Source: http://docplayer.org/33862571-Bvd-management-summary-ueberblick-in-10-schritten.html
Timestamp: 2018-06-19 19:47:01
Document Index: 227901471

Matched Legal Cases: ['Art. 83', 'Art. 83', 'Art. 83', 'Art. 5', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 3', 'Art. 7', 'Art. 8', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 13', 'Art. 14', 'Art. 15', 'Art. 6', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 9', 'Art. 10', 'Art. 28', 'Art. 4', 'Art. 28', 'Art. 32', 'Art. 35', 'Art. 35', 'Art. 36', 'Art. 58', 'Art. 4', 'Art. 4', 'Art. 33', 'Art. 34', 'Art. 4', 'Art. 4']

BvD. Management-Summary. Überblick in 10 Schritten - PDF
Download "BvD. Management-Summary. Überblick in 10 Schritten"
1 BvD Management-Summary Überblick in 10 Schritten Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.v. Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) DATENSCHUTZ GESTALTEN
2 DS-GVO I ZIELSETZUNG ZIELSETZUNG Erwägungsgrund 11 der Datenschutz-Grundverordnung (DS-GVO) Ein unionsweiter wirksamer Schutz personenbezogener Daten erfordert eine... Stärkung und Präzisierung der Rechte der betroffenen Personen sowie eine Verschärfung der Auflagen für diejenigen, die personenbezogene Daten verarbeiten und darüber entscheiden, aber ebenso gleiche Befugnisse der Mitgliedstaaten bei der Überwachung und Gewährleistung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten sowie gleiche Sanktionen im Falle ihrer Verletzung. 2 I
3 DS-GVO I EINORDNUNG INS RECHTESYSTEM EINORDNUNG INS RECHTESYSTEM Vorrang einer EU-Verordnung vor nationalem Recht BISHER DATENSCHUTZ- RICHTLINIEN Richtlinie = Umsetzung durch Mitgliedsstaaten mittels nationalem Gesetz bspw. RL 95/46 EG => Umsetzung im BDSG NEU VERORDNUNG = UNMITTELBARE GELTUNG IN JEDEM EU-MITGLIEDSSTAAT EU-Verordnung = grds. Anwendungsvorrang vor jedem nationalen Gesetz à kein Umsetzungsgesetz im nationalen Recht erforderlich sofern in VO vorgesehen, dann nationale Regelungen möglich - bspw. generelle Öffnungsklausel für öffentlichen Bereich - bspw. spezielle Öffnungsklauseln wie für Beschäftigtendatenschutz - bspw. sog. eprivacy-rl (RL 2002/58/EG) Ausgestaltungspflicht durch nationalen Gesetzgeber, sofern durch VO angeordnet Auch was klingt wie bisher, muss nicht dasselbe sein. Dr. Jens Eckhardt à NEUER RECHTSRAHMEN MIT ANWENDUNGSVORRANG VOR NATIONALEN GESETZEN à KEINE DEUTSCHE AUSLEGUNG, SONDERN EU-AUSLEGUNG 3 I
4 DS-GVO I SCHRITT 1 I AB WANN UND MIT WELCHER AUSWIRKUNG DS-GVO Ab wann und mit welcher Auswirkung Voraussichtliche Geltung ab Mai 2018 Inkrafttreten voraussichtlich Mai 2016 Übergangszeit: Anpassung an neues Datenschutzrecht Anpassungsbedarf à Auftragsdatenverarbeitung à Einwilligungen à Informationen an Betroffene à interne Dokumentation à neue Begriffe, neue Definitionen, neue Auslegung selbst bereits im BDSG verwendeter Begriffe Grundlage: Erwägungsgrund (ErwGr.) 171 innerhalb von zwei Jahren nach dem Inkrafttreten dieser Verordnung mit ihr in Einklang gebracht Einwilligung Fortgeltung, sofern entsprechend der DS-GVO erteilt Sonderreglung für Entscheidungen/Beschlüsse der EU-Kommission nichts bleibt vollkommen unverändert und zwei Jahre sind kurz! 4 I
