Formularhandbuch Datenschutzrecht

Transkript

1 Formularhandbuch Datenschutzrecht 3 Herausgegeben von Dr. Ansgar Koreng Leipzig Dr. Matthias Lachenmann Bonn Bearbeitet von den Herausgebern und von Bilal Abedin, Aachen; Dr. Holger Achtermann, Leer; Matthias Bergt, Berlin; Nikolaus Bertermann, Berlin; Dr. Martin Braun, Frankfurt a. M.; Dr. Stefan Brink, Stuttgart; Christian Diekmann, LL. M., Essen; Michael Huth, Bonn; Jörg Jaenichen, Köln; Dr. Olaf Koglin, Berlin; Sascha Kremer, Pulheim; Dr. Joachim Müller, Köln; Malaika Nolde, LL. M., Düsseldorf; Dr. Carlo Piltz, Berlin; Dr. Frederike Rehker, Langenhagen; Stefan Sander, LL. M., B. Sc., Duisburg; Stephan Schmidt, Mainz; Sebastian Schwiering, Aachen; Steffen Weiß, LL. M., Bonn; Bernhard C. Witt, Ulm 2. Auflage 2018

2 Revision VII Seite Vorwort... V Bearbeiterverzeichnis... XIII Abkürzungsverzeichnis... XV Literaturverzeichnis... XXV A. Organisationsstruktur Datenschutz I. Rechenschaftspflicht (Art. 5, 24 DS-GVO)... 1 II. Datenschutz-Compliance Vorstandspflichten Die Lücke zwischen Datenschutzbeauftragtem und Datenschutz-Compliance Pflichten und Haftung bei Vorständen bzw. Geschäftsleitung sowie bei Aufsichtsräten Anforderungen an ein Compliance Management System nach IDW PS III. Datenschutzorganisation im Unternehmen Organisatorischer und strategischer Aufbau Pflichtübung, Kür oder Privacy-Manager: Vom Datenschutzbeauftragten zu Datenschutz-Compliance Dienstleister oder Kontrolleur: Die zwei Gesichter von Datenschutzabteilungen Von der Auftragsverarbeitung bis zur Verbandsarbeit: Zuständigkeitsbereiche im Einzelnen Risikoverständnis und Reifegrad einer Datenschutzorganisation Umgang mit Anfragen und Audits der Aufsichtsbehörden Formale Datenschutz-Folgenabschätzung oder Teamarbeit IV. Code of Conduct und Selbstverpflichtung zum Datenschutz Datenschutz im Code of Conduct Übersicht zu Hinweisgebersystemen (Whistleblower-Hotlines) Hinweisgebersystem (Whistleblower-Hotline) im Code of Conduct Datenschutzerklärung für ein elektronisches Hinweisgeberportal Richtlinie zum Einsatz eines Hinweisgebersystems Internal Investigations: Unternehmenspflicht vs. Datenschutz B. Der Datenschutzbeauftragte I. Benennung und Abberufung des Datenschutzbeauftragten Benennung als Datenschutzbeauftragter Abberufung durch den Arbeitgeber... 87

