Von Systemen für die Lohnbuchhaltung, über E-Mail-Programme oder Ticketsystemen für Kundenanfragen bis hin zu komplexen ERP- oder CRM- Systemen finden sich in nahezu allen größeren Unternehmen verschiedenste Softwareanwendungen. Verarbeiten solche Softwareanwendung auch personenbezogene Daten, treffen den Anwender verschiedene datenschutzrechtliche Pflichten. Einzuhalten sind diese natürlich nur, wenn die Software auch entsprechende Funktionen bietet.
Der Inhalt im Überblick
Was ist bereits nach aktueller Gesetzeslage zu beachten?
Schon heute muss Software einiges können, um sie im Unternehmen datenschutzkonform einsetzen zu können. Zu den wichtigsten Punkten gehören folgende:
- Zugriffskontrolle
- mit Zwei Faktor Authentifizierung
- Vergabe von verschiedenen Berechtigungen
- Protokollierung
- Archivierungs- und Löschfunktionen
- Verschlüsselungsverfahren
- Datensicherung
- Pseudonymisierungsfunktionen
- Anonymisierungsfunktionen
Was unter diesen Begriffen und Funktionen zu verstehen ist, können Sie in unserem Artikel „Anforderungen an Software: Besser vorher an Datenschutz und IT-Sicherheit denken!“ nachlesen.
Was ändert sich mit der DSGVO?
Die gute Nachricht vorab… gar nicht so viel. Mit Einführung der Datenschutz-Grundverordnung (DSGVO) werden die schon länger bekannten Begriffe „privacy by design“ und „privacy by default“ in den gesetzlichen Vorgaben verankert. Neben den notwendigen Funktionen, die sich aus diesen Begriffen ergeben, kommen hauptsächlich Funktionen zur Erfüllung erweiterter Betroffenenrechte hinzu.
Die folgende Übersicht soll Klarheit darüber geben, auf welche Funktionen bei Auswahl und Softwareerstellung geachtet werden sollte.
Datenminimierung
Die Software sollte dem Anwender die Möglichkeit geben, bei jeder Funktion nur die für den Zweck der Verarbeitung notwendigen Informationen anzugeben. Eingabefelder mit zusätzlichen, nicht notwendigen Informationen sollten vermieden werden oder zumindest als nicht zwingend auszufüllen ausgestaltet sein.
Datenschutzfreundliche Voreinstellung
Besteht in der Software für den Anwender die Möglichkeit zwischen verschiedenen Einstellungen zu wählen, muss standardmäßig die datenschutzfreundlichere Einstellung vorausgewählt sein.
Unterstützung bei Wahrung von Betroffenenrechten
Die Software sollte Funktionen enthalten, die den Anwender bei Erfüllung der Betroffenenrechte unterstützen. Insbesondere sind dies Funktionen zur Berichtigung, zur Löschung und/oder Sperrung und zur Einschränkung der weitergehenden Verarbeitung der personenbezogenen Daten. Möglich wird das natürlich erst, wenn der Anwender die Daten gesammelt abrufen und auswerten kann.
Datenübertragbarkeit
Zur Einhaltung des Rechts auf Datenübertragbarkeit sollte die Software eine Funktion enthalten, die es dem Anwender ermöglicht, die Daten in einem allgemein maschinenlesbaren Format zu exportieren.
Aufbewahrungsfristen
Zur besseren Steuerung automatischer Löschungen von Daten sollte die Software Funktionen enthalten, die es dem Anwender ermöglichen für bestimmte Datensätze Aufbewahrungszeiträume zu definieren. Idealerweise ist diese Funktion mit einer automatisierten Löschung nach Ablauf dieses Zeitraums gekoppelt.
Software oft nicht datenschutzkonform
Trotz diverser Hinweise und Artikel findet sich aktuell eine ganze Menge Software auf dem Markt, die auch schon nach dem aktuellen BDSG nicht ohne weiteres datenschutzkonform eingesetzt werden kann. Wer denkt, dass es sich bei den Angeboten nur um solche kleiner IT-Firmen aus Hinterhofgaragen handelt, der irrt sich. Teilweise machen auch große Softwarehäuser ein regelrechtes Geschäft mit dem Verkauf zusätzlicher Module, die einen datenschutzkonformen Einsatz im Unternehmen erst ermöglichen.
Wer trägt die Kosten für Softwareanpassung oder Updates?
Hat man festgestellt, dass mit der Software gar nicht alle gesetzlichen Anforderungen erfüllt werden können, stellt sich die Frage, wer für die Kosten der Anpassung aufkommen muss.
Ausgangspunkt ist dabei immer der sog. Mangelbegriff aus dem Bürgerlichen Gesetzbuch (BGB). Ein Mangel liegt regelmäßig dann vor, wenn sich die Software nicht zur gewöhnlichen Verwendung eignet.
