Impulsvortrag zur Datenschutz-Grundverordnung

Transkript

1 Impulsvortrag zur Datenschutz-Grundverordnung

2

3 Datenschutz-Grundverordnung (DSGVO) Die Realität sieht meist anders aus! Amazon, Ebay und Facebook haben zum Beispiel eine Unmenge an Daten über ihre Kunden / Nutzer gesammelt und nutzen diese auch zu eigenen Zwecken.

4

5 Datenschutz-Grundverordnung (DSGVO) Stichtag war der Die bisherigen, nationalen Gesetze werden modifiziert. Bundesdatenschutzgesetz (BDSG) -> wird zum durch das BDSG neu ersetzt Telemediengesetz (TMG) -> fällt nicht weg, wird aber durch Normen der DSGVO verdrängt Aber: ca. 50 Öffnungsklauseln in der DSGVO für nationale Regelungen -> Datenschutz-Anpassungs- undumsetzungsgesetz EU (DSAnpUG-EU)

6 Datenschutz-Grundverordnung (DSGVO) und es wird teuer! Je nach Verstoß können Bußgelder verhängt werden bis zu 10 Mio. EUR oder 2% des gesamten, weltweit erzielten Jahresumsatzes bzw. bis zu 20 Mio. EUR oder bis zu 4% des gesamten, weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

7

8 Datenschutz-Grundverordnung (DSGVO) Grundsätze für die Verarbeitung personenbezogener Daten, Art. 5 DSGVO Rechtmäßigkeit Treu undglauben Transparenz Zweckbindung Datensparsamkeit Richtigkeit Begrenzte Speicherung Integrität undvertraulichkeit

9 Datenschutz-Grundverordnung (DSGVO) Die Datenverarbeitung ist grundsätzlich erlaubt, wenn eine dieser Voraussetzungen erfüllt ist (Art. 6 DSGVO) Esliegt eine Einwilligung der betroffenen Person vor Es liegt ein berechtigtes Interesse an der Datenverarbeitung vor und schutzwürdige Interessen des Betroffenen (insbesondere von Kindern) stehen dem nicht entgegen Die Datenverarbeitung ist erforderlich zur Erfüllung eines Vertrags zur vorvertragliche Maßnahmen auf eine Anfrage hin zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt

10

11 Datenschutz-Grundverordnung (DSGVO) Die neue Einwilligung nach Art. 7,8 DSGVO Der Verantwortliche muss die Einwilligung nachweisen können Ist die Einwilligung Teil weiterer schriftlicher Erklärungen, muss klar unterschieden werden Hinweis auf das Widerrufsrecht des Betroffenen bei der Einwilligung Widerruf muss so einfach wie die Einwilligung sein Kopplungsverbot Opt-In: Nicht vorab angeklickte Checkboxen mit Douple-Opt-In Fortgeltung von Einwilligungen, vgl. ErwGr 171

12 Datenschutz-Grundverordnung (DSGVO) Das neue berechtigte Interesse nach Art. 6 Abs. 1 f DSGVO Berechtigtes Interesse an der Datenverarbeitung und schutzwürdige Interessen des Betroffenen (insbesondere von Kindern) stehen dem nicht entgegen Dass es sich bei den Werbeinteressen der Onlinebranche um berechtigte Interessen im Sinne der DSGVO handeln kann, ergibt sich aus dem Erwägungsgrund 47. Dieser stellt ausdrücklich klar, dass die Durchführung von Direktmarketing als berechtigtes Interesse betrachtet werden kann

13

14 Datenschutz-Grundverordnung (DSGVO) Das sind die neuen Informationspflichten für Unternehmen Art. 13, 14 DSGVO 1/2 Namen und Kontaktdaten der verantwortlichen Stelle und ggf. des Vertreters ggf. Kontaktdaten des Datenschutzbeauftragten Zweck und Rechtsgrundlage der Datenverarbeitung; sollen z.b. berechtigte Interessen die Rechtsgrundlage sein, ist darzulegen, worin sie bestehen ggf. die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten ggf. Informationen zum Datentransfer in Drittstaaten einschließlich der Rechtsgrundlage Angaben zur Speicherdauer personenbezogener Daten bzw. Kriterien, nach denen sich die Speicherdauer bestimmt

15 Datenschutz-Grundverordnung (DSGVO) Das sind die neuen Informationspflichten für Unternehmen Art. 13, 14 DSGVO 2/2 Information über das Bestehen des Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- oder ggf. Widerrufsrecht sowie das Recht auf Übertragbarkeit der Daten und das Recht auf Beschwerde bei einer Aufsichtsbehörde Hinweis, ob der Betroffene gesetzlich oder vertraglich zur Bereitstellung personenbezogener Daten verpflichtet ist ggf. Hinweis und Information zum Profiling oder eine andere Art von automatisierter Einzelfallentscheidung ggf. Herkunft der Daten: Werden die Daten nicht bei dem Betroffenen erhoben, sind die Quellen anzugeben

16

17 Datenschutz-Grundverordnung (DSGVO) Das sind die neuen Rechte der Betroffenen Art. 15 ff. DSGVO Erweitertes Auskunftsrecht mit Recht auf Kopie Berichtigung Löschung Recht auf Vergessenwerden Recht auf Datenübertragbarkeit Widerspruchsrecht Recht auf Einschränkung der Verarbeitung

