Source: https://regina-stoiber.com/category/datenschutz/page/2/
Timestamp: 2019-10-15 14:05:15+00:00

Document:
Datenschutz Archive | Seite 2 von 2 | Datenbeschützerin Regina Stoiber
Regina Stoiber Datenschutz,Risikomanagement 3 Comments
Regina Stoiber Datenschutz 58 Comments
Regina Stoiber Datenschutz 298 Comments
Wer was wann wo und bei welcher Gelegenheit? Das klingt zunächst wie der Inhalt eines beliebigen Artikels aus einer Illustrierten im Wartezimmer. Setzt man diese Frage jedoch in Bezug zur DSGVO, steckt mehr dahinter: Mit der EU Grundverordnung zum Datenschutz vervielfältigen sich die Pflichten, denen Sie als Verantwortlicher nachkommen müssen. Dazu gehört auch die Information den Personen gegenüber, deren Daten Sie verarbeiten.
Warum die Informationspflicht?
Ganz einfach kann man sagen, dass jeder dessen Daten erhoben, verarbeitet bzw. gespeichert werden, ein Recht darauf hat, dies zu erfahren. Oder wie es das Bundesverfassungsgericht ausdrückt, Transparenz darüber, „wer was wann und bei welcher Gelegenheit über Sie weiß.“
Darüber hinaus kann man sagen, dass es den betroffenen Personen ohne dieses Wissen nicht möglich ist, die ihnen zustehenden Rechte, wie zum Beispiel das Recht auf Vergessenwerden oder das Recht auf Berichtigung ihrer Daten, wahrzunehmen.
Die Informationspflichten derer, die Daten erheben waren bisher im Bundesdatenschutzgesetz (BSDG) und weiteren Gesetzen geregelt. Das geschieht jetzt in den Artikeln 13 und 14 der Datenschutzgrundverordnung, kurz DSGVO und dem BSDG (neu). Insgesamt sind diese Regelungen weitreichender sind als bisher.
Artikel 13 regelt die Informationspflicht bei Erhebung von personenbezogenen Daten direkt bei der betroffenen Person. Ergänzend bezieht sich Artikel 14 auf die Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden. Man kann also sagen, die Daten wurden durch Dritte erhoben. Ergänzend zu den Artikeln gibt es Erwägungsgründe, welche als Grundlage für den Erlass der Verordnung gesehen werden können. Passend sind hierbei die Erwägungsgründe 60, 61 und 62.
Manchmal verwenden unsere Gesprächspartner den Begriff Datenschutzerklärung auf dann, wenn sie z.B. eine Informationspflicht beim Arzt oder in einem Verein meinen. Das Wording ist zwar etwas ungewöhnlich, aber durchaus richtig.
So aber jetzt konkret zu den Inhalten! Welche Information über die Verarbeitung der Daten müssen Sie bereit stellen?
Ihre Pflichten nach Art. 13 DSGVO
Wenn Sie oder Ihr Unternehmen personenbezogene Daten direkt bei der betroffenen Person erheben, die Daten verarbeiten oder auch speichern, müssen Sie die Person bereits zum Zeitpunkt der Erhebung davon in Kenntnis setzen. Der Inhalt ist verbindlich und muss präzise, transparent leicht verständlich und in leicht zugänglicher Form zur Verfügung stehen.
In der nachstehenden Grafik können Sie geforderten Inhalt der Informationspflicht entnehmen:
Die oben stehenden Angaben sind nach Art. 13 DSGVO dem Betroffenen (Kunden/Interessenten/Mitarbeiter etc.) mitzuteilen.
