Das neue Datenschutzrecht in der betrieblichen Praxis

Transkript

1 NomosPraxis Das neue Datenschutzrecht in der betrieblichen Praxis Bearbeitet von Dr. Philip Laue, Dr. Judith Nink, Sascha Kremer 1. Auflage Buch. 326 S. Softcover ISBN Recht > Handelsrecht, Wirtschaftsrecht > Telekommunikationsrecht, Postrecht, IT- Recht > Datenschutz, Postrecht schnell und portofrei erhältlich bei Die Online-Fachbuchhandlung beck-shop.de ist spezialisiert auf Fachbücher, insbesondere Recht, Steuern und Wirtschaft. Im Sortiment finden Sie alle Medien (Bücher, Zeitschriften, CDs, ebooks, etc.) aller Verlage. Ergänzt wird das Programm durch Services wie Neuerscheinungsdienst oder Zusammenstellungen von Büchern zu Sonderpreisen. Der Shop führt mehr als 8 Millionen Produkte.

2 NomosPraxis Laue Nink Kremer Das neue Datenschutzrecht in der betrieblichen Praxis Nomos

3 NomosPraxis Dr. Philip Laue Dr. Judith Nink Sascha Kremer Das neue Datenschutzrecht in der betrieblichen Praxis Dr. Philip Laue, Rechtsanwalt, Unternehmensanwalt im Bereich internationaler Datenschutz bei der Bayer AG Dr. Judith Nink, Rechtsanwältin, Datenschutzbeauftragte und Legal Counsel bei der eyeo GmbH Sascha Kremer, Fachanwalt für IT-Recht und externer Datenschutzbeauftragter, Gründungspartner der LOGIN Partners Rechtsanwälte Nomos

4 Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN Auflage 2016 Nomos Verlagsgesellschaft, Baden-Baden Gedruckt in Deutschland. Alle Rechte, auch die des Nachdrucks von Auszügen, der fotomechanischen Wiedergabe und der Übersetzung, vorbehalten.

5 Vorwort... 5 Literatur Einführung A. Allgemeines B. Anwendungsbereich der Datenschutz-Grundverordnung I. Sachlicher Anwendungsbereich Verarbeitung von Daten Personenbezug der Daten a) Identifizierbarkeit aa) Anonyme Daten bb) Pseudonymisierte Daten cc) Verschlüsselte Daten b) Natürliche Person II. Persönlicher Anwendungsbereich Der Verantwortliche a) Natürliche oder juristische Person b) Entscheidung über Zwecke und Mittel der Verarbeitung aa) Entscheidungshoheit aufgrund rechtlicher Zuweisung bb) Entscheidungshoheit aufgrund tatsächlichen Einflusses c) Gemeinsam Verantwortliche aa) Voraussetzungen bb) Rechtsfolgen Auftragsverarbeiter Kleinstunternehmen sowie kleine und mittlere Unternehmen III. Räumlicher Anwendungsbereich Anwendungsbereich der Datenschutz-Grundverordnung a) Niederlassungsprinzip nach Art. 3 Abs aa) Effektive und tatsächliche Ausübung einer Tätigkeit bb) Verarbeitung im Rahmen der Tätigkeit der Niederlassung cc) Ort der Verarbeitung b) Marktortprinzip nach Art. 3 Abs aa) Angebot von Waren und Dienstleistungen bb) Verhaltensbeobachtung cc) Benennung eines Vertreters Räumlicher Anwendungsbereich innerhalb der EU a) Sitzlandprinzip b) Territorialitätsprinzip

6 c) Sonderfall Einwilligung aa) Art. 8 Abs bb) Art. 9 Abs. 2 lit. a d) Rechtswahlklauseln IV. Öffnungsklauseln und besondere Verarbeitungssituationen Öffnungsklauseln in Einzelregelungen Verarbeitung im Beschäftigungskontext Verarbeitung zur wissenschaftlichen Forschung und zu statistischen Zwecken a) Datenminimierung und Widerspruchsrecht b) Privilegierungen Delegierte Rechtsakte und Durchführungsrechtsakte der EU-Kommission Datenschutz-Grundverordnung und E-Privacy-Richtlinie a) Rechtmäßigkeit der Verarbeitung b) Beschränkungen möglicher Zweckänderungen c) Einwilligung und Widerruf d) Datensicherheit e) Meldepflichten V. Verarbeitungsgrundsätze Zulässigkeit der Verarbeitung A. Allgemeines I. Rechtfertigung der Verarbeitung Einwilligung a) Form der Einwilligung b) Opt-In oder Opt-Out? c) Transparenz d) Widerrufsrecht e) Freiwilligkeit der Einwilligung aa) Abhängigkeitsverhältnis bb) Trennungsgebot cc) Koppelungsverbot f) Einwilligung von Kindern g) Anpassungsbedarf für Unternehmen Gesetzliche Erlaubnistatbestände a) Vertragserfüllung, Art. 6 Abs. 1 lit. b b) Gesetzliche Verpflichtung, Art. 6 Abs. 1 lit. c und öffentliches Interesse, Art. 6 Abs. 1 lit. e c) Schutz von lebenswichtigen Interessen d) Generalklausel: Berechtigte Interessen e) Zweckänderung, Art. 6 Abs f) Werbung und Adresshandel... 97

