Art. 25 DSGVO behandelt einen wichtigen Aspekt des Datenschutzes, den Verantwortliche teilweise übersehen. Im folgenden Artikel gehen wir näher auf Art. 25 DSGVO ein und erklären, wobei es sich bei Datenschutz durch Technikgestaltung (bzw. Privacy by Design) und Datenschutz durch datenschutzfreundliche Voreinstellungen (Privacy by Default) handelt.
Im 21. Jahrhundert gehört es fast schon zum guten Ruf, als Unternehmer sagen zu können, man arbeitet überwiegend digital. Das Unternehmensbild nach außen wird verbessert, wenn die Firma sagen kann, sie versuche, möglichst umweltfreundlich zu arbeiten, indem sie so gut wie möglich papierlos arbeitet. Dabei sollte der Datenschutz aber nicht vergessen werden.
Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn, sie stützt sich auf eine Rechtsgrundlage: wenn angebracht, die der Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO. Eine Einwilligung gilt als erteilt, wenn die betroffene Person der Verarbeitung ihrer Daten aktiv zustimmt. Solch eine Zustimmung kann sich auch in Form einer aktiven Handlung ausdrücken, der konkludenten Einwilligung.
Die DSGVO trat 2018 in Kraft, aber noch immer kann man behaupten, der Datenschutz hat nicht in jeder Einrichtung Einzug gehalten. So veröffentlichte Capgemini im September 2019 einen Bericht, wonach nur etwas mehr als ein Viertel befragter Unternehmen in Europa, den USA und Indien meinen, datenschutzkonform aufgestellt zu sein.
Wenn man die Bekanntheit spezieller Themen der DSGVO in einer Rangliste einordnen würde, wäre dieses Thema wahrscheinlich einen der letzten Sätze besetzen, weil unbegründeter Weise sehr selten darüber gesprochen und dieser Vertrag dazu gescheut wird: die gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO. Der Auftragsverarbeitungsvertrag scheint einfach eine höhere Popularität zu besitzen. Weshalb dies wirklich der Fall ist, scheint unklar. Zu vernachlässigen ist der Vertrag zur gemeinsamen Verantwortlichkeit allerdings auf keinen Fall.
Wann immer ein Unternehmen Beschäftigte anstellt, muss es auch die regelmäßige Lohnabrechnung durchführen. Hierbei gibt es allerdings eine besondere Gegebenheit zu beachten: die Art der verarbeiteten Daten.
Seit dem Urteil des Europäischen Gerichtshofes (EuGH) zu Planet49 sind Unternehmen beim Einsatz ihrer Cookies zum Umdenken angehalten. Vorher war es Gang und Gäbe, den Einsatz der Cookies auf ein berechtigtes Interesse zu stützen. Eine Einwilligung zum Einsatz holten sich Verantwortliche nicht ein. Diese übliche Vorgehensweise verurteilte der Bundesgerichtshof (BGH) am 07.07.2020 – dem EuGH-Urteil folgend – als nicht mehr rechtskonform.
Man kann wahrscheinlich behaupten, dass die Mehrheit der Einrichtungen und Unternehmen personenbezogene Daten verarbeiten. Das lässt sich meist einfach nicht vermeiden. Weshalb auch immer ein Unternehmen personenbezogene Daten verarbeitet, es muss darauf achten, dass eine Rechtmäßigkeit zur Verarbeitung dieser Daten vorliegt.
Letzte Woche veröffentlichte die EU-Kommission die aktuellste Version der Standarddatenschutzklauseln. Dabei ergeben sich eventuell für alle, die sich nicht tagtäglich mit dem Datenschutz befassen, womöglich Fragen: Warum gibt es neue Standarddatenschutzklauseln? Sind die alten Standarddatenschutzklauseln sofort ungültig? usw. Auf eine Auswahl dieser Fragen möchten wir in diesem Beitrag eingehen.
Am 16.07.2020 kippte der EuGH durch sein Urteil (C-311/18) die Gültigkeit des EU-US Privacy Shields. Selbst jetzt – fast ein Jahr später – erzeugt dieses Thema noch immer Unsicherheit bei Verantwortlichen. Der Grund dieser Unsicherheit ist, dass die Datenschutzaufsichtsbehörden das EU-US Privacy Shield nicht mehr als Mittel für ein angemessenes Schutzniveau ansehen. Als Folge dessen erschienen die Standarddatenschutzklauseln als rettender Strohhalm. Aber: Sind sie die Lösung beim Drittlanddatentransfer?
