Source: https://www.datenschutzstelle.li/rechtsgrundlagen/faqs-zur-dsgvo
Timestamp: 2019-09-16 10:25:52
Document Index: 203270150

Matched Legal Cases: ['Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 13', 'Art. 15', 'Art. 15', 'Art. 16', 'Art. 6', 'Art. 7', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 9', 'Art. 30', 'Art. 32', 'Art. 35', 'Art. 36', 'Art. 37', 'Art. 38', 'Art. 38', 'Art. 38', 'Art. 38']

FAQs zur DSGVO :: Datenschutzstelle
Art. 4 DSGVO (Begriffsbestimmungen)
Arbeitet ein Internetprovider (ISP) per se mit personenbezogenen Daten?
Ja, gemäss der Definition in Art. 4 Ziffer 1 DSGVO. Demnach gelten ebenso IP-Adressen als personenbezogene Daten. Der Betreiber einer Webseite kann somit gar nicht verhindern, dass er personenbezogene Daten seiner Besucher erhält.
Ist ein Internetprovider als Auftragsverarbeiter einzustufen?
Es kommt darauf an, ob die Verarbeitung eigenständig (nein) oder im Auftrag (ja) vorgenommen wird. Die individuelle Ausgestaltung macht den vorgenannten Unterschied.
Welche Begriffe sind neu in Art. 4 DSGVO bzw. erhalten eine neue Definition?
Umfassender Verarbeitungsbegriff (Art. 4 Ziffer 2): Aufhebung der Dreiteilung (Erhebung, Verarbeitung, Übermittlung)
Auftragsverarbeiter (Art. 4 Ziffer 8: keine Beschränkung mehr auf Auftragsverarbeitung im EWR
Profiling (Art. 4 Ziffer 4)
Einwilligung (Art. 4 Ziffer 11): Die Anforderungen an die informierte, freiwillige Einwilligung wurden graduell erhöht.
Besondere Arten von Daten: Die DSGVO enthält neu Definitionen für „biometrische Daten“ und „genetische Daten“ (Art. 4 Ziffern 12 und 13).
Art. 6 DSGVO (Rechtmässigkeit der Verarbeitung)
Art. 6 Abs. 1 Bst. b oder c DSGVO - zusätzliche Einwilligung nach Bst. a erforderlich?
Es ist keine zusätzliche Einwilligung erforderlich. Art. 6 Abs. 1 DSGVO enthält sechs gleichwertige Zulässigkeitstatbestände, wobei es ausreicht, wenn einer erfüllt ist.
ErwG 62 - Informationspflichten nach Art. 13 und 14 DSGVO
Kann im Sinne des ErwG 62 festgehalten werden, dass die Informationspflichten nach Art. 13 und 14 DSGVO entfallen, wenn sich die Datenverarbeitung auf das BankG bzw. das SPG abstützt bzw. nach diesen Erlassen die entsprechenden Informationen erfasst werden müssen?
Nein, die Informationspflichten nach Art. 13 und 14 DSGVO würden nur dann entfallen, wenn die gegenständlichen Spezialgesetze, sprich das BankG bzw. das SPG den gleichen Umfang wie die Bestimmungen von Art. 13 und 14 DSGVO aufweisen.
Spezialgesetzlichen Bestimmungen
Falls die spezialgesetzlichen Bestimmungen zur Anwendung kommen: Besteht die Auskunftspflicht im Sinne des Art. 15 DSGVO trotzdem?
Die Auskunftspflicht nach Art. 15 DSGVO besteht trotzdem, dies insbesondere auch im Hinblick auf die Rechte nach Art. 16 ff DSGVO, die sonst verwehrt wären.
Ist (E-Mail-)Werbung gemäss Art. 6 Abs. 1 Bst. f DSGVO auch ohne Einwilligung der Betroffenen aufgrund eines „berechtigten Interesses“ des Werbetreibenden zulässig?
