Im Auftrag der DSGVO

Joerg und Holger besprechen in Episode 38 zunächst ein Bußgeld der
niederländischen Datenschutzaufsicht gegen eine Gemeinde: Die Stadt
Enschede hat mit WLAN-Sensoren den Andrang in der Innenstadt
gemessen, hätte dabei aber auch Bewegungsprofile der
Bürger-Smartphones erstellen können. Doch genügt es, dass sie es
technisch hätte können, um sie dafür zu bestrafen? Rechtsanwalt
Sascha Kremer, Gast der Sendung, bezweifelt das und hält das
Bußgeld für übertrieben. Es ist nicht rechtskräftig, und wird es
nach Meinung von Sascha wohl auch nicht werden. Schwerpunkt der
Episode ist allerdings das datenschutzrechtliche Konstrukt der
Auftragsverarbeitung. Welche Haftung trifft den Verantwortlichen,
welche den Auftragsverarbeiter? Was ist ein AV-Vertrag, und vor
allem: Wann ist er nötig und was muss drinstehen? Sascha erläutert,
wie der wenig bekannte Artikel 29 der DSGVO zu interpretieren ist,
in dem wage die Rolle der "unterstellten Person" des
Verantwortlichen beschrieben ist, also etwa die aller Mitarbeiter
im Unternehmen außer dem Chef. Anhand vieler Beispiele macht Sascha
klar, wie wichtig es ist, sich mit der Auftragsverarbeitung zu
beschäftigen, sei es als verantwortlicher Datenverarbeiter oder als
davon Betroffener. Und um es richtig kompliziert zu machen, gibt es
ja auch noch die gemeinsame Verantwortung ("Joint Controlling") ...