Source: https://www.compliance-net.de/content/bestellung-eines-datenschutzbeauftragten-nach-eu-dsgvo-was-aendert-sich
Timestamp: 2020-07-09 10:52:17
Document Index: 280259900

Matched Legal Cases: ['§ 4', '§ 38', '§ 4', '§ 4', '§ 38', '§ 831', '§823', '§ 130', 'Art. 39', 'Art. 47', 'Art. 23', 'Art 3', 'Art. 43', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 7', 'Art. 7', 'Art. 6', 'Art. 17', 'Art. 18', 'Art. 31', 'Art 33', '§ 4', 'Art 53']

compliance-net | Bestellung eines Datenschutzbeauftragten nach EU-DSGVO – was ändert sich?
StartseiteBestellung eines Datenschutzbeauftragten nach EU-DSGVO – was ändert sich?
Bestellung eines Datenschutzbeauftragten nach EU-DSGVO – was ändert sich?
Gespeichert von Annika Brückner am 6. Oktober 2017 - 9:14
Die neue Datenschutzgrundverordnung, die am 25.05.2018 in Kraft tritt, bringt auch Änderungen in Bezug auf die Bestellung des Datenschutzbeauftragten mit sich. Hier gelten nicht nur die EU-DSGVO, sondern zusätzlich das sogenannte „BDSG-NEU“ und die sogenannten „Erwägungsgründe“. Diese Erwägungsgründe dienen als Hilfestellung zur Interpretation der offiziellen Rechtnormen.
Eine wesentliche Neuerung ist die Pflicht, die Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen.
Nach aktuellem Gesetz muss ein Datenschutzbeauftragter schriftlich bestellt werden (§ 4f BDSG). Die Pflicht der schriftlichen Ernennung erlischt jedoch mit der EU-DSGVO und dem BDSG-NEU. Ab dem 25.05.2018 müssen lediglich die Kontaktdaten des Datenschutzbeauftragten der zuständigen Aufsichtsbehörde gemeldet werden, womit die Benennung offiziell vollzogen ist (Artikel 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG-NEU). Der Formzwang „schriftlich“ entfällt und ein Datenschutzbeauftragter kann somit formfrei ernannt werden; die Meldepflicht zur Übermittlung der Kontaktdaten an die Aufsichtsbehörde muss allerdings zwingend erfüllt sein.
Auch der Zeitpunkt der Bestellung ist neu geregelt: Während nach § 4f Satz 2 BDSG der Datenschutzbeauftragte spätestens innerhalb eines Monats nach der Aufnahme seiner Tätigkeiten schriftlich bestellt werden muss, ist weder in der DSGVO noch im BDSG-NEU eine genaue Frist enthalten. Daher empfiehlt es sich, den Beauftragten unverzüglich zu benennen, wenn die Voraussetzungen erfüllt sind.
Doch welche Voraussetzungen zur Ernennung eines Datenschutzbeauftragten müssen erfüllt sein – oder anders gefragt – wann muss ich als Unternehmen einen Datenschutzbeauftragten benennen?
Im aktuellen Gesetz (§ 4f BDSG) sind dies folgende Regelungen:
Mehr als neun Mitarbeiter haben regelmäßig mit automatisierter Datenverarbeitung zu tun (Datenerhebung und Datennutzung).
Mindestens 20 Mitarbeiter haben regelmäßig mit nicht automatisierter Datenverarbeitung zu tun.
Werden personenbezogene Daten geschäftsmäßig übermittelt, erhoben, verarbeitet oder genutzt, muss die Ernennung eines Datenschutzbeauftragten unabhängig von der Anzahl der Beschäftigten im Unternehmen erfolgen.
Werden sensible personenbezogene Daten erhoben, muss auch hier eine Benennung unabhängig von der Anzahl der Beschäftigten erfolgen.
