Source: https://www.trialta.de/inbound-marketing-blog/dsgvo-wiki
Timestamp: 2019-09-16 10:10:09+00:00

Document:
Mario Köhler - Donnerstag, 8.3.2018
Informationsrecht, Recht auf Vergessenwerden, Auskunftsrecht, Grundsätze der Datenverarbeitung, Rechtmäßigkeit der Datenverarbeitung, usw. Diese Begriffe und die zugehörigen Gesetzesartikel sind im Kontext der Datenschutz Grundverordnung (DSGVO) ständig zu hören. Doch was versteckt sich hinter diesen Begriffen beziehungsweise was bedeuten die entsprechenden Gesetzesartikel konkret? Wir haben für Sie die wichtigsten Begriffe und Gesetzesartikel in unserem DSGVO Wiki gesammelt und erklären was sich dahinter versteckt.
INFORMATIONSRECHT – ART. 13 UND 14 DSGVO
Laut Art.13, 14 DSGVO gilt bei der Verarbeitung personenbezogener eine strenge Informationspflicht gegenüber den davon Betroffenen, online wird diese durch eine Datenschutzerklärung gewahrt. Noch vor der Erhebung muss der User über sämtliche Aspekte der ihn betreffenden Datenverarbeitung informiert werden. Die verpflichtenden Angaben der Datenschutzerklärung gliedern sich dabei wie folgt:
Berechtigte Interessen (bei Verarbeitung nach Art. 6 DSGVO
Information, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist, damit der Vertragsabschluss zustande kommt und Aufklärung über mögliche Folgen bei Nichtbereitstellung
Information über eine mögliche Zweckänderung der personenbezogenen Datenverarbeitung
User, deren Daten verarbeitet werden verfügen über ein umfassendes Recht auf Information. Nach Art. 15 DSGVO fallen die folgenden Angaben unter das Auskunftsrecht:
Die verschiedenen Kategorien der Daten
Das Recht auf Berichtigung, Löschung und Widerspruch
Die Herkunft der Daten, falls diese nicht beim User selbst erhoben wurden
Die Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen
Sämtliche über ihn erhobene Daten sind als Kopie, üblicherweise per Email, an den User weiterzugeben.
RECHT AUF VERGESSENWERDEN – ART. 17 DSGVO
Personenbezogene Daten müssen nach Art. 17 DSGVO gelöscht werden,
Personenbezogene Daten müssen dann nicht gelöscht werden,
wenn das Recht auf freie Meinungsäußerung bzw. auf die Informationsfreiheit überwiegt
wenn das öffentliche Interesse im Sinne der öffentlichen Gesundheit überwiegt
Achten Sie bei der Erstellung Ihrer Datenschutzerklärung darauf, dass die Löschfristen für die von Ihnen erfassten personenbezogenen Daten angegeben werden. Auf diese Weise vermeiden Sie mögliche Rechtsunsicherheiten im Zweifelsfall. Falls Ihre IT-Abteilung noch keine Prozesse zur Löschung personenbezogener Daten entwickelt hat, besteht nun dringender Handlungsbedarf.
Die Frist zur Umsetzung der DSGVO läuft im Mai 2018 ab. Bis zu diesem Zeitpunkt haben Sie die Gelegenheit Ihre Datenschutzerklärung an die neuen Bedingungen anzupassen. Darin sollte auch eine klare Regelung zum Umgang mit den Daten inaktiver Kunden enthalten sein.
Mehr zum Thema personenbezogene Daten finden Sie auch in unserem Blog:
DSGVO - Was sind personenbetogene Daten
GRUNDSÄTZE DER DATENVERARBEITUNG – ART. 5 ABS. 2 DSGVO
Personenbezogene Daten müssen auf rechtmäßige Weise verarbeitet werden, dabei gilt der Grundsatz von Treu und Glauben. Der Prozess der Datenverarbeitung muss für die davon betroffene Person nachvollziehbar sein.
