Ändert sich die DSGVO in diesem Jahr für die Software, die Sie täglich verwenden? Nein, die Verordnung selbst wartet nicht auf ein jährliches Update; diese Regeln sind fest. Was sich ändert, ist die Praxis drumherum: Anbieter von Buchhaltungssoftware, E-Mail-Programmen und CRM-Systemen fügen ständig neue Funktionen hinzu, wechseln Unterauftragnehmer aus oder passen ihren Auftragsverarbeitungsvertrag an. Für Sie als Nutzer bedeutet das nicht, dass Sie von vorne anfangen müssen, aber es lohnt sich, von Zeit zu Zeit zu überprüfen, ob die Vereinbarungen, die Sie einmal getroffen haben, noch mit dem übereinstimmen, was das Tool jetzt tut.
Dies ist besonders relevant für Unternehmen, die mehrere Cloud-Tools nebeneinander nutzen: ein Buchhaltungspaket, einen E-Mail-Anbieter, ein Planungstool, möglicherweise ein CRM. Jeder Anbieter arbeitet in seinem eigenen Tempo an seinem Service, und nicht jede Änderung wird laut angekündigt. Für Sie zählt vor allem, ob ein Tool noch immer tut, was Sie dachten, dass er tat, als Sie den Auftragsverarbeitungsvertrag unterzeichneten.
Das Gesetz steht still, der Service nicht
Die DSGVO beschreibt, was ein Auftragsverarbeiter mit personenbezogenen Daten, die Sie bereitstellen, darf und muss, und was in einen Auftragsverarbeitungsvertrag gehört. Dieser Kern ändert sich nicht plötzlich. Was sich ändert, ist der Service selbst: ein Tool, das letztes Jahr nur E-Mails versendet hat, kann dieses Jahr eine Funktion haben, die E-Mails automatisch zusammenfasst oder Entwürfe vorschlägt. Eine solche Funktion kann Daten auf andere Weise nutzen, als Sie jemals dem Auftragsverarbeitungsvertrag zustimmten. Die Verordnung verlangt dann nicht nach einem neuen Gesetz, sondern nach einem neuen Blick auf eine bestehende Vereinbarung.
Funktionen, die im Verborgenen hinzukommen
Die offensichtlichste Veränderung der letzten Zeit liegt in Tools, die künstliche Intelligenz zu etwas hinzufügen, das Sie bereits nutzten: ein Textvorschlag in Ihrem E-Mail-Programm, eine automatische Zusammenfassung einer Besprechung, eine Chatfunktion in Ihrem CRM. Solche Funktionen werden oft automatisch bei einem Update aktiviert, ohne dass Sie sich explizit dafür entscheiden. Ob und wie eine solche Funktion personenbezogene Daten verarbeitet und ob das in den bestehenden Auftragsverarbeitungsvertrag fällt, müssen Sie pro Tool überprüfen. für jedes häufig genutzte Tool nachsehen, wie es mit Daten umgeht gibt dafür eine erste Orientierung, mit Angabe der Fundstelle der Regel.
Was sich in einem Auftragsverarbeitungsvertrag verschieben kann
Neben Funktionen ändert sich manchmal an der Vereinbarung selbst etwas. Anbieter arbeiten mit Vorlagen, die sie regelmäßig aktualisieren, beispielsweise weil sie einen neuen Unterauftragnehmer einbeziehen, ihren Serverstandort ändern oder ihre Sicherheitsmaßnahmen anpassen. Solche Änderungen werden meist mit einer E-Mail-Mitteilung oder einem Banner in der Anwendung mitgeteilt, aber längst nicht immer gelesen. Ein Auftragsverarbeitungsvertrag, dem Sie vor zwei Jahren zustimmten, muss nicht automatisch jetzt noch gültig sein. Es liegt an Ihnen, zu beurteilen, ob die neue Version noch zu dem passt, was Sie mit diesem Tool tun, und was das für die Maßnahmen bedeutet, die mit Ihren Daten verbunden sind.
Was dies konkret für Ihr Unternehmen bedeutet
Für die meisten KMU-Unternehmen läuft dies auf ein regelmäßiges, kurzes Wartungsmoment hinaus: einmal pro Jahr die Tools durchgehen, die Sie nutzen, überprüfen, ob der Auftragsverarbeitungsvertrag noch aktuell ist, und ob neue Funktionen hinzugekommen sind, die Sie nicht kannten. Das ist keine juristische Übung, eher eine Überprüfung, die Sie zusammen mit derjenigen Person durchführen können, die die Software verwaltet. Im Zweifelsfall über die genaue Auslegung einer Bestimmung in einer Vereinbarung oder über die Frage, ob eine neue Funktion in die bestehenden Vereinbarungen passt, ist es ratsam, den Anbieter selbst zu fragen, oder einen Juristen oder die Autorität Persoongegevens zu konsultieren.
Wo Sie dies finden
Wir verwalten eine Bibliothek bekannter SaaS-Tools und geben an, woher etwas im Text der DSGVO oder in einer Richtlinie des EDSB oder der niederländischen Datenschutzbehörde stammt, damit Sie es selbst nachlesen können. wie diese Fundstellen zustande kommen erläutert, wie dieser Prozess funktioniert. Sobald sich in einem von Ihnen genutzten Tool etwas ändert, das Ihre Situation betrifft, ist dies etwas, das über ein Abonnement signalisiert wird; die Wissensdatenbank selbst bleibt für jeden kostenlos einsehbar.
Möchten Sie wissen, ob dies für Ihr Unternehmen von Bedeutung ist? Führen Sie den kostenlosen Quick-Check durch oder blättern Sie durch die häufigsten Fragen zu Software und der DSGVO um zu sehen, was Ihre Situation erfordert.