Link direkt zur Servicenavigation Link direkt zur Hauptnavigation Link direkt zum Inhalt
Meldung
19.10.2023

DiWiSH: Rückblick auf Webinar „Data Privacy Framework“

Mit dem Data Privacy Framework wurde ein neues Datenschutzabkommen zwischen der EU und den USA vereinbart. Eine umfassende Einordnung dazu sowie Antworten auf individuelle Fragen gab Dr. Stefan Kabelitz, Fachanwalt für IT-Recht und Fachgruppenleiter der DiWiSH-Fachgruppe Recht, am 12. Oktober 2023 im gemeinsamen Webinar von DiWiSH und der IHK Schleswig-Holstein.

Konzeptualisierung Globalisierung
© Sergey Nivens/Adobe Stock
Konzept Globalisierung

Das Thema ist relevant für alle Unternehmen, die Software oder Tools von Anbietern mit Sitz in den USA einsetzen und mit diesen personenbezogene Daten verarbeiten. Dazu gehören z. B. Daten von Mitarbeitenden, Kundinnen und Kunden. Schon der Versand von E-Mails mit Office365 oder das Speichern von Adressen in einer AWS-Cloud setzen voraus, dass man sich mit dem Data Privacy Framework (DPF) beschäftigt.

Das DPF sieht vor – wie schon dessen Vorgänger –, dass sich US-Anbieter zertifizieren lassen können. Für die zertifizierten Anbieter gilt zunächst einmal, dass eine Übermittlung auf Grundlage des Abkommen möglich ist.

Unternehmen sollten deshalb prüfen, welche Software und Tools zum Einsatz kommen und ob sie von einem zertifizierten Anbieter stammen. Dafür steht eine entsprechende Suchfunktion bereit. Ist der Anbieter zertifiziert, kann er weiterverwendet werden. Es müssen dann aber die Datenschutzdokumente angepasst werden: Datenschutzerklärung, Datenschutzinfos, Verarbeitungsverzeichnisse, ggf. Einwilligungserklärungen, Consent-Tools etc.

Anbieter ohne Zertifizierung können nicht datenschutzkonform genutzt werden, es sei denn, es werden mit diesen Anbietern Standardvertragsklauseln abgeschlossen.

Wichtig: Nur weil ein Anbieter zertifiziert ist, heißt es nicht, dass auch die Datenverarbeitung erlaubt ist. Neben dem angemessenen Schutzniveau, das über das DPF gewährleistet ist, braucht es immer auch eine datenschutzrechtliche Erlaubnis für die jeweilige Datenverarbeitung. Das heißt, neben der Zertifizierung des jeweiligen Anbieters müssen Unternehmen auch z. B. wirksame Einwilligungen, etwa für den Newsletter-Versand, nachweisen können.

Dr. Stefan Kabelitz arbeitet bei der Kanzlei Lauprecht Rechtsanwälte Notare aus Kiel.

Weiterführende Informationen

Weiterführende Informationen