Source: https://www.haerting.de/de/neuigkeit/datenschutzbehoerden-und-die-dsgvo
Timestamp: 2019-02-17 17:42:05
Document Index: 330921992

Matched Legal Cases: ['Art. 29', 'Art. 57', 'Art. 52', 'Art. 7', 'Art. 8', 'Art. 22', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', '§ 28', 'Art. 4', 'Art. 22', 'Art. 22', 'Art. 6', 'Art. 6', 'Art. 4', 'Art. 22', 'Art. 6', 'Art. 6', 'Art. 22', 'Art. 6', 'Art. 28', 'Art. 28', 'Art. 20', 'Art. 37', 'Art. 37', '§ 4', '§ 38', 'Art. 32', 'Art. 9', '§4', 'Art. 35', 'Art. 56', 'Art. 30', 'Art. 42', 'Art. 29', 'EuG', 'BGH']

Datenschutzbehörden und die DSGVO | HÄRTING Rechtsanwälte
Datenschutzbehörden und die DSGVO
Seit dem 25. Mai 2018 findet die Europäische Datenschutz-Grundverordnung (DSGVO) Anwendung und stellt das Datenschutzrecht auf eine neue Grundlage. Die bisherigen datenschutzrechtlichen Grundprinzipien bleiben im Kern zwar erhalten, jedoch ist die DSGVO mit ihren 99 Artikeln und 173 Erwägungsgründen im Verhältnis zum BDSG und der DSRL sehr viel umfangreicher, teils schwer überschaubar und zuweilen noch in vielen Punkten strittig. Neben der bisher verfügbaren Literatur äußern sich nun auch immer öfter die Datenschutzbehörden (die Art. 29 Datenschutzgruppe, der Düsseldorfer Kreis und die Landesbeauftragten für Datenschutz) mit Stellungnahmen zu Auslegungsfragen und sprechen Empfehlungen zur Anwendung der DSGVO aus.
In Zeiten rechtlicher Unsicherheit kommt den Äußerungen der Behörden natürlich besondere Bedeutung zu. Deswegen haben wir die bisherigen Verlautbarungen der Behörden zur DSGVO hier zusammengefasst und verlinkt. Die Übersicht wird nach und nach aktualisiert.
Fortgeltung von Alt-Einwilligungen unter DSGVO
Anforderung an die Einwilligung nach DSGVO
Transparenz(grundsatz) nach der DSGVO
SCHUFA-Klauseln / Zusammenarbeit mit Auskunfteien
Automatisierte Enscheidungen im Einzelfall einschließlich Profiling (Scoring)
Verarbeitung personenbezogener Daten für Werbung / „Umgehung“ des Kopplungsverbots
Meldung von Datenschutzverstößen / Data Breach Notification
Umsetzunghilfen zur DSGVO
Hinweis zur rechtlichen Wirkung von Stellungnahmen der Aufsichtsbehörden
Notwendigkeit der Verstärkung der Aufsichtsbehörden
Mit Anwendung der DSGVO am 25.5.2018 kommt eine Vielzahl neuer Aufgaben und Herausforderungen auf die Aufsichtsbehörden zu (Art. 57 Abs. 1 lit. a bis v DSGVO). Dies bedeutet für die Aufsichtsbehörden, dass ihnen, so wie es Art. 52 Abs. 4 DSGVO fordert, die notwendigen „personellen, technischen und finanziellen Ressourcen, Räumlichkeiten und Infrastrukturen[…]“ zur Verfügung gestellt werden. Das die vorhandenen Mittel nicht ausreichen ist unlängst klar. Zu diesem Thema wurden mittlerweile auch zwei Gutachten in Auftrag gegeben und veröffentlicht (von Prof. Dr. Hans Peter Bull und Prof. Dr. Alexander Roßnagel), die beide zu dem Ergebnis kommen, dass eine Notwendigkeit der Aufstockung finanzieller und personeller Mittel besteht, um die zukünftigen Aufgaben bewältigen zu können.
Das Unabhängige Landeszentrum für Datenschutz (ULD) äußert sich in seinem Jahresbericht, wie bereits auch andere Landesdatenschutzbeauftragte, kritisch zum Datenschutz-Anpassungs und Umsetzungsgesetz – EU (DSAnpUG-EU), das u.a. das Bundesdatenschutzgesetz reformiert. Die von den Aufsichtsbehörden des Bundes und der Länder kritisiert Punkte, sind zu einem Großenteil vom Gesetzgeber nicht umgesetzt worden. Diesbezüglich empfehlen die Landesdatenschutzbeauftragten immer öfter sich im Zweifel nach der DSGVO zu richten.
Unter welchen Voraussetzungen Alt-Einwilligungen mit Anwendung der DSGVO fortgelten ist nicht abschließend geklärt und stellt für die Unternehmenspraxis eine der wichtigsten Auslegungsfragen dar.
