Source: https://ecomply.io/author/aazar/
Timestamp: 2018-04-26 14:56:53
Document Index: 481429912

Matched Legal Cases: ['Art. 3', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', 'Art. 4', '§4', 'Art. 30']

Aazar Shad – ECOMPLY.io
56 days left until GDPR enforcement and we hear a lot of companies wondering how long it takes to actually be compliant. This is the omnipresent question that you will find companies, executives and pretty much everyone else asking these days. So we decided to try and answer this question for you. We surveyed about 15 experts to help us answer this question.
Moreover, what everyone needs to understand is that compliance is a step by step process that also requires long-term commitment and integration into the existing structures and processes of the company.
And let’s break down this big term into some basic, simple steps:
So before you start going down the compliance path you need to take stock of what your current state of compliance with regards to the General Data Protection Regulation (GDPR) framework actually looks like. The pre-assessment depends heavily on the size of your company and the processes you have. The aim is usually to figure out the resource commitment that your company needs to actually comply.
Through our survey we found out that half of the experts whom we surveyed estimated that for a company between 50 and 250 employees, it would take on average 15 hours to complete a pre-assessment.
The important thing to remember here, is that setting the scope and ensuing commitment to your assessment as well as the extent of prior knowledge you have will play a determining role in how long pre-assessment will take.
Keeping Records of Processing Activities (RPA) is a stipulation of Article 30 of the GDPR explicitly requiring businesses to document their processing activities and recording the processing purposes, data sharing and retention. These records need to be made available upon the Information Commissioner’s Office (ICO). In short, every periodic step that the data is processed through has to be documented for the authorities. If you are confused about the RPA, you can check out this video and get this cleared out.
This is of course, highly dependent on what the company actually does and its pertaining activities. For instance, a headhunter has sensitive data that they have to document. This could include the candidates’ names, current position, company, data of birth and many others. Every step that this data goes through has to be documented so that if the Data Subject inquires about how their data is used, the headhunter is ready to answer that.
Opinions of the experts whom we surveyed were quite dispersed and estimated that it could take on average 40 hours.
Data Protection Impact Assessment refers to estimating the entire risk for the company and it pertaining operations. Essentially, it means that an external person helps the organization to identify, assess and minimize the risk of their processing activities. An overwhelming majority of the experts whom we surveyed were of the opinion that for an external consultant to do that for a client could take from 25 hours on average.
If you thought it was a one-time thing, then you were…
Most people think of the coming enforcement of The General Data Protection Regulation (GDPR) as apocalyptic for sales! While it is true that the GDPR will fundamentally change the way Sales work, contrary to popular belief, all it requires is an understanding of the implications of this law and finding out what’s possible and what’s not. And that’s where this blog comes in…
For me, sales used to be all about the automatic email marketing (Hallelujah automation) and to make my outbound emails perfect, personalized and pretty. The email would have one Call-To-Action (CTA) and move the leads in the funnel to the next steps such as demo, exploratory call or landing them to my specific page (a bit of narcissism never hurt nobody). Moreover, I was also a great cold caller. Like you know someone who could pass the gatekeeper and move to the hierarchy very easily. I used to love it. What else could be a better way of telling a customer that what they really need is my SaaS solution and should stop working manually! However, this is what we can’t do.
Assuming that we all know the basic tenets of GDPR, (in case you don’t, catch up here: https://www.eugdpr.org/) I have highlighted all the FAQs here. I’ll move forward to more practical steps. Obviously, DISCLAIMER: these are just my opinions and not legal advice in any manner. So, what is it that you cannot do as a salesman after May 2018?
You cannot send a cold email! Basically, you just cannot send any kind of electronic message (SMS, MMS or email) to the customer who has not given consent to receive your email
You are also prohibited from cold calling customers: even if you found their number on a public website or in their signature, you cannot cold call them! (Exception: Cold calling is not forbidden in the UK yet).
You are also not allowed to put their details in your CRM system without their consent
So, GDPR is all about CONSENT. But what does consent really mean here? (add more here). It means if you want to optimize your sales activities, you need to inform the customers exactly what you are doing and about the tools you will be using
You cannot keep a prospective customer’s details in your CRM for an unlimited period of time so make a habit of periodic deletion:
You cannot put the customer’s details in a sales automation tool and track their open rates, click rates or download rates without their consent
You cannot scrape personal data via Facebook, LinkedIn, Quora, Product Hunt and send them targeted emails based on your scrapping
Forget about buying third party lists…
Or any other cheeky technology to find the email addresses and phone numbers of people
Finally, you also cannot rely on the age-old opt-ins from your database!
This all sounds horrible – Right? As if the GDPR actually moves you away from doing proper business. Well, not exactly!
The GDPR was enforced to give consumers more control over their data and to enable them to exercise ‘privacy as a basic human right’. And this is a groundbreaking first step towards empowering our consumers.
So how should we carry out Sales then, you ask? Well, let me give you some practical advice.
Here are some of the ways I have adopted in sales:
LinkedIn is your friend:
Use it heavily as a social selling tool!
Moving a lead from LinkedIn: Once they accept your request, get their consent, inform them of the duration of retaining their data and what you will be doing with it. Put this in your CRM, and start selling!
Use Inbound methods, let the leads come to you via your Inbound marketing channels such as Case Studies, Ebooks, Guides, blogs etc.
