Jahresreport des Data Protection Committees der New Work SE für das Jahr 2020

Die New Work SE, Betreiberin des beruflichen Netzwerks XING, ist sich ihrer großen Verantwortung hinsichtlich des Datenschutzes und der Datensicherheit bewusst.

Mehr als 19 Millionen Mitglieder vertrauen darauf, dass ihre Daten entsprechend den vorgesehenen Zwecken und den anwendbaren rechtlichen Bestimmungen verarbeitet und genutzt werden. Es ist unsere Verpflichtung, sämtliche Daten bestmöglich zu schützen. Als deutsches Unternehmen unterliegen wir strengen gesetzlichen Vorgaben. Zudem sind die Themen Datenschutz und Datensicherheit in unserer DNA verankert.

Um unseren Nutzern noch mehr Transparenz zu bieten, haben wir in Abstimmung mit dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit bereits im Jahr 2018 die Website „Datenschutz bei XING“ entwickelt. Hier informieren wir die Nutzer unserer Dienste u.a. über datenschutzrelevante Vorkehrungen und Neuigkeiten aus unserem Haus.

Das Data Protection Committee („DPC“) der New Work SE verantwortet übergeordnete Datenschutzthemen innerhalb des Konzerns – auch über die gesetzlichen Anforderungen hinaus. Es berät den Vorstand in themenspezifischen Fragestellungen, begutachtet datenschutzrechtliche Grenzfälle und überprüft interne Prozesse. Darüber hinaus ist es Ansprechpartner für alle Business Units des Unternehmens und arbeitet an datenschutzrechtlich sensiblen Projekten mit. Zu den ständigen Mitgliedern des DPC zählen der General Counsel/Vice President Legal and Compliance, der Informationssicherheitsbeauftragte, der Vice President External Affairs und der Datenschutzbeauftragte der New Work SE. Je nach inhaltlicher Ausrichtung des zu behandelnden Themas erhält das DPC Unterstützung von Spezialisten der jeweiligen Fachabteilungen. Eine Übersicht über die aktuellen Ansprechpartner des DPC ist hier zu finden.

Wichtiger operativer Partner des DPC ist das Informationssicherheitsteam der New Work SE. Durch dieses Zusammenspiel sichert die New Work SE konzeptionell und praktisch einen schnellen und versierten Umgang mit daten- und informationssicherheitsrelevanten Themen und stellt sicher, ihr Versprechen auf ein Höchstmaß an Datenschutz, Datensicherheit und Privatsphäre trotz steigender Anforderungen zu erfüllen.

Das DPC kommt in mindestens quartalsweise stattfindenden Sitzungen zusammen, um relevante aktuelle Datenschutzthemen zu besprechen und ggf. Maßnahmen einzuleiten. Im Fall dringender Angelegenheiten trifft sich das DPC  darüber hinaus anlassbezogen in außerordentlichen Sitzungen. Die Aktivitäten und getroffenen Maßnahmen aus den Sitzungen des DPC werden sorgfältig dokumentiert und protokolliert. Darüber hat sich das DPC intern verpflichtet, die Öffentlichkeit in regelmäßigen Abständen über seine Tätigkeit in Form eines Jahresberichts zu informieren.

Jahresreport 2020:

Die wesentlichen Aktivitäten des DPC im Jahr 2020 waren die folgenden:

1. Entwicklung einer neuen Richtlinie für mobiles Arbeiten
2. Unterstützung des Projekts zur Implementierung eines Cookie-Einwilligungs-Banners
3. Befassung mit dem sogenannten Schrems II Urteil des EuGH
4. Bearbeitung datenschutzrelevanter Vorfälle, Beschwerden und Anfragen externer Stellen mit übergeordneter Bedeutung

1. Entwicklung einer neuen Richtlinie für mobiles Arbeiten

Aufgrund der COVID-19-Pandemie wurde für die Mitarbeiterinnen und Mitarbeiter der New Work SE eine neue Richtlinie für mobiles Arbeiten entwickelt. Diese wurde in Zusammenarbeit mit dem Informationssicherheitsteam und unter Einbeziehung der Mitarbeiter-Vertretung und der Personalabteilung erarbeitet. Ziele der neuen Richtlinie sind u.a. die Einhaltung von Datenschutzvorgaben und die Prävention von Datenschutzverstößen, auch durch erneute und nachhaltige Sensibilisierung für das Thema.

