Source: https://rams-datenschutz.de/faq-datenschutz
Timestamp: 2020-05-31 02:32:32+00:00

Document:
Antworten rund um den Datenschutz - RAMS DATENSCHUTZ
Wann muss ein Datenschutzbeauftragter (DSB) benannt werden?
Bei Beschäftigung i. d. Regel von mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind … oder …
Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9, 10 DSGVO) … oder …
regelmäßige und systematische Überwachung von Personen als Kerntätigkeit
Rechtsgrundlage: Art. 37 DSGVO sowie § 38 BDSG
Hiernach sind auch kleinere Unternehmen, Institutionen und Vereine gefordert, entweder einen internen oder einen externen Datenschutzbeauftragten zu ernennen. Und sollte die Verpflichtung nicht bestehen, erfordern die Gesetze, dass die Datenschutzanforderungen auch ohne Datenschutzbeauftragten regelkonform umgesetzt werden. Hierzu müssen u. a. Dokumentationen und Nachweise erstellt und aktuell gehalten werden.
Die Geschäftsführung ist frei in der Entscheidung, ob sie einen internen oder externen Datenschutzbeauftragten ernennen möchte. Es gibt für beide Varianten Vor- und Nachteile.
Während ein/e Mitarbeiter/in das Unternehmen und dessen Abläufe kennt, muss sich ein externer DSB zuerst einarbeiten. Für die internen Datenschutzbeauftragten ist es wichtig, genügend Resourcen zur Verfügung zu haben. Sie genießen einen besonderen Kündigungsschutz und müssen i. d. R. von ihren bisherigen Aufgaben teilweise oder ganz freigestellt werden, um den Anforderungen an die Umsetzung der neuen Datenschutzregelungen (z. B. regelmäßige Fortbildungen) entsprechen zu können.
Mit dem externen Datenschutzbeauftragten wird ein Vertrag geschlossen, der die Aufgaben, Verantwortlichkeiten, Vergütung (Stundensätze oder Pauschalen) und Vertragslaufzeiten regelt. Er ist kein/e Mitarbeiter/in und tritt entsprechend im Unternehmen auf. Durch die Betreuung unterschiedlicher Firmenkunden und Geschäftsmodelle verfügt der externe DSB i. d. R. im Laufe der Zeit über zusätzliche Fachkenntnisse.
Welche Aufgaben hat eine Datenschutzbeauftragter?
Unterrichtung & Beratung des Verantwortlichen und der Beschäftigten
Überwachung der Einhaltung der Datenschutzvorschriften im Unternehmen
Beratungs- und Überwachungspflichten im Zusammenhang mit der Datenschutzfolgeabschätzung (DSFA)
Umfassende Kooperation mit der Aufsichtsbehörde
Rechtsgrundlage: Art. 39 DSGVO
Was sind personenbezogende Daten?
Personenbezogene Daten sind alle Informationen, die sich auf eine indentifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung identifiziert werden kann. Eine solche Kennung kann bestehen aus Name, Kennnummer, Standortdaten, Online-Kennung, einem oder mehreren besonderen Merkmalen (z. b. physische, genetische, kulturelle, soziale Identität).
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind …
Werden von einer natürlichen Person Informationen erhoben, so ist sie eine betroffene Person.
Rechtsgrundlage: Art. 4 DSGVO
Ein Kernstück des Datenschutzes sind die Rechte der Betroffenen. Sie sind grundsätzlich vertraglich nicht ausschließbar. Ihre Wahrnehmung und Unterstützung sind Kernaufgaben der Tätigkeit des Datenschutzbeauftragten.
Transparenz – Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz). Transparenz des Zusammenhangs: Wer erhebt was von wem? Wann? Warum und wofür? Rechtsgrundlage: Art. 5, 12, 13, 14, 15 DSGVO
Auskunft – Die betroffene Person hat das Recht, von dem Verantwortlichen einer Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten. Rechtsgrundlage: Art. 12, 15 DSGVO
Berichtigung, Löschung und Einschränkung der Verarbeitung – Rechtsgrundlage: Art. 16, 17, 18 DSGVO
Datenübertragbarkeit – Die betroffene Person hat das Recht, die sie betreffenden personengezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einer strukturierten, gängigen und maschinenlesbaren Form zu erhalten … und diese Daten einem anderen Verantwortlichen ohne Behinderung zu übermitteln (…) Rechtsgrundlage: Art. 20 DSGVO
Recht keiner automatisierten Entscheidung unterworfen zu sein – Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Rechtsgrundlage: Art. 22 DSGVO
Wann spricht man von Verarbeitung?
Im Sinne der Verordnung bezeichnet der Ausdruck „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder eine Vorgangsreihe im Zusammenhang mit personenbezogenen Daten.
Rechtsgrundlage: Art. 4 (2) DSGVO
Schutz der Daten vor unberechtigter Kenntnisnahme, ungewollter Verfälschung sowie vor Zerstörung und Verlust. Die Ziele sind Vertraulichkeit, Integrität und Verfügbarkeit.
Was ist der Unterschied zwischen Pseudonymisierung und Anonymisierung?
Rechtsgrundlage: Art. 4 (5) DSGVO

References: Art. 37
 § 38
 Art. 39
 Art. 4
 Art. 5
 Art. 12
 Art. 16
 Art. 20
 Art. 22
 Art. 4
 Art. 4