Einleitung

• Sie bieten „Software as a Service“, Hosting-, Cloud- oder vergleichbare Leistungen für Unternehmen an?
• Sie entwickeln und betreiben für Unternehmen Webseiten, Apps oder andere Online-Plattformen?
• Sie speichern dabei Daten zu den Endkunden, Mitarbeitern oder Nutzern ihrer Kunden oder haben auf solche Daten Zugriff?

Dann sind Sie ein sogenannter „Auftragsverarbeiter“, für die ab 25. Mai 2018 mit der Datenschutzgrundverordnung (DSGVO) neue, spezielle Regeln gelten.

Es besteht Handlungsbedarf, um

• gute Kunden zu behalten und neue zu gewinnen
• Haftungsrisiken zu minimieren, und
• Bußgelder zu vermeiden

(theoretisch bis 20 Mio. Euro oder 4 % des weltweiten Umsatzes).

Die Datenschutzgrundverordnung bringt für alle Unternehmen in der EU erhebliche Neuerungen und führt zu intensiven Anstrengungen bei Unternehmen, um sich auf die neuen Datenschutzregeln vorzubereiten. Für Auftragsverarbeiter ergeben sich ganz spezifische Änderungen: Ihre datenschutzrechtliche Verantwortung steigt, neue Kunden-Verträge werden nötig, das Haftungsrisiko erhöht sich und es gelten erweiterte Dokumentationspflichten.

Der folgende Beitrag erläutert praxisnah und anhand von Beispielen welche konkreten Schritte Sie unternehmen müssen, um als Auftragsverarbeiter der Datenschutzgrundverordnung gerecht zu werden.

Zur Umsetzung der Anforderungen der DSGVO können Sie ein Rechtspaket mit Checklisten, Mustern und Vorlagen bestellen (DSGVO-Kit). Einzelheiten dazu finden Sie am Ende des Beitrags sowie online unter www.complyvacy.com/dsgvo-kit.

München, April 2018

Dr. Thomas Helbing
Fachanwalt für IT-Recht

Bin ich überhaupt Auftragsverarbeiter?

Auftragsverarbeiter im Sinne der Datenschutzgrundverordnung sind alle, die für andere „personenbezogene Daten im Auftrag“ verarbeiten, Art. 4 Nr. 8 DSGVO.

Typische Fälle sind:

• Anbieter web-basierter Softwarelösungen (“Software as a Service“), in der Kunden personenbezogene Daten speichern. 
  Beispiele SaaS: Software für das „Customer Relationship Management“ (CRM-Systeme), Online Shops, Newsletter und Online-Marketing Software, Bewerbermanagement-Tools, HR-Software, Web-Tracking Anbieter, Online Software für das Projektmanagement oder die Zeiterfassung, Anwendungen im Bereich Fakturierung und Finanzbuchhaltung oder web-basierte ERP-Systeme.
• Unternehmen, die für ihre Kunden Backend-Dienste für mobile Apps betrei­ben und darin Nutzerdaten erfassen
  Speicherung der E-Mail Adresse und Einstellungen von App-Nutzern in einem Backend
•  Online-Agenturen, die auch das Hosting oder den Betrieb von Webseiten übernehmen, wenn diese personen­bezogene Daten beinhalten
  Betrieb und Wartung einer Webseite mit Kontaktformular oder Newsletter-Bestellfunktion.
•  Sonstige IT-Dienstleister, zu deren Leistungen der Umgang mit personen­bezogenen Kundendaten gehört
  z.B. Datenkonvertierungen, Import von Kundendaten in ein ERP-System, Analyse und Auswertung von Kundendaten
• Shared Service Center für IT-Dienste im Konzern
  z.B. eine IT-Tochtergesellschaft bietet IT-Dienstleistungen für alle Konzernunternehmen an und verarbeitet dabei die Daten derer Mitarbeiter.

Der Begriff der „personenbezogenen Daten“ umfasst alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, so die Definition in Art. 4 Nr. 1 DSGVO. Auf die Sensibilität der Daten kommt es nicht an. Die bloße Information, dass eine Person bei einem Unternehmen angestellt ist, dort einen Newsletter bestellt oder Produkte gekauft hat, stellt also bereits ein personenbezogenes Datum dar. Personenbezogen Daten müssen zudem nicht unbedingt Namen enthalten. Es genügt wenn die Daten einer natürlichen Person zugeordnet werden können. Wenn die Datensätze E-Mail Adressen oder IP-Adressen enthalten ist häufig die Personenbeziehbarkeit bereits gegeben.

Missverstanden wird oft auch der der Ausdruck „verarbeiten“. Eine Verarbeitung ist letztlich jeder Umgang mit personenbezogenen Daten. Die DSGVO nennt als Beispiele (Art. 4 Nr. 2 DSGVO): Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen, Übermitteln, Verbreiten, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten. Ein Anbieter von Cloudspeicher, bei dem Kunden personenbezogene Daten ablegen „verarbeitet“ diese also bereits.

Eine Verarbeitung „im Auftrag“ liegt immer vor, wenn der Kunde das „Wieso“ bzw. „Warum“ und das wesentliche „Wie“ der Verarbeitung festlegt. Dabei kann dem Auftragsverarbeiter durchaus ein gewisser Spielraum eingeräumt werden, etwa in Bezug auf die Datensicherheitsmaßnahmen. Grundsätzlich kann man sagen, dass nach der DSGVO der Anwendungsbereich der Auftragsverarbeitung gegenüber dem BDSG-1990 weiter gefasst ist. In den oben genannten Beispielsfällen liegt eine Auftragsverarbeitung vor. Grenzfälle entstehen dann, wenn der Auftragnehmer weitgehende Entscheidungsbefugnisse erhält.

Ein Unternehmen, das eine Bewerbermanagement-Software bereitstellt, verarbeitet die Bewerberdaten im Auftrag. Ein Unternehmen, das für andere vollständig die Recruiting-Funktion übernimmt und selbst festlegt, welche Kandidaten wie und in welcher Form angesprochen werden und welche Software dabei genutzt wird, verarbeitet die Daten dagegen nicht mehr im Auftrag, sondern wird selbst datenschutzrechtlich zum „Verantwortlichen“.

Hintergrund: Rechtstexte

Seit 25. Mai 2018 gilt mit der EU-Daten­schutz­grundverordnung 2016/679 (DSGVO) ein reformiertes Datenschutzrecht in Europa. Als Verordnung gilt die DSGVO unmittelbar in ganz Europa.

Bisher war das Datenschutzrecht in Europa hauptsächlich in der EU Datenschutzrichtlinie 95/46/EG aus dem Jahr 1995 geregelt. Eine Richtlinie gilt nicht direkt für Unternehmen, sondern verpflichtet die Mitgliedstaaten, nationale Gesetze zu erlassen, um die Vorgaben verbindlich zu machen. Deutschland hat die Datenschutzrichtlinie vor allem durch das Bundesdatenschutzgesetz (BDSG-1990) umgesetzt.

Die DSGVO erlaubt den EU Mitgliedstaaten nur noch in engen Grenzen eigene Datenschutzgesetze zu erlassen, etwa für Mitarbeiterdaten. Deutschland hat von dieser Möglichkeit Gebrauch gemacht und ein komplett neues Bundesdatenschutzgesetz (BDSG-2018) erlassen, das wie die DSGVO am 25. Mai 2018 in Kraft tritt. Ab diesem Datum müssen sich Unternehmen also an die DSGVO halten und ergänzend auch das BDSG-2018 beachten.

Das Datenschutzrecht ist daneben auf europäischer und nationaler Ebene noch in einer Vielzahl weiterer Bestimmungen geregelt, die sich etwa auf die Telekommunikation, auf Online-Dienste und den Sozialbereich beziehen. Diese Bestimmungen werden oder müssen im Rahmen der Neuerungen der DSGVO teilweise noch angepasst werden, was zu einer komplexen Gemengelage führt. Im Online-Bereich ist ebenfalls eine neue Verordnung, die ePrivacy-Verordnung in der Entstehung.

TO-DO 1: Datenschutzverträge mit Kunden abschließen bzw. überarbeiten

• DSGVO-konforme Auftragsverarbeitungsverträge mit Kunden abschließen und alte überarbeiten.
• Mustervertrag entwickeln, der der DSGVO und Ihren individuellen Anforderungen gerecht wird.
• Auftragsverarbeitungsverträge, die von Kunden vorgelegt werden nicht sorglos unterschreiben, sondern prüfen.

Schon das aktuelle Recht verlangt, dass Sie als Auftragsverarbeiter mit ihren Kunden spezielle Datenschutzverträge schließen. Die Verträge werden als „Auftragsdatenverarbeitungsverträge“ (kurz ADV-Verträge) bezeichnet. Dies ist bisher in § 11 Bundesdatenschutzgesetz (BDSG-1990) geregelt. Die Verträge müssen schriftlich geschlossen werden, ein Online-Abschluss genügt unter Geltung des BDSG-1990 nicht. Die DSGVO bringt hier die Erleichterung, dass auch ein elektronischer Vertragsschluss möglich ist.

Viele Unternehmen haben solche Verträge bisher nicht unterzeichnet. Die Pflicht zum Abschluss lag bisher in erster Linie bei den Auftraggebern, also Ihren Kunden, und nicht bei Ihnen als Auftragsverarbeiter.

Die DSGVO verpflichtet nunmehr aber auch Auftragsverarbeiter zum Abschluss von Verträgen zur Auftragsverarbeitung, Art. 28 Abs. 3 DSGVO. Bei Verstößen drohen nach der DSGVO dem Auftragsverarbeiter Bußgelder von bis zu € 10.000.000. Bei Unternehmen sind sogar Bußgelder bis 2 % des weltweiten Jahresumsatzes möglich, wenn dieser Betrag höher ist. Auch wenn in der Praxis die Bußgelder kaum solche Höhen erreichen dürften, bereits unter dem BDSG-1990 haben Datenschutzbehörden für mangelhafte Verträge Bußgelder von über 10.000 € verhängt.

Als Auftragsverarbeiter müssen Sie also mit allen Kunden, deren personenbezogene Daten Sie im Auftrag verarbeiten, einen solchen speziellen Vertrag schließen. Aufgrund der DSGVO ist bei vielen Unternehmen das Thema Datenschutz in den Fokus geraten. Es ist daher zu erwarten, dass auch ihre Kunden zukünftig stärker rechtskonforme Datenschutzverträge einfordern werden.

Dies gilt übrigens nicht nur für Ihre Kunden in der EU. Die DSGVO gilt auch für Unternehmen außerhalb der EU, wenn diese z.B. Produkte und Leistungen an Personen in der EU anbieten (z.B. ein US Unternehmen bietet seine App auch im deutschen App-Store an). Diese „exterritoriale Geltung“ in der DSGVO ist gegenüber dem BDSG-1990 neu.

Wer mit seinen Kunden bereits Auftragsdatenverarbeitungsverträge gemäß dem BSDG-1990 geschlossen hat, sollte diese durch neue Verträge ersetzen, die speziell auf die DSGVO zugeschnitten sind. Zwar sind die Anforderungen der DSGVO gegenüber dem BDSG-1990 ähnlich, es gibt jedoch wichtige Unterschiede. Einige davon finden Sie nachfolgend beispielhaft erläutert:

Einschaltung von Unterauftragnehmern

Bereits das BDSG-1990 verlangt, dass in dem Auftragsdatenverarbeitungsvertrag geregelt ist, unter welchen Voraussetzungen Unterauftragnehmer eingeschaltet werden dürfen, § 11 Abs.2 Nr. 6 BDSG-1990. Die DSGVO verlangt nunmehr, dass vor Einschaltung eines Unterauftragnehmers der Auftraggeber dies genehmigen muss. Der Auftraggeber kann zwar eine weitreichende Generaleinwilligung geben, in diesem Falle muss der Auftragsverarbeiter aber vor jeder Änderung bei Unterauftragnehmern den Auftraggeber informieren und der Auftraggeber kann der Änderung widersprechen! (Art. 28 Abs. 2, Abs. 3 Satz 2 Buchstabe d) DSGVO).

Sie bieten Unternehmen eine Reisekostenabrechnung als Online-Software an (Software as a Service) und nutzen hierfür Hosting oder Cloud-Dienstleistungen von Amazon, Azure oder eines sonstigen Hosters. Der Hoster ist rechtlich betrachtet ihr Unterauftragnehmer. Sie müssen sich im Auftragsverarbeitungsvertrag mit dem Kunden diesen genehmigen lassen. Zwar können Sie sich eine Generaleinwilligung für den Einsatz eines beliebigen Hosters geben lassen. Wenn Sie den Hoster später wechseln, müssen Sie aber den Kunden informieren und dieser kann widersprechen. Das könnten Kunden nutzen, um sich vom Vertrag vorzeitig zu lösen. Außerdem dürften Sie in technische Schwierigkeiten kommen, wenn Sie bestimmte Kunden nicht auf den neuen Hoster umziehen dürfen. Sie sollten daher vertraglich genau regeln, wie die Einschaltung von Unterauftragnehmern aussieht, z.B. festlegen, dass auch Sie dem Kunden kundigen können, wenn dieser grundlos einen neuen Hoster ablehnt.

Pflicht zur Unterstützung des Auftraggebers

In dem Auftragsverarbeitungsvertrag müssen Sie sich verpflichten, ihren Kunden bei der Erfüllung von bestimmten Pflichten des Kunden gemäß der DSGVO zu unterstützen, Art. 28 Abs. 3 Satz 2 Buchstabe e) und f) DSGVO.

Ihr Kunde ist nach der DSGVO zum Beispiel verpflichtet, den Personen, über die er Daten speichert, auf Anforderung eine Kopie sämtlicher gespeicherten Daten bereitzustellen, Art. 15 Abs. 3 DSGVO. In bestimmten Fällen können die Betroffenen gemäß der DSGVO sogar verlangen, dass ihnen die Daten in einem „gängigen, maschinenlesbaren Format“ (z.B. als CSV Datei) bereitgestellt werden (sogenanntes „Recht auf Datenübertragbarkeit“, Art. 20 DSGO). Daneben müssen ihre Kunden ab 25. Mai 2018 bei bestimmten sensiblen Datennutzungen aufwändige Datenschutzprüfungen, sog. Datenschutzfolgeabschätzungen, vornehmen, Art. 35 DSGVO.

Bei all diesen Pflichten müssen Sie als Auftragsverarbeiter den Kunden ggf. unterstützen, so verlangt es das Gesetz. Sie sollten daher vertraglich festlegen, wie weit ihre Pflichten gehen, etwa ob eine von Ihnen angebotene Software Funktionen zum Datenexport bereitstellen muss und, dass etwaige Unterstützungsleistungen gesondert zu vergüten sind.

Haftung

Unter der DSGVO erhöht sich ihr Haftungsrisiko als Auftragsverarbeiter gegenüber dem BDSG-1990. So verpflichtet die DSGVO ausdrücklich sowohl den Auftraggeber als auch den Auftragsverarbeiter angemessene Maßnahmen zur Datensicherheit zu treffen, Art. 32 DSGVO. Bei Verstößen drohen Bußgelder, auch das ist im Bereich der Datensicherheit neu. Kommt es zu einer Datenpanne können die Personen, deren Daten Sie für Ihre Kunden speichern, direkt Sie als Auftragsverarbeiter in Anspruch nehmen, Art. 82 Abs. 1, 2 DSGVO. Sie sitzen mit dem Kunden quasi haftungsrechtlich in einem Boot, Art. 82 Abs. 4 DSGVO. Sie können Ansprüche der Betroffenen nur abwehren oder bei Ihrem Kunden Regress nehmen, wenn Sie nachweisen, dass Sie an dem Schaden keine Verantwortung trifft. Diese Haftungsregelung verschärft sich dadurch, dass Betroffene unter der DSGVO, anders als nach bisherigem Recht, auch Ersatz von immateriellen Schäden (z.B. Rufschädigung, Verletzung des Persönlichkeitsrechts) geltend machen können, Art. 82 Abs. 1 DSGVO und ihre Ansprüche am eigenen Wohnsitz oder Aufenthaltsort (ggf. im EU-Ausland) einklagen können, Art. 79 Abs. 2 SDGVO.

