Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Rz. 41 Die Einschränkung wird in Art. 4 Nr. 2 DSGVO als Vorgang der Verarbeitung aufgezählt. Zusätzlich wird die Einschränkung konkret in Art. 4 Nr. 3 DSGVO definiert (vgl. Rz. 46).mehr

Rz. 17 Als besonderen Fall der Zweckänderung nennt Abs. 2 Nr. 3 die Durchführung eines bestimmten Vorhabens der Forschung oder Planung. Neben der Erforderlichkeit müssen die Voraussetzungen des § 75 Abs. 1, oder 4a vorliegen: Der Gesetzgeber hat damit eine Übereinstimmung mit den dort genannten Übermittlungsvoraussetzungen hergestellt, ohne jedoch die formalen Voraussetzunge...mehr

Rz. 10 Abs. 4 wurde zum 25.5.2018 redaktionell an die Begrifflichkeiten der DSGVO angepasst und regelt daher dem entsprechend die Verarbeitung von Sozialdaten; die frühere Aufzählung bzw. Unterscheidung in Erhebung, Verarbeitung und Nutzung konnte entfallen, da nach Art. 4 Nr. 2 DSGVO die Verarbeitung seit dem alle Phasen (Vorgänge) des Umganges mit personenbezogenen Daten u...mehr

Rz. 20 Satz 3 begrenzt die Zulässigkeit der Übermittlung biometrischer, genetischer und Gesundheitsdaten auf die Übermittlungsbefugnisse der §§ 68 bis 77 oder einer anderen Rechtsvorschrift des SGB. Der deutsche Gesetzgeber hat hier von der Möglichkeit nach Art. 9 Abs. 4 DSGVO Gebrauch gemacht, nach dem er die sich unmittelbar aus Art. 9 Abs. 2 Buchst. b, d bis j DSGVO ergeb...mehr

Rz. 24 Bis 24.5.2018 definierte § 67 Abs. 6 Nr. 2 SGB X a. F. den Begriff des Speichern, als "das Erfassen, Aufnehmen oder Aufbewahren von Sozialdaten auf Datenträgern jeder Art, also auch auf Papier". Seit 25.5.2018 enthalten die Begriffsbestimmungen des Art. 4 Nr. 2 DSGVO die Begriffe Erfassen und Speicherung nebeneinander als Vorgänge der Verarbeitung, ohne diese selbst nä...mehr

Rz. 27 Wichtig Entgegen dem Titel der Vorschrift und dem Regelungsinhalt von Abs. 1 regelt Abs. 2 die Einwilligung in "die Verarbeitung" und damit in alle Vorgänge des Umganges mit personenbezogenen Daten gemäß Art. 4 Nr. 2 DSGVO, also auch die Erhebung (vgl. die Komm. zu § 67). Die Einwilligung hat nicht den Charakter einer rechtsgeschäftlichen Einwilligung nach dem BGB, son...mehr

Rz. 45 Die Einwilligung soll sich laut EG 32 DSGVO "auf alle zu demselben Zweck oder denselben Zwecken vorgenommenen Verarbeitungsvorgänge beziehen. Wenn die Verarbeitung mehreren Zwecken dient, sollte für alle diese Verarbeitungszwecke eine Einwilligung gegeben werden". Die weitere Forderung in EG 32 DSGVO, "dass die Einwilligung unter anderem freiwillig, für den konkreten F...mehr

Rz. 2 § 67enthielt bis 24.5.2018 eine Definition aller wesentlichen Begriffe des Sozialdatenschutzrechts einschließlich der Definitionen sämtlicher Phasen (jetzt Vorgänge) des Umganges mit Sozialdaten (von der Erhebung bis zur Löschung); auch die Begriffe Empfänger von Daten, Dritter, Anonymisierung und Pseudonymisierung waren definiert. Rz. 3 § 67 musste unter Berücksichtigu...mehr

