22. Juni 2021
Die unzulässige Weitergabe von Gesundheitsdaten rechtfertigt ein Schmerzensgeld in Höhe von 10.000 Euro, das entschied das Landgericht Meiningen mit Urteil vom 23.12.2020 (Az. (122) 3 O 363/20.
Sachverhalt
Zwischen den Parteien bestand ein Unfallversicherungsvertrag. Nachdem der Kläger einen Verkerhrsunfall erlitt und dabei schwer verletzt wurde, führten die Parteien ein Verfahren vor dem Landgericht Meiningen, in dem es um die Ansprüche aus dem Unfallversicherungsvertrag ging. Gleichzeitig führte der Kläger auch ein Verfahren gegen die Haftpflichtversicherung des anderen Unfallbeteiligten vor dem Landgericht Erfurt, in welchem es um die Geltendmachung weiterer Schadensersatzansprüche ging. Die Beklagten aus beiden Verfahren wurden dabei durch dieselbe Anwaltskanzlei vertreten.
Im Rahmen des Verfahrens vor dem Landgericht Meiningen holte der Unfallversicherer ein Gutachten zum Gesundheitszustand des Klägers ein. Mit Einverständnis der beklagten Unfallversicherung, aber ohne Einwilligung des Klägers, zitierte die für beide Verfahren zuständige Kanzlei auch im Erfurter Verfahren wörtlich aus dem Gutachten, das den Gesundheitszustand des Klägers bewertete und im Auftrag der Unfallversicherung erstellt wurde.
Darin sah der Kläger einen Vertoß gegen die vertraglichen Pflichten der Unfallversicherung, insbesondere seine Gesundheitsdaten seien besonders schützenswert, auch datenschutzrechtlich. Außerdem könne ein negativer Einfluss auf den Ausgang des Erfurter Prozesses durch das Bekanntwerden des Gutachtens nicht ausgeschlossen werden. Die Beklagte hingegen sah keinen Verstoß gegen datenschutzrechtliche Bestimmungen. Sie war der Auffassung, sie müsse sich eine etwaige Pflichverletzung Dritter, d.h. der Kanzlei, nicht zurechnen lassen. Diese sei eine eigenständige datenverarbeitende Stelle im Sinne der DSGVO.
Entscheidung
Das Gericht gab der Klage teilweise statt und sprach dem Kläger ein Schmerzensgeld in Höhe von 10.000 Euro aufgrund einer Nebenpflichtverletzung aus dem Versicherungsvertrag zu.
Dazu stellte es fest, dass die Beklagte dem Kläger gegenüber gem. § 241 Abs. 2 BGB zur Verschwiegenheit verpflichtet war. Es führte aus, dass sensible Daten des anderen Teils Dritten nicht ohne Weiteres offenbart werden dürften, und zwar auch dann nicht, wenn die Vertraulichkeit nicht spezialgesetzlich oder in Vertragsbedingungen ausdrücklich geregelt sei. Aus dem Versicherungsvertrag ergebe sich die Nebenpflicht, die aus diesem Vertragsverhältnis erlangten Daten nicht an Dritte weiterzugeben. Bei den Gesundheitsdaten handle es sich um sensible Daten, die besonders geschützt seien. Auch eine Rechtfertigung für die Weitergabe der Daten aus Art. 6 Abs. 1 lit. f DSGVO, einem berechtigten Interesse, verneinte das Gericht. Danach, so das Gericht, sei die Verarbeitung, zu der auch die Weitergabe von Daten an Dritte gehört, rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen und Grundrechte der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Das Gericht sah das Recht des Klägers auf Schutz seines Allgemeinen Persönlichkeitsrechts gem. Art. 2 Grundgesetz gegenüber dem Recht der Versicherung, die in Erfurt verklagt worden war, sich im Prozess zu verteidigen, als überwiegend an. Es erkannte keinen zwingenden Grund für die Verwertung des Gutachtens in dem Verfahren in Erfurt. Zudem hätten in dem Erfurter Verfahren auch noch gerichtliche Gutachten eingeholt werden können.
