Datenschutz-Grundverordnung (DS-GVO)/ Bundesdatenschutzgesetz (BDSG) Kommentar Begründet von Rechtsanwalt Dr Hans-Jürgen Schaffland und Dipl-Kfm Noeme Wiltfang DS-GVO/BDSG Lfg 2/17 IV/17 Bearbeitet von Rechtsanwalt Dr Hans-Jürgen Schaffland Rechtsanwältin Gabriele Holthaus und Rechtsanwältin Dr Astrid Schaffland
Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnbd-nbde abrufbar Weitere Informationen zu diesem Titel finden Sie im Internet unter ESVinfo/978 3 503 17404 1 ISBN 978 3 503 17404 1 ISSN 2510-4578 Alle Rechte vorbehalten Erich Schmidt Verlag GmbH & Co KG, Berlin 2017 wwwesvinfo Satz und Druck: Meta Systems, Wustermark
Inhaltsverzeichnis 0010 Inhaltsverzeichnis Vorwort 0005 Stichwortverzeichnis 0015 Abkürzungsverzeichnis 0020 Texte zur Datenschutz-Grundverordnung Datenschutz-Grundverordnung (DS-GVO) 0050 Erwägungsgründe 0051 Allgemeine Hinweise, Synopse, Überblick 0190 Kommentar Kapitel I Allgemeine Bestimmungen Artikel 1 Gegenstand und Ziele 0200 Art 1 Artikel 2 Sachlicher Anwendungsbereich 0200 Art 2 Artikel 3 Räumlicher Anwendungsbereich 0200 Art 3 Artikel 4 Begriffsbestimmungen 0200 Art 4 Artikel 5 Kapitel II Grundsätze Grundsätze Verarbeitung personenbezogener Daten 0200 Art 5 Artikel 6 Rechtmäßigkeit der Verarbeitung 0200 Art 6 Artikel 7 Bedingungen für die Einwilligung 0200 Art 7 Artikel 8 Artikel 9 Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft 0200 Art 8 Verarbeitung besonderer Kategorien personenbezogener Daten 0200 Art 9 Artikel 10 Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten 0200 Art 10 Artikel 11 Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist 0200 Art 11 Kapitel III Rechte der betroffenen Person Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person 0200 Art 12 Artikel 13 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person 0200 Art 13 DS-GVO/BDSG Lfg 8/17 X/17 1
0010 Inhaltsverzeichnis Artikel 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden 0200 Art 14 Artikel 15 Auskunftsrecht der betroffenen Person 0200 Art 15 Artikel 16 Recht auf Berichtigung 0200 Art 16 Artikel 17 Recht auf Löschung ( Recht auf Vergessenwerden ) 0200 Art 17 Artikel 18 Recht auf Einschränkung der Verarbeitung 0200 Art 18 Artikel 19 Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung 0200 Art 19 Artikel 20 Recht auf Datenübertragbarkeit 0200 Art 20 Artikel 21 Widerspruchsrecht 0200 Art 21 Artikel 22 Automatisierte Entscheidungen im Einzelfall einschließlich Profiling 0200 Art 22 Artikel 23 Beschränkungen 0200 Art 23 Kapitel IV Verantwortlicher und Auftragsverarbeiter Abschnitt 1 Allgemeine Pflichten Artikel 24 Verantwortung des für die Verarbeitung Verantwortlichen 0200 Art 24 Artikel 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen 0200 Art 25 Artikel 26 Gemeinsam für die Verarbeitung Verantwortliche 0200 Art 26 Artikel 27 Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern 0200 Art 27 Artikel 28 Auftragsverarbeiter 0200 Art 28 Artikel 29 Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters 0200 Art 29 Artikel 30 Verzeichnis von Verarbeitungstätigkeiten 0200 Art 30 Artikel 31 Zusammenarbeit mit der Aufsichtsbehörde 0200 Art 31 Abschnitt 2 Sicherheit personenbezogener Daten Artikel 32 Sicherheit der Verarbeitung 0200 Art 32 Artikel 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde 0200 Art 33 Artikel 34 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person 0200 Art 34 2
