Die neue Datenschutz-Grundverordnung

Transkript

1 Die neue Datenschutz-Grundverordnung Was ist in der Praxis zu beachten? Uniserv Academy Webinar somartin - Fotolia

2 Präsentation 2

3 Datenschutz-Grundverordnung (DSGVO) Welche Konsequenzen drohen? Datenschutzrecht Bundesdatenschutzgesetz (BDSG) DSGVO Bußgeldverfahren Wettbewerbsrecht + Zivilrecht Gesetz gegen den unlauteren Wettbewerb (UWG) Bürgerliches Gesetzbuch (BGB) Abmahnungen? 3

4 Datenschutz-Grundverordnung (DSGVO) es wird teuer! Je nach Verstoß können Bußgelder verhängt werden - bis zu 10 Mio. EUR bzw. - bis zu 20 Mio. EUR bzw. - oder bis zu 4 % des gesamten, weltweit erzielten Jahresumsatzes, - je nachdem, welcher Betrag höher ist. Oliver Boehmer - bluedesign 4

5 Datenschutz-Grundverordnung (DSGVO) Und: Flucht ist keine Option! Die DSGVO gilt, wenn personenbezogene Daten von EU-Bürgern verarbeitet werden Senoldo Fotolia.com / durch Unternehmen mit Niederlassung in der EU, auch wenn die Datenverarbeitung außerhalb der EU stattfindet, / durch Unternehmen mit Niederlassung außerhalb der EU bei Datenverarbeitung im Zusammenhang mit dem (auch kostenlosen) Anbieten von Waren oder Dienstleistungen der Beobachtung des Verhaltens von Bürgern innerhalb der EU 5

6 Tipp 1 Prüfen Sie, ob Sie einen Datenschutzbeauftragten benötigen

7 Tipp1 Datenschutzbeauftragter Erforderlich? 38 BDSG neu: DSB ist zu bestellen, wenn / im Unternehmen in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung p.b. Daten beschäftigt sind, / oder die Datenverarbeitung mit einem hohen Risiko für die Betroffenen verbunden ist / oder Sie p.b. Daten geschäftsmäßig für Zwecke der Markt- oder Meinungsforschung verarbeiten. 7

8 Tipp1 Datenschutzbeauftragter Erforderlich? Aufgaben und Pflichten / Information und Beratung des Verantwortlichen zu seinen Pflichten / Überwachung der Einhaltung des Datenschutzrechts / Beratung des Verantwortlichen auf dessen Anfrage hin zur Datenschutz-Folgeabschätzung / Ansprechpartner, Zusammenarbeit mit Aufsichtsbehörden 8

9 Tipp1 Datenschutzbeauftragter Erforderlich? Wer kann Datenschutzbeauftragter werden? / Geeignete berufliche Qualifikation / Aus- und Weiterbildung zur Erlangung des Fachwissens im Bereich Datenschutzrecht und Datensicherheit / Beschäftigter des Verantwortlichen oder Externer auf der Grundlage eines Dienstleistungsvertrags 9

10 To Do 1 Datenschutzbeauftragter Erforderlich? Haftung des DSB? / Haftung des internen Datenschutzbeauftragten gegenüber dem Verantwortlichen, 280, 619 a BGB z. B. nach Falschberatung, ggf. Beschränkung durch Arbeitsrecht gegenüber dem Betroffenen, 823 BGB / Haftung des externen Datenschutzbeauftragten Haftung in voller Höhe gegenüber dem Verantwortlichen, z. B. nach Falschberatung, keine Beschränkung durch Arbeitsrecht Ansonsten OWi/ StR nach 41 ff. BDSG 10

11 Tipp 1 Datenschutzbeauftragter Erforderlich? Was ist also genau zu tun? / Prüfen Sie, ob in Ihrem Unternehmen ein DSB bestellt werden muss und nehmen Sie die Bestellung ggf. sofort vor. 11