Die Verletzung des Allgemeinen Persönlichkeitsrechts stufte das Gericht auch als besonders schwerwiegend ein, da es sich bei den Gesundheitsdaten um höchstpersönliche Daten der Intimssphäre handelte.
21. Juni 2021
Der Negativpreis “Big Brother Award” in der Kategorie Gesundheit geht 2021 an das Berliner Unternehmen Doctolib. Laut Jury missachtet der Vermittler von Arztterminen auf seiner Internetplattform die Vertraulichkeitspflicht. Zudem soll er die Daten der Nutzer und jene aus Arztpraxen für kommerzielle Marketingzwecke verarbeiten.
Weiteres Datenschutz-Debakel
Der Terminvergabe-Dienstleister Doctolib hat zudem die Suchanfragen von Patienten per URL-Weitergabe mit Facebook und Outbrain geteilt. Über Doctolib können auch Termine bei Ärzten verschiedener Fachrichtungen gebucht werden. Dabei ist es auch möglich, direkt nach dem gewünschten Arzt zu suchen. Wer nicht sicher ist, welcher Arzt am ehesten angesprochen werden soll, kann beliebige Suchbegriffe nutzen. Auf diese Weise kann die Zielgruppe eingrenzt werden. Für Patienten war jedoch nicht ersichtlich, dass Doctolib die Daten aus der Anfrage in einem Cookie speichert und per Get-URL an seine Marketingpartner Facebook und Outbrain versendet.
Doctolib hat allerdings mittlerweile die Datenübertragung und die schlecht erklärte Einwilligung eingeräumt und am vergangenen Wochenende nachweislich abgeschaltet, berichtet Mobilsicher.de, die sich Doctolib näher angesehen hatten. Zudem habe Doctolib nach eigenen Angaben bei Facebook und bei Outbrain veranlasst, dass alle über die Cookies erfassten Daten aus der Vergangenheit gelöscht werden.
Mit Urteil vom 01.06.2021 hat das Verwaltungsgericht (VG) Berlin entschieden, dass das Auswerten des Handys einer Asylsuchenden rechtswidrig ist, wenn vorher mildere Mittel ergriffen werden können.
In dem konkreten Fall ging es um eine 44-Jährige Frau, die 2019 nach Deutschland einreiste. Sie gab an, afghanische Staatsangehörige zu sein. Ausweisen konnte sie sich nicht, sie legte aber bei der Stellung des Asylantrages eine afghanische Geburts- und Heiratsurkunde vor. Das Bundesministerium für Migration und Flüchtlinge (BAMF) forderte sie außerdem dazu auf, ihr Handy zu übergeben und die entsprechenden Zugangsdaten zur Verfügung zu stellen. Dieser Forderung kam sie nach, sodass in ihrem Beisein ihr Handy mit einer Software ausgelesen und die Daten zu einem sogenannten Ergebnisreport verarbeitet wurden. Ein solcher Report kann im folgenden Asylverfahren verarbeitet werden. Anschließend wehrte sich die Frau gerichtlich, sie sah sich durch dieses Vorgehen in ihren Grundrechten verletzt.
Grundlage des Vorgehens des BAMF ist § 15a AsylG. Dieser räumt dem BAMF die Befugnis ein, Datenträger von Asylsuchenden (Bspw. Handys, Laptops, Tablets) auszuwerten, um die Identität und Staatsangehörigkeit festzustellen. § 15a AsylG steht seit seiner Einführung 2017 stark in der Kritik, wurde vor dem Hintergrund, dass hier besonders sensible Daten betroffen sind, sogar als verfassungswidrig bezeichnet. Keinesfalls solle eine solche Befugnis routinemäßig angewandt werden. Jedoch kritisierte die Neue Richtervereinigung (NRV) noch letztes Jahr, das Verfahren sei längst Standard und würde jährlich zehntausendfach durchgeführt.
In dem vorliegenden Fall entschied nun das VG Berlin, dass das Vorgehen des BAMF rechtswidrig war. Problematisch war, dass das BAMF nicht zunächst mit den bereitgestellten Dokumenten arbeitete, sondern schon vorher das Handy auswertete. So komme es zu einer Speicherung von Daten auf Vorrat, dies sei unzulässig. Das Auswerten der ursprünglichen Dokumente sei hier milderes Mittel gewesen und hätte vorher unternommen werden müssen. Die rechtswidrig erhobenen Daten dürfen demnach auch nicht im weiteren Asylverfahren herangezogen werden.
