Source: https://www.firmen-datenschutz.eu/dsgvo/
Timestamp: 2018-11-17 15:00:25+00:00

Document:
DSGVO – das müssen Sie wissen | Datenschutz für Firmen
Das müssen Sie zur Datenschutz-
Grundverordnung wissen
4 Beschäftigtendatenschutz
5 Verzeichnis von Verarbeitungstätigkeiten
6 Grundsätze für die Verarbeitung personenbezogener Daten
7 Auftragsverarbeitung
8 Datenschutz Folgenabschätzung
9 IT Sicherheit
10 Ihre Website – Aushängeschild und Gefahrenquelle zugleich
12 Rechte der betroffenen (geschützten) Personen
13 Öffnungsklauseln und das BDSG (neu)
14 Verletzung des Schutzes personenbezogener Daten
15 Mögliche Fragen der Aufsichtsbehörde
16 Rechtliche Folgen bei Verstößen
Die Datenschutz-Grundverordnung (DSGVO) löst die Datenschutzrichtlinie 95/46/ EG aus dem Jahre 1995 ab. Die DSGVO gilt unmittelbar in der gesamten Europäischen Union (Art. 288 Abs. 2 AEUV). Es bedarf keiner Umsetzung in nationales Recht
Schutz des freien Verkehrs personenbezogener Daten
Die Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung(z.B. Karteikarten oder Aktenordner, die nach bestimmten Kriterien geordnet sind) personenbezogener Daten (zumeist aber nicht nur) durch Unternehmen, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Die Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten
(vgl. Art. 2 DSGVO)
Im Sinne der DSGVO bezeichnet der Ausdruck „Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen.
(vgl. Art. 4 Nr. 18 DSGVO)
Auch Freiberufler wie Ärzte, Zahnärzte, Tierärzte, Heilpraktiker, Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Architekten etc. fallen darunter.
Der Anwendungsbereich der DSGVO ist somit eröffnet, wenn Unternehmen Dienstleistungen oder Waren in Deutschland oder der Europäischen Union anbieten oder Mitarbeiter beschäftigen. Damit unterfällt praktisch jedes Unternehmen der DSGVO. Aber auch Vereine unterliegen den Vorgaben der DSGVO.
Auftragsverarbeiter ist ein Unternehmen dann, wenn in fremdem Namen, d. h. im Auftrag eines Dritten Dienstleistungen oder Waren in Deutschland oder der Europäischen Union angeboten werden. Auch dann muss die DSGVO beachtet werden.
(vgl. Art. 4 Nr. 1 DSGVO).
Vorname, Name, Wohnort, Steuernummer, Kontonummer, Religionszugehörigkeit etc.
Dazu gehört auch die (dynamische) IP-Adresse!
Bei der IP-Adresse handelt es sich lediglich um eine Nummer, die zunächst keinen Rückschluss auf die Person zulässt, die sich in das Internet einwählt. Dynamische IP-Adressen werden bei jeder Einwahl oder einmal am Tag neu vergeben, sodass dauerhaft keine Zuordnung zu einer bestimmten Person möglich ist. Ohnehin ist eine Zuordnung nach §§ 100b, 100g StPO nur nach richterlicher Anordnung bei Straftaten von im Einzelfall erheblicher Bedeutung oder Straftaten mittels Telekommunikation zulässig. Unter dem Vorbehalt richterlicher Anordnung steht auch der Auskunftsanspruch des Urhebers gem. § 101 Abs. 9 UrhG.
(vgl. BGH, Urteil vom 16.05.2017 – VI ZR 135/13)
Eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten beim Zugriff einer Person auf eine Internetseite, die dieser Anbieter allgemein zugänglich macht, gespeichert wird, stellt ein (geschütztes) personenbezogenes Datum (Merkmal) dar.
Als personenbezogenes Datum darf die IP-Adresse nur unter den Voraussetzungen des § 15 Abs. 1 TMG gespeichert werden. Diese Vorschrift ist richtlinienkonform entsprechend Art. 7 Buchst. f der Richtlinie 95/46 EG – in der Auslegung durch den EuGH – dahin anzuwenden, dass ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers dieser Dienste ohne dessen Einwilligung auch über das Ende eines Nutzungsvorgangs hinaus dann erheben und verwenden darf, soweit ihre Erhebung und ihre Verwendung erforderlich sind, um die generelle Funktionsfähigkeit der Dienste zu gewährleisten. Dabei bedarf es allerdings einer Abwägung mit dem Interesse und den Grundrechten und -freiheiten der Nutzer.“
„Verarbeiten“ im Sinne der DSGVO
Daten beschaffen, erfassen, sammeln, Berichtigung des Namens oder einer E-Mail-Adresse, Abfrage von Daten, Weitergabe von Daten an Dritte oder Dritten Einblick in die Daten gewähren, ohne diese zu übermitteln, neben dem Löschen von Daten auch die Vernichtung alter Computer, von CD’s oder USB-Sticks
Der Begriff ist weit auszulegen. Was auch immer Sie mit Daten machen, es handelt sich immer um ein „Verarbeiten“.
Die DSGVO enthält eine Öffnungsklausel in Art. 88. Davon hat Deutschland Gebrauch gemacht und mit § 26 BDSG (neue Fassung) eine konkretisierende Vorschrift erlassen.
Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung ist besonderes Augenmerk auf die „Freiwilligkeit“ zu richten. Daher ist Vorsicht bei Einwilligungen im Rahmen von AGB geboten. Auch Arbeitsverträge stellen in der Regel AGB dar.
Für die Einwilligung gilt (soweit nicht wegen besonderer Umstände eine andere Form angemessen ist) das Schriftformerfordernis (= §126 BGB = eigenhändige Unterschrift erforderlich).
Dem Arbeitnehmer steht ein Widerrufsrecht zu, über das er in Textform aufgeklärt werden muss.
(vgl. Art. 4 Nr. 7 DSGVO)
Verantwortlicher ist somit jeder, der mit personenbezogenen Daten von anderen umgeht.
Ausnahme von der Verpflichtung ein Verzeichnis von Verarbeitungstätigkeiten zu führen
Die Verpflichtung gilt nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 DSGVO (rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten, Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.) bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.
