Source: https://www.boden-rechtsanwaelte.de/beratungsfelder/datenschutzrecht/
Timestamp: 2020-02-28 09:11:50+00:00

Document:
Sichere Datenschutzkonzepte von Boden Rechtsanwälte » Boden Rechtsanwälte
Rechtssicher beim Datenschutz
Wir unterstützen Sie bei der Umsetzung des Datenschutzes in Ihrem Unternehmen
Wir sind gerne für Sie da, wenn Sie Fragen zur rechtssicheren Anwendung der datenschutzrechtlichen Vorgaben in Ihrem Unternehmen haben und begleiten Sie gerne bei der Umsetzung.
Bei Boden Rechtsanwälte sind Sie beim Datenschutz auf der sicheren Seite. Wir legen Wert darauf, nicht nur im juristischen Elfenbeinturm zu sitzen, sondern blicken über den Tellerrand hinaus. Durch aktive Netzwerkarbeit in Vereinen wie Social Media OWL e.V. oder Startup Dorf e.V. halten wir uns nicht nur juristisch auf dem Laufenden, sondern sind auch über aktuelle Entwicklungen und Möglichkeiten in der digitalen Welt bestens informiert. So können wir bei Themen wie der Umsetzung der Anforderungen nach dem Bundesdatenschutzgesetz und der DSGVO, wie z.B. der sicheren Verarbeitung personenbezogener Daten mit gesichertem Wissen weiterhelfen.
Die stete juristische Fortbildung im Datenschutzrecht ist für uns selbstverständlich. Nur so ist es möglich, unseren Mandanten eine personenbezogene Beratung mit höchstem Verständnis für digitale Themen anbieten können.
Ihr Berater im Bereich Datenschutzrecht
Schulungen und Workshops im Datenschutzrecht
Hilfe bei der Umsetzung eines betrieblichen Datenschutzmanagementsystems
Ihr Rechtsanwalt für Datenschutzrecht
Datenschutzrecht – eine Chance für mehr Vertrauen
Das Thema Datenschutz ist bei vielen Unternehmern wenig beliebt. Doch die Vorgaben der Datenschutzgrundverordnung (DSGVO) machen es erforderlich, sich mit den neuen Regeln auseinanderzusetzen. Umso mehr, wenn personenbezogene Informationen im Auftrag eines dritten Unternehmens verarbeitet werden. Denn dann ist der Nachweis eines sorgsamen Umgangs mit den entsprechenden Daten Pflicht.
Oder in Juristendeutsch: …dieses (Unternehmen) darf bei der sogenannten Auftragsverarbeitung gemäß § 28 DSGVO nur mit solchen Auftragnehmern zusammenarbeiten, die hinreichend Garantie dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass sie im Einklang mit der Datenschutzgrundverordnung sind und den Schutz der Rechte von Kunden und Nutzern gewährleisten.
Unternehmen, die ihren Datenschutz nach den Vorgaben der DSGVO organisiert haben, verfügen somit nicht nur über die juristische Sicherheit, sondern über einen echten Wettbewerbsvorteil gegenüber Konkurrenten, die dieses Thema hartnäckig ignorieren.
Jedes Unternehmen sollte sich klare Richtlinien für den Umgang mit Daten geben und diese auch den Mitarbeitern zur Verfügung stellen. Dies dient auch der Dokumentation gegenüber anderen. Gerne unterstützen wir Sie bei der Erstellung Ihres Datenschutzkonzeptes und erarbeiten mit Ihnen die wesentlichen Grundlagen.
Auch zu allen Fragen rund um die Verarbeitung und den Schutz von Daten sowie zum Einsatz eines Datenschutzbeauftragten stehen wir Ihnen zur Verfügung.
Profitieren Sie von unserer Erfahrung im Datenschutzrecht
Gerade im Bereich des E-Commerce und des Online-Marketings kommt es immer wieder zu Konflikten zwischen dem Einsatz neuer Tools und den Rechten der betroffenen User. Unternehmen, die in diesem Feld neue Wege gehen, sind besonders häufig betroffen. Wir betreuen seit vielen Jahren Mandanten zu allen Fragen rund um das Datenschutzrecht. Egal, ob es um die Formulierung transparenter Datenschutzinformationen nach der DSGVO geht, Sie Ihre Datenerhebung über die Webseite rechtlich absichern oder die Verarbeitung personenbezogener Daten betriebsintern nach den Maßgaben der DSGVO sicherstellen wollen, unsere Erfahrung macht uns in jeder Rechtslage zu starken Partnern.
