Source: https://www.sasse-heilpraktikerrecht.de/unternehmerrecht/datenschutzrecht/
Timestamp: 2018-09-23 01:22:21
Document Index: 330534587

Matched Legal Cases: ['Art. 30', 'Art. 30', 'Art 9', 'Art. 32', '§ 38', 'Art 13', 'Art. 15', 'Art. 82']

Datenschutzrecht - Rechtsanwalt Dr. René Sasse, Dortmund
Warum ist die Datenschutz Grundverordnung (DS-GVO) wichtig?
Die DS-GVO reglementiert die Verarbeitung von personenbezogenen Daten. Dies gilt insbesondere für elektronische Daten (automatisierte Datenerfassung). Analoge bzw. manuelle Datenerfassungen, z.B. auf Papier (Nicht-automatisierte Datenerfassungen) können auch in den Anwendungsbereich fallen, sofern diese in ein Dateisystem gespeichert werden. Dies ist der Fall, wenn diese Daten strukturiert gesammelt werden, d.h. nach bestimmten Kriterien geordnet sind. Die Sortierung nach Personen reicht hierfür aus. Deshalb fallen auch schriftliche Patientendokumentationen in den Anwendungsbereich der DS-GVO.
Da in jedem Unternehmen Daten in Sinne der DS-GVO erhoben, verarbeitet und ggfs. weitergeleitet werden dürften, sind diese Vorgaben wichtig. Beispiele für eine automatisierte Datenverarbeitung sind z.B.
→ eine elektronische Kundenkartei,
→ die geschäftliche Internetpräsenz,
Beispiele für eine nicht-automatisierte Datenverarbeitung sind z.B.
→ Patientenakten auf Papier
→ Personalakten auf Papier
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, beispielsweise Name, Anschrift, E-Mail-Adresse. Wichtig: Die DS-GVO betrachtet z.B. gesundheitsbezogene Daten als besonders schutzwürdig. Sofern Sie diese Daten verarbeiten, ist nochmals größere Sorgfalt geboten. Bei Verstößen drohen empfindliche Bußgelder, Schadensersatzansprüche oder Abmahnungen durch Mitbewerber oder Wettbewerbsverbände.
Die DS GVO gilt seit dem 25. Mai 2018.
Erstellen Sie ein Verarbeitungsverzeichnis. Nach Art. 30 DS-GVO müssen alle Verantwortlichen ein Verzeichnis über sämtliche Verarbeitungstätigkeiten führen, die in ihrem Unternehmen durchgeführt werden. Es muss dort dokumentiert werden, in welchem Zusammenhang mit personenbezogenen Daten gearbeitet wird. Verantwortlich hierfür ist der Inhaber des Unternehmens; dieser haftet bei Verstößen gegen diese Vorgabe.
Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, müssen eigentlich kein Verarbeitungsverzeichnis führen. Wichtig: Diese Ausnahme gilt insbesondere nicht für Unternehmen, die gesundheitsbezogene Daten verarbeiten. Diese müssen stets ein Verarbeitungsverzeichnis führen. Weiterhin sind auch Unternehmen mit weniger als 250 Mitarbeitern oftmals dazu verpflichtet, ein Verarbeitungsverzeichnis zu führen. Die genannte Ausnahmeregelung ist nämlich noch an weitere Bedingungen geknüpft, welche in der Praxis nur äußerst selten erfüllt werden dürften. So setzt die Ausnahmeregelung insbesondere voraus, dass die Daten nur gelegentlich verarbeitet werden. Ein Unternehmen, das seine Kundendaten stetig elektronisch aktualisiert, ist deshalb von der Freistellung bereits nicht mehr umfasst und benötigt ein Verarbeitungsverzeichnis. Ausnahmen sind deshalb sorgfältig zu prüfen und kommen nur selten in Betracht.
Das Verarbeitungsverzeichnis ist in deutscher Sprache zu führen. Die Dokumentation kann schriftlich oder elektronisch erfolgen. Da das Verzeichnis stets aktuell sein muss, ist es regelmäßig zu aktualisieren und bei Veränderungen anzupassen. Eine Versionierung ist ratsam.
Nach Art. 30 Abs. 1 DS-GVO muss das Verzeichnis folgende Punkte umfassen:
→ den Namen und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten;
→ die Zwecke der Verarbeitung;
→ eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;
→ die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen;
→ gegebenenfalls Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands oder der betreffenden internationalen Organisation, sowie bei den in Artikel 49 Absatz 1 Unterabsatz 2 genannten Datenübermittlungen die Dokumentierung geeigneter Garantien;
→ wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien;
→ wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1.
