Rechte betroffener Personen (Art. 15 DSGVO)

Vor ein paar Wochen fragte mich ein Freund, wie dass denn nun eigentlich ginge, wenn er wissen wolle, welche Firmen welche Daten über ihn verarbeiten. Dieser Freund hatte erfahren, dass ich bei der PrivCom Datenschutz GmbH arbeite. Ich hatte mich aus diesem Grund näher mit der Datenschutz-Grundverordnung (DSGVO), die ja das zentrale Gesetz zum Thema Datenschutz ist, beschäftigt.

Die Rechte betroffener Personen nach der DSGVO

Ich erklärte ihm seine Rechte an folgendem Beispiel: Die Firma „Pflegeelfen“ verarbeitet personenbezogene Daten von Ihnen. Die Pflegeelfen vermittelt Pflegefachkräfte. 

Damit diese an Sie vermittelt werden können, brauchen die Pflegeelfen verschiedene Informationen von Ihnen. Dazu gehören zum Beispiel Ihr Name, Ihr Geburtsdatum, Ihre Anschrift, Ihre Mailadresse, Ihre Telefonnummer, Gesundheitsdaten und noch einige andere. 

Nach einiger Zeit fragen Sie sich, welche Ihrer Daten genau von den Pflegeelfen verarbeitet werden. 

Art. 15 DSGVO

Dazu können Sie nun ein Schreiben an die Pflegeelfen aufsetzen und unter anderem um folgende Informationen ersuchen: 

  1. Welche personenbezogenen Daten konkret (zum Beispiel Name, Geburtsdatum, medizinische Diagnosen, Anschrift, Beruf …) verarbeitet werden;
  2. Welche Kategorien von personenbezogenen Daten verarbeitet werden;
  3. Empfänger bzw. Kategorien von Empfängern, die diese Daten bereits erhalten haben oder künftig noch erhalten werden;
  4. Zu welchem Zweck die Daten erhoben und gespeichert werden;
  5. Die geplante Speicherdauer bzw. die Kriterien für die Feststellung der Speicherdauer;
  6. Die Herkunft der Daten;
  7. Falls eine Datenübermittlung in Drittländer stattfindet, welche Garantien gemäß Art. 46 DSGVO vorgesehen sind.

Doch was bedeutet das konkret? 

Kategorien von personenbezogenen Daten sind zum Beispiel allgemeine Personendaten. Dazu gehören Name, Geburtsdatum, Anschrift, Mailadresse, Telefonnummer etc. Aber auch Kennnummern, so wie die Krankenversichertennummer, sind eine Kategorie. 

Empfänger sind Personen, Behörden, Einrichtungen, Dienstleister oder andere Stellen, denen personenbezogene Daten offengelegt werden. 

Die Pflegeelfen in meinem Beispiel haben nun maximal vier Wochen Zeit diese Anfrage zu bearbeiten. Diese Frist kann zwar um weitere zwei Monate verlängert werden, allerdings müssen Sie auch darüber innerhalb von vier Wochen nach Eingang der Anfrage informieren. 

Ansonsten können Sie sich dann an die zuständige Datenschutzaufsichtsbehörde oder eine Anwältin wenden, die die weitere Kommunikation mit dem Unternehmen für Sie regelt. Spätestens dann wird den meisten Unternehmen klar, dass das Ganze kein Witz war, sondern durchaus ernst. Wichtig: die Kosten der Anwältin muss anschließend das Unternehmen tragen, das keine Auskunft gegeben hat. 

Welche Rechte gibt es noch? 

Mit dem Ersuchen um Auskunft ist es aber noch nicht getan. Ganz am Anfang der Erhebung der Daten müssen Sie weitere, allgemeine Informationen erhalten:

  1. Die Kontakdaten des/der Datenschutzbeauftragten (sofern vorhanden);
  2. Informationen zum Zweck der Datenverarbeitung;
  3. Die Erlaubnis für die Datenverarbeitung (Rechtsgrundlage);
  4. Bei welcher Stelle Sie sich beschweren können, falls Sie einen unrechtmäßigen Umgang mit Ihren Daten vermuten.

Die Informationen müssen präzise, transparent, verständlich und leicht zugänglicher Form an die betroffene Person gegeben werden. Darüberhinaus müssen Sie in leichter Sprache zugänglich gemacht werden, insbesondere, wenn sich die Information an Kinder richten. 


Datenschutz-Verletzungen (2)

In meiner Beratungspraxis häufen sich die nach Art. 33 und 34 DSGVO meldepflichtigen Datenschutzverletzungen. Die wichtigsten werde ich in loser Reihenfolge hier beschreiben. Auf dass sie noch dazu gut sein mögen, dass jemand die richtigen Schlüsse zieht, bevor etwas schief geht.

Alle Namen und Abläufe wurden soweit verändert, dass die wahren Beteiligten nicht erkennbar sind.

Was passiert ist

Der Geschäftsführer (H) eines Hamburger Unternehmens mit mehreren Standorten in Europa schickte eine E-Mail an eine Kollegin in der Geschäftsführung, die in Amsterdam ihren Sitz hat. Im Anhang befand sich eine Gesprächsnotiz als Worddokument über ein Gespräch mit dem Leiter eines weiteren Standortes, hier als X bezeichnet. Der Inhalt war für X als auch für mehrere andere Kollegen an seinem Standort unvorteilhaft, um es vorsichtig auszudrücken. Wenige Stunden später landete der Vermerk auf einem E-Mail-Verteiler, der für alle Mitarbeiter an allen Standorten des Unternehmens einsehbar war. Absender: die E-Mail-Adresse des Geschäftsführers aus Hamburg. Über einhundert Mitarbeitende hatten Einsicht in ein Gesprächsprotokoll, dessen Inhalt zwischen zwei Personen bleiben sollte.

