Source: https://www.datenschutzbeauftragter-info.de/fachbeitraege/eu-datenschutz-grundverordnung/
Timestamp: 2018-04-26 03:56:55
Document Index: 128407791

Matched Legal Cases: ['Art. 2', '§ 11', '§ 11', '§ 13', '§ 4', '§ 13', 'Art. 30', 'Art. 56', '§ 30', 'Art. 4', '§5', '§ 5', 'Art. 5', 'Art. 30', 'Art. 288']

14. März 2016 |	17 Kommentare | Von Dr. Datenschutz
Nach langen Verhandlungen erfolgte im Dezember 2015 die europäische Einigung auf eine EU-Datenschutz-Grundverordnung (EU-DSGVO). Diese wird zu einer weitgehenden Vereinheitlichung europäischen Datenschutzrechtes führen. Während bislang durch nationale Gesetzgebungen auf Grundlage der EU-Datenschutzrichtlinie doch erhebliche Unterschiede bestanden, wird die Datenschutz-Grundverordnung direkt geltendes Recht in allen Mitgliedsstaaten sein. Geringe Unterschiede sind allenfalls durch die Möglichkeit sog. „Öffnungsklauseln“ zu erwarten. Öffnungsklauseln bieten nationalen Gesetzgebern die Möglichkeit, eigene nationale Regelungen zu erlassen.
Zeitplan der EU-Datenschutz-Grundverordnung
Bis zu der Anwendbarkeit sind noch einige Schritte erforderlich. Der Zeitplan sieht derzeit wie folgt aus:
Die Datenschutz-Grundverordnung wird das europäische Datenschutzrecht nicht völlig umwälzen, weist aber eine Reihe von in der Praxis erheblichen Änderungen auf. Wir werden in einer Reihe von Fachbeiträgen die zu erwartenden Änderungen und Auswirkungen auf die Praxis darstellen. Folgende Beiträge sind erschienen:
Zunächst stellt sich immer die Frage, bin ich von der Datenschutz-Grundverordnung betroffen? Zur Beantwortung lohnt sich zunächst ein Blick in die Vorschrift zum sachlichen Anwendungsbereich. Diese klärt, bei welchen Sachverhalten die Datenschutz-Grundverordnung anzuwenden ist. Da die Norm relativ weit gefasst ist und nur wenige Ausnahmen bietet, erläutern wir die grundlegenden Begriffe des Art. 2 DSGVO und zeigen dessen Sonderbereiche auf.
Um abschließend zu klären, ob einen die Regelungen der Datenschutz-Grundverordnung treffen, muss zusätzlich auch der räumliche Anwendungsbereich beachtet werden. Also die Antwort auf die Frage, wo gilt die DSGVO? Hier ergibt sich im Vergleich zur Datenschutzrichtlinie 95/46/EG eine große Neuerung. Zukünftig gilt zusätzlich das Marktortprinzip. Werden personenbezogene Daten im Zusammenhang mit Angeboten von Waren oder Dienstleistungen in der europäischen Union verarbeitet, muss sich die verarbeitende Stelle an die Vorgaben der DSGVO halten. Dadurch fällt der Kreis der Betroffenen deutlich weiter aus.
Räumlicher Anwendungsbereich: Wo gilt die DSGVO?
Die EU-Datenschutz-Grundverordnung bringt einige Neuerungen für das Datenschutzrecht mit sich. Diese betreffen nicht nur Unternehmen sondern auch den einzelnen Bürger. Zumindest dann, wenn es um die Rechte der Betroffenen einer Verarbeitung personenbezogener Daten geht. Mit dem 3. Kapitel der aktuellen Fassung der Datenschutz-Grundverordnung will der Gesetzgeber die Rechte der Betroffenen grundsätzlich stärken und weitet diese in manchen Bereichen (im Vergleich zur momentanen Rechtslage) sogar aus. Vor allem die neuen Transparenz- und Informationspflichten der Unternehmen führen zu einem deutlich stärkeren Schutz der Betroffenen, als die aktuell geltenden Regelungen des Bundesdatenschutzgesetzes.