5 DS-GVO I SCHRITT 2 I SANKTIONSRAHMEN SANKTIONSRAHMEN Massive Verschärfung des Sanktionsrahmens Art. 83 Abs. 4 Art. 83 Abs. 5 Art. 83 Abs. 6 bis 10 Mio. oder bis 2% des weltweiten Vorjahresumsatzes, Verstöße gegen Regelungen zu z.b. Schutzmaßnahmen (technisch-organisatorische Maßnahmen) Auftragsverarbeitung (NEU: auch gegen Auftragsverarbeiter) Verzeichnis der Verarbeitungstätigkeiten Datenschutz- Folgenabschätzung Bestellung Datenschutzbeauftragten bis 20 Mio. oder bis 4% des weltweiten Vorjahresumsatzes je nachdem, was höher ist (!) Verstöße gegen Regelungen zu z.b. Grundsätze (Art. 5) Rechtmäßigkeit Einwilligung Rechte Betroffener Drittlandsübermittlung Zusammenarbeit mit Aufsichtsbehörde bis 20 Mio. oder bis 4% des weltweiten Vorjahresumsatzes Verstöße gegen Anordnungen der Aufsichtsbehörde 5 I
6 DS-GVO I SCHRITT 3 I RECHTMÄßIGKEITSGRUNDLAGEN AUSGANGSPUNKT: Verbot mit Erlaubnisvorbehalt, Art. 6 Abs. 1 Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn Art. 6 Abs. 1 beachtet ist. NEU: ART. 5 Grundsätze in Bezug auf Verarbeitung personenbezogener Daten Rechtmäßigkeit Verarbeitung nach Treu und Glauben Transparenz Zweckbindung Datenminimierung Richtigkeit Speicherbegrenzung Integrität und Vertraulichkeit Rechenschaftspflicht NEU: ART. 6 Rechtmäßigkeitsgrundlagen Einwilligung, Art. 6 Abs. 1 lit. a (i. V. m. Artt. 7, 8, 3 Abs. 8) Art. 3 Abs. 8: Definition mit Anforderungen NEU: Art. 7: Bedingungen für Einwilligung NEU: Art. 8: durch Kind bei Diensten der Informationsgesellschaft gesetzliche Zulässigkeit, Art. 6 Abs. 1 lit. f NEU: Generalklausel für Interessenabwägung (Art. 6 Abs. 1 lit. f) anstatt wie bisher differenziertere Regelungen Sonderregelungen für bestimmte Daten und Verarbeitungen Regelungen in anderen Gesetzen NEU: ART. 6 ABS. 4 NEU: spezielle Maßgaben für eine Verarbeitung zu anderem Zweck, Art. 6 Abs. 4 (... um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden...) NEU: VERSTOß GEGEN ART. 5, 6, 7 UND 8: Bußgeld bis 20 Mio. Euro / 4 % des Vorjahresumsatzes 6 I
7 DS-GVO I SCHRITT 4 I INFORMATIONSPFLICHTEN INFORMATIONSPFLICHTEN Unterscheidung UNTERSCHEIDUNG DER UNTERRICHTUNG Art. 13: Informationspflichten zum Zeitpunkt der Erhebung (Geltung auch für Einwilligung) Art. 14: Wenn die Daten nicht bei der betroffenen Person erhoben werden Art. 15: Auskunftsansprüche des Betroffenen NEU: SIGNIFIKANTE ERWEITERUNG DES INHALTS D. UNTERRICHTUNG insbesondere: NEU: Name des Verantwortlichen NEU: Kontaktdaten des/der Datenschutzbeauftragten NEU: Zweck der Verarbeitung sowie Rechtsgrundlage NEU: das berechtigte Interesse (Art. 6 Abs. 1 lit. f), sofern darauf beruhend NEU: Hinweis auf Widerspruchsrecht (auch bei Einwilligung) NEU: Absicht der Drittlandübermittlung und einen Hinweis auf die Grundlage der Zulässigkeit der Drittlandübermittlung KONSEQUENZ: erhebliche Umgestaltung der Informationen HERAUSFORDERUNG: auch für bestehende auf Basis einer Einwilligung und unter der DS-GVO fortgesetzte Verarbeitungen müssen die Anforderungen erfüllt sein (ErwGr. 171) 7 I
