Auftragsbearbeitung

Erste Reak­ti­on von Micro­soft auf Schrems II und die EDSA-Empfehlungen

von

Bekannt­lich hat der EuGH im Schrems-II-Urteil den Pri­va­cy Shield auf­ge­ho­ben – den euro­päi­schen, im Effekt aber auch den schwei­ze­ri­schen – und hat der EDSA letz­te Woche den Ent­wurf von (durch­aus frag­wür­di­gen) Leit­li­ni­en dazu ver­öf­fent­licht. Nach­dem die EU-Kom­­mi­s­­si­on nun auch neue Stan­dard­ver­trags­klau­seln vor­ge­legt hat, eben­falls als Ent­wurf, ist eine Kom­ple­xi­tät des The­mas der … wei­ter­le­sen

Ver­ant­wort­li­che und Auf­trags­ver­ar­bei­ter: Zu den Leit­li­ni­en des EDSA (Ent­wurf) zum “Con­trol­ler” und “Pro­ces­sor”

von

Der Euro­päi­sche Daten­schutz­aus­schuss (EDSA) hat den Ent­wurf neu­er Leit­li­ni­en zu den Begrif­fen von Con­trol­ler und Pro­ces­sor (des Ver­ant­wort­li­chen und des Auf­trags­ver­ar­bei­ters) ver­öf­fent­licht (Gui­de­li­nes 07/2020 on the con­cepts of con­trol­ler and pro­ces­sor in the GDPR, Ver­si­on 1.0, 2. Sep­tem­ber 2020). Der Ent­wurf befin­det sich bis zum 19. Okto­ber 2020 in der Ver­nehm­las­sung. Die … wei­ter­le­sen

EDSA: Ent­wurf von Leit­li­ni­en zum “Ver­ant­wort­li­chen” und zum “Auf­trags­ver­ar­bei­ter”

von

Der Euro­päi­sche Daten­schutz­aus­schuss (EDSA) hat den Ent­wurf neu­er Leit­li­ni­en zu den Begrif­fen von Con­trol­ler und Pro­ces­sor (des Ver­ant­wort­li­chen und des Auf­trags­ver­ar­bei­ters) ver­öf­fent­licht (Gui­de­li­nes 07/2020 on the con­cepts of con­trol­ler and pro­ces­sor in the GDPR, Ver­si­on 1.0, 2. Sep­tem­ber 2020). Der Ent­wurf befin­det sich bis zum 19. Okto­ber 2020 in der Ver­nehm­las­sung. Vgl. … wei­ter­le­sen

LfD Nie­der­sach­sen: FAQ zur Auf­trags­ver­ar­bei­tung; Hin­wei­se zur “Schwer­punkt­theo­rie”

von

Das Lan­des­amt für Daten­schutz (LfD) Nie­der­sach­sens hat ein Merk­blatt mit FAQ zur Auf­trags­ver­ar­bei­tung ver­öf­fent­licht. Typi­sche Auf­trags­ver­ar­bei­tun­gen Das LfD beur­teilt etwa die fol­gen­den Tätig­kei­ten i.d.R. als Auf­trags­ver­ar­bei­tung: Ent­sor­gung (Ver­nich­tung, Löschung) von Daten­trä­gern mit per­so­nen­be­zo­ge­nen Daten, Spei­che­rung von per­so­nen­be­zo­ge­nen Daten in der Cloud, Wer­be­adres­sen­ver­ar­bei­tung in einem Let­ter-Shop, Ver­ar­bei­tung von Kun­den­da­ten durch ein Call-Cen­­ter ohne wesent­li­che eige­ne … wei­ter­le­sen

