Source: https://www.frankwerner.org/index.php?title=Hauptseite&oldid=909
Timestamp: 2020-07-06 23:40:18+00:00

Document:
Version vom 29. Juni 2020, 14:26 Uhr von Admin (Diskussion | Beiträge) (→‎Prüfschema Datenschutz)
AirBNB muss Vermieterdaten zum Aufspüren von Ordnungswidrigkeiten doch nicht herausgeben (eRecht24, 18.06.2020).
Fotos von Kindern, für die man das Sorgerecht nicht hat, dürfen nicht veröffentlicht werden 🙁 (Datenschutz-Notizen, 18.06.2020).
Über den Datenschutz in der "Corona-Warn-App" (RND, 16.06.2020).
Eine Datenschutzerklärung sollte neben dem Kartenzahlungsterminal liegen (Datenschutzpraxis, 16.06.2020).
Das "Haushaltsprivileg" (EU-DSGVO gilt nicht bei privater Datenverarbeitung) ist nach Auffassung der Datenschutzbeauftragten von Nordrhein-Westfalen eng auszulegen (Datenschutzpraxis, 16.06.2020).
Kündigungsschutz für den Datenschutzbeauftragten ist rechtens (Datenschutz Notizen, 16.06.2020).
Die neue Meldeübermittlungsverordnung NRW (MeldDÜV NRW) ist online (Eigene Meldung, 15.06.2020).
Der Europäische Datenschutzausschuss zu Cookies (Datenschutzpraxis, 09.06.2020)
Geburtstagslisten im bayerischen öffentlichen Dienst (BayLfD, 09.06.2020)
Datenerfassung in der Gastronomie: Einzelne Zettel mit Namen, Anschrift und Telefonnummer nach vier Wochen vernichten (Datenschutzpraxis, 09.06.2020).
Ein guter Artikel zu Anonymisierung und Pseudonymisierung (datenschutz-notizen.de, 08.06.2020).
Arbeitnehmer dürfen in ihrer Computernutzung kontrolliert werden (Justizministerium NRW, 08.06.2020).
Der Nutzung von Cookies muss aktiv zugestimmt werden (Pressebox.de, 08.06.2020).
