Source: http://www.legitimis.de/de/category/allgemein/
Timestamp: 2019-04-25 13:01:52+00:00

Document:
Don’t miss it – GDPR deadline!
As you all know, a few changes and innovations are imminent in data protection law. The currently valid Federal Data Protection Act (BDSG) will be replaced by the basic EU Data Protection Ordinance (DSGVO) valid from 25 May 218. However, this should rather be seen as an opportunity through a timely adjustment, as processes within the company can be harmonized and synergies can be exploited through a data protection law-compliant structure.
To best meet this exciting challenge, we would like to give you an overview in advance of what will change for your company in the future and where we identify the need for action. It is therefore planned that we will present the individual stumbling blocks that are specially tailored to your company in detail at an early stage and present solutions accordingly.
Generally it can be said that the BDSG and the DSGVO are quite similar in structure and system, but the companies have to create much more extensive structures and processes through stricter requirements and documentary duties in order to meet the new requirements. The DSGVO therefore entails considerable additional costs for companies.
We would like to give you an overview of the most fundamental changes with the following points.
The supervisory authorities should ensure that the fines for infringements of the Regulation are „effective, proportionate and dissuasive“. In contrast to the BDSG (§ 43), which provided for a fine of a maximum of 300,000 euros, a fine of up to 10,000,000 euros or 2 % of worldwide Group sales is possible pursuant to Art. 83 DSGVO (depending on which amount is higher). The fines are thus considerably increased.
In addition, the risks of liability also increase for the companies. In future, in accordance with Art. 82 I DSGVO, civil liability will also be assumed for intangible damages in addition to material damages if data protection violations have occurred. It remains to be seen how the German courts will assess the immaterial damages in practice in the future, since they have been rather cautious in court rulings in the past. The ECJ will certainly set new standards here in the future on the basis of the DSGVO. Another not insignificant innovation is also the explicit extension of liability to contractors in the event of breaches of duty pursuant to Art. 82 I DSGVO.
The role of the data protection officer will be further strengthened overall, in which he must be even more closely integrated into the processes. In principle, the Regulation provides for the obligation to appoint a data protection officer only under strict conditions. However, companies must appoint a data protection officer if the law of a Member State prescribes this in accordance with Art. 37 IV DSGVO. It is to be assumed, unless the German legislator repeals § 4f BDSG, that the known requirements for the appointment of a data protection officer will remain. There is currently also no reason to assume that Art. 37 to Art. 39 DSGVO replace the protection against dismissal, the prohibition of discrimination or protection against revocation of the appointment as previously provided for in § 4f Para. 3 BDSG. The individual state regulations will probably apply here. The duties of the Data Protection Officer include: informing and advising the data protection officer or the processor and employees, monitoring compliance with the DSGVO and other data protection legislation and monitoring personal data protection strategies, including the allocation of responsibilities, training and review. Furthermore, it cooperates with the supervisory authority, advises on request on the data protection impact assessment and also monitors its implementation. Also new is the explicit mention in Art. 39 I lit. B DSGVO that it has comprehensive monitoring obligations and no longer merely „works towards“ compliance in accordance with § 4f I S.1 BDSG. Therefore, it remains to be seen whether and to what extent the data protection officer will be ascribed to criminal liability as a guarantor of surveillance.
As a matter of principle, the DSGVO provides for significantly expanded duties of proof. This is known as accountability. According to Article 5 II DSGVO, for example, the controller must be able to prove that he has properly complied with the data protection principles set out in Article 5 I DSGVO. Infringements can result in substantial fines. Furthermore, the controller must prove that he processes personal data in accordance with Article 24 I DSGVO. The duties of the order processor also increase, for example, he must provide the person responsible with all necessary information so that the person responsible can prove that he has fulfilled his duties regulated in Art. 32 – 36 DSGVO.