Bereits nach dem bis Mai 2018 gültigen Bundesdatenschutzgesetz (BDSG) mussten Unternehmen ein Verfahrensverzeichnis führen. In diesem waren alle Datenverarbeitungsprozesse zu dokumentieren. Daran hat sich grundlegend nichts geändert. Die DSGVO führt in § 30 genau auf, welche Angaben in diesem Verzeichnis erfasst sein müssen. Für kleinere Unternehmen und Vereine bieten die Musterverzeichnisses des LDA Bayern eine erste Hilfestellung. Wir unterstützen Unternehmen bei der Erstellung des Verzeichnisses und klären Zweifelsfragen, wie z.B. ob ein Verfahren überhaupt zulässig ist oder wie sich Risiken durch geeignete technische und organisatorische Maßnahmen minimieren lassen.
Denn: Jedes Unternehmen hat geeignete organisatorische und technische Maßnahmen einzuhalten, um ein „angemessenes Schutzniveau“ zu erzielen. Dabei fließen der Stand der Technik, Implementierungskosten sowie Art und Umfang der Datenverarbeitung in die Bewertung dessen, was als angemessen zu betrachten ist, mit ein. Eine Risikoanalyse ist in jedem Fall unerlässlich, um die Gefährdung personenbezogener Daten durch deren unberechtigte Offenbarung, ihre Vernichtung oder ihren Verlust im Rahmen der jeweiligen Verarbeitungstätigkeit sicher beurteilen zu können. Denn nur so lässt sich beurteilen, welche Maßnahmen zum Schutz geeignet sind.
Datenschutzrecht im Unternehmen braucht klare Vorgaben. Regelungen für die Nutzung der Telekommunikationseinrichtungen und Smartphones sind notwendig, um Datenverlusten und ungewollten Preisgaben vorzubeugen. Im Rahmen des Social-Media-Marketings empfiehlt sich die Ausarbeitung von Social-Media-Guidelines, um ein einheitliches Auftreten von Mitarbeitern und dem Unternehmen auf den verschiedenen Plattformen zu gewährleisten. Diese sind nicht nur aus Gründen des Datenschutzes relevant, sondern auch zur Wahrung von Persönlichkeitsrechten und dem Recht am eigenen Bild. Bei Unternehmen mit einem Betriebsrat können solche Richtlinien als allgemein verbindliche Betriebsvereinbarung ausgestaltet werden.
Datenübermittlung und Auftragsverarbeitung
Grundsätzlich ist ein Unternehmen im Sinne des Datenschutzrechts verantwortlich dafür, welche Daten wie verarbeitet werden. Um Marketingmaßnahmen wie den Newsletter-Versand effektiver zu gestalten, werden allerdings oftmals Spezialisten beauftragt. Dann ist die Überlassung personenbezogener Kundendaten notwendig. Die DSGVO schreibt vor, dass in diesen Fällen nur Unternehmen engagiert werden dürfen, die geeignete Maßnahmen zum Schutz der ihnen überlassenen Daten ergreifen und einhalten.
Nehmen Sie jetzt Kontakt mit Rechtsanwalt Martin Boden auf!
Die Rechtslage in Deutschland ist eindeutig. Bereits nach dem bisher geltenden Bundesdatenschutzgesetz (BDSG) musste im Rahmen einer Auftragsdatenverarbeitung ein Vertrag geschlossen werden. Idealerweise sind mit Ablauf der Umsetzungsfrist der DSGVO nur die bestehenden Verträge zu modifizieren. In der ab dem 25. Mai 2018 geltenden Fassung des BDSGneu ist die Auftragsverarbeitung in § 62 geregelt und entspricht weitestgehend den Bestimmungen der DSGVO.
In der europäischen Union regelt Artikel 28 DSGVO detailliert die Anforderungen an den Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Gemäß Art. 28 Abs.3 wird der Vertrag nach dem Unionsrecht oder dem Recht der Mitgliedsstaaten vereinbart. Hier sollte die von den Parteien grundsätzlich frei zu treffende Rechtswahl beachtet werden. Bei Folgeansprüchen, wie zum Beispiel Schadensersatz, ist es für ein deutsches Unternehmen einfacher, diese vor einem deutschen Gericht einzuklagen.