Neues EU-Datenschutzgesetz: Das sind Ihre Rechte
Die Datenschutz-Grundverordnung statuiert neben altbekannten Pflichten auch neue Anforderungen für Unternehmen im Bereich Datenschutz. Eine positive Neuerung ist z.B. die Pflicht zu verbraucher- und datenschutzfreundlichen Voreinstellungen bei elektronischen Geräten. Allerdings könnten andere Pflichten wiederum zu einem deutlichen Mehraufwand seitens der Unternehmen führen. Beispielsweise könnte die vorgesehene Pflicht zur Datenschutz-Folgenabschätzung sowie die sich daran evtl. anschließende Konsultation der zuständigen Aufsichtsbehörde zu einem vermehrten Maß an Bürokratie führen. Ob diese dann wirklich noch positive Auswirkungen für Verbraucher und Unternehmen hat, ist derzeit aber kaum abzusehen. Daher betrachten wir die kommenden Änderungen für Unternehmen einmal etwas genauer.
Internationale Datentransfers ins Ausland
Der Transfer von personenbezogenen Daten in Staaten außerhalb der EU/des EWA (sogenannten Drittstaaten) ist problematisch. Dies ist im Rahmen der Richtlinie 95/46/EG (Datenschutz-Richtlinie) der Fall und wird auch mit Inkrafttreten der Datenschutz-Grundverordnung so bleiben. Grund hierfür ist die Annahme, dass in Drittstaaten generell kein angemessenes Datenschutzniveau herrscht. Eine Ausnahme besteht dann, wenn die EU-Kommission für den betreffenden Staat ein solches festgestellt hat. Dementsprechend werden Datentransfers in Drittstaaten auch weiterhin nur zulässig sein, wenn zusätzliche Sicherheitsmechanismen dazu beitragen ein angemessenes Datenschutzniveau zu gewährleisten oder ein solches verbindlich festgestellt wurde.
Mit der voraussichtlichen Anwendbarkeit der EU-DSGVO im Frühsommer 2018 ändert sich auch die Zulässigkeit einer Videoüberwachung. Eine explizite Regelung zur Zulässigkeit von Videoüberwachung ist dort nicht enthalten. Lediglich in dem Artikel zur Notwendigkeit einer sog. „Datenschutz-Folgenabschätzung“ wird das Thema Videoüberwachung erwähnt. Dies impliziert eine deutliche Veränderung zur bisherigen Rechtslage in Deutschland.
10 Vorteile der EU-Datenschutz-Grundverordnung
Seit Anfang Februar steht die offizielle deutsche Übersetzung der EU-DSGVO zum Nachlesen bereit. Bereits jetzt lassen sich Vorteile benennen, welche die neue Verordnung für den Datenschutz und damit auch für die Betroffenen mit sich bringt. So z.B. die angestrebte Harmonisierung des Datenschutzrechts in Europa oder ein Konzernprivileg beim der Datenweitergabe innerhalb verbundener Unternehmen. Der nachstehende Artikel stellt 10 Vorteile vor.
In Deutschland definiert sich die Auftragsdatenverarbeitung als durch einen Auftragnehmer auf Weisung eines Auftraggebers, bei dem die Verantwortung für die ordnungsgemäße Datenverarbeitung verbleibt. Ob eine Auftragsdatenverarbeitung in der Praxis vorliegt, richtet sich ausschließlich nach rechtlichen Vorgaben und kann nicht vertraglich festgelegt werden. Daher ist es wichtig deren Voraussetzungen zu kennen. In der Datenschutz-Grundverordnung werden diese nun erstmals europaweit einheitlich geregelt. Obwohl sich die neuen Regelungen inhaltlich an dem bekannten § 11 BDSG orientieren und diesen im Prinzip auf ein europäisches Level heben, sind einige Unterschiede zu beachten.
