Source: https://www.it-recht-kanzlei.de/datenverantwortlicher-datenschutzgrundverordnung.html
Timestamp: 2019-09-22 00:08:09
Document Index: 274995816

Matched Legal Cases: ['Art 24', 'Art 32', 'Art 32', 'Art 25', 'Art 30', 'Art 30', '§ 70', 'Art.12', 'Art. 13', 'Art. 15', 'Art. 20', 'Art. 35', 'Art. 33', 'Art. 33', 'Art. 34', 'Art. 42', 'Art. 28', 'Art. 82', 'Art. 4', 'Art. 13', 'Art. 30', 'Art. 30', 'Art. 37', 'Art. 37', '§ 38', 'Art 24', 'Art 24', 'Art 32', 'Art. 33', 'Art 24', '§ 9', '§ 9', 'Art. 32', 'Art. 32', 'Art. 24', 'Art. 24', 'Art. 24', 'Art. 25', 'Art. 30', 'Art. 13', 'Art 15', 'Art. 12', 'Art. 16', 'Art.18', 'Art. 34', 'Art 22', 'Art 35', 'Art. 22', 'Art. 35', 'Art. 36', 'Art. 35', 'Art. 33', '§ 39', 'Art. 28', 'Art. 28', 'Art. 28', 'Art 82', 'Art. 82', 'Art. 83']

News vom 01.12.2017, 08:34 Uhr | 3 Kommentare
Den Datenverantwortlichen trifft ab dem 25.5.2018 nach der künftigen unmittelbar geltenden EU- Datenschutzgrundverordnung die umfassende Verantwortung und Haftung für die Verarbeitung von personenbezogenen Daten. Bei Zuwiderhandeln können ihn drakonisch hohe Bußgelder treffen. Der Online-Händler sieht sich so ab dem 25.5.2018 mit einer Unzahl von schwierigen Fragen konfrontiert. Wer genau ist der Verantwortliche? Welche Pflichten kommen auf ihn zu? Können seine Pflichten an Dritte delegiert werden? Welcher Haftungsmaßstab gilt?
I. Begriff des Datenverantwortlichen
Frage: Ist ein Mitarbeiter des Online-Unternehmens, der unternehmensintern mit der Datenverarbeitung beauftragt ist, Datenverantwortlicher?
Frage: Auf welche Weise wird der Verantwortliche benannt?
Frage: Sind Kleinunternehmen von einer solchen Informations- und Verzeichnispflicht ausgenommen?
Frage: Sind Verantwortliche auch Datenschutzbeauftragte?
II. Pflichten des Verantwortlichen
1. Vornahme technisch-organisatorischer Maßnahmen, um die Zulässigkeit der Datenverarbeitung sicherzustellen (Art 24)
Frage: An welche technisch-organisatorischen Maßnahmen ist hier zu denken?
2.	Vornahme von technisch-organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung, Art 32
Frage: Welche Maßnahmen zur Gewährleistung der Datenverarbeitung werden in Art 32 aufgeführt?
Frage: Hat der Verantwortliche die Pflicht, getroffene organisatorisch-technische Maßnahmen zu überprüfen und zu aktualisieren?
Frage: Kann durch die Einhaltung von Verhaltenskodizes und Zertifizierungsverfahren der Nachweis erbracht werden, dass den Pflichten des Verantwortlichen entsprochen ist?
3. Pflicht des Verantwortlichen, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellung zu gewährleisten (Art 25)
Frage: Was ist mit dieser Gestaltungspflicht gemeint?
Frage: Kann der Nachweis dieser Gestaltungspflicht durch die Einhaltung genehmigter Zertifizierungsverfahren erleichtert werden?
4. Führen eines Verzeichnisses von Verarbeitungstätigkeiten, Art 30
Frage: Welche Angaben muss das Verzeichnis von Verarbeitungstätigkeiten gem. Art 30 und § 70 Anpassungsgesetz enthalten?