In Ländern außerhalb der Europäischen Union ist maßgeblich, ob diese als sichere Drittstaaten eingestuft sind. Diese Einstufung erfolgt durch die EU-Kommission und ist im Internet abrufbar. Mit den USA besteht das Privacy-Shield-Abkommen, das zahlreiche Fragen rund um das Datenschutzrecht und den Schutz personenbezogener Daten regelt. Für andere Staaten können die EU-Standardvertragsklauseln abgeschlossen werden, mit denen sich die jeweiligen Vertragspartner zur Einhaltung europäischer Datenschutzstandards verpflichten. Achtung: Ab dem 30.03.2019 gilt Großbritannien wegen des Brexits nach heutigem Stand auch als Drittland, so dass hier die EU-Standardvertragsklauseln zur Anwendung kommen würden.
Neben der einzelfallbezogenen datenschutzrechtlichen Beratung für Ihre Website oder sonstige Geschäftsprojekte, steht Rechtsanwalt Martin Boden, LL.M. Unternehmen als externer Datenschutzbeauftragter zur Seite. Gerne unterstützen wir auch interne Datenschutzbeauftragte bei ihrem Datenschutzmanagement und fertigen z.B. eine Datenschutz-Folgeabschätzung an.
Rechtsanwalt Martin Boden, LL.M. steht Ihrem Unternehmen als externer Datenschutzbeauftragter zur Verfügung.
Mitarbeiter-Richtlinien und Vereinbarungen
Wir formulieren für Sie notwendige Richtlinien und Vorgaben für Ihre Mitarbeiter. Wir arbeiten datenschutzrechtliche Betriebsvereinbarungen aus. Wir unterstützen Sie bei Ihren Social-Media-Guidelines.
Wir beraten Ihr Unternehmen und/oder Ihren internen Datenschutzbeauftragten bei der Abfassung des Verzeichnisses.
Werden besondere personenbezogene Daten verarbeitet, z.B. Gesundheitsdaten, bedarf es einer Folgeabschätzung. Wir beraten Sie, inwiefern Ihre Verarbeitung besonderen Risiken unterliegt und wie man diese vermindern oder vermeiden kann.
Wir helfen Ihnen bei der Ausarbeitung der Verträge mit Ihren Dienstleistern. Wir klären Sie auf, wie EU-Standardvertragsklauseln bei Drittländern einzusetzen sind und unterstützen Sie.
Wir prüfen die Einhaltung der datenschutzrechtlichen Vorgaben auf Ihrer Internetseite und erstellen für Sie Ihre Datenschutzerklärung. Erweiternd können wir eine umfassende Prüfung aller rechtlich relevanten Seiteninhalte vornehmen.
Vielen Unternehmen wird erst mit der seit Mai 2018 anzuwendenden Datenschutzgrundverordnung (DSGVO) bewusst, dass sie einen Datenschutzbeauftragten für ihr Unternehmen bestellen müssen.
Doch auch unter der Regelung des alten Bundesdatenschutzgesetzes war die Bestellung eines Datenschutzbeauftragten notwendig, wenn mindestens 10 Personen im Unternehmen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt waren. Datenschutzbeauftragte können intern oder extern bestellt werden. Die Rechtsanwälte Martin Boden, LL.M. und Sebastian Link stehen Ihnen seitens unserer Kanzlei als externe Datenschutzbeauftragte zur Verfügung.
Sie unterstützen Sie bei der Einrichtung eines DSGVO-rechtskonformen Datenschutzmanagements, erarbeiten mit Ihnen rechtliche Richtlinien für Ihre Mitarbeiter, leisten rechtliche Hilfe bei der Erstellung des Verzeichnisses der Verarbeitungstätigkeiten, verfassen und kontrollieren die Auftragsverarbeitungs-Verträge mit Ihren Dienstleistern und stecken mit Ihrer IT-Abteilung oder Ihrem IT-Dienstleister den rechtlichen Rahmen der einzuhaltenden technischen und organisatorischen Maßnahmen ab.
Wann brauche ich denn einen Datenschutzbeauftragten?
Das betrifft, gemäß § 38 Bundesdatenschutzgesetz (BDSG) neu, alle Unternehmen, wenn sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Aber Achtung – die Zahl der Beschäftigten spielt keine Rolle, d.h. es ist dann stets ein Datenschutzbeauftragter zu bestellen, wenn der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.
Kann denn nicht der Geschäftsführer oder der IT-Administrator den Datenschutzbeauftragten machen?
