Was macht YouCanBookMe?
YouCanBookMe ist eine Online-Termin-Software, mit der Unternehmen Meetings planen und verwalten können. Dafür tragen sie Ereignisse und Verfügbarkeit in einen Kalender ein, so dass sich Nutzer schnell und einfach für Meetings anmelden können – ohne ein umständliches Schreiben von E-Mails. Unternehmen können YouCanBookMe in die Kalender von Google, Apple und Microsoft integrieren. Was müssen sie dabei datenschutzrechtlich beachten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist YouCanBookMe datenschutzrechtlich relevant?
Um einen Termin bei YouCanBookMe zu buchen, müssen Nutzer Daten wie ihren Namen und ihre E-Mail-Adresse in die Maske der Software eingeben. Auf diese Weise erheben Unternehmen personenbezogene Daten und speichern sie auf den Servern von YouCanBookMe in Großbritannien. Dafür müssen sie datenschutzrechtliche Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beachten.
YouCanBookMe datenschutzkonform verwenden
Der deutsche Datenschutz verlangt von Unternehmen diese Pflichten, um YouCanBookMe rechtssicher zu verwenden:
Nutzer-Einwilligung in Cookies einholen
YouCanBookMe verwendet Cookies, um Nutzerdaten zu erheben und zu speichern. Es ist jedoch nicht bekannt, um welche Art von Cookies es sich handelt und welche Daten genau diese sammelt. Sollte es sich dabei um Tracking Cookies handeln, benötigen Unternehmen eine Einwilligung der User dafür. Um datenschutzrechtlich auf der sicheren Seite zu stehen, sollten Unternehmen diese einholen. Das können sie beispielsweise mit einem Cookie Consent Tool vornehmen.
Vertrag zur Auftragsverarbeitung abschließen
Unternehmen erheben über die Plattform personenbezogene Daten und geben diese zur weisungsgebundenen Verarbeitung an YouCanBookMe weiter. Dafür benötigen sie gemäß Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung (AV-Vertrag). Dieser muss darüber aufklären,
- welche Nutzerdaten sie an YouCanBookMe weitergeben,
- wie lange YouCanBookMe die Daten speichert,
- warum YouCanBookMe die Daten speichert und
- welche Rechte und Pflichten die Verantwortlichen haben.
Unternehmen können in ihrem Account von YouCanBookMe einer entsprechenden Erklärung zustimmen. Sie erhalten dann ein PDF zum Ausdruck. Schließen Unternehmen einen neuen Account bei der Termin-Software ab, wird ihnen der AV-Vertrag automatisch zugeschickt.
Datenschutzerklärung anpassen
Unternehmen müssen in ihrer Datenschutzerklärung über die Verwendung von YouCanBookMe informieren. Dabei müssen sie erwähnen,
- warum sie über YouCanBookMe personenbezogene Daten erheben,
- wie lange sie diese Daten speichern,
- warum sie die Daten an YouCanBookMe weitergeben,
- welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO),
- dass sie für die Datenweitergabe mit YouCanBookMe einen AV-Vertrag geschlossen haben und
- dass User der Datenspeicherung jederzeit widersprechen können.
Um Usern einen besseren Einblick in die Verarbeitung ihrer Daten bei YouCanBookMe zu geben, sollten Unternehmen zusätzlich auf die Datenschutzbestimmungen und Nutzungsbedingungen der Plattform verlinken.
Standardvertragsklauseln prüfen
Unternehmen geben Userdaten an den hinter YouCanBookMe stehenden Anbieter in Großbritannien weiter. Auf diese Weise landen Daten in einem Drittland außerhalb der EU. Unternehmen müssen daher sicherstellen, dass die Daten dort einen ähnlichen Schutz genießen wie hierzulande. Das können sie derzeit über den Abschluss von Standardvertragsklauseln mit YouCanBookMe vornehmen.
Zusätzlich ist eine Risikoabschätzung notwendig. Mit dieser prüfen und dokumentieren Unternehmen das Risiko der Datenübertragung nach Großbritannien. Dabei sollten sie festhalten,
- welche Art von Daten sie an YouCanBookMe weitergeben,
- welche Rechtsvorschriften in Großbritannien gelten und
- ob sie weitere Maßnahmen, wie eine SSL-Verschlüsselung, zum Schutz der Daten nutzen können.
In unserem ausführlichen Beitrag zu Standardvertragsklauseln erklären wir, warum diese für Unternehmen eine wichtige Rolle spielen und warum sie spätestens ab dem 27.12.2022 die neuen Standardvertragsklauseln der EU-Kommission verwenden müssen.
Rechtsprechung zu YouCanBookMe
Zu YouCanBookMe liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Es sind jedoch diese beiden Bußgelder für fehlende AV-Verträge relevant:
Datenschutzbehörde Hamburg zum AV-Vertrag
Ein fehlender AV-Vertrag kann Unternehmen bis zu 10 Millionen Euro oder alternativ von bis zu 2 Prozent ihres Jahresumsatzes kosten. Die Hamburger Datenschutzbehörde sprach daher im Dezember 2018 ein Bußgeld gegen ein deutsches Versandunternehmen aus. Dies musste 5.000 Euro Strafe zuzüglich 250 Euro Gebühren zahlen. Es hatte keinen AV-Vertrag mit einem spanischen Postdienstleister geschlossen, obwohl dieser weisungsgebunden personenbezogene Daten für das deutsche Unternehmen verarbeitete.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Fehlende AV-Verträge mit Dritten kosteten den Fußballclub VfB Stuttgart 300.000 Euro. Dieser hatte mehrere tausend Mitgliederdaten an Dienstleister weitergegeben, um die Daten weisungsgebunden verarbeiten zu lassen. Die Datenschutzbehörde Baden-Württemberg stellte daher im März 2021 fest: Der Verein hat so gegen die DSGVO verstoßen.