(vgl. Art. 30 Abs. 5 DSGVO)
Der Ausnahmetatbestand dürfte daher praktisch für die allermeisten Unternehmen ohne jegliche Relevanz sein. Dies wird bereits deutlich, wenn man allein darauf abstellt, dass die Verarbeitung nicht nur gelegentlich erfolgt. Ein Verzeichnis von Verarbeitungstätigkeiten ist bereits dann (unabhängig von der Anzahl der Beschäftigten) zu führen, wenn Gehaltsabrechnungen durchgeführt werden, inklusive der Verarbeitung religiöser Überzeugungen, wenn z.B. Kirchensteuer entrichtet wird. Wenn Mitarbeiter arbeitsunfähig erkranken, werden z.B. auch die Krankheitstage erfasst.
Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Das Verzeichnis der Verarbeitungstätigkeiten muss
schriftlich oder elektronisch geführt werden
und immer aktuell sein
Achten Sie darauf, dass Änderungen ersichtlich sind. Alte Eintragungen sollten demnach nicht überschrieben werden. Mindestens für den Zeitraum von einem Jahr sollten sämtliche Änderungen belegt werden können.
Die Angaben in dem Verzeichnis müssen aussagekräftig sein; die Anforderungen steigen mit zunehmender Unternehmensgröße.
Name und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten;
ggf. Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien;
(vgl. Art. 30 Abs. 1 DSGVO)
Darf jeder Einblick in das Verzeichnis nehmen?
Nein! Es handelt sich um kein öffentliches Verzeichnis, sodass insbesondere betroffenen Personen kein Einblick gewährt werden muss. Das Verzeichnis muss jedoch der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden.
(vgl. Art. 30 Abs. 4 DSGVO).
Es empfiehlt sich grundsätzlich, ein erweitertes Verzeichnis der Verarbeitungstätigkeiten anzulegen; dies insbesondere im Hinblick darauf, gegenüber der Aufsichtsbehörde darlegen zu können, dass die Verarbeitung der personenbezogenen Daten zulässig ist.
Ein erweitertes Verzeichnis enthält zusätzlich die konkreten Verarbeitungstätigkeiten im Sinne von Art. 4 Nr. 2 DSGVO (erheben, erfassen, speichern, abfragen, offenlegen … personenbezogener Daten) und aufgrund welcher Rechtsgrundlage dies erfolgt (z.B. Einwilligung, Arbeitsvertrag, Betriebsvereinbarung, Art. 6 DSGVO).
Grundsätzliches Verbot mit Erlaubnisvorbehalt
Die zentrale Norm ist Art. 6 DSGVO. Personenbezogene Daten dürfen nicht verarbeitet werden, wenn nicht eine ausdrückliche Einwilligung der betroffenen Person vorliegt oder eine Rechtsgrundlage dies erlaubt.
Einwilligung ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.(vgl. Art. 4 Nr. 11 DSGVO)
Es darf kein Zwang oder Druck ausgeübt werden. Problematisch erscheint dies, wenn eine Zwangslage gegeben ist oder Abhängigkeiten bestehen, z.B. im Arbeitsverhältnis.
Beschränkung auf einen bestimmten Fall
Die Einwilligung zur Verarbeitung personenbezogener Daten kann nicht für alle zukünftig relevanten Zwecke abgegeben werden.
Notwendig ist eine umfassende Aufklärung darüber, für welchen konkreten Zweck die personenbezogenen Daten verarbeitet werden sollen.
Information über jederzeitigen Widerruf
Die betroffene Person muss darüber informiert werden, dass die Einwilligung zur Verarbeitung personenbezogener Daten jederzeit widerrufen werden kann, ohne dass hierfür ein Grund angegeben werden muss.
Eindeutig bestätigende Handlung
Schriftform, aber auch Ankreuzen einer Auswahlmöglichkeit im Internet, wobei nur dann von einer wirksamen Einwilligung auszugehen ist, wenn es sich um ein sogenanntes opt-in Verfahren handelt. Ist das Kästchen bereits zuvor ausgefüllt (opt-out) ist nicht von einer wirksamen Einwilligung auszugehen.
Die Einwilligung bietet die größte Sicherheit im Hinblick darauf, dass der Datenschutz beachtet wird.
Die Verarbeitung personenbezogener Daten ist zulässig, soweit dies für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Anfrage der betroffenen Person erfolgen.
Erst wenn der Abschluss eines Vertrages unmittelbar bevorsteht, dürfen Bonitätsauskünfte bei Auskunfteien erfragt oder die Vorlage einer Bonitätsauskunft durch potentielle Vertragspartner verlangt werden.
Wahrung berechtigter Interessen des Verantwortlichen
Art. 6 Abs. 1f DSGVO erlaubt die Verarbeitung personenbezogener Daten auch dann, wenn dies der Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten dient, soweit nicht die Interessen der betroffenen Person überwiegen.
Wenn ein Anbieter von Waren oder Dienstleistungen die Daten von Kunden auswertet, dürfte dies hiervon umfasst sein. Auch ein Mitarbeiter, der beispielsweise im Außendienst vorrangig tätig ist, muss damit rechnen, dass sein Name sowie beruflichen Kontaktdaten im Internet veröffentlicht werden. Es ist jedoch Vorsicht geboten, da sich um einen unbestimmten Rechtsbegriff handelt, in der viel Interpretationsspielraum zulässt. Dies wird sicherlich zukünftig durch die Tätigkeit der Aufsichtsbehörden sowie gerichtliche Entscheidungen Konkretisierungen erfahren.
Der Zweck der Verarbeitung personenbezogener Daten muss vorher feststehen und darf nur für diesen Zweck erfolgen. Dies gilt unabhängig davon, ob eine Einwilligung des Betroffenen vorliegt, ein Vertrag geschlossen wurde oder nach Abwägung ein überwiegendes berechtigtes Interesse des Verantwortlichen anzunehmen ist.
Bei einem klassischen Kaufvertrag, dürfen die personenbezogenen Daten des Käufers nur für den Zweck des Verkaufs verwendet werden.
Zweckbindung wäre auch dann noch gegeben, wenn daran Maßnahmen oder Aktionen anknüpfen, die sich auf den Verkauf beziehen bzw. die Nutzung des Produkts. Bei Kauf von Möbeln, wäre auch Werbung für Pflegeprodukte im Nachgang erlaubt. Wenn ein Haustier tierärztlich untersuchen wird, darf der Tierarzt an Impf- oder sonstige Vorsorgetermine erinnern. Dies gilt jedenfalls so lange, bis der Kunde von seinem Widerspruchsrecht Gebrauch macht.
Jede Werbe E-Mail oder ein Newsletter müssen ein vollständiges Impressum aufweisen!
Keine Kaltaquise – auch nicht im B2B Bereich.
