Source: https://www.datenschutz2-0.de/news/
Timestamp: 2020-08-14 02:15:34+00:00

Document:
News - Datenschutz 2.0
von administrator | 12.02.2020
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat in einem Dokument Antworten auf Fragen, die häufig rund um das Thema „Betrieblicher Datenschutzbeauftragter“ gestellt werden, zusammengefasst (Achtung: .pdf-Dokument hinter Link)
https://www.ldi.nrw.de/mainmenu_Datenschutz/submenu_Datenschutzbeauftragte/Inhalt/Antworten-auf-haeufig-gestellte-Fragen-zu-Datenschutzbeauftragten/Inhalt/FAQ_zum_Datenschutzbeauftragten/FAQ_ein_Dokument.pdf
von administrator | 29.01.2020
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat einen neuen Leitfaden für Unternehmen zum Thema des betrieblichen Datenschutzbeauftragten veröffentlicht. Dieser berücksichtigt auch die letzten Änderungen am BDSG.
Quelle/Link (ACHTUNG: Link für zu .pdf-Dokument):
von administrator | 25.11.2019
Geändert wurde auch der § 38 BDSG. Ab morgen ist dann nach den Vorgaben des deutschen Rechts die Benennung eines betrieblichen Datenschutzbeauftragten erforderlich, „sofern in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt” sind. Dies heißt aber nicht, dass die Regelungen zum Datenschutzrecht ansonsten nicht gelten.
https://www.gdd.de/aktuelles/startseite/2-ds-anpug-tritt-am-26-11-2019-um-0-uhr-in-kraft
von administrator | 19.11.2019
Die Landesdatenschutzbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen weist in einer aktuellen Pressemitteilung darauf hin, dass bei der Nutzung von Google Analytics ggf. eine Einwilligung nach der DSGVO des Nutzers erforderlich ist. Es scheint so, dass hier ggf. in Zukunft Betreiber von Internetseiten mit einer Prüfung und ggf. Maßnahmen der Aufsichtsbehörden zu rechnen haben.
Auch die Aufsichtsbehörde aus Niedersachsen informiert dazu.
Ebenso die Behörden aus Hamburg und Berlin.
von administrator | 13.11.2019
Beschlossen auf der 98. Sitzung des Gremiums am 6. und 7. November 2019. Für Unternehmen ist ein Prüfungsbedarf gegeben, damit ein Einsatz ggf. datenschutzrechtskonform erfolgen kann.
https://www.datenschutz-berlin.de/infothek-und-service/veroeffentlichungen/beschluesse-dsk/#c952
Datenschutzkonferenz veröffentlicht Bußgeldkonzept für Verstöße gegen das Datenschutzrecht
von administrator | 17.10.2019
Für Unternehmen ein wichtiger Anhaltspunkt für Prüfung im Einzelfall eines Verstoßes und wie die Aufsichtsbehörden die Bemessungsgrundlagen von Bußgelder setzen, ergänzt dann natürlich noch um die Einzelfallumstände
Quelle (Achtung: .pdf-Dokument):
LDI NRW äußert sich zu „Cookie“-Entscheidung des EuGH
von administrator | 10.10.2019
Für nicht-öffentliche Stellen, also Unternehmen mit Sitz in NRW von Interesse. Auch hier wird darauf hingewiesen, dass bei den Cookies zu differenzierten ist und kein pauschales Erfordernis einer Einwilligung für alle Cookies vorliegt.
https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/EuGH-Urteil-zur-wirksamen-Einwilligung-in-die-Verwendung-von-Cookies-auf-Websites/EuGH-Urteil-zur-wirksamen-Einwilligung-in-die-Verwendung-von-Cookies-auf-Websites.html
Die Datenschutzkonferenz hat Beschluss zu Art.91 DSGVO veröffentlich und äußert sich zum Bestandsschutz der Datenschutzregelungen von bestehenden Religionsgemeinschaften unter Geltung der DSGVO.
von administrator | 02.07.2019
Im Fall der Übernahme von einzelnen Wirtschaftsgütern eines Unternehmens stellt sich für den Erwerber immer die Frage, wie mit personenbezogenen Daten umgegangen werden darf bzw. muss.
Dazu gibt es jetzt Unterstützung durch den Beschluss.
Quelle (Achtung:.pdf-Dokument)
von administrator | 13.06.2019
In der Broschüre wird z.B. auch für den Handel klargestellt, wann eine Vorlage eines Personalausweises verlangt werden kann und welche personenbezogenen Daten daraus erhoben werden dürfen.
https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Personalausweis-und-Datenschutz/Personalausweis-und-Datenschutz.html
von Rolf Albrecht | 22.05.2019
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg veröffentlicht Vertragsmuster zu Art.26 DSGVO/gemeinsame Verantwortlichkeit. Eine Verwendung sollte im Einzelfall geprüft werden und kann niemals die Prüfung der konkreten Sachlage ersetzen.
von Rolf Albrecht | 29.04.2019
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg weist auf dieses in einer aktuellen Veröffentlchung hin.
