Pressemitteilung von Herr Ulrich Braunbach

Die neue Datenschutz-Grundverordnung § EU-DSGVO ab Mai 2018

---

---

Mit der Datenschutz-Grundverordnung (DS-GVO) schafft die EU nun einen verbindlichen

Rechtsrahmen.



Drei Gesetze zusammen bilden ab Mai 2018 das neue Datenschutzrecht, lösen aber weitere bereits bestehende Gesetze (z.B. TMG, TKG, UWG) nicht (gänzlich) ab.


- Europäische Datenschutz-Grundverordnung

Bestehend aus 99 Artikeln mit einer entsprechenden Anzahl von Erwägungsgründen, löst

bestehendes BDSG am 25.5.18 weitgehend ab -> keine weiteren Übergangsfristen(!), regelt

das allgemeine Datenschutzrecht


- BDSG-A oder -N Anpassungsgesetz

Bestehend aus 45 Paragrafen, füllt die 42 vom Europaparlament geschaffenen

Öffnungsklauseln, gültig ab 25.5.18, gilt ergänzend zur DS-GVO


- E-Privacy-Verordnung

Bestehend aus 29 Artikeln, regelt im Wesentlichen den Datenschutz im Bereich E-Mail,

Internet, Telefon, gültig ab 25.5.18 (dieser Termin wird definitiv nicht einzuhalten sein, das

endgültige Inkrafttreten wird im Frühjahr 2019 erwartet), gilt zusätzlich zur DS-GVO



Grundsätzliches (DS-GVO)

Einheitlicher Datenschutz in Europa durch EU-Datenschutz-Grundverordnung


-- Stärkere Nutzerrechte

- Recht auf Vergessenwerden

- Recht auf Datenportabilität

- umfangreiche Informationspflichten

- benutzerfreundliche Voreinstellungen


-- Einwilligung in Datenverarbeitung erst ab 16


-- Unternehmen aus Drittländern (nicht EU, nicht EWR) sind an europäisches Datenschutzrecht

gebunden (Marktortprinzip)


-- Höhere Bußgelder möglich (bis € 20 Mio. bzw. 4% des weltweiten, konzernübergreifenden

Jahres-Umsatzes)


-- Datenschutz-Folgenabschätzung


-- Data Breach Notification



Dialogmarketing (DS-GVO):


-- grundsätzlicher Einwilligungsvorbehalt

Die Verarbeitung ist u.a. rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist (Artikel 6, Absatz 1 lit. f) DS-GVO),

sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person,

die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn

es sich bei der betroffenen Person um ein Kind handelt (-> Interessensabwägung bzw. -> Datenschutz-Folgenabschätzung, -> Werbewiderspruchsrecht)



Dialogmarketing ist grundsätzlich ein berechtigtes Interesse von Unternehmen

(Erwägungsgrund 47 DS-GVO)


Profiling (Art. 4, 22 DS-GVO) bezieht sich nicht auf reine Adressen-Selektionen, diese sind

im bereits bisher zulässigen gesetzlichen Rahmen weiterhin möglich


Die Interessenabwägungsklausel verweist ausdrücklich darauf, dass auch Interessen von Dritten in der Abwägung Berücksichtigung finden können (Auftragsverarbeitung)


Weitere Selektionskriterien, die gegebenenfalls von anderen Marktteilnehmern, aus öffentlich zugänglichen Quellen oder von Datendienstleistern dürfen den eigenen Datensätzen hinzugespeichert werden


Eine Zweckänderung ist nicht ohne weiteres zulässig (-> Einwilligung, -> Informationspflichten)


Bereits zum Zeitpunkt der Erhebung personenbezogener Daten muss umfangreich über die geplante Datennutzung informiert werden. Es wird zwischen einer direkten Erhebung beim Betroffenen und einer Erhebung aus anderen Quellen unterschieden



Informationspflichten (DS-GVO):


Grundsätzlich:


- Nennung der verantwortlichen Stelle sowie Kontaktdaten des für die Verarbeitung

Verantwortlichen und ggf. seines Vertreters, als auch die Kontaktdaten des

Datenschutzbeauftragten


- die Rechtsgrundlage, auf der die Datenerhebung basiert und das berechtigte Interesse,

wenn die Datenerhebung auf einem solchen beruht (Art. 6 Abs. 1 DSGVO)


- die Kategorien von Empfängern der personenbezogenen Daten müssen ohne Einschränkung

mitgeteilt werden


- Informationen über ggf. geplante Übermittlungen in ein Drittland nebst Benennung der

Maßnahmen, auf die die Übermittlung gestützt wird (z.B. EU-Standard-Vertragsklauseln)


- die Dauer der Speicherung


- Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Widerspruchsrechte sowie das