Die Artikel 29 Datenschutzgruppe hat zum Thema Einwilligungen bzw. Fortgeltung von Alt-Einwilligungen ein Workingpaper veröffentlicht.
Nach dem Beschluss des Düsseldorfer Kreises vom 13./14. September 2016 sollen bisher rechtswirksame eingeholte Einwilligungen fortgelten. Jedoch soll besonders die Voraussetzung der Freiwilligkeit („Kopplungsverbot“, Art. 7 Abs. 4 i.V.m. Erwägungsgrund (43) DSGVO) und die Altersgrenze von 16 Jahren (Art. 8 Abs. 1 i.V.m. Erwägungsgrund (38) DSGVO) Beachtung finden.
Berliner Landesbeauftragte für Datenschutz
Im Tätigkeitsbericht der Berliner Landesbeauftragten für Datenschutz 2016 heißt es auf Seite 29 ebenfalls, jedoch mit speziellem Bezug auf den Bankenbereich, dass „bestehende Einwilligungserklärungen auch nach dem Inkrafttreten der DS-GVO wirksam bleiben, auch wenn unter der Geltung des BDSG-Alt die neuen Transparenzvorgaben nicht voll umgesetzt wurden… .“ Interessant ist insbesondere, dass dies auch gelten soll, wenn kein Hinweis auf das Widerrufsrecht gegeben wurde. Sie empfehlen Banken trotz alledem Betroffene nachträglich auf ihr Widerrufsrecht hinzuweisen, bspw. durch einen Hinweis auf den Kontoauszügen.
Die Stellungnahme, des Bayerischen Landesamts für Datenschutz deckt sich mit der des Düsseldorfer Kreises, dass bisher rechtswirksam eingeholte Einwilligungen wirksam bleiben sollen. Für Alt-Einwilligungen soll der in Erwägungsgrund (42) DSGVO genannte Mindestgehalt an Information gelten.
Landesbeauftragte für Datenschutz Nordrhein-Westfalen
Auch die Landesbeauftragte für Datenschutz NRW geht in ihrem Jahresbericht davon aus, dass bisher erteilte Einwilligungen bei Berücksichtigung der vom Düsseldorfer Kreis herausgegebenen Kriterien unter der DSGVO fortgelten.
Hessischer Landesbeauftragte für Datenschutz
Im Tätigkeitsbericht 2016 des Hessischen Landesbeauftragten für Datenschutz ist der Beschluss des Düsseldorfer Kreises zur Fortgeltung von Alt-Einwilligungen ohne eigenen Kommentar abgedruckt. Demnach werden bisher rechtswirksame eingeholte Einwilligungen grundsätzlich fortgelten.
Die DSGVO stellt an die wirksame Erteilung von Einwilligungen höhere Anforderungen als dies bisher der Fall war. Insbesondere die Frage, welche Informationen dem Betroffenen vor der Einwilligung „mindestens“ erteilt werden müssen, war dabei umstritten.
Die Artikel 29 Datenschutzgruppe hat dazu in Ihrem Arbeitspapier Nr. 259 Stellung genommen. Demnach muss über die Identität des Verantwortlichen, die Zwecke der Verarbeitung, die Art der verarbeiteten Daten, das Bestehen des Widerrufsrechts, ggf. eine über eine automatisierten Entscheidung i.S.d. Art. 22 DSGVO sowie ggf. über mögliche Risiken einer Datenübermittlungen in Drittstaaten und angemessener Garantien informiert werden.
Die Artikel 29 Datenschutzgruppe hat als praktische Orientierungshilfe Leitlinien zur Umsetzung der im Rahmen der Datenverarbeitung verpflichtenden Transparenz veröffentlicht.
SCHUFA-Hinweislösung
Die Schufa hat in Zusammenarbeit mit der Deutschen Kreditwirtschaft und dem Düsseldorfer Kreis ein Verfahren erarbeitet, welches den Ansprüchen der DSGVO entsprechen soll. Wie auch schon von Aufsichtsbehörden empfohlen, soll die neue SCHUFA-Klausel nicht als Einwilligungserklärung ausgestaltet sein. Stattdessen wird für die Zulässigkeit der Datenverarbeitung künftig auf Art. 6 Abs. 1 S. 1 lit. b („Vertragserfüllung“) sowie Art. 6 Abs. 1 S. 1 lit. f DSGVO („berechtigte Interessen) abgestellt. Momentan nur für Business-Kunden einsehbar, hat die SCHUFA eine Hinweislösung mit entsprechenden Textbausteinen (bestehend aus „SCHUFA-Hinweis“ und „SCHUFA-Informationsblatt“) und FAQs zur DSGVO auf ihrer Website veröffentlicht.
