Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Rz. 2 Das Recht auf Auskunft über die zu seiner Person gespeicherten Sozialdaten gehört zu den Rechten der betroffenen Person nach dem Vierten Abschnitt des 2. Kapitels (§§ 81 ff.). § 83 a. F. regelte bis zum 24.5.2018 umfassend den Umfang und die Modalitäten, um das Auskunftsrecht der betroffenen Person umzusetzen. Seit dem 25.5.2018 enthält er nur noch ergänzende Ausnahmer...mehr

Rz. 14 Gemäß Art. 33 Abs. 3 DSGVO hat die Meldung mindestens folgende Informationen zu enthalten: eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze (Buchst. a), de...mehr

Rz. 22 Art. 34 Abs. 1 DSGVO fordert – wie bereits Art. 33 Abs. 1 DSGVO – eine "unverzügliche" Benachrichtigung (vgl. Rz. 11). Nach EG 86 DSGVO sollte die Benachrichtigung der betroffenen Person "stets so rasch wie nach allgemeinem Ermessen möglich, in enger Absprache mit der Aufsichtsbehörde und nach Maßgabe der von dieser oder von anderen zuständigen Behörden wie beispielswe...mehr

Rz. 4 Art. 13 DSGVO enthält die unmittelbar geltenden Informationspflichten, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden (Rz. 5 ff.). § 32 BDSG enthält Ausnahmen von diesen Informationspflichten (Rz. 20 ff.). § 82 sieht für die Direkterhebung von Sozialdaten in bestimmten Fällen weitere Ausnahmen von diesen Informationspflichten des Art. 13 DS...mehr

Rz. 4 Art. 14 DSGVO enthält die unmittelbar geltenden Informationspflichten bei der sog. Dritterhebung, also wenn personenbezogene Daten nicht bei der betroffenen Person erhoben werden (Rz. 5 ff.). § 33 BDSG enthält Ausnahmen von diesen Informationspflichten (Rz. 19 ff.). § 82a sieht für die Dritterhebung von Sozialdaten in bestimmten Fällen weitere Ausnahmen von diesen Inform...mehr

Rz. 3 § 83a verweist seit dem 25.5.2018 auf Art. 33 DSGVO (vgl. Rz. 4 ff.) und Art. 34 DSGVO (vgl. Rz. 16 ff.) und bestimmt ergänzend für die Stellen nach § 35 SGB I die Pflicht zur Einschaltung der nach § 90 SGB IV zuständigen Rechts- oder Fachaufsicht. Bereits unmittelbar aus Art. 33 DSGVO ergibt sich die Pflicht, Verletzungen des Schutzes personenbezogener Daten der jeweil...mehr

Rz. 6 § 21 BDSG enthält seit dem 25.5.2018 erstmals eine Regelung zu Rechtsbehelfen der Aufsichtsbehörden des Bundes und der Länder gegen Angemessenheitsbeschlüsse der Europäischen Kommission nach Art. 45 DSGVO, gegen Genehmigungen von Standarddatenschutzklauseln und genehmigte Verhaltensregeln nach Art. 46 Abs. 2 Buchst. c bis e DSGVO (vgl. hierzu die Komm. zu § 77) sowie g...mehr

Rz. 26 Unterbleibt eine Information der betroffenen Person nach § 32 Abs. 1 BDSG hat der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person zu ergreifen. Hierdurch werden die nach Art. 23 Abs 2 DSGVO erforderlichen Schutzmaßnahmen beachtet (BT-Drs. 18/11325). Hierzu gehört nach § 32 Abs. 2 Satz 1 BDSG ausdrücklich die Bereitstell...mehr

Rz. 35 Die Beschränkung der Informationspflicht nach Abs. 2 gilt nur für die in Art. 13 Abs. 3 DSGVO vorgesehene Fallgruppe, dass der Verantwortliche beabsichtigt, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die Daten bei der betroffenen Person erhoben wurden (vgl. Rz. 11 und 12). Die Ausnahme nach Abs. 2 gilt nicht für die sich au...mehr

Rz. 3 Seit dem 25.5.2018 gilt unmittelbar und europaweit einheitlich die DSGVO. Sie enthält in Art. 78 Abs. 1 DSGVO für jede natürliche oder juristische Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde. Für derartige Verfahren gegen eine Aufsichtsbehörde sind nach Art. 78 Abs. 3 ...mehr