3 Einführung in die EU-DSGVO
3.1 Sachliche und räumliche Zuständigkeit – für wen gilt die EU-DSGVO?
3.1.1 Die Europäische Datenschutzgrundverordnung (EU-DSGVO) - über was reden wir hier eigentlich?
3.1.2 Sachliche Anwendbarkeit - in welchen Fällen können wir die EU-DSGVO anwenden?
3.1.3 Räumliche Anwendbarkeit - wo überall gilt die EU-DSGVO?
3.2 Personenbezogene Daten und Verarbeitung – worum geht es genau?
3.2.1 Personenbezogene Daten - wenn Ihre Daten Sie verraten!
3.2.2 Besondere Kategorien personenbezogener Daten - wenn es wirklich ans Eingemachte geht
3.2.3 Daten verarbeiten - was mit Daten so alles gemacht werden kann
3.3 Erhebung und Datenschutzerklärung – was muss man wann erklären?
3.3.1 Formular, Website, Kamera - was alles eine Erhebung ist
3.3.2 Datenschutzerklärung - was alles so erklärt werden muss
3.3.3 Anfrage - was Sie noch drauf haben müssen
3.4 Zweckänderung und Übermittlung – was man mit vorhandenen Daten machen darf
3.4.1 Zweckänderung - wenn Sie mit den Daten etwas anderes vor haben
3.4.2 Datenübermittlungen innerhalb und zwischen öffentlichen Stellen - wenn Daten auf Reisen gehen
3.4.3 Datenübermittlungen in Nicht-EU-Länder
3.5 Rechtmäßigkeit und Einwilligung – Wann ist die Verarbeitung in Ordnung?
3.5.1 Erlaubnisvorbehalt - eigentlich ist alles verboten
3.5.2 Rechtliche Verpflichtung und Interessen - wenn Sie nicht anders können
3.5.3 Die Einwilligung - wenn Sie einverstanden sind
3.6 Rechte der Betroffenen und Auskünfte – was jeder über sich erfahren darf
3.6.1 Auskunft, Berichtigung, Übertragung - Ihre konstruktiven Rechte als Betroffene
3.6.2 Einschränkung, Widerspruch, Löschung - wenn es Ihnen zu bunt wird
3.6.3 Datenschutzbeauftragter - wer für Sie aufpasst
3.7 Verantwortliche - der den Hut auf hat
3.7.1 Rechtmäßige Auftragsverarbeitung - wer was darf
3.7.2 Beschäftigtendatenschutz
3.8 Privacy, Verarbeitungsverzeichnis und Datenschutzfolgenabschätzung – was noch fehlen könnte
3.8.1 Privacy by - die richtige Einstellung ab Werk
3.8.2 Verarbeitungsverzeichnis - erklären Sie, was Sie tun
3.8.3 Datenschutzfolgenabschätzung - schätzen Sie ab, was passieren kann
3.9 Technische und organisatorische Maßnahmen – was die EDV können muss
3.9.1 Datensicherheit
3.9.2 Datensicherung
3.9.3 Vertrauen ist gut - warum Kontrolle besser ist
3.10 Folgen - was passiert, wenn...
3.10.1 Rechtliche Folgen eines rechtmäßigen Falls
3.10.2 Rechtliche Folgen eines unrechtmäßigen Falls
3.10.3 Meldung an die Aufsichtsbehörde
4 Prüfschema Datenschutz
6 Programme (Windows, Beta)
Sachliche und räumliche Zuständigkeit – für wen gilt die EU-DSGVO?
Die Europäische Datenschutzgrundverordnung (EU-DSGVO) - über was reden wir hier eigentlich?
Beschlussorgan der EU-DSGVO: Parlament der EU
Dies hier ist ein Text über die Europäische Datenschutzgrundverordnung. Hinter diesem Wortungetüm steckt ein Gesetz der Europäischen Union (EU), das am 25.05.2016 verkündet wurde und am 25.05.2018 voll in Kraft trat.
Die Datenschutzgrundverordnung ist aber ein besonderes Gesetz. Normalerweise müssen Gesetze der EU in nationales Recht umgesetzt werden. Einem EU-Gesetz, das allgemeine Regelungen enthält, muss also ein nationales Gesetz folgen, das speziellere Regelungen enthält. Das ist bei der EU-DSGVO nicht der Fall. Sie gilt direkt, Wort für Wort.
Die EU-DSGVO gilt seit dem 25. Mai 2018 und steht also sozusagen über den nationalen Gesetzen. Sie verbietet die Verarbeitung personenbezogener Daten grundsätzlich, erklärt aber natürlich Ausnahmen davon. Welche Daten schützt die Verordnung? Nun, eigentlich schützt sie keine Daten. Sie schützt Menschen. Denn Ausgangspunkt allen Datenschutzes ist die informelle Selbstbestimmung.
MERKE: Datenschutz schützt keine Daten sondern Menschen.
Wer Daten anderer Menschen verwendet, der muss daher bestimmte Regeln einhalten. Darüber hinaus kann jeder natürlich seine eigenen Daten verarbeiten wie er Lust hat. Sie sind sein Eigentum. Es empfiehlt sich, Daten als so etwas wie Geld zu betrachten. Auch beim Umgang mit dem Geld anderer Leute muss man sich an Regeln halten.
Sie denken jetzt vermutlich (oder haben es gehört), dass Sie eine immense Menge an Arbeit investieren müssen, um der neuen EU-DSGVO zu genügen. Glauben Sie das nicht. Vermutlich müssen Sie gar nicht viel tun. Die EU-DSGVO wurde nämlich dem deutschen Datenschutzrecht nach empfunden und enthält sehr viele Regelungen, die wir schon lange kennen.
Genau genommen müssen Sie vielleicht
die Einwilligungen prüfen, die Sie bisher erhalten haben
die Datenschutzerklärungen prüfen, die Sie bisher abgegeben haben
die Verträge prüfen, die Sie mit Auftragsverarbeitern geschlossen haben
anstelle eines Verfahrensverzeichnisses jetzt ein Verarbeitungsverzeichnis führen
eine Datenschutzfolgenabschätzung abgeben
Diese Punkte sind von oben nach unten aber ansteigend unwahrscheinlich. In den meisten Fällen gelten die bisherigen Dokumente weiter, wenn sie noch der EU-DSGVO entsprechend. Genau das gilt es zu prüfen und genau dazu können Sie diesen Text benutzen.
Sachliche Anwendbarkeit - in welchen Fällen können wir die EU-DSGVO anwenden?
