Source: https://katlex.de/interessantes-aus-der-dsgvo/
Timestamp: 2018-12-12 06:25:31+00:00

Document:
DSGVO: Was Sie als Unternehmer wissen müssen
Die EU-Datenschutzgrundverordnung (DSGVO) ist am 25. Mai 2018 in Kraft getreten und sorgt in vielen Unternehmen und auch bei betroffenen Personen für große Verwirrung. Doch es gibt keinen Grund zur „Panik“. Natürlich ist jeder Verantwortliche verpflichtet, sich mit der neuen Verordnung zu befassen und die hieraus resultierenden Maßnahmen umzusetzen, aber bei einer strukturierten Vorgehensweise und einer organisierten Schritt-für-Schritt-Umsetzung entstehen ihm hierdurch keine Nachteile. Ganz im Gegenteil können sogar Geschäftsprozesse und auch das Risikomanagement optimiert werden.
Im Folgenden haben wir einmal die wichtigsten Artikel aus der DSGVO, die in jedem Unternehmen, egal welcher Branche, eine wichtige Rolle spielen, zusammengefasst:
Bitte beachten Sie, dass wir auf dieser Seite nur die wichtigsten Basis-Artikel in einem Kurzüberblick zusammengefasst haben und dass es viele weitere Artikel der DSGVO gibt, die individuell, je nach Geschäftszweck, Anwendung finden. Außerdem gibt es neben der DSGVO und des BDSG-neu etliche weitere Gesetzesgrundlagen, die zu berücksichtigen sind.
Art. 6 & 9 DSGVO
Verarbeitung & Rechtmäßigkeit
Art. 44 – 49 DSGVO
Sicherheit (TOMs)
wichtige Basiselemente
Art. 13 – 15 DSGVO
Art. 16 – 21 DSGVO
Art. 44 DSGVO Allgemeine Grundsätze der Datenübermittlung
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten und auch die sonstigen Bestimmungen dieser Verordnung eingehalten werden; dies gilt auch für die etwaige Weiterübermittlung personenbezogener Daten aus dem betreffenden Drittland oder der betreffenden internationalen Organisation an ein anderes Drittland oder eine andere internationale Organisation. 2Alle Bestimmungen dieses Kapitels sind anzuwenden, um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird.
Eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation darf vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. 2Eine solche Datenübermittlungen bedarf keiner besonderen Genehmigung.
Nach der Beurteilung der Angemessenheit des Schutzniveaus kann die Kommission im Wege eines Durchführungsrechtsaktes beschließen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in einem Drittland oder eine internationale Organisation ein angemessenes Schutzniveau im Sinne des Absatzes 2 des vorliegenden Artikels bieten. 2In dem Durchführungsrechtsakt ist ein Mechanismus für eine regelmäßige Überprüfung, die mindestens alle vier Jahre erfolgt, vorzusehen, bei der allen maßgeblichen Entwicklungen in dem Drittland oder bei der internationalen Organisation Rechnung getragen wird. 3Im Durchführungsrechtsakt werden der territoriale und der sektorale Anwendungsbereich sowie gegebenenfalls die in Absatz 2 Buchstabe b des vorliegenden Artikels genannte Aufsichtsbehörde bzw. genannten Aufsichtsbehörden angegeben. 4Der Durchführungsrechtsakt wird gemäß dem in Artikel 93 Absatz 2 genannten Prüfverfahren erlassen.
Die Kommission widerruft, ändert oder setzt die in Absatz 3 des vorliegenden Artikels genannten Beschlüsse im Wege von Durchführungsrechtsakten aus, soweit dies nötig ist und ohne rückwirkende Kraft, soweit entsprechende Informationen – insbesondere im Anschluss an die in Absatz 3 des vorliegenden Artikels genannte Überprüfung – dahingehend vorliegen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifischer Sektor in einem Drittland oder eine internationale Organisation kein angemessenes Schutzniveau im Sinne des Absatzes 2 des vorliegenden Artikels mehr gewährleistet. 2Diese Durchführungsrechtsakte werden gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 erlassen.
Von einem Mitgliedstaat oder einer Aufsichtsbehörde auf der Grundlage von Artikel 26 Absatz 2 der Richtlinie 95/46/EG erteilte Genehmigungen bleiben so lange gültig, bis sie erforderlichenfalls von dieser Aufsichtsbehörde geändert, ersetzt oder aufgehoben werden. 2Von der Kommission auf der Grundlage von Artikel 26 Absatz 4 der Richtlinie 95/46/EG erlassene Feststellungen bleiben so lange in Kraft, bis sie erforderlichenfalls mit einem nach Absatz 2 des vorliegenden Artikels erlassenen Beschluss der Kommission geändert, ersetzt oder aufgehoben werden.
