open search
close
Datenschutz

Compliance beim Datentransfer: Zur „Fragenbogenaktion“ der Datenschutzbehörden

Print Friendly, PDF & Email
Datentransfer

Seit dem Ende von „Safe Harbor“ steht der Datentransfer in das außereuropäische Ausland zunehmend im Blickwinkel der Datenschutzbehörden.  Seit Anfang November 2016 haben nunmehr zehn deutsche Landesdatenschutzbehörden unter der Federführung des Bayrischen Landesamtes für Datenschutzaufsicht eine so genannte „Prüfaktion“ eingeleitet, bei der solche Verarbeitungsprozesse unter die Lupe genommen werden sollen. Auch für (noch) nicht betroffene Unternehmen lohnt sich ein Blick auf die Inhalte der Prüfung.

Hintergrund der Prüfung

Die Datenschutzbehörden führen als Hintergrund ihrer Prüfung an, dass die Nutzung personenbezogener Daten in den letzten Jahren enorm zugenommen habe, sowie die zunehmende Prävalenz von Cloud Computing. Faktisch aber dürfte maßgeblich das Ende des „sicheren Hafens“ für Datentransfers in die USA und die entstehende Rechtsunsicherheit ausschlaggebend für die Aktion geworden sein.

Zweck der Prüfung

Das Bayrische Landesamt für Datenschutzaufsicht formuliert den Zweck der Aktion wie folgt:

Die Prüfung soll (…) auch der Sensibilisierung von Unternehmen für gerade die Verarbeitungsprozesse dienen, bei denen personenbezogene Daten in Nicht-EU-Länder übermittelt werden (…) Die bisherige Erfahrung der Datenschutzaufsichtsbehörden zeigt, dass sich Unternehmen bei Nutzung [cloudbasierter] Produkte [von Herstellern aus dem EU-Ausland] nicht immer der Tatsache bewusst sind, dass dadurch eine Übermittlung personenbezogener Daten in Nicht-EU-Staaten stattfindet und entsprechende datenschutzrechtliche Konsequenzen daraus resultieren.

Alles also rein unverbindlich und nur zur Sensibilisierung? Das wäre zu kurz gegriffen.


„Fragebogenaktion“ oder Prüfung?

Die Landesdatenschutzbehörden begreifen ihre Fragebogenaktion als Teil einer Prüfung im Sinne des § 38 BDSG. Als solches verlangen die Datenschutzbehörden auch unter dem Fragebogen eine Bestätigung der Richtigkeit der Auskünfte durch die Unternehmensleitung.

Werden im Rahmen einer Prüfung nach § 38 BDSG Defizite festgestellt und innerhalb einer Frist nicht umgesetzt, sind förmliche Anordnungen, Zwangsgeldandrohungen oder Bußgelder denkbar. Die Bayerische LDA formuliert dies so:

Ziel unserer Prüfungen ist es nicht, Sachverhalte für die Durchführung eines Bußgeldverfahrens zu suchen. Entsprechend erhalten wir von den bisher geprüften Unternehmen zur Vor-Ort-Prüfung zumeist eine positive Resonanz. Viele verantwortliche Stellen betrachten unsere Vor-Ort-Prüfungen (zumindest im Nachhinein) als eine konstruktive Beratung.

Ob ein „Fragebogen“ gleich eine „Prüfung“ im Rechtssinne darstellt, könnte durchaus kritisch hinterfragt werden. Faktisch aber wird eine Nicht- oder nicht zutreffende Beantwortung der Fragebögen aber für Unternehmen keine Option darstellen, möchten sie sich nicht an dieser Front eine Auseinandersetzung mit den Datenschutzbehörden eröffnen.

Anders als in der Vergangenheit, wo die Behörden durchaus einen regional unterschiedlichen Grad an Konsequenz bei der Ahndung von Verstößen an den Tag legten, ist nunmehr damit zu rechnen, dass eher der strengen Linie aus Hamburg, Niedersachsen & Co. gefolgt wird, und tatsächlich Bußgelder verhängt werden könnten. Auch die bisher eher zurückhaltendere Linie etwa des Bayerischen LDA muss also keinen Bestand haben.

Adressaten der Prüfung

Im Rahmen der Prüfung wurden bereits bzw. werden noch rund 500 Unternehmen angeschrieben, die – laut Datenschutzbehörden – nach dem Zufallsprinzip ausgewählt wurden. Davon fallen rund 150 allein in den Zuständigkeitsbereich des Bayerischen LDA. Hierbei werden Unternehmen unterschiedlicher Größenordnungen und verschiedener Branchen angefragt.