Die Frage, ob die EU-DSGVO auf den aktuellen Fall angewandt werden kann, ist in Artikel 2 Absatz 1 beantwortet:
EU-DSGVO: Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 EU-DSGVO)
Privatleben: hier gilt die EU-DSGVO i. d. R. nicht
Das Bundesdatenschutzgesetz gilt für Privatleute und alle Firmen. Ausnahmen sind die persönliche und familiäre Datenverarbeitung. Die EU-DSGVO schützt alle Bürger der EU bei nicht-privater Datenverarbeitung. Private Datenverarbeitung wie Adressbücher, Fotoalben oder Einladungen sind keine Datenverarbeitung für die EU-DSGVO.
ACHTUNG: in Handys gespeicherte Daten gehen in der Regel an den Anbieter von Handys (Apple) oder Software (Google) oder Netzen (Vodafone, Telekom etc.). Sie ist dann nicht mehr privat und streng genommen müssen Sie Ihre Kontakte fragen, ob sie sie speichern oder gar übertragen dürfen.
Wichtig für die Beurteilung, ob eine Datenverarbeitung unter die EU-DSGVO fällt, ist
ob die Daten automatisiert verarbeitet werden oder
ob die Daten "in einem Dateisystem" gespeichert sind oder
ob die Daten "in einem Dateisystem" gespeichert werden sollen
Damit ist also - wir werden es öfter bemerken - so ziemlich alles abgedeckt, was an Daten in "Dateisystemen" oder "automatisch" verarbeitet wird. Die Frage ist bei Gesetzen immer, was genau damit gemeint ist. Zum Glück definiert die EU-DSGVO auch ziemlich genau, was sie meint. Und zwar im Artikel 4 "Begriffsbestimmungen".
Unter Artikel 4, Nummer 6 finden wir also die "Begriffsbestimmung" (Definition, Erklärung) von "Dateisystem":
DEFINITION: "Dateisystem" jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird; (Art. 4 Nr. 6 EU-DSGVO)
Ist die EU-DSGVO auf Ihren Fall sachlich anwendbar? Dann prüfen Sie als nächstes die
räumliche Anwendbarkeit,
anderenfalls prüfen Sie die
Folgen fehlender Anwendbarkeit.
Räumliche Anwendbarkeit - wo überall gilt die EU-DSGVO?
Personenbezogene Daten und Verarbeitung – worum geht es genau?
Sind alle Daten geschützt? Nein, nur bestimmte Daten sind geschützt: personenbezogene Daten!
Personenbezogene Daten - wenn Ihre Daten Sie verraten!
Besondere Kategorien personenbezogener Daten - wenn es wirklich ans Eingemachte geht
Daten verarbeiten - was mit Daten so alles gemacht werden kann
Verarbeitet werden Daten, wenn sie Daten
erheben, erfassen, auslesen, abfragen (also sich beschaffen)
organisieren, ordnen, speichern, anpassen, verändern (also umgewandelt werden)
verwenden, offenlegen, verbreiten (den Standort wechseln)
abgleichen, verknüpfen (ausgewertet werden)
einschränken, löschen, vernichten (unbrauchbar gemacht werden).
Erhebung und Datenschutzerklärung – was muss man wann erklären?
Formular, Website, Kamera - was alles eine Erhebung ist
Manche glauben, eine Datenerfassung finde statt, wenn Leute mit Zettel und Bleistift in der Fußgängerzone herumlaufen und ihnen Fragen stellen. Das ist im Computerzeitalter nicht mehr zeitgemäß. Manche (böse Zungen behaupten: dieselben) Leute fragen sich auch, warum z. B. Websites eine Datenschutzerklärung besitzen müssen, obwohl dort ja nur etwas abgerufen wird.
Man könnte sich den Begriff der Datenerhebung als Erzeugung von digitalen Daten vorstellen. Die Daten, die auch schon vor dem Computerzeitalter existiert haben, wie z. B. die Größe eines Menschen, werden bei einer Erhebung "digitalisiert". Speichert man diese erhobenen Daten auch noch ab, werden sie erfasst.
Das erwähnte Formular, mit denen man Sie z. B. in der Fußgängerzone nervt, ist natürlich eine Datenerhebung. Wenn Sie aber bei Ihrem Wocheneinkauf eine Kamera streifen, ist das ebenfalls eine Erhebung. Deshalb muss in der Nähe der Kamera - und zwar idealerweise bevor Sie ihren Aufnahmebereich betreten, eine Datenschutzerklärung aushängen.
Und wenn Sie "nur" im Internet surfen? Dann werden auch Daten von Ihnen erhoben. Zwar müssen Sie nirgends einen Namen eingeben, um z. B. eine Seite aufzurufen. Im Hintergrund wird aber die IP-Adresse, eine eindeutige, Ihrem Computer weltweit einmalig zugeordnete Adresse, auf dem Computer gespeichert, der die Seite ausliefert.
