Source: https://www.datenschutzcheck.com/datenschutz-faq/
Timestamp: 2018-05-23 22:36:23
Document Index: 268264170

Matched Legal Cases: ['Art. 39', '§38', 'Art. 33', 'Art. 24', 'Art. 28', 'Art. 37', 'Art. 38', 'Art. 28', 'Art. 33', 'Art.25']

Die Aufgaben der oder des Datenschutzbeauftragten ergeben sich aus Art. 39 DSGVO:
Außerdem übernimmt der Datenschutzbeauftragte in Abstimmung mit der Geschäftsleitung die Kommunikation mit der Aufsichtsbehörde.
Unter welchen Bedingungen muss ein(e) Datenschutzbeauftragte(r) bestellt werden?
Das BDSG-neu schreibt die Bestellung des Datenschutzbeauftragten vor, „soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.
Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.“ (§38 BDSG-neu).
Aber auch falls das nicht zutrifft müssen die einschlägigen Vorschriften eingehalten werden. Hier sind die Meldepflicht von Datenpannen (Art. 33 DSGVO), die Nachweispflicht (Art. 24 DSGVO) und die Vorschriften zur Auftragsdatenverarbeitung (Art. 28f DSGVO) besonders zu nennen. Letztere gelten auch schon für Dienstleister, die unternehmenseigene EDV-Systeme "nur" warten. Unabhängig von der Größe der beteiligten Unternehmen.
Der Datenschutzbeauftragte muss über eine entsprechende berufliche und datenschutzrechtliche Qualifizierung verfügen (Art. 37 Abs.5 DSGVO). Außerdem dürfen weitere Aufgaben und Pflichten im Unternehmen zu keinen Interessenskonflikten mit seiner Tätigkeit als DSB führen (Art. 38 Abs.6 DSGVO). Der Datenschutzbeauftragte ist der zuständigen Aufsichtsbehörde zu melden. Diese kann im Zweifel der Ernennung widersprechen.
Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten, die die verantwortliche Stelle erhebt oder verwendet. Zur Fachkunde gehören neben umfassenden Kenntnissen im IT-Bereich auch gute juristische und organisatorische Kenntnisse. Das bedeutet, dass die grundsätzlichen sowie bereichsspezifischen datenschutzrechtlichen Regelungen sicher angewandt werden können.
Die erforderliche Fachkunde kann beispielsweise durch den Besuch von Fortbildungsveranstaltungen - ausnahmsweise im Einzelfall auch nach Aufnahme der Tätigkeit einer oder eines Datenschutzbeauftragten - erworben werden. Eine Prüfung oder Zertifizierung ist gesetzlich nicht vorgeschrieben. Entscheidend ist, dass die ausgewählte Person tatsächlich befähigt ist, die die Aufgabe als Datenschutzbeauftragten wahrzunehmen.
Datenschutzbeauftragte sind schriftlich von der Unternehmensleitung zu bestellen, die Beschäftigten des Unternehmens und die Aufsichtsbehörde sind über die Bestellung zu informieren.
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürliche Person, z.B.
auch IP-Adressen (laut der juristischen Mehrheitsmeinung)
Die Angaben müssen sich auf einen Menschen beziehen (lassen). Einzelangaben über juristische Personen, wie zum Kapitalgesellschaften oder eingetragene Vereine, sind keine personenbezogenen Daten. Etwas anderes gilt nur, wenn sich die Angaben auch auf die hinter der juristischen Person stehenden Personen beziehen, z.B. bei der GmbH einer Einzelperson oder bei einer Einzelfirma, wenn enge finanzielle, persönliche oder wirtschaftliche Verflechtungen zwischen der natürlichen und der juristischen Person bestehen.
Kann die Chefin oder der Chef gleichzeitig die Aufgaben einer bzw. eines Datenschutzbeauftragten wahrnehmen?
Nein. Bei den Mitgliedern der Leitung einer verantwortlichen Stelle fehlt es an einer klaren Trennung zwischen den Aufgaben der Stelle und der oder des Datenschutzbeauftragten und somit an der notwendigen Unabhängigkeit bei der Wahrnehmung der Aufgabe als Datenschutzbeauftragte oder Datenschutzbeauftragter. Gleiches gilt für die Leiter(innen) der Personalabteilung und der IT-Abteilung.
Was ist unter einer Verarbeitung von Daten im Auftrag, auch Auftragsdatenverarbeitung genannt, zu verstehen?
Von einer Verarbeitung von Daten im Auftrag, oder kurz Auftragsdatenverarbeitung (ADV) spricht man - im Sinne der Datenschutzgrundverordnung (DSGVO)- in aller Regel dann, wenn die verantwortliche Stelle einen externen Dienstleister mit der Verarbeitung von personenbezogenen Daten beauftragt. Trifft dies zu, ist eine Vereinbarung hinsichtlich des Datenschutzes zu treffen, deren Inhalte durch den Art. 28 DSGVO vorgegeben sind. Ohne eine solche Vereinbarung ist die Verarbeitung nicht zulässig.
Auch Dienstleistungen, die vermeintlich nicht unter die DSGVO fallen, sind hiervon betroffen. Jede (Fern-)Wartung und Prüfung von EDV-Systemen ist mit der Verarbeitung von personenbezogenen Daten gleichgestellt, da hier im Rahmen der Tätigkeit Zugriff auf personenbezogene Daten erlangt werden könnte.
Was bedeutet die Meldepflicht bei Datenpannen?
Mit in Kraft treten der Datenschutz-Grundverordnung muss jeder Datenschutz-Vorfall, bei dem ein Nachteil für die Betroffenen nicht ausgeschlossen werden kann, innerhalb einer Frist von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Dabei ist es unerheblich, ob eine Verletzung der Vertraulichkeit absichtlich oder unabsichtlich, intern oder gegenüber Dritten erfolgt ist (Art. 33 DSGVO). Nicht zuletzt wegen der Höhe der drohenden Bußgelder sind Unternehmen gut beraten, Maßnahmen zu ergreifen, durch die die Einhaltung der Meldefrist bei Datenpannen sichergestellt wird.
Was versteht man unter Privacy by Design / Privacy by Default?
Die Datenschutz-Grundverordnung fordert, dass bereits bei der Entwicklung neuer Technologien zur Verarbeitung personenbezogener Daten datenschutzgerechte Grundeinstellungen berücksichtigt werden müssen. Unternehmen sind damit verpflichtet, bereits bei der Technikgestaltung datenschutzfreundliche Voreinstellungen vorzunehmen und dies auch entsprechend zu dokumentieren (Art.25 DSGVO).