Source: https://www.crifbuergel.de/de/code-of-conduct
Timestamp: 2020-08-03 22:56:43
Document Index: 383275122

Matched Legal Cases: ['§ 35', '§ 35', 'Art. 5', 'Art. 17', 'Art. 17', '§ 882', 'Art. 41', 'Art. 4']

Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien
Zweck des Verbandes ist es, die Interessen der Wirtschaftsauskunfteien durch einen freiwilligen Zusammenschluss von Unternehmen und Unternehmensverbänden, die in dieser Branche tätig sind, zu bündeln und durch eine gemeinschaftliche Zielsetzung zu fördern. Der Verband vertritt die In- teressen seiner Mitglieder, indem er gegenüber den Aufsichtsbehörden der Bundesländer, den Ministerien und politischen Entscheidungsträgern Stel- lung zu den Themen bezieht, die für die Tätigkeit der Mitglieder von wesentlicher Bedeutung sind.
Die Europäische Datenschutzgrundverordnung (EU-DSGVO) wird das Bundesdatenschutzgesetz (BDSG) weitgehend ablösen. Mit Inkrafttreten der Datenschutzgrundverordnung entfallen u. a. für die Datenverarbeitung durch die deutschen Wirtschaftsauskunfteien relevante Vorschriften. Hierzu zählt auch die bisher in § 35 Abs. 2 Satz 2 Nr. 4 BDSG (a.F.) enthaltene Prüf- und Löschfrist. Diese sollte nach Ablauf von vier bzw. drei Jahren eine Prüfung sicherstellen, ob eine länger währende Speicherung noch erforderlich ist. Im Regelfall wurde damit die Löschung nicht mehr relevanter Sachverhalte erreicht. Umgekehrt war mit den in § 35 Abs. 2 Satz 2 Nr. 4 BDSG (a.F.) niedergelegten Fristen aber auch anerkannt, dass jedenfalls die innerhalb der Fristen erfolgende Speicherung erforderlich und interessengerecht ist. Die EU-DSGVO behält zwar in Art. 5 Abs. 1lit. e) das Prinzip der Erforderlichkeit bei, enthält jedoch keine definierten Prüffristen. Um aber die Erforderlichkeitsprüfung tatsächlich sicherzustellen geht Erwägungsgrund 39 gleichwohl davon aus, dass der Verantwortliche entsprechende Fristen vorsieht.
Diese Verhaltensregeln schließen eine besondere Prüfung im Einzelfall auf Antrag der betroffenen Person (gem. Art. 17, 21 EU- DSGVO) nicht aus.
Datenschutzbelange in der Auskunfteienbranche auch nach Wirksamwerden der EU-DSGVO ab dem 25.05.2018 weiterhin einen sehr hohen Stellenwert einnehmen,
a) Personenbezogene Daten über fällige und unbestrittene Forderungen bleiben gespeichert, so lange deren Ausgleich nicht bekannt gegeben wurde; die Notwendigkeit der fortwährenden Speicherung wird jeweils drei Jahre (taggenau) nach dem jeweiligen Ereigniseintritt (z. B. erstma- lige Einmeldung der Forderung oder Saldenaktualisierung) überprüft.
Unabhängig davon erfolgt auf Antrag betroffener Personen eine individuelle Prüfung, ob die Speicherung der Daten noch notwendig ist (Art. 17 Abs. 1 lit. a) DSGVO).
2. Personenbezogene Daten, denen Eintragungen in das Schuldner verzeichnis oder Veröffentlichungen zu (Verbraucher- bzw. Regel-) Insolvenzverfahren zugrunde liegen:
a) Daten aus den Schuldnerverzeichnissen der zentralen Vollstreckungs- gerichte (Eintragungen nach § 882c Abs. 1 Satz 1 Nr. 1 – 3 ZPO) werden drei Jahre taggenau nach Eintragung in das Schuldnerverzeichnis ge- löscht, jedoch vorzeitig, wenn der Auskunftei eine Löschung durch das zentrale Vollstreckungsgericht nachgewiesen/mitgeteilt wird.
b) Informationen über (Verbraucher- bzw. Regel-) Insolvenzverfahren oder Restschuldbefreiungsverfahren werden taggenau drei Jahre nach Been- digung des Insolvenzverfahrens oder Erteilung der Restschuldbefreiung gelöscht.
die Versagung der Restschuldbefreiung werden taggenau nach drei Jahren gelöscht.
b) Informationen über störungsfreie Vertragsdaten über Konten, die ohne die damit begründete Forderung dokumentiert werden (z. B. Girokonten, Kreditkarten, Telekommunikationskonten oder Energiekonten), bleiben so lange gespeichert, so lange die Konten bestehen; wird deren Beendi- gung bekannt gegeben, werden die Informationen gelöscht.
c) Informationen über Verträge, bei denen die Evidenzprüfung gesetzlich vorgesehen ist (wie bei Pfändungsschutzkonten oder Basiskonten), bleiben so lange gespeichert, so lange sie bestehen; wird deren Beendi- gung bekannt gegeben, werden sie gelöscht.
a) Personenbezogene Voranschriften bleiben taggenau drei Jahre gespei- chert; danach erfolgt die Prüfung der Erforderlichkeit der fortwährenden Speicherung für weitere drei Jahre. Danach werden sie taggenau gelöscht, sofern nicht zum Zwecke der Identifizierung eine länger währen- de Speicherung erforderlich ist.