2. Unterstützung des Projekts zur Implementierung eines Cookie-Einwilligungs-Banners

Hintergrund des Projekts zur Implementierung eines Einwilligungs-Banners („Opt-in“) hinsichtlich des Einsatzes von Cookies war das BGH-Urteil in Sachen Planet49 (I ZR7/16), das am 28. Mai 2020 verkündet wurde. Obwohl der Wortlaut des einschlägigen deutschen Rechts vermeintlich etwas anderes aussagt, legt der BGH dessen Wortlaut so aus, dass der Diensteanbieter Cookies zur Erstellung von Nutzungsprofilen für Zwecke der Werbung oder Marktforschung nur mit Einwilligung („Opt-in“) des Nutzers einsetzen darf.

Die bis dato in Deutschland weit verbreitete und auch von der New Work SE praktizierte Opt-out Praxis wurde damit unzulässig. Um rechtzeitig auf das zu erwartende Urteil reagieren zu können, wurde bei der New Work SE ein Projekt zur Implementierung eines Cookie-Opt-in Banners zur Gewährleistung der Datenschutz-Compliance ins Leben gerufen. Das DPC hat dieses Projekt von Anfang an aktiv begleitet und sich für dessen rechtzeitige Umsetzung eingesetzt.

Das Projekt wurde plan- und fristgerecht Ende Mai 2020 abgeschlossen.

3. Befassung mit dem sogenannten Schrems II Urteil des EuGH

Durch das sogenannte Schrems II Urteil (C-311/18) des EuGH vom 16. Juli 2020 wurde die Übermittlung von personenbezogenen Daten aus der EU in Nicht-EU-Staaten und insbesondere die USA erheblich erschwert. Der EuGH entschied, dass das EU-US Privacy Shield keine Grundlage für eine rechtmäßige Übermittlung personenbezogener Daten aus der EU in die USA darstellt. Und auch bei Verwendung der Standarddatenschutzklauseln (SDK) der Kommission bedürfe es gegebenenfalls zusätzlicher Maßnahmen, um ein ausreichendes Datenschutzniveau zu gewährleisten.

Die New Work SE hat sich schon vor einigen Jahren intern selbst verpflichtet, mit der Datenverarbeitung außerhalb der EU äußerst restriktiv umzugehen und auf eine Datenverarbeitung innerhalb der EU zu setzen. Aufgrund des vom EuGH erlassenen Urteils ist dieses Prinzip aktueller denn je. Das DPC hat das Urteil zum Anlass genommen, sich noch einmal darauf zu verständigen, den Einsatz von Dienstleistern aus den USA oder anderen Nicht-EU-Ländern auch zukünftig kritisch zu hinterfragen und sich zu den damit zusammenhängenden Fragen der Informationssicherheit und des Datenschutzes weiterhin eng abzustimmen - insbesondere auch hinsichtlich einer geplanten Ausweitung der Nutzung von Cloud-Anbietern.

4. Bearbeitung datenschutzrelevanter Vorfälle, Beschwerden und Anfragen externer Stellen mit übergeordneter Bedeutung

Auch außerhalb der ordentlichen Sitzungen tagt das DPC zu akuten Vorfällen, Beschwerden und Anfragen externer Stellen zu Datenschutzthemen, insbesondere bei übergeordneter Bedeutung für den New Work Unternehmensverbund. Neben der Ermittlung und Dokumentation des jeweiligen Sachverhalts übernimmt das DPC auch Aufgaben der Berichterstattung und fördert damit den Informationsaustausch innerhalb der Unternehmensgruppe zu datenschutzrelevanten Themen.

Im Berichtszeitraum 2020 wurden akute Vorfälle im Rahmen der ordentlichen und außerordentlichen DPC Sitzungen besprochen und Handlungsempfehlungen sowie Maßnahmen abgeleitet. Dabei wurden die Ursachen der Vorkommnisse von allen Beteiligten genauestens eruiert, um Gegenmaßnahmen zu entwickeln und weiteren Vorfällen präventiv vorzubeugen.

Weitere Informationen zum Datenschutz erhalten Sie unter: https://privacy.xing.com/de

Wenn Sie mit uns zu datenschutzrelevanten Themen in Kontakt treten möchten, wenden Sie sich gern an: datenschutzbeauftragter@new-work.de