Sie entwickeln und betreiben für Ihre Kunden Online-Shops und nutzen hierfür ein Open-Source Tool (z.B. Magento, Wordpress, Drupal), für das Sie selbst branchenspezifische Erweiterungen programmiert haben. Aufgrund einer Sicherheitslücke in der Open-Source Software konnten Angreifer Bestelldaten von Endkunden erlangen. Die Betroffenen eines kleinen Online-Shops verlangen von Ihnen Schadenersatz. Der Kunde hatte Sie nicht explizit mit dem Einspielen von Sicherheits-Updates oder der Sicherheitsprüfung von Standardkomponenten des Open-Source Tools beauftragt.

Vor dem Hintergrund der Haftungsrisiken gerade im Bereich der Datensicherheit müssen in Auftragsverarbeitungsverträgen explizite Regelungen zu den Verantwortungsbereichen bei der Datensicherheit geregelt werden. Außerdem empfehlen sich Haftungsregelungen, die das Innenverhältnis zwischen Ihnen und dem Kunden bei Ansprüchen von Betroffenen regeln.

Muster

Für Auftragsverarbeitungsverträge gemäß der DSGVO kursieren bereits einige Musterverträge. Diese sollten Sie keinesfalls unreflektiert übernehmen. In der Regel fehlt es bei solchen Vorlagen an ausreichenden Erläuterungen. Auch werden häufig sinnvolle Kostenregelungen vergessen oder Gestaltungsspielräume zu Gunsten der Auftragsverarbeiter nicht ausgeschöpft. Gleiches gilt für Verträge, die Ihnen möglicherweise von Kunden vorgelegt werden. Aufgrund der schärferen Regelungen der DSGVO dürfen Sie solche Verträge nicht als lästiges Beiwerk oder bloßen Papierkram ansehen.   

TO-DO 2: Verfahrensverzeichnis führen 

• Verzeichnis der Verarbeitungstätigkeiten erstellen.  
• Datensicherheitsmaßnahmen dokumentieren.  
• Organisatorisch sicherstellen, dass das Verzeichnis fortgeführt wird und aktuell bleibt.

Ab dem 25. Mai 2018 müssen Sie auch als Auftragsverarbeiter ein sogenanntes „Verzeichnis der Verarbeitungstätigkeiten“ führen, Art. 30 Abs. 2 DSGVO. In diesem ist jedes Produkt bzw. jede Leistung, die Sie als Auftragsverarbeiter anbieten, aufzulisten (z.B. „Web-Hosting“, „Bereitstellung einer Online-Software zum Flottenmanagement“, „Betrieb und Wartung eines Online-Shops“). Ergänzend ist jeweils anzugeben, ob Sie hierbei einen Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums (EWR) einsetzen (z.B. Amazon oder Google Cloud Server), und ggf. in welchem Land sich dieser befindet. Für jedes Produkt bzw. jede Leistung müssen Sie im Verzeichnis der Verarbeitungstätigkeiten außerdem eine allgemeine Beschreibung der Maßnahmen beifügen, die Sie zur Datensicherheit getroffen haben. Dies betrifft Maßnahmen zum Schutz der Vertraulichkeit, Verfügbarkeit und Integrität ihrer Kundendaten (z.B. Zugangskontrolle in Büroräumen und Rechenzentren, Passwortrichtlinien, Backup- und Ausfallschutz).

Schließlich muss das Verzeichnis für jedes Produkt bzw. jede Leistung eine Liste aller zugehöriger Kunden beinhalten. Neben Namen und Kontaktdaten der Kunden sind dort auch die Kontaktdaten des Datenschutzbeauftragten des Kunden aufzunehmen. Bei Kunden außerhalb der EU müssen Sie zudem die Kontaktdaten von dessen Vertreter in der EU dokumentieren, wenn der Kunde den Be­stimmungen der DSGVO unterliegt (z.B. Kunden in den USA, die ihre Leistungen EU-Bürgern anbieten und dabei deren Daten verarbeiten).

Das Führen des Verzeichnisses der Verarbeitungstätigkeiten bringt einen gewissen Verwaltungsaufwand mit sich, sollte aber nicht vernachlässigt werden. Datenschutz-Aufsichtsbehörden ist das Verzeichnis auf Anfrage vorzulegen, Art. 30 Abs. 4 DSGVO. Verstöße gegen die Dokumentationspflicht können mit einem Bußgeld geahndet werden, Art. 83 Abs. 4 a) DSGVGO.

Auch der Gesetzgeber hat offenbar den hinter dem Verzeichnis steckenden Verwaltungsaufwand erkannt und eine Ausnahme von der Dokumentationspflicht für Unternehmen mit weniger als 250 Mitarbeitern eingeführt, Art. 30 Abs. 5 DSGVO. Die Ausnahme greift aber nur ein, wenn gleichzeitig (Achtung die deutsche Übersetzung der DSGVO ist hier fehlerhaft) drei zusätzliche Voraussetzungen erfüllt sind. Unter anderem muss die Datenverarbeitung lediglich „gelegentlich“ erfolgen, damit die Dokumentationspflicht entfällt. Wenn Sie als Auftragsverarbeiter Ihren Kunden Leistungen anbieten, verarbeiten Sie aber deren Daten in der Regel nicht nur gelegentlich. Im Ergebnis kommen Sie damit kaum herum, ein entsprechendes Verzeichnis zu führen.

TO-DO 3: Weisungen einfordern und managen

• Umgang mit Weisungen (Form, Grenzen, Zuständigkeiten) im Vertrag mit Kunden regeln.
• Mitarbeiter über die Bedeutung von Weisungen informieren und deren Einhaltung sicherstellen.
• Erforderlichenfalls Weisungen vom Kunden aktiv einfordern.

Als   Auftragsverarbeiter müssen Sie beim Umgang mit personenbezogenen Daten Ihrer Kunden deren „Weisungen“ befolgen. Das Gesetz geht davon aus, dass der Kunde seinem Auftragsverarbeiter Vorgaben zum Datenumgang in Form von Weisungen macht. Dies müssen Sie vertraglich so auch vereinbaren, Art. 28 Abs. 3 Satz 2 Buchstabe a DGVO.

Beispiel „Weisung Speicherdauer“: Sie entwickeln für einen Kunden eine Gutschein-App und betreiben das zugehörige Backend (Server). Der Kunde teilt Ihnen später mit, dass die Daten der Gutschein-Inhaber innerhalb von sechs Monaten nach Einlösen eines Gutscheins gelöscht werden sollen.

Beispiel „Weisung Datenumfang“: Sie bieten eine Online-Software für die Optimierung von Lieferketten an und übernehmen das initiale Customizing. Der Kunde bittet Sie, beim Einspielen der Kundendaten nur die Postleitzahl zu importieren, nicht jedoch die vollständige Kundenanschrift.

Häufig sind solche „Weisungen“ im Rahmen von Leistungsbeschreibungen, Aufträgen oder Produktspezifikationen bereits enthalten. Grundsätzlich hat der Kunde aber kraft Gesetzes das Recht Ihnen auch später jederzeit Weisungen zum Datenumgang zu erteilen.

Diese Weisungsabhängigkeit ist keine Neuerung der DSGVO gegenüber dem BDSG-1990. Unter der DSGVO ist es aber für Sie als Auftragsverarbeiter besonders wichtig, Weisungen erforderlichenfalls einzufordern, erteilte Weisungen zu befolgen und dies zu dokumentieren:

Verarbeiten Sie personenbezogene Daten Ihrer Kunden nämlich nicht nach dessen Weisungen, sondern legen wesentliche Fragen des „Wie“ der Datenverarbeitung selbst fest, werden Sie vom bloßen Auftragsverarbeiter zum „Verantwortlichen“ im Sinne der DSGVO, Art. 28 Abs. 10 DSGVO. Das heißt: Wenn Sie eigenmächtig Kernfragen des Datenumgangs festlegen oder gar Weisungen des Kunden missachten, sind Sie für die Einhaltung der Bestimmungen der DSGVO voll verantwortlich und haften z.B. gegenüber Betroffenen in erweitertem Umfang, vgl. Art. 82 Abs. 2 Satz 2 DSGVO.

Achten Sie also darauf, dass mit dem Kunden zentrale Fragen des Datenumgangs vereinbart oder vom Kunden festgelegt werden und dokumentieren Sie dies. Zentrale Fragen des Datenumgangs sind insbesondere der Umfang der erhobenen Daten, die Nutzungszwecke, die Weitergabe an Dritte und die Speicherdauer.

Beispiel „Vom Auftragsverarbeiter zum Verantwortlichen“: Sie bieten eine web-basierte Zeiterfassungssoftware für Unternehmen an. In der zugehörigen App wird bei der Eingabe von Zeiteinträgen auch der Gerätestandort erfasst. Der Standort wird zunächst nicht weiter genutzt, sondern soll für zukünftige Funktionen vorgehalten werden. Der Administrator des Kunden kann den Standort bei einem Daten-Export sehen. Die Erfassung der Standortdaten ist in Ihrer Leistungsbeschreibung aber nicht dokumentiert und kann vom Kunden auch nicht deaktiviert werden. Da eine Beauftragung bzw. Weisung des Kunden zur Erhebung der Standortdaten fehlt, sind Sie rechtlich voll verantwortlich für die Erfassung dieser Daten. Als Datensammlung „auf Vorrat“ ist diese rechtswidrig. Sie haften unmittelbar gegenüber den Mitarbeitern ihrer Kunden wegen unzulässigen Datensammelns.

Stellen Sie zudem durch vertragliche Vereinbarungen mit dem Kunden und durch entsprechende innerbetriebliche Organisation sicher, dass Weisungen des Kunden dokumentiert und umgesetzt werden.

Beispiel: „Die verlorene Weisung“: Sie sind Inhaber eine Webagentur. Ein langjähriger Großkunde möchte Sie mit der Schaltung einer Werbekampagne auf Facebook beauftragen. Ihr Social Media Experte empfiehlt zur besseren Ausrichtung der Kampagne „Facebook Custom Audiences“ zu nutzen und hierfür die Liste der Newsletter-Abonnenten des Kunden bei Facebook hochzuladen (Facebook nutzt diese Daten, um die Anzeigen bei der passenden Zielgruppe zu platzieren). Kurz nach Beauftragung teilt der Datenschutzbeauftragte des Kunden per Online-Kontaktformular über Ihre Webseite mit, dass er ein Hochladen der Kundenliste für unzulässig hält und dies zu unterbleiben hat. Die E-Mail gelangt nicht rechtzeitig zu Ihrem zuständigen Mitarbeiter, der die Kundenliste bereits bei Facebook eingestellt hat.

Um sicherzustellen, dass Weisungen nicht verloren gehen, sollte festgelegt sein, wer auf Kundenseite Weisungen erteilen darf, wer der Empfänger in Ihrem Unternehmen ist und in welcher Form Weisungen dokumentiert werden müssen. Zudem müssen Sie Ihre Mitarbeiter über die Bedeutung von Kundenweisungen informieren und deren Beachtung sicherzustellen.

Wenn es um Kernfragen des Datenumgangs geht sollten Sie zudem im Einzelfall Weisungen aktiv einfordern. Dies gilt etwa in Bezug auf eine Datenverarbeitung außerhalb der EU, Art. 28 Abs. 3a) DSGVO.

Beispiel: „Die einzufordernde Weisung“: Sie erbringen remote Wartungsleistungen für eine beim Kunden installierte CRM-Software. Der Kunde bittet Sie kurzfristig ein „Cloud-Backup“ aller Kundendaten zu erstellen. Fehlen dabei Vorgaben, etwa zum Speicherort (EU, USA), empfiehlt es sich, auf den Kunden zuzugehen und um eine entsprechende Konkretisierung des Auftrags zu bitten bzw. um ausdrückliche Bestätigung, ob die von Ihnen vorgeschlagene Lösung in Ordnung ist.

Zudem verlangt die DSGVO, wie auch schon das BDSG-1990, dass Sie Ihre Kunden informieren, wenn Sie eine Weisung für datenschutzwidrig halten. Eine rechtliche Prüfpflicht entsteht für Sie dadurch aber nicht.

TO-DO 4: Datenschutzbeauftragten benennen

• Prüfen, ob ein Datenschutzbeauftragter bestellt werden muss oder soll.
• Internen oder externen Datenschutzbeauftragten bestellen.
• Bei der Bestellung Aufgaben des Datenschutzbeauftragten konkret regeln.

Wenn sich in Ihrem Unternehmen in der Regel zehn oder mehr Personen mit der Verarbeitung von personenbezogenen Daten beschäftigen, müssen Sie einen Datenschutzbeauftragten benennen, § 38 Abs. 1 BDSG-2017, Art. 37 Abs. 1 DSGVO. Mitzuzählen sind z.B. alle Entwickler, die Zugriff auf Kundendaten haben sowie Beschäftige im Support, die auf Kundendaten zugreifen können. Auch Mitarbeiter, die sich um ihr Personal kümmern (Personalabteilung) zählen dazu.

In Sonderfällen besteht eine Benennpflicht auch, wenn Sie die Personenzahl von zehn nicht erreichen. Dies ist unter anderem dann der Fall, wenn Ihre Geschäftstätigkeit im Kern darin besteht, in großem Umfang Gesundheitsdaten zu verarbeiten, wenn Sie besonders risikoreiche Datenverarbeitungen durchführen (vgl. § 28 Abs. 1 BDSG-2018, Art. 35 DSGVO) oder wenn Sie ein Markt- oder Meinungsforschungsinstitut sind.

Müssen Sie keinen Datenschutzbeauftragten benennen, können Sie dies dennoch freiwillig tun. Das kann durchaus sinnvoll sein, um eine definierte Rolle mit festgelegten Aufgaben zu etablieren, die sich des Themas im Unternehmen annimmt. Außerdem wirkt die Benennung eines Datenschutzbeauftragten gerade bei kleinen Unternehmen bei Kunden vertrauensbildend.

Der Datenschutzbeauftragte berät ihr Unternehmen und ihre Mitarbeiter zu den Datenschutz-Pflichten, nimmt Schulungen vor und überwacht die Einhaltung der Datenschutzbestimmungen, Art. 39 Abs. 1 DGVO. Vor allem die Kontrollpflichten des Datenschutzbeauftragten gehen nach der DGSVO über diejenigen des BDSG-1990 hinaus. Sie müssen den Datenschutzbeauftragten hierfür in alle datenschutzrelevanten Sachverhalte einbinden, Art. 38 Abs. 1 DGVO und ihm ausreichend Ressourcen (Zeit, Geld, Informationen) zur Verfügung stellen, Art. 38 Abs. 3 Satz 1 DSGVO. Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen (z.B. auf ihrer Webseite) und der für Sie zuständigen Datenschutzbehörde mitzuteilen, Art. 37 Abs. 7 DSGVO. Diese Transparenz-Anforderungen sind gegenüber dem BDSG-1990 neu.