Berliner Landesdatenschutzbeauftragte
Die Berliner Landesdatenschutzbeauftragte empfiehlt, ebenfalls mit Bezug auf den Bankenbereich, auf eine Einwilligung zu verzichten, da diese aufgrund fehlender Freiwilligkeit und des Koppelungsverbots unwirksam sind. Es soll auf die Wahrung berechtigter Interessen gem. Art. 6 Abs. 1 S. 1 lit. f DSGVO abgestellt werden, bspw. zur Ermittlung des Kreditausfallrisikos.
Nach der Stellungnahme des Hessischen Landesbeauftragen für Datenschutz kann "der bisher zulässige Datenaustausch mit Auskunfteien ... zukünftig auf Art. 6 Abs. 1 lit. b und f DSGVO gestützt werden". Somit wird es "bei der Interessenabwägung bleiben, die bisher gem. §§ 28 Abs. 1 S. 1 Nr. 2 und 29 Abs. 2 BDSG durchgeführt werden musste...". Dies gilt sowohl für positive als auch negative Einmeldungen. Dagegen wird davon ausgegangen, dass an den Vertragsschluss geknüpfte Einwilligungen gleichen Inhalts aufgrund des Kopplungsverbotes und der daraus resultierenden fehlenden Freiwilligkeit zukünftig nicht mehr zulässig sind.
Das Scoring ist eine Art des in Art. 4 Nr. 4 DSGVO normierten Profiling. Ebenfalls entscheidend für das Scoring ist Art. 22 DSGVO, die „automatisierte Entscheidung“. Art. 22 Abs. 1 DSGVO verbietet es, eine betroffene Person einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung zu unterwerfen, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Strittig ist hier bislang die Auslegung der „rechtlichen Wirkung“ und der „in ähnlicher Weise erheblichen Beeinträchtigung“.
Dem Tätigkeitsbericht des Hessischen Landesdatenschutzbeauftragten zu Folge, entsprechen die derzeit üblichen Scoring-Verfahren den Anforderungen des Art. 6 Abs. 1 lit. b und f DSGVO, sofern und soweit nur risikorelevante Merkmale eingesetzt werden. Eine Auswertung von personenbezogenen Daten aus Social-Media Netzwerken ist nach Ansicht der Aufsichtsbehörde gem. Art. 6 Abs. 1 lit. b und f DSGVO nicht rechtmäßig. Denn „alleine aus der möglicherweise freien Zugänglichkeit dieser Daten ergibt sich eine Rechtmäßigkeit ihrer Verwendung im Profiling nicht“.
Die Artikel 29 Datenschutzgruppe hat eine Stellungnahme zum Profiling (Art. 4 Nr. 4 DSGVO) sowie zur automatischen Entscheidungsfindung (Art. 22 DSGVO) veröffentlicht. Zu den Ausnahmetatbeständen heißt es einleitend: „Article 22(1) sets out a general prohibition on solely automated individual decision … .“ Des Weiteren wird der Erlaubnistatbestand des Art. 6 Abs. 1 S. 1 lit. f DSGVO („berechtigte Interessen“) ausschließlich im Zusammenhang mit Profiling genannt. Daraus ließe sich schlussfolgern, dass nach Ansicht der Artikel 29 Datenschutzgruppe Art. 6 Abs. 1 S. 1 lit. f DSGVO grundsätzlich nicht unter den Ausnahmetatbestand des Art. 22 Abs. 2 lit. b DSGVO zu fassen ist.
Verarbeitung personenbezogener Daten für Werbung/ "Umgehung" des Kopplungsverbots
Bayerisches Landesamt für Datenschutz
Nach der Stellungnahme des BayLDA können Nutzer gem. Art. 6 Abs. 1 S. 1 lit. b DSGVO kostenlose Dienstleistungsangebote mit der Zustimmung für eine werbliche Nutzung ihrer Daten bezahlen, wenn dem Nutzer dies bei Vertragsabschluss klar dargestellt wird. Somit wird eine Einwilligung obsolet und das Kopplungsverbot läuft ins leere. Beispielhaft wird die Zustimmung zum Erhalt eines Newsletter als Gegenleistung zu einem kostenlosen E-Mail-Account genannt.
Datenschutzkonferenz (DSK)
Auch nach Auffassung der DSK ist es unter der DSGVO möglich die personenbezogener Daten des Nutzers als vertragliche Leistung bei „kostenlosen“ Dienstleistungsangeboten zu definieren, "z.B. kostenloser E-Mail-Account gegen Zustimmung für Newsletter-Zusendung als „Gegenfinanzierung“". Wird diese Gegenleistung vertraglich definiert und dem Nutzer bei Vertragsabschluss klar und verständlich dargestellt, bedarf es keiner Einwilligung und das Kopplungsverbot kann umgangen werden.