Inhaltsverzeichnis 0010 Abschnitt 3 Datenschutz-Folgenabschätzung und vorherige Konsultation Artikel 35 Datenschutz-Folgenabschätzung 0200 Art 35 Artikel 36 Vorherige Konsultation 0200 Art 36 Abschnitt 4 Datenschutzbeauftragter Artikel 37 Benennung eines Datenschutzbeauftragten 0200 Art 37 Artikel 38 Stellung des Datenschutzbeauftragten 0200 Art 38 Artikel 39 Aufgaben des Datenschutzbeauftragten 0200 Art 39 Abschnitt 5 Verhaltensregeln und Zertifizierung Artikel 40 Verhaltensregeln 0200 Art 40 Artikel 41 Überwachung der genehmigten Verhaltensregeln 0200 Art 41 Artikel 42 Zertifizierung 0200 Art 42 Artikel 43 Zertifizierungsstellen 0200 Art 43 Kapitel V Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen Artikel 44 Allgemeine Grundsätze der Datenübermittlung 0200 Art 44 Artikel 45 Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses 0200 Art 45 Artikel 46 Datenübermittlung vorbehaltlich geeigneter Garantien 0200 Art 46 Artikel 47 Verbindliche interne Datenschutzvorschriften 0200 Art 47 Artikel 48 Nach dem Unionsrecht nicht zulässige Übermittlung oder Offenlegung 0200 Art 48 Artikel 49 Ausnahmen für bestimmte Fälle 0200 Art 49 Artikel 50 Internationale Zusammenarbeit zum Schutz personenbezogener Daten 0200 Art 50 Die Kommentierung weiterer Kapitel wird durch Folgelieferungen ergänzt (Fortsetzung auf Seite 3) DS-GVO/BDSG Lfg 10/17 XII/17 2a
Inhaltsverzeichnis 0010 Bundesdatenschutzgesetz und weitere nationale Vorschriften Übersicht Bundesdatenschutzgesetz (neu) vor 0300 Bundesdatenschutzgesetz (BDSG neu) 0300 Bundesdatenschutzgesetz (BDSG) 1000 Baden-Württembergisches Landesdatenschutzgesetz 1200 Bayerisches Datenschutzgesetz 1210 Berliner Datenschutzgesetz 1220 Bremisches Datenschutzgesetz (BrDSG) 1230 Hamburgisches Datenschutzgesetz 1240 Hessisches Datenschutzgesetz 1250 Niedersächsisches Datenschutzgesetz 1260 Datenschutzgesetz Nordrhein-Westfalen 1270 Landesdatenschutzgesetz Rheinland-Pfalz 1280 Saarländisches Datenschutzgesetz 1290 Landesdatenschutzgesetz Schleswig-Holstein 1300 Kirchengesetz ev Kirche 1310 Kirchengesetz kath Kirche 1320 Thüringer Datenschutzgesetz 1330 Sächsisches Datenschutzgesetz 1340 Brandenburgisches Datenschutzgesetz 1350 Datenschutzgesetz Sachsen-Anhalt 1360 Landesdatenschutzgesetz Mecklenburg-Vorpommern 1370 Ergänzende Leitlinien und gesetzliche Vorschriften OECD-Leitlinien: Schutz Persönlichkeitsbereich/grenzüberschreitender Verkehr personenbezogener Daten 1700 Europarat: Schutz des Menschen bei automatischer Verarbeitung personenbezogener Daten 1720 Bundesmeldegesetz (BMG) 1800 Telekommunikationsgesetz, Auszug 2050 Telemediengesetz 2052 Signaturgesetz 2054 Informationsfreiheitsgesetz 2800 DS-GVO/BDSG Lfg 9/17 XI/17 3
0010 Inhaltsverzeichnis Kommentar Bundesdatenschutzgesetz (BDSG) Erster Abschnitt Allgemeine und gemeinsame Bestimmungen 1 Zweck und Anwendungsbereich des Gesetzes 5001 1 2 Öffentliche und nicht-öffentliche Stellen 5001 2 3 Weitere Begriffsbestimmungen 5001 3 3a Datenvermeidung und Datensparsamkeit 5001 3a 4 Zulässigkeit der Datenerhebung, verarbeitung und nutzung 5001 4 SCHUFA-Klausel zu Kontoeröffnungsanträgen 5001 4 Anh 1 4a Einwilligung 5001 4a Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern 5001 4a Anh 1 Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern 5001 4a Anh 2 Elektronische Einwilligung 5001 4a Anh 3 SCHUFA-Klausel Telekommunikationsanträge 5001 4a Anh 4 SCHUFA-Klausel Kontoeröffnungsanträge 5001 4a Anh 5 Schweigepflichtentbindungsklauseln