Auftragsdatenverarbeitung und Datenschutz-Grundverordnung
Noch müssen Auftraggeber und Auftragnehmer eine Vereinbarung zur Auftragsdatenverarbeitung abschließen, auch wenn der Dienstleister lediglich mit der Prüfung oder Wartung automatisierter Verfahren (diverse Tools) oder von Datenverarbeitungsanlagen (z.B. Server) beauftragt wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Ob diese Regelungen mit der DSGVO weiterhin bestehen bleibt, ist umstritten. Daher stellen wir die einzelnen Positionen einmal genauer vor.
Website Betreiber müssen eine Vielzahl an Vorschriften beachten. Regelungen zur Website-Compliance finden sich u.a. in den §§ 11 ff. Telemediengesetz (TMG), insbesondere in § 13 TMG, der die Pflichten des Diensteanbieters vorgibt. Die Datenschutz-Grundverordnung wird zwangsläufig Auswirkungen auf die aktuellen Anforderungen an Website-Compliance haben. Da die EU-DSGVO als europäische Verordnung direkt in den Mitgliedstaaten anwendbar sein wird, geht sie als europäisches Recht den nationalen Regelungen vor. Zwar bleiben viele gesetzliche Pflichten erstmal bestehen, andererseits sollte aber die Datenschutzerklärung mit den Vorgaben der EU-DSGVO abgestimmt werden.
Die Landes- und Bundesdatenschutzbeauftragten werden gern als zahnlose Tiger bezeichnet. Unter anderem auch wegen ihren eingeschränkten Sanktionsmöglichkeiten, die sie bei Datenschutzverstößen nach deutschem Recht haben. Die EU-Datenschutz-Grundverordnung aber enthält eigene Vorschriften zu Bußgeld- und Sanktionsmöglichkeiten. Dadurch sollen Unternehmen von Datenschutzverstößen abgehalten und das Bewusstsein dafür geschärft werden, dass Verstöße gegen die Verordnung zugleich Verletzungen der Grundrechtecharta der Europäischen Union sind. Wir geben deshalb einen Überblick über die Bußgelder und sonstige Sanktionen, die Sie bei Nichteinhaltung der Vorschriften treffen können.
Datenschutz-Grundverordnung: Bußgelder und Sanktionen
Mit der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO) ändert sich nicht nur die gesetzliche Ausgestaltung des Datenschutzrechts. Auch Aufgaben, Zuständigkeit und Befugnisse der Aufsichtsbehörden wurden teilweise überarbeitet. Daraus ergeben sich für die praktische Handhabung des Datenschutz ganz neue Chancen, aber auch Probleme.
EU-Datenschutz-Grundverordnung – Die Rolle der Aufsichtsbehörden
Die Einwilligung in die Verarbeitung seiner personenbezogenen Daten durch den Betroffenen ist seit jeher zentraler Bestandteil des Datenschutzrechts. Aufgrund des Grundrechts der informationellen Selbstbestimmung kann jeder Bürger für sich entscheiden, wer welche Informationen über ihn erhält. Aktuell sind die Voraussetzungen für eine rechtsgültige Einwilligung in die Verarbeitung personenbezogener Daten durch § 4a BDSG und für den Bereich der elektronischen Medien zusätzlich durch § 13 Abs. 2 Telemediengesetz (TMG). Durch die Einführung der Datenschutz-Grundverordnung werden diese Voraussetzungen ergänzt.