E-Mail Postfach kompromittiert

Ein Anruf bei H ergab, dass er den ganzen Tag in einer Konferenz verbracht hatte, ohne dass er auch nur Mails abgerufen, geschweige denn geschrieben hatte. Die weitere Untersuchung brachte ans Licht, dass das E-Mail-Postfach des H schon seit rund drei Monaten von einem unbekannten Angreifer übernommen worden war. Offenbar hatte dieser stillschweigend und unbemerkt mitgelesen und erst jetzt „zugeschlagen“. Es war aufgrund der weiteren Umstände davon auszugehen, dass es sich bei dem Angreifer um einen Insider handeln musste - einen ehemaligen Mitarbeiter oder vielleicht sogar um jemanden, der noch im Unternehmen tätig war.

Die Folgen

Für alle Kontaktpersonen und Kommunikationspartner des H bestand ein erhebliches Risiko, dass der Angreifer sein über Wochen gesammeltes Wissen aus den Mails gegen die jeweiligen Personen verwenden würde, immer mit dem Ziel letztlich H zu schaden. Aufgrund der wochenlangen Kontrolle des Angreifers über das Postfach war im Grunde alles möglich, von Erpressung über Rufschädigung bis Betrug. Alle Personen mussten daher über den Vorfall informiert werden. Dies geschah mit einem Rundbrief, der per Mail verschickt wurde, versehen mit dem Hinweis, dass Mails von dem alten, bekannten Account ab sofort nicht mehr H zuzurechnen sind. Die Anzahl lag in einem niedrigen vierstelligen Bereich.

Der Hamburger Standort meldete den Vorfall an die Datenschutzaufsichtsbehörde in den Niederlanden, da das Unternehmen dort seinen Hauptsitz hat (Art. 56 DSGVO), und informierte Hamburg parallel.

Weitere Maßnahmen

Als Sofortmaßnahme froren die IT-Verantwortlichen das Postfach des H ein, und setzten für ihn eine neue Mailadresse auf. Sie änderten sämtliche Administrator Passwörter zum Zugang in geschäftskritische Systeme und übergaben die geänderten Passwörter einem Treuhänder. Bis zur endgültigen Aufklärung des Vorfalls mussten die Administratoren die Passwörter bei dem Treuhänder anfordern und nach Gebrauch wurden sie wiederum geändert. Alle Nutzerpasswörter für die E-Mail-Konten wurden geändert, was für die IT-Verantwortlichen ein riesiger Aufwand war.

Geprüft wurde ebenso, ob X, der in dem unternehmesweit öffentlich gewordenen Vermerk so schlecht dastand, aufgrund der Datenschutzverletzung einen Schadensersatzanspruch nach Art. 82 DSGVO würde geltend machen können.

Was der Vorfall lehrt

Im nächsten Artikel:

Kommunikation bei Sicherheitsvorfällen

Wenn Sie Rat möchten, wie Ihre interne Kommunikation vertraulich gehalten werden kann, nehmen Sie gerne Kontakt auf. Wir finden mit Ihnen eine Lösung.

Datenschutz-Verletzungen

Zu Zeiten des alten Bundesdatenschutzgesetzes (BDSG) mussten nur Datenschutz-Verletzungen gemeldet werden, bei denen Gesundheitsdaten, Bank- und Kreditkartendaten oder Informationen aus Strafverfahren betroffen waren. Vorfälle, die solche Daten beinhalteten, waren an die Datenschutz-Aufsichtsbehörden zu melden, nicht jedoch den betroffenen Personen.

Die Meldepflichten im Fall von Datenschutz-Verletzungen sind mit der Datenschutz-Grundverordnung (DSGVO) deutlich ausgeweitet worden. Gemeldet werden müssen nunmehr alle Verletzungen des Schutzes personenbezogener Daten und zwar an die Aufsichtsbehörde als auch an die betroffenen Personen.

Art. 33 und 34 DSGVO

Die DSGVO bindet die Pflicht zu melden an die Voraussetzung, dass durch die Schutzverletzung für die betroffenen Personen ein „Risiko“ bzw. ein „hohes Risiko“ besteht (Art. 33 und 34 DSGVO). Auch dies ist neu - es geht nicht um den Schutz des Unternehmens vor Rufschaden oder ähnlichen Folgen, sondern die Person steht im Fokus. Die Person, um deren Daten es sich handelt.

Vorgehen bei Datenschutz-Verletzungen

Im Fall einer Datenschutz-Verletzung im Unternehmen ist es wichtig, zügig und überlegt die nötigen Schritte einzuleiten. Das nachfolgende Beispiel zeigt einen Vorfall aus unserer Beratung, anhand dessen wir den Ablauf im Fall einer einer Datenschutz-Verletzung darstellen wollen. Hintergrund des Vorfalls war der unüberlegte Einsatz einer Software für die Projektorganisation.

Was war passiert?

Die Personalabteilung der Firma Wegner ** wollte für eine bessere Organisation ihrer internen Abläufe die Software "Trello" einsetzen. Trello ist ein Tool für das Projektmanagement in Teams. Es ist eine Cloud Lösung und wird in den USA gehostet. Mehrere Mitarbeiter von Wegner registrieren sich für die kostenlose Version.

Am 19. März fand ich um kurz vor 9 Uhr eine E-Mail eines Hans Nielsen von der Firma MediaX, der mir schrieb, bei meinem Auftraggeber Wegner habe es eine Datenschutz-Verletzung gegeben.

"Gestern wurde ich <Hans Nielsen, MediaX> durch Herrn Burmester der Wegner AG auf ein nicht öffentliches Trello Board ... ungefragt eingeladen (18.03.2019, 18:07) und auf diesem hinzugefügt (18.03.2019, 18:07; Maileingang 18:09). Diese Einladung erfolgte ohne vorherige Kontaktaufnahme oder meine Zustimmung. Neben meinen Namen enthält dieses Board diverse personenbezogene Daten anderer Personen. So sind hier Vor- und Nachnamen ersichtlich aber auch Verläufe zu deren Bewerbungsprozess wie Status der Bewerbung, Anmerkungen zu Reisebereitschaft und allgemein zu diesem Bewerber".

