Pers\u00f6nliche Daten werden also als Besitz gewertet und d\u00fcrfen nicht ohne Rechtsgrundlage erhoben und verwendet werden.
Beispiele f\u00fcr personenbezogene Daten: Name, Adresse, Alter, Bankverbindung, Bewerbungsdaten, Arbeitszeiterfassungen; besondere personenbezogene Daten sind z.B. Gesundheitsdaten, Religionszugeh\u00f6rigkeit.<\/li>
Beispiel: Die Frage nach der Mail-Adresse f\u00fcr die Zusendung eines Newsletters, die Abfrage der Bankdaten zur \u00dcberweisung des Gehalts oder die Angabe der Religionszugeh\u00f6rigkeit zur Abf\u00fchrung der Kirchensteuer ist zul\u00e4ssig. Die Abfrage der Bankverbindung f\u00fcr die Zusendung eines kostenlosen Newsletters ist dagegen eher fragw\u00fcrdig.<\/li>
Beispiel: Mitarbeiterdaten werden nach X Monaten nach Ausscheiden aus dem Unternehmen gel\u00f6scht. Aufbewahrungsfristen sind ggf. durch weitere Bestimmungen geregelt.<\/li><\/ol>\n\n\n\n
Ein Unternehmen sollte nicht nur bei Kunden, sondern auch bei seinen Mitarbeitern besondere Sorgfalt im Umgang mit deren personenbezogenen Daten erkennen lassen. Von Mitarbeitern werden im Rahmen des Arbeitsverh\u00e4ltnisses besonders sch\u00fctzenswerte Daten erhoben, wie z.B. Bankdaten, Religionszugeh\u00f6rigkeit, Krankheitstage, pers\u00f6nliche Bewertungen in der Personalakte usw. Detaillierte Bestimmungen zu Erhebung und Umgang mit Mitarbeiterdaten sind im Bundesdatenschutzgesetz zu finden.<\/p>\n\n\n\n
In diesem Beitrag gehen wir auf ein konkretes Fallbeispiel ein: Was ist zu pr\u00fcfen, wenn ein Unternehmen Mitarbeiterdaten mit Cloud-Software verarbeitet, wie z.B. spezialisierter Software f\u00fcr Reisekostenabrechnung<\/a>en oder eine Web-Software f\u00fcr die Buchhaltung<\/a>?<\/p>\n\n\n\n Gibt ein Unternehmen durch die Nutzung einer Cloud-Software Mitarbeiterdaten an Dritte weiter? Ja und nein. Ja, weil Daten\u00fcbermittlung stattfindet. Nein, weil ein Dienstleister, welcher Daten nach strengen Vorgaben durch den Auftraggeber (das Unternehmen) verarbeitet, als Teil des beauftragenden Unternehmens<\/strong> betrachtet wird. Der Dienstleister wird also nicht als \u201eDritter\u201c behandelt, sondern dem Unternehmen selbst zugerechnet. Diese besondere Art der Datenverarbeitung nennt sich in der DSGVO \u201eAuftragsverarbeitung<\/strong>\u201c. Sie ist in Art. 28 der DSGVO geregelt.<\/p>\n\n\n\n Eine Cloud-Software f\u00fcr Buchhaltung oder Reisekostenabrechnung muss also datenschutzkonform gestaltet sein. Manchmal ist auch der Begriff \u201eDSGVO Compliance\u201c zu finden, was im Wesentlichen ein anderer Begriff f\u00fcr DSGVO-konform ist und aussagt, dass die Daten sicher gespeichert werden und vor unbefugtem Zutritt gesch\u00fctzt sein m\u00fcssen.<\/p>\n\n\n\n Nochmal kurz zusammengefasst: Bei einer Auftragsverarbeitung handelt es sich um die Verarbeitung von Daten, die im Auftrag und streng weisungsgem\u00e4\u00df erfolgt. Gerade weil der Dienstleister streng nach Vorgabe des Auftraggebers und im Rahmen gesetzlicher Regelungen arbeitet, wird er als Teil des auftraggebenden Unternehmens betrachtet. Bei der Lohn\u00fcberweisung steht als Absender immer noch das Unternehmen selbst, nicht etwa der Dienstleister. Und das Unternehmen, in der DSGVO \u201eAuftraggeber\u201c genannt, ist auch durchg\u00e4ngig f\u00fcr die Verarbeitung der Mitarbeiterdaten verantwortlich.