DSGVO-konform vs. von einer Behörde genehmigt: was der Unterschied für die Personenzählung bedeutet
Jeder Anbieter von Personenzählung in Europa beschreibt sich selbst als DSGVO-konform. Diese Seite zeigt, was der Satz abdeckt, wenn der Anbieter sich selbst beurteilt, was die Prüfung einer Aufsichtsbehörde hinzufügt, und woran Sie erkennen, welches der beiden Sie kaufen.
Auf dieser Seite
„DSGVO-konform“ ist in der Regel die eigene Schlussfolgerung des Anbieters, weil die DSGVO Organisationen für ihre eigene Konformität verantwortlich macht. „Behördlich genehmigt“ heißt, dass eine Aufsichtsbehörde die Methode geprüft hat. Bumbee Labs hat die einzige Methode zur Besuchermessung in Europa, die von einer Datenschutzbehörde genehmigt wurde. IMY, die schwedische Datenschutzbehörde, erteilte die Genehmigung für unsere Wi-Fi-Methode zur Besuchermessung.
Ist „DSGVO-konform“ eine Selbsteinschätzung?
Meistens ja. Lesen Sie irgendeine Website zur Personenzählung in irgendeiner europäischen Sprache, und derselbe Satz taucht auf: DSGVO-konform, GDPR-compliant, conforme au RGPD, RODO-compliant. Der Satz kostet nichts, und in fast jedem Fall ist der Anbieter selbst zu dieser Schlussfolgerung gekommen, denn die DSGVO vergibt keine Produktabzeichen. Gemeint ist meist die ehrliche Einschätzung der eigenen Architektur, gestützt auf eine Datenschutzerklärung und eine Vorlage für den Auftragsverarbeitungsvertrag (AVV).
Wenn jeder Anbieter dieselben Worte benutzt, unterscheidet die Behauptung sorgfältige Technik nicht mehr von Wunschdenken, und Ihre Compliance-Prüfung beginnt bei null. Jemand auf Ihrer Seite muss untersuchen, was das System erhebt, aufbewahrt und offenlegen könnte; die Selbstbeschreibung des Anbieters ist ein Beitrag zu dieser Arbeit.
Was fügt die Prüfung einer Behörde hinzu?
Eine Datenschutzbehörde ist die Stelle, die die DSGVO zur Beurteilung dieser Fragen benennt. Wenn sie eine Messmethode prüft, stellt sie die Fragen Ihres Datenschutzbeauftragten, mit mehr Mandat und mehr Tiefe: was erhoben wird, was damit geschieht, was übrig bleibt, und ob eine Einzelperson in irgendeiner Phase identifiziert werden könnte.
Bumbee Labs hat diese Prüfung durchlaufen und hat die Genehmigung von IMY. Sie wurde erteilt, nachdem die Behörde geprüft hatte, wie Signale erhoben, unwiderruflich gelöscht und auf anonyme, aggregierte Statistik reduziert werden.
Weil die DSGVO eine einzige Verordnung in der gesamten EU und dem EWR ist, hat IMY die Frage beantwortet, von der ein Prüfer in Paris, München oder Mailand ausgeht: Entstehen hier personenbezogene Daten? Eine Genehmigung beendet Ihre Prüfung nicht, aber Ihr Datenschutzbeauftragter kann dokumentierte Feststellungen verifizieren, statt eine Behauptung von Grund auf zu untersuchen.
Deckt die Genehmigung jede Methode ab, die Sie liefern?
Die Genehmigung deckt die Wi-Fi-Methode zur Besuchermessung ab. Dasselbe Privacy-by-Design-Engineering steckt in allem, was wir daneben liefern, von 3D-Sensoren über LiDAR bis zur Mobilfunk-Analytik. Wenn ein Anbieter „genehmigt“ sagt, fragen Sie nach, welche Methode die Prüfung abdeckte; das ist Frage 2 unten.
Woran erkenne ich, welches der beiden ich kaufe?
Stellen Sie jedem Anbieter, auch uns, drei Fragen und verlangen Sie die Antworten schriftlich:
- Welche unabhängige Prüfung hat die Methode bestanden, und von wem?
- Was genau deckte die Prüfung ab: welche Methode und welchen Datenweg?
- Welche Dokumentation kann der Anbieter Ihrem Datenschutzbeauftragten aushändigen?
Ein selbsterklärter Anbieter beantwortet die erste Frage mit seinen eigenen Richtlinien. Das kann solide sein, aber es ist ein anderes Produkt als das aus der Verkaufspräsentation, und Ihr Rechtsteam sollte wissen, welches der beiden es freigibt.
Die Seite DSGVO-konforme Besucheranalyse geht unsere Antworten vollständig durch, und der DSFA-Leitfaden sammelt die Fragen, die ein Datenschutzbeauftragter typischerweise stellt, mit Verweisen darauf, wo jede Antwort steht. Wenn Sie gerade eine Ausschreibung verfassen, zeigt Beschaffung für Personenzählung, was in einer Ausschreibung gefordert werden kann.
Neugierig, wie das für Ihren Standort aussieht?
Häufig gestellte Fragen
Ist „DSGVO-konform“ eine Zertifizierung?
Nein. Die DSGVO zertifiziert Produkte standardmäßig nicht. Solange keine Aufsichtsbehörde oder akkreditierte Stelle ein System geprüft hat, ist „DSGVO-konform“ die eigene Schlussfolgerung des Anbieters über sein eigenes Produkt. Sie mag zutreffen, aber der Satz allein zeigt nicht, dass jemand Unabhängiges nachgeprüft hat.
Was genau wurde im Fall von Bumbee Labs genehmigt?
IMY, die schwedische Datenschutzbehörde, prüfte die Wi-Fi-Methode zur Besuchermessung von Bumbee Labs: was erhoben wird, was gelöscht wird und was übrig bleibt. Keine andere Methode zur Besuchermessung in Europa hat diesen Status. Dasselbe Privacy-by-Design-Engineering fließt in jede Methode ein, die wir daneben anbieten.
Zählt eine Genehmigung einer EU-Behörde auch in anderen Ländern?
Jeder Mitgliedstaat wendet dieselbe Verordnung an, daher stellt ein Prüfer überall in der EU oder im EWR dieselbe Frage: Entstehen hier personenbezogene Daten? Eine Methode, die diese Frage vor einer Datenschutzbehörde beantwortet hat, gibt Ihrem Datenschutzbeauftragten dokumentierte Nachweise als Ausgangspunkt, ganz gleich, wo Sie tätig sind.
Wie sollte der Einkauf eine Compliance-Behauptung prüfen?
Stellen Sie jedem Anbieter dieselben drei Fragen, schriftlich: Welche unabhängige Prüfung hat Ihre Methode bestanden, was genau deckte sie ab, und welche Nachweise können Sie beilegen? Selbsterklärte Konformität antwortet mit Richtliniendokumenten, geprüfte Konformität mit der Feststellung einer Behörde.