You can still send LinkedIn Inmail via LinkedIn Sales Navigator
Be great at event marketing. Research your prospect and personalize your message to them when you see them in an exhibition
Attend targeted events where your customers are likely to be
Use Meetup.com as a way to engage with the topic you specialize in
Start building genuine relationships and network with people at these events
Go to the events where your customers are exhibiting and try to talk to them. They’re open to listening to you and try to find a middle ground with them (of course, there’s the possibility that you might stumble upon a non-helpful sales person there but be reasonably persistent)
Organize topic related webinars: look out for pet peeves of your customers
Use LinkedIn and Medium for sharing your opinion about their industry via blogging
Use your company’s Inbound Strategies effectively to get a ‘double opt-in’ or a ‘Soft Opt-in’
Growth Hacking and Happy Customers:
Obviously, you cannot reach customers in bulk messages, but you can still use referral tools, influencer marketing and other channels where customers still give you consent
And the traditional word of mouth still works! Ask your happy customers to refer you to your next prospect. Ask your unhappy customers for feedback and forward it to your Dev Team. In fact, make an email for your customers to make them use as little effort as possible to provide you the referral and feedback.
And of course, get ready to send mails via post! (the old school way). Under the GDPR, you can still personally send letters, postcards and mails to your prospective customers. I’d suggest to write it by hand and personalize it as far as possible for your customer. Who doesn’t like a beautifully, handwritten note?! (It is not scalable so refrain from spamming by mail)
Hope this helps you in navigating the post GDPR world of sales! Remember: it is a very solid step towards reducing the exploitation of private data and to genuinely connect with your customers. If you are a small or middle-sized business confused about what GDPR compliance means for you, get in touch with us here: help me
Embrace the change and comply!
Die DSGVO ist in aller Munde, denn am 25. Mai dieses Jahres wird Sie alleinig rechtskräftig. In diesem Zusammenhang kommen auf Unternehmen einige Anforderungen in Sachen Datenschutz zu. In diesem Beitrag erklärt Ihnen Sarah Weingarten von Newsletter2Go 5 maßgebliche Gebote, welche im Datenschutz gelten und wie Sie diese bei Ihrem E-Mail Marketing am besten beachten. – Der folgende Beitrag dient nur zu Informationszwecken und ist ausdrücklich nicht als rechtliche Beratung zu verstehen.
Gebot 1: Das Verbot mit Erlaubnisvorbehalt
Das Verbot mit Erlaubnisvorbehalt bezieht sich auf die Einwilligung einer Verarbeitung personenbezogener Daten. Jede Verarbeitung, der nicht von der betroffenen Person zugestimmt wurde, bedarf einer gesetzlichen Erlaubnis. Daten dürfen ohne Erlaubnistatbestand nicht verarbeitet werden. Für den Newsletter-Versand als solchen gibt es keine gesetzliche Regelung. Das bedeutet, dass die Einwilligung von jedem Empfänger gesondert und vor allem vorab eingeholt werden muss.
Gebot 2: Die Datensparsamkeit
Eine Datenverarbeitung muss generell dem Zweck angemessen sein. Das bedeutet, dass sie sachlich relevant sein muss und sich auf das notwendige Maß beschränkt. Ein gutes Beispiel ist hier das Anmeldeformular für einen Newsletter. Es darf nur ein Pflichtfeld enthalten: die E-Mail-Adresse. Sie ist ausreichend, um Newsletter an individuelle Empfänger zu versenden. Zusätzlich können natürlich noch Name und Geburtsdatum abgefragt werden. Diese Informationen dürfen jedoch nicht verpflichtend für den Betroffenen sein, um die Anmeldung zum Newsletter wirksam werden zu lassen.
Gebot 3: Die Zweckbindung
Werden personenbezogene Daten verarbeitet, so darf dies nur zu dem Zweck geschehen, für den sie erhoben wurden. Dies bedeutet, dass bei der Datenerhebung konkret mitgeteilt werden muss, für welchen Zweck die Daten verwendet werden. So bedeutet dies zum Beispiel, dass die erhobene Adresse bei einer Bestellung lediglich zu diesem Zweck verwendet werden darf. Möchten Sie Newsletter an diese Adressen versenden, müssen Sie sich eine Einwilligung einholen.
Für E-Mail Marketing bedeutet dies, dass im Anmeldeformular für den Newsletter konkret angegeben werden muss, für welchen Zweck die Daten verarbeitet werden. Hier kann beispielsweise genannt werden, dass dem Betroffenen Produktempfehlungen, Tipps oder Neuigkeiten zum Unternehmen zugestellt werden.
Gebot 4: Die Datensicherheit
Bei der Datenverarbeitung von personenbezogenen Daten ist es wichtig, entsprechende geeignete technische und organisatorische Maßnahmen zu treffen. So sollen die Daten vor Missbrauch geschützt werden. Solche Maßnahmen bedeuten, dass dafür zu sorgen ist, dass keine unberechtigte Person Zugriff auf die erhobenen Daten hat. Das kann beispielsweise durch Passwörter und Verschlüsselungen gewährleistet werden. Für das Newsletter Marketing bedeutet dies, dass Ihre Daten durch Ihren Software-Anbieter sensibel zu behandeln sind. Das bedeutet, dass sie Serverräume beispielsweise gesichert und die Rechenzentren hinreichend geschützt sind.
Gebot 5: Transparenz
Es ist Transparenz bezüglich der Datenverarbeitung zu gewährleisten. Dies bedeutet, dass Betroffene, also natürliche Personen, deren Daten verarbeitet werden, genau wissen sollen, dass und vor allem welche Daten in Bezug auf ihre Person erhoben wurden. Datenverarbeitende Personen und Unternehmen haben ein Verfahrensverzeichnis zu führen und die entsprechenden Löschfristen zu implementieren. Der Datenverarbeitende ist außerdem verpflichtet, das öffentliche Verfahrensverzeichnis auf Anfrage jederzeit bereitzustellen.
