Source: https://planit.legal/blog/de/eu-datenschutzgrundverordnung-neue-serie/
Timestamp: 2017-09-20 12:47:11
Document Index: 131733174

Matched Legal Cases: ['Art. 4', '§ 28', 'Art. 9', 'Art. 9', 'Art. 21', 'Art. 5', 'Art. 6', 'Art. 7', 'Art. 7', 'EuG', 'Art. 17', 'Art. 20', 'Art. 20', 'Art. 37', 'Art. 88', 'Art. 44', 'Art. 45', 'Art. 47', 'Art. 45', 'Art. 42', 'Art. 56', 'Art. 60', '§ 43', '§ 44', '§ 44', '§ 43', '§ 7', 'Art. 83', 'Art. 82', 'BGH', 'EuG']

EU-Datenschutzgrundverordnung - Neue Serie - Technically Legal
Wie zu erwarten, krempelt die Datenschutzgrundverordnung (DSGVO) das Datenschutzrecht nicht von Grund auf um. Vielmehr entwickelt sie das europäische Datenschutzrecht, das insbesondere in der EU-Datenschutzrichtlinie enthalten war, weiter. Die Richtlinie war nach zwei Jahrzehnten in die Jahre gekommen – viele der Neuerungen tragen dem technischen Fortschritt Rechnung, insbesondere der weitergehenden Vernetzung, dem Internet, der Ubiquität (Allgegenwart) technischer Verarbeitung und dem Fortschritt in der Verarbeitung genetischer und biometrischer Daten.
Art. 4 DSGVO übernimmt im Wesentlichen die Begrifflichkeiten der EU-Datenschutzrichtlinie und fügt einige neue Definitionen hinzu.
Im Vergleich zum Bundesdatenschutzgesetz entfällt die lästige Unterscheidung der Datenverarbeitungsvorgänge in „Erhebung“, „Verarbeitung“ und „Nutzung“. Sämtliche Aktivitäten heißen nunmehr schlicht „Datenverarbeitung“. Dies führt zu einem deutlich besser lesbaren Verordnungstext. Die Terminologie des Bundesdatenschutzgesetzes (BDSG) ist demgegenüber so verwirrend, dass selbst der Gesetzgeber durcheinandergekommen ist (s. etwa die unpassende Überschrift von § 28 BDSG).
Sensible Daten nennt die Verordnung „besondere Kategorien personenbezogener Daten“ und stellt sie in Art. 9 DSGVO unter besonderen Schutz. Eigens definiert werden die Unterkategorien der „Gesundheitsdaten“, „biometrischen Daten“ und „genetischen Daten“. Anders als diese Definitionen erwarten lassen, enthält die Verordnung für diese Unterkategorien aber keine Sonderregeln. Sie stellt es lediglich den Mitgliedstaaten frei, entsprechende Sonderregeln zu erlassen (Art. 9 Abs. 4 DSGVO).
Neu ist die Definition des „Profiling“, unter das verschiedene Formen der Profilbildung, wie etwa Tracking und Scoring, fallen. Daran knüpfen Vorschriften wie das Widerspruchsrecht in Art. 21 DSGVO an. Hier zeigt sich, dass der Verordnungsgeber gerade die Datenverarbeitung im Rahmen von vermeintlich kostenfreien, werbefinanzierten Internetangeboten (Tracking, Targeting) als wesentliche Gefahr für das informationelle Selbstbestimmungsrecht sieht.
Art. 5 DSGVO nennt die allgemeinen Grundsätze, die für jede Datenverarbeitung gelten:
Datenminimierung (bisher: „Datensparsamkeit“)
Speicherbegrenzung (gemeint: Speicherung nur solange wie nötig)
Die meisten dieser Grundsätze waren bereits in Artikel 6 Abs. 1 der Datenschutzrichtlinie enthalten. Neu ist die ausdrückliche Nennung der Transparenz: unabhängig von der Rechtfertigung einer Datenverarbeitung soll diese grundsätzlich nicht erfolgen, ohne dass die Betroffenen den Verarbeitungsvorgang nachvollziehen können. Damit wird die Idee des informationellen Selbstbestimmungsrechts gestärkt. Denn ohne Kenntnis der Verarbeitung ist eine Kontrolle durch die Betroffenen nicht möglich.
Erhalten bleibt auch das grundsätzliche Verbot der Datenverarbeitung mit Erlaubnisvorbehalt (s. Art. 6 Abs. 1 DSGVO: „Die Verarbeitung ist nur rechtmäßig, wenn…“). Erlaubt sind danach weiterhin nur Datenverarbeitungen, die entweder durch eine Erlaubnisvorschrift oder durch eine Einwilligung der Betroffenen gedeckt sind.
Die Anforderungen an eine Einwilligung enthält Art. 7 DSGVO. Dabei fällt eine Verschärfung besonders ins Auge: Nach Art. 7 Abs. 4 DSGVO kann eine Einwilligung unwirksam sein, wenn daran ohne Notwendigkeit die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung gekoppelt ist. Da die Norm jedoch sehr offen formuliert ist, bleibt abzuwarten, wie streng dieses „Kopplungsverbot“ ausgelegt und angewendet wird.