5. Pflicht zur Information des Kunden bei Erhebung und Verarbeitung seiner personenbezogenen Daten (Art.12 ff)
Frage: Welche Art von Informationspflichten treffen den Verantwortlichen?
Frage: Über welche Inhalte muss gem. Art. 13 antragslos informiert werden?
Frage: Über welche Inhalte muss der Verantwortliche den Betroffenen auf Anfrage in Form einer Einzelinformation unterrichten (Art. 15)?
Frage: Können Einzelinformationen auf Antrag abgewiesen werden oder nur gegen Entgelt gegeben werden?
Frage: Welche weiteren Informationspflichten hat der Verantwortliche gegenüber dem Betroffenen zu erfüllen?
6. Pflicht zur Übertragung von personenbezogenen Daten (Art. 20)
Frage: Was bedeutet die Pflicht zur Übertragung von personenbezogenen Daten?
7. Durchführung einer Datenschutz-Folgenabschätzung
Frage: In welchen Fällen muss eine Datenschutz-Folgenabschätzung vor Datenverarbeitung durchgeführt werden, Art. 35?
Frage: Was hat der Verantwortliche bei Erforderlichkeit einer Datenschutz-Folgenabschätzung zu tun?
8.	Meldung der Verletzung des Schutzes personenbezogener Daten (Art. 33, 34)
Frage: In welchen Fällen besteht gegenüber der zuständigen Aufsichtsbehörde eine Meldepflicht zur Verletzung personenbezogener Daten?
Frage: Wann sind solche Verletzungen des Datenschutzes der zuständigen Aufsischtsbehörde zu melden?
Frage: Welche Informationen hat die Meldung an die Aufsichtsbehörde zu enthalten (Art. 33 Abs. 3)?
Frage: Ist auch der durch die Datenschutzverletzung Betroffene zu benachrichtigen (Art. 34)?
III. Erleichterung des Nachweises der Pflichteneinhaltung des Verantwortlichen über genehmigte Verhaltensregeln und Zertifizierungsverfahren (Art. 42 ff)
Frage: Welche Zielsetzung haben Verhaltensregeln und Zertifizierungsverfahren?
Frage: Wie ist das Verfahren für die Genehmigung von Verhaltensregeln und deren Überwachung ausgestaltet?
Frage: Wie ist das Zertifizierungsverfahren ausgestaltet?
Frage: Gibt es schon genehmigte Zertifizierungsverfahren und akkreditierte Zertifizierungsstellen?
Frage: Gibt es schon genehmigte Verhaltensregeln von Verbänden der Online-Wirtschaft?
Frage: Was ist mit den bisherigen Zertifikaten?
IV. Verarbeitung von personenbezogenen Daten im Auftrag des Verantwortlichen (Art. 28)
Frage: Welche Kriterien muss der Verantwortliche bei der Auswahl des Auftragsverarbeiters beachten?
Frage: Welche Inhalte muss ein Vertrag des Verantwortlichen mit dem Auftragsverarbeiter haben?
V. Haftung des Verantwortlichen (Art. 82)
Frage: In welchen Fällen haftet der Verantwortliche?
Frage: Muss die betroffene Person die Rechtswidrigkeit der Datenverarbeitung und das Verschulden der Verantwortlichen nachweisen?
Frage: Wer muss den Schaden nachweisen?
Frage: Welche Art von Schäden sind zu erstatten
Frage: Können auch immaterielle Schäden gelten gemacht werden?
Frage: Haftet der Verantwortliche für das Handeln seiner Mitarbeiter?
Frage:	Gibt es einen Haftungsausschluss für den Verantwortlichen?
Frage: Gilt ein Haftungsausschluss bei Anwendung von genehmigten Verhaltensregeln und Zertifizierungsverfahren?
Frage: Kann der Verantwortliche seine Haftung an den Auftragsverarbeiter delegieren?
Frage: Gilt das Haftungsprivileg für Provider auch weiterhin?