Und noch etwas: In Sachen Datenschutz und Datenerhebung gilt grundsätzlich, dass jedes Unternehmen für die Datenerhebungen vollumfänglich verantwortlich ist. Sollten Subunternehmen herangezogen werden, wie beispielsweise Servicedienstleister oder auch Softwares, mit denen die Daten verarbeitet werden, muss ein sogenannter Vertrag zur Auftragsverarbeitung abgeschlossen werden. Zwischen Newsletter2Go und seinen Kunden sind die Voraussetzungen an eine Auftragsverarbeitung gegeben, sodass stets ein solcher Vertrag zur Auftragsverarbeitung abgeschlossen werden kann.
Mit der DGSVO sollten datenschutzrechtliche Vorgaben künftig gezielter und strenger umgesetzt werden. Das Datenschutzniveau in der EU soll einheitlich werden. Ziel der DSGVO ist es – besonders im Zuge der Digitalisierung der Gesellschaft – dem gläsernen Menschen vorzubeugen und personenbezogene Daten so sicher wie möglich zu behandeln. Wie Sie rechtssicher Newsletter-Abonnenten sammeln und welche Informationspflichten Sie als Unternehmen haben, können Sie in unserem Whitepaper zur DSGVO nachlesen.
Die Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) ist eine Verordnung des Europäischen Parlaments, des Rats der Europäischen Union und der Europäischen Kommission. Sie soll den Datenschutz für alle Personen in der EU stärken und vereinheitlichen. Ein Thema der Verordnung ist auch der Transfer/Export von personenbezogenen Daten außerhalb der EU.
Die DSGVO wurde im April 2016 mit einer Übergangsfrist von zwei Jahren genehmigt. Am 25. Mai 2018 tritt die Verordnung letztendlich in Kraft.
Wen soll diese Verordnung schützen?
Diese Regelung gilt für alle betroffenen Personen (innerhalb der EU). Sie konzentriert sich auf den Schutz personenbezogener Daten, sowie auf ein einfacheres regulatorisches Umfeld für Unternehmen. Es soll sichergestellt werden, dass die betroffene Person der rechtmäßige Eigentümer ihrer personenbezogenen Daten ist und die damit verbundenen Rechte jederzeit gewährleistet sind.
Welche Unternehmen betrifft die Verordnung?
Jedes Unternehmen, das persönliche Daten sammelt, speichert und verarbeitet, sei es von seinen Kunden, Mitarbeitern oder Partnern. Eine einfache Faustregel: jedes Unternehmen, das Kunden in der EU oder selbst einen Standort in der EU hat.
Wird die DSGVO meine Firma betreffen? Muss ich sie einhalten?
Wenn Sie mindestens eine dieser Fragen mit JA beantworten, sollten Sie die DSGVO einhalten.
Sammelt Ihr Unternehmen Daten von seinen Kunden?
Sammelt Ihr Unternehmen Daten von seinen Mitarbeitern?
Verarbeitet Ihr Unternehmen digitale Zahlungen (Kreditkarten)?
Kontaktiert Ihr Unternehmen Kunden, Partner oder Mitarbeiter per E-Mail?
Kontaktiert Ihr Unternehmen Kunden, Partner oder Mitarbeiter per Post?
Kontaktiert Ihr Unternehmen Kunden, Partner oder Mitarbeiter telefonisch?
Versendet Ihr Unternehmen Produkte per Post an Kunden, Lieferanten oder Partner?
Der räumliche Anwendungsbereich ist in Art. 3 DSGVO geregelt. Darin heißt es, dass die Datenschutz-Grundverordnung für alle 28 EU-Mitgliedstaaten und für Unternehmen und Organisationen außerhalb der EU gilt, soweit es die Verarbeitung von Daten von EU-Bürgern betrifft. Dabei spielt es keine Rolle, ob die Person kurz- oder langfristig in der EU ist. Der räumliche Anwendungsbereich kann nachträglich vertraglich nicht geändert werden. Es spielt auch keine Rolle, welche Art von Dienstleistungen oder Produkten Unternehmen oder Organisationen anbieten. Entscheidend ist nur, ob personenbezogene Daten von EU-Bürgern erhoben und verarbeitet werden.
Die Datenschutz-Grundverordnung gilt für Personen und Einrichtungen jeder Größe, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten, unabhängig davon, wo sich der Auftragsverarbeiter befindet. Diese Regeln gelten auch für Auftragsverarbeiter, einschließlich Dritter wie Cloud-Anbieter. Erneut die einfache Faustregel: jedes Unternehmen, das Kunden in der EU oder selbst einen Standort in der EU hat.
Macht die DSGVO einen Unterschied zwischen B2B und B2C?
Die DSGVO unterscheidet nicht zwischen B2B und B2C, sie gilt gleichermaßen für beide. Hintergrund ist, dass die Datenschutz-Grundverordnung für den Schutz von Einzelpersonen und nicht von juristischen Personen gilt.
Spezifische Fragen – Behörden
Wie wird die Verordnung durchgesetzt?
Nach dem 25. Mai 2018 können Organisationen, die gegen die DSGVO verstoßen, auditiert werden und Sanktionen erleiden. Audits können nach dem Zufallsprinzip oder aufgrund von Beschwerden erfolgen. Dies kann für verschiedene Länder der Europäischen Union etwas variieren.
