Dr. André Schmidt

Am 16. Juli 2020 hat der europäische Gerichtshof (EuGH) das EU-US Privacy Shield für rechtswidrig erklärt (Rs. C 311/18 - Lesen Sie hier den Hintergrund zur EuGH-Entscheidung). Dieser Umstand hat enorme Auswirkungen auf Datentransfers in die USA. Mit den nachfolgenden FAQs möchten wir Ihnen einige Handlungshilfen geben.

Wer ist betroffen?

Für Unternehmen (Verantwortliche / Auftragsverarbeiter) ist das relevant, sofern sie Dienstleister einsetzen oder Technologien auf Ihren Webseiten nutzen, welche Daten in die USA übertragen oder aus den USA auf Daten zugreifen. Gleichermaßen sind Dienstleister und Anbieter von Technologien betroffen (egal ob in der Rolle als Verantwortlicher oder Auftragsverarbeiter).

Warum sollte ich unverzüglich handeln?

Für eine Umstellung der vertraglichen Regelungen gibt es keine Übergangsfrist. Das heißt: Unternehmen laufen Gefahr in den Radar der Aufsichtsbehörden zu gelangen, wenn sie noch nichts unternommen haben, aber Daten in die USA transferieren.

Es wurden bereits nach unserer Kenntnis 101 Beschwerden gegen Unternehmen in 30 EU- und EWR-Mitgliedsstatten durch die Organisation NOYB wegen Datentransfers in die USA ohne hinreichende Datenschutzgarantien eingereicht.

Ferner plant der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) Baden-Württemberg zeitgleich mit anderen deutschen Aufsichtsbehörden in einem groß angelegten Verfahren, Online-Angebote auf eine rechtskonforme Einbindung von Tracking-Technologien zu prüfen. Hierzu sollen Cookie Banner untersucht werden, ob sie die Anforderungen der DSGVO einhalten. Die Pressemitteilung können Sie hier einsehen.

Was muss ich tun, wenn ich betroffen bin?

Mittlerweile hat sich herauskristallisiert, welche Richtung nach Wegfall des EU-US Privacy Shields eingeschlagen wird. Als Orientierungshilfe für die vorzunehmenden Schritte hat die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) Handlungsempfehlungen für Unternehmen veröffentlicht.

Auch der LfDI Baden-Württemberg hat als erste Aufsichtsbehörde eine erste Orientierungshilfe veröffentlicht. 

Die ersten Schritte, die aus unserer Sicht ergriffen werden sollten, sind:

• Identifizierung aller Datenströme in Länder außerhalb der EU/des EWR.
• Benennung der vorhandenen Datenschutzgarantien (z.B. EU-Standardvertragsklauseln).
• Ermittlung von Art, Umfang und Zweck der Datenübermittlung.
• Anfrage bei dem Dienstleister, welche Maßnahmen ergriffen wurden, um den Wegfall des Privacy Shields zu begegnen.
• Gegebenenfalls gezielte Nachfrage, ob der Dienstleister, den als bedenklich eingestuften Regelungen unterliegt (beispielsweise FISA für USA).
• Prüfung anhand der Antworten, ob Datenübermittlungen mit anderen Schutzmaßnahmen abgesichert werden können.
• Prüfung der Auftragsverarbeitungsverträge (AVV), insbesondere ob genehmigte Unterauftragsverhältnisse vorliegen, welche Daten in Drittländer übermitteln oder einen Zugriff eines Drittlandes ermöglichen.

Nachdem die obigen Punkte aufgeklärt sind, sollte eine individuelle Entscheidung darüber getroffen werden, wie weiter zu verfahren ist.

Ein Anpassungsbedarf kann sich insbesondere ergeben für:

• Datenschutzhinweise: Beispielweise bei Datenschutzerklärungen, Datenschutzhinweise an Mitarbeiter, App-Nutzer oder Websitebesucher.
• Auskunftsersuchen: Neben Informationen zu Datenübermittlungen in Drittländer sind auch Angaben zu den Datenschutzgarantien zu tätigen.
• Verarbeitungsverzeichnis: Die Anpassung der Informationen zu Datenempfängern in Drittländern und die Dokumentation der ergriffenen Schutzmaßnahmen erleichtert die Anpassung der Datenschutzhinweise als auch die Beantwortung der Auskunftsbegehren.
• Technisch organisatorische Maßnahmen (TOM): Mittels ergriffener TOM, wie beispielweise von Verschlüsselungstechnologien, kann zusätzliche Sicherheit gewährleistet werden.

