Source: https://www.legitimis.de/de/klartext-die-frist-laeuft-eu-datenschutzgrundverordnung-endspurt/
Timestamp: 2020-05-31 14:21:10
Document Index: 7854176

Matched Legal Cases: ['§ 43', 'Art. 83', 'Art. 82', 'EuG', 'Art. 82', 'Art. 37', '§ 4', 'Art. 37', 'Art. 39', '§ 4', 'Art. 39', '§ 4', 'Art.5', 'Art. 5', 'Art. 24', '§ 4', 'Art. 35', 'Art. 36', 'Art. 3', 'Art. 288', 'Art. 5', 'Art. 12', 'Art. 12', '§ 9', 'Art. 5', '§ 42', 'Art. 33', 'Art. 34', 'Art. 4', '§ 42', 'Art. 34', 'Art. 17', 'Art. 21', 'Art. 17', 'Art. 17', 'Art. 6', 'Art. 23', 'Art. 7']

Klartext: Die Frist läuft – EU-Datenschutzgrundverordnung Endspurt! – legitimis [Daten.Schutz.Sicherheit]
Klartext: Die Frist läuft – EU-Datenschutzgrundverordnung Endspurt!
Wie Sie alle wissen stehen im Datenschutzrecht ein paar Veränderungen und Neuerungen bevor. Durch die ab dem 25. Mai 218 geltende EU-Datenschutz-Grundverordnung (DSGVO) wird das derzeit gültige Bundesdatenschutzgesetz (BDSG) abgelöst. Dies sollte durch eine rechtzeitige Anpassung allerdings vielmehr als Chance gesehen werden, da durch eine datenschutzrechtlich konforme Aufstellung Prozesse im Unternehmen vereinheitlicht werden und so Synergien genutzt werden können.
Um sich dieser spannenden Herausforderung bestmöglich zu stellen, möchten wir Ihnen vorab bereits einen Überblick verschaffen, was sich für Ihr Unternehmen in Zukunft verändern wird und wo wir Handlungsbedarf identifizieren. So ist angedacht, dass wir zeitig die einzelnen, speziell auf ihr Unternehmen zugeschnittenen Stolpersteine, tiefgehend darlegen und Ihnen dazu dementsprechend Lösungen präsentieren.
Allgemein lässt sich anmerken, dass das BDSG und die DSGVO sich zwar im Aufbau und der Systematik durchaus ähneln, jedoch müssen die Unternehmen durch strengere Auflagen und dokumentarische Pflichten weitaus umfangreichere Strukturen und Prozesse schaffen, um den neuen Vorgaben gerecht zu werden. Die DSGVO bringt für Unternehmen folglich einen nicht unerheblichen Mehraufwand mit sich.
Gerne möchten wir Ihnen mit den folgenden Punkten einen Überblick über die grundlegendsten Veränderungen geben.
Drastischere Sanktionen
Die Aufsichtsbehörden sollen sicherstellen, dass die Geldbußen für Verstöße gegen die Verordnung „wirksam, verhältnismäßig und abschreckend“ sind. Anders als das BDSG (§ 43), welches ein Bußgeld von maximal 300.000 Euro vorsah, ist gem. Art. 83 DSGVO eine Strafe in Höhe von bis zu 10.000.000 Euro oder 2 % des weltweiten Konzernumsatzes möglich (Je nachdem welcher Betrag höher ist). Die Bußgelder verschärfen sich somit erheblich.
Darüber hinaus steigen für die Unternehmen auch die Risiken der Haftung. Künftig wird gem. Art. 82 I DSGVO neben materiellen auch für immaterielle Schäden zivilrechtlich gehaftet, wenn Datenschutzverstöße vorliegen. Es bleibt abzuwarten wie künftig die deutschen Gerichte in der Praxis die immateriellen Schäden bemessen, da diese gerade in der Vergangenheit in der Rechtsprechung eher zurückhaltend waren. Der EuGH wird sicher hier in Zukunft auf Grundlage der DSGVO neue Maßstäbe anlegen. Eine weitere nicht unwichtige Neuerung ist zudem auch die ausdrückliche Erweiterung der Haftung auf Auftragsverarbeiter bei Pflichtverletzungen nach Art. 82 I DSGVO.