Es folgte die nicht öffentliche URL des Boards und mehrere Screenshots der Mail, sowie die Information, dass er Herrn Burmester informiert und dieser den Zugriff am 19.03.2019 um 09:58 Uhr wieder unterbunden habe.

Ich setzte mich mit dem in der Mail genannten Herrn Burmester in Verbindung, um Details der Sache zu erfahren. Herr Burmester war nicht zu erreichen. Ein Anruf in der IT ergab die Auskunft: „Wir kennen dieses Tool nicht und haben den Einsatz nicht freigegeben“.

Es droht Ungemach

Ich schrieb eine EILT! DATENSCHUTZ! Mail an den Geschäftsführer und wies ihn darauf hin, dass diese Datenschutz-Verletzung nach meiner vorläufigen Einschätzung an die Datenschutz-Aufsichtsbehörde gemeldet werden muss. Damit lief auch die Frist; nach Art. 33 Abs. 1 DSGVO muss eine Datenschutz-Verletzung innerhalb von 72 Stunden „nach Kenntnis des Vorfalls“ an die Aufsichtsbehörde gemeldet werden.

In unserem Fall hieß das: Kenntnis des Vorfalls bei der Datenschutzbeauftragten etwa zeitgleich mit der Kenntnis im Unternehmen am 19.03.2019 um 09:30 Uhr. Die 72 Stunden Frist nach Art. 33 Abs. 1 DSGVO endete am Freitag, 22.03.2019, 09:30 Uhr.

Betroffene Personen

Es waren ungefähr ein Dutzend Personen betroffen, die sich bei der Firma Wegner beworben hatten. Es waren keine Geburtsdaten, keine Adressen, keine Details aus Lebensläufen öffentlich geworden, aber die Angabe über den Status des Bewerbungsverfahrens („Gespräch hat stattgefunden“, "passt von Qualifikation her nicht“) und Angaben zum Hintergrund („kommt aus Consulting“, „viel SAP Erfahrung“).

Wie konnte das passieren?

Trello speichert offenbar alle Namen und Mailadressen von Personen, die irgendwann mal damit gearbeitet haben – wenn auch nur probehalber und vorübergehend. Wenn man mit der Funktion „hinzufügen mittels Einladung“ einen Namen eingibt, gleicht das System den Namen mit den schon auf Vorrat gespeicherten ab. Dann schickt es ohne weitere Nachfrage eine Einladung raus. Dementsprechend landete nach Eingabe des Namens des „Hans Nielsen“ von der Firma Wegner die Einladung bei Hans Nielsen von der Firma MediaX. Dieser zweite Hans Nielsen war im Gegensatz zu dem ersten offenbar schon einmal bei Trello registriert.

Die nächsten Maßnahmen

Der Geschäftsführer rief mich am späteren Abend zurück und ich empfahl ihm mehrere Maßnahmen:

Darüberhinaus empfahl ich:

Ich sah keine Verpflichtung nach Art. 34 DSGVO, die betroffenen Personen zu informieren. Die Daten waren nur für eine Person und auch nur über einen relativ kurzen Zeitraum einsehbar. Hinzu kam, dass es sich „nur“ um den Namen und den Status des Bewerbungsverfahrens handelte.

Fazit

Bei allem, was hier im Vorfeld schiefgelaufen war, wurde immerhin richtig und angemessen reagiert, als der Schaden entstanden war. Die Meldung an die Aufsichtsbehörde wurde gemacht und ich warte nunmehr auf eine Reaktion von dort.

Damit eine richtige und angemessene Reaktion nicht dem Zufall überlassen bleibt, bietet es sich an, unternehmensinterne Prozesse und Verantwortlichkeiten für den Fall einer Datenschutz-Verletzung festzulegen und bei den Verantwortlichen bekannt zu machen.

** alle Namen wurden erfunden. Es handelt sich nicht um die tatsächlichen Namen der Beteiligten.

Datenschutz im Versicherungswesen (2)

Teil zwei unserer Reihe zu Datenschutz im Versicherungswesen. Heute geht es um die Frage ob eine Einwilligung der versicherten Personen gebraucht wird, wenn zwei Versicherungsunternehmen ein Produkt zusammen anbieten.

Die Beteiligten:

Eine Versicherung (V1) vertreibt als Versicherungsvermittler ein Versicherungspaket für eine andere Versicherung (V2). Ohne den Austausch personenbezogener Daten der Versicherungsnehmer kann weder V1 noch V2 das Versicherungspaket anbieten.

Die Fragestellung:

V1 und V2 tauschen zum Zweck des Vertriebs und der Durchführung des Versicherungspakets Daten von Versicherungsnehmern aus. Ist dafür eine Einwilligung der Versicherungsnehmer nach Art. 6 Abs. 1 lit a) in Verbindung mit Art. 7 DSGVO nötig?

Datenschutzrechtliche Einordnung:

Es handelt sich um eine Übermittlung personenbezogener Daten zwischen V1 und V2, die von der Datenschutz-Grundverordnung (DSGVO) erlaubt sein muss.

Die Übermittlung von Daten ist auch nach der DSGVO zulässig, sofern die DSGVO sie erlaubt. Sofern das nicht der Fall ist, ist eine Übermittlung von personenbezogenen Daten nur mit der Einwilligung der betroffenen Person zulässig. In Art. 6 Abs. 1 DSGVO heißt es im ersten Halbsatz:

„Die Verarbeitung <personenbezogener Daten> ist nur zulässig, wenn mindestens eine der nachfolgenden Bedingungen erfüllt ist“.

Die dann aufgeführten Bedingungen für eine erlaubte Übermittlung von personenbezogenen Daten sind u.a.