Bislang wenig beachtet wird durch die EU-DSGVO auch ein neues Rechtsinstitut eingeführt: der EU-Vertreter bzw. Vertreter in der Union. Seine Existenz hängt eng mit dem durch die EU-DSGVO neu eingeführten Marktortprinzip zusammen. Alle Unternehmen, die keine Niederlassung in der EU unterhalten, aber Personen in der Union Waren oder Dienstleistungen anbieten oder ihr Verhalten – z.B. durch „Tracking“ oder „Profiling“ – beobachten, müssen grundsätzlich einen EU-Vertreter bestellen. Dieser soll insbesondere als Anlaufstelle und Ansprechpartner für Aufsichtsbehörden und betroffene Personen dienen und stellt damit das Bindeglied zwischen diesen und dem in einem Drittland niedergelassenen datenverarbeitenden Unternehmen dar.
Das Modell Datenschutzbeauftragter ist in Deutschland seit langem bekannt und viele Unternehmen müssen bereits jetzt einen Datenschutzbeauftragten bestellen. Mit Inkrafttreten der Datenschutz-Grundverordnung wird eine solche Pflicht auch erstmals europaweit für Unternehmen, deren Tätigkeit einer besonderen Kontrolle bedarf, eingeführt. Durch die Öffnungsklauseln können die Länder zwar nationale Sonderregelungen für die Bestellung eines betrieblichen Datenschutzbeauftragten schaffen. Nichtsdestotrotz gelten daneben die Anforderungen der Datenschutz-Grundverordnung, welche sich an einige Stellen vom Bundesdatenschutzgesetz unterscheiden und daher zwangsläufig eine Veränderung herbeiführen werden.
Mit der DSGVO ändern sich die Vorgaben zur Datensicherheit und somit auch die der technischen und organisatorischen Maßnahmen. Manche Begriffe werden durch die Verordnung noch abstrakter, als sie es bisher gewesen sind, einige Vorgehensweise ähneln der jetzigen Handhabung und wiederum andere Anforderungen, wie der Stand der Technik, Belastbarkeit oder data protection by default, sind neu. Auf Unternehmen kommt daher eine Menge Arbeit zu. Neue Verfahren müssen etabliert und Prozesse entsprechend der Verordnung angepasst werden.
Die Datenschutz-Grundverordnung führt für Unternehmen und Verantwortlichen eine Reihe von neuen Informationspflichten ein. Dabei ändert sich im Vergleich zu den bisherigen Vorschriften des Telemedien- und Bundesdatenschutzgesetz einiges an den Anforderungen. Denn der europäische Gesetzgeber verfolgt das Ziel, dem Grundsatz der fairen und transparenten Datenverarbeitung gerecht zu werden. Die Betroffenen Nutzer sollen zukünftig besser in der Lage sein, eine Datenerhebung, -verarbeitung oder -nutzung, anhand den zur Verfügung gestellten Informationen, zu überprüfen.
Mit der Datenschutz-Grundverordnung erweitert sich der Aufgabenkreis des Datenschutzbeauftragten. Damit verbunden ist eine Aufwertung der Position im Unternehmen. Unter Umständen aber auch ein gesteigerter Haftungsumfang für Datenschutzverstöße des betreuten Unternehmen. Bis zur Anwendbarkeit der Datenschutz-Grundverordnung sollten Mitarbeiter und Datenschutzbeauftragte hinsichtlich der gesteigerten Bedeutung des Datenschutzes für Unternehmen sensibilisiert werden.
Dass es eine gute Idee ist, eine Abschätzung der Folgen vor dem Einsatz einer bestimmten Technologie durchzuführen, hat sich bereits in den 1960er Jahre in den Bereichen Gesundheit und Umwelt durchgesetzt. Mit der Datenschutz-Grundverordnung hat der europäische Gesetzgeber diese Überlegung aufgegriffen. Fortan sind Unternehmen unter bestimmten Voraussetzungen verpflichtet eine Datenschutz-Folgenabschätzung vorzunehmen. Diese ähnelt stark der aus dem BDSG bekannten Vorabkontrolle. Aber der Text der DSGVO lässt weitgehend offen, wie und nach welchen Kriterien eine Datenschutz-Folgenabschätzung durchzuführen ist.
