Source: https://www.hiddemann.de/allgemein/a-die-datenverarbeitung-nach-der-dsgvo-ein-ueberblick/
Timestamp: 2018-10-17 15:17:06+00:00

Document:
Die Datenverarbeitung nach der DSGVO- Ein Überblick - Rechtsanwaltskanzlei Hiddemann | Rechtsanwaltskanzlei Hiddemann
Startseite » Allgemein » Die Datenverarbeitung ...
Mit der Datenschutzgrundverordnung, die am 25.05.2018 unmittelbar in ganz Europa gilt, tritt das bisherige Datenschutzrecht in den Hintergrund. Die wesentlichen Punkte regelt die Datenschutzgrundverordnung (DSGVO) selbst. Zwar gibt es sog. Öffnungsklauseln, die der nationale Gesetzgeber füllen darf, es handelt sich hierbei aber eher um Spezifizierungen von DSGVO-Regelungen.
Verantwortliche und Auftragsdatenverarbeiter haben sich dringend mit den Anforderungen der DSGVO vertraut zu machen. Hilfreich sind insoweit auch die sog. Erwägungsgründe zur DSGVO. Diese sind integrale Bestandteile der Verordnung und erläutern in vielerlei Hinsicht die Intention des Gesetzgebers.
II. Grundanforderungen nach der DSGVO
Die Grundanforderungen an den Verantwortlichen sind sowohl in Artikel 5 Abs. 2 als auch in Art. 24 Abs. 1 DSGVO geregelt. Nach Art. 5 Abs. 2 DSGVO hat der Verantwortliche Sorge für die Einhaltung der in Art. 5 Abs. 1 DSGVO geregelten Grundsätze zu sorgen. Hierbei handelt es sich um
Zweckbindung der Datenerhebung
Neu ist insoweit, dass der Verantwortliche nicht nur für die Einhaltung verantwortlich ist, sondern die Einhaltung dieser Grundsätze auch nachweisen können muss (Rechenschaftspflicht). Aufgrund dieser Rechenschaftspflicht ergibt sich der dringende Handlungsbedarf von Unternehmen, die sich datenschutzrechtlich noch nicht sicher aufgestellt haben. In Zukunft müssen Unternehmen, die personenbezogene Daten erheben, nachweisen können, dass sie die Regelungen der DSGVO eingehalten haben. Eine beweissichere Dokumentation wird damit zwingend erforderlich.
Artikel 24 Abs. 1 DSGVO definiert, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen durchsetzen muss, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt.
III. Die Kernbereiche der DSGVO
Die Pflichten der DSGVO können in drei Kategorien unterteilt werden:
Die Sicherung der Betroffenenrechte
Das Handling mit Datenschutzpannen
1. Die Rechtmäßigkeit der Datenverarbeitung
Wann ist die Datenverarbeitung personenbezogener Daten nach der DSGVO rechtmäßig?
Jede Datenverarbeitung bedarf einer Rechtsgrundlage. Ohne Rechtsgrundlage ist die Datenverarbeitung schlicht verboten. Es gilt weiterhin wie bisher das Prinzip des Verbots mit Erlaubnisvorbehalt.
Rechtmäßig ist die Datenverarbeitung gemäß Artikel 6 Abs. 1 DSGVO vereinfacht gesagt, wenn
eine Einwilligung der betroffenen Person vorliegt;
um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt;
die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.
Jede Datenverarbeitung bedarf folglich einer Rechtsgrundlage. Gleichzeitig hat der Verantwortliche die in Artikel 5 Abs. 1 DSGVO geregelten Grundsätze einzuhalten und die betroffene Person ausreichend über die Datenverarbeitung zu informieren (Artikel 12 DSGVO- Transparenz). Der Verantwortliche muss zudem nachweisen können, dass er ausreichende technische und organisatorische Maßnahmen zum Schutz vor Datenschutzverletzungen getroffen hat (Artikel 24, Artikel 32 DSGVO).
Zu diesen Maßnahmen gehören u.a. die sorgfältige Auswahl und Vertragsgestaltung mit Auftragsdatenverarbeitern (Artikel 28 DSGVO) sowie die Dokumentation der Datenverarbeitungsprozesse (Artikel 30 DSGVO). Die Dokumentation soll u.a. Auskunft darüber geben, auf welcher Rechtsgrundlage die Daten verarbeitet wurden, wie lange diese gespeichert werden und welche konkreten Schutzmaßnahmen (Zugriff, Zugang, etc.) es gibt. Werden personenbezogene Daten in Drittländer übermittelt, sind die Voraussetzungen des Artikels 40 DSGVO einzuhalten.