Aufgrund der grundsätzlichen Bedeutung dieses Rechtsstreites ist der Weg zum Bundesverwaltungsgericht offen. Welche Auswirkungen das Urteil des VG für die Praxis der Handyauswertung hat, bleibt abzuwarten.
18. Juni 2021
Apple CEO Tim Cook hat mit einem neuen Video auf dem YouTube-Kanal von Apple UK, Apple’s neue Datenschutzfunktionen für europäische Nutzer vorgestellt. Dieses sechsminütige Video enthält hauptsächlich datenschutzrelevante Clips von der WWDC (Worldwide Developers Conference von Apple).
Es scheint als habe sich Apple dazu entschlossen, vor allem zu den europäischen Nutzern zu sprechen, da die Privatsphäre in diesem Kontinent als besonders wichtig erachtet wird. Die Europäische Union hat 2018 mit der Datenschutzgrundverordnung ein sehr umfangreiches und strenges Datenschutzgesetz eingeführt. Selbst Apple musste seine Sicherheitsvorkehrungen verstärken, um den extrem hohen Standards des Gesetzes gerecht zu werden. Während einige amerikanische Unternehmen bzw. Unternehmen aus Nicht-EU Ländern die DSGVO nur in Europa einhalten, verpflichtete sich Apple, seinen Kunden weltweit die gleichen verbesserten Datenschutzstandards zu bieten. Apple setzt seine Führungsrolle im Bereich Datenschutz fort, erweitert sein Engagement und fördert positive Veränderungen in der gesamten Branche. Auf der WWDC 2021 wurden eine Reihe neuer Datenschutzfunktionen für iOS 15, iPadOS 15, macOS Monterey, watchOS 8 und iCloud angekündigt. Diese neuen Funktionen sollen Nutzern in Europa und auf der ganzen Welt helfen, den Zugriff auf ihre Daten besser zu kontrollieren und zu verwalten.
Apple-Boss Cook betont gleich zu Anfang des Videos, dass für Apple “Privatsphäre ein grundlegendes Menschenrecht” sei. Man arbeite “schonungslos” daran, diese “in alles was wir machen” einzubauen. Es sei ein Grundelement jedes Designs von sowohl Apple Produkten als auch Apple Diensten, “die wir in die Welt tragen”, so Cook pathetisch. “Andere” hätten den Kunden zum Produkt gemacht und sammelten immer mehr personenbezogene Daten. “Unsere Linse bleibt auf Technik fokussiert, die für die Menschen arbeiten kann.”
Der Schutz der Privatsphäre sei “eine Priorität für unsere Nutzer in Europa und der ganzen Welt”. Cook beginnt, indem er zwei bestehende Funktionen hervorhebt, (Datenschutz-Nährwertkennzeichnungen und App-Tracking-Transparenz), und schließt dann mit einer bekannten Zusammenfassung über die Moral des Unternehmens in diesem Bereich ab.
Diese beschriebenen Datenschutzfunktionen gehören zu den neuesten in einer langen Reihe von Innovationen, die Apple-Teams entwickelt haben, um die Transparenz zu verbessern. Ferner sind es Funktionen, die dazu beitragen, dass die Nutzer ihre Daten besser kontrollieren können und sodann die Freiheit haben, Technologien zu nutzen, ohne sich Gedanken darüber zu machen, wer ihnen über die Schulter schaut.
In der Frage, ob auch eine nicht federführende Aufsichtsbehörde gegen Facebook bei DSGVO Verstößen vorgehen kann, hat der EuGH nun ein Urteil gefällt. Damit legt er einen lang anhaltenden Streit zwischen der irischen Datenschutzbehörde und anderen Ländern bei.