Datenschutz-Folgenabschätzung: Was ist das überhaupt?
Schon heute müssen Unternehmen, unter bestimmten Voraussetzungen, Aufsichtsbehörde und Betroffenen eine Data Breach Notification zukommen lassen. Nämlich dann, wenn Unberechtigte vermutlich oder erwiesenermaßen Zugang zu „Risikodaten“ hatten. Eine weitere Voraussetzung ist, dass die Datenpanne zu einer schwerwiegenden Beeinträchtigung der Rechte oder schutzwürdigen Interessen des Betroffenen führen könnte. Die Datenschutz-Grundverordnung wird diese Anforderungen und etwaige Sanktionen noch deutlich verschärfen. Die Bedeutung der Data Breach Notification und deren Anzahl wird dadurch zwangsläufig steigen.
Mit der Datenschutz-Grundverordnung muss ein Unternehmen nach Art. 30 DSGVO ein Verzeichnis aller Verarbeitungstätigkeiten von personenbezogenen Daten führen. Dies ist nur eine von mehreren, neuen Vorgaben zur Dokumentationspflicht. Bei der Einhaltung aller gesetzlichen Vorgaben wird das Verzeichnis aber eine tragende Rolle spielen. Denn es enthält eine Dokumentation und Übersicht über alle eingesetzten Verfahren, bei denen personenbezogene Daten verarbeitet werden.
Verzeichnis von Verarbeitungstätigkeiten – Infos & Tipps zur Umsetzung
Neben dem angesprochenen Verzeichnis von Verarbeitungstätigkeiten finden sich in der Datenschutz-Grundverordnung eine Vielzahl von Normen, die eine Dokumentierung der getroffenen Datenschutzmaßnahmen fordern. Daneben schafft die DSGVO weitere Prozesse, die etabliert, und Aufgaben die wahrgenommen werden müssen. Bei dieser Vielzahl von Anforderungen kann man schnell mal den Überblick verlieren. Daher bietet sich ein Datenschutzmanagement an, um die Einhaltung aller Vorgaben systematisch zu planen, umzusetzen und laufend zu kontrollieren.
Bei grenzüberschreitender Datenverarbeitung gilt demnächst nach Art. 56 Abs. 1 DSGVO das One Stop Shop Prinzip. Demnach ist nur noch eine federführende Aufsichtsbehörde für die Beurteilung datenschutzrechtlicher Belange eines Unternehmens zuständig. Damit entfällt für internationale Unternehmen eine Menge Bürokratie. Dennoch gibt es auch bei dieser Regelung ein paar Problemfelder, die im Auge zu behalten sind.
Datenschutz-Grundverordnung und der One Stop Shop
Binding Corporate Rules (BCR) sind ein von der Artikel-29-Datenschutzgruppe entwickelter Rahmen zum Umgang mit personenbezogene Daten auf dessen Grundlage Konzerne verbindliche Datenschutzrichtlinien erlassen können. Diese werden als ausreichende Datenschutzgarantie für konzerninterne Datenübertragungen in unsichere Drittländer angesehen. Durch ihre Kodifikation in der DSGVO ergeben sich im Vergleich zur aktuellen Rechtslage einige Vorteile für Konzerne.
Das Bundesdatenschutzgesetz enthält ein Recht auf Berichtung, Sperrung und Löschung. Dieses Recht auf Löschung wird in der Datenschutz-Grundverordnung um das Recht auf Vergessenwerden erweitert. Dadurch ändern sich die gesetzlichen Anforderungen zwar nicht grundlegend, dennoch sind einige Unterschiede zu beachten. So enthält die Verordnung beispielsweise zusätzliche Pflichten für Unternehmen und schränkt die Ausnahmetatbestände der Löschpflicht ein.
