Source: https://www.frag-einen-anwalt.de/Datenschutzgrundverordnung-Mitarbeiter-bzw-Kunden--f313500.html
Timestamp: 2019-03-22 08:54:14
Document Index: 218166737

Matched Legal Cases: ['Art. 13', 'Art. 14', 'Art. 13', 'Art. 13', '§ 17', 'Art. 14', 'Art. 6', 'Art. 14', 'Art. 13', 'Art. 14', 'Art. 14', 'Art. 12']

www.frag-einen-anwalt.de Datenschutzrecht Datenschutzgrundverordnung Mitarbeiter b...
11.07.2018 03:55 |
seit Wochen versuche ich mich durch den "Dschungel" der neuen DSGVO durchzuschlagen, ohne jeglichen Erfolg.
Zuvor ein paar Eckdaten meiner Firma:
Angestellte: zur Zeit 26, davon 21 als Leiharbeitnehmer, 2 gewerbliche sowie 3 kfm. Angestellte.
Anzahl der Mitarbeiter, welche persönliche Daten erfassen = 3
Laut DSGVO benötige ich somit keinen Datenschutzbeauftragten.
Eine Verpflichtungserklärung gegenüber der 3 Mitarbeiter, sowie ein Verzeichnis der Verarbeitungstätigkeiten existiert bereits. Mein Problem besteht vielmehr darin, ob und wieweit ich verpflichtet bin, meine Kunden bzw. Mitarbeiter zu informieren. Und wie eine solches Informationsblatt auszusehen hat.
Des Weiteren würde ich Ihnen gerne die Entwürfe der Verpflichtungserklärung, sowie des Verzeichnisses zur Durchsicht zukommen lassen.
11.07.2018 | 11:58
Mangels Angaben Ihrerseits kann ich nicht genau einordnen, um welches Unternehmen bzw. um welchen Betrieb es sich in Ihrem Fall handelt. Da Sie angeben 23 gewerblich tätige Mitarbeiter und 3 kaufmännische Angestellte zu beschäftigen, gehe ich an dieser Stelle von einem Produktionsbetrieb aus. Um etwas „Licht" ins Dunkle der DSGVO (neu) zu bringen, stelle ich zunächst die Anforderungen der Datenschutz-Grundverordnung (DS-GVO) an kleine Unternehmen darunter auch Produktionsbetriebe dar:
1. Datenschutzbeauftragter (DSB): Bei weniger als 10 Personen im regelmäßigen Umgang mit personenbezogenen Daten muss kein DSB ernannt werden. Sie geben an, dass in Ihrem Betrieb nur 3 Mitarbeiter regelmäßigen Umgang mit personenbezogenen Daten haben. Somit dürfen Sie keinen DSB brauchen.
2. Verzeichnis von Verarbeitungstätigkeiten: Wegen der regelmäßigen Verarbeitung personenbezogener Daten ist die Erstellung eines Verarbeitungsverzeichnisses notwendig.
3. Datenschutz-Verpflichtung von Beschäftigten: Eine Datenschutz-Verpflichtung von Beschäftigten ist durchzuführen. Dabei sind die Mitarbeiter auf das Datengeheimnis zu verpflichten, die mit personenbezogenen Daten umgehen – nicht die in der Produktion.
4. Information- und Auskunftspflichten – Es bestehen Informationspflichten, vor alle bei den Beschäftigten und Kunden sowie auf der Webseite in der Datenschutzerklärung. (hierzu unten mehr)
5. Löschen von Daten: Es gibt eine Anforderung zur Datenlöschung, jedoch erst nach Ablauf gesetzlicher Aufbewahrungspflichten.
6. Sicherheit: Müssen die Daten besonders gesichert werden? Nein, etablierte Standardmaßnahmen sind ausreichend, um die Daten effektiv zu schützen. Eine besondere Sicherung ist nicht notwendig.
7. Auftragsverarbeitung: Es ist ein Vertrag zur Auftragsverarbeitung notwendig, vor allem mit dem Hosting-Anbieter für die Website des Betriebs
8. Datenschutzverletzungen: Bestimmte Vorfälle müssen gemeldet werden, jedoch nur bei relevanten Risiken – eine einfache Online-Meldung beim LDA ist möglich.
9. Datenschutz-Folgeabschätzung (DSFA): Da kein hohes Risiko bei der Datenverarbeitung dieser Art besteht, muss eine DSFA vom Betrieb nicht durchgeführt werden.
10. Videoüberwachung (VÜ): Es besteht eine Ausschilderungspflicht bezüglich einer VÜ.
Näher zu Informations- und Auskunftspflichten:
Jeder Verantwortliche hat den betroffenen Personen schon bei der Datenerhebung bestimmte Informationen über die Verarbeitung ihrer Daten zu geben. Zumindest muss er darauf hinweisen, wo die Informationen leicht zugänglich sind (z. B. Informationsblatt, Homepage). Die betroffenen Personen haben auch das Recht, Auskunft über die Verarbeitung ihrer Daten zu erhalten.
