Source: https://regina-stoiber.com/2018/05/23/fragen-und-antworten-zum-datenschutz-dsgvo-faqs/
Timestamp: 2018-08-21 17:40:55
Document Index: 131026884

Matched Legal Cases: ['Art. 29', 'Art. 29', 'Art. 6', 'Art. 6', '§57', '§57']

Fragen und Antworten zum Datenschutz - DSGVO FAQ's | Datenbeschützerin Regina Stoiber
Regina Stoiber Allgemein 29 Comments
Tags: DSGVO, FAQ Datenschutz, Q&A
29 Comments on “Fragen und Antworten zum Datenschutz – DSGVO FAQ’s”
Besser.Fühlen. mit der DSGVO - ein neues Bewusstsein zum Datenschutz says:
[…] FAQ zur DSGVO: https://regina-stoiber.com/2018/05/23/fragen-und-antworten-zum-datenschutz-dsgvo-faqs/ […]
24. Mai 2018 at 16:37
Hallo Frau Stoiber kurze Frage müssen Bestandskunden aktuell nochmal per Mail über die vorhandene Datenlage informiert werden? Ein Newsletter existiert bei uns nicht. Alle Kunden sind Bestandskunden u d es existieren Kauf und Serviceverträge …. wenn ja wie muss so eine Mail inhaltlich aussehen? Vielen Dank
nein, es geht vor allem um die Neukunden, die sie informieren müssen
30. Mai 2018 at 21:47
Da muss ich jetzt noch mal nachfassen. Grundsätzlich geht‘s um die Neukunden. Ich verfolge gerade die Interpretationen, zu Bestandskunden.
Auf jeden Fall empfehle ich einen Link in die E-Mail Signatur, mit einem Verweis auf die Informationspflicht. Dann hätte man auch Bestandskunden indirekt informiert, wenn man mit Ihnen wieder in E-Mail Kontakt ist. Eine aktive Information machen wir bei der Verarbeitung von sensiblen Daten, z.B. Beim Steuerberater, nicht aber in Industrieunternehmen.
[…] Fragen und Antworten zum Datenschutz (Regina Stoiber) […]
[…] Zum Abschluss noch ein interessanter Link … die DSGVO FAQ von Regina […]
[…] https://regina-stoiber.com/2018/05/23/fragen-und-antworten-zum-datenschutz-dsgvo-faqs/ https://www.bmi.bund.de/SharedDocs/kurzmeldungen/DE/2018/04/faqs-datenschutz-grundverordnung.html https://www.bitkom.org/Bitkom/Publikationen/FAQ-zur-Datenschutzgrundverordnung.html […]
30. Mai 2018 at 20:09
Dürfen interne Datenschutzbeauftragte auf “ Weisung “ des Chefs in einer Fremdfirma datenschutzrechtlich tätig werden? So unter dem Motto: gehen Sie da mal hin und erstellen Sie ein Datenschutzkonzept?
30. Mai 2018 at 20:48
Ich sehe das unabhängig von der internen DS Beauftragung. Wenn die betroffene Person das know how hat und die Firma dies als Dienstleistung verkauft, warum nicht. Dann läuft das wahrscheinlich unter Dienstvertrag und der daraus folgenden rechtlichen Konsequenz.
Tanja Baum says:
vielen Dank für Ihre übersichtliche Website. Ich mal eine ganz allgemeine Frage zum Datenschutz. Mir ist noch nicht ganz klar, welche Rolle die Mitarbeiter eines Unternehmens spielen. Der Verantwortliche verarbeitet Daten ja selten selbst. Das tut z. B. seine Assistentin. Wenn ich es richtig verstehe ist sie nicht der Auftragsverarbeiter. Ist sie dann Empfänger der Daten?
