Source: http://kokon-marketing.de/blog/allgemein/-datenschutzgrundverordnung-25-05-2018?utm_source=rss&utm_medium=rss&utm_campaign=datenschutzgrundverordnung-25-05-2018
Timestamp: 2018-03-23 16:20:08+00:00

Document:
Datenschutzverordnung - jetzt handeln
Home » Allgemein » Datenschutzgrundverordnung 25.05.2018
16 Februar 2018 236 views No Comment
Alles neu macht der Mai! Fast, denn die umfangreichen Vorschriften der Datenschutzgrundverordnung (DS-GVO) sind bereits am 25.05.2016 in Kraft getreten und kommen nun zwei Jahre später zur Anwendung. Am 25. Mai 2018 tritt die neue Verordnung offiziell in Kraft und ist bindend. Toleranzschwellen für Unternehmen, die die Umstellung verpasst haben, sind nicht vorgesehen!
Gerade kleine und mittlere Unternehmen, werden mit der Umsetzung ihre Anfangsschwierigkeiten haben. Auch deshalb, da es keine Musterlösung gibt und jedes Unternehmen durch sein Geschäftsmodell auch unterschiedliche Datenverarbeitungsvorgänge durchführt.
Stichtag 25. Mai 2018 Darauf müssen Sie sich einstellen!
1. Es gelten für die Art und Weise, wie Personendaten bearbeitet werden dürfen, weiterhin die bisherigen Bearbeitungsgrundsätze, so insbesondere Grundsatz der Transparenz, der Zweckbindung und der Verhältnismäßigkeit. Diese Grundsätze bleiben gleich, werden allerdings in strengeren Vorschriften konkret umgesetzt.
Was dies bedeutet: Es ist eine penible und präzise Dokumentation über die Einhaltung zu führen, so dass im Streitfalle bei Gericht ein Nachweis geführt werden kann. Es empfiehlt sich die Einführung eines Datenschutz-Management-Systems, welches die geforderte Dokumentation sicherstellt und gewährleistet.
2. Jede Datenverarbeitung erfordert die Einwilligung der Betroffenen oder einen anderen Rechtfertigungsgrund.
Was dies bedeutet: Es muss eine Einwilligung des Betroffenen vorliegen. U.a. soll das Mindestalter bei 16 Jahren liegen. Sie müssen nachweisen können, dass die Verarbeitung der Daten für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.
3. Hohe Anforderungen an Gültigkeit einer Einwilligung; sie kann jederzeit zurückgezogen werden.
Bislang stimmten Konsumenten durch ihre Nutzung einer Website der Erfassung von Informationen indirekt oder „schweigend“ zu. Jetzt müssen die Konsumenten ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten durch eine „eindeutige bestätigende Handlung“ erteilen. Diese Bestätigung kann schriftlich oder durch einen Klick erfolgen und muss von einer leicht verständlichen Erklärung der Art und des Zwecks der gesammelten Daten begleitet sein.
Was dies bedeutet: Klare, rechtlich einwandfreie Rechtsbelehrungen zum „Opt-In“ und leicht bedienbare Benutzeroberflächen für die Zustimmung.
4. Betroffene müssen umfassen informiert werden (die EU-DSGVO definiert Mindestinhalt), direkt oder wenn nicht möglich in gewissen Fällen über eine Publikation (z.B. Webseite)
Was dies bedeutet: Bei der Erhebung der Daten beim Betroffenen müssen Sie nach Art. 13 DSGVO sofort bei Erhebung der Daten, z. B. bei der Bestellung eines Newsletters, entsprechend informieren. Dies sollte nach Art. 12 Abs. DSGVO schriftlich, aber auch in anderer Form (elektronisch, unter Umständen auch mündlich) geschehen. Dabei ist auf eine präzise, transparente, verständliche und leicht zugängliche Form sowie eine klare und einfache Sprache zu achten. Bei der Erhebung der Daten bei Dritten kann die Information nach Art. 14 DSGVO auch später erfolgen.
Im Wesentlichen müssen Sie Ihr Impressum aktualisieren und um wichtige Informationen zu ergänzen.
Ein Tipp von unserer Seite: Abmahnanwälte stehen mit Sicherheit in den Startlöchern. Stichtag ist der 25.05.18.
5. Betroffene haben umfangreiche Rechte, so namentlich auf Auskunft, auf Rückgabe übergebener Daten in elektronischer Form, auf Korrektur und Vervollständigung, auf Löschung und Weitermeldung des Löschbegehrens bei veröffentlichten Daten sowie Widerspruch gegen bestimme Bearbeitungen (z.B. Direktmarketing).
Die Betroffenen haben gem. Art. 15 DSGVO ein umfassendes Auskunftsrecht, das mit dem bisherigen § 34 BDSG vergleichbar ist. Neu ist allerdings, dass der Betroffene auch die Auskunft und die Übermittlung der Daten in elektronischer (gängiger) Form und auch eine Kopie der Daten verlangen kann. Wenn das Unternehmen die personenbezogenen Daten verarbeitet, kann die betroffene Person über diese etwa Informationen verlangen wie: Woher stammen die Daten und an wen werden sie übermittelt? Zu welchen Zwecken werden die Daten verarbeitet? Wird daraus etwa ein Profiling erstellt? Und wie lange werden sie gespeichert?
Was dies bedeutet: Geordnete Prozesse, um Kundenanfragen nach dem neuen Auskunftsrecht möglichst früh zu erkennen und ausreichend zu beantworten.