Eine Änderung ist diesbezüglich im BDSG-NEU nur in kleinen Teilen vorgesehen (§ 38 BDSG-NEU). Lediglich die Formulierung ändert sich im ersten genannten Punkt. Im BDSG-NEU ist die Rede von „mindestens zehn Personen, die ständig mit automatisierter Datenverarbeitung beschäftigt sind“. Der Punkt der nicht automatisierten Datenverarbeitung entfällt. Die oben genannten Punkte dienen als Ergänzung zu den Richtlinien der DSGVO. Demnach muss ein Datenschutzbeauftragter nach Artikel 37 Abs.1 b) und c) DSGVO für nicht-öffentliche Stellen bestellt werden, wenn:
b) „die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder“
c) „die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.“
Dient die Verarbeitung personenbezogener Daten also dem primären Geschäftszweck oder können ohne die Verarbeitung personenbezogener Daten die primären Ziele des Unternehmens nicht erreicht werden, muss ein Datenschutzbeauftragter im Unternehmen bestellt werden. (Erwägungsgrund 97 DSGVO)
Zu der Begrifflichkeit „systematische Überwachung“ kann Erwägungsgrund 24 herangezogen werden: Hierzu zählen alle Fälle der Nachverfolgung von Internetaktivitäten (digital footprints) und Profilbildung, wobei der Begriff nicht auf Anwendungsfälle im Bereich der Internetnutzung beschränkt ist.
Sollte ein Datenschutzbeauftragter im Unternehmen nicht nach den oben genannten Kriterien bestellt werden, obwohl die Voraussetzungen gegeben sind, können ab dem 25.05.2018 Geldstrafen in Höhe von bis zu 2% des gesamten weltweit erzielten Jahresumsatzes oder 10.000.000 € verhängt werden, je nachdem welcher Betrag höher ist.
Compliance Management - Eine Standortbestimmung
Pragmatisch betrachtet sollten umgesetzte Compliance Management Systembestandteile in ihren Ausführungen sowie ihrer Umsetzung in regelmäßigen Zeitabständen, schlechtesten Falls mindestens einmal im Geschäftsjahr, hinterfragt werden.Als Basisverständnismodel hierfür eignet sich das so genannte „Three Line of Defense-Model“ (TLoD) welches aus dem Risikomanagement hervorgegangen ist und mittlerweile als gängige Methode angesehen wird. Das Modell dient im Wesentlichen dazu Risiken, die in einer Organisation oder einem Unternehmen auftreten können systematisch aufzuarbeiten. Das TLoD-Modell hat gegenüber anderen Modellen den wesentlichen Vorteil, dass es in Bezug auf Unternehmensgröße oder -struktur nicht gebunden ist oder an Komplexitäts- und damit durchgängige Umsetzungsgrenzen stößt.Das Modell basiert vor allem auf der Idee, drei zusammenhängende „Verteidigungslinien“ in einem Unternehmen zu etablieren, um Risiken, die auf das Unternehmen bzw. dessen Organisation einwirken können frühzeitig zu erkennen, zu erfassen, zu analysieren und zu bewerten sowie in der Organisation zu kommunizieren. In den unterschiedlichen „Verteidigungslinien“ kommen unterschiedlichen Funktionsgruppen entsprechende Aufgabenstellungen zu.Die dritte Verteidigungslinie (Third Line of Defense) wird durch unabhängige Dritte (u.a. (Interne) Revision, Wirtschaftsprüfer, Aufsichtsorgane etc.) gebildet, die das Risikomanagement eines Unternehmens überwachen (vgl. u.a. IDW PS 340). Hierbei werden u.a. die Prozesse, Dokumente und Nachweise zur Umsetzung und Einhaltung des internen Kontrollsystems unabhängig und objektiv betrachtet und in ihrer Effizienz und Effektivität bewertet. Durch das Reporting an die Geschäftsführung / den Vorstand bzw. den Beirat oder Aufsichtsrat eines Unternehmens werden diese Unternehmensgremien im Schutz (u.a. Reputation Vermögen, Integrität, Einhaltung Regulatorik) des