Source: http://www.theatermanagement-aktuell.de/2018/01/10/die-neue-datenschutz-grundverordnung/
Timestamp: 2018-10-22 20:24:44+00:00

Document:
Die neue Datenschutz-Grundverordnung | theatermanagement aktuell
← Ticketing-Kongress diskutiert Revolution in der Event-Branche
Miteinander, nicht übereinander reden – Partizipative Leitbildentwicklung an Theatern →
Ein Beitrag von Rechtsanwalt Ulrich Poser, Fachanwalt für Urheber- und Medienrecht, Datenschutzbeauftragter TÜV ®, Hamburg/Berlin – www.kanzlei-für-veranstaltungsrecht.de
Am 25. Mai 2018 wird die neue Datenschutz-Grundverordnung (DSGVO) in Kraft treten. Sie enthält im Vergleich zum Bundesdatenschutzgesetz teilweise erhebliche Abweichungen. Nachfolgend werden die Grundprinzipien, einige wichtige Neuerungen und voraussichtliche Auswirkungen der DSGVO auf die Praxis vorgestellt.
Die Grundprinzipien der Datenverarbeitung
Die Grundsätze für die Verarbeitung personenbezogener Daten sind in Art 5. DSGVO niedergeschrieben.
(1) Personenbezogene Daten müssen danach
Eine Übermittlung von personenbezogenen Daten in ein Drittland oder an eine inter­nationale Organisation ist nur zulässig, wenn der Verantwortliche und der Auftragsver­arbeiter die im Kapitel V zur Datenübermittlung in Drittländer und zu internationalen Organisationen niedergelegten Bedingungen erfüllen und auch die sonstigen Bestim­mungen der DSGVO beachtet werden (Art. 44 DSGVO).
Dies wird interessant für hier genutzte Dienste aus den USA wie z.B. Facebook oder WhatsApp.
Datenpannen – Art. 33 und 34 DSGVO
Eine Datenpanne kann jedes Unternehmen treffen. Der Serverraum wurde von Hochwasser geflutet, die Sicherungskopien der Festplatte wurden Opfer eines Brandes, die Rechner eines Unternehmens oder das betriebliche Laptop wurden gestohlen; das Smartphone fällt ins Meer: Schon ist die Datenpanne da.
Nach den Artikeln 33 und 34 DSGVO besteht ab 25. Mai 2018 eine abgestufte Meldepflicht:
a) Eine Meldung an die Aufsichtsbehörde hat immer zu erfolgen, es sei denn, dass die Datenpanne „voraussichtlich nicht zu einem Risiko“ für den Betroffenen führt.
b) Eine Benachrichtigung an die betroffene Person muss nur dann erfolgen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.
Wann muss die Meldung an die Aufsichtsbehörde erfolgen?
Die Meldung der Datenpanne muss innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde erfolgt sein (Art. 33 Abs. 1 S. 1 DSGVO). Wird später gemeldet, ist die Verspätung zu begründen.
Mögliches exorbitant hohes Bußgeld bei Unterlassen der Meldung
Unterlässt die verarbeitende Stelle, welcher die Datenpanne passiert ist, die obligatorische Meldung, kann die Aufsichtsbehörde Bußgelder von bis zu 10 Mio. Euro bzw. 2% des Umsatzes des Unternehmens verhängen (Art. 83 DSGVO).
Aus diesem Grunde sollten sich alle Unternehmen bereits jetzt darum bemühen, Datenpannen von vornherein zu vermeiden. Als vorbeugende Checkliste zur Vermeidung von Datenpannen kann nach wie vor die Auflistung der technisch-organisatorischen Maßnahmen gem. der Anlage zu § 9 Bundesdatenschutzgesetz dienen:
1.Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle),
3.zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle),
4.zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle),
5.zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),
6.zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle),
7.zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
8.zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Eine Maßnahme nach Satz 2 Nummer 2 bis 4 ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.
