konsequenzen daraus resultieren.

Alles also rein unverbindlich und nur zur Sensibilisierung? Das wäre zu kurz gegriffen.

„Fragebogenaktion“ oder Prüfung?

Die Landesdatenschutzbehörden begreifen ihre Fragebogenaktion als Teil einer Prüfung im Sinne des § 38 BDSG. Als solches verlangen die Datenschutzbehörden auch unter dem Fragebogen eine Bestätigung der Richtigkeit der Auskünfte durch die Unternehmensleitung.

Werden im Rahmen einer Prüfung nach § 38 BDSG Defizite festgestellt und innerhalb einer Frist nicht umgesetzt, sind förmliche Anordnungen, Zwangsgeldandrohungen oder Bußgelder denkbar. Die Bayerische LDA formuliert dies so:

Ziel unserer Prüfungen ist es nicht, Sachverhalte für die Durchführung eines Bußgeldverfahrens zu suchen. Entsprechend erhalten wir von den bisher geprüften Unternehmen zur Vor-Ort-Prüfung zumeist eine positive Resonanz. Viele verantwortliche Stellen betrachten unsere Vor-Ort-Prüfungen (zumindest im Nachhinein) als eine konstruktive Beratung.

Ob ein „Fragebogen“ gleich eine „Prüfung“ im Rechtssinne darstellt, könnte durchaus kritisch hinterfragt werden. Faktisch aber wird eine Nicht- oder nicht zutreffende Beantwortung der Fragebögen aber für Unternehmen keine Option darstellen, möchten sie sich nicht an dieser Front eine Auseinandersetzung mit den Datenschutzbehörden eröffnen.

Anders als in der Vergangenheit, wo die Behörden durchaus einen regional unterschiedlichen Grad an Konsequenz bei der Ahndung von Verstößen an den Tag legten, ist nunmehr damit zu rechnen, dass eher der strengen Linie aus Hamburg, Niedersachsen & Co. gefolgt wird, und tatsächlich Bußgelder verhängt werden könnten. Auch die bisher eher zurückhaltendere Linie etwa des Bayerischen LDA muss also keinen Bestand haben.

Adressaten der Prüfung

Im Rahmen der Prüfung wurden bereits bzw. werden noch rund 500 Unternehmen angeschrieben, die – laut Datenschutzbehörden – nach dem Zufallsprinzip ausgewählt wurden. Davon fallen rund 150 allein in den Zuständigkeitsbereich des Bayerischen LDA. Hierbei werden Unternehmen unterschiedlicher Größenordnungen und verschiedener Branchen angefragt.

Inhalt der Prüfung

Neben allgemeinen Fragen zu Rechtsgrundlagen eines Datentransfers ins außereuropäische Ausland [etwas „hinterlistig“: die Möglichkeit der Auswahl der Rechtsgrundlage „Safe Harbor“] fragen die Datenschutzbehörden auch gezielt nach dem Einsatz von Produkten und Leistungen externer Anbieter gefragt, die – nach bisherigen Erfahrungen der Aufsichtsbehörden – mit einer Übermittlung personenbezogener Daten in Nicht-EU-Staaten verbunden sind.

Das schließt unter Anderem die folgenden externen Leistungen und Produkte ein:

• Fernwartung
• Support
• Ticketing-Systeme
• Customer Relationship Management
• Bewerbermanagement.
• Cloud-Services und Officelösungen
• Kommunikationsdienste
• Kollaborationsplattformen.

Wo können Sie den Fragebogen einsehen?

Für Interessierte ist der Fragebogen der Datenschutzbehörden veröffentlicht auf der Homepage der Bayerischen LDA (Download, *.docx).