Art. 6 Abs. 1 lit b) DSGVO

Als Erlaubnis für den Datenaustausch zwischen V2 und V1 kommt vorrangig Art. 6 Abs. 1 lit b) DSGVO in Betracht. Danach muss die Datenverarbeitung erforderlich sein für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist.

Die Versicherungsnehmer, die ein Versicherungspaket abschließen, sind Vertragspartei und sie sind betroffene Personen im Sinne der Vorschrift. Der Versicherungsvertrag kann nur mittels der Zusammenarbeit und mittels des Datenaustausches zwischen V1 und V2 erfüllt werden.

Daher liegt für den Datenaustausch eine gesetzliche Erlaubnis vor, und es ist keine Einwilligung des Versicherungsnehmers erforderlich.

Art. 6 Abs. 1 lit f) DSGVO

Die Vorschrift des Art. 6 Abs. 1 lit f) DSGVO käme ebenfalls als gesetzliche Erlaubnis für den Datenaustausch zwischen V1 und V2 in Frage. Im Sinne dieser Vorschrift ist als „berechtigtes Interesse“ eines Verantwortlichen jedes wirtschaftlich legitime Interesse akzeptiert. Ein berechtigtes Interesse der Weitergabe der Daten liegt daher seitens V1 als auch seitens V2 vor. Entgegenstehende schutzwürdige Interessen der Versicherungsnehmer sind hier nicht zu erkennen. Sie profitieren von einem Angebot, das zwei Unternehmen gemeinsam erbringen, und von den damit verbundenen Serviceleistungen. Daher liegt für den Datenaustausch auch diese gesetzliche Erlaubnis vor, und es ist keine Einwilligung des Versicherungsnehmers erforderlich.

Verhaltensregeln Versicherungswirtschaft

Dieses Ergebnis wird durch Art. 16 der "Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft" (Stand 29.06.208) gestützt. Dort heißt es in Art. 16 Absatz 2:

„Ein Datenaustausch mit anderen Versicherern ... erfolgt darüber hinaus, soweit dies zur Antrags- und Leistungsprüfung und -erbringung, einschließlich der Regulierung von Schäden bei gemeinsamer, mehrfacher oder kombinierter Absicherung von Risiken, des gesetzlichen Übergangs einer Forderung gegen eine andere Person oder zur Regulierung von Schäden zwischen mehreren Versicherern über bestehende Teilungs- und Regressverzichtsabkommen erforderlich ist und kein Grund zu der Annahme besteht, dass ein überwiegendes schutzwürdiges Interesse der betroffenen Person dem entgegensteht“.

Hier wird ganz offensichtlich ebenfalls davon ausgegangen, dass ein Datenaustausch zwischen Versicherern in den bezeichneten Fällen ohne Einwilligung der Versicherungsnehmer zulässig ist.

Einwilligung

Trotz des Vorliegens einer gesetzlichen Erlaubnis für den Datenaustausch könnten V1 und/oder V2  zusätzlich oder alternativ eine Einwilligung der betroffenen Person einholen. Art. 6 Abs. 1 DSGVO nennt ausdrücklich die Erfüllung „mindestens“ einer der genannten Erlaubnistatbestände, und die Einwilligung ist an erster Stelle genannt.

Nach Art. 7 Abs. 4 DSGVO muss eine Einwilligung in eine Datenverarbeitung freiwillig erfolgen.

V2 sah für die Einwilligungserklärung einen Text vor, der wie folgt lautete:

 Mit meiner/unserer Unterschrift willige/n ich/wir ein, dass gemäß der links abgedruckte Einwilligungserklärung die Versicherer der V2-Versicherungsgruppe und die Unternehmen der V1-Versicherungsgruppe meine allgemeinen Antrags-, Vertrags- und Leistungsdaten jeweils in gemeinsamen Datensammlungen führen. WICHTIGER HINWEIS: Diese Einwilligung ist freiwillig und ich/wir kann/können sie jederzeit mit Wirkung für die Zukunft widerrufen. Es wird jedoch darauf hingewiesen, dass dann die Erfüllung der Vertragspflichten seitens der Versicherer im Leistung- bzw. Schadenfall in der Regel nicht möglich sein wird.

Hier wird trotz der Behauptung des Gegenteils die Einwilligung von der Erfüllung des Vertrages abhängig gemacht, die damit nicht mehr freiwillig ist: keine Einwilligung, keine Vertragserfüllung seitens des Versicherers. Die betroffene Person hat keine Wahl. Diese Einwilligung ist mangels Freiwilligkeit unzulässig und unwirksam. Sie ist auch entbehrlich, da es wie oben beschrieben, gesetzliche Erlaubnistatbestände für den Austausch zwischen Versicherung und Versicherungsvermittler gibt, und auf die sollte zurückgegriffen werden.

 

 

 

 

Datenschutz im Versicherungswesen (1)

Wir wollen hier in loser Reihenfolge Fragen zum Thema Datenschutz im Versicherungswesen thematisieren, mit denen wir uns in unserer Beratungspraxis befassen. Im ersten Beitrag geht es heute um die Frage des Widerspruchs bei einem Wechsel des Versicherungsmaklers.

Die Beteiligten:

Ein Unternehmen (U), das eine Zusatzkrankenversicherung für seine Mitarbeiter abgeschlossen hat.
Eine Versicherungsgesellschaft (V), bei der die Verträge laufen.
Ein Versicherungsmakler (M), der die Verträge betreut.
Ein zweiter Versicherungsmakler (M2), der den Vertrag von M übernimmt.

Das Problem:

U kündigt den Maklervertrag mit M und übergibt ihn an M2. M2 tritt an V heran und bittet um Übermittlung der Daten der versicherten Personen. V verweigert die Herausgabe und verlangt von M2 eine schriftliche Bestätigung, dass U seine versicherten Mitarbeiter über den Maklerwechsel informiert und keiner dem Wechsel widersprochen hat. Ansonsten könne man aus datenschutzrechtlichen Gründen den Vertrag nicht auf M2 übertragen. M2 ist der Meinung, dass V ihm die Daten auch ohne diese Bestätigung übertragen könne. Das werde an allen anderen Stellen auch so gemacht.