Die Kommission kann das Format und die Verfahren für den Informationsaustausch über verbindliche interne Datenschutzvorschriften im Sinne des vorliegenden Artikels zwischen Verantwortlichen, Auftragsverarbeitern und Aufsichtsbehörden festlegen. 2Diese Durchführungsrechtsakte werden gemäß dem Prüfverfahren nach Artikel 93 Absatz 2 erlassen.
Art. 48 DSGVO Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung
Falls die Übermittlung nicht auf eine Bestimmung der Artikel 45 oder 46 – einschließlich der verbindlichen internen Datenschutzvorschriften – gestützt werden könnte und keine der Ausnahmen für einen bestimmten Fall gemäß den Buchstaben a bis g des vorliegenden Absatzes anwendbar ist, darf eine Übermittlung an ein Drittland oder eine internationale Organisation nur dann erfolgen, wenn die Übermittlung nicht wiederholt erfolgt, nur eine begrenzte Zahl von betroffenen Personen betrifft, für die Wahrung der zwingenden berechtigten Interessen des Verantwortlichen erforderlich ist, sofern die Interessen oder die Rechte und Freiheiten der betroffenen Person nicht überwiegen, und der Verantwortliche alle Umstände der Datenübermittlung beurteilt und auf der Grundlage dieser Beurteilung angemessene Garantien in Bezug auf den Schutz personenbezogener Daten vorgesehen hat. 3Der Verantwortliche setzt die Aufsichtsbehörde von der Übermittlung in Kenntnis. 4Der Verantwortliche unterrichtet die betroffene Person über die Übermittlung und seine zwingenden berechtigten Interessen; dies erfolgt zusätzlich zu den der betroffenen Person nach den Artikeln 13 und 14 mitgeteilten Informationen.
Datenübermittlungen gemäß Absatz 1 Buchstabe g dürfen nicht die Gesamtheit oder ganze Kategorien der im Register enthaltenen personenbezogenen Daten umfassen. 2Wenn das Register der Einsichtnahme durch Personen mit berechtigtem Interesse dient, darf die Übermittlung nur auf Anfrage dieser Personen oder nur dann erfolgen, wenn diese Personen die Adressaten der Übermittlung sind.
Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. 2Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. 3Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis 22. 2In den in Artikel 11 Absatz 2 genannten Fällen darf sich der Verantwortliche nur dann weigern, aufgrund des Antrags der betroffenen Person auf Wahrnehmung ihrer Rechte gemäß den Artikeln 15 bis 22 tätig zu werden, wenn er glaubhaft macht, dass er nicht in der Lage ist, die betroffene Person zu identifizieren.
Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. 2Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. 3Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. 4Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 werden unentgeltlich zur Verfügung gestellt. 2Bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen einer betroffenen Person kann der Verantwortliche entweder
Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. 2Dieses Verzeichnis enthält sämtliche folgenden Angaben:
Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. 2Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. 2Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter
Gut umgesetzte Datenschutzmaßnahmen schützen nicht nur betroffene Personen und ihre personenbezogenen Daten. Sie schützen auch Ihre Betriebsgeheimnisse und gewährleisten ein erfolgreiches Risikomanagement.
Kurzerklärung zu den Gesetzestexten
Verarbeitung und Rechtmäßigkeit (Art. 6 & 9 DSGVO)
Im Artikel 6 DSGVO sind unter Absatz 1 lit. a-f die Bedingungen aufgeführt und bestimmt, die eine Verarbeitung personenbezogener Daten rechtfertigen. Hier kommen im geschäftlichen Kontext am häufigsten die Einwilligung, das Erfüllen eines Vertrages oder das berechtigte Interesse zum Tragen. Dem berechtigten Interesse unterliegt unter anderem auch der Erwägungsgrund der Direktwerbung. In Artikel 9 DSGVO ist ergänzend hierzu der weitaus sensiblere Umgang mit besonderen Kategorien personenbezogener Daten geregelt. Im Rahmen der Informationspflichten gegenüber betroffener Personen muss der entsprechende Rechtfertigungsgrund der Verarbeitung aus Art. 6 Abs. 1 DSGVO immer mit angegeben werden.