Die Datenschutz-Grundverordnung verpflichtet Verantwortliche gewisse, allgemeine Grundsätze bei der Verarbeitung personenbezogener Daten einzuhalten. Zudem muss dies dokumentiert werden. Die Grundsätze stellen die Spielregeln dar, welche bei jeglicher Verarbeitung von personenbezogenen Daten zu beachten sind. Daher eignen sich diese auch als Auslegungshilfe für die restlichen Artikel der Datenschutz-Grundverordnung. Es ist daher von Vorteil, die einzelnen Vorgaben bei Inkrafttreten der DSGVO zu kennen.
Die Marktforschung beschäftigt mit sich Themen wie beispielsweise Konsumgewohnheiten, demographischen Entwicklungen und Mediennutzung. Um aussagekräftige Ergebnisse zu liefern, werden oft eine Vielzahl von personenbezogenen Daten bei identifizierbaren Personen erhoben und ausgewertet. Bei der Verarbeitung von personenbezogenen Daten sind immer die datenschutzrechtlichen Vorgaben zu beachten. Bisher kam der Markt- und Meinungsforschung dabei durch den § 30a BDSG eine privilegierte Stellung zu. Diese wird aber mit der Datenschutz-Grundverordnung und dem neuen BDSG ersatzlos gestrichen.
Datenschutz bei Marktforschung – Was ändert die DSGVO?
Einer der ersten Grundsätze für die Verarbeitung personenbezogener Daten in der Datenschutz-Grundverordnung ist die Rechtmäßigkeit der Verarbeitung. Dafür muss mindestens eine von sechs gesetzlich geregelten Bedingungen erfüllt sein. Welche das sind und wie sich deren Tatbestände von denen des BDSG unterscheiden, erklärt dieser Beitrag.
Auch die DSGVO kennt besondere Kategorien personenbezogener Daten, welche einen erhöhten Schutzbedarf aufweisen. Diese werden in Art. 4 und 9 DSGVO aufgelistet und entsprechen weitgehende den aus dem BDSG bekannten besonderen Arten personenbezogener Daten. Hinzukommen biometrische sowie genetische Daten. Die DSGVO bringt in dieser Hinsicht wenig Neues. Aber ein paar Ungewissheiten bleiben, gerade bei der Erforderlichkeit der Durchführung einer Datenschutz-Folgenabschätzung.
Der Kinder- und Jugendschutz nimmt in der EU-Datenschutz-Grundverordnung (DSGVO) eine wichtige Rolle ein. So findet sich in der Verordnung z.B. erstmals eine ausdrückliche gesetzliche Regelung zu Anforderungen an die Rechtmäßigkeit der Einwilligung von Kindern. Ebenso beziehen sich zahlreiche weitere Normen und Erwägungsgründe explizit auf Kinder und Jugendliche. Nachfolgend geben wir einen Überblick über die gesetzlichen Vorgaben, welche künftig von Diensten eingehalten werden müssen, die gleichsam Kindern und Erwachsenen offenstehen.
Neues zur EU-Datenschutz-Grundverordnung
Mehr zum Thema: Datenschutz-Grundverordnung, EU-DSGVO
Brauchbare, gute Zusammenfassung die eine prima Grundlage ist!
HBGBD am 23. März 2016, 17:58 Uhr
Eine kleine Anmerkung: die DSGVO gilt ab dem 25. Mai 2018 und nicht ab Juni/Juli
Hamburgerin am 19. September 2016, 13:56 Uhr
In der Tat. Der Beitrag stammt aus dem März 2016. Zu diesem Zeitpunkt sah der Zeitplan noch anders aus. Die Angabe ist uns leider trotz Aktualisierung des Artikels (z.B. der Gesetzesnormen) entgangen. Vielen Dank für den Hinweis. Das Datum ist nun geändert.
Dr. Datenschutz am 19. September 2016, 15:46 Uhr
Wie wird die Verpflichtung auf das Datengeheimnis nach §5 BDSG in der DSGVO umgesetzt. Muß man oder sollte man sich neue Verpflichtungen von den Mitarbeitern unterschreiben lassen?
