Digitalisierung und Datenschutzgrundverordnung - Herausforderungen für jedes Unternehmen -

Transkript

1 Digitalisierung und Datenschutzgrundverordnung - Herausforderungen für jedes Unternehmen - Infoveranstaltung am Wirtschaftsförderungs GmbH Landkreis Traunstein Impulsreferat Das neue Datenschutzrecht Hohe Bußgelder drohen, aber alles nicht so schlimm? Rechtsanwalt Andreas Nörr IT-Recht einschl. Datenschutzrecht, Gewerblicher Rechtsschutz und Medienrecht Zertifizierter Mediator und Wirtschaftsmediator (MuCDR) DEUG en droit Möller Astner Funk Friedel & Hermann Rechtsanwälte PartG mbb Mühlbachbogen 1a, Rosenheim Blog mit aktuellen News zum IT-Recht, Gewerblichen Rechtsschutz und Medienrecht

2 Das neue Datenschutzrecht ab RA Andreas Nörr 2

3 Tage bis zum 25. Mai 2018 Tag der Geltung der Datenschutzgrundverordnung Das neue Datenschutzrecht ab RA Andreas Nörr 3

4 Das neue Datenschutzrecht Was ist die Datenschutzgrundverordnung (DSGVO)? einheitliches europäisches Datenschutzrecht, das in der ganzen EU gilt bisher nationale Datenschutzgesetze, die teilweise harmonisiert waren in Deutschland: Bundesdatenschutzgesetz (BDSG) BDSG wird fast komplett abgelöst durch die DSGVO Das neue Datenschutzrecht ab RA Andreas Nörr 4

5 Inhalt I. Wozu brauche ich eigentlich das Datenschutzrecht? II.Was schützt eigentlich das Datenschutzrecht? III.Was muss ich jetzt eigentlich beachten? Das neue Datenschutzrecht ab RA Andreas Nörr 5

6 I. Wozu brauche ich eigentlich das Datenschutzrecht? Das neue Datenschutzrecht ab RA Andreas Nörr 6

7 Datenschutzrecht Wozu? Das neue Datenschutzrecht ab RA Andreas Nörr 7

8 Datenschutzrecht Wozu? Das neue Datenschutzrecht ab RA Andreas Nörr 8

9 II. Was schützt eigentlich das Datenschutzrecht? Das neue Datenschutzrecht ab RA Andreas Nörr 9

10 Datenschutzrecht Was ist geschützt? Datenschutzrecht im weitesten Sinne: Persönlichkeitsrecht Kunsturhebergesetz vom Ausdruck des Persönlichkeitsrechts, Art. 2 Abs. 1 ivm Art. 1 Abs. 1 GG (BGH, Urt. v , I ZR 211/53, GRUR 1955, 197 Leserbrief) : Volkszählungsurteil des BVerfG (Recht auf informationelle Selbstbestimmung) Ausdruck der Menschenwürde Datenschutz im engeren Sinn: erst ab den 1970er Jahren Landesdatenschutzgesetze : Bundesdatenschutzgesetz (in Kraft seit ) 1995: Änderung BDSG durch EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) 2008: IT-Grundrecht: Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme (BVerfGE 120, 274 Online- Durchsuchung) Das neue Datenschutzrecht ab RA Andreas Nörr 10

11 Datenschutzrecht Was ist geschützt? Personenbezogene Daten = alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; identifizierbar = eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann; Das neue Datenschutzrecht ab RA Andreas Nörr 11

12 Datenschutzrecht Was ist geschützt? Personenbezogene Daten = alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; nur natürliche Personen sind geschützt! Juristische Personen können sich nicht darauf berufen! Das neue Datenschutzrecht ab RA Andreas Nörr 12

13 Datenschutzrecht Was ist geschützt? Personenbezogene Daten: Beispiele Name Adresse, Telefonnummer, ALter Bestellverlauf IP-Adresse Krankheiten Das neue Datenschutzrecht ab RA Andreas Nörr 13

14 Datenschutzrecht Was ist geschützt? Besondere Kategorien personenbezogener Daten, Art. 9 Abs. 1 DSGVO: besonders geschützte Daten Das neue Datenschutzrecht ab RA Andreas Nörr 14

15 Datenschutzrecht Was ist geschützt? Besondere Kategorien personenbezogener Daten, Art. 9 Abs. 1 DSGVO: Verarbeitung ist grds. untersagt abschließende Aufzählung, wann eine Verarbeitung doch stattfinden darf Das neue Datenschutzrecht ab RA Andreas Nörr 15

16 Datenschutzrecht Was ist geschützt? Art. 2 DSGVO Artikel 2 Sachlicher Anwendungsbereich (1) Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen Das neue Datenschutzrecht ab RA Andreas Nörr 16

17 Datenschutzrecht Was ist geschützt? Verarbeitung jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; Allumfassender Verarbeitungsbegriff Das neue Datenschutzrecht ab RA Andreas Nörr 17