Aufgrund der schwammigen Definitionen des „Verantwortlichen“ und „Auftragsverarbeiters“ ist es umstritten, welche genauen Kriterien einen Empfänger von personenbezogenen Daten als Auftragsverarbeiter qualifizieren. Zudem ist ebenfalls strittig, ob es einer weiteren Rechtsgrundlage für die Auftragsverarbeitung bedarf oder ob Art. 28 DSGVO als eigenständige Rechtsgrundlage für die Verarbeitung im Auftrag angesehen werden kann.
Nach Auffassung der DSK bedarf es für die Weitergabe von personenbezogenen Daten an den Auftragsverarbeiter und die Verarbeitung durch den Auftragsverarbeiter keiner weiteren Rechtsgrundlage. Zudem ist für die Auftragsverarbeitung entscheidend, dass der Verantwortliche allein über die Verarbeitungszwecke bestimmt, wohingegen die TOMs auch durch den Auftragsverarbeiter bestimmt werden können. Zudem werden Beispiele genannt in welchen Fällen es sich um (k)eine Verarbeitung im Auftrag handelt.
Das BayLDA hat eine Formulierungshilfe zur Erstellung einer Auftragsverarbeitungsvereinbarung nach Art. 28 Abs. 3 DSGVO veröffentlicht.
Viele Unternehmen sind ratlos, ob sie mit ihren Dienstleistern eine Auftragsverarbeitungs-Vereinbarung abschließen müssen oder nicht. Das BayLDA hat hierzu eine nicht abschließende Liste veröffentlicht, welche Dienstleistungen eine Auftragsverarbeitung sind und welche nicht.
Strittigster Punkt der Datenübertagbarkeit gem. Art. 20 DSGVO ist die Auslegung des Begriffs der vom Betroffenen „bereitgestellten“ Daten.
Der Begriff ist nach der Stellungnahme der Artikel 29 Datenschutzgruppe weit auszulegen. Das Recht auf Datenportabilität umfasst demnach die vom Betroffenen selbst oder durch technische Mittel bereitgestellten Daten, bspw. E-Mail-Adresse, Benutzername, Alter aber auch Suchverläufe, Verkehrs- und Standortdaten und auch den aufgezeichneten Herzschlag von Wearables. Durch den Verantwortlichen abgeleitete Daten bzw. Schlussfolgerungen sollen ausgeschlossen sein, bspw. Scoring-Ergebnis auf Grundlage eines Algorithmus. Die Stellungnahme und der Anhang ist jetzt auch in deutscher Sprache verfügbar.
Für Konzerne stellt sich die Frage was genau unter der Voraussetzung der „leichten Erreichbarkeit“ des Konzernübergreifenden Datenschutzbeauftragten (DSB) gem. Art. 37 Abs. 2 DSGVO zu verstehen ist. Des Weiteren stellt sich die Frage, ob für die Ernennung des Datenschutzbeauftragten nach DSGVO auch juristische Personen in Frage kommen und ob diese im EWR ansässig sein müssen.
Nach der Auslegung der Artikel 29 Datenschutzgruppe, bezieht sich der Begriff der „leichten Erreichbarkeit“ nicht nur auf die Aufgaben als interne Kontaktstelle für den Konzern selbst, sondern auch auf die Aufgaben als Kontaktstelle für die Betroffenen und die Aufsichtsbehörden. Um diese „leichte Erreichbarkeit“ sicherstellen zu können, müssen nicht nur die Kontaktdaten des DSB verfügbar sein, sondern der DSB muss, ggfs. mit Hilfe eines Teams, in der Lage sein mit den Betroffenen effizient kommunizieren zu können und mit den betroffenen Aufsichtsbehörden zusammenzuarbeiten. Das schließt die Kommunikation in den Sprachen der Aufsichtsbehörden und der betroffenen Personen mit ein.
Nach Ansicht der Artikel 29 Datenschutzgruppe ist auch die Benennung einer juristischen Person zum Datenschutzbeauftragten zulässig. Die deutschen Aufsichtsbehörden vertreten hierzu aktuell noch unterschiedliche Auffassungen. Die Stellungnahme ist jetzt auch in deutscher Sprache verfügbar.
Nach der Stellungnahme des BayLDA werden die Eingrenzungen zur Benennung des DSB in Art. 37 Abs. 1 lit. a bis c DSGVO in Deutschland kaum eine Rolle spielen, da nach dem Entwurf des neuen BDSG die bisherige Regelung des § 4f Abs. 1 BDSG-alt in ihren Grundzügen bestehen bleibt. Darüber hinaus setzt das das BayLDA, wie auch die Artikel 29 Datenschutzgruppe, voraus, „dass die Kommunikation in der bzw. den von den Aufsichtsbehörden und dem Betroffenen verwendeten Sprache(n) erfolgen muss“.