7 3. Sonstige Regelungen als Erlaubnis II. Verarbeitung von Daten eines Kindes Interessensabwägung, Art. 6 Abs. 1 lit. f Einwilligung bei Kindern, Art a) Dienst für die Informationsgesellschaft b) An Kinder gerichtetes Angebot c) Einwilligungsvoraussetzungen aa) Altersgrenzen bb) Dokumentationspflicht cc) Praktische Umsetzung dd) Allgemeines Vertragsrecht ee) Sonstige Einwilligungen von Kindern Sonstige Regelungen zum Schutz von Kindern B. Verarbeitung besonderer Datenkategorien (Art. 9) I. Grundsätzliches Verarbeitungsverbot II. Ausnahmen vom Verarbeitungsverbot Einwilligung, Abs. 2 lit. a Verarbeitung zu Archiv-, historischen, statistischen und wissenschaftlichen Zwecken, Abs. 2 lit. j III. Berufsgeheimnis, Art. 9 Abs. 2 lit. h ivm Abs IV. Öffnungsklausel, Abs C. Daten aus Strafurteilen und Straftaten, Art D. Verarbeitung ohne Identifizierung, Art E. Automatisierte Verarbeitung I. Auf einer automatisierten Verarbeitung beruhende Entscheidungen Anwendungsbereich des Art. 22 Abs Erlaubnis automatisierter Entscheidungsfindungen Pflichten des Verantwortlichen II. Profiling Begriff des Profilings Profiling nach der Datenschutz-Grundverordnung a) Scoring b) Erlaubnistatbestände c) Pflichten beim Profiling

8 3 Informationspflichten A. Ratio der Informationspflichten B. Inhalt der Informationspflichten I. Gegenstand der Information Allgemeine Informationen a) Kontaktdaten, Art. 13 Abs. 1 lit. a / Art. 14 Abs. 1 lit. a b) Darlegung der berechtigten Interessen, Art. 13 Abs. 1 lit. d / Art. 14 Abs. 2 lit. b Informationen zur Gewährleistung einer fairen und transparenten Verarbeitung a) Widerspruchsrecht, Art. 13 Abs. 2 lit. c / Art. 14 Abs. 2 lit. d b) Einwilligung c) Automatisierte Entscheidungsfindung und Profiling d) Zweckänderung Keine Direkterhebung II. Ausnahmen von der Informationspflicht III. Zeitpunkt der Information IV. Form der Information (Darstellung) Schriftlich und andere Form Mündlich Piktogramme V. Kosten VI. Überblick Informationspflichten C. Verstöße I. Bußgeld II. Unterlassungsklagengesetz III. Wettbewerbsrecht Rechte der betroffenen Person A. Überblick B. Modalitäten für die Ausübung der Rechte der betroffenen Person I. Identifizierung der betroffenen Person Vertretbare Mittel zur Prüfung der Identität Keine Vorratsverarbeitung identifizierender Daten II. Verfahren der Ausübung von Rechten der betroffenen Person Form der Übermittlung von Mitteilungen Erleichterungen bei der Ausübung Ablauf und Fristen Unentgeltlichkeit und Missbrauchsgebühr C. Auskunftsrecht I. Gegenstand des Auskunftsrechts

9 II. Bereitstellung von Kopien personenbezogener Daten Unentgeltlichkeit und Bereitstellung mehrerer Kopien Konkretisierung des Auskunftsverlangens Bereitstellung in einem gängigen elektronischen Format Beachtung der Rechte Dritter III. Auskunft aus Patientenakten D. Recht auf Berichtigung I. Berichtigung unrichtiger personenbezogener Daten II. Vervollständigung richtiger personenbezogener Daten III. Darlegungs- und Beweislast E. Recht auf Löschung und Recht auf Vergessenwerden I. Voraussetzungen für das Recht auf Löschung Löschungsgründe im Überblick Entfallen des Verarbeitungszwecks Widerruf der Einwilligung Unrechtmäßige Verarbeitung Von Kindern erhobene Daten II. Folgen des Rechts auf Löschung Löschung personenbezogener Daten Recht auf Vergessenwerden im engeren Sinn Mitteilung an Empfänger und Auskunftsrecht III. Ausnahmen vom Recht auf Löschung IV. Darlegungs- und Beweislast F. Recht auf Einschränkung der Verarbeitung I. Voraussetzungen des Rechts auf Einschränkung II. Folgen des Rechts auf Einschränkung III. Darlegungs- und Beweislast G. Recht auf Datenübertragbarkeit I. Ratio II. Anwendungsbereich III. Direktübermittlung an anderen Verantwortlichen IV. Technische Anforderungen H. Widerspruchsrecht I. Voraussetzungen für Widerspruchsrecht Allgemeines Widerspruchsrecht aus besonderer Situation Widerspruchsrecht bei Direktwerbung Ausübung mittels automatisierter Verfahren II. Folgen des Widerspruchs III. Darlegungs- und Beweislast

