Neues EU-Datenschutzrecht zum : Was muss ich als deutscher Betrieb jetzt tun?

Transkript

1 Neues EU-Datenschutzrecht zum : Was muss ich als deutscher Betrieb jetzt tun? Muss ein nrmaler Handwerksbetrieb überhaupt das Thema Datenschutz prüfen? JA! Durch die neue eurpäische Datenschutzgrundverrdnung (DSGVO) ändern sich zum die bereits jetzt bestehenden (deutschen) Vrschriften zum Datenschutz. Ziel ist die Harmnisierung beim Schutz vn persnenbezgenen Daten. Deutschland hat sein Bundesdatenschutzgesetz s geändert, dass es zu den eurpäischen Vrschriften passt und diese zum Teil knkretisiert. Der Zentralverband des Deutschen Handwerks wird Mitte Nvember 2017 umfangreiche Muster für die knkreten Umsetzungsschritte veröffentlichen. Dieses Merkblatt dient der ersten Orientierung und zeigt auf, welche Themenbereiche ein Betriebsinhaber im Blick haben muss. Welche Fragen muss ich im Betrieb auf jeden Fall jetzt klären, um vrbereitet zu sein? 1.) Muss ich im Betrieb einen Datenschutzbeauftragten nach den neuen Regelungen des 38 Abs. 1 BundesdatenschutzG neu benennen? 2.) Habe ich Aufträge zur Verarbeitung persnenbezgener Daten an Dritte (z.b. Lhnbuchhaltung etc.) vergeben? Was muss ich dann tun? 3.) Wie verwalte ich im Betrieb persnenbezgene Daten vn Mitarbeitern und Kunden? Habe ich eine Datenbank? 4.) Welche Grundsätze muss ich bei jeder Verarbeitung vn persnenbezgenen Daten einhalten? 5.) Fazit: Was müssen Sie jetzt als tun? 6.) Was passiert, wenn ich die neuen Regelungen zum nicht einhalte? 1.) Muss ich in meinem Betrieb einen Datenschutzbeauftragten benennen? Die Bestellung vn Datenschutzbeauftragten ist schn nach der aktuellen Rechtslage klar geregelt: Daran wird sich auch durch das neugefasste BundesdatenschutzG nichts ändern: Die neue Regelung in 38 Absatz 1 BDSG-neu entspricht weitgehend den bisherigen Regelungen, ergänzt sie jedch um einige Punkte. Hier ein kurzer Überblick: -> Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) auf jeden Fall dann, wenn im Betrieb 10 Persnen der mehr ständig mit der autmatisierten Datenverarbeitung (dazu siehe unten) beschäftigt sind. Derzeit müssen DSB bestellt werden, wenn in einem Betrieb in der Regel mehr als 9 Persnen regelmäßig persnenbezgene Daten autmatisch verarbeiten. -> Hinweis: Wurde ein DSB im Betrieb benannt, s hat dieser Snderkündigungsschutz. Er kann als nur nch außerrdentlich, nicht aber fristgemäß gekündigt werden. Dies gilt auch dann, wenn in einem Kleinbetrieb mit weniger als 10 Persnen freiwillig ein DSB ernannt wurde. -> Prüfungsfragen für den Betrieb: Wie viele Persnen haben im Betrieb mit persnenbezgenen Daten zu tun? Es zählen nicht nur Arbeitnehmer sndern auch Leiharbeitnehmer, Auszubildende, Praktikanten der auch der Geschäftsführer selbst. 1