The DSFA replaces the prior check according to § 4 V BDSG. In contrast to ex ante control, the DSFA claims a wider scope of application, as the facts of the case have been made quite open according to Art. 35 I DSBER, which has the consequence that a certain legal uncertainty arises in the question of when exactly the facts of a DSFA are fulfilled. In doing so, the probability of occurrence and the extent of the risk should be assessed, taking into account the type, scope and causes of possible risks. In addition, measures and procedures are to be developed with which the company can reduce risks and position itself in a complient manner. According to Art. 36 DSGVO, supervisory authorities must be informed if the data protection impact assessment shows that the planned data processing actually entails a high risk.
The principle of establishment of the ordinance is further extended by the so-called market place principle from Art. 3 II DSGVO, so that the ordinance also applies to persons responsible or contract processors without a branch in the EU. This considerably expands the geographical scope of EU data protection law. The Regulation applies, on the one hand, to data processing for the purposes of observation of data subjects in the EU and, on the other hand, to data processing for the purpose of offering goods or services to data subjects in the EU.
The DSGVO is different from the BDSG, which is not a catch-all law, but a priority regulation. This means that it takes precedence over the legislation of the individual Member States as an EU regulation and applies directly and directly in accordance with Art. 288 II p.1 TFEU. If the DSGVO does not contain explicit possibilities for national regulations, it supersedes the regulations of the member states on data processing. Normal legal regulations such as the Banking Act, the Works Constitution Act or the Social Security Code books take precedence over the DSGVO if these do not meet the requirements of the exception regulations.
In future, companies will have to inform data subjects much more comprehensively than before and in a comprehensible manner about how they process their data. According to Art. 5 I DSGVO, the principle of transparency is one of the main principles of the regulation. In principle, the person responsible must inform the persons concerned precisely of the processing of their personal data in accordance with the provisions of Art. 12 I DSGVO, threatening sensitive fines. Art. 12 – 15 DSGVO stipulates extensive information rights and duties to provide information. These go far beyond the obligations of the BDSG. However, the information requirements may no longer apply if the person concerned already possesses or should have possessed the information in question.
The DSGVO also provides for a fine for breaches of § 9 BSDG in the future. This was not the case before. In principle, companies should be designed in such a way that they effectively implement the data protection principles of Art. 5 DSGVO. Furthermore, IT systems should be preset in such a way that they only process the personal data required for the purpose in order to comply with the principle of data minimisation. Further measures include the fastest possible pseudonymization of data to ensure data security. In future, the right to data protection will already be taken into account in the development and design of IT products, services and applications, which not least again underlines the increased importance of data protection.
The reporting obligations to the supervisory authorities and the notification obligations to the persons affected by the DSGVO go further than the provisions of § 42a BDSG. The individual provisions can be found in Art. 33 and Art. 34 DSGVO. An essential condition of any obligation to report or notify is a breach of data protection. Art. 4 No. 12 DSGVO defines a breach of data protection as „a breach of the protection of personal data, a breach of security leading to the destruction, loss or alteration, whether accidental or unlawful, or to the unauthorized disclosure or access to personal data that has been transmitted, stored or otherwise processed“. These facts go clearly further than those of § 42a BDSG. As in the past, the companies responsible must report any breach of data protection immediately after the person responsible becomes aware of the breach. This obligation does not apply to incidents where the violation does not lead to a risk to the personal rights and freedoms of the persons affected by the data protection violation. However, if this special case does not exist, the person responsible within the meaning of Art. 34 I DSGVO must inform the person concerned without undue delay, provided that the person responsible has excluded the risks for the person concerned by appropriate technical and organisational safety precautions or by subsequent measures.
The DSGVO also describes deletion obligations more comprehensively than the BDSG. The data controller must delete personal data without undue delay if one of the reasons stated in Art. 17 I DSGVO applies. One of the reasons listed there may also be that the data subject objects to the processing of his/her personal data in accordance with Art. 21 I DSGVO. In the event of such an objection, the data controller must delete these data pursuant to Art. 17 I lit. c DSGVO. unless there are overriding legitimate reasons for further processing. If the personal data to be deleted have been made public, the data controller must inform other persons responsible for processing such data that the data subject has requested the solution of all replications, copies or links pursuant to Articles 17 II, III DSGVO. The exceptions are narrower than the BDSG.