Datenschutzrechtliche Einordnung:

Die „Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft“ (Stand 29.06.2018) konkretisieren die gesetzlichen Datenschutzvorschriften im Hinblick auf eine einheitliche und von den Aufsichtsbehörden akzeptierte, branchenspezifische Auslegung. Zusätzliche Einwilligungen sollen durch die Anwendung der Verhaltensregeln möglichst vermieden werden. Sie kann auch für die DSGVO als Auslegungshilfe herangezogen werden.

In den Verhaltensregeln heißt es in Art. 20 Abs. 2 „Datenübermittlung an selbständige Vermittler“:

… im Falle eines Wechsels vom betreuenden Versicherungsvertreter auf einen anderen Versicherungsvertreter informiert das Unternehmen die Versicherten … möglichst frühzeitig, mindestens aber zwei Wochen vor der Übermittlung ihrer personenbezogenen Daten über den bevorstehenden Datentransfer, die Identität (Name, Sitz) des neuen Versicherers und ihr Widerspruchsrecht. Im Falle eines Widerspruchs findet die Datenübermittlung grundsätzlich nicht statt.

Nach Art. 20 Abs. 4 Satz 2 gilt diese Vorgabe auch für einen Wechsel des Versicherungsmaklers.

Damit ist eine Übertragung der Daten der versicherten Personen von M auf M2 datenschutzrechtlich unter der Voraussetzung zulässig, dass die versicherten Personen im Vorhinein über den Wechsel informiert werden und ein Widerspruchsrecht erhalten. Zuständig für die Information und den Hinweis auf das Widerspruchsrecht ist das Unternehmen, das die Übertragung veranlasst, hier also U. Diese Pflicht korrespondiert mit der Rolle des Unternehmens als Verantwortlicher im datenschutzrechtlichen Sinn.

M2 stellt sich vor diesem Hintergrund auf den Standpunkt, dass V die Daten der versicherten Person auch ohne Nachweis der Information und eines möglichen Widerspruchs an ihn übermitteln könne. Wenn der Versicherungsnehmer seinen Verpflichtungen gegenüber den versicherten Personen, seinen Mitarbeitern, nicht nachgekommen sei, liege das in der Verantwortung von U und nicht von V.

Datenschutzrechtliche Verantwortlichkeit

Dies mag erst mal zutreffend sein, jedoch ist zu berücksichtigen, dass V verantwortlich ist für die Zulässigkeit der Übermittlung der Daten an M2. M2 verbindet mit V kein Vertragsverhältnis, das eine Datenübermittlung zum Zwecke der Vertragserfüllung rechtfertigen könnte. Hinzukommt, dass V die Anweisung, die Daten zu übertragen, ausschließlich M2 erhalten hat - nicht von seinem Vertragspartner U, und auch nicht von seinem früheren Vertragspartner, M. Gleichzeitig ist V aber datenschutzrechtlich verantwortlich und, da es sich um Krankenversicherungsdaten handelt, im Falle der Unzulässigkeit der Übermittlung möglicherweise auch im Bereich der Strafbarkeit nach § 203 StGB.

Insofern leuchtet die Forderung des V ein, eine Bestätigung darüber zu erhalten, dass eine Information der versicherten Personen über den Maklerwechsel vorliegt und niemand widersprochen hat - im Falle eines Widerspruchs dürften die entsprechenden Daten ja dann auch nicht an M2 übermittelt werden.

Das Praxisproblem:

Die Verträge des M2 enthalten eine Klausel, dass im Falle des Maklerwechsels das auftraggebende Unternehmen – hier also U - die Zulässigkeit der Datenübermittlung an den neuen Makler zusichert. Die Aufnahme dieser Klausel geschah, um genau solche Probleme zu vermeiden und die Verträge auf datenschutzkonforme Füße zu stellen. Diese Klausel wurde jedoch von U gestrichen. Es gab einen Maklervertrag, jedoch ohne die Zusicherung der datenschutzrechtlichen Zulässigkeit der Datenübertragung an M2. Insofern sah der M2 geringe Aussichten, nun die entsprechende Bestätigung von U zu erhalten und sah sich auch nicht in der Verantwortung dafür. V wiederum betrachtete es als „klassische Serviceaufgabe eines Maklers“, sich genau mit solchen Fragen zu beschäftigen und diese zu lösen. Pikant am Rande war, dass die Übermittlung der Daten an M2 durch V bereits erfolgt war, als V dann einfiel, diesen Punkt zu problematisieren. Das Ganze war also ein wenig der Streit um des Kaisers Bart.

Die Empfehlung der Datenschutzbeauftragten:

Die Empfehlung richtet sich vorwiegend an V: die Angst vor möglichen negativen Folgen einer Datenübermittlung ist ein schlechter Ratgeber. Ebenso ist es unvorteilhaft, den Kopf in den Sand zu stecken und zu versuchen, die als lästig empfundenen Folgen auf andere Beteiligte abwälzen zu wollen. Eine systematische Analyse der Prozesse hingegen schafft das Wissen, unter welchen Voraussetzungen Sie Daten übermitteln dürfen. Schaffen Sie die formalen Voraussetzungen für die Übermittlung von Daten für alle wichtigen Bereiche. Wäre das geschehen, hätte von Beginn an eine Bestätigung vorgelegen, dass kein Versicherter widersprochen hat (oder man hätte gewusst, wer widersprochen hat und die zu übermittelnden Daten wären entsprechend aufbereitet worden). Mit entsprechender Vorbereitung müssen solche Fragen nicht erst dann geklärt werden, wenn Verträge schon geschlossen sind, die Beteiligten mit den Füßen scharren und schnell handeln wollen. Die Zeit, die Sie in Fällen wie dem oben geschilderten mit schwierigen Diskussionen verbringen, ist für eine grundlegende Regelung der datenschutzrechtlichen Anforderungen besser investiert.