Nein, interner Datenschutzbeauftragter kann nur ein Mitarbeiter sein, der keinen Interessenskonflikten unterliegt. Daher scheiden die Geschäftsführung, der Leiter der IT-Abteilung oder auch der IT-Sicherheitsbeauftragte aus.
Natürlich ist es für Unternehmen oftmals eine praktikable Lösung, einen internen Datenschutzbeauftragten zu bestellen, der das Unternehmen bereits von Grund auf kennt. Allerdings kann dies nicht jeder x-beliebige Mitarbeiter sein, da auch der interne Datenschutzbeauftragte die notwendige Fachkenntnis haben muss. Das kann zwar in einem Schnellkurs „auf dem Papier“ besorgt werden, ob dann jedoch umfassende rechtliche Kenntnisse vorliegen und sich alle notwendigen Richtlinien und Verträge rechtssicher abfassen lassen, ist wiederum fraglich. Mit einem externen Datenschutzbeauftragten entledigen sich Unternehmen dieser Sorge und können sich auf die Beratung mit entsprechender Expertise verlassen.
Was kostet der externe Datenschutzbeauftragte?
Vor Beginn unserer Tätigkeit führen wir ein rechtliches Audit durch und erstellen einen Maßnahmenkatalog, welche rechtlichen Vorgaben umzusetzen sind. Diese Tätigkeit wird nach Stundenaufwand abgerechnet. Die Umsetzung und Unterstützung sowie die dauerhafte Tätigkeit erfolgen dann zu einem monatlichen Pauschalpreis. Alternativ kann die monatliche Pauschale niedriger angesetzt werden und dafür die Umsetzung der erforderlichen rechtlichen Maßnahmen sowie das jährliche rechtliche Audit ebenfalls nach Aufwand abgerechnet werden. Sprechen Sie uns an. Wir machen Ihnen gerne ein individuelles und transparentes Angebot.
Aufgrund zunehmenden Fachkräftemangels setzen Unternehmen immer mehr auf ein attraktives Arbeitsumfeld, um Mitarbeiter zu werben und zu halten. Ein Diensthandy gehört dabei ebenso zu den nahezu bereits üblichen Annehmlichkeiten. Dienstwagen werden nach wie vor gewährt und der moderne Arbeitgeber richtet seinen Mitarbeitern gerne einen Home-Office-Arbeitsplatz ein.
Viel zu selten wird dabei bedacht, dass hier datenschutzrechtlich relevante Sachverhalte zu beachten sind. Auch am Home-Office-Arbeitsplatz muss gewährleistest sein, dass das Datengeheimnis gewahrt ist, Daten sicher übertragen werden und die Datenintegrität, z.B. durch Verschlüsselung, gewahrt ist.
Ebenso sind Vereinbarungen mit Mitarbeitern zu Bildrechten zu treffen. Auch wenn die Marketing-Abteilung jeden Mitarbeiter mit Foto ins Internet stellen möchte, kann dies nur mit der Einwilligung des Abgebildeten geschehen.
Die Datenschutzgrundverordnung eröffnet in Art. 88 die Möglichkeit, dass die Mitgliedsländer nationale Regelungen für den Beschäftigtendatenschutz treffen. Davon hat der deutsche Gesetzgeber mit dem recht umfangreichen §26 BDSG neu Gebrauch gemacht. Diese orientiert sich im Wesentlichen an dem bisher geltenden § 32 BDSG. Weiterhin zulässig ist es, in Unternehmen mit einem Betriebsrat die individuelle Einwilligung eines Mitarbeiters durch eine Betriebsvereinbarung zu ersetzen.
Wir erstellen für Sie Richtlinien für Ihre Mitarbeiter oder entwerfen Betriebsvereinbarungen und stellen Ihnen die notwendigen Texte für die Verpflichtung auf das Datenschutzgeheimnis oder auch Bildrechte zur Verfügung.
Was darf ich als Arbeitgeber meinen Mitarbeitern an datenschutzrechtlichen Pflichten auferlegen?
Jeder Mitarbeiter, der personenbezogene Daten verarbeitet, ist gemäß § 53 BDSG neu auf das Datengeheimnis zu verpflichten. Der Arbeitgeber darf z.B. Verbote, wie das Verbot der privaten Nutzung von Diensthandys im Rahmen seiner Weisungskompetenz mittels Richtlinien verfügen. Der Königsweg ist natürlich, diese Regelungen mit den Mitarbeitern zu vereinbaren. So erfreuen sich Social-Media-Guidelines, die mit den Mitarbeitern zusammen erarbeitet werden, sicher höherer Akzeptanz, als wenn diese von oben herab erlassen werden.
