Das Wichtigste für den DSB
Die CNPD schreibt, die Prüfung der Anforderungen des Art. 28 Abs. 3 müsse INHALTLICH und nicht formal erfolgen und dürfe sich nicht auf die Wahl irgendeines Standardklauselwerks beschränken. Das ist der Satz, der das Bußgeld wert ist: den Vertrag des Anbieters zu unterschreiben, ohne ihn zu lesen, ist keine Erfüllung, sondern der dokumentarische Beweis des Gegenteils.
Die fünf Verstöße
- Unrechtmäßige Verarbeitung von Gesundheits- und Religionsdaten: der Fragebogen machte nicht deutlich, dass diese Antworten freiwillig waren, sodass die Menschen keinen informierten Willen bilden konnten.
- Verletzung der Informationspflichten gegenüber den Befragten.
- Verletzung der Sorgfaltspflicht bei der Auswahl des Auftragsverarbeiters.
- Verstoß gegen die Vorschriften über internationale Übermittlungen, Art. 44 und 46 Abs. 2.
- Unterlassene Datenschutz-Folgenabschätzung für die gesamte Zählungsoperation.
Der Punkt zu Art. 28
Das INE übertrug die Infrastruktur einem Anbieter, der ein Büro in Lissabon unterhielt. Der Vertrag wurde jedoch mit der in den Vereinigten Staaten ansässigen Gesellschaft geschlossen und sah als Gerichtsstand für Streitigkeiten das Gericht in Kalifornien vor. Derselbe Vertrag ließ den Transit personenbezogener Daten über jeden der zweihundert Server des Unternehmens zu und nahm ausdrücklich vorweg, dass Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden können.
Die Klauseln waren vorhanden. Sie genügten nicht.
Der Vertrag enthielt die von der Kommission genehmigten Standardvertragsklauseln für Übermittlungen in die Vereinigten Staaten. Dennoch stellte die CNPD einen Verstoß gegen Art. 44 und 46 Abs. 2 fest, weil keinerlei zusätzliche Maßnahme vorgesehen war, die den Zugriff staatlicher Stellen des Drittlands verhindert hätte, wie Schrems II es verlangt. Es ist genau der Kurzschluss, den man überall sieht: Klauseln anhängen und die Sache als erledigt betrachten, ohne den Rechtsrahmen des Ziellands zu bewerten.
Was zuvor geschehen war
Während der Volkszählung eröffnete die CNPD nach mehreren Beschwerden eine Untersuchung und ordnete die sofortige Aussetzung der Übermittlung der Zählungsdaten in die Vereinigten Staaten und weitere Drittstaaten ohne angemessenes Schutzniveau an. Das Verfahren endete erst mit dem abschließenden Beschluss, der ein einheitliches Bußgeld für die fünf Verstöße verhängte.
Was jetzt bei Ihren Mandanten zu tun ist
1) Prüfen Sie bei jedem Anbieter im Auftragsverarbeiter-Register, mit welcher juristischen Person der Vertrag geschlossen wurde, nicht welches Büro ans Telefon geht. Ein europäisches Büro genügt nicht, wenn die Vertragspartei außerhalb der EU sitzt. 2) Lesen Sie die Gerichtsstandsklausel: verweist sie auf ein Gericht außerhalb der EU, fragen Sie sich, wie Sie die Pflichten des Art. 28 im Ernstfall durchsetzen wollen. 3) Erlaubt der Vertrag den Transit über nicht näher bezeichnete Infrastruktur, ist das eine Übermittlung und muss bewertet, nicht ignoriert werden. 4) Standardvertragsklauseln sind der Ausgangspunkt der Bewertung, nie ihr Endpunkt: ohne dokumentierte zusätzliche Maßnahmen ist Art. 46 nicht erfüllt. 5) Dokumentieren Sie die Prüfung nach Art. 28 Abs. 3 mit Nachweisen und Datum: nur so lässt sich zeigen, dass sie inhaltlich war.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