Was sagen die Aufsichtsbehörden?

Die Aufsichtsbehörden positionieren sich gegenwärtig überwiegend zaghaft. Hier finden Sie eine Übersicht über Stellungnahmen deutscher, ausländischer als auch internationaler Behörden. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat sich hingegen klar positioniert: In Berlin datenverarbeitenden Stellen sollen, in USA gespeicherte personenbezogene Daten nach Europa verlagern.

Der Wegfall des EU-US Privacy Shields stellt Betroffene daher vor erhebliche Herausforderungen. An einem Nachfolgeabkommen wird gearbeitet. Es ist aber noch vollkommen unklar, wann dieses verabschiedet wird. Bis dahin können noch mehrere Monate vergehen.

Beitrag von Dr. André Schmidt und Philip Koch (Rechtsreferendar)

Vertrauen durch Transparenz

Etwa 60 Prozent des privaten und 30 Prozent des öffentlichen Verbrauchs an Waren und Dienstleistungen werden, nach Einschätzung der Europäischen Union, im Zusammenhang mit der gesamten digitalen Wirtschaft über Online-Vermittler abgewickelt. Plattformbetreiber fungieren dabei als Schnittstelle zwischen Unternehmer und Kunden.

Die EU hat vor diesem Hintergrund mit Wirkung zum 12. Juli 2020 die „Platform-to-Business-Verordnung“ bzw. „P2B-VO“ (EU-Verordnung 2019/1150) erlassen, die ab diesem Tag unmittelbar und verbindlich EU-weit gilt. Ziel der Verordnung ist es, Online-Vermittlungsdienste und -Plattformen transparenter und ausgeglichener zu gestalten.

Balance zwischen Plattformen und Unternehmern

Laut der Begründung zur P2B-VO sieht die EU ein potenziell gefährliches Abhängigkeitsverhältnis von Unternehmen gegenüber bestimmten Online-Diensten. Dieses Ungleichgewicht könne dazu führen, dass die Anbieter solcher Online-Vermittlungsdienste nach Gutdünken möglicherweise schädliche Handelspraktiken anwenden könnten. Dies könnte wiederum den Absatz, den gewerbliche Nutzer über sie abwickeln, einschränken und auch deren Vertrauen untergraben. Die Verordnung soll daher vor allem eine bessere Balance zwischen Plattformen und deren Geschäftskunden schaffen. So soll zum Beispiel sichergestellt werden, dass interne Beschwerdemechanismen eingerichtet werden, um Streitigkeiten, etwa hinsichtlich der Platzierung von Produkten oder Sperren von Angeboten, einfacher und schneller beilegen zu können. Im Gegensatz zu der kartellrechtlichen Missbrauchsaufsicht sollen nun, anstelle einer rückwirkenden Überprüfung, aus ex-ante-Sicht lenkende Gesetzesvorgaben gemacht werden, die dazu im Raum der Europäischen Union einheitlich Wirkung entfalten.

Amazon, Apple & Co. sind betroffen

Der Regelungsgehalt der Platform-to-Business-Verordnung umfasst zum einen Online-Vermittlungsdienste (Art. 2 Nr. 2 P2B-VO). Hierzu gehören Online-Plattformen,

• die es anderen Unternehmern ermöglichen,
• dass diese ihre Waren oder Dienstleistungen gegenüber Verbrauchern anbieten

Ausgenommen sind jedoch die Bereiche Peer-to-Peer, also Dienste ohne beteiligte gewerbliche Nutzer, und Business-to-Business, also Dienste ohne Beteiligung von Verbrauchern, sowie Online-Zahlungsdienste. Von der Verordnung sind bspw. Online-Marktplätze für Waren, Software oder Dienste sowie Unterkunft- und Reisevermittlungsportale betroffen. Zu den bekannten Vertretern solcher Dienste gehören sicherlich Preisvergleichsportale, Amazon Marketplace, eBay, Facebook Pages, App Stores und (je nach Ausgestaltung) auch Reiseportale.

Zum anderen erstreckt sich der Anwendungsbereich der Verordnung auch auf und Online-Suchmaschinen (Art. 2 Nr. 5 P2B-VO).