Quelle:https://www.baden-wuerttemberg.datenschutz.de/videoueberwachung-aus-fahrzeugen-sog-dashcams/
von Rolf Albrecht | 25.04.2019
Quelle:https://www.baden-wuerttemberg.datenschutz.de/nutzung-von-kameradrohnen-durch-nicht-oeffentliche-stellen/
von Rolf Albrecht | 05.04.2019
Anwendungsvorrang der DSGVO gegenüber TMG bei Nutzung von Diensten und Datenerhebung.
Quelle (Datei ist weiter unten verlinkt):
https://www.datenschutz.rlp.de/de/aktuelles/detail/news/detail/News/datenschuetzer-beschliessen-hambacher-erklaerung-zur-kuenstlichen-intelligenz/
von Rolf Albrecht | 03.04.2019
Zwar erfolge die Entscheidung des Bundesverwaltungsgerichts (Urteil vom 27. März 2019, Az.: BVerwG 6 C 2.18) noch auf Basis des vor dem 25. Mai 2018 geltende alten BDSG und der dortigen Rechtsgrundlage des § 6b DSGB alter Fassung. Dennoch hat die Entscheidung auch Auswirkungen auf ein zulässiges Handeln nach der DSGVO und dort Art. 6.. Danach muss eine solche Maßnahme schon im konkreten Fall mit konkreten Zwecken begründet werden. Im durch das Gericht zu bewertenden Fall konnte die Inhaberin der Zahnarztpraxis nicht darlegen, warum und zu welchen Gründen bzw. Zwecken die Videoüberwachung erfolgte.
https://www.bverwg.de/de/pm/2019/22
von Rolf Albrecht | 18.03.2019
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat eine Orientierungshilfe zum Thema“ Videoüberwachung durch öffentliche Stellen“ veröffentlicht, die Anhaltspunkte für die rechtskonforme Verwendung bietet.
https://www.baden-wuerttemberg.datenschutz.de/videoueberwachung-durch-oeffentliche-stellen/
Auswirkungen des Brexit auf datenschutzrechtliche Verantwortlichkeiten
von Rolf Albrecht | 16.03.2019
Die Datenschutzkonferenz informiert dazu einer aktuellen Veröffentlichung, da auch vertragliche Verbindungen nach Groß Britannien bei einem Brexit rechtliche Folgen im Bereich des Datenschutzes auslösen können.
https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Brexit/Brexit.html
von Rolf Albrecht | 14.03.2019
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat einen veröffentlicht aktualisierten Ratgeber zum Thema „Beschäftigtendatenschutz“ veröffentlicht, der für Verantwortliche Tipps für den richtigen und damit datenschutzkonformen Umgang mit personenbezogen Daten im Unternehmen enthält.
Datenschutzkonferenz veröffentlicht Kurzpapier zur „Einwilligung nach DSGVO“
von Rolf Albrecht | 06.03.2019
In dem Kurzpapier Nr.20 werden die Anforderungen an die Einwilligung als Rechtsgrundlage nach der DSGVO dargestellt. Es dient als Orientierungshilfe für die nicht-öffentlichen Stellen, die Umgang mit personenbezogenen Daten haben. Inhaltlich wird unter anderem auf die Fortgeltung alter Einwilligungen Bezug genommen und die Datenschutzkonferenz äußert sich auch zur Frage des Kopplungsverbot bei Einholung der Einwilligung.
Das Kurzpapier kann hier heruntergeladen werden:
von Rolf Albrecht | 27.02.2019
Dort enthalten sind Angaben zum Thema Datenschutzrecht bei diesem Vorgang.
Abrufbar ist das Dokument z.B. über den folgenden Link:
https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Einsatz-von-Bodycams/Einsatz-von-Bodycams.html
Rechtsanwalt Volke wieder Referent bei den SEC-COM Wissensimpulsen
von Rolf Albrecht | 22.02.2019
Auch im Jahr 2019 ist Rechtsanwalt Volke wieder Referent bei den SEC-COM Wissensimpulsen der Firma SEC-COM Sicherheits- und Kommunikationstechnik GmbH. Sie erwarten spnnende Themen unter anderem zum Thema Datenschutzrecht. Mehr Infos und Anmeldemöglichkeiten finden Sie hier:
https://www.sec-com.de/sec-wissensimpulse/
von Rolf Albrecht | 12.02.2019
Das Recht auf Auskunft ist ein Recht, dass im Datenschutzrecht schon immer eine wichtige Rolle spielt.