Zum Datenschutzbeauftragten können Sie einen eigenen Mitarbeiter oder einen externen Dienstleister benennen. Die Person muss über die erforderliche Fachkunde verfügen und darf keinen Interessenskonflikt haben, also nicht seine eigene Arbeit kontrollieren. Geschäftsführer, führende Mitarbeiter der IT oder der Personalleiter können also nicht benannt werden. Wenn Sie einen eigenen Mitarbeiter benennen (interner Datenschutzbeauftragter), hat dies den Vorteil, dass dieser in Ihre Geschäftsprozesse gut integriert ist und „den Laden“ kennt. Allerdings müssen Sie Zeit und Geld in dessen Aus- und Fortbildung stecken. Außerdem genießt der Datenschutzbeauftragte – sofern eine Bestellpflicht vorliegt – einen Sonderkündigungsschutz, §§ 38 Abs. 2, 6 Abs. 4 BDSG-2018. Ein externer Datenschutzbeauftragter dagegen muss bezahlt werden und kennt ihr Unternehmen nicht so gut. Er kann dafür Datenschutzexpertise bündeln und effizient beraten, wenn er mehrere Unternehmen der gleichen Branche vertritt. Außerdem haben Sie bei einem externen Datenschutzbeauftragten das Haftungsrisiko ausgelagert: bei unzureichender Arbeit eines angestellten (internen) Datenschutzbeauftragten sind ihre Ansprüche in Haftungsfällen nach arbeitsrechtlichen Grundsätzen eingeschränkt, diese Haftungsbegrenzung gilt bei Externen nicht.

Immer wieder entsteht der falsche Eindruck, der Datenschutzbeauftragte sei für die Einhaltung der Datenschutzvorschriften verantwortlich. Das ist falsch. Verantwortlich ist die Unternehmensleitung. Der Datenschutzbeauftragte hat lediglich eine beratende und kontrollierende Rolle.

Dem Datenschutzbeauftragten obliegt es kraft Gesetz auch nicht, das Verzeichnis der Verarbeitungstätigkeiten zu führen oder Verträge zur Auftragsdatenverarbeitung zu entwerfen oder zu unterzeichnen. Auch muss der Datenschutzbeauftragte keine internen Anweisungen zum Datenschutz verfassen, kraft Gesetzes obliegt ihm lediglich die „Überwachung“ der Strategien und Richtlinien des Unternehmens, Art. 39 Abs. 1 b) DSGVO. Solche Einzelheiten müssen Sie mit dem Datenschutzbeauftragten also konkret vereinbaren. Vor diesem Hintergrund empfiehlt es sich auch, bestehende Alt-Vereinbarungen mit Datenschutzbeauftragten bzw. Alt-Bestellungen nach dem BDSG-1990 zu erneuern. Bei Verträgen mit Externen ist der Leistungsumfang konkret zu prüfen und zu verhandeln.

Egal ob Sie einen Datenschutzbeauftragten benannt haben oder nicht: Die DSGVO müssen Sie in jedem Fall beachten. Deshalb bietet es sich ggf. an, wenn kein Datenschutzbeauftragter benannt ist, einer Person im Unternehmen Aufgaben zur Einhaltung des Datenschutzes zu übertragen. Diese sollten Sie dann zur Klarheit nicht „Datenschutzbeauftragter“ nennen, sondern z.B. „Datenschutzmanager“.

TO-DO 5: Einhaltung des Datenschutzes intern regeln und dokumentieren

• Erstellen einer unternehmensinternen Datenschutzrichtlinie zur Sicherstellung der Einhaltung der DSGVO bei der Auftragsverarbeitung.
• Mitarbeiter mit der Datenschutzrichtlinie vertraut machen und zur Einhaltung verpflichten.

Eine vergleichsweise knapp formulierte Vorschrift in der DGSVO hat es besonders in sich und hat bei vielen Unternehmen teils umfangreiche Datenschutzprojekte ausgelöst: Die sogenannte „Rechenschaftspflicht“. Danach müssen Unternehmen den Datenschutz nicht nur einhalten, sondern dies auch nachweisen können, Art. 5 Abs. 2 DSGVO. Unternehmen geraten aufgrund der Rechenschaftspflicht in eine Art Beweispflicht. Der Druck datenschutzrelevante Prozesse im Unternehmen präzise zu regeln und zu dokumentieren steigt enorm. Art. 24 Abs. 1 DSGVO konkretisiert die Rechenschaftspflicht und verlangt, dass Unternehmen „angemessene technische und organisatorische Maßnahmen“ treffen müssen, um die Einhaltung der DGSVO sicherzustellen und um hierfür auch den Nachweis erbringen zu können.

Im Hinblick auf mögliche Bußgelder von bis € 20.000.000 (Art 82 Abs. 5 DSGVO) erlangt die Rechenschaftspflicht zusätzliche Brisanz.

Für Sie kommt hinzu, dass sich Ihre Kunden eigentlich vorab, also bevor man Sie beauftragt, davon überzeugen müssen, dass Sie als Auftragsverarbeiter ausreichende Vorkehrungen zur Einhaltung der DSVGO getroffen haben, Art. 28 Abs. 1 DSGVO.

Unternehmensinterne Datenschutzrichtlinie

Als Fundament zur Erfüllung der DSGVO und Ihrer Rechenschaftspflicht sollten Sie eine unternehmensinterne Datenschutzrichtlinie aufsetzen, in der die wichtigsten Prozesse und Regeln in Bezug auf den Datenschutz festgelegt sind. Die Datenschutzrichtlinie bringen Sie ihren Mitarbeitern zur Kenntnis und verpflichten sie damit entsprechend zu handeln.

Bei Anfragen von Kunden können Sie Ihre Datenschutzrichtlinie vorlegen und so zeigen, dass Datenschutz bei Ihnen nicht nur in Marketingunterlagen steht, sondern real gelebt wird.

Eine unternehmensinterne Datenschutzrichtlinie bietet zudem den Vorteil, dass im Falle einer behördlichen Kontrolle oder eines Datenschutzverstoßes der Vorwurf eines Organisationsverschuldens besser abgewehrt werden kann. Sie können dann argumentieren, dass nur ein Fehler im Einzelfall vorliegt, was auch bei der Bemessung eines etwaigen Bußgelds zu Ihren Gunsten berücksichtigt wird. Auch in kleineren Unternehmen ohne internes „Richtlinienwesen“ ist es daher sinnvoll eine interne Datenschutzrichtlinie zur Auftragsverarbeitung zu verfassen.

Inhalte für eine interne Datenschutzrichtlinie

In einer solchen unternehmensinternen Datenschutzrichtlinie bieten sich folgende Regelungen zu Verantwortlichkeiten und Prozessen an:

• Auftragsverarbeitungsverträge mit Kun­den: Prozess zum Abschluss entspre­chender Verträge, Verweis auf unternehmenseigene Musterverträge, Leitlinien beim Abschluss fremder Vertragsmuster („Do‘s and Don’ts“ ).
• Einschaltung von Unter-Auftrags­verar­beitern: Prozess zur Einschaltung von Unter-Auftragsverarbeitern, ein­schließ­­lich vorheriger Prüfung und Mitteilung von Änderungen gegenüber Kunden, Audits und Kontrollen bei Unter-Auftragsverarbeitern.
• Verzeichnis der Verarbeitungs­tätigkeiten: Verantwortlichkeiten und Prozesse zur Führung des Verzeichnisses, ggf. Vorlage/Muster.
• Management von Kunden-Wei­sungen: Erläuterung der Bedeutung von Weisungen, Prozesse zur Behandlung und Dokumentation von Weisungen, Festlegung von Zuständigkeiten, Hinweis­pflicht gegenüber Kunden bei rechtlichen Bedenken, Pflicht zur Umsetzung von Weisungen.
• Datenschutzbeauftragter: Festlegung der Stellung und Aufgaben, Pflicht der Mitarbeiter zur Einbindung des Datenschutzbeauftragten bei Daten­schutzfragen.
• Weitere Aspekte: z.B. Prozess zur Verpflichtung von Mitarbeitern zur Vertraulichkeit (Art. 28 Abs. 3 b DSGVO), Umgang mit Anfragen von Betroffenen (Kunden ihrer Kunden) im Hinblick auf ihre Daten (vgl. Art. 12-22 DSGVO), Verweis auf Regelungen zur Datensicherheit, regelmäßige Prüfung bzw. Überarbeitung der Richtlinie.

TO-DO 6: Datenschutz ins Produkt einbauen

• Eigenes Produkt bzw. eigene Leistungen durch die Datenschutz-Brille des Kunden betrachten.
• Soweit sinnvoll FAQs, Whitepaper oder Muster entwerfen, um den Kunden beim datenschutzkonformen Einsatz Ihres Produktes bzw. Ihrer Leistungen zu helfen.
• Ggf. Produkt um Funktionen zum Datenschutz ergänzen.

Wenn Sie als Auftragsverarbeiter personenbezogene Daten ihrer Kunden verarbeiten, ist grundsätzlich der Kunde für die Zulässigkeit der Datenverarbeitung verantwortlich.

Beispiel „Verantwortlichkeit des Kunden“: Sie bieten Hosting-Dienstleistungen für Webseiten-Betreiber an. Es liegt in der Verantwortung des Kunden, mittels seiner Webseite Daten nur im zulässigen Umfang zu erfassen und zu speichern. Auch die Pflicht, die Webseitenbesucher über den Einsatz z.B. von Tracking-Tools (Google Analytics) zu informieren, oder registrierten Nutzern Auskunft zu ihren Daten zu erteilen, liegt vollständig im Verantwortungsbereich des Kunden.

Häufig ist es jedoch so, dass die Produkte bzw. Leistungen, die Sie als Auftragsverarbeiter anbieten, bereits einen gewissen Datenumgang aufgrund der mitgelieferten Funktionalität vorgeben oder implizieren. Dies gilt etwa bei Anbietern von Online-Software, die beim Anbieter betrieben und vom Nutzer per Browser verwendet wird („Software as a Service“).

Beispiel „Bewerbermanagement“: Sie bieten Unternehmen eine Online-Software zur Verwaltung von Stellenbewerbern an. Dabei werden standardmäßig bestimmte Daten von Bewerbern erfasst und vorgehalten, Auswertungen zum Vergleich verschiedener Bewerber angeboten, ein Tracking von Webseitenbesuchern durchgeführt und es sind definierte Rollen (z.B. „Recruiter“) mit festen Berechtigungen vorgesehen.

Helfen Sie Ihren (potentiellen) Kunden dabei, die Anforderungen der DSGVO bei der Inanspruchnahme ihrer Leistungen sicherzustellen. Gerade für größere und renommierte Kunden ist die Datenschutzkonformität eine wichtige Auswahlentscheidung. Das „Wie“ und teilweise „Ob“ vieler Projekte im Unternehmen wird heute - und in Zukunft noch mehr - vom Datenschutz beeinflusst. Wer es seinen Kunden beim Datenschutz leicht macht, der verkauft auch besser. Das gilt unter der DSGVO mehr denn je: Die DSGVO verpflichtet nämlich Ihre Kunden bereits im Zeitpunkt der Konzeption von Vorhaben, sicherzustellen, dass die Vorschriften der DSGVO eingehalten werden können. Diese Pflicht wird in der DSGVO als „Datenschutz durch Technikgestaltung“ (Privacy by Design) bezeichnet, Art. 25 Abs. 1 DSGVO.

Stellen Sie Kunden FAQs oder Whitepaper zum Datenschutz bereit, und erläutern Sie dort die wichtigsten Datenschutz-Fragen zu Ihrem Produkt. Entwerfen Sie Muster, die Ihre Kunden verwenden können und bauen Sie in Ihr Produkt Funktionen ein, die dem Kunden die Einhaltung der DSGVO erleichtern.

Welche Maßnahmen dabei sinnvoll sind, muss im Rahmen einer individuellen Betrachtung Ihrer Leistungen bzw. Ihres Produktes erfolgen. Mit Blick auf die mit der DSGVO einhergehenden Neuerungen im Datenschutz sind folgende drei Aspekte hervorzuheben:

Transparenzpflichten

Die DSGVO verlangt von Ihren Kunden, die Personen, deren Daten Ihr Kunde verarbeitet (Betroffene), umfassend über den Datenumgang zu informieren (z.B. Dauer der Speicherung, Weitergabe an Dritte, Übermittlung in Länder außerhalb der EU). Diese Transparenzpflichten wurden mit der DSGVO gegenüber dem BDSG-1990 deutlich erhöht (siehe etwa Art. 13, 14 und 21 DSGVO). Gerade bei „Software as a Service“ Produkten wissen Sie als Anbieter oft besser als der Kunde, was mit den Daten passiert. Es bietet sich dann an, dem Kunden Muster für Datenschutzhinweise bereitzustellen oder konkrete Erläuterungen, anhand derer der Kunde solche Datenschutzhinweise selbst erstellen kann.

Betroffenenrechte

Die DSGVO stärkt und erweitert teilweise die Rechte der Betroffenen. So können Betroffene von Ihren Kunden in bestimmten Fällen verlangen, dass der Kunde alle zur betroffenen  Person gespeicherten Daten in einem „strukturiertem, gängigen und maschinenlesbaren Format“ bereitstellt (sogenanntes „Recht auf Datenübertragbarkeit“, Art. 20 DSGVO). Sie können dem Kunden hierzu entsprechende Funktionalitäten oder Leistungen bereitstellen, die einen entsprechenden Datenexport auf Knopfdruck ermöglichen (z.B. als XML oder CSV-Datei).

Datenschutzfreundliche Voreinstellungen

Können Standardeinstellungen zum Umgang mit personenbezogenen Daten festgelegt werden, so sind diese möglichst „datenschutzfreundlich“ vorzunehmen. Dieser Grundsatz des „Privacy by Default“ wurde mit der DSGVO explizit geregelt, Art. 25 Abs. 2 DSGVO. Das heißt, dass mit Blick auf den Nutzungszweck Ihr Produkt nicht mehr Daten als nötig, nicht länger als nötig und nicht umfassender als nötig verarbeiten darf, und der Zugriff durch Dritte standardmäßig soweit wie möglich eingeschränkt sein muss.

Beispiel „Enterprise Social Network“: Sie bieten ein Standardprodukt an, mit dem Kunden ein Unternehmensinternes soziales Netzwerk betreiben können. Die Voreinstellungen sollten möglichst restriktiv gesetzt werden, z.B. in Bezug auf die Frage welche Personen ein Profilbild sehen können oder ob Standortdaten bei Statusmeldungen angezeigt werden.

Weitere Aspekte

Neben diesen Punkten sind für einen datenschutzkonformen Einsatz Ihres Produkts bzw. Ihrer Leistungen häufig ein abgestuftes Rollen- und Berechtigungskonzept sowie definierbare Löschregeln für personenbezogene Daten wichtig.

Ihre nächsten Schritte:

Schieben Sie die Anforderungen der DSGVO nicht beiseite. Das Thema ist wichtig aufgrund des Haftungs- und Bußgeldrisikos und zur Sicherung der Kundenbeziehung.

Die Umsetzung der DSGVO bringt einen gewissen Aufwand mit sich, doch Sie müssen nicht bei Null anfangen: Nutzen Sie das von mir entwickelte „DSGVO-Kit“. Mit diesem können Sie einen Großteil der beschriebenen Anforderungen professionell und effizient umsetzen. Das Paket berücksichtigt eine lange Erfahrung in der Rechtsberatung vieler Auftragsverarbeiter. Es beinhaltet:

• Schritt-für-Schritt Anleitung zur Umsetzung der DSGVO für Auftragsverarbeiter
• Muster für eine unternehmensinterne Datenschutzrichtlinie (Arbeitsanweisung)
• optimierter Mustervertrag zur Auftragsverarbeitung mit Kunden
• Checkliste zur Prüfung von fremden Verträgen zur Auftragsverarbeitung
• Vorlage für ein „Verzeichnis der Verarbeitungstätigkeiten“

Alle Vorlagen sind bearbeitbar (Word-Dateien) und gut kommentiert. Das DSGVO-Kit richtet sich an Inhaber, Geschäftsführer, Projektverantwortliche, Inhouse-Juristen, Rechtsanwälte sowie interne und externe Datenschutzbeauftragte. Es sind weder Vorkenntnisse zur DSGVO noch eine juristische Ausbildung erforderlich.