Im Detail finden Sie alle notwendigen Informationen hier: https://dsgvo-gesetz.de/art-13-dsgvo/
Ihre Pflichten nach Art. 14 DSGVO
Auch wenn Sie oder Ihr Unternehmen personenbezogene Daten verarbeiten oder auch speichern, die Sie nicht direkt bei der betroffenen Person erhoben haben, unterliegen Sie der Informationspflicht. Die mitzuteilenden Informationen sind nahezu gleich dem Artikel 13. Darüber hinaus müssen Sie jedoch Angaben zu den Quellen der Daten machen und darüber, ob diese öffentlich zugänglich sind.
Nachstehend können Sie wieder den geforderten Inhalt nach Art. 14 DSGVO grafisch einsehen:
Erheben Sie die Daten nicht direkt vom Betroffenen selbst, sondern z.B. durch Erwerb, haben Sie zusätzlich darüber zu informieren, welche Daten (z.B. Name, Adresse) sie verarbeiten und vor allem woher Sie die Daten haben.
Die Informationspflicht nach Artikel 14 muss in diesem Falle nicht sofort erfolgen. Der Betroffene muss innerhalb einer angemessenen Frist, spätestens aber nach einem Monat in Kenntnis gesetzt werden. Alternativ ist der Zeitpunkt der ersten Kontaktaufnahme oder der Zeitpunkt Weitergabe ausschlaggebend.
Im Detail finden Sie alle notwendigen Informationen hier: https://dsgvo-gesetz.de/art-14-dsgvo/
Die DSGVO fordert von Ihnen in Artikel 30 eine Übersicht aller Verfahren der Verarbeitung personenbezogener Daten in Ihrem Unternehmen. Das bekannte Verfahrensverzeichnis. Einen Artikel mit Muster Verfahrensverzeichnis finden Sie ebenfalls im Blog.
Mit einem fertigen Verfahrensverzeichnis haben Sie bereits eine Basis, die Sie zur Erstellung der Informationspflichten heranziehen können. Alle benötigten Informationen können Sie daraus ermitteln. Nun brauchen Sie diese Daten nur noch in ein Dokument übertragen und Ihrer Zielgruppe zur Verfügung stellen.
Da Sie im Verfahrensverzeichnis auch die Personengruppen nennen müssen, ist es relativ einfach, nach diesen zu selektieren. Die Personengruppen sind Ihre Zielgruppen, denen Sie die Daten zur Verfügung stellen müssen. Am besten erstellen Sie ein Dokument pro Zielgruppe.
Natürlich möchten wir Ihnen einen Lösungsansatz zur Erstellung der Informationspflicht anbieten. Die Informationspflichten umfassen meist mehrere Seiten, wenn diese ordentlich beschrieben sind. Damit sie jedoch nicht immer die oben genannten Inhalte einzeln widergeben müssen, teilen wir die Informationspflichten in „zwei Abschnitte“.
In Abschnitt 1 können die „einmalig vorkommenden Informationen“ beschrieben werden. Vorteil dabei ist, dass Sie diese Informationen dann in Abschnitt 2 nicht mehr erwähnen müssen. Folgende Gliederung und Musterformulierungen können Sie für den Abschnitt 1 heranziehen:
Aus der Verarbeitung der Daten ergeben sich folgende Rechte für Sie:
Eine Datenübertragung in Drittländer findet nicht statt. ODER Eine Übermittlung in Drittstaaten findet nur statt, wenn es zur Ausführung des Vertrags erforderlich ist oder Sie uns Ihre Einwilligung erteilt haben oder anderweitig gesetzlich zulässig ist. Wir übermitteln ausschließlich an Empfänger, die den Schutz Ihrer Daten nach der DSGVO für die Übermittlung an Drittlänger (Art. 44 bis 49 DSGVO) sicherstellen.
Eine automatisierte Entscheidungsfindung einschließlich Profiling ge. Art. 22 Abs. 1
Prima, jetzt haben wir doch schon einen Großteil der Informationen zusammengetragen.
Beispielsformulierung für übrige Informationen
Wie Ihnen bereits aufgefallen ist, fehlen jedoch noch folgende Angaben: Zweck, Rechtsgrundlage, Datenkategorien personenbezogener Daten, Empfänger und Speicherdauer.