12 Tipp 2 Legen Sie ein Verzeichnis der Verarbeitungstätigkeiten an.

13 Tipp 2 Verarbeitungsverzeichnis Was ist das? / Bislang gab es im BDSG schon Verfahrensverzeichnisse, zuständig war der Datenschutzbeauftragte. / Jetzt neu: Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DSGVO / Neu: Zuständig ist der Verantwortliche, d.h. die Unternehmensführung 13

14 Tipp 2 Verarbeitungsverzeichnis Muss jedes Unternehmen auch kleine eines haben? Einschränkung für kleine Unternehmen mit < 250 Mitarbeitern, WENN / die von ihnen vorgenommene Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, / oder die Verarbeitung nur gelegentlich erfolgt, / oder keine sensitive Daten verarbeitet werden (z. B. Gesundheitsdaten, Daten aus Strafregistern ) Nur in diesen Ausnahmefällen ist kein Verfahrensverzeichnis erforderlich, sonst schon! 14

15 Tipp 2 Verarbeitungsverzeichnis Beispiele für Verarbeitungen : / Outlook / CRM / Newsletter-System / Webseiten-Tracking (IP-Adresse!) / Personal-Management-System / 15

16 Tipp 2 Verarbeitungsverzeichnis Was gehört rein? / Zweck der Datenverarbeitung; / Beschreibung der Kategorien der betroffenen Personen und der personenbezogener Daten; / Kategorien von Empfängern, ggü. denen die Daten offengelegt wurden und noch werden (auch im Ausland) / Fristen für die Löschung der Daten; / Ggf. Datenübermittlung in Drittstaaten / Beschreibung der TOMs, die die Datensicherheit gewährleisten / 16

17 Tipp 2 Verarbeitungsverzeichnis Wie muss es aussehen? Muster / 17

18 Tipp 2 Verarbeitungsverzeichnis Was ist also genau zu tun? / Legen Sie sofort ein Verarbeitungsverzeichnis an und pflegen dieses fortlaufend. 18

19 Tipp 3 Überprüfen Sie, ob Sie eine Rechtsgrundlage für die jeweilige Datenverarbeitung haben.

20 Tipp 3 Rechtsgrundlagen der DV Die neuen Erlaubnistatbestände nach Art. 6 DSGVO / Einwilligung des Betroffenen; / berechtigtes Interesse an der Datenverarbeitung + schutzwürdige Interessen des Betroffenen (insbesondere von Kindern) stehen dem nicht entgegen; / Erforderlichkeit / zur Erfüllung eines Vertrags; / für vorvertragliche Maßnahmen auf eine Anfrage hin; / zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen; 20

21 Tipp 3 Rechtsgrundlagen der DV Die neuen Erlaubnistatbestände nach Art. 6 DSGVO Frage: Dürfen wir unsere Kundendaten nach der DSGVO auch für Werbe-Zwecke nutzen? Antwort: Nein! Alle Erlaubnistatbestände der DSGVO sind zweckgebunden! D. h.: Daten dürfen immer nur zu dem Zweck erhoben, verarbeitet und genutzt werden, den die DSGVO im Einzelfall erlaubt. Ist der Zweck erfüllt, dürfen die Daten nicht zu anderen Zwecken genutzt werden. 21

22 Tipp 3 Rechtsgrundlagen der DV Sie benötigen also für jede Datenverarbeitung eine Rechtsgrundlage Die jeweiligen Prozesse gehören mit ihren einzelnen Erlaubnistatbeständen - in das Verarbeitungsverzeichnis - In die Datenschutzinformation 22

23 Tipp 3 Rechtsgrundlagen der DV Was ist also genau zu tun? / Prüfen Sie alle Prozesse, in denen p. D. verarbeitet werden anhand der Folie Die neuen Erlaubnistatbestände nach Art. 6 DSGVO dahingehend, ob Sie für alles eine Rechtsgrundlage haben. 23