Rz. 2 Seit dem 25.5.2018 gilt unmittelbar und europaweit einheitlich die DSGVO. Nach Art. 79 DSGVO hat jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten d...mehr

Rz. 6 "Dass sie betreffende personenbezogene Daten verarbeitet werden, sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden" (EG 61 DSGVO). Der Gesetzeswortlaut des Art. 13 DSGVO spricht ebenfalls von "zum Zeitpunkt der Erhebung". Damit ist klargestellt, dass spätestens zeitgleich mit der Erhebung bei der betroffenen Person die Informationspflicht erfül...mehr

Rz. 19 Obwohl im Titel der Vorschrift von Informationspflichten die Rede ist, regelt § 33 BDSG, wann in Erweiterung von Art. 14 Abs. 5 DSGVO keine Informationspflichten bestehen. Art. 23 DSGVO sieht vor, dass die Rechte und Pflichten gemäß Art. 34 DSGVO durch Rechtsvorschriften der Union oder der Mitgliedstaaten beschränkt werden können, verlangt aber besondere Maßnahmen zum...mehr

Rz. 31 Mit Abs. 2 erfolgte eine teilweise inhaltliche Übernahme von § 67 Abs. 10 a. F., nach dem die Definition von "Dritter" nicht für Auftragsverarbeiter galt, sofern sie "im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum" tätig waren. Da die Auftragsverarbeitung auch nach...mehr

Rz. 19 Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten. In diesem Vertrag oder in dem anderen Rechtsinstrument müssen Gegenstand und Dauer sowie Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener P...mehr

Rz. 44 § 84 Abs. 3 Satz 1 ergänzt in den Fällen, in denen der Verantwortliche die Sozialdaten der betroffenen Person nicht länger benötigt oder unrechtmäßig verarbeitet hat (Art. 17 Abs. 1 Buchst. a und d DSGVO), die Regelung des Art. 18 Abs. 1 Buchst. b und c DSGVO (vgl. Rz. 17). Nach Art. 18 Abs. 1 Buchst. b und c DSGVO erfolgt die Einschränkung der Verarbeitung nur auf ent...mehr

Rz. 24 Obwohl § 34 BDSG im Titel von Auskunftsrechten spricht, regelt er Beschränkung der Auskunftsrechte nach Art. 15 DSGVO. Art. 23 DSGVO sieht vor, dass u. a. die Rechte gemäß den Art. 12 bis 22 DSGVO durch Rechtsvorschriften der Union oder der Mitgliedstaaten beschränkt werden können, verlangt aber besondere Maßnahmen zum Schutz der Grundrechte und Grundfreiheiten der vo...mehr

Rz. 31 Die Beschränkung des Auskunftsrechts nach Abs. 1 dient laut Gesetzesbegründung dem Schutz der sozialen Sicherheit, indem es die in § 35 SGB I genannten Stellen vor unverhältnismäßiger Inanspruchnahme schützt (Art. 23 Abs. 1 Buchst. e i. V. m. Abs. 2 Buchst. c und g DSGVO); sofern die Speicherung ausschließlich der Datensicherung oder Datenschutzkontrolle dient, ist zu...mehr

Rz. 24 Die Benachrichtigung der betroffenen Person hat nach Art. 34 Abs. 2 DSGVO "in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten" zu beschreiben und enthält "zumindest die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen" (vgl. Rz. 14). Damit entspricht die Benachrichtigung der betroffenen Person i...mehr

Rz. 8 Der Begriff des "Auftragsverarbeiters" ist erstmalig seit dem 25.5.2018 durch Art. 4 Nr. 8 DSGVO gesetzlich definiert als "eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet" (vgl. die Komm. zu § 67 Rz. 51). Rz. 9 Der Auftragsbegriff ist weit auszulegen. Dabei muss der ...mehr

Rz. 38 § 84 Abs. 1 Satz 1 schränkt das Recht der betroffenen Person auf Löschung aus Art. 17 Abs. 1 DSGVO ( Rz. 12 und 13) für den Fall ein, dass eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist und das Interesse der betroffenen Person an der Löschung als gering anzusehen ist. Der vertretbare oder (un)verhält...mehr