in Versicherungsverträgen 5001 4a Anh 6 4b Grenzüberschreitender Datenverkehr 5001 4b Standardvertragsklauseln für den Drittlandstransfer 5001 4b Anh 1 Standardvertragsklauseln für Auftragsdatenverarbeitung in Drittländern 5001 4b Anh 2 Verzeichnis internationaler Datenschutzbehörden 5001 4b Anh 3 4c Grenzüberschreitender Datenverkehr Ausnahmen 5001 4c 4d Meldepflicht 5001 4d 4e Inhalt der Meldepflicht 5001 4e 4f Beauftragter für den Datenschutz 5001 4f Muster Bestellungsurkunde 5001 4f Anh 1 Outsourcingvertrag Datenschutz 5001 4f Anh 2 Grundsätze zur DSB-Bestellung 5001 4f Anh 3 Wichtige Regelungen für DSB 5001 4f Anh 4 Mindestanforderungen Fachkunde/Unabhängigkeit DSB nach 4f Abs 2 und 3 BDSG 5001 4f Anh 5 4g Aufgaben des Beauftragten für den Datenschutz 5001 4g 4
Inhaltsverzeichnis 0010 Merkblatt: Aufgaben des betrieblichen Beauftragten für den Datenschutz 5001 4g Anh 1 Merkblatt über wichtige Regelungen des BDSG 5001 4g Anh 2 Leitfaden: Aufgaben des DSB 5001 4g Anh 3 5 Datengeheimnis 5001 5 Verpflichtungserklärung in Verbindung mit der Schulung nach 4g Abs 1 Satz 3 Nr 2) 5001 5 Anh 1 Verpflichtungserklärung gemäß 5 BDSG 5001 5 Anh 2 Verpflichtungserklärung zur Vernichtung von Altmaterial 5001 5 Anh 3 Verpflichtungserklärung ADM gegenüber Bank zur EDV-Nutzung / zum Bankgeheimnis 5001 5 Anh 4 Verpflichtungserklärung SCHUFA-Verfahren 5001 5 Anh 5 6 Rechte des Betroffenen 5001 6 6a Automatisierte Einzelentscheidung 5001 6a 6b Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen 5001 6b Muster einer Dokumentation der Angaben nach 4e Satz 1 Nr 1 bis 7 BDSG 5001 6b Anh 1 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien 5001 6c 7 Schadensersatz durch nicht-öffentliche Stellen 5001 7 8 Schadensersatz durch öffentliche Stellen 5001 8 9 Technische und organisatorische Maßnahmen 5001 9 Ausführung zur Umsetzung von 9 und Anlage 5001 9 Anh 1 Der PC-Einsatz Hinweise/Empfehlungen 5001 9 Anh 2 Vermittlung von IT-Sicherheitsthemen 5001 9 Anh 3 9a Datenschutzaudit 5001 9a 10 Einrichtung automatisierter Abrufverfahren 5001 10 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag 5001 11 Mustervereinbarung Datenschutz und zur Datensicherheit 5001 11 Anh 1 Mustervertrag BITKOM 5001 11 Anh 1a Auftragnehmer verschiedener Branchen 5001 11 Anh 2 Vereinbarung technischer und organisatorischer Sicherheitsmaßnahmen 5001 11 Anh 3 DS-GVO/BDSG Lfg 7/17 IX/17 5
0010 Inhaltsverzeichnis Zweiter Abschnitt Datenverarbeitung der öffentlichen Stellen Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung 12 Anwendungsbereich 5001 12 13 Datenerhebung 5001 13 14 Datenspeicherung, veränderung und nutzung 5001 14 Datenschutzrechtliche Grundsätze bei Internet /E-Mail-Nutzung am Arbeitsplatz 5001 14 Anh 1 Orientierungshilfe datenschutzgerechte Nutzung von E-Mail/Internetdiensten am Arbeitsplatz 5001 14 Anh 2 15 Datenübermittlung an öffentliche Stellen 5001 15 16 Datenübermittlung an nicht-öffentliche Stellen 5001 16 17 Datenübermittlung an Stellen außerhalb des Geltungsbereiches dieses Gesetzes (aufgehoben) 5001 17 18 Durchführung des Datenschutzes in der Bundesverwaltung 5001 18 Zweiter Unterabschnitt Rechte des Betroffenen 19 Auskunft an den Betroffenen 5001 19 19a Benachrichtigung 5001 19a 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht 5001 20 21 Anrufung der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 21 Dritter Unterabschnitt Bundesbeauftragter für den Datenschutz und die