Landesbeauftragte für Datenschutz Nordrhein Westfalen
Auch die Aufsichtsbehörden in NRW legen den Begriff der "leichten Erreichbarkeit" weit aus. Dieser umfasst demnach sowohl die persönliche, als auch die sprachliche Erreichbarkeit des Datenschutzbeauftragten und gilt für Betroffene, Aufsichtsbehörden sowie Beschäftigte. Beispielhaft wird zur Umsetzung die Einrichtung einer Hotline, eines Kontaktformulars auf der Homepage und einer Sprechstunde für Beschäftigte genannt.
Nach Ansicht des Hessischen Landesbeauftragten für Datenschutz kann, wenn nach deutschem Recht eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht, der Konzerndatenschutzbeauftragte auch für Niederlassungen außerhalb Deutschlands benannt werden. Der Begriff der „leichten Erreichbarkeit“ verlangt auch nach der Auffassung des Hessischen LDB zum einen die Sicherstellung der persönlichen Kommunikation durch ausreichend verfügbare Kontaktmöglichkeiten. Zum anderen muss der Datenschutzbeauftragte in der Lage sein mit Aufsichtsbehörden und Betroffenen sprachlich zu kommunizieren. Dies schließt die Kommunikation in der jeweiligen Landessprache, in der das Unternehmen tätig ist, mit ein. Es wird weiter Empfohlen, dass der Datenschutzbeauftragte im EWR ansässig ist. Anderenfalls stehe es in Frage, ob der Datenschutzbeauftragte seine Aufgaben und Pflichten ordnungsgemäß erfüllen kann. Der Hessische Landesdatenschutzbeauftragte empfiehlt vor der Benennung einer juristischen Person zum Datenschutzbeauftragten dies mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen, solange hierzu keine verbindliche Klärung durch den Europäischen Datenschutzausschuss erfolgt ist.
Die DSGVO enthält eine Reihe sogenannter Öffnungsklauseln, so dass der nationale Gesetzgeber teils verpflichtet teils berechtigt ist einen eigenen, nicht unerheblichen Handlungsspielraum hat, bei der er Erweiterungen oder weitere Ausnahmen von der DSGVO treffen kann. Für die Ernennung des Datenschutzbeauftragten im nicht-öffentlichen Bereich hat die Bundesregierung von dieser Möglichkeit gebraucht gemacht. Neben den Anforderungen der DSGVO zur Ernennung des Datenschutzbeauftragten bleibt es nach § 38 Abs. 1 BDSG-neu bei der Pflicht zur Ernennung „soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“.
Nach Aussage des Unabhängigen Landeszentrums für Datenschutz berücksichtigt das im November 2016 veröffentlichte Standard-Datenschutzmodell (SDM) die Anforderungen der DSGVO im Bereich der technischen und organisatorischen Maßnahmen, so dass dieses zur Umsetzung des Art. 32 DSGVO herangezogen werden kann.
Von Seiten der Aufsichtsbehörden wurden nun Positiv-Listen veröffentlicht, anhand derer man abgleichen kann, ob man verpflichtet ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Eine Negativ-Liste wird nach jetzigem Kenntnisstand nicht geben.
Die bisher veröffentlichten Positiv-Listen der Aufsichtsbehörden sind überwiegend Identisch. Für den nicht-öffentlichen Bereich werden Beispielhaft u.a. die folgenden Fälle genannt, für die eine DSFA erforderlich ist:
Anonymisierung von besonderen Arten personenbezogener Daten nach Art. 9 DSGVO, sofern diese (vermeintlich) anonymen Daten an Dritte weitergegeben oder zu nicht nur internen statistischen Zwecken verarbeitet werden sollen
Big-Data-Analyse von Kundendaten, die mit Angaben aus Drittquellen angereichert wurden
Betrieb von Bewertungsportalen / Dating- und Kontaktportalen (bspw. Möglichkeit der feingranularen Bewertung für Ärzte, Lehrer etc. oder Profilerstellung um passende Kontaktvorschläge zu generieren)
Betrieb von großen sozialen Netzwerken
Betrieb eines Verzeichnisses über Privatinsolvenzen
Einsatz von Data-Loss-Prevention Systemen, die systematische Profile der Beschäftigten erzeugen (bspw. zentrale Aufzeichnung des Internetverlaufs und der Aktivitäten am Arbeitsplatz)
Einsatz von RFID/NFC durch Apps oder Karten
Erfassung des Kaufverhaltens unterschiedlicher Personenkreise zur Profilbildung und Kundenbindung unter Zuhilfenahme von Preisen, Preisnachlässen und Rabatten (bspw. durch Kundenkarten)
Einsatz von Telemedizin-Lösungen zur detaillierten Bearbeitung von Krankheitsdaten
Fahrzeugdatenverarbeitung – Car Sharing / Mobilitätsdienste (bspw. bei umfangreicher Verarbeitung von Positions- und Abrechnungsdaten)
Fahrzeugdatenverarbeitung – Zentralisierte Verarbeitung der Messwerte oder Bilderzeugnisse von Umgebungssensoren
Fraud-Prevention-Systeme (bspw. aktive Zahlartensteuerung)
Geolokalisierung von Beschäftigten (bspw. (per RFID, Handy-Ortung oder GPS)
Große Anwaltssozietäten
Inkassodienstleistungen – Forderungsmanagement / Factoring
Offline-Tracking von Kundenbewegungen in Warenhäusern, Einkaufszentren o. ä.