Rz. 8 Gemäß Art. 27 Abs. 1 DSGVO ist ein Verantwortlicher oder Auftragsverarbeiter, der keine Niederlassung in der Europäischen Union hat, verpflichtet, einen Vertreter in der Europäischen Union zu benennen. Dieser dient nach Art. 27 Abs. 4 DSGVO den betroffenen Personen sowie den Aufsichtsbehörden als Anlaufstelle. Es ist daher sachgerecht, ihn auch als bevollmächtigt anzus...mehr

Rz. 4 Mit § 81c wird festgelegt, vor welchen Gerichten Aufsichtsbehörden gegen Angemessenheitsbeschlüsse der Europäischen Kommission gemäß Art. 45 DSGVO (vgl. die Komm. zu § 77) im Falle der grenzüberschreitenden Verarbeitung von Sozialdaten klagen können. § 81c enthält hierzu selbst keine Aussage, sondern verweist auf § 21 BDSG und damit an das Bundesverwaltungsgericht (Rz. ...mehr

Rz. 41 § 84 Abs. 2 entspricht § 84 Abs. 1 Satz 2 und 3 a. F. bis zum 24.5.2018. Es handelt sich um eine spezifische Regelung i. S. d. Art. 6 Abs. 1 Buchst. e i. V. m. Abs. 2 und Abs. 3 Satz 1 Buchst. b, Satz 2 DSGVO. Hier besteht die Konfliktsituation, dass die betroffene Person die Richtigkeit bestreitet, während die Stelle nach § 35 SGB I die Daten als richtig ansieht. Läss...mehr

Rz. 14 Jede Aufsichtsbehörde, also jede für die Kontrolle des Datenschutzes zuständige Stelle (vgl. Rz. 5) verfügt nach Art. 58 Abs. 1 DSGVO über folgenden Untersuchungsbefugnisse: den Verantwortlichen, den Auftragsverarbeiter und ggf. den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer A...mehr

Rz. 21 Die Informationspflicht der betroffenen Person über die beabsichtigte Weiterverarbeitung zu einem anderen Zweck besteht nach § 32 Abs. 1 BDSG dann nicht, wenn die Erteilung der Information über die beabsichtigte Weiterverarbeitung eine Weiterverarbeitung analog gespeicherter Daten betrifft, bei der sich der Verantwortliche durch die Weiterverarbeitung unmittelbar an di...mehr

Rz. 21 Unterbleibt eine Information der betroffenen Person nach § 33 Abs. 1 BDSG hat der Verantwortliche geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person zu ergreifen. Dies entspricht § 32 Abs. 2 BDSG (vgl. die Komm. zu § 82 Rz. 26 bis 28). Hierzu gehört nach § 33 Abs. 2 Satz 1 BDSG auch die Bereitstellung der in Art. 14 Abs. 1 und 2 DSGVO gen...mehr

Rz. 36 Abs. 2 Satz 1 und 2 entspricht § 83 Abs. 1 Satz 2 und 3 a. F. und § 34 Abs. 4 BDSG. Er "dient der rechtssicheren Abwicklung des Auskunftsverfahrens" (BT-Drs. 18/12611). Nach Satz 1 hat die betroffene Person die Art der Sozialdaten näher zu bezeichnen, über die Auskunft erteilt werden soll. Dies schließt aber nicht aus, dass im Einzelfall umfassend Auskunft "über alle ...mehr

Rz. 3 Nach Art. 79 Abs. 1 DSGVO hat jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr nach der DSGVO zustehenden Rechte verletzt wurden. Rz. 4 Für Klagen gegen einen Verantwortlichen oder gegen einen Auftragsverarbeiter sind nach Art. 79 Abs. 2 DSGVO die Gerichte des Mitgliedstaats zuständig, in dem der Ver...mehr

Rz. 34 Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Schutzwürdige Gründe der Verarbeitung kö...mehr

Rz. 37 § 84 regelt in Abs. 1 Beschränkungen des Rechts der betroffenen Person auf Löschung nach Art. 17 DSGVO und entspricht § 35 Abs. 1 BDSG . Abs. 2 enthält Festlegungen für den Fall, dass die Richtigkeit von Sozialdaten bestritten und nicht feststellbar ist. Abs. 3 ergänzt das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO. Mit Abs. 4 wird die Ausnahme von einer ...mehr

Rz. 21 Bieresborn, NZS 2017, 887 und 926, sowie NZS 2018, 10. Binne, Das neue Recht des Sozialdatenschutzes, NZS 1995, 97. Kirchner, Der Schutz personenbezogener Daten im Gesundheitswesen (Dissertation), 2016. Leeb/Liebhaber, allgemein zur Datenschutzgrundverordnung, JuS 2018, 534. Rasmussen, Der Schutz medizinischer Daten im Sozialdatenschutz, NZS 1998, 67. Rombey, Sozialdatensc...mehr

