DSGVO

Der Datenschutz ist bei Bilendo von Beginn an eine wichtige Komponente sowohl bei der Entwicklung der Software als auch bei der damit einhergehenden Speicherung und Verarbeitung von Daten. Im Rahmen der DS-GVO wollen wir zum einen die neue Verordnung vorstellen und zum anderen zeigen, wie der Datenschutz im Unternehmen und in der Software implementiert und umgesetzt wird.

Was ist die DS-GVO?

Die Datenschutz-Grundverordnung, kurz DS-GVO, ist eine EU-Grundverordnung, die 2016 vom europäischen Parlament verabschiedet wurde und seit dem 25. Mai 2018 in Deutschland gilt — sie ersetzt die aus dem Jahr 1995 stammende EU-Datenschutzrichtlinie. Ziel der DS-GVO ist der verbesserte Schutz personenbezogener Daten aller Bürger/innen der Europäischen Union: Unternehmen und öffentliche Stellen sind an deutlich strengere Regelungen gebunden, Sanktionen bei Rechtsverletzungen wurden erhöht und die Rechte der Betroffenen weiter gestärkt.

Für wen gilt die DS-GVO?

Die DS-GVO gilt in allen EU-Mitgliedstaaten und für alle Unternehmen mit europäischem Sitz. Sie ist deutlich weiter gefasst als die Richtlinie von 1995 und gilt gleichermaßen für Unternehmen mit Sitz in Drittländern, die Daten von EU-Bürgern speichern und verarbeiten. Damit schafft die DS-GVO einen einheitlichen Rechtsrahmen für alle EU-Mitglieder und stärkt die Datenhoheit der Bürger/innen, insbesondere gegenüber Unternehmen mit Sitz außerhalb der EU.

Die kompletten rechtlichen Vorschriften können Sie hier nachlesen.

Rechtlicher Hinweis

Unsere Website dient weder als Standardwerk über die europäische Datenschutz-Grundverordnung noch als rechtliche Beratung für andere Unternehmen, und auch nicht als Leitfaden für rechtskonforme Einhaltung der DS-GVO. Es geht um die Bereitstellung und Zusammenfassung relevanter Informationen, damit jeder nachvollziehen kann, wie Bilendo die gesetzlichen Änderungen intern handhabt. Diese Informationen ersetzen keine rechtliche Beratung durch einen Rechtsanwalt und sind nicht als Empfehlung für eine bestimmte Auslegung geltenden Rechts zu verstehen.

Die wichtigsten Änderungen durch die DS-GVO

Rechte von Personen

Einer der wichtigsten Punkte in der DS-GVO ist die Verarbeitung und Speicherung von personenbezogenen Daten von Unternehmen und öffentlichen Stellen. Personenbezogene Daten sind im weitesten Sinne alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen — nach Art. 4 Abs. 1 DSGVO eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie Namen, Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen identifiziert werden kann.

Einwilligung zur Verarbeitung von personenbezogenen Daten

Die DS-GVO verschärft die Bedingungen für wirksame Einwilligung (Art. 4 Abs. 11, Art. 7 DSGVO): Die Einwilligungserklärung muss klar und einfach formuliert sein, den Zweck der Verarbeitung deutlich beschreiben und gesondert von anderen Inhalten dargestellt werden — das „Verstecken“ der Einwilligung in AGB oder Datenschutzerklärung entspricht nicht der DS-GVO. Zusätzlich muss die Einwilligung folgenden Grundsätzen entsprechen:

• Freiwilligkeit — eindeutige und freiwillige Einwilligung für einen oder mehrere festgelegte Zwecke (Erwägungsgrund 43).
• Informiertheit — unzweifelhafte Belehrung darüber, welche Daten erhoben werden, zu welchem Zweck und von wem sie gespeichert und verarbeitet werden.
• Eindeutigkeit — aktive Opt-In- statt passiver Opt-Out-Lösung (Erwägungsgrund 42).
• Kopplungsverbot — die Leistungserbringung darf nicht von einer Einwilligung abhängig gemacht werden, die für den eigentlichen Zweck der Leistung nicht benötigt wird (Art. 7 Abs. 4 DSGVO).
• Form — schriftlich, elektronisch oder mündlich, unmissverständlich als Willenserklärung erkennbar (Nachweispflicht beim Datenverarbeiter, Art. 5 DSGVO).
• Hinweis auf das Widerrufsrecht.

Informationspflicht der Unternehmen

Mit der DS-GVO müssen Unternehmen umfangreichen Informationspflichten gemäß Art. 13 und 14 DSGVO gegenüber betroffenen Personen nachkommen, unter anderem:

• Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten
• Zwecke und Rechtsgrundlage der Verarbeitung, berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO
• Empfänger oder Kategorien von Empfängern, Informationen zur Übermittlung in Drittländer
• Dauer der Datenspeicherung
• Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Portabilität, Beschwerde) nach Art. 15–21 DSGVO
• Verpflichtung zur Bereitstellung personenbezogener Daten und Widerrufbarkeit der Einwilligung
• Automatisierte Einzelfallentscheidung einschließlich Profiling

Bilendo stellt eine ausführliche Datenschutzerklärung bereit, die diese Punkte vollständig abdeckt. Bei Fragen erreichen Sie uns jederzeit unter datenschutz@bilendo.de.