Nachfolgend finden Sie zwei Beispiele der Datenbeschützerin, wie Sie die Verfahren beschreiben können:
Bei der Kommunikation mit Ihren Geschäftspartner werden ebenfalls Daten verarbeitet. Sehen Sie Ihr Verfahrensverzeichnis als Bausteine an. Fügen Sie die Bausteine zusammen. Als Ergebnis erhalten Sie eine Beschreibung des Verfahrens für Ihre Informationspflicht.
Sie dürfen Ihre Bausteine auch gerne anders anordnen und gestalten, wie im Beispielsverfahren der Bewerbungen. Sie müssen nicht zwingend zuerst den Zweck, dann die Kategorien usw. einhalten. Gestalten Sie die Beschreibung, so wie es für Sie sinnvoll ist. Prüfen Sie nur zum Schluss, ob alle Informationen vorhanden sind.
Ist doch gar nicht so schwer oder? Ziehen Sie dazu immer Ihr Verfahrensverzeichnis heran. Wenn dieses bereits ordentlich erstellt ist, geht die Erstellung der Informationspflicht leichter von der Hand.
Was bedeutet die Informationspflicht nun für Sie in der Praxis? Egal ob Sie ein fertigendes Unternehmen, einen Einzelhandel, einen Onlineshop oder einen Blog betreiben, die Informationspflicht trifft sie immer irgendwo.
Sie verarbeiten personenbezogene Daten Ihrer Mitarbeiter zur Abwicklung der Personalführung, zur Lohnabrechnung bei Schulungen und sicher noch an einigen anderen Stellen. Alle diese Verfahren müssen in Ihrem Verfahrensverzeichnis beschrieben sein. Daraus leiten Sie nun das Informationsschreiben ab. Stellen Sie es neuen Mitarbeitern vor der Anstellung, vielleicht gleich mit dem Arbeitsvertrag zur Verfügung. Den bestehenden Mitarbeitern können Sie es nun einmalig z.B. mit der Lohnabrechnung oder über das Intranet zur Verfügung stellen (falls alle Mitarbeiter darauf Zugriff haben).
Unterscheiden Sie, ob Ihre Kunden Endverbraucher oder Businesskunden sind. Bei Endverbrauchern haben Sie in der Regel weit mehr personenbezogene Daten, als bei Geschäftskunden. Sie haben wahrscheinlich Informationen über Anschrift, Kontodaten, Geburtstag und Familienstand, Einkaufshistorie und noch vieles mehr. Da Geschäftskunden ein Unternehmen repräsentieren sind es meistens Daten wie E-mail Adressen, Telefonnummern und Kommunikationsverläufe, die bei Ihnen trotzdem personenbezogen vorliegen. Haben Sie bereits AGBs, dann wäre es eine Option, die Informationspflicht in ähnlicher Form anzubieten.
Kein Unternehmen ohne Webseite. Hier können Sie bei vielen Verfahren die Informationspflicht gleich in der Datenschutzerklärung abdecken, so wie Sie es auch in unserer Datenschutzerklärung vorfinden. Wir haben unsere mit Hilfe des e-Recht24 Generators erstellt, der hier die Anforderungen für Standardverfahren auf Webseiten sehr gut umsetzt.
Trotzdem sollten Sie selber noch offenen Auges über Ihre Webseite gehen und prüfen, ob tatsächlich alle Verfahren in der Datenschutzerklärung dokumentiert sind.
Damit Sie die Anforderung leicht verständlich und leicht zugänglich erfüllen, verweisen Sie sicherheitshalber an jeder Stelle an der Daten eingegeben werden auf Ihre Datenschutzerklärung.
