Source: http://sat-team.org/compliance/compliace-blog/compliance-organisation/101-wichtig-aenderung-im-bundesdatenschutzgesetz.html
Timestamp: 2018-01-19 13:28:09+00:00

Document:
Home Compliance Compliance-Blog Compliance-Organisation Wichtig: Änderung im Bundesdatenschutzg...
Neues vom Bundesdatenschutzgesetz: Es wurde durch das "Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und Umsetzungsgesetz EU - DSAnpUG-EU)" neu gefasst. Die Änderung tritt zum 25. Mai 2018 in Kraft. Bis dahin gilt noch die jetzige Fassung.
Grund für die Neufassung des Bundesdatenschutzgesetzes (BDSG) sind die Vorgaben der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L EU L 119 vom 4.5.2016,S. 1). Ziel der Verordnung (EU) 2016/679 ist ein gleichwertiges Schutzniveau für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung von Daten in allen Mitgliedstaaten. Diese EU-Verordnung ist direkt anwendbar und bedarf prinzipiell keiner Umsetzung. Dennoch enthält die EU-Verordnung darüber hinaus Regelungsaufträge an die Mitgliedstaaten, die in nationales Recht umzusetzen sind. Dies geschieht durch die Neufassung des Bundesdatenschutzgesetzes.
Änderung im Bundesdatenschutzgesetz betrifft auch Unternehmen
Das BDSG gilt auch für nichtöffentliche Stellen wie natürliche und juristische Personen, Gesellschaften und andere Personenvereinigung des privaten Rechts (§ 3 Abs. 4 Satz 1). Dabei geht es um die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, es sei denn, die Verarbeitung durch natürliche Personen erfolgt zu Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
Zur Wahrung der Grundrechte und Interessen der betroffenen Person enthält § 22 Abs. 2 eine Auflistung von angemessene und spezifische Maßnahmen wie beispielsweise die Pseudonymisierung personenbezogener Daten, die Sensibilisierung der an Verarbeitungsvorgängen Beteiligten und die Verschlüsselung.
§ 26 (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) Abs. 1 regelt – wie bisher § 32 Abs. 1 BDSG als Fassung –, zu welchen Zwecken und unter welchen Voraussetzungen personenbezogene Daten vor, im und nach dem Beschäftigungsverhältnis verarbeitet werden dürfen, wenn dies zum Zweck des Beschäftigungsverhältnisses erforderlich ist. Von § 26 Abs. 1 Satz 1 wird auch die Verarbeitung personenbezogener Daten zum Zweck des Beschäftigungsverhältnisses umfasst, wenn dies zur Ausübung oder Erfüllung der sich aus Gesetz oder Kollektivvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.
Wie bisher auch besteht für nichtöffentliche Stellen die Pflicht zu Bestellung eines Datenschutzbeauftragten (§ 38), wenn sie in der Regel mindestens zehn Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigen.
SAT-Handlungsempfehlung: Betriebsvereinbarungen überprüfen
Neben der Änderung im Bundesdatenschutzgesetz ist auch die EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/6479) zu beachten und anzuwenden. Die Umsetzung der Forderungen muss bis zum 25. Mai 2018 erfolgen.
Bestehende Betriebsvereinbarungen sollten überprüft werden, ob sie mit dem neuen Datenschutzrecht kompatibel sind. Gegebenenfalls ist eine Überarbeitung und Anpassung an das neue Recht erforderlich. Tarifverträge, Betriebsvereinbarungen und sonstige Kollektivvereinbarungen in Bezug auf Mitarbeiterdatenverarbeitung haben dabei den Anforderungen von Art. 88 Abs. 2 der EU-Datenschutz-Grundverordnung zu genügen. Betriebsvereinbarungen bleiben ebenso wie Einwilligungen Mittel zur rechtskonformen Verarbeitung von personenbezogenen Daten. Einwilligungen sollten dabei die Vorgaben des § 26 Abs. 2 BDSG einhalten, bestehende Einwilligungen überprüft werden, ob sie den Anforderungen genügen.
Für die Verarbeitung sensibler Daten wie Krankheits- oder Religionsdaten von Mitarbeitern müssen gesonderte Schutzmaßnahmen (z.B. Pseudonymisierung oder Verschlüsselung) ergriffen werden.

References: § 22

§ 26
 § 32
 § 26
 Art. 88
 § 26