Source: http://docplayer.org/45249121-Datenschutz-in-der-industrie-4-0-neue-vorgaben-durch-die-europaeische-datenschutzgrundverordnung.html
Timestamp: 2018-12-10 04:48:32+00:00

Document:
Datenschutz in der Industrie 4.0 Neue Vorgaben durch die Europäische Datenschutzgrundverordnung - PDF
Datenschutz in der Industrie 4.0 Neue Vorgaben durch die Europäische Datenschutzgrundverordnung
Download "Datenschutz in der Industrie 4.0 Neue Vorgaben durch die Europäische Datenschutzgrundverordnung"
1 Datenschutz in der Industrie 4.0 Neue Vorgaben durch die Europäische Datenschutzgrundverordnung Kai Hofmann Universität Passau
2 Zur Person Mitarbeiter am Lst. für ÖffR, IT-Recht und Rechtsinformatik Lehrstuhlinhaber: Prof. Dr. Gerrit Hornung, LL.M. Projekte am Lehrstuhl mirkul - Kollaborative Unterstützung von Arbeits- und Lernprozessen im Unternehmen mit mobilen interaktiven Multimedia-Anwendungen MisPel - Multi-Biometriebasierte Forensische Personensuche in Lichtbild- und Videomassendaten - Teilvorhaben Rechtliche Anforderungen SkIDentity Vertrauenswürdige Identitäten für die Cloud Eigene Publikationen/Mitwirkung Mitarbeit Umsetzungsempfehlungen Industrie 4.0 Unternehmensgeheimnisse in unternehmensübergreifenden Netzwerken, InTeR 2014, 210 Folie 2
3 Gliederung Datenschutz und Industrie 4.0 der Reform über wesentliche Regelungsbereiche Moderne DS-Instrumente Folie 3
4 Datenschutz und Industrie 4.0 Primär Austausch von unternehmensbezogenen Daten Generiert von intelligenten Objekten Verarbeitung über Firmengrenzen Anwendungsbereiche des Datenschutzes Mitarbeiterassistenzsysteme Interaktion der Beschäftigten mit der intelligenten Fabrik Kundendaten Informationsschutz im weitesten Sinne Einbeziehung von Unternehmensgeheimnissen Übertragbarkeit datenschutzrechtlicher Prinzipien und Konzepte Folie 4
5 der Reform Datenschutz-RL 95/46/EG, umgesetzt u.a. im BDSG Erster Entwurf 1990 Verabschiedet 1995 Keine adäquaten Lösungen für moderne Phänomene Cloud Computing Internet der Dinge Big Data Keine einheitlichen Regelungen innerhalb der EU Unzureichender räumlicher Anwendungsbereich Enormes Vollzugsdefizit Folie 5
6 Kommissionsentwurf Parlament Berichtsentwurf Änderungsanträge Abstimmung im Innenausschuss Abstimmung im Parlament Rat: anhaltende Diskussionen Trilogverhandlungen ab Sommer 2014 Inkrafttreten wahrscheinlich Folie 6
7 (I) Wechsel zur Verordnung unmittelbare Geltung, kein Umsetzungsakt notwendig Keine individuelle Beschwerde zum BVerfG, stattdessen EGMR Anwendungsbereich Räumlich: Marktortprinzip Sachlich: unklar, ob relativer oder absoluter Personenbezug Grundsätze des Datenschutzes Aufrechterhaltung des Verbotsprinzips Verarbeitung nur für konkrete Zwecke Erforderlichkeitsprinzip Integrität Folie 7
8 (II) Rechtsgrundlagen der Datenverarbeitung Nahezu unverändert, Art. 7 DS-RL nun Art. 6 DS-GVO-E I 4.0: v.a. Einwilligung und Vertrag oder Kollektivvereinbarung Fokussierung auf Informationspflichten Symbolhafte Informationen (Art. 13a) Umfangreiche Informationspflichten (Art. 14) Zuständigkeit der Aufsichtsbehörden (One Stop Shop) DS-RL: Zuständigkeit am Ort der Niederlassung, die Verarbeitung ausführt DS-GOV-E: Nur am Ort der Hauptniederlassung (strittig) Zurückdrängung der Kommission, stattdessen DSA Folie 8