Inhalt der Prüfung

Neben allgemeinen Fragen zu Rechtsgrundlagen eines Datentransfers ins außereuropäische Ausland [etwas „hinterlistig“: die Möglichkeit der Auswahl der Rechtsgrundlage „Safe Harbor“] fragen die Datenschutzbehörden auch gezielt nach dem Einsatz von Produkten und Leistungen externer Anbieter gefragt, die – nach bisherigen Erfahrungen der Aufsichtsbehörden – mit einer Übermittlung personenbezogener Daten in Nicht-EU-Staaten verbunden sind.

Das schließt unter Anderem die folgenden externen Leistungen und Produkte ein:

  • Fernwartung
  • Support
  • Ticketing-Systeme
  • Customer Relationship Management
  • Bewerbermanagement.
  • Cloud-Services und Officelösungen
  • Kommunikationsdienste
  • Kollaborationsplattformen.

Wo können Sie den Fragebogen einsehen?

Für Interessierte ist der Fragebogen der Datenschutzbehörden veröffentlicht auf der Homepage der Bayerischen LDA (Download, *.docx).

Dr. Till Heimann

Rechtsanwalt
Fachanwalt für Arbeitsrecht
Partner
Till Heimann berät Arbeitgeber mit Fokus auf Unter­neh­mens­trans­ak­tio­nen (mit anschlie­ßen­der Integration), Umstruk­tu­rie­run­gen auf Unter­neh­mens- und Betriebsebene und Har­mo­ni­sie­rung von Arbeits­be­din­gun­gen. Besondere Expertise besitzt Till Heimann darüber hinaus hinsichtlich der Beratung zu regulierter Vergütung (Banken/Kapitalanlagegesellschaften u.A. Institute), von Unternehmen der Technologiebranche sowie von Startups. Er besitzt langjährige Erfahrung in der Steuerung inter­na­tio­na­ler Projekte. Er ist Mitglied der Fokusgruppe "ESG".
Verwandte Beiträge
Datenschutz Individualarbeitsrecht Neueste Beiträge

„Auskunft, sonst Schadensersatz!“ – Handlungsoptionen für Arbeitgeber bei Auskunftsansprüchen

Datenschutzrechtliche Auskunftsansprüche gegen den Arbeitgeber gehören für Arbeitnehmer(-vertreter) vor allem in Kündigungsstreitigkeiten zum Regelrepertoire. Mittlerweile wird auch vermehrt über arbeitnehmerseitige Schadensersatzansprüche aufgrund nicht oder nicht vollständig erteilter Auskünfte gestritten. Die Rechtsprechung befindet sich noch im Fluss, sodass sich für viele Arbeitgeber Unklarheiten darüber ergeben, wie mit fragwürdigen Auskunftsbegehren umzugehen ist. Dieser Beitrag soll einen Überblick liefern und Handlungsoptionen aufzeigen. Der datenschutzrechtliche Auskunftsanspruch ist mittlerweile ein…
Compliance Datenschutz Individualarbeitsrecht Kollektivarbeitsrecht Neueste Beiträge Restrukturierung Top-Management Vergütung

Top 6 des Jahres 2023 aus arbeitsrechtlicher Sicht

Das Jahr 2023 ist nun beinahe wieder vorbei. Zur Anheizung der weihnachtlichen Vorfreude lesen Sie hier unseren Jahresrückblick auf eine kleine Auswahl an besonders beachtenswerten und für das Arbeitsrecht relevanten Urteilen – u.a. zu den Themen Equal Pay, Beweisverwertungsverbote, Geschäftsführerhaftung, Outsourcing und Strafrecht. Wie in jedem Jahr gab es auch in 2023 wieder einige Gerichtsentscheidungen, die in einem arbeitsrechtlichen Jahresrückblick nicht fehlen dürfen. Unsere diesjährigen…
Internationales Arbeitsrecht Neueste Beiträge

Belgium’s new whistleblowing law

The EU Whistleblowing Directive has been implemented in Belgium and SMEs have only until 17 December to act. Here we consider some of the key details of the new Belgian legislation. Background The EU Whistleblowing Directive had to be transposed into Belgian national law by 17 December 2021 at the latest. This deadline was not met by Belgium. The Directive was, however, transposed into Belgian…
Abonnieren Sie den kostenfreien KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

 

Die Abmeldung ist jederzeit möglich.