Rechte der betroffenen Personen

Gestärkt wurden insbesondere das Recht auf Auskunft, Berichtigung, Einschränkung der Verarbeitung, Löschung, Unterrichtung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung sowie das Beschwerderecht bei der Aufsichtsbehörde. Nach Art. 15 DSGVO hat der Betroffene Anspruch auf Auskunft über Verarbeitungszweck, Datenkategorien, Empfänger, Speicherdauer, seine eigenen Rechte, die Herkunft der Daten sowie eine etwaige automatisierte Entscheidungsfindung. Nach Art. 16 und 17 DSGVO kann er unverzüglich Berichtigung falscher Daten sowie in bestimmten Fällen deren Löschung verlangen — etwa wenn die Daten für den Zweck nicht mehr erforderlich sind, die Einwilligung widerrufen wurde, die Verarbeitung unrechtmäßig war oder eine gesetzliche Löschpflicht besteht. Nach Art. 19 DSGVO besteht zudem ein Informationsanspruch, sobald eine Berichtigung, Löschung oder Einschränkung vorgenommen wurde.

Interne Verfahren

Datenschutz durch Technik

Die IT-Sicherheit hat in der DS-GVO erheblich an Bedeutung gewonnen. Art. 5 Abs. 1 lit. f, Art. 24, Art. 25 und Art. 32 DSGVO fordern geeignete technische und organisatorische Maßnahmen sowohl bei der Planung als auch bei der Durchführung der Verarbeitung personenbezogener Daten — „Data Protection by Design“ (Art. 25 Abs. 1) und „Data Protection by Default“ (Art. 25 Abs. 2): Systeme werden von vornherein datenschutzfreundlich gestaltet und Voreinstellungen so konfiguriert, dass nur das für den Zweck erforderliche Maß an Daten erhoben wird. Nach Art. 28 Abs. 1 DSGVO ist die Zusammenarbeit mit einem Auftragsverarbeiter nur gestattet, wenn dieser hinreichende technische und organisatorische Maßnahmen nachweisen kann — Bilendo stellt diese als Anlage zum Vertrag zur Auftragsverarbeitung bereit, herunterladbar im Bilendo-Account.

Vertrag zur Auftragsverarbeitung

Mit der DS-GVO wird auch der Auftragsverarbeiter in die Verantwortung genommen. Zwischen Auftraggeber und Auftragsverarbeiter muss ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen werden, der unter anderem regelt: weisungsgebundene Datenverarbeitung, Wahrung des Datengeheimnisses, technische und organisatorische Maßnahmen, Inanspruchnahme weiterer Auftragsverarbeiter, Anträge betroffener Personen, Unterstützung der Verantwortlichen, Lösch- und Rückgabepflicht nach Auftragsbeendigung sowie Informationspflichten und Überprüfungen. Bilendo stellt diesen Vertrag samt aller Anlagen im Benutzer-Account zum Download bereit; bei Fragen wenden Sie sich an Ihren Bilendo-Ansprechpartner oder datenschutz@bilendo.de.

---

Gesetzliche Pflichten als Auftragsverarbeiter

Als Auftragsverarbeiter kommt Bilendo allen gesetzlichen Pflichten umfassend nach: Es führt ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das der Aufsichtsbehörde auf Anfrage vorgelegt werden kann, und sichert umfangreiche Unterstützung und sofortige Zusammenarbeit mit der zuständigen Aufsichtsbehörde zu (Art. 31 DSGVO).

Datenschutzbeauftragte

Bilendo hat gemäß Art. 37 Abs. 1 DSGVO sowohl einen internen als auch einen externen Datenschutzbeauftragten benannt:

Wolfgang Steger (externer Datenschutzbeauftragter)
Sapporobogen 6-8
D-80637 München
Telefon: +49 89 21999 80

Florian Kappert (interner Datenschutzbeauftragter)
Fürstenfelder Str. 9
D-80331 München
Telefon: +49 89 3441321 00

Sicherheit und Schutz der Daten bei Bilendo

Alle Daten, die im Rahmen der Leistungserbringung verwaltet und verarbeitet werden, sind ausschließlich in deutschen Rechenzentren gespeichert und unterliegen der DS-GVO. Die Daten unserer Kunden liegen in Frankfurt a. M. in einem Rechenzentrum von Amazon Web Services Deutschland (AWS), zertifiziert nach:

• ISO 27001
• ISO 27018
• ISO 27017
• PCI DSS Level 1
• SOC 1–3

Jegliche Verbindung zu und von Bilendo ist nur verschlüsselt möglich — die SSL-Verschlüsselung sichert den Aufruf der Webseite, die Anwendung selbst sowie die Transportwege der Daten, auch gegenüber Dienstleistern. Die Cloudflare Protection sichert die Domain app.bilendo.de zusätzlich gegen Angriffe auf das DNS-System ab.

IT-Infrastruktur

Im Bilendo-IT-Organigramm finden sich alle Dienstleister, mit denen Bilendo zusammenarbeitet, sowie die zugrundeliegende IT-Struktur für die Leistungserbringung. Die Auswahl der Dienstleister unterliegt einer strengen Prüfung hinsichtlich Datensicherheit und Datenschutz. Mit allen Partnern und Dienstleistern besteht ein Vertrag zur Auftragsdatenverarbeitung gemäß § 28 DSGVO; die Übersicht der genehmigten Subunternehmer liegt als Anlage im Vertrag zur Datenverarbeitung, herunterladbar im Bilendo-Account.

Weitere Informationen finden Sie in unserer Datenschutzerklärung.