10 5 Verarbeitung durch Dritte und im Ausland A. Allgemeines I. Begriff der Auftragsverarbeitung Bislang geltendes nationales Recht a) Privilegierung der Auftragsverarbeitung b) Abgrenzung zur Funktionsübertragung Auftragsverarbeitung nach der Datenschutz-Grundverordnung a) Pflichten des Auftragsverarbeiters b) Auftragsverarbeitung in Drittländern II. Rechtfertigung III. Auswahl des Auftragsverarbeiters IV. Formelle Anforderungen der Auftragsverarbeitung V. Inhalt eines Vertrags zur Auftragsverarbeitung Weisungen Vertraulichkeit Einsatz von Unterauftragnehmern Beendigung des Auftrags Kontrollen VI. Konsequenzen bei Verstößen VII. Umgang mit Altverträgen B. Internationale Verarbeitung I. Allgemeines II. Angemessenheitsbeschluss, Art Allgemeines Selbstverpflichtungen a) EU-U.S. Privacy Shield aa) Inhalt bb) Compliance b) Safe Harbor (unwirksam) III. Geeignete Garantien, Art Binding Corporate Rules, Art a) Inhaltliche Anforderungen b) Genehmigungsverfahren Standarddatenschutzklauseln Genehmigte Verhaltensregeln und Zertifizierungsverfahren Genehmigte sonstige Verträge IV. Urteile und Entscheidungen aus Drittländern, Art V. Ausnahmen, Art Einwilligung Vertragliche Pflichten Auffangtatbestand Art. 49 Abs. 1 Satz

11 6 Datenschutzbeauftragter A. Rolle des Datenschutzbeauftragten B. Benennung des Datenschutzbeauftragten I. Benennungspflicht Benennungspflicht nach der Datenschutz-Grundverordnung Benennungspflicht nach dem Recht der Union oder der Mitgliedsstaaten Datenschutzbeauftragte im Konzern a) Benennung durch beteiligte Unternehmen b) Leichte Erreichbarkeit aus allen Niederlassungen Interner und externer Datenschutzbeauftragter Veröffentlichung und Mitteilung der Kontaktdaten Fortgeltung von nach dem BDSG erfolgten Bestellungen II. Voraussetzungen für die Bestellung Berufliche Qualifikation, Fachwissen und Fähigkeiten Zuverlässigkeit C. Stellung des Datenschutzbeauftragten I. Unterstützungspflicht des Verantwortlichen oder Auftragsverarbeiters II. Unabhängigkeit des Datenschutzbeauftragten Weisungsfreiheit Benachteiligungsverbot Berichtspflicht gegenüber höchster Managementebene III. Wahrung der Geheimhaltung oder Vertraulichkeit IV. Ansprechpartner für betroffene Personen D. Aufgaben des Datenschutzbeauftragten I. Unterrichtung und Beratung II. Überwachung des Datenschutzes III. Zusammenarbeit mit der Aufsichtsbehörde IV. Risikoangemessenheit der Aufgabenerfüllung E. Haftung des Datenschutzbeauftragten Technischer und organisatorischer Datenschutz A. Datensicherheit I. Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen Regelungsadressaten Inhaltliche Anforderungen a) Datenschutz durch Technik b) Datenschutzfreundliche Voreinstellungen

