Datenschutz-Grundverordnung (DS-GVO)/ Bundesdatenschutzgesetz (BDSG)

Transkript

1 Datenschutz-Grundverordnung (DS-GVO)/ Bundesdatenschutzgesetz (BDSG) Kommentar Begründet von Rechtsanwalt Dr Hans-Jürgen Schaffland und Dipl-Kfm Noeme Wiltfang DS-GVO/BDSG Lfg 2/17 IV/17 Bearbeitet von Rechtsanwalt Dr Hans-Jürgen Schaffland Rechtsanwältin Gabriele Holthaus und Rechtsanwältin Dr Astrid Schaffland

2 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar Weitere Informationen zu diesem Titel finden Sie im Internet unter ESVinfo/ ISBN ISSN Alle Rechte vorbehalten Erich Schmidt Verlag GmbH & Co KG, Berlin 2017 wwwesvinfo Satz und Druck: Meta Systems, Wustermark

3 Inhaltsverzeichnis 0010 Inhaltsverzeichnis Vorwort 0005 Stichwortverzeichnis 0015 Abkürzungsverzeichnis 0020 Texte zur Datenschutz-Grundverordnung Datenschutz-Grundverordnung (DS-GVO) 0050 Erwägungsgründe 0051 Allgemeine Hinweise, Synopse, Überblick 0190 Kommentar Kapitel I Allgemeine Bestimmungen Artikel 1 Gegenstand und Ziele 0200 Art 1 Artikel 2 Sachlicher Anwendungsbereich 0200 Art 2 Artikel 3 Räumlicher Anwendungsbereich 0200 Art 3 Artikel 4 Begriffsbestimmungen 0200 Art 4 Artikel 5 Kapitel II Grundsätze Grundsätze Verarbeitung personenbezogener Daten 0200 Art 5 Artikel 6 Rechtmäßigkeit der Verarbeitung 0200 Art 6 Artikel 7 Bedingungen für die Einwilligung 0200 Art 7 Artikel 8 Artikel 9 Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft 0200 Art 8 Verarbeitung besonderer Kategorien personenbezogener Daten 0200 Art 9 Artikel 10 Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten 0200 Art 10 Artikel 11 Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist 0200 Art 11 Kapitel III Rechte der betroffenen Person Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person 0200 Art 12 Artikel 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person 0200 Art 13 DS-GVO/BDSG Lfg 8/17 X/17 1

4 0010 Inhaltsverzeichnis Artikel 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden 0200 Art 14 Artikel 15 Auskunftsrecht der betroffenen Person 0200 Art 15 Artikel 16 Recht auf Berichtigung 0200 Art 16 Artikel 17 Recht auf Löschung ( Recht auf Vergessenwerden ) 0200 Art 17 Artikel 18 Recht auf Einschränkung der Verarbeitung 0200 Art 18 Artikel 19 Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung 0200 Art 19 Artikel 20 Recht auf Datenübertragbarkeit 0200 Art 20 Artikel 21 Widerspruchsrecht 0200 Art 21 Artikel 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling 0200 Art 22 Artikel 23 Beschränkungen 0200 Art 23 Kapitel IV Verantwortlicher und Auftragsverarbeiter Abschnitt 1 Allgemeine Pflichten Artikel 24 Verantwortung des für die Verarbeitung Verantwortlichen 0200 Art 24 Artikel 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen 0200 Art 25 Artikel 26 Gemeinsam für die Verarbeitung Verantwortliche 0200 Art 26 Artikel 27 Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern 0200 Art 27 Artikel 28 Auftragsverarbeiter 0200 Art 28 Artikel 29 Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters 0200 Art 29 Artikel 30 Verzeichnis von Verarbeitungstätigkeiten 0200 Art 30 Artikel 31 Zusammenarbeit mit der Aufsichtsbehörde 0200 Art 31 Abschnitt 2 Sicherheit personenbezogener Daten Artikel 32 Sicherheit der Verarbeitung 0200 Art 32 Artikel 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde 0200 Art 33 Artikel 34 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person 0200 Art 34 2

5 Inhaltsverzeichnis 0010 Abschnitt 3 Datenschutz-Folgenabschätzung und vorherige Konsultation Artikel 35 Datenschutz-Folgenabschätzung 0200 Art 35 Artikel 36 Vorherige Konsultation 0200 Art 36 Abschnitt 4 Datenschutzbeauftragter Artikel 37 Benennung eines Datenschutzbeauftragten 0200 Art 37 Artikel 38 Stellung des Datenschutzbeauftragten 0200 Art 38 Artikel 39 Aufgaben des Datenschutzbeauftragten 0200 Art 39 Abschnitt 5 Verhaltensregeln und Zertifizierung Artikel 40 Verhaltensregeln 0200 Art 40 Artikel 41 Überwachung der genehmigten Verhaltensregeln 0200 Art 41 Artikel 42 Zertifizierung 0200 Art 42 Artikel 43 Zertifizierungsstellen 0200 Art 43 Kapitel V Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen Artikel 44 Allgemeine Grundsätze der Datenübermittlung 0200 Art 44 Artikel 45 Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses 0200 Art 45 Artikel 46 Datenübermittlung vorbehaltlich geeigneter Garantien 0200 Art 46 Artikel 47 Verbindliche interne Datenschutzvorschriften 0200 Art 47 Artikel 48 Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung 0200 Art 48 Artikel 49 Ausnahmen für bestimmte Fälle 0200 Art 49 Artikel 50 Internationale Zusammenarbeit zum Schutz personenbezogener Daten 0200 Art 50 Die Kommentierung weiterer Kapitel wird durch Folgelieferungen ergänzt (Fortsetzung auf Seite 3) DS-GVO/BDSG Lfg 10/17 XII/17 2a