As in the past, the purpose for which data is collected is decisive for the permissibility of its processing. If personal data are to be processed for a purpose other than that for which they were collected, this is referred to as a change of purpose. In contrast to existing law, the processing of personal data for a purpose other than that for which the data were collected should initially be permissible under Article 6 III DSGVO, provided that the data subject has consented to such a change of purpose or a legal provision within the meaning of Article 23 I DSGVO permits it. In practice, the compatibility with the original purpose and guarantees, such as the pseudonymisation of data, will determine the permissibility of a change of purpose.
In contrast to the BDSG, the DSGVO no longer differentiates between data processing for own purposes and data processing to protect the legitimate interests of third parties, so that the requirements for the transmission of personal data between persons responsible belonging to a group are relaxed. The Regulation does not prohibit the processing of data in order to protect the legitimate interests of the data controller or a third party where the fundamental rights and freedoms of the data subjects outweigh their fundamental rights and freedoms. According to recital 37, managers who are part of a group of companies regularly have a legitimate interest in transmitting personal data within the group of companies for internal administrative purposes. This also applies expressly to the processing of personal data of customers and employees. In the context of employee protection, the German legislator’s Data Protection Adaptation Act remains to be seen.
According to Art. 7 DSGVO, consent should be given without obligation. This is ensured by preventing data controllers from making the performance of a contract, including the provision of a service, dependent on whether the data subject has consented to data processing. Consent therefore requires a clear act by which the data subject expresses without compulsion and in full knowledge of the facts that he or she agrees to the processing of his or her personal data.
Much remains the same – some things are getting tougher.
In summary, it can be said that the basic data protection ordinance is very strongly oriented to the Federal Data Protection Act in its structure and system, but together we expect stricter requirements regarding documentary obligations, so that far more extensive structures and processes have to be created in order to meet the new requirements.
As a properly appointed data protection officer, we are happy to take up the challenge and, as usual, will work closely with you to ensure that your company is sustainably positioned in terms of data protection law.
Klartext: Die Frist läuft – EU-Datenschutzgrundverordnung Endspurt!
Wie Sie alle wissen stehen im Datenschutzrecht ein paar Veränderungen und Neuerungen bevor. Durch die ab dem 25. Mai 218 geltende EU-Datenschutz-Grundverordnung (DSGVO) wird das derzeit gültige Bundesdatenschutzgesetz (BDSG) abgelöst. Dies sollte durch eine rechtzeitige Anpassung allerdings vielmehr als Chance gesehen werden, da durch eine datenschutzrechtlich konforme Aufstellung Prozesse im Unternehmen vereinheitlicht werden und so Synergien genutzt werden können.
Um sich dieser spannenden Herausforderung bestmöglich zu stellen, möchten wir Ihnen vorab bereits einen Überblick verschaffen, was sich für Ihr Unternehmen in Zukunft verändern wird und wo wir Handlungsbedarf identifizieren. So ist angedacht, dass wir zeitig die einzelnen, speziell auf ihr Unternehmen zugeschnittenen Stolpersteine, tiefgehend darlegen und Ihnen dazu dementsprechend Lösungen präsentieren.
Allgemein lässt sich anmerken, dass das BDSG und die DSGVO sich zwar im Aufbau und der Systematik durchaus ähneln, jedoch müssen die Unternehmen durch strengere Auflagen und dokumentarische Pflichten weitaus umfangreichere Strukturen und Prozesse schaffen, um den neuen Vorgaben gerecht zu werden. Die DSGVO bringt für Unternehmen folglich einen nicht unerheblichen Mehraufwand mit sich.
