DSGVO - Fragen & Antworten
Früher war das so, richtig. Der Vertrag für die Auftragsverarbeitung kann nach der neuen DSGVO jetzt allerdings auch elektronisch geschlossen werden (siehe Art. 28 Abs. 9 DSGVO).
Die DSGVO ist erst ab 25.05.2018 anzuwenden, d.h. ein elektronisch geschlossener AV-Vertrag gilt streng genommen auch erst ab diesem Tag. Allerdings hindert Sie niemand daran, den Vertrag auch vor dem 25.5. schon auszudrucken und somit eine schriftliche Version in der Hand zu halten.
Der Ihnen von uns per Email zugesendete Vertragstext ist zur dauerhaften Wiedergabe geeignet, es besteht nämlich seitens der sipgate GmbH keinerlei Möglichkeit, diesen nachträglich zu ändern. Die E-Mail können Sie zunächst dauerhaft abspeichern, den Vertragstext können Sie zudem problemlos zur Aufbewahrung in Papierform ausdrucken. Wir gehen daher davon aus, dass die Zusendung des Vertragstextes per Email (natürlich unter Angabe der vollständigen Kontaktdaten beider Vertragsparteien im Vertragstext) die Formvorschrift des Art. 28 Abs. 9 DSGVO in Verbindung mit § 126b BGB wahrt.
Gerne. Bitte füllen Sie einfach das oben genannte Formular kurz erneut aus. Sie bekommen dann den Vertrag von einem unserer Mitarbeiter erneut per E-Mail zugeschickt.
Nein. Angesichts der hohen Anzahl an Kunden und der entsprechend hohen Anzahl an Verträgen, die wir schließen müssen, bitten wir um Verständnis dafür, dass ein Vertragsschluss ausschließlich elektronisch erfolgen kann.
Ihren AV-Vertrag können Sie jetzt direkt online mit uns abschließen. Sie bekommen Ihren AV-Vertrag innerhalb weniger Minuten von einem unserer Mitarbeiter per E-Mail zugestellt. Den AV-Vertrag können Sie vorab hier einsehen.
Die Europäische Union hat mit der „General Data Protection Regulation“ (GDPR, oder auf deutsch DSGVO) die Speicherung und die Verarbeitung von Daten neu geregelt. Daraus ergeben sich wichtige neue Rechte für Konsumenten, wie z.B. das Recht auf Information, Zugang, Fehlerkorrektur, Löschung, Beschränkung der Verwendung und zur Mitnahme („data portability“).
Die GDPR/DSGVO betrifft derzeit nur Firmen und Organisationen und ganz besonders solche mit mehr als 250 Mitarbeitern. Privatpersonen sind explizit ausgenommen. Wenn Sie aber beispielsweise als Freelancer Daten erheben, speichern und weiterverarbeiten, sind Sie betroffen, selbst wenn das „Daten erheben“ nur im Anlegen eines Adressbucheintrages bei einem Online-Service wie sipgate basic oder sipgate team besteht.
Seit der Neuregelung sind Unternehmen dazu verpflichtet, alle Ihre Daten-verarbeitenden Dienstleister (wie z.B. sipgate) auf die Einhaltung der GDPR/DSGVO zu überprüfen und entsprechende Verträge mit ihnen zu schließen (wie unsere Auftragsverarbeitung).
Ja und zwar nach Artikel 3. Räumlicher Anwendungsbereich:
(1) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet.
(2) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten von betroffenen Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiter, wenn die Datenverarbeitung im Zusammenhang damit steht
a) betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist;
b) das Verhalten betroffener Personen zu beobachten, soweit ihr Verhalten in der Union erfolgt.
(3) Diese Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen Verantwortlichen an einem Ort, der aufgrund Völkerrechts dem Recht eines Mitgliedstaats unterliegt.
Sehr viel, denn das neue Bürokratie-Monster betrifft jedes Unternehmen, und zwar unabhängig vom Umsatz oder der Anzahl der Beschäftigten. Auch ein Drei-Mann-Reisebüro muss also dafür sorgen, dass Unbefugte nicht an Kundenoder Mitarbeiterdaten herankommen – und dass mit den Daten auch intern nichts angestellt wird, dem die Kunden vorher nicht ausdrücklich zugestimmt haben.
Wer Daten in Länder außerhalb der EU übermittelt, muss sicherstellen, dass die Informationen dort nach den Standards der EU-DSGVO behandelt werden. Bei Verstößen des Dienstleisters kann das Reisebüro in Haftung genommen werden.
