Source: http://docplayer.org/28740009-Quo-vadis-datenschutz.html
Timestamp: 2018-06-19 19:39:51+00:00

Document:
Quo vadis, Datenschutz? - PDF
Download "Quo vadis, Datenschutz?"
1 Quo vadis, Datenschutz? EU-Datenschutz-Grundverordnung Tim Hoffmann Roadshow Cybercrime 23. November 2016 IHK zu Bochum
2 Unternehmensgruppe Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 2
3 Dienstleistungen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 3
4 Gliederung Einführung Risikobetrachtung Überblick über die zentralen Änderungen Weiteres Vorgehen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 4
5 Zeitplan Inkrafttreten der DS-GVO am Anwendbarkeit nach 24 Monaten, d. h. ab unmittelbare innerstaatliche Geltung in allen EU-Mitgliedstaaten Unanwendbarkeit entgegenstehender nationaler Regelungen aber: zahlreiche Öffnungsklauseln zugunsten einzelstaatlicher Bestimmungen Datenschutz wird ab 2018 auf gänzlich neue Füße gestellt DS-GVO BDSG-Nachfolge- Gesetz Bereichsspezifische Normen Andere nationale Anpassungsgesetze Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 5
6 Öffnungsklauseln (Auszug) Rechtmäßigkeit der Verarbeitung Verarbeitung besonderer Kategorien personenbezogener Daten sowie von Daten über strafrechtliche Verurteilungen und Straftaten Datenverarbeitung im Beschäftigungskontext Datenverarbeitung zu Forschungszwecken Beschränkungen der Betroffenenrechte Datenschutz-Folgenabschätzung & Konsultation der Aufsichtsbehörde Benennung eines Datenschutzbeauftragten, Artikel 35 IV Ausnahmen für internationale Datenübermittlungen, Artikel 44 Kirchenrecht, Artikel 85 weiterhin kein vollkommen einheitliches Datenschutzrecht Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 6
7 Rechtsgrundlagen Datenschutz-Grundverordnung Nationale Gesetze(Öffnungsklauseln) Bereichsspezifische Normen Anpassungsgesetze anderer EU- Mitgliedstaaten Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 7
8 Risikobetrachtung Strafbarkeit Erheblich erhöhter Bußgeldrahmen Verstoß gegen Compliance- Anforderungen Gesamtschuldnerische Haftung potentiell persönliche Haftung Image Erweiterter Aufgabenbereich der Aufsichtsbehörden sonstige Sanktionen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 8
9 Geldbußen, Art. 83 DS-GVO In Abhängigkeit vom Verstoß Geldbußen von bis zu EUR / 2 % des gesamten weltweit erzielten Jahresumsatzes (je nachdem welcher dieser Beträge höher ist) Geldbußen von bis zu EUR / 4 % des gesamten weltweit erzielten Jahresumsatzes (je nachdem welcher dieser Beträge höher ist) Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 9
10 Geldbußen, Art. 83 DS-GVO 2 % Verstöße gegen Regelungen zu» technische und organisatorische Maßnahmen, Art. 25 DS-GVO» Auftragsverarbeitern, Art. 28 DS-GVO» Verzeichnis der Verarbeitungstätigkeiten, Art. 30 DS-GVO» Meldung bei Datenpannen, Art. 33, 34 DS-GVO» Datenschutz-Folgenabschätzung, Art. 35 DS-GVO 4 %» der Verletzung der Grundsätze für die Verarbeitung,» der Verletzung der Rechte der betroffenen Person,» der internationalen Datenübermittlung ohne angemessenes Datenschutzniveau» der Nichtbefolgung einer Anweisung der Aufsichtsbehörde Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 10
