Datenschutz in Reiseunternehmen: Rechtssicherheit nach Safe Harbor

Datenschutz in Reiseunternehmen: Keine Panik, sondern in Ruhe prüfen und besonnen handeln

Der Wegfall von Safe Harbor als Rechtfertigungsgrund für bestimmte Datentransfers in die USA betrifft alle Branchen,  Industrien und Medien. Mit Hochdruck arbeiten Politik und Wirtschaft auf beiden Seiten des Atlantik an einer Lösung. Tatsächlich sollten Reiseunternehmen jeder Größe das Thema zum Anlass nehmen und prüfen, ob sie tatsächlich ihren bestehenden datenschutzrechtlichen Verpflichtungen nachkommen, oder ob an der einen oder anderen Stelle Handlungsbedarf besteht.

Letzteres wird fast immer der Fall sein, denn Reiseunternehmen jeder Größe -vom Reisebüro bis zum OTA- haben in den letzten Jahren zunehmend IT-Services eingesetzt, die personenbezogenen Daten in Drittländer außerhalb der EU übermitteln und diese Übermittlung nicht vertraglich durch einen Auftragsdatenverarbeitungsvertrag (ADV) oder ähnlich sichere gesetzlich vorgeschriebene Schutzmechanismes abgesichert. Was versteht man unter einem solchen ADV-Vertrag und wann ist er erforderlich? Unsere Datenschutzexpertin und Rechtsanwältin Katja Rengers dazu:

"Werden personenbezogene Daten im Auftrag verarbeitet, muss vom beauftragenden Unternehmen gemäß § 11 BDSG ein Vertrag zur Auftragsdatenverarbeitung abgeschlossen werden. In der Regel unterhalten Unternehmen eine Vielzahl von Auftragsdatenverarbeitungsverhältnissen, insbesondere in den Bereichen Customer Relationship Management (CRM), Newslettermarketing, IT-Support und Personal sowie bei allen konzernübergreifenden Datentransfers."

Details können Sie in unserem Beitrag "Auftragsdatenverarbeitung (ADV): Wenn die Datenverarbeitung ausgelagert wird" nachlesen. Allerdings kann ein solcher einfacher ADV-Vertrag nach § 11 BDSG oder ein inhaltlich ähnliches "Data Processor Agreement" nur die Datenverarbeitung zwischen Unternehmen innnerhalb Deutschlands oder Europas legalisieren.

Bei Datentransfers in die USA, die bisher ohne zusätzliche vertragliche Grundlage (das war der Sinn von Safe Harbor) möglich waren, müssen nun zumindest als Notlösung bis ein neues Safe Harbor-Abkommen zwischen den EU und den USA verhandelt ist, sogenannte EU-Standardvertragsklauseln (hier ein Link zu den gesetzlichen Vorgaben) geschlossen werden.

Bei Unternehmen der Touristik, die nicht ausschließlich über geschlossene Systeme buchen, sondern auch das Internet als Absatzkanal mit nutzen, sind von dieser Verpflichtung in erster Linie CRM-Anwendungen, bestimmte Web-CRS/GDS-Systeme, Internet Booking Engines, Webanalysetools, Cloudservices, Widgets sowie das Hosting von Webseiten betroffen.