Wer ist meine Datenschutzbehörde?
Jede Europäische Union und das EFTA-Mitglied benennt eine nationale Organisation / Kommission / Agentur / Büro / Behörde, die für die Durchsetzung der DSGVO innerhalb der Grenzen jedes Landes zuständig ist. Diese Behörde stellt Informationen und Unterstützung bereit, prüft Unternehmen und verhängt Sanktionen. Hier finden Sie die Liste aller Websites für jede nationale Behörde in der EU:
Österreich: https://www.dsb.gv.at/
Belgien: http://www.privacycommission.be/
Bulgarien: https://www.cpdp.bg/
Kroatien: http://azop.hr/
Zypern: http://www.dataprotection.gov.cy/
Tschechisch: Republik https://www.uoou.cz/
Dänemark: https://www.datatilsynet.dk/
Estland: http://www.aki.ee/en
Finnland: http://www.tietosuoja.fi/en/
Frankreich: https://www.cnil.fr/en/home
Deutschland: https://www.bfdi.bund.de/
Griechenland: http://www.dpa.gr/
Ungarn: https://naih.hu/
Island: https://www.personuvernd.is/
Irland: https://www.dataprotection.ie/
Italien: http://www.gpdp.it/
Lettland: http://www.dvi.gov.lv/en/
Litauen: http://www.dvi.gov.lv/en/
Luxemburg: https://cnpd.public.lu/
Mazedonien: https://www.dzlp.mk/
Niederlande: https://autoriteitpersoonsgegevens.nl/
Norwegen: https://www.datatilsynet.no/
Polen: http://www.giodo.gov.pl/
Rumänien: http://www.dataprotection.ro/
Russland: http://eng.rkn.gov.ru/
Serbien: https://www.poverenik.rs/sr/
Slowakei: https://dataprotection.gov.sk/
Slowenien: https://www.ip-rs.si/
Spanien: https://www.agpd.es/
Schweden: https://www.datainspektionen.se/
Schweiz: https://www.edoeb.admin.ch/
Vereinigtes Königreich: https://ico.org.uk/
Bei Verstoß gegen die DSGVO ist die Behörde zuständig, in dem das betroffene Unternehmen physisch oder rechtlich ansässig ist. ACHTUNG: Dies gilt unabhängig davon, wo die Verletzung der Privatsphäre aufgetreten ist.
Spezifische Fragen – Betroffene Person
Welche Rechte gibt die DSGVO EU-Bürgern?
Die mächtigste Möglichkeit für Unternehmen Zugriff und Kontrolle über Daten erlangen können, ist zunächst die Zustimmung des Betroffenen. Der Betroffene dieser Daten hat dann drei Hauptrechte:
Zugangsrecht: Jeder EU-Bürger hat auf Anfrage das Recht, zu erfahren, welche personenbezogenen Daten ein Unternehmen besitzt und / oder verarbeitet.
Recht auf Löschung: Jeder EU-Bürger hat das Recht, die Löschung aller Daten zu verlangen, die das Unternehmen von einem erhalten und / oder verarbeitet hat.
Recht auf Datenübertragbarkeit: Wenn eine betroffene Person zu einem neuen Dienstleister wechseln möchte, kann sie verlangen, dass alle ihre persönlichen Daten in einem maschinenlesbaren Standardformat an den neuen Dienstleister übertragen werden.
Was ist die Zustimmung zur Datenverarbeitung?
Bei der Datenerhebung muss das Unternehmen den Zweck klarstellen. Alle Aktivitäten, die mit diesen Daten durchgeführt werden, müssen in den Bedingungen der Einwilligung beschrieben werden, die von der betroffenen Person als Rechtsgrundlage für die Verarbeitung akzeptiert werden müssen.
Die Zustimmung muss ausdrücklich für die erhobenen Daten und die Zwecke erfolgen, für die die Daten verwendet werden (Artikel 7; definiert in Artikel 4). Die Zustimmung für Kinder muss vom Elternteil oder der Aufsichtsperson des Kindes erteilt werden und nachweisbar sein.
Muss die Zustimmung nachgewiesen werden?
Die für die Datenverarbeitung Verantwortlichen müssen in der Lage sein, eine Einwilligung (Opt-in) nachweisen zu können. Die Einwilligung kann zurückgezogen werden, wenn die betroffene Person darum bittet.
Brauche ich immer eine Zustimmung?
Kurz gesagt, nein bzw. nicht immer. Die Zustimmung ist eine rechtmäßige Grundlage für die Verarbeitung von Daten. Es gibt darüber hinaus fünf weitere Möglichkeiten, das Recht an der Verarbeitung von Daten zu erlangen. Die Zustimmung wird nicht immer die einfachste oder am besten geeignete sein.
Sie sollten immer die gesetzliche Grundlage wählen, die am besten geeignet ist und welche Sie ohne überproportionalen Aufwand bekommen können. Wenn die Zustimmung schwierig ist, liegt dies oft daran, dass eine andere gesetzliche Grundlage angemessener ist. Daher sollten Sie die Alternativen in Betracht ziehen.
Es liegt in Ihrer Verantwortung, eine rechtmäßige Grundlage für die Verarbeitung im Rahmen der DSGVO zu ermitteln.
Spezifische Fragen – Maßnahmen
Welche schnellen Maßnahmen sollte mein Unternehmen ergreifen?