Eine Einwilligung kann auch erlöschen (ohne Zutun des Kunden). Zeitliche Grenze: 4 Jahre. Wird während dieser Zeit, nachdem zuvor eine Einwilligung erteilt wurde, keine einzige Werbe E-Mail oder ein Newsletter versandt, ist die Einwilligung verwirkt.
Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf den neuesten Stand gebracht werden; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
(vgl. Art. 5 Abs. 1 Buchst. d DSGVO).
Dies betrifft insbesondere Namensänderungen und Umfirmierung kennen. Das Unternehmen muss sicherstellen, dass die Änderung auch an allen relevanten Stellen (Datenbanken) berücksichtigt wird.
(vgl. Art. 5 Abs. 1 Buchst. e DSGVO).
Die IT-Fachfirma dürfte beispielsweise Nachfragen und erfassen, wie viele Mitarbeiter des Kunden Zugriff auf ein Netzwerk haben sollen und welche Arbeiten im Einzelnen verrichtet werden, um ein entsprechend leistungsfähiges Computersystem anbieten zu können. Unzulässig wäre hingegen die Speicherung weiterer Informationen, die mit dem Angebot nichts zu tun haben, wie beispielsweise wo der Geschäftsführer seinen nächsten Urlaub verbringt oder ob dieser Haustiere hat. Dies dürfte insbesondere Mitarbeiter der jeweiligen Marketingabteilungen vor größerer Herausforderungen stellen, die auf ihr eigenes Gehirn vertrauen müssten.
Wichtig ist zu beachten, dass personenbezogene Daten, die für die Erreichung des Zwecks nicht länger erforderlich sind und für die es keine Aufbewahrungsvorschriften gibt, entweder zu löschen oder so zu verändern sind, dass kein Personenbezug mehr hergestellt werden kann.
Pflicht gegenüber der Aufsichtsbehörde
Die Einhaltung dieser Vorgaben muss jede Firma gegenüber der Aufsichtsbehörde nachweisen können. Die Aufsichtsbehörde kann die Vorlage schriftlicher Dokumentationen verlangen, die belegen, welche personenbezogenen Daten von Vertragspartnern oder Mitarbeitern verarbeitet werden, aufgrund welcher Rechtsgrundlage dies erfolgt, für welchen Zweck die Daten verwendet werden und wie lange die Speicherung erfolgt oder erfolgt ist.
Darüber hinaus ist insbesondere Art. 29 DSGVO zu beachten. Dort heißt es wie folgt:Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.
Jeder Mitarbeiter sollte schriftlich verpflichtet werden, dass die ihm anvertrauten personenbezogenen Daten ausschließlich auf Weisung (des Verantwortlichen = Firmeninhabers, Chefs, etc.) verarbeitet werden dürfen und hierbei die Vorgaben der DSGVO einzuhalten sind.
Was müssen Webshop Betreiber zusätzlich beachten?
Nach Art. 6 Abs. 1 Nr. 2 DSGVO dürfte ein Kundenkonto angelegt werden, wenn dies zur Erfüllung des Vertrages notwendig wäre. In diesem Fall ist eine Einwilligung nicht erforderlich. In rechtlicher Hinsicht wird man sagen können, dass ein Kundenkonto zwar bequem, aber zur Vertragserfüllung nicht erforderlich ist. Ein Kundenkonto darf daher in der Regel nur angelegt werden, wenn der Besteller zuvor eingewilligt hat. Nun besteht das Problem, dass eine Einwilligung nur freiwillig (vgl. Art. 7 Abs. 4 DSGVO) wirksam erteilt werden kann. Freiwilligkeit liegt aber nicht mehr vor, wenn ein Pflicht besteht ein Kundenkonto zu eröffnen. Fazit: Ab dem 25.05.2018 muss die Möglichkeit eingeräumt werden, Bestellungen auch als Gast aufgeben zu können.
Auftragsverarbeiter ist eine natürliche oder juristische Person (AG, GmbH, KG, GmbH & Co KG etc.), Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
(Art. 4 Nr. 8 DSGVO).
Auftragsverarbeitung liegt zumeist dann vor, wenn Prozesse aus der Firma ausgegliedert oder Einblicke in die selbst verwalteten Daten gewährt werden. Klassische Beispiele hierfür sind die Inanspruchnahme eines Callcenters, ein IT-Wartungsvertrag, externe Buchhaltung, Werbeaktionen, die von Dritten durchgeführt werden, der Einsatz von Google Analytics bei der eigenen Website, das Mieten eines eigenen Servers, wo gegebenenfalls personenbezogene Daten gespeichert werden.
Auftragsverarbeitung liegt allerdings nur dann vor, wenn allein das Unternehmen über Zwecke und Mittel der Verarbeitung entscheidet. Der Auftragsverarbeiter muss weisungsabhängig den ihm erteilten Auftrag erfüllen. Die Abgrenzung ist mitunter schwierig.
Keine Auftragsbearbeitung liegt vor bei der Inanspruchnahme eines Steuerberaters oder einer Unternehmensberatung, Übergabe von Forderungen an ein Inkassounternehmen mit Abtretung der Forderungen, externer Personalverwaltung etc. Die Abgrenzung ist deswegen wichtig, weil bei „echter Auftragsverarbeitung“ das Unternehmen personenbezogene Daten der Kunden oder Mitarbeiter weitergeben darf, ohne dass hierfür eine ausdrückliche Einwilligung oder eine gesetzliche Grundlage vorliegen muss.
Wer im Sinne von echter Auftragsbearbeitung auf externe Firmen zurückgreift, muss prüfen, ob diese datenschutzrechtliche Vorschriften befolgen. Die Haftung erstreckt sich auch auf die Nichteinhaltung datenschutzrechtlicher Vorschriften durch den Auftragsverarbeiter.
Grundsätzlich muss ein Vertrag zwischen der Firma und dem Auftragsverarbeiter (möglichst schriftlich!) geschlossen werden. Neben einer konkreten Beschreibung was Inhalt der Auftragsvearbeitung ist, sollte darin auch das Weisungsrecht des Verantwortlichen fixiert werden. Ebenso sollte der Auftragsverarbeiter verpflichtet werden, sämtliche ihm übergebenen personenbezogenen Daten vertraulich zu behandeln und Sorge dafür zu tragen, dass die Sicherheit der Verarbeitung gewährleistet wird und datenschutzrechtliche Vorschriften zwingend eingehalten werden. Nicht vergessen werden darf, dass der Vertrag auch eine Regelung enthält, was mit den übergebenen personenbezogenen Daten nach Beendigung der Auftragsverarbeiter passiert (werden diese zurückgegeben oder gelöscht und falls Sie gelöscht werden, wie werden sie gelöscht etc.)