Der oder die Datenschutzbeauftragte (DSB). Eine solche Person muss jedes Unternehmen mit zehn Mitarbeitern oder mehr benennen. Zu den Beschäftigten zählen neben den Expedienten alle Personen, die in irgendeiner Weise mit Kunden- oder Mitarbeiterdaten in Kontakt kommen können – im Zweifelsfall also auch das externe Reinigungspersonal, das die Mülleimer leert.
Da Verstöße gegen die DSGVO sehr teuer werden können (siehe unten), empfiehlt sich nach Ansicht von Experten für jeden Betrieb unabhängig von der Größe ein DSB. Dieser kann entweder ein Mitarbeiter des Reisebüros oder ein externer Dienstleister (ähnlich wie ein Steuerberater) sein.
Die Datenschutz-Aufsichtsbehörde Niedersachsen prüft derzeit, ob Reisebüros nicht sowieso zu den Unternehmen gehören, die ständig Daten an Dritte (Veranstalter, Hotels, Airlines und so weiter) übermitteln und deshalb in jedem Fall unabhängig von ihrer Größe einen DSB brauchen.
Für die SemiTimeS ist die Aufsichtsbehörde des Bundeslandes zuständig, in dem der Sitz des Unternehmens liegt. Der Sitz der SemiTimeS ist im Freistaat Bayern.
Maßgeblicher Anknüpfungspunkt ist dabei der Sitz des Unternehmens, nicht hingegen die ggf. handelnde Geschäftsstelle, Zweigstelle oder Filiale.
Nach der Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür Sorge tragen, dass die Übermittlung personenbezogener Daten in ein Drittland nur dann erfolgen kann, wenn das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und vor der Übermittlung die aufgrund der anderen Bestimmungen der Richtlinie erlassenen Vorschriften der Mitgliedstaaten beachtet werden.
Weitere detaillierte Informationen hierfür finden Sie in der EU-Mustervertragsklauseln zur Datenübermittlung in Drittstaaten, Variante 1 und in der EU-Mustervertragsklauseln zur Datenübermittlung in Drittstaaten, Variante 2 .
Wir haben Partnerunternehmen in Serbien für welche wir Fahrscheine verkaufen. Ab dem 25.05.2018 stellen wir für alle Passagieren nach Serbien oder aus Serbien keine Fahrscheine mehr mit Vor- und Nachname aus. Die Fahrscheine enthalten nur folgende Daten: 1. Ausgangsort, 2. Zielort, 3. Abfahrtsdatum, 4. Abfahrtszeit, 5. ca. Ankunftszeit, 6. Beförderungsentgelt und 7. Name des Beförderungsunternehmens.
Die erforderliche Zuordenbarkeit zum Fahrgast ist durch die, auf dem Fahrschein dargestellte Ticket-Nummer und das 3-D Code, gewährleistet.
Wir haben Partnerunternehmen in Bosnien und Herzegowina für welche wir Fahrscheine verkaufen. Ab dem 25.05.2018 stellen wir für alle Passagieren nach Bosnien und Herzegowina oder aus Bosnien und Herzegowina keine Fahrscheine mehr mit Vor- und Nachname aus. Die Fahrscheine enthalten nur folgende Daten: 1. Ausgangsort, 2. Zielort, 3. Abfahrtsdatum, 4. Abfahrtszeit, 5. ca. Ankunftszeit, 6. Beförderungsentgelt und 7. Name des Beförderungsunternehmens.
Die erforderliche Zuordenbarkeit zum Fahrgast ist durch die, auf dem Fahrschein dargestellte Ticket-Nummer und das 3-D Code, gewährleistet.
Wir haben Partnerunternehmen in Mazedonien für welche wir Fahrscheine verkaufen. Ab dem 25.05.2018 stellen wir für alle Passagieren nach Mazedonien oder aus Mazedonien keine Fahrscheine mehr mit Vor- und Nachname aus. Die Fahrscheine enthalten nur folgende Daten: 1. Ausgangsort, 2. Zielort, 3. Abfahrtsdatum, 4. Abfahrtszeit, 5. ca. Ankunftszeit, 6. Beförderungsentgelt und 7. Name des Beförderungsunternehmens.
Die erforderliche Zuordenbarkeit zum Fahrgast ist durch die, auf dem Fahrschein dargestellte Ticket-Nummer und das 3-D Code, gewährleistet.