Sind die gesetzlichen Bestimmungen zum Zeitpunkt der Softwareüberlassung bereits wirksam und lassen sich diese mit der Software nicht einhalten, kann von einem Mangel ausgegangen werden. Das führt wiederum dazu, dass der Käufer der Software vom Verkäufer ein kostenloses Update zur Behebung einfordern kann. Gleiches gilt auch, wenn Gesetzesänderungen bereits bekannt sind, aber erst zu einem späteren Zeitpunkt wirksam werden. Beispielweise also bei den Anforderungen der Datenschutz-Grundverordnung.
Augen auf beim Softwarekauf
Kauft man heute Software, die die Anforderungen der Datenschutz-Grundverordnung nicht erfüllt, muss der Verkäufer für die Kosten einer entsprechenden Anpassung aufkommen. Allerdings sollte einem immer bewusst sein, dass Recht haben und Recht bekommen zwei unterschiedliche Dinge sind. Weigert sich der Verkäufer die Software an die Anforderungen nach Datenschutz-Grundverordnung anzupassen, können langwierige und teilweise kostenintensive Rechtsstreitigkeiten auf einen zukommen. Besser ist es also, die Software schon vor dem Kauf genau zu begutachten, um festzustellen, ob die gesetzlichen Anforderungen beim Einsatz erfüllt werden können.
Gibt es konkrete Anforderungen an die Protokollierung? Die Protokollierung steht ja teilweise im Widerspruch zum Datenschutz.
Zweck der Protokollierung ist, dass verifiziert werden kann, wer, wann (Zeitstempel), welche personenbezogenen Daten verarbeitet hat. Grundsätzlich richtet sich der Inhalt der Protokolldateien nach dem Schutzbedarf der verarbeiteten Daten, der Risikobewertung und den Kontrollzwecken und hiernach sind konkrete Anforderungen auszugestalten. Bei der Erhebung der Protokolldaten ist darauf zu achten, dass diese mit den Datenschutzgrundsätzen, insbesondere der Zweckbindung, Speicherbegrenzung und der Datenminimierung im Einklang stehen.
Moin Dr. Datenschutz,
wie ist deine Einschätzung zu folgendem Sachverhalt:
Ein hoher Datenschutz bei Faxen von besonderen personenbezogenen Daten ist sicherlich nicht erreichbar.
Darf eine Software eine Fax-Schnittstelle haben, über die der Nutzer besondere personenbezogene Daten versenden kann oder muss der Softwarehersteller hier bereits handeln und die Schnittstelle entfernen?
Wer ist letztendlich für mögliche Datenschutzverstöße verantwortlich?
– Der Nutzer, der Schnittstelle nutzt oder
– Der Softwarehersteller, der Schnittstelle implementiert hat
Grüße
Es besteht der Grundsatz nach Art. 25 DSGVO „Privacy by design and default“, also einer datenschutzfreundlichen Gestaltung. Hieraus folgt jedoch noch kein Verbot.
Es haftet grundsätzlich derjenige, der personenbezogene Daten verarbeitet, gem. Art. 82 DSGVO. Das wäre in Ihrem Fall der Nutzer. Der Softwarehersteller kann ggf. mitverantwortlich sein, wenn er als Auftragsverarbeiter die Daten für den Nutzer verarbeitet.
In diesem Artikel können Sie mehr zu Fax & Datenschutz lesen.
Hallo Mr. Datenschutz,
steht irgendwo geschrieben, dass eine SW eine generelle Funktion zur turnusmäßigen Löschung/Pseudonymisierung/Anonymisierung von pbz. Daten enthalten MUSS? Die betreffende Anwendung hat im Standard eine Funktion, um pbz. Daten z. B. bei Ausscheiden eines MA so zu pseudonymisieren, dass der Personenbezug, bei allen von diesem MA getätigten Buchungen im System „weg“ ist. Nun hätte der Betriebsrat des Anwenders es gern, wenn dieser Personenbezug turnusmäßig (auch ohne Ausscheiden), z. B. aller x Wochen entfernt würde. Mittels einer Zusatzprogrammierung wäre das natürlich umsetzbar. Frage ist nur, ob es irgendwo eine Regelung gibt, die besagt, dass die SW eine solche Funktion auch im Standard enthalten muss oder ob die Grundfunktionalität, die bereits enthalten ist, ausreicht.
Viele Grüße
UH
Wir können an dieser Stelle keine Rechtsberatung im Einzelfall geben. Daher nur grundsätzlich: Nach dem Grundsatz der Speicherbegrenzung darf eine Identifizierbarkeit nur so lange erhalten bleiben wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, Art. 5 Abs. (1) e) DSGVO.