Serie „Aus gegebenem Anlass“ – Auftragsverarbeiter, die keine sind

Ich weiß nicht genau, woran es liegt. Aber von überall her kriege ich aktuell Anfragen zum Abschluss von Vereinbarungen zur Auftragsverarbeitung (AVV). Entweder kriegen meine Kunden diese von Auftragsverarbeitern (deren Auftragnehmer), die keine sind. Oder Auftraggeber – die keine „Verantwortlichen“ nach DSGVO sind – fordern von meinen Kunden den Abschluss einer AVV.

Häufig sollen AVV abgeschlossen werden zu Tätigkeiten, die keine Auftragsverarbeitung im Sinne von Art. 4 Nr. 8 DSGVO sind. Bisher untergekommen sind mir die beauftragte Warenzusendung, Tätigkeiten von Berufsgeheimnisträgern, Materialuntersuchungen im Auftrag oder die Fertigung individueller medizinischer Produkte.

Ein anderes Negativ-Beispiel sind AVV zu Tätigkeiten, die im Kern keine Verarbeitung personenbezogener Daten darstellen. Hier zielt der Auftrag auf eine andere Tätigkeit, wie z. B. Bewachungsdienstleistungen, vom Vermieter beauftragte Handwerker, die dazu die nötigen Mieterdaten erhalten, Druck von Prospekten oder Katalogen mit Bildern von Beschäftigten oder Fotomodellen und sogar die Reinigung von Berufskleidung mit Namensschildern(!).

Datenschutz-Folgenabschätzung mit dem kostenlosen Werkzeug PIA - privacy impact assessment von CNIL (Teil 1)

Mit dem kostenlosen Werkzeug PIA (privacy impact assessment) der französischen Datenschutz-Aufsichtsbehörde können Sie eine eine strukturierte und nachvollziehbar dokumentierte Datenschutz-Folgenabschätzung erstellen. In diesem Tutorial erläutere ich Ihnen Schritt-für-Schritt, wie Sie die Software bedienen und welche Inhalte Sie befüllen müssen.

Zuerst laden Sie die Software runter und starten Sie das Programm. Ich empfehlen Ihnen zum Ausprobieren erstmal die Desktop-Version. Falls Sie einen unternehmensweiten Einsatz der Software planen, können Sie später immer noch eine Server-Version installieren. Die erstellten DSFA sind nachträglich in andere Installationen einfach importierbar.

Der Fußballverband Niederrhein und der Fußballverband Mittelrhein vertreten beide die Interessen von Fußballvereinen mit insgesamt über 750.000 Mitgliedern. Bei dieser Vielzahl von Betroffenen sind Fragen und der Bedarf an Lösungen zum Datenschutz vorprogrammiert. Insbesondere auch weil sehr viele Mitglieder der Fußballvereine minderjährig und damit nach der DSGVO besonders schutzwürdig sind.

In diesem Zusammenhang organisieren beide Fußballverbände einen gemeinsamen Lizenz-Fortbildungslehrgang zum Vereinsmanager B. Neu dabei ist, dass darin auch die Aspekte "Datenschutz und Informationssicherheit im Verein" vermittelt werden. Ich bin stolz, dass mich sowohl der FVM als auch der FVN als Referenten zum Thema Datenschutz angefragt und gebucht haben.

Der vom Hamburgischen Beauftragten für Datenschutz und Informationssicherheit verhängte Bußgeldbescheid über 5.000 Euro wegen einer Verarbeitung von Daten im Auftrag ohne entsprechende Vereinbarung zeigt einmal mehr, dass die Datenschutzaufsichtsbehörden es nun Ernst meinen. Allen voran Datenverarbeitungen im Auftrag ohne entsprechende Auftragsverarbeitungsvereinbarungen (AVV) scheinen bußgeldbewehrt zu sein. Dies ist ein Grund mehr, sich mit dieser Thematik zu beschäftigen.

Sicherlich gehören auch Sie zu den Personen, die im Jahr 2018 die Datenschutz-Erklärungen auf ihren Internetseiten angepasst haben. Darin enthalten sind sicherlich auch Hinweise zu Diensten von Google, also zum Beispiel Google WebFonts, Google Analytics, Google ReCaptcha, Google Maps, usw. Wenn dem so ist, kontrollieren Sie mal die Adresse des Verantwortlichen der Datenverarbeitung: Steht da was von Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA? Ja, dann sollten Sie das zum 22.01.2019 ändern. Denn ab dem Tag führt Google weitreichende Änderungen in der internen Organisation ein.