6

7 Inhaltsverzeichnis 0010 Bundesdatenschutzgesetz und weitere nationale Vorschriften Übersicht Bundesdatenschutzgesetz (neu) vor 0300 Bundesdatenschutzgesetz (BDSG neu) 0300 Bundesdatenschutzgesetz (BDSG) 1000 Baden-Württembergisches Landesdatenschutzgesetz 1200 Bayerisches Datenschutzgesetz 1210 Berliner Datenschutzgesetz 1220 Bremisches Datenschutzgesetz (BrDSG) 1230 Hamburgisches Datenschutzgesetz 1240 Hessisches Datenschutzgesetz 1250 Niedersächsisches Datenschutzgesetz 1260 Datenschutzgesetz Nordrhein-Westfalen 1270 Landesdatenschutzgesetz Rheinland-Pfalz 1280 Saarländisches Datenschutzgesetz 1290 Landesdatenschutzgesetz Schleswig-Holstein 1300 Kirchengesetz ev Kirche 1310 Kirchengesetz kath Kirche 1320 Thüringer Datenschutzgesetz 1330 Sächsisches Datenschutzgesetz 1340 Brandenburgisches Datenschutzgesetz 1350 Datenschutzgesetz Sachsen-Anhalt 1360 Landesdatenschutzgesetz Mecklenburg-Vorpommern 1370 Ergänzende Leitlinien und gesetzliche Vorschriften OECD-Leitlinien: Schutz Persönlichkeitsbereich/grenzüberschreitender Verkehr personenbezogener Daten 1700 Europarat: Schutz des Menschen bei automatischer Verarbeitung personenbezogener Daten 1720 Bundesmeldegesetz (BMG) 1800 Telekommunikationsgesetz, Auszug 2050 Telemediengesetz 2052 Signaturgesetz 2054 Informationsfreiheitsgesetz 2800 DS-GVO/BDSG Lfg 9/17 XI/17 3

8 0010 Inhaltsverzeichnis Kommentar Bundesdatenschutzgesetz (BDSG) Erster Abschnitt Allgemeine und gemeinsame Bestimmungen 1 Zweck und Anwendungsbereich des Gesetzes Öffentliche und nicht-öffentliche Stellen Weitere Begriffsbestimmungen a Datenvermeidung und Datensparsamkeit a 4 Zulässigkeit der Datenerhebung, verarbeitung und nutzung SCHUFA-Klausel zu Kontoeröffnungsanträgen Anh 1 4a Einwilligung a Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern a Anh 1 Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern a Anh 2 Elektronische Einwilligung a Anh 3 SCHUFA-Klausel Telekommunikationsanträge a Anh 4 SCHUFA-Klausel Kontoeröffnungsanträge a Anh 5 Schweigepflichtentbindungsklauseln in Versicherungsverträgen a Anh 6 4b Grenzüberschreitender Datenverkehr b Standardvertragsklauseln für den Drittlandstransfer b Anh 1 Standardvertragsklauseln für Auftragsdatenverarbeitung in Drittländern b Anh 2 Verzeichnis internationaler Datenschutzbehörden b Anh 3 4c Grenzüberschreitender Datenverkehr Ausnahmen c 4d Meldepflicht d 4e Inhalt der Meldepflicht e 4f Beauftragter für den Datenschutz f Muster Bestellungsurkunde f Anh 1 Outsourcingvertrag Datenschutz f Anh 2 Grundsätze zur DSB-Bestellung f Anh 3 Wichtige Regelungen für DSB f Anh 4 Mindestanforderungen Fachkunde/Unabhängigkeit DSB nach 4f Abs 2 und 3 BDSG f Anh 5 4g Aufgaben des Beauftragten für den Datenschutz g 4

