Source: http://www.ziemers.de/beratung/datenschutz-grundlagen.html
Timestamp: 2019-01-18 00:59:34
Document Index: 242080673

Matched Legal Cases: ['Art. 9', 'Art. 9', 'Art. 8', 'Art. 1', 'Art. 6', '§ 64']

Dipl.-Ing. Sven Scholz, Dipl.-Inform. Thomas Ziemer
Überwachung der Einhaltung der Verordnung einschließlich [...] der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen.
Historisches, Begriffe, Personenbezogene Daten, Neue Rechtsgrundlagen
Rechte des Betroffenen, Pflichten des Unternehmens, MA-Sensibilisierung
Erweiterte Einführung (Teil 2)
EU-DSGVO - Wer ist betroffen und was ist aus Unternehmenssicht zu tun?
Betrieblicher Datenschutzbeauftragter (Teil 3)
Volkszählung - Die Totalerhebung
Geplant war 1983 eine Totalerhebung durch Beamte "von Tür zu Tür"
Bereits im Vorfeld gab es verschiedene Verfassungsbeschwerden
Die Durchsetzung der Volkszählung wurde deshalb ausgesetzt
Das Bundesverfassungsgericht erklärte das Volkszählungsgesetz für verfassungswidrig:
Es verletze das Recht auf informationelle Selbstbestimmung
Ein Meilenstein des Datenschutzes
Jeder Mensch soll grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten bestimmen.
Volkszählungsurteil, 1983
Der Eckpfeiler des Datenschutzes wird am 15. Dezember 1983 durch das Bundesverfassungsgericht gelegt. In diesem Urteil wird das Recht auf informationelle Selbstbestimmung etabliert, das aus
Artikel 1 Abs. 1 GG: "Die Würde des Menschen ist unantastbar" und
Artikel 2 Abs. 1 GG: "Jeder hat das Recht auf die freie Entfaltung seiner Persönlichkeit"
abgeleitet ist. Ab diesem Zeitpunkt steht unmissverständlich fest, dass Datenschutz ein Grundrecht ist.
Die Volkszählung fand letztlich 1987 statt.
Sie musste teilweise neu konzipiert werden, indem personenbezogene Angaben von den Fragebögen getrennt und die Fragebögen selbst überarbeitet wurden, um die Anonymität der Befragten besser zu gewährleisten.
Die "Sieben Säulen des Datenschutzes"
Datenschutz ist tief verankert:
Bestimmt ist eine Person dann, wenn sich ihre Identität direkt aus "der Date" selbst ergibt, ohne dass zuvor weitere Ermittlungsschritte erforderlich sind.
Bestimmbar wird eine Person dann, wenn ihre Identität durch die Kombination "der Date" mit anderen Informationen feststellbar wird.
Der (möglicherweise hohe) Aufwand zur Identifikation dieser Person spielt aus Datenschutzsicht keine Rolle.
Besondere personenbezogene Daten (pbD)
Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten personenbezogener Daten, da diese besonders schützenswert sind. (Art. 9 EU-DSGVO)
Keine Angst im Personalwesen
Zur Verarbeitung personenbezogener Daten der besonderen Arten im Kontext von Beschäftigten (Religion, Gewerkschaft, medizinische Daten wie Krankheitstage etc.) "für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten" gibt es Erleichterungen.
z.B. Art. 9 Abs. 2 lit. h EU-DSGVO
Personenbezogene Daten (pbD) von Kindern
Die Einwilligung eines Kindes ist nur dann rechtmäßig, wenn dieses das sechzehnte Lebensjahr vollendet hat. Vor Vollendung des sechzehnten Lebensjahres muss die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind erteilt werden.
Aufgrund der besonderen Schutzwürdigkeit von Kindern sollten Informationen und Hinweise in einer dergestalt klaren und einfachen Sprache erfolgen, dass ein Kind sie verstehen kann (ErwGr 58).
Art. 8 EU-DSGVO
Art. 1 EU-DSGVO
Risiken für die Rechte und Freiheiten der Person
Es kann zu physischen, materiellen oder immateriellen Schäden führen (ErwGr 75):
Verlust der Vertraulichkeit (von dem Berufsgeheimnis unterliegenden Daten)
unbefugte Aufhebung der Pseudonymisierung
Deshalb: Verbot ...
Die Verarbeitung und Nutzung personenbezogener Daten ist grundsätzlich verboten!
Aber: Verbot mit Erlaubnisvorbehalt
Artikel 6 EU-DSGVO regelt die Erlaubnis aus ...
... der Einwilligung des Betroffenen (für einen oder mehrere konkrete Zwecke),
... einer Vertragsanbahnung oder -abwicklung mit dem Betroffenen,
... einem bestehendem Vertragsverhältnis mit dem Betroffenen,
... der Erfüllung einer rechtlichen Verpflichtung,
... der Notwendigkeit, lebenswichtige Interessen zu schützen,
... dem öffentlichen Interesse heraus oder
... der Wahrung der berechtigten Interessen des Verantwortlichen.
Artikel 5 EU-DSGVO schreibt vor, dass Daten ...