 

Umzug

5 Jahre lang hat PrivCom Datenschutz in der Hallerstraße an der Kreuzung zur Hochallee "gewohnt"; jetzt lief unser Mietvertrag aus und seit Anfang der Woche finden Sie uns unter der folgenden Adresse:

Rothenbaumchaussee 165
20149 Hamburg.

Alle weiteren Kontaktdaten bleiben dieselben.

Hier grenzt ein recht großes Stück  Garten an die Büroräume, in dem man gerade jetzt im Sommer unter dem Sonneschirm gut sitzen kann. Kommen Sie gerne einmal vorbei!

 

 

Datenschutz in der Wohnungswirtschaft

Wer nicht gerade auf dem Land in einer strukturschwachen Gegend umziehen will, weiß wie schwierig und aufreibend die Suche nach einer Wohnung oder einem Haus sein kann. Bezahlbarer Wohnraum wird gerade in Großstädten immer mehr zu einer knappen Ressource, auf eine Wohnung kommen oftmals hunderte von Interessenten und Bewerbern. Die Frage nach dem Datenschutz für Wohnungssuchende erscheint da fast wie eine Kleinigkeit, die hinter den wirklich entscheidenden Fragen zurücktreten kann.

Werden Sie polizeilich gesucht?

Vermieter fragen schon bei der ersten Interessenbekundung an einer Wohnung völlig ungeniert die persönlichsten Daten der Wohnungssuchenden ab: Höhe Ihrer monatlichen Verbindlichkeiten aus Unterhaltszahlungen? Aus Kreditverträgen, aus Pfändungen? Haben Sie in den letzten 5 Jahren eine eidesstattliche Versicherung über Ihre wirtschaftlichen Verhältnisse abgegeben? Wo sind Ihre Kinder geboren und Geburtsdatum der Kinder? Selbst die Frage, ob denn ein aktueller Haftbefehl gegen den Interessenten vorliege, habe ich schon in einem Fragebogen gefunden.

Eine Vielzahl Daten gegen eine vage Aussicht

Das und noch einiges mehr sollen Wohnungssuchende sofort bei der ersten Interessensbekundung von sich preisgeben, mit der sehr vagen Aussicht, überhaupt erstmal ein Angebot für eine Wohnung zu erhalten. Recht pauschal werden „grundsätzlich alle“ solche Fragen für zulässig erklärt, mit der Begründung der Vermieter habe „ein großes Interesse an diesen Informationen“.

Übersehen wird dabei, dass sich das große Interesse im Rahmen der datenschutzrechtlichen Vorgaben bewegen muss.

Unter Datenschutzaspekten ist die Zulässigkeit von Fragen an Wohnungssuchende an recht enge Grenzen gebunden. Die Datenschutzaufsichtsbehörden haben schon im Jahr 2014 eine Orientierungshilfe zum Thema herausgegeben, die die Voraussetzungen darstellt. Ein daran angelehntes Beispiel für einen datenschutzkonformen Fragebogen zur Selbstauskunft im Rahmen der Wohnungssuche, findet sich hier.

Anforderungen unter DSGVO nicht verändert

Deren Gültigkeit besteht auch mit der Datenschutz-Grundverordnung (DSGVO) fort. Mit Einwilligungen kann an dieser Stelle nicht gearbeitet werden, weil die Freiwilligkeit nicht gegeben ist. Leitlinie ist der Interessensausgleich zwischen der Sicherheit für den Vermieter, einen passenden und solventen Mieter zu finden, und dem Schutz der Wohnungssuchenden vor dem Missbrauch sehr persönlicher Daten. Weder soll der Vermieter durch Mieter wirtschaftlichen Schaden erleiden, noch sollen Wohnungssuchende am Ende in ihrem Auto schlafen müssen, weil eine Flut sensibler Daten sie zu unerwünschten Mietern macht.

Hunde im Auto

Dieser Interessensausgleich ist herstellbar. Wohnungsunternehmen kostet er möglicherweise eine Investition in die Umstellung von internen Prozessen, das in diesem Zusammenhang oft gehörte Argument - "wenn ich Datenschutz beachten soll kann ich nicht mehr arbeiten" - ist allerdings kein Kriterium. Man fährt ja auch nicht konsequent mit der Begründung über rote Ampeln, dass man dann schneller durch die Stadt kommt.

DSGVO Umsetzung beginnen

Wohnungsunternehmen sollten spätestens jetzt anfangen, die Rechtmäßigkeit ihrer Datenverarbeitung im Hinblick auf die Regeln der DSGVO zu überprüfen und insbesondere die Fragebögen für Interessenten auf eine neue Grundlage zu stellen. Die Tatsache, dass Wohnungssuchende für die Aussicht auf ein neues Zuhause im Zweifel (vermeintlich) freiwillig alles von sich preisgeben, wird Vermieter zukünftig nicht vor Komplikationen wegen unzulässiger Datenverarbeitung bewahren – und auch nicht vor den entsprechenden Bußgeldern, die mit der DSGVO erheblich gestiegen sind. Hinzu kommen Schadensersatzansprüche, die betroffene Personen zukünftig wegen der unerlaubten Verarbeitung ihrer persönlichen Daten geltend machen können.