Die Rolle des Datenschutzbeauftragten wird insgesamt weiter verstärkt, in dem er noch stärker in die Prozesse integriert werden muss. Grundsätzlich sieht die Verordnung die Pflicht zur Bestellung eines Datenschutzbeauftragten nur unter engen Voraussetzungen vor. Unternehmen müssen allerdings einen Datenschutzbeauftragten zwingend bestellen, wenn das Recht eines Mitgliedstaates dieses gem. Art. 37 IV DSGVO vorschreibt. Es ist davon auszugehen, sofern der deutsche Gesetzgeber § 4f BDSG nicht aufhebt, dass es bei den bekannten Voraussetzungen für die Bestellung eines Datenschutzbeauftragten bleibt. Es besteht derzeit auch kein Anlass zu der Annahme, dass Art. 37 bis Art. 39 DSGVO den bislang in § 4f Abs. 3 BDSG geregelten Kündigungsschutz, das Benachteiligungsverbot oder den Schutz vor Widerruf der Bestellung verdrängen. Hier werden wahrscheinlich jeweils die staatlichen Einzelbestimmungen gelten. Zu den Aufgaben des Datenschutzbeauftragten zählen unter anderem: die Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten beim Datenschutz, die Überwachung der Einhaltung der DSGVO und anderer Datenschutzvorschriften sowie die Überwachung der Strategien für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, Schulungen und Überprüfungen. Weiter arbeitet er mit der Aufsichtsbehörde zusammen, berät auf Anfrage zu der Datenschutz-Folgeabschätzung und überwacht auch deren Durchführung. Neu ist auch die explizite Erwähnung in Art. 39 I lit. B DSGVO, dass er umfassende Überwachungspflichten hat und nicht mehr nach § 4f I S.1 BDSG auf die Einhaltung bloß „hinwirkt“. Darauf anlehnend, bleibt es daher abzuwarten, ob und in welchem Maße der Datenschutzbeauftragte einer strafrechtlichen Verantwortlichkeit als Überwachungsgarant zugeschrieben wird.
Grundsätzlich sieht die DSGVO deutlich erweiterte Nachweispflichten vor. Man spricht von der sogenannten accountability. Gem. Art.5 II DSGVO beispielsweise muss der für die Verarbeitung Verantwortliche nachweisen können, dass er die in Art. 5 I DSGVO geregelten Datenschutzgrundsätze ordnungsgemäß eingehalten hat. Bei einem Verstoß können erhebliche Bußgelder drohen. Weiter muss der für die Verarbeitung Verantwortliche gem. Art. 24 I DSGVO nachweisen, dass er personenbezogene Daten in Übereinstimmung mit der Verordnung verarbeitet. Auch die Pflichten des Auftragsverarbeiters erhöhen sich, so muss dieser zum Beispiel dem Verantwortlichen alle erforderlichen Informationen zur Verfügung stellen, damit der Verantwortliche nachweisen kann, dass er seine in art. 32 – 36 DSGVO geregelten Pflichten erfüllt hat.
Die DSFA löst die Vorabkontrolle nach § 4 V BDSG ab. Im Gegensatz zur Vorabkontrolle macht die DSFA einen größeren Anwendungsbereich geltend, da der Tatbestand nach Art. 35 I DSGVO recht offen gestaltet wurde, was zur Folge hat, dass eine gewisse Rechtsunsicherheit in der Frage entsteht, wann die Tatbestände einer DSFA genau erfüllt sind. Hierbei sollen unter Hinzunahme von Art, Umfang sowie Ursachen möglicher Risiken die Eintrittswahrscheinlichkeit und das Ausmaß des Risikos bewertet werden. Darüber hinaus sollen Maßnahmen und Verfahren ausgearbeitet werden, mit denen das Unternehmen die Risiken mindert und sich complient aufstellt. Aufsichtsbehörden müssen nach Art. 36 DSGVO zwingend informiert werden, sofern die Datenschutz-Folgenabschätzung ergibt, dass die geplante Datenverarbeitung tatsächlich ein hohes Risiko zur Folge hat.
Globale Anwendung
Das Niederlassungsprinzip der Verordnung wird durch das sogenannte Marktortprinzip aus Art. 3 II DSGVO zusätzlich erweitert, sodass die Verordnung auch auf Verantwortliche oder Auftragsverarbeiter ohne Niederlassung in der EU Anwendung finden. Dadurch wird der räumliche Anwendungsbereich des EU-Datenschutzrechts erheblich erweitert. Die Verordnung findet zum einen auf Datenverarbeitungen Anwendungen, die der Beobachtung von betroffenen Personen in der EU dienen, aber auch zum anderen auch für Datenverarbeitungen, die dazu dienen, betroffenen Personen in der EU Waren oder Dienstleistungen anzubieten.