Rz. 23 Art. 4 Nr. 2 DSGVO benennt als Vorgänge der Verarbeitung auch die bisher im (Sozial-)Datenschutzrecht nicht definierten Begriffe der Organisation und des Ordnens von Daten, ohne beide Begriffe zu bestimmen. Synonyme für Organisation in diesem Zusammenhang sind z. B. Aufbau, Organisierung, Architektur, Aufbau, Bau, Gebilde, Gefüge, Struktur, System, Komposition, Konstru...mehr

Rz. 3 § 67a regelt, unter welchen Voraussetzungen und bei wem Sozialdaten erhoben werden dürfen und ergänzt damit Art. 6 DSGVO, der die Rechtmäßigkeit der Verarbeitung beschreibt. Bis zum 24.5.2018 definierte § 67 Abs. 5 SGB X a. F. das Erheben als das Beschaffen von Daten über die betroffene Person. Die Erhebung von Daten war bis zu diesem Zeitpunkt eine eigenständige Phase d...mehr

Rz. 26 Art. 4 Nr. 2 DSGVO zählt die Begriffe Auslesen und Abfragen als Vorgänge der Verarbeitung auf, ohne sie näher zu beschreiben. Beide Begriffe sind neu im deutschen Datenschutzrecht und daher noch nicht definiert. Abfragen wird als Gewinnung von Daten aus einem Datenspeicher oder Feststellung von Informationen auf bestimmten Speicherplätzen definiert. Auslesen bedeutet in...mehr

Rz. 32 Der Begriff Übermittlung spielt im SGB X eine zentrale Rolle. Bis 24.5.2018 definierte § 67 Abs. 6 Nr. 3 SGB X a. F. Übermitteln als das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener Sozialdaten an einen Dritten in der Weise, dass die Daten an den Dritten weitergegeben werden oder der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht ...mehr

Rz. 10 Abs. 2 regelt die Zulässigkeit der Speicherung, Veränderung oder Nutzung für "andere Zwecke". Die bis zum 24.5.2018 in § 67c Abs. 2 Nr. 2 a. F. enthaltene Einwilligung der betroffenen Person ergibt sich seit dem 25.5.2018 unmittelbar aus Art. 6 Abs. 1 Buchst. a DSGVO und für die besonderen Kategorien personenbezogener Daten aus Art. 9 Abs. 2 Buchst. a DSGVO ( Rz. 5). Rz...mehr

Rz. 11 Abs. 3 lässt seit 25.5.2018 die Einschaltung von Vermittlungsstellen für die Übermittlung von Sozialdaten zu, ohne dies zu begrenzen auf "maschinell verwertbare Datenträger oder im Weg der Datenübertragung" (§ 67d Abs. 4 Satz 1 SGB X a. F.). Damit ist jede Form der Übermittlung (vgl. Rz. 2) zulässig. Rz. 12 Allerdings gibt Abs. 3 auch die Rahmenbedingungen vor, in dem ...mehr

2.2.2.6.1 Verwendung Rz. 27 Art. 4 Nr. 2 DSGVO bestimmt seit 25.5.2018 die "Verwendung" als Vorgang der Verarbeitung, definiert diesen Begriff jedoch nicht. In der DSGVO selbst ist der Begriff Verwendung nicht weiter enthalten. Lediglich in verschiedenen EG der DSGVO wird er erwähnt (z. B. EG 38, 50, 51) und zwar im Sinne von Benutzung. Weitere Synonyme sind Anwendung, Einsatz...mehr

Rz. 7 Die zulässige Datenerhebung wird begrenzt durch ihre Erforderlichkeit. Die Erhebung muss zur aktuellen Aufgabenerfüllung notwendig sein; eine Datenerhebung auf Vorrat ist untersagt. Dies ergibt sich aus dem Wort "erforderlich" in § 67a Abs. 1 Satz 1 sowie aus dem unmittelbar anzuwendenden Art. 6 DSGVO, der in Abs. 3 Satz 2 festlegt, dass der Zweck der Verarbeitung "für ...mehr

Rz. 29 Betroffene Person ist gemäß Art. 4 Nr. 1 DSGVO "eine identifizierte oder identifizierbare natürliche Person"; Näheres vgl. die Komm. zu § 67. Die Befugnis zur Einwilligung ist höchstpersönlich; sie steht der (einwilligungsfähigen) betroffenen Person als Trägerin des Schutzanspruches zu. Ehegatten, Eltern, Verwandte, Bevollmächtigte etc. können nicht anstelle der betro...mehr

