Source: https://www.dashoefer.de/dasfibuwissen/datenschutzgrundverordnung-teil-2.html
Timestamp: 2018-12-10 14:05:43
Document Index: 324667360

Matched Legal Cases: ['Art. 28', 'Art. 82', 'Art. 4', 'Art. 2', 'Art. 28', 'Art. 28', 'Art. 5', 'Art. 24', 'Art. 32', 'Art. 30', 'Art. 35', 'Art. 31', 'Art. 83']

Datenschutzgrundverordnung – Teil 2 | dasFiBuWissen - Fachwissen von Experten für Ihren Erfolg.
Datenschutzgrundverordnung - Teil 2
Bilanzierung [ Stand: 04.04.2018 ]
Ab dem 25. Mai 2018 gilt die DSGVO in Deutschland und auch nahezu allen anderen EU-Mitgliedsstaaten. Dirk J. Lamprecht informiert Sie umfassend über die Regelung.
Auftragsdatenverarbeitung – Outsourcing
Die DSGVO ist auf alle Verarbeitungen anzuwenden, an denen ein/e für die Verarbeitung Verantwortliche/r oder Auftragsverarbeiter mit Sitz in der EU beteiligt ist, und zwar unabhängig davon, ob die Verarbeitung in der EU stattfindet. Für die Begründung eines Auftragsdatenverarbeitungsverhältnisses ist auch künftig ein Vertrag zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter erforderlich. Art. 28 Abs. 9 DSGVO lässt neben der Schriftform auch die Vereinbarung in einem elektronischen Format zu.
Nach Art. 82 Abs. 1 DSGVO haften der für die Verarbeitung Verantwortliche und der Auftragsverarbeiter gemeinsam für Datenschutzverstöße gegenüber den betroffenen Personen, wenn diese durch den Datenschutzverstoß einen Schaden erlitten haben.
Aufträge über Datenverarbeitung können einem sog. „Auftragsverarbeiter“ zugeteilt werden, vgl. Art. 4, Art. 2 Art. 28 DSGVO. Dieser muss garantieren, dass er über die geeigneten technischen und organisatorischen Möglichkeiten verfügt, um die Verarbeitung im Einklang mit den Anforderungen der Verordnung vorzunehmen und den Schutz der Rechte der betroffenen Personen zu gewährleisten.
Der Auftragsverarbeiter darf seinerseits die Aufträge zur Datenverarbeitung nicht an Dritte weitergeben, ohne dass es eine schriftliche Genehmigung des Verantwortlichen gibt. Der Verantwortliche muss über solche Aktionen informiert werden, so dass dieser dagegen Einspruch erheben kann.
In Art. 28 der Verordnung ist ein Vertrag mit dem Auftragsverarbeiter vorgeschrieben, in dem mindestens folgendes festlegt sein muss:
Gegenstand und Dauer, Art und Zweck der Verarbeitung
Art der personenbezogenen Daten sowie die Kategorien betroffener Personen
Pflichten und Rechte der Verantwortlichen
Verarbeitung der personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen
Informationspflicht gegenüber dem Verantwortlichen betreffend Weitergabe des Auftrags an weitere Auftragsverarbeiter bzw. die betreffenden Aktionen
Geheimhaltungspflicht für den Auftragsverarbeiter und seine Mitarbeitenden und allenfalls weitere Auftragsverarbeiter
Verpflichtung, die Rechte der betroffenen Personen zu erfüllen und über die Möglichkeiten nach dem Stand der Technik zu verfügen
Gegenseitige Unterstützung bei der Erfüllung der Pflichten
Löschung oder Rückgabe aller personenbezogenen Daten nach Wahl des Verantwortlichen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht
Informationen, um die Einhaltung der Pflichten nachzuweisen
Überprüfung durch den Verantwortlichen ermöglichen
Verpflichtung des Beauftragten, mit weiteren Auftragsdatenverarbeitern einen Vertrag mit denselben Kriterien abzuschließen.
Die Europäische Kommission kann Standardvertragsklauseln festlegen.
Muss der/die Beauftragte die Daten nach Recht der Union oder der Mitgliedstaaten anders als vorgesehen verwenden, muss er/sie den Auftraggeber informieren, sofern der Informationspflicht nicht ein wichtiges öffentliches Interesse entgegensteht.
Datensparsamkeit und Technik
Schon im Bundesdatenschutzgesetz (BDSG) war das Prinzip der Datensparsamkeit verankert, so auch im Art. 5 DSGVO. Die Daten müssen auf gesetzeskonforme Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden.
Die Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Dabei müssen die Daten
dem Zweck nach angemessen und erheblich sein, sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden,
sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein und wenn nötig korrigiert werden,
in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für den vorgesehenen Zweck nötig ist.*
Der/die Verantwortliche muss daher geeignete technische und organisatorische Maßnahmen treffen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der Verordnung erfolgt. Daher ist eine regelmäßige Aktualisierung und Überprüfung erforderlich, vgl. Art. 24 und Art. 32 EU-DSGVO.
Pseudonymisierung und Verschlüsselung personenbezogener Daten,
Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste,
Möglichkeit, den Zugang zu den Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen,
Ob eine Verschlüsselung von E-Mails zum Einsatz kommen soll oder nicht, hängt von dem zu ermittelnden Schutzbedarf der Daten, dem Risiko für die Betroffenen sowie weiteren Faktoren ab wie Stand der Technik, Implementierungskosten und Art, Umfang, Umstände und Zwecke der Verarbeitung. Eine Verschlüsselung ist nicht zwingend erforderlich!
Das Schutzniveau bedarf daher einer ständigen Anpassung an die Umstände und die Risiken, wie Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung. Das in der Zuständigkeit des Verantwortlichen oder seines Vertreters liegende Verzeichnis aller Verarbeitungstätigkeiten unterliegt der Regelung des Art. 30.
Personenbezogene Daten dürfen nur auf Anweisung des/der Verantwortlichen verarbeitet werden. Diese Daten dürfen nicht einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden und sind für alle unbefugten Personen zu verschlüsseln.
Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO bei der Verwendung neuer Technologien erforderlich, wenn diese voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben können. Bei mehreren ähnlichen Verarbeitungsvorgängen mit gleichen Risiken kann eine einzige Abschätzung vorgenommen werden.
Bei diesen Maßnahmen haben der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammenzuarbeiten, vgl. Art. 31 DSGVO.
Bei Verstößen gegen die DSGVO sind grundsätzlich Geldbußen vorgesehen. Diese müssen in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Nach Art. 83 und 84 DSGVO können die Mitgliedstaaten auch andere Sanktionen festlegen.