DSGVO 2018 am 21. Oktober 2016, 14:03 Uhr
Die dem § 5 BDSG zugrunde liegende Regelung, dass die Mitarbeiter personenbezogenen Daten nicht unbefugt erheben, verarbeiten oder nutzen dürfen, ist zwar nicht explizit in der DSGVO geregelt, gilt aber auch weiterhin. Dies ergibt sich beispielsweise im Umkehrschluss aus Art. 5 DSGVO. Dieser schreibt nicht nur vor, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden müssen, sondern gibt außerdem vor, wann dies der Fall ist.
Die Verpflichtungserklärung auf das Datengeheimnis sollte weiterhin eingeholt werden. Im Gegensatz zu früher müssen in dieser (nach dem jetzigen Stand) nicht unbedingt Normen genannt werden. Dies ändert sich, wenn die persönliche Haftung der Mitarbeiter im Allgemeinen Datenschutzgesetz in Deutschland explizit geregelt wird oder die Datenschutzaufsichtsbehörden eine anderweitige Empfehlung geben. Vielmehr sollte die Verpflichtungserklärung dann die Grundregeln des Datenschutzes beinhalten, an die sich jeder Mitarbeiter halten soll.
Dr. Datenschutz am 24. Oktober 2016, 13:00 Uhr
Stimmt es, dass diese Verordnung nur Unternehmen ab einer Mitarbeiteranzahl von 250 Mitarbeitern betrifft?
Besorgter_Admin am 7. November 2016, 07:56 Uhr
Nein, das ist so nicht richtig. Um ein gleichmäßiges Datenschutzniveau und gleiche Rechte für alle von einer Datenverarbeitung betroffenen Personen zu gewährleisten, soll die DSGVO ausweislich des Erwägungsgrundes 13 gerade auch für kleine und mittlere Unternehmen sowie Kleinstunternehmen gelten.
Die DSGVO sieht für Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, in Art. 30 Abs. 5 der DSGVO lediglich eine Erleichterung hinsichtlich der Pflicht vor, ein Verzeichnis über ihre Verarbeitungstätigkeiten zu führen. Allerdings wird auch diese Erleichterung nur selten einschlägig sein. Genaueres dazu finden Sie in unserem Beitrag: Verzeichnis von Verarbeitungstätigkeiten – Infos & Tipps zur Umsetzung.
Zudem sollen die Aufsichtsbehörden nach dem genannten Erwägungsgrund 13 gehalten sein, die besondere Situation von kleineren Unternehmen bei der Anwendung der Verordnung zu berücksichtigen. Konkrete Ausnahmen lassen sich aus dieser unspezifischen Aussage jedoch nicht ableiten. Deshalb sollten nach dem gegenwärtigen Stand auch kleine Unternehmen die Vorgaben der DSGVO bestmöglich umsetzen.
Dr. Datenschutz am 8. November 2016, 15:12 Uhr
Inwieweit können nationale Gesetzgeber noch eigene Reglungen erlassen?
Wird es noch rechtliche Unterschiede zwischen den EU-Staaten geben?
StX am 16. November 2016, 00:08 Uhr
Die Datenschutz-Grundverordnung räumt den nationalen Gesetzgebern gewisse „Regelungsspielräume“ ein. Wie genau diese genutzt und gestaltet werden sollen, wird gerade heiß diskutiert. Wir hatten z.B. über die Veranstaltung Datenschutz-Grundverordnung – (wie) müssen das deutsche und das europäische Recht geändert werden? oder über den ersten Entwurf eines ABDSG berichtet.
Daher wird es zwangsläufig weiterhin zu Unterschieden zwischen einzelnen europäischen Ländern kommen (etwa bei der Pflicht zur Bestellung eines Datenschutzbeauftragten). Diese werden aber geringer ausfallen, als es bisher der Fall war.