9 Inhaltsverzeichnis 0010 Merkblatt: Aufgaben des betrieblichen Beauftragten für den Datenschutz g Anh 1 Merkblatt über wichtige Regelungen des BDSG g Anh 2 Leitfaden: Aufgaben des DSB g Anh 3 5 Datengeheimnis Verpflichtungserklärung in Verbindung mit der Schulung nach 4g Abs 1 Satz 3 Nr 2) Anh 1 Verpflichtungserklärung gemäß 5 BDSG Anh 2 Verpflichtungserklärung zur Vernichtung von Altmaterial Anh 3 Verpflichtungserklärung ADM gegenüber Bank zur EDV-Nutzung / zum Bankgeheimnis Anh 4 Verpflichtungserklärung SCHUFA-Verfahren Anh 5 6 Rechte des Betroffenen a Automatisierte Einzelentscheidung a 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen b Muster einer Dokumentation der Angaben nach 4e Satz 1 Nr 1 bis 7 BDSG b Anh 1 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien c 7 Schadensersatz durch nicht-öffentliche Stellen Schadensersatz durch öffentliche Stellen Technische und organisatorische Maßnahmen Ausführung zur Umsetzung von 9 und Anlage Anh 1 Der PC-Einsatz Hinweise/Empfehlungen Anh 2 Vermittlung von IT-Sicherheitsthemen Anh 3 9a Datenschutzaudit a 10 Einrichtung automatisierter Abrufverfahren Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag Mustervereinbarung Datenschutz und zur Datensicherheit Anh 1 Mustervertrag BITKOM Anh 1a Auftragnehmer verschiedener Branchen Anh 2 Vereinbarung technischer und organisatorischer Sicherheitsmaßnahmen Anh 3 DS-GVO/BDSG Lfg 7/17 IX/17 5

10 0010 Inhaltsverzeichnis Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung 12 Anwendungsbereich Datenerhebung Datenspeicherung, veränderung und nutzung Datenschutzrechtliche Grundsätze bei Internet / -Nutzung am Arbeitsplatz Anh 1 Orientierungshilfe datenschutzgerechte Nutzung von /Internetdiensten am Arbeitsplatz Anh 2 15 Datenübermittlung an öffentliche Stellen Datenübermittlung an nicht-öffentliche Stellen Datenübermittlung an Stellen außerhalb des Geltungsbereiches dieses Gesetzes (aufgehoben) Durchführung des Datenschutzes in der Bundesverwaltung Zweiter Unterabschnitt Rechte des Betroffenen 19 Auskunft an den Betroffenen a Benachrichtigung a 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht Anrufung der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit 22 Wahl und Unabhängigkeit der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Rechtsstellung der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Kontrolle durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Beanstandungen durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Weitere Aufgaben der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit Dritter Abschnitt Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung 27 Anwendungsbereich

11 Inhaltsverzeichnis Datenerhebung und speicherung für eigene Geschäftszwecke Checkliste zur Prüfung der Zulässigkeit, des Erhebens, Verarbeitens und des Nutzens von Daten Anh 1 Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern Anh 2 28a Datenübermittlung an Auskunfteien a 28b Scoring b 29 Geschäftsmäßige Datenerhebung und speicherung zum Zweck der Übermittlung SCHUFA-Merkblatt Anh 1 SCHUFA-Klausel zu Kontoeröffnungsanträgen Anh 2 SCHUFA-Klausel zu Bürgschaftserklärungen Anh 3 SCHUFA-Klausel zu Kreditanträgen Anh 4 SCHUFA-Klausel zu grundpfandrechtlich gesicherten Kreditanträgen bei Kreditinstituten Anh 5 Hinweise SCHUFA-Klausel Anh 6 30 Geschäftsmäßige Datenerhebung und speicherung zum Zwecke der Übermittlung in anonymisierter Form a Geschäftsmäßige Datenerhebung und speicherung für Zwecke der Markt- oder Meinungsforschung a 31 Besondere Zweckbindung Datenerhebung, verarbeitung und nutzung für Zwecke des Beschäftigungsverhältnisses Gesetzesentwurf der Bundesregierung Anh 1 Zweiter Unterabschnitt Rechte des Betroffenen 33 Benachrichtung des Betroffenen Muster Benachrichtigung Anh 1 Checkliste Benachrichtigungspflicht Anh 2 34 Auskunft an den Betroffenen Muster Auskunft Anh 1 Muster Auskunft (Fortsetzung) Anh 2 35 Berichtigung, Löschung und Sperrung von Daten Dritter Unterabschnitt Aufsichtsbehörde 36 Bestellung eines Beauftragten für den Datenschutz (aufgehoben) DS-GVO/BDSG Lfg 7/17 IX/17 7

12 0010 Inhaltsverzeichnis 37 Aufgaben des Beauftragten für den Datenschutz (aufgehoben) Aufsichtsbehörde Checkliste Erfüllung der Aufgaben nach Anh 1 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen Vierter Abschnitt Sondervorschriften a 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien Datenschutzbeauftragter der Deutschen Welle a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten 42b Antrag der Aufsichtsbehörde auf gerichtliche Entscheidung bei angenommener Rechtswidrigkeit eines Beschlusses der Europäischen Kommission Fünfter Abschnitt Schlussvorschriften a b 43 Bußgeldvorschriften Strafvorschriften Sechster Abschnitt Übergangsvorschriften 45 Laufende Verwendungen Weitergeltung von Begriffsbestimmungen Übergangsregelung Bericht der Bundesregierung Allgemeine Verwaltungsvorschriften der Länder Hinweise 7015 Inhaltsübersicht vor 7020 Beschlüsse der Datenschutzaufsichtsbehören