Gerne möchten wir Ihnen mit den folgenden Punkten einen Überblick über die grundlegendsten Veränderungen geben.
Die Aufsichtsbehörden sollen sicherstellen, dass die Geldbußen für Verstöße gegen die Verordnung „wirksam, verhältnismäßig und abschreckend“ sind. Anders als das BDSG (§ 43), welches ein Bußgeld von maximal 300.000 Euro vorsah, ist gem. Art. 83 DSGVO eine Strafe in Höhe von bis zu 10.000.000 Euro oder 2 % des weltweiten Konzernumsatzes möglich (Je nachdem welcher Betrag höher ist). Die Bußgelder verschärfen sich somit erheblich.
Darüber hinaus steigen für die Unternehmen auch die Risiken der Haftung. Künftig wird gem. Art. 82 I DSGVO neben materiellen auch für immaterielle Schäden zivilrechtlich gehaftet, wenn Datenschutzverstöße vorliegen. Es bleibt abzuwarten wie künftig die deutschen Gerichte in der Praxis die immateriellen Schäden bemessen, da diese gerade in der Vergangenheit in der Rechtsprechung eher zurückhaltend waren. Der EuGH wird sicher hier in Zukunft auf Grundlage der DSGVO neue Maßstäbe anlegen. Eine weitere nicht unwichtige Neuerung ist zudem auch die ausdrückliche Erweiterung der Haftung auf Auftragsverarbeiter bei Pflichtverletzungen nach Art. 82 I DSGVO.
Die Rolle des Datenschutzbeauftragten wird insgesamt weiter verstärkt, in dem er noch stärker in die Prozesse integriert werden muss. Grundsätzlich sieht die Verordnung die Pflicht zur Bestellung eines Datenschutzbeauftragten nur unter engen Voraussetzungen vor. Unternehmen müssen allerdings einen Datenschutzbeauftragten zwingend bestellen, wenn das Recht eines Mitgliedstaates dieses gem. Art. 37 IV DSGVO vorschreibt. Es ist davon auszugehen, sofern der deutsche Gesetzgeber § 4f BDSG nicht aufhebt, dass es bei den bekannten Voraussetzungen für die Bestellung eines Datenschutzbeauftragten bleibt. Es besteht derzeit auch kein Anlass zu der Annahme, dass Art. 37 bis Art. 39 DSGVO den bislang in § 4f Abs. 3 BDSG geregelten Kündigungsschutz, das Benachteiligungsverbot oder den Schutz vor Widerruf der Bestellung verdrängen. Hier werden wahrscheinlich jeweils die staatlichen Einzelbestimmungen gelten. Zu den Aufgaben des Datenschutzbeauftragten zählen unter anderem: die Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten beim Datenschutz, die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften sowie die Überwachung der Strategien für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, Schulungen und Überprüfungen. Weiter arbeitet er mit der Aufsichtsbehörde zusammen, berät auf Anfrage zu der Datenschutz-Folgeabschätzung und überwacht auch deren Durchführung. Neu ist auch die explizite Erwähnung in Art. 39 I lit. B DSGVO, dass er umfassende Überwachungspflichten hat und nicht mehr nach § 4f I S.1 BDSG auf die Einhaltung bloß „hinwirkt“. Darauf anlehnend, bleibt es daher abzuwarten, ob und in welchem Maße der Datenschutzbeauftragte einer strafrechtlichen Verantwortlichkeit als Überwachungsgarant zugeschrieben wird.
Grundsätzlich sieht die DSGVO deutlich erweiterte Nachweispflichten vor. Man spricht von der sogenannten accountability. Gem. Art.5 II DSGVO beispielsweise muss der für die Verarbeitung Verantwortliche nachweisen können, dass er die in Art. 5 I DSGVO geregelten Datenschutzgrundsätze ordnungsgemäß eingehalten hat. Bei einem Verstoß können erhebliche Bußgelder drohen. Weiter muss der für die Verarbeitung Verantwortliche gem. Art. 24 I DSGVO nachweisen, dass er personenbezogene Daten in Übereinstimmung mit der Verordnung verarbeitet. Auch die Pflichten des Auftragsverarbeiters erhöhen sich, so muss dieser zum Beispiel dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, damit der Verantwortliche nachweisen kann, dass er seine in art. 32 – 36 DSGVO geregelten Pflichten erfüllt hat.