Suchen Sie zunächst nach professionellen Ratschlägen. Es muss kein Anwalt sein, es gibt viele andere Fachleute, die auf die DSGVO spezialisiert sind, die Ihnen bei der Einhaltung helfen können. Darüber hinaus helfen Ihnen Online-Lösungen für die Einhaltung der DSGVO wie Ecomply bei der Anleitung und können die Arbeit für Sie sehr vereinfachen.
Was sind die Aufzeichnungen der Verarbeitungstätigkeiten?
Für die Einhaltung der DSGVO ist eine der Hauptanforderungen, dass jedes Unternehmen eine detaillierte Beschreibung aller Aktivitäten protokollieren muss, bei denen personenbezogene Daten verarbeitet werden. Diese Beschreibungen werden als “Datensätze” bezeichnet und bieten einen Überblick über alle Datenverarbeitungstätigkeiten in Ihrer Organisation. Es ermöglicht dem Unternehmen zu verstehen, welche Art von Datenkategorien von wem und für welche Zwecke verarbeitet werden.
Was ist ein Datenschutzbeauftragter (DPO)?
Der Datenschutzbeauftragte ist der Verantwortliche für die Datenschutzaktivitäten und -maßnahmen innerhalb des Unternehmens. Er / Sie hat die Rolle des Sicherheitsleiters inne und ist für die Überwachung der Datenschutzstrategie und -umsetzung verantwortlich, um die Einhaltung der DSGVO-Anforderungen sicherzustellen.
Was ist ein virtueller DPO?
Es handelt sich um einen externen Datenschutzbeauftragten, der einem Unternehmen Online-Hilfe bereitstellt. Es kann auch eine Gruppe von Personen mit verschiedenen Spezialitäten als DPO-Einheit dienen. Bei zweitem Ansatz sollte eine bestimmte Person als Leiter der DPO-Funktion benannt werden.
Was ist eine Datenverarbeitungsvereinbarung? Wann ist es nötig?
Wenn die Verarbeitungstätigkeiten ausgelagert werden – was bedeutet, dass sie von einem anderen Unternehmen durchgeführt werden – muss ein Vertrag zwischen den Parteien geschlossen werden. Dieser Vertrag ist der so genannte Auftragsverarbeitungsvertrag. Die Vereinbarung muss den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Art der zu verarbeitenden personenbezogenen Daten, die Kategorien der betroffenen Personen, sowie die Pflichten und Rechte für die Verantwortlichen der Datenverarbeitung festlegen.
Was bedeutet “Privacy by Design”?
“Secure by Design” bedeutet, dass der Datenschutz während der Entwicklung der Software, des Produkts oder des Prozesses beachtet und integriert wird. Die Verarbeitung der Daten soll verständlich sein und das Produkt, die Software oder der Prozess über Werkzeuge verfügen, die den betroffenen Personen das Recht auf Zugang, Löschung und Übertragbarkeit gewähren.
Wie wird das CCTV-Sicherheitssystem von der DSGVO beeinflusst?
Aufnahmen von Überwachungsvideos unterliegen der DSGVO, da sie zur Nachverfolgung und Identifizierung von Personen verwendet werden können. Es ist wichtig, einen klaren Zweck für diese Angelegenheit vorzulegen, ebenso wie die Zustimmung der Personen, die aufgezeichnet werden.
Wie wird der E-Mail-Posteingang des Mitarbeiters beeinflusst?
Jeder E-Mail-Account eines jeden Mitarbeiters ist privat und enthält personenbezogene Daten. Damit die Firma vorsätzlich darauf zugreifen kann, muss der Mitarbeiter dazu ausdrücklich zustimmen. Wenn ein Mitarbeiter das Unternehmen verlässt, kann das Unternehmen eingehende Nachrichten entweder an eine von diesem Benutzer bestimmte Adresse weiterleiten oder um Erlaubnis (Zustimmung) bitten, auf diese neuen Nachrichten zugreifen zu dürfen.
Spezifische Fragen – Klassifikationen
Was ist der Unterschied zwischen persönlichen und sensiblen Daten?
Personenbezogene Daten werden auf Informationen bezogen, die sich auf die betroffene Person beziehen und die dazu genutzt werden können, ihre Identität direkt oder indirekt zu bestimmen.
Sensible Daten beziehen sich auf die Informationen in Bezug auf die Grundrechte, die Intimität und den freien Willen der betroffenen Person. Beispiele hierfür sind Krankenakten, religiöse Überzeugungen, politische Meinungen, biometrische Daten oder genetische Daten.
Spezifische Fragen – Strafen
Gemäß Artikel 83 Absatz 5 DSGVO kann die Höchststrafe für Unternehmen und Organisationen bei Nichteinhaltung der Datenschutz-Grundverordnung bis zu 20 Mio. EUR oder 4% des jährlichen weltweiten Umsatzes betragen, je nachdem, welcher Betrag höher ist. Nach Art. B. kann ein Unternehmen mit 2% verurteilt werden, wenn es seine Aufzeichnungen nicht in der richtigen Reihenfolge führt (Artikel 28).
Spezifische Frage – Deutschland
Wer ist der “Verantwortliche” und welche Aufgaben hat er / sie?
Ein für die Verarbeitung Verantwortlicher ist eine “natürliche oder juristische Person, Agentur, Institution oder andere Einrichtung”, die personenbezogene Daten für ihre eigenen Zwecke verarbeitet. Er entscheidet “über die Zwecke und Mittel der personenbezogenen Datenverarbeitung” (Artikel 4 (7) DS-BER).
