EU-Datenschutzgrundverordnung (EU-DSGVO)

Es gibt a priori keine inhaltlichen und zeitlichen Spielräume [obwohl noch vielfach auf Anwendung/Interpretation
und Kommentierung gewartet wird].

• Unternehmen
• Freiberufler
• Institutionen/Verwaltung
• Sonderregelungen für Justiz und Polizei
• Ausnahmen:
  • Websites mit persönlichem/familiären Charakter
  • Ausnahmen nach Art 6 zur Wahrung der ‚berechtigten eigenen Interessen‘, z.B. temporäre Speicherung von IP-Adressen zur Gewährleistung der Sicherheit

• Welche Daten erhebt ein Unternehmen?
• Zu welchem Zweck werden die Daten erhoben/verwendet?
• Wie werden die Daten jeweils weiterverwendet und gespeichert?
• Wann werden die Daten gelöscht?
• Verzeichnis der Datenverarbeitungsverfahren? [idealerweise aus QMS/ISMS]

Wir dürfen anmerken, daß dieser Aspekt den fairen und transparenten Umgang mit Daten von Geschäftspartnern und Kunden widerspiegelt und eigentlich eine Selbstverständlichkeit sein sollte.

• Verarbeitung strikt mit Erlaubnisvorbehalt:
  Jede Verarbeitung personenbezogener Daten ist grundsätzlich verboten, wenn sie nicht ausdrücklich erlaubt ist.
• Zweckbindung der Verarbeitung:
  Die Datenerhebung und deren Verarbeitung muß strikt zweckgebunden erfolgen, d.h. vor/bei der Erhebung muß der Zweck und die weitere Verwendung der Daten festgelegt (und bekannt gegeben) sein.
• Minimalprinzip:
  Es dürfen nur (maximal) die Daten gesammelt werden, die zur Durchführung des Zweckes erforderlich sind.
• Transparenz:
  Der Betroffene muß die Verarbeitung seiner Daten nachvollziehen können, das heißt insbesondere, daß die Datenschutzerklärung (allgemein-)verständlich formuliert sein muß!
• Auskunftsrecht:
  Dem Betroffenen muß auf Anfrage mitgeteilt werden, welche Daten über ihn im Unternehmen gespeichert sind und wie diese verwendet werden (Einzelfallregelungen)!
• Vertraulichkeit:
  Das Unternehmen muß sicherstellen, daß die personenbezogenen Daten/Kundendaten technisch UND organisatorisch geschützt sind!
  [Potentielle Probleme sind Diebstahl/Verlust, (unbefugte) Veränderung von Daten, unbefugte Verarbeitung/Mißachtung der Zweckbindung, Zerstörung (intern/extern), …]
• Ausdrückliche Pflicht zu technischen und organisatorischen Schutzmaßnahmen:
  Da dies in der Verordnung einerseits nicht präzisiert wird, andererseits im Fehlerfall die Angemessenheit der (ergriffenen)  Maßnahmen entlang einer Risikobewertung erfolgt, empfehlen wir die Orientierung an den BSI-Empfehlungen zum Grundschutz.
• Vollständigkeit:
  Es sind sämtliche verschiedene, relevanten Datenarten (extern wie intern) zu berücksichtigen, d.h. typischerweise
  • Schutz/Behandlung der Beschäftigtendaten
  • ~ der Kundendaten
  • ~ der Lieferantendaten
  • Öffentlichkeit (Webbesucher und Social-Media)
• Prinzip ‚privacy by design‘ (Design der Prozesse):
  Prüfen Sie Ihre Arbeitsabläufe, in denen personenbezogene Daten verarbeitet werden, auf die Berücksichtigung grundsätzlicher Vertraulichkeit/Geheimhaltung!
  Dabei gilt das Minimalprinzip, d.h. es dürfen nicht mehr Daten als unbedingt erforderlich erhoben werden.
• Prinzip ‚privacy by default‘ (Voreinstellungen):
  Als grundsätzliche/voreingestellte Erhebungsart ist jeweils diejenige Einstellung zu wählen/zu nutzen, die das höchste Maß  an Vertraulichkeit/Geheimhaltung gewährleistet!
• Erlaubnisgrundlagen (Einwilligung, Betriebsvereinbarung):
  • Die Betroffenen müssen der Nutzung ihrer persönlichen Daten in den meisten Fällen ausdrücklich zustimmen.
  • Zustimmungen (Einwilligung des Arbeitnehmers, Einwilligung der Verbraucher, etc.) sind nur für den anzugebenden  Verwendungszweck gültig.
  • Die Einwilligungserklärung muß verständlich formuliert und grundsätzlich widerrufbar sein.
  • Der Widerruf muss für den Betroffenen ebenso einfach sein wie die Einwilligung.
• Kopplungsverbot (Art 7 Abs 4):
  Die Erbringung von Leistungen/ein Vertragsabschluß darf nicht mit einem Ungleichgewicht bei der Erhebung von Daten bzw. bei der Freiwilligkeit der Einwilligung zur Verarbeitung von Daten gekoppelt sein.
  [Z.B. darf der Betreiber einer Website seine potentiellen Kunden künftig nicht zur Abgabe von Daten verpflichten, die für die eigentliche Leistungserbringung nicht erforderlich sind.]
• Recht auf Datenübertragbarkeit (Art. 20):
  Recht des Betroffenen/Nutzers, seine Daten (z.B. die Profildaten) von einer verarbeitenden Stelle auf eine andere Stelle übertragen zu können.
• Risikomanagement:
  Es werden Folgeabschätzungen bzgl. Datenschutz gefordert, die das Unternehmen durchführen muß. Hier ist insbesondere die Risikominimierung anhand geeigneter Schutzmaßnahmen nachzuweisen. Besonders zu beachten ist der potentielle Einsatz von Cloud-Services sowie ggf. die Verarbeitung gesundheitsbezogener Daten.
  [Wir verweisen ergänzend auf unser Angebot des AK IT/QM!]

• Sicherheitspannen müssen innerhalb 72 Std nach Bekanntwerden gemeldet werden
  • durch Meldung an Behörden
  • durch Meldung an betroffene Personen

• Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck der Datenerhebung/-Verarbeitung notwendig ist.
• Erlischt die Verarbeitungsbefugnis (z.B. weil die Einwilligung widerrufen oder der Vertrag erfüllt wurde), müssen die Daten gelöscht werden.
• Betroffene/Verbraucher können bei Unternehmen einfordern, ihre Daten zu löschen.
• Das ‚Recht auf Löschung/Vergessenwerden‘ ist damit gesetzlich festgelegt.

Beachten Sie bitte auch, daß RKW RLP e.V. ganz allgemein weder rechtliche noch steuerliche Beratungen durchführt! Bei Bedarf können wir gerne auf kooperierende Kammern/Verbände verweisen und Kontakt herstellen.