Source: https://www.angerercollegen.de/mandanteninformationen/detail/news/datenschutz-grundverordnung-im-alltag/
Timestamp: 2019-11-13 12:56:59
Document Index: 102039854

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 6', 'Art. 17', 'Art. 17', 'Art. 17', 'Art. 28', 'Art. 28', '§ 26']

Dezember 2018 Datenschutz Sven Angerer
In unserer Mandanteninformation aus April 2018 hatten wir auf die am 25. Mai 2018 ohne Übergangsfrist verbindlich in Kraft getretene neue EU-Daten-schutz-Grundverordnung (DS-GVO) hingewiesen. Aufgrund der umfangreichen Nachfragen dürfen wir die wesentlichen Eckdaten ohne Anspruch auf Vollständigkeit als Überblick noch einmal zusammenfassen. Dabei sind in den Unternehmen im Wesentlichen die nachbenannten drei Bereiche (A., B. und C.) zu unterscheiden. Die Verarbeitung personenbezogener Daten von EU-Bürgern betrifft z.B. Name, Adresse, Telefonnummer, E-Mail- oder IP-Adresse in Computern, Internet, dienstlichem Smartphone, Tablet oder E-Mail.
Verarbeitung personenbezogener Daten im Außenverhältnis zu den Kunden
Die Speicherung personenbezogener Daten von natürlichen Personen ist im Wesentlichen (unter Außerachtlassung des Handels im Online-Geschäft) in folgenden Fällen statthaft:
Der Kunde hat eingewilligt (Art. 6 Abs. 1 lit. a) DS-GVO). Bei der Erarbeitung einer solchen Einwilligung sind wir Ihnen gerne behilflich.
Die Verarbeitung ist für die Erfüllung des Auftrages, den Ihnen der Kunde erteilt hat, notwendig (Art. 6 Abs. 1 lit. b) DS-GVO).
Die Verarbeitung ist zur Wahrung Ihrer berechtigten Interessen oder der Interessen eines Dritten erforderlich, es sei denn, Rechte Dritter überwiegen (Art. 6 Abs. 1 lit. f) DS-GVO).
Personenbezogene Daten von Kunden oder Dritten sind in folgenden Fällen zwingend zu löschen:
Wenn die Speicherung von Anfang an rechtswidrig war (also keiner der in I. genannten Fälle vorliegt, Art. 17 Abs. 1 lit. d) DS-GVO).
Wenn sie ursprünglich rechtmäßig war, aber
der Kunde die o.a. erteilte Einwilligung widerruft, oder
der Mandant der weiteren Speicherung widerspricht.
Ausnahme: Auch in diesen Fällen dürfen Sie die Daten weiter speichern, wenn sie gesetzlichen (etwa handelsrechtlichen oder steuerlichen) Aufbewahrungspflichten unterliegen (Art. 17 Abs. 3 DS-GVO) oder wenn vorrangige Interessen Ihres Hauses vorliegen (Art. 17 Abs. 1 lit. c) DS-GVO). Letzteres kann z.B. der Fall sein, wenn der Kunde noch nicht alle Rechnungen gezahlt hat.
Notwendigkeit der Löschung
Schon bei der Erhebung von personenbezogenen Daten muss geprüft werden, ob diese für Ihren Auftrag erforderlich sind. Ist dies nicht der Fall, sollte die Speicherung von Anfang an unterbleiben. Entsteht später die Pflicht zur Löschung, sind die personenbezogen Daten unverzüglich unbrauchbar zu machen. Dies gilt auch für Backups, Clouds etc.. Löschung bedeutet Löschung. Soweit keine Einwilligung vorliegt, sind die Daten insbesondere zu löschen, wenn sie für die Durchführung des Auftrages nicht mehr benötigt werden und vorrangige berechtigte Interessen Ihres Hauses nicht vorliegen. Dafür können formalisierte Konzepte sinnvoll sein (siehe auch Punkt VI.).
Wenn Sie sich bei der Bearbeitung von Daten der Leistung Dritter bedienen, etwa Ihres IT-Hauses oder einer Cloud, raten wir dringend an, mit den jeweiligen Anbietern Regelungen zu Daten-Auftragsverarbeitung i.S.v. Art. 28 DS-GVO abzuschließen. Dies sichert Sie bei Fragen Ihrer Kunden zur Verarbeitung von deren personenbezogenen Daten ab. Gerne sind wir bei der Abfassung solcher Regelungen behilflich.