Nicht erst seit dem 25. Mai 2018 wird dieses Recht durch die sog. „betroffenen Personen“ genutzt, um Auskunft zu personenbezogenen Daten zu erhalten.
Tipps wie mit einem elektronischen Auskunftsersuchen umzugehen ist und wie die Identität des Anfragenden geklärt werden kann, gibt der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in einer aktuellen Veröffentlichung
von Rolf Albrecht | 25.01.2019
So das Gericht in einer aktuell veröffentlichten Entscheidung (Urteil vom 18. Januar 2019, Az.: 36 O 48/18). Dort wurde unter anderem der Verstoß gegen die DSGVO über das Wettbewerbsrecht geltend gemacht, dass beklagte Unternehmen, dass Medikamente über Amazon vertreibt, auch Vorgänge der Speicherung und Verarbeitung von gesundheitsbezogenen Daten vornehmen und dazu keine Einwilligung vorliege. Das Gericht sieht keine Sanktionsmöglichkeit über das UWG, da es an der Klagebefugnis fehle.
Wenn die Nachfrage bei einer Aufsichtsbehörde ein Bußgeld verursacht
von Rolf Albrecht | 21.01.2019
So geschehen in einem Fall, über den aktuelle heise online berichtet. Ein Unternehmen hatte bei einer Aufsichtsbehörde nachgefragt, ob mit einem Dienstleister eine Vertrag zur Auftragsverarbeitung zu schließen sei. Die Aufsichtsbehörde am Sitz des Dienstleisters bejahte dies und verwies wohl auch darauf, dass beide Vertragsparteien dafür verantwortlich seien. Nunmehr wurde ein Bußgeld durch die Aufsichtsbehörde am Sitz des fragenden Unternehmens verhangen, da kein Vertrag geschlossen wurde. Weitere Angaben zu dem etwas „kuriosen“ Fall finden Sie hier:
Umsetzungshilfe für NRW-Unternehmen zu Informationspflichten nach der DSGVO
von Rolf Albrecht | 18.01.2019
Diese wurde aktuell von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen veröffentlicht und soll Unternehmen eine Hilfestellung bieten.
https://www.ldi.nrw.de/mainmenu_Aktuelles/Inhalt/Informationspflichten-nach-der-Datenschutz-Grundverordnung/Informationspflichten-nach-der-Datenschutz-Grundverordnung.html
von Rolf Albrecht | 15.01.2019
Egal wieder Brexit ablaufen wird: Datenschutzrechtlich muss die verantwortliche Stelle berücksichtigen, dass ein Drittland nunmehr im Rahmen der Datenverarbeitung betroffen ist. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz gibt Tipps zur Vorbereitung.
https://www.datenschutz.rlp.de/de/aktuelles/detail/news/detail/News/brexit-drittland-ueber-nacht
Aktualisiertes Kurzpapier zur „Videoüberwachung nach der DSVGO durch Datenschutzkonferenz veröffentlicht
von Rolf Albrecht | 28.12.2018
Dieses (Stand: 17.12.2018) dient Verantwortlichen als erste Orientierungshilfe in puncto Videoüberwachung und Datenschutzrecht.
https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_15.pdf
von Rolf Albrecht | 19.12.2018
Nach Ansicht des Generalanwaltes beim EUGH in dem Verfahren C-40/17 muss der Betreiber der Internetseite, der den Like-Button einbindet, den Nutzer vor der Erhebung und Übermittlung von Daten, die über den Like Button an das Network übertragen werden, über diesen Vorgang informieren und ggf., sofern erforderlich, eine Einwilligung im Sinne des Datenschutzrechtes einholen. Für die Vorgänge, zu denen der Internetseitenbetreiber einen Beitrag leistet, wird er zudem aus Sicht des Generalanwaltes gemeinsam Verantwortlicher und hat daher entsprechende Pflichten. Für die Einbindung des Like-Button, so der Generalanwalt, seien der Internetseiten Verantwortlicher und daher gemeinsam mit Facebook verantwortlich, da er die Phasen der Erhebung und Übermittlung von personenbezogenen Daten dadurch eingeleitet habe. Der EUGH muss noch abschließend entscheiden, nach dem ihm unter anderem diese Frage durch den Bundesgerichtshof (BGH) vorgelegt worden war. In den meisten Fällen in der Vergangenheit ist der EUGH aber der Ansicht des Generalanwaltes gefolgt.