2 Was sind persnenbezgene Daten? Jeder Betrieb verarbeitet diese! Denn dies sind alle Infrmatinen, die sich auf eine identifizierte der identifizierbare natürliche Persn (als keine juristischen Persnen wie z.b. GmbHs) beziehen als Adressen (auch -Adressen), Geburtstage, erteilte Aufträge eines Kunden, Krankheitstage/ Arbeitsstunden der Mitarbeiter etc.. Was heißt autmatisierte Verarbeitung? Sie liegt immer dann vr, wenn Cmputer, mderne Smartphnes ( -Verkehr, WhatsApp) der auch Videanlagen mit Aufzeichnungsfunktin eingesetzt werden zur Datenerhebung / speicherung,/ -veränderung,/ -löschung der Datennutzung z.b. in Datenbanken, der beim -Verkehr. Was bedeutet in der Regel mehr als 9 Persnen beschäftigt? Es zählen auch Persnen mit, die gelegentlich anfallende Verarbeitungsaufgaben regelmäßig wahrnehmen und diese Aufgabe nicht vn vrnherein für einen kurz bemessenen Zeitraum etwa als Urlaubsvertretung ausüben. Was ist, wenn die Anzahl der Persnen schwankt? Eine zeitweise und kurzfristige Unter- bzw. Überschreitung der Zahl 10 ist unerheblich. Dies führt weder zu einer Verpflichtung, einen Beauftragten zu bestellen, nch sllte sie zur Gelegenheit genmmen werden, die Arbeit vn bereits bestellten Datenschutzbeauftragten zu beenden. Wenn ich einen Datenschutzbeauftragten benennen muss wie geht das? Bisher muss eine schriftliche Bestellung erflgen. In der Neuregelung zum wurde nicht knkretisiert, wie die Benennung umzusetzen ist. Wegen der Rechtsflgen einer Benennung ist jedch auch zukünftig eine schriftliche Benennung zu empfehlen. Dazu frmuliert die Geschäftsleitung auf dem Firmenbgen eine Ernennung, vgl. Muster vm ZDH. Dieses Schreiben wird vn der Geschäftsleitung unterschrieben. Die Ernennung kann jederzeit unabhängig vm snstigen Bestand des Arbeitsvertrages widerrufen werden. Wer kann Datenschutzbeauftragte/r (DSB) werden? * Die Persn, die die Verantwrtung für den Datenschutz übernimmt, muss fachlich geeignet sein als Kenntnis in der Datenverarbeitung und im Datenschutz persnenbezgener Daten haben (ggfs. Schulung vrnehmen!). * Die Persn muss Einblick in die entscheidenden Przesse haben, insbesndere in die, in denen persnenbezgene Daten verarbeitet werden. * Die Persn darf durch die Funktin nicht in einen Interessensknflikt geraten können (dies könnte z.b. beim Leiter der Persnalabteilung der dem GF der Fall sein, wenn sich diese dann selbst kntrllieren würden). Was muss man tun, wenn der Datenschutzbeauftragte benannt ist? * Seine Kntaktdaten im Betrieb ( -Adresse, Telefnnummer) sind z.b. auf der Hmepage zu veröffentlichen. Was muss der Datenschutzbeauftragte machen? Die Aufgaben und Pflichten eines betrieblichen Datenschutzbeauftragten sind in Art. 39 DSGVO geregelt und ähneln den Aufgaben, die bereits jetzt im Bundesdatenschutz G stehen sehr: * Überwachung der Einhaltung der DSGVO/ natinalen Snderregelungen; Sensibilisierung / Schulung im Betrieb * Zusammenarbeit mit der Aufsichtsbehörde Achtung: Wer bleibt letztendlich für den Datenschutz verantwrtlich? Grundsätzlich bleibt für die Einhaltung der datenschutzrechtlichen Vrschriften nach Artikel 24 Abs. 1 DSGVO der Betrieb selbst verantwrtlich. Der Betriebsinhaber bleibt als in der Haftung kann aber die Aufgaben zur Einhaltung der Vrgaben des Datenschutzes auf eine vn ihm ausgewählte Persn delegieren dies kann eben ein Datenschutzbeauftragter aus dem Betrieb der auch ein Externer sein. 2