Betroffenenrechte: Recht auf Vergessen und Recht auf Datenübertragbarkeit
Die Rechte der Betroffenen, mit denen diese auf die Verarbeitung ihrer Daten Einfluss nehmen können, wurden deutlich gestärkt.
So wurde als Folge der EuGH-Entscheidung „Google Spain“ das Recht auf Löschung ausdrücklich zum „Recht auf Vergessenwerden“ erweitert. Wer personenbezogene Daten veröffentlicht hat und diese nun löschen muss, ist nun verpflichtet, zumutbare Anstrengungen zu unternehmen, um Dritte zur Löschung von Links oder Kopien der Daten aufzufordern (Art. 17 Abs. 2 DSGVO).
Art. 20 DSGVO gibt Betroffenen, die ihre Daten einer verantwortlichen Stelle zur Verfügung gestellt haben, dass Recht, diese in einem „strukturierten, gängigen und maschinenlesbaren Format“ zu erhalten. Ziel ist insbesondere, zu einem anderen Dienstanbieter wechseln zu können. Daher kann auch verlangt werden, die Daten nach Art. 20 Abs. 2 DSGVO direkt an eine neue verantwortliche Stelle zu übermitteln.
Diese neuen Rechte sind erkennbar auf Internetriesen wie Google und Facebook gemünzt. Sie sind aber technologieneutral formuliert und gelten damit auch außerhalb des Internets. Ob eine Anwendung dieser außerhalb des Internets und elektronischer Dienstleistungen aber viel Sinn ergibt, wird sich zeigen.
Nach Art. 37 DSGVO benötigen Unternehmen (auch: Auftragsverarbeiter) einen Datenschutzbeauftragten,
wenn ihre Kerntätigkeit in einer Datenverarbeitung besteht, die eine umfassende regelmäßige und systematische Überwachung betroffener Personen erfodert,
wenn ihre Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten besteht, oder
wenn das Recht des Mitgliedstaates dies anordnet.
Eine Bestellpflicht trifft also nach der Verordnung hauptsächlich die Unternehmen, die hauptsächlich sensible Daten verarbeiten, wie z.B. private Krankenhäuser, Krankenkassen etc.
Das vieldiskutierte – im bisherigen Recht nicht enthaltene – „Konzernprivileg“ gibt es auch mit der Datenschutzgrundverordnung nicht. Damit bedürfen Datenübermittlungen zwischen konzernangehörigen Gesellschaften auch weiterhin einer Rechtfertigung. Allerdings erkennt die Verordnung in Erwägungsgrund 48 ausdrücklich an, dass es ein berechtigtes Interesse geben kann, innerhalb einer Unternehmensgruppe Kunden- und Beschäftigtendaten für interne Verwaltungszwecke zu übermitteln. Dies wird in Zukunft von den Aufsichtsbehörden bei der Beurteilung konzernweiter Datenbanken und IT-Verfahren zu beachten sein. Für die – gerade auch konzernweite – Verarbeitung von Beschäftigtendaten können die Mitgliedstaaten zudem über die Verordnung hinaus eigene Vorschriften erlassen (Art. 88 DSGVO).
Die Datenübermittlung in Länder außerhalb der EU erfordert nach Art. 44 ff. DSGVO bisher besondere Vorkehrungen. Sofern kein Beschluss der Kommission vorliegt, dass das Drittland ein angemessenes Datenschutzniveau bietet (Art. 45 DSGVO), sind geeignete Garantien für den Schutz der Daten erforderlich. Hierzu zählen z.B. „verbindliche interne Datenschutzvorschriften“ (bisher bekannt als „verbindliche Unternehmensregelungen“ oder „Binding Corporate Rules“), die von der zuständigen Aufsichtsbehörde zu genehmigen sind, s. Art. 47 DSGVO. Auch Standarddatenschutzklauseln mit Genehmigung der Kommission wird es weiterhin geben.
Aufschlußreich ist ferner die Möglichkeit, die internationale Datenübermittlung durch Einsatz genehmigter Zertifizierungsverfahren zu rechtfertigen (Art. 45 Abs. 2 f DSGVO). Überhaupt setzt die Verordnung erkennbar auf Zertifizierungen, Datenschutzsiegel und -prüfzeichen, um die für Unternehmen Rechtssicherheit und für Betroffene Transparenz hinsichtlich der eingesetzten Datenschutzstandards zu schaffen (vgl. Art. 42 DSGVO).
Aufsichtsbehörden: „One-Stop-Shop“
Das neue Recht regelt ausführlich die Abgrenzung der Zuständigkeiten der nationalen Aufsichtsbehörden. Gerade bei Unternehmen, deren Tätigkeit Auswirkungen auf mehrere EU-Mitgliedstaaten hatte, war es hier in der Vergangenheit zu Kompetenzkonflikten gekommen. So wurde die irische Aufsichtsbehörde von Kollegen wiederholt für ihre zurückhaltende Durchsetzung des EU-Datenschutzrechts gegenüber den zahlreichen IT-Unternehmen kritisiert, die in Irland ihr EU-Headquarter unterhalten (z.B. Facebook, Dropbox, eBay, LinkedIn, Twitter).
