Viele Unternehmen stellen sich eine zentrale Frage:
Gibt es eine offizielle Liste mit Tools oder Diensten, die nach der DSGVO verboten sind?
Die kurze Antwort lautet: Nein. Eine solche Blacklist existiert nicht.
Dennoch veröffentlichen Datenschutzbehörden regelmäßig Entscheidungen, Leitlinien und Empfehlungen zu bestimmten digitalen Diensten. Diese zeigen deutlich, welche Tools aus datenschutzrechtlicher Sicht kritisch sein können.
In der Praxis spricht man deshalb häufig von inoffiziellen oder impliziten „Blacklists“.
Dieser Beitrag erklärt, warum solche Bewertungen entstehen, welche Dienste besonders häufig betroffen sind – und wie Unternehmen Datenschutzrisiken systematisch bewerten können.
Warum es keine offizielle DSGVO-Blacklist gibt
Die DSGVO verfolgt einen risikobasierten Ansatz.
Das bedeutet: Nicht einzelne Tools sind grundsätzlich verboten – entscheidend ist immer, wie ein Dienst eingesetzt wird.
Ob eine Datenverarbeitung zulässig ist, hängt unter anderem von folgenden Faktoren ab:
- Art der verarbeiteten personenbezogenen Daten
- Zweck der Verarbeitung
- technische und organisatorische Maßnahmen
- mögliche Datenübermittlungen in Drittländer
- Einwilligungen oder andere Rechtsgrundlagen
Aus diesem Grund veröffentlichen Aufsichtsbehörden keine festen Verbotslisten für digitale Dienste.
Stattdessen bewerten sie konkrete Anwendungen oder Einsatzszenarien und weisen darauf hin, wenn datenschutzrechtliche Risiken bestehen. In der Praxis können diese Bewertungen jedoch wie eine indirekte Blacklist wirken.
Warum bestimmte Dienste kritisch bewertet werden
Datenschutzbehörden prüfen regelmäßig, ob digitale Dienste personenbezogene Daten ausreichend schützen. Kritische Bewertungen entstehen häufig aus mehreren Gründen. Ein zentraler Faktor ist die Übermittlung personenbezogener Daten in Drittländer ohne ausreichende Garantien.
Auch mangelnde Transparenz bei der Datenverarbeitung kann problematisch sein.
Weitere typische Risikofaktoren sind:
- fehlende Einwilligungen bei Tracking- oder Marketingtools
- unklare Datenflüsse oder intransparente Verarbeitung
- unzureichende technische und organisatorische Sicherheitsmaßnahmen
Solche Bewertungen sollen Unternehmen nicht pauschal Dienste verbieten, sondern für mögliche Datenschutzrisiken sensibilisieren.
Beispiele für datenschutzrechtlich kritische Dienste
Einige Kategorien digitaler Dienste stehen regelmäßig im Fokus von Datenschutzbehörden.
Social-Media-Apps auf Dienstgeräten
Die Nutzung bestimmter Social-Media-Apps auf dienstlichen Geräten wird von Datenschutzbehörden teilweise kritisch bewertet.
Hintergrund sind unter anderem mögliche Datenübermittlungen in Drittstaaten sowie schwer nachvollziehbare Datenverarbeitungsprozesse. In einigen öffentlichen Einrichtungen wurde die Nutzung bestimmter Social-Media-Apps auf Dienstgeräten daher bereits eingeschränkt oder untersagt.
Webtracking- und Analyse-Tools
Auch Webanalyse-Tools stehen regelmäßig im Fokus europäischer Datenschutzbehörden. Ein häufiger Kritikpunkt ist die Übermittlung von Nutzerdaten in Drittstaaten, insbesondere in die USA. Mehrere Entscheidungen europäischer Aufsichtsbehörden zeigen, dass der Einsatz solcher Tools ohne zusätzliche Schutzmaßnahmen oder geeignete Rechtsgrundlagen problematisch sein kann.