VI. Verwaltungsrechtliche und strafrechtliche Sanktionen gegen den Verantwortlichen
Frage: Welche Interventionsmöglichkeiten haben die Aufsichtsbehörden?
Frage: Welche Bemessungskriterien bestehen bei Verhängung von Geldbußen?
Frage: In welcher Höhe können Geldbußen verhängt werden?
Frage: Können auch Geldstrafen und Freiheitsstrafen verhängt werden?
Der folgende Beitrag will zu diesen Fragen im Frage & Antwort Modus detailliert Stellung nehmen. Artikel der Datenschutzgrundverordnung werden im Folgenden ohne Verweis zitiert.
Zu beachten ist, dass die Datenschutz-Grundverordnung in Deutschland durch das Datenschutz-Anpassungs- und Umsetzungsgesetz EU (Anpassungsgesetz) ergänzt und konkretisiert wird, das ebenfalls ab dem 25.05.2018 gelten wird. Auf dieses Gesetz wird noch im Einzelnen zurückzukommen sein.
Nach der Legaldefinition des Art. 4 Nr. 7 ist ein Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Datenverantwortlicher kann demnach das Unternehmen des Online-Händlers je nach rechtlicher Person (z.B. GmbH oder GBR), der Online-Händler als Einzelperson oder als Inhaber eines Unternehmens oder der Geschäftsführer des Unternehmens sein.
Praxistipp: Für Online- Unternehmen, die als juristische Person wie z.B. eine GmbH gegründet worden sind, ist es aus Haftungsgründen empfehlenswert, diese juristische Person selbst und nicht eine natürliche Person wie zum Beispiel den Geschäftsführer als Verantwortlichen auszuweisen. Denn nur der Verantwortliche haftet (s. dazu Kapitel 5). Es wäre daher möglicherweise schädlich, den Gesellschafter einer GmbH oder den Geschäftsführer selbst einer solchen Haftung auszusetzen.
Verantwortlicher kann nur die Stelle (natürliche oder juristische Person) sein, der wesentliche Entscheidungsbefugnis für die Verarbeitung von personenbezogenen Daten zukommt. Dies trifft für den Mitarbeiter eines Online-Unternehmens nicht zu, der intern mit der Datenverarbeitung beauftragt ist. Verantwortlicher bleibt die benannte Stelle, also der Inhaber, der Geschäftsführer oder das Unternehmen in seiner jeweiligen rechtlichen Form.
Es gibt keine Pflicht, den Verantwortlichen gegenüber einer öffentlichen Stellen zu benennen. Aber der Verantwortliche muss allgemein die Nutzer seiner Webseite über seine Kontaktdaten informieren (Art. 13) und muss zusätzlich im Verzeichnis der Verarbeitungstätigkeiten seine Kontaktdaten aufführen (Art. 30).
Im Ergebnis nein.
Auch Kleinunternehmen müssen Ihre Kunden bei Erhebung von personenbezogenen Daten über die Kontaktdaten des Verantwortlichen informieren und im Pflichtverzeichnis der Verarbeitungstätigkeit den Verantwortlichen ausweisen.
Art. 30 Absatz 3 sieht zwar vor, dass Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, von der Verzeichnispflicht ausgenommen sind. Diese Ausnahme wird allerdings leider für Online-Händler nicht relevant, da sie nur bei gelegentlicher Datenverarbeitung greift. Die Erhebung und Verarbeitung von Kundendaten gehört jedoch zum Kerngeschäft von Online-Händlern.
Die Begrifflichkeit der Datenschutz-Grundverordnung unterscheidet klar zwischen
einem Verantwortlichen und
einem Datenschutzbeauftragten.
Ein Datenschutzbeauftragter ist durch den Verantwortlichen zusätzlich zu benennen, wenn die Kerntätigkeit von Online-Händlern in der Durchführung von Verarbeitungsvorgängen besteht, die eine umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (Art. 37 Absatz 1, lit b) oder in der Verarbeitung von besonders sensitiven Daten (Art. 37 Absatz 1 lit c) besteht.