8 DS-GVO I SCHRITT 5 I DOKUMENTATIONSPFLICHTEN DOKUMENTATIONSPFLICHTEN Verzeichnis von Verarbeitungstätigkeiten, Art. 30 Pflicht für den Verantwortlichen (Art. 30 Abs. 1) und Auftragsverarbeiter (Art. 30 Abs. 2) Ausnahmen für Unternehmen bis 250 Mitarbeitern, sofern die Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt oder nicht besondere Datenkategorien (Art. 9) oder Straftaten (Art. 10) einschließt. keine Herausgabepflicht an Jedermann (Stichwort: Jedermannsverzeichnis) Unterschiedliche Inhalte für Verantwortlichen und Auftragsverarbeiter HERAUSFORDERUNG gegenüber Aufsichtsbehörde auf Anforderung zur Verfügung stellen Aufzeichnungen sind schriftlich zu führen, elektronisches Format genügt NEU - bei Verstoß: Sanktionsrahmen bis 10 Mio. Euro / 2 % des Vorjahresumsatzes 8 I
9 DS-GVO I SCHRITT 6 I AUFTRAGSVERARBEITUNG AUFTRAGSVERARBEITUNG Auftragsverarbeitung, Art. 28 Grundsatz der Privilegierung bleibt!? - Auftragsverarbeiter ist kein Dritter, Art. 4 Abs Risiko: Unklarheiten wegen fehlender Definition von Übermittlung Verantwortlicher für Verarbeitung bleibt verantwortlich - Pflichtinhalte bei der Beauftragung - Angemessenheit der Schutzmaßnahmen - Nachweis der ausreichenden Schutzmaßnahmen, auch über Verhaltensregeln oder Zertifizierung möglich HERAUSFORDERUNG - Einbindung von Subunternehmern formalisierter geregelt - NEU: geänderte inhaltliche Anforderungen an Vereinbarung - NEU: gemeinsame Haftung (Art. 28) des Auftraggebers und des Auftragnehmers è Zwingender Überprüfungsbedarf bei Verstoß: Sanktionsrahmen bis 10 Mio. Euro / 2 % des Vorjahresumsatzes è auch gegen Auftragsverarbeiter möglich NEU: Risiko für Auftragsverarbeiter: Haftung mit Auftraggeber 9 I
10 DS-GVO I SCHRITT 7 I SCHUTZMAßNAHMEN TECHNISCH-ORGANISATORISCHE MAßNAHMEN Sicherheit der Verarbeitung, Art. 32 Zielsetzung Gewährleistung eines dem Risiko angemessenen Schutzniveaus Umsetzung durch geeignete technische und organisatorische Maßnahmen, die getroffen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit HERAUSFORDERUNG und Schwere des Risikos für die persönlichen Rechte und Freiheiten NEU: Verstoß ist bußgeldbewehrt (10 Mio. Euro / 2 % des Vorjahresumsatzes)! Beachten: auch im Kontext der Auftragsverarbeitung Auswirkung in der Zukunft: Wird die Risikobewertung eine zentrale Aufgabe einer Datenschutzorganisation? 10 I
11 DS-GVO I SCHRITT 8 I DATENSCHUTZ-FOLGENABSCHÄTZUNG DATENSCHUTZ-FOLGENABSCHÄTZUNG Privacy Impact Assessment, Art. 35 durch den für die Verarbeitung Verantwortlichen (Art. 35 Abs. 1) wenn die Form der Verarbeitung aufgrund der Art, des Umfangs und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge hat Dokumentation der eingesetzten Abhilfemaßnahmen zur Eindämmung des Risikos, einschließlich Nachweisanforderungen bei Verstoß: Sanktionsrahmen bis 10 Mio. Euro / 2 % des Vorjahresumsatzes HERAUSFORDERUNG 11 I
