Source: https://www.data-protection-officer-fboede.de/category/uncategorized/
Timestamp: 2020-08-12 06:00:30+00:00

Document:
Uncategorized Archive - Data Protection Officer - Falk Boede
info@dpo-fboede.de
03529 5289749
Angebot für Vereine, soziale Einrichtungen und Kirchen
Foto. https:// pixabay.com | kostenfrei zur Verfügung
Datenschutzverstöße (Art 33 und 34 DSGVO)
Bei „Verletzungen des Schutzes personenbezogener Daten„
Unverzügliche Benachrichtigung der zuständigen Aufsichtsbehörde
innerhalb von 72 Stunden nachdem die Verletzung bekannt wurde
es sei denn, dass die Verletzung nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt
Definition „Verletzung des Schutzes personenbezogener Daten“ in Art. 4 Nr. 12 DSGVO
Anforderung an die Anzeige einer Datenpanne (Inhalt der Meldung)
Was genau ist zu melden? Art. 33 Abs. 3 DSGVO
Verpflichtung des Verantwortlichen zur umfassenden Dokumentation der Datenpanne, ihrer Auswirkung sowie der nach der Panne ergriffenen Maßnahmen
bei verstoß gegen die Meldepflicht droht ein Bußgeld
10 Millionen Euro oder 2% des weltweit erziehlten Jahresumsatzes (Art. 83 Abs. 4 lit. (a) DSGVO)
Bei “ Verletzung des Schutzes personenbezogener Daten„
Benachrichtigung der von der Datenpanne Betroffenen (Art. 34 Abs. 1 DSGVO)
wenn Datenpannen mit hohem Risiko für den/die Betroffenen verbunden ist
in klarer eund einfacher Sprache
Unverhältnismäßigkeit der individuellen Benachrichtigung bei einer großen Zahl von Betroffenen
in diesem Fall: Öffentliche Bekanntmachung
Foto ©: https://pixbay.com | zur freien Verfügung
1970: Das Hessische Datenschutzgesetz (1. Datenschutzgesetz weltweit)
1978: Inkrafttreten des Bundesdatenschutzgesetz (BDSG)
1983: Volkszählungsurteil des Bundesverfassungsgerichts (Geburtsstunde des Datenschutzes)
Volkszählungsurteil des Bundesverfassungsgerichts I
Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus.“
„Dieser Schutz ist daher von dem Grundrecht des Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG umfasst.“
Volkszählungsurteil des Bundesverfassungsgerichts II Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art.1 Abs. 1 GG)
„Gewährleistung insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.“
Einführung und Entwicklung des Datenschutzrechts II
1978: Inkrafttreten Bundesdatenschutzgesetz (BDSG)
1983: Volkszählungsurteil des Bundesverfassungsgerichts (Geburtsstunde des Datenschutz)
Folge: Weitreichende Veränderung der Gesetzgebung und Novellierung des BDSG
Europa- & verfassungsrechtliche Grundlagen
Deutschland: Verfassungsrechtlich garantiertes recht auf informatielle Selbstbestimmung
(Art. 2 Abs. 1 i.V.m. Art 1Abs. 1 GG)
Europäisches Grundgesetz auf Datenschutz
(Art. der Charta der Grundrechte der Europäischen Union)
1995: Europäische Datenschutzrichtlinie RL95/46/EG
2018: Unmittelbare Anwendung der DSGVO und Inkrafttreten des BDSG-NEU
Begriff kann unterschiedlich definiert werden
Hier: Schutz des sogenannten Datensubjekts in seinen Rechten
Jeder Mensch aus „Fleisch und Blut“ (z.B. nicht reine Unternehmensdaten)
Europäisches Grundrecht auf Datenschutz
Schutz des Einzelnen vor einer missbräuchlichen Nutzung seiner personenbezogenen Daten
Verhältnis zwischen Staat und Bürger
Stichwort („gläserner Bürger“)
Verhältnis zwischen Bürgern (auch Unternehmen, Verein, etc.)