ErwG 47 bestätigt, dass Direktwerbung als „berechtigte Interessen“ im Sinne der DSGVO angesehen werden kann. Hinzu kommt, dass aber auch hier die berechtigten Interessen des Unternehmers mit den Interessen des Betroffenen abzuwägen sind. Dabei darf das Interesse des Betroffenen am Schutz seiner personenbezogenen Daten nicht gegenüber den Interessen des Unternehmens überwiegen. Ebenso ist zu berücksichtigen, inwieweit der Betroffene mit der Datenerhebung und -verarbeitung zu den konkreten Werbezwecken rechnen muss.
Art. 7 DSGVO (Bedingungen für die Einwilligung)
Erfordernisse für die Einwilligung
Die Erteilung der Einwilligung erfordert eine freiwillige, spezifisch informierte und eindeutige Handlung wie etwa das Anklicken eines Kästchens auf einer Webseite und die Auswahl technischer Einstellungen bei Online-Diensten.
Keine Einwilligung stellen laut Erwägungsgrund 32 ein stillschweigendes Einverständnis, standardmässig angekreuzte Kästchen oder Untätigkeit des Betroffenen dar.
Zudem fordert die DSGVO, dass in mehrfache Datenverarbeitungsvorgänge jeweils gesondert eingewilligt werden muss. Andernfalls ist die Freiwilligkeit nicht gegeben.
Einwilligung auch elektronisch?
Ja, wenn die oben genannten Voraussetzungen erfüllt sind.
Was ist unter Opt-in-Verfahren zu verstehen?
Bis zum 25. Mai 2018 konnte die Einwilligung auch mittels Opt-out-Verfahren eingeholt werden. Das heisst, das Häkchen in dem Feld, das der Datenverarbeitung zustimmt, war beim Opt-out bereits gesetzt. Um der Verarbeitung zu widersprechen, musste der Betroffene bisher aktiv das Häkchen entfernen.
Mit der DSGVO wird das Opt-out-Verfahren durch das Opt-in-Verfahren abgelöst: Das zwingt eine Person zum aktiven Ankreuzen des Kontrollkästchens, mit dem in die Verarbeitung der personenbezogenen Daten eingewilligt wird.
Wie muss die Einwilligung für E-Mail-Werbung nach der neuen DSGVO eingeholt werden?
Der Adressat der E-Mails muss direkt im Onlineformular, mittels dem er seine Einwilligung gibt, darüber informiert werden,
zu welchem Zweck die Datenverarbeitung erfolgt (z.B. Newsletter-Versendung, Werbe-Mail-Versendung);
und wer der Verantwortliche ist.
Beispiel: Ich bin damit einverstanden, dass mir die Firma XY Informationen und Angebote zum Thema XY per E-Mail zusendet. Ich nehme zur Kenntnis, dass ich die Einwilligung jederzeit widerrufen kann.
Newsletter-Versand - E-Mail-Werbung
Die Ideallösung ist sicher das Double-Opt-in: Hier setzt der Betroffene das entsprechende Häkchen bei der Einwilligung in die Verarbeitung seiner Daten, beispielsweise im Rahmen einer Newsletter-Anmeldung. Im Anschluss erhält er eine E-Mail oder SMS mit einem Bestätigungslink. Erst das Anklicken oder Bestätigen des Links bewirkt, dass der Betroffene dem E-Mail-Verteiler hinzugefügt wird.
Was passiert mit Einwilligungen die vor dem 25. Mai 2018 eingeholt wurden?
Laut Erwägungsgrund 171 gelten alte Einwilligungen weiter, sofern sie bereits vor dem 25. Mai 2018 die Anforderungen der DSGVO erfüllten.
Art. 28 DSGVO (Auftragsverarbeiter)
Was ändert sich gemäss DSGVO neu bei Auftragsverarbeitern?