Zugleich teilt die Behörde mit, welchen Informationen nach Ihrer Ansicht zwingend auf dem Schild enthalten sein müssen, um den Vorgaben der DSGVO zu genügen.
Schließlich werden noch Hinweise und Tipps für die korrekte Anwendung des Instrumentes der Videoüberwachung gegeben.
Orientierungshilfe zu Whistleblowing-Hotlines und Datenschutzrecht veröffentlicht
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat eine sehr informative Zusammenstellung vorgenommen, um die bestehenden rechtlichen Besonderheiten und Probleme unter Berücksichtigung der DSGVO und des § 26 BDSG-neu im Rahmen des Beschäftigtendatenschutzes zu „beleuchten“.
https://www.baden-wuerttemberg.datenschutz.de/orientierungshilfe-zu-whistleblowing-hotlines/
von Rolf Albrecht | 08.11.2018
Diese Hilfe, entwickelt durch die Datenschutzkonferenz, zeigt Unternehmen nochmals auf, ob und wie Prozesse abgepasst werden sollten, um rechtliche Risiken zu vermeiden oder zu minimieren, die die DSGVO begründen kann.
Die Ablehnung der Behandlung von Patienten, die die Kenntnisnahme von Informationen zum Datenschutz nicht bestätigen, ist mit DSGVO nicht vereinbar
von Rolf Albrecht | 14.09.2018
Darauf weist die Datenschutzkonferenz hin. Nach Ansicht der Zusammenkunft der deutschen Aufsichtsbehörden für den Datenschutz reicht z.B. der Vermerk in den Akten aus, dass der Patient die Informationen erhalten hat. Ein Gegenzeichnen ist nicht erforderlich.
https://www.datenschutz-berlin.de/pdf/publikationen/DSK/2018/2018-DSK-Ablehnung_Behandlung_Aerzte_ohne_Unterschrift.pdf
Datenschutzkonferenz erneuert Hinweise: Betrieb einer Facebook Fanpage ohne Vertrag mit Facebook verstößt gegen Datenschutzrecht
von Rolf Albrecht | 11.09.2018
Nach Ansicht der Zusammenkunft der deutschen Aufsichtsbehörden für den Datenschutz muss eine Vereinbarung nach Art. 26 DSGVO durch den Betreiber der Fanpage und Facebook geschlossen werden. Diese Vereinbarung muss die Verantwortlichkeiten von beiden im Sinne der DSGVO „Verantwortlichen“ regeln. Welchen Inhalt eine solche Vereinbarung haben muss, können alle Betreiber aus einem Fragenkatalog entnehmen, den die Datenschutzkonferenz veröffentlicht hat. Aktuell liegt von Seiten Facebook ein Entwurf einer Vereinbarung noch nicht vor. Eine Vereinbarung auf individueller Basis ist aussichtslos. Bis eine Vereinbarung geschlossen wird, setzen sich Unternehmen, die eine Fanpage-Betreiber, durchaus der Gefahr von aufsichtsrechtlichen Maßnahmen der Abmahnungen durch Wettbewerber aus.
Veröffentlichung von Fotos durch Vereine – Was gilt es nach der DSGVO zu beachten
von Rolf Albrecht | 04.09.2018
Dazu hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg aktuell am 29. August 2018 aktuelle FAQ veröffentlicht.
Fotos und die DSGVO – Was gilt es zu beachten
von Rolf Albrecht | 31.08.2018
Bieten Sie Waren oder Dienstleistungen über eine Internetseite in verschiedenen Ländern auch unter Nutzung der Landessprache an?
von Rolf Albrecht | 29.08.2018
Dann müssen Sie die Informationen zur Datenverarbeitung auch in der jeweiligen Landessprache zur Verfügung stellen und entsprechend auch die Auskunftsersuchen erfüllen. Darauf weist das Bayerisches Landesamt für Datenschutzaufsicht in einer Veröffentlichung vom 19. Juli 2018 hin.
Datenschutz – WhatsApp im Unternehmen
von Rolf Albrecht | 30.07.2018
Nach der verbindlichen Umsetzung der DSGVO zum 25. Mai 2018 beschäftigt viele Unternehmen auch die Frage, ob ein Einsatz von WhatsApp für Unternehmen datenschutzkonform möglich ist oder nicht. Ein Merkblatt dazu hat Landesbeauftragte für Datenschutz Niedersachen aktuell, im Monat Juli 2018, veröffentlicht. Dieses Merkblatt gibt dazu auch rechtliche Ansichten wieder, die aber keine Prüfung im Einzelfall durch Unternehmen ersetzen.
