Datenschutzberatung

Bei der Betrachtung der aktuellen EU-Regulierung könnte der Eindruck entstehen, dass Datenschutz zunehmend von Themen wie IT-Sicherheit und Künstlicher Intelligenz verdrängt wird. Diese Sichtweise greift jedoch zu kurz. Insbesondere die neuen IT-Sicherheitsgesetze konkretisieren vielfach die technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO und weisen damit einen unmittelbaren Bezug zum Datenschutzrecht auf. Auch Regelwerke wie die KI-Verordnung oder der Data Act verweisen ausdrücklich auf die DSGVO und stellen klar, dass deren Vorgaben unberührt bleiben. Tatsächlich führen die neuen Anforderungen daher zu einer erheblichen Konkretisierung datenschutzrechtlicher Pflichten, insbesondere im Bereich der technischen Sicherheitsmaßnahmen. Vor diesem Hintergrund stellt sich zunehmend die Frage, wie datenschutzrechtliche Grundsätze wie „Privacy by Design“ und „Privacy by Default“ mit sicherheitsrechtlichen Anforderungen, etwa dem Need-to-Know-Prinzip, in Einklang gebracht werden können. Die zentrale Herausforderung besteht darin, ein ausgewogenes Verhältnis zwischen wirksamer IT-Sicherheit und dem Schutz personenbezogener Daten zu schaffen.

Anwaltliche Datenschutzberatung ist vor allem dann sinnvoll, wenn neue Prozesse, Tools oder Dienstleister eingeführt werden, bei denen personenbezogene Daten eine Rolle spielen, etwa bei CRM-Systemen, HR-Tools, Cloud-Diensten, KI-Anwendungen oder internationaler Zusammenarbeit. Gerade bei internationalen Konzernen mit zentralisierter IT ist oftmals schwer zu bestimmen, ob ein Auftragsverarbeitungsverhältnis oder eine gemeinsame Verantwortlichkeit vorliegt. Davon hängt ab, wer als Verantwortlicher nicht nur die Rechtmäßigkeit der Verarbeitung im eigenen Konzernunternehmen bewerten, sondern auch die Rechtmäßigkeit der Übermittlung an ein anderes Konzernunternehmen prüfen muss. Spätestens bei Datenschutzvorfällen, Anfragen von Aufsichtsbehörden, Betroffenenanfragen oder größeren Vertragsprojekten sollte rechtlich geprüft werden, welche Pflichten bestehen und wie Risiken dokumentiert werden können. In der Praxis ist eine frühe Einbindung besonders hilfreich, weil Datenschutzanforderungen dann direkt in Prozesse, Verträge und technische Konzepte integriert werden können, statt später aufwendig nachgebessert werden zu müssen.

Häufige Datenschutzlücken sind veraltete Datenschutzhinweise, fehlende oder unzureichende Auftragsverarbeitungsverträge, ein nicht gepflegtes Verzeichnis von Verarbeitungstätigkeiten und unklare Löschfristen. Auch neue Tools, Cloud-Dienste oder KI-Anwendungen werden oft eingeführt, ohne die datenschutzrechtlichen Anforderungen vorab zu prüfen. Besonders kritisch sind zudem fehlende Prozesse für Betroffenenanfragen, Datenschutzvorfälle, Mitarbeiterschulungen und internationale Datenübermittlungen.

Eine regelmäßige Überprüfung, mindestens einmal jährlich und generell vor wesentlichen Änderungen der Datenverarbeitung, ist empfehlenswert, da sich sowohl die eingesetzten Technologien als auch die Rechtslage kontinuierlich weiterentwickeln. In der Praxis zeigt sich immer wieder, dass eine verspätete Einbeziehung datenschutzrechtlicher Vorgaben in Softwareprojekte die Einführung neuer Software nicht nur verzögert, sondern auch zu deutlichen Mehrkosten führt. Besonders nach der Einführung neuer Tools, etwa KI-Anwendungen, oder nach Änderungen der Aufsichtspraxis sollte kurzfristig nachjustiert werden. Eine feste Verantwortlichkeit für diese Überprüfung im Unternehmen erleichtert die Einhaltung.