In diesem Zusammenhang muss auch darauf geachtet werden, dass sich der Verantwortliche umfassende Kontrollrechte einräumen lässt. Konkret müssen ohne Vorankündigung Kontrollen vor Ort möglich sein; dies kann gegebenenfalls auch ein Zutrittsrecht zu privaten Wohnraum umfassen.
Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien (Fingerabdrücke, Iris Scanner etc.), aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, ist eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen.
(vgl. Art. 35 DSGVO)
Eine Datenschutz-Folgenabschätzung ist insbesondere in folgenden Fällen erforderlich
systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen (z.B. Prüfung der Kreditwürdigkeit, Bonitätsprüfung);
umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO oder
Erwägungsgrund 75 zur DSGVO
Die Risiken für die Rechte und Freiheiten natürlicher Personen können aus einer Verarbeitung personenbezogener Daten hervorgehen, die zu einem physischen, materiellen oder immateriellen Schaden führen könnte, insbesondere wenn die Verarbeitung zu einer
einem Identitätsdiebstahl oder -betrug;
einem finanziellen Verlust;
einer Rufschädigung;
einem Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten;
der unbefugten Aufhebung der Pseudonymisierung oder anderen erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen führen kann;
wenn die betroffenen Personen um ihre Rechte und Freiheiten gebracht oder daran gehindert werden, die sie betreffenden personenbezogenen Daten zu kontrollieren;
wenn besondere Datenkategorien nach Art. 9 DSGVO verarbeitet werden;
wenn persönliche Aspekte bewertet werden, insbesondere wenn Aspekte, die die Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben oder Interessen, die Zuverlässigkeit oder das Verhalten, den Aufenthaltsort oder Ortswechsel betreffen, analysiert oder prognostiziert werden, um persönliche Profile zu erstellen oder zu nutzen;
wenn personenbezogene Daten schutzbedürftiger natürlicher Personen, insbesondere Daten von Kindern, verarbeitet werden;
oder wenn die Verarbeitung eine große Menge personenbezogener Daten und eine große Anzahl von betroffenen Personen betrifft.
Wann muss eine Datenschutz-Folgeabschätzung durchgeführt werden?
Die Frage lässt sich nicht pauschal beantworten, sondern ist grundsätzlich einzelfallabhängig.
Neben den in Art. 35 Abs. 3 DSGVO aufgelisteten, besonderen Fällen, sind folgende Kriterien heranzuziehen:
die Dauer der Verarbeitung und geographische Ausdehnung
Zusammenführen oder Abgleich von Datensätzen, die durch unterschiedliche Prozesse gewonnen werden
Verwendung neuer Technologien (Internet der Dinge, Fingerabdruckscanner, Gesichtserkennung, Iris Scanner)
Rechteverwaltung für Mitarbeiter, Werkstudenten, Praktikanten – ausgeschiedene Mitarbeiter bedenken (vgl. auch Art. 32 Abs. 4 DSGVO);
Updates, Upgrades und Patches regelmäßig einspielen;
regelmäßige Backups durchführen;
Festplattenspiegelung;
Einsatz einer Anti-Viren Software;
Passwortsicherungen -> ein gutes Passwort besteht aus mindestens 8 Zeichen mit einem Mix aus Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen;
Sofern die eigene Website auf ein CMS (Content – Management – System zurückgreift) muss die Software aktuell gehalten werden. Es werden regelmäßig Sicherheitslücken (die in ungeahnter Zahl auftreten) geschlossen. CMS Systeme werden von sehr vielen Firmen genutzt.
Wenn ein Kontaktformular bereitgestellt wird, muss dieses sicher sein, andernfalls ist dies ein Einfallstor für Hacker oder sog. script kiddies. Ein unterschätzte Gefahr! Denn möglicherweise kann Zugriff auf die komplette Datenbank (z.B. MySQL) erlangt werden.
Website -> SSL Zertifikat (nur über HTTPS erreichbar – erzwungenes HTTPS);
E-Mail Server -> STARTTLS / Perfect Forward Secrecy nutzen (Verschlüsselung der E-Mails zwischen den Servern)
Festplatten / sonstige Speichermedien verschlüsseln;
Verschlüsselung für mobile Geräte (Smartphone, Tablet, Notebook) -> entweder auf unmittelbare Lösungen der jeweiligen Hersteller zurückgreifen oder z.B. auf Veracrypt (empfohlen vom Bundesamt für Sicherheit in der Informationstechnologie)
Vorschaufunktion bei E-Mail Clients ggf. deaktivieren;
auf keine Links in E-Mails klicken;
Absender überprüfen (nicht den Namen, sondern die E-Mail Adresse, von der aus versandt wurde!);
Zwei Wege Authentifizierung;
aber auch banale Dinge wie die richtige Adressierung (AN: / CC: / BCC), ein Vertraulichkeitshinweis in der E-Mail selbst, dass ein unbefugter Dritter diese umgehend löschen soll, führt nicht zur Enthaftung;
u.U. auch ZIP Komprimierung mit Verschlüsselung + Passwort nutzen, alternativ kann man das S/MIME Format oder PGP nutzen;
WLAN Router mit aktueller Verschlüsselung nutzen (WPA2 AES mit CCMP oder TKIP), das voreingestellte Passwort ändern;
Zugriff von außen auf das Firmennetzwerk mittels VPN Tunnel;
Hardware nicht einfach unkontrolliert entsorgen (Daten können ggf. wieder hergestellt werden)
Ihre Website – Aushängeschild und Gefahrenquelle zugleich
Ist ein SSL Zertifikat vorhanden?
Ist nur die SSL Variante Ihrer Website aufrufbar (forced SSL)?
Entspricht die Verschlüsselung dem aktuellen Stand der Technik?
Haben Sie sog. “mixed-content”?
Erfolgt auf Server-Ebene eine Absicherung gegen mögliche Hacker Angriffe?
Wird ein Kontaktformular bereit gestellt? Dann müssen Sie darauf achten:
Der Inhalt der übertragenen Daten muss überprüft werden.
Es muss überprüft werden, ob noch weitere/zusätzliche Daten übertragen werden können.
Es muss verhindert werden, dass Daten ungefiltert in die Datenbank geschrieben werden können.
Es sollte ein Captcha eingesetzt werden.
Haben Sie eine gültige Datenschutzerklärung, insb. ab Inkrafttreten der DSGVO?
Werden in der Datenschutzerklärung Betroffene über sämtliche Rechte aufgeklärt?