24 Tipp 4 Passen Sie Ihre Auftragsverarbeitungsverträge an.

25 Tipp 4 Auftragsverarbeitungsverträge Cloud-Dienste/Auftragsdatenverarbeitung / Lohnbuchhaltung in der Cloud / Managed Hosting / -Marketing in der Cloud / CRM in der Cloud / Google Analytics / Schreibbüros / Übersetzungsdienste / Externen Call-Center / Anrufdienste / usw. 25

26 Tipp 4 Auftragsverarbeitungsverträge Bisher: Auftragsdatenverarbeitungsverträge nach dem alten 11 BDSG / Auftragsdatenverarbeitung ist nach dem jetzigen BDSG als Datenverarbeitung durch einen Auftragnehmer im Auftrag und auf Weisung eines Auftragsgebers definiert: / Der Auftragsgeber haftet gegenüber der Aufsichtsbehörde / Der Auftragsgeber ist Herr der Daten. 26

27 Tipp 4 Auftragsverarbeitungsverträge Neu nach DSGVO: Auftragsverarbeitungsverträge / Nach der DSGVO ist nur noch ein Auftragsverhältnis bezüglich der Datenverarbeitung erforderlich und darauf, ob der Auftragsnehmer dabei weisungsgebunden ist oder nicht, kommt es nicht mehr an. / Auch der Auftragsnehmer haftet jetzt nach DSGVO. / Es ist kein separater ADV mehr erforderlich, sondern der Datenschutz kann im Auftrag/Dienstvertrag mit geregelt werden. 27

28 Tipp 4 Auftragsverarbeitungsverträge Die neuen Pflichten des Auftragsverarbeiters / Umfangreichere Dokumentationspflichten als bisher; / Führen von Verfahrensverzeichnissen; / Umsetzung technischer und organisatorischer Maßnahmen zur Datensicherheit zur Gewährleistung der Datensicherheit; / Bestellung eines Datenschutzbeauftragten; / Zusammenarbeit mit der Aufsichtsbehörde; / Meldepflichten bei Datenpannen; / Datentransfers in Drittländer nur im Rahmen der DSGVO; / Verpflichtung aller Mitarbeiter zur Verschwiegenheit; / Bestellung eines Vertreters innerhalb der EU, wenn der Auftragsverarbeiter seine Niederlassung außerhalb der EU hat. 28

29 Tipp4 - Auftragsverarbeitungsverträge Muster 29

30 Tipp 4 Auftragsverarbeitungsverträge Was ist also genau zu tun? / Listen Sie alle Dienstleistungsverträge/Aufträge auf, bei denen ein Auftragsverarbeitungsverhältnis besteht und prüfen, ob die Verträge schon umgestellt sind. 30

31 Tipp 5 Legen Sie alle Prozesse und Abläufe mit Datenverarbeitungen fest.

32 Tipp5 Prozesse und Abläufe Das sind die neuen Rechte der Betroffenen, Art. 15 ff DSGVO / Auskunft / Löschung / Recht auf Vergessenwerden / Recht auf Datenübertragbarkeit / Widerspruchsrecht / Recht auf Einschränkung der Verarbeitung 32

33 Tipp5 Prozesse und Abläufe Können Ihre Mitarbeiter das? / Löschungsanträge müssen sofort erledigt werden. / Sonstige Anträge müssen unverzüglich, spätestens innerhalb eines Monats erledigt werden; Verlängerung um zwei Monate möglich, wenn erforderlich; Mitteilung der Gründe für die Verzögerung an Betroffenen. / Bei Ablehnung des Antrags: Unterrichtung des Betroffenen spätestens innerhalb eines Monats über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen. 33

34 Tipp5 Prozesse und Abläufe Können Sie eigentlich löschen? / In welchen Systemen befinden sich die Datensätze zu einem Betroffenen? Gibt es mehrere? Können alle gleichzeitig gelöscht werden? / Gibt es Daten, die gesetzlich nicht gelöscht werden dürfen? / Alle Daten aktuell und zu einem Betroffenen auffindbar? / Wer ist zuständig und entscheidet? 34