§ 38 Anpassungsgesetz konkretisiert die Kriterien für die Pflichtbenennung eines Datenschutzbeauftragten. Demnach ist bei der Fallgestaltung des Art. Absatz 1, lit b (umfangreiche und systematische Überwachung von betroffenen Personen) ein Datenschutzbeauftragter zu benennen, wenn mindestens 10 Personen ständig mit der automatisierten Verarbeitung beschäftig sind.
Dies trifft auf Online-Händler im Regelfall nicht zu.
Art 24 ist die Generalnorm für die umfassende Verantwortung des Datenverantwortlichen. Er hat geeignete technische und organisatorische Maßnahmen umzusetzen, um die Einhaltung einer rechtmäßigen Datenverarbeitung sicherzustellen und den Nachweis dafür zu erbringen. Die einzelnen Pflichten des Datenverantwortlichen gemäß Art 24, die in vielen Einzelvorschriften der Datenschutz-Grundverordnung konkretisiert werden, sollen im Folgenden vorgestellt werden:
2. Vornahme von technisch-organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Datenverarbeitung, Art 32
8. Meldung der Verletzung des Schutzes personenbezogener Daten (Art. 33, 34)
Art 24 erläutert den Begriff technisch-organisatorische Maßnahmen nicht. Es ist hilfreich, auf den in § 9 Bundesdatenschutzgesetz (GDSG) benutzten Begriff der technisch-organisatorischen Maßnahmen zur Gewährleistung der notwendigen Sicherheits- und Schutzanforderungen zurückzugreifen. Dieser Begriff wird in der Anlage zu § 9 BDSG näher erläutert.
Demnach sind technische Maßnahmen, z.B.
oder Maßnahmen die in Soft- und Hardware umgesetzt werden, wie etwa Benutzerkonto, Passworterzwingung, Logging (Protokolldateien), biometrische Benutzeridentifikation
Demnach sind organisatorische Maßnahmen, z. B.
Art. 32 ist die einschlägige Vorschrift zur Sicherheit der Datenverarbeitung.
Es müssen alle Maßnahmen zum organisatorischen und technischen Schutz der personenbezogenen Daten nach dem jeweiligen Stand der Technik ergriffen werden.
Beispielhaft werden in Art. 32 aufgeführt:
Sicherstellung der Fähigkeiten von System und Diensten
Wiederherstellung der Verfügbarkeit und des Zugangs zu Daten
Verfahren zur Überprüfung der Gewährleistung der Sicherheit der Verarbeitung
Der Verantwortliche muss die getroffenen Maßnahmen und bei Anpassungsbedarf aktualisieren (Art. 24)
Nach dem Wortlaut des Art. 24 darf die Einhaltung von Verhaltenskodizes und Zertifizierungsverfahren nur ein Indiz sein, dass den Pflichten des Verantwortlichen entsprochen wird (s. dazu auch Kapitel 5). Es obliegt den zuständigen Aufsichtsbehörden diesen entsprechend in eigener Verantwortung zu prüfen (s. Kommentar Ehmann/Selmayer, Art. 24 Rdr. 11). In der Praxis werden aber nach Ansicht der IT-Recht Kanzlei gerade bei der Routineüberprüfung von Online-Händlern solche Verhaltenskodizes und Zertifizierungsverfahren eine große Rolle spielen.
Damit sind anerkannte Methoden und Modelle zum sog. „Privacy Design“ und Privacy by Default“ (datenschutzfreundliche Voreinstellungen) gemeint. Technische Prozesse sollen im Vorhinein mit dem Datenschutz in Einklang gebracht werden. Der Verantwortliche soll bereits bei der Planung eines Datenverarbeitungssystems den Gesichtspunkt des Datenschutzes berücksichtigen. Beispielhaft wären zu nennen Verschlüsselung, Datenschutzhinweise durch entsprechende Banner auf einer Webseite, Schulungsmaßnahmen der Mitarbeiter. Der Verantwortliche sollte ein schlüssiges Datenschutzkonzept vorweisen können.