Eine kurze Rückmeldung hierzu würde mir sehr helfen .
genau, die Mitarbeiter handeln im Auftrag des Verantwortlichen, bzw. für ihn. Sie sind keine Auftragsverarbeiter, da sie ja nach außen im Namen des Verantwortlichen auftreten. Der Verantwortliche delegiert die verarbeitenden Tätigkeiten an seine Mitarbeiter. Aus diesem Grund müssen die Mitarbeiter auf den Datenschutz verpflichtet werden (Art. 29 DSGVO). Ich finde hierzu die Vorlage des Bay. Landesamts für Datenschutz recht gut (Verpflichtungserklärung für Mitarbeiter), zudem können aber auch (oder sollten) regelmäßige Awarenessschulungen oder Inhalte zur Sensibilisieren der Mitarbeiter dienen und gelten auch als Behandlung nach Art. 29. DSGVO.
Im Sinne der Beschreibung eines Verfahrens im Verfahrensverzeichnis kann es durchaus sein, dass interne Mitarbeiter auch Empfänger der Daten sind, wenn z.B. Informationen über Löhne an das Controlling weiter gegeben werden, sind die Mitarbeiter des Controllings die Empfänger.
Ich hoffe, das war hilfreich für Sie!
7. Juni 2018 at 3:18
Ich hätte eine Rückfrage zu Ihrer Antwort auf die Frage:
> „Kein SSL: Reicht es wenn ich bis 25.5. dahin mein Kontakt Formular und meinen Newsletter Anmeldung (Clever Reach) von der Website nehme mit Hinweis das die SSL in Arbeit ist?“
„Es werden ja auch personenbezogene Daten auf den Serverlogfiles erhoben.“
Technisch ist das jedoch in beiden Fällen (mit TLS und ohne) der Fall. Die (IP-)Adressierung, unabhängig ob nun mittels HTTP oder HTTPS zugegriffen wird, findet ein paar Ebenen unterhalb der HTTP(S)-Daten statt. Genauer findet sich das IP-Protokoll auf Schicht 3 des OSI-Modells, HTTP und auch HTTPS auf den Schichten 5 – 7 ( siehe: https://de.wikipedia.org/wiki/OSI-Modell#Schicht_3_%E2%80%93_Vermittlungsschicht_(Network_Layer) ).
Die IP-Adresse wird daher auch bei HTTPS nicht etwa verschlüsselt, für die IP-Adressierung spielen HTTP und -S auch keine Rolle.
So gesehen macht es für die Erfassung der IP-Adresse auf Seiten des Hosters keinen Unterschied, ob über HTTP oder HTTPS auf die Seite zugegriffen wird. Ein qualitativer Unterschied der Datenschutzrelevanz bei HTTP und HTTPS besteht daher meiner Ansicht nach erst, wenn personenbezogene Daten auf Anwendungsprotokollebene (z. B. über ein Kontaktformular) übertragen werden.
Es müsste dann doch legitim sein, eine Web-Seite rein über HTTP zu betreiben, sofern keine weitere Erfassung personenbezogener Daten auf der Web-Seite wie z. B. über Kontaktformulare oder ggf. externe Ressourcen erfolgt. Sehe ich ev. etwas falsch?
Da haben Sie recht. Das ist nicht korrekt, wie von mir angegeben. Die Daten in das Logfile sind unabhängig von HTTPS oder HTTP. Das wäre kein zwingender Grund für HTTPS.
Kati Dunkel says:
Was muss bei FTP-Servern beachtet werden? Genügen diese oder müssen durch die DSGVO nun SFTP-Server genutzt werden?
11. Juni 2018 at 22:15
Von FTP Servern würde ich auf jeden Fall abraten. Bei der Passworteingabe (Username + Passwort) werden die Informationen schon unverschlüsselt übertragen. Wenn dann auch noch personenbezogene Daten abgelegt sind, müssen diese auch verschlüsselt übertragen werden. Also unbedingt auf SFTP wechseln!
M. Stichel says:
ich führe ein kleines Autohaus und habe immer die Kunden an Wartungstermine und den fälligen TÜV per anschreiben erinnert (auf Wunsch vieler Kunden). Ist dies durch die neue Verordnung noch rechtens, oder muss jeder Kunde dies erst persönlich bewilligen? Vielen Dank im voraus!