Der Sachverhalt
Zu urteilen hatte der EuGH in einem Rechtsstreit zwischen der belgischen Datenschutzbehörde und mehreren Unternehmen des Facebook-Konzerns, konkret Facebook Ireland Ltd., Facebook Inc. und Facebook Belgium BVBA. Begonnen hat das Verfahren bereits im Jahre 2015 und damit vor in Kraft treten der DSGVO im Mai 2018, jedoch zog sich der Sprung durch die einzelnen Instanzen lange hin.
Das Verfahren selbst zielte darauf ab, Facebook mittels Unterlassungsklage zu verpflichten, auf den Einsatz von Cookies ohne Einwilligung der belgischen Benutzer zu verzichten und die Datenerhebung auf Webseiten von Dritten zu unterlassen. Zudem sollte Facebook Abstand von der Praxis nehmen übermäßig Daten durch Social-Plugins zu erheben und die dadurch gewonnen personenbezogenen Daten zu löschen.
Facebook ist jedoch der Ansicht, dass in diesem Fall die belgische Datenschutzbehörde gar nicht zuständig ist. Damit beruft sich der Konzern auf die 2018 in Kraft getretenen Regeln der DSGVO, wonach nur die Datenschutzbehörde gerichtliche Schritte einleiten können soll, in deren Mitgliedsland Facebook seine Hauptniederlassung hat. Im konkreten Fall, müsste demnach die irische Datenschutzbehörde tätig werden.
Die Richterinnen und Richter des EuGH gelangten hier allerdings zu einer anderen Rechtsauffassung und entschieden, dass zwar grundsätzlich tatsächlich die federführende Datenschutzbehörde (Irland) tätig werden müsse, wenn es sich um DSGVO-Verstöße handele. Allerdings verweist der EuGH zusätzlich auf die Artikel 56 Abs 2, und Artikel 66 DSGVO, nach denen unter bestimmten Voraussetzungen auch andere Behörden bei grenzüberschreitenden Datenverarbeitungen zuständig sein könnten.
Fazit
Letzten Endes folgt der EuGH mit seinem Urteil damit den Ausführungen des Generalanwalts Michael Bobek, der in seinen Schlussanträgen eine Zuständigkeit für andere Datenschutzbehörden in Ausnahmefällen annahm. Das Urteil sollte in seiner Tragweite nicht unterschätzt werden, denn wie Bayerns Justizminister Georg Eisenreich zutreffend urteilte könntenes Unternehmen „künftig schwerer haben, sich durch eine geschickte Standortwahl einer effektiven Kontrolle zu entziehen“.
15. Juni 2021
WhatsApp teilt viele Eigenschaften mit dem Mutterkonzern Facebook, dürfte auf einige Assoziationen aber wohl gerne verzichten. Wie Facebook steht nämlich auch der Chatdientst zunehmend hinsichtlich des Umgangs mit dem Datenschutz in der Kritik. So wurde zuletzt die Änderung der Nutzungsbedingungen besonders kritisch aufgenommen (wir berichteten). Dies führte zu einer spürbaren Abwanderung von Nutzern zu anderen Anbietern. Darauf hatte WhatsApp reagiert und eingelenkt, sodass eine fehlende Zustimmung keine negativen Folgen für die Nutzer haben soll. Um die führende Marktposition beibehalten, gleichzeitig aber auch Bedenken hinsichtlich des Schutzes personenbezogener Daten mildern zu können, hat WhatsApp nun außerdem angekündigt, künftig sog. “Einmal-Nachrichten” anzubieten.
Neuerungen als Reaktion auf Datenschutz-Kritik
Diese Nachrichten könnten dann durch den Empfänger nur einmal gelesen werden, bevor sie wieder gelöscht werden. Derzeit werden über WhatsApp versendete Nachrichten grundsätzlich dauerhaft gespeichert, eine Löschung ist nur manuell durch den jeweiligen Nutzer möglich. Außerdem ist nicht auszuschließen, dass die Nachricht bei dem Empfänger noch vorhanden bleibt. WhatsApp-Chef Will Cathcart nannte bei der Vorstellung des neuen Projekts den Versand von Passwörtern an Familienmitglieder als Beispielsfall, wann die neuen Einmal-Nachrichten besonders sinnvoll sein könnten.