Rz. 29 In Abgrenzung zur Übermittlung (Offenlegung) werden bei der Nutzung/Verwendung Sozialdaten nicht an einen Dritten (Definition vgl. Rz. 55) weitergegeben (übermittelt), sondern verbleiben beim Verantwortlichen. Diese Unterscheidung hat z. B. Bedeutung für die Weitergabe von Daten zwischen Rehabilitationseinrichtungen und Kostenträgern. Sofern es sich um eigene Einricht...mehr

Rz. 36 Voraussetzung für eine wirksame Einwilligung ist naturgemäß, dass die betroffene Person weiß, worin sie einwilligt. Dazu muss sie laut EG 42 DSGVO "mindestens wissen, wer der Verantwortliche ist und für welche Zwecke ihre personenbezogenen Daten verarbeitet werden sollen". Dies korrespondiert mit der Bestimmtheit (Rz. 35).mehr

Rz. 47 Nachstehend ein Beispiel für eine Einwilligungserklärung, die die Anforderungen des Art. 7 DSGVO i. V. m. § 67b Abs. 2 erfüllt: Praxis-Beispiel Einwilligungserklärung Ich, …………………………, willige ein, (Personalien der betroffenen Person) dass die ……………………………………………………………………………… (Bezeichnung der auskunftserteilenden Stelle) der …………………………………………………………………………………… (Bezeichnung der aus...mehr

Rz. 7 Das Erforderlichkeitsgebot ist ein tragendes Element des gesamten Datenschutzes und wird durch die DSGVO ausdrücklich im Grundsatz der "Datenminimierung" des Art. 5 Abs. 1 Buchst. c DSGVO geregelt (vgl. Komm. zu § 35 SGB I Rz. 44).mehr

Rz. 25 Inhaltlich entspricht Satz 2 den Regelungen in § 67a Abs. 2 Satz 2 SGB X a. F., er wurde zum 25.5.2018 nur redaktionell an die Begrifflichkeiten des Art. 4 DSGVO angepasst (Rz. 2). Im Sinne des Verhältnismäßigkeitsprinzips nach der Ersterhebung bei der betroffenen Person nach Satz 1 regelt Satz 2 die Erhebung bei Dritten (zur Definition wird auf die Komm. zu § 67 verwi...mehr

Rz. 24 § 67a Abs. 2 Satz 1 stellt auch nach Anpassung an die DSGVO die Direkterhebung bei der betroffenen Person in den Vordergrund (Ersterhebungsgrundsatz). Er wurde nur redaktionell an die Begrifflichkeiten des Art. 4 DSGVO angepasst (vgl. die Komm. zu § 67). Sozialdaten sind nach Satz 1 grundsätzlich bei der betroffenen Person selbst zu erheben. Im Rahmen des Antragsprinzi...mehr

Rz. 35 Nach Art. 4 Nr. 11 DSGVO muss sich die Einwilligung auf "den bestimmten Fall", also auf konkret erkennbare Datenflüsse aus einem konkreten Anlass beziehen. Damit sind sog. Pauschalermächtigungen nicht zulässig. Dies wurde ausdrücklich mit Beschluss des BVerfG v. 23.10.2006 (1 BvR 2027/02) bestätigt. Die Verwaltungspraxis vieler privater Versicherungsgesellschaften, sic...mehr

Rz. 46 § 67b Abs. 2 Satz 2 enthält auch das Erfordernis des Hinweises auf die Folgen der Verweigerung der Einwilligung. Wie unter Rz. 45 ausgeführt, müssen Zweck, Wege und Beteiligte der bzw. an der Verarbeitung der betroffenen Person deutlich gemacht werden. Damit sie auch die Tragweite ihrer Einwilligung erfassen kann, muss sie darüber hinaus auf die Folgen der Verweigerun...mehr