12 II. Sicherheit bei der Verarbeitung Regelungsadressaten Inhaltliche Anforderungen III. Praktische Umsetzung B. Informationspflichten bei Datenschutzverletzungen I. Meldepflicht gegenüber Aufsichtsbehörden Meldepflichtige Ereignisse Meldefrist Inhalt und Form der Meldung und sonstige Dokumentationspflichten Unterstützungspflicht des Auftragsverarbeiters II. Benachrichtigungspflicht gegenüber betroffenen Personen Benachrichtigungspflichtige Ereignisse Benachrichtigungsfrist Inhalt und Form der Benachrichtigung Ausnahmen von der Benachrichtigungspflicht C. Datenschutz-Folgenabschätzung I. Regelungsadressaten II. Voraussetzung der Folgenabschätzung Voraussichtlich hohes Risiko a) Gesetzliche Regelbeispiele b) Listen der zuständigen Aufsichtsbehörden Befreiung von der Folgenabschätzung für bestimmte Verarbeitungszwecke III. Durchführung der Folgenabschätzung Zusammenfassung gleichartiger Verarbeitungen Dokumentation Verhaltensregeln Einbindung des Datenschutzbeauftragten Einbindung der zuständigen Aufsichtsbehörde Einbindung der betroffenen Personen oder ihrer Vertreter a) Gegebenenfalls b) Keine entgegenstehenden kommerziellen Interessen oder Sicherheitsinteressen Überprüfung D. Verzeichnis von Verarbeitungstätigkeiten I. Bisherige Rechtslage II. Aufzeichnungspflichten nach der Datenschutz-Grundverordnung Verzeichnis des Verantwortlichen Verzeichnis des Auftragsverarbeiters

13 8 Selbstregulierung A. Verhaltensregeln (Codes of Conduct) I. Vorlageberechtigte Stellen II. Gegenstand von Verhaltensregeln III. Genehmigungsverfahren Nationale Verhaltensregeln Multinationale Verhaltensregeln IV. Überprüfung durch private Kontrollstellen V. Rechtsfolgen Bindungswirkung für Aufsichtsbehörden Nachweiserleichterungen für Pflichten aus der Datenschutz- Grundverordnung Rechtsfolgen von Verstößen gegen Verhaltensregeln B. Datenschutzzertifizierungen I. Zertifizierungsgegenstand II. Zertifizierungsmaßstab III. Zertifizierungsverfahren IV. Zertifizierungsstelle V. Rechtsfolgen Nachweiserleichterungen für Pflichten aus der Datenschutz- Grundverordnung Rechtsfolgen von Verstößen Beschäftigtendatenschutz A. Allgemeines B. Anforderungen an mitgliedstaatliche Vorschriften C. Hinweise für Arbeitgeber Zusammenarbeit mit Aufsichtsbehörden A. Allgemeines B. Stellung der Aufsichtsbehörden I. Unabhängigkeit der Aufsichtsbehörden II. Mehrere Aufsichtsbehörden in einem Mitgliedstaat C. Aufgaben der Aufsichtsbehörden I. Übersicht wesentlicher Aufgaben II. Beschwerderecht der betroffenen Person III. Unentgeltlichkeit der Aufgabenerfüllung D. Befugnisse der Aufsichtsbehörden I. Untersuchungsbefugnisse II. Abhilfebefugnisse

14 III. Genehmigungsbefugnisse und beratende Befugnisse E. Zuständigkeit und Zusammenarbeit der Aufsichtsbehörden F. I. Zuständigkeit der Aufsichtsbehörden Zuständigkeit der federführenden Aufsichtsbehörde a) Feststellung der federführenden Aufsichtsbehörde b) Mehrere Niederlassungen oder eine Niederlassung in der Union c) Abweichende Zuständigkeit bei Angelegenheiten in einem Mitgliedstaat One-Stop-Shop II. Zusammenarbeit in konkreten Angelegenheiten Vorgehen in Verantwortung der federführenden Aufsichtsbehörde Amtshilfe und gemeinsame Maßnahmen Dringlichkeitsmaßnahmen III. Kohärenzverfahren Stellungnahmen durch den Ausschuss Streitbeilegung durch den Ausschuss Zusammenarbeit von Verantwortlichen und Auftragsverarbeitern mit Aufsichtsbehörden... G. Europäischer Datenschutzausschuss Haftung, Sanktionen und Rechtsbehelfe A. Haftung I. Verletzungshandlung II. Schaden III. Anspruchsberechtigter IV. Ersatzpflichtige V. Exkulpationsmöglichkeit VI. Gesamtschuldnerische Haftung VII. Sonstige Ansprüche B. Sanktionen I. Bußgelder Ermessen der Aufsichtsbehörden Kategorien von bußgeldbewehrten Verstößen Geldbußen bei Unternehmensgruppen II. Sanktionen der Mitgliedstaaten C. Rechtsbehelfe I. Rechtsbehelfe betroffener Personen Beschwerderecht

15 2. Klagerecht a) Klagen gegen Aufsichtsbehörden b) Klagen gegen Verantwortliche oder Auftragsverarbeiter II. Rechtsbehelfe von Verantwortlichen, Auftragsverarbeitern, ua III. Rechtsbehelfe von Verbänden Vertretung von betroffenen Personen Datenschutzverbandsklage IV. Aussetzung des Verfahrens V. Rechtsbehelfe gegen Beschlüsse des Ausschusses Stichwortverzeichnis