Unternehmens unterstützt. Die zweite Verteidigungslinie (Second Line of Defense) wird von der dritten Verteidigungs­linie miteingeschlossen, bildet in diesem Modell eine Unter­stützungs­funktion der nachfolgend skizierten ersten Linie und liegt im gehobenen Management eines Unternehmens. Die Unterstützung wird der ersten Line durch die Verfassung von Richtlinien und Arbeitsanweisungen zuteil. Die Aufgabe der zweiten Verteidigungslinie umfasst hierbei nicht nur die Formulierung von Richtlinien und Arbeitsanweisungen und das entgegennehmen von entsprechenden Reports aus der ersten und dritten Verteidigungslinie, sondern auch das aktive Risikomanagement sowie auch die Überwachung der Umsetzung und Einhaltung der Richtlinien und Arbeitsanweisungen. D.h. auf dieser Ebene sind Personen tätig, die Verantwortlich für die Einrichtung und Umsetzung entsprechender Maßnahmen und Prozesse sind, die in der ersten Verteidigungsebene durchgeführt werden.Die erste Verteidigungslinie liegt im operativen Management. Hier werden anhand der durch die zweite Verteidigungslinie vorgegebenen Durchführungs- und Kontrollrichtlinien die Umsetzung der Arbeitspakete durchgeführt. D.h. die Durchführungsverantwortlichen haben dafür Sorge zu tragen, dass im Rahmen des Alltagsgeschäftes die risikominimierenden Maßnahmen eingehalten bzw. operativ Umgesetzt werden und dies durch entsprechende Dokumentation gegenüber Dritten festgehalten wird. Unternehmensprozesse werden gleichwohl auch auf Effizienz und Effektivität sowie (Risiko-)Resilienz fortlaufend bewertet. Risiken die noch nicht berücksichtigt sind, werden an die 2. Verteidigungslinie übergeben, um hier geeignete Verteidigungsmaßnahmen festzulegen, zu kommunizieren und über die angepassten Richtlinien wieder an das operative Management zurückzugeben. Gleichzeitig wird durch die zweite Verteidigungsebene das Risikoportfolio entsprechend für das Unternehmen angepasst.Um die Überwachungsfunktion in der ersten und vor allem der zweiten Verteidigungslinie unterstützen zu können, haben wir zu verschiedenen Themen des Compliance Management-Systems so genannte „Module zur Standortbestimmung“ entwickelt.Diese Module basieren auf Branchen- bzw. branchenübergreifenden Standards mittels derer sich sowohl das Management der zweiten als auch der ersten Verteidigungsebene in die Lage versetzen kann, sich gegenüber Dritten, in den jeweiligen Themenkomplexen, zu exkulpieren (vgl.§ 831 BGB). Auf diese Weise könnten die Managementebenen dazu beitragen, einem entsprechendem „Organisationsverschulden“ des Managements (vgl. u.a. §823 Abs. 1 BGB, § 130 OwiG) entgegenzuwirken.Nähere Informationen zu den derzeit bestehenden „Modulen zur Standortbestimmungen“ können über die nachfolgenden Steckbriefe eingeholt werden. Die Module basieren auf einer MS-EXCEL-Datei, damit möglichst viele Unternehmen diese direkt nutzen können, ohne Softwareplattformen oder andere Individualsoftware anschaffen zu müssen.Wir berechnen für die Bereitstellung eines entsprechenden, themenbezogenen Moduls eine Schutzgebühr von 259,- EUR inkl. MwSt. Der Prozess ist am Ende der Steckbriefe beschrieben:BAITVAITDSGVOISO 27001MaRiskB3S – KrankenhäuserB3S – Pharma folgt in Kürze Alle Bilder: Eigenkreationen
Branchenspezifische Sicherheitsstandards (B3S) für KRITIS-Sektoren veröffentlicht