Ja, Art. 25 Abs. 3
In Art. 30 wird ein detaillierter Katalog von Pflichtangaben aufgelistet. Wie bereits oben ausgeführt, gilt diese Verzeichnispflicht auch für Kleinunternehmen:
Der Verantwortliche ist zu geeigneten Maßnahmen für eine transparente Informationspolitik verpflichtet und soll dem Betroffenen die Ausübung seiner Rechte erleichtern. Hierbei ist zu unterscheiden zwischen der Information zur Erhebung und Verarbeitung von personenbezogenen Daten die immer zu erfolgen hat und der Information, die nur auf Antrag des Betroffenen erfolgt.
Der Verantwortliche hat zum Zeitpunkt der Erhebung personenbezogener Daten über folgende Inhalte zu informieren:
das Bestehen eines Rechts, eine Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person (zum Profiling, s.unten Ziffer 8 ) .
Tipp für die Praxis: Diese sehr umfangreichen Auskunftspflichten betreffen jeden Online-Händler. Ihnen kann in der Praxis nur in Form einer Datenschutzerklärung sachgerecht entsprochen werden, die auf der Webseite des Online-Händlers hinterlegt ist. Die IT-Recht Kanzlei stellt Ihren Mandanten künftig Texte für Datenschutzerklärungen zur Verfügung, die diesen Informationsvorgaben der Datenschutzgrundverordnung vollumfänglich entsprechen.
Die antragslose Pflichtinformation (Art. 13) und die Pflichtinformation auf Antrag (Art 15) sind in ihren Inhalten weitgehend deckungsgleich. Es kann daher hier auf die antraglose Pflichtinformation verwiesen werden. Wichtig ist aber das Recht einer betroffenen Person, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden (Negativauskunft).
Einzelinformationen an Betroffene auf Antrag haben grundsätzlich unentgeltlich, in schriftlicher oder elektronischer Form und spätestens 1 Monat nach Antragstellung zu erfolgen (Art. 12). Der Verantwortliche kann sich bei offenkundig unbegründeten oder exzessiven Anträgen weigern, tätig zu werden oder ein angemessenes Entgelt. verlangen. Der Verantwortliche trägt die Beweislast, ob ein Antrag offensichtlich unbegründet oder exzessiv ist. Die Verweigerung einer Information oder die Koppelung mit einer Entgeltforderung sollte daher gut überlegt sein. Eine gewisse Beweislasterleichterung ist nach Erwägungsgrund 63 gegeben. Demnach sind Antragsbegehren exzessiv, wenn sie in unangemessen kurzen Abständen geltend gemacht werden. Beantragt der Antragsteller mehrere Kopien der Einzelinformation, so kann ein angemessenes Entgelt verlangt werden.
Verpflichtung auf Antrag des Betroffen, unvollständige personelle Daten – auch mittels ergänzender Erklärung – zu vervollständigen (Art. 16).
Verpflichtung, den Betroffen, der eine Einschränkung der Verarbeitung seiner Daten erwirkt hat, von einer Aufhebung der Einschränkung zu unterrichten (Art.18)
Unterrichtung des Betroffenen über die Verletzung des Schutzes seiner Daten (Art. 34), hierzu im Einzelnen Ausführungen unter Ziffer 9.
Der Verantwortliche hat die Pflicht, dem Betroffenen auf Antrag die ihn betreffenden personenbezogenen Daten, die er dem Verantwortlichen bereitgestellt hat, in einer gängigen maschinenlesbaren Form herauszugeben und an einem anderen Verantwortlichen nach Wahl des Betroffenen zu übermitteln. Es ist also zwischen Herausgabe von Daten und Übermittlung von Daten zu unterscheiden. Der Betroffene kann seine personenbezogenen Daten auch selber an einen Verantwortlichen seiner Wahl übermitteln. Diese Pflicht betrifft jeden Online-Händler, der eine Webseite unterhält.
