Hinweis: Die Angaben zu den einzelnen Gesetzen im Datenschutz dienen der Orientierung. Es handelt sich nicht immer um die vollständige Formulierung.

Transkript

1 Die neue europäische grundverordnung (EU-DSGVO) wird ab dem erstmals in Deutschland angewendet und tritt mit Vorrang neben das neugefasste Bundesdatenschutzgesetz (BDSG). Die EU-DSGVO erweitert den Rechtsrahmen des BDSG, um Regelungen zum in den Mitgliedsstaaten der Europäischen Union zu vereinheitlichen. Mit dieser neuen Verordnung werden insbesondere die individuellen Rechte und Freiheiten von Einzelpersonen gegenüber der Nutzung ihrer personenbezogenen Daten gestärkt. Hinweis: Die Angaben zu den einzelnen Gesetzen im dienen der Orientierung. Es handelt sich nicht immer um die vollständige Formulierung. BDSG Bundesdatenschutzgesetz / DSGVO grundverordnung Gewerbetreibende + 26 BDSG neu Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses Personenbezogene Daten dürfen vom AG gespeichert werden, wenn dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn ein dokumentierter tatsächliche Anhaltspunkt für eine Straftat vorliegt und die Persönlichkeitsrechte des/der Betroffenen dadurch nicht verletzt werden. NOTIZEN: DIHK-Bildungs-GmbH 25

2 Sind Sie als Sicherheitsmitarbeiter verpflichtet, bestimmungen gemäß BDSG und DSGVO einzuhalten? Ja, denn Sie kommen bei Ihrer Kontrolltätigkeit oft in sensible Bereiche (z. B. in Geschäftsräume, in denen Daten verarbeitet oder gelagert werden) oder müssen bei Vorkommnissen gegebenfalls Personalien aufnehmen (z. B. bei Unfällen oder Veranstaltungen). Pflicht: Schutz vor Verlust unbefugtem Zugriff Beschädigungen Art. 1 DSGVO 1 BDSG Gegenstand und Ziele Wozu dient die neue grundverordnung/das Bundesdatenschutzgesetz? Schutz der Persönlichkeitsrechte beim Umgang mit personenbezogenen Daten Regelung der Rechtsgrundlagen bei der Datenverarbeitung Geltungsbereich Bundesdatenschutzgesetz (BDSG)/grundverordnung (DSGVO) Bundesverwaltung Privatwirtschaft Verarbeitung für eigene Zwecke Einzelpersonen Unternehmen private Gesellschaften juristische Personen fremde Zwecke Auskunfteien Marktforschungsinstitute Detekteien 26 DIHK-Bildungs-GmbH

3 Was sind personenbezogene Daten? Die Definition Personenbezogener Daten wird durch die neue DSGVO erweitert: Art. 4 DSGVO Begriffsbestimmung Neben den Personenbezogenen Daten wie Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person/Betroffener werden jetzt ebenfalls alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, bei der Verabeitung mit einbezogen. Dazu gehören unter anderem Genetische Informationen Gesundheitsinformationen Kulturelle Zugehörigkeit Wirtschaftliche Verhältnisse Sozialer Status Was heißt Verarbeitung von Daten? Unter Verarbeitung fällt nun nach DSGVO jeder mit oder ohne Hilfe automatisierter im Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Dazu gehören das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Wann ist die Verarbeitung von Daten rechtmäßig? Rechtmäßig ist die Verarbeitung dann, wenn eine Einwilligung, eine rechtliche Verpflichtung oder ein lebenswichtiges Interesse vorliegt. Personenbezogene Daten sind generell sorgsam zu behandeln und vor Missbrauch oder willkürlichem Zugriff Unbefugter zu schützen. Art. 6 DSGVO Rechtmäßigkeit der Verarbeitung DIHK-Bildungs-GmbH 27

4 Art. 6 DSGVO Rechtmäßigkeit der Verarbeitung Wann dürfen personenbezogene Daten für eigene Zwecke erhoben, verarbeitet oder genutzt werden? Grundsätzlich als Mittel für die Erfüllung eigener Geschäftszwecke zulässig, wenn mit dem Betroffenen ein Vertrag oder ein vertragsähnliches Vertrauensverhältnis besteht. berechtigte Interessen der speichernden Stellen gewahrt werden müssen. Daten aus allgemein zugänglichen Quellen entnommen werden können. Beachtung der schutz - würdigen Interessen des Betroffenen! Der Zweck der Erhebung personenbezogener Daten ist für die Verarbeitung und Nutzung von Daten konkret festzulegen. Art. 13 DSGVO Informationspflicht Wann und von wem muss ein Betroffener über die Speicherung seiner Daten benachrichtigt werden? Werden personenbezogene Daten ohne Kenntnis des Betroffenen erstmals gespeichert, ist dieser von der verantwortlichen Stelle zum Zeitpunkt der Erhebung zu informieren. Bei Speicherung für eigene Zwecke über: Speicherung, Art der Daten, Zweckbestimmung, Verarbeitung, Nutzung, Identität der verantwortlichen Stelle Bei geschäftsmäßiger Speicherung zum Zwecke der Übermittlung über: die erstmalige Übermittlung Art der Datenübermittlung Der Betroffene ist über die Erhebung in einer präzisen, transparenten, verständlichen und leicht zugänglichen Form und einer klaren sowie einfachen Sprache zu informieren. 28 DIHK-Bildungs-GmbH