Weitere Informationen zum DSGVO-Kit sowie eine Bestellmöglichkeit finden Sie auf der Webseite des Verlags unter:

www.complyvacy.com/dsgvo-kit

Bei dem DSGVO-Kit handelt es sich um ein Verlagsprodukt und nicht um individuelle Rechtsberatung.

• Server-Betrieb (z.B. Webserver-Protokolle, Content Delivery Netzwerke, Monitoring-Tools)
• Standardfunktionalitäten (z.B. Kontaktformular, Newsletterbestellung/Double-Opt-In, Kommentarfunktion, Account-Registrierung, Passwortsicherheit)
• Tracking (z.B. Google Analytics, Universal Tracking, Google Analytics zur Nutzung mit Werbefunktionen, Matamo/Piwik, Adobe Analytics, HotJar, HubSpot)
• Online Marketing (z.B. Google Adwords mit Remarketing, Facebook Remarketing, Facebook/Google Conversion Tracking, Facebook Custom Audiences, Tags)
• Plugins  (z.B. Like oder Share-Buttons von Facebook oder Google oder Plugins von Instagram, Pinterest, Xing, LinkedIn, AddThis, Einbindung von Videos, Bilder, Karten, Schriften und sonstigen Funktionen Dritter)
• Abfrage von Cookies (z.B. First/Third Party Cookies, Session-Cookies, Marketing-Cookies, Statistik-Cookies, HTML5 Local Storage)
• Sonstiges (z.B. Zahlungsdiensteanbieter, Datenzugriff durch Hoster/Programmierer/Agenturen, Browser-Fingerprints, Web-Beacons, 1-Pixel-Bilder)

Immer mehr Unternehmen ernennen Compliance Officer und implementieren zum Teil umfassende Compliance Programme. Deren Aufgabe ist, die Einhaltung von Rechtsvorschriften durch das Unternehmen sicherzustellen, z.B. Korruption und unzulässige Kartellabsprachen, Geldwäsche sowie Betrugs- und Untreuefälle zu verhindern und aufzuklären.

Doch auch das Compliance-Programm selbst muss den gesetzlichen Anforderungen genügen. Vor allem das Datenschutzrecht stellt hierbei eine Reihe von Anforderungen und setzt Grenzen.

Wie Fälle aus der Vergangenheit gezeigt haben, können selbst vermeintliche Verstöße des Compliance-Programms gegen den Datenschutz erhebliche Imageschäden für das Unternehmen und sogar persönliche Konsequenzen für das Management haben. Es drohen Bußgelder und im Extremfall strafrechtliche Verfolgung.

Mit der geplanten Vereinheitlichung des Datenschutzes durch eine Europäische Datenschutz-Grundverordnung wird der Datenschutz zukünftig weiter an Bedeutung gewinnen. Dies auch deshalb, weil die drohenden Sanktionen bei Datenschutzverletzungen massiv verschärft werden sollen.

Ich habe eine Checkliste mit dem Titel "Datenschutz bei Compliance Programmen - eine Checkliste mit Erläuterungen und Best Practices" entworfen. Diese hilft, datenschutzrelevante Themen bei Compliance-Programmen zu erkennen. Neben Kontrollfragen enthält die Checkliste Erläuterungen sowie Empfehlungen und Best Practices. Die Checkliste wendet sich an Compliance Officer, Mitarbeiter von Compliance-, Rechts- und Revisions-Abteilungen und Datenschutzbeauftragte.

Die Checkliste deckt derzeit folgende Bereiche ab:

A) Interne Compliance Ermittlungen
B) Einsichtnahme und Auswertung von Mitarbeiter E-Mails 
C) IT-Forensische Untersuchungen / Compliance Screenings / Massendatenanalysen 
D) Hinweisgebersysteme (Whistleblowing) 
E) Zentrale Compliance im Konzern / Verbund

Geplante weitere Themen sind:

• E-Discovery
• Pre-Employment Screenings
• Terrorlisten Screenings
• Geldwäscheprävention

Die Checkliste wird regelmäßig aktualisiert und ergänzt. Bitte laden Sie die jeweils aktuelle Version herunter.

Die Checkliste ist (z.B. zur Zitierung) auch erschienen in der ZRFC, "Risk, Fraud & Compliance", 2013, Heft 8, Seite 170 ff.

Ich freue mich über Anregungen, Kritik und einen Erfahrungsaustausch. Kontaktieren Sie mich gerne.

Für 89 Prozent der Unternehmen sind juristische Fragen zum Datenschutz ein wesentliches Problem bei der Planung von Big Data und Business Analytics [7]. Im folgenden Beitrag erhalten Sie einen fundierten, praxisnahen Einblick in das hierfür relevante Datenschutzrecht.

Sie erfahren

• welche datenschutzrechtlichen Anforderungen für Big Data und Business Analytics gelten sowie
• wie Sie Daten in Ihrem Projekt rechtskonform verwenden.

Der Beitrag entspricht dem von mir verfassten Kapitel im dem bald erscheinenden "Handbuch Business Intelligence - Potenziale, Strategien und Best Practices", Hrsg.: Michael Lang, ISBN 978-3-86329-660-5.

Den Kopf nicht in den Sand stecken

Verstöße gegen den Datenschutz können mit Bußgeldern bis 300.000 Euro geahndet werden, in bestimmten Fällen drohen sogar Haftstrafen. Der Sanktionsrahmen dürfte zudem bald ausgeweitet werden. Noch schwerer wiegt häufig der öffentliche Imageschaden bei Datenschutzverletzungen. Das Thema Datenschutz außen vor zu lassen ist also keine Lösung.

Wozu dient das Datenschutzrecht?

Das Datenschutzrecht legt fest, unter welchen Voraussetzungen personenbezogene Daten verwendet werden dürfen.

Wer »Datenschutz« hört, denkt oft an Verschlüsselung, Firewalls und andere technische Aspekte. Tatsächlich regelt das Bundesdatenschutzgesetz aber nur in einem einzigen Paragrafen und einem kurzen Anhang die Datensicherheit, und das sehr rudimentär. Die Datensicherheit ist nur ein kleiner Teilaspekt des Datenschutzes. Die gesetzlichen Bestimmungen sollen nicht die Daten, sondern die Menschen schützen, nämlich vor einer »Verdatung«.

Das Bundesverfassungsgericht hat dazu entschieden, dass das Persönlichkeitsrecht auch ein »Recht auf informationelle Selbstbestimmung« beinhaltet. Dieses gibt dem Einzelnen die Befugnis, selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Das mag sich alles etwas hochtrabend anhören. Verdeutlichen kann man sich das Ganze an einem anderen Teil des Persönlichkeitsrechts: am Recht am eigenen Bild. So wie es unzulässig ist, Menschen zu filmen und dieses Filmmaterial öffentlich beliebig verfügbar zu machen, so sind auch dem Sammeln und Verwenden anderer Informationen über Menschen rechtliche Grenzen gesetzt.

Personenbezogen, nicht persönlich

In Deutschland finden sich die wichtigsten Bestimmungen zu personenbezogenen Daten im Bundesdatenschutzgesetz (BDSG). Dieses Gesetz ist immer dann zu beachten, wenn personenbezogene Daten erhoben, verarbeitet oder genutzt werden. Wie wir gleich sehen werden, ist der Anwendungsbereich sehr weit. Personenbezogene Daten sind »alle Angaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person« (§ 3 BDSG). Auf die Sensibilität der Daten kommt es nicht an. Die Information, dass Hubert Müller dieses Buch gekauft hat oder bei der ABC GmbH arbeitet, ist also bereits ein personenbezogenes Datum. Es geht eben nicht nur um »persönliche« Daten, sondern um alle personenbezogenen oder -beziehbaren Informationen. Gerade im Bereich Business Intelligence und Big Data werden Datenschutzanforderungen häufig zu schnell beiseitegeschoben, weil fälschlicherweise davon ausgegangen wird, es seien keine personenbezogenen Daten im Spiel. Dazu später mehr.

Haben wir es mit personenbezogenen Daten zu tun, so unterliegt faktisch jeder Umgang damit den Datenschutzgesetzen. Insbesondere zählen dazu das Speichern, Erfassen, Aufnehmen oder Aufbewahren, das Verändern, das Übermitteln oder Zugriffgewähren, das Sperren und das Löschen sowie das Auswerten oder sonstige Nutzen der Daten. Ausnahmen bestehen im familiären und privaten Bereich sowie dann, wenn die Daten nicht elektronisch verarbeitet werden. Bei Business Intelligence sind diese Ausnahmen aber bedeutungslos.

Grundsätzlich ist erstmal alles verboten

Der Umgang mit personenbezogenen Daten ist aus Business-Intelligence- und Big-Data-Sicht streng geregelt: Alles ist verboten, außer es ist erlaubt. In Juristendeutsch gesprochen: Es gilt ein »Verbot mit Erlaubnisvorbehalt«.

Bei einem Business-Intelligence-Projekt stellt sich also nicht die Frage: »Verbietet uns das Datenschutzrecht das?«, sondern man muss sich überlegen: »Ist das überhaupt erlaubt?« Unternehmen, die personenbezogene Daten sammeln und auswerten wollen, stehen damit stets unter einem juristischen Rechtfertigungsdruck.

Das Mantra des Datenschutzes lautet: »Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur zulässig, wenn eine Erlaubnisnorm dies gestattet oder die Einwilligung der Betroffenen vorliegt« (§ 4 Abs. 1 BDSG). Da es an der Einwilligung der Betroffenen zur Datenauswertung quasi immer fehlt und die gesetzlichen Anforderungen an wirksame Einwilligungen hoch sind, helfen Einwilligungen bei Business-Intelligence-Analysen meist nicht weiter. Damit bleibt nur die Suche nach einer gesetzlichen Erlaubnisnorm. Glücklicherweise gibt es davon eine ganze Reihe. Unglücklicherweise sind sie gut versteckt und äußert vage.

Um herauszufinden, ob die Verwendung personenbezogener Daten zulässig ist, hilft die Lektüre des Gesetzes wenig. Erst durch Kenntnis der Fachliteratur und Stellungnahmen von Datenschutzbehörden erschließt sich, was die Bestimmungen erlauben und was nicht. Leider ist dies immer wieder Grund und Anlass, Datenschutzgesetze nach Gutdünken und oft auch falsch zu interpretieren, sowohl im positiven wie im negativen Sinn. Datenschutzrechtliche Fragen sind nichts, was ein IT-Verantwortlicher oder Projektmanager nebenbei beantworten kann. Dafür bedarf es spezialisierter Experten.

Im Unterschied zu anderen Rechtsbereichen kennt das Datenschutzrecht nur wenige Urteile und kaum höchstrichterliche Rechtsprechung. Selbst fundamentale Fragen sind nach Jahrzehnten noch nicht von den obersten Gerichten entschieden. Das liegt daran, dass Betroffene wenig Motivation haben, ihre Rechte kostspielig vor Gerichten durchzusetzen. Zudem werden viele Beschwerden und Streitigkeiten mit den Aufsichtsbehörden außergerichtlich und für die Öffentlichkeit intransparent aus der Welt geschafft.

Weitere Anforderungen des Datenschutzrechts

Neben dem »Verbot mit Erlaubnisvorbehalt« enthält das Datenschutzrecht noch weitere Vorgaben. So muss dem Betroffenen klar sein, wer welche Daten zu welchem Zweck verarbeitet (Transparenz). Auch dürfen nicht mehr Daten erhoben werden, als für den konkreten Zweck benötigt werden, und nicht mehr benötigte Daten sind zu löschen (Datensparsamkeit). Personenbezogene Daten sind zudem grundsätzlich bei den Betroffenen selbst, also beim Mitarbeiter oder beim Kunden, zu erheben und nicht über Drittquellen (Direkterhebungsgrundsatz). Personenbezogene Daten dürfen nur für spezifische, im Voraus festgelegte Zwecke verwendet werden. Eine spätere Verwendung für einen anderen Zweck ist nur zulässig, wenn dieser mit dem ursprünglichen vereinbar ist (Zweckbindungsgrundsatz). Gerade diese Zweckbindung kann eine Hürde bei Business-Intelligence-Projekten darstellen, weil die Daten ursprünglich nicht zu Auswertungszwecken erhoben wurden. Dazu später mehr.

Sonderregelungen gelten zudem, wenn personenbezogene Daten in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftraums übertragen werden oder wenn IT-Dienstleister Daten im Auftrag eines Unternehmens speichern, auswerten oder verwenden. In letzterem Fall müssen besondere Vereinbarungen mit dem beauftragten Unternehmen geschlossen werden, sogenannte Auftragsdatenverarbeitungsverträge (§ 11 BDSG). Dies gilt zum Beispiel für Big-Data- oder Business-Intelligence-Anwendungen aus der Cloud (»as a service«). Bereits die bloße Nutzung von Speicherplatz oder Rechenleistung aus der Cloud machen nach deutschem Recht Spezialverträge erforderlich, auf die manche ausländischen Anbieter nicht eingestellt sind.

Daneben gibt es Spezialregelungen, etwa für Gesundheitsdaten, im Onlinebereich, bei Verbindungsdaten in der Telekommunikation oder bei Standortdaten. Auf einige für Business Intelligence und Big Data besonders relevante Bereiche gehe ich später noch ein.

Unternehmen in Deutschland, in denen regelmäßig zehn oder mehr Mitarbeiter mit personenbezogenen Daten umgehen, benötigen einen Datenschutzbeauftragten. Dieser ist bei Business-Intelligence-Auswertungen frühzeitig einzubinden. Das ist keine Höflichkeit, sondern gesetzlich vorgeschrieben (§ 4g Abs. 2 BDSG). Die Einbindung ist wichtig, damit Datenschutzbelange rechtzeitig berücksichtigt werden können. Sonst könnte die mühsam aufgesetzte Business Intelligence am Ende an Datenschutzproblemen scheitern oder aufwendig und kostspielig geändert werden müssen.

Datenschutz goes global - Deutschland, Europa und die Welt

Es gibt zurzeit kein einheitliches europäisches Datenschutzrecht. Auf europäischer Ebene existieren jedoch zahlreiche Richtlinien, die datenschutzrechtliche Vorgaben enthalten. Diese Richtlinien sind nur für die Mitgliedstaaten und nicht für Unternehmen und Bürger in der EU verbindlich. Sie geben den Ländern in der EU vor, wie deren Bestimmungen zum Schutz personenbezogener Daten auszusehen haben. Die Länder setzen die Vorgaben durch nationale Gesetze um. Wer also wissen will, was in Spanien oder Frankreich gilt, muss in die dortigen Datenschutzgesetze sehen, nicht in die EU-Richtlinien.

Durch die EU-Richtlinien wurde das Datenschutzrecht aber harmonisiert: Die Datenschutzgesetze innerhalb der EU sind einander sehr ähnlich. Ähnlich – aber eben nicht gleich. Bei der Umsetzung haben die einzelnen Länder nämlich gewisse Spielräume genutzt. Außerdem legen die Mitgliedstaaten und deren Datenschutzbehörden die Vorgaben unterschiedlich aus. In Deutschland kommt hinzu, dass es zwar nur ein Datenschutzgesetz gibt, jedes Bundesland aber seine eigene Aufsichtsbehörde hat. Insofern gibt es auch innerhalb Deutschlands Unterschiede bei der Auslegung der nationalen Vorschriften, was die Situation gerade für Konzerne mit mehreren Gesellschaften in unterschiedlichen Bundesländern erschwert. Immerhin haben die Behörden Gremien gebildet, um sich abzustimmen. Auf EU-Ebene ist das die Artikel-29-Arbeitsgruppe. In Deutschland setzen sich die Aufsichtsbehörden regelmäßig im sogenannten Düsseldorfer Kreis zusammen.