WhatsApp hat zudem eine weitere Neuerung vorgestellt, welche den Nutzern mehr Möglichkeiten hinsichtlich des Datenschutzes geben soll. So sollen die Nutzer eine Einstellung wählen können, wonach neu erstellte Chats nach einer festgelegten Zeit von alleine verschwinden. Damit würden dann scheinbar auch die enthaltenen Nachrichten gelöscht werden. Auch wurde seitens WhatsApp am gestrigen Montag (15.06.) eine begleitende Marketingkampagne gestartet. Diese soll nicht nur die neuen Features bewerben, sondern auch noch einmal klarstellen, dass über WhatsApp versendete Daten Ende-zu-Ende verschlüsselt und somit nach Ansicht von WhatsApp vor unbefugtem Zugriff sicher seien.
10. Juni 2021
Das Oberverwaltungsgericht für das Land Nordrhein-Westfalen hat auf der Grundlage der Datenschutz-Grundverordnung entschieden, dass die Kopien von Examensklausuren den Kandidaten kostenfrei zur Verfügung gestellt werden müssen. Damit bestätigte es das erstinstanzliche Urteil des Verwaltungsgerichts Gelsenkirchen.
Im Jahr 2018 hatte der Kläger erfolgreich an der zweiten juristischen Staatsprüfung teilgenommen und anschließend beim Landesjustizprüfungsamt die Zusendung seiner Klausurunterlagen nebst Prüfergutachten beantragt. Diesem Antrag wollte das LJPA nur gegen Zahlung eines Vorschusses von 69,70 € für die Kopie von 348 Seiten nachkommen. Der Absolvent verweigerte die Zahlung, das LJPA anschließend die Zusendung. Das VG Gelsenkirchen verurteilte das Land NRW nach der Klage des Absolventen dazu, die Kopien kostenfrei zur Verfügung zu stellen. Das OVG NRW hat die Berufung des Landes NRW nun zurückgewiesen.
Aus Art. 15 Abs. 3 DSGVO folgt der Anspruch auf unentgeltliche Zurverfügungstellung einer Kopie von allen den Klägern betreffenden personenbezogenen Daten, auf postalischem oder elektronischem Weg. Davon seien auch die Klausuren und Prüfergutachten umfasst. Das OVG konnte weder Ausnahmen noch Anhaltspunkte dafür erkennen, dass sich der Kläger rechtsmissbräuchlich verhalte oder dem LJPA ein unverhältnismäßig großer Aufwand entstehe. Wegen der grundsätzlichen Bedeutung wurde die Revision zum Bundesverwaltungsgericht zugelassen.
9. Juni 2021
In vor kurzem herausgegebenen Pressemitteilungen verschiedener Datenschutzbehörden (etwa Berlin, Brandenburg, Bayern, Saarland, Rheinland-Pfalz, Niedersachsen und Hamburg) kündigen diese an, im Rahmen einer bundesländerübergreifenden Kontrolle Datenübermittlungen in Staaten außerhalb der europäischen Union oder des Europäischen Wirtschaftsraums zu kontrollieren.
Hintergrund und Anlass der Kontrolle ist die bereits im Juli 2020 ergangene „Schrems II“-Entscheidung des Europäischen Gerichtshofes (EuGH). In diesem erklärte der EuGH den Durchführungsbeschluss der Europäischen Kommission zum „EU-U.S. Privacy Shield“ für ungültig und sorgte damit für große Unsicherheit hinsichtlich des transatlantischen Datentransfers (wir berichteten).
Nun haben die Aufsichtsbehörden der verschiedenen Länder angekündigt, im Rahmen einer bundesländerübergreifenden Kontrolle die Datenübermittlungen von ausgewählten Unternehmen in Staaten außerhalb der Europäischen Union zu überprüfen. Das Ziel der Behörden ist dabei klar definiert und soll der „breiten Durchsetzung“ der Anforderungen des EuGHs aus der „Schrems II“-Entscheidung dienen, wie das Bayerische Landesamt für Datenschutzaufsicht in seiner Pressemitteilung verlauten lässt.
