DSGVO: Transparenz ist Basis für Vertrauen! Spendengütesiegelforum, 23. April 2018

Größe: px

Ab Seite anzeigen:

Download "DSGVO: Transparenz ist Basis für Vertrauen! Spendengütesiegelforum, 23. April 2018"

Frida Schreiber
vor 5 Jahren
Abrufe

1 DSGVO: Transparenz ist Basis für Vertrauen! Spendengütesiegelforum, 23. April 2018

2 2

3 Jede juristische Präsentation beginnt (i) mit einem Witz, oder (ii) mit Angst (Witze sind heute leider aus)

4 Warum DSGVO-Projekt? Bisher stiefmütterlich... nunmehr Sanktionen: Geldbußen bis EUR 20 Mio oder 4% Welt-Jahres- Konzern-Umsatzes (je was höher) Persönliche Haftung der Täter materieller oder immaterieller Schadenersatz mit Beweislastumkehr Datenschutz-Schutzverbände NOYB Strafbemessungsgründe in DSGVO 4

5 Schaumgebremst in AT? DSG Haftung: Primär juristische Person für Organe Es ist (!) von der Bestrafung des 9 VStG- Verantwortlicher abzusehen, wenn keine besonderen Umstände vorliegen Regress bei Organen?! Nach Gesellschafts- und Vereinsrecht 5

6 Daher: 6

7 Worum geht es denn eigentlich inhaltlich?!

8 Datenverarbeitungsverbot mit Erlaubnisvorbehalt Verbot personenbezogene Daten zu verarbeiten, außer ein gesetzlich normierter Erlaubnisgrund erlaubt die Datenverarbeitung. Viele Erlaubnisgründe 8

9 Rechtmäßigkeit Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt. In der Praxis: Personal-, Buchhaltungs- (insoweit auch Spender- und Spenden-),...-verwaltung aufgrund gesetzlicher Vorgaben 9

10 Rechtmäßigkeit Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen. In der Praxis: Kunden-, Lieferanten-, (Vertrags)Spender-...-verwaltung 10

11 Rechtmäßigkeit berechtigte Interessen des Verantwortlichen erforderlich, sofern nicht die Interessen des Betroffenen überwiegen. In der Praxis: Offline-Marketing-Verwaltung für Spendenakquistion e-marketing: Spam-Verbot! DAHER: (wie bisher) Einwilligung erforderlich! 11

12 Rechtmäßigkeit Erst, wenn Vorgenannte nicht greifen: Betroffener hat Einwilligung zu Zweck und Daten gegeben. informiert aktiv beweisbar jederzeit widerruflich 12

13 Verbot unter Erlaubnisvorbehalt ist nicht neu! Aber die Rahmenbedingungen sind zt durch DSGVO neu!

14 Zehn Gebote Rechtmäßigkeit (bereits besprochen) Treu und Glauben Transparenz (= Informationspflicht ) Zweckbindung (eigentlich durch DSGVO liberalisiert ) Datenminimierung (= Notwendigkeitsbegrenzung ) Richtigkeit (und Aktualität) Speicher(dauer)begrenzung Integrität (= IT-Sicherheit ) Vertraulichkeit (= Daten-Sicherheit ) Rechenschaftspflicht = ( Verfahrensverzeichnis ) 14

15 Revolution der DSGVO = mehr formeller Datenschutz Ein Haus zu bauen

16 Geschäfts führung Organisation DSMS DSB InfoSecManSys Rechenschaftspflicht Verfahrensverzeichnis Betroffenen- Rechte Daten Missbrauch DS- Folgeabsch (Internationaler) Datentransfer/ Auftragsverarb. Daten- bzw Informationssicherheit Informationspflichten: Datenschutz und Informationssicherheit Rechtmäßige Verwendung: Zehn Gebote, Privacy by Design and by Default Verwendungsgrund zur Rechtmäßigkeit Personenbezogene Daten (grds Verwendungsverbot) Anonyme Daten 16