9 (III) Datenschutzbeauftragter Schwelle zur Pflichtbestellung umstritten Anreiz: keine Notwendigkeit vorheriger Konsultation der Aufsichtsbehörde Sanktionen Verschuldensunabhängige Haftung 100 Mio. oder 5 % Umsatz Verschuldensabhängig für Inhaber von DS-Siegeln Folie 9
10 Beispielhafte Verarbeitungssituationen Annahme: Interaktion von Beschäftigten mit vernetzten Gegenständen hinterlassen pers.bez. Daten Unternehmensübergreifende internationale Lieferkette Einbindung von z.b. Zulieferer, Logistikdienstleister, Hersteller,... Standardisierter Datenaustausch zur Abstimmung Echtzeitfähige Steuerung der Lieferkette Auslandsbezug; mehrere/gemeinsam Verantwortliche Folie 10
11 Bsp. 1: Internationale Lieferkette Bisherige Rechtslage Erforderlich für Durchführung des Beschäftigungsverhältnisses Interessenabwägung (str.) Einwilligung (P: Freiwilligkeit) Kollektivvertragliche Regelung DS-GVO-E: Öffnungsklausel Art. 82 Zum Zweck der Erfüllung des Arbeitsvertrages Einwilligung (P: Freiwilligkeit) Kollektivvereinbarung Verantwortlichkeit Wer Zweck und Mittel festsetzt Keine Neuerung Folie 11
12 Datenübermittlung ins Ausland Übernahme der Instrumente von DS-RL und BDSG Angemessenheitsbeschluss der Kommission Standard-Datenschutzklauseln Binding Corporate Rules Individuelle Genehmigung von Vertragsregeln Neu in der DS-GVO-E Parl Datenschutzsiegel für Verantwortlichen UND Empfänger Folie 12
13 Zertifizierung und Siegel Siegel Bisher Ansätze in 9a BDSG Auditierung/Zertifizierung durch das ULD EuroPriSe Konkretisierung durch Parlamentsentwurf Gegenstand: Einklang des s mit DS-GVO-E Umfang: DS-Grundsätze, DS durch Technik, Datensicherheit Zertifizierungsmonopol der Aufsichtsbehörden Möglichkeit (nicht Pflicht), akkreditierte Prüfer einzuschalten 5 Jahre gültig Folie 13
14 Zertifizierung und Siegel (II) Siegel Anreize Privilegierung für Datenübermittlung ins Ausland Garantien für Auftragsdatenverarbeitung Werbeeffekt a) Aber: Keine Möglichkeit der Übererfüllung b) Lediglich Bestätigung der Rechtskonformität Berücksichtigung bei der Verhängung von Geldbußen Kritik/Unklarheit Nur Prüfung von (Auditierung), nicht von Produkten (Zertifizierung) Folie 14
15 Siegel in Wertschöpfungsketten Siegel Siegelvergabe an Beteiligte/Anwärter Anwärter muss gesamtes Auditierungsverfahren durchlaufen Erleichterung der Auditierung beim Einsatz von zertifizierter Software zum Datenaustausch Produktzertifizierung unklar Siegelvergabe an das gesamte Netzwerk Jeder Beteiligte muss grds. selbständig auditiert werden Keine Auditierung eines ganzen Netzwerks möglich Ausnahme evtl. gemeinsame Verantwortung Folie 15