Neben den einzelnen Pressemitteilungen haben die Aufsichtsbehörden auch ihre sehr umfangreichen Fragebögen veröffentlicht. Diese können beispielsweise unter den folgenden Links abgerufen werden:
Beachtet werden sollte beim Verwenden der Fragebögen allerdings, dass bisher nicht ersichtlich ist, welche Behörde tatsächlich welchen Fragebogen verwendet. Die Entscheidung darüber, welcher Themenkomplex überprüft werden soll, obliegt jeder Behörde individuell. Wie großflächig die Überprüfungen tatsächlich stattfinden, wird sich erst in Zukunft zeigen. Über weitere Entwicklungen werden wir Sie hier im Datenschutzticker auf dem Laufenden halten.
8. Juni 2021
Der Bundestag hat mit den Stimmen der GroKo-Fraktionen den von der Regierung eingebrachten Gesetzentwurf zur Modernisierung des Telekommunikationsrechts (Telekommunikationsmodernisierungsgesetz) beschlossen. Die neuen Regelungen treten am 1. Dezember 2021 in Kraft. Die Datenschutzbestimmungen aus dem Telemedien- und dem Telekommunikationsgesetz (TMG/TKG), die sich neben der klassischen Telefonie etwa auf Online- und Messenger-Dienste beziehen, finden sich zukünftig in einem eigenen Gesetz wieder. Die bisher teils widersprüchlichen Bestimmungen führten zu Rechtsunsicherheiten; sowohl das Telemediengesetz (TMG) als auch das kürzlich novellierte Telekommunikationsgesetz (TKG) haben in gewissen Abschnitten für Verunsicherungen gesorgt.
“Bisher waren Fragen des Datenschutzes und der Privatsphäre auf diese beiden Gesetze aufgeteilt. Diese unterschiedlichen Datenschutzregeln werden nun in einem einzigen Gesetz zusammengeführt, so dass die Rechtslage klarer und einheitlicher wird”, so der SPD-Abgeordnete Falko Mohrs gegenüber EURACTIV.
Ziel der TKG-Novelle ist es unter anderem, den flächendeckenden Glasfasernetzausbau zu beschleunigen und die EU Richtlinie 2018/1972 über den europäischen Kodex für die elektronische Kommunikation umzusetzen. Folglich sollen die Regeln vereinheitlicht und an die EU-Datenschutzgrundverordnung angepasst werden. Durch ein Mobilfunkausbauziel sollen den Netzunternehmen Anreize gesetzt werden, leistungsfähiges Internet zu sichern, so dass Standardanwendungen wie Videocalls oder Social Media Nutzung überall problemlos möglich sind. Es wird beabsichtigt LTE an allen Bundes-, Land- und Kreisstraßen sowie an allen Schienenstrecken „möglichst bis 2026“ anzubringen.
Mit dem neuen Gesetz wird auch die seit 2009 im EU-Recht verankerte “Pflicht zur Zustimmung der Nutzer zu Cookie-Einstellungen” umgesetzt. Die bisherige Regelung galt als defizitär, denn die entsprechende EU-Richtlinie wurde nicht richtig umgesetzt. Nachdem der Bundesgerichtshof davon ausgegangen ist, dass der Einsatz technisch nicht notwendiger Cookies zwingend einer ausdrücklichen Einwilligung der Endnutzer bedarf, soll dieses zwingende Einwilligungserfordernis nunmehr durch das TTDSG gesetzlich normiert werden. Bundeswirtschaftsminister Peter Altmaier erklärt, dass hierdurch ein Kompromiss zwischen dem Schutz der Privatsphäre in der digitalen Welt und den digitalen Geschäftsmodellen, die ja gerade auf der Datennutzung basieren, erzielt werden soll. „Mit Blick auf die viel diskutierten Cookies eröffnet das Gesetz die Möglichkeit, ein nutzerfreundliches und wettbewerbskonformes Einwilligungsmanagement zu entwickeln, das Verbraucherinnen und Verbrauchern, Unternehmen und Startups gleichermaßen nutzt.”
7. Juni 2021
Die EU-Kommission hat am 04.06.2021 neue Standardvertragsklauseln für den internationalen Datentransfer (auch “Standard Contractual Clauses” – kurz ‚SCC’) angenommen und veröffentlicht. Bei den SCC handelt es sich um Musterverträge, die eine geeignete Garantie nach Art. 46 DSGVO für den Transfer von personenbezogenen Daten in Drittstaaten darstellen können. Als Drittstaaten gelten solche, die sich außerhalb der EU/des europäischen Wirtschaftsraumes (EWR) befinden, z.B. die USA.