Datenschutzkonferenz veröffentlicht sog. Postivliste zu Zwang von Datenschutzfolgeabschätzungen
von Rolf Albrecht | 27.07.2018
Die Liste deckt sich im Wesentlichen mit der Liste, die einzelnen Länderaufsichtsbehörden bereits veröffentlicht hatten. Die Besonderheit durch die jetzt veröffentlichte Liste der Datenschutzkonferenz ist, dass diese als Ausschuss alle Aufsichtsbehörden für Datenschutz der Bundesländer und des Bundes vereint und daher die Liste als verbindlich angesehen werden sollte.
Die Liste ist hier z.B. abrufbar (Achtung: Es öffnet sich ein .pdf. Dokument):
Steuerberatung und Datenverarbeitung
von Rolf Albrecht | 23.07.2018
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat aktuell Hinweise zur Datenverarbeitung im Rahmen der Steuerberatung unter Anwendung der DSGBO veröffentlicht. Wichtig ist dies vor allem für verantwortliche Stellen in NRW, da z.B. für die reine Lohn-und Gehaltsabrechnung durch Steuerberater eine Auftragsverarbeitung für erforderlich gehalten wird.
Datenschutzrecht und Pflege
Auch für Pflegedienste und Pflegeeinrichtungen ist das Thema Datenschutzrecht ein wichtiges Thema. Neben dem Umgang mit Beschäftigtendaten ist vor allem der Schutz der personenbezogenen Daten der betreuten Personen von immenser Wichtigkeit. Hintergrund ist, dass vor allem besondere Kategorien von personenbezogenen Daten verarbeitet werden. Hier greift dann Art. 9 DSGVO ein, da insbesondere Gesundheitsdaten vorliegen.
Umso wichtiger ist die richtige und umfassende Anwendung des geltenden Datenschutzrechts.
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg hat dazu aktuell eine Liste mit wichtigen Fragen und Antworten (sog. FAQ) zur Orientierung veröffentlicht.
Die Auskunftsansprüche nach der DSGVO
von Claus Volke | 20.06.2018
Betroffene Personen, also die, deren Daten verarbeitet werden, können ein umfangreiches Auskunftsrecht gegenüber dem Verantworten geltend machen (Art. 15 DSGVO). Sie haben das Recht, von den Verantwortlichen eine Bestätigung mit der Auskunft darüber verlangen zu können, ob und wie die Daten verarbeiten werden. Wenn dies zutrifft, stehen der betroffenen Person dann umfangreiche Auskünfte über diese personenbezogenen Daten zu. Es wird zudem davon auszugehen sein, dass der Verantwortliche hierzu eine Kopie aller der in Art 15 Abs. 1 DSGVO aufgeführten Daten der betroffenen Person zur Verfügung stellen muss. Dies sind:
Der Verantwortliche muss der betroffenen Person eine Kopie seiner konkreten personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche von der betroffenen Person hingegen ein angemessenes Entgelt auf der Grundlage der tatsächlich auch angefallenen Verwaltungskosten verlangen.
Stellt die betroffene Person den Antrag auf Auskunft bei dem Verantwortlichen in elektronischer Form, so sind ihm die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt. Schließlich darf jedoch das Recht auf Erhalt einer solchen Kopie gemäß Art. 15 Abs. 3 DSGVO nicht die Rechte und Freiheiten anderer Personen beeinträchtigen.
Der Verantwortliche muss der betroffenen Person dabei alle Informationen über die aufgrund des Auskunftsantrags gemäß Art. 15 DSGVO ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung stellen. Diese Frist kann jedoch um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.
Der Verantwortliche muss dann aber die betroffene Person innerhalb des ersten Monats nach Eingang des Antrags über eine Fristverlängerung informieren und zwar zusammen mit der Angabe der Gründe für die konkrete Verzögerung. Stellt die betroffene Person den Auskunftsantrag elektronisch, so ist sie nach Möglichkeit auch auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.
Wenn und soweit die Unternehmen hier bei der Umsetzung der gesetzlichen Vorgabe der DSGVO auch ein entsprechendes Daten- und Informationsmanagementsystem installiert haben, stellen solche Auskünfte kein Problem dar. Ist dies nicht der Fall, kann es auch hier zu Problemen kommen, denn es ist nicht auszuschließen, dass, z.B. aufgrund einer öffentlich zugänglichen Mitteilung, gleich mehrere betroffene Personen ein solches Auskunftsbegehren geltend machen. Aber auch aus Gründen der Nach- und Beweisbarkeit in möglichen Klageverfahren macht ein entsprechendes fundiertes System Sinn.