Die Pflicht zur Datenschutz-Folgenabschätzung trifft in der Regel den Online-Händler nicht. Sie ist nur dann gegeben, wenn mit der Verarbeitung von Daten ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verbunden ist. Nach Erwägungsgrund 85 der Datenschutz-Grundverordnung ist damit z.B. das Risiko eines physischen, materiellen oder immateriellen Schadens, Identitätsdiebstahl, finanzielle Verluste, unbefugte Aufhebung der Pseudonymisierung, etc. gemeint. Ausdrücklich ausgenommen ist die bei Vorleistung des Online-Händlers übliche, automatisierte Bonitätsprüfung des Kunden durch Bezahldienste. Eine solche Bonitätsprüfung ist nach Art 22 Abs. 2 zulässig, da sie für den Abschluss eines Vertrages erforderlich ist. Die bloße Verweigerung eines Vertragsabschlusses ist keine Rechtsverletzung im Sinne des Art 35. Andernfalls würde der Grundsatz der Vertragsfreiheit faktisch ausgehebelt (s. auch Kommentar Gola, Art. 22 Rndr. 25).
Als Regelbeispiele einer erforderlichen Datenschutz-Folgenabschätzung nennt Art. 35 Abs. 3
Es liegt eine eingriffsintensive und umfangreiche Verarbeitung von personenbezogenen, insbesondere von sensiblen Daten vor
Es liegt eine systematische und umfangreiche Bewertung persönlicher Aspekte, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet. Hier gemeint ist z.B. ein Profiling im Rahmen von Arbeitsverhältnissen, aber nicht wie ausgeführt im Rahmen einer Bonitätsprüfung bei Onlineverträgen.
a. Er hat die Aufsichtsbehörde zu konsultieren (Art. 36)
b. Die Folgenabschätzung enthält zumindest folgende Angaben, Art. 35
Eine Meldepflicht bei Verletzung des Schutzes von personenbezogenen Daten besteht in der Regel, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Das heißt aber, den Verantwortlichen trifft hier die Beweislast. Bei Unterlassen einer solchen Meldung hat er nachzuweisen, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem solchen Risiko führt (Erwägungsgrund 85).
Tipp für die Praxis: Der Online-Händler ist daher im Zweifel gut beraten, mögliche Verletzungen des Schutzes personenbezogener Daten dem Bundesbeauftragten zu melden.
Unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme (Art. 33)
Führt die Verletzung des Datenschutzes voraussichtlich zu einem hohen Risiko für den Betroffenen, so ist er unverzüglich zu unterrichten. Einer Benachrichtigung bedarf es nicht, wenn
der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat,
sichergestellt wurde, dass das hohe Risiko für die Rechte der betroffenen Person aller Wahrscheinlichkeit nicht mehr besteht,
mit der Benachrichtigung der betroffenen Person ein unverhältnismäßiger Aufwand verbunden wäre.
Wie oben ausgeführt, werden auch kleinere Onlineunternehmen, die regelmäßig personenbezogene Daten verarbeiten, nicht von den Vorgaben der der Datenschutz-Grundverordnung entlastet. Die rechtliche Unbestimmtheit vieler Pflichten ist für Online-Händler wegen erheblicher Sanktionsdrohungen problematisch. Der Verordnungsgeber hat das Problem, dass gerade mittlere und Kleinunternehmen mit den Anforderungen der Datenschutzgrundverordnung überlastet werden, gesehen. Abhilfe sollen Verbände und Vereinigungen schaffen, die über genehmigte Verhaltensregeln und Zertifizierungsverfahren die Pflichten des Verantwortlichen präzisieren und seine Nachweispflicht erleichtern. Die Nachweispflicht gilt mit der Einhaltung von Verhaltensregeln und eines Zertifizierungsverfahrens (mit Datenschutzsiegel und -prüfzeichen) zwar nicht als erfüllt (s. dazu auch unten Kapitel 5), aber sie ist doch ein wichtiges Indiz, dass der Verantwortliche seine Pflichten erfüllt hat,
Eine zugelassene Zertifizierungsstelle darf Zertifizierungen durchführen. Die zuständige Aufsichtsbehörde kann aber entscheiden, dass sie selber Zertifizierungen anbietet. Damit ist ein Interessenkonflikt nicht zu vermeiden. Ob dies auch der Intention des deutschen Anpassungsgesetzes entspricht, ist unklar. Das Zertifizierungsverfahren muss den besonderen Bedürfnissen der Kleinstunternehmen und Klein- und Mittelunternehmen entsprechen. Gem. § 39 Anpassungsgesetz soll die Akkreditierung durch die deutsche Akkreditierungsstelle (DAkks) im Einvernehmen mit der zuständigen Aufsichtsbehörde erfolgen.