3 VIII II. Verträge mit externen Datenschutzbeauftragten Dienstvertrag mit einem externen Datenschutzbeauftragten Beratungsvertrag mit einem Dienstleistungsunternehmen Aufhebungsvertrag der Parteien III. Tätigkeiten des Datenschutzbeauftragten Entbindung von der Schweigepflicht Antwort auf ein Auskunftsverlangen der Aufsichtsbehörde Typische auf den Datenschutzbeauftragten des Vertragspartners bezogene Klauseln anderer Verträge C. Dokumentationspflichten im Unternehmen I. Datenschutzaudit II. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DS-GVO) III. Datenschutz-Folgenabschätzung und Konsultation (Art. 35 f. DS-GVO) Übersicht über den Verlauf einer Datenschutz-Folgenabschätzung Schwellenwertprüfung und Erforderlichkeit einer Datenschutz- Folgenabschätzung Durchführung einer Datenschutz-Folgenabschätzung Vorherige Konsultation (Art. 36 DS-GVO) IV. Verhaltensregeln und Zertifizierungen Verhaltensregeln (Art. 40 DS-GVO) Zertifizierungen (Art. 42 f. DS-GVO) V. Sicherheit der Verarbeitung und risikobasierter Ansatz Ziele der Maßnahmen zur Sicherheit der Verarbeitung Einführung zum risikobasierten Ansatz in der DS-GVO Schema zur Ermittlung von Risiken der Verarbeitungstätigkeiten Verfahren zur Durchführung von Wirksamkeitskontrollen Prüfkonzept zu Datenschutz durch Technikgestaltung und datenschutzfreundlicher Voreinstellungen VI. Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 f. DS-GVO) Mitteilung an die Aufsichtsbehörde (Art. 33 DS-GVO) Mitteilung an die betroffene Person (Art. 34 DS-GVO) Dokumentation der Verletzungen des Schutzes personenbezogener Daten (Art. 33 DS-GVO) VII. Vertraulichkeitspflichten der Beschäftigten Verpflichtung auf das Datengeheimnis mit Merkblatt Verpflichtung auf das Telekommunikationsgeheimnis mit Merkblatt Deklaratorische Belehrung über die Verpflichtung zur Wahrung von Geschäfts- und Betriebsgeheimnissen mit Merkblatt und Protokoll Vereinbarung über die Wahrung von Geschäfts- und Betriebsgeheimnissen mit Merkblatt und Protokoll

4 IX 5. Vereinbarung zur datenschutzrechtlichen Eingliederung freier Mitarbeiter in den Betrieb des Verantwortlichen Vertraulichkeitsvereinbarung für freie Mitarbeiter Merkblatt zur Wahrung der Vertraulichkeit in der sozialen Arbeit D. Richtlinien des Unternehmens I. Konzernrichtlinie der Geschäftsleitung Gesellschafterbeschluss zur Einführung einer Datenschutz- Organisation Konzernrichtlinie Datenschutz-Organisation 298 II. Unternehmensrichtlinie Datenschutz für Mitarbeiter III. Richtlinien zur Nutzung durch Beschäftigte Richtlinie zur Nutzung von Internet und Richtlinie Home Office/Mobile Office (Telearbeit) Richtlinie zur Fernwartung durch eigene Mitarbeiter Nutzungsvereinbarung zu Bring Your Own Device (BYOD) Social-Media-Guideline IV. Löschkonzepte E. Technische und organisatorische Datensicherheit I. Überblick: Rationalisierung von Datenschutzthemen im Unternehmen Methodischer Aufbau Richtlinien zur Ermittlung von Schnittmengen zu anderen Funktionen Checkliste der Rollen und ihrer Funktionen Tabellarische Aufstellung von Rollenüberdeckungen Vermeidung unrationeller Arbeitsweisen II. Technische und organisatorische Maßnahmen (Art. 32, 25 DS-GVO) Anwendung bei interner Verarbeitung und Auftragsverarbeitung Formular zur Prüfung der technischen und organisatorischen Maßnahmen III. Prüfkontrolle IV. Formular zur Prüfung von Berechtigungskonzepten F. Rechte der betroffenen Person I. Informationspflicht bei Erhebung von personenbezogenen Daten (Art. 13 f. DS-GVO) Datenschutzerklärung für Websites Datenschutzerklärung für mobile Apps Besondere Nutzungsformen von Websites Newsletter Web Analytics