18

19 Datenschutz-Grundverordnung (DSGVO) Die Auftragsdatenverarbeitung nach dem jetzigen BDSG wird zur Auftragsverarbeitung Beispiele: Lohnbuchhaltung in der Cloud Nutzen einer CRM-Anwendung in der Cloud Versendung von Newslettern undmailings über einen Cloud-Anbieter Nutzen eines externen Call-Centers für den Kundenservice Nutzen eines Anrufdienstes für eingehende Anrufe Durchführung von Gewinnspielen über eine externe Agentur Managed Hosting von Websiten/Onlineshops

20 To do 1 Auflistung aller Prozesse im Unternehmen, in denen personen-bezogene Daten erhoben und verarbeitet werden

21 To do 1 Auflistung aller Prozesse Dokumentationspflichten: Was muss ins Verzeichnis? Zweck der Datenverarbeitung Beschreibung der Kategorien der betroffenen Personen und der personenbezogenen Daten Kategorien von Empfängern, ggü. denen die Daten offengelegt wurden undnoch werden (auch im Ausland) Fristen für die Löschung der Daten Ggf. Datenübermittlung in Drittstaaten Beschreibung der TOMs, die die Datensicherheit gewährleisten

22 To do 2 Anpassung sämtlicher Rechtstexte wie Einwilligungstexte, Datenschutzinformationen, ggf. Allgemeine Geschäftsbedingungen oder sonstige Informationstexte (online, offline) in Bezug auf die Informationspflichten

23 To do 2 Informationspflichten Änderung der Rechtstexte Verantwortlicher muss informieren über (siehe oben) Zweck und Rechtsgrundlage der Datenverarbeitung ggf. die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten Datentransfer in Drittstaaten einschließlich der Rechtsgrundlage Speicherdauer Bestehen des Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- oder ggf. Widerrufsrecht sowie das Recht auf Übertragbarkeit der Daten und das Recht auf Beschwerde bei einer Aufsichtsbehörde. usw.

24 To do 2 Informationspflichten Hinweistexte bei Kontaktformularen Datenschutz-Hinweis am Ende des Kontaktformulars vor dem Senden - Button: Ihre Angaben werden selbstverständlich vertraulich behandelt. Wir nutzen Ihre persönlichen Daten ausschließlich zum Zweck der Bearbeitung Ihrer Anfrage und geben Ihre persönlichen Daten nicht an Dritte weiter. Die Datenübertragung erfolgt verschlüsselt. Hinweis in der Datenschutz-Erklärung der Website: Kontaktaufnahme Bei der Kontaktaufnahme mit dem Anbieter (zum Beispiel per Kontaktformular oder ) werden die Angaben des Nutzers zwecks Bearbeitung der Anfrage sowie für den Fall, dass Anschlussfragen entstehen, gespeichert.

25 To do 3 Überprüfung aller Erlaubnistatbestände und Einwilligungsprozesse

26 To do 3 Erlaubnistatbestände und Einwilligungen Sie erinnern sich? Die Datenverarbeitung ist nur erlaubt, wenn die Einwilligung des Betroffenen vorliegt oder ein berechtigtes Interesse an der Datenverarbeitung besteht und schutzwürdige Interessen des Betroffenen dem nicht entgegen stehen oder die Datenverarbeitung erforderlich ist zur Erfüllung eines Vertrags für vorvertragliche Maßnahmen auf eine Anfrage hin zurerfüllung einer rechtlichen Verpflichtung

27 To do 3 Erlaubnistatbestände und Einwilligungen Das ist wichtig zur Einwilligung: Nachweisbar also mit Protokollierung und Double Opt-In! Betroffener muss bei Einwilligung (also im Onlineformular) darüber informiert werden, dass er ein Widerrufsrecht hat zu welchem Zweck die Datenverarbeitung erfolgt wer der Verantwortliche ist nicht vorab angeklickte Checkbox Untätigkeit/Schweigen reicht nicht aus

28 To do 4 Überprüfung und Anpassung aller Auftragsverarbeitungsverträge

29 To do 4 Auftragsdatenverarbeitung wird zur Auftragsverarbeitung Verträge sind mit neuen Pflichten und TOMs zu aktualisieren, u.a. Zusammenarbeit mit der Datenschutzaufsicht Unterstützung des Auftraggebers bei TOMs zur Datensicherheit bei der Meldung von Datenpannen bei der Durchführung von Folgenabschätzungen

30 To do 5 Richten Sie Ihre Prozesse auf die neuen Betroffenenrechte ein

31 To do 5 Betroffenenrechte Können Ihre jetzigen Prozesse das? Auskunftsrecht dazu, ob und welche personenbezogene Daten verarbeitet werden Berichtigungsrecht Löschungsrecht Recht auf Vergessenwerden Recht auf Datenübertragbarkeit Widerspruchsrecht

32 To do 5 Betroffenenrechte Können Ihre Mitarbeiter Anträge? Eingehende Anträge von Betroffenen müssen überhaupt als Anträge erkannt unddann innerhalb der Frist bearbeitet werden.

33 To do 5 Betroffenenrechte Können Sie eigentlich löschen? In welchen Systemen befinden sich die Datensätze zu einem Betroffenen? Gibt es mehrere? Können alle gleichzeitig gelöscht werden? Gibt es Daten, die nicht gelöscht werden dürfen? z.b. vertragliche Daten mit gesetzlichen Aufbewahrungsfristen? Sind alle Daten in allen Systemen aktuell, so dass Sie den Betroffenen überhaupt noch wiederfinden?

34 Vielen Dank für Ihre Aufmerksamkeit! Kontakt: Herr Rechtsanwalt Markus Stock Rathsberger Str Erlangen 09131/ / m.stock@schorr-partner.de