11 Zentrale Änderungen (Überblick) Erweiterung des Anwendungsbereichs, Art. 3 DS-GVO» Marktortprinzip» keine Unterscheidung öffentliche - nicht-öffentliche Stelle Rechtmäßigkeit der Datenverarbeitung, Art. 6 DS-GVO» Erheblich reduzierte Regelungsdichte» flexiblere, aber zugleich unbestimmtere Rechtslage» insb. in der Anfangszeit erhebliche Rechtsunsicherheit Normierung ungeschriebener Grundsätze, Art. 5 DS-GVO Technische und organisatorische Maßnahmen» IT-Sicherheit erlangt höheren Stellenwert» Orientierung an Sicherheitszielen statt Kontrollmaßnahmen» Audits / Zertifizierung Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 11
12 Zentrale Änderungen (Überblick) Bestellung eines Datenschutzbeauftragten Datenschutz-Folgenabschätzung (bisher: Vorabkontrolle)» Liste betroffener Datenverarbeitungsvorgänge» Formalisierung hinsichtlich Ablauf und Dokumentation Erweiterung formaler Anforderungen» erweiterte Meldepflichten bei Datenpannen gegenüber der Aufsichtsbehörde» erweiterte Rechenschafts- / Dokumentationspflichten» erweiterte Informations- und Auskunftspflichten gegenüber den Betroffenen» internes Verzeichnis von Verarbeitungsvorgängen Erweiterung aufsichtsbehördlicher Vorgaben Erhöhung des Bußgeldrahmens Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 12
13 Grundsätze, Art. 5 DS-GVO Rechtmäßigkeit Verarbeitung nach Treu und Glauben (neu!) Transparenz Zweckbindung Datenminimierung Richtigkeit (neu!: Aktualität) Speicherbegrenzung Integrität und Vertraulichkeit Rechenschaftspflicht (neu!) bislang ungeschriebene Grundsätze normiert Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 13
14 Einwilligung Bedingungen für die Einwilligung, Art. 7 DS-GVO Nachweispflicht des Verantwortlichen, das die betroffene Person ihre Einwilligung erteilt hat Hervorhebung bei Verbindung mit anderen Sachverhalten / verständliche und leicht zugängliche Form in einer klaren und einfachen Sprache jederzeitige Widerruflichkeit / Information vor Abgabe der Einwilligung / Widerruf der Einwilligung so einfach wie die Erteilung der Einwilligung Einwilligung ohne Zwang erteilt / Auslegungsregelung zum Kopplungsverbot Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 14
15 Outsourcing Verpflichtung zur sorgfältigen Auswahl des Auftragsverarbeiters unter besonderer Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen Erfordernis eines Vertrages zur Auftragsdatenverarbeitung Achtung: neben Schriftform auch elektronische Form zulässig Mindestangaben im Rahmen der vertraglichen Vereinbarung» ähnlich 11 BDSG» Erfordernis einer schriftlichen Genehmigung von Subunternehmern» Vertragsverhältnis zum Subunternehmer muss den Anforderungen des Hauptvertrages genügen gesamtschuldnerische Haftung von Auftraggeber und Auftragnehmer (neu!) erweiterte Pflichten des Auftragsverarbeiters Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 15
16 Gemeinsam Verantwortliche wesentlicher Unterschied zur Auftragsverarbeitung, dass die gemeinsam Verantwortlichen grundsätzlich gleichberechtigt sind keine Auswirkungen auf das Erfordernis einer Ermächtigung zur Übermittlung Erfordernis eines kleinen Vertrages zur Auftragsdatenverarbeitung» Festlegung der Aufgabenverteilung gemäß der Pflichten nach der DS-GVO» insb. Festlegung der Wahrnehmung der Rechte der Betroffenen» insb. Festlegung der Erfüllung der Informationspflichten» Festlegung einer Kontaktstelle für die Betroffenen Kern der Vereinbarung ist den Betroffenen zur Verfügung zu stellen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 16
17 IT-Sicherheit IT-Sicherheit erlangt höheren Stellenwert Vorgaben bzgl. Angemessenheitsentscheidung Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; ( ) Pflicht zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der getroffenen Maßnahmen Verweis auf Zertifizierungsmöglichkeit Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 17
