Source: https://www.wbs-law.de/it-und-internet-recht/datenschutzrecht/dsgvo/
Timestamp: 2020-04-06 03:02:32
Document Index: 293373660

Matched Legal Cases: ['Art. 12', 'Art. 4', 'Art. 6', 'Art. 7', 'Art. 8', 'Art. 9', 'Art. 5', 'Art. 5', 'Art. 13', 'Art. 12', 'Art. 13', 'Art. 14', 'Art. 13', 'Art. 6', 'Art. 13', 'Art. 14', 'Art 14', 'Art. 14', 'Art. 13', 'Art. 14', 'Art. 14', 'Art. 83']

x Startseite » IT Recht Kanzlei » Anwälte zum Datenschutzrecht » Die EU-Datenschutzgrundverordnung (DSGVO) – ein Überblick
Welche Risiken drohen bei einer nicht ausreichenden Umsetzung der DSGVO-Vorgaben?
Fazit: Was müssen Verantwortliche mit der DGSVO beachten?
DSGVO – Wir helfen Ihnen!
Exemplarischer Ablauf einer DSGVO-Anpassung
Seit dem 25. Mai 2018 ist die neue DSGVO direkt anwendbar. Sowohl für Unternehmen als auch für Privatpersonen bringt sie viele Änderungen im Vergleich zur bisherigen Rechtslage mit sich. Unternehmen müssen aufgrund der DSGVO viele Neuerungen im Vergleich zum bisherigen BDSG umsetzen. Für eine unterlassene bzw. fehlerhafte Umsetzung der neuen Vorgaben drohen hohe Bußgelder.
YouTube-Video: EU-Datenschutz-Grundverordnung (DSGVO): Was erwartet dich?
Seit dem 25. Mai 2018 gilt auch in Deutschland die Datenschutzgrundverordnung (DSGVO) der Europäischen Union (EU). Durch das neue EU-Recht werden unmittelbar das bisherige Bundesdatenschutzgesetz (BDSG a.F.) und die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG), auf der das BDSG basiert, abgelöst. Zeitgleich tritt ein dazu gehöriges BDSG neuer Fassung (BDSG n.F.) in Kraft, das die DSGVO zum Teil modifiziert und konkretisiert. Die DSGVO wird außerdem ergänzt werden durch die noch in Abstimmung befindliche EU-e-Privacy-Verordnung, Internet- und Telemediendienste betreffen wird.
Dennoch ergaben sich mit der DSGVO einige Änderungen, die es zu beachten gilt – sowohl für Unternehmen als auch für Privatpersonen. Gerade für Unternehmen ist es wichtig, neue datenschutzrechtliche Prozesse zu etablieren. Sonst drohen im Extremfall immense Bußgelder. Hierzu beraten wir gerne.
Neben bereits bekannten Pflichten stellt die DSGVO auch weitergehende Anforderungen an den Datenschutz in Unternehmen. Neu ist beispielsweise die Pflicht, elektronische Geräte und Anwendungen datenschutzfreundlich voreinzustellen. Ebenfalls neu eingeführt wird die Pflicht zur Datenschutz-Folgenabschätzung bei besonderen Risiken für die erhobenen Daten, etwa durch neue Technologien.
Außerdem gilt die DSGVO auch für Unternehmen, die ihren Sitz außerhalb der EU haben, wenn sich ihre Angebote sich aber an EU-Bürger wenden. Dies hat weitreichende Konsequenzen etwa für Unternehmen wie Facebook und Google mit Sitz in den USA.
Die Rechte betroffener Personen (Art. 12 – 23 DSGVO), deren Daten verarbeitet werden, bringen für Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO (im Folgenden: „Der Verantwortliche“) neue Pflichten mit sich. Sie müssen daher ein praktikables Verfahren etablieren, um DSGVO-konform insbesondere auf folgende wichtige Ansprüche der Betroffenen reagieren zu können:
Die Datenverarbeitung (DV) ist auch nach der DSGVO weiterhin nur zulässig, wenn es die Verordnung oder ein anderes Gesetz ausdrücklich erlaubt (Verbot mit Erlaubnisvorbehalt).