Rz. 41 Der Verantwortliche ist für die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 Abs. 1 DSGVO verantwortlich und muss dessen Einhaltung im Rahmen seiner "Rechenschaftspflicht" nach Art. 5 Abs. 2 DSGVO nachweisen können (vgl. die Komm. zu § 35 SGB I, Rz. 36 ff.).mehr

Rz. 2 Art. 84 Abs. 1 DSGVO berechtigt und verpflichtet die Mitgliedstaaten, "andere Sanktionen für Verstöße gegen die Verordnung" festzulegen. Diese Norm ist damit insbesondere eine Öffnungsklausel, um neben Geldbußen i. S. d. Art. 83 DSGVO (vgl. die Komm. zu § 85a) mitgliedstaatlich strafrechtliche Sanktionen vorzusehen. Der deutsche Gesetzgeber hat dies mit § 42 BDSG und sp...mehr

Rz. 4 Aufgrund des abschließenden Charakters der DSGVO hinsichtlich der Bußgeldtatbestände konnte der Verweis des § 85a Abs. 1 a. F. auf die Bußgeldtatbestände nicht übernommen werden. § 85 Abs. 1 verweist daher seit dem 25.5.2018 nur noch auf § 41 Abs. 1 und 2 BDSG. Diese enthalten eine Unterscheidung hinsichtlich der Dauer der Freiheitsstrafe und damit eine Aussage zur Wert...mehr

Rz. 3 § 85a Abs. 1 enthält keinen eigenen Regelungsinhalt, sondern verweist nur auf § 41 BDSG und erreicht damit, dass das Gesetz über Ordnungswidrigkeiten und die allgemeinen Gesetze über das Strafverfahren, namentlich die Strafprozessordnung und das Gerichtsverfassungsgesetz auch auf Verstöße nach Art. 83 Abs. 4 bis 6 DSGVO Anwendung finden (Rz. 6 bis 8). Da Betriebs- und G...mehr

Rz. 45 Ein Verstoß u. a. gegen die Auskunftsrechte nach Art. 15 DSGVO kann nach Art. 83 Abs. 5 Buchst. b DSGVO grundsätzlich mit einer Geldbuße bestraft werden. Dies gilt jedoch nicht für die Stellen nach § 35 SGB I, da nach § 85a Abs. 3 gegen Behörden und sonstige öffentliche Stellen keine Bußgelder verhängt werden (vgl. die Komm. zu § 85a).mehr

Rz. 16 Die Mitgliedstaaten sollten laut EG 150 DSGVO selbst bestimmen können, ob und inwieweit gegen Behörden Geldbußen verhängt werden. Art. 83 Abs. 7 DSGVO enthält die entsprechende Öffnungsklausel, von der der deutsche Gesetzgeber mit Abs. 3 Gebrauch gemacht hat, um "national zu regeln, ob und in welchem Umfang gegen Behörden und sonstige öffentliche Stellen Geldbußen ver...mehr

Rz. 2 § 81a dient der Durchführung von Art. 78 Abs. 1 und Abs. 2 DSGVO. Danach hat jede natürliche oder juristische Person, also auch jede Behörde, das Recht auf einen wirksamen gerichtlichen Rechtsbehelf gegen einen sie betreffenden rechtsverbindlichen Beschluss einer Aufsichtsbehörde oder zur Geltendmachung eines Verstoßes einer Aufsichtsbehörde i. S. v. Art. 78 Abs. 2 DSG...mehr

Rz. 30 Der Verantwortliche ist für die Einhaltung des Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 Abs. 1 DSGVO verantwortlich und muss dessen Einhaltung im Rahmen seiner "Rechenschaftspflicht" nach Art. 5 Abs. 2 DSGVO nachweisen können (vgl. die Komm. zu § 35 SGB I Rz. 36 ff.).mehr

Rz. 16 Art. 15 Abs. 3 DSGVO legt speziell für die Auskunftserteilung über die personenbezogenen Daten der betroffenen Person fest, dass die Informationen in Form einer Kopie oder in einem elektronischen Format zur Verfügung gestellt werden. Er ergänzt damit die Forderungen des Art. 12 DSGVO, der allgemein die Modalitäten für die Ausübung der Rechte der betroffenen Person reg...mehr