Die DSFA löst die Vorabkontrolle nach § 4 V BDSG ab. Im Gegensatz zur Vorabkontrolle macht die DSFA einen größeren Anwendungsbereich geltend, da der Tatbestand nach Art. 35 I DSGVO recht offen gestaltet wurde, was zur Folge hat, dass eine gewisse Rechtsunsicherheit in der Frage entsteht, wann die Tatbestände einer DSFA genau erfüllt sind. Hierbei sollen unter Hinzunahme von Art, Umfang sowie Ursachen möglicher Risiken die Eintrittswahrscheinlichkeit und das Ausmaß des Risikos bewertet werden. Darüber hinaus sollen Maßnahmen und Verfahren ausgearbeitet werden, mit denen das Unternehmen die Risiken mindert und sich complient aufstellt. Aufsichtsbehörden müssen nach Art. 36 DSGVO zwingend informiert werden, sofern die Datenschutz-Folgenabschätzung ergibt, dass die geplante Datenverarbeitung tatsächlich ein hohes Risiko zur Folge hat.
Das Niederlassungsprinzip der Verordnung wird durch das sogenannte Marktortprinzip aus Art. 3 II DSGVO zusätzlich erweitert, sodass die Verordnung auch auf Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der EU Anwendung finden. Dadurch wird der räumliche Anwendungsbereich des EU-Datenschutzrechts erheblich erweitert. Die Verordnung findet zum einen auf Datenverarbeitungen Anwendungen, die der Beobachtung von betroffenen Personen in der EU dienen, aber auch zum anderen auch für Datenverarbeitungen, die dazu dienen, betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten.
Die DSGVO ist anders, als dass BDSG kein Auffanggesetz, sondern eine Vorrangregelung. Das heißt sie geht als EU-Verordnung den Rechtsvorschriften der einzelnen Mitgliedstaaten vor und gilt nach Art. 288 II S.1 AEUV unmittelbar und direkt. Sofern in der DSGVO keine ausdrücklichen Möglichkeiten für einzelstaatliche Regelungen festgehalten sind, verdrängt sie Vorschriften der Mitgliedsstaaten zur Datenverarbeitung. Normalgesetzliche Regelungen wie etwa dem Kreditwesengesetz, dem Betriebsverfassungsgesetz oder den Sozialgesetzbüchern, geht die DSGVO, sofern diese nicht den Anforderungen der Ausnahmevorschriften genügen, vor.
Künftig müssen Unternehmen betroffene Personen deutlich umfassender als bislang und in einer nachvollziehbaren Weise darüber informieren, wie sie deren Daten verarbeiten. Nach Art. 5 I DSGVO zählt der Transparenzgrundsatz zu den wesentlichen Prinzipien der Verordnung. Grundsätzlich hat der Verantwortliche betroffene Personen, unter Androhung von empfindlicher Bußgelder, von der Verarbeitung ihrer personenbezogenen Daten nach den Vorschriften des Art. 12 I DSGVO präzise zu verständigen. In Art. 12 – 15 DSGVO sind hierzu umfangreiche Unterrichtungsrechte und Auskunftspflichten vorgegeben. Diese gehen weit über die Pflichten des BDSG hinaus. Die Unterrichtungspflichten können aber unter Umständen entfallen, wenn die betroffene Person bereits über die fragliche Information verfügt bzw. verfügen haben müsste.