Die Entscheidung über die Zwecke und die Schutzmaßnahmen muss jedoch im Rahmen der Bestimmungen der DSGVO erfolgen. Die Schutzmaßnahmen für die personenbezogenen Daten müssen entsprechend den Schutzbedürfnissen ausgewählt werden. Der Verantwortliche muss die Rechtmäßigkeit und Zweckmäßigkeit der Datenverarbeitung, sowie die Rechte der betroffenen Personen, deren Daten verarbeitet werden, sicherstellen. Er muss auch die Einhaltung der DSGVO nachweisen können.
Was bedeutet “Prozessor”?
Ein Prozessor oder auch Verarbeiter ist eine “natürliche oder juristische Person, Behörde, Stelle oder Organisation, die personenbezogene Daten im Auftrag des für die Verarbeitung Verantwortlichen verarbeitet” (Artikel 4 Absatz 8 DS-GMO). Der Prozessor verarbeitet die personenbezogenen Daten nur im Rahmen von Anweisungen der verantwortlichen Person. Er ergreift geeignete technische und organisatorische Maßnahmen zum Schutz der Daten.
Im Vergleich zu den vorherigen Regelungen, was sind die wichtigsten Änderungen?
Der Anwendungsbereich der Verordnung wird auf alle Verarbeitungen ausgeweitet, die sich
an EU-Bürger richten und personenbezogene Daten von EU-Bürgern verarbeiten.
Es gibt einige neue Begriffsdefinitionen (Artikel 4):
– Umfassender Verarbeitungsbegriff (Art. 4 Nr. 2) – Aufhebung der Dreiteilung
(Erhebung, Verarbeitung, Übermittlung)
– Auftragsverarbeiter (Art. 4 Nr. 8) – keine Beschränkung mehr auf Auftragsverarbeitung im EWR
– Profiling (Art. 4 Nr. 4)
– Einwilligung (Art. 4 Nr. 11)
– Besondere Arten von Daten: So gibt es z. B. unter der DSGVO neue Definitionen für
»biometrische Daten« und »genetische Daten« (Art. 4 Nr. 12, 13). Unternehmen, die z. B.
mit Verfahren wie Gesichtserkennung und Fingerabdruck arbeiten. Sie sollten nicht nur die
neuen Definition, sondern auch die damit verbundenen Vorschriften prüfen.
Die Verarbeitung zu anderen Zwecken als den ursprünglichen Erhebungszwecken ist anders
geregelt als im BDSG – Weiterverarbeitung nur bei kompatiblen Zwecken zulässig (war auch
in der Richtlinie schon so, aber im BDSG anders umgesetzt).
Die Anforderungen an die freiwillige Einwilligung wurden graduell erhöht.
Die Anforderungen an den Widerruf der Einwilligung wurden für den Betroffenen herabgesetzt.
Das Kopplungsverbot wurde verschärft.
Die Informations- und Auskunftspflichten wurden um weitere Angaben erweitert.
Es gibt eine neue Portabilitätsverpflichtung für Daten: diese muss in gängigem Format wieder zur Verfügung gestellt werden und ggf. auf Wunsch sogar direkt an Dritte übermittelt werden.
Die Löschpflicht wird erweitert (Hinweispflicht bei Weitergabe von Daten an Dritte).
Das Widerspruchsrecht wird erweitert.
Die »Joint Controllership«, bei der zwei verantwortliche Stellen gemeinsam Daten mit
jeweils vertraglich festgelegten Verantwortlichkeiten verarbeiten, war im BDSG ebenfalls
nicht enthalten (jedoch schon in der EU-Richtlinie enthalten).
Die Pflichten im Auftragsverhältnis haben sich teilweise geändert. Der Auftragsverarbeiter
wird für seinen Verantwortungsbereich stärker in die Pflicht genommen. Er hat eigene Dokumentationspflichten und haftet bei Datenpannen unter Umständen auch direkt gegenüber
Die Verordnung hat in Bezug auf die technisch-organisatorischen Maßnahmen einen stärker
risikobasierten Ansatz, der eine Dokumentation der Risikoeinschätzung nötig macht.
Für besonders risikobehaftete Datenverarbeitungen wird die Durchführung einer Datenschutz-
Folgenabschätzung vorgeschrieben. Dafür entfällt die Pflicht zur Meldung der Verfahren
bei der Aufsichtsbehörde (Vorabkontrolle gem. §4d Abs. 5 BDSG).
Ausweitung der Meldepflicht bei Datenpannen an eine Aufsichtsbehörde auf jeden Vorfall,
der ein »Risiko« für die Rechte und Pflichten der Betroffenen darstellt. Der Vorfall muss binnen 72 h gemeldet werden. Zusätzlich muss auch der Betroffene unverzüglich über eine Datenpanne informiert werden, wenn sie »voraussichtlich« zu einem »hohen Risiko« führt.
Die zuständige Aufsichtsbehörde für ein Unternehmen richtet sich europaweit nach dem
Hauptsitz bzw. der Niederlassung.
Die möglichen Geldbußen für Verstöße wurden drastisch erhöht – auf bis zu 4% des
weltweiten Umsatzes pro Verstoß.
Was ist zum größten Teil gleich geblieben?
Bereits bestehende Datenschutzgrundsätze wie Zweckbindung, Datenminimierung und Transparenz bleiben erhalten. Ab 2018 wird die Datenverarbeitung weiterhin eine Rechtsgrundlage haben, z.B. sind “Vertragserfüllung” oder “Zustimmung der betroffenen Person” erforderlich. Die wesentlichen Rechtsgrundlagen für die Datenverarbeitung bleiben: eine heute zulässige Datenverarbeitung wird ebenfalls ab 2018 erwartet.