Rz. 5 § 67b ist überschrieben mit der Aufzählung der Verarbeitungsvorgänge "Speicherung, Veränderung, Nutzung, Übermittlung, Einschränkung der Verarbeitung und Löschung", ohne nähere Angaben zu seiner inhaltlichen Regelung. Abs. 1 bestimmt die Zulässigkeitsvoraussetzungen für die genannten Verarbeitungsvorgänge und schränkt diese in dessen Satz 2 und 3 für besondere Kategorie...mehr

Rz. 2 § 68 regelt die Zulässigkeit von Datenübermittlungen durch die in § 35 Abs. 1 SGB I genannten Stellen gegenüber den abschließend in der Vorschrift genannten Behörden sowie Art und Umfang der Übermittlungsbefugnis. Seit 25.5.2018 enthält weder Art. 4 Nr. 2 DSGVO noch § 67 eine Definition des Begriffs Übermittlung. Aus § 67d Abs. 1 ist jedoch zu entnehmen, welche Vorgänge...mehr

Rz. 6 In Satz 1 wird die Zulässigkeit der Datenerhebung durch die in § 35 SGB I genannten Stellen geregelt und damit von der Öffnungsklausel des Art. 6 Abs. 1 Buchst. c und e i. V. m. Abs. 2 und Abs. 3 Satz 1 Buchst. b DSGVO Gebrauch gemacht. Voraussetzung für eine zulässige Datenerhebung ist nach Satz 1, dass die Kenntnis der Daten zur Erfüllung einer Aufgabe der erhebenden ...mehr

Rz. 8 Abs. 1Satz 1 knüpft die Zulässigkeit für die Verarbeitungsvorgänge Speichern, Verändern und Nutzen an die Zweckbindung, d. h. nur wenn die Datenspeicherung, -veränderung oder -nutzung für die Zwecke erfolgt, für die die Daten erhoben worden sind, ist sie zulässig. Insoweit wird auch auf die Zulässigkeitsvoraussetzungen nach § 67a hingewiesen (vgl. Komm. zu § 67a). Rz. ...mehr

Rz. 48 In der wissenschaftlichen Forschung kann der Zweck der Verarbeitung zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden; Forschungsfragen werden teilweise in einer offenen Vorgehensweise erst sukzessive entwickelt. Daher sollte es laut EG 33 DSGVO "betroffenen Personen erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissens...mehr

Rz. 14 Abs. 5 wurde unverändert übernommen zum 25.5.2018 (Anpassung an die DSGVO) und entspricht dem früheren Abs. 11. Rz. 15 Zu den nicht-öffentlichen Stellen gehören die natürlichen und juristischen Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. Ausnahmen: § 81 Abs. 3 legt ausdrücklich fest, dass bestimmte Stellen unabhängig von ihrer Rechtsf...mehr

Rz. 4 Abs. 1 Nr. 1 ist die zentrale Befugnisregelung innerhalb des § 69. Anknüpfungspunkt für die Zulässigkeit der Datenübermittlung (Art. 4 Nr. 2 DSGVO, vgl. die Komm. zu § 67), vor allem zwischen den Stellen nach § 35 SGB I , ist die Erfüllung einer gesetzlichen Aufgabe. Näheres zu diesem Begriff ist zu § 67 Abs. 3 kommentiert. Nach Abs. 1 Nr. 1 kommen drei verschiedene Alte...mehr

Rz. 3 Satz 1 räumt ein zusätzliches Befragungsrecht ein. Der Begriff der Befragung ist im Datenschutzrecht unbekannt. Es handelt sich hier um eine Befugnis zur Datenerhebung (Art. 4 Nr. 2 DSGVO). Diese muss im Zusammenhang stehen mit einer Prüfung nach § 2 Schwarzarbeitsbekämpfungsgesetz oder nach § 28p SGB IV. In erster Linie sind Arbeitgeber die Adressaten der Befragung, es...mehr

Rz. 2 § 67e erweitert die Möglichkeiten der Erhebung und der Übermittlung von Daten zu Prüfzwecken, insbesondere zur Bekämpfung des Missbrauchs von Sozialleistungen und der illegalen Beschäftigung. Die Begriffsbestimmungen von Erhebung und Übermittlung ergeben sich seit dem 25.5.2018 unmittelbar aus Art. 4 DSGVO (vgl. Komm. zu § 67 SGB X). § 67e ermöglicht eine über § 69 Abs. ...mehr