Hintergrund
Die neuen Klauseln wurden lange erwartet, da die jetzigen Standardvertragsklauseln über 10 Jahre alt sind und somit weder die Voraussetzungen hinsichtlich Drittstaatentransfers der DSGVO noch das bedeutende Schrems II-Urteil vom 16.07.2020 berücksichtigen konnten. So war der Drittstaatentransfer problematisch geworden und nicht erst in letzter Zeit von den Aufsichtsbehörden, auch in Deutschland, ins Visier von Untersuchungen genommen worden (wir berichteten).
Was hat sich geändert?
Neu an den jetzt präsentierten SCC ist vor allem der Aufbau. So sind die verschiedenen Varianten der Datentransfers nicht länger auf zwei verschiedene SCC-Muster verteilt, sondern sie finden sich in einem Dokument wieder. Insofern werden sie in vier verschiedene „Module“ gegliedert. Dies soll eine flexible Vertragsgestaltung ermöglichen. Dafür soll das entsprechende Modul gemäß dem Verhältnis der Parteien ausgewählt werden. Folgende Module sind in den neuen SCC enthalten:
Modul 1: Übermittlung von personenbezogenen Daten zwischen zwei Verantwortlichen
Modul 2: Übermittlung von personenbezogenen Daten vom Verantwortlichen an den Auftragsverarbeiter
Modul 3: Übermittlung von personenbezogenen Daten zwischen zwei Auftragsverarbeitern
Modul 4: Übermittlung von personenbezogenen Daten vom Auftragsverarbeiter an den Verantwortlichen
Inhaltlich neu ist darüber hinaus insbesondere eine Pflicht zur Datentransfer-Folgenabschätzung. Dabei handelt es sich um die Pflicht, sich davon zu überzeugen, dass der entsprechende Vertragspartner aus dem Drittstaat in der Lage ist, seinen Pflichten aus den aktuellen SCC nachzukommen.
Ebenfalls neu enthalten sind die Pflicht zur Abwehr von Regierungsanfragen, die den Anforderungen der Standardschutzklauseln widersprechen und das Informieren der zuständigen Aufsichtsbehörden über die Anfragen. Die Datentransfer-Folgenabschätzung muss dokumentiert und den Aufsichtsbehörden auf Verlangen vorgelegt werden.
Ausblick
Die veröffentlichten Dokumente sind die finalen Arbeitsdokumente. Mit der offiziellen Veröffentlichung der SCC wird in den nächsten Tagen im Amtsblatt der Europäischen Union zu rechnen sein. Ab diesem Zeitpunkt und innerhalb einer Frist von 18 Monaten müssen die bestehenden Verträge mit Partnern aus Drittstaaten, insbesondere bspw. Microsoft oder Amazon, um die neuen SCC ergänzt werden.
Aber auch bei Verwenden der neuen SCC bleibt eine Einzelfallprüfung des Datenschutzniveaus unumgänglich, denn die neuen Klauseln allein werden in der Regel nicht ausreichen, um den Anforderungen des EuGH aus dem oben genannten Urteil gerecht zu werden. Bei einer solchen Einzelfallprüfung müssen vor allem der Vertragstext und das tatsächliche Datenschutzniveau überprüft werden. Letzteres sollte durch einen Fragenkatalog an den Verarbeiter im Drittstaat geschehen.
Es ist demnach nicht damit getan, die neuen SCC einfach zu unterschreiben, sondern der Verantwortliche muss weitergehend tätig werden, um einen sicheren Datentransfer in Drittländer zu ermöglichen.
Bei der Umsetzung der Einzelfallprüfung oder bei anderen Rückfragen bieten wir Ihnen jederzeit gerne unsere Unterstützung an.
UPDATE vom 09.06.2021: Mittlerweile wurden die neuen SCC im Amtsblatt der Europäischen Union veröffentlicht und sind hier zu finden.