Der zuletzt durch das BSI freigegebene branchenspezifische Sicherheitsstandard betrifft den Sektor medizinische Versorgung (im Krankenhaus). Gemäß der Pressemitteilung vom 23.10.2019 des BSI hat dieses den Cyber-Sicherheitsstandard für Krankenhäuser von der Deutschen Krankenhausgesellschaft (DKG) anerkannt.Laut der Ausführungen des BSI waren medizinische Einrichtungen und Krankenhäuser 2019 wiederholt durch IT-Sicherheitsvorfälle sowohl in den Fokus der Behörden als auch in die Presse geraten. Entsprechende Angreifer hatten hierbei weniger die Zerstörung oder Veränderung von Daten im Blick als vielmehr deren Verfügbarkeit und Aktualität. Nicht verfügbare Daten (Stichwort RANSOMWARE, vgl. z.B. diesen Artikel des Handelsblattes) können mitunter für die Unternehmen sehr kostspielig werden. Die Bereiche der medizinischen Versorgung haben in den letzten Jahrzehnten sehr viel Energie, Ressourcen und Kapital für die Digitalisierung bzw. der Verbesserung ihre Krankenhausinformationssysteme und die damit verbundene zeitnahe zur Verfügungsstellung (u.a.) von (sensiblen) Patientendaten investiert. Leider wurde hier im Bereich der Cybersicherheit auf allen Ebenen offensichtlich an der einen und anderen Ecke gespart, wie die bekannt gewordenen Sicherheitsvorfälle alleine in diesem Jahr darlegen.Username und Passwort für jeden sichtbarIn den vergangenen Tagen musste ich mich selber in einer Notaufnahme eines großen Klinikums aufhalten. Der in meinem Notfallbehandlungszimmer aufgestellte Terminal war zwar durch einen Time-Out-Bildschirmschoner zugriffsgeschützt; leider jedoch waren am oberen Rand des Bildschirms sowohl das Passwort als auch der User mit einem Schriftzug gut leserlich aufgebracht (hier verpixelt). Ich war einige Stunden als Begleitperson in dem Raum ohne Aufsicht.Die Frage, die sich hier durchaus ableiten lässt ist, ob ein in dieser Art und Weise umgehbarer eingerichteter Systemzugriffsschutz weniger schwerwiegend ist, als nicht zur Verfügung stehende Patienteninformationen, weil das Personal möglicherweise durch „vergessene“ oder „nicht bekannte“ Zugriffscodes diese nicht „just in time“ abrufen kann.Auf der anderen Seite können durch ein solches Verhalten Zugriffe für Unbefugte auf durchaus sensible personenbezogene Patientendaten erfolgen, die nicht sofort, sondern erst in einem zweiten oder dritten, zumindest nachfolgenden Schritt, zu schwierigen Situationen für die betroffenen Personen als auch das Haus selber werden können. Es lassen sich hier mit ein wenig Fantasie eine Vielzahl von Szenarien kreieren, die kein gutes Ende für die betroffenen Patienten, die Administratoren, das Pflegepersonal, die Ärzteschaft noch die verantwortlichen Stationsleiter nehmen würden.Digitalisierung in KrankenhäusernGemäß einer Studie der Unternehmensberatung Roland Berger aus dem Jahr 2018 setzen 93% von 500 Krankenhäusern auf Digitalisierung, was eine Steigerung von 35% zum Vorjahr bedeutet. Hierbei sind nicht nur wirtschaftliche Überlegungen tragend (33% sehen einen signifikanten wirtschaftlichen Beitrag der Digitalisierung zum Unternehmenserfolg), sondern auch die Nutzung der sich damit bietenden Erfolgsfaktoren wie schnellere Kommunikation, das Managen komplexer Situationen oder die Minderung diagnostischer Fehlentscheidungen.Einem Artikel der Computerzeitschrift „computerwoche“ vom 01.10.2019 zufolge nimmt das Universitätsklinikum Essen in Deutschland eine Vorreiterrolle bei der Digitalisierung im Krankenhausbetrieb ein: Stichwort "SMART HOSPITALS“. Hierbei soll die Digitalisierung nicht nur die Patientenversorgung umfassen, sondern darüber hinaus auch den Einsatz von KI (Künstlicher Intelligenz). Dazu testet das Universitätsklinikum Essen gemäß den Ausführungen der "computerwoche" eine auf