Zu empfehlen ist, dass ferner die jeweiligen Verarbeitungstätigkeiten konkret beschrieben und die einschlägigen Rechtsgrundlagen festgehalten werden. Auf diese Weise schafft das Verzeichnis Klarheit, welche Datenverarbeitungsprozess in der Praxis ablaufen und ob diese rechtmäßig sind. Sofern Sie einmal eine gute Vorgehensweise erarbeitet haben, können Sie diese grundsätzlich unbefristet fortsetzen. Beachten Sie: Eine Datenübertragung ins Ausland erscheint auf den ersten Blick abwegig, aber was gilt bei Nutzung von Facebook, WhatsApp oder Cloud-Diensten?
Freiberufler oder Kleinstunternehmen können sich grundsätzlich an Mustern orientieren, die von den Aufsichtsbehörden im Internet kostenlos angeboten werden. Ratsam ist auch der Besuch von günstigen Webinaren und die Lektüre von Informations-Broschüren.
Sofern jedoch komplexere Datenverarbeitungen erfolgen, sollte ein externer Rat bei einem Anwalt oder Datenschutzberater eingeholt werden. Das Verarbeitungsverzeichnis ist zentraler Bestandteil des Datenschutzkonzepts jedes Unternehmens. Die Aufsichtsbehörden können jederzeit die Vorlage des Verarbeitungsverzeichnisses verlangen. Kann dieses nicht unverzüglich vorgelegt werden, droht ein Bußgeld in empfindlicher Höhe.
Was ist bei der Datenschutzerklärung für die Internetpräsenz zu beachten?
Bereits bislang haben Sie für Ihre Website eine Datenschutzerklärung benötigt. In dieser Erklärung ist über die Erhebung personenbezogener Daten bei Nutzung der Internetpräsenz zu informieren. Die DS-GVO stellt hier nochmals konkretere Anforderungen als die bisherige Rechtslage. Insbesondere ist zukünftig eine konkrete Rechtsgrundlage für die jeweilige Datenverarbeitung anzugeben, zudem ist die verantwortliche Stelle konkret zu bezeichnen. Insgesamt ist die Datenschutzerklärung zukünftig konkreter und somit auch ausführlicher zu halten. Sofern statistische Analysetools oder Plugins sozialer Onlineplattformen genutzt werden, ist eine umfassende Information erforderlich. Letztlich bedarf die überwiegende Vielzahl der aktuellen Datenschutzerklärungen einer Anpassung.
Aufgrund dieser Änderungen sollte jeder Unternehmer seine Datenschutzerklärung auf einen etwaigen Anpassungsbedarf überprüfen. Da die Datenschutzerklärung im Internet frei zugänglich sein muss, droht diesbezüglich eine erhebliche Abmahngefahr durch Wettbewerbsverbände oder Mitbewerber, sofern diese Erklärung nicht rechtskonform gestaltet ist. Zudem drohen Sanktionen durch die Aufsichtsbehörden, weil entsprechende Verstöße sehr leicht aufzudecken sind.
Prüfen Sie, ob Daten rechtmäßig erhoben und verarbeitet werden!
Personenbezogene Daten dürfen vom Unternehmen ausschließlich dann erhoben, gespeichert oder weitergegeben werden, wenn hierfür eine Einwilligung des Kunden oder ein gesetzlicher Rechtfertigungsgrund vorliegt. (Prinzip des Verbots mit Erlaubnisvorbehalt).
Die Verarbeitung personenbezogener Daten ist nur dann rechtlich zulässig, sofern
→ die hiervon betroffene Person (insbesondere der Kunde) eine Einwilligung hierzu erteilt hat,
→ die Verarbeitung für die Erfüllung eines Vertrages oder einer rechtlichen Verpflichtung erforderlich ist
→ oder die Verarbeitung zur Wahrung der berechtigten Interessen des Unternehmers oder eines Dritten erforderlich ist und nicht die Interessen der betroffenen Person überwiegen.
Bei der Verarbeitung von besonders sensiblen Daten, wie z.B. Gesundheitsdaten gilt ein nochmals strengerer Maßstab: Die Verarbeitung dieser sensiblen Daten ist grundsätzlich untersagt. Nach Art 9 Abs. 2 lit. h DSGVO gilt jedoch folgende Ausnahme.
So ist die Verarbeitung aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs grundsätzlich zulässig. Allerdings müssen die in Absatz 3 genannten Voraussetzungen erfüllt sein. Die Daten dürfen demnach nur dann verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.
