Wie ist die Situation bei der EU-Verordnung DSGVO?
Die DSGVO ist das neue zentrale Gesetzt zum Datenschutz von personenbezogene Daten in der EU. Diese EU Verordnung ist in allen EU-Mietgliedstaaten unmittelbares Recht und tritt am 25.05.2018 in Kraft. Bestehende Landesrechte werden zum Teil mit der Einführung übernommen bzw. überflüssig. Die EU Verordnung hat Vorrang vor Landesrecht.
Was ist Datenschutz?
Der Datenschutz sollte nicht mit der Datensicherheit verwechselt werden. Die Datensicherheit bezieht sich auf den physikalischen Schutz wie Firewall, Virenscanner, Regelwerke zur Abwehr von Angriffen und gibt Regelwerke zur Sicherheit gegen Verlust oder Datenklau.
Der Datenschutz, bezieht sich auf den Schutz der Menschen, wo Daten erhoben und verarbeitet werden. Hier geht es um die Datenerfassung und Verarbeitung.
Die Verordnung gilt für die automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen!
Was sind personenbezogene Daten?
Das sind alle Informationen, die sich auf eine identifizierte natürliche Person bezieht.
Zur Identifizierung zählen zum Beispiel, Name, Standortdaten, Online Kennung, Name zu einer Kennnummer, Ausdrücke der physischen, physiologischen, genetischen, wirtschaftlichen, kulturellen,
sozialen Identität zählen.
Eine Beschreibung der Begriffsbestimmung ist in dem Artikel 4 ausführlich beschrieben.
Die Datenverarbeitung von personenbezogenen Daten ist laut Artikel 6 ABS. 1 der DSGVO verboten.
Ausnahmen sind, wenn folgende Voraussetzung es gibt:
- Die freie Entscheidung, der Betroffene muss der Verweigerung kennen und es muss Alternative haben. (Art. 4 ABS 11 DSGVO)
- Die informierte Entscheidung, der Betroffene muss den Zweck der Erhebung, Verarbeitung oder Nutzung kennen. (Art. 4 ABS 11 DSGVO).
- Eine Erklärung ohne Formerfordernis, die Einwilligung kann formfrei erteilt werden. Der Nachweispflicht für den Verantwortlichen sollte unbedingt elektronisch erfolgen.
- Eine ausdrückliche Erklärung einholen, zum Beispiel bei Gesundheitsdaten muss eine Einwilligung eingeholt werden.
Was ist zu beachten bei der Umsetzung der DSGVO?
Die Auftragsverarbeitung, nach der DSGVO treffen eine Reihe von Pflichten auf den Datenverarbeiter zu, deren nicht Einhaltung erhebliche Bußgelder oder sogar Schadenersatzansprüche auf einem zukommen.
Hier die wichtigsten Vorgaben bei der Auftragsverarbeitung als Auflistung:
- Unteraufträge müssen mit schriftlicher Zustimmung erfolgen
- Verarbeitung der Daten nur nach dokumentierter Weisung
- Weitergabe an Mitarbeiter nur mit Verpflichtung zur Vertraulichkeit.
- Einhaltung von technischen und organisatorischen Maßnahmen.
- Unterstützung des Auftragsgebers (AG) im Hinblick auf Rechte der Betroffenen
- Rückgabe und Löschung nach Beendigung der Auftragsverarbeitung (AV).
- Unterstützung des AG bei Nachweis ordnungsgemäßer Auftragsverarbeitung (AV).
- Führung eines eigenen Verarbeitungsverzeichnisses.
- Kooperation mit den Aufsichtsbehörden.
- Information des AG bei Datenschutzverstößen.
- Benennung eines Datenschutzbeauftragten, wenn gesetzlich vorgeschrieben ist.
Die wichtigsten Eckpfeiler des Datenschutzrechtes:
In Artikel 5 der DSGVO wird beschrieben, ein bußgeldbewehrte Katalog von Grundprinzipien, die bei der Datenverarbeitung zu berücksichtigen sind.