Vorsicht: Je nachdem welche Software eingesetzt wird, kann die Datenschutzerklärung einen erheblichen Umfang haben. Folgende Fragen spielen hierbei eine Rolle:
Setzen Sie Tracking Tools (Google Analytics, Metamo, eTracker) ein?
Wird Google Maps genutzt?
Werden Google Web Fonts verwendet?
Werden Social Media Buttons (Facebook, YouTube, Twitter etc.) genutzt?
Wird ein Newsletter Eintrag zur Verfügung gestellt?
Wann und in welchem Umfang werden IP Adressen gespeichert?
Wann werden die IP Adressen wieder gelöscht?
Werden weitere Scripte (z.B. doctena) von Drittanbietern eingebunden?
Eine fehlende oder unzureichende Datenschutzerklärung kann überdies dazu führen, dass Sie abgemahnt werden, was mit zusätzlichen, erheblichen Kosten verbunden ist!
Haben Sie ein vollständiges Impressum?
Sind die Datenschutzerklärung und das Impressum leicht zugänglich?
Wann muss (zwingend) ein Datenschutzbeauftragter bestellt werden?
(vgl. Art. 37 Abs. 1 DSGVO i.V.m. § 38 BDSG neue Fassung)
Der Verantwortliche und der Auftragsverarbeiter benennen auf jeden Fall einen Datenschutzbeauftragten, wenn die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
(vgl. § 37 Abs. 1 Buchst. c DSGVO)
Ein Datenschutzbeauftragter muss in jedem Fall benannt werden, wenn in dem Unternehmen mindestens zehn Personen (ob diese ein Entgelt beziehen ist unerheblich) damit beschäftigt sind, personenbezogene Daten automatisiert zu verarbeiten.
Es gilt die Kopf-Regel. Es geht allein um die Anzahl der Personen, die mit der Datenverarbeitung befasst sind. Es spielt keine Rolle, ob es sich um Vollzeit- oder Teilzeitkräfte, Minijobber, freie Mitarbeiter, Studenten, Buchhalter etc. handelt.
Unabhängig von der Anzahl der Mitarbeiter muss ein Datenschutzbeauftragter benannt werden, soweit wenn personenbezogene Daten der folgenden Kategorien verarbeitet werden:
Gewerkschaftszugehörigkeit hervorgehen
es sich bei der Verarbeitung um eine Kerntätigkeit (= der Zweck könnte sonst nicht erreicht werden) des Unternehmens handelt.
Eine Kerntätigkeit liegt beispielsweise bei einem Optiker vor, in der Gesundheitsdaten benötigt, um Brillen oder Kontaktlinsen passgenau anzufertigen oder in Auftrag zu geben. Dies dürfte nahezu alle Unternehmen erfassen, die im medizinischen Bereich tätig sind und ohne Gesundheitsdaten Verträge mit Kunden nicht erfüllen können. Damit wird auch deutlich, dass eine Kerntätigkeit nicht anzunehmen ist, wenn ein Arbeitgeber zwecks Abführung der Kirchensteuer zwangsläufig Daten verarbeitet, die auf religiösen Überzeugungen schließen lassen.
Ein Datenschutzbeauftragter muss unabhängig von der Anzahl der Mitarbeiter und der Erhebung vorstehender Datenkategorien auch in jedem Falle bestellt werden, wenn die Kerntätigkeit des Unternehmens darauf gerichtet ist, Personen in umfangreicher Weise regelmäßig und systematisch zu überwachen.
Ungeachtet dessen kann nach Art. 37 Abs. 4 S. 1 HS 1 DSGVO auch freiwillig ein Datenschutzbeauftragter benannt werden.
Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach der DSGVO sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten (BDSG);
Beratung im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35;
Veröffentlichung der Kontaktdaten des Datenschutzbeauftragten und Mitteilung an die Aufsichtsbehörde
Nach Art. 37 Abs. 7 DSGVO hat der Verantwortliche oder Auftragsverarbeiter die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und diese der Aufsichtsbehörde mitzuteilen. Die Veröffentlichung sollte im Internet über die eigene Website geschehen. Ausreichend ist, dass die E-Mail Adresse angegeben wird; der Name oder die Anschrift des Datenschutzbeauftragten müssen nicht veröffentlicht werden. Im Rahmen des Rechtemanagements muss sichergestellt sein, dass E-Mails an den Datenschutzbeauftragten auch nur von diesem oder seinem Vertreter gelesen werden können.
In Art. 37 Abs. 6 DSGVO ist geregelt, dass entweder ein eigener Mitarbeiter des Unternehmens die Funktion des Datenschutzbeauftragten erfüllen kann oder ein externer Datenschutzbeauftragter auf Grundlage eines Dienstleistungsvertrages diese Funktion wahrnimmt.
Die berufliche Qualifikation und das Fachwissen ist also Voraussetzung für die wirksame Bestellung eines Datenschutzbeauftragten. Es kann mithin nicht jedermann die Aufgaben eines Datenschutzbeauftragten übernehmen.
Darüber hinaus muss darauf geachtet werden, dass es nicht zu einem Interessenkonflikt kommt. Wirksam kann daher auch nicht der IT-Leiter oder entsprechende EDV-Verantwortliche benannt werden. Auch der Personalleiter oder Vertriebsleiter scheiden aufgrund von Interessenkollision aus. Ebenso kann die gesamte Geschäftsführung nicht als Datenschutzbeauftragter bestellt werden. Fraglich ist auch, ob ein Betriebsratsmitglied die Aufgaben eines Datenschutzbeauftragten wahrnehmen kann.
Die Vorteile eines externen Datenschutzbeauftragten im Detail
Fachwissen, Datenschutzrecht ist ein originär juristisches Gebiet
Mitarbeiter als Datenschutzbeauftragter genießt Kündigungsschutz; selbst nach Abberufung gilt nachwirkender Kündigungsschutz für 1 Jahr – externer Datenschutzbeauftragter ist auf Grundlage eines Vertrages tätig, der auch wieder gekündigt werden kann
Mitarbeiter ist nicht weisungsgebunden, hat freie Zeiteinteilung – externer Datenschutzbeauftragter hat festen Zeitrahmen
Kosten für Fortbildung und Weiterbildung, darüber hinaus nicht transparente Kosten für Mitarbeiter – entfällt bei externen Datenschutzbeauftragten
Kalkulierbare Kosten für externen Datenschutzbeauftragten – weniger als ein 450 Euro job
Rechte der betroffenen (geschützten) Personen
Das Unternehmen (den Verantwortlichen) trifft die Verpflichtung, wenn personenbezogene Daten verarbeitet werden sollen, den Betroffenen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache darüber zu informieren, was zu welchem Zweck mit diesen gemacht wird.