18 III. Was muss ich jetzt eigentlich beachten? Das neue Datenschutzrecht ab RA Andreas Nörr 18

19 Datenschutzrecht Was beachten? 1. Zulässigkeit der Datenverarbeitung 2. Verzeichnis der Verarbeitungstätigkeiten 3. Bestellung eines Datenschutzbeauftragten 4. Datenschutzfolgenabschätzung 5. Auftragsdatenverarbeitung derzeit: Vorabkontrolle derzeit: Verfahrensverzeichnis 6. Benachrichtigungspflicht bei Datenschutzpannen 7. Informationspflicht, Auskunftspflicht, Berichtigungspflicht, Löschungspflicht 8. Technische Pflichten derzeit: Technisch organisatorische Maßnahmen (TOM) Das neue Datenschutzrecht ab RA Andreas Nörr 19

20 Datenschutzrecht Was beachten? Geldbußen Bei leichten Verstößen: bis zu oder bis zu 2 % des Jahresumsatzes Bei sonstigen Verstößen: bis zu oder bis zu 4 % des Jahresumsatzes Derzeit unter BDSG: Bis zu bei leichten, bis zu bei schweren Verstößen Das neue Datenschutzrecht ab RA Andreas Nörr 20

21 1. Zulässigkeit der Datenverarbeitung Zulässigkeit der Datenverarbeitung (Art. 6; Rechtmäßigkeit) Einwilligung Abs. 1 S. 1 lit. a gesetzlicher Erlaubnistatbestand Abs. 1 S. 1 lit. b-f Das neue Datenschutzrecht ab RA Andreas Nörr 21

22 1. Zulässigkeit der Datenverarbeitung Einwilligung, Art. 6 Abs. 1 S. 1 lit. a DSGVO Informierte Einwilligung, Art. 7 DSGVO Möglichkeit des jederzeitigen Widerrufs Kinder: mit 16 Jahren Darunter: Erziehungsberechtigte/r Art. 8 DSGVO Das neue Datenschutzrecht ab RA Andreas Nörr 22

23 1. Zulässigkeit der Datenverarbeitung Gesetzlicher Erlaubnistatbestand Durchführung eines Vertrags, Art. 6 I 1 lit. b Erfüllung einer rechtlichen Verpflichtung, Art. 6 I 1 lit. c Schutz lebenswichtiger Interessen, Art. 6 I 1 lit. d Wahrnehmung einer Aufgabe im öffentl. Interesse, Art. 6 I 1 lit. e Überwiegende Interessen, Art. 6 I 1 lit. f Beschäftigungsverhältnis, 26 BDSG Das neue Datenschutzrecht ab RA Andreas Nörr 23

24 1. Zulässigkeit der Datenverarbeitung Gesetzlicher Erlaubnistatbestand Verarbeitung besonderer Kategorien personenbezogener Daten (rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit, genetische Daten, biometrischen Daten Gesundheitsdaten, Daten zum Sexualleben oder der sexuellen Orientierung) Besondere Voraussetzungen nötig: Art. 9 Abs. II DSGVO Das neue Datenschutzrecht ab RA Andreas Nörr 24

25 1. Zulässigkeit der Datenverarbeitung Art. 5 Grundsätze für die Verarbeitung personenbezogener Daten Zweckbindungsgrundsatz Grundsatz der Datenminimierung Vorsicht bei der Datenübermittlung außerhalb die EU! Drittstatt muss angemessenes Schutzniveau sicherstellen Das neue Datenschutzrecht ab RA Andreas Nörr 25

26 2. Verzeichnis der Verarbeitungstätigkeiten derzeit: Verfahrensverzeichnis Verzeichnis aller Verarbeitungstätigkeiten: Namen + Kontaktdaten des Verantwortlichen Datenschutzbeauftragten; Zwecke der Verarbeitung; Kategorien betroffener Personen und der Kategorien personenbezogener Daten; Kategorien von Empfängern Übermittlungen von personenbezogenen Daten an ein Drittland? Fristen für die Löschung Beschreibung der technischen und organisatorischen Maßnahmen Das neue Datenschutzrecht ab RA Andreas Nörr 26

27 2. Verzeichnis der Verarbeitungstätigkeiten Keine Pflicht: für Unternehmen, die weniger als 250 Mitarbeiter beschäftigen es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien ( ) Doch alle? Man weiß es nicht. Datenschutzbehörden empfehlen das Verzeichnis! Das neue Datenschutzrecht ab RA Andreas Nörr 27

28 2. Verzeichnis der Verarbeitungstätigkeiten Kurzpapier der Datenschutzkonferenz vom Da es anders als in Art. 35 DS-GVO (Datenschutz- Folgenabschätzung) nicht darauf ankommt, dass es sich voraussichtlich um ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen handelt, sondern jedes Risiko für die Rechte und Freiheiten bezüglich der Verarbeitung zu betrachten ist, wird vielfach das Erstellen eines Verzeichnisses von Verarbeitungstätigkeiten geboten sein Das neue Datenschutzrecht ab RA Andreas Nörr 28

29 2. Verzeichnis der Verarbeitungstätigkeiten Beispiel Das neue Datenschutzrecht ab RA Andreas Nörr 29