Um das vermeintlich in die Jahre gekommene Datenschutzrecht zu modernisieren und weiter zu vereinheitlichen, will man das Recht reformieren und eine EU-Datenschutz-Grundverordnung erlassen. Eine EU-Verordnung ist im Gegensatz zu einer Richtlinie unmittelbar in den Mitgliedstaaten gültig; sie bedarf keiner Umsetzung durch nationale Gesetze. Europa hätte dann einen einheitlichen Gesetzestext für den Datenschutz. Als dieser Beitrag verfasst wurde (September 2015), lagen ein Entwurf für eine Datenschutz-Grundverordnung der EU-Kommission vom 25. Januar 2012, ein Entwurf des EU-Parlaments vom 12. März 2014 und ein Beschluss des Rates der Europäischen Union vom 15. Juni 2015 vor (Links zu den Texten finden Sie unter [1]). Unmittelbar im Anschluss hat der Einigungsprozess zwischen Rat, Parlament und Kommission begonnen, der sogenannte Trilog. Dieser dauert noch an und könnte im besten Fall Ende 2015 ein erfolgreiches Ende finden. Da der Entwurf eine zweijährige Übergangsfrist vorsieht, würde das neue Recht jedenfalls frühestens ab Anfang 2018 gelten. Für die schnelllebige IT-Branche ist das eine Ewigkeit.

Die Datenschutz-Grundverordnung hat sich als schwieriges Projekt erwiesen. Kaum eine andere EU-Norm stand unter ähnlichem Beschuss von Lobbyisten wie das neue Datenschutzregelwerk. Und auch zwischen den EU-Mitgliedstaaten besteht Uneinigkeit. Hauptstreitpunkte unter den Politikern im Rat sind derzeit die Regeln für den Datenexport aus der EU in Drittländer und die Zuständigkeit der nationalen Aufsichtsbehörden in Fällen, die mehrere Mitgliedstaaten betreffen.

Kommt die Datenschutz-Grundverordnung, dürfte sich einiges ändern. Die Grundsäulen bleiben jedoch bestehen. Ich gehe an geeigneter Stelle auf das geplante Regelwerk ein.

Außerhalb Europas haben sich einzelne Länder an der EU-Richtlinie orientiert, andere haben gar kein Datenschutzecht oder nur für bestimmte Sektoren Vorschriften erlassen.

Personenbezogen oder nicht?

Die Vorgaben der Datenschutzgesetze gelten nur bei personenbezogenen Daten. Können Daten keiner Person zugeordnet werden, unterliegen sie nicht den Beschränkungen des Datenschutzrechts. Wichtig: Bereits die Personenbeziehbarkeit genügt, um die datenschutzrechtlichen Vorschriften zur Anwendung kommen zu lassen. Ein Datensatz, der keinen Namen enthält, ist ein personenbezogenes Datum, wenn man die Informationen einer einzelnen Person zuordnen kann. Ein Logfile mit Nutzerkennungen und Log-in-Zeiten ist zum Beispiel personenbezogen, wenn man die Nutzerkennungen einem Namen zuordnen kann.

Doch wann können Daten einer individuellen Person zugeordnet werden? Hierüber ist eine ebenso lebhafte wie verwirrende Diskussion entstanden. Im Wesentlichen geht es um zwei Fragen:

Zum einen ist unklar, was alles bei der Frage zu berücksichtigen ist, ob die Daten einer bestimmten Person zugeordnet werden können. Zum anderen ist umstritten, ob der Begriff der personenbezogenen Daten relativ ist, ob also Informationen für das eine Unternehmen personenbeziehbar sein können, weil es über bestimmte Zusatzinformationen verfügt, während sie für ein anderes Unternehmen nicht personenbezogen sind, weil ihm die nötigen Zusatzinformationen fehlen.

Nach geltendem Recht gelten Daten, die nicht oder nur mit unverhältnismäßig großem Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können, nicht als personenbezogen, sondern als anonym. Dabei sind alle Mittel zu berücksichtigen, die erwartungsgemäß entweder vom datensammelnden Unternehmen selbst oder von einem Dritten eingesetzt werden können. Ausreichend ist dabei, wenn der Personenbezug mit Zusatzwissen Dritter hergestellt werden kann, soweit das Zusatzwissen absehbar genutzt wird.

An der »Bestimmbarkeit« fehlt es andererseits nicht erst bei absoluter Unmöglichkeit, sondern bereits dann, wenn das Reidentifizierungsrisiko so gering ist, dass es praktisch irrelevant erscheint, dass ein Personenbezug hergestellt wird.

Ohne hier in Details einzusteigen, kann man sich merken: Ob Informationen personenbezogene Daten sind oder nicht, muss jedes Unternehmen aus seiner Sicht bestimmen (Relativität des Personenbezugs). Bei der Frage, ob ein Personenbezug herstellbar ist, dürfen aber nicht nur die eigenen Informationen berücksichtigt, sondern es muss auch das Wissen Dritter einbezogen werden. Entscheidend ist die Frage: Wie hoch ist die Wahrscheinlichkeit, dass die Informationen doch irgendwie oder irgendwann einer Einzelperson zugeordnet werden können?

Personenbezug von IP-Adressen

Der Streit zeigt sich schon bei IP-Adressen: Eine IP-Adresse ist eine Nummernfolge, die der Internetzugangsanbieter (Access Provider) einem Rechner, der an das Internet angeschlossen ist, dauerhaft oder zeitweise zuweist. Wählt sich etwa ein Nutzer ins Internet ein, vergibt ihm der Internetzugangsanbieter, zum Beispiel die Deutsche Telekom, vorübergehend eine bestimmte IP-Adresse. Wählt sich derselbe Nutzer am nächsten Tag wieder ein, kann er eine andere IP-Adresse bekommen. Solche IP-Adressen nennt man daher auch »dynamisch«. Surft nun ein Nutzer auf einer Website, so überträgt sein Browser die IP-Adresse an den Server des Websitebetreibers, der sie standardmäßig zusammen mit Datum und Adresse der aufgerufenen Seite in einer Protokolldatei speichert.

Sind diese Protokolldateien personenbezogene Daten? Es stehen keine Namen in der Datei und der Websitebetreiber weiß nicht, welchem Telekom-Nutzer die IP-Adresse zum fraglichen Zeitpunkt zugeteilt wurde. Die Telekom jedoch hat diese Information. Sie könnte die Protokolldateien problemlos ihrem Kunden Hans Müller aus der Dorfstraße zuordnen. Der Websiteanbieter kommt an diese Daten nicht so leicht. Eine Strafverfolgungsbehörde dagegen könnte die Auskunft bei Verdacht einer Straftat von der Telekom in Erfahrung bringen. Zusammen mit den Protokolldateien der Websitebetreiber könnte nachverfolgt werden, welche Internetseiten Hans Müller wann aufgerufen hat. Doch genügt diese theoretische Verkettungsmöglichkeit, um die dynamischen IP-Adressen für den Websitebetreiber als personenbezogene Daten einzustufen? Die Frage liegt derzeit nach einer Vorlage durch den deutschen Bundesgerichtshof beim Europäischen Gerichtshof [2].

Personenbezug bei Big-Data- und Business-Intelligence-Projekten

Business Intelligence nutzt Daten aus den unterschiedlichsten Bereichen.

Beispiele:

• Mitarbeiterdaten aus der HR-Software (HR = Human Resources)
• Finanz- und Buchungsdaten aus dem ERP-System (ERP = Enterprise Resource Planning)
• Kundendaten und Vertragsdaten aus dem CRM-Tool (CRM =
• Customer Relationship Management)
• Protokoll- und Nutzungsdaten der Website, des Onlineshops und der vom Unternehmen bereitgestellten Apps
• Protokoll- und Kommunikationsdaten aus der Internet-, E-Mail- und sonstigen Softwarenutzung durch Mitarbeiter
• Standortdaten von Dienstfahrzeugen
• Produktions- und Logistikdaten aus der Fertigung und dem Warenversand

Häufig sind diese Daten personenbezogen, selbst wenn dies auf den ersten Blick nicht so scheint: Die Buchungsdaten des ERP-Systems zum Beispiel betreffen vordergründig nur das Unternehmen und keine Einzelpersonen. Buchungen werden aber oft von Menschen ausgeführt oder freigegeben, und auch diese Daten stecken im ERP-System und weisen damit Personenbezug auf. Bei der Aufdeckung potenzieller Missbrauchsfälle geht es dann letztlich auch um das Fehlverhalten von Personen. Auch die Standortdaten der Autoflotte sind personenbezogen, da das Unternehmen dokumentiert haben dürfte, welcher Mitarbeiter welches Fahrzeug nutzt. Selbst Produktionsdaten von Maschinen können Aussagen über die Maschinenführer oder Schichtverantwortlichen beinhalten.

Bei der Auswertung der Daten im Rahmen der Business Intelligence und bei Big Data will das Unternehmen aber häufig keine Informationen über Einzelpersonen gewinnen, sondern nur allgemeine Zusammenhänge, Strukturen und Beziehungen erkennen oder Vorhersagen treffen. Dennoch sind Ausgangsbasis der Analysen zunächst personenbezogene Daten. Sollen diese aus den operativen Systemen exportiert, strukturiert und dann ausgewertet werden, so handelt es sich deshalb im ersten Schritt um Datenverarbeitungen, für die es einer datenschutzrechtlichen Erlaubnis bedarf. Ziel muss dabei sein, die Personenbeziehbarkeit möglichst frühzeitig und umfassend auszuschließen. So können beim Datenexport aus den operativen Systemen Merkmale ignoriert, gelöscht oder überschrieben werden, die – zusammen mit weiteren Informationen – einen Personenbezug erlauben könnten. Dies können etwa der Name, die Nutzerkennung, die Anschrift oder die E-Mail-Adresse sein.

Dem Unternehmen dürfte es aber häufig dennoch weiterhin recht einfach möglich sein, diesen eingeschränkten Datenbestand wieder einzelnen Mitarbeitern oder Kunden zuzuordnen: Anhand von Informationen in den operativen Systemen, deren Back-ups oder archivierten Daten, die das Unternehmen aus steuerlichen Gründen oder zum Zweck der Wirtschaftsprüfung vorhalten muss, ließe sich leicht wieder ein Personenbezug herstellen. Es gilt also, zusätzliche Maßnahmen zu treffen, um dieses Reidentifizierungsrisiko weiter zu reduzieren.

Anonymisieren - aber richtig

Um Informationen zu anonymisieren, können z. B. die aus den operativen Systemen kopierten Daten verunschärft werden. Statt des Geburtsdatums eines Kunden kann nur die Altersklasse (30–35 Jahre), statt des genauen Standorts eines Fahrzeugs nur die grobe Position übernommen werden. Denkbar ist auch, die Daten nur in aggregierter Form zu übernehmen, z. B.: »12 Mitarbeiter haben eine Berufszugehörigkeit von fünf Jahren.«

Neben diesen technischen Mitteln können auch organisatorische Maßnahmen helfen, die Personenbeziehbarkeit des auszuwertenden Datenbestandes zu erschweren. So können die operative Nutzung der Daten in den Live-Systemen und die Auswertung im Rahmen der Business Intelligence funktional getrennt werden. Hierzu sollte die Auswertung in einem technisch getrennten und sicheren System erfolgen, zum Beispiel mit eigener Datenbank und eigener Hardware. Daneben ist auch organisatorisch eine Abtrennung vorzunehmen, etwa indem Echtdatenerfassung und Auswertung durch unterschiedliche Teams erfolgen. Zur organisatorischen Trennung können Auswertungen auch von einem externen Dienstleister oder einer eigens gegründeten IT-Servicegesellschaft durchgeführt werden. Zwischen dem Unternehmen und der auswertenden Gesellschaft sollte dann ein Vertrag mit strenger Zweckbindung, Wiederverknüpfungsverbot, Vertragsstrafen und ggf. Publizitätspflichten bei Verstößen geschlossen werden. Die Einhaltung der Anforderungen kann ergänzend durch einen unabhängigen Dritten, zum Beispiel einen Wirtschaftsprüfer, regelmäßig auditiert werden.

Diese Vorkehrungen können helfen, die Personenbeziehbarkeit der ins Data Warehouse einfließenden Daten auszuschließen oder zu erschweren. Ist nur mit unverhältnismäßig großem Aufwand an Zeit, Kosten und Arbeitskraft und unter Verstoß gegen vertragliche Vereinbarungen eine Reidentifkation von Einzelpersonen möglich, sind die Daten im Data Warehouse anonym. Auf die anschließenden Auswertungen ist dann das Datenschutzrecht nicht anwendbar.

Zu der Frage, welche Maßnahmen konkret nötig sind, um die Personenbeziehbarkeit zu verneinen, gibt es kaum verlässliche Antworten. Dennoch lohnt sich der Aufwand. Denn selbst wenn personenbezogene Daten im Warehouse stecken, helfen die oben genannten Maßnahmen, die Auswertungen auf eine datenschutzrechtliche Erlaubnisnorm zu stützen. Die Schutzmaßnahmen und eine funktionale Trennung werden nämlich im Rahmen der datenschutzrechtlichen Vorschriften zugunsten des Unternehmens berücksichtigt.

Sollen die aus den Auswertungen gezogenen Schlüsse auf Einzelpersonen angewendet werden, ist das Datenschutzrecht wieder anwendbar. Werden etwa aus anonymisierten Verkaufsdaten Kundensegmente und -typen gebildet und anschließend einzelne Kunden den Kundensegmenten zugeordnet und so Aussagen über potenzielle Vorlieben oder Verhaltensweisen ermittelt, sind die datenschutzrechtlichen Anforderungen wieder zu beachten.

Zudem gibt es auch bei der Business Intelligence Anwendungen, bei denen eine Anonymisierung ausscheidet, weil gerade eine Auswertung bezogen auf einzelne Kunden oder Mitarbeiter stattfinden soll. Beispiele sind Personalsysteme, die anhand interner und externer Mitarbeiterdaten erkennen, welche Beschäftigten möglicherweise kündigen, oder das Potenzial von Bewerbern anhand der Bewerbungsdaten und öffentlich zugänglicher Quellen zu ermitteln versuchen.

Daten im Konzern

Bei der Datenanalyse sollen nicht nur die Daten eines Unternehmens, sondern auch diejenigen eventuell bestehender Tochtergesellschaften oder anderer verbundener Unternehmen in die Auswertung einfließen. Datenschutzrechtlich wird jedes Konzernunternehmen als eigenständige Einheit betrachtet. Sollen zum Beispiel Daten von der Vertriebs-tochtergesellschaft an die Konzernmutter übermittelt werden oder soll ihr Zugriff auf solche Daten gewährt werden, so liegt bereits eine Datenübermittlung vor. Das Gleiche gilt, wenn Mitarbeiterdaten aller Verbundunternehmen in einem Datenpool gesammelt werden. Für die Übermittlungen innerhalb des Konzerns bedarf es einer Erlaubnisnorm. Diese ist nicht leicht zu finden, denn das Datenschutzrecht kennt kein Konzernprivileg: Die Datenübermittlung innerhalb des Konzerns wird grundsätzlich genauso behandelt wie die Datenweitergabe an externe Dritte.