Schadensersatzrisiken für Unternehmen steigen extrem an
von Claus Volke | 12.06.2018
Viele Unternehmerinnen und Unternehmer sind durch die neuen extrem hohen Bußgelder der neuen DSGVO verunsichert und übersehen dadurch nicht selten, dass insbesondere auch das Risiko möglicher Schadensersatzansprüche ebenfalls sehr gestiegen ist. Das könnte sich als fataler Fehler und als kaum noch überschaubares Risiko für die Unternehmen entwickeln.
Nicht nur, dass potenzielle Kläger auch einen Ersatz für immaterielle Schäden fordern können ist insbesondere die nun wohl sehr viel ungünstigere Beweislast ein wichtiges und unbedingt zu berücksichtigendes Aufgabenfeld. Daneben sollte auch bedacht werden, dass es nun auch Verbraucheranwälten und Arbeitnehmervertretern möglich ist, durch z.B. Sammelklagen auch eigentlich jeweils nur kleinere Ansprüche insgesamt durchzusetzen. Die Summe der dann von den Unternehmen zu zahlenden Gesamtansprüche kann jedoch schnell sehr hoch sein.
Diese Risiken sollten vermeiden werden und dafür ist es dringend erforderlich, dass bereits im Vorfeld, also bei der gesamten tatsächlichen, technischen und rechtlichen Prüfung aller datenschutzrechtliche relevanten Prozesse im eigenen Unternehmen und bei dann ggf. erforderlichen Neustrukturierungen und Dokumentationen diese Aufgaben vollumfänglich mit berücksichtigt werden.
Gemäß Art. 82 Abs. 1 DSGVO kann jeder Verstoß gegen die Verordnung einen Schadensersatzanspruch durch die betroffene Person begründen. Bereits hier ist größte Vorsicht geboten, denn neben den eigentlichen Verstößen gegen die „Regeln“ der DSGVO sind hier wohl auch Verstöße gegen z.B. die Informationspflichten, die Dokumentationspflichten oder auch Löschungspflichten als Anspruchsgrundlage ebenfalls heranziehbar. Allein dies macht deutlich, wie weit die bei der Umsetzung der Vorgaben der DSGVO zu beachtenden Grundsätze auch insbesondere in diesen Risikobereich mit hineinspielen können.
Bislang war es so, dass grundsätzlich der Anspruchsteller selbst erst einmal etwaige Verstöße gegen datenschutzrechtliche Vorgaben darlegen und beweisen musste, was vielen Personen die Geltendmachung in der Vergangenheit erheblich erschwerten und den Unternehmen große Vorteile bot.
Die DSGVO hat nun jedoch die sog. „Rechenschaftspflicht“ eingeführt, was in der Praxis nun wohl zu einer Beweislastumkehr führen könnte, die dann erhebliche Auswirkungen für die Unternehmen mit sich bringen.
Der Verantwortliche muss nun gemäß Art. 5 Abs. 2 und Art 24 Abs. 1 DSGVO nachweisen können, dass er alle Vorgaben der Verordnung eingehalten hat. Daraus wird in Fachkreisen aktuell geschlossen, dass somit wohl auch eine Beweislastumkehr gefordert wird, die dann dazu führen könnte, dass Unternehmen also praktisch die gesamten datenschutzrechtlichen Prozesse umfassend dokumentiert jederzeit vorlegen können müssen. Aus diesen muss dann möglichst zweifelsfrei nachweisbar sein, dass die Vorgaben eingehalten wurden. Insofern können also Fehler oder Unzulänglichkeiten bei der Gestaltung der Prozesse im Nachhinein zu katastrophalen Folgen führen, wenn z.B. mehrere betroffene Personen Schadenersatzansprüche geltend machen. Es wird in diesem Zusammenhang sogar die Ansicht vertreten, dass sogar datenschutzrechtliche Zertifizierungen oder auch z.B. entsprechende Audits alleine u.U. nicht ausreichend sein sollen.
Ob eine solche harte Umkehr von der grundsätzlichen Beweislast durch die Gerichte bestätigt wird, ist noch offen. Dennoch sollten die Unternehmen zur präventiven Risikovermeidung durch eine schnelle und umfassende Anpassung der eigenen Prozesse darauf vorbereitet sein, denn diese weite Auslegung der Rechenschaftspflicht erscheint nicht unwahrscheinlich.
Nur der Ordnung halber muss auch in diesem Kontext darauf hingewiesen werden, dass als Anspruchsgegner für Schadensersatzansprüche nicht nur der Verantwortliche selbst, sondern auch dessen Auftragsverarbeiter in Betracht kommt. Hierdurch wird in der Praxis der mögliche Kreis von Anspruchsgegner tatsächlich und rechtlich erheblich vergrößert. Zudem gilt dann: Kann ein Verstoß dem Verantwortlichen und dem Auftragsverarbeiter zugerechnet werden, haften nun sogar beide gegenüber der betroffenen Person als sog. Gesamtschuldner auf den vollen Schadensersatz (siehe auch Art. 82 Abs. 4 DSGVO).