Die DSGVO sieht künftig auch für Verstöße gegen § 9 BSDG ein Bußgeld vor. Dies war vorher nicht der Fall. Unternehmen sollen grundsätzlich so gestaltet sein, dass sie die Datenschutzgrundsätze des Art. 5 DSGVO wirksam umsetzen. Weiter sollen IT-Systeme so voreingestellt werden, dass sie grundsätzlich nur die für den Zweck erforderlichen personenbezogenen Daten verarbeiten, um so den Grundsatz der Datenminimierung zu entsprechen. Weitere Maßnahmen liegen in der schnellst möglichen Pseudonymisierung der Daten, um die Datensicherheit zu gewähren. Künftig soll das Recht auf Datenschutz bereits bei der Entwicklung und Ausgestaltung von IT-Produkten, Diensten und Anwendungen berücksichtigt werden, was nicht zuletzt nochmal die gesteigerte Bedeutung des Datenschutzes unterstreicht.
Die Meldepflichten gegenüber den Aufsichtsbehörden sowie die Benachrichtigungspflichten gegenüber den betroffenen Personen der DSGVO sind insgesamt weitreichender als die Regelungen des § 42a BDSG. Die einzelnen Bestimmungen lassen sich in Art. 33 und Art. 34 DSGVO finden. Eine wesentliche Voraussetzung einer Melde- oder Benachrichtigungspflicht stellt eine Datenschutzverletzung dar. Der Art. 4 Nr. 12 DSGVO definiert eine Datenschutzverletzung als eine „Verletzung des Schutzes personenbezogener Daten, Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob zufällig oder unrechtmäßig, oder zur unbefugten Weitergabe von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“ Diese Tatbestandsmerkmale gehen deutlich weiter als die des § 42a BDSG. Wie bisher auch müssen grundsätzlich die verantwortlichen Unternehmen jede Datenschutzverletzung unverzüglich melden, nachdem dem Verantwortlichen die Verletzung bekannt wurde. Dieser Pflicht sind Vorfälle ausgenommen, wo die Verletzung nicht zu einem Risiko für die persönlichen Rechte und Freiheiten der von der Datenschutzverletzung betroffenen Personen führt. Ist dieser spezielle Fall allerdings nicht gegeben, so hat der Verantwortliche im Sinne des Art. 34 I DSGVO die hiervon betroffene Person ohne unangemessene Verzögerung zu benachrichtigen, sofern der Verantwortliche die Risiken für die betroffene Person durch geeignete technische und organisatorische Sicherheitsvorkehrungen oder durch nachfolgende Maßnahmen ausgeschlossen hat.
Auch die Löschpflichten sind in der DSGVO umfassender beschrieben als im BDSG. Der Verantwortliche muss personenbezogene Daten ohne unangemessene Verzögerung löschen, sofern einer der in Art. 17 I DSGVO genannten Gründe zutrifft. Einer der dort aufgeführten Gründe kann auch darin liegen, dass die betroffene Person nach Art. 21 I DSGVO Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einlegt. Im Falle eines solchen Widerspruchs muss der Verantwortliche gem. Art. 17 I lit. c DSGVO. diese Daten löschen, sofern keine vorrangigen berechtigten Gründe für die weitere Verarbeitung vorliegen. Wenn die zu löschenden personenbezogenen Daten öffentlich gemacht wurden, so muss der Verantwortliche andere Verantwortliche, die diese Daten verarbeiten, davon informieren, dass die betroffene Person von ihnen die Lösung aller Replikationen, Kopien oder Links nach Art. 17 II, III DSGVO. Die Ausnahmeregelungen sind im Vergleich zum BDSG enger gefasst.