BSDG-NEU
Für wen, für was und wo gilt das Datenschutzrecht?
Für wen gilt das neue Datenschutzrecht?
(Art. 3 Abs. 1 DSGVO, § 1 Abs. 4 Nr. 1, 2 BDSG-NEU)
Adressaten der DSGVO (und BDSG-NEU) sind
Verantwortliche (BDSG-NEU: Öffentliche und nichtöffentliche Stellen)
Art. 4 Nr. 7 DSGVO: Diejenige natürliche oder juristische Person, Behörde oder Einrichtung oder jede andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Art. 4 Nr. 8 DSGVO: Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Für was gilt das neue Datenschutzrecht? (Sachlicher Anwendungsbereich, Art. 2 DSGVO, § ! Abs. ! BDSG-NEU)
Ausnahmen: Art. 2 Abs. 2 DSGVO
Tätigkeiten die nicht in den Anwendungsbereich des Unionsrechts fallen (hier gilt das Gesetz der einzelnen Mitgliederstaaten)
Außen- und Sicherheitspolitik der Mitgliederstaaten (z.B.: geheimdienstliche Tätigkeiten)
bei natürlichen Personen zur Ausübung ausschließlich persönlicher oder familieärer Tätigkeiten (sog. „Haushaltsausnahme“)
durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit
Wo gilt das neue Datenschutzrecht? (Räumlicher Anwendungsbereich, Art. 3 DSGVO, § 1 Abs. § BDSG-NEU)
Niederlassungsprinzip Art 3 Abs. 1 DSGVO
Datenverarbeitung im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen oder Auftragverarbeiters in der EU
Dabei ist unerheblich, ob die Verarbeitung in der EU stattfindet oder nicht
Entscheidend: Niederlassung des Verantwortlichen oder Auftragverarbeiters in der EU
Marktortprinzip Art. 3 Abs. 2 DSGVO
Auch für Verantwortliche oder Auftragsverarbeiter außerhalb der EU, wenn
Datenverarbeitung im Zusammenhang mit dem Angebot von Waren und Dienstleistungen an Personen, die sich in der Union befinden
Verhalten betroffener Personen in der EU beobachtet wird
Dokumentation: Verfahrensverzeichnis (Art. 30 DSGVO – Verzeichnis der Verarbeitungstätigkeiten)
Wer muss es führen?
Verantwortliche und auch der Auftragsverarbeiter
verantwortlich: Unternehmensleitung und nicht der betriebliche Datenschutzbeauftragte, an den die Aufgabe jedoch delegiert werden kann
genau geregelt in Art. 30 Abs. 1 lit. (a) bis (g) DSGVO
in der Praxis können mehr Angaben mit aufgenommen werden, um Haftungsrisiken zu minimieren
In welcher Form ist es zu führen?