Künstlicher Intelligenz basierende Software, den AI Pathway Companion von Siemens Healthineers, die zum Beispiel auch Vorschläge für weitere Therapieschritte macht. Andere Kliniken werden nachziehen – nachziehen müssen, um wettbewerbsfähig zu bleiben.Bei IT-Systemen und organisatorischen Abläufen führt die steigende Komplexität zu einer verstärkten Anfälligkeit für Missbrauch und Unterbrechung – der in diesem Lebensbereich, wie auch in anderen Situationen (z.B. Tauchen, Fliegen, Autofahren, etc.), durchaus zum Tod von Menschen führen kann. Unsachgemäße Änderungen oder die Nicht-Verfügbarkeit der Patienakten könnten zu tödlichen Behandlungsfehlern führen: vertauschte Medikamente, falsche Dosierungen, unvollständige und falsche Therapien.Der neue Cyber-Sicherheitsstandard für KrankenhäuserUm Krankenhäusern und medizinischen Einrichtungen hierbei eine Hilfestellung zu bieten, hat die Deutschen Krankenhausgesellschaft (DKG) einen branchenspezifische Sicherheitsstandard – den Cyber-Sicherheitsstandard für Krankenhäuser – entwickelt. Dieser wurde vom BSI (Bundesamt für Sicherheit in der Informationstechnik) abgenommen und ist mit der Feststellung der Eignung nun einsetzbar.Dieser neue Standard ist in erster Linie umzusetzen von den Krankenhäusern, die nach Auslegung des IT-Sicherheitsgesetzes als kritische Infrastriktur eingestuft und beim BSI gemeldet sind. Dies betrifft rund 10% der deutschen Krankenhäuser. Gleichwohl steht dieser Standard auch allen anderen Kliniken bzw. medizinischen Einrichtungen zur Verfügung, wodurch die IT-Sicherheit auch in diesen Häusern überprüft und dort, wo notwendig, angehoben werden kann. Es bleibt jedoch anzumerken, dass die Sicherheit der eingesetzten Systeme, Informationen und Daten nur so gut sein kann wie das schwächste Prozessglied – der MENSCH.Vor diesem Hintergrund ist es wichtig, dass sehr individuell ausgearbeitete Schulungsmaßnahmen, die z.B. auch die individuellen Arbeitsumstände der Mitarbeiter und Mitarbeiterinnen umfassen, umgesetzt werden. Diese Schulungsmaßnahmen sind auf allen Ebenen einer Organisation durchzuführen – ungeachtet des Tagesgeschäftes, der Ressourcenknappheit und des Kostendrucks. Das Management hat zudem einerseits den Schutz der Daten vorzuleben als auch andererseits Mitarbeitern die Teilnahme an Schulungsmaßnahmen zu ermöglichen (vgl. u.a. DSGVO Art. 39 Abs. 1 lit. b), Art. 47), was u.a. der Datenschutzbeauftragte dokumentiert durchzuführen, zu überwachen bzw. zu überprüfen hat.Die compliance-net GmbH als kompetenter PartnerDie compliance-net GmbH leistet ihren Beitrag dazu auf verschiedene Art und Weise. Ein Beispiel: Wir haben für Krankenhäuser und medizinischen Einrichtungen, auf Basis des branchenspezifischen Sicherheitsstandards, eine Vorgehensweise erarbeitet, die es den Häusern bzw. Einrichtungen erlaubt, sich kostengünstig einer individuellen Situationsbewertung zu unterziehen – einer „Standortbestimmung“.Darüber hinaus haben wir praktische Inhouse-Schulungen (zwischen zwei und acht Stunden) entwickelt, sowohl für die Bereiche des allgemeinen Datenschutzes als auch der IT-Sicherheit. Diese Schulungen sind nicht zwingend auf IT-Mitarbeiter ausgerichtet (welche sich bereits mit dem Thema IT-Sicherheit auskennen bzw. auskennen sollten), sondern für diejenigen Mitarbeiter und Mitarbeiterinnen gedacht, die die IT als „Mittel zum Zweck“ nutzen.Eine Beschreibung bzw. einen Steckbrief zur Standortbestimmung, die Sie selbstverständlich selbst durchführen können, finden Sie hier.Wir helfen Ihnen gerne weiter und unterstützen Sie durch individuell zugeschnittene Schulungen und Trainings. Gerne können Sie uns über die unten angegebenen Kontaktdetails erreichen und wir entwickeln mit Ihnen gemeinsam Ihre unternehmensindividuellen Schulungen, z.B. zu den Themen IT-Sicherheit und Datenschutz.Dr. Klaus-D. Krausecompliance-net GmbHpartners@compliance-net.comTelefon: +49 (0) 6103 376 96 40