Vorrang der DSGVO vor anderen Rechtsvorschriften der Mitgliedstaaten
Die DSGVO ist anders, als dass BDSG kein Auffanggesetz, sondern eine Vorrangregelung. Das heißt sie geht als EU-Verordnung den Rechtsvorschriften der einzelnen Mitgliedstaaten vor und gilt nach Art. 288 II S.1 AEUV unmittelbar und direkt. Sofern in der DSGVO keine ausdrücklichen Möglichkeiten für einzelstaatliche Regelungen festgehalten sind, verdrängt sie Vorschriften der Mitgliedsstaaten zur Datenverarbeitung. Normalgesetzliche Regelungen wie etwa dem Kreditwesengesetz, dem Betriebsverfassungsgesetz oder den Sozialgesetzbüchern, geht die DSGVO, sofern diese nicht den Anforderungen der Ausnahmevorschriften genügen, vor.
Künftig müssen Unternehmen betroffene Personen deutlich umfassender als bislang und in einer nachvollziehbaren Weise darüber informieren, wie sie deren Daten verarbeiten. Nach Art. 5 I DSGVO zählt der Transparenzgrundsatz zu den wesentlichen Prinzipien der Verordnung. Grundsätzlich hat der Verantwortliche betroffene Personen, unter Androhung von empfindlicher Bußgelder, von der Verarbeitung ihrer personenbezogenen Daten nach den Vorschriften des Art. 12 I DSGVO präzise zu verständigen. In Art. 12 – 15 DSGVO sind hierzu umfangreiche Unterrichtungsrechte und Auskunftspflichten vorgegeben. Diese gehen weit über die Pflichten des BDSG hinaus. Die Unterrichtungspflichten können aber unter Umständen entfallen, wenn die betroffene Person bereits über die fragliche Information verfügt bzw. verfügen haben müsste.
Die DSGVO sieht künftig auch für Verstöße gegen § 9 BSDG ein Bußgeld vor. Dies war vorher nicht der Fall. Unternehmen sollen grundsätzlich so gestaltet sein, dass sie die Datenschutzgrundsätze des Art. 5 DSGVO wirksam umsetzen. Weiter sollen IT-Systeme so voreingestellt werden, dass sie grundsätzlich nur die für den Zweck erforderlichen personenbezogenen Daten verarbeiten, um so den Grundsatz der Datenminimierung zu entsprechen. Weitere Maßnahmen liegen in der schnellst möglichen Pseudonymisierung der Daten, um die Datensicherheit zu gewähren. Künftig soll das Recht auf Datenschutz bereits bei der Entwicklung und Ausgestaltung von IT-Produkten, Diensten und Anwendungen berücksichtigt werden, was nicht zuletzt nochmal die gesteigerte Bedeutung des Datenschutzes unterstreicht.
Die Meldepflichten gegenüber den Aufsichtsbehörden sowie die Benachrichtigungspflichten gegenüber den betroffenen Personen der DSGVO sind insgesamt weitreichender als die Regelungen des § 42a BDSG. Die einzelnen Bestimmungen lassen sich in Art. 33 und Art. 34 DSGVO finden. Eine wesentliche Voraussetzung einer Melde- oder Benachrichtigungspflicht stellt eine Datenschutzverletzung dar. Der Art. 4 Nr. 12 DSGVO definiert eine Datenschutzverletzung als eine „Verletzung des Schutzes personenbezogener Daten, Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob zufällig oder unrechtmäßig, oder zur unbefugten Weitergabe von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“ Diese Tatbestandsmerkmale gehen deutlich weiter als die des § 42a BDSG. Wie bisher auch müssen grundsätzlich die verantwortlichen Unternehmen jede Datenschutzverletzung unverzüglich melden, nachdem dem Verantwortlichen die Verletzung bekannt wurde. Dieser Pflicht sind Vorfälle ausgenommen, wo die Verletzung nicht zu einem Risiko für die persönlichen Rechte und Freiheiten der von der Datenschutzverletzung betroffenen Personen führt. Ist dieser spezielle Fall allerdings nicht gegeben, so hat der Verantwortliche im Sinne des Art. 34 I DSGVO die hiervon betroffene Person ohne unangemessene Verzögerung zu benachrichtigen, sofern der Verantwortliche die Risiken für die betroffene Person durch geeignete technische und organisatorische Sicherheitsvorkehrungen oder durch nachfolgende Maßnahmen ausgeschlossen hat.