Die Unternehmen, die diesen Verhaltensregeln beigetreten sind, ge- währleisten, dass die Einhaltung der hier niedergelegten Prüf- und Löschfristen jederzeit überprüft werden kann. Der Verband DW wird – unbeschadet der Aufgaben und Befugnisse der jeweiligen betrieblichen Datenschutzbeauftragten und zuständigen Aufsichtsbehörden – für die Überwachung der Einhaltung dieser Verhaltensregeln eine von der zu- ständigen Aufsichtsbehörde zu akkreditierende Stelle gemäß Art. 41 Abs. 1 EU-DSGVO benennen. Es kann sich dabei nach Wahl des Verbandes DW um eine über die erforderliche Akkreditierung verfügende externe Stelle oder eine entsprechende verbandsinterne Stelle handeln.
a. ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegen- stands der Überwachung zur Zufriedenheit der zuständigen Auf- sichtsbehörde nachgewiesen hat;
c. über eine angemessene finanzielle und personelle Ausstattung in Abhängigkeit von der Anzahl, Größe und Komplexität der zu überwa- chenden Unternehmen sowie dem Risikogehalt der Datenverarbei- tung verfügt und dies zur Zufriedenheit der zuständigen Aufsichts- behörde nachgewiesen hat;
a. Fortlaufende Überwachung sowie jährliche rotierende Überprüfung einer angemessenen Anzahl der beigetretenen Unternehmen in Abhängigkeit vom Risikogehalt der Datenverarbeitung und identifizierter Beschwerdeschwerpunkte sowie anlassbezogene Über- prüfung des jeweils beigetretenen Unternehmens (insbesondere bei Beschwerden bezüglich einer vermeintlichen Nichteinhaltung dieser Verhaltensregeln durch ein beigetretenes Unternehmen).
c. Anlassbezogene unverzügliche Unterrichtungspflicht über die getroffene Maßnahme und deren Begründung sowohl gegenüber der Geschäftsleitung des betroffenen Unternehmens als auch gegen- über der für das betroffene Unternehmen zuständigen Datenschutzaufsichtsbehörde. Der Kontrollstelle wird ein unmittelbarer Berichtsweg zur Geschäftsleitung der beigetretenen Unternehmen ermöglicht.
d. Der Kontrollstelle stehen alle zur Aufgabenerfüllung erforderlichen Untersuchungsbefugnisse zu. Die beigetretenen Unternehmen stellen ihr die hierfür erforderlichen Informationen auf Verlangen zur Verfügung. Sie erhält Zugang zu allen personenbezogenen Daten, Verarbeitungsvorgängen und sonstigen Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind. Außerdem ermöglichen ihr die beigetretenen Unternehmen den Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen. Die Kontrollstelle kann auch Untersuchungen in Form von Datenschutzüberprüfungen durchführen. Die Untersuchungsbefugnisse bestehen auch gegenüber Auftragsverarbeitern der beigetretenen Unternehmen sowie Dritten im Sinne von Art. 4 Nr. 10 EU-DSGVO.
e. Die Kontrollstelle dokumentiert ihre Überwachungstätigkeit und er- greift, sofern erforderlich, geeignete Maßnahmen gegenüber den beigetretenen Unternehmen, damit die hier niedergelegten Verhal- tensregeln eingehalten und durch DW — sofern Bedarf identifiziert wurde – in Abstimmung mit den zuständigen Aufsichtsbehörden weiterentwickelt werden.
f. Die Kontrollstelle ergreift bei Verletzungen dieser Verhaltensregeln gegenüber den betreffenden Unternehmen geeignete Maßnahmen mit dem Ziel, den identifizierten Verstoß zu unterbinden und eine Wiederholung zu vermeiden. Sie wird sämtliche Informationen über Unternehmen und natürliche Personen (einschließlich betroffener bzw. beschwerdeführender Personen) vertraulich behandeln und geheim halten. Zur Weitergabe von Informationen an die zuständige Aufsichtsbehörde ist die Kontrollstelle berechtigt, soweit die Wei- tergabe zur Erfüllung ihrer Aufgaben und Pflichten erforderlich ist. Sie informiert die Geschäftsleitung des betreffenden Unternehmens sowie die für das Unternehmen zuständige Aufsichtsbehörde bei festgestellten Verstößen gegen diese Verhaltensregeln ohne schuldhaftes Zögern über die getroffenen Maßnahmen sowie deren Begründung.
Diese Verhaltensregeln sowie die in Ziffer III. festgelegten Überwachungsregelungen gelten vorbehaltlich ihren Regelungsgehalt betreffenden Rechts- änderungen bzw. anderslautender Entscheidungen auf europäischer Ebene (Europäischer Datenschutzausschuss, Europäischer Gerichtshof).
Diese Verhaltensregeln gelten bis zum 24.05.2024 (6 Jahre ab Genehmi- gung). Spätestens zwei Jahre vor Ablauf legt der Verband „DW“ der zuständigen Aufsichtsbehörde einen schriftlichen Evaluationsbericht vor.