(Art. 12 Abs. 1 DSGVO)
Werden personenbezogene Daten bei der betroffenen Person erhoben, so hat der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mitzuteilen:
wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht (d.h. auf einer Interessenabwägung, die zugunsten der Firma ausfällt), die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
wenn Daten weitergegeben werden sollen, gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln (z.B. Website Analysetools)
(vgl. Art. 13 Abs. 1 DSGVO)
Zusätzlich müssen der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung gestellt werden, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
die Dauer, für die die personenbezogenen Daten gespeichert werden oder die Kriterien für die Festlegung dieser Dauer;
sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung
oder eines Widerspruchsrechts gegen die Verarbeitung;
sowie des Rechts auf Datenübertragbarkeit;
das Bestehen eines Rechts, die Einwilligung jederzeit (ohne Angabe von Gründen) zu widerrufen,
(vgl. Art. 13 Abs. 2 DSGVO)
Das Auskunftsrecht ist in Art. 15 DSGVO geregelt.
Die betroffene Person hat das Recht, von der Firma eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
geplante Dauer der Speicherung;
Hinweis auf Betroffenenrechte (Berichtigung, Löschung, Einschränkung oder eines Widerspruchsrechts gegen die Verarbeitung;
Hinweis auf Beschwerderecht bei der Aufsichtsbehörde;
Die Auskunft muss kostenlos erteilt werden; die Firma hat auch das Porto zu übernehmen. Werden Kopien verlangt, kann hierfür jedoch ein angemessenes Entgelt genommen werden.
Neben einem konkreten Antrag, dass eine Auskunft begehrt wird, muss sich die Firma insbesondere über die Identität des Antragstellers gewiss sein. Andernfalls besteht die Gefahr, dass Auskünfte unbefugten Dritten erteilt werden. Es besteht somit nicht nur das Recht, sondern mitunter auch die Verpflichtung des Verantwortlichen, weitere Angaben bzw. Nachweise über die Identität anzufordern, bevor eine Auskunft erteilt wird.
Auch wenn keine Daten gespeichert wurden, muss der Antragsteller darüber informiert werden.
Die Firma muss (eigentlich eine Selbstverständlichkeit) falsche Daten korrigieren.
Ein Anspruch auf Löschung besteht, wenn für die Erfüllung des Zwecks die (weitere) Speicherung der personenbezogenen Daten nicht mehr notwendig ist, der Betroffene seine Einwilligung widerrufen hat und es auch keine andere Rechtsgrundlage für die Speicherung der Daten gibt. Wurden Daten von Anfang an unrechtmäßig erhoben und verarbeitet, sind Sie selbstverständlich auch zu löschen.
Wird von der Firma bestritten, dass die Daten unrichtig sind, hat der Betroffene gleichwohl einen Anspruch auf Einschränkung der Verarbeitung. Die Daten dürfen dann zwar gespeichert, aber nicht mehr in sonstiger Art und Weise (z.B. durch Übermittlung an einen externen Dienstleister oder für Werbezwecke) verarbeitet werden.
Die betroffene Person hat das Recht, die der Firma mitgeteilten personenbezogenen Daten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie kann verlangen, dass diese Daten an eine andere Firma weitergegeben werden.
(vgl. Art. 20 DSGVO)
Dies gilt allerdings nur für die dem Verantwortlichen (der Firma) bereitgestellten personenbezogenen Daten und nicht für Analysen, Erkenntnisse oder sonstige Rückschlüsse. Unter das Recht auf Datenübertragbarkeit fällt daher nicht, zu welcher Tageszeit ein Kunde beispielsweise vorzugsweise etwas bestellt, wie das Zahlungsverhalten ist oder welche Artikel häufig zusammen gekauft werden.
Das Widerspruchsrecht ist in Art. 21 DSGVO normiert. Beruht die Verarbeitung personenbezogener Daten auf einer Interessenabwägung, die zugunsten des Verantwortlichen aus seiner Sicht ausfällt, kann die betroffene Person der Verarbeitung widersprechen; erforderlich ist jedoch, dass hierfür nachvollziehbare Gründe angegeben werden. Soweit der Verantwortliche dann, unter Berücksichtigung der neu vorgetragenen Gründe, gleichwohl zwingende schutzwürdige eigene Interessen hat (und diese gegebenenfalls auch nachweisen kann) darf er die Verarbeitung fortsetzen.
Automatisierte Entscheidungen nur im Einzelfall
(vgl. Art. 22 DSGVO)
Dies bedeutet konkret, dass es nicht ausschließlich einem Softwareprogramm (auch künstlicher Intelligenz) überlassen werden darf, wie mit personenbezogenen Daten umgegangen wird und welche Entscheidungen getroffen werden. Dies gilt nur dann nicht, wenn die betroffene Person ausdrücklich einwilligt, dies für den Abschluss oder die Erfüllung des Vertrages erforderlich ist oder eine Rechtsvorschrift dies zulässt.
Problematisch wäre beispielsweise bei großen Konzernen der Einsatz künstlicher Intelligenz bei der Personalauswahl. Für die meisten mittelständischen oder kleinen Unternehmen spielt dies jedoch derzeit (noch) eine untergeordnete Rolle.
Geeignete Maßnahmen zur Erfüllung der Betroffenenrechte
Die Firma hat nach Art. 12 DSGVO geeignete Maßnahmen zu treffen, um die Rechte der Betroffenen erfüllen zu können. Diese müssen unverzüglich, spätestens jedoch innerhalb eines Monats erfüllt werden. Um eine vollständige Auskunft zeitnah erteilen zu können, ist es daher ratsam, ein vollständiges und aktuelles Verzeichnis der Verarbeitungstätigkeiten zu haben.
Kommt die Firma den Betroffenenrechten nicht fristgerecht nach, Kann sich der Betroffene bei der Aufsichtsbehörde beschweren. Diese wird dann Sanktionen aussprechen, wobei es nicht maßgeblich darauf ankommt, aus welchem Grunde die Firma den Rechten der betroffenen Person nicht nachgekommen ist.
Öffnungsklauseln und das BDSG (neu)
Für den nicht-öffentlichen Bereich bestehen nur wenige Gestaltungsmöglichkeiten für den nationalen Gesetzgeber.