17 Betroffenenrechte Betroffene haben das Recht auf Information (äußerst umfassend Transparenz ) Auskunft (Datenkopie + Info) Richtigstellung ( Bestreitungsverm, inkl 3t-Info) Löschung (von unrechtm DV, inkl 3t-Info) Einschränkung ( on hold ) Datenübertragbarkeit (bei Einwill od Vertrag) Widerspruch (Direktmarketing od besond Umstände) Beschwerderecht bei der Aufsichtsbehörde 17

18 Interdisziplinär 18

19 DSGVO- Projektwelle Organisation IT Recht 19

20 Projektteam Awareness Continuous Improvement Information Gathering Handbuch Info-Pflicht BetroffenenR etc Implementation Fit-Gap Analysis 20

21 Verarbeitungstätigkeit = Anwendungsfall" Anwendungsfälle ( Use-Cases ) werden durch den Zweck die Betroffenen die Datenkategorien die Empfängerkreise (und deren Sitz) der Datenanwendung definiert. 21

22 Was macht Ihr den ganzen Tag Sprechen wir bitte die gleiche Sprache: IT: Womit verarbeiten wir Daten? Org: Wie komme ich sicher zu Spendern? Law: Warum verarbeitet Ihr personenbezogene Daten? Wie, sehen wir uns im zweiten Schritt an! 22

23 Datenschutz-Haus Anwendungsfall 1: Anwendungsfall 2: Anwendungsfall 3: Anwendungsfall 4: Anwendungsfall n: Rechnungswesen und Logistik Spenderverwaltung Kundenbetreuung und Marketing für eigene Zwecke Personalverwaltung für privatrechtliche Dienstverhältnisse??? Daten- bzw Informationssicherheit Personenbezogene Daten (grds Verwendungsverbot) Anonyme Daten 23

24 Vorstand Organisation DSMS DSB ISMS Rechenschaftspflicht Verfahrensverzeichnis Betroffenen- Rechte Data Breach DPIA (Internationaler) Datentransfer/ Auftragsverarb. Daten- bzw Informationssicherheit Policies: Datenschutz und Informationssicherheit Rechtmäßige Verwendung: Zehn Gebote, Privacy by Design and by Default Verwendungsgrund zur Rechtmäßigkeit Personenbezogene Daten (grds Verwendungsverbot) Anonyme Daten 24

25 Fokus auf Zweck Granular Priorisierung Fit-Gap-Analyse Recht Informationssicherheit Verträge Info-Pflicht DSFA Verfahrensverz Anwendungsfall Implementierung Datenschutz-Manager Tools Abstrakte Anforderungen Krisenpläne Prozessermittlung Organisation Recht Technik DSMS Betroffenrechte Implementierung 25

26 Was passiert am ? 26

27 Was ändert sich für Spendensammler? Löschungsverpflichtung Information über Datenverarbeitung Auskunft über gespeicherte Daten Spenderdatenbank sensible Daten (?) Spenderdatenbank notwendige Daten Einwilligung (???) Postalische Zusendungen (idr nicht) Elektronische Zusendungen (idr ja) 27

28 Was sollten Sie bis zum erledigt haben? Datenschutz-Projekt (vorerst) abgeschlossen Datenschutzerklärung auf Website Datensicherheitsmaßnahmen Verträge mit Auftragsverarbeitern Verfahrensverzeichnis Prozess für BetroffenenR und Data Breach Bestellung Datenschutzbeauftragter (??) 28

Zertifizierter Datenschutzbeauftragter T +43

29 MMag. Thomas Stranzinger LL.M. (IT-LAW) Steuerberater, Wirtschaftsprüfer Managing Partner Allgemein beeideter und gerichtlich zertifizierter Sachverständiger Zertifizierter Datenschutzbeauftragter T E t.stranzinger@solidaris.at Ölzeltgasse 3/ Wien

Ähnliche Dokumente

Datenschutz neu MAG. STEFANIE DÖRNHÖFER, LL.M.

Datenschutz neu MAG. STEFANIE DÖRNHÖFER, LL.M. Übersicht Rechtsgrundlagen Grundsätze der Datenverarbeitung Wann dürfen Daten verarbeitet werden? Pflichten des Verantwortlichen Betroffenenrechte Rechtsbehelfe,