Datenschutzerklärung - was alles so erklärt werden muss
Anfrage - was Sie noch drauf haben müssen
Zweckänderung und Übermittlung – was man mit vorhandenen Daten machen darf
Zweckänderung - wenn Sie mit den Daten etwas anderes vor haben
Falls weder Gesetz noch Einwilligung vorliegen:
Zusammenhang und Verhältnis zwischen den Zwecken berücksichtigen,
Folgen der Verarbeitung,
Garantien durch Verschlüsselung und Pseudonymisierung prüfen,
Informationspflicht (A13A3 u. A14A4, A6A4, EWG 32, 40-50, 55, 56, § 9 DSG NW).
Datenübermittlungen innerhalb und zwischen öffentlichen Stellen - wenn Daten auf Reisen gehen
DSG NW: Die Verantwortung der Zulässigkeit einer Datenübermittlung öffentlicher an private Stellen trägt die übermittelnde Stelle. Auf die folgenden Voraussetzungen ist die private Stelle hinzuweisen!
nur durch Angemessenheitsbeschluss,
Garantien notwendig (Unterrichtungsrecht n. A46!,A15A2),
gem. Datenschutzvorschriften (A44 - A49, EWG 101-115, §§ 6 - 8 DSG NW, § 25 BDSG).
Jetzt sagen Sie bloß nicht, dass Sie nie Daten in die Welt versenden, denn...
ACHTUNG: Die Nutzung von Computern und Smartphones kann auch eine Übermittlung außerhalb der EU bedeuten!
Rechtmäßigkeit und Einwilligung – Wann ist die Verarbeitung in Ordnung?
Erlaubnisvorbehalt - eigentlich ist alles verboten
"Es ist alles erlaubt, was nicht verboten ist"
"Es ist alles verboten, was nicht erlaubt ist"
Besteht nämlich für irgendeinen Bereich keine Regelung, kommt es darauf an, welcher der beiden Sätze gilt. In einem freien Rechtsstaat würde der erste Satz gelten, in einer Diktatur wohl eher der zweite.
Rechtliche Verpflichtung und Interessen - wenn Sie nicht anders können
So ist die Verarbeitung nur erlaubt, wenn ein Gesetz die Verarbeitung erlaubt. Sie ist auch erlaubt, wenn sie Teil eines Vertrages ist oder Erfüllung einer rechtlichen Verpflichtung eines Verantwortlichen erforderlich ist. Ferner ist sie erlaubt, wenn lebenswichtige Interessen einer natürlichen Person zu schützen sind. Öffentliches oder ein so genanntes berechtigtes Interesse kann auch die Verarbeitung erlauben.
Die Einwilligung - wenn Sie einverstanden sind
Die Einwilligung ist die "Green Card" unter den Berechtigungen. Grob gesagt kann man zu allem einwilligen. Sie muss aber bestimmte Voraussetzungen erfüllen, damit auch klar ist, auf was sich der Dateneigentümer alles einlässt.
Jede Einwilligung muss jederzeit nachweisbar und leicht zugänglich sein.
Sie muss in einer klaren und einfachen Sprache abgefasst sein.
Die einzuwilligenden Sachverhalte müssen klar zu unterscheiden sein.
Jede Einwilligung kann widerrufen werden, stoppt die Verarbeitung aber erst ab dem Zeitpunkt des Widerrufs. Ein Widerruf "Ich bin mit nichts einverstanden, was Sie bisher mit meinen Daten gemacht haben" ist nicht möglich (Verantwortliche sind ja keine Zeitreisenden).
Die Einwilligenden müssen hierüber vor der Einwilligung informiert sein. Der Widerruf muss so einfach sein wie die Einwilligung. Einwilligungen dürfen natürlich nur freiwillig abgegeben werden. Dabei darf die Einwilligung nicht mit Leistungen gekoppelt werden (Kopplungsverbot).
ACHTUNG: Kinder unter 16 können nicht selbst einwilligen. Hier muss ein „Träger elterlicher Gewalt“ (ein
Erziehungsberechtigter) einwilligen. Das Bundesdatenschutzgesetz senkt diese Grenze auf 13 Jahre, nicht aber die Landesdatenschutzgesetze!
Rechte der Betroffenen und Auskünfte – was jeder über sich erfahren darf
Die EU-DSGVO gibt den Betroffenen eine Menge Rechte. Diese Rechte können allerdings eingeschränkt werden.