18 Datenschutz-Folgenabschätzung Datenschutz-Folgenabschätzung, Art. 35 DS-GVO Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. insbesondere in folgenden Fällen erforderlich:» systematische und umfassende Bewertung inkl. Profiling» umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten» Systematische weiträumige Überwachung öffentlich zugänglicher Bereiche Mindestvorgaben zur inhaltlichen Dokumentation der Datenschutz- Folgenabschätzung (neu!) Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 18
19 Internes Verzeichnis Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO Verpflichtung des Verantwortlichen bzw. seines Vertreters in der Union eigenständige Verpflichtung des Auftragsverarbeiters Verfahrensverzeichnis ist den Aufsichtsbehörden auf Antrag zur Verfügung zu stellen (theoretische) Erleichterung für Unternehmen mit weniger als 250 Mitarbeitern Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 19
20 Meldepflicht bei Datenpannen Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche ohne unangemessene Verzögerung und möglichst binnen höchstens 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten führt. Trennung zwischen Meldung an die Aufsichtsbehörde (Art. 33 DS- GVO) und Benachrichtigung an die Betroffenen (Art. 34 DS-GVO) grundsätzliche Verpflichtung zur Meldung bei jeder Datenpanne Einschränkung über Risikobetrachtung inhaltliche und zeitliche Vorgaben für die Meldung umfassende Dokumentationspflicht aller Datenschutzverletzungen, Art. 33 V DS-GVO Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 20
21 Und nun? UIMChange als Best Practice EU-Datenschutz-Grundverordnung und UIMChange // Tim Hoffmann 21
22 Der Prozess UIMChange Initialisierung Analyse Planung Umsetzung Revision Sensibilisierung des Managements EU-Datenschutz- Checkup Individuelles Konzept Aktualisierung des Handbuchs Laufende Umsetzungsprüfung Kick-Off-Meeting Abstimmung des Vorgehens im UIMChange-Projekts Prüfung von Unterlagen, Verträgen usw. Aktualisierung der Verfahrensübersicht Projektplan Soll-Konzept / Vorgaben Maßnahmen- Katalog Begleitung beider Umsetzungdurch UIMC Vertragsanpassungen Durchführung von Schulungen Absschluss-Bericht für Geschäftsführung : EU konform EU-Datenschutz-Grundverordnung und UIMChange // Tim Hoffmann 22
23 Zeitliche Planung Q3/16 Q4/16 Q1/17 Q2/17 Q3/17 Q4/17 Q1/18 Q2/18 Initialisierung Audit-Vorbereitung Audit / Datenschutz-Checkup Umsetzungsplanung Beobachtung Öffnungsklauseln Umsetzung Revision Abschlussbericht / Testat EU-Datenschutz-Grundverordnung und UIMChange // Tim Hoffmann : spätester Start 23
24 Was ist zu tun? Erhebung des Ist-Zustandes» Prozesse, Rechtsgrundlagen, Organisation» Identifizierung von Lücken, Anpassungen Aufbau / Überarbeitung Dokumentation Anpassung Prozesse / Verträge Umsetzung IT-Sicherheit Schulung der Mitarbeiter Anpassung interner Regelungen Umsetzung Informationspflichten / Rechte der Betroffenen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 24
25 Fragen?? Fragen? Diskussion?? Tim Hoffmann thoffmann[at]uimc.de Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 25
26 Nähere Informationen Quo vadis, Datenschutz? // Dipl.-Kfm. Tim Hoffmann 26

References: Art. 83
 Art. 83
 Art. 25
 Art. 28
 Art. 30
 Art. 33
 Art. 35
 Art. 3
 Art. 6
 Art. 5
 Art. 5
 Art. 7
 Art. 35
 Art. 30
 Art. 33