Workshops zum Datenschutz in der Wohnungswirtschaft

Zusammen mit unserem Kunden, der Immosolve GmbH, arbeiten wir seit vielen Jahren kontinuierlich an der Verbesserung der datenschutzkonformen Abläufe bei der Organisation von Mietverhältnissen und Wohnungssuchen. Wer sich für ein paar mehr Einzelheiten zu diesem Thema interessiert, kann bei Immosolve noch an einem Webinar teilnehmen ("Fit für die DSGVO"), das einen etwas erweiterten Überblick über die Thematik gibt, und bei dem ich Referentin bin. Sowohl bei Immosolve als auch bei uns können auch weiterführende Workshops und ausführliche Beratung zum Thema „Die Umsetzung der DSGVO im Wohnungsunternehmen“ gebucht werden. Sprechen Sie uns gerne an.

Nachlese: Vortrag zur DSGVO

Sollten Sie nach einem Ort für eine Veranstaltung suchen, der nicht so langweilig ist wie die immer gleichen Hotel-Konferenzräume, sei Ihnen der Heidepark Soltau empfohlen. Dort tagt man in dem parkeigenen Hotel, das in einer eigenwilligen Märchen- und Piratenoptik gestaltet ist, und bahnt sich seinen Weg zum Konferenzraum zwischen Großeltern mit kleinen Enkelkindern hindurch.

Mitte September fand im Heidepark Soltau der Jahreskongress der BFI Beratungsgesellschaft für Informationstechnologie mbH (BFI) statt, der mit dem Titel „Safety First im Zeitalter der EU-Datenschutz-Grundverordnung“ ganz im Zeichen der neuen Regeln der EU-Datenschutz-Grundverordnung (DSGVO) stand. Die BFI ist Vertriebspartner der Telekom, so dass auch diese als Mitveranstalter dabei war.

DSGVO - Was Unternehmen jetzt tun sollten

Von der DSGVO handelte dann auch mein Vortrag „Die EU-Datenschutz-Grundverordnung – was Unternehmen jetzt tun sollten“, der vom Veranstalter als der Keynote Vortrag angekündigt wurde und auf großes Interesse traf. Darüber hinaus gab es weitere Vortragsblöcke, in denen Hersteller technische Lösungen vorstellten – und am Abend Achterbahnfahren. Letzteres vor dem Abendessen, safety first eben. Auf diese Weise wurde der Jahreskongress zu einem Ereignis im besten Sinne, mit einer Mischung aus Fortbildung, interessanten Gesprächen und Spaß (auch wenn ich, was die Achterbahn anging, lieber am Boden blieb).

Workshops und Vorträge zur DSGVO

Mein Vortrag kann bei uns auch für andere Gelegenheiten und Veranstaltungen gebucht werden. In rund einer Stunde gibt er einen Überblick über die Veränderungen, die sich für Unternehmen mit der Datenschutz-Grundverordnung ergeben, und stellt die notwendigen nächsten Schritte für die Umsetzung vor. Fragen aus dem Publikum und Diskussion sind dabei willkommen. Wer die sich aus der DSGVO ergebenden Fragestellungen gleich ganz konkret für sein Unternehmen vertiefen möchte, kann auch einen halbtägigen Workshop buchen. Darin entwickeln wir einen Fahrplan für die Umsetzung der wichtigsten Punkte.

Nehmen Sie gerne mit uns Kontakt auf und wir besprechen die Einzelheiten.

Datenschutzmanagementsytem nach DSGVO

Der Countdown läuft in Bezug auf die Umsetzung der Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO): ab dem 25. Mai 2018 müssen die Vorgaben in Unternehmen und Behörden umgesetzt sein, dazu kommen die Anforderungen des neuen Bundesdatenschutzgesetzes (BDSG-neu). Viele Unternehmen haben mit der Umsetzung begonnen oder suchen zurzeit nach einer Möglichkeit, die neuen Anforderungen möglichst einfach und mit überschaubarem Aufwand zu implementieren.

Das Ziel der möglichst einfachen Umsetzung verfolgt eine neue Richtlinie der VdS Schadenverhütung, die in diesen Wochen unter dem Namen VdS 10010 entwickelt und für jedermann kostenfrei abrufbar sein wird. Die neue Richtlinie knüpft an die schon bekannte Richtlinie VdS 3473 an. Während die VdS 3473 jedoch ausschließlich die Informationssicherheit im Fokus hat, erweitert die geplante VdS 10010 diesen um die Anforderungen des Datenschutzes nach der DSGVO. Die Richtlinie beschreibt ein auditier- und zertifizierfähiges Datenschutzmanagementsystem (DSMS), welches insbesondere auf die Anforderungen von kleinen und mittleren Unternehmen zugeschnitten ist.

Meine Kollegin Anna Cardillo und unser Kooperationspartner Michael Wiesner von der Michael Wiesner GmbH arbeiten als Autoren im Kernteam für die Entwicklung der VdS-Richtlinien 10010. Die Entwicklung erfolgt über ein Wiki, das von Mark Semmler koordiniert wird. Interessierte sind weiterhin eingeladen, sich als Unterstützer bei der Erstellung zu engagieren; die Anmeldung kann hier erfolgen: https://www.mark-semmler.de/vds/doku.php

Wir werden an dieser Stelle über die weitere Entwicklung und das Ergebnis weiter berichten.

Webcast EU-DSGVO in englischer Sprache

In unserer seit mehreren Jahren bestehenden Zusammenarbeit mit Sophos gab es Mitte Mai eine Premiere: Nach dem gefühlten guten Dutzend Webcasts, die ich als Referentin für Sophos schon mit gestaltet habe war dies der erste in englischer Sprache für die Sophos Kunden aus Nord- und Osteuropa. Deutlich über tausend Zuhörer von Island über Litauen, Bulgarien bis Griechenland und Malta waren dabei; ein deutliches Zeichen, dass die EU-DSGVO nicht nur in Deutschland ein wichtiges Thema ist. Wer will, kann hier noch mal hören - https://attendee.gotowebinar.com/recording/1974428597092975106

EU-Datenschutz-Grundverordnung: Webcasts

Pech und Pannen haben dazu geführt, dass der urspünglich für den 29. März 2017 vorgesehende Webcast mit dem Institut für Berufliche Bildung zum Thema EU-Datenschutz-Grundverordnung nicht stattfinden konnte und nunmehr auf den 26. April, 11 Uhr verschoben wurde. Im Rahmen der Reihe "Business Inside" des IBB geben wir Auskunft zu den grundlegenden Veränderungen, die die DSGVO mit sich bringen wird. Anschließend besteht die Möglichkeit Fragen zu stellen. Anmelden können Sie sich noch hier (Webinar 3).