Wie bisher auch entscheidet bei der Erhebung von Daten der verfolgte Zweck über die Zulässigkeit ihrer Verarbeitung. Wenn personenbezogene Daten für einen anderen Zweck verarbeitet werden sollen als den, für den sie erhoben wurden, spricht man von einer sogenannten Zweckänderung. Anders als im bestehenden Recht, soll die Verarbeitung personenbezogener Daten für einen anderen Zweck als den, zu dem die Daten erhoben wurden, nach Art. 6 III DSGVO zunächst zulässig sein, sofern die betroffene Person in eine solche Zweckänderung eingewilligt hat oder es eine Rechtsvorschrift im Sinne von Art. 23 I DSGVO erlaubt. Im Praxisfall werden die Vereinbarkeit mit dem ursprünglichen Zweck sowie Garantien, wie etwa die Pseudonymisierung der Daten, die Zulässigkeit einer Zweckänderung entscheiden.
In der DSGVO wird anders als im BDSG nicht mehr zwischen Datenverarbeitung für eigene Zwecke und Datenverarbeitung zur Wahrung berechtigter Interessen Dritter differenziert, sodass die Anforderungen an die Übermittlung personenbezogener Daten zwischen Verantwortlichen, die zu einem Konzern angehören, aufgelockert werden. Sofern die Datenverarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten den Grundrechten und Grundfreiheiten der betroffenen Personen überwiegen, spricht die Verordnung kein Verbot aus. Verantwortliche die Teil eines Konzerns sind, haben laut dem Erwägungsgrund 37 regelmäßig ein berechtigtes Interesse personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke zu übermitteln. Dies gilt auch ausdrücklich für die Verarbeitung personenbezogener Daten von Kunden und Beschäftigten. Wobei im Rahmen des Beschäftigtenschutzes noch das Datenschutz-Anpassungsgesetz des deutschen Gesetzgebers abzuwarten ist.
Die Einwilligung soll nach Art. 7 DSGVO ohne Zwang erfolgen. Dies wird gewährleistet indem verhindert wird, dass Verantwortliche die Erfüllung eines Vertrages, einschließlich der Erbringung einer Dienstleistung, davon abhängig machen, ob die betroffene Person in die Datenverarbeitung einwilligt hat. Für eine Einwilligung braucht es folglich eine eindeutige Handlung, mit der der Betroffene ohne Zwang und in Kenntnis der Sachlage bekundet, dass er mit einer Verarbeitung seiner personenbezogenen Daten einverstanden ist.
Zusammenfassend lässt sich sagen, dass die Datenschutzgrundverordnung sich sehr stark am Bundesdatenschutzgesetz im Aufbau und der Systematik orientiert, jedoch erwarten uns gemeinsam strengere Auflagen bezüglich der dokumentarischen Pflichten, so dass weitaus umfangreichere Strukturen und Prozesse zu schaffen sind, um den neuen Vorgaben gerecht zu werden.
Als ordentlich bestellter Datenschutzbeauftragter nehmen wir uns gerne der Herausforderung an und werden wie gewohnt in enger Abstimmung mit Ihnen gemeinsam dafür Sorge tragen, dass ihr Unternehmen datenschutzrechtlich nachhaltig aufgestellt ist.

References: Art. 83
 Art. 82
 Art. 82
 Art. 37
 § 4
 Art. 37
 Art. 39
 § 4
 Art. 39
 § 4
 Art. 32
 § 4
 Art. 35
 Art. 36
 Art. 3
 Art. 288
 Art. 5
 Art. 12
 Art. 12
 § 9
 Art. 5
 § 42
 Art. 33
 Art. 34
 Art. 4
 § 42
 Art. 34
 Art. 17
 Art. 21
 Art. 17
 Art. 7
 Art. 83
 Art. 82
 Art. 82
 Art. 37
 § 4
 Art. 37
 Art. 39
 § 4
 Art. 39
 § 4
 Art.5
 Art. 5
 Art. 24
 art. 32
 § 4
 Art. 35
 Art. 36
 Art. 3
 Art. 288
 Art. 5
 Art. 12
 Art. 12
 § 9
 Art. 5
 § 42
 Art. 33
 Art. 34
 Art. 4
 § 42
 Art. 34
 Art. 17
 Art. 21
 Art. 17
 Art. 17
 Art. 6
 Art. 23
 Art. 7