5 Kann der Betroffene Auskunft über seine gespeicherten Daten verlangen? Art. 12 DSGVO Rechte der betroffenen Personen Der Betroffene kann schriftlich Auskunft über die von ihm gespeicherten Daten verlangen. Auskunft über die zu seiner Person gespeicherten Daten deren Herkunft den Zweck der gespeicherten Daten die Weitergabe von Daten an Dritte Die Auskunft muss unverzüglich, spätestens binnen einer Frist von einem Monat, erteilt werden (Art. 12 Abs. 3 DSGVO). Wann kann der Betroffene verlangen, dass Daten berichtigt, gelöscht und/oder gesperrt werden? Berichtigung Die Daten sind unrichtig. Die Speicherung ist unzulässig. Art. 5 Abs. 1 DSGVO das Recht zur Berichtigung, Löschung und Sperrung von Daten Löschen Sperren Der Zweck der Speicherung ist nicht mehr erforderlich. Der Löschung stehen gesetzliche/vertragliche Aufbewahrungsfristen nicht entgegen. Die Richtigkeit wird vom Betroffenen bestritten. Wann muss ein beauftragter bestellt werden? Eine Verpflichtung zur Bestellung eines beauftragten in Unternehmen besteht grundsätzlich nur dann, wenn die Kerntätigkeit des Unternehmens die Verarbeitung besonders sensibler Daten (z. B. Gesundheitsdaten) oder eine systematische Überwachung von betroffenen Personen ist. Art. 37 DSGVO Benennung eines beauftragten Eine Mindestzahl von mit der Datenverarbeitung beschäftigten Personen gibt es gemäß DSGVO nicht mehr. Hinweis: Ein beauftragter muss gemäß DSGVO kein Mitarbeiter des Unternehmens sein. DIHK-Bildungs-GmbH 29

6 Art. 37 Abs. 5 DSGVO ivm 5 Abs. 3 BDSG Benennung eines beauftragten Welche Bedingungen und Voraussetzungen sind bei der Bestellung des beauftragten zu beachten? Der Beauftragte muss die berufliche Qualifikation und notwendige Fachkunde auf dem Gebiet des rechtes sowie der entsprechenden Praxis besitzen. Ein Nachweis darüber ist zu führen. Art. 39 DSGVO Aufgaben des beauftragten Welche Aufgaben hat ein beauftragter u. a. zu erfüllen? Die Aufgaben des beauftragten: Unterrichtung und Beratung des Unternehmens und der datenverarbeitenden Beschäftigten über die bestehenden pflichten (Gesetze, Verordnungen, Rechtsprechung etc.) Überwachung der Einhaltung datenschutzrechtlicher Regelungen und betrieblicher Strategien für den Schutz personenbezogener Daten Schulung von Mitarbeitern und deren Sensibilisierung für den Beratung bei und Überwachung der Durchführung einer -Folgenabschätzung Zusammenarbeit mit den behörden Ansprechpartner für Betroffene und die behörde Art. 38 Abs. 5 DSGVO Stellung des beauftragten Ist ein beauftragter zur Geheimhaltung verpflichtet? Der beauftragte ist bei der Erfüllung seiner Aufgaben an die Wahrung der Geheimhaltung oder der Vertraulichkeit gebunden. Bei Aufnahme ihrer Tätigkeit sind Personen bei nicht-öffentlichen Stellen auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht nach Beendigung der Tätigkeit fort. NOTIZEN: 30 DIHK-Bildungs-GmbH

7 Wann ist eine Videoüberwachung zulässig und was ist zu beachten? Videoüberwachung Art. 32 DSGVO Sicherheit der Verarbeitung bzw. 4 BDSG (neu) Videoüberwachung ist nur zulässig zur Wahrnehmung des Hausrechts, zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke, bei Erforderlichkeit und wenn keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Der Umstand der Kontrolle muss durch geeignete Maßnahmen sichtbar gemacht werden (Hinweisschild). Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind. Welche technischen und organisatorischen Maßnahmen sind zur Durchsetzung der DSGVO und des BDSG erforderlich? Art. 32 Abs. 1 DSGVO Sicherheit der Verarbeitung Maßnahmen Regelungen der DSGVO gehen weit über die des alten BDSG hinaus. Maßnahmen können sein Codes of Conduct (Verhaltensregeln) und Zertifizierungen als möglicher Nachweis der Einhaltung Hier liegt ein Schwerpunkt der DSGVO, da datenverarbeitende Unternehmen genaue Prozessabläufe - wie mit den Daten umgegangen wird jederzeit aufzeigen können müssen (vgl. hierzu auch Art. 5 Abs. 2 DSGVO) Pflicht zur Einführung entsprechender interner Richtlinien Gesonderte Bestimmung zu Privacy by Design ( durch Technikgestaltung: Frühzeitiges Eingreifen mit technischen und organisatorischen Maßnahmen im Entwicklungsstadium eines Datenverarbeitungsvorgangs) und Privacy by Default ( durch datenschutzfreundliche Voreinstellungen: Werkseinstellungen datenschutzfreundlich für Nutzer gestalten) in Art. 25 DSGVO -Folgenabschätzung nach Art DSGVO / einfacher formuliert: Vorabprüfung der Risiken, Folgen und Rechtmäßigkeit der Datenverarbeitung bei: - besonders sensiblen Daten - systematischer Bewertung persönlicher Aspekte natürlicher Personen - systematischer Überwachung öffentlich zugänglicher Bereiche DIHK-Bildungs-GmbH 31