In anderen Fällen kann nach der DSGVO sogar ein Bußgeld bis 20 Millionen Euro oder 4 % des Unternehmensumsatzes verlangt werden (Art. 83 Abs. 5 DSGVO).
Art. 17 DSGVO regelt das Recht auf Löschung von erhobenen Daten. Danach kann zukünftig die Löschung von Daten bei Vorliegen folgender Fallgruppen verlangt werden:
Neue Regelungen für Auftragsdatenverarbeitung
Nahezu jedes Unternehmen bedient sich der Hilfe von Auftragsdatenverarbeitern. Dazu gehören z.B. IT-Firmen, die mit der ständigen Pflege der Hard- und Software eines Unternehmens beauftragt sind (Beispiel: Wartungsvertrag). Auch Callcenter und Aktenvernichter gehören zu den Auftragsdatenverabeitern.
Gem. Art. 28 Absatz 1 DSGVO muss vom Unternehmen zunächst geprüft werden, ob der Auftragsdatenverarbeiter geeignet ist. Das Unternehmen darf nur Auftragsdatenverarbeiter einsetzen, die „hinreichend Garantien“ dafür bieten, dass sie geeignete technische und organisatorische Maßnahmen für einen ausreichenden Datenschutz gewährleisten können.
Der Vertrag mit dem Auftragsdatenverarbeiter muss darüber hinaus folgenden Voraussetzungen gem. Art. 28 III DSGVO genügen:
„(…) Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.(…)“
Neue Pflicht: Verzeichnis
Für Auftragsdatenverarbeiter besteht die Pflicht, künftig ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO für alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung zu führen. Dieses Verzeichnis muss der Aufsichtsbehörde auf Anfrage oder bei Kontrollen zur Verfügung gestellt werden.
Die neue Datenschutzfolgenabschätzung
Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche gem. Art. 35 DSGVO vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch (Datenschutzfolgenabschätzung).
Die Datenschutz-Folgenabschätzung muss eine systematische Beschreibung der Verarbeitungsvorgänge und die Zwecke der Verarbeitung enthalten (vgl. im Folgenden: Bayerisches Landesamt für Datenschutzaufsicht: https://www.lda.bayern.de/de/datenschutz_eu.html). Dazu sind (technische) Prozesse, IT-Systeme und Produkte sowie Datenflüsse und Systemgrenzen im Detail zu bewerten. Die berechtigten Interessen des Verantwortlichen, z. B. Sicherheit durch neuartige Videoüberwachung oder Erkenntnisse durch Big-Data-Analysen, sind zu beschreiben sowie die Verhältnismäßigkeit und Notwendigkeit der Verarbeitung festzulegen. Zusätzlich ist eine systematische Risikobeurteilung (risk assessment) durchzuführen. Durch geeignete Maßnahmen wird das Risiko minimiert – ist das Restrisiko dann immer noch hoch, ist die zuständige Aufsichtsbehörde zu konsultieren (Art. 36 DS-GVO).
Zurzeit ist die Videoüberwachung gem. § 6 b Bundesdatenschutzgesetz (BDSG) unter den dort genannten Voraussetzungen noch zulässig.
Die Datenschutzgrundverordnung enthält keine gleichlautende Vorschrift, so dass damit zu rechnen ist, dass die alte Regelung zeitnah gestrichen werden wird.
Praxistipp des Bayerischen Landesamts für Datenschutzaufsicht
Jedes Unternehmen, das Videoüberwachung einsetzt, sollte auch schon heute im (jedenfalls internen) Verfahrensverzeichnis dokumentiert haben, in welcher Art und Weise es nach § 6b BDSG geprüft hat und zum Ergebnis gekommen ist, dass sie zulässig ist.
In dem nach der DS-GVO zu erstellenden Verarbeitungsverzeichnis sind die einzelnen Videokameras auszuweisen und u.a. zu dokumentieren, welchem Zweck die Verarbeitung dient, warum sie notwendig und verhältnismäßig ist, welche Risiken für die Rechte und Freiheiten der betroffenen Person berührt werden und welche Abhilfemaßnahmen erwogen und getroffen wurden.

References: Art. 33
 § 9

Art. 17
 Art. 28
 Art. 28
 Art. 30
 Art. 35
 § 6
 § 6