Scoring durch Auskunfteien, Banken oder Versicherungen
Telefongespräch-Auswertung mittels Algorithmen
Verkehrsstromanalyse auf der Grundlage von Standortdaten des öffentlichen Mobilfunknetzes
Zentrale Speicherung der Messdaten von Sensoren, die in Fitnessarmbändern oder Smartphones verbaut sind
Die Artikel 29 Datenschutzgruppe hat zur Bestimmung des Risikos einen Kriterienkatalog aufgestellt und nennt erstmals beispielhaft Datenverarbeitungsvorgänge, bei denen eine DFSA durchgeführt werden muss. Bspw. muss für Werbung die auf einer E-Commerce-Website, auf Grundlage von Profiling früherer Käufe und Verhalten, angezeigt wird, keine DSFA durchgeführt werden. Das Überwachen der Aktivitäten seiner Mitarbeiter, einschließlich der Überwachung der Arbeitsstätte der Mitarbeiter, bedarf hingegen einer DSFA. Die Stellungnahme ist jetzt auch in deutscher Sprache verfügbar.
Das ULD hat in Zusammenarbeit mit weiteren Projektpartnern im Rahmen des Projekts „Forum Privatheit“ ein allgemeingültiges Model zur vollständigen Durchführung einer DSFA erarbeitet, woran sich Unternehmen orientieren können.
Nach Auffassung des BayLDA gibt es keinen Bestandsschutz für eine nach §4d BDSG durchgeführte Vorabkontrolle. Auch für bereits bestehende und geprüfte Verarbeitungsvorgänge besteht die Pflicht zur Prüfung der Erforderlichkeit einer DSF nach Art. 35 DSGVO. Diese Auffassung des BayLDA wird im DSK Kurzpapier zur Datenschutzfolgenabschätzung noch einmal bestätigt. Eine Pflicht zur Erstellung einer DSF vor dem 25.5.2018 bestehe nicht.
Unternehmen sind dazu verpflichtet, die Aufsichtsbehörden und Betroffenen im Falle von Datenschutzverstößen/Datenpannen zu informieren. Die bislang nach BDSG geltenden Regelungen werden durch die DSGVO abgelöst und zudem deutlich verschärft. Um den Voraussetzungen an die Meldung gerecht zu werden ist eine Vielzahl von Neuerungen zu beachten.
Die Artikel 29 Datenschutzgruppe hat eine Stellungnahme zum Thema Data Breach Notification veröffentlicht. Insbesondere für die schwierige Frage, wann ein Datenschutzverstoß gemeldet werden sollte, gibt die Artikel 29 Datenschutzgruppe Verantwortlichen Datenverarbeitern Richtlinien an die Hand.
Für die DSGVO gilt das sogenannte One-Stop-Shop, nach dem bei grenzüberschreitender Datenverarbeitung für jeden Betroffenen eine federführende Aufsichtsbehörde zuständig ist. Die Identifizierung der federführenden Aufsichtsbehörde ist aufgrund der unübersichtlichen Regelungen nicht immer eindeutig. Grundsätzlich liegt die federführende Aufsichtsbehörde gem. Art. 56 Abs. 1 DSGVO bei grenzüberschreitender Verarbeitung in dem Land, in dem sich die Hauptniederlassung des Verantwortlichen/Auftragsverarbeiters befindet.
Die Artikel 29 Datenschutzgruppe stellt in seiner Stellungnahme klar, dass bei der Verarbeitung personenbezogener Daten in einer Unternehmensgruppe die Muttergesellschaft Hauptniederlassung ist, es sei denn eine Tochtergesellschaft entscheidet über die Zwecke und Mittel der Verarbeitung. Die Artikel 29 Datenschutzgruppe hat in ihrer Stellungnahme Kriterien zur Ermittlung und Identifizierung der Hauptniederlassung und der der federführenden Aufsichtsbehörde aufgelistet.Die Stellungnahme und der Anhang ist jetzt auch in deutscher Sprache verfügbar.
Die Aufsichtsbehörde für Datenschutz NRW geht mit der Stellungnahme der Artikel 29 Datenschutzgruppe konform und verlinkt auf ihrer Internetseite auf die entsprechenden workingpaper. Dort heißt es u.a., dass sich zur Auslegung des Begriffs "Hauptniederlassung" an die Leitlinien der Artikel 29 Datenschutzgruppe gehalten werden kann.