3 2.) Was muss ich tun, wenn ich persnenbezgene Daten durch einen Dienstleister wie z.b. einen Steuerberater zur Lhnabrechnung verarbeiten lasse? Das Gesetz bezeichnet dies als Auftragsdatenverarbeitung Schn bisher musste dafür ein schriftlicher Vertrag über die Datenverarbeitung geschlssen werden. Ab dem kmmt es nicht mehr darauf an, b Ihr Dienstleister weisungsgebunden handelt der nicht. Er hat nun eigene gesetzliche Pflichten, die er beachten muss. Daher müssen Sie hier die Verträge anpassen vgl. dazu die Musterfrmulierungen der Merkblätter des ZDH. 3.) Was muss ich beachten, wenn ich z.b. Kundendaten in einer Datenbank speichere? Sbald in einem Betrieb derartige persnenbezgene Daten verarbeitet werden, muss der Verantwrtliche (s.u.) nachweisen, dass in seinem Betrieb die Przesse s umgesetzt sind, dass die Vrgaben der EU-DSGVO eingehalten werden in welcher Frm diese Pflicht zur Rechenschaft erfüllt wird, ist nicht vrgeschrieben daher kann dies auch in elektrnischer Frm erflgen. (vgl. dazu dann die ausführlichen Unterlagen des ZDH). Eine Möglichkeit (nicht zwingend vrgeschrieben!) ist die Einhaltung eines genehmigten Zertifizierungsverfahrens, das Dienstleister anbieten. Einen Zwang zur Zertifizierung gibt es aber nicht! Wer ist der Verantwrtliche? Jeder, der allein der gemeinsam mit anderen (Kllegen) darüber entscheidet, b er Daten verarbeitet, als erhebt, speichert der weitergibt. In einem Betrieb kann dies entweder nur der Chef sein, es können aber auch die Mitarbeiter in Persnalabteilung, Vertrieb, Auftragsabwicklung der im Kundendienst sein. Wann ist die Nutzung vn persnenbezgenen Daten zukünftig erlaubt? Ohne Einwilligung des Betrffenen (vgl. Art. 6 DSGVO und 22, 24, 26 BDSG), wenn sie zur Auftragserfüllung nötig ist ( z.b. Speicherung der Adresse der Baustelle, Kntdaten zur Verwaltung der Abschlagszahlungen). wenn sie zur Begründung, Abwicklung der Beendigung vn Arbeitsverhältnissen nötig ist (als z.b. Krankheitstage, Arbeitsstunden, für die Lhnbuchhaltung, Adressen der Mitarbeiter/Innen) wenn sie zur Durchführung vrvertraglicher Aktivitäten, wie z.b. Zusendung eines Angebtes erfrderlich ist wenn sie der Wahrung berechtigter Interessen des Handwerksbetriebes dient, (gezielte Ansprache vn Stammkunden), wenn die Interessen der betrffenen Persn nicht überwiegen Hinweis: Direktwerbung gegenüber Stammkunden für eigene ähnliche Dienstleistungen ist als zulässig allerdings nur, wenn der Kunde der Verwendung der Daten nicht widersprchen hat und er bei der Erhebung der Adresse auf Verwendung und Widerspruchsmöglichkeit hingewiesen wurde.(art. 21 Abs. 2 DSGVO). Zulässig dürfte es auch weiterhin hne Einwilligung sein, wenn Sie eine Werbeaktin mit Daten aus allgemein zugänglichen Quellen durchführen. mit Einwilligung des Betrffenen- z.b. für Werbemaßnahmen gegenüber Dritten, mit denen keine Geschäftsbeziehungen bestehen Achtung: Damit eine Einwilligung rechtlich wirksam ist, gibt es gesetzliche Mindestanfrderungen, sie sllten aus Beweisgründen in Textfrm erflgen. Die betrffene Persn kann ihre Einwilligung widerrufen über das entsprechende Widerrufsrecht ist zu belehren. Vgl. dazu im Einzelnen das Muster des ZDH. 3