Wir haben Partnerunternehmen in Montenegro für welche wir Fahrscheine verkaufen. Ab dem 25.05.2018 stellen wir für alle Passagieren nach Montenegro oder aus Montenegro keine Fahrscheine mehr mit Vor- und Nachname aus. Die Fahrscheine enthalten nur folgende Daten: 1. Ausgangsort, 2. Zielort, 3. Abfahrtsdatum, 4. Abfahrtszeit, 5. ca. Ankunftszeit, 6. Beförderungsentgelt und 7. Name des Beförderungsunternehmens.
Die erforderliche Zuordenbarkeit zum Fahrgast ist durch die, auf dem Fahrschein dargestellte Ticket-Nummer und das 3-D Code, gewährleistet.
Wir haben Partnerunternehmen in Albanien für welche wir Fahrscheine verkaufen. Ab dem 25.05.2018 stellen wir für alle Passagieren nach Albanien oder aus Albanien keine Fahrscheine mehr mit Vor- und Nachname aus. Die Fahrscheine enthalten nur folgende Daten: 1. Ausgangsort, 2. Zielort, 3. Abfahrtsdatum, 4. Abfahrtszeit, 5. ca. Ankunftszeit, 6. Beförderungsentgelt und 7. Name des Beförderungsunternehmens.
Die erforderliche Zuordenbarkeit zum Fahrgast ist durch die, auf dem Fahrschein dargestellte Ticket-Nummer und das 3-D Code, gewährleistet.
An Firmen, welche Ihren Sitz in einem EU-Land haben dürfen wir die Fahrgastdaten an das Beförderungsunternehmen weitergeben vorausgesetzt, das jeweilige Unternehmen hat mit uns einen Auftragsverarbeitungsvertrag abgeschlossen.
Wenn Sie ein Fahrschein kaufen, wobei Sie Ihren Vor- und Nachname als Passagier eingeben müssen, dann ist das DSGVO konform, da wir dann mit dem Unternehmer einen s.g. Auftragsverarbeitungsvertrag abgeschlossen haben.
Wir behalten uns das Recht vor, einen Auftragsverarbeitungsvertrag abzuschließen nur mit unternehmen, wo wir die Einhaltung des DSGVO als konform sehen.
Bislang wenig beachtet wird durch die EU-DSGVO auch ein neues Rechtsinstitut eingeführt: der EU-Vertreter bzw. Vertreter in der Union. Seine Existenz hängt eng mit dem durch die EU-DSGVO neu eingeführten Marktortprinzip zusammen. Alle Unternehmen, die keine Niederlassung in der EU unterhalten, aber Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten – z.B. durch „Tracking“ oder „Profiling“ – beobachten, müssen grundsätzlich einen EU-Vertreter bestellen. Dieser soll insbesondere als Anlaufstelle und Ansprechpartner für Aufsichtsbehörden und betroffene Personen dienen und stellt damit das Bindeglied zwischen diesen und dem in einem Drittland niedergelassenen datenverarbeitenden Unternehmen dar.
Diese Verpflichtung gilt für den Verantwortlichen ebenso wie für den Auftragsverarbeiter. Die Auftragsverarbeitung in einem Drittland kann somit dazu führen, dass der Auftragsverarbeiter zur Einhaltung europäischen Datenschutzrechts verpflichtet wird und einen Vertreter in der Union bestellen muss.
Gemäß Art. 27 Abs. 4 EU-DSGVO soll er insbesondere als Anlaufstelle und Ansprechpartner für Aufsichtsbehörden und betroffene Personen dienen. Er stellt damit das Bindeglied zwischen diesen und dem in einem Drittland niedergelassenen datenverarbeitenden Unternehmen dar.
Die Benennung eines Vertreters für die Union schließt es gemäß Art. 27 Abs. 5 EU-DSGVO aber nicht aus, dass erforderliche rechtliche Schritte unmittelbar gegen den Verantwortlichen oder Auftragsverarbeiter gerichtet werden. Das Vorhandensein eines EU-Vertreters berührt die Verantwortung und Haftung der datenverarbeitenden Stelle nicht. Betroffene und Aufsichtsbehörden haben bei Datenschutzverletzungen somit die Wahl, ob sie sich an den EU-Vertreter oder den Verantwortlichen oder Auftragsverarbeiter selbst wenden.