Der Verantwortliche muss bei der Wahl des Auftragsverarbeiters gemäss Art. 28 Abs. 1 DSGVO besondere Sorgfalt walten lassen
Der Auftragsverarbeiter darf ohne Zustimmung des Verarbeiters keine Subauftragnehmer in Anspruch nehmen
Das Vertragsverhältnis zwischen Auftragsverarbeiter und Verantwortlichem unterliegt der schriftlichen Form mit genau vorgegebenen Vertragspunkten gemäss Art. 28 Abs. 2 DSGVO.
Weitere Informationen zur Auftragsverarbeitung finden Sie hier.
Muss ein Verantwortlicher in allen Fällen ein Verzeichnis von Verarbeitungstätigkeiten führen?
Artikel 30 Abs. 4 DSGVO sieht eine Ausnahme von der Erstellung eines Verzeichnisses von Verarbeitungsvorgängen dann vor, wenn ein Unternehmen weniger als 250 Mitarbeiter hat und zusätzlich keiner der nachfolgenden Punkte erfüllt ist:
Die Verarbeitung personenbezogener Daten des Unternehmens ist mit Risiken für die Rechte und Freiheiten betroffener Personen verbunden;
die Verarbeitung findet regelmässig statt;
Es werden sensible Daten (besondere Datenkategorien gemäss Art. 9 Abs. 1 DSGVO) verarbeitet.
Ist einer dieser Punkte gegeben, ist ein Verzeichnis von Verarbeitungsvorgängen gemäss Art. 30 DSGVO auch bei weniger als 250 Mitarbeitern zu führen.
Weitere Informationen zum Verzeichnis der Verarbeitungstätigkeiten finden Sie hier.
Weitere Informationen zum Verzeichnis von Verarbeitungstätigkeiten finden Sie hier.
Art. 32 DSGVO (Sicherheit der Verarbeitung)
Verlangt die DSGVO ein Mehr an technischen und organisatorischen Massnahmen?
Welche Sicherheitsmassnahmen im konkreten Fall notwendig sind, hängt vom Schutzniveau ab. Basierend auf dem Schutzniveau sind dann unter Berücksichtigung insbesondere des Stands der Technik sowie weiterer Kriterien geeignete technische und organisatorische Massnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Was ist unter dem Begriff „Stand der Technik“ nach der DSGVO zu verstehen?
Darunter ist jener Entwicklungsstand zu verstehen, der nach herrschender Auffassung führender Fachleute das Erreichen des gesetzlich vorgegebenen Zieles gesichert erscheinen lässt. Die Verfahren müssen sich in der Praxis bewährt haben. Die DSS orientiert sich bei der Beurteilung dabei an den aktuellen ISO-Normen sowie am IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik.
Art. 35 DSGVO (Datenschutz-Folgenabschätzung)
Wann muss ein Unternehmen eine Datenschutz-Folgenabschätzung vornehmen?
Eine Datenschutz-Folgenabschätzung ist immer dann durchzuführen, wenn ein Datenverarbeitungsverfahren voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt.
Dies ist etwa der Fall bei der Verwendung neuer Technologien oder aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.
Die betrieblichen Datenschutzbeauftragten müssen in die Datenschutz-Folgenabschätzung eingebunden werden.
Die Datenschutzfolgenabschätzung ist schriftlich zu dokumentieren.
Wie sieht die Durchführung der Datenschutz-Folgenabschätzung in der Praxis aus?
Bei der Durchführung sind die folgenden Schritte wesentlich:
In einem ersten Schritt ist zu prüfen, ob ein hohes Risiko für die Rechte und Freiheiten der Betroffenen besteht. Hauptanwendungsgebiete sind bei Technologien, die automatisiert, systematisch und umfassend Daten erfassen, verarbeiten und bewerten, gegeben.
Besteht ein solches Risiko, ist zu beurteilen, welche Abhilfemassnahmen und Sicherheitsvorkehrungen nötig sind, um den Schutz der Daten zu gewährleisten. Zudem ist zu gewährleisten, dass die DSGVO eingehalten und den Interessen der Betroffenen Rechnung getragen wird.