Informationsfreiheit 22 Wahl und Unabhängigkeit der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 22 23 Rechtsstellung der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 23 24 Kontrolle durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 24 25 Beanstandungen durch die Bundesbeauftragte oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 25 26 Weitere Aufgaben der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit 5001 26 Dritter Abschnitt Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen Erster Unterabschnitt Rechtsgrundlagen der Datenverarbeitung 27 Anwendungsbereich 5001 27 6
Inhaltsverzeichnis 0010 28 Datenerhebung und speicherung für eigene Geschäftszwecke 5001 28 Checkliste zur Prüfung der Zulässigkeit, des Erhebens, Verarbeitens und des Nutzens von Daten 5001 28 Anh 1 Einwilligungserklärung für Datenübermittlung zwischen Bank und Kooperationspartnern 5001 28 Anh 2 28a Datenübermittlung an Auskunfteien 5001 28a 28b Scoring 5001 28b 29 Geschäftsmäßige Datenerhebung und speicherung zum Zweck der Übermittlung 5001 29 SCHUFA-Merkblatt 5001 29 Anh 1 SCHUFA-Klausel zu Kontoeröffnungsanträgen 5001 29 Anh 2 SCHUFA-Klausel zu Bürgschaftserklärungen 5001 29 Anh 3 SCHUFA-Klausel zu Kreditanträgen 5001 29 Anh 4 SCHUFA-Klausel zu grundpfandrechtlich gesicherten Kreditanträgen bei Kreditinstituten 5001 29 Anh 5 Hinweise SCHUFA-Klausel 5001 29 Anh 6 30 Geschäftsmäßige Datenerhebung und speicherung zum Zwecke der Übermittlung in anonymisierter Form 5001 30 30a Geschäftsmäßige Datenerhebung und speicherung für Zwecke der Markt- oder Meinungsforschung 5001 30a 31 Besondere Zweckbindung 5001 31 32 Datenerhebung, verarbeitung und nutzung für Zwecke des Beschäftigungsverhältnisses 5001 32 Gesetzesentwurf der Bundesregierung 5001 32 Anh 1 Zweiter Unterabschnitt Rechte des Betroffenen 33 Benachrichtung des Betroffenen 5001 33 Muster Benachrichtigung 5001 33 Anh 1 Checkliste Benachrichtigungspflicht 5001 33 Anh 2 34 Auskunft an den Betroffenen 5001 34 Muster Auskunft 5001 34 Anh 1 Muster Auskunft (Fortsetzung) 5001 34 Anh 2 35 Berichtigung, Löschung und Sperrung von Daten 5001 35 Dritter Unterabschnitt Aufsichtsbehörde 36 Bestellung eines Beauftragten für den Datenschutz (aufgehoben) 5001 36 DS-GVO/BDSG Lfg 7/17 IX/17 7
0010 Inhaltsverzeichnis 37 Aufgaben des Beauftragten für den Datenschutz (aufgehoben) 5001 37 38 Aufsichtsbehörde 5001 38 Checkliste Erfüllung der Aufgaben nach 9 5001 38 Anh 1 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen Vierter Abschnitt Sondervorschriften 5001 38a 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen 5001 39 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen 5001 40 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien 5001 41 42 Datenschutzbeauftragter der Deutschen Welle 5001 42 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten 42b Antrag der Aufsichtsbehörde auf gerichtliche Entscheidung bei angenommener Rechtswidrigkeit eines Beschlusses der Europäischen Kommission Fünfter Abschnitt Schlussvorschriften 5001 42a 5001 42b 43 Bußgeldvorschriften 5001 43 44 Strafvorschriften 5001 44 Sechster Abschnitt Übergangsvorschriften 45 Laufende Verwendungen 5001 45 46 Weitergeltung von Begriffsbestimmungen 5001 46 47 Übergangsregelung 5001 47 48 Bericht der Bundesregierung 5001 48 Allgemeine Verwaltungsvorschriften der Länder Hinweise 7015 Inhaltsübersicht vor 7020 Beschlüsse der Datenschutzaufsichtsbehören 7020 8