Nach Kenntnis der IT-Recht Kanzlei ist hierzu aktuell nichts bekannt.
Nach Kenntnis der IT-Recht Kanzlei liegen derartige Verhaltensregeln bisher nicht vor.
Es gibt bundesweit eine Vielzahl von Zertifizierungsverfahren zur Auftragsdatenverarbeitung. Eine Übersicht findet sich auf der Webseite der Stiftung Datenschutz.
Es ist unklar, welche Bedeutung diese alten Zertifikate im Kontext der künftigen Datenschutz-Grundverordnung haben werden. Jedenfalls genießen sie nicht die Nachweiserleichterung, dass der Verantwortliche seine o.g. Pflichten nach Datenschutz-Grundverordnung erfüllt hat und sind somit für die Onlinehändler im Kontext der Datenschutz-Grundverordnung faktisch wertlos.
Kommentar der IT-Recht Kanzlei: Genehmigte Verfahrens- und Zertifizierungsverfahren wären vor allem für kleinere Online-Unternehmen eine beträchtliche Erleichterung, die ohne solche Verfahren Angesicht des oben dargestellten umfangreichen Pflichtenkatalogs überfordert sind, zumal eine Nichtbeachtung der dargestellten Pflichten mit hohen Bußgeldern geahndet werden kann. Es ist daher verwunderlich, dass ein gutes halbes Jahr vor Geltung der neuen Vorschriften der Datenschutz-Grundverordnung noch nichts zu solchen Verfahren in Deutschland bekannt ist. Die gutgemeinten Empfehlungen in der Datenschutz-Grundverordnung zur Förderung gerade von kleineren und mittleren Unternehmen klingen da etwas hohl.
Hoffentlich werden solche Verfahren nun alsbald auf den Weg gebracht. Die IT-Recht Kanzlei wird hierzu berichten.
Praxistipp: Da für Online-Händler die Einschätzung schwierig ist, ob ein Auftragsverarbeiter diese Garantien bieten kann, sollten sie von der Möglichkeit des Art. 28 Abs. 5 Gebrauch machen. Online-Händler sollten nur Dienstleister als Auftragsverarbeiter einsetzen, die die Einhaltung genehmigter Verhaltensregeln oder eines genehmigten Zertifizierungsverfahren gewährleisten können. Es sollte im Interesse solcher Dienstleister sein, auf baldige deutsche Regeln für Verhaltensregeln und für ein Zertifizierungsverfahren zu drängen.
Art. 28 nennt einen umfänglichen Katalog von Pflichtangaben zu Gegenstand, Dauer des Vertrages. Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Person und den Rechten und Pflichten des Datenverantwortlichen. Der Vertrag muss schriftlich abgeschlossen sein.
Praxistipp: Auch hier gilt die Empfehlung, von der Möglichkeit der Anwendung von Standardverträgen Gebrauch zu machen. Um sicherzustellen, dass solche Standardverträge die geforderten Regelungsinhalte nach Art. 28 enthalten, sollten diese Standardverträge zertifiziert sein (zu entsprechenden Musterverträgen, s. z.B. Bitcom https://www.bitkom.org/Themen/Datenschutz-Sicherheit/Datenschutz/EU-DSGVO/Datenschutzkonforme-Datenverarbeitung.html).