Die praktisch relevantesten Erlaubnistatbestände nach Art. 6 DSGVO sind:
„Fit für die DSGVO“ – Das neue Buch von RA Christian Solmecke – Nutzen Sie den kostenlosen 14-Tage-Test ab Online-Zugriff.
es liegt eine Einwilligung des Betroffenen vor. Art. 7 und Art. 8 DSGVO definieren die Anforderungen, die an diese Einwilligung zu stellen sind. So soll etwa das Mindestalter bei 16 Jahren liegen – es sei denn, die einzelnen Staaten senken die Altersgrenze auf maximal 13 Jahren ab, was in Deutschland aber nicht geschehen ist.
die Verarbeitung ist für die Erfüllung eines Vertragsoder zur Durchführung vorvertraglicher Maßnahmenerforderlich.
die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, wenn keine schutzwürdigen Interessen des Betroffenen überwiegen. Zwar hat man als Betroffener hiergegen ein Widerspruchsrecht, auf das er auch hingewiesen werden muss – doch es ist unklar, aus welchen Gründen ein solcher Widerspruch Erfolg haben könnte. Daher dürfte dieses Recht ins Leere laufen.
In Abs. 4 ist aber auch eine Regelung enthalten, nach der Daten später auch zu Zwecken verarbeitet werden dürfen, die nicht dem ursprünglichen Zweck der Erhebung entsprechen. Dies ist aber nur dann zulässig, wenn die Verarbeitung mit dem ursprünglichen Erhebungszweck kompatibel ist. Hierzu zählt ausdrücklich die Nutzung zu statistischen Zwecken. Allerdings müssen die Betroffenen darüber informiert werden.
Ähnlich der bisherigen Regelung im BDSG sieht nun auch Art. 9 DSGVO besondere Kategorien von Daten vor, die grundsätzlich nicht verarbeitet werden dürfen. Dies sind Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person hervorgehen. Die Kategorien sind weiter als die im BDSG, insbesondere fallen auch biometrische Daten (Fingerprint, Stimmerkennung etc.) nun darunter.
Verantwortliche sind über das Führen eines Verzeichnisses der Verarbeitungstätigkeiten hinaus dafür verantwortlich, die Einhaltung der Datenschutzgrundsätze
Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Verfügbarkeit, Integrität und Vertraulichkeit, Belastbarkeit, Intervenierbarkeit und Verarbeitung nach Treu und Glauben
Art. 5 Abs. 1 DSGVO
gegenüber der Aufsichtsbehörde nachzuweisen Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
Art. 13 und 14 DSGVO sehen für Verantwortliche umfangreiche Informationspflichten vor, die Betroffenen mitgeteilt werden müssen. Dabei ist auf eine präzise, transparente, verständliche und leicht zugängliche Form sowie eine klare und einfache Sprache zu achten (Art. 12 Abs. 1 DSGVO). Die Informationspflichten bestehen sowohl online (z.B. in der Datenschutzerklärung) als auch offline, etwa für Besucher vor Ort. Diese erweiterten Pflichten sollen den Datenschutz im Vergleich zu den aktuell geltenden Regelungen des BDSG stärken.
Dabei unterteilt die DSGVO nach Informationspflichten, wenn personenbezogene Daten direkt beim Betroffenen erhoben werden (Art. 13 DSGVO) und Situationen, in denen Daten von Dritten (also nicht bei der betroffenen Person selbst) bezogen werden (Art. 14 DSGVO):
Werden Daten direkt beim Betroffenen erhoben, müssen folgende Informationen nach Art. 13 Abs. 1 DSGVO mitgeteilt werden:
Darstellung der berechtigten Interessen (wenn die Datenverarbeitung auf dem Tatbestand der Interessenabwägung gem. Art. 6 Abs. 1 f) DSGVO beruht),
Nach Art. 13 Abs. 2 müssen folgende weitere Informationen zur Verfügung gestellt werden, um eine faire und transparente Datenverarbeitung zu gewährleisten:
die Information darüber, ob die Datenverarbeitung gesetzlich bzw. vertraglich vorgeschrieben ist bzw. für einen Vertragsschluss erforderlich ist
Werden Daten von Drittenbezogen (z.B. durch Übermittlung) und nicht direkt beim Betroffenen erhoben, gelten nach Art. 14 DSGVO leicht abgewandelte Informationspflichten:
Nach Art 14 Abs. 1 DSGVO müssen im Wesentlichen die Gleichen Informationen mitgeteilt werden wie bei der Direkterhebung. Weil der Betroffene aber keine Kenntnis von der weiteren Verarbeitung hat, muss ihm zusätzlich mitgeteilt werden, welche Kategorien von personenbezogenen Daten verarbeitet werden.
Nach Art. 14 Abs. 2 DSGVO muss die Datenquelle und auch die Information angegeben werden.
