Datenschutz

Die DSGVO bringt einige äußert relevante und arbeitsintensive Verpflichtungen mit sich. Die relevantesten Pflichten sind folgende:

• Verschärfte datenschutzrechtliche Informationspflichten (vgl. Art. 13 und Art. 14 DSGVO): Insbesondere müssen Datenschutzhinweise auf Webseiten, in Ladenlokalen, Praxen, Vereinen, in Verträgen und Formularen sowie für Beschäftigte und Bewerber ergänzt bzw. überarbeitet werden.
• Vereinbarungen zur Auftragsverarbeitung müssen überprüft und an die DSGVO angepasst werden.
• Erfolgen Datenverarbeitungen auf einer ausdrücklichen Einwilligung Betroffener sind die Einwilligungserklärungen zu prüfen. Einwilligungen, welche nicht die Voraussetzungen der DSGVO einhalten, sind  automatisch seit dem 25.05.2018 unwirksam.
• Grundsätzlich sollte nur datenschutzfreundliche Hard- und Software („Privacy by Design“) mit datenschutzfreundlichen Voreinstellungen („Privacy by Default“) eingesetzt werden (Grundsatz der Datenminimierung). Dies muss zukünftig sowohl bei der Produktentwicklung (insbesondere der Softwareentwicklung) als auch bei der Produktauswahl von IT-Systemen und der Implementierung der IT-Systeme im Betrieb beachtet werden.
• Bei risikoreichen Datenverarbeitungen müssen vorgelagerte Datenschutz-Folgenabschätzungen durchgeführt werden (als risikoreiche Datenverarbeitungen nennt die DSGVO z.B. die Verarbeitung besonders sensibler Daten, z. B. Gesundheitsdaten, der Einsatz neuer Technologien, Profiling, die umfangreiche öffentliche Videoüberwachung). im Zweifel können hier die Vorgaben der Aufsichtsbehörden abgewartet werden.
• Es müssen Konzepte für die Wahrung von Betroffenenrechten sowie für die verschärften Meldepflichten bei Datenpannen gegenüber Betroffenen und Aufsichtsbehörden implementiert werden.
• Jeder Verantwortliche hat ein sog. „Verarbeitungsverzeichnis“ anzufertigen (welches auch in regelmäßigen Abständen zu prüfen und gegebenenfalls zu aktualisieren ist), in welchem sämtliche Verarbeitungsprozesse von personenbezogenen Daten im Unternehmen beschrieben werden müssen. Dieses Verzeichnis betrifft sämtliche ganz oder teilweise automatisierte Verarbeitungen sowie nichtautomatisierte Verarbeitungen personenbezogener Daten. Jeder Verantwortliche ist verpflichtet, mit der Aufsichtsbehörde zusammenzuarbeiten und dieser auf Anfrage das entsprechende Verzeichnis vorzulegen, damit die betreffenden Verarbeitungsvorgänge im Unternehmen anhand dieses Verarbeitungsverzeichnisses kontrolliert werden können (vgl. Art. 30 Abs. 4 DSGVO). In dem Verarbeitungsverzeichnis sind die folgenden Informationen anzugeben (vgl. insbesondere Artikel 30 Abs. 1 DSGVO):
  • der Name und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten;
  • eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten (z.B. Name, Anschrift, E-Mailadresse, Telefonnummer, Bankverbindungen von Kunden und/oder Lieferanten);
  • eine Beschreibung des konkreten Verarbeitungsprozesses (z.B. erheben, speichern, abfragen, offenlegen von Daten);
  • den Zweck des konkreten Verarbeitungsprozesses;
  • die Rechtsgrundlage des jeweiligen Verarbeitungsprozesses;
  • die Herkunft bzw. die Quelle der Daten;
  • die zugriffsberechtigten Personen/Personengruppen auf den jeweiligen Verarbeitungsprozess (nach Funktion und ohne namentliche Angabe);
  • die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt werden (z.B. Banken, Versanddienstleister, Sozialversicherungsträger, Finanzämter, unternehmensinterne andere Datenempfänger, Gläubiger bei Lohn-/Gehaltspfändungen, Träger der Betriebsrente, Auftragsverarbeiter, Muttergesellschaft etc.);
  • sofern personenbezogenen Daten an ein Drittland oder an eine internationale Organisation übermittelt werden, die Angabe des konkreten Empfängers der Daten sowie das betreffende Drittland oder die internationale Organisation, sowie die Rechtsgrundlage für die Übermittlung (eine Übermittlung in Drittländer erfolgt auch, wenn sich dort der Server befindet oder der Mailversand hierüber abgewickelt wird. Ebenso kann eine Übermittlung in Drittländer vorliegen, wenn Supportdienstleistungen aus diesem erbracht werden);
  • sofern möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien (z.B. die geltenden handels- und steuerrechtlichen Aufbewahrungspflichten für Personaldaten, Kundendaten etc., vom Verantwortlichen festgelegte Überprüfungs-/Löschungsfristen);
  • sofern möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen, welche zum Schutz der personenbezogenen Daten zu treffen sind (Einzelheiten siehe nachfolgend Erläuterungen);
  • Auftragsverarbeiter haben ein gesondertes Verarbeitungsverzeichnis nach Artikel 32 Absatz 2 DSGVO zu führen;