Ich würde dafür zwei Möglichkeiten sehen. Sie machen das für alle Ihre Kunden, im Rahmen Ihrer Service Leistung und erinnern die Kunden an die Termine (keine Werbung!), dann wäre es begründbar mit einer vertraglichen Maßnahme nach Art. 6 (1) lit. b DSGVO und bedarf keiner expliziten Zustimmung des Kunden. Natürlich würde ich dem Kunden aber trotzdem die Möglichkeit geben, diesen kostenlosen Service abzubestellen.
Sie können es aber auch generell als freiwillige Einwilligung sehen und jeden Kunden fragen, ob er das möchte und die Unterschrift dazu einholen. Dann basiert die Verarbeitung auf Art. 6 (1) lit. a DSGVO der freiwilligen Einwilligung und der Kunde muss erst explizit zustimmen, bevor Sie ihm was senden dürfen.
Ich könnte mir durchaus vorstellen, dass eine Argumentation wie oben, als Ihr Service auch möglich wäre. Das Risiko ist etwas größer, dass es jemand anders sehen könnte. Bei der Einwilligung gehen Sie immer auf komplett sicher, beim anderen hätten Sie ein kleines Restrisiko. Das wäre meine Interpretation.
A. Schwarz says:
13. Juni 2018 at 8:25
ist eine Weitergabe von Kontaktdaten an eine eigenständige Gebiets- bzw. Werksvertretung eine Auftragsverarbeitung oder ein „Joint controllership“ oder reicht der Eintrag ins Verarbeitungsverzeichnis aus?
Beide Seiten benötigen die Daten um mit dem Kunden zu kommunizieren. Besten Dank im voraus.
13. Juni 2018 at 9:38
Ja genau, Sie müssen das auf jeden Fall im Verfahrensverzeichnis beschreiben und die Betroffenen im Rahmen der Informationspflicht darüber informieren, bzw. alle Stellen müssen darüber informieren in ihrer Informationspflicht. Im Falle einer gemeinsamen Verantwortlichkeit muss definiert werden, wer für welche Aufgaben zuständig ist, also wer übernimmt z.B. die Tätigkeit die Betroffenenrechte umzusetzen, zu beantworten, bzw. wie läuft das ab. Das müssen die Parteien untereinander klären.
13. Juni 2018 at 23:22
Interessant wäre die Frage nach sogenannten Helpdesk Ticket Systemen. Dort werden ja auch personenbezogene Daten gespeichert, allerdings zu einem berechtigten Zwecke (Auftragserfüllung).
Ja genau, wenn das System in der Cloud läuft oder sogar von einem externen Support Team betreut wird, ist unbedingt ein Vertag zur Auftragsverarbeitung nötig.
Und nicht im Verfahrensverzeichnis vergessen!
vielen Dank für all die nützlichen Informationen, mit denen du mir die Angst vor der DSGVO nimmst!
Ich hätte da noch eine Frage zu den E-Mail-Programmen. Ich habe mir über meinen Webhost zu meiner Website auch eine E-Mail-Adresse eingerichtet. Für den Webhost habe ich einen AVV. Wenn ich die E-Mails an meine auf meinem Notebook eingerichteten E-Mail-Programme von Apple oder Mozilla Thunderbird weiterleiten möchte, brauche ich dann auch einen AVV von Apple oder Mozilla?
20. Juni 2018 at 15:43
ich hoffe, ich verstehe deine Frage richtig. Du meinst mit Weiterleiten in diesem Fall wahrscheinlich, in deinem E-mail Programm abrufen. Das heißt, die E-mails deines Providers werden nicht an Apple weiter geleitet, sondern nur in dem Mail Programm von Apple angezeigt. Das heißt, die Mails sind dann nur lokal bei dir auf dem Rechner gespeichert und nicht bei Apple. Weiterleiten an Apple könntest du natürlich auch, würde ich dir aber in diesem Fall nicht empfehlen.