Nach dem Prinzip des „One-Stop-Shop“ hat nunmehr gemäß Art. 56 DSGVO die Aufsichtsbehörde am Ort der Hauptniederlassung die „Federführung“. Sie ist damit zentraler Ansprechpartner für das Unternehmen. Die umständliche Abstimmung von grenzüberschreitenden Verfahren – wie z.B. dem Angebot von Diensten über das Internet – mit den Aufsichtsbehörden aller betroffenen EU-Mitgliedstaaten fällt damit für das Unternehmen in vielen Fällen fort. Stattdessen findet die Koordination unter den Behörden nach dem Verfahren gem. Art. 60 ff. DSGVO statt, während gegenüber dem Unternehmen vor allem die federführende Behörde auftritt.
Drastisch verschärfte Sanktionen
Befürworter eines starken Datenschutzes habe schon lange die relativ schwachen Sanktionsmechanismen des noch geltenden Rechts kritisiert. So sieht § 43 BDSG für unrechtmäßige Datenverarbeitung zwar Bußgelder und § 44 BDSG ggf. sogar die Strafbarkeit vor. Jedoch waren diese Mittel als solche nicht sonderlich effektiv. Die Strafnorm des § 44 BDSG wurde in der Praxis von den Staatsanwaltschaften stiefmütterlich behandelt und fast gar nicht angewandt. Die Bußgelder des § 43 BDSG besaßen angesichts ihrer festen Obergrenzen (50.000 € bzw. 300.000 €) für große Unternehmen keine Abschreckungswirkung. Auch die Schadensersatzvorschriften (§§ 7 und 8 BDSG) erwiesen sich als zahnlos. Dies lag unter anderem daran, dass nach verbreiteter Auffassung Personen, die von einer unberechtigten Datenverarbeitung im nicht-öffentlichen betroffen waren, nur in außergewöhnlichen Fällen einen immateriellen Schaden geltend machen konnten. – Die wesentliche Motivation zur Einhaltung des Datenschutzes bestand daher meist in der Angst vor negativer Presse und Imageschäden bei Datenlecks oder aufsichtsbehördlichen Beanstandungen.
Art. 83 Abs. 1 DSGVO legt nunmehr ausdrücklich fest, dass Bußgelder abschreckend sein müssen. Die neue Obergrenze beträgt 20 Mio. €. Bei großen Unternehmen greift jedoch die flexible Obergrenze von 4% des weltweiten Vorjahresumsatzes. Daneben werden möglicherweise auch die zivilrechtlichen Ansprüche der Geschädigten neue Bedeutung erlangen. Denn Art. 82 Abs. 1 DSGVO stellt klar, dass Betroffene auch für immaterielle Schäden Ersatz verlangen können.
Die EU-DSGVO entwickelt das europäische Datenschutzrecht weiter und bringt zahlreiche Neuerungen. Über die wesentlichen Änderungen werden wir Sie in den nächsten Beitragen unserer Serie zur EU-DSGVO informieren.
3. Teil der Serie: Grundsätze zur Datenverarbeitung, Einwilligung und Erlaubnistatbestände
Bild: (c) Claude Truong-Ngoc, CC BY-SA 3.0
BGH zur Unwirksamkeit einer pauschalen Vertragsstrafenregelung in B2B-AGB: juris.bundesgerichts…
RT @DailyDashboard Cyberinsurance policies are now making their way into small- and medium-sized businesses ow.ly/ZzfZ30fh97a
RT @futureofprivacy ICYMI, we released a new study today: EU-US #PrivacyShield Essential to Leading European Companies @jverdi buff.ly/2xbKytb pic.twitter.com/Layd…
RT @SebastianTelle A Preliminary Assessment Of The European Commission’s Google Search Decision competitionpolicyint… @CompPolicyInt
RT @DailyDashboard EU officials are visiting Washington and Silicon Valley as the first annual review of Privacy Shield takes place ow.ly/gyzG30ffcnj pic.twitter.com/bWHc…
Abmahnung Angemessenheitsbeschluss Auftragsverarbeitung BDSG Binding Corporate Rules Cloud Computing Cookies Datenhehlerei Datenschutz Datenschutzerklärung Datensicherheit DSGVO E-Mail ePrivay-Richtlinie etracker EuGH Facebook genehmigte Verhaltensregeln Google Analytics Identitätsdiebstahl Impressum internationaler Datentransfer IT-Sicherheit IT-Sicherheitsgesetz Kopieren Kryptographie Mandatsgeheimnis PAuswG Personalausweis Plugins Privacy Shield Safe-Harbor Scannen Standardvertragsklauseln Telemediengesetz TMG Tracking Truecrypt VeraCrypt Verschlüsselung Videoüberwachung Vorratsdatenspeicherung Wildkamera Wordpress Zertifizierung
15809 5713 4459 2996 2768