Brauche ich immer eine Einwilligung des Beschäftigten?
Nach § 26 I BDSG neu dürfen personenbezogene Daten einer/s Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Bei der Frage der Erforderlichkeit muss eine Interessensabwägung erfolgen, bei der die beidseitigen Interessen zu berücksichtigen sind. Der Arbeitgeber sollte immer zum mildest möglichen Mittel greifen und bei jeder Verarbeitung die Datenschutzgrundsätze des Art.5 DSGVO beachten – Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit)
Was ist nach dem Ausscheiden eines Mitarbeiters hinsichtlich dessen Fotos auf der Homepage zu beachten?
§ 26 Abs. 8 S.2 BDSG neu regelt eindeutig, dass auch Personen, deren Beschäftigungsverhältnis geendet ist, als Beschäftigte gelten. Das bedeutet, dass auch für ehemalige Beschäftigte weiterhin die datenschutzrechtlichen Grundsätze zu beachten sind. Bilder ehemaliger Mitarbeiter sollten von der Webseite unverzüglich entfernt werden. Dies gilt nicht bei einem Gruppenfoto, bei dem kein Mitarbeiter besonders herausgestellt wird.
Nahezu jedes Unternehmen, also auch diejenigen, die keinen Datenschutzbeauftragten bestellen, müssen mit Geltung der DSGVO seit dem 25.05.2018 ein Verzeichnis von Verarbeitungstätigkeiten führen. Art. 30 Abs. 5 DSGVO normiert zwar Ausnahmen. Diese gelten aber nur, wenn die Verarbeitung in diesen Unternehmen nur gelegentlich erfolgt.
Das dürfte bei den allermeisten Betrieben nicht der Fall sein. Dies ist vielen kleineren Unternehmen nicht bewusst und birgt die Gefahr von überraschenden Bußgeldern. In dem Verzeichnis sollen die Kontaktdaten des Verantwortlichen, seines Vertreters und eines etwaigen Datenschutzbeauftragten stehen. Weiter ist der Zweck der Verarbeitung aufzuführen, eine Beschreibung der Kategorien betroffener Personen und die Kategorien personenbezogener Daten, die Kategorie der Empfänger der Daten, auch unter Angabe der etwaigen Übermittlung in Drittländer, sowie die vorgesehenen Fristen für die Löschung der Daten.
Die Verarbeitungstätigkeit der Lohnsteueranmeldung würde dann z.B. wie folgt erfasst:
Zweck der Verarbeitung: Abrechnung der Lohnsteuer Kategorie
der betroffenen Personen: Beschäftigte
Kategorie der personenbezogenen Daten: Namen, Adressdaten, Geburtsdaten, religiöse Überzeugung, Gesundheitsdaten
Kategorie der Empfänger: Finanzamt, Steuerberater
Wir unterstützen Sie gerne bei Unsicherheiten und klären mit Ihnen, welche Vorgänge in das Verzeichnis aufzunehmen sind.
Kann nicht der Datenschutzbeauftragte das Verfahrensverzeichnis schreiben?
Nein. Der Datenschutzbeauftragte, gleich ob intern oder extern, kann lediglich Hilfestellung und Anleitung bieten. Die Abfassung des Verzeichnisses ist Aufgabe des Verantwortlichen.
Ist es sinnvoll, möglichst viele ähnliche Vorgänge in einem Verfahren zusammenzufassen?
Das ist nicht ratsam. Das Verzeichnis soll ja auch als Nachschlagewerk dienen und z.B. auch Sicherheit bei Löschfristen geben. Fasst man nun einzelne Verarbeitungstätigkeiten zusammen, lassen sich unter Umständen die rechtlichen Vorgaben nicht mehr eindeutig differenzieren.
Muss ich das Verzeichnis von Verarbeitungstätigkeiten schriftlich führen?
Ja, gemäß Art. 30 Abs. 3 der Verordnung ist das Verzeichnis schriftlich zu führen, wobei ein elektronisches Format ausreicht. Es sollte jedenfalls so geführt werden, dass es dem zuständigen Datenschutzbeauftragten des Landes auf Anforderung unverzüglich vorgelegt werden kann.