was aber auch in einem elektronischen Format erfolgen kann
praxiserprobt: Wxel-Tabelle und Papierausdruck
Ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen
die Erstellung des Verzeichnisses für Verarbeitungstätigkeiten ist daher eine der wichtigsten Aufgaben die im Bereich der Dokumentation zu erledigen sind
Ausnahme Art. 30 Abs. 5 DSGVO
für Unternehmen mit weniger als 250 Beschäftigten kaum praxisrelevant
der für die Verarbeitung Verantwortliche haftet für eingetretene Schäden (Art. 82 DSGVO)
mit Beweislastumkehr versehene Verschuldungshaftung
ausdrücklich auch die Verpflichtung zum Ersatz immaterieller Schäden
Haftung für Ordnungswidrigkeiten
zentrales Instrument in der DSGVO
das materielle Datenschutzrecht soll mit „Zähnen“ versehen werden und kein Papiertiger bleiben
Bußgelder und die Zahl der Bußgeldtatbestände werden bemerkenswert erhöht
bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
Sanktioniert werden können nach Art. 83 DSGVO nur Verantwortliche, Auftragsverarbeiter sowie Überwachungs- und Zertifizierungsstellen (Art. 41 und 42 DSGVO)
Konkretisierung durch nationales Recht
§ 41 Abs. 1 BDSG-NEU erklärt hinsichtlich der Fragen des Ordnungswidrigkeitenrechts das OWiG für anwendbar
die Aufsichtsbehörden sind für die Verhängung von Geldbußen zuständig und die Maßstäbe für die Höhe der Buße ergeben sich aus Art. 83 Abs. 2 DSGVO
Effektiver Rechtsschutz wird gewährleistet
Art. 83 Abs. 8 DSGVO, Art. 78 Abs. 1 DSGVO
gerichtliches Vorgehen gegen die Behördenentscheidungen möglich
Weitere Sanktionen gemäß Art. 84 DSGVO
Beispiele von selbstständigen Straftatbeständen im StGB
Abfangen von Daten (§ 202d StGB)
Selbstständige Straftatbestände im BDSG-NEU
Was ein Webseitenbetreiber mit der IP-Adresse eines Nutzes machen darf, lesen unter folgendem Link nach; https://www.dr-datenschutz.de/eugh-website-betreiber-duerfen-ip-adresse-der-besucher-speichern/
Dem dementsprechenden Beitrag zum Thema finden Sie unter folgendem Link; https://www.dr-datenschutz.de/datenschutzmanagement-nach-der-dsgvo-leitfaden-fuer-die-praxis/
Datenschutz-Folgeabschätzung                                                                                  (Art. 35 und 36 DSGVO)
Birgt Datenverarbeitung voraussichtlich hohe Risiken
für die persönlichen Rechte und Freiheiten der davon betroffenen Personen
so muss der Verantwortliche eine Datenschutz-Folgenabschätzung durchführen
Dabei Bewertung von
Eintrittswahrscheinlichkeit und Schwere des möglichen Risikos
Art, Umfang, Umstände, verfolgte Zwecke sowie Ursachen möglicher Risiken für Rechte und Freiheiten betroffner Personen
Dabei Prüfung von
Maßnahmen, Garantien und Verfahren
zur Eindämmung bestehender Risiken
zur Einhaltung der sonstigen Vorgaben der DSGVO
Ergibt DS-FA, dass geplante Verarbeitung tatsächlich hohes Risiko zur Folge hätte
muss der Verantwortliche die zuständige Aufsichtsbehörde zu Rate ziehen
sofern er keine Maßnahmen zur Eindämmung des Risikos trifft
Unterlässt der Verantwortliche DS-FA
Bußgeldrahmen (10 Mio Euro / 2% Jahresumsatz)
Art 83 Abs. 4 lit (a) DSGVO
Folgende Checklisten
Indizien für Erforderlichkeit einer DS-FA
Mindestinhalte der DS-FA nach Art. 35 DSGVO
Dabei risikobasierten Ansatz beachten
je risikobehafteter die Verarbeitung
desto umfassender und genauer ist die DS-FA durchzuführen
Der Datenschutzbeauftragte                                                                                    (Art. 37 bis 39 DSGVO, § 38 BDSG-NEU)
War bisher deutsche Besonderheit
nun europaweit Pflicht zur Benennung in bestimmten Fällen
Beachte Pflichten zur Benennung
nach DSGVO , Art. 37 Abs. 1 DSGVO
nach § 38 Abs. 1 BDSG-NEU
möglich durch Öffnungsklausel: § 38 BDSG-NEU
Bußgeldrahmen (10 Mio Euro / 2 % Jahresumsatz)
wenn der verantwortliche die Benennung eines Datenschutzbeauftragten unterlässt
Art 83 Abs. 4 lit. (a) DSGVO
Pflicht zur Benennung nach DSGVO, Art. 37 Abs. 1 DSGVO
bei Datenverarbeitung durch Behörden oder öffentlichen Stellen grundsätzlich immer!