Gilt die DSGVO nur für die neu erworbenen Daten und Anwendungen?
Nein, die neue Verordnung betrifft alle bestehenden und neuen Daten. Das bedeutet, dass die DSGVO auch Daten betrifft, die im Voraus gespeichert wurden. Die Einhaltung der Vorschriften muss daher für alle – sowohl alte als auch neue – Verarbeitungen überprüft werden. Die folgenden Probleme sollten zum Beispiel berücksichtigt werden:
– Entspricht die bestehende Dokumentation der Datenverarbeitungsprozesse den neuen Datenschutzanforderungen?
– Werden die erweiterten Informationspflichten innerhalb der bestehenden Datenschutzrichtlinie erfüllt?
– Sind die formellen Voraussetzungen für die Einwilligung erfüllt?
– Berücksichtigt der bestehende Risikomanagementprozess die Anforderungen zur Ermittlung geeigneter technisch-organisatorischer Schutzmaßnahmen?
Brauche ich noch einen Datenschutzbeauftragten?
Nach heutigem Stand wird ein Datenschutzbeauftragter in Deutschland weiterhin benötigt, wenn mindestens zehn Personen im Unternehmen mit der automatisierten Datenverarbeitung beschäftigt sind.
Wer ist für die Einhaltung der DSGVO im Unternehmen verantwortlich?
Auch wenn ein Datenschutzbeauftragter bestellt wird, liegt die Verantwortung für die Einhaltung der DSGVO ausschließlich beim Verantwortlichen / beim Unternehmen. Der Datenschutzbeauftragte (DPO) berät und unterstützt nur bei der Umsetzung.
Mailjet is one of the few GDPR compliant companies which has cracked the complex regulation very well. Last week, I sat down with Mailjet’s Head of Legal and Data Protection Officer (DPO), Darine Fayed to understand their GDPR journey and how SaaS companies are GDPR compliant. Darine shared some of Mailjet’s best practices to be GDPR compliant.
In this interview, Darine explained to us how being compliant is not just about laws and regulations but also creating an improved customer experience. Darine talks in depth about the Record of Processing Activities, its benefits to the rest of the organization and the resources needed to be compliant before the official deadline.
How did you start doing your Records of Process Activities?
We started with a compliance roadmap where we listed every obligation we needed to take care of before the deadline, which in our case was December 2017 because we want to offer GDPR compliance to our customers before the official deadline.
One of the obligations in our list, from Art. 30., is to maintain a Records of Processing Activities aka Data Registry. This article basically entails that we, as an organization, must keep track of all the data that we collect, hold, process and that we identify the responsible party for that data, also to make sure to note the data retention period.
It was an identification process for us – to give us a global view of the data we store and to properly manage the flow. The whole data registry for us was one of our GDPR compliance roadmap steps.
Some companies think they don’t have to do the Record of Processing Activities (RPA). How did you identify that as an obligation?
In our case, we serve more than 100.000 customers in Mailjet, and we process a large volume of personal data from our customers, containing anything that they enter into our platform, such as the contact list which includes their email address and also other specific information like gender or any other personal identifier of that specific person. From this, we realized we are dealing on a large scale basis with this kind of data.
And I know there is an exception under the GDPR for micro and middle size companies – that any company that has under 250 employees and a turnover of less than a certain amount of Euros can be exempt. But for us, it is not just about being GDPR compliant but there are also other benefits behind having the Records of Processing Activities [done]. It’s for the entire global view of our company and for just basic good business practices and organization.
It’s also really important for companies to have a complete understanding of what data they collect because it also helps identify and comply to the other obligations you have under the data processing rules.
Find out more about the exemptions for micro and small size companies in these guidelines.
From your perspective, if a small size company, let’s say ten employees, is processing personal data very often, do you think they have to comply with the GDPR?
Yes, if it’s on a large scale basis. The working party guidelines have given us some guidance on what large scale processing means, and it’s not really large in terms of quantity but it’s based on your activity and the proportion on processing that data.
The example given by the working party describes this situation very well. Consider a hospital, where they take in patients and treat them. This, has nothing to do with data processing per se, a hospital is not a technology company. In a hospital, everyday patients arrive to be treated by doctors and when they arrive, leave or during any other process, the hospital records the patient’s information such as name and health information. The hospital collects data from the patients, sensitive data, and they hold and process this data. Their main business activity is treating patients, but because they process a large scale of data (sensitive data), they must keep a record of processing activity.
It’s not just based on the activity but it’s whether you have to analyse your data processing activities.
For us at Mailjet, processing data is the heart or the core of our activities. We turn around personal data, we turn out statistics. Based on our software as a service technology, we consider that a big aspect for us and we must maintain this at a high level of security for our customers.
How many processing activities are there roughly for Mailjet as a software provider?
There is not an exact number, but we estimate it’s under one hundred activities around three different roles.
First, we process the data of our customers. This data is given to us by our customers when they type in about themselves, their company and credit card details to process their accounts. This data is collected based on the contract between Mailjet and our customers.
The second role is data processing of end recipients, i.e. the data subjects. In Mailjet, we send a large volume of emails on a daily basis on behalf of our customers. Those emails will be received by the data subjects because our customers have plugged in email addresses. There isn’t a contract between us and the end user, but we process their data on behalf of our own customers. In this case, we still have to respect the rights of the data subjects or end users.