Transparente Information (Art. 12 DSGVO)
In Artikel 12 DSGVO ist geregelt, wie die Informationspflicht gegenüber betroffenen Personen wahrzunehmen ist. Diese ist gegenüber dem Betroffenen für Ihn so einfach wie möglich auszuführen. Sie kann schriftlich, elektronisch oder auch mündlich erfolgen. Allerdings muss im Falle der mündlichen Information die Identität des Betroffenen abschließend sichergestellt sein. Die Frist für die Informationserteilung beträgt einen Monat, sie kann unter besonderen Umständen auf bis zu zwei Monate verlängert werden.
Informationspflichten (Art. 13 & 14 DSGVO)
In den Artikeln 13 und 14 DSGVO ist hinterlegt, dass jeder Verantwortliche verpflichtet ist, betroffene Personen über die Verarbeitung Ihrer Daten eigenständig und direkt bei Aufnahme der Daten zu informieren. Über was im Detail informiert werden muss, ergibt aus den beiden Artikeln. Die beiden Artikel unterscheiden sich darin, dass in dem einem zugrunde liegt, dass die Daten beim Betroffenen selbst erhoben wurden und in dem anderen nicht. Um dieser Informationspflicht entsprechend nachzukommen, sollte jedes Unternehmen hierfür geeignete Standardprozesse festlegen.
Betroffenenrechte (Art. 15 – 21 DSGVO)
In den Artikeln 15 bis 21 der DSGVO sind die Rechte, die eine betroffene Person in Bezug auf ihre personenbezogenen Daten geltend machen kann, geregelt. Dies geht vom Auskunftsrecht über das Recht auf Berichtigung, Löschung (Recht auf Vergessenwerden) oder Einschränkung bis hin zum Widerspruchsrecht. Diese Rechte kann der Betroffene jederzeit geltend machen, wenn nicht ein anderes Gesetz der Bundesrepublik dagegen spricht. Auf welche Besonderheiten hierbei genau zu achten ist, ergibt sich aus den jeweiligen Artikeln.
Auftragsverarbeiter (Art. 28 DSGVO)
Ein Bestandteil des Artikel 28 DSGVO ist der Absatz 3. Dieser gibt vor, dass mit einem Auftragsverarbeiter immer eine entsprechende Vereinbarung zur Auftragsverarbeitung zu treffen ist, damit der datenschutzkonforme Umgang mit den ihm zur Verfügung gestellten personenbezogenen Daten vom Verantwortlichen sichergestellt werden kann. Die Vereinbarung sollte schriftlich erfolgen und alle in dem Artikel zugrunde gelegten Aspekte enthalten. Für den Abschluss dieser Vereinbarung sind Auftragsverarbeiter und Verantwortlicher gleichermaßen verantwortlich. Es gilt die gesamtschuldnerische Haftung.
Im Verzeichnis von Verarbeitungstätigkeiten werden alle Prozesse des Verantwortlichen und des Auftragsverarbeiters dokumentiert, in denen eine Verarbeitung personenbezogener Daten erfolgt. Hinterlegt werden muss hier auch für jeden Prozess die Rechtmäßigkeit, die sich aus Artikel 6 ergibt. Außerdem sollten auch die vorgesehenen Löschfristen sowie die technischen und organisatorischen Maßnahmen, die zum Schutze der Daten ergriffen werden, mit aufgeführt sein. Der Auftragsverarbeiter dokumentiert zusätzlich die Dienstleistungsprozesse, in denen er Zugriff auf die personenbezogenen Daten anderer Verantwortlicher hat.
Die DSGVO verpflichtet Verarbeiter von personenbezogenen Daten in Artikel 32 dazu, „geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Eine weitere Konkretisierung erfolgt nicht, die DSGVO führt stattdessen einige Schutzziele auf. Um diesen entsprechend nachzukommen und zu gewährleisten, dass sich auch alle Mitarbeiter eines Unternehmens daran halten, empfiehlt sich der Abschluss entsprechender Richtlinien mit den Beschäftigten.
Datenübermittlung in Drittländer und internat. Organisationen (Art. 44-49 DSGVO)
In diesen Artikeln sind die Grundlagen beschrieben und festgelegt, die gewährleistet sein müssen, damit personenbezogene Daten vom Verantwortlichen in Drittländer oder an internationale Organisationen übermittelt werden dürfen. Hier ist unter anderem geregelt, dass für geeignete Garantien gesorgt werden muss, die die Verarbeitung der personenbezogenen Daten sichern, sollte kein Angemessenheitsbeschluss der Aufsichtsbehörde vorliegen oder verbindliche interne Datenschutzvorschriften gelten.

References: Art. 6

Art. 44

Art. 13

Art. 16

Art. 44

Art. 48
 Art. 6