5 X 6. Social Media Online-Werbung II. Auskunftsrecht der betroffenen Person (Art. 15 DS-GVO) Auskunftsverlangen der betroffenen Person Antwort auf Auskunftsverlangen mit Recht auf Kopie (Art. 15 DS- GVO) III. Recht auf Berichtigung (Art. 16 DS-GVO) IV. Rechte auf Löschung und Mitteilung (Art. 17, 19 DS-GVO) Recht auf Löschung und Recht auf Vergessenwerden (Art. 17 DS- GVO) Informationspflicht an Dritte bei einem Löschungsersuchen (Art. 17 Abs. 2 DS-GVO) V. Recht auf Einschränkung der Verarbeitung (Art. 18 DS-GVO) VI. Recht auf Datenübertragbarkeit (Art. 20 DS-GVO) G. Zusammenarbeit mit anderen Unternehmen I. Vereinbarung der Auftragsverarbeitung (Art. 28 f. DS-GVO) Vergleich Auftragsverarbeitung nach dem BDSG und der DS-GVO Richtlinie Auftragsverarbeitung Prüfliste vor Vertragsabschluss einer Auftragsverarbeitung Vertragsmuster Auftragsverarbeitung Ergänzungsvertrag zum Video-Ident-Verfahren Maßnahmenübersicht und deren risikobasierte Bewertung bei der Auftragsverarbeitung II. Formulare während der Laufzeit der Auftragsverarbeitung (Art. 28 DS-GVO) Genehmigung von Unterauftragnehmern Änderung bei den Weisungsberechtigten/-empfängern Änderung beim Datenschutzbeauftragten Änderungen in den Verfahren Meldebogen Datenschutz- oder IT-Sicherheitsvorfall im Innenverhältnis Prüfliste für Auftragsverarbeitung bei Insolvenz des Auftraggebers/ Auftragnehmers III. Fernwartung durch Drittunternehmen Anlage zur Fernwartung für externe Dienstleister Datenschutzvereinbarung für den Remotezugriff Allgemeine Bestimmungen Arbeitsanweisung zur Fernwartung für Dienstleister IV. Vertraulichkeitsvereinbarungen Vertraulichkeitsvereinbarung bei Dienstleistungsverträgen Vertraulichkeitsvereinbarung bei M&A-Transaktionen V. Gemeinsam für die Verarbeitung Verantwortliche (Art. 26 DS-GVO) VI. Einsatz von Cloud Computing im Unternehmen

6 XI VII. Datentransfers in Drittstaaten Übersicht über internationale Datentransfers (Art. 44 ff. DS-GVO) Anhänge zu den Standarddatenschutzklauseln Binding Corporate Rules Einwilligung der betroffenen Personen Antrag auf Genehmigung des Transfers personenbezogener Daten in ein Drittland ohne ausreichendes Datenschutzniveau (Art. 46 Abs. 3 DS-GVO) H. Beschäftigtendatenschutz I. Einwilligung durch Beschäftigte Einwilligungserklärung zur Veröffentlichung von Mitarbeiterfotos Einwilligungserklärung zur Speicherung von Bewerberdaten II. Beschäftigtendatenschutz bei Arbeitsunfähigkeit und betrieblichem Eingliederungsmanagement Betriebsvereinbarung zu Kranken- und BEM-Unterlagen Einladungsschreiben zum BEM III. Videoüberwachung auf Firmengeländen Checkliste zur Videoüberwachung Richtlinie und Betriebsvereinbarung zur Videoüberwachung im Betrieb Festlegungen vor Inbetriebnahme der Videoüberwachung Maßnahmen zum Schutz der betroffenen Personen Protokoll zur Auswertung von Videoaufnahmen IV. Tor- und Spindkontrollen bei Beschäftigten Checkliste zu Tor- und Spindkontrollen Betriebsvereinbarung über die Durchführung von Tor- und Spindkontrollen V. Detektiveinsatz gegen Beschäftigte VI. Betriebsvereinbarung zum Terrorlisten-Screening I. Kundendatenschutz I. Organisation des Kundendatenschutzes II. Einwilligungen durch betroffene Personen III. Einwilligung in Werbeversand/Newsletter IV. Bonitätsprüfung natürlicher Personen Bonitätsprüfung und Informationen bei Kaufverträgen Darlehen-Selbstauskunft Mieter-Selbstauskunft Haushaltsrechnung natürlicher Personen V. Checkliste bei polizeilichen Auskunftsverlangen

7 XII J. Behördliches und verwaltungsgerichtliches Verfahren I. Eingabe an eine Aufsichtsbehörde II. Antrag auf Wiederherstellung der aufschiebenden Wirkung III. Klage gegen eine Anordnung der Aufsichtsbehörde IV. Einstweiliger Rechtsschutz gegen Informationstätigkeit der Aufsichtsbehörde Sachverzeichnis