30 3. Bestellung eines Datenschutzbeauftragten > 10 Personen ständig mit automatisierten Verarbeitung beschäftigt ( 38 Abs. 1 BDSG) Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen (Art. 37 Abs. 1 lit. b DSGVO) Kerntätigkeit des Verantwortlichen mit umfangreichen Verarbeitung besonderer Kategorien von Daten (Art. 37 Abs. 1 lit. c DSGVO) Das neue Datenschutzrecht ab RA Andreas Nörr 30

31 3. Bestellung eines Datenschutzbeauftragten Aufgaben? Unterrichtung und Beratung des Verantwortlichen und der Beschäftigten Überwachung der Einhaltung des Datenschutzrechts Zusammenarbeit mit der Aufsichtsbehörde Das neue Datenschutzrecht ab RA Andreas Nörr 31

32 3. Bestellung eines Datenschutzbeauftragten Stellung? unabhängig, weisungsfrei Bericht an die höchste Managementebene Abberufungs- und Benachteiligungsverbot Kündigungsschutz, 38 Abs. 2 ivm 6 IV BDSG Das neue Datenschutzrecht ab RA Andreas Nörr 32

33 3. Bestellung eines Datenschutzbeauftragten Wer darf bestellt werden? erforderliche Sachkunde rechtlich technisch persönliche Zuverlässigkeit kein Interessenkonflikt (Geschäftsführer, Gesellschafter etc. können nicht DSB sein!) Das neue Datenschutzrecht ab RA Andreas Nörr 33

34 4. Datenschutzfolgenabschätzung Bei Verarbeitung mit hohem Risiko für die Rechte und Freiheiten natürlicher Personen ggf. Konsultationspflicht der Aufsichtsbehörde Das neue Datenschutzrecht ab RA Andreas Nörr 34

35 5. Auftragsdatenverarbeitung, Art. 28 DSGVO ADV-Vertrag! Verantwortlicher Daten Auftragsverarbeiter Kunden Daten Mailprovider Dropbox Google Kalender Datev Unternehmen online Das neue Datenschutzrecht ab RA Andreas Nörr 35

36 6. Benachrichtigungspflicht bei Datenschutzpannen Meldung einer Datenpanne an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 Abs. 1 DSGVO) nicht nötig, wenn kein Risiko an die betroffene Person unverzüglich bei hohem Risiko (Art. 34 Abs. 1 DSGVO) Das neue Datenschutzrecht ab RA Andreas Nörr 36

37 7. Informationspflicht, Auskunftspflicht, Berichtigungspflicht, Löschungspflicht Informationspflicht Erhebung bei der betroffenen Person (Art. 13 DSGVO) Erhebung nicht bei der betroffenen Person (Art. 14 DSGVO) Auskunftspflicht (Art. 15 DSGVO) Recht auf Berichtigung (Art. 16 DSGVO) Recht auf Löschung (Recht auf Vergessenwerden, Art. 17 DSGVO) Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) Das neue Datenschutzrecht ab RA Andreas Nörr 37

38 8. Technische Pflichten Privacy by design and by default, Art. 25 DSGVO: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Datensicherheit, Art. 32 DSGVO Recht auf Datenübertragbarkeit, Art. 20 DSGVO Franz Obermayer, Complimant AG, Kirchweidach Das neue Datenschutzrecht ab RA Andreas Nörr 38

39 Zusammenfassung Bestellen Sie einen Datenschutzbeauftragten, wenn mindestens 10 Personen ständig mit der automatisierten Verarbeitung pbd vertraut sind Erstellen Sie ein Verzeichnis der Verarbeitungstätigkeiten Prüfen Sie, ob Ihre Arbeitsabläufe im Unternehmen die DSGVO einhalten bei der Verarbeitung der pbd Das neue Datenschutzrecht ab RA Andreas Nörr 39

40 Das neue Datenschutzrecht Datenschutz-Aktivist Max Schrems 2012 mit seinen ausgedruckten Facebook-Daten Das neue Datenschutzrecht ab RA Andreas Nörr 40

41 Das neue Datenschutzrecht Weitere Informationen im Internet: - Landesamt für Datenschutzaufsicht Bundesbeauftragte für den Datenschutz Gesellschaft für Datenschutz und Datensicherheit (Praxishilfen zur DSGVO: Mein Blog Das neue Datenschutzrecht ab RA Andreas Nörr 41

42 VIELEN DANK FÜR IHRE AUFMERKSAMKEIT! Rechtsanwalt Andreas Nörr IT-Recht einschl. Datenschutzrecht, Gewerblicher Rechtsschutz und Medienrecht Zertifizierter Mediator und Wirtschaftsmediator (MuCDR) DEUG en droit Möller Astner Funk Friedel & Hermann Rechtsanwälte PartG mbb Mühlbachbogen 1a, Rosenheim Tel.: Fax: Blog mit aktuellen News zum IT-Recht, Gewerblichen Rechtsschutz und Medienrecht Das neue Datenschutzrecht ab RA Andreas Nörr 42