Gemäß Art. 35 DSGVO hat eine Datenschutz-Folgeabschätzung stattzufinden, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Eine solche Gefährdung ist immer dann gegeben, wenn ein physischer, materieller oder immaterieller Schaden für den Betroffenen droht, z.B. durch Datenverlust, Rufschädigung oder gar Identitätsdiebstahl. Die Verordnung führt in Art. 35 Abs.3 DSGVO gesetzliche Beispiele an, bei denen eine Datenschutz-Folgeabschätzung immer vorzunehmen ist.
Darunter fallen die systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet oder die umfangreiche Verarbeitung besonderer personenbezogener Daten (z.B. Ethnie, Gesundheitsdaten, Religion).
Wir prüfen für Ihre Vorhaben, ob eine Datenschutz-Folgeabschätzung notwendig ist und erstellen diese für Sie.
Bei Beschäftigten sind auch immer besondere personenbezogen Daten zu erheben. Brauche ich da eine Datenschutz-Folgeabschätzung?
Wenn man sich am Text der DSGVO orientiert, dann ja. Allerdings können die Aufsichtsbehörden eine Liste von Verarbeitungstätigkeiten erstellen, für die keine Datenschutz-Folgeabschätzung notwendig ist. Bislang haben weder der Bundesdatenschutzbeauftragte noch Landesdatenschutzbeauftragte davon Gebrauch gemacht.
Was passiert, wenn die Datenschutz-Folgeabschätzung ein zu hohes Risiko zum Ergebnis hat?
Dann muss das Unternehmen das Vorhaben einstellen, es sei denn, es kann durch weitergehende technische Maßnahmen, wie z.B. die Pseudonymisierung das Risiko doch noch eindämmen.
Was passiert, wenn ich als Unternehmen bei der Folgenabschätzung falsch beraten wurde?
Gegenüber einem internen Datenschutzbeauftragten können Haftungsansprüche nur bei grob fahrlässigem oder vorsätzlichem Verhalten geltend gemacht werden. Externe Datenschutzbeauftragte können Sie hingegen auch bei einer fahrlässigen Falschberatung in Haftung nehmen.
Der Rat “Spiel nicht mit den Schmuddelkindern“ hat seit dem 25.05.2018 auch eine datenschutzrechtliche Bedeutung. Denn datenschutzrechtlich Verantwortliche dürfen gemäß Art. 28 I DSGVO nur mit solchen Dienstleistern im Rahmen der Auftragsverarbeitung zusammenarbeiten, die datenschutzkonform im Sinne der DSGVO arbeiten. Das bedeutet, dass Unternehmen, die diesen Anforderungen nicht genügen, zwangsläufig als Vertragspartner ausscheiden. Deswegen sollten gerade solche Unternehmen, die im datenschutzrechtlichen Sinne auf der Auftragnehmer-Seite tätig werden, die Datenschutzgrundverordnung als Chance erkennen.
In jedem Fall benötigen Unternehmen, die in ihrem Auftrag von anderen Daten verarbeiten lassen, eine vertragliche Grundlage. Art. 28 Abs. 3 DSGVO gibt konkrete Vorgaben für den Inhalt eines Auftragsverarbeitungsvertrags vor. Verschiedene Verbände haben auch gut zu verwendende Vorlagen für diese Verträge entwickelt. Diese sind auch im Internet abrufbar. Wir beraten Sie, wann eine Auftragsverarbeitung vorliegt, welche Vertragsinhalte für Ihr Unternehmen, je nach Sichtweise, entscheidend sind und unterstützen Sie bei den Vertragsverhandlungen.
Eine Auftragsverarbeitung ist immer dann gegeben, wenn der Auftragnehmer weisungsgebunden ist und keine eigene Entscheidungskompetenz hinsichtlich der zu verarbeitenden Daten hat (z.B. Call-Center, Cloud-Computing-Dienstleister)
Müssen Unternehmer mit ihrem Steuerberater einen Auftragsverarbeitungsvertrag schließen?
Steuerberater gehören wie Rechtsanwälte und Wirtschaftsprüfer zu den freien Berufen. Sie sind weisungsunabhängig und durch berufsrechtliche Vorschriften zur Geheimhaltung und Verschwiegenheit verpflichtet. Nach überwiegender Auffassung muss mit ihnen daher kein Auftragsverarbeitungsvertrag geschlossen werden.
