Leitfaden zum Umgang mit der xperience Cloud

Zurück zur ISMS Übersicht

Einleitung

Als Online-Plattform zur Verwaltung und Durchführung von Veranstaltungen unterliegt die xperience Cloud rechtlichen Anforderungen, die sich aus verschiedenen Gesetzen auf europäischer und deutscher Ebene ableiten. Dies betrifft nicht nur die Parasol Island, sondern insbesondere auch unsere Kunden, bzw. unsere Endkunden. Da die Vergangenheit gezeigt hat, dass alle Beteiligten nicht immer alles im Blick haben, möchten wir euch mit hiermit einen Leitfaden an die Hand geben, der beschreibt, worauf wir als Anbieter zu achten haben, aber auch welche Verpflichtungen unsere Kunden haben, so dass wir Ihnen von Anfang bis Ende beratend zur Seite stehen können. Insbesondere sollten wir darauf achten, dass die Aufwände, die sich daraus ergeben, schon bei Angebotserstellung mit einkalkuliert werden.

Der europäische Datenschutz

2018 trat die europäische Datenschutzgrundverordnung (DSGVO) in Kraft, die die Verarbeitung personenbezogener Daten regelt. Ergänzt wird diese Verordnung vom (deutschen) Bundesdatenschutzgesetz (BDSG). Etwas vereinfacht unterscheidet die DSGVO zwischen drei Parteien: der betroffenen Person, dem Verantwortlichen und dem Auftragsverarbeiter. Die betroffene Person ist die Person, deren Daten verarbeitet werden. In unserem Fall die Person, die sich zu einer Veranstaltung anmeldet, bzw. daran teilnimmt. Der Verantwortliche ist das Unternehmen oder Institution, die die Hoheit über die Daten hat und über die „Zwecke und Mittel“ der Verarbeitung entscheidet. Der Auftragsverarbeiter verarbeitet die Daten einzig und allein auf Weisung des Verantwortlichen. Die Parasol Island ist hier der Auftragsverarbeiter, da wir die xperience Cloud im Auftrag unseres Kunden betreiben. Das heißt insbesondere auch, dass wir mit den personenbezogenen Daten auch nur genau das tun, wofür unser Kunde uns beauftragt hat. Unser Kunde ist dabei nicht zwangsläufig der Verantwortliche. Der Verantwortliche ist der Endkunde. Zwischen uns und dem Endkunden kann eine beliebig lange Kette an Dienstleistern sitzen, die aus Sicht der DSGVO alle Auftragsverarbeiter sind.

Die Parasol Island als Auftragsverarbeiter

Der Auftragsverarbeitungsvertrag

Aus unserer Rolle als Auftragsverarbeiter ergeben sich (nach Art. 28 DSGVO) verschiedene Verpflichtungen. Neben der (selbstverständlichen) Zusicherung, rechtskonform und behutsam mit den personenbezogenen Daten umzugehen, verlangt die DSGVO, dass wir mit unserem Kunden (nicht mit dem Verantwortlichen) einen sogenannten Auftragsverarbeitungsvertrag (AVV) zu schließen, in dem die Datenverarbeitung genau abgegrenzt, sowie sowohl unsere Pflichten als Auftragsverarbeiter als auch die Pflichten des Verantwortlichen beschrieben sind. Das heißt, dass wir zusammen mit unserem Angebot über die Dienstleistungen auch unseren Auftragsverarbeitungsvertrag zur Verfügung stellen. Und dass der Kunde mit Beauftragung auch den AVV unterschreiben muss.

Eine Vorlage für den Auftragsverarbeitungsvertrag sowie eine Beschreibung wie damit umzugehen ist, findet ihr hier.

Das Verzeichnis von Verarbeitungstätigkeiten

Des Weiteren verpflichtet uns die DSGVO ein Verzeichnis aller Tätigkeiten zu führen, bei denen personenbezogene Daten verarbeitet werden (Art. 30 DSGVO). Dies tun wir für alle internen Prozesse in ausführlicher Form, für unsere Tätigkeiten als Auftragsverarbeiter verlangt die DSGVO nur eine gekürzte Version. Diese beinhaltet insbesondere den Verantwortlichen und dessen Datenschutzbeauftragten. Um die Pflege des Verzeichnisses kümmert sich unser Datenschutzbeauftragter. Für euch im Projekt folgt aus dieser Anforderung, dass ihr mit unserem Kunden klärt: Wer ist der Verantwortliche? Wer ist sein Datenschutzbeauftragter? Beides nach Möglichkeit mit vollständigen Kontaktdaten.

Diese Informationen leitet dann bitte zusammen mit dem unterschriebenen AVV an datenschutz@parasol-island.de weiter, damit wir diese so ablegen können, dass wir den Anforderungen an den Datenschutz gerecht werden können.