Der Verantwortliche muss folglich ausreichend dokumentieren und bei Bedarf nachweisen, dass er die Anforderungen erfüllt hat.
Zusammenfassend hat er Folgendes zu beachten:
Wurden die Daten rechtmäßig erhoben? Gab es eine Rechtsgrundlage? (Artikel 6 Abs. 1 DSGVO)
– Einwilligung?
– Vertragserfüllung?
– berechtigtes Interesse?
– Schutz lebenswichtiger Interessen?
– Wahrung öffentlicher Interessen?
Zu welchem Zweck werden die Daten erhoben? Ist der Zweck ausreichend dokumentiert und werden wirklich nur die Daten erhoben, die zur Zweckerreichung notwendig sind? Wurde dieser Zweck dem Betroffenen transparent mitgeteilt?
Direkterhebung =>
Wurde der Betroffene bei der Datenerhebung umfassend über die Verarbeitung seiner Daten informiert? Artikel 13 DSGVO
Mittelbare Erhebung über Dritte =>
Wurde der Betroffene innerhalb angemessener Frist über die Erlangung der personenbezogenen Daten informiert? Artikel 14 DSGVO
Werden wirklich nur die notwendigen Daten verarbeitet, die für den angestrebten Zweck erforderlich sind?
Sind die Daten korrekt und können unrichtige Daten umgehend korrigiert oder gelöscht werden?
Werden die Daten nur so lange gespeichert, wie dies zur Erfüllung des festgelegten Zwecks erforderlich ist? Wurde geregelt, wann welche Daten unter Berücksichtigung der Rechtsgrundlage gelöscht werden dürfen?
2. Die Sicherung der Betroffenenrechte
Die DSGVO räumt dem Betroffenen umfangreiche Rechte ein. Diese sind:
das Recht auf Widerruf einer Einwilligung, Art. 7 Abs. 3
das Recht auf Auskunft, Art. 15
das Recht auf Berichtigung der Daten, Art. 16
das Recht auf Löschung der Daten, Art. 17
das Recht auf eingeschränkte Verarbeitung, Art. 18
das Recht auf Datenübertragbarkeit, Art. 20
das Recht auf Widerspruch, Art. 21
das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden
Wird der Verantwortliche auf Antrag des Betroffenen nicht tätig, hat er den Betroffenen unter Angabe der entsprechenden Gründe zu unterrichten. Die Unterrichtung hat gemäß Art. 12 DSGVO ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags zu erfolgen.
Anderenfalls muss der Verantwortliche die notwendigen Maßnahmen ergreifen und den Betroffenen über die entsprechenden Maßnahmen unterrichten. Hier muss der Verantwortliche unverzüglich, spätestens innerhalb eines Monats unterrichten. Eine Fristverlängerung um weitere zwei Monate ist bei besonders komplexen Sachverhalten möglich.
3. Handling von Datenschutzpannen
Kommt es trotz Schutzmaßnahmen zu einer Verletzung von Datenschutzrechten, muss der Verantwortliche bestimmten Melde- und Benachrichtigungspflichten nachkommen. Diese sind in Art. 33 und Art. 34 DSGVO geregelt.
Grundsätzlich hat der Verantwortliche bei Verletzungshandlungen die zuständige Aufsichtsbehörde unterrichten. Dies gilt nicht, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von natürlichen Personen führt.
Meldungen müssen unverzüglich -möglichst innerhalb von 72 Stunden- gemacht werden. Die Mindestinhalte sind in Art. 33 Abs. 3 DSGVO geregelt.
Darüber hinaus obliegt dem Verantwortlichen die Dokumentation der Datenpanne.
Besteht zudem ein hohes Risiko für die Rechte und Freiheit der betroffenen Personen, ist diese von der Datenpanne zu unterrichten.
Der Verantwortliche sollte einen Reaktionsplan im Hinblick auf Datenpannen entwickeln. Dieser sollte folgende Punkte umfassen:
Identifikation der Datenpanne
Einordnung / Risikoanalyse
Prüfung der geeigneten Maßnahmen
Prüfung, ob eine Meldung an die Aufsichtsbehörde erfolgen muss
Prüfung, ob die Betroffenen informiert werden müssen
Benötigen Sie Hilfe im Bereich des Datenschutzrechts oder bei der Umsetzung der DSGVO? Dann sprechen Sie mich unverbindlich an!
Facebook Fanpage: Facebook stellt Vereinbarung gemäß Art. 26 DSGVO zur Verfügung

References: Art. 24
 Art. 5
 Art. 5
 Art. 7
 Art. 15
 Art. 16
 Art. 17
 Art. 18
 Art. 20
 Art. 21
 Art. 12
 Art. 33
 Art. 34
 Art. 33
 Art. 26