Source: https://www.bkk-akademie.de/bildung/ds-gvofaq/?tx_crfaq_crfaq%5Buid%5D=13&tx_crfaq_crfaq%5Baction%5D=list&tx_crfaq_crfaq%5Bcontroller%5D=Eintrag&cHash=f0c57880bee150bba955daf109c5b543
Timestamp: 2019-02-17 11:28:02+00:00

Document:
FAQ zur DS-GVO - BKK Akademie
FAQ – DS-GVO
Hier finden Sie Fragen, Grundsätze und Begriffsbestimmungen zur Datenschutz-Grundverordnung (DS-GVO).
01. Warum gibt es die DS-GVO?
Die Verarbeitung personenbezogener Daten ist wesentlicher Bestandteil der Informationsgesellschaft und der digitalen Wirtschaft. Von der Erhebung bis hin zur Verarbeitung und Speicherung dieser Daten finden IT Prozesse grenzübergreifend statt. Mit der DS-GVO soll der Schutz personenbezogener Daten harmonisiert und ein gemeinsames Datenschutzniveau innerhalb der EU geschaffen werden.
02. Ist die DS-GVO neu?
Nein! Bereits die EG- Datenschutzrichtlinie 95/46/EG verfolgte das Ziel, ein gemeinsames Datenschutzniveau zum Schutz personenbezogener Daten zu bilden. Eine Richtlinie muss jedoch von den Mitgliedstaaten in das jeweilige nationale Recht umgesetzt werden. Diese Umsetzung führte nicht zum gewünschten Erfolg. Mit Wirksamwerden der DS-GVO wurde diese Richtlinie aufgehoben. Die DS-GVO wurde bereits am 27. April 2016 verabschiedet und am 4. Mai 2016 im Amtsblatt der EU veröffentlicht. Die DS-GVO trat bereits am 25. Mai 2016 in Kraft.
03. Warum war die DS-GVO bislang unbekannt?
Die DS-GVO trat zwar bereits am 25. Mai 2016 in Kraft. Sie gilt jedoch nach Art. 99 Abs. 2 DS-GVO erst ab dem 25. Mai 2018. Bis dahin gelten deshalb noch die bislang national bestehenden Datenschutzbestimmungen.
04. Warum tritt die Wirksamkeit der DS-GVO erst zwei Jahre später ein?
Damit wollte der Gesetzgeber dem Umstand Rechnung tragen, dass eine Anpassung der IT Verarbeitung sowie der laufende Unternehmensprozess der Vorbereitung und der Anpassung bedürfen.
05. Gibt es jetzt nur noch die DS-GVO als Regelungswerk für den Schutz personenbezogener Daten?
Nein! Der Schutz personenbezogener Daten innerhalb der EU wird von der DS-GVO nicht umfassend und vollständig geregelt. Sie ist eben eine GRUNDVERORDNUNG. Sie sieht zwar eine allgemeine und grundlegende Regelung zur Verarbeitung personenbezogener Daten vor, die Details werden von den Mitgliedstaaten ausgestaltet. Die DS-GVO erhält eine Vielzahl von Klauseln, die den Mitgliedstaaten ermöglichen, ergänzende Vorschriften zum Schutz personenbezogener Daten zu erhalten oder zu schaffen. Daher wurden in Deutschland das BDSG, das SGB I und das SGB X neu gefasst. Anpassungen des SGB V und SGB XI werden erwartet.
06. DS-GVO oder SGB?
Grundsätzlich: DS-GVO vor SGB. Das Datenschutzrecht wird nunmehr in den Mitgliedstaaten der EU einheitlich durch die DS-GVO geregelt. Nur bei zulässigen Abweichungen oder Ergänzungen gelten die Vorschriften des nationalen Rechts, z. B. § 35 Abs. 2 SGB I n. F.