16 Datenschutz durch Technik (I) Technische Absicherung für rechtl. Anforderungen Datenschutz mit, nicht gegen Technik Prinzip: keine technische Möglichkeit kein Verbot notwendig Siegel DS durch Tech Ansätze im BDSG 9 BDSG Datensicherheit Vertraulichkeit, Integrität, Verfügbarkeit, Adressat: verantwortliche Stelle und Auftragsdatenverarbeiter 3a BDSG Datenvermeidung und Datensparsamkeit Vorsorge durch DV-Systemgestaltung Technische Umsetzung: Anonymisierung und Pseudonymisierung Adressat: Hersteller und verantwortliche Stelle Reiner Programmsatz, Nichtbeachtung folgenlos Folie 16
17 Datenschutz durch Technik (II) Siegel DS durch Tech Ansätze in der DS-GVO-E Art. 30 Datensicherheit Wie 9 BDSG Adressat: verantwortliche Stelle und Auftragsdatenverarbeiter Art. 23 Datenschutz durch Technik Fortwährende Selbstprüfung a) Bei Festlegung von Zwecken und Mitteln b) Bei Verarbeitung selbst Adressat: verantwortliche Stelle und Auftragsdatenverarbeiter Umfassender Ansatz von Erhebung bis Löschung ( Life Cycle Management ) Technische Umsetzung des Erforderlichkeitsprinzip Nichteinhaltung bußgeldbewährt Folie 17
18 Datenschutz durch Technik (III) Siegel DS durch Tech Nicht in DS-GVO-E enthalten Anforderungen an Hersteller technischer Systeme Vorgaben zur Ermöglichung anonymer Nutzung Allg. Bestimmung zu Pseudonymisierung und Anonymisierung Nur bei Gesundheitsdaten Sonst nur im Wege der Interessenabwägung zu beachten Folie 18
19 Beispielhafte Verarbeitungssituationen Siegel DS durch Tech Annahme: Interaktion von Beschäftigten mit vernetzten Gegenständen hinterlassen pers.bez. Daten Unternehmensübergreifende internationale Lieferkette Einbindung von z.b. Zulieferer, Logistikdienstleister, Hersteller,... Standardisierter Datenaustausch zur Abstimmung Echtzeitfähige Steuerung der Lieferkette Auslandsbezug; mehrere/gemeinsam Verantwortliche Zustandsbasierte Wartung Umfangreiche Datenerhebung an der jeweiligen Maschine Datenweitergabe an spezialisierten Anbieter/Hersteller Rückmeldung der aktuell notwendigen Wartungsaufgaben Auftragsdatenverarbeitung Folie 19
20 Bsp. 2: Fernwartung, Auftragsdatenverarb. Siegel DS durch Tech Übermittlungsbefugnis erforderlich Auftragsdatenverarbeitung BDSG Schriftliche, umfangreiche Auftragserteilung Weisungsbefugnis des Verantwortlichen P: Konzernunternehmen P: Kontrollbefugnisse des Verantwortlichen Auftragsdatenverarbeitung DS-GVO-E Grundsätzlich wie BDSG Nachweis mittels Siegel statt Kontrollrechte des Verantwortlichen Nachweis über die Einhaltung von Verhaltensregeln EU-weites Konzernprivileg DS-GVO-E Bei angemessenem DS-Niveau (Nachweis mit Verhaltensregeln) Folie 20
21 Selbstregulierung Siegel DS durch Tech Keine Rechtsetzung, nur Verhaltensregeln zur Anwendung der Verordnung Von Verbänden/Aufsichtsbehörden auszuarbeiten Von Aufsichtsbehörden/Kommission anzunehmen Selbstreg. Wirkung Keine Bindung gegenüber den Branchenunternehmen Rechtssicherheit gegenüber Aufsichtsbehörden Konkretisierung der Informationspflichten Nachweisfunktion für Garantien des Auftragsdatenverarbeiters Folie 21