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz.
- Die Zweckbindung.
- Die Datenminimierung.
- Die Richtigkeit der Datenerfassung.
- Die Speicherbegrenzung zu den Zwecken
- Die Integrität und Vertraulichkeit.
- Die Rechenschaftspflicht gegen über den Auftragsgebern.
Die Informationspflicht:
Die Artikel 13 und 14 der DSGVO schreiben erhebliche Informationspflicht gegenüber den betroffenen Personen vor. Diese müssen in regelmäßigen Zeitpunkten, hier muss der Zweck und Löschzeitraum eingehalten werden, binnen einer Monatsfrist erteilt werden. Diese Informationspflicht gilt auch bei einer Zweckänderung.
Hier eine Auflistung der Informationspflichten:
- Identität und Kontaktdaten des Verantwortlichen.
- Kontaktdaten des Datenschutzbeauftragten.
- Zweck und die gesetzliche Grundlage
- Berechtigte Interessen
- Empfänger bzw. Kategorien von Empfängern
- Information über Weitergabe in Drittstaaten
- Speicherfristen
- Widerrufsrecht bei Einwilligung
- Möglichkeit der Beschwerde bei Aufsichtsbehörden.
- Verpflichtung zur Datenangabe und folgen bei Nichtangabe
- Bei Profiling, die zugrundeliegende Logik und Folgen.
Rechte der betreffenden Personen:
Hierzu gibt es einige Angaben in dem Artikel 15 ff
hier eine Auflistung der Rechte:
- Art. 15 DSGVO – Auskunftsrecht
- Art. 16 DSGVO – Recht auf Berichtigung
- Art. 17 DSGVO – Recht auf Löschung / Vergessenwerden
- Art. 18 DSGVO – Recht auf Einschränkung der Verarbeitung
- Art. 20 DSGVO – Recht auf Datenübertragbarkeit
- Art. 21 DSGVO – Widerspruchsrecht.
Allerdings wird das Transparenzprinzip noch erheblich ausgeweitet, Informationspflicht der Verantwortlichen ausgedehnt und zeitlich vorgezogen. Macht ein Betroffener die Rechte geltend, somit muss binnen eines Monates zu entsprechen oder unter Angaben von Gründen eine Fristverlängerung um max zwei Monate anzuzeigen. (Art. 12 Abs.3 DS-GVO).
Was ist zu tun?
Aus erhöhten Haftungsrisiken insbesondere auch in Auftragsverwaltungs-Verhältnissen einerseits und den enorm verschärften Bußgeldern anderseits ergeben sich unmittelbare Handlungsbedarfe bei den Unternehmen. Bestehende Verträge müssen geprüft und angepasst werden, neue Strukturen und Abläufe müssen auf das neue Recht erstellt werden.
Hier einige Aufgaben:
- ermittel die Prozesse, wo personenbezogene Daten erhoben oder verarbeitet werden
- bestimme die Zuständigkeiten vom Verantwortlichen (Prozessinhaber) und Datenverarbeiter
- prüfe und passe Versicherungen gegebenenfalls an
- führe wirksame Haftungsbegrenzung im Verhältnis der Auftragsbearbeiter durch
- benenne einen Datenschutzbeauftragten
- lege ein Verfahrensverzeichnis an
- führe vorsorglich eine Folgenabschätzung durch.
In dem folgenden Video werden Umsetzungshilfe aufgezeigt wie man an die Umsetzung der DSGVO herangehen kann.
Die angegebenen Daten werden zum Zweck der Kontaktaufnahme erhoben und solange gespeichert, wie Sie einen Widerruf bei uns durchführen. Wir garantieren, dass wir Ihre Daten nicht an Dritte weiter geben werden.
Bitte lesen Sie unsere Datenschutz-Angaben im Impressum.
Kommentar schreiben