19. Juni 2018 at 19:00
ist es für die Auskunftspflicht beim Kunden gem. §57 BDSG NEU wirklich notwendig, die Empfänger oder die Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind, bis in kleinste Detail zu benennen !? Also z. Bsp. alle Adressdatenverarbeiter, alle Auftragsdatenverarbeiter, alle online Marketing Analyse Unternehmen, die Metadaten aufbereiten usw. ?
Danke vorab für Ihre Antwort !
Danke für Ihre Frage. §57 BDSG neu bezieht sich auf das Auskunftsrecht, also wenn eine betroffene Person aktiv bei Ihnen anfrägt.
Darüber hinaus haben Sie mit dem Artikel 13 / 14 der DSGVO sowieso schon die Pflicht, diese Informationen (also wer sind die Empfänger welcher Datenkategorien) zur Verfügung zu stellen.
Das heißt in Ihrer Informationspflicht schreiben Sie, dass z.B. die Kundendaten (Stamm- und ggf. Bewegungsdaten) an einen externen Dienstleister zur Rechnungsstellung übermittelt werden. Hier müssen Sie dann schon den Dienstleister benennen, seine Adresse, einen Verweis auf seine Datenschutzerklärung…
Das heißt, hier haben Sie schon alle Informationen für den Betroffenen zusammen getragen.
Im Falle einer Auskunftsanfrage durch den Betroffenen müssen Sie nun hier „nur noch“ die tatsächlichen Daten angeben, also welche Informationen Sie von Herrn Müller gespeichert haben.
Ihre Auftragsverarbeiter sollten laut AVV verpflichtet sein, Sie bei dieser Pflicht zu unterstützen. Haben Sie gemeinsame Verantwortliche in Bezug auf die Daten, müssen Sie regeln, wer der Pflicht der Auskunft nachkommt.
vielen Dank für deine Antwort. Genau, ich meinte das Abrufen meiner Mails in meinem E-Mail-Programm von Apple/Thunderbird.
Mir sind da gerade noch 2 Fragen gekommen:
Wie verhält es sich mit Passwort Managern wie z.B. von avira? Braucht man dafür einen AVV?
Und wie sieht es mit der kostenlosen Version von Zoom oder Skype aus? Ist ein AVV nötig?
grundsätzlich gibt es zwei wesentliche Punkte, die zu unterschieden sind.
1) Werden beim Passwortmanager die Passwörter in der Cloud beim Dienstleister gespeichert oder nur bei dir lokal?
2) Wenn es um deine privaten Passwörter geht, brauchst du auch keinen AVV. Verträge zur Auftragsverarbeitung benötigst du nur, wenn du z.B. Passwörter von mehreren betrieblichen Personen (z.B. Mitarbeiter) in einem Cloud Passwortspeicher hättest.
Bei den Onlinemeetings wäre auch bei der kostenlosen Version ein AVV nötig.
25. Juni 2018 at 9:02
ich habe eine frage zum Cloudanbieter dropbox und icloud von Apple. Ich bin Webdesigner (Einzelunternehmer) und speichere meine kompletten Kundendaten in der Cloud (Layouts, Rechnungen, Passwörter, FTP, Emailzugänge usw.). Muss ich nun mit den Anbietern einen AV Vertrag abschliesen bzw. die Anbieter in meinem AV-Vertrag für meine Kunden angeben? Ich nutze hauptsächlich dropbox privat, also nicht die Business Version (erst ab drei Mitarbeiter buchbar bzw. man muss dann mal 3 bezahlen). Danke VG Christian
2. Juli 2018 at 21:10
ja du brauchst einen AVV mit dem Cloud Anbieter. Tendenziell würde ich dir dann zu einem Anbieter in der EU raten (was Dropbox Business ja bietet). Ob Apple iCloud für Business Kunden mit AV gedacht ist, kann ich dir aktuell gar nicht sagen. Alternativ wäre ein Cloud Anbieter, der dir einen AVV anbieten kann, auch ohne die 3 user, die Dropbox bezahlt haben möchte.