Gerade beim Transfer von Personaldaten im Konzern vertreten die deutschen Aufsichtsbehörden eine strenge Linie. Daher ist es vorzuziehen, die Daten noch vor der Übermittlung unmittelbar bei der Tochtergesellschaft zu anonymisieren, bevor sie im zentralen Data Warehouse landen.

Im internationalen Konzernverbund kommt eine weitere Herausforderung hinzu: Auf Kunden- und Mitarbeiterdaten ausländischer Konzernunternehmen findet das lokale Datenschutzrecht Anwendung. Wie oben beschrieben ist dieses in der EU zwar vereinheitlicht, aber nicht identisch. Es kann daher nötig sein, mehrere Datenschutzgesetze zu berücksichtigen, wenn Daten aus verschiedenen Ländern zusammengeführt werden.

Der Zweckbindungsgrundsatz

Bei Business-Intelligence- oder Big-Data-Projekten werden Daten verschiedenen Quellen entnommenen, in einem Data Warehouse zusammengeführt, neu strukturiert und ausgewertet. Die aus Vertragsverhältnissen oder als Metadaten angefallenen Informationen werden dabei aus ihrem Zusammenhang gerissen und mit geänderter Zielrichtung ausgewertet. Dem kann der datenschutzrechtliche Grundsatz der Zweckbindung entgegenstehen.

Der Zweckbindungsgrundsatz steht in der EU-Datenschutzrichtlinie und hat zwei Aspekte: Erstens dürfen personenbezogene Daten nur »für festgelegte eindeutige und rechtmäßige Zwecke erhoben« werden (Zweckfestlegung). Zweitens dürfen sie nicht in einer mit der ursprünglichen Zweckbestimmung unvereinbaren Weise weiterverarbeitet werden (kompatible Nutzung).

Die EU-Datenschutzbehörden haben im Rahmen der Artikel-29-Arbeitsgruppe eine gemeinsame Stellungnahme zu ihrem Verständnis des Zweckbindungsgrundsatzes verfasst [3].

Der Stellungnahme nach ist der Zweck eindeutig, wenn er unmissverständlich und deutlich festgelegt ist und nach außen hin zum Ausdruck gebracht wurde. Innere Absichten, Vorstellungen und Wünsche des Unternehmens sind keine »eindeutig« festgelegten Zwecke. Wurden die Zwecke nicht kommuniziert oder sind sie missverständlich oder undeutlich, so sollen alle tatsächlichen Begebenheiten, das allgemeine Verständnis sowie die generellen Erwartungen der Betroffenen zur Zweckbestimmung herangezogen werden. Zweckfestlegungen wie »Verbesserung des Nutzungserlebnisses«, »Marketing« oder »IT-Sicherheit« sind nach Ansicht der Aufsichtsbehörden zu vage.

Der Wert von Daten eines Unternehmens hängt also maßgeblich davon ab, welcher Verwendungszweck bei der Erhebung festgelegt und auch nach außen hin kommuniziert wurde. Sollen Daten aus der Abwicklung von Kaufverträgen später zur Vorhersage des Kundenverhaltens genutzt werden, sollte dies bereits bei der Erhebung deutlich gemacht werden. Sonst schränkt der Zweckbindungsgrundsatz spätere Analysemöglichkeiten ein. Auch an anderer Stelle, etwa bei online erfassten Daten, Daten aus der Logistik oder bei zur Betrugsbekämpfung relevanten Daten ist bereits bei der Entstehung an spätere Nutzungsmöglichkeiten zu denken und dies nach außen hin deutlich zu machen. Rechtlich betrachtet hängt an Daten ein Schild mit der Beschriftung »Nutzungszweck«. Was darauf steht, bestimmt die Verwertbarkeit und den Wert der Daten entscheidend mit.

Der Grundsatz der kompatiblen Nutzung besagt: Daten dürfen nach ihrer Erhebung nicht in einer mit der ursprünglichen Zweckbestimmung unvereinbaren Weise weiterverarbeitet werden. Damit kommt zum Ausdruck, dass eine Zweckänderung durchaus zulässig ist. Das Unternehmen ist nicht auf den ursprünglichen Zweck beschränkt. Die späteren Nutzungszwecke müssen aber mit der ursprünglichen Zweckfestlegung kompatibel sein. Als die Daten erhoben wurden, hat das Unternehmen unter Umständen nicht daran gedacht, diese später für Massendatenanalysen zu verwenden, und dies auch nicht nach außen kommuniziert. Der Frage, ob der neue Nutzungszweck (z. B. Vorhersage des Kündigungsverhaltens) mit dem ursprünglichen Erhebungszweck (z. B. Abwicklung des Kaufvertrags) kompatibel ist, kommt daher bei der datenschutzrechtlichen Zulässigkeit eine entscheidende Bedeutung zu.

Nach Auffassung von Aufsichtsbehörden wäre zum Beispiel folgendes Szenario ein Verstoß gegen das Gebot kompatibler Nutzung: Ein Supermarkt wertet die Einkäufe von Kunden dahin gehend aus, ob diese sich gesund ernähren. Die Kunden mit schlechter Ernährung werden angeschrieben und erhalten im Rahmen einer Partnerschaft mit der öffentlichen Hand Informationen zur Verbesserung ihrer Essgewohnheiten. Auch die Ermittlung einer potenziellen Schwangerschaft von Kundinnen einer Drogerie anhand ihres Einkaufsverhaltens und die Nutzung für passgenaue Werbung wären entsprechend unzulässig. Schließlich soll auch die Auswertung des Stromverbrauchs aus elektronischen Stromzählern (Smart Meters) zur Identifikation potenzieller Inhouse-Cannabis-Plantagen unzulässig sein.

Der Kompatibilitätstest ist im deutschen Recht nicht ausdrücklich geregelt, sondern in verschiedene Vorschriften hineinzulesen. Die von den EU-Behörden entwickelten Kriterien und Beispielsfälle bieten eine gute Grundlage, um Potenziale und Risiken abzuschätzen. Auch lassen sich daraus Vorkehrungen zur Sicherstellung der Datenschutzkonformität ableiten: Datenschutzbeauftragte können darauf achten, dass Transparenz hergestellt wird, dass den Betroffenen Widerspruchsmöglichkeiten eingeräumt werden oder dass eine funktionale Trennung vorgenommen wird.

Zum Entstehungszeitpunkt dieses Beitrags (September 2015) wird der Entwurf der EU-Datenschutzgrundverordnung gerade im Rahmen des Trilogs zwischen Rat, Kommission und Parlament diskutiert. Danach könnte es zu Änderungen beim Zweckänderungsgrundsatz kommen, die teilweise auf heftige Kritik stoßen, weil eine Aufweichung des Datenschutzes befürchtet wird [4]. Eine Zweckänderung soll nach den Vorstellungen des Rates dann zulässig sein, wenn eine Interessenabwägung zwischen den Betroffenen- und Unternehmensinteressen zugunsten des Unternehmens ausfällt. Ob eine solche Regelung in Kraft tritt, ist unklar. Und selbst wenn der Vorschlag Gesetz wird, dürfte entscheidend sein, wie diese Interessenabwägung in der behördlichen und gerichtlichen Praxis ausgelegt wird. Letztlich kann nämlich auch im Rahmen des aktuellen Kompatibilitätstests und des geltenden Rechts in Deutschland eine Nutzung für einen neuen Zweck zulässig sein, wenn eine Berücksichtigung verschiedener Kriterien und Belange positiv ausfällt. Das ist nichts anderes als eine Interessenabwägung. Die Aufregungen um die »Abschaffung des Zweckbindungsgrundsatzes« erscheinen daher ungerechtfertigt.

Der Kompatibilitätstest

Die EU-Datenschutzbehörden haben für die Überprüfung der Nutzungskompatibilität einen Katalog mit folgenden Kriterien entwickelt:

1. Zusammenhang zwischen dem ursprünglichen und dem späteren Verwendungszweck:

War der spätere Verwendungszweck zum Zeitpunkt der Erhebung mehr oder weniger schon impliziert, stellt die Verwendung für den späteren Zweck also einen absehbaren nächsten Schritt dar? Abzustellen ist nicht formal auf den Wortlaut der Zweckfestlegung z. B. in Datenschutzhinweisen (Privacy Policy), sondern auf die tatsächlichen Begebenheiten und das allgemeine Verständnis der Beteiligten zum Erhebungszeitpunkt.

2. Kontext, in dem die personenbezogenen Daten ursprünglich erhoben wurden, und die vernünftigen Erwartungen der Betroffenen:

Hier ist entscheidend, ob ein durchschnittlicher Betroffener zum Zeitpunkt der Erhebung mit der Verwendung für den späteren Zweck gerechnet hat. Ist der spätere Verwendungszweck üblich und allgemein akzeptiert, so spricht dies für eine Kompatibilität. Eine wichtige Rolle spielt dabei die Transparenz, nämlich ob und wie der Betroffene bei der Erhebung oder auch später über die Nutzungszwecke informiert wurde.

3. Die Art der Daten und die Auswirkungen der neuen Verwendung auf die Betroffenen:

Je sensibler die Daten sind, desto eher ist eine spätere Verwendung für einen anderen Zweck mit dem ursprünglichen Zweck inkompatibel. Dies gilt vor allem bei Gesundheitsdaten, biometrischen oder genetischen Daten, Kommunikationsdaten und Standortdaten.

Daneben sind die Auswirkungen der neuen Zweckverwendung für die Betroffenen zu berücksichtigen, und zwar positive wie negative. Negative Auswirkungen können etwa ein Ausschluss von Leistungen, Diskriminierung oder auch eine emotionale Beeinträchtigung durch den Verlust der Kontrolle über personenbezogene Daten sein.

Relevant ist vor allem die Art der späteren Datenverwendung. Erfolgt diese durch ein anderes Unternehmen, werden Daten veröffentlicht oder mit unvorhersehbaren Folgen weiterverarbeitet oder werden große Datenmengen miteinander kombiniert, so spricht dies tendenziell gegen eine kompatible Nutzung.

4. Vom Unternehmen getroffene Schutzmaßnahmen zur Verhinderung unangemessener Datenverwendungen und nachteiliger Auswirkungen auf die Betroffenen:

Schließlich sind bei der Kompatibilitätsprüfung Maßnahmen zu berücksichtigen, die die verantwortliche Stelle zum Schutz der Betroffenen ergriffen hat. Solche Maßnahmen sind gemäß der Artikel-29-Arbeitsgruppe typischerweise eine Anonymisierung oder Pseudonymisierung oder das Aggregieren von Daten. Auch eine erhöhte oder nachgeholte Transparenz der Datenverarbeitung kann berücksichtigt werden, ebenso das Einräumen eines Widerspruchsrechts für den Betroffenen oder das Einholen seiner Zustimmung zur Nutzung für den neuen Zweck. Als Schutzmaßnahme kommt auch eine funktionale Trennung in Betracht, wie sie oben beschrieben wurde.

Beim Kompatibilitätstest werden alle oben genannten Faktoren berücksichtigt und gewertet. Im Ergebnis können also geeignete Schutzmaßnahmen durchaus auch umfangreichere Zweckänderungen legitimieren.

Am falschen Ende sparen - Probleme mit der Datensparsamkeit

Neben dem Zweckbindungsgrundsatz kann der Einsatz von Big-Data- und Business-Intelligence-Analysen auch zu Konflikten mit dem Grundsatz der Datensparsamkeit führen. Personenbezogene Daten dürfen nur gespeichert werden, solange hierfür eine Rechtsgrundlage besteht. Daten aus Vertragsverhältnissen dürfen zum Beispiel zur Durchführung und Beendigung des Vertragsverhältnisses gespeichert werden. Ist der Vertrag abgewickelt, etwa nachdem die verkaufte Ware an den Kunden ausgeliefert wurde, sind die Daten grundsätzlich zu löschen. Eine Speicherung kann sich dann allenfalls aus einer anderen Rechtsgrundlage ergeben, zum Beispiel weil die Daten aus steuerlichen Gründen archiviert werden müssen. Die so archivierten Daten dürfen dann aber nach dem Zweckbindungsgrundsatz nur für steuerliche Prüfungen genutzt werden.

Für die Auswertung historischer Daten bei Big Data oder Business Intelligence müssen Daten aber meist längerfristig gespeichert werden. Zudem werden die Daten oft aus den operativen Systemen in ein Data Warehouse übertragen. Die in den operativen Systemen vorgesehenen Löschmechanismen greifen dann nicht mehr.

Um Verstöße gegen das Datenschutzrecht zu vermeiden, sollten die Daten im Data Warehouse anonymisiert sein. Ist dies nicht möglich, muss eine Rechtsgrundlage für eine verlängerte Speicherung gefunden werden. Da Einwilligungen in der Regel ausscheiden, kommen die oben bei der Zweckbindung geschilderten Schutzmaßnahmen in Betracht. Zudem kann versucht werden, den Zweck der Auswertung schon bei der Datenerhebung transparent zu machen, sodass dieser legitimierte Auswertungszweck eine längerfristige Speicherung ermöglicht.

Die Betroffenenrechte

Werden die genutzten Daten in einem Data Warehouse vorgehalten, ist neben dem Löschungsgebot auch besonderes Augenmerk auf das Recht der Betroffenen auf Auskunft zu legen. Betroffene haben das Recht, vom Unternehmen Auskunft zu allen über sie gespeicherten Daten zu erhalten. Das schließt ein Data Warehouse ein, selbst wenn die Daten dort nicht mit Klarnamen, sondern unter einem auflösbaren Pseudonym gespeichert sind. Das Data Warehouse muss technisch in der Lage sein, solche Auskunftsansprüche durch Bereitstellung von Datenextrakten zu erfüllen.

In bestimmten Fällen kann den Betroffenen zudem das Recht zustehen, der Auswertung ihrer Daten zu widersprechen. Die genutzte Software muss entsprechend die Möglichkeit bieten, die betroffenen Datensätze bei der Analyse auszublenden oder im Data Warehouse zu löschen.

Automatisierte Einzelfallentscheidung, Scoring und Profiling

Für bestimmte Datenauswertungen hat der Gesetzgeber neben den allgemeinen Vorschriften Sonderreglungen erlassen. So verbietet das Gesetz etwa »automatisierte Einzelfallentscheidungen« (§ 6a BDSG). Entscheidungen, die für den Betroffenen rechtliche Folgen nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nach diesem Verbot nicht ausschließlich auf die Entscheidung einer Maschine gestützt werden, wenn diese der Bewertung einzelner Persönlichkeitsmerkmale dient. Die Bewertung einzelner Persönlichkeitsmerkmale liegt zum Beispiel vor, wenn die berufliche Leistungsfähigkeit, die Kreditwürdigkeit, die Zuverlässigkeit oder das Verhalten von Menschen durch Computer errechnet oder vorhergesagt werden.

Entscheidet ein Computer anhand von Bewerbungsunterlagen, wer eingeladen bzw. eingestellt wird, so wäre dies eine verbotene automatisierte Einzelfallentscheidung. Das Gleiche dürfte gelten, wenn man die Effektivität von Mitarbeitern anhand ihrer elektronischen Post und anderer Metadaten automatisiert bewertet und dies unreflektiert in Beförderungsentscheidungen übernimmt. Aber auch das Verweigern von Vorzugskonditionen für Kunden auf der Basis maschinengestützter Entscheidungen soll nach ein Verboten sind indes nur Fälle, in denen allein der Computer entscheidet und kein Mensch zwischengeschaltet ist. Empfiehlt die Maschine nur oder schafft sie lediglich eine Entscheidungsgrundlage, so bereitet das Verbot automatisierter Einzelfallentscheidungen keine Probleme. Wenn man bei automatisierten ablehnenden Entscheidungen die Letztentscheidung einem Menschen überlässt, gerät man in keinen Konflikt mit dem Verbot der automatisierten Einzelfallentscheidung.