Bleibt trotz dieser möglichen Massnahmen ein hohes Risiko bestehen, muss in Schritt 3 die Aufsichtsbehörde kontaktiert werden (Art. 36 DSGVO). Diese spricht dann innerhalb von 8 Wochen (Fristverlängerung möglich) eine schriftliche Empfehlung zur Risikominimierung aus; sie darf die Datenverarbeitung aber auch vollständig untersagen.
Weitere Informationen zur Datenschutz-Folgenabschätzung finden Sie hier.
Art. 37 DSGVO (Benennung eines Datenschutzbeauftragten
Ist die Bestellung eines Datenschutzbeauftragten (DSB) für Banken zwingend?
Bei der durch eine Bank betriebenen Kerntätigkeit werden zwangsläufig regelmässig auch personenbezogene Daten verarbeitet. Die klassische Kerntätigkeit einer Bank kann daher nicht isoliert von der gleichzeitig erfolgenden Verarbeitung von personenbezogenen Daten gesehen werden.
Aus diesem Grund hat auch die Artikel-29-Datenschutzgruppe festgestellt, dass die Verarbeitung von Kundendaten im regulären Bankgeschäft die Bestellung eines Datenschutzbeauftragten notwendig machen.
Wie kann ein DSB kontrolliert werden?
Wie kann ein DSB hinsichtlich seiner fachlichen Qualifikationen vom Unternehmen kontrolliert werden, wenn er weisungsungebunden und nicht in einem Hierarchieverhältnis innerhalb des Unternehmens steht?
Dies kann über externe Audits oder im Rahmen der internen Revision geschehen.
Welche beruflichen Qualifikationenmuss ein DSB haben und wo kann sich der zukünftige DSB die dafür erforderlichen Kenntnisse aneignen?
Derzeit gibt es noch kein einheitliches Curriculum, wo ein angehender DSB die erforderlichen Kenntnisse erlangen kann. Auch das Anforderungsprofil, sprich die beruflich notwendigen Qualifikationen eines DSB, ist vom konkreten Fall abhängig. Das Anforderungsprofil an einen DSB im Einzelfall richtet sich nach den durchgeführten Datenverarbeitungsprozessen in einem Unternehmen und dem erforderlichen Schutz der verarbeiteten personenbezogenen Daten. In einem Unternehmen mit komplexen Datenverarbeitungstätigkeiten oder einem Unternehmen, in welchem in grossem Umfang sensible Daten verarbeitet werden, muss der DSB unter Umständen ein höheres Mass an Fachkompetenz besitzen wie in einem Unternehmen mit weniger komplexen Datenverarbeitungstätigkeiten.
Welche Ressourcen sind dem DSB zur Wahrnehmung seiner Aufgaben zur Verfügung zu stellen?
genügend zeitliche Ressourcen zur Erfüllung seiner Aufgaben,
Zugang zu den für die Erfüllung seiner Aufgaben notwendigen Informationen und Systemen,
Unterstützung seitens des leitenden Managements,
genügende Finanzmittel, Infrastruktur, Personal in Abhängigkeit von der Komplexität der Aufgaben des DSB und
Möglichkeit kontinuierlicher Weiterbildung.
Kann die oberste Management-Ebene DSB sein?
Dies ist gemäss Art. 38 Abs. 3 und Art. 38 Abs. 6 DSGVO ausgeschlossen, da der Datenschutzbeauftragte hier Interessenkonflikte hätte. Art. 38 Abs. 3 DSGVO legt fest, dass der DSB unmittelbar der höchsten Management-Ebene des Verantwortlichen oder des Auftragsverarbeiters berichten muss. Art. 38 Abs. 6 DSGVO legt generell fest, dass der DSB zwar andere Aufgaben und Pflichten im Unternehmen wahrnehmen kann, aber nicht solche, die zu einem Interessenkonflikt führen.