Kundenportal und DSGVO: die Pflichten im Überblick
Stand:
Ein Kundenportal ist nach der DSGVO zulässig, wenn ein Vertrag zur Auftragsverarbeitung nach Art. 28 besteht, die Sicherheit nach Art. 32 dem Risiko angemessen ist und die Voreinstellungen nach Art. 25 nur die nötigen Daten zeigen. Werden Daten außerhalb der EU verarbeitet, gelten zusätzlich die Bedingungen der Art. 44 ff. DSGVO.
Warum ein Kundenportal datenschutzrechtlich eine eigene Verarbeitung ist
Sobald Sie Ihren Kunden einen Zugang geben, über den Verträge, Ausweiskopien, Gutachten oder Abrechnungen ausgetauscht werden, verarbeiten Sie personenbezogene Daten. Für diese Verarbeitung bleiben Sie als Organisation der Verantwortliche im Sinne der DSGVO, auch wenn die Software von einem Dienstleister betrieben wird. Das Portal ist damit kein neutrales Werkzeug, sondern ein Teil Ihrer eigenen Datenverarbeitung, und Sie müssen nachweisen können, dass es den Grundsätzen der Verordnung genügt.
Der wichtigste Grundsatz für ein Portal steht in Art. 5 Abs. 1 lit. f DSGVO: Personenbezogene Daten müssen so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust. Die Verordnung nennt das „Integrität und Vertraulichkeit“. Daneben gelten die übrigen Grundsätze aus Art. 5 Abs. 1, etwa die Zweckbindung, die Datenminimierung und die Speicherbegrenzung. Für ein Portal heißt das praktisch: Es soll nur das enthalten, was für den Vorgang gebraucht wird, und nur so lange, wie es gebraucht wird.
Diese Pflichten gelten unabhängig davon, ob Sie ein Portal selbst betreiben oder als Dienst einkaufen. Der Unterschied liegt nur darin, wer welche Maßnahme umsetzt und wie Sie das vertraglich absichern.
Auftragsverarbeitung: der Vertrag nach Art. 28 DSGVO
Betreibt ein Anbieter das Portal für Sie, ist er in aller Regel Auftragsverarbeiter. Art. 28 Abs. 1 DSGVO verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Verarbeitung muss auf einem Vertrag oder einem anderen Rechtsinstrument beruhen, das Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Ihre Rechte und Pflichten festlegt (Art. 28 Abs. 3 DSGVO).
Art. 28 Abs. 3 zählt zudem auf, was der Vertrag insbesondere vorsehen muss. Für ein Kundenportal sind diese Punkte besonders wichtig:
- Verarbeitung nur auf Ihre dokumentierte Weisung, auch bei Übermittlungen in ein Drittland (lit. a).
- Verpflichtung der befugten Personen zur Vertraulichkeit (lit. b).
- Ergreifen aller nach Art. 32 erforderlichen Maßnahmen (lit. c).
- Unterstützung bei Anträgen betroffener Personen, etwa auf Auskunft oder Löschung (lit. e).
- Löschung oder Rückgabe aller Daten nach Ende des Auftrags, nach Ihrer Wahl (lit. g).
- Bereitstellung der Informationen zum Nachweis und Ermöglichung von Überprüfungen (lit. h).
Setzt der Anbieter weitere Dienstleister ein, etwa ein Rechenzentrum oder einen Versanddienst für E-Mails, braucht er dafür Ihre vorherige gesonderte oder allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO). Lassen Sie sich deshalb die Liste der Unterauftragsverarbeiter zeigen und prüfen Sie, wo diese sitzen.
Sicherheit nach Art. 32: was ein Portal technisch leisten muss
Art. 32 Abs. 1 DSGVO verlangt technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Die Vorschrift nennt beispielhaft die Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Wie weit Sie gehen müssen, hängt vom Risiko ab, und das Risiko hängt vom Inhalt ab: Ein Portal für Testamente, Gesundheitsunterlagen oder Gehaltsnachweise verlangt mehr als eines für Produktdatenblätter.
Für ein Kundenportal lassen sich daraus konkrete Prüfpunkte ableiten:
- Verschlüsselung auf dem Transportweg und bei der Ablage der Dateien, mit einem Schlüssel, der nicht neben den Daten offen herumliegt.
- Zugangsschutz mit einem zweiten Faktor zumindest für Ihre Mitarbeitenden, weil ein erratenes Passwort sonst den Zugriff auf alle Vorgänge öffnet.
- Trennung der Kunden untereinander, damit niemand durch einen Fehler fremde Unterlagen sieht.
- Protokollierung, wer wann welches Dokument geöffnet oder geändert hat, damit sich ein Vorfall aufklären lässt.
- Sicherung und Wiederherstellung, die regelmäßig erprobt wird.
Kommt es trotzdem zu einer Verletzung des Schutzes personenbezogener Daten, müssen Sie diese nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden, sofern sie voraussichtlich zu einem Risiko führt. Ein lückenloses Protokoll entscheidet dann darüber, ob Sie den Umfang belegen können.