Art. 6 Abs. 1 lit. f DSGVO ermöglicht die Verarbeitung personenbezogener Daten auch ohne Einwilligung der betroffenen Person, sofern drei Voraussetzungen kumulativ erfüllt sind. Zunächst muss ein berechtigtes Interesse des Verantwortlichen oder eines Dritten vorliegen; dieses kann rechtlicher, wirtschaftlicher oder ideeller Natur sein, beispielsweise Betrugsprävention, Direktwerbung gegenüber Bestandskunden oder die Gewährleistung der IT-Sicherheit. Darüber hinaus muss die Verarbeitung zur Verwirklichung dieses Interesses erforderlich sein, was voraussetzt, dass kein anderes, gleich wirksames und zugleich datenschutzfreundlicheres Mittel zur Verfügung steht. Schließlich dürfen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person im Rahmen einer Abwägung nicht überwiegen. Gerade die Prüfung der Erforderlichkeit sowie die Interessenabwägung stellen in der Praxis die zentralen Herausforderungen dar. Für die Durchführung der Interessenabwägung hat sich in der Aufsichts- und Beratungspraxis ein dreistufiges Prüfschema etabliert. Im Rahmen des sogenannten Purpose Tests ist zunächst zu prüfen, ob das verfolgte Interesse legitim ist und hinreichend konkret benannt wurde. Anschließend ist im Necessity Test zu bewerten, ob die Verarbeitung tatsächlich erforderlich ist oder ob datensparsamere Alternativen zur Verfügung stehen. Im abschließenden Balancing Test werden die Interessen des Verantwortlichen den Interessen und Rechten der betroffenen Person gegenübergestellt. Dabei sind insbesondere die vernünftigen Erwartungen der betroffenen Person gemäß Erwägungsgrund 47 der DSGVO, die Art der verarbeiteten Daten, die möglichen Auswirkungen der Verarbeitung sowie vorhandene Schutzmaßnahmen wie Pseudonymisierung, Transparenzmaßnahmen oder Widerspruchsmöglichkeiten zu berücksichtigen. Für eine rechtssichere Anwendung empfiehlt sich eine umfassende Dokumentation der vorgenommenen Prüfung, in der Praxis regelmäßig in Form eines Legitimate Interest Assessment, das im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO referenziert werden kann. Erfolgt die Verarbeitung zu Zwecken der Direktwerbung, ist zwingend auf das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO hinzuweisen, das ohne besondere Begründung ausgeübt werden kann. Besondere Bedeutung kommt zudem den Transparenzpflichten zu: Betroffene Personen müssen bereits bei der Datenerhebung nach Art. 13 DSGVO klar und verständlich über den konkreten Verarbeitungszweck sowie das verfolgte berechtigte Interesse informiert werden. Unterbleibt eine solche Information, kann die Verarbeitung im Ergebnis rechtswidrig sein, selbst wenn die materiellen Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO vorliegen. Transparenz ist damit nicht nur eine Informationspflicht, sondern eine wesentliche Voraussetzung für eine rechtmäßige Verarbeitung.

Der Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (DPF) vom 10. Juli 2023 ist weiterhin in Kraft. Datenübermittlungen an US-amerikanische Unternehmen, die nach dem DPF zertifiziert sind, können daher grundsätzlich auf Art. 45 DSGVO gestützt werden, ohne dass zusätzliche Garantien erforderlich sind. Gleichwohl ist die rechtliche Unsicherheit rund um das DPF in den vergangenen Jahren spürbar gestiegen. Die erste unmittelbare Klage gegen den Angemessenheitsbeschluss wurde vom Gericht der Europäischen Union in der Rechtssache Latombe abgewiesen; gegen diese Entscheidung ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig, über das noch nicht entschieden ist. Zusätzliche Zweifel an der langfristigen Bestandskraft des DPF ergeben sich aus der Diskussion um die institutionelle Unabhängigkeit der Federal Trade Commission, deren unabhängige Kontroll- und Durchsetzungsfunktion eine wesentliche Grundlage der Angemessenheitsbewertung der Europäischen Kommission bildet, da die FTC maßgeblich für die Überwachung und Durchsetzung der DPF-Verpflichtungen zertifizierter Unternehmen verantwortlich ist. Für die Beratungspraxis bedeutet dies, dass das DPF derzeit weiterhin als gültige Rechtsgrundlage genutzt werden kann, eine ausschließliche Abstützung auf diesen Mechanismus jedoch mit zunehmenden Risiken verbunden ist. Unternehmen sollten daher vorsorglich Standardvertragsklauseln einschließlich eines Transfer Impact Assessment als alternative Übermittlungsgrundlage vorbereiten. So lässt sich vermeiden, dass bei einem möglichen Wegfall des Angemessenheitsbeschlusses eine rechtliche Lücke entsteht, wie dies nach den Entscheidungen zu Safe Harbor und Privacy Shield der Fall war. Zudem empfiehlt es sich, Datenschutzerklärungen, Auftragsverarbeitungsverträge und sonstige Dokumentationen so zu gestalten, dass ein Wechsel der Übermittlungsgrundlage ohne umfangreiche Vertragsänderungen möglich bleibt. In der Praxis wird daher häufig sowohl auf das DPF als primäre Grundlage als auch auf Standardvertragsklauseln als subsidiäre Absicherung Bezug genommen. Diese doppelte Absicherung hat sich als pragmatischer Marktstandard etabliert, insbesondere bei der Nutzung von Cloud-, SaaS- und KI-Diensten US-amerikanischer Anbieter.

