Source: https://www.projekt29.de/pflichten-von-online-haendlern-als-datenverantwortliche-nach-der-dsgvo-teil-1/
Timestamp: 2017-12-11 16:48:11
Document Index: 195369350

Matched Legal Cases: ['Art 24', '§ 9', '§ 9', 'Art. 32', 'Art 32', '§ 64', '§ 64', 'Art. 24', 'Art. 24', 'Art. 24', '§ 71', 'Art. 25', 'Art 30', '§ 70', 'Art. 30', '§ 70', 'Art. 15', 'Art. 16', 'Art.18', 'Art. 34', '§ 67', 'Art. 36', 'Art. 35', '§ 65']

Pflichten von Online-Händlern als Datenverantwortliche nach der DSGVO – Teil 1 – Projekt 29 GmbH & Co. KG
Den Datenverantwortlichen trifft ab nächstem Jahr nach der künftigen unmittelbar geltenden EU-Datenschutzgrundverordnung die umfassende Verantwortung und Haftung für die Verarbeitung von personenbezogenen Daten. Bei Zuwiderhandeln können ihn drakonisch hohe Bußgelder treffen. Der Online-Händler sieht sich so ab dem 28.5.2018 mit einer Unzahl von schwierigen Fragen konfrontiert. Wer genau ist der Verantwortliche? Welche Pflichten kommen auf ihn zu? Können seine Pflichten an Dritte delegiert werden? Welcher Haftungsmaßstab gilt? Dies versucht der heutige Gastbeitrag der IT Recht Kanzlei München zu klären.
WER IST DER VEARNTWORTLICHE?
PFLICHTEN DES VERANTWORTLICHEN – TOM, PRIVACY BY DESIGN, VVT,…
Art 24 erläutert den Begriff der technischen und organisatorische Maßnahmen nicht. Es ist hilfreich, auf den in § 9 Bundesdatenschutzgesetz (GDSG) benutzten Begriff der technisch-organisatorischen Maßnahmen zur Gewährleistung der notwendigen Sicherheits- und Schutzanforderungen zurückzugreifen. Dieser Begriff wird in der Anlage zu § 9 BDSG näher erläutert.
Art. 32 ist die einschlägige Vorschrift zur Sicherheit der Datenverarbeitung, diese Vorschrift wird durch das deutsche Datenschutz-Anpassungs- und Umsetzungsgesetz EU (Anpassungsgesetz) ergänzt und konkretisiert. Für Online- Händler mit Wohnsitz in Deutschland ist dieses Anpassungsgesetz verbindlich.
Welche Maßnahmen zur Gewährleistung der Datenverarbeitung werden in Art 32 aufgeführt?
Es müssen alle Maßnahmen zum organisatorischen und technischen Schutz der personenbezogenen Daten nach dem jeweiligen Stand der Technik ergriffen werden. Der Verantwortliche hat hierbei die einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik zu berücksichtigen, s. § 64 Abs. 1 Anpassungsgesetz.
Des weiteren listet § 64 Absatz 2 Anpassungsgesetz einen ganzen Katalog von einzuhaltenden Maßnahmen zur Datensicherheit auf:
Trennbarkeit von verschiedenen personenbezogenen Daten
Der Verantwortliche hat die Pflicht, getroffene organisatorisch-technische Maßnahmen zu überprüfen und bei Bedarf zu aktualisieren (Art. 24).
Nach dem Wortlaut des Art. 24 darf die Einhaltung von Verhaltenskodizes und Zertifizierungsverfahren nur ein Indiz sein, dass den Pflichten des Verantwortlichen entsprochen wird (s. dazu auch Kapitel 5). Es obliegt den zuständigen Aufsichtsbehörden den entsprechenden in eigener Verantwortung zu prüfen (s. Kommentar Ehmann/Selmayer, Art. 24 Rdr. 11). In der Praxis werden aber nach Ansicht der IT-Recht Kanzlei gerade bei der Routineüberprüfung von Online-Händlern solche Verhaltenskodizes und Zertifizierungsverfahren eine große Rolle spielen.