Datenschutz durch Voreinstellungen und die Rechte Ihrer Kunden
Art. 25 Abs. 2 DSGVO verpflichtet Sie, durch Voreinstellung nur die Daten zu verarbeiten, die für den jeweiligen Zweck erforderlich sind. Das betrifft ausdrücklich die Menge der Daten, den Umfang der Verarbeitung, die Speicherfrist und die Zugänglichkeit. Bei einem Portal zeigt sich das an unscheinbaren Stellen:
- Benachrichtigungen per E-Mail sollten nur mitteilen, dass es etwas Neues gibt, und nicht den Inhalt selbst enthalten.
- Ein Kunde sollte nur die eigenen Vorgänge sehen und innerhalb des Vorgangs nur das, was für ihn bestimmt ist.
- Abgeschlossene Vorgänge sollten nach einer festgelegten Frist gelöscht werden können, einschließlich der Dateien selbst.
Ihre Kunden haben außerdem Rechte, die Sie mit dem Portal erfüllen können müssen: das Auskunftsrecht nach Art. 15, das Recht auf Löschung nach Art. 17 und das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Prüfen Sie, ob sich die Daten eines Kunden vollständig exportieren und vollständig löschen lassen. Schließlich gehört das Portal in Ihr Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, und Ihre Kunden müssen nach Art. 13 DSGVO informiert werden, wenn Sie Daten bei ihnen erheben.
Serverstandort, Drittland und eine Prüfliste für die Auswahl
Werden Daten in ein Land außerhalb der EU übermittelt, ist das nach Art. 44 DSGVO nur zulässig, wenn die Bedingungen des Kapitels V eingehalten sind. Das betrifft nicht nur den Speicherort der Dateien, sondern auch Unterauftragsverarbeiter für E-Mail-Versand, Fehlerberichte oder Analyse. Ein Portal, dessen gesamte Verarbeitung in Deutschland oder der EU stattfindet, erspart Ihnen diese Prüfung.
Diese Fragen können Sie jedem Anbieter stellen:
| Frage | Bezug |
|---|---|
| Gibt es einen Vertrag zur Auftragsverarbeitung, und lässt er sich vor Vertragsschluss einsehen? | Art. 28 DSGVO |
| Welche Unterauftragsverarbeiter gibt es, und wo verarbeiten sie Daten? | Art. 28 Abs. 2, Art. 44 DSGVO |
| Sind Dateien bei der Ablage verschlüsselt, und wo liegt der Schlüssel? | Art. 32 Abs. 1 lit. a DSGVO |
| Ist ein zweiter Faktor bei der Anmeldung möglich oder vorgeschrieben? | Art. 32 DSGVO |
| Wird jeder Zugriff protokolliert, und lässt sich das Protokoll nachträglich ändern? | Art. 5 Abs. 2, Art. 33 DSGVO |
| Lassen sich die Daten eines Kunden vollständig exportieren und löschen? | Art. 15, 17, 20 DSGVO |
| Enthalten Benachrichtigungen Inhalte oder nur einen Hinweis? | Art. 25 DSGVO |
Diese Prüfliste ersetzt keine Rechtsberatung, deckt aber die Punkte ab, die bei einer Prüfung durch die Aufsichtsbehörde typischerweise zuerst gefragt werden.
Wie portalfox diese Anforderungen umsetzt
portalfox ist ein Kundenportal von hubfox für Organisationen, die regelmäßig Unterlagen mit ihren Kunden austauschen. Jede Organisation erhält eine eigene Adresse, eine eigene Datenbank und einen eigenen Schlüssel. Dokumente werden mit AES-256-GCM verschlüsselt abgelegt, jede Aktion wird in einer Hash-Kette protokolliert, und die Anmeldung lässt sich mit einem zweiten Faktor (TOTP) absichern. E-Mail-Benachrichtigungen enthalten bewusst keine Inhalte, sondern nur einen Hinweis. Der Vertrag zur Auftragsverarbeitung wird im Portal selbst abgeschlossen, die Daten liegen auf einem Server in Deutschland.
Wenn Sie wissen möchten, ob portalfox zu Ihren Abläufen passt, schreiben Sie an kontakt@hubfox.de. Mehr zum Produkt finden Sie auf der Startseite.
Häufige Fragen
Brauche ich für ein Kundenportal einen Vertrag zur Auftragsverarbeitung?
Ja, wenn ein Anbieter das Portal für Sie betreibt und dabei personenbezogene Daten in Ihrem Auftrag verarbeitet. Art. 28 Abs. 3 DSGVO schreibt einen solchen Vertrag mit festgelegten Mindestinhalten vor.
Muss ein Kundenportal verschlüsseln?
Die DSGVO schreibt keine bestimmte Technik vor, nennt die Verschlüsselung in Art. 32 Abs. 1 lit. a aber ausdrücklich als Maßnahme. Bei vertraulichen Unterlagen ist sie in aller Regel nötig, um ein dem Risiko angemessenes Schutzniveau zu erreichen.
Darf ein Kundenportal auf Servern außerhalb der EU laufen?
Nur wenn die Bedingungen für Drittlandübermittlungen aus Kapitel V der DSGVO erfüllt sind (Art. 44 DSGVO). Ein Betrieb vollständig in Deutschland oder der EU vermeidet diese zusätzliche Prüfung.
Quellen
Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.