Er muss sich deren Tätigkeit zurechnen lassen, ohne sich entlasten zu können.
Ja, aber der Nachweis ist schwierig, da zu Lasten des Verantwortlichen eine Beweislastumkehr gilt.
Wie oben bereits ausgeführt hat der Verantwortliche nachzuweisen, dass „er in keinerlei Weise für den Umstand, den für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“ (Art 82 Abs. 3).
Die Anwendung solcher Regeln und Verfahren schließt eine Haftung nicht aus. Allerdings wird dem Verantwortlichen die Nachweispflicht erheblich erleichtert, dass er nicht für den eingetretenen Schaden verantwortlich ist (s. bereits oben Kapitel 3).
Anmerkung der IT-Recht Kanzlei: In der Praxis werden kleinere Online-Händler bei Regressstreitigkeiten mangels Sachkenntnis der Vorgaben der Datenschutz-Grundverordnung Schwierigkeiten haben, einen Rückgriffsanspruch gegen einen hoch spezialisierten Dienstleister als Auftragsverarbeiter durchzusetzen (s. Kommentar Ehmann/Selmayr, Art. 82, Rdnr. 24). Umso wichtiger ist die sorgfältige Auswahl des Auftragsverarbeiters und die Anwendung von Zertifizierungsverfahren, s. Kapitel 3).
"(21) Die vorliegende Verordnung berührt nicht die Anwendung der Richtlinie 2000/31/EG des Europäischen Parlaments und des Rates (2) und insbesondere die der Vorschriften der Artikel 12 bis 15 jener Richtlinie zur Verantwortlichkeit von Anbietern reiner Vermittlungsdienste. Die genannte Richtlinie soll dazu beitragen, dass der Binnenmarkt einwandfrei funktioniert, indem sie den freien Verkehr von Diensten der Informationsgesellschaft zwischen den Mitgliedstaaten sicherstellt."
- den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,
- Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,
- eine Überprüfung der nach Artikel 42 Absatz 7 erteilten Zertifizierungen durchzuführen,
- den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,
- von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten, Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen
Bei schweren Verstößen gegen die Pflichten des Verantwortlichen (Art. 83 nennt hier Verstöße gegen Artikel 8, 11, 25 bis 39, 42, 43) sollen Geldbußen bis zu 20 Millionen Euro oder im Fall eines Unternehmens von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes verhängt werden.
Ja, bei Vorsatz und in schweren Fällen
Empfehlung der IT-Recht Kanzlei: Onlinehändler sollten angesichts der drakonischen Sanktionsmöglichkeiten die Vorgaben zur Datenverarbeitung nach der Datenschutz-Grundverordnung sehr ernst nehmen. Da die meisten Online-Händler angesichts der komplexen datenschutzrechtlichen Materie damit überfordert sind, die Datenverarbeitung im Einklang mit der Datenschutz-Grundverordnung zu organisieren, werden sie sich an externe Dienstleister wenden müssen. Dabei ist auf die Seriosität dieser Dienstleister zu achten. Es sollten keine Aufträge an Dienstleister vergeben werden, die nicht die Einhaltung genehmigter Verhaltensregeln und Zertifizierungsverfahren gewährleisten können. Es ist zu hoffen, dass die Aufsichtsbehörden, die ja gerade auch kleine und mittlere Unternehmen in Fragen des Datenschutzes unterstützen sollen, ihrer Betreuungsfunktion gerecht werden.
Kommentar von J. Riehle
Es ist der 25.5.2018, dachte ich
warten wir erstmal ab...... 1.) kapiert das keiner sondern nur der, der sich das aus dem Hirn drückt (und selbst da habe ich meine Zweifel) und 2.) es kommt eh anders als man denkt. Also schön ruhig...
Kommentar von 997
leider versteh ich als kleinunternehmer nur bahnhof! des weiteren stellst sich die frage möchte deutschland ihre kelin und mitelständische unternehmen abschaffen??? dann solen diese es sagen und wir...