Zudem sieht das Gesetz bestimmte Ausnahmen vor: Das Verbot gilt nicht bei positiver Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertrags, also etwa wenn ein Kredit oder ein Kauf auf Rechnung bewilligt wird. Nicht verboten sind automatisierte Entscheidungen auch dann, wenn das Unternehmen Schutzmaßnahmen zugunsten der Betroffenen trifft, die Betroffenen über die Computerentscheidung informiert und ihnen auf Verlangen die wesentlichen Gründe der automatisierten Entscheidung mitteilt und erläutert. Der Mechanismus muss also transparent gemacht werden, zum Beispiel in den AGB oder Datenschutzhinweisen. Außerdem muss der Kunde eine Einspruchsmöglichkeit erhalten.

Neben dem Verbot automatisierter Einzelfallentscheidungen enthält das Gesetz auch Sonderanforderungen für das sogenannte Scoring (§ 28b BDSG). Beim Scoring wird ein Wahrscheinlichkeitswert für ein bestimmtes zukünftiges Verhalten eines Menschen ermittelt, z. B. ob dieser seine Zahlungen fristgerecht begleichen wird. Zweck der Ermittlung dieses Wertes muss sein, über die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses zu entscheiden. Liegt ein solches Scoring vor, so verlangt das Gesetz, dass ein wissenschaftlich anerkanntes mathematisch-statistisches Verfahren zum Einsatz kommt, das nachweisbar für die Berechnung der Wahrscheinlichkeit des Verhaltens erheblich ist. Zudem dürfen für ein solches Scoring nicht ausschließlich die Anschriften der Betroffenen verwendet werden. Werden die Anschriften neben anderen Daten genutzt, ist dies zulässig, es muss dann aber explizit über die Verwendung der Anschriftendaten informiert werden. Beim Scoring hatte der Gesetzgeber vor allem das Kredit-Scoring im Auge, bei dem die Zahlungswahrscheinlichkeit von Schuldnern berechnet wird. Die Bestimmung kann aber auch bei Big-Data- bzw. Business-Intelligence-Projekten relevant werden, wenn der Computer das Verhalten von Menschen prognostiziert und dies für Vertragsentscheidungen genutzt wird. Wird jedoch die Affinität von Kunden für einzelne Produkte ermittelt, um diesen passgenaue Werbung zuzusenden (Werbe-Scoring), so greift die Vorschrift nicht.

In den Entwürfen der EU-Datenschutzgrundverordnung finden sich die Bestimmungen zum Verbot automatisierter Einzelfallentscheidungen unter dem Stichwort »Profiling« in veränderter Form wieder. Wie die Regelung aussieht, ist zum derzeitigen Stand offen, eine gute Übersicht findet sich in [5]. Der Gesetzentwurf der EU-Kommission sieht eine dem jetzigen Verbot automatisierter Einzelfallentscheidungen ähnliche Regelung vor, wobei die Einwilligung des Betroffenen vom Verbot befreien können soll. Der Vorschlag des EU-Parlaments sieht dagegen eine Ausweitung des Verbots vor. Auch Auswertungen, die zu bestimmten Diskriminierungen führen können (z. B. aufgrund der sexuellen Neigung) sollen verboten werden. Die EU-Aufsichtsbehörden fordern die Einführung ergänzender Begleitpflichten [6]. So sollen Unternehmen die Verfahren für Betroffene offenlegen und ihnen Zugriff auf die über sie erstellen Profile gewähren.

Standort-, Kommunikations-, Gesundheits- und Internetdaten

Neben Spezialregelungen zu einzelnen Anwendungsfeldern wie den automatisierten Einzelfallentscheidungen hat der Gesetzgeber auch für bestimmte Arten von Daten Sonderregelungen aufgestellt. Dies betrifft etwa Standortdaten mobiler Endgeräte, Gesundheitsdaten und Kommunikationsdaten aus E-Mails, Telefonaten oder Chats. Auch für Daten, die über Apps oder von Besuchern auf Websites erfasst werden, gelten Spezialregelungen.

Online gesammelte Daten dürfen grundsätzlich nur verwendet werden, soweit dies zur Erbringung des jeweiligen Onlinedienstes erforderlich ist. Der deutsche Gesetzgeber hat hier im Telemediengesetz Regelungen aufgestellt, die teilweise strenger als das Bundesdatenschutzgesetz und die europäischen Vorgaben sind.

Die Information, wann sich ein Nutzer in seinen Online-Account eingeloggt hat, muss zur technischen Abwicklung des Log-ins möglicherweise kurzfristig gespeichert werden. Für eine längerfristige Speicherung und Verwendung über den Nutzungsvorgang hinaus fehlt es allerdings bereits an einer rechtlichen Grundlage. Das Gleiche gilt für das Speichern der von einem Nutzer aufgerufenen Seiten eines Onlineangebots oder der eingegebenen Suchbegriffe. Die Spezialregeln schränken die Erfassung und Auswertung von Onlinedaten für Business-Intelligence-Zwecke stark ein, sofern keine Einwilligung vorliegt oder die Daten nicht anonymisiert wurden.

Glücklicherweise hat der deutsche Gesetzgeber aber eine Möglichkeit offengelassen: Das Telemediengesetz erlaubt nämlich die Bildung von Nutzerprofilen zu Werbezwecken anhand von Pseudonymen, wenn der Nutzer hierüber informiert wurde und die Möglichkeit hat zu widersprechen. Der Websiteanbieter darf also erfassen und auswerten, wann sich Nutzer angemeldet und welche Aktionen sie auf der Seite ausgeführt haben. Er darf diese Information allerdings nicht zusammen mit dem Nutzernamen, der E-Mail-Adresse oder der Nutzerkennung speichern. Vielmehr sind die Daten unter Pseudonymen, etwa einer für jeden Nutzer zufällig generierten Kennzahl, zu speichern und dürfen mit den Klarnamen der Nutzer nicht zusammengeführt werden. Außerdem sind die Nutzer über die Datenerfassung und Auswertung in den Datenschutzhinweisen der Website bzw. App klar und verständlich zu informieren. Über einen Link ist eine Widerspruchsmöglichkeit einzuräumen; nach Anklicken des Links darf keine Auswertung des Nutzerverhaltens (Tracking) mehr erfolgen. Die entsprechenden Anforderungen sind zum Beispiel bei Analysetools wie Google Analytics oder Kissmetrics zu beachten. Daten, die durch diese Vorkehrungen gesammelt werden, sind rechtlich nicht oder kaum nutzbar.

Besonderheiten sind auch bei der Erfassung und Auswertung von Kommunikationsdaten, etwa aus Telefonaten, Chats oder E-Mails, zu beachten. Hier enthält das Telekommunikationsgesetz Spezialvorschriften. Zudem kann das Fernmeldegeheimnis betroffen sein, sodass den IT-Verantwortlichen bei unbefugter Auswertung von E-Mails sogar eine Strafbarkeit droht. Dabei wird die Ansicht vertreten, dass ein Arbeitgeber, der seinen Mitarbeitern die eingeschränkte private Nutzung von E-Mail, Internet oder Telefon erlaubt, dies nicht verboten hat oder faktisch duldet, als Telekommunikationsanbieter anzusehen ist. Folge ist, dass der Arbeitgeber im Verhältnis zu seinen Mitarbeitern an das Fernmeldegeheimnis gebunden ist. Ohne Einwilligung der Mitarbeiter könnte sich der Arbeitgeber dann bei Einsichtnahme oder Auswertung von Kommunikationsdaten strafbar machen. Als Daumenregel gilt daher bei Kommunikationsdaten einschließlich Standortdaten von Handys: Eine Auswertung ist in der Regel nur anonymisiert oder mit Einwilligung der Betroffenen zulässig.

Ähnliche Vorsicht ist bei bestimmten sensiblen, »besonderen« Arten von Daten geboten. Dazu gehören Informationen über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben. Auch hier funktioniert ohne Einwilligung in der Regel gar nichts. Die Definition von »sensible Daten« ist dabei recht weit. Alles, was Rückschlüsse zum Beispiel auf die Gesundheit erlaubt, kann unter diese Kategorie fallen. So werden etwa die Krankheitsfehltage der Mitarbeiter von Aufsichtsbehörden zu den sensiblen Daten gezählt.

So klappt es mit dem Datenschutz: zusammenfassende Empfehlungen

Nehmen Sie sich die folgenden Empfehlungen zu Herzen, dann klappt es auch mit dem Datenschutz:

Halten Sie Datenschutzanforderungen bei Big Data oder Business Intelligence nicht voreilig für irrelevant, weil vermeintlich nur anonyme Daten genutzt werden. Der Anwendungsbereich des Datenschutzrechts ist weit. Auch Informationen, die nur mit gewissem Aufwand und Zusatzwissen Dritter auf Einzelpersonen zurückgeführt werden können, unterliegen den Datenschutzbestimmungen.

Binden Sie bei Big-Data- oder Business-Intelligence-Projekten den Datenschutzbeauftragten oder die Rechtsabteilung so früh wie möglich und kontinuierlich ein. Für die Verwertbarkeit Ihrer Daten sollten Sie bereits bei der Erhebung die Weichen richtig stellen.

Prüfen Sie sorgfältig die datenschutzrechtlichen Risiken und treffen Sie geeignete Vorkehrungen. Nur weil Auswertungen möglich sind, Dienstleister diese anpreisen und andere es machen, sind sie noch lange nicht zulässig. Im Datenschutzrecht gelten ein strenges Verbot mit Erlaubnisvorbehalt, ein Zweckbindungsgrundsatz und ein Löschgebot. Zudem stehen Betroffenen Auskunftsansprüche zu. Durch Analyse der Datenschutzanforderungen lassen sich Schutzmaßnahmen treffen, um das rechtliche Risiko zu minimieren. Dazu gehört etwa, Auswertungen transparent zu machen, Daten zu pseudonymisieren, Betroffenen Widerspruchsrechte einzuräumen, Verwendungszwecke einzuschränken oder bestimmte Datenarten außen vor zu lassen.

Lassen Sie sich beim Datenschutz nicht von allgemeinen Aussagen in die Irre führen. Jeder Sachverhalt hat seine Besonderheiten. Zudem gibt es eine Vielzahl von Sonderregelungen, etwa bei maschinengestützten Entscheidungen, beim Anlegen von Nutzerprofilen sowie bei der Verwendung von Online- oder Gesundheitsdaten oder Daten aus Kommunikationsvorgängen.

Nehmen sie die geplante Reform des Datenschutzrechts in Europa nicht zum Anlass, den Datenschutz auf die lange Bank zu schieben. Die neuen Regeln dürften allenfalls Anfang 2018 in Kraft treten. Derzeit ist der Gesetzgebungsprozess in vollem Gange. Auf welche Inhalte sich die Kommission, das Parlament und der Rat einigen werden, ist derzeit noch unklar. Behalten Sie deshalb die Reform im Auge.

Internetquellen

[1] https://www.thomashelbing.com/de/links-quellen-datenschutzrecht (letzter Zugriff am 12. April 2015)

[2] http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=pm&Datum=2014&Sort=3&nr=69184&pos=0&anz=152, Pressemitteilung des Bundesgerichtshof Nr. 152/2014 (letzter Zugriff am 12. April 2015)

[3] http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp203en.pdf (nur in Englisch verfügbar) (letzter Zugriff am 12. April 2015)

[4] https://www.datenschutz.hessen.de/k89.htm#entry4317, Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 18. und 19. März 2015 (letzter Zugriff am 12. April 2015)

[5] http://www.out-law.com/en/articles/2015/february/eu-data-protection-reforms-the-implications-for-profiling/ (auf Englisch) (letzter Zugriff am 12. April 2015)

[6] http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2013/20130513_advice-paper-on-profiling_en.pdf, Artikel-29-Arbeitsgruppe: Advice paper on essential elements of a definition and a provision on profiling within the EU General Data Protection Regulation, 13. Mai 2013 (letzter Zugriff am 12. April 2015)

[7] BITKOM : Big Data im Praxiseinsatz – Szenarien, Beispiele, Effekte, 2012, S. 16. Online verfügbar unter: https://www.bitkom.org/Publikationen/2012/Leitfaden/Leitfaden-Big-Data-im-Praxiseinsatz_Szenarien_Beispiele_Effekte/BITKOM_LF_

Einleitung

Binding Corporate Rules (BCR) sind ein datenschutzrechtliches Instrument, bei dem sich eine Unternehmensgruppe nach bestimmten Vorgaben verbindliche Datenschutzregeln gibt und ein Datenschutzprogramm auferlegt, das die zuständige Datenschutz-Aufsichtsbehörde genehmigt.

Als rechtliche Folge können innerhalb der Unternehmensgruppe personenbezogene Daten leichter von EU-Gesellschaften in Länder außerhalb der EU - sogenannte Drittländer - übermittelt werden. In praktischer Hinsicht sind Binding Corporate Rules dagegen vor allem ein Instrument, um innerhalb von Unternehmensverbünden einheitliche Datenschutzstandards zu schaffen und ein globales Datenschutzprogramm umzusetzen und dies nach außen hin zu zeigen.

1. Was sind Binding Corporate Rules (BCR)?

Binding Corporate Rules bezeichnet ein Datenschutzprogramm, das sich eine Gruppe von Unternehmen auferlegt. Im Kern bestehen Binding Corporate Rules aus einer internen Unternehmens-Richtlinie, die den Umgang mit personenbezogenen Daten in Anlehnung an die Europäische Datenschutzrichtlinie regelt. Die Unternehmensgruppe legt sich die Unternehmens-Richtlinie rechtsverbindlich auf, d.h. alle Mitarbeiter müssen an diese gebunden sein (interne Bindung).

Daneben sind den Menschen, deren Daten verarbeitet werden (z.B. Kunden oder Mitarbeitern), bestimmte unmittelbare Rechte einzuräumen, etwa Auskunftsrechte (externe Bindung). Ergänzend ist ein Verfahren für den Umgang mit Beschwerden von Betroffenen festzuschreiben.

Binding Corporate Rules müssen außerdem ein internes Programm zur Datenschutz-Schulung von Mitarbeitern vorsehen und ein Netzwerk von Verantwortlichen für den Datenschutz im Unternehmen implementieren. Daneben sind regelmäßig Kontrollen und Audits der selbstauferlegten Regeln durchzuführen.

2. Sind Binding Corporate Rules (BCR) für mein Unternehmen sinnvoll?

Binding Corporate Rules machen zum einen Sinn, wenn eine Unternehmensgruppe ein weltweites Datenschutz-Programm aufsetzen will und hierfür einen „großen Masterplan“ benötigt oder verfolgen will.

Zum anderen lohnen sich Binding Corporate Rules, wenn eine Unternehmensgruppe umfangreich personenbezogene Daten ihrer EU-Gesellschaften an ihre außereuropäischen Unternehmen übermittelt, eine Vielzahl von Gesellschaften und Datentransfers im Spiel sind und sich dabei regelmäßig Änderungen ergeben.

3. Was sind die Vor- und Nachteile von Binding Corporate Rules (BCR) und welche Alternativen gibt es?

Binding Corporate Rules sind mehr als auf Papier geschriebene Datenschutzgrundsätze. Binding Corporate Rules beinhalten ein weltweites Datenschutzprogramm mit umfangreich vorgegebenen Inhalten, welche von Aufsichtsbehörden genehmigt werden müssen und deren Umsetzung eine erhebliche und dauerhafte Anstrengung erfordert.