Auskunft, Berichtigung, Übertragung - Ihre konstruktiven Rechte als Betroffene
Die Betroffenen haben ein Recht auf
Berichtigung von falschen Daten
Übertragung der Daten an eine beliebige Stelle
Das heißt nichts weniger als dass Sie verlangen können zu erklären, was genau mit Ihren Daten passiert (siehe auch Datenschutzerklärung). Die Auskunft ist für Sie zunächst mal kostenlos, wenn Sie die Anzahl der Anfragen nicht übertreiben.
Entdecken Sie nach einer Auskunft, dass die Verantwortlichen mit falschen Daten hantieren, können Sie eine Berichtigung verlangen. Mit falschen Daten darf niemand arbeiten.
Außerdem können Sie - NEU! - verlangen, dass man Ihre Daten an eine von Ihnen benannte Stelle überträgt. Das muss zwar technisch möglich sein, die meisten heutigen Programme verfügen aber über eine so genannte "Exportfunktion". Oft können die Daten auch online übertragen werden. Bei einer "Cloud" (Google Drive etc.) müssen die Verantwortlichen natürlich darauf achten, dass die Daten außerhalb der EU übertragen werden könnten.
Praxistipps und Urteile zur Auskunft
Einschränkung, Widerspruch, Löschung - wenn es Ihnen zu bunt wird
Sollten eine Verarbeitung unklar sein, können Sie verlangen, dass die Verarbeitung eingeschränkt wird.
Grundsätzlich können Sie einer Verarbeitung widersprechen
Wollen Sie gar keine Verarbeitung mehr, können Sie die Löschung beauftragen.
Eine Löschung bedeutet, dass alle Ihre Daten restlos verschwinden. Das gilt für alle Computer und auch die Datensicherung, auf der sich vielleicht noch eine Kopie befindet. Die Verantwortlichen müssen Sie "vergessen" können.
Dieses Recht zu gewährleisten entspricht ein dem Risiko angemessenes Schutzniveau.
Auskunft, Berichtigung, Vergessen, Verarbeitungseinschränkung (inkl. Mitteilungspflicht), Datenübertragbarkeit, Widerspruch, Automatisierte Entscheidungen 2 , Beschränkungen der Rechte sind möglich (A15 - A23, EWG 63-73, §§ 32 - 37 BDSG).
Datenschutzbeauftragter - wer für Sie aufpasst
Wenn Sie 20 Mitarbeiter/-innen haben, die mit personenbezogenen Daten arbeiten, brauchen Sie einen Datenschutzbeauftragten. Zur Verarbeitung reicht es schon aus, wenn sie mit E-Mails arbeiten oder Webseiten auswerten. Am einfachsten rechnen Sie jeden Arbeitsplatz dazu, der mit einem Computer arbeitet.
Wenn Sie weniger als 20 Mitarbeiter/-innen haben, aber umfangreiche Verarbeitung von personenbezogenen Daten besonderer Kategorie vornehmen, brauchen Sie ebenfalls einen Datenschutzbeauftragten. Verarbeiten Sie also beispielsweise Gesundheitsdaten (wie Apotheken, Arztpraxen), genetische oder ethnische Daten (Forschungsinstitute) oder die Daten von politischen Parteien oder Gewerkschaften, müssen Sie jemanden ernennen.
Behörden müssen übrigens immer einen Datenschutzbeauftragten ernennen!
Datenschutzbeauftragter kann werden, wer die EU-DSGVO anwenden kann (oder vielleicht diesen Text als Grundlage nimmt). Weitere Voraussetzungen gibt es nicht. Interessenskonflikte müssen natürlich vermieden werden. EDV-Leute können keine Datenschutzbeauftragten werden, da sie ja überwacht werden müssen. Das gleiche gilt für Verantwortliche.
Der Datenschutzbeauftragte ist wegen seiner Tätigkeit nicht kündbar (wegen anderer Vergehen aber natürlich schon). Das gilt bis zu einem Jahr nach dem Ende seiner Tätigkeit.
Rechtsquellen: Art. 37, EWG 97 EU-DSGVO, § 38 BDSG, § 31 DSG NW
Ein interner Datenschutzbeauftragter darf nicht abberufen werden, weil es opportun erscheint, einen externen Datenschutzbeauftragten zu bestellen (Arbeitsgericht Nürnberg).
Ein Interessenskonflikt für einen Datenschutzbeauftragten besteht, wenn er in erster Linie seine eigene Tätigkeit kontrollieren muss
Verantwortliche - der den Hut auf hat
Rechtmäßige Auftragsverarbeitung - wer was darf
Privacy, Verarbeitungsverzeichnis und Datenschutzfolgenabschätzung – was noch fehlen könnte
Privacy by - die richtige Einstellung ab Werk
MERKE: Privacy by Design = Maximaler Datenschutz schon beim Konstruieren/Programmieren!