Hierbei sind insbesondere folgende Vorschriften wichtig:
Verarbeitung besonders schutzwürdiger Daten(§22 BDSG-neu)
zur Zweckänderung (§§ 23, 24 BDSG-neu),
zur Verarbeitung von Beschäftigtendaten (§ 26 BDSG-neu),
zur Einschränkung der Betroffenenrechte (§§ 32 bis 37 BDSG-neu)
zur Bestellung betrieblicher Datenschutzbeauftragter (§ 38 BDSG-neu)
Die „Verletzung des Schutzes personenbezogener Daten“ ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung bzw. zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.
Es ist unerheblich, um welche Art von personenbezogenen Daten es sich hierbei handelt. Diese müssen nicht einer besonderen Kategorie im Sinne von Art. 9 DSGVO unterfallen. Ein Verschulden ist ebenfalls nicht erforderlich, d. h. ob die Verletzung der Sicherheit absichtlich oder unbeabsichtigt erfolgt ist, spielt keine Rolle. Es kommt allein auf die Verletzung des Schutzes personenbezogener Daten an, ob ein Schaden für die betroffenen Personen daraus entsteht oder entstehen könnte, ist ebenfalls ohne Belang.
Meldung von Verletzungen an die Aufsichtsbehörde
Im Falle einer Verletzung des Schutzes personenbezogener Daten hat der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde zu melden, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.
Die Ausnahme, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, dürfte nur in sehr seltenen Fällen vorliegen.
Die Meldepflicht beginnt erst dann, wenn dem Verantwortlichen die Verletzung der personenbezogenen Daten bekannt ist. Dies bedeutet im Umkehrschluss jedoch nicht, dass die Meldepflicht entfällt, wenn sich der Verantwortliche für die personenbezogenen Daten nicht interessiert und nach dem Motto der bekannten drei Affen (nichts sehen, nichts hören, nichts sagen) agiert. Es sind vielmehr in der Firma geeignete Vorkehrungen zu treffen, dass die Verletzung des Schutzes personenbezogener Daten schnell erkannt wird. Die Meldepflicht tritt daher unabhängig ein.
Die Meldung an die Aufsichtsbehörde muss unverzüglich erfolgen, wobei „unverzüglich“ im Sinne einer gängigen juristischen Definition bedeutet, dass dies ohne schuldhaftes Zögern zu erfolgen hat. Der Verantwortliche kann sich nicht darauf berufen, dass er zunächst den Sachverhalt vollständig aufklären will. Sobald erste Informationen vorliegen, sind diese an die Aufsichtsbehörde zu melden. In Art. 33 Abs. 4 DSGVO ist geregelt, dass Informationen auch nach und nach (schrittweise) bereitgestellt werden können.
Nach Art. 33 Abs. 5 DSGVO besteht eine Dokumentationspflicht. Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, deren Auswirkungen und die ergriffenen Abhilfemaßnahmen sind zu dokumentieren.
Wird die Frist von 72 Stunden überschritten, ist der Meldung an die Aufsichtsbehörde eine Begründung für die Verzögerung beizufügen.
Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, muss der Verantwortliche die betroffene Person unverzüglich von der Verletzung benachrichtigen.
Wann ein „hohes Risiko „im Sinne dieser Vorschrift vorliegt, kann nicht allgemein beantwortet werden, sondern hängt maßgeblich von dem Einzelfall ab. Da sich ferner um einen unbestimmten Rechtsbegriff handelt, muss dieser ausgelegt werden. Gegebenenfalls sollte diesbezüglich eine Abstimmung mit der Aufsichtsbehörde erfolgen.
Wenn betroffene Personen über die Verletzung personenbezogener Daten informiert werden müssen, ist dies immer mit einem hohen Risiko verbunden. Es besteht die Gefahr, dass man Kunden verliert, diese verärgert sind oder der Vorfall publik gemacht wird. Ganz abgesehen von sozialen Medien, Bewertungsportalen oder Einträgen bei Google Business. Auch könnten möglicherweise Schadensersatzansprüche von den betroffenen Personen geltend gemacht werden.
Sinnvoll erscheint daher Zeit und Energie darin zu investieren, dass vorbeugende Maßnahmen ergriffen werden. Denn die Benachrichtigung der betroffenen Personen ist nicht erforderlich, wenn geeignete technische und organisatorische Sicherheitsvorkehrungen im Hinblick auf die personenbezogenen Daten getroffen wurden, insbesondere die Daten verschlüsselt wurden (Art. 34 Abs. 3a DSGVO). Bei Smartphones und Tablets sollte zumindest ein sicheres Passwort genutzt werden, zudem empfiehlt es sich den Speicher des Gerätes und Speicherkarten zu verschlüsseln. Bei Laptops und Desktop-PCs sollte die Festplatte verschlüsselt werden. Auch externe Speichermedien, wie USB-Stick oder Festplatten müssen hierbei bedacht werden. Gleiches gilt für die Verschlüsselung der E-Mail Kommunikation.
Wenn betroffene Personen informiert werden müssen, hat dies in klarer und einfacher Sprache zu erfolgen. Die Information muss folgende Angaben enthalten:
Name und Kontakt des Datenschutzbeauftragten oder einer sonstigen Stelle für weitere Informationen
Mögliche Fragen der Aufsichtsbehörde
Wenn ein Unternehmen Maßnahmen erst ergreift, wenn sich ein Betroffener beschwert oder es zu einer Datenpanne kommt (reaktive Maßnahme) ist dies nicht ausreichend. Auf folgende Fragen der Aufsichtsbehörde sollten Sie sich vorbereiten:
Existiert im Unternehmen eine Datenschutzrichtlinie?
Sind die Datenschutzziele im Unternehmen herausgearbeitet worden und jedem Mitarbeiter bekannt?
Sind Verantwortlichkeiten geregelt und verteilt?
Existiert ein Bewusstsein über Datenschutzrisiken?
Welche Konflikte bestehen im Hinblick auf verschiedene Abteilungen des Unternehmens (z.B. Buchhaltung und Marketingabteilung)?
Welche finanziellen Rückstellungen sind für Datenschutzmaßnahmen gebildet worden?
Wurde ein Datenschutzbeauftragter wirksam bestellt, falls nein, aus welchen Gründen ist dies nicht erfolgt?
Wie wird sichergestellt, dass die Geschäftsführung über Datenschutz Vorfälle unverzüglich informiert wird?
Bei Firmen mit mehreren Niederlassungen: Existiert ein einheitliches Datenschutzkonzept?
Wie wird sichergestellt, dass datenschutzrechtliche Vorschriften eingehalten werden? Welche Kontrollen werden durchgeführt?