... auf rechtmäßige und für den Betroffenen nachvollziehbare Weise verarbeitet werden;
... nur für festgelegte, eindeutige und legitime Zwecke erhoben werden ("Zweckbindung");
... auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind ("sparsam");
... sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind ("Richtigkeit");
... nur bei Gewährleistung einer angemessene Sicherheit verarbeitet werden (TOMs);
... die Identifizierung des Betroffenen nur so lange ermöglichen, wie erforderlich.
Der Verantwortliche ist für die Einhaltung verantwortlich und muss dies nachweisen können („Rechenschafts- und Nachweispflicht“).
Informieren der betroffenen Person
Information bei Erhebung oder Benachrichtigung bei erstmaliger Speicherung, sowie
Auskunftsrecht, Berichtigungsanspruch, Sperrungsanspruch,
Löschungsanspruch ("Recht auf Vergessenwerden")
Artikel 15 EU-DSGVO gewährt ein Auskunftsrecht über die ...
... legitimen Verarbeitungszwecke der personenbezogenen Daten (siehe Art. 6 EU-DSGVO),
... Kategorien der verarbeiteten Daten (Stammdaten, Kontaktdaten, Vertragsdaten etc.),
... Kategorien der Empfänger dieser Daten (interne, externe, EU-Land, Drittland),
... geplante Dauer, für die die Daten gespeichert werden ("Löschfristen"),
... Herkunft der Daten, sofern nicht bei der betroffenen Person selbst erhoben,
... kompletten vorliegenden personenbezogenen Daten selbst.
Die zuständige Aufsichtsbehörde ist unverzüglich (binnen 72 Stunden) zu benachrichtigen: Mögliche nachteilige Folgen für die Betroffenen erörtern, ergriffene Maßnahmen
Unverzügliche Benachrichtigung, falls erforderlich: Grund des Datenverlustes, Empfehlung für Schutzmaßnahmen, Individuell oder über öffentliche Information (z. B. Zeitungsanzeigen)
Die hier genannten Schutzziele spielen zur Ermittlung des Schutzbedarfs personenbezogener Daten eine besondere Rolle (siehe auch BSI-Schutzbedarfsfeststellung).
Klassische und neue Schutzziele (§ 64 Abs. 2 Nr. 1 BDSG):
Verfügbarkeit (Datensicherungskonzept, Datenredundanz)
Vertraulichkeit (Schutz vor unbefugter oder unrechtmäßiger Verarbeitung)
Integrität (Schutz vor unbeabsichtigter Schädigung, Veränderung etc.)
Belastbarkeit (USV, Virenschutz, Firewall, Meldewege und Notfallpläne etc.)
Geschäftsführung (Verantwortliche)
Einhaltung der gesetzlichen (z.B. DSGVO und BDSG) und internen Regelungen (z.B. BCRs)
Umsetzung und Kontrolle der Einhaltung oben genannter Regelungen
Schaffung der Voraussetzungen (z.B. TOMs) für einen ausreichenden Schutz der pbD
Unterstützung des DSB sowie der Beschäftigten bei der Durchführung des Datenschutzes
Sensibilisierung für die besondere Bedeutung des Datenschutzes (z.B. Schulungen)
Grundsätzliche Kontrollkategorien nach BDSG
Beschäftigte (interne und externe Mitarbeiter)
Verpflichtung auf das Datengeheimnis im Umgang mit personenbezogenen Daten
Verpflichtung auf die Umsetzung der Datenschutzrichtlinie
Verpflichtung auf den korrekten Umgang mit den IT-Systemen
Schutz personenbezogener Daten vor unbefugtem Zugriff und Vorsorge gegen Verlust
Information an DSB (bzw. GF) bei Kenntnis von Missbrauch, Verlust oder Manipulation
Risiken, die durch Social Engineering entstehen, wie z.B. Phishing oder der „Chef-Trick“,
Erkennung und Umgang mit Spam-E-Mails (darauf antworten, Bilder anklicken etc.),
Weitergabe sensibler Daten per E-Mail, Online-Filesharing-Dienst oder Datenträger,
Umgang mit zu entsorgenden Geräten, die über Datenträger verfügen (Mufu-Geräte u.a.),
Pflichten im Umgang mit Kennwörtern (nicht weitergeben, nicht unter der Tastatur)
Hinweise für sichere und einfach zu merkende Kennwörter (auch Kennwort-Policies),
Grundsätzliche Risiken bei der Internetnutzung (Verschlüsselung, Tracking etc.)
Umgang mit (mobilen) Geräten und Daten
Gerätebildschirm beim Verlassen des Arbeitsplatzes sperren [Win]-L (Großraumbüros)
Sensible Akten, Dokumente, Notizen etc. sicher verwahren (aufmerksam sein!)
Besondere Aufmerksamkeit gilt im CoWorking Area (Dokumente, Bildschirme etc.)
Eigene, private Software in Eigenverantwortung aktualisieren (BYOD)
Messengers (WhatsApp, Threema, Telegram, Signal, FB etc.) auf dem Smartphone:
Wo (EU?) und wie erfolgt die Datenspeicherung auf dem Server des Anbieters?
Erfolgt eine Speicherung des Adressbuches (der Kontakte) beim Anbieter?
Werden die Daten Ende-zu-Ende-verschlüsselt übertragen?
Erfolgt keine oder nur eine eingeschränkte Analyse von Metadaten?