Datenschutz 4

Datenverarbeitung

• Die DSGVO definiert Datenverarbeitung als alle Vorgänge im Zusammenhang mit personenbezogenen Daten, unabhängig von der Automatisierung.
• Beispiele für Datenverarbeitung sind Erhebung, Erfassen, Organisation, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Offenlegung, Verbreitung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung.
• Es gibt keine zulässige Verwendung von personenbezogenen Daten ohne vorherige Verarbeitung.
• Die Verarbeitung personenbezogener Daten muss rechtmäßig, nach Treu und Glauben erfolgen und den Prinzipien der Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit entsprechen.
• Verantwortliche unterliegen einer Rechenschaftspflicht.
• Rechtmäßigkeit ist gegeben, wenn eine Rechtsgrundlage vorliegt, wie Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, oder berechtigtes Interesse.

Informationspflichten und Betroffenenrechte

• Die DSGVO verpflichtet zur Bereitstellung bestimmter Informationen über die Datenverarbeitung an Betroffene.
• Es wird unterschieden, ob die Daten direkt oder indirekt erhoben werden.
• Werden Daten direkt bei der betroffenen Person erhoben, sind folgende Informationen erforderlich:
• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Verarbeitungszwecke und Rechtsgrundlagen der Verarbeitung
• Berechtigte Interessen des Verantwortlichen oder Dritter (falls zutreffend)
• Empfänger oder Kategorien von Empfängern der Daten (falls zutreffend)
• Absicht der Datenübermittlung an Drittländer oder internationale Organisationen (falls zutreffend), inklusive Informationen über Angemessenheitsbeschlüsse
• Dauer der Datenspeicherung oder Kriterien zur Festlegung der Dauer
• Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch
• Möglichkeit des Widerrufs der Einwilligung, ohne die Rechtmäßigkeit der bisherigen Datenverarbeitung zu beeinträchtigen
• Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
• Ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen eine Nichtbereitstellung hätte
• Informationen über automatisierte Entscheidungsfindung, inklusive Tragweite

Zeitpunkt und Form der Information

• Die Informationen müssen Betroffenen zum Zeitpunkt der Datenerhebung zur Verfügung stehen.
• Bei Weiterverarbeitung für einen anderen Zweck sind zusätzliche Informationen erforderlich.
• Werden Daten nicht direkt bei der betroffenen Person erhoben, muss zusätzlich die Quelle der Daten angegeben werden.
• Die Informationen müssen innerhalb einer angemessenen Frist, spätestens jedoch innerhalb eines Monats, erteilt werden.
• Bei Verwendung der Daten zur Kommunikation muss die Information spätestens bei der ersten Mitteilung erfolgen.
• Bei Offenlegung gegenüber anderen Empfängern muss die Information spätestens zum Zeitpunkt der ersten Offenlegung erfolgen.

Ausnahmen von der Informationspflicht

• Die Informationspflicht entfällt, wenn die betroffene Person bereits über die Informationen verfügt
• wenn die Erteilung unmöglich ist oder einen unverhältnismäßigen Aufwand erfordert
• wenn die Ziele der Verarbeitung dadurch beeinträchtigt würden
• wenn die Erlangung oder Offenlegung durch EU- oder nationale Rechtsvorschriften geregelt ist
• wenn die Daten dem Berufsgeheimnis oder einer satzungsmäßigen Geheimhaltungspflicht unterliegen.

Gestaltung der Information

• Informationen müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und verständlicher Sprache übermittelt werden.
• Die Übermittlung kann schriftlich, elektronisch oder in anderer Form erfolgen.
• Für öffentliche Informationen kann eine Website genutzt werden.
• Auch Informationen zu Betroffenenrechten müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form erfolgen.
• Die Beantwortung eines elektronischen Antrags sollte möglichst elektronisch erfolgen.
• Informationen können auf Wunsch auch mündlich erteilt werden.

Kosten und Einschränkungen

• Informationen und Mitteilungen sind unentgeltlich bereitzustellen.
• Bei offenkundig unbegründeten oder exzessiven Anträgen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden.

Verzeichnis der Verarbeitungstätigkeiten

• Das Erstellen eines Verzeichnisses ist eine rechtliche Pflicht und dient der Überprüfung der Rechtmäßigkeit
• Es kann für ein Unternehmen auch eine gute Möglichkeit sein, die entsprechenden Grundlagen zu ermitteln.
• Informationen, die enthalten sein müssen, werden im Kapitel 2.10 Verzeichnis der Datenverarbeitungstätigkeiten aufgeführt.
• Die meisten enthaltenen Informationen müssen auch im Rahmen der Datenschutzerklärung offengelegt werden.
• Es ist es nicht erforderlich, dass mehr als das Minimum dokumentiert wird.
• Die Effizienz des Datenschutzmanagements kann erhöht werden, wenn weitere Aspekte dokumentiert werden.
• Das Verzeichnis kann auch mit anderen Dokumenten, wie z. B. der Datenschutzmitteilung oder einem Muster für die Einwilligungserklärung, verknüpft werden.