MERKE: Privacy by Default = Maximaler Datenschutz schon bei (erster) Inbetriebnahme!
Datenschutz in der "Corona-Warn-App".
Verarbeitungsverzeichnis - erklären Sie, was Sie tun
Wenn Sie Daten verarbeiten, müssen Sie eine Liste führen, was Sie mit den Daten regelmäßig so anstellen. Dieses Verzeichnis hieß früher "Verfahrensverzeichnis", da Verwaltungsmenschen und Juristen Programme auch gern als "Verfahren" bezeichnen. Das ist überflüssig geworden, denn es enthielt ja nur eine Liste von Programmen, die eigentlich nicht viel aussagte.
Das neuere Verarbeitungsverzeichnis muss ein paar Pflichtangaben enthalten:
Für Auftragsverarbeiter zusätzlich Verarbeitungen
Rechtsquellen sind Art. 30, EWG 82, § 53 DSG NW.
Ein Eintrag in ein solches Verzeichnis könnte folgendermaßen aussehen. Es sollen "Knöllchen" (Verwarnungsgelder für Parksünder) erfasst und verarbeitet werden:
Verantwortlicher.........................: Stadt Düsendorf
Zweck....................................: Verkehrsraumüberwachung
Betroffene...............................: Fahrzeughalter, deren Fahrzeug auf dem Rheinparkplatz steht
Daten....................................: Kennzeichen, Ort, Datum, Fahrzeug, Haltername und -anschrift
Empfänger................................: Rechenzentrum Flinkstadt
Übermittlungen...........................: Abends an das Rechenzentrum zur weiteren Verarbeitung
Löschfristen.............................: 4 Wochen nach Zahlung
Technische und organisatorische Maßnahmen: Offline-Erfassungsgeräte, Datensicherung, Zugangsschutz
Natürlich können Sie die Daten der oder des Verantwortlichen nur einmal aufführen. Für jede Verarbeitung (abgeschlossener Verarbeitungsprozess) muss allerdings ein Eintrag vorhanden sein.
Datenschutzfolgenabschätzung - schätzen Sie ab, was passieren kann
In einer Datenschutzfolgenabschätzung (Rechtsquellen: Art. 35, EWG 84, 89-93, z. B. §24 DSG NW, hier mal DSFA abgekürzt) schätzen Sie die Folgen einer Verarbeitung für den Datenschutz ab. Eine DSFA kann grundsätzlich immer gemacht werden. Sie ist aber manchmal auch Pflicht (und muss dann auch vorzeigbar sein).
Eine DSFA ist Pflicht, wenn Sie
Daten automatisch bewerten wollen (z. B. "Scoring", also das Einsortieren der Kreditwürdigkeit von Bewohnern nach Stadtteil)
umfangreich personenbezogene Daten besonderer Kategorie verarbeiten wollen (Gesundheitsdatenbanken, Mitgliederlisten von Parteien etc.)
Personen systematisch überwachen wollen (also z. B. schon, wenn Sie eine Kamera auf den Marktplatz stellen)
Eine solche DSFA enthält wenigstens die folgenden Punkte
die Verarbeitungsvorgänge, deren Folgen abgeschätzt werden sollen (Was haben Sie genau vor?)
eine Gegenüberstellung von Notwendigkeit und Verhältnismäßigkeit in Bezug zum Zweck (Ist das angemessen?)
eine Abwägung der Risiken, die für die betroffenen Personen entstehen könnten (Was kann schlimmstenfalls passieren?)
und Abhilfen, die diese Risiken minimieren (Was tun Sie dagegen?)
Verarbeitungsvorgänge: Aufnehmen des Marktplatzes 24 Stunden/Tag durch eine aufzeichnende Kamera
Gegenüberstellung....: Zwar werden viele Menschen aufgenommen, es gibt aber immer wieder Schlägereien mit Schwerverletzten
Abwägung.............: Das Gut "Gesundheit" ist höher zu bewerten als das Recht auf informelle Selbstbestimmung
Abhilfe..............: Die Bänder werden nach 1 Woche ungesehen (!) gelöscht und nur im Schadensfall herangezogen.