Rz. 3 Abs. 1 lässt Datenübermittlungen im erforderlichen Umfang zu verschiedenen Zwecken zu. Erforderlichkeitsgrundsatz Allen Zwecken des Abs. 1 ist gemeinsam, dass die Übermittlung erforderlich sein muss. Das Erforderlichkeitsgebot zieht sich wie ein roter Faden durch die gesetzlichen Datenschutzbestimmungen und entspricht dem unmittelbar geltenden Grundsatz der Datenminimier...mehr

Rz. 9 Nach Abs. 1 Nr. 2 ist die Übermittlung von Sozialdaten zulässig für die Durchführung eines gerichtlichen Verfahrens einschließlich eines Strafverfahrens. Das Verfahren muss allerdings im Zusammenhang stehen mit der Erfüllung einer gesetzlichen Aufgabe einer Stelle nach § 35 SGB I. Insoweit gilt die Übermittlungsbefugnis auch für die gleichgestellten Stellen nach Abs. 2...mehr

Rz. 5 Abs. 1 regelt seit 25.5.2018 die Verantwortung für eine Datenübermittlung. Die Zulässigkeit zur Festlegung dieser Verantwortlichkeit (Öffnungsklausel) ergibt sich aus Art. 4 Nr. 7 DSGVO (BT-Drs. 18/12611). Rz. 6 § 67d Abs. 1Satz 1 bestimmt, dass die Verantwortung für die Zulässigkeit der Datenübermittlung (vgl. § 35 Abs. 2 Satz 1 SGB I) vorliegen, die übermittelnde Stel...mehr

Rz. 9 Abs. 3 stellt klar, welche Aufgaben der Sozialleistungsträger neben den originären Aufgaben, die sich aus dem Sozialgesetzbuch direkt ergeben, auch als Aufgaben nach dem SGB anzusehen sind und damit unter die Regelungen des Zweiten Kapitels des SGB X fallen. Der Begriff der sozialen Sicherheit ist danach umfassend zu verstehen. Abs. 3 hat somit wesentliche Bedeutung für...mehr

Werden die Pflichten aus § 15 Abs. 1 DSGVO (Auskunftsrecht) verletzt, sind Arbeitgeber zur Zahlung immateriellen Schadensersatzes verpflichtet.[1] Ob hierfür bereits allein die nicht vollständige Erteilung einer Auskunft ausreichend ist und in welchem Maß Verschulden zu berücksichtigen ist, ist Gegenstand eines Vorabentscheidungsverfahrens beim EuGH.[2] Die Höhe des Schadense...mehr

Rz. 57 Die Verwendung biologischer Gefahrstoffe vermutet eine Gefährdungslage. Nach § 11 Abs. 2 Satz 4 gilt allerdings die nach Satz 2 vermutete unverantwortbare Gefährdung als ausgeschlossen, wenn die schwangere Frau über einen ausreichenden Immunschutz verfügt. Erfolgte Impfungen müssen dem Arbeitgeber grundsätzlich nicht offengelegt werden. Arbeitgeber dürfen gem. § 26 Abs...mehr

Begriff Das Steuergeheimnis schützt die Interessen der Steuerpflichtigen, die einen Anspruch auf die Einhaltung des Steuergeheimnisses haben. Damit dient es der Erleichterung des Besteuerungsverfahrens; denn Steuerpflichtige sind eher bereit, ihre Verhältnisse zu offenbaren, wenn sie wissen, dass sie nicht unbefugt weitergegeben werden. Die unbefugte Offenbarung von dem Steue...mehr

Nach allgemeiner Meinung wird dem Arbeitgeber ein Fragerecht nur insoweit zugestanden, als er ein berechtigtes, billigenswertes und schutzwürdiges Interesse an der Beantwortung seiner Frage im Hinblick auf das spezifische Arbeitsverhältnis hat. Dieses Interesse des Arbeitgebers muss objektiv so stark sein, dass dahinter das Interesse des Arbeitnehmers am Schutz seines Persön...mehr