12 DS-GVO I SCHRITT 9 I VORHERIGE KONSULTATION VORHERIGE KONSULTATION Zwingende Einbeziehung der Datenschutzaufsichtsbehörde, Art. 36 Verbleibt trotz Abhilfemaßnahmen bei einer Datenschutz- Folgenabschätzung ein hohes Risiko, dann ist eine vorherige Konsultation bei zuständiger Aufsichtsbehörde vorzunehmen Aufsichtsbehörde wird prüfen, ob Verarbeitung mit Verordnung im Einklang steht, insbesondere wenn Risiko nicht ausreichend ermittelt wurde, schriftliche Empfehlungen unterbreiten oder Befugnisse nach Art. 58 ausüben Reaktionszeit der Aufsichtsbehörde: innerhalb von 8 Wochen bei Verstoß: mit Verlängerungs- HERAUSFORDERUNG Sanktionsrahmen bis 10 möglichkeit um weitere 6 Wochen bei Komplexität Mio. Euro / 2 % des Vorjahresumsatzes 12 I
13 DS-GVO I SCHRITT 10 I MELDEPFLICHT BEI DATENSCHUTZVERSTÖßEN MELDEPFLICHT BEI DATENSCHUTZVERSTÖßEN Mehrteilige Regelung, Art. 4 Abs. 9, Artt. 33, 34, ErwGr. 59, 67 ff. AUSLÖSER DER MELDEPFLICHT Verletzung des Schutzes personenbezogener Daten", Art. 4 Abs. 9 NEU: keine Beschränkung auf bestimmte Daten è Risiko steigt! ZWEISTUFIGE MELDEPFLICHT Meldung an Aufsichtsbehörde, Art. 33 Ausschluss, falls voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten führt è grds. Meldepflicht, aber Ausnahmen Benachrichtigung der betroffenen Personen, Art. 34 Meldepflicht, falls Wahrscheinlichkeit für hohes Risiko aber dennoch: Ausnahmen möglich è nicht allein ausreichend: Verletzung des Schutzes personenbezogener Daten plus: Verlangen der Unterrichtung bzw. Feststellung der Pflicht zur Unterrichtung BEI VERSTOß bis 10 Mio. Euro / 2 % des Vorjahresumsatzes HERAUSFORDERUNG 13 I
14 DS-GVO I AUSBLICK ZEITPLAN UND UMSETZUNG Mehrteilige Regelung, Art. 4 Ab Abstimmung EU-Rat Anschl. Zustimmung Ausschuss LIBE, Europäisches Parlament Zustimmung EU-Parlament Veröffentlichung im Europäischen Amtsblatt nach 20 Tagen Inkrafttreten nach 2 Jahren zur Anwendung kommen Umsetzung Nationaler Gesetzgeber hat muss - und kann - Öffnungsklauseln Gesetzgebungsverfahren muss bis Anwendungszeitpunkt abgeschlossen sein Bis zum Inkrafttreten muss die Verarbeitung personenbezogener Daten und die Datenschutzorgansitaion umgestellt sein. Keine (weitere) Übergangszeit! 14 I
15 BVD I KONTAKT GEMEINSAM DATENSCHUTZ GESTALTEN! Mehrteilige Regelung, Art. 4 Ab DATENSCHUTZ GESTALTEN Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.v. Budapester Straße Berlin Telefon ( 0 30 ) Telefax ( 0 30 ) Internet: 15 I
DATENSCHUTZ- GRUNDVERORDNUNG DS-GVO NEOPOST BUSINESS BRUNCH
DATENSCHUTZ- GRUNDVERORDNUNG DS-GVO NEOPOST BUSINESS BRUNCH 27.9.2017 RA FAITR FAArbR Prof. Klaus Gennen Telefon: +49 221 55400-170 E-Mail: klaus.gennen@llr.de LLR Legerlotz Laschet und Partner Rechtsanwälte