Regeln zum internationalen Datenverkehr

• Der internationale Datenverkehr ist bis auf wenige Sonderfälle genehmigungsfrei.
• In wenigen Fällen ist eine Information der Aufsichtsbehörde sowie an die Betroffenen notwendig, wenn zum Beispiel die Übermittlung der Daten für die Wahrung zwingender Interessen des Verantwortlichen erforderlich ist.
• Datenverkehr innerhalb der EU unterliegt keinen Beschränkungen besteht aufgrund des geltenden Recht.
• Das Schutzniveau darf bei der Übermittlung personenbezogener Daten aus der Union an Drittländer aber nicht untergraben werden.
• Kapitel 2.13 Datenübermittlung an Drittländer wird näher ausgeführt, mit welchen Ländern von Seiten der Europäischen Union Sonderregelungen getroffen wurden.
• Datenübermittlungen in ein Drittland müssen im Verarbeitungsverzeichnis dokumentiert werden.
• Zusätzlich besteht eine Informationspflicht gegenüber den Betroffenen, sobald Daten in ein Drittland übermittelt werden sollen.

Datensicherheitsmaßnahmen

• Verantwortliche und Auftragsverarbeiter müssen angemessene Sicherheitsmaßnahmen implementieren, um die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten zu gewährleisten.
• Die Sicherheit personenbezogener Daten sollte nicht nur als IT-Sicherheit behandelt werden.
• Angemessene Sicherheitsmaßnahmen umfassen technische, administrative und physische Maßnahmen.
• Die Tatsache, dass vergleichbare Unternehmen keine bessere Sicherheit bieten, deutet nicht zwingend auf ausreichende hin.
• Als Richtschnur für die Sicherheitsstandards können allgemeine Standards zur IT- und Informationssicherheit als Vorbild dienen.
• Die ISO/IEC 27001 ist weit verbreitet, ist aber gemäß der DSGVO nicht erforderlich.
• Potentielle Sicherheitslücken können Qualitätsmanagementmassnahmen vermieden werden.
• Wenn Verträge mit externen Dienstleistern abgeschlossen werden, können potentielle Sicherheitslücken durch Gewährleistungs- und Haftungsklauseln abgedeckt werden.
• Sichergestellt werden, dass kritische Sicherheitslücken innerhalb kürzester Zeit geschlossen werden können.
• Eigene Penetrationstests sind nicht zwingend erforderlich.
• Es wird empfohlen, regelmäßig die Sicherheit der IT-Infrastruktur zu überprüfen und Schwachstellen zu identifizieren

Umsetzung des Datengeheimnisses

• Das Datengeheimnis ist im Datenschutzgesetz geregelt und verpflichtet den Verantwortlichen, dessen Auftragsverarbeiter und Mitarbeiter zur Geheimhaltung
• Arbeitnehmer dürfen personenbezogene Daten nur aufgrund einer Anordnung ihres Arbeitgebers übermitteln.
• Der Verantwortliche muss die Mitarbeiter über die Folgen einer Verletzung des Datengeheimnisses aufklären.
• Der Arbeitgeber muss außerdem dafür Sorge tragen, dass seine Arbeitnehmer das Datengeheimnis auch nach Beendigung des Arbeitsverhältnisses einhalten.

Löschpflicht

• Die DSGVO räumt betroffenen Personen das Recht ein, die Löschung ihrer personenbezogenen Daten zu verlangen.
• Verantwortliche sind verpflichtet, regelmäßig zu überprüfen, ob die von ihnen verarbeiteten Daten gelöscht werden müssen.
• Der Begriff des Rechts auf Vergessenwerden wurde eingeführt.
• Das Recht auf Löschung besteht insbesondere, wenn die Datenverarbeitung niemals rechtmäßig war.

Weitere Aspekte der Löschung

• Eine Anonymisierung von personenbezogenen Daten kann grundsätzlich ein Mittel zur Löschung sein.
• Ausnahmen von der Löschpflicht können nur erfolgen, wenn die Meinungs-und Informationsfreiheit betroffen ist.
• Wird einem Löschbegehren eines Betroffenen nicht entsprochen, müssen ihm innerhalb der vorgesehenen Bearbeitungsfrist die Gründe für die Ablehnung mitgeteilt werden.
• Die Entwicklung eines Löschkonzepts ist empfehlenswert, um den rechtlichen Verpflichtungen nachzukommen.
• Unterschiedliche Daten können auf unterschiedlichen Datenträgern gespeichert werden.
• Nach einer entsprechenden Abwägung sollte für jeden Datenverarbeitungszweck eine eigene Löschfrist festgelegt werden.
• Während Bewerbungsunterlagen nach sechs Monaten gelöscht werden müssen, wenn es zu keiner Anstellung gekommen ist, beträgt die übliche Aufbewahrungsfrist für Buchhaltungsunterlagen sieben Jahre.
• Eine Löschung bedeutet grundsätzlich eine physische Löschung und nicht nur eine Entfernung aus einem Verzeichnis.
• Davon ausgenommen sind Sicherungskopien.
• Außerdem hat der Europäische Gerichtshof entschieden, dass Suchmaschinen verpflichtet werden können, Daten aus ihren Suchindizes zu entfernen.