Prüfen Sie vor jeder Datenerhebung, Datenverarbeitung oder Datenweitergabe, ob hierfür eine Rechtsgrundlage besteht. Ist dies nicht der Fall, ist der Vorgang rechtswidrig und kann empfindliche Bußgelder zur Folge haben.
Bitte beachten Sie, dass das Gesetz hohe Anforderungen an die Einwilligung des Betroffenen stellt. Diese sind bei der Einholung der Einwilligung einzuhalten. Der Passus „Wahrung berechtigter Interessen des Verantwortlichen“ ist vage gehalten und kann in der Praxis zu schwierigen Abgrenzungsfragen führen. Problematisch ist z.B. die Nutzung eines Kontaktformulars auf der Internetpräsenz.
Erfüllt die Datenverarbeitung diese Kriterien, sind weitere Grundsätze zu beachten. Hierbei handelt es sich insbesondere um die „Zweckbindung der Verarbeitung“, d.h. die Verarbeitung darf ausschließlich für die konkret festgelegten Zwecke erfolgen. Weitere Grundsätze sind z.B. die „Richtigkeit der Daten“, die „Erforderlichkeit der Speicherung“ und die „Rechenschaftspflicht“.
Wichtig: Zukünftig müssen Sie die Datenschutzvorgaben nicht nur einhalten; sie müssen deren Beachtung darüber hinaus auch gegenüber den Aufsichtsbehörden nachweisen können. Hierzu ist eine Dokumentation in schriftlicher oder elektronischer Form erforderlich. Hier bietet sich eine Ergänzung des Verarbeitungsverzeichnisses an.
Sofern Sie eine andere Stelle (Unternehmen) heranziehen, um personenbezogene Daten in Ihrem Auftrag verarbeiten zu lassen, spricht man von einer Auftragsverarbeitung. In diesem Fall übermitteln Sie personenbezogene Daten an einen Außenstehenden – also an eine Person, die nicht Ihrem Unternehmen angehört. Eine Auftragsverarbeitung findet zum Beispiel in folgenden Fällen statt:
→ Wartung Ihrer EDV durch externe IT-Dienstleister
→ Nutzung einer Online-Software
→ Cloud-Computing
→ Adressweitergabe an einen Lettershop, z.B. für Weihnachtsgrußkarten
In diesen Fällen ist ein so genannter Auftragsverarbeitungsvertrag mit dem jeweiligen Anbieter zu schließen. Ohne einen solchen Vertrag ist die Datenweitergabe rechtswidrig oder bedarf der konkreten Einwilligung der betroffenen Personen. Abzugrenzen ist die Auftragsverarbeitung von der Inanspruchnahme externer Fachleistungen (z.B. Rechtsanwalt, Steuerberater).
IT-Sicherheit & Datenverfügbarkeit
Die IT-Sicherheit ist ein Punkt, mit dem sich jeder Heilpraktiker befassen muss. Bislang wurde die IT-Sicherheit leider oftmals nur stiefmütterlich behandelt. Sie sind jedoch nunmehr gesetzlich verpflichtet, sich gegen mögliche Risiken und Gefahren in der IT-Welt zu wappnen. Dies betrifft sowohl Gefahren von Hacking-Attacken, als auch Risiken eines ungewollten Datenverlusts. Die Vertraulichkeit der Daten ist zu wahren.
Die DSGVO nennt in Art. 32 folgende Schutzziele:
→ die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
→ die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
→ die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
→ ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
Sie müssen Sorge tragen, dass die bei Ihnen gespeicherten Daten bei Bedarf genutzt werden können, also verfügbar sind. Das Erstellen regelmäßiger Datensicherungen (Backups) ist rechtlich geboten. Ein Konzept zur IT-Sicherheit ist eine rechtliche Pflicht, für deren Einhaltung der Inhaber verantwortlich ist. Hierbei sind auch diese Punkte zu berücksichtigen: Nutzung von E-Mails, WLAN-Netzen, mobilen Endgeräten.
Benötigt Ihr Unternehmen einen Datenschutzbeauftragten? Diese Frage erzeugt momentan erhebliche Rechtsunsicherheit. Ein Datenschutzbeauftragter unterstützt den eigentlich Verantwortlichen in Fragen des Datenschutzes.