Recht auf Datenübertragbarkeit


- Informationen darüber, dass der Betroffene bei Erteilung einer Einwilligung diese jederzeit

widerrufen kann, ohne dass die Rechtmäßigkeit der bis dahin vorgenommenen Verarbeitung

entfällt


- das Beschwerderecht bei der Aufsichtsbehörde


- Im Falle einer automatisierten Entscheidungsfindung einschließlich dem sog. Profiling

müssen dem Betroffenen aussagekräftige Informationen über die verwendete Logik, die

Tragweite und angestrebten Auswirkungen einer derartigen Verarbeitung mitgeteilt werden



Werden die Daten nicht direkt beim Betroffenen erhoben, kommen nach Art. 14 DSGVO noch folgende Informationspflichten hinzu:


- den betroffenen Personen müssen die Kategorien der personenbezogenen Daten genannt

werden


- Darlegungspflicht des berechtigten Interesses, sollten die Daten aufgrund berechtigter

Interessen des für die Verarbeitung Verantwortlichen oder Dritter erhoben werden (Art. 6

Abs. 1)


- Darüber hinaus muss den betroffenen Personen ab Geltung der Grundverordnung kenntlich

gemacht werden, aus welchen Quellen die personenbezogenen Daten stammen und ob sie

aus öffentlich zugänglichen Quellen kommen


Laut Ansicht der Aufsichtsbehörden soll generell nach dem aus dem BDSG bekannten Prinzip der transparenten Nutzung verfahren werden. Dabei gibt es auch keine Ausnahmen mehr für NPO / NGO und den B2B-Bereich



In folgenden Fällen kann von den Informationspflichten abgesehen werden:


- Die Erteilung der Information erweist sich als unmöglich oder erfordert einen

unverhältnismäßigen Aufwand


- die Erlangung oder Weitergabe der Daten ist durch Rechtsvorschriften der Union oder der

Mitgliedstaaten ausdrücklich geregelt


- die Daten unterliegen gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem

Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht und müssen

vertraulich behandelt werden


- besondere Kategorien von Daten (im Wesentlichen wie im BDSG festgelegt -> Gesundheit,

politische Ansichten, rassische Herkunft etc.), dürfen nicht ohne Einwilligung der

Betroffenen verarbeitet werden



Sonstiges (DS-GVO)


Datenschutzbeauftragte(r)


Ist geregelt im BDSG-N, behält Grundsätze des "alten" BDSG bei, die EU-DSGVO bestimmt aber auch, dass verantwortliche Stellen, die besondere Kategorien von Daten (z.B. Gesundheitswesen) verarbeiten, oder gewerbsmäßigen Handel mit Daten betreiben (z.B. Adressenverlage) unabhängig von der jeweiligen Betriebsgröße, einen Datenschutzbeauftragten bestellen müssen




Auftragsverarbeitung


Die Prinzipien der Auftragsdatenverarbeitung entsprechen weitestgehend denen, die bereits im BDSG festgelegt waren. Die neue Begrifflichkeit heißt "Auftragsverarbeiter". Die Pflichten werden deutlich erweitert, da Auftragsverarbeiter in die Mithaftung genommen werden können. Ferner sind sowohl bei der verantwortlichen Stelle als auch beim Auftragsverarbeiter Verfahrensverzeichnisse analog zu führen / dokumentieren


Die aus dem §9 (BDSG) bekannten technisch-organisatorischen Maßnahmen zur Wahrung einer größtmöglichen Datensicherheit finden sich in der DS-GVO fast wortgleich wieder


Verträge (ADV) mit Dienstleistern müssen neu geschlossen werden, bisherige ADV verlieren ihre Gültigkeit


Verfahrensverzeichnis


Es gibt keine Pflicht mehr, ein öffentliches Verfahrensverzeichnis zu führen. Verfahrensverzeichnisse werden in Verarbeitungsverzeichnisse umbenannt. Die internen Verarbeitungsverzeichnisse müssen deutlich umfangreicher ausfallen, als dies bisher nach BDSG vorgeschrieben war


Arbeitnehmerdatenschutz


Fand in die DS-GVO keinen Einzug. Es gelten die - weiterhin unzureichenden - Regelungen des BDSG, die ins BDSG-N übernommen wurden


Videoüberwachung


Fand in die DS-GVO keinen Einzug. Eine entsprechende Öffnungsklausel wurde im BDSG-n (zumindest für den öffentlichen Bereich) sehr weitreichend formuliert



Weitere Informationen und Unterstützung zu diesem Thema erhalten Sie bei unserem Schwesterunternehmen ZB Datenschutz und -sicherheit GmbH & Co. KG ().


Mit freundlichen Grüßen


Ulrich Braunbach

Firmen- & Pressekontakt