Ausnahme: Justizielle Tätigkeiten
Verantwortliche und Auftragsverarbeiter, wenn Kerntätigkeit
in Durchführungvon Verarbeitungsvorgängen, die umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erfordern besteht
in umfangreicher Verarbeitung von Daten gem. Art. 9, 10 DSGVO
Daten über starftrechtliche Verurteilungen
Definition „Kerntätigkeit“ nach der Artikel-29-Datenschutzgruppe
„Als Kerntätigkeit lassen sich die wichtigsten Arbeitsabläufe betrachten, die zur Erreichnung der Ziele des Verantwortlichen oder des Auftragverarbeiters erforderlich sind“.
Möglichkeit der weitergehenden Konkretisierung der Benennungspflicht des Datenschutzbeauftragten durch nationales Recht in Art. 37 Abs. 4 DSGVO
Pflicht zur Benennung nach § 38 Abs. 1 BDSG-NEU
wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind
wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden
bei Erforderlichkeit einer Datenschutz-Folgenabschätzung*
*unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen
Prüfung mit Fragenkatalog
Frage1: Sind in Ihrem Unternehmen oder Verein mindestens zehn Personen damit beschäftigt, personenbezogene Daten automatisiert zu verarbeiten?
Liegt schon immer dann vor, wenn jemand am PC, Laptop oder sonstigen EDV-Gerät mit pDaten von Menschen zu tun hat
Dabei ist es unerheblich, ob die Personen für Ihre Tätigkeit bezahlt werden, als auch ehrenamtliche Vereinsmitglieder zählen mit
maßgeblich ist die Zahl der Köpfe, nicht die Zahl der Stellen
Falls ja: Sie müssen auf jeden Fall einen Datenschutzbeauftragten benennen!
diese Verpflichtung ergibt sich in diesem Fall aus § 38 Abs. 1 BDSG-NEU
Frage 2: Verarbeiten Sie in Ihrem Unternehmen oder Verein Daten besonderer Kategorien, also Daten nach Art. 9 oder 10 DSGVO?
Gesundheitsdaten?
Daten aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen?
Daten zum Sexualleben oder zu sexueller Orientierung?
Daten aus den die rassistische oder ethnische Herkunft hervorgeht?
Daten, aus denen die Gewerkschaftszugehörigkeit hervorgeht?
Daten, aus denen politische Meinungen hervorgehen?
Daten über strafrechtliche Verurteilungen oder Straftaten?
Frage 3: Ist die Verarbeitung der in Frage 2 genannten Daten (Daten besonderer Kategorie oder Straftaten/strafrechtliche Verurteilungen) eine Kerntätigkeit Ihres Unternehmens und Vereins?
Falls ja: Sie brauchen einen Datenschutzbeauftragten!
Falls nein: Sie brauchen keinen Datenschutzbeauftragten!
Frage 4: Ist die umfangreiche, regelmäßige und systematische Überwachung von Personen eine Kerntätigkeit Ihresn Unternehmens?
Bedeutung der Frage der Bennengspflicht
Oft übersehen: Alle (anderen) datenschutzrechtlichen Pflichten der DSGVO und des BDSG-NEU treffen Sie unabhängig davon, ob Sie verpflichtet sind, einen Datenschutzbeauftragten zu benennen
Cookie und Webtracking
Ein interessantes Thema für Webseitenbetreiber. Zu Cookies und Webtracking können unterm dem Link https://www.dr-datenschutz.de/cookie-und-webtracking-nur-mit-einwilligung-was-waere-wenn/ so einiges erfahren.

References: Art. 4
 Art. 33
 Art. 2
 Art. 1
 Art.1
 § 1

Art. 4

Art. 4
 Art. 2
 Art. 2
 Art. 3
 § 1
 Art. 3
 Art. 30
 Art. 30
 Art. 83

§ 41
 Art. 83

Art. 83
 Art. 78
 Art. 84
 Art. 35
 § 38
 Art. 37
 § 38
 § 38
 Art. 37
 Art. 9
 Art. 37
 § 38
 § 38
 Art. 9