Datenschutz-Grundverordnung (DS-GVO)
Bild: Fotolia LLC.
Die Datenschutz-Grundverordnung (DS-GVO) ist eine Verordnung der Europäischen Union und soll die EU-Datenschutzrichtlinie zum 25. Mai 2018 als direkt geltendes Recht in allen Mitgliedsstaaten ablösen. Die EU-DSGVO soll die Regeln für die Verarbeitung von personenbezogenen Daten durch Unternehmen und öffentliche Institutionen EU-weit vereinheitlichen.
Datenschutz-Grundverordnung: Zeitplan
Am 25.05.2016 trat die EU-Datenschutz-Grundverordnung (DS-GVO) in Kraft. Anzuwenden ist die DS-GVO ab dem 25. Mai 2018. Zugleich tritt auch das revidierte Bundesdatenschutzgesetz (BSDG) in Kraft, das ergänzende Bestimmungen enthält.
Haftung der Verantwortlichen
Als „Verantwortlicher“ gilt nach der Definition des Artikels 4 der EU-DSGVO die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet, die Definition im Vorentwurf des DSG ist entsprechend.
Die Verantwortlichen haften nach EU-DSGVO dafür, dass bei jedem Verarbeitungsvorgang die Vorschriften der Verordnung eingehalten werden.
Die EU-DSGVO gilt nicht für natürliche Personen, die ihre Daten nur für persönliche oder familiäre Tätigkeiten verarbeiten.
Auftragserteilung nur mit Vertrag
Aufträge über Datenverarbeitung kann man einem „Auftragsverarbeiter“ nur noch mit Vertrag erteilen (Artikel 4, Art. 28), in dem bestimmte Punkte zu regeln sind, unter anderem Pflichten und Rechte der Verantwortlichen, Geheimhaltung, die Verpflichtung des Beauftragten, sich an die DS-GVO zu halten und mit dritten Auftragsdatenverarbeitern einen Vertrag mit denselben Kriterien abzuschließen. Die Europäische Kommission kann Standardvertragsklauseln festlegen.
Neue Datenschutz-Grundverordnung
Neu ist das Recht auf Vergessenwerden und auf Löschung (Art. 17 DS-GVO), sowie das Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO). Die betroffene Person kann von dem Verantwortlichen verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden. Das gilt vor allem wenn die betreffende Person Widerspruch gegen die Publikation eingelegt oder ihre Einwilligung widerrufen hat und sonst keine Rechtsgrundlage für die Verarbeitung besteht oder wenn es um sensible Daten geht.
Art. 17 Abs. 2 DS-GVO schreibt vor, dass man weitere Verantwortliche, die z.B. Links, Kopien der betreffenden Daten bearbeiten, informieren muss. Diese Verpflichtung kann man nicht einfach unterlassen mit der Begründung, dass ein unzumutbarer Aufwand entstünde.
Datenschutz-Grundverordnung: Datenschutzbeauftragter
Der Verantwortliche und der Auftragsverarbeiter benennen Datenschutzbeauftragte, wenn ihre Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht und/oder sensible Daten verarbeitet werden (Art. 37 DS-GVO).
Der Datenschutzbeauftragte hat mindestens folgende Aufgaben (Art. 39 DS-GVO):
Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters, Überwachung ob die DS-GVO sowie andere Vorschriften eingehalten werden, Beratung in Bezug auf Datenschutz-Folgenabschätzungen und Zusammenarbeit mit der Aufsichtsbehörde.
Datenschutz-Folgenabschätzung
Eine Datenschutz-Folgenabschätzung (DSFA) ist notwendig, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 DS-GVO), z.B bei Verwendung neuer Techniken oder systematischer und umfassender Bewertung persönlicher Aspekte natürlicher Personen, die als Grundlage für rechtswirksame Entscheidungen dient.
Bei der DSFA werden die geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung systematisch beschrieben. Die Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck, die Risiken für die Rechte und Freiheiten der betroffenen Personen werden bewertet, sowie die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen und Sicherheitsvorkehrungen.
Experten des interdisziplinären „Forum Privatheit und selbstbestimmtes Leben in der Digitalen Welt“ haben ein Konzept zur praktischen Umsetzung der DSFA vorgelegt, das in einem so genannten White Paper (Weißbuch) präsentiert wird.
Datenschutz-Grundverordnung: Strafen und Bußgeld
Die Höhe von Bußgeldern wird nach den Umständen bestimmt (Art. 83 DS-GVO). Angedroht sind bis zu 20 000 000 € oder für Unternehmens von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs.
DS-GVO Checkliste
Es ist Sache der Geschäftsleitung, ein Konzept zu erarbeiten, nach dem die Angestellten über die Anforderungen der neuen Datenschutz-Grund informiert und wenn nötig geschult werden. Darin sind unter z.B. folgende Punkte zu berücksichtigen:
Verantwortlichkeit
- Wer entscheidet über die Datenverarbeitung?
- Wer hat Zugriff zu welchen Daten und ist dieser gesichert?
- Werden besondere Sicherheitsvorkehrungen für sensible oder geheime Daten getroffen, wenn ja entsprechen sie den Anforderungen der DS-GVO?
Verträge
- Nach welchen Kriterien werden Auftragsdatenverarbeiter gesucht?
- Wer hat die Kompetenz, Verträge abzuschliessen?
- Sind die Vertragsmuster bzw. AGB so gestaltet, dass die den Anforderungen der DS-GVO entsprechen?
Recht auf Vergessen
- Hat man im Betrieb rasch auf die Daten einzelner Personen Zugriff, so dass man ohne grossen Aufwand alle löschen kann?
- Wird im Betrieb regelmässig geprüft, welche anderen Unternehmen Daten über Personen, z.B. Kunden, bearbeiten, die eine Löschung verlangen können?
- Werden darüber Listen erstellt, so dass man die betreffenden Datenverarbeiter sofort informieren kann, wenn jemand das Recht auf Vergessenwerden in Anspruch nimmt?
Datenschutzbeauftragter
- Benötigt das Unternehmen nach den neuen Vorschriften einen Datenschutzbeauftragten?
- Wenn ja für welche Vorgänge?
Datenschutzfolgeabschätzung
- Bearbeitet das Unternehmen Daten so, dass dies ein Risiko für die betroffenen Personen ist?
- Werden neue Techniken eingesetzt, die ein Risiko beinhalten?
- Dient die Verarbeitung bestimmter Daten als Grundlage für rechtswirksame Entscheidungen, wenn ja welche?
Empfehlungen:
Bring Your Own Device - Datenschutz
DSGVO zwingt Betriebsräte zur Überarbeitung ihrer Betriebsvereinbarungen
Grundlagen des Transparenzregisters, Geldwäschegesetz