Im Mai 2017 wurde eine Neufassung des Bundesdatenschutzgesetzes (BDSG) beschlossen. Damit sollte das deutsche Recht an die EU-Datenschutzgrundverordnung (DSGVO) angepasst werden. Sowohl die DSGVO als auch das BDSG lösen seit dem 25.5.2018 das bisherige Datenschutzrecht ab. Das neue BDSG soll nach Angaben der Bundesregierung ein reibungsloses Zusammenspiel der DSGVO mit dem B...mehr

Der Arbeitgeber darf Bewerberdaten, die im Internet veröffentlicht sind, grundsätzlich unter Beachtung der Grenzen des § 26 BDSG und der DSGVO erheben. Teilweise wird Datenerhebung dann für zulässig erachtet, wenn dies unter Anwendung allgemein zugänglicher Suchmaschinen möglich ist.[1] Unter der Geltung von Art. 9 Abs. 2 DSGVO und dem BDSG kann zwar sowohl die Erhebung als ...mehr

Rz. 128 Beispiel: "Vertragsstrafe" Die Versicherungsnehmerin ist eine GmbH, die im Messebau tätig ist. Vereinbart ist ein Aufbau einer Messhalle zu einem bestimmten Zeitpunkt. Im Falle einer Verspätung fällt eine hohe Vertragsstrafe an. Die GmbH leistet nicht vertragsgerecht und der Vertragspartner verlangt die Vertragsstrafe in Höhe von 30.000 EUR. Die GmbH begleicht diese ...mehr

Rz. 160 Der Ausschluss ist in der vorliegenden Fassung unwirksam, da durch ihn auch für jene Organe kein Versicherungsschutz besteht, die nicht an dem Verstoß mitgewirkt haben, der zur Verbandsgeldbuße oder Vertragsstrafe geführt hat. Solche versicherten Personen können aber gleichwohl haften, wenn ihnen vorgeworfen werden kann, sie wären aufgrund ihrer Gesamtverantwortung o...mehr

Rz. 6 § 22 Abs. 1 PStTG dient der Umsetzung von Art. 25 Abs. 4 der Amtshilferichtlinie.[1] Rz. 7 Meldende Plattformbetreiber sind nach § 22 Abs. 1 PStTG verpflichtet, Anbieter über die Tatsache und den Zweck der Verarbeitung ihrer personenbezogenen Daten zu informieren und sie dabei nach Maßgabe der Verordnung (EU) 2016/679 [2], die nach § 2a Abs. 5 AO entsprechend auch auf di...mehr

Rz. 1 Nach § 22 PStTG müssen meldende Plattformbetreiber jeden meldepflichtigen Anbieter vor der erstmaligen Meldung und nach der Identifizierung als meldepflichtiger Anbieter über die erhobenen und gemeldeten Informationen informieren. Rz. 2 Hinweis Praxishinweis[1]: Im Rahmen der Anbieterinformation ist auch auf die datenschutzrechtlichen Belange des Anbieters Rücksicht zu ...mehr

Rz. 1 Die Meldung der Plattformbetreiber an das BZSt erfolgt ausschließlich elektronisch im Wege der Datenfernübertragung, um eine effiziente und sichere Weiterverarbeitung zu ermöglichen.[1] Es sind dabei technische und organisatorische Maßnahmen zu ergreifen, die zur Berücksichtigung der sich aus Art. 5 Abs. 1 Buchst. f der Verordnung (EU) 2016/679 ergebenden Grundsätze de...mehr

Rz. 7 § 21 Abs. 3 PStTG hat lediglich klarstellende Bedeutung. Hier wird verdeutlicht, dass die Beauftragung eines Dritten nach § 21 Abs. 1 und Abs. 2 PStTG den meldenden Plattformbetreiber nicht von seinen Pflichten nach Abschn. IV befreit. Die Verantwortung zur Erfüllung der Sorgfaltspflichten verbleibt beim delegierenden, meldenden Plattformbetreiber. Der meldende Plattfo...mehr