123 Tage DSGVO Wo drückt bei Hochschulen und Forschungseinrichtungen noch am meisten der Schuh?

Transkript

1 123 Tage DSGVO Wo drückt bei Hochschulen und Forschungseinrichtungen noch am meisten der Schuh? 69. DFN-Betriebstagung, RA Dr. Jan K. Köcher Datenschutzauditor, DFN-CERT Slide 1

2 123 Tage DSGVO Die Welt ist am nicht untergegangen Slide 2

3 Gründe Auch bisher: Durften personenbezogene Daten nur aufgrund einer Rechtsgrundlage verarbeitet werden Mussten Dokumentationen geführt werden Mussten Verarbeitungen transparent gemacht werden Gab es Betroffenenrechte auf Auskunft, Berichtigung, Widerspruch und Löschung Musste bei besonders gefährlichen Verarbeitungen eine Risikoanalyse vorab erfolgen (Freigabe/Vorabkontrolle) Slide 3

4 Rechtsgrundlagen DSGVO Art. 6 Abs. 1 a): Einwilligung des Betroffenen Art. 6 Abs. 1 b): Vertragsdurchführung, vorvertragliche Datenverarbeitung Art. 6 Abs. 1 c): Verarbeitung ist zur Erfüllung einer rechtlichen Pflicht erforderlich, der der Verantwortliche unterliegt Art. 6 Abs. 1 e): Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt Hochschulen: Art. 6 Abs. 1 e) i.v.m Art. 6 Abs. 3 i.v.m. Hochschulgesetz, -zulassungsgesetz, Satzungen, VOen Art. 6 Abs. 1 f): Berechtigtes Interesse, nicht bei überwiegendem Interesse des Betroffenen Erwägungsgrund 49: Sicherheit als berechtigtes Interesse! ABER: Nicht für Behörden in Erfüllung ihrer Aufgaben! Slide 4

5 Telemedien/ Telekommunikation Nutzungsdaten /Verkehrsdaten Art. 6 Abs. 1 f): Berechtigtes Interesse Abrechnung Seitenoptimierung (bisher 15 Abs. 3 TMG) -> Weiter nur pseudonym und mit Opt-Out? Leistungserschleichungen -> Weiter nur bei tatsächlichen Anhaltspunkten? Nutzungsdaten zur Erkennung und Beseitigung von Störungen (bisher nicht im TMG geregelt) -> EuGH, Urt. v , Rs. C-582/14 Breyer./. BRD -> Umfassender Störungsbegriff wie bei 100 Abs. 1 TKG? -> Maximale Speicherdauer ohne Anhaltspunkte 7 Tage? Slide 5

6 Verzeichnis Verarbeitungen Anpassung der Verarbeitungen an die Voraussetzungen der DS-GVO Erwägungsgrund (171): Bereits laufende Verarbeitungen sollten bis in Einklang mit der DSGVO gebracht werden Oft ist nur die Anpassung der Rechtsgrundlage erforderlich Einwilligungen? Verzeichnis der Verarbeitungen Angaben sind mit bisherigem Verfahrensverzeichnis vergleichbar Problem: Oft besteht kein oder kein vollständiges Verfahrensverzeichnis Folgeproblem: Ohne Verzeichnis der Verarbeitung keine Erfüllung Rechenschaftspflicht, Betroffenenrechte und keine DSFA möglich Slide 6

7 Verzeichnis der Verarbeitungen Art. 30 Abs. 1: Verantwortliche Angaben: Name, Kontaktdaten Verantwortlicher und bdsb Zwecke der Verarbeitung Kategorien Betroffener und Daten Kategorien Empfänger, Empfänger Drittländer Ggf. Übermittlungen Drittland / Nennung Wenn möglich: Löschfristen Wenn möglich: Allgemeine Beschreibung TOM Slide 7

8 Informationspflichten Allgemeine Informationen: Name und Kontaktdaten des Verantwortlichen (VV) Kontaktdaten des Datenschutzbeauftragten (VV) Hinweis auf die Betroffenenrechte (Neu) Hinweis auf Beschwerderecht Aufsichtsbehörde (Neu) Zusätzliche Informationen Zwecke der Verarbeitung und Rechtsgrundlage (VV) Wenn Art. 6 Abs. 1 f), dann das berechtigte Interesse (Neu) Empfänger oder Kategorien von Empfängern (VV) Absicht der Übermittlung in ein Drittland (VV) Dauer Speicherung oder Kriterien der Festlegung (VV) Falls zutreffend Hinweis auf Widerrufsoption und Folgen bei Einwilligung (Neu) Information über die Erforderlichkeit und welche Konsequenzen eine Nichtbereitstellung von Daten hätte (teils neu) Automatisierte Entscheidungsfindung einschließlich Profiling (Neu) Slide 8

9 Recht auf Auskunft Art. 15 Recht auf Auskunft Auskunft ob personenbezogene Daten verarbeitet werden Anspruch auf kostenlose Kopie eigener Daten Weitere Informationen zur Verarbeitung: Zwecke, Empfänger, Speicherdauer, Betroffenenrechte, Ggf. Auskunft zur Datenquelle, Ggf. automatisierte Entscheidungen, Ggf. Übermittlung Drittland Slide 9

10 Einschränkung Auskunft 11 Abs. 1 DSG NRW (Kooperationspflicht): Werden große Mengen von Informationen über den Betroffenen verarbeitet, kann der Verantwortliche eine Präzisierung verlangen, auf welche Informationen oder welche Verarbeitungsvorgänge sich das Ersuchen bezieht. Beschränkung (nicht in HH und SN!): Daten ausschließlich zu Zwecken Datensicherung oder Datenschutzkontrolle Teils: Unverhältnismäßiger Aufwand Verarbeitung zu anderen Zwecken ist durch geeignete technische und organisatorische Maßnahmen ausgeschlossen Slide 10

11 Meldepflicht Art. 33 DSGVO Innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde Auftragsverarbeiter hat eine Verletzung unverzüglich an den Verantwortlichen zu melden Ausnahme: Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten natürlicher Personen Inhalt: Beschreibung Art der Verletzung, Kategorien, ungefähre Anzahl Betroffener, ungefähre Zahl betroffener Datensätze Name und Kontaktdaten des Datenschutzbeauftragten Beschreibung der wahrscheinlichen Folgen Beschreibung der ergriffenen und vorgeschlagenen Maßnahmen zur Behebung oder Abmilderung Slide 11

12 Verantwortlichkeiten DSGVO Verantwortliche Stelle Muss alle Anforderungen aus der EU-DSGVO erfüllen Grundsätzlich keine Option zur Übertragung der Umsetzung an den behördlichen DSB Behördlicher Datenschutzbeauftragter (bdsb) Überwachung der Umsetzung des Datenschutzes Überwachung der Schulung Unterstützung der Leitung bei der Umsetzung auf Anfrage Unterstützung der mit der Umsetzung beauftragten Mitarbeiter Beratung von Projekt- und Prozessverantwortlichen Ansprechpartner für die Aufsichtsbehörden Slide 12

13 Vielen Dank für die Aufmerksamkeit RA Dr. Jan K. Köcher Datenschutzauditor, DFN-CERT Slide 13