Dr. Datenschutz am 16. November 2016, 15:07 Uhr
Eigentlich sind doch über das nationale Datenschutzgesetz all die Anforderungen aus dem (EU-DSGVO) geregelt. Entfallen diese dann? Werden sie übernommen, muss der Datenschutz neu aufgestellt werden? Was muss denn schlussendlich getan werden?
Datenschützer am 28. März 2017, 14:44 Uhr
Das stimmt nur in einigen Teilen: Die DSGVO enthält im Vergleich zu den derzeitigen Regelungen des BDSG etwa mehr Informations- und Dokumentationspflichten für die verantwortlichen Stellen. Auch die Sanktionen bei Datenschutzverstößen werden durch die DSGVO strenger. Und da es sich bei den Regelungen, die ab Mai 2018 in Kraft treten um eine EU-Verordnung handelt, gehen diese auf Grund von Art. 288 AEUV den nationalen Bestimmungen vor. Die DSGVO enthält allerdings einige Öffnungsklauseln, die Raum für nationale Bestimmungen lassen. Hier wird derzeit das so genannte Datenschutz-Anpassungs- und Umsetzungsgesetz im Bundestag verhandelt, das dann die DSGVO ab Mai 2018 ergänzen soll.
Was also getan werden muss – die verantwortlichen Stellen müssen die teils neuen Anforderungen nach der DSGVO umsetzen.
Dr. Datenschutz am 31. März 2017, 13:00 Uhr
Können Sie mal wieder ein Update zum Thema geben. Tipps und Tricks etc.
Pokito am 13. Mai 2017, 14:39 Uhr
Hallo Dr. D! Vielleicht könnten Sie mal ein paar Satzbausteine oder Ideen und Meinungsstände hinsichtlich einer Datenschutzerklärung nach der DSGVO mit Ihren Lesern teilen. Vielen Dank!
PIPO am 29. Mai 2017, 11:26 Uhr
Tolle Zusammenfassung. Gibt es den Artikel als PDF zum runterlasen?
Mcapone am 29. Oktober 2017, 15:25 Uhr
Na dann können die 60% der DSL Nutzer in Deutschland die AVM Fritzboxen verwenden, wohl hoffen das die Deutsche Regierung AVM hinreichend motiviert endlich mal verschlüsseltes DNS (DNSCrypt) und Open VPN zu unterstützen, damit nicht mehr jeder die Datenübertragungen der betroffenen Arztpraxen, Anwaltskanzleien und sonstigen KMU Firmen und Privatpersonen mehr mitschneiden und manipulieren kann.
Hannelore Schneider am 29. Januar 2018, 14:32 Uhr
Guten Morgen, im Internet habe ich dieses neue Gesetz gesehen und dass wir die sich um vermisste Tiere kümmern einige Fragen haben die uns unter den Nägeln brennen.
1. Frage Sowie ich gelesen habe betrifft es Gewerbe und Privatpersonen. Ist das so richtig?
2. Ist es richtig, dass Daten von vermissten Tieren nach 12 Monaten gelöscht werden müssen? Dieses habe ich im Netz gelesen?
3. Was bedeutet das für den Tierschutz? Normalerweise ist ein Tier ein Gegenstand mit tierschutzrechtlichen Hintergründen.
Muriel am 21. März 2018, 10:27 Uhr
Sie verursachen mit ihrer Verordnung unter den kleinen Webseitenbetreibern die auch ein Plauderforum am leben halten Angst und Panik. Man befürchtet Rudel von Abmahnvereinen und Anwälten die sich das als neues Umfeld erschließen um daraus Gewinne generieren zu können. Es gibt bereits jetzt Forenbetreiber die keinen Ausweg finden und die Schließung der Gemeinschaften ankündigen. Soll das wirklich die Zukunft sein? Ich hab nur eine Stimme bei jeder Wahl, aber beim Anblick solcher Dinge schreit diese NEIN
Martin am 1. April 2018, 15:53 Uhr