YouTube-Video „DSGVO – Was ihr als Blogger beachten müsst“
Werden die Daten direkt beim Betroffenen erhoben, müssen die Informationen gem. Art. 13 DSGVO zum Zeitpunkt der Erhebung der personenbezogenen Daten mitgeteilt bzw. zur Verfügung gestellt werden. Bei der weiteren Verarbeitung der Daten durch Dritte kann die Information nach Art. 14 DSGVO auch später erfolgen. Der Verantwortliche muss die Informationen nachträglich innerhalb einer angemessenen Frist nach Erlangung der Daten mitteilen – die Frist ist abhängig von den spezifischen Umständen, darf aber maximal einen Monat andauern.
Von den Informationspflichten gelten allerdings einige Ausnahmen. So hat der Betroffene etwa keinen Informationsanspruch, wenn er bereits über diese Informationen verfügt. Der Anspruch ist auch dann ausgeschlossen, wenn die Informationserteilung einen unverhältnismäßig hohen Aufwand darstellt oder gar unmöglich ist. In diesem Fall ist allerdings eine öffentliche Bekanntmachung dieser Information, z.B. auf einer Webseite, erforderlich. Diese genannten Ausnahmen beziehen sich jedoch nur auf die Informationspflichten gem. Art. 14 DSGVO.
YouTube-Video: „DSGVO: Was muss in die neue Datenschutzerklärung?“
Grundsätzlich muss jeder Webseitenbetreiber eine Datenschutzerklärung bereithalten, damit die Datenerhebung für die Besucher deutlich wird, welche Daten wie und wozu erhoben werden. Hier erfahren Sie alles über das Thema Datenschutzerklärung.
Daher entspricht eigentlich keine der bislang verwendeten Datenschutzerklärungen den Anforderungen der DSGVO. Aus diesem Grund muss sich jeder, der eine Webseite betreibt, seine Datenschutzerklärung dringend an die DSGVO anpassen.
Diese können Sie aber auch mit unserem kostenfreien Generator schnell und einfach DSGVO-konform umsetzen.
YouTube-Video: „DSGVO: Rechtliche Fallstricke im Onlinemarketing“
2. Wenn ein solches Risiko im Hinblick auf den Prozess besteht, müssen Sie in einer 2. Stufe eine Bewertung dahingehend vornehmen, ob die geplanten Abhilfemaßnahmen und Sicherheitsvorkehrungen ausreichen, um den Schutz der Daten zu gewährleisten. Außerdem müssen Sie den Nachweis erbringen, dass Sie die DSGVO eingehalten haben und den Interessen der Betroffenen Rechnung getragen wird.
Die zuständigen Aufsichtsbehörden können zunächst nach Art. 83 DSGVO Bußgelder verhängen. Diese können – je nach Verstoß und dessen Schwere – bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens betragen. Es gilt immer der jeweils höhere Betrag.
Neu ist auch, dass Betroffene wegen der Verletzung des Datenschutzrechts im Rahmen ihrer Schadensersatzansprüche nun auch ihren immateriellen Schaden geltend machen können. Nach außen haftet immer die Unternehmensleitung, auch für Mitarbeiter-Fehlverhalten.
Neu sind insbesondere die umfassenden Informationspflichten und die Pflicht zur Datenschutz-Folgenabschätzungbei besonderen Risiken für die erhobenen Daten. Außerdem wird neu eingeführt, dass auch der Auftragsverarbeiter ein „Verzeichnis der Verarbeitungstätigkeiten“ führen muss. Das deutsche Umsetzungsgesetz erweitert außerdem die Gründe für die Benennung eines Datenschutzbeauftragten. Schließlich müssen Unternehmen auch erweiterten Ansprüchen von Betroffenen gerecht werden.
Vor diesem Kontext wird deutlich, dass die rechtskonforme Umsetzung der DSGVO eine intensive Prüfung und einen gewissen Aufwand erfordert. Dabei sind die Risiken einer mangelhaften Umsetzung aufgrund der Anhebung der Bußgelder sehr hoch.
Den exemplarischen Ablauf einer DSGVO-Anpassung können Sie unserer Grafik entnehmen. Die Grafik finden Sie am Ende unseres Beitrages.
Wir raten daher dringend, sich rechtlich umfassend durch einen Rechtsanwalt oder externen Datenschutzbeauftragten beraten zu lassen, um die erforderlichen neuen Prozesse rechtskonform zu etablieren.
Unsere auf das Datenschutz spezialisierten Rechtsanwälte, insbesondere unser Datenschutzbeauftragter Peter Mainzer mit seiner jahrzehntelangen Erfahrung auf dem Gebiet des Datenschutzes in Unternehmen, können sie umfassend und rechtssicher beraten.
Rufen Sie uns unter 0221 / 951 563 0 (Beratung bundesweit) an!