Grundsätzlich ist eine Anwendung auch auf Dienste mit Sitz außerhalb der EU denkbar, da die Verordnung gemäß Art. 1 Abs. 2 P2B-VO keine Einschränkung aufgrund des jeweiligen Niederlassungsortes oder Wohnsitzes des Anbieters macht. Maßgeblich ist nur, dass die gewerblichen Nutzer, die solche Dienste in Anspruch nehmen, ihren Sitz oder Wohnort in der EU haben und über den Vermittlungsdienst Waren oder Dienstleistungen in der EU befindlichen Kunden anbieten.

AGB-Änderungen bedürfen Unterrichtung

Die Verordnung bringt verschiedene Verpflichtungen für Anbieter von Online-Vermittlungsdiensten und -Suchmaschinen mit sich. Diese betreffen vorwiegend den Inhalt der allgemeinen Geschäftsbedingungen, aber auch unter anderem das Beschwerdemanagement, Transparenz bezüglichen Rankings und die Möglichkeit Einschränkungen des Dienstes gegenüber gewerblichen Nutzern vorzunehmen.

Allgemeine Geschäftsbedingungen müssen gemäß Art. 3 P2B-VO von den Anbietern von Online-Vermittlungsdiensten klar und eindeutig formuliert sowie jederzeit leicht verfügbar sein und Gründe enthalten, nach welchen objektiven Kriterien Dienste für gewerbliche Nutzer ausgesetzt, beendet oder sonst eingeschränkt werden. Änderungen der AGBs bedürfen zudem spätestens 15 Tage vor Umsetzung, bis auf wenige Ausnahmen, einer Unterrichtung der Nutzer.

AGBs, die den genannten Bedingungen nicht entsprechen, sind nichtig (Art. 3 Abs. 3 P2B-VO). Bezüglich Rankings sind gemäß Art. 5 P2B-VO gegenüber Nutzern die Hauptparameter und die Gründe für die relative Gewichtung dieser Hauptparameter gegenüber anderen Parametern offenzulegen.

Beschwerdemanagementsystem und Mediation

Anbietern obliegt es gemäß Art. 11 P2B-VO ein internes Beschwerdemanagement einzurichten, das für den Nutzer leicht zugänglich und kostenlos sein muss. Außerdem haben sie jährlich einen Bericht über die Wirksamkeit des Beschwerdemanagementsystems zu veröffentlichen. Diese Regelung gilt nur nicht für kleine Unternehmen mit weniger als 50 Beschäftigten und unter 10 Mio. Euro Jahresumsatz.

Die Anbieter sind – sofern sie nicht unter die vorstehende „Kleinunternehmen“-Regelung fallen außerdem verpflichtet, in Mediatoren zu benennen, die im Streitfall zwischen Anbieter der Plattform und den Unternehmen schlichten sollen. Die Mediatoren müssen unparteiisch und von dem Plattformbetreiber unabhängig sein (Art. 12 P2B-VO).

Sanktionierungsmaß

Für den Fall von Verstößen gegen Bestimmungen der P2B-Verordnung sind zunächst keine konkreten Sanktionen formuliert. Wirksame, verhältnismäßige und abschreckende Vorschriften für Sanktionen sollen jedoch gemäß Art. 15 P2B-VO von den Mitgliedsstaaten selbst aufgestellt werden.

In der Bundesrepublik Deutschland können Verstöße gegen die Platform-to-Business-Verordnung bspw. über das Lauterkeitsrecht (§ 3a UWG) oder ggf. Kartellrecht (§ 19 GWB) geahndet werden.

Anbietern von Online-Vermittlungsdiensten und -Suchmaschinen ist deshalb zu raten, ihre Plattformen bis zum 12. Juli 2020 den Anforderungen der P2B-Verordnung entsprechend anzupassen.

Auftragsverarbeiter im Homeoffice

Viele Auftragsverarbeitungsvereinbarungen (AVV), die zusammen mit Service-, SaaS- und Cloud-Verträgen abgeschlossen wurden, haben so etwas wie die Corona-Pandemie verständlicherweise nicht berücksichtigt. Eine der häufigsten Empfehlungen dieser Tage lautet, die eigenen Beschäftigten ins Homeoffice zu schicken. Die Auftragsverarbeitungsverträge mit den eigenen Dienstleistern sehen jedoch häufig nicht vor, dass ihre Beschäftigten für die Auftraggeber im Homeoffice tätig sein können. Einige AVV untersagen sogar explizit die „Telearbeit“, womit sowohl das Homeoffice als auch die Mobilarbeit gemeint ist.