35 Tipp 5 Prozesse und Abläufe Was ist also genau zu tun? / Organisationsanweisungen bzw. Prozesshandbuch mit Regelung der Abläufe und Zuständigkeiten / Ggf. Einrichtung eines Onlineformulars für die Anträge der Betroffenen (aber keine Pflicht zur Nutzung!) 35

36 Tipp 6 Erstellen Sie ein Löschkonzept.

37 Tipp6 Löschkonzept Art. 17 DSGVO / Der Verantwortliche muss p. D. ohne unangemessene Verzögerung löschen, wenn z. B. Zweck der Datenerhebung erreicht Widerruf der Einwilligung des Betroffenen Widerspruch des Betroffenen gegen Datenverarbeitung 37

38 Tipp6 Löschkonzept Was ist also genau zu tun? Sie müssen von vornherein das Verfahren festlegen in Prozesshandbüchern/Organisationsanweisungen für alle DV: / Sobald der der Zweck/das Ziel erreicht der Datenverarbeitung erreicht ist, müssen die Daten gelöscht werden. Wer entscheidet wann und führt durch? / Beispiele: Beendigung eines Gewinnspiels Auftrag ist vor 10 Jahren erledigt und abgerechnet Widerruf der Einwilligung des Betroffenen Auf eine Angebotsanfrage hin wird kein Auftrag erteilt. 38

39 Tipp 7 Legen Sie alle Prozesse und Abläufe für den Fall von Datenpannen fest.

40 Tipp7 Datenpannen Pflichten des Verantwortlichen / Informieren der Aufsichtsbehörde unverzüglich/spätestens binnen 72 Stunden, Art. 33 DSGVO / Informieren der betroffenen Personen, Art. 34 DSGVO 40

41 Tipp7 Datenpannen Was ist also genau zu tun? / Regeln Sie die Zuständigkeiten, Berichtswege Interne Freigaben für die Kontaktaufnahme mit der Behörde 41

42 Tipp 8 Prüfen Sie, ob Sie eine Datenschutz- Folgenabschätzung durchführen müssen.

43 Tipp8 Datenschutz-Folgeabschätzung Datenverarbeitungen mit hohem Risikopotential für die Betroffenen, Art. 35 DSGVO / z. B. Datenverarbeitung besonders sensiblen Daten großer Datenmengen Besonders viele Personen betroffen / Dann ist erforderlich: Bewertung der Eintrittswahrscheinlichkeit und eines möglichen Risikos für die Betroffenen Prüfung von Maßnahmen und Verfahren zur Minimierung des Risikos 43

44 Tipp 9 Holen Sie korrekte Werbe-Einwilligungen ein.

45 Tipp 9 Werbe-Einwilligungen Art. 7, 8 DSGVO + 51 BDSG: / Nachweisbar - also mit Protokollierung: digitale Einwilligungen nur im DOI, schriftliche Einwilligungen / Betroffener muss bei Einwilligung (also im Onlineformular) darüber informiert werden, dass er ein Widerrufsrecht hat zu welchem Zweck die Datenverarbeitung erfolgt wer der Verantwortliche ist / nicht vorab angeklickte Checkbox Untätigkeit/Schweigen reicht nicht aus. 45

46 Tipp9 Werbe-Einwilligungen Muster Einwilligungstext für Formular Beispiel: Ich stimme zu, dass die Firma XY mir s mit Infos und Angeboten zum Thema zusendet. Ich kann die Einwilligung jederzeit per an widerrufen. 46

