Verantwortlichkeiten:
Für das Datenschutzmanagement verantwortlich ist die Unternehmensleitung – diese muss sich um die Anforderungen der Datenschutz-Grundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes kümmern
| Bestandsaufnahme + Verfahrensverzeichnis: |
überhaupt bestimmen zu können, wo es Änderungsbedarf gibt, muss eine Bestandsauf-nahme durchgeführt werden, wo und wie mit persönlichen Daten gearbeitet wird. Danach ist ein rudimentäres Verfahrensverzeichnis aufzubauen, in diesem sind alle Verarbeitungstätig-keiten katalogartig zu dokumentieren. Dies passiert idealerweise parallel zur Bestandsauf-nahme. Die Verpflichtung zur Führung und der Inhalt eines solchen Verzeichnisses ergeben sich aus Art. 30 DS-GVO. Das Verzeichnis muss stets aktuell sein, es ist auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen. Eine Excel-Vorlage dazu finden Sie auf der Homepage des Vereins, siehe – Infothek – Datenschutz – Bestandsaufnahme
Rechtmäßigkeit prüfen:
Im Datenschutzrecht gilt der Grundsatz, dass alle Verarbeitungen von personenbezogenen Daten verboten sind, solange sie nicht ausdrücklich erlaubt sind (Verbot mit Erlaubnisvorbe-halt). Art. 6 DS-GVO legt fest, unter welchen Voraussetzungen eine Verarbeitung erlaubt ist:
Art. 6 Abs. 1b – Vertragsanbahnung bzw. -abwicklung. Art. 6 Abs. 1c – rechtliche Pflicht.
Art. 6 Abs. 1d – lebenswichtiges Interesse. Art. 6 Abs. 1e – öffentliches Interesse. Art. 6 Abs. 1f – berechtigtes Interesse. Art. 7 Abs. 1 – Einwilligung, nachweisbar für einen oder mehrere Zwecke. Zu beachten ist, dass die Verarbeitung von „besonderen Kategorien personen- bezogener Daten“ (zum Beispiel Gesundheitsdaten, Religionszugehörigkeit oder sexuelle Orientierung) noch strengeren Voraussetzungen und Sicherheitsrichtlinien unterliegen.
Achtung: Unternehmen müssen jederzeit nachweisen können, dass sie personenbezogene Daten verarbeiten dürfen. Die Einwilligung eines Kunden muss daher dokumentiert werden, um diese im Zweifelsfall auch anführen zu können. Die bloße Behauptung, der Betroffene habe wirksam eingewilligt, ist nicht ausreichend. Der Nachweis ist insbesondere auch für Werbeeinwilligungen wie für den Versand von Newslettern wichtig. Denn in diesen Fällen kommt neben dem Datenschutzrecht auch das Wettbewerbsrecht zur Anwendung.
Datenschutzfolgeabschätzung:
Für besonders risikobehaftete Daten muss mittels einer Risikoanalyse festgestellt werden, ob eine sogenannte Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) durchzuführen ist. Eine besonders risikobehaftete Datenverarbeitung liegt in der Regel dann vor, wenn eine systema-tische und umfassende Bewertung persönlicher Aspekte von Personen (z.B. Profiling) durchgeführt wird, die als Grundlage für weitere Entscheidungen herangezogen werden soll (beispielsweise zur Frage der Kreditvergabe). Der Mindestinhalt einer solchen Datenschutz-Folgeabschätzung ist vorgegeben (Art. 35 Abs. 7 DS-GVO).
Betroffenenrechte und Verstöße:
Die Betroffenenrechte (Art. 12-23 DS-GVO) wurden deutlich gestärkt. Die Geltendmachung von Ansprüchen auf Auskunft, Berichtigung, Löschung und „Vergessenwerden“, Einschrän-kungen bei der Verarbeitung, Widerspruch und Beschwerden müssen beachtet werden. Bei Datenschutzpannen kann eine Meldung an die zuständige Aufsichtsbehörde innerhalb einer 72-Stunden-Frist nach Bekanntwerden der Datenschutzverletzung notwendig werden.
Verträge, Texte und Erklärungen:
Einwilligungen müssen für den konkreten Fall, in informierter Weise und unmissverständlich eingeholt werden (Art. 7 DS-GVO). Für Verträge mit externen Dienstleistern zur Auftrags-verarbeitung ist in den Artikeln 28 und 29 DS-GVO die Vorgabe für Vereinbarungen geregelt.
Datenschutzbeauftragter:
Gemäß § 38 BDSG des neuen Bundesdatenschutzgesetzes (BDSG-neu) besteht für deutsche Unternehmen die Pflicht, einen Datenschutzbeauftragten zu bestellen – sofern mindestens zehn Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind.
Technische und organisatorische Maßnahmen:
Zu den technischen Maßnahmen gehört insbesondere die Gewährleistung einer ausreichenden Daten- bzw. IT-Sicherheit. Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der datenverarbeitenden Systeme sichergestellt werden.
Organisatorische Maßnahmen bestehen unter anderem darin, die Verarbeitung personenbezo-gener Daten von Anfang an auf ein Minimum zu reduzieren und die Daten so schnell wie möglich zu pseudonymisieren, sofern dies möglich ist. Dies entspricht dem neuen Grundsatz des Datenschutzes durch Technikgestaltung („privacy by design“), Art. 25 DS-GVO.