Rechte der betroffenen Person

Jede betroffene Person hat das Recht, über die Verarbeitung ihrer personenbezogenen Daten zu entscheiden. Dies schließt insbesondere das Recht auf Auskunft über die verarbeiteten Daten und darauf aufbauend die Berichtigung oder Löschung ein. Anfragen dieser Art werden an den Verantwortlichen gerichtet. Die DSGVO (und so wird es auch in jedem AVV festgehalten) verpflichtet die Auftragsverarbeiter den Verantwortlichen dabei in vollem Umfang zu unterstützen. Bislang ist dies noch nicht vorgekommen und wir halten dies auch für die Zukunft nicht für wahrscheinlich, dennoch ergeben sich für den Fall, dass es doch vorkommen mag, folgende Punkte:

1.) Solltet ihr direkt von einer betroffenen Person kontaktiert werden, leitet diese Anfrage bitte umgehend an den im AVV festgelegten Empfänger und informiert darüber die betroffene Person. Im Optimalfall wird die Parasol Island aber an keiner Stelle mit Kontaktdaten genannt, so dass dies wirklich nie passieren sollte.

2.) Wenn der Verantwortliche euch um eure Unterstützung bei der Bearbeitung einer Anfrage bittet, so kommt damit bitte umgehend auf uns und unseren Datenschutzbeauftragten zu. Wir haben derzeit noch keinen fest definierten Prozess, weil wir eben nicht mit Anfragen rechnen. Sobald die erste Anfrage reinkommt, werden wir uns darum kümmern.

Welche Verpflichtungen ergeben sich für den Endkunden?

Wie der Begriff schon sagt, ist der Verantwortliche verantwortlich für den Datenschutz. Dazu gehören nicht nur die Dinge, die im Auftragsverarbeitungsvertrag (oder eine Kette von solchen) geregelt sind, wie z.B., dass er der erste Ansprechpartner für Anfragen betroffener Personen ist, oder die im Zusammenhang mit der xperience Cloud stattfindende Verarbeitung personenbezogener Daten in sein Verarbeitungsverzeichnis aufnehmen muss, sondern auch, dass er derjenige ist, der die betroffenen Personen darüber informieren muss, was mit ihren Daten zu welchem Zweck geschieht.

Die Datenschutzerklärung

Eben deshalb muss es auf der Website der xperience Cloud für diesen Kunden eine Datenschutzerklärung geben. Diese ist grundsätzlich vom Verantwortlichen zu stellen (also vom Endkunden). Natürlich kann unser Endkunde nicht wissen, welche Daten wir verarbeiten, weil dies für den Betrieb der Seite notwendig ist. Daher haben wir ebenso wie für den AVV eine Vorlage erstellt, in der diese Teile bereits vorhanden sind. Der Kunde muss nur noch die markierten Stellen ergänzen. Selbstverständlich steht es dem Kunden auch frei, eine eigene Datenschutzerklärung zu verwenden, die wir dann auf der Webseite integrieren. Je nach Sprache des Zielpublikums ist die Datenschutzerklärung in eben diese zu übersetzen.

Die Datenschutzerklärung muss von jeder Unterseite der Webseite erreichbar sein. Es bietet sich daher an, sie im Footer zu platzieren.

Das Telemediengesetz

Unabhängig vom Datenschutz unterliegt der Betrieb einer Webseite auch anderen (deutschen) Gesetzen. So verlangt insbesondere §5 des Telemediengesetzes das Vorhandensein eines Impressums. Wenn euch auffällt, dass auf der Webseite das Impressum fehlt, so weist unseren Kunden und/oder den Endkunden bitte darauf hin. Wir sehen auch hier den Endkunden in der Pflicht, seine Daten zur Verfügung zu stellen.

Ebenso wie die Datenschutzerklärung muss auch das Impressum von überall auf der Webseite erreichbar sein.

Checkliste

Im Folgenden wollen wir die Punkte noch einmal kurz zusammenfassen:

Vor Datenverarbeitungsbeginn

• Auftragsverarbeitungsvertrag
• Kontaktdaten des Verantwortlichen und seines Datenschutzbeauftragen für unser Verarbeitungsverzeichnis

Vor Produktivnahme

• Kontrolle Datenschutzerklärung
• Kontrolle Impressum

Während der Verarbeitungszeitraums

• Unterstützung bei Anfragen von betroffenen Personen

Dokumentvorlagen

AVV Vertrag über die Auftragsverarbeitung personenbezogener Daten

Wichtige Gesetzespassagen

Im Folgenden haben wir euch die wichtigen Passagen der o.g. Gesetze und Verordnungen zusammengestellt.

DSGVO

Art. 4 Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

[…]

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

Art. 28 Auftragsverarbeiter

(1) Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.

(2) Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

(3) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

1. die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation – verarbeitet, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

2. gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3. alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift;

4. die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

5. angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

6. unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;

7. nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt und die vorhandenen Kopien löscht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;

8. dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.

Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

(4) Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, um bestimmte Verarbeitungstätigkeiten im Namen des Verantwortlichen auszuführen, so werden diesem weiteren Auftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auferlegt, die in dem Vertrag oder anderen Rechtsinstrument zwischen dem Verantwortlichen und dem Auftragsverarbeiter gemäß Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

(5) Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.

(6) Unbeschadet eines individuellen Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter kann der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 des vorliegenden Artikels ganz oder teilweise auf den in den Absätzen 7 und 8 des vorliegenden Artikels genannten Standardvertragsklauseln beruhen, auch wenn diese Bestandteil einer dem Verantwortlichen oder dem Auftragsverarbeiter gemäß den Artikeln 42 und 43 erteilten Zertifizierung sind.

(7) Die Kommission kann im Einklang mit dem Prüfverfahren gemäß Artikel 93 Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

(8) Eine Aufsichtsbehörde kann im Einklang mit dem Kohärenzverfahren gemäß Artikel 63 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

(9) Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.

(10) Unbeschadet der Artikel 82, 83 und 84 gilt ein Auftragsverarbeiter, der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher.

Telemediengesetz (TMG)

§5 Allgemeine Informationspflichten

(1) Diensteanbieter haben für geschäftsmäßige, in der Regel gegen Entgelt angebotene Telemedien folgende Informationen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar zu halten:

1. den Namen und die Anschrift, unter der sie niedergelassen sind, bei juristischen Personen zusätzlich die Rechtsform, den Vertretungsberechtigten und, sofern Angaben über das Kapital der Gesellschaft gemacht werden, das Stamm- oder Grundkapital sowie, wenn nicht alle in Geld zu leistenden Einlagen eingezahlt sind, der Gesamtbetrag der ausstehenden Einlagen,

2. Angaben, die eine schnelle elektronische Kontaktaufnahme und unmittelbare Kommunikation mit ihnen ermöglichen, einschließlich der Adresse der elektronischen Post,

3. soweit der Dienst im Rahmen einer Tätigkeit angeboten oder erbracht wird, die der behördlichen Zulassung bedarf, Angaben zur zuständigen Aufsichtsbehörde,

4. das Handelsregister, Vereinsregister, Partnerschaftsregister oder Genossenschaftsregister, in das sie eingetragen sind, und die entsprechende Registernummer,

5. soweit der Dienst in Ausübung eines Berufs im Sinne von Artikel 1 Buchstabe d der Richtlinie 89/48/EWG des Rates vom 21. Dezember 1988 über eine allgemeine Regelung zur Anerkennung der Hochschuldiplome, die eine mindestens dreijährige Berufsausbildung abschließen (ABl. EG Nr. L 19 S. 16), oder im Sinne von Artikel 1 Buchstabe f der Richtlinie 92/51/EWG des Rates vom 18. Juni 1992 über eine zweite allgemeine Regelung zur Anerkennung beruflicher Befähigungsnachweise in Ergänzung zur Richtlinie 89/48/EWG (ABl. EG Nr. L 209 S. 25, 1995 Nr. L 17 S. 20), zuletzt geändert durch die Richtlinie 97/38/EG der Kommission vom 20. Juni 1997 (ABl. EG Nr. L 184 S. 31), angeboten oder erbracht wird, Angaben über

a. die Kammer, welcher die Diensteanbieter angehören,

b. die gesetzliche Berufsbezeichnung und den Staat, in dem die Berufsbezeichnung verliehen worden ist,

c. die Bezeichnung der berufsrechtlichen Regelungen und dazu, wie diese zugänglich sind,

6. in Fällen, in denen sie eine Umsatzsteueridentifikationsnummer nach § 27a des Umsatzsteuergesetzes oder eine Wirtschafts-Identifikationsnummer nach § 139c der Abgabenordnung besitzen, die Angabe dieser Nummer,

7. bei Aktiengesellschaften, Kommanditgesellschaften auf Aktien und Gesellschaften mit beschränkter Haftung, die sich in Abwicklung oder Liquidation befinden, die Angabe hierüber,

8. bei audiovisuellen Mediendiensteanbietern die Angabe

a. des Mitgliedstaats, der für sie Sitzland ist oder als Sitzland gilt sowie

b. der zuständigen Regulierungs- und Aufsichtsbehörden.

(2) Weitergehende Informationspflichten nach anderen Rechtsvorschriften bleiben unberührt.

TTDSG

§25 Schutz der Privatsphäre bei Endeinrichtungen

(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. 2Die Information des Endnutzers und die Einwilligung haben gemäß der Verordnung (EU) 2016/679 zu erfolgen.

(2) Die Einwilligung nach Absatz 1 ist nicht erforderlich,

wenn der alleinige Zweck der Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der alleinige Zweck des Zugriffs auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder

wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.