Rz. 2 Die Vorschrift leitet den Vierten Abschnitt des Zweiten Kapitels ein. Dieser enthält seit dem 25.5.2018 nur noch ergänzende Regelungen zu den sich seit diesem Zeitpunkt unmittelbar aus Kapitel III der DSGVO (Art. 12 bis Art. 23 DSGVO) ergebenden Rechten der betroffenen Person. § 81 Abs. 1 regelt das Recht der betroffenen Person, sich an die zuständigen Datenschutzaufsic...mehr

Rz. 7 Das Recht des § 85a Abs. 2 a. F. wurde beibehalten und lediglich redaktionell an die DSGVO angepasst. Voraussetzung für eine Strafverfolgung ist auch seit dem 25.5.2018 immer ein Antrag. Antragsberechtigt ist zunächst immer die betroffene Person, die verantwortliche Stelle (vgl. Art. 4 Nr. 7 DSGVO) und die nach Landesrecht für die Kontrolle des Datenschutzes zuständigen...mehr

Rz. 26 Nach §§ 85 und 85a darf eine Meldung nach § 83a oder Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO in einem Strafverfahren oder in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen die melde- oder benachrichtigungspflichtige Person oder gegen einen ihrer in § 52 Abs. 1 StPO bezeichneten Angehörigen nur mit Zustimmung der melde- oder ...mehr

Rz. 6 Entsprechende Regelungen zur Datenverarbeitung in der Pflegeversicherung wurden schon nach der Rechtsprechung des BVerfG zum allgemeinen Persönlichkeitsrecht (dazu Rixen, in: Sachs, GG, 9. Aufl., Art. 2 Rz. 72 ff.) notwendig. Das BVerfG hatte entschieden, dass das allgemeine Persönlichkeitsrecht gemäß Art. 2 Abs. 1 i. V. m. Art. 1 GG die Befugnis des Einzelnen beinhalt...mehr

Rz. 32 Abs. 1 legt in Einschränkung zu Art. 13 Abs. 1 Buchst. e DSGVO fest, wann eine betroffene Person nur über Kategorien von Empfängern zu unterrichten ist. Damit wird das bisher in § 67a Abs. 3 Satz 2 SGB X a. F. enthaltene Recht beibehalten und lediglich redaktionell angepasst, insbesondere an die Begriffsbestimmungen nach Art. 4 DSGVO i. V. m. § 67 (BT-Drs. 18/12611). ...mehr

Rz. 33 Das bis zum 24.5.2018 in § 80 Abs. 6 a. F. geregelte Recht wurde in Abs. 4 übernommen und lediglich redaktionell an die DSGVO und die entsprechende Neufassung des BDSG (DSAnpUG-EU) angepasst. Nach Abs. 4 sind sowohl für öffentliche als auch für nicht-öffentliche Auftragsverarbeiter externe Kontrollen und weitere Auflagen vorgesehen. Rz. 34 Für die in § 35 SGB I genannte...mehr

Rz. 29 Nach § 34 Abs. 2 Satz 1 BDSG sind die Gründe einer Auskunftsverweigerung zu dokumentieren. Die Ablehnung der Auskunftserteilung ist gegenüber der betroffenen Person nach § 34 Abs. 2 Satz 2 BDSG zu begründen, soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zw...mehr

Rz. 42 Mit Abs. 4 wird das Recht aus § 83 Abs. 6 a. F. auch seit dem 25.5.2018 beibehalten und lediglich redaktionell an die Begrifflichkeiten des Art. 4 DSGVO angepasst. Wird der betroffenen Person keine Auskunft erteilt, gleichgültig aus welchem der möglichen mehreren Gründe des § 83 und auch, ob mit oder ohne Ablehnungsbegründung, so kann sie die für die Kontrolle des Date...mehr

Rz. 2 Bis zum 24.5.2018 hatten die Stellen nach § 35 SGB I gemäß § 83a SGB X a. F. die Verpflichtung, bei einer unrechtmäßigen Übermittlung von besonderen Arten personenbezogener Daten von Amts wegen die zuständigen Aufsichtsbehörden und die betroffenen Personen davon unverzüglich in Kenntnis zu setzen, sofern schwerwiegende Beeinträchtigungen der Rechte oder schutzwürdigen ...mehr