And lastly, our third role is data processing for own employees and contractors. As a company, we treat and process HR related data about our internal processes and employees. This refers to the payrolls and other activities regarding our staff, and to do so our HR team processes personal data in that regard.
How long did the whole process of Record of Processing Activities take?
For us, this was a very long process, taking several months and a lot of effort to complete it. We assigned a manager, who interviewed various people in different departments to have a better understanding of the data that we collect at Mailjet. Basically, he looked at the databases to find out the different sorts of data present. He identified the sub-segregated databases and what is stocked in each of them, all of this taking time and effort to complete.
Did the RPA actually help you somehow? In terms of benefits, you already spoke about good business practices. But in general, did it actually help you in some way?
It helped us with our other obligations, to have a better understanding of the data that we hold. Furthermore, it also helped us identify and come up with better business decisions in terms of data retention and deciding which data is really necessary for providing our service.
What is critical to have this RPA process, before starting out this whole process?
The critical resources are time, human resources and authority to access to the data. Companies starting this process closer to the main deadline may not have enough time to do that because it usually takes plenty of resources and time.
For us at Mailjet, we can’t just ask anyone on the IT team. You need the right person, the one who has access and authority to see what is in the database. There are only specific people with access to the data in Mailjet.
Here is how Mailjet suggests you to get ready to start!
And how many departments and people were involved in this whole process?
GDPR compliance involves the entire organisation.It is not just a question of the legal department or the IT department. It is a collaborative process that involves various roles. You do need one or two people to spearhead the project. For us that was myself in the legal department, who took care of the organisation of the roadmap, then the data registry and to identify what information needed to be included.
Also very involved was the IT department, which in Mailjet, is divided into a development team and an operational team and headed by the CTO, Pierre Puchois. The operational team was in charge of implementation and modification of various IT processes.
Did you have the chance to talk to the marketing and sales departments because there are practices which involve them.
Yes, everyone has to be involved in taking Mailjet to GDPR compliance. Our compliance manager sat down with all the other managers, including sales and HR, and to get all the information you need them involved too and to rework the communication and processes internally.
People usually question whether or not to regularly update the Records of Processing Activities. How often is Mailjet’s Record of Processing Activities registry updated?
We have milestones rather than fixed dates to modify it. At the beginning, when we started the document, we updated periodically every two weeks, during the creation of the file.
Now, that the file is complete, we update at least every six to eight months, and before that if there’s a new product or feature designed with new specs, once the team gets the approval by the data protection side, an update to the RPA might be needed too.
Did you use any software to manage this RPA?
Zero. No external tools were used.
The IT department had their own kind of IT tools – internally developed and maintained. They ran a search of the databases to discover all types of data stored (personal or non-personal data).
If you had the chance to do this via software, you would have chosen because it could have benefitted you in some way?
Yes, ideally, the more resources the better, especially when time is limited. And I think if we had less time at Mailjet, maybe we could have used a software.
If you had a software, what would have been the first software that you would have used for different aspects in the obligations? Did you have any specific thing if there was a let’s say, a consent software, RPA, audit tool that would have got you started. Which software would that been in which direction of the GDPR?
I’ve attended several conferences on the subject and I’ve seen different software out there. I think for some people who don’t know where to start, a management software could be the way to go. Also from the auditing aspect, it could be an interesting software because sometimes you need an external person or entity to provide analytical help as well.
One advice for companies that are starting their GDPR process now?
One advice will be to choose the right third-party providers. Because it’s also your responsibility to have compliant third party providers. You could be in trouble if you don’t check or verify the other services you’re using. And you still have the time before May to make the switch to compliant providers.
Learn more on how Mailjet deals with third-party providers: here
About Mailjet: Mailjet is an all-in-one solution to send, track and deliver both marketing and transactional emails. Its cloud-based infrastructure is unique and highly scalable with a proprietary technology that optimizes email deliverability. Mailjet can be accessed either via an easy-to-use online drag-and-drop interface or via APIs that allow developers to integrate its features within their online app or service, or its sophisticated SMTP relay. Mailjet has offices worldwide (including Paris, London, Berlin, Toronto and New York) and 100k clients and partners across 150 countries.
If you have more questions about the RPA, book a demo with us.
Scared about a €20 Million fine for your company? There is a solution for this.
Are you ready for GDPR ? If yes, read more to see if you have everything in place.
Step 1: Be aware of what GDPR is and what it means for your company
GDPR is a regulation of the Parliament and of the Council which comes into force on May 25th. As a regulation it affects companies and their customers as much as a national law. Decision makers and key people in the organization must now identify what processes of the company are not GDPR compliant and should analyze the kind of resources that will be required to tackle this in time for the GDPR implementation. UK’s ICO provides in-depth information of what the GDPR is and all that you must know regarding it.
GDPR requires you to maintain records of processing activities.
Need help with organizing your data for GDPR compliance?) Get professional guidance now.
Step 5: Consent
The normal way to justify proceedings is also the most important pillar of data protection: consent! Your company should review how you seek, record, and manage consent.It is important that the consents meet the new GDPR standard, so your company must perhaps review and refresh all consents.
Step 6: Requests for subject access
Get your Virtual DPO now.
We are running our first steps to GDPR compliance webinar a number of times over the next few months. The presentation explains the basics of the Regulation and what you need to do before the compliance deadline.
Find out more about out GDPR webinar series here.
Step-by-step guide: how to create Records of Processing Activities!