Source: http://www.ziemers.de/beratung/datenschutz-grundlagen_2.html
Timestamp: 2019-01-18 00:58:36
Document Index: 152526652

Matched Legal Cases: ['Art. 30', 'Art. 28', 'Art. 32', 'Art. 5', 'Art. 13', 'Art. 35', 'Art. 44', 'Art. 25']

Datenschutz-Grundlagen (Teil 2)
EU-DSGVO - Was ist das überhaupt?
EU-DSGVO - Wer ist betroffen?
EU-DSGVO - Was ist zu tun?
Maßnahmen zur Umsetzung der EU-DSGVO und des neuen BDSGes
Sanktionen und Geldbußen
EU-DSGVO heißt "EU-Datenschutzgrundverordnung"
Regelt grundsätzlich den Umgang mit personenbezogenen Daten (pbD)
Ist keine EU-Richtlinie, sondern eine EU-Verordnung (→ muss umgesetzt werden!)
Wirksam seit 25.05.2016, rechtsgültig nach 2-jähriger Übergangszeit seit 25. Mai 2018
Öffnungsklauseln in der EU-DSGVO erlauben Änderungen der einzelnen Mitgliedsstaaten:
In Deutschland kombiniert mit einem neuen Bundesdatenschutzgesetz (BDSG neu)
Deutsches Datenschutz-Anpassungs- und Umsetzungsgesetz-EU (DSAnpUG-EU)
Ein-Personen-Unternehmen ebenso wie multi-nationale Konzerne
Einrichtungen des Bundes, der Länder und der Kommunen
Big Picure des Datenschutzes im Unternehmen
Das neue BDSG setzt die EU-DSGVO um und ergänzt diese national im Rahmen der Öffnungsklauseln um innerdeutsches Recht:
Schaffung eines Datenschutz-Managementsystems, das folgendes ermöglicht:
Verzeichnis der Verarbeitungstätigkeiten (VVT, VVT-AV)
Informationspflicht der Betroffenen, Informationsrecht
Risiko-Bewertung, Datenschutz-Folgenabschätzung (evtl.)
Betrieblicher Datenschutzbeauftragter (evtl.)
Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.
Art. 30 EU-DSGVO
Dienstleistungsbeziehung (AV-Vertrag)
Art. 28 EU-DSGVO
Mit Dienstleistern wie Google, Dropbox oder Slack ist ein DPA (Data Processing Amendment, Data Processing Agreement) abzuschließen.
Art. 32 EU-DSGVO
Wir erinnern uns in diesem Zusammenhang an die "Schutzziele".
Dokumentations- und Rechenschaftspflicht
Die datenverarbeitende Stelle muss den Nachweis der ordnungsgemäßen Verarbeitung erbringen und in der Lage sein, dies durch Dokumente nachzuweisen.
Art. 5 EU-DSGVO
Informationspflicht der Betroffenen
Die Betroffenen sind zum Zeitpunkt der Erhebung über die Verarbeitung ihrer personenbezogenen Daten und über ihre Rechte zu informieren.
Art. 13 EU-DSGVO
Bei risikobehafteter Datenverarbeitung muss eine Datenschutz-Folgenabschätzung nach bestimmten Kriterien durchgeführt und bei sich daraus ergebender Notwendigkeit die zuständige Aufsichtsbehörde informiert werden.
Art. 35 EU-DSGVO
Hierbei kann die BSI-Schutzbedarfsfeststellung helfen.
Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die niedergelegten Bedingungen einhalten.
Art. 44 EU-DSGVO
Maßnahmen zur Umsetzung der EU-DSGVO
Geschäftsleitung/Entscheidungsträger über die EU-DSGVO / das neue BDSG informieren
Transitionsprojekt zur Umsetzung der EU-DSGVO und des neuen BDSGes initiieren
Erkenntnisse aus der Unternehmens-Ersteinschätzung (DSGVO-Readiness) gewinnen
Ist-Analyse (Bestandsaufnahme) im Unternehmen durchführen
Differenz zum Soll-Konzept (durch Gap-Analyse) bewerten
Arbeitspakete schnüren und Roadmap definieren
Arbeitspakete gemäß Roadmap abarbeiten (Mängelbeseitigung)
Und alles bis zum 25. Mai 2018 umsetzen :)
Bestandsaufnahme (Ist-Analyse)
Derzeitige Verfahren, Dokumente als Ausgangsbasis verwenden
z.B. ISO/IEC 27001, DIN/ISO 9000 etc.
Verzeichnis der Verfahrensverarbeitung aufbauen bzw. ausbauen (VVT, VVT-AV)
Rechtsgrundlagen (Gesetz, Rechtsvorschrift, Einwilligung) identifizieren
Bereits bestehende Datenschutzorganisation des Unternehmens identifizieren
Existierende Dienstleistungsbeziehungen identifizieren (ADV-Verträge)
Evtl. existierende Datenschutz-Betriebsvereinbarungen identifizieren
Gap-Analyse (Soll-Konzept)
Legitimationsgrundlage für die pbDverarbeitung prüfen (Zweck, Vertrag, Einwilligung)
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen:
Privacy-by-Design und Privacy-by-Default (Art. 25 EU-DSGVO)
Bestehende Verträge mit Dienstleistern prüfen
Dokumentations- und Meldepflichten prüfen
Datenschutz-Folgenabschätzungen prüfen
Schutzniveau der Datensicherheit prüfen (IT-Sicherheitsmanagement ISO/IEC 27001)
Die EU-DSGVO sieht verschiedene Sanktionen pro Datenschutzverstoß vor:
Verwarnungen gegebenenfalls mit Auflagen durch die zuständige Aufsichtsbehörde
Bis zu 20 Millionen Euro Bußgeld pro einzelnem Datenschutzverstoß
oder bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens
... je nachdem, was höher ist :)
Strafen sollen wirksam, verhältnismäßig und abschreckend sein
Arbeitsrechtliche Konsequenzen (Abmahnung oder Kündigung)