Im Jahresbericht heißt es zum Thema Internet der Dinge, dass viele Produkte erhebliche Defizite aufweisen und weder privacy by Design noch privacy by default ausreichend berücksichtigt werden. Hersteller sollen umdenken und nachbessern, um die Anforderungen der DS-GVO zu erfüllen. Anderenfalls kann dies bei Verstößen zu Geldbußen in Höhe von bis 20 Mio. EUR oder bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens führen.
Umsetzungshilfen zur DSGVO
Auftragsverarbeitung Ja oder Nein?!
Das BayLDA hat zur Orientierung eine Liste veröffentlicht, welche Dienstleistungen eine Auftragsverarbeitung sind und welche nicht.
Umsetzunghilfe beim Einsatz von Videoüberwachung
Das ULD hat zu den wichtigsten Fragen zum Datenschutz bei Videoüberwachung durch nicht-öffentliche Stellen eine Umsetzungshilfe veröffentlicht.
Zehn-Punkte-Papier zur Vorbereitung auf die DSGVO
Die Aufsichtsbehörden für Datenschutz um nicht-öffentlichen Bereich haben auf der Datenschutzkonferenz am 24.5.17 ein 10-Punkte-Papier veröffentlicht in dem sie Unternehmen Anregungen zur Vorbereitung auf die DSGVO geben. Die Datenschutzkonferenz (DSK) ist ein freiwilliger Zusammenschluss der unabhängigen amtlichen Ladens- und Bundesdatenschutzbeauftragten.
Mustervertrag zur Auftragsverarbeitung (Bayern)
Das BayLDA hat einen Mustervertrag bzw. Formulierungshilfe zur Auftragsverarbeitung entworfen, welche in den Grundzügen mit dem Thüringer LDB entworfen und abgestimmt wurde.
Fragebogen zum Stand der Anpassung an die DSGVO (Mecklenburg-Vorpommern)
Der Landesbeauftragte für Datenschutz in Mecklenburg-Vorpommern hat einen Fragebogen zum Stand der Anpassung an die DSGVO für Ärztinnen und Ärzten erstellt und an eine „repräsentative Anzahl zufällig ausgewählter Ärzte aller Fachbereiche in Mecklenburg-Vorpommern verschickt“. Die Beantwortung des Fragebogens ist verpflichtend und muss innerhalb einer festgelegten Frist erfolgen.
Online-Test zur DSGVO Selbsteinschätzung (Bayern)
Das Bayerische Landesamt für Datenschutz hat einen Online-Test auf ihrer Website veröffentlicht, welcher im Zusammenhang mit der Umsetzung der DSGVO eine Selbsteinschätzung gibt. Nach Beantwortung der 28 Fragen bekommt man die Bewertung der einzelnen Fragen angezeigt und kann sich eine zusammenfassende „Urkunde“ zu den erreichte Punkten in den einzelnen Bereichen erstellen lassen.
Fragebogen zur Umsetzung der DSGVO (Bayern)
Das Bayerische Landesamt für Datenschutz hat einen Fragenkatalog veröffentlicht, der unterstützend für eine erste Überprüfung der DSGVO-Compliance herangezogen werden kann.
Fragebogen zur Umsetzung der DSGVO (Niedersachsen)
Die Landesbeauftragte für den Datenschutz Niedersachsen hat es dem BayLDA gleichgetan und ebenfalls einen Fragenkatalog zur Umsetzung der DSGVO zusammengestellt.
Allgemeingültiges Model für die Durchführung einer DSFA (PIA)
Positiv-Listen der Aufsichtsbehörden zur Notwendigkeit einer Datenschutz-Folgenabschätzung
Die Positivlisten basieren auf einer Ausarbeitung der Berliner Aufsichtsbehörde und Beiträgen von Mitgliedern der Unterarbeitsgruppe Datenschutz-Folgenabschätzung (UAG DSFA) des Arbeitskreises Grundsatzes der Datenschutzkonferenz. Der ursprüngliche Entwurf dieses Textes stammt vom BayLDA.
Landesbeauftragter für Datenschutz und Informationsfreiheit – Baden-Württemberg
Landesbeauftragter für Datenschutz und Informationsfreiheit – Thüringen
Landesbeauftragter für Datenschutz und Informationsfreiheit – Hamburg
Unabhängiges Landeszentrum für Datenschutz – Schleswig-Holstein
Unabhängiges Datenschutzzentrum – Saarland
Umsetzungshilfen für eine DSGVO-konforme Dokumentation
Das ULD hat schon vor längerer Zeit Handreichungen und Vorlagen für eine datenschutzkonforme Dokumentation veröffentlicht. In ihrem Tätigkeitsbericht verweiset das ULD auf diese Vorlagen, um den nach der DSGVO geforderten Nachweis und Dokumentationspflichten gerecht zu werden.