Empfehlung: Der Auftraggeber und der Auftragnehmer sollten eine Ergänzung zur Auftragsverarbeitungsvereinbarung abschließen, die die Telearbeit bzw. das Home/Mobile Office zumindest bis auf Weiteres gestattet. In der Ergänzungsvereinbarung wären dann die Rahmenbedingungen festzulegen, die der Auftragnehmer einhalten muss, wenn er seinen Mitarbeitern das Homeoffice bzw. die Mobilarbeit ermöglicht.

Verzögerung bei Projektleistungen und Mitwirkungsleistungen

In IT-Projektverträgen sind häufig Termine und Fristen genannt. Soweit COVID-19 für die Verzögerung oder den vorläufigen Leistungsstopp die Ursache ist, kann sich der IT-Dienstleister auf höhere Gewalt berufen. Aber auch der Auftraggeber kann aufgrund von Corona an der Erbringung seiner Mitwirkungsleistungen und Beistellpflichten gehindert sein.

Kommt es über die Ursache der Verzögerung oder Leistungsverhinderung zum Streit, so ist entscheidend, wer die Beweislast trägt. Soweit vertraglich dazu nichts geregelt ist, muss im Regelfall derjenige den Nachweis erbringen, der sich auf die Terminüberschreitung aufgrund höherer Gewalt beruft.

Doch selbst wenn das Coronavirus eine Vertragspartei an ihrer Leistungserbringung hindert, müssen die vertraglichen Vorgaben beachtet werden:

• Enthält der Vertrag Melde- und Informationspflichten?
• Muss der Auftragnehmer oder Auftraggeber bestimmte Formerfordernisse bei der Mitteilung seiner Leistungsverhinderung einhalten?

Welche Folgen die Leistungsverhinderung aufgrund der höheren Gewalt durch die COVID-Pandemie hat, entscheidet sich ebenfalls primär nach den vertraglich vereinbarten Bedingungen. Üblich sind bspw. Regelungen, die automatisch zu einer Verlängerung der Fristen oder einer angemessenen Verschiebung von Terminen führen. Häufig sind aber auch Kündigungs- und Rücktrittsrechte geregelt, wenn die Leistungserbringung für längere Zeit nicht möglich ist. Nur soweit nichts geregelt ist, greifen die gesetzlichen Bestimmungen ein, die – je nach den konkreten Umständen – auch zur außerordentlichen Kündigung oder zum Rücktritt berechtigten können.

Empfehlung: Eine frühzeitige Kommunikation zwischen Auftraggeber und Auftragnehmer vermeidet Überraschungen und ermöglicht beiden Seiten, Ausweichlösungen zu vereinbaren. Dabei ist ratsam, die vertraglichen Rahmenbedingungen stets im Blick zu behalten, falls es im weiteren Verlauf doch zum Streit kommt.

Unterschreitung von Service Level Agreements (SLA)  

Cloud-Service, SaaS-Leistungen und Support-Dienste versprechen häufig sogenannte SLA (Service Level Agreements), die unter anderem Verfügbarkeitszeiten, Reaktionszeiten und Erledigungszeiten vorsehen. Aufgrund der Pandemie wird es zukünftig einigen Dienstleistern schwerfallen, die versprochenen Service Level einzuhalten. Ein Grund dafür wird die Überlastung von IT-Ressourcen sein, die einige Cloud- und SaaS-Dienstleister aufgrund des Ansturms bislang nicht vorhergesehen haben. Andere Service-Provider werden damit zu kämpfen haben, dass nicht alle notwendigen Tätigkeiten im Homeoffice verrichtet werden können und die Mitarbeiter vor Ort fehlen.

Die Verfehlung von versprochenen SLA kann bspw. zur Folge haben, dass Vergütungsansprüche gemindert werden, Service Credits zu entrichten sind oder gar Vertragsstrafen zu zahlen sind.

Auch hier wird wieder entscheidend sein, in welchem Umfang sich der Service-Provider auf höhere Gewalt aufgrund von COVID-19 berufen kann und wer dies im Streitfall nachzuweisen hat. Soweit vertraglich nichts Abweichendes geregelt ist, liegt die Beweislast beim Service-Provider.

Sofern Kunden von Cloud- und SaaS-Diensten eigene Rechte infolge der SLA-Unterschreitungen der Anbieter geltend machen möchten, müssen sie die vertraglich dafür vorgesehen Rahmenbedingungen beachten. Mitunter enthalten die Verträge kurze Meldefristen, Formerfordernisse oder Ausschlussgründe, die der Kunde kennen sollte.