Source: https://www.bayreuth.ihk.de/Datenschutz-fuer-kleine-Unternehmen.htm
Timestamp: 2019-04-26 00:23:46
Document Index: 116840035

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 9', 'Art. 22', '§ 36', 'Art. 14', 'Art. 32', 'Art. 32']

IHK für Oberfranken Bayreuth - Datenschutz für kleine Unternehmen nach der EU-Datenschutz-Grundverordnung – was ändert sich?
Home Recht/Steuern Recht Datenschutz Datenschutz für kleine Unternehmen
Für die Grunddaten zur Abwicklung des Vertrags benötigt Frau Mustera keine gesonderte Einwilligung ihrer Kunden, für darüber hinausgehende Daten aber schon. Falls der Vertrag erfüllt ist und es keine gesetzlichen Gründe für seine Aufbewahrung mehr gibt (z. B. steuerliche oder handelsrechtliche Gründe), müssen die Daten gelöscht werden.
Neu: In der Einwilligungserklärung muss sie auf die jederzeitige Widerrufbarkeit dieser Einwilligung hinweisen. Sie sollte hier nach obligatorischen und freiwilligen Daten trennen. Frau Mustera kann eine elektronische Einwilligung einholen, darf aber keine voreingestellte Einwilligung in Form eines Häkchens verwenden („double-opt-in“) (neu). Zudem muss sie ihre Kunden darüber informieren, zu welchem Zweck sie diese Daten verarbeiten will. Sie muss prüfen, ob die bisherigen Einwilligungen, die sie eingeholt hat, den – neuen – Anforderungen entsprechen. Falls nicht, wenn also der Hinweis auf den jederzeitigen Widerruf oder die Angabe des Zwecks fehlt, müssen die Einwilligungen neu eingeholt werden.
wenn die Verarbeitung auf Art. 6 Abs. 1 f) DS-GVO beruht: berechtigtes Interesse des Verantwortlichen,
Recht auf Widerruf einer Einwilligung (bei Verarbeitung nach Art. 6 Abs. 1 a) oder Art. 9 Abs. 2 a) DS-GVO),
das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO).
Für die Nutzer ihrer Internetseite muss Frau Mustera bekannt geben, ob und welche Cookies sie verwendet und ob sie die Nutzer der Seiten trackt. Nutzt sie hierfür einen Dienstleister, muss sie dazu eine Vereinbarung über die Auftragsverarbeitung schließen. Hat der Dienstleister seinen Sitz in einem Drittland, z. B. den USA, muss sie prüfen, ob die Weitergabe der Daten über EU-Standardvertragsklauseln oder über Privacy Shield abgesichert ist. Dabei handelt es sich um eine Vereinbarung zwischen der EU und den USA zur Angemessenheit des Datenschutzniveaus bei denjenigen Unternehmen, die die Anforderungen von Privacy Shield erfüllen.
a) Wo verarbeitet Frau Mustera diese Daten? Auf ihrem eigenen Server oder bei einem Dritten? Bei letzterem muss sie eine schriftliche (oder elektronische) Vereinbarung über die Auftragsverarbeitung schließen, denn der IT-Dienstleister darf die Daten nur nach ihrer Weisung verarbeiten. Liegen die Daten auf ihrem eigenen Server, nutzt sie aber eine Cloud-Anwendung, muss sie klären, ob die Daten in Deutschland, in Europa oder in den USA gespeichert sind. Im letzteren Fall handelt es sich um einen Datentransfer in Drittländer, so dass Sie hierfür eine besondere Grundlage benötigen, wenn die Daten in die USA übermittelt werden.
b) Frau Mustera hat einen Internetauftritt, der von einer Webdesignagentur gestaltet wird. Hat die Webdesignagentur Zugriff auf die personenbezogenen Daten, die ihre Interessenten/Kunden dort angeben? Falls ja, muss sie auch hier eine Vereinbarung über die Auftragsverarbeitung schließen. Zudem ist sie nach dem Telemediengesetz verpflichtet, ein sogenanntes Impressum mit folgenden Angaben einzustellen: Name, Anschrift, Rechtsform, E-Mail-Adresse, Umsatzsteuer-Identnummer usw. [Bei mehr als 10 Beschäftigten muss Frau Mustera zusätzlich angeben, inwieweit sie bereit oder verpflichtet ist, an einem Verfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§§ 36, 37 Verbraucherstreitbeilegungsgesetz).] Bei Online-Verträgen muss sie ihrer Informationspflicht nach Art. 14 der sog. ODR-Verordnung nachkommen.
e) Frau Mustera nutzt einen elektronischen Bezahldienst, mit dem sie ebenfalls einen Dienstvertrag schließen muss.
Miranda Mustera hat Lieferanten, von denen sie Daten, wie Name, Anschrift, Telefonnummer, Produktangebot, Ansprechpartner, URL der Homepage und E-Mail-Adressen gespeichert hat. Diese Angaben fallen entweder unter das Vertragsverhältnis oder sie benötigt für bestimmte Angaben ebenfalls die Einwilligung des Betroffenen zur Speicherung seiner Daten unter Angabe des Zweckes der Speicherung.
Miranda Mustera muss ihre Verfahren in einem sogenannten Verzeichnis von Verarbeitungstätigkeiten (neu) mit folgenden Angaben dokumentieren:
Frau Mustera muss ein Löschkonzept vorsehen (geregelt für: 6 Jahre Geschäftsbriefe, 10 Jahre steuerrelevante Unterlagen, 6 Monate Bewerbungsunterlagen). Alle anderen Daten bzw. Dokumente mit personenbezogenen Daten müssen gelöscht bzw. vernichtet werden, wenn sie nicht mehr benötigt werden. Daran schließt sich die Frage an, wie Unterlagen datenschutzkonform zu vernichten sind (Datenträger sind zu zerstören, Papierunterlagen mit personenbezogenen Daten sind zu schreddern).
Sie betreffen die Frage, wie sicher die Informationssicherheit ist (IT, Sicherheit im Büro/Ge-schäft); auch dies muss dokumentiert werden. Miranda Mustera muss insbesondere mit ihrem Steuerberater klären, wie die sensiblen Daten ihrer Mitarbeiter (Gesundheitsdaten, Religionszugehörigkeit) gut geschützt sind. Hierzu müssen bestimmte Maßnahmen ergriffen werden (neu: Risikobewertung/Datenschutz-Folgenabschätzung). Eine Übermittlung per E Mail ohne weitere Sicherheitsmaßnahmen ist datenschutzrechtlich nicht zulässig. Nachstehende Punkte geben einen groben Anhaltspunkt für solche Maßnahmen:
a) Vertraulichkeit (Art. 32 Abs. 1 b) DS-GVO)
aa) Zutrittskontrolle
bb) Zugangskontrolle
cc) Zugriffskontrolle
dd) Trennungskontrolle
b) Integrität (Art. 32 Abs. 1 b) DS-GVO)
aa) Weitergabekontrolle
bb) Eingabekontrolle/Verarbeitungskontrolle
cc) Dokumentationskontrolle
dd) Auftragskontrolle
c) Verfügbarkeitskontrolle
d) Belastbarkeit (Widerstandsfähigkeit/ Resilienz von Systemen/ Diensten)
Bei einer Einwilligung sind nicht nur die datenschutzrechtlichen Anforderungen zu erfüllen. Sofern eine Einwilligung zum Erhalt von Werbung eingeholt wird, ist auch das Gesetz gegen unlauteren Wettbewerb (UWG) zu beachten.