4 4.) Welche Grundsätze muss ich bei jeder Verarbeitung vn persnenbezgenen Daten einhalten? Auch wenn die Verarbeitung persnenbezgener Daten nach den.g. Spielregeln zulässigerweise im Betrieb erflgt, haben Sie die Pflicht, sich über flgende Fragen Gedanken zu machen und die Antwrten in einem Verzeichnis, dem sgenannten Verfahrensverzeichnis zusammenzustellen: Welchen Zweck verflgen Sie mit der Erhebung/ Speicherung/ Verarbeitung der persnenbezgenen Daten? (Sie müssen den Zweck vrher festlegen kein Abfischen vn Daten, um mal zu sehen, wfür ich sie brauchen kann!) Erheben Sie auch wirklich nur die Daten, die Sie für diesen Zweck brauchen? Haben Sie die ggfs. erfrderliche Einwilligung des Betrffenen eingehlt? (s..) Speichern Sie die Daten auch nur slange, wie es für den Zweck erfrderlich ist? Berichtigen/ Löschen Sie falsche Daten? Zur Kntrlle hat der Betrffenen flgende Rechte, es ist sinnvll, diese in einer kurzen Datenschutzinfrmatin zusammenzufassen auch dazu wird es Muster geben. Transparenzgebt: Auf Nachfrage hat der Verantwrtliche der betrffenen Persnen hinsichtlich der Verarbeitung seiner persnenbezgenen Daten in verständlicher und leicht zugänglicher Frm unverzüglich, mindestens jedch innerhalb eines Mnats Auskunft zu geben. Infrmatinspflicht: Achtung: Betrffene haben zwar grundsätzlich das Recht, infrmiert zu werden darüber, welche Daten wie lange und zu welchem Zweck gespeichert werden. Diese Infrmatin muss aber u.a. dann nicht gegeben werden, wenn ihm diese Infrmatinen bereits bekannt sind ( Arbeitnehmer wissen, dass ihre persönlichen Daten zur Abrechnung erhben und verarbeitet werden) der wenn die Bekanntgabe einen unverhältnismäßigen Aufwand bedeuten würden. Recht auf Berichtigung: Der Betrffene hat den Anspruch, dass unzutreffende persnenbezgene Daten berichtigt werden. Recht auf Löschung besteht dann, wenn die Daten für den Zweck, zu dem sie erhben wurden, nicht mehr benötigt werden, z.b. nach Ausscheiden eines Mitarbeiters müssen Persnaldaten gelöscht werden. Recht auf Einschränkung des Umfangs der Verarbeitung, wenn sie über den Zweck, der damit verflgt wird, hinausgeht. Im Betrieb ist eine kurze Organisatinsanweisung hilfreich, was zu tun ist, wenn ein Betrffener eines seiner Rechte geltend macht: Wer reagiert auf derartige Anfragen? In welcher Frm? 5.) Fazit: Was als müssen Sie jetzt tun? Prüfung, b in Ihrem Betrieb ein Datenschutzbeauftragter benannt werden muss (vgl. 1.) Ansnsten Klärung der Frage, wer für die Einhaltung der Datenschutzvrschriften zuständig sein sll verantwrtlich im Sinne der Haftung bleibt immer der Betriebsinhaber. Erstellen einer Übersicht, welche persnenbezgenen Daten vn Kunden und Mitarbeitern an welchen Arbeitsplätzen verarbeitet werden Achtung: Denken Sie auch an Smartphnes auf der Baustelle der im Kundendiensteinsatz, wenn darauf mit Kundendaten gearbeitet wird. ( Vgl. 3). Prüfung der Fragen nach Zweck der Erhebung/ Speicherung, Dauer, Berichtigung, (vgl. 4.) Prüfung, b für die Verarbeitung der Daten eine Einwilligung der Betrffenen erfrderlich ist (vgl. 3.) Erstellen des entsprechenden Verfahrensverzeichnisses Prüfung, b die Verträge mit externen Dienstleistern angepasst werden müssen 4

5 6.) Was passiert, wenn ich die neuen Vrschriften nicht einhalte? Die Datenschutzaufsichtsbehörde, in Niedersachsen die Landesbeauftragte für den Datenschutz, Hmepage: kann deutliche Bußgelder verhängen: Bei leichteren Verstößen bis zu 2 %, bei schwereren Fällen bis zu 4 % des gesamten Jahresumsatzes. 5