Reform Datenschutzrecht – Europa-Auswirkungen der geplanten Datenschutzgrundverordnung der EU-Kommission
Seit dem 25.1.2012 liegt ein Entwurf für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) vor. Die Datenschutz-Grundverordnung (DS-GVO) soll die aus dem Jahr 1995 stammende Richtlinie 95/46/EG (Datenschutzrichtlinie) ersetzen. Im Gegensatz zur Richtlinie 95/46/EG, die von den EU-Mitgliedsstaaten in nationales Recht umgesetzt werden musste, wird die Datenschutz-Grundverordnung wohl ohne Umsetzungsakt unmittelbar in allen EU-Mitgliedsstaaten gelten. Das bedeutet im eigentlichen Rechtssinne, dass hier eine einheitliche, für alle Mitgliedsstaaten bindende Rechtsnorm entsteht. Die Datenschutzgrundverordnung enthält hierbei wesentliche Reformvorschläge. Zu nennen sind hier vor allem die Instrumente „privacy by default“, „privacy by design“, „Recht auf Vergessenwerden“ und Datenportabilität (Erwägungsgrund - EG 61).Vorgestellt werden in diesem Artikel auszugsweise die nachfolgenden Regelungsprinzipien:Verarbeitung personenbezogener DatenEs bleibt weiterhin bei der Rechtssystematik des Verbotes mit Erlaubnisvorbehalt bezüglich der Verarbeitung personenbezogener Daten. "privacy by design" / "privacy by default"Die Instrumente „privacy by design“ (Datenschutz durch Technik) und „privacy by default“ (datenschutzfreundliche Voreinstellungen) werden in Art. 23 DV-GVO nun rechtlich verankert. Anwendungs- und Geltungsbereich inkl. DrittstaatenDer Anwendungsbereich erstreckt sich weiterhin auf personenbezogene und -beziehbare Daten (EG 23). Die Verordnung stellt auch klar, dass nicht zwangsläufig ein Personenbezug bei der Inanspruchnahme von Online-Diensten hergestellt werden kann (Kennnummern, Standortdaten, Online-Kennungen oder sonstige Elemente als solche sind nicht zwangsläufig und unter allen Umständen als personenbezogene Daten zu betrachten). Die Verordnung soll auch für Unternehmen, die außerhalb der EU ansässig sind, gelten – allerdings nur dann, wenn die Datenverarbeitung darauf abzielt, u.a. das Verhalten von Personen in der EU zu beobachten (Art 3 Nr. 2b). Im Kontext wird klar, dass es sich vornehmlich um Internetaktivitäten handeln muss. Zitat aus Erwägungsgrund (21) der Grundverordnung: „Ob eine Verarbeitungstätigkeit der Beobachtung des Verhaltens von Personen gilt, sollte daran festgemacht werden, ob ihre Internetaktivitäten mit Hilfe von Datenverarbeitungstechniken nachvollzogen werden, durch die einer Person ein Profil zugeordnet wird, das die Grundlage für sie betreffende Entscheidungen bildet oder anhand dessen ihre persönliche Vorlieben, Verhaltensweisen oder Gepflogenheiten analysiert oder vorausgesagt werden sollen".Artikel 41 DS-GVO stellt ausdrücklich klar, dass eine Datenübermittlung vorgenommen werden darf, wenn die Kommission festgestellt hat, dass das betreffende Drittland beziehungsweise ein Gebiet oder ein Verarbeitungssektor dieses Drittlands oder die betreffende internationale Organisation einen angemessenen Schutz bietet. Derartige Datenübermittlungen bedürfen keiner weiteren Genehmigung. Liegt allerdings kein Beschluss der Kommission vor, so muss die Datenübermittlung auf