Die Abgrenzung ist von erheblicher praktischer Bedeutung, da sie bestimmt, welcher Vertragstyp abgeschlossen werden muss und wie datenschutzrechtliche Verantwortung und Haftung zwischen den Beteiligten verteilt werden. Fehler bei dieser Einordnung zählen insbesondere bei Cloud- und KI-Projekten zu den häufigsten Ursachen für Compliance-Verstöße, Bußgeldrisiken und Beanstandungen durch Aufsichtsbehörden. Eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO liegt vor, wenn ein Dienstleister personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet, ohne eigene Zwecke zu verfolgen. Dies ist typischerweise bei Hosting-Diensten, Cloud-Speichern oder CRM-Systemen der Fall. In diesen Fällen ist ein Auftragsverarbeitungsvertrag erforderlich, der die Pflichtinhalte des Art. 28 Abs. 3 DSGVO umfasst und insbesondere die Weisungsgebundenheit sowie Anforderungen an Sicherheit, Vertraulichkeit und den Einsatz von Unterauftragsverarbeitern regelt. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO liegt demgegenüber vor, wenn zwei oder mehr Stellen gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Diese Konstellation gewinnt im Zusammenhang mit KI-Diensten zunehmend an Bedeutung: Nutzt der Anbieter die verarbeiteten Daten nicht ausschließlich zur Leistungserbringung für den Kunden, sondern auch zu eigenen Zwecken, etwa zur Verbesserung von Modellen, zur Erstellung von Analysen oder als Trainingsdaten, spricht dies regelmäßig gegen eine reine Auftragsverarbeitung. Der Europäische Gerichtshof hat in der Entscheidung Fashion ID (Urteil vom 29. Juli 2019, C-40/17) klargestellt, dass eine gemeinsame Verantwortlichkeit bereits dann entstehen kann, wenn die Beteiligten hinsichtlich einzelner Verarbeitungsschritte gemeinsame Entscheidungen treffen; nicht erforderlich ist, dass beide Parteien Zugriff auf sämtliche Daten haben oder in gleichem Umfang beteiligt sind. Die Folgen unterscheiden sich erheblich: Während bei einer Auftragsverarbeitung ein Auftragsverarbeitungsvertrag mit Regelungen zur Weisungsgebundenheit, zu Unterauftragsverarbeitern sowie zu Löschungs- und Rückgabepflichten abzuschließen ist, erfordert eine gemeinsame Verantwortlichkeit eine Vereinbarung nach Art. 26 DSGVO. In dieser ist festzulegen, welche Partei die Informationspflichten gegenüber betroffenen Personen erfüllt und wie Betroffenenrechte wie Auskunfts-, Löschungs- oder Berichtigungsansprüche bearbeitet werden; zudem muss der wesentliche Inhalt der Vereinbarung den betroffenen Personen zugänglich gemacht werden. Gerade bei KI-Anbietern empfiehlt sich eine besonders sorgfältige Prüfung der Vertragsunterlagen. Nicht selten bezeichnen sich Anbieter in ihren Auftragsverarbeitungsvereinbarungen als Auftragsverarbeiter, behalten sich in Allgemeinen Geschäftsbedingungen oder Datenschutzbestimmungen jedoch weitreichende Rechte zur eigenen Nutzung der Daten vor. Solche Regelungen können der vertraglich vorgesehenen Rollenverteilung widersprechen und eine abweichende datenschutzrechtliche Bewertung erforderlich machen.