Cloud-Dienste ohne ausreichende rechtliche Absicherung
Viele Unternehmen nutzen Cloud-Dienste für Datenspeicherung, Zusammenarbeit oder Softwarelösungen. Datenschutzrechtliche Risiken entstehen insbesondere dann, wenn personenbezogene Daten ohne ausreichende vertragliche Grundlage verarbeitet werden.
Fehlen beispielsweise
- Auftragsverarbeitungsverträge
- Standardvertragsklauseln
- klare Regelungen zu Speicherorten und Datenzugriff
kann der Einsatz solcher Dienste datenschutzrechtlich unzulässig sein.
Was das konkret für Unternehmen bedeutet
Auch ohne offizielle Blacklist liegt die Verantwortung weiterhin beim Unternehmen. Jeder eingesetzte Dienst sollte daher datenschutzrechtlich geprüft und dokumentiert werden.
Wichtige Fragen sind beispielsweise:
- Welche personenbezogenen Daten werden verarbeitet?
- Wo werden diese Daten gespeichert?
- Welche Dienstleister oder Unterauftragnehmer sind beteiligt?
- Werden Daten in Drittländer übertragen?
Bei besonders risikoreichen Verarbeitungsvorgängen kann zusätzlich eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.
Diese bewertet mögliche Risiken für betroffene Personen und definiert geeignete Schutzmaßnahmen.
Datenschutzrisiken strukturiert bewerten
In vielen Unternehmen ist es schwierig, einen vollständigen Überblick über alle eingesetzten digitalen Dienste zu behalten.
Gerade bei Cloud-Services, SaaS-Anwendungen oder Marketing-Tools entstehen schnell komplexe und schwer nachvollziehbare Datenflüsse.
Ein strukturiertes Datenschutzmanagement hilft dabei, Risiken frühzeitig zu erkennen und nachvollziehbar zu dokumentieren.
Mit einer Datenschutzmanagement-Software wie PLANIT // PRIMA lassen sich beispielsweise:
- Verarbeitungstätigkeiten dokumentieren
- Datenschutz-Folgenabschätzungen durchführen
- eingesetzte IT-Systeme zentral erfassen
- Datenschutzmaßnahmen nachvollziehbar dokumentieren
So behalten Unternehmen jederzeit den Überblick über ihre Datenschutzprozesse.
Handlungsempfehlungen für Unternehmen
Unternehmen sollten regelmäßig überprüfen, welche digitalen Dienste im Einsatz sind und wie diese personenbezogene Daten verarbeiten.
Bewährte Maßnahmen zur Risikominimierung sind:
- eine vollständige Übersicht aller eingesetzten Tools erstellen
- Datenverarbeitungen im Verzeichnis der Verarbeitungstätigkeiten dokumentieren
- Verträge mit Dienstleistern regelmäßig prüfen
- Empfehlungen und Entscheidungen der Datenschutzbehörden verfolgen
- bei risikoreichen Anwendungen eine Datenschutz-Folgenabschätzung durchführen
Eine saubere Dokumentation erleichtert nicht nur die interne Organisation, sondern ist auch bei möglichen Prüfungen durch Aufsichtsbehörden entscheidend.
Fazit
Eine offizielle DSGVO-Blacklist für digitale Dienste existiert nicht.
Dennoch zeigen Entscheidungen und Leitlinien der Datenschutzbehörden deutlich, welche Tools aus datenschutzrechtlicher Sicht besondere Risiken bergen können.
Unternehmen sollten diese Hinweise ernst nehmen und ihre eingesetzten Systeme regelmäßig prüfen.
Ein strukturiertes Datenschutzmanagement hilft dabei, Risiken frühzeitig zu erkennen und datenschutzkonform zu dokumentieren.
Unser Tipp:
| Mit PLANIT // PRIMA können Sie Datenschutz-Folgenabschätzungen durchführen, Verarbeitungstätigkeiten dokumentieren und Ihre Datenschutzorganisation strukturiert verwalten. Jetzt Beratungsgespräch vereinbaren! |