Was dies bedeutet: Einfaches Opt-Out Interface (Unsubscribe, Mitgliedschaft kündigen) und nachweisbare sowie zeitnahe Datenlöschung auf Kundenwunsch.
Auch das Widerspruchsrecht wurde erweitert. Dies bedeutet, dass Sie deutlich und getrennt von jeglicher anderer Information auf das Widerspruchsrecht hinzuweisen haben!
6. Der für eine Datenbearbeitung Verantwortliche muss belegen können, dass er den Datenschutz einhält; er und teils auch die von ihm beauftragten Stellen (Provider) unterliegen umfangreichen Dokumentationspflichten.
Was dies bedeutet: Um Fallstricke zu vermeiden, empfiehlt sich zunächst das im Unternehmen befindliche Datensicherheitsniveau einer gründlichen Prüfung zu unterziehen und festzustellen, ob das bestehende Schutzniveau ausreicht, um den Anforderungen, die sich aus dem Katalog des Art. 32 DSGVO ergeben, erfüllen zu können.
7. Einen betrieblichen Datenschutzbeauftragten müssen nur “Risiko-Unternehmen” ernennen, aber viele Unternehmen werden faktisch nicht ohne einen solchen auskommen.
Was dies bedeutet: Eigentlich ist ein Datenschutzbeauftragter nur in 2 Fällen verbindlich: wenn die Hauptaktivität des Unternehmens die regelmäßige und systematische Beobachtung von Betroffenen erfordert, oder das Kerngeschäft aus der massenhaften Verarbeitung von Daten besteht. Sehr wahrscheinlich werden aber nur die wenigsten Unternehmen in Deutschland drum herum kommen, einen Datenschutzbeauftragten zu bestellen…
8. Datenschutzverstöße mit möglichen Folgen für Betroffene müssen der Behörde (72 Stunden) und bei schweren Folgen auch den Betroffenen gemeldet werden und sind Protokollierungspflichtig.
Was dies bedeutet: Unternehmen müssen der Aufsichtsbehörde nach Bekanntwerden der Verletzung folgende Informationen übermitteln:
• Beschreibung des Incidents, Angabe der Kategorie der betroffenen Daten, Anzahl der Betroffenen und betroffenen Datensätze,
• Name und Kontaktdaten des Datenschutzbeauftragten oder eines anderen informierten Ansprechpartners,
• Beschreibung der Folgen der Datenschutzverletzung,
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung oder Abmilderung der Verletzung.
In Deutschland ist der Bundesbeauftragte für Datenschutz die zuständige Aufsichtsbehörde (§ 65 DSAnpUG-EU). Außerdem müssen die von einer Verletzung Betroffenen selbst benachrichtigt werden
9. Heikle Projekte erfordern vorgängig eine Datenschutz-Folgeabschätzung und Meldung an die Aufsichtsbehörde, soweit hohe Risiken trotz getroffener Maßnahmen verbleiben
Was dies bedeutet: Unternehmen haben die Pflicht, die geplanten Methoden und Zwecke der Datensammlung in einer klar ausformulierten Folgenabschätzung darzulegen. Das gilt insbesondere, wenn die Sammlung automatisch – etwa per Cookies – und zu Profiling-Zwecken erfolgt.
Die Vermutung „Darum wird sich wohl die IT-Abteilung kümmern müssen!“ – ist leider falsch. Denn: Laut Art. 35 DSGVO ist die Unternehmensführung für eine ordentliche Folgenabschätzung verantwortlich. Darin ist auch zu belegen, welche Risiken die Datenerfassung für die Konsumenten bedeutet und welche Sicherheitsmaßnahmen das Unternehmen ergreift. Im Klartext bedeutet das: Alles speichern! Jede Einverständniserklärung, direkte Kommunikation und Interaktion mit dem Kunden. Und im Fall von Leaks nicht verschlüsselter Kundendaten müssen betroffene Konsumenten und zuständige Behörden innerhalb von drei Tagen benachrichtigt werden.
Was dies bedeutet: Rechtlich einwandfrei formulierte Texte für die Folgenabschätzung sowie eine interne Erfassung der Interaktion mit Konsumenten, gesammelten Daten und deren Sicherheit.
10. Verträge mit Auftragsdatenbearbeitern (z.B. IT-Outsourcing an Provider) müssen bestimmten Anforderungen genügen; für Unterbeauftragungen ist einen Genehmigung oder ein Vetorecht mit Vorabinformation vorgeschrieben.
11. Datentransfers in Länder ohne anerkannt angemessenen gesetzlichen Datenschutz sind nur unter bestimmten Bedingungen zulässig.
Strafen bei Nichteinhaltung!
Was dies bedeutet: Eine geordnete Data Warehouse Architektur sowie eine übersichtliche Erfassung von Kundendaten als Grundlage für personalisiertes Marketing. Ebenso wichtig ist ein möglichst umfassender Datenschutz, etwa durch Verschlüsselung.
https://www.it-recht-kanzlei.de/neue-datenschutzerklaerung-2018-datenschutzgrundverordnung.html,
Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V. www.bitkom.org)
Transparenz und Inhalt machen attraktiv - 7.120 views
Erfolgskontrolle im Marketing - 3.969 views
Werbung und Marketing – ein entscheidender Unterschied! - 3.713 views
Mythos Marke - 2.290 views
Wie kleine Unternehmen ihre Vorteile clever nutzen - 2.122 views

References: Art. 13
 Art. 12
 Art. 14
 Art. 15
 § 34
 Art. 32
 Art. 35