07. Gilt die DS-GVO nur für neu erfasste Daten ab dem 25. Mai 2018?
Nein! Die DS-GVO gilt auch für vor dem 25 Mai 2018 gespeicherte Daten. Die Einhaltung der DS-GVO gilt somit grundsätzlich für alte wie auch neue Verarbeitung von personenbezogenen Daten.
08. Ist die Datenverarbeitung personenbezogener Daten nur mit Einwilligung rechtmäßig?
Nein! Die Verarbeitung ist rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
09. Dürfen besondere Kategorien personenbezogener Daten verarbeitet werden?
Grundsätzlich ist dies nach Art. 9 Abs. 1 DS-GVO untersagt. Die DS-GVO sieht jedoch Ausnahmetatbestände in Art. 9 DS-GVO vor und eröffnet in Art. 9 Abs. 4 DS-GVO den Mitgliedstaaten die Möglichkeit, zusätzliche Bedingungen, einschließlich Beschränkungen, einzuführen oder aufrechtzuerhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.
10. Können Minderjährige wirksam ihre Einwilligung in die Datenverarbeitung erteilen?
Die DS-GVO sieht vor, dass Minderjährige erst ab 16 Jahren wirksam eine Einwilligung erteilen können. Die DS-GVO erlaubt den einzelnen Mitgliedstaaten, abweichende Regelungen zu erlassen, jedoch nicht unter der Grenze von 13 Jahren.
11. Was wird in der DS-GVO neu geregelt?
Erweiterte Vorgaben für die Datenschutzerklärungen auf Websiten
Recht auf Vergessenwerden von Nutzerdaten
Neuregelung bei der Auftragsdatenverarbeitung
12. Welche Folgen hat ein Datenschutzverstoß?
Ein Verstoß gegen die DS-GVO kann sowohl zu einer Geldbuße (Art. 83 DS-GVO) als auch zu einem Schadenersatzanspruch (Art. 82 DS-GVO) des Geschädigten führen.
Die DS-GVO sieht in Art. 83 Abs. 5 DS-GVO bei Verstößen gegen die Bestimmungen der DS-VGO Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes geprüft:
13. Grundsätze der DS-GVO
a) Verbot mit Erlaubnisvorbehalt
Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, sie ist erlaubt, durch
- Gesetz, z. B. DS-GVO, BDSG, SGB
c) Zweckbindung
Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.
Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken.
e) Datenrichtigkeit
Die Daten müssen inhaltlich und sachlich richtig und aktuell sein.
f) Speicherbegrenzung
Personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden.
g) Integrität und Vertraulichkeit
h) Rechenschaftspflicht
Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können.
Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person richten. „Identifizierbar“ ist eine Person, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung, wie einem Namen, einer Kennnummer, Standortdaten, online Kennung oder anderen besonderen Merkmalen identifiziert werden kann, Art. 4 Nr. 1 DS-GVO.
b) Besondere Kategorien von personenbezogene Daten
Hierbei handelt es sich um besonders schutzwürdige Daten. Das sind:
- Angaben über die rassische und ethnische Herkunft
- Angaben über politische Meinungen,
- Angaben zur Gewerkschaftszugehörigkeit,
- genetische Daten,
- biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person,
- Angaben über Gesundheit,
- Angaben zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person
c) Genetische Daten
Sind personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden.
Sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten.
Sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.
f) Sozialdaten
Sozialdaten sind personenbezogene Daten (Art. 4 Nr. 1 DS-GVO), die von einer in § 35 SGB I genannten Stelle im Hinblick auf ihre Aufgaben nach diesem Gesetzbuch verarbeitet werden.
Einwilligung der betroffenen Person ist jede freiwillige für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigten Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
i) Verletzung des Schutzes personenbezogener Daten
j) Verantwortlicher
k) Auftragsverarbeiter
l) Empfänger
m) Dritter

References: Art. 99
 § 35
 Art. 9
 Art. 9
 Art. 9
 Art. 83
 Art. 4
 § 35