der Grundlage von geeigneten Garantien erfolgen. Zu nennen wären hier binding corporate rules, Standardvertragsklauseln. Art. 43 DS-GVO beinhaltet hierzu detaillierte Regelungen. Dabei ist streng darauf zu achten, ob Kriterien wie Rechtsverbindlichkeit interner Vorschriften, Datenschutzgrundsätze, Haftungsfragen, Betroffenenrechte, Implementierung eines Datenschutzbeauftragten, Compliance-Vorschriften usw. eingehalten wurden. Der Katalog wurde sehr weit gefasst, sodass hier anzunehmen ist, dass unternehmensinterne Vorschriften deutlich mehr in den Fokus rücken als bisher. Definition personenbezogener DatenPersonenbezogene Daten werden in Art. 4 Abs. 1 DS-GVO legal definiert, welche vom deutschen BDSG inhaltlich abweichen. Nach der DS-GVO gelten als personenbezogene Daten nun solche, die direkt oder indirekt einer Person zugeordnet werden können. Liest man diese Legaldefinition mit dem EG 23 (siehe unter 3.), so ist diese Definition wahrscheinlich als sog. unbestimmter Rechtsbegriff zu lesen. Wie die jeweiligen Sachverhalte darunter subsumiert werden, insbesondere bei indirekter Zuordnung von personenbezogenen Daten, wird schließlich jeweils eine Einzelfallentscheidung werden. Zulässigkeit der VerarbeitungNach Art. 4 Abs. 3 d DS-GVO ist die Verarbeitung (also Erheben, Nutzen, Löschen) nur zulässig, wenn eine Einwilligung vorliegt oder diese Verordnung selbst die Einwilligung erteilt. Nach wie vor ist der Zweck wie z.B. Vertragsbeziehungen, vorvertragliche Vertrauensverhältnisse maßgeblich. Die Einwilligung muss nunmehr allerdings expressis verbis also ausdrücklich erfolgen (Art. 4 Abs 8 DS-GVO), dass die betroffene Person mit der Verarbeitung einverstanden ist. Hierfür wird nunmehr der für die Verarbeitung Verantwortliche nach der allgemeinen Beweislastregel die Beweislast tragen müssen. Es wird demzufolge die Aufgabe des Verantwortlichen werden, die Einwilligung zur Absicherung in geeigneter Form zu dokumentieren. Art. 7 Abs 3 DS-GVO regelt die Widerruflichkeit. Es besteht zwar ausdrücklich kein Schriftformerfordernis. Allerdings trägt der Verantwortliche wie zuvor beschrieben die Beweislast. Hier wird möglichenfalls eine schriftliche Dokumentation erforderlich werden. Auch der Beschäftigungsdatenschutz (z.B. zw. Arbeitnehmern und Arbeitgebern) wird zunehmend im Hinblick auf ein erhebliches Ungleichgewicht eine Rolle spielen (siehe Art. 7 Abs. 4 DS-GVO). Die Einwilligung bietet keine Rechtsgrundlage für die Verarbeitung, wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein erhebliches Ungleichgewicht besteht. Das Tatbestandsmerkmal "erhebliches Ungleichgewicht" stellt hier erneut einen unbestimmten Rechtsbegriff dar. Daher wäre jeder Sachverhalt künftig eine Einzelfallentscheidung. Ein sog. Subordinationsverhältnis ist jedenfalls zwischen Arbeitgeber und Arbeitnehmer oder zwischen Staat und Bürger zu bejahen. Allerdings bleibt hier offen, wie es sich beispielsweise zwischen einem Verbraucher und Unternehmer verhält. Wird hier auch von einem erheblichen Ungleichgewicht gesprochen? Aus Sicht der Unternehmen bedeutet dies, dass sie bei jeder Verarbeitung von personenbezogenen Verbraucherdaten darauf angewiesen sind, eine gemäß Art. 6 Abs. 1 f DS-GVO „richtige“ Abwägung der Interessen vorzunehmen, wobei sie stets befürchten müssen, dass staatliche Aufsichtsbehörden die Abwägung überprüfen und zu abweichenden Ergebnissen gelangen.Art. 17 DS-GVO regelt das Löschen von Daten präzisiert um ein Recht auf „Vergessenwerden“. Verschärfte Anforderungen und daraus resultierende