Für Artikel 14 DSGVO gilt: Ist die Information der betroffenen Person unmöglich oder unverhältnismäßig aufwendig, kann darauf verzichtet werden. Das gleiche gilt für Fälle in denen die Erhebung oder Übermittlung gesetzlich vorgeschrieben ist oder eine Geheimhaltungspflicht in Form einer Satzung oder eines Berufsgeheimnisses besteht.
Da der europäische Gesetzgeber den Schutz personenbezogener Daten sowie die Gewährleistung einer fairen und transparenten Datenverarbeitung als absolut elementar ansieht, drohen bei Verstößen hohe Bußgelder. Der Rahmen dafür liegt bei bis zu 20.000.000 EUR oder 4% des Jahresumsatzes.
Diese Zahlen schrecken erst mal ab. Wo sich die Schwelle einpendeln wird, ist noch ungewiss. Sicher ist auf jeden Fall, dass die Bußgelder „wirksam“ sein müssen.
Die neuen Gesetze sind sehr umfangreich und gehen über das bisher Erforderliche weit hinaus. Beginnen Sie als Verantwortlicher deshalb frühzeitig mit der Umsetzung. Verbindlicher Stichtag für die Gültigkeit der neuen Informationspflichten ist der 25. Mai 2018.
Grundsätzlich sind nur die Kunden und Mitarbeiter, die seit dem 25.05.2018 „neu“ hinzugekommen sind zu informieren.
Es ist jedoch sinnvoll, wenn auch die Bestandskunden und -mitarbeiter informiert werden.
Weisen Sie bei der zweiten Variante in sämtlichen ausgehenden Dokumenten und E-Mails mit einem Satz „Weitere Informationen zum Datenschutz nach Art. 13 und Art. 14 DSGVO finden Sie unter: [Link der Datenschutzerklärung].
Die DSGVO gibt vor, dass der Betroffene zum Zeitpunkt der Erhebung der Daten zu informieren ist. Das heißt, dass z.B. bei einem Telefonanruf die Informationen vorzulesen sind. Das ist jedoch alles andere als praxisnah.
Das BayLDA behandelt dieses Thema in ihrem 8. Tätigkeitsbericht. Die Aufsichtsbehörde erlaubt, die Informationspflicht in abgestufter Form bereit zu stellen.
Das heißt, dass im 1. Schritt den Betroffenen zumindest die Kontaktinformationen des Verantwortlichen, der Zweck der Verarbeitung (z.B. Kontaktaufnahme) und ggf. die Hinweise auf die Betroffenenrechte zur Verfügung zu stellen sind.
Im zweiten Schritt sind dem Betroffenen dann alle übrigen Informationen nach Art. 13 DSGVO bereit zu stellen (Kontaktdaten DSB, Rechtsgrundlage nach Art. 6 DSGVO, Empfänger der Daten, Speicherdauer etc.).
Wie sieht es mit der Informationspflicht in Bezug auf Fotos auf öffentlichen Veranstaltungen aus?
In diesem Fall erlaubt der Datenschutzbeauftragte von Baden-Württemberg, dass die Informationen in abgestufter Form bereit gestellt werden. Vor allem wenn eine nicht überschaubare Masse die Veranstaltung besucht, kann nicht verlangt werden, dass diese jeder entgegennimmt.
Weisen Sie bereits beim Eingang daraufhin, dass Fotos von der Veranstaltung angefertigt und z.B. auf der Webseite veröffentlicht werden. Vermerken Sie auf dem Hinweis, wo die weiteren Informationen zum Datenschutz auffindbar sind z.B. Garderobe, Kasse etc.
Haben Sie Fragen oder benötigen Sie Hilfe bei der Umsetzung? Dann schreiben Sie einen Kommentar oder melden sich direkt bei uns. Wir freuen uns auf Sie und stehen Ihnen mit kompetenter Hilfe zur Verfügung.

References: Art. 13
 Art. 13
 Art. 14
 Art. 14
 Art. 22
 Art. 13
 Art. 14
 Art. 13
 Art. 6