<\/p>\n\n\n\n Weitere Beispiele f\u00fcr Auftragsverarbeitung:<\/p>\n\n\n\n N2F beispielsweise verarbeitet f\u00fcr seine Kunden Reisedaten, Belege und Mitarbeiterdaten nach strengen Vorgaben, z.B. durch Steuergesetze und Unternehmensrichtlinien. Es handelt es sich bei dieser Dienstleistung um eine klassische \u201eAuftragsverarbeitung\u201c. F\u00fcr solche T\u00e4tigkeiten wird ein Auftragsverarbeitungsvertrags (AVV)<\/strong> geschlossen, in dem Art und Zweck der Datenverarbeitung festlegt werden.<\/p>\n\n\n\n Auch wenn die Fachsprache von Gesetzestexten abschreckend kompliziert klingt, ist eine DSGVO-konforme Regelung bei der Verwendung von Cloud-Software gar nicht so schwierig. Die Vorgaben f\u00fcr einen AVV sind zum Gro\u00dfteil in Art. 28 DSGVO zu finden. Einige Dienstleister stellen bereits eine AVV-Vorlage zur Verf\u00fcgung, dem der Auftraggeber nach Pr\u00fcfung einfach zustimmen kann, ohne selbst einen erstellen zu m\u00fcssen. Dieser wichtige und n\u00f6tige Schritt zum Schutz der Mitarbeiterdaten wird damit sehr vereinfacht.<\/p>\n\n\n\n Was muss laut Art. 28 DSGVO in einem AVV geregelt sein? Hier ein paar Anhaltspunkte f\u00fcr Ihre Pr\u00fcfung:<\/p>\n\n\n\n DSGVO-konforme Verarbeitung von Mitarbeiterdaten mit Cloud-Software ist wichtig. Wenn Sie f\u00fcr Ihre digitale Buchhaltung Cloud-Software nutzen, k\u00f6nnen Sie einen Auftragsverarbeitungsvertrag abschlie\u00dfen, um die Verarbeitung der Mitarbeiterdaten DSGVO-konform zu regeln. Falls Sie festgestellt haben, dass Sie an dieser Stelle in Ihrem Unternehmen nachbessern m\u00fcssen, haben Sie in diesem Beitrag ein paar konkrete Stichworte an die Hand bekommen, die Sie mit Ihrem internen Datenschutzbeauftragen oder externen Datenschutzberater besprechen sollten.<\/p>\n\n\n\n Bei der Nutzung von N2F f\u00fcr Ihre Reisekostenabrechnungen sind die Daten Ihrer Mitarbeiter sicher. N2F legt gr\u00f6\u00dften Wert auf die Einhaltung aller geltenden Bestimmungen und Gesetze. Die Software ist GoBD-konform und auch die Verarbeitung der Kunden- und Nutzerdaten ist klar in den Privacy Terms<\/a> geregelt.<\/p>\n\n\n\n![\"\"](\"https:\/\/i0.wp.com\/www.n2f.com\/blog\/wp-content\/uploads\/2020\/12\/CTA-10conseils-article-2.png?resize=720%2C259&ssl=1\")
<\/a><\/figure>\n\n\n\nCloud-Software: Verarbeitung von Daten durch einen Dienstleister<\/h2>\n\n\n\n
Auftragsverarbeitung in Zusammenhang mit der DSGVO<\/h2>\n\n\n\n
Was beinhaltet ein Auftragsverarbeitungsvertrag (AVV) nach DSGVO?<\/h2>\n\n\n\n
> Wie werden die Daten verschl\u00fcsselt? Wer hat Zugang zu den Servern? Wie ist das Firmengeb\u00e4ude des Dienstleisters, in dem Daten verarbeitet werden, gesichert?<\/li>
> Arbeitet die Buchhaltungssoftware mit Tools weiterer Dienstleister, z.B. Zahlungsdienstleister f\u00fcr \u00dcberweisungen? Wenn ja, muss das \u00fcber den AVV ausdr\u00fccklich vereinbart und geregelt sein.<\/li>Fazit<\/h2>\n\n\n\n