Handlungspflichten gelten im Falle einer Veröffentlichung von Daten, nämlich das Unternehmen von allen vertretbaren Schritten, auch technischer Art diese Daten inklusive Querverweise zu löschen (Anmerkung: Vergisst das Internet wirklich nie?)Gänzlich neu wird das Recht auf Datenübertragbarkeit sein, welches in Art. 18 DS-GVO normiert ist. Danach haben Personen, deren Daten in gängigen strukturierten Formaten verarbeitet werden, das Recht, hiervon eine elektronische Kopie zu erhalten. Auf Verlangen soll ein Betroffener seine Daten bei einem Anbieter komplett löschen und zu einem anderen verschieben können. Anpassung SchutzzweckAnpassung des Schutzzweckes an veränderte äußere Gegebenheiten (Transparenzgebot, Schutz Minderjähriger, technische Weiterentwicklungen). Siehe hierzu die lesenswerte Empfehlung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder: „Ein modernes Datenschutzrecht für das 21. Jahrhundert“[1] DatenschutzverletzungenDiese sind nun durch den für die Verarbeitung Verantwortlichen gegenüber einer Aufsichtsbehörde und der betroffenen Person binnen 24 Stunden nach Feststellung der Verletzung zu melden (Art. 31 und 32 DS-GVO). Nach Art 33 DS-GVO führt bei Verarbeitungsvorgängen, die aufgrund ihres Wesens, ihres Umfangs oder ihrer Zwecke konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen, der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Diese Formulierung wird in Absatz 2 durch Regelbeispiele ergänzt. Innerorganisatorische RegelungenDie Benennung eines internen oder externen Datenschutzbeauftragten wird zur gesetzlichen Regel – entgegen des § 4 f BDSG aber u.a. nur bei Unternehmen mit mindestens 250 Beschäftigten und solchen mit bestimmten Kerntätigkeiten (z.B. Durchführung von Verarbeitungsvorgängen). Aufgaben und Befugnisse der AufsichtsbehördenDie Befugnisse werden in Art 53 näher bezeichnet, z.B. Hinweis und Anweisungspflichten, Ermahnungen bis hin zu Verboten und Zugangsersuchen zu Geschäftsräumen. Verstöße können ordnungsrechtliche Strafen bis max. 1 Mio. € nach sich ziehen. Aus juristischer Sicht dürfte mit dieser Grundverordnung zwar EU-weit ein einheitlicher Datenschutz verankert werden. Allerdings lässt diese Grundverordnung auch viel Interpretationsspielraum zu. Es bleibt daher abzuwarten, ob die Europäische Kommission diesen Reformvorschlag 1:1 umsetzen wird. Das BDSG mit seinen durchaus soliden und rechtssicheren Formulierungen, insbesondere bei der Definition von personenbezogenen Daten, wäre als nachrangige Rechtsnorm bedeutungslos. Insoweit wird dies auch vom Deutschen Anwaltsverein (DAV) kritisch gesehen, siehe Stellungnahme des Deutschen Anwaltvereins durch die Ausschüsse Informationsrecht und Verfassungsrecht zum Vorschlag für „Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung)“ (Kom(2012) 11 endgültig).[2] Aktuelles/Verweise:Der Rat der Europäischen Union hat am 04.12.2014 eine partielle allgemeine Ausrichtung bezüglich der Anwendung der Datenschutz-Grundverordnung auf den öffentlichen Bereich angenommen (pdf-Datei, hinterlegt auf den Seiten des Rats[3])[4].EntwicklungsgeschichteZiel des GesetzesLiteratur zum Thema in der Datenbank beck-onlinezusätzliche Materialien Quellen:[1] https://www.bfdi.bund.de/SharedDocs/Publikationen/Allgemein/79DSKEckpunktepapierBroschuere.pdf?__blob=publicationFile[2] http://www.anwaltverein.de/downloads/Stellungnahmen-11/Stellungnahme-47.2012.pdf[3] http://register.consilium.europa.eu/doc/srv?l=de&f=ST%2016140%202014%20INIT[4] http://gesetzgebung.beck.de/news/datenschutz-grundverordnung