Ersatz von materiellen und immateriellen Schäden
Im Gegensatz zum Bundesdatenschutzgesetz (BDSG) gibt die DSGVO den betroffenen Personen nun die Möglichkeit materielle und sogar immaterielle Schäden (z.B. wegen einer Verletzung des allg. Persönlichkeitsrechts) geltend zu machen.
Der Verletzer muss Schadensersatz für alle zurechenbare Nachteile leisten, die die geschädigte Person an rechtlichen geschützten Gütern erleiden musste. Hier sind neben den eigentlichen Schäden z.B. auch der entgangene Gewinn, aber auch alle unmittelbaren, mittelbaren, schon aktuellen oder erst zukünftigen Einbußen mit umfasst. Wichtig ist auch, dass dies nicht nur bei Schäden der unmittelbar betroffenen Personen, sondern auch bei den Schäden von nur mittelbar betroffenen in Betracht kommt.
Während die materiellen Schäden in der Praxis eher weniger von Bedeutung sein werden, stellt die nun neu eingefügte Möglichkeit zur Geltendmachung von immateriellen Schäden ein von den Unternehmen dringend zu beachtendes und präventiv zu berücksichtigendes Risiko dar.
Die betroffene Person kann ihre Beeinträchtigungen ihres Rechts auf Schutz ihrer sie betreffenden personenbezogenen Daten und damit auch eine mögliche Verletzung ihres Grundrechts auf informationelle Selbstbestimmung geltend machen.
Noch herrscht Unklarheit darüber, wie hoch ein solcher Ersatzanspruch sein kann. Dies ist noch nicht abschließend geklärt, dennoch kann und muss man davon ausgehen, dass die Gerichte dabei die gesamten Handlungen der Unternehmen zur Erreichung der eigenen datenschutzrechtlichen Schutzziele und die gesamten Aktivitäten bei der Umsetzung der Vorgaben der DSGVO mit berücksichtigen werden, wenn es um die Bewertung und Bemessung der Höhe gehen wird. Jedes Unternehmen, das bereits hier Defizite hat, wird dann ggf. von diesen im Rahmen jedes geltend gemachten Schadensersatzanspruchs betroffener Personen unsanft „eingeholt“.
Die Unternehmen (und Vereine) müssen die gesamten Vorgaben der DSGVO beachten und umsetzen. Diese Verpflichtungen treffen sie nicht nur im Außenverhältnis, sondern insbesondere auch im Innenverhältnis zu den eigene Mitarbeiterinnen und Mitarbeiter („Beschäftigtendatenschutz“).
Es empfiehlt sich daher nicht nur in Bezug auf drohende Abmahnungen, Klagen oder Bußgelder, sondern insbesondere auch im Hinblick auf mögliche Schadensersatzansprüche von betroffenen Personen (oder Mitarbeiterinnen und Mitarbeiter) diese Aufgaben auch aus dieser Sicht heraus sehr ernst zu nehmen und eine entsprechend lückenlose Dokumentation so vorzuhalten, dass diese jederzeit zum Nachweis des eigenen rechtmäßigen Handelns vorgelegt werden kann.
Es gilt hier insbesondere auch zu bedenken, dass es auch zur Geltendmachung gleich mehrerer Hundert oder sogar Tausender Ansprüche durch jeweils betroffene Personen kommen kann, wenn und soweit sich z.B. eine Verletzung auf eine Vielzahl von Kunden (Mitglieder) oder Mitarbeiterinnen und Mitarbeiter auswirken kann. Dies ist bei der heute in der Regel anzutreffenden umfangreichen Datenverarbeitung nicht selten der Fall.
Das Bundesverfassungsgericht nimmt die Verfassungsbeschwerde gegen die Vorratsdatenspeicherung an
von Claus Volke | 29.05.2018
Das Bundesverfassungsgericht hat die Verfassungsbeschwerde (Az. 1 BvR 2683/16) angenommen, die u.a. insbesondere auch von dem „Arbeitskreis gegen Vorratsdatenspeicherung“ gegen das deutsche Gesetz zur anlasslosen Vorratsdatenspeicherung erhoben worden war. Hierzu wurden bereits bei der Einlegung der Beschwerde dem Gericht mehr als 29 000 Unterschriften überreicht.