Die Vorteile:

• Eine Mission: Mit dem Entschluss der Unternehmensgruppe Binding Corporate Rules einzuführen wird ein langfristig angelegter Prozess zum Aufbau eines Datenschutzprogramms angestoßen. Die Unternehmensleitung hat ein „Großes Ziel“ vorgegeben, das die Organisation kontinuierlich verfolgt. Das Projekt Binding Corporate Rules rückt den Datenschutz ins Bewusstsein aller Mitarbeiter.
• Bewährt: Da Binding Corporate Rules bestimmten Vorgaben genügen und von Aufsichtsbehörden genehmigt werden müssen, ist sichergestellt, dass ein Datenschutzprogramm nach bewährtem Muster und ohne wesentliche Lücken entsteht.
• Außenwirkung und Akzeptanz: Binding Corporate Rules signalisieren nach außen hin umfassende Datenschutz-Bemühungen des Unternehmens. Binding Corporate Rules können so auch in der Außendarstellung gegenüber Kunden, Investoren und Lieferanten genutzt werden. Zudem werden Binding Corporate Rules von Aufsichtsbehörden sehr positiv gewertet.

Die Nachteile:

• Starres Korsett: Die Vorgaben an Binding Corporate Rules sind vergleichsweise umfassend und strikt. Dies kann sich als unflexibel erweisen für Unternehmen, die ihr Datenschutzprogramm klein und überschaubar beginnen wollen.
• Langes Genehmigungsverfahren: Die Unternehmensgruppe tritt zwar nur mit einer Datenschutzbehörde in der EU in Kontakt, diese muss aber eine Abstimmung mit allen anderen betroffenen Datenschutzbehörden durchführen. Das ist zeitaufwändig (mindestens 12 Monate) und konfrontiert das Unternehmen mit Vorstellungen unterschiedlichster Behörden. Die EU Datenschutzbehörden sammeln aber zunehmend Erfahrung bei dem Abstimmungsverfahren.

Alternativen und sich daraus ergebende Vor- und Nacheile:

• EU Standardverträge: Statt Binding Corporate Rules können die Unternehmen in der EU auch mit den datenempfangenden Unternehmen außerhalb der EU Verträge gemäß den Standardverträgen der EU Kommission für Datenexporte schließen. Je nach Anzahl der beteiligten Gesellschaften kann dadurch eine Vielzahl von Verträgen nötig werden. Durch die Bündelung in Rahmenverträgen kann der Aufwand aber deutlich reduziert werden und dürfte fast immer geringer sein als bei Binding Corporate Rules. Letztlich sind Binding Corporate Rules der umfassendere und nachhaltigere Ansatz. Für schnelle und schlanke Lösungen taugen dagegen auch die Standardverträge.
• Hausgemachtes Datenschutzprogramm. Wer die Vorzüge der Einfachheit von Standardverträgen und des umfassenden Compliance Ansatzes der Binding Corporate Rules kombinieren will, kann einen Datenschutz-Rahmenvertrag mit den EU Standardvertragsklauseln abschließen und dazu eine konzernweite Datenschutzrichtlinie erlassen, bei der die Binding Corporate Rules Vorgaben als Blaupause dienen. So kann schnell und effizient ein Datenschutzprogramm ohne behördliche Genehmigung aufgebaut werden.
• Safe Harbor. Für Datentransfers aus der EU in die USA – und nur dorthin – kann sich das US Unternehmen gemäß dem Safe Harbor Programm selbst zertifizieren. Es müssen dann keine EU Standardverträge geschlossen werden. Die teils ungünstigen Klauseln zur Haftung und Aufsicht in den Standardverträgen werden vermieden. Safe Harbor funktioniert aber nur bei US Unternehmen bestimmter Branchen. Außerdem wird die Safe Harbor Lösung von deutschen Aufsichtsbehörden zunehmend kritisch gesehen und die EU Kommission verhandelt mit den USA derzeit deren Rahmen neu.

4. Welche Schritte sind zur Umsetzung von Binding Corporate Rules (BCR) nötig?

• Schritt 1 - Die Entscheidung: Die Unternehmensgruppe evaluiert Vor- und Nachteile von Binding Corporate Rules sowie Alternativen und entscheidet sich für deren Einführung. Diese Entscheidung muss vom gesamten Vorstand und Top-Management mitgetragen werden („Tone from the Top“)
• Schritt 2 - Kontakt mit der Datenschutzbehörde: Das Unternehmen identifiziert die für sie zuständigen verfahrensführende Aufsichtsbehörde (Lead Authority) und tritt mit dieser in Kontakt, um die Zuständigkeit zu klären (Dauer: ca. 2-4 Wochen).
• Schritt 3 - Entwurf der Binding Corporate Rules: Das Unternehmen entwirft ein Dokument, das die verbindlichen Regelungen zum Umgang mit personenbezogenen Daten festlegt,sowie eine Reihe begleitender Unterlagen (z.B. Trainingskonzept, Organisation von Datenschutzverantwortlichen, Auditierungen). Hierzu ist eine umfassende Analyse der Datenflüsse sowie bereits vorhandener Datenschutzmechanismen im Unternehmen und ein Abgleich mit den Vorgaben für Binding Corporate Rules nötig. (Dauer: Unternehmensabhängig, ca. 2 bis 9 Monate)
• Schritt 4 - Einreichung und Erstprüfung: Das Unternehmen reicht die Dokumente bei der verfahrensführenden Aufsichtsbehörde ein, diese prüft die Unterlagen und gibt erste Rückmeldungen, die das Unternehmen in die Entwürfe integriert. Es entsteht ein konsolidierter Entwurf.
• Schritt 5 - Kommentierung: Die Aufsichtsbehörde zirkuliert den konsolidierten Erstentwurf an die Datenschutzbehörden der anderen EU-Länder, von denen aus die Gruppe Daten in Drittländer exportiert. Diese Aufsichtsbehörden geben ihre Kommentare an die verfahrensführende Aufsichtsbehörde (Dauer ca. einen Monat). Diese konsolidiert die Rückmeldungen und gibt sie an das Unternehmen zurück. Soweit nötig werden von diesem noch in Absprache mit der verfahrensführenden Aufsichtsbehörde Anpassungen vorgenommen. Das Ergebnis ist der finalisierte Entwurf.
• Schritt 6 - Genehmigung. Die verfahrensführende Aufsichtsbehörde zirkuliert den finalisierten Entwurf an die anderen Datenschutzbehörden, die ihre Freigabe erteilen. An diesem Verfahren der gegenseitigen Anerkennung (Mutual Recognition) nehmen derzeit 21 EU Länder Teil.
• Schritt 7 – Umsetzung. Die einzelnen Unternehmen der Gruppe passen ihre Organisation, Datenverarbeitung und Prozesse gemäß den neuen Unternehmensrichtlinien an („BCR Readiness“) und erklären dann die Binding Corporate Rules für verbindlich. Dies erfolgt in der Regel durch Unterzeichnung eines entsprechenden Vertrages mit der Konzernmuttergesellschaft.

5. Was ist noch wichtig und welche Fehlvorstellungen gilt es zu vermeiden?

• Nur interne Datentransfers: Binding Corporate Rules erleichtern nur Datentransfers zwischen Unternehmen einer Unternehmensgruppe. Bei Datenübermittlungen an Externe, zum Beispiel einen externen IT-Provider, helfen sie nicht.
• Beschränkung möglich: Die Unternehmensgruppe kann die Anwendung von Binding Corporate Rules zunächst auf bestimmte Datenarten (z.B. nur Kundendaten, keine Mitarbeiterdaten) beschränken, Binding Corporate Rules können aber auch auf solche Daten beschränkt werden, die aus der EU in Drittstaaten exportiert werden, so dass rein „lokale“ Verarbeitungen in der EU oder in Drittstaaten nicht den selbstauferlegten Regeln unterliegen.
• Genehmigungen weiter nötig: In einigen Ländern sind für Datenexporte in Drittländer trotz Binding Corporate Rules noch zusätzliche Genehmigungen der lokalen Datenschutzbehörden nötig.
• Kein „freier Datenfluss“: Binding Corporate Rules gestatten keinen „freien Datenfluss“ innerhalb des Konzerns. Es muss weiterhin für jede Datenübermittlung eine gesetzliche Erlaubnisnorm vorliegen. Binding Corporate Rules bewirken rechtlich nur, dass die nicht EU Gesellschaften wie solche in der EU behandelt werden.
• Auftragsdatenverarbeitungsverträge weiterhin nötig: Binding Corporate Rules befreien nicht davon, Auftragsdatenverarbeitungsverträge innerhalb der Unternehmensgruppe zu schließen, wenn zum Beispiel eine Konzerngesellschaft für die anderen Konzernunternehmen IT-Services erbringt.
• Konzerninterne Verträge nötig: Konzerninterne Verträge lassen sich bei Binding Corporate Rules auch deshalb nicht vermeiden, weil Verträge mit der Muttergesellschaft geschlossen werden müssen, um Betroffenen unmittelbare Rechte einzuräumen (externe Bindung, Verträge zu Gunsten Dritter).
• Weniger Papier, mehr Aufwand: Im Vergleich zum Abschluss von EU Standardverträgen sorgen Binding Corporate Rules für „weniger Papier“ aber nicht für weniger Aufwand.
• Aufwand der Umsetzung wird unterschätzt: Mit der Genehmigung der Binding Corporate Rules beginnt die Arbeit erst: Die Umsetzung der Vorgaben, zum Beispiel in Bezug auf Schulungen und den Aufbau einer entsprechenden Datenschutz-Organisation verursachen einen oft unterschätzen Aufwand. Das Andocken an eine bestehende Compliance Organisation kann hierbei helfen.
• Verweigerer und Nachzügler: Im Unternehmensverbund gibt es oft Gesellschaften, bei denen es mit der Umsetzung hapert. Für diese bedarf es dann einer ggf. übergangsweisen alternativen Lösung, zum Beispiel über EU Standardvertragsklauseln.

6. Welche Auswirkungen hat die DSGVO?

Auf EU Ebene ist eine Reform des Datenschutzrechts durch Erlass einer EU-Datenschutz-Grundverordnung geplant. Europa hätte dann statt nationaler Gesetze einen einheitlichen Gesetzestext für den Datenschutz.

Aktuell (Anfang Juni 2015) liegt ein Entwurf für eine Datenschutz-Grundverordnung der EU-Kommission vom 25. Januar 2012 und ein Entwurf des EU-Parlaments vom 12. März 2014 vor. Zudem steht der Rat, in welchem die Vertreter der Regierungen der Mitgliedsstaaten sitzen, kurz vor der Einigung über seinen Vorschlag. Ab Mitte Juni soll der Einigungsprozess zwischen Rat, Parlament und Kommission beginnen, der sogenannte Trilog. Nach aktuellen Planungen könnte dieser bis Ende 2015 abgeschlossen sein. Da der Entwurf eine zweijährige Übergangsfrist vorsieht, würde das neue Recht frühestens ab Anfang 2018 gelten.

Nach den Fassungen der Kommission und des Parlamentes werden die Grundlagen für Binding Corporate Rules in der Verordnung gesetzlich verankert und das Instrument damit insgesamt gestärkt. Das Erfordernis zusätzlicher Genehmigungen für Datentransfers auf Basis von Binding Corporate Rules soll zum Beispiel entfallen, der Prozess der Abstimmung unter den Aufsichtsbehörden gestrafft werden. Zudem ist ein konkreter gesetzlicher Anforderungskatalog an Binding Corporate Rules vorgesehen.

Wer derzeit die Einführung von Binding Corporate Rules plant, sollt sich von den Reformbemühungen auf EU Ebene nicht abhalten lassen: Bis die Regeln greifen, vergeht aufgrund der Übergangsregelung zum einen noch einige Zeit und nach Inkrafttreten dürfen Aufsichtsbehörden ohnehin alle Hände voll zu tun haben. Zum anderen können Organisationen mit bereits eingeführten Binding Corporate Rules die neuen EU Regeln für den Datenschutz (z.B. etwaige Datenschutzfolgeabschätzungen), leichter umsetzen, da sie bereits über entsprechende Strukturen verfügen (Datenschutzbeauftragte, Richtlinien, Schulungen und Audits).

Bei einer jetzigen Konzeption von Binding Corporate Rules sollte aber der Gesetzgebungsprozess auf EU Ebene genau beobachtet werden. Eine Anpassung der internen Richtlinien zum Datenschutz und damit eine Änderung bestehender Binding Corporate Rules dürften unumgänglich werden sobald das neue Regelwerk greift. Wer sich noch etwas Zeit nimmt und den finalen Text der EU Datenschutz-Grundverordnung abwartet, könnte versuchen, die neuen EU Regeln bereits in seinen Binding Corporate Rules vorausgreifend zu integrieren.

7. Wie können Sie bei Binding Corporate Rules unterstützen?

Ich kann Sie auf allen Stufen der Umsetzung von Binding Corporate Rules beraten und unterstützen, zum Beispiel bei der Entscheidung Für und Wider Binding Corporate Rules, der Vorbereitung der einzureichenden Unterlagen, der Kommunikation mit der Behörde und bei der späteren Umsetzung der selbstauferlegten Richtlinien im Unternehmen. Daneben kann ich für Sie alternative Lösungsansätze, z.B. mittels Rahmenverträge konzipieren und umsetzen.

8. Wo erhalte ich weiterführende Informationen?

Zu den Binding Corporate Rules haben die Datenschutzbehörden der EU im Rahmen der Artikel 29 Arbeitsgruppe eine Vielzahl von Informationen veröffentlicht. Zum Vertiefen empfehle ich folgende Lektüre und zwar in dieser Reihenfolge:

Für das Erstellen der einzureihenden Unterlagen selbst sind wichtig:

• Tabelle der Binding Corporate Rules Anforderungen (WP 153), umfasst eine Liste der Elemente, die alle Binding Corporate Rules enthalten müssen. Es handelt sich um Zusammenfassungen der Dokumente WP 74 und WP 108.
• Rahmen Binding Corporate Rules (WP 154) mit einem Vorschlag, wie Binding Corporate Rules aussehen können. Der Vorschlag enthält alle notwendigen Elemente aus den Dokumenten WP 74 und WP 108.
• Fragen-Antworten-Liste (WP 155 rev04) mit den wichtigsten Fragen und Antworten zu Binding Corporate Rules, etwa zur Frage der Haftungsregelung.

Für das Verfahren der Freigabe durch Aufsichtsbehörden und die Einreichung der Dokumente relevant:

• Standard Formular zur Einreichung von Binding Corporate Rules (WP 133 / Wordfile Englisch)
• Mutual Recognition: Beschreibung des Verfahrens der gegenseitigen Anerkennung zwischen den Aufsichtsbehörden (WP 107)

Die grundlegenden Anforderungen sind in den folgenden Dokumenten enthalten. Die Vorgaben sind in den oben genannten (späteren veröffentlichten) Dokumenten bereits berücksichtigt:

• Ausgangsdokument „Binding Corporate Rules als Mittel für internationale Datentransfers“ (WP 74) ist quasi die Geburtsurkunde der Binding Corporate Rules
• Anforderungsliste für Binding Corporate Rules (WP 108)

Zur Abgrenzung „Processor Binding Corporate Rules“:

Die folgenden Dokumente enthalten Informationen zu „Processor Binding Corporate Rules“, die nicht Gegenstand dieses Beitrages sind. Processor Binding Corporate Rules sind für Unternehmensgruppen gedacht, die im Auftrag anderer Unternehmen fremde Daten als Auftragsdatenverarbeiter verarbeiten und hierbei innerhalb ihrer Gruppe Daten von der EU in Drittländer exportieren (z.B. IT Anbieter in der EU mit ausländischen Töchtern, Rechenzentren oder Headquarter in den USA): WP 195, WP 195a (Wordfile / Englisch).