47 Tipp9 Werbe-Einwilligungen Und wie geht das mit Visitenkarten und so? 47

48 Tipp9 Unzulässige Altdaten Erwägungsgrund 171/ Beschluss Düsseldorfer Kreis Alte Einwilligungen gelten über den hinaus und dürfen weiter genutzt werden, wenn sie / gem. der EU-DSRL 95/46/EG eingeholt wurden / und bereits jetzt den Anforderungen der DSGVO entsprechen: / Freiwilligkeit der Einwilligung: Kein Verstoß gegen Koppelungsverbot / Hinweis auf jederzeitiges Widerrufsrecht / Protokollierung/Nachweis 48

49 Tipp 9 Unzulässige Altdaten Was ist also genau zu tun? / Prüfen Sie zu den bisherigen Einwilligungen, ob sie alle Rechtsanforderungen erfüllen: Freiwilligkeit, Hinweis auf das Widerrufsrecht, Nachweisbarkeit, Checkbox? - Ggf. sofortige Umstellung / Vorbereitung auf die Frage: Was soll mit unzulässigen Datenbeständen passieren? 49

50 Tipp 10 So dürfen Sie Profile anreichern

51 Tipp10 Anreicherung von Profilen Bislang 33 Abs. 2 Nr. 7 BDSG: Informationspflicht, wenn die Daten nicht beim Betroffenen erhoben werden Benachrichtigung des Betroffenen nicht erforderlich, wenn die Daten / aus allgemein zugänglichen Quellen entnommen sind und eine Benachrichtigung wegen der Vielzahl der betroffenen Fälle unverhältnismäßig ist, oder / die Benachrichtigung die Geschäftszwecke der verantwortlichen Stelle erheblich gefährden würde, es sei denn, dass das Interesse an der Benachrichtigung die Gefährdung überwiegt, 51

52 Tipp10 Anreicherung von Profilen Neu: Informationspflicht des Verantwortlichen, Art. 14 I DSGVO Grundsätzlich Pflicht der Benachrichtigung des Betroffenen über / Namen und Kontaktdaten des Verantwortlichen / Kontaktdaten des Datenschutzbeauftragten / Zweck und Rechtsgrundlage der Datenerhebung, / Kategorien der personenbezogenen Daten, die verarbeitet werden / Ggf. Empfänger oder Kategorien von Empfängern der personenbezogenen Daten / Absicht der Übermittlung der Daten in Drittländer 52

53 Tipp10 Anreicherung von Profilen Neu: Informationspflicht des Verantwortlichen, Art. 14 II DSGVO Zusätzliche Pflicht der Benachrichtigung des Betroffenen, wenn aus Gründen der Fairness und Transparenz erforderlich: / Dauer der Datenspeicherung, / Zweck und Rechtsgrundlage der Datenerhebung, / Auskunftsrecht / Beschwerderecht bei der Aufsichtsbehörde / Angabe der Quellen, aus denen die Daten stammen 53

54 Tipp10 Anreicherung von Profilen Ausnahmen von der Benachrichtigungspflicht, Art. 14 V DSGVO / Betroffener verfügt bereits über die Information / Die Information ist unmöglich oder unverhältnismäßig aufwendig. / Die Erhebung oder Übermittlung ist gesetzlich vorgeschrieben. / Es besteht ein Berufsgeheimnis oder eine sonstige satzungsmäßige Geheimhaltungspflicht. 54

55 Tipp10 Anreicherung von Profilen Neu: Informationspflicht des Verantwortlichen, Art. 14 DSGVO Benachrichtigung des Betroffenen z. B. über / FRIST: unverzüglich ab Erhebung/Erlangung der Daten, spätestens innerhalb eines Monats / WIE: z. B. innerhalb der ersten Kommunikation; Möglich ist bei Onlinediensten auch eine Datenschutzerklärung, auf die im Formular bereits verlinkt wird 55

56 Tipp10 Anreicherung von Profilen Was ist also genau zu tun? / Checken Sie, aus welchen Quellen Sie Daten erheben / Legen Sie die Prozesse fest, welche Informationen Sie den Betroffenen wann und wie zukommen lassen 56

57 Präsentation 57

58 Vielen Dank für Ihre Aufmerksamkeit!