Calendly Datenschutz – Rechtliche Probleme dezent auslagern

Bei den Erst-Analysen von Websites unserer Kunden, stoßen wir immer öfter auf Calendly. Das Planungs-Tool dient der einfachen Terminbuchung für Meetings und Besprechungen. In der Basis-Version ist Calendly kostenfrei nutzbar. die Premium-Versionen fangen derzeit (Stand Februar 2021) bei acht US-Dollar im Monat an.

Was viele Websitebetreiber nicht beachten ist, dass bei der Verwendung von Calendly, Daten in die USA übermittelt werden. Dies ist insbesondere seit dem EuGH-Urteil vom 16.07.2020 – Az. C‑311/18 „Schrems II“, datenschutzrechtlich sehr problematisch. Data privacy frameworks sind entscheidend, um die Einhaltung der Datenschutzgesetze zu gewährleisten, insbesondere bei der Übertragung von Daten in die USA.

Für die Integration von Calendly wird von vielen Websitebetreibern ein sogenanntes iFrame genutzt. Mittels iFrames ist es möglich, Fremdinhalte in die eigene Webseite einzubinden, indem das inline Frame (iFrame) den Inhalt der anderen Seite (in dem Fall von Calendly) lädt, um diesen innerhalb eines Rahmens (Frame) wiederzugeben.

Der Nutzer merkt im Normalfall nicht, dass er sich somit gerade die Website von Calendly ansieht bzw. nutzt, sondern geht davon aus, dass es sich um ein Element Ihrer Website handelt.

Neben der Einbindung via iFrame besteht die Option, Calendly als Popup einzubinden. Hierbei werden auf der Website ein Button oder eine Textverknüpfung eingefügt, sodass sich Calendly durch Klick auf den Button bzw. die Textverknüpfung als Popup öffnet.

Auch bei dieser Variante merkt der Nutzer in der Regel nicht, dass dieses Popup einen externen Dienst darstellt. Diese Optionen bieten Flexibilität und ermöglichen es, die am besten geeignete Methode für die Integration von Calendly auf Ihrer Website zu wählen.

Somit bestehen gleich mehrere Verbindungen zu Servern von US-amerikanischen Unternehmen. Es ist sehr wahrscheinlich, dass hierbei Daten in die USA übermittelt werden. Dies kann weitreichende Konsequenzen für den Websitebetreiber haben. In diesem Zusammenhang ist die Einhaltung der ‚Calendly DSGVO‘-Vorgaben von entscheidender Bedeutung.

Datenspeicherung spielt eine zentrale Rolle bei der Einhaltung der DSGVO, da sie sicherstellt, dass personenbezogene Daten ordnungsgemäß und sicher verarbeitet werden.

Geschieht dies ohne weitere Datenschutzmaßnahmen, so gehören zu den möglichen Folgen z.B. Verfahren durch die Datenschutz-Behörden und eine strafrechtliche Verantwortung nach BDSG in Verbindung mit der DSGVO. Auch eine wettbewerbsrechtliche Abmahnung durch Konkurrenten, ja ggf. sogar durch einen Betroffenen im Sinne der DSGVO, und damit verbundene Schadensersatzansprüche und dergleichen sind denkbar.

Es ist daher wichtig, dass Calendly DSGVO konform genutzt wird, indem ein entsprechender Passus in die Datenschutzerklärung aufgenommen und ein Auftragsverarbeitungsvertrag abgeschlossen wird.

Das Thema ist also durchaus ernst zu nehmen. Aus juristischer Sicht können wir aktuell im Ergebnis nur davon abraten, Calendly mittels iFrame oder Popup auf Websites zu integrieren.

Da die angesprochene Rechtsprechung des EuGH (Schrems II) noch recht „frisch“ ist, herrscht im juristischen Diskurs noch erhebliche Unsicherheit, welche Alternativen rechtlich haltbar sind, wenn es (nachdem der Privacy Shield ja nun nichtig ist) um die DSGVO-konforme Datenübertragung in die USA geht.

Denkbar erscheint uns, hier die Lösung über eine sogenannte informierte Einwilligung, da die DSGVO diese Möglichkeit (Art. 49 Abs. 1 S. 1 lit. a DSGVO) immerhin zur Rechtfertigung eines Datentransfers in ein unsicheres Drittland grundsätzlich vorsieht. Es ist indes momentan noch unklar, ob die informierte Einwilligung in der vorliegenden Situation von Behörden und Gerichten letztlich als ausreichend angesehen werden wird. Dies mag auch davon abhängen, wie sie konkret eingeholt wird. Abschließende Rechtssicherheit besteht hier aktuell auch bei der Einwilligungslösung mithin noch nicht.

Ein AV-Vertrag ist notwendig, um der DSGVO zu entsprechen, wenn personenbezogene Daten an Dritte übermittelt werden. Dieser Vertrag sollte die rechtlichen Anforderungen und die automatisierte Annahme beim Nutzen von Services wie Calendly behandeln.

Wenn Sie Calendly als iFrame- oder Popup-Lösung nutzen und es mit der Einwilligungslösung versuchen möchten, so könnte dies etwa über ein schon vorhandenes oder ggf. neu zu implementierendes Consent-Tool realisiert werden. Dieses wäre entsprechend anzupassen, um dem User vor Einwilligung die notwendigen Informationen zu erteilen, damit er auch wirklich ausdrücklich und informiert sein „OK“ geben kann, wie es die DSGVO verlangt. Hierbei müssen die Websitebesucher im Vorfeld der Einwilligung über die für sie bestehenden möglichen Risiken derartiger Datenübermittlungen ausführlich und klar unterrichtet werden (Art. 49 Abs. 1 S. 1 lit. a DSGVO). Zu diesen Risiken zählt, dass zu den USA weder ein Angemessenheitsbeschlusses der EU noch sonst geeignete Garantien bestehen und US-Behörden ggf. ohne ausreichende Rechtsschutzmöglichkeit auf übermittelte Daten zugreifen könnten (wegen der Einzelheiten kann auf das EuGH-Schrems II-Urteil Bezug genommen werden).