Unser Hinweis: Standesberufe (etwa Rechtsanwälte, Steuerberater, Wirtschaftsprüfer) führen keine Auftragsverarbeitung i.S.v. Art. 28 DS-GVO durch.
Auftragsverarbeiter kann nur sein, wer personenbezogene Daten im Auftrag, also nach Ihrer Weisung verarbeitet. Abweichend davon werden Standesberufe aufgrund ihres Berufsrechts stets eigenverantwortlich sowie zur beruflichen Verschwiegenheit verpflichtet tätig.
Bei Verstoß gegen die Vorschriften der DS-GVO können Bußgelder bis zu € 20,00 Mio. bzw. bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden. Schon deshalb sollte man die Speicherung personenbezogener Daten nicht auf die leichte Schulter nehmen.
Verarbeitungsverzeichnis (Gesamtkonzept zur Einhaltung des Datenschutzes)
Jeder, der personenbezogene Daten Dritter speichert, ist verpflichtet, ein sog. Verarbeitungsverzeichnis aufzustellen, aus dem sich die Prozesse der Verarbeitung personenbezogener Daten und die Sicherstellung von deren Löschung, wenn sie nicht mehr benötigt werden, ergeben.
Speicherung personenbezogener Daten von Mitarbeitern
Konkrete Regelungen zur Speicherung von Arbeitnehmer-Daten finden sich in der DS-GVO nicht. § 26 Bundesdatenschutzgesetz (BDSG) in der seit 25. Mai 2018 gültigen Fassung bestimmt, dass personenbezogene Daten von Beschäftigten verarbeitet werden dürfen, soweit dies für die Durchführung des Arbeitsverhältnisses erforderlich ist. Dies betrifft z.B. die zur Erstellung der Entgeltabrechnung erforderlichen Daten wie Name und Steuerklasse. In allen anderen Fällen, in denen keine zwingende Erforderlichkeit besteht, etwa bei internen Geburtstagslisten oder der Veröffentlichung von Mitarbeiterfotos/-videos auf der Unternehmenshomepage, ist die Datenverarbeitung nur zulässig, wenn und solange der Mitarbeiter freiwillig und schriftlich in diese eingewilligt hat. Dabei muss der Mitarbeiter umfassend über den Zweck und den Umfang der Datennutzung sowie seine Rechte informiert werden. Eine ohne konkreten Anlass eingeholte „Generaleinwilligung“ (z.B. im Arbeitsvertrag) ist nicht ausreichend. Erforderlich ist eine konkrete Regelung im Einzelfall, bei deren Erstellung wir Ihnen gerne behilflich sind.
Sind in Ihrem Unternehmen mindestens zehn Personen / Köpfe (vom Vollbeschäftigten bis hin zum Praktikanten) ständig mit der Verarbeitung personenbezogener Daten (z. B. als Sachbearbeiter, Mitarbeiter der Personal- und Finanzabteilung etc.) beschäftigt, muss ein Datenschutzbeauftragter benannt werden. Die Regelungen zum Datenschutzbeauftragten finden sich (unverändert) im BDSG.
Für alle Fragen zu den vorstehenden Hinweisen, wie auch zum Datenschutz allgemein, stehen wir Ihnen jederzeit gerne zur Verfügung. Wie stets kann diese Mandanteninformation nur einen ersten Überblick über die DS-GVO/das BDSG, deren Anforderungen und Rechtsfolgen geben. Sie erhebt weder den Anspruch auf Vollständigkeit, noch auf umfassende inhaltliche Richtigkeit. Ergänzend verweisen wir auf unsere Mandanteninformation aus April 2018, die Sie auch weiterhin auf unserer Homepage abrufen können.
Sven Angerer / Robin Berkey
PDF – Datenschutz-Grundverordnung_II.pdf 123 KB
flächendeckender (allgemeiner) gesetzlicher Mindestlohn.
Der gesetzliche Mindestlohn gilt auch für geringfügig Beschäftigte, besser bekannt als „Minijobber“ oder „450...