Mit der Pflicht zu Privacy by Default und Privacy by Design sind anerkannte Methoden und Modelle für datenschutzfreundliche Voreinstellungen gemeint. Technische Prozesse sollen im Vorhinein mit dem Datenschutz in Einklang gebracht werden. Der Verantwortliche soll bereits bei der Planung eines Datenverarbeitungssystems den Gesichtspunkt des Datenschutzes berücksichtigen. Beispielhaft wären zu nennen Verschlüsselung, Datenschutzhinweise durch entsprechende Banner auf einer Webseite, Schulungsmaßnahmen der Mitarbeiter. Der Verantwortliche sollte ein schlüssiges Datenschutzkonzept vorweisen können.
§ 71 Anpassungsgesetz konkretisiert hier die Pflichten des Verantwortlichen. Er soll der Grundsatz der Datensparsamkeit wirksam umsetzen. Er hat den Stand der Technik zu beachten. Personenbezogene Daten sind zum frühestmöglichen Zeitpunkt zu anonymisieren oder zu pseudonymisieren. Er muss durch Voreinstellungen sicherstellen, dass nur solche personenbezogenen Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist. Daten dürfen nicht automatisiert einer unbestimmten Anzahl von Person zugänglich gemacht werden.
Der Nachweis dieser Gestaltungspflicht kann ebenfalls durch die Einhaltung genehmigter Zertifizierungsverfahren erleichtert werden (Art. 25 Abs. 39.
Dazu kommt die Pflicht zur Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten, Art 30 DSGVO bzw. § 70 Anpassungsgesetz.
In Art. 30 und § 70 Anpassungsgesetz wird ein detaillierter Katalog von Pflichtangaben aufgelistet. Wie bereits oben ausgeführt, gilt diese Verzeichnispflicht auch für Kleinunternehmen:
Angaben über die Rechtsgrundlage der Verarbeitung;
Auch hat der Verantwortliche in automatisierten Verarbeitungssystemen die Pflicht, mindestens die folgenden Verarbeitungsvorgänge zu protokollieren
Offenlegung einschließlich Übermittlung
Die Protokolle müssen es ermöglichen, die Begründung, das Datum und die Uhrzeit dieser Vorgänge, soweit wie die Identität der Person, die personenbezogene Daten abfragt und die Identität des Empfängers der Daten festzustellen. Die Protokolle dürfen ausschließlich für die Rechtmäßigkeit der Datenverarbeitung verwandt werden. Der Verantwortliche hat die Protokolle dem Bundesbeauftragen auf Aufforderung zur Verfügung zu stellen. Die Protokolldaten sind am Ende des auf deren Generierung folgenden Jahres zu löschen.
PFLICHTEN DES VERANTWORTLICHEN – INFORMATION, FOLGENABSCHÄTZUNG…
Über welche Inhalte muss der Verantwortliche den Betroffenen auf Anfrage in Form einer Einzelinformation unterrichten (Art. 15)?
Weitere Informationspflichten die der Verantwortliche gegenüber dem Betroffenen zu erfüllen hat sind:
– Verpflichtung auf Antrag des Betroffen, unvollständige personelle Daten – auch mittels ergänzender Erklärung – zu vervollständigen (Art. 16).
– Verpflichtung, den Betroffen, der eine Einschränkung der Verarbeitung seiner Daten erwirkt hat, von einer Aufhebung der Einschränkung zu unterrichten (Art.18)
– Unterrichtung des Betroffenen über die Verletzung des Schutzes seiner Daten (Art. 34), hierzu im Einzelnen Ausführungen unter Ziffer 9.
a. Er hat den Datenschutzbeauftragten bei der Durchführung der Folgenabschätzung zu beteiligen (§ 67 Anpassungsgesetz) und er hat die Aufsichtsbehörde zu konsultieren (Art. 36)
Die Folgenabschätzung enthält zumindest folgende Angaben, Art. 35
eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird.
Verletzungen des Datenschutzes sind der Bundesbeauftragten unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme (§ 65 Abs. 1 Anpassungsgesetz) zu melden. Diese hat eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen, zu beinhalten.
Lesen Sie morgen weiter in Teil 2 dieses Beitrages…
Büroleiter der Projekt 29 GmbH in Regensburg. Verantwortlich für den reibungslosen Ablauf im Backoffice. Spezialist für Datenschutzerklärungen. Geschulter Informationssicherheitsbeauftragter. Zertifizierter Datenschutzbeauftragter DSB-TÜV.