Die DSGVO regelt die Informationsverpflichtungen des Verantwortlichen gegenüber der betroffenen Person in Abhängigkeit davon, ob personenbezogene Daten bei der betroffenen Person direkt (Direkterhebung, Art. 13 DS-GVO) oder bei Dritten (Dritterhebung, Art. 14 DS-GVO) erhoben werden.
a)	Informationspflichten bei Direkterhebung:
Bei der Informationspflicht im Falle der Direkterhebung wird zwischen den Informationen unterschieden, die der betroffenen Person mitzuteilen sind (Art. 13 Abs. 1 DGS-GVO) und solchen, die zur Verfügung zu stellen sind, um eine faire und transparente Verarbeitung der personenbezogenen Daten zu gewährleisten (Art. 13 Abs. 2 DS-GVO). Mitzuteilen sind nach Abs. 1:
• Name (ggf. Firmenname gem. § 17 Abs. 1 HGB und Kontaktdaten des Verantwortlichen sowie ggf. dessen Vertreter
Zusätzlich sind nach Abs. 2 sind Informationen zur Verfügung zu stellen über:
• im Falle einer automatisierten Entscheidungsfindung (einschließlich Profiling) aussagekräftige Informationen über die verwendete Logik, die Tragweite und angestrebten Auswirkungen einer derartigen Verarbeitung zur Verfügung zu stellen.
b)	Informationspflichten bei Dritterhebung
Allerdings hat die betroffene Person im Gegensatz zur Direkterhebung nicht an der Datenerhebung mitgewirkt und somit auch keine Kenntnis darüber, welche personenbezogene Daten erhoben wurden. Daher ist der Verantwortliche nach Art. 14 Abs. 1 lit. d DS-GVO verpflichtet, die Kategorien der verarbeiteten personenbezogenen Daten mitzuteilen. Diese Information muss so konkret sein, dass für den Betroffenen erkennbar wird, zu welchen Folgen die Verarbeitung führen kann.
Bei der Dritterhebung ist weiterhin zu beachten, dass Angaben über die berechtigten Interessen des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 lit. f DS-GVO) nicht – wie bei der Direkterhebung – unter Abs. 1 fallen, sondern im Rahmen der zusätzlichen Informationen nach Abs. 2 zur Verfügung gestellt werden müssen (Art. 14 Abs. 2 lit. b DSGVO).
c)	Zweckänderung und Übermittlung
Die Informationspflichten im Falle einer Zweckänderung gelten sowohl für die Direkterhebung als auch für die Dritterhebung. Neben der Information über die geänderte Zweckbestimmung sind alle Informationspflichten gemäß Art. 13 Abs. 2 DS-GVO (Direkterhebung) oder gemäß Art. 14 Abs. 2 DSGVO (Dritterhebung) erneut zu erfüllen.
d)	Zeitpunkt der Erfüllung der Informationspflichten
Bei der Direkterhebung müssen die Informationen zum Zeitpunkt der Erhebung der Daten mitgeteilt bzw. zur Verfügung gestellt werden. Im Falle der Dritterhebung ist der Verantwortliche verpflichtet, die Informationen nachträglich innerhalb einer angemessenen Frist nach Erlangung der Daten mitzuteilen (Art. 14 Abs. 3 DS-GVO). Diese Frist bestimmt sich nach den spezifischen Umständen, darf aber einen Monat nicht überschreiten. Die Monatsfrist ist eine Maximaldauer und sollte nicht pauschal angesetzt werden.
Werden die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet, sind die Informationen spätestens zum Zeitpunkt der ersten Kontaktaufnahme mitzuteilen. Falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, müssen die Informationen spätestens zum Zeitpunkt der ersten Offenlegung erteilt werden
e)	Ausnahmen
f)	Form der Informationspflicht
Gemäß Art. 12 Abs. 1 DSGVO sind die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zu übermitteln. Die Informationen sind schriftlich oder in anderer Form (ggf. elektronisch) zur Verfügung zu stellen. Wird aber auf eine elektronisch verfügbare Information Bezug genommen, dann muss diese leicht auffindbar sein. Hierbei können auch Bildsymbole hilfreich sein. Die leicht zugängliche Form bedeutet auch, dass die Informationen in der konkreten Situation verfügbar sein müssen. Sollen die Daten also von einer anwesenden Person erhoben werden, darf die Person in der Regel nicht auf Informationen im Internet verwiesen werden. Dies gilt gleichermaßen für eine schriftliche Korrespondenz auf dem Papierweg.
g)	Nachweise der Informationspflichten
h)	Folgen eines Verstoßes
Für die Einzelprüfung Ihrer Unterlagen/Dokumente möchte ich Sie bitten, mich direkt zu kontaktieren, gerne auch per E-Mail. Auch kann ich Ihnen gerne bei der Erstellung eines Informationsblattes behilflich sein. Ich bitte Sie um Verständnis, dass die Analyse bzw. Erstellung von Unterlagen nicht von der Erstberatung umfasst sein kann.
Nachfrage vom Fragesteller	11.07.2018 | 16:26
die oben genannten Vorschriften, Informationen und evtl. Konsequenzen sind mir bereits bekannt, da ich mich seit mehreren Wochen damit beschäftige. Meine einzige Frage bezieht sich auf Die Datenschutzverordnung gegenüber Kunden (Info).
Vielleicht gibt es da irgendwie ein Musterexemplar für, woran ich mich etwas orientieren kann.
Antwort auf die Nachfrage vom Anwalt 12.07.2018 | 11:03
gegenüber Ihren Kunden treffen Sie Information- und Auskunftspflichten. Grundsätzlich haben Sie Ihre Kunden über die oben von mir dargestellten Punkte zu informieren. Ich empfehle Ihnen alle Neukunden sofort bei der Datenerhebung zu informieren. Auch gilt meine Empfehlung dahin, die Bestandskunden ebenfalls zu informieren. Ein mögliches Muster, überschreiben als Muster „Information über die Erhebung von Kundendaten ", finden Sie z.B.im Internet auf der Homepage der Handwerkskammer Hannover.
Datenschutzgrundverordnung Mitarbeiter bzw. Kunden © 2019 QNC GmbH