22 Datenschutzfolgenabschätzung Siegel DS durch Tech Zweistufiges Risikoanalyse (Vorfilter) 5000 Betroffene in 12 Monaten Regelmäßige und systematische Beobachtung von Betroffenen Selbstreg. DS-Folgenab. Abschätzung der Folgen für den Betroffenen Beschreibung des s Bewertung hinsichtlich der Erforderlichkeit zur Zweckerreichung Risikoeinschätzung Beschreibung der Abhilfemaßnahmen (Datenschutz durch Technik) Überprüfung alle 2 Jahre Folie 22
23 Data Breach Notification An die Aufsichtsbehörde Jeder Verstoß Keine Beschränkung wie in 42a BDSG Siegel DS durch Tech Selbstreg. DS-Folgenab. Data Breach N. An die Betroffenen Nur bei wahrscheinlicher Beeinträchtigung der Privatsphäre/Interessen des Betroffenen Lässt sich abwenden, wenn vorher technische Sicherheitsvorkehrungen angewendet wurden a) Verschlüsselung b) Pseudonymisierung Folie 23
24 Beschäftigtendatenschutz Siegel DS durch Tech Selbstreg. DS-Folgenab. Data Breach N. Beschäft. DS Öffnungsklausel für die Mitgliedsstaaten Aber: im Einklang mit den Regelungen Reichweite der Öffnungsklausel unklar Mindestanforderungen in Art. 82 Abs. 1c DS-GVO-E (Parl) Profiling Denkbar bei Assistenzsystemen Jedenfalls ein Widerspruchsrecht Bei rechtlicher oder ähnlicher Wirkung a) Nur mit Einwilligung des Betroffenen b) Kollektivvereinbarung nicht ausreichend Folie 24
25 Datenschutz in der Industrie 4.0 Neue Vorgaben durch die Europäische Datenschutzgrundverordnung Kai Hofmann Folie 25
Wesentliche Neuerungen im EU- Datenschutzrecht
Rechtliche Herausforderungen / Rahmenbedingungen Wesentliche Neuerungen im EU- Datenschutzrecht Gérard LOMMEL, Regierungskommissar für Datenschutz bei der staatlichen Verwaltung Staatsministerium Luxemburg
Neuerungen durch die Europäische Datenschutz-Grundverordnung
Neuerungen durch die Europäische Datenschutz-Grundverordnung Am 14. April 2016 hat das Europäische Parlament das neue Europäische Datenschutzrecht (sog. Datenschutz- Grundverordnung DS-GVO) verabschiedet.
Anpassung des deutschen Datenschutzrechts nach der Verabschiedung der DSGVO
Datenschutztag 2016 am 20. September 2016, Köln Anpassung des deutschen Datenschutzrechts nach der Verabschiedung der DSGVO Michael Will, Leiter des Sachgebiets Datenschutz und Behördlicher Datenschutzbeauftragter
Überblick über die Neuerungen mit Checkliste
Überblick über die Neuerungen mit Checkliste I. Wesentliche Neuerungen der Europäischen Datenschutzgrundverordnung (DS-GVO) 1. Räumlicher Anwendungsbereich das Marktortprinzip Die DS-GVO stellt für ihre
I. Wesentliche Neuerungen der Europäischen Datenschutzgrundverordnung (DS-GVO)
Modernisierung des Datenschutzes aber richtig!
Modernisierung des Datenschutzes aber richtig! Alexander Roßnagel Datenschutz neu denken! Werkzeuge für einen besseren Datenschutz Sommerakademie 2016 des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein
DAS VERMESSENE ICH WEARABLE COMPUTING AUS DATENSCHUTZRECHTLICHER SICHT
DAS VERMESSENE ICH WEARABLE COMPUTING AUS DATENSCHUTZRECHTLICHER SICHT WEARABLE COMPUTING DEVICES ( WEARABLES ) Computersysteme, die dafür konzipiert sind, im oder am Körper getragen zu werden Integrierte

References: EGMR 
 Art. 7
 Art. 6
 Art. 82
 Art. 30
 Art. 23
 Art. 82