Wie wird überprüft, ob der Datenschutzbeauftragte seine Aufgabe richtig erfüllt?
Werden Berichte des Datenschutzbeauftragten zeitnah umgesetzt?
Wer überprüft, ob Verstöße gegen die Vorschriften der DSGVO auch behoben werden?
Gibt es für jede einzelne Verarbeitungstätigkeiten im Unternehmen Angaben? (Grundlage sollte das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO sein)
Sind Aufgaben an externe Firmen übertragen worden (Auftragsverarbeiter)? Existiert eine Übersicht sämtlicher Auftragsverarbeiter? Sind mit den jeweiligen Auftragsverarbeitern eher die notwendigen (möglichst schriftlichen) Vereinbarungen mit dem Mindestinhalt nach Art. 28 Abs. 3 DSGVO abgeschlossen worden?
Sind die Datenschutzerklärungen bezüglich der betroffenen Personen bei Datenerhebungen an Art. 13 und 14 DSGVO angepasst worden?
Sind die Einwilligungserklärungen für Werbung an Kunden oder Interessenten an die Anforderungen von Art. 7 und Art. 13 DSGVO angepasst worden? Ist insbesondere der Hinweis, auf den jederzeitigen Widerruf der Einwilligung erfolgt?
Wie wird sichergestellt, dass Änderungen von datenschutzrechtlichen Regelungen auch das Unternehmen erreichen?
Wir haben Sie sich darauf vorbereitet, dass die Rechte der Betroffenen bezüglich Auskunft, Berichtigung, Löschungen, Einschränkung, Datenübertragbarkeit, Widerspruch und automatisierte Entscheidungen nachgekommen wird? Existiert ein internes Verfahren zur Bearbeitung der Anträge? Sind Muster Antwortschreiben entworfen worden? Wie werden die Antwortzeiten überwacht?
Wie wird das Risiko analysiert, das mit einer Datenpanne einhergeht?
Sind Trainingsübungen vorgesehen, um Datenschutzverletzungen zu simulieren?
Die Befugnisse der Aufsichtsbehörde sind in § 58 DSGVO normiert.
Die Aufsichtsbehörde kann den Verantwortlichen oder Auftragsverarbeiter anweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind. Es können Untersuchungen in Form von Datenschutzüberprüfungen durchgeführt werden.
Ferner kann die Behörde Zugang zu sämtlichen personenbezogenen Daten und Informationen sowie zu den Geschäftsräumen, einschließlich aller Computer und sonstigen mobilen Geräte und / oder Speichermedien verlangen.
Die Aufsichtsbehörde verfügt über Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder Auftragsverarbeiter zu verwarnen oder anzuweisen, Anträge betroffener Personen auf Ausübung ihr zustehender Rechte zu entsprechen, Verarbeitungsvorgänge in Einklang mit der DSGVO zu bringen, bei Datenschutzverletzungen die Betroffenen zu benachrichtigen, ggf. die Verarbeitung vorübergehend oder endgültig zu beschränken oder ein Verbot zu verhängen, Zertifizierungen zu widerrufen oder Übermittlungen von Daten in ein Drittland auszusetzen.Ferner kann ergänzend oder zusätzlich zu den vorstehenden Befugnissen eine Geldbuße verhängt werden.
Jede Aufsichtsbehörde muss sicherstellen, dass die Verhängung von Geldbußen für Verstöße gegen die DSGVO in jedem Einzelfall
und abschreckend
10 Millionen oder 2% des weltweiten Jahrensumsatzes (höherer Wert ist maßgebend)
Bei Verstößen gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25-39, 42 und 43 werden Geldbußen von bis zu 10 Millionen Euro oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist
Bestellung eines Datenschutzbeauftragten (Achtung: dieser muss fachlich geeignet sein, zudem keine Interessenkollision), Auswahl (nur) geeigneter Auftragsverarbeiter, Meldungen (an die Aufsichtsbehörde) und Benachrichtigung betroffener Personen bei Verletzung des Schutzes personenbezogener Daten, Verzeichnis von Verarbeitungstätigkeiten, Datenschutz Folgenabschätzung.
20 Millionen oder 4% des weltweiten Jahrensumsatzes (höherer Wert ist maßgebend)
Bei Verstößen gegen die folgenden Bestimmungen werden Geldbußen von bis zu 20 Millionen Euro oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5 – 7 und 9.
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung (nur so lange wie nötig), Integrität und Vertraulichkeit -> die Einhaltung dieser Grundsätze muss der Verantwortliche nachweisen = Rechenschaftspflicht
Bedingungen für die Einwilligung und Verarbeitung besonderer Kategorien personenbezogener Daten (grundsätzliches Verbot mit Ausnahmetatbeständen)
bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein
oder immaterieller
Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.
Es gilt der Grundsatz der gesamtschuldnerischen Haftung, wenn mehr als ein Verantwortlicher oder mehr als ein Auftragsverarbeiter bzw. sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und sie für einen durch die Verarbeitung verursachten Schaden verantwortlich sind. Jeder haftet sodann für den gesamten Schaden.
Ein materieller Schaden (Vermögensschaden) liegt dann vor, wenn der entstandene Nachteil in Geld bewertet werden kann (vgl. BGH NJW 87, 50, 89, 766).
Immateriell ist ein Schaden wenn kein Vermögensschaden vorliegt. In diesen Fällen besteht ggf. ein Anspruch auf Schmerzensgeld bei Rufschädigung oder schwerer Verletzung des allg. Persönlichkeitsrechts. Je nach Intensität und Ausmaß kann es sich dabei um erhebliche Summen handeln.

References: Art. 2
 Art. 4
 Art. 4
 § 101
 § 15
 Art. 7
 EuGH 
 Art. 88
 § 26
 §126
 Art. 4
 Art. 30
 Art. 30
 Art. 30
 Art. 4
 Art. 6
 Art. 6
 Art. 4

Art. 6
 Art. 5
 Art. 5
 Art. 29
 Art. 6
 Art. 7
 Art. 35
 Art. 9
 Art. 10
 Art. 9
 Art. 35
 Art. 32
 Art. 37
 § 38
 § 37
 Art. 37
 Art. 37
 Art. 37
 Art. 13
 Art. 13
 Art. 15
 Art. 20
 Art. 21
 Art. 22
 Art. 12
 Art. 9
 Art. 33
 Art. 33
 Art. 30
 Art. 28
 Art. 13
 Art. 7
 Art. 13
 § 58
 BGH