Technische und organisatorische Maßnahmen – was die EDV können muss
Verantwortliche und Auftragsverarbeiter haben ein angemessenes Schutzniveau zu gewährleisten. Das schließt u. U. die Pseudonymisierung und Verschlüsselung personenbezogener Daten ein, die Fähigkeit, Daten integer, vertraulich und verfügbar zu halten und belastbare Systeme einzusetzen.
Werden besondere Kategorien personenbezogene Daten verarbeitet, schreibt das DSG NW besondere Garantien zu ihrem Schutz vor:
Der EU-DSGVO entsprechende technische und organisatorische Maßnahmen
Die Erfassung, Änderung und Löschung muss protokolliert werden.
Die Beteiligten müssen sensibilisiert werden
Der Zugang muss (auch gegenüber dem Auftragsverarbeiter) beschränkt werden
Die Daten müssen anonymisiert oder wenigstens pseudonymisiert werden
Die Daten müssen verschlüsselt werden
Vertraulichkeit und Integrität müssen sichergestellt werden
Eine Datenwiederherstellung muss unverzüglich möglich sein
Die technischen und organisatorischen Maßnahmen müssen regelmäßig überprüft werden
Illegale Übermittlungen und Zweckänderungen müssen verhindert werden
Verantwortliche und Auftragsverarbeiter sollen die Fähigkeit besitzen, die Verfügbarkeit personenbezogener Daten rasch wiederherzustellen.
In aller Regel ist dies durch ein (automatisches, aber kontrolliertes) Datensicherungsprogramm möglich. Die Medien, auf denen die Datensicherung erfolgt, sollten dabei natürlich gegen Vernichtung geschützt werden, also u. a. in einem anderen Brandabschnitt als die Server aufbewahrt werden.
Datensicherungsmedien sind vom „Recht auf Vergessen“ auch betroffen. Personenbezogene Daten, die gelöscht werden müssen, dürfen sich auch nicht mehr auf Datensicherungsmedien befinden.
Vertrauen ist gut - warum Kontrolle besser ist
Verantwortliche und Auftragsverarbeiter sollen ein Verfahren zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit aller Maßnahmen einsetzen.
Mehr Schutz der Daten: Terminal mit zentraler Verarbeitung
Es sollen nur Personen eingesetzt werden, die personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten.
DSG NW: Die Unterlagen über die technischen und organisatorischen Maßnahmen unterliegen nicht dem IFG NW. Sie dürfen also aufgrund einer Anfrage nach Informationsfreiheit nicht übermittelt werden.
Datensicherheit, also den Schutz der Daten vor fremden Zugriff, ist jetzt Vorschrift. Jetzt fragen Sie sich sicher, wie Sie denn einen PC vor Zugriff am besten schützen. Die Antwort ist leider: nur sehr schwer. Wenn Sie alle Ihre Daten auf der Festplatte eines PC haben und Ihnen brennt die Hütte ab, sind die Daten futsch. Vielleicht haben Sie glücklicherweise eine Kopie aller Daten außerhalb des PC (Datensicherung), aber unglücklicherweise befand sich diese im selben Gebäude und ist auch futsch. Vielleicht brannte es gar nicht. Vielleicht gab es einen Wasserschaden. Vielleicht brach jemand ein.
Sie merken: der PC ist keine gute Idee (mehr). Das Halten der Daten vor Ort (dezentrale Datenhaltung) sollte heute eigentlich nicht mehr vorkommen. Dezentrale Datenhaltung können Sie vermeiden, in dem Sie externe Server benutzen, also Computer, die Speicher- und andere Dienste anbieten und mit denen Sie sich verbinden können. Das kann Ihr eigener Server sein, der dann vielleicht - mehrfach vorhanden - in einem anderen Brandabschnitt steht und gesondert gesichert ist.
das Betreiben Ihres Servers in einem speziell gesicherten Rechenzentrum (Server Housing)
das Anmieten eines (virtuellen) Servers in einem speziell gesicherten Rechenzentrum (Server Hosting)
das Anmieten einer Website
die berühmt-berüchtigte Nutzung von Diensten ohne festen Server (Cloud Computing)
Kein "Privacy by Default" bei Facebook.
Der "Stand der Technik" nach Art. 32 EU-DSGVO.
Zur Sicherheit von Serverräumen.
Beispiele für Anonymisierung und Pseudonymisierung.
Folgen - was passiert, wenn...
Rechtliche Folgen eines rechtmäßigen Falls
Datenschutzrecht ist allgemeines Recht, dem Spezialrecht vor geht!
Im Falle eines datenschutzrechtlich rechtmäßigen Falles sind in jedem Fall weitere Gesetze zu prüfen!