Seit dem 01.07.2017 sind die Kommunikationsanbieter dazu verpflichtet, von all ihren Kunden die Standortdaten, Zeitpunkt und Dauer von Telefongesprächen, IP-Adressen und SMS-Daten auf Vorrat zu speichern. Allerdings hatte die Bundesnetzagentur nach einem Urteil des Oberverwaltungsgerichts NRW nur wenige Tage vor dem Tag des Inkrafttretens die Vorratsdatenspeicherung eigentlich faktisch bereits schon ausgesetzt und erklärt, dass Anbieter keine Strafen bekommen, wenn sie Daten entgegen der gesetzlichen Vorgaben doch nicht speichern würden. Es bleibt daher abzuwarten, wie die Praxis darauf reagieren und das höchste deutsche Gericht hier abschließend entscheiden wird.
Im Datenschutzrecht gilt ein sehr besonderes und im gesamten deutschen Recht selten anzutreffendes Prinzip des „Verbots mit Erlaubnisvorbehalts“. Grundsätzlich ist es eigentlich immer so, dass man alles machen kann, solange es nicht verboten ist. Im Datenschutzrecht ist es jedoch genau anders herum: Man darf nichts, es sei denn, es ist erlaubt.
Und um die Anforderungen noch höher anzusiedeln, muss im Datenschutzrecht nun auch noch die Rechenschaftspflicht berücksichtig werden, das heißt, die Verantwortlichen müssen nicht nur die gesetzlichen Vorgaben vollumfänglich einhalten, sondern diese Einhaltung auch jederzeit auf Nachfrage nachweisen können.
Dies hat für die Unternehmen erhebliche Auswirkungen auf deren Umgang mit personenbezogenen Daten im internen und externen unternehmerischen Handeln. Das Prinzip gibt vor, dass niemand mit personenbezogenen Daten anderer umgehend darf, d.h. diese erheben, speichern oderweitergeben darf, wenn er nicht z.B. über eine konkrete Einwilligung verfügt, eine gesetzliche Grundlage ihn dazu ermächtigt und/oder verpflichtet, er die Daten aufgrund eines Vertrags mit dem Betroffen erhalten hat (inkl. vorvertraglichen Handlungen) oder er sie zur Wahrung berechtigter Interessen benötigt. Dies sind die 4 wichtigsten Rechtfertigungsmöglichkeiten, die das Gesetz normiert. Bereits hier ist jedoch größte Vorsicht geboten, denn, wie schon angedeutet, sind hierzu nicht nur alle gesetzlichen Vorgaben jeweils vollumfänglich einzuhalten, sondern deren Einhaltung muss auch praktisch jederzeit durch die Unternehmen z.B. gegenüber den Aufsichtsbehörden tatsächlich auch nachgewiesen werden können.
Des Weiteren ist bei den Gründen aus der Einwilligung, eines Vertrags (oder bei der Erfüllung vorvertraglicher Pflichten) oder auch bei einer Interessenabwägung immer zuerst vorher ein konkreter Zweck der jeweiligen Datenerhebungen und -verarbeitungen genau festzulegen. In der weiteren Folge dürfen die personenbezogenen Daten dann auch ausschließlich für diese jeweilige konkrete Zweck verwendet werden.
Allein schon die legitime Festlegung eines solchen Zweckes für praktisch jedes personenbezogene Datum. stellt in der Praxis, insbesondere auch bei größeren und umfangreichen Datensammlungen und umfangreichen Prozessen und Verfahren in den Unternehmen, eine enorme Hürde dar.
von Claus Volke | 21.03.2018
Unabhängig davon, ob ein interner oder ein externer Datenschutzbeauftragter bestellt wurde, hat ein solcher umfangreiche Aufgaben zur Kontrolle und als Unterstützung der Geschäftsleitungen (oder auch Vereinsvorständen)
Art. 39 Abs. 1 DS-GVO normiert im Wesentlichen folgende Aufgaben für einen Datenschutzbeauftragten:
Unterrichtung und Beratung der jeweiligen Verantwortlichen und der Beschäftigen hinsichtlich aller ihrer Pflichten aus dem Datenschutzrecht
Die kontinuierliche Überwachung der Einhaltung aller gesetzlichen Vorschriften des Datenschutzrechts
Die Anlaufstelle für die Aufsichtsbehörde in allen Fragen, die mit der Verarbeitung der personenbezogenen Daten in Zusammenhang stehen
Beratung betroffener Personen gemäß Art. 38 Abs. 4 DS-GVO

References: § 38
 EuGH

 Art.91
 Art.26
 § 6
 Art. 6
 EUGH 
 EUGH 
 EUGH 
 § 26
 Art. 26
 Art. 9
 Art. 15
 Art. 15
 Art. 82
 Art. 5
 Art. 82

Art. 39
 Art. 38