Auf der Datenschutzkonferenz (DSK) der unabhängigen Datenschutzbehörden des Bundes und der Länder wurden mehrere Kurzpapiere zur Orientierung für den nicht-öffentlichen Bereich veröffentlicht. Über den Link finden Sie auch die Kurzpapiere des Bayerischen Landesamts für Datenschutz.
Kurzpapier Nr. 1 - Verzeichnis von Verarbeitungstätigkeiten - Art. 30 DS-GVO
Kurzpapier Nr. 2 - Aufsichtsbefugnisse/Sanktionen
Kurzpapier Nr. 3 - Verarbeitung personenbezogener Daten für Werbung
Kurzpapier Nr. 4 - Datenübermittlung in Drittländer
Kurzpapier Nr. 5 - Datenschutz-Folgenabschätzung
Kurzpapier Nr. 6 - Auskunftsrecht
Kurzpapier Nr. 7 - Marktortprinzip
Kurzpapier Nr. 8 - Maßnahmenplan
Kurzpapier Nr. 9 - Zertifizierung nach Art. 42 DS-GVO
Kurzpapier Nr. 10 - Informationspflichten bei Dritt- und Direkterhebung
Kurzpapier Nr. 11 - Recht auf Löschung / „Recht auf Vergessenwerden"
Kurzpapier Nr. 12 - Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern
Kurzpapier Nr. 13 - Auftragsverarbeitung
Kurzpapier Nr. 14 - Beschäftigtendatenschutz
Kurzpapier Nr. 15 - Videoüberwachung
Kurzpapier Nr. 16 - Gemeinsam für die Verarbeitung Verantwortliche
Kurzpapier Nr. 17 - Besondere Kategorien personenbezogener Daten
Kurzpapier Nr. 18 - Risiko für die Rechte und Freiheiten natürlicher Personen
Kurzpapier Nr. 19 – Unterrichtung und Verpflichtung von Beschäftigten und Beachtung der datenschutzrechtlichen Anforderungen nach der DSGVO
Die DSK hat am 27.3.2018 weitere Beschlüsse und eine Orientierungshilfe zu den folgenden Themen veröffentlicht:
Mahnung durch Computeranruf
Übermittlung von E-Mail-Adressen durch Online-Versandhändler
Keine fortlaufenden Bonitätsauskünfte an den Versandhandel
Einmeldung offener und unbestrittener Forderungen in eine Wirtschaftsauskunftei unter Geltung der DSGVO
Orientierungshilfe zur "Einholung von Selbstauskünften bei Mietinteresseninnen
Auch wenn viele Berater auf Äußerungen von Aufsichtsbehörden warten und jedem kleinen Satz eines Behördenvertreters größte Bedeutung beigemessen wird. Es gilt zweierlei:
(1) Bei den Stellungnahmen/Beschlüssen der Art. 29 Datenschutzgruppe, des Düsseldorfer Kreis und den Aufsichtsbehörden der Länder handelt es sich um Behördenmeinungen, die zutreffen können, aber nicht richtig sein müssen.
(2) Die Äußerungen sind nicht rechtsverbindlich und entfalten keine Vertrauenswirkung. Entscheidet der EuGH einen Sachverhalt anders als die deutsche Behörde, ist das folgenlos. Insbesondere gibt es keinen Staatshaftungsanspruch wegen der falschen Behördenaussage.
Online-Schulungen zur DSGVO
Wir machen Sie fit für die DSGVO: In 10 einzelnen Webinaren unterrichten wir Sie zu Einzelheiten der DSGVO unter Berücksichtigung der Behördenaussagen und unserer Erfahrung aus über einen Dutzend größeren DSGVO-Projekten.
Who’s Who Legal 2019: Vier HÄRTING-Rechtsanwälte unter den führenden Datenschutz-Anwälten in Deutschland
Kanzleimonitor.de 2018/2019: HÄRTING Rechtsanwälte erneut unter den Top Kanzleien Deutschlands
Aus LLC wird Ltd – Folgen der neuen Google-Nutzungsbedingungen
COMBIT VS. COMMIT: BGH sieht Verwechslungsgefahr auch beim englischsprachigen Verkehrskreis
BAG: Es besteht kein Anspruch auf den gesetzlichen Mindestlohn, wenn das Berufsorientierungspraktikum unterbrochen wird und aufgrund dessen längere Zeit als drei Monate fortdauert.
Übertragung von Kundendaten beim Asset Deal nach der DSGVO - und wann auf eine Einwilligung verzichtet werden kann
Aktuelles Urteil: „achtung!“ hat als Marke keine Unterscheidungskraft „achtung!“ – Nicht mehr als Betonung und Blickfang
Nils Waldeck , LL.M.