Löschen von Daten und Recht auf Vergessen
Auch die Löschpflichten sind in der DSGVO umfassender beschrieben als im BDSG. Der Verantwortliche muss personenbezogene Daten ohne unangemessene Verzögerung löschen, sofern einer der in Art. 17 I DSGVO genannten Gründe zutrifft. Einer der dort aufgeführten Gründe kann auch darin liegen, dass die betroffene Person nach Art. 21 I DSGVO Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten einlegt. Im Falle eines solchen Widerspruchs muss der Verantwortliche gem. Art. 17 I lit. c DSGVO. diese Daten löschen, sofern keine vorrangigen berechtigten Gründe für die weitere Verarbeitung vorliegen. Wenn die zu löschenden personenbezogenen Daten öffentlich gemacht wurden, so muss der Verantwortliche andere Verantwortliche, die diese Daten verarbeiten, davon informieren, dass die betroffene Person von ihnen die Lösung aller Replikationen, Kopien oder Links nach Art. 17 II, III DSGVO. Die Ausnahmeregelungen sind im Vergleich zum BDSG enger gefasst.
Zweckänderung und Vereinbarkeit
Wie bisher auch entscheidet bei der Erhebung von Daten der verfolgte Zweck über die Zulässigkeit ihrer Verarbeitung. Wenn personenbezogene Daten für einen anderen Zweck verarbeitet werden sollen als den, für den sie erhoben wurden, spricht man von einer sogenannten Zweckänderung. Anders als im bestehenden Recht, soll die Verarbeitung personenbezogener Daten für einen anderen Zweck als den, zu dem die Daten erhoben wurden, nach Art. 6 III DSGVO zunächst zulässig sein, sofern die betroffene Person in eine solche Zweckänderung eingewilligt hat oder es eine Rechtsvorschrift im Sinne von Art. 23 I DSGVO erlaubt. Im Praxisfall werden die Vereinbarkeit mit dem ursprünglichen Zweck sowie Garantien, wie etwa die Pseudonymisierung der Daten, die Zulässigkeit einer Zweckänderung entscheiden.
In der DSGVO wird anders als im BDSG nicht mehr zwischen Datenverarbeitung für eigene Zwecke und Datenverarbeitung zur Wahrung berechtigter Interessen Dritter differenziert, sodass die Anforderungen an die Übermittlung personenbezogener Daten zwischen Verantwortlichen, die zu einem Konzern angehören, aufgelockert werden. Sofern die Datenverarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten den Grundrechten und Grundfreiheiten der betroffenen Personen überwiegen, spricht die Verordnung kein Verbot aus. Verantwortliche die Teil eines Konzerns sind, haben laut dem Erwägungsgrund 37 regelmäßig ein berechtigtes Interesse personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke zu übermitteln. Dies gilt auch ausdrücklich für die Verarbeitung personenbezogener Daten von Kunden und Beschäftigten. Wobei im Rahmen des Beschäftigtenschutzes noch das Datenschutz-Anpassungsgesetz des deutschen Gesetzgebers abzuwarten ist.
Die Einwilligung soll nach Art. 7 DSGVO ohne Zwang erfolgen. Dies wird gewährleistet indem verhindert wird, dass Verantwortliche die Erfüllung eines Vertrages, einschließlich der Erbringung einer Dienstleistung, davon abhängig machen, ob die betroffene Person in die Datenverarbeitung einwilligt hat. Für eine Einwilligung braucht es folglich eine eindeutige Handlung, mit der der Betroffene ohne Zwang und in Kenntnis der Sachlage bekundet, dass er mit einer Verarbeitung seiner personenbezogenen Daten einverstanden ist.
Vieles bleibt gleich – einiges verschärft sich
Zusammenfassend lässt sich sagen, dass die Datenschutzgrundverordnung sich sehr stark am Bundesdatenschutzgesetz im Aufbau und der Systematik orientiert, jedoch erwarten uns gemeinsam strengere Auflagen bezüglich der dokumentarischen Pflichten, so dass weitaus umfangreichere Strukturen und Prozesse zu schaffen sind, um den neuen Vorgaben gerecht zu werden.
Als ordentlich bestellter Datenschutzbeauftragter nehmen wir uns gerne der Herausforderung an und werden wie gewohnt in enger Abstimmung mit Ihnen gemeinsam dafür Sorge tragen, dass ihr Unternehmen datenschutzrechtlich nachhaltig aufgestellt ist.