Kann ich als Auftragsverarbeiter meine Eignung durch Zertifikate nachweisen?
Gemäß Art. 28 Abs.5 kann die Einhaltung genehmigter Verhaltensregeln oder eines genehmigten Zertifizierungsverfahrens als Faktor zum Nachweise der erforderlichen Garantien (zur Erfüllung der Datenschutzkonformität) herangezogen werden. Bislang wurde von diesen Verfahren noch nicht Gebrauch gemacht. Eine Zertifizierung nach DIN ISO 27001 kann daher momentan nur als gewichtiges Indiz gewertet werden. Ob sie im Sinne der Datenschutzgrundverordnung tatsächlich ausreicht, lässt sich abschließend noch nicht beurteilen.
Bereits vor dem 25. Mai 2018 bestand die Pflicht, eine Datenschutzerklärung auf einer Internetseite bereitzuhalten. Die Datenschutzerklärung muss transparent von jeder Seite aus erreichbar sein, was idealerweise durch eine Platzierung im Header oder Footer der Seite gewährleistet ist. Durch die Datenschutzgrundverordnung sind weitere Informationspflichten dazugekommen, wie zum Beispiel die Nennung des Datenschutzbeauftragten oder das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde. Zudem sind die Rechtsgrundlage der Verarbeitung wie auch die Empfänger der Daten zu benennen.
Wir unterstützen Sie bei der Abfassung Ihrer Datenschutzerklärung und entwerfen für Sie dabei gerne den kompletten Text. Wir helfen Ihnen bei Zweifelsfällen, wie z.B. der Übertragung von Daten in ein Drittland. Wir prüfen, inwiefern alle notwendigen Einwilligungen auf Ihrer Seite richtig eingeholt werden und auch ob die Voreinstellungen benutzerfreundlich gestaltet sind.
Gerne erweitern wir auf Wunsch und bei Bedarf den datenschutzrechtlichen Webseitencheck auf einen allgemeinen Webseitencheck, bei dem wir zudem noch das Impressum, Informationspflichten nach der ODR-Verordnung, allgemeine Werbeaussagen und urheberrechtliche Problemstellungen überprüfen.
Über meine Seite erhebe ich keine Daten. Muss ich trotzdem eine Datenschutzerklärung bereitstellen?
Ja. Denn selbst die Kontaktaufnahme, die über ein Kontaktformular oder über eine auf der Seite angeklickte E-Mail erfolgt, führt zu einer Datenverarbeitung. Es ist daher zu empfehlen, wenigstens immer Grundinformationen, wie die verantwortliche Stelle, den Datenschutzbeauftragten (wenn vorhanden), das Beschwerde- und das Auskunftsrecht in einer Datenschutzerklärung anzuführen.
Kann ich die Datenschutzhinweise mit ins Impressum nehmen?
Nein. Nach der DSGVO ist eine transparente Verarbeitung zu gewährleisten. Das ist nicht gesichert, wenn Datenschutzhinweise anderweitig versteckt werden.
Darf ich Analysetools wie Google Analytics noch verwenden?
Grundsätzlich spricht nichts dagegen, solange Sie die Seitenbesucher transparent über die erhobenen Daten und deren Weg informieren können. Als Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1f heranzuziehen. Soweit durch Pseudonymisierung der Daten und die Einräumung von Widerspruchsmöglichkeiten den Interessen des Betroffenen Rechnung getragen wird, sollte Google Analytics auch mit Geltung der DSGVO weiterhin nutzbar bleiben.
Kompetenz im Datenschutzrecht
Benötigen Sie einen externen Datenschutzbeauftragten? Sie sind interner Datenschutzbeauftragter und benötigen datenschutzrechtliche Unterstützung? Oder möchten Sie Ihr Unternehmen für die DSGVO fit machen? Dann rufen Sie uns an oder schreiben Sie uns unter kontakt@boden-rechtsanwaelte.de
Selbstverständlich stehen Ihnen unsere Rechtsanwälte auch zu Fragen des IT-Rechts – Marken, Designs, Patente – des Wettbewerbsrechts wie auch des Urheber- und Medienrechts gerne zur Seite.

References: § 28
 § 30
 § 62
 Art. 28
 § 38
 Art. 88
 §26
 § 32
 § 53
 § 26
 Art.5

§ 26
 Art. 30
 Art. 30
 Art. 35
 Art. 35
 Art. 28
 Art. 28
 Art. 28
 Art. 6