Vor­schlag für ein zwei­stu­fi­ges Modell des Daten­aus­tau­sches zwi­schen Verantwortlichen

von

Beim Aus­tausch von Per­so­nen­da­ten zwi­schen zwei Ver­ant­wort­li­chen gilt – wie immer – der Ver­hält­nis­mä­ssig­keits­grund­satz. Oft ist es aber – aus ope­ra­ti­ven Grün­den – schwie­rig oder kaum mög­lich, den Daten­aus­tausch auf die Not­wen­dig­kei­ten des Emp­fän­gers zu beschrän­ken. Es kann z.B. sein, dass ein Kon­zern­un­ter­neh­men Trans­ak­ti­ons­da­ten oder das Ergeb­nis einer Ana­ly­se sol­cher Daten an … wei­ter­le­sen

LfDI Baden-Würt­tem­berg: Muster Auftragsverarbeitungsvereinbarung

von

Der Lan­des­be­auf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit (LfDI) für Baden-Wür­t­­te­m­­berg hat ein Muster eines Auf­trags­ver­ar­bei­tungs­ver­trags i.S.v. Art. 28 DSGVO ver­öf­fent­licht: deutsch eng­lisch Bereits frü­her hat der LfDI Muster für Ver­ein­ba­run­gen zwi­schen gemein­sam Ver­ant­wort­li­chen publi­ziert (sie­he hier [DE] und hier [EN]).

Tätig­keits­be­richt des Säch­si­schen Daten­schutz­be­auf­trag­ten 2017/2018

von

Der säch­si­sche Daten­schutz­be­auf­trag­te hat sei­nen Tätig­keits­be­richt für die Jah­re 2017 und 2018 ver­öf­fent­licht. Er hält dar­in unter ande­rem fol­gen­des fest: Immo­bi­li­en­ver­wal­ter sind nicht Auf­trags­ver­ar­bei­ter der Wohn­ei­gen­tü­mer, son­dern selbst­stän­di­ge Ver­ant­wort­li­che. Die Ver­wen­dung einer Dash­cam liegt jeden­falls dann nicht im berech­tig­ten Inter­es­se, wenn das Ver­kehrs­ge­sche­hen per­ma­nent und anlass­los auf­ge­zeich­net wird. Die Auf­nah­me von Fotos an öffent­li­chen … wei­ter­le­sen

EDPS: Leit­fa­den zu den Begrif­fen des Ver­ant­wort­li­chen, des Auf­trags­ver­ar­bei­ters und der gemein­sam Verantwortlichen

von

Der Euro­pean Data Pro­tec­tion Super­vi­sor (EDPS), die für die Orga­ne und Behör­den der EU zustän­di­ge Daten­schutz­be­hör­de, hat einen Leit­fa­den zu den Begrif­fen des Ver­ant­wort­li­chen, des Auf­trags­ver­ar­bei­ters und der gemein­sam Ver­ant­wort­li­chen ver­öf­fent­licht (EDPS Gui­de­li­nes on the con­cepts of con­trol­ler, pro­ces­sor and joint con­trol­lership under Regu­la­ti­on (EU) 2018/1725). Der Leit­fa­den bezieht sich auf die … wei­ter­le­sen

EDSA: Stel­lung­nah­me zu Stan­dard­ver­trags­klau­seln für ADV; Hin­wei­se für das Draf­ting von ADV

von

Nach der DSGVO müs­sen Ver­ant­wort­li­che und Auf­trags­ver­ar­bei­ter bekannt­lich eine Ver­ein­ba­rung i.S.v. Art. 28 Abs. 3 DSGVO schlie­ssen (Auf­trags­da­ten­ver­ar­bei­tungs­ver­ein­ba­rung, ADV). Art. 28 Abs. 6 DSGVO sieht vor, dass ADV ggf. auf Stan­dard­ver­trags­klau­seln (Stan­dard Con­trac­tu­al Clau­ses, SSC) beru­hen kön­nen. Auf die­ser Basis hat die däni­sche Daten­schutz­auf­sichts­be­hör­de dem Euro­päi­schen Daten­schutz­aus­schuss (EDSA) einen Ent­wurf sol­cher SSC vor­ge­legt. Es dürf­te sich … wei­ter­le­sen