Der Verantwortliche muss einen Datenschutzbeauftragten immer benennen, wenn
→ die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
→ die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
→ die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
Sofern in Ihrem Unternehmen mindestens zehn Personen vorhanden sind, die personenbezogene Daten verarbeiten, benötigen Sie einen Datenschutzbeauftragten (§ 38 Abs 1 BDSG neu). Allerdings kann ein Datenschutzbeauftragter auch dann erforderlich sein, wenn zwar weniger als zehn Personen mit der Datenverarbeitung betraut sind, jedoch besonders schutzwürdige (z.B. Gesundheits-) Daten verarbeitet werden. Weitere Voraussetzung ist in diesen Fällen jedoch, dass die Verarbeitung von diesen Daten umfangreich ist und eine Kerntätigkeit des Unternehmens darstellt. Die Verarbeitung personenbezogener Daten gilt in der Regel dann nicht als umfangreich, wenn die Verarbeitung personenbezogene Daten von Patienten oder von Mandanten betrifft und durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufes oder Rechtsanwalt erfolgt. Die Auslegung dieses Passus ist noch nicht abschließend geklärt, sodass Unsicherheiten verbleiben. Im Zweifelsfalle sollte die Datenschutzbehörde angefragt werden.
Was sind Betroffenenrechte? Welche sind wichtig?
Personen, deren Daten verarbeitet werden, haben konkrete Rechte. Beispielsweise das Recht auf transparente Information. Sofern Sie personenbezogene Daten von Patienten verarbeiten, müssen Sie diese in präziser transparenter und verständlicher sowie leicht zugänglicher Form in einer klaren und einfachen Sprache darüber informieren, was zu welchem Zweck mit den Daten gemacht werden soll. Um diese Pflicht zu erfüllen sollte ein Merkblatt verwendet werden.
Nach Art 13 DS-GVO gilt im Einzelnen:
→ den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
→ gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
→ die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
→ wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
→ gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
→ gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
Zusätzlich zu diesen Informationen stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
→ die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
→ das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
→ wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
→ das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
→ ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte;
→ das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Nehmen Sie diese Vorgabe ernst! Verwenden Sie ein Merkblatt, um diese Pflicht zu erfüllen.
Sofern Sie von Kunden personenbezogene Daten gespeichert haben, müssen Sie diesen die Daten ggfs. zukommen lassen: Nach Art. 15 DS-GVO gilt:
→ die Verarbeitungszwecke;
→ die Kategorien personenbezogener Daten, die verarbeitet werden;
→ die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
→ falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
→ das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
→ wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
→ Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.
Bereiten Sie sich auf entsprechende Auskunftsersuchen von Kunden vor! Wenn Sie diese Auskunftspflichten nicht rechtszeitig erfüllen können, kann sich der Betroffene bei der Aufsichtsbehörde beschweren. In diesem Fall droht eine Sanktion.
Wichtig: Datenschutz ist Kundenschutz und sollte deshalb „freiwillig“ erfolgen. Zu einem professionellen Arbeiten zählt ein guter Schutz der Kundendaten. Ein Datenschutz rein aus Furcht vor Bußgeldern ist meist nicht hilfreich und führt oft zu Fehlern in der Handhabung. Es ist aber wichtig, die möglichen Sanktionen zu kennen.
Die DS-GVO ermächtigt die Datenschutzaufsichtsbehörden bei Verstößen gegen diese Verordnung Geldbußen in einer Höhe von bis zu 20 Millionen € festzusetzen, bei Unternehmen alternativ Geldbußen von bis zu 4 % des Weltjahresumsatzes. Zudem drohen Abmahnungen durch Wettbewerbsverbände oder Mitbewerber. Insgesamt ist ein schärferes Einschreiten der Aufsichtsbehörden zu erwarten. Die Geldbußen sollen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Auch kleine Unternehmen oder kleine Vereine müssen deshalb mit empfindlichen Bußgeldern rechnen. Bei gravierenden Verstößen sind Bußgelder in vier- oder fünfstelliger Höhe möglich.
Jede Person, der wegen eines Verstoßes gegen die DS-GVO ein materieller oder immaterieller Schaden entstanden ist, hat zudem Anspruch auf Schadensersatz (Art. 82 Abs. 1 DS-GVO). Wird beispielsweise versehentlich der Befund eines Patienten per Fax oder Email an Außenstehende übermittelt, droht ein hohes Schmerzensgeld.
Hinweis: Dieses Merkblatt vermittelt einen kompakten Überblick über wichtige Regelungen der DS-GVO; es erhebt jedoch keinen Anspruch auf Vollständigkeit oder umfassende bzw. vertiefte Information. Je nach Art des Unternehmens können weitere Punkte wichtig sein, z.B. eine sogenannte Datenschutz-Folgenabschätzung. Für weitere Informationen empfehle ich folgende Broschüre: Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine; herausgegeben vom Bayerischen Landesamt für Datenschutzaufsicht; erschienen im C.H.BECK-Verlag.