Die Zwecke der Datenverarbeitung müssen in der Datenschutzerklärung eindeutig festgelegt werden und legitimer Natur sein. Eine über diese Zwecke hinausgehende Verarbeitung der personenbezogenen Daten ist nicht gestattet.
Das Ausmaß der erhobenen Daten, sowie der Umfang deren Verarbeitung muss im klaren Verhältnis zu den zuvor festgelegten Zwecken stehen. Zielvorgabe ist dabei die Minimierung der Datenerhebung auf das für den Zweck nötige Mindestmaß.
Personenbezogene Daten müssen immer auf dem aktuellsten Stand und sachlich richtig sein, damit sie zweckdienlich verarbeitet werden dürfen. Liegen falsche Daten vor, sind unverzüglich alle notwendigen Maßnahmen zu deren Korrektur bzw. zu deren Löschung zu ergreifen.
Personenbezogene Daten dürfen nur für die Dauer der Erfüllung der zuvor festgelegten Zwecke verarbeitet werden. Eine darüberhinausgehende Speicherung oder Verarbeitung ist nicht gestattet.
Bei der Verarbeitung von personenbezogenen Daten sind alle geeigneten technischen und organisatorischen Maßnahmen zu treffen, deren Sicherheit zu gewährleisten.
Für die Einhaltung der genannten Grundsätze ist der Verarbeiter verantwortlich. Dieser muss den Verarbeitungsprozess auch sorgfältig dokumentieren, um dessen Korrektheit jederzeit nachweisen zu können
RECHTMÄßIGKEIT DER DATENVERARBEITUNG –ART. 6 DSGVO
Datenverarbeitung zur Erfüllung eines Vertrags mit dem Betroffenen, einschließlich vorvertraglicher Maßnahmen
Datenverarbeitung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person Datenverarbeitung im Rahmen der Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt
Datenverarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Der Aspekt der Datensicherheit gewinnt mit Inkrafttreten der DSGVO an Bedeutung, nach Art. 32 DSGVO muss jedes Unternehmen ein angemessenes Datenschutzniveau gewährleisten. Welchen Grad dieser Schutz erreichen muss hängt vor allem von den individuellen Risiken im Unternehmen ab. Sowohl der Verantwortliche als auch der der Auftragsdatenverarbeiter sind dazu verpflichtet, sämtliche technischen und organisatorischen Maßnahmen zu ergreifen, um die Sicherheit der erhobenen personenbezogenen Daten zu wahren. Dazu zählen unter anderem:
Ein effektives Monitoring der angewandten technischen und organisatorischen Maßnahmen zur Sicherheit der Datenverarbeitung. Dieses Verfahren überprüft und bewertet die Wirksamkeit der getroffenen Maßnahmen.
Die bisherigen Meldepflichten im Fall von Datenpannen waren, nach BDSG noch recht kulant und betrafen nur vergleichsweise wenige Ausnahmefälle. Meldepflicht bestand bisher hauptsächlich bei Fehlern im Umgang mit besonders sensiblen Daten und unter der Annahme dadurch bedingter schwerwiegender Beeinträchtigungen für den Betroffenen. Von der Meldepflicht waren also bis dato nur wenige Unternehmen direkt betroffen.
Art. 33 und 34 DS-GVO verschärft die Meldepflichten nun deutlich. So muss eine Meldung an die Aufsichtsbehörde bei jeder Datenpanne erfolgen, es sei denn, es ergibt sich voraussichtlich kein Risiko für den Betroffenen. Die Meldung muss binnen 72 Stunden erfolgen. Die von der Datenpanne Betroffenen müssen allerdings in der Regel nur dann benachrichtigt werden, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.

References: ART. 13
 Art.13
 Art. 6
 Art. 15
 ART. 17
 Art. 17
 ART. 5
 Art. 32

Art. 33