Wer an diesem Termin nicht kann und trotzdem das Thema Überblick über die DSGVO in einem Webcast hören möchte, hat am 19. Mai um 11 Uhr die nächste Gelegenheit. Ich freue mich, wie schon vor zwei Jahren wieder mit Sophos zu diesem Thema zusammen zu arbeiten. Anmelden können Sie sich für diesen Webcast hier.

Zwei Tage zuvor, am 17. Mai um 10 Uhr, findet der gleiche Webcast schon einmal in englischer Sprache statt, ebenfalls mit Sophos und mir als Referentin. Wer daran teilnehmen möchte, möge sich bitte per Mail direkt mit mir in Verbindung setzen.

Auftragsdatenverarbeitung nach Art. 28 DSGVO

Das Thema Auftragsdatenverarbeitung ist eine Geschichte, die nur manchmal gut endet. Nach wie vor besteht ein erheblicher Teil unserer Beratungstätigkeit in der Erklärung, was Auftragsdatenverarbeitung ist, warum die vertragliche Regelung sein muss sowie der Prüfung der entsprechenden Verträge. Wer möchte, kann das Wieso-Weshalb-Warum in meinen alten Artikeln der letzten Jahre zum Thema Anforderungen an eine Auftragsdatenverarbeitung und Auftragsdatenverarbeitung? nachlesen. Die dort beschriebenen Beispiele einer grob fahrlässig nicht oder nur sehr unzureichend geregelten Auftragsdatenverarbeitung begegnen uns in Varianten noch immer. Die EU-Datenschutz-Grundverordnung macht die Auftragsdatenverarbeitung nun nicht wesentlich schwieriger - aber auch nicht einfacher, denn die Anforderungen an die Auftragsverarbeiter sind an einigen Stellen erhöht. Wir haben einen kurzen Überblick über die wichtigsten Punkte zusammengestellt.

DSGVO und Auftragsdatenverarbeitung

Art. 28 DSVO sieht weiterhin eine Regelung der Auftragsdatenverarbeitung in einem Vertrag vor, der die wichtigsten Punkte im Umgang mit den personenbezogenen Daten des auftraggebenden Unternehmens regelt (Art. 28 Abs. 3 DSGVO). So, wie auch das BDSG bisher schon tat. Auftraggebende Unternehmen sind gehalten, nur Auftragsverarbeiter einsetzen, die "hinreichend Garantien" dafür bieten, dass sie "geeignete technische und organisatorische Maßnahmen"  für einen ausreichenden Datenschutz im Sinne der DSGVO etabliert haben (Art. 28 Abs. 1 DSGVO). Wichtig ist in diesem Zusammenhang: diese Garantien müssen nachgewiesen werden, und zwar vor der Beauftragung und auch im Vertrag (Art. 28 Abs. 5 DSGVO).

Einhaltung DSGVO nachweisen

Bis die von der DSGVO vorgesehenen Möglichkeiten eines standardisierten Nachweises in Form von Zertifizierungen und Verhaltensregeln etabliert sein werden, wird voraussichtlich noch viel Zeit vergehen. In der Praxis muss daher auf andere Faktoren des Nachweises geeigneter Sicherheitsmaßnahmen zurück gegriffen werden. Dies können z.B. sein: Berichte eigener, interner Prüfungen und Audits, Ergebnisse externer Audits, ISO-Zertifizierungen. An dieser Stelle hakt es in der Praxis noch gewaltig. Erst kürzlich wollte mir ein Datenschutzbeauftragter eines Rechenzentrums erzählen, die Vorlage eines Zertifikats, dass das Rechenzentrum ISO 27001 zertifiziert sei, reiche als Nachweis für das Vorliegen von Sicherheitsmaßnahmen aus. Nein - da muss schon mehr vorgelegt werden.

Neue Pflichten für Auftragsverarbeiter

Neben den altbekannten Pflichten bringt die DSGVO Neuerungen insbesondere für Auftragsverarbeiter mit sich. Verstößt ein Auftragsverarbeiter bei der Datenverarbeitung gegen die Anweisungen des auftraggebenden Unternehmens, gilt er nach Art. 28 Abs. 10 DSGVO jetzt selbst als  Verantwortlicher - alle rechtlichen Folgen inklusive. Neu hinzugekommen sind für den Fall von Datenschutzverletzungen durch Auftragsverarbeiter auch spezielle Haftungsregelungen (Art. 82 DSGVO). Betroffene können einen entstandenen Schaden entweder beim Verantwortlichen oder beim Auftragsverarbeiter geltend machen.

Meldepflichten und Bußgeld

In der Praxis dürfte auch Art. 33 Abs. 2 DSGVO Bedeutung bekommen. Danach muss ein Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten nach Bekanntwerden unverzüglich dem Verantwortlichen (Auftraggeber) melden. Ebenso sind die Bußgeldvorschriften des Art. 83 Abs. 4, 5 und 6 DSGVO zu berücksichtigen; sie können bei Verstößen auch bei einem Auftragsverarbeiter ohne Umweg über den Verantwortlichen zur Anwendung kommen.

Muster für einen Vertrag nach Art. 28 DSGVO

Die GDD hat einen Mustervertrag für eine Auftragsdatenverareitung nach DSGVO veröffentlicht. Er ist auf den Seiten der GDD abrufbar. Bitte beachten Sie, dass er im Einzelfall auf die konkreten Umstände der individuellen Vereinbarung angepasst werden muss.