Bei der Frage der Rechtmäßigkeit von Abbildern ist z. B. auch das Kunsturhebergesetz zu berücksichtigen!
Rechtliche Folgen eines unrechtmäßigen Falls
Ob sich Wettbewerber gegenseitig abmahnen dürfen, ist nach wie vor unklar.
Die unrechtmäßige Verarbeitung personenbezogener Daten ist auch dann strafbar, wenn die Daten nicht missbraucht wurden (ArbG Siegburg, Urteil v. 15.1.2020, 3 Ca 1793/19).
§ 32 des Datenschutzgesetzes Nordrhein Westfalens bestimmt, dass gegen Behörden keine Bußgelder verhängt werden.
Zuständig sind die ordentlichen Gerichte (also z. B. nicht die Verwaltungsgerichte).
Bis 100.000.- € ist das Amtsgericht zuständig, darüber hinaus das Landgericht.
Die Übersendung der Akten erfolgt an die Staatsanwaltschaft, die sie nach Prüfung auf Einstellung an das Strafgericht übersandt.
Für die Einstellung eines Verfahrens benötigt die Staatsanwaltschaft die Zustimmung der erlassenden Datenschutzbehörde.
Datenschutzverstöße verjähren i. d. R. nach drei Jahren.
Beispielhafte Bußgelder aus Brandenburg.
Das Klagerecht liegt bei Datenschutzbehörden und Betroffenen.
Auch bei Missständen darf man nicht auf eigene Faust ermitteln.
Prüfschema Datenschutz
Anwendbarkeit der EU-DSGVO
Sachliche Anwendbarkeit - kann die EU-DSGVO auf einen Fall angewandt werden?
Findet eine ganz, teilweise oder nicht-automatisierte Verarbeitung statt?
Findet keine ausschließlich persönliche oder familiäre Datenverarbeitung ("Haushaltsprivileg") statt?
Bewegt sich der Sachverhalt nicht außerhalb des EU-Rechts, oder im Bereich der Strafverfolgung/Strafvollzug?
Räumliche Anwendbarkeit - findet der Sachverhalt im Anwendungsbereich der EU-DSGVO statt?
Liegt der Marktort innerhalb der EU?
Hat der Verantwortliche wenigstens eine Niederlassung innerhalb der EU?
Untersteht der Verantwortliche dem Recht eines EU-Staates?
Sind personenbezogene Daten im Sachverhalt betroffen?
Indirekte Identifizierung
Prüfung auf Verarbeitung
Übermittlungen innerhalb der EU zwischen Behörden und Bürgern
Übermittlungen innerhalb der EU zwischen Behörden
Soll eine Zweckänderung vorgenommen werden?
Findet eine sonstige Verarbeitung statt?
Ist die Datenverarbeitung Teil einer vertraglichen Verpflichtung?
Ist die Datenverarbeitung Teil einer rechtlichen Verpflichtung?
Findet die Datenverarbeitung aus einem berechtigtem Interesse statt?
Erfüllt die Einwilligung die formellen Anforderungen?
Erfüllt die Einwilligung die Anforderungen an die Freiwilligkeit?
Findet eine Erhebung von Daten statt, so dass eine Datenschutzerklärung notwendig wird?
Muss ein Verarbeitungsverzeichnis erstellt werden?
Muss eine Datenschutzfolgenabschätzung abgegeben werden?
Verarbeitung besondere Kategorien personenbezogener Daten
Einwilligung für besondere Kategorien personenbezogener Daten
Dokumente für besondere Kategorien personenbezogener Daten
Sind die Betroffenenrechte gewahrt?
Auskunft, Berichtigung, Übertragbarkeit der Verarbeitung
Einschränkung, Widerruf, Löschung der Verarbeitung
Benennung und Eignung eines Datenschutzbeauftragten
Abberufung und Rücktritt eines Datenschutzbeauftragten
Prüfung der Verantwortlichkeiten
Findet eine Auftragsverarbeitung statt?
Folgen von Prüfungsergebnissen
Müssen andere datenschutzrelevante Gesetze geprüft werden?
Muss eine Meldung an die Aufsichtsbehörde erfolgen?
Wie hoch sind die zu erwartenden Bußgelder?
KURT - Programm zur Prüfung der Korruptionsvorbeugung (Version 18.06.2020)
Abgerufen von „https://www.frankwerner.org/index.php?title=Hauptseite&oldid=909“

References: § 9
 § 25
 Art. 37
 § 38
 § 31
 Art. 30
 § 53
 Art. 35
 §24
 Art. 32

§ 32