Die Benennung eines externen Datenschutzbeauftragten ist eine potentiell weitreichende Entscheidung. Hier gibt es viel zu klären. Zum einen ist zu klären, ob es einen Datenschutzbeauftragten zu benennen gibt. Falls ja, stellt sich die Frage, ob man eine interne oder externe Person benennen möchte. Dabei darf man eines nicht vergessen: einen möglichen Interessenkonflikt beim Datenschutzbeauftragten.
Der Datenschutz beim Faxen ist aktuell in aller Munde. Der Grund dafür ist wohl eine in 2020 veröffentlichte Orientierungs- und Handlungshilfe der Bremer Landesbeauftragte für Datenschutz und Informationsfreiheit.
In Anbetracht des aktuell leider noch immer heiß diskutierten Themas rund um Corona ist so manch eine Person glücklich über eine Impfung gegen diesen Virus. An dieser Freude wollen Geimpfte die Öffentlichkeit teilhaben lassen. Was liegt also näher als ein Foto des Corona-Schutzimpfnachweises im Internet zu veröffentlichen?!
Wann immer eine Einrichtung – der Verantwortliche – plant, Unternehmensdaten von einer anderen Firma verarbeiten zu lassen, sollte sich der Verantwortliche vor Abschluss des Dienstleistungsvertrages bzw. vor Beginn der Verarbeitung mehrere wichtige Fragen zur Eignung dieses Dienstleisters stellen. Eine essentielle Frage dabei ist, ob ein Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO abzuschließen ist und der potentielle Auftragsverarbeiter die Bereitschaft zum Abschluss eines solchen Vertrages zeigt.
Inzwischen sind zwei Jahre vergangen, seitdem die DSGVO in allen Unternehmen, die Daten von EU-Bürgern verarbeiten, anzuwenden ist. Man kann also davon ausgehen, dass Unternehmen seitdem technische und organisatorische Maßnahmen zum Schutz genau dieser Daten eingeführt haben.
Sobald Sie anfangen, sich in Ihrem Unternehmen mit dem Datenschutz auseinanderzusetzen, sollte Sie überlegen, ob Sie eine Datenschutz-Folgenabschätzung durchführen müssen. Darauf und was dabei zu beachten ist, erklären wir in diesem Beitrag.
Dokumente werden zunehmend in digitaler Form ausgetauscht. Dabei kann es vorkommen, dass die übermittelnde Person nicht wünscht, dass der Empfänger alle im Dokument enthaltenen Informationen lesen kann. Dabei stellt sich bei so mancher Person die Frage, wie sie datenschutzkonformes digitales Schwärzen von Dokumenten vornehmen kann.
Bei einem Blick auf all die technischen Innovationen der heutigen Zeit fällt eins auf: Sie machen das Leben vorhersehbarer und bequemer. Um dieses Ziel zu erreichen, braucht es eine wichtige Komponente: Daten. Genauer: Personenbezogene Daten! Dabei lässt so manch ein Verantwortlicher aber etwas außen vor, nämlich den Blick auf den Datenschutz. Daher entsteht nicht selten das Bild vom Kampf technischer Innovationen gegen den Datenschutz.
Datenschutzvorfälle passieren aus verschiedenen Gründen. So können sie vorsätzlich eintreten, aber auch aus Versehen. Dabei zählt der Fehlversand personenbezogener Daten zu den wahrscheinlich häufigen Vorfällen.
Die Datenschutzerklärung (der meistens genutzte Begriff) bzw. der Datenschutzhinweis auf der Webseite ist eine Fehlerquelle, derer sich so manch Webseiten-Betreiber gar nicht bewusst zu sein scheint. Um Bußgelder zu vermeiden, ist es umso wichtiger, dass Sie als Webseiten-Betreiber wissen, wie Sie häufige Fehler bei der Datenschutzerklärung vermeiden können.
Das Marketing ist ein wichtiger Bestandteil jedes Unternehmens. Einzelne Marketing-Maßnahmen können verschiedene Einzelziele verfolgen, aber das große Ziel ist immer, den Unternehmensprofit zu steigern. Ein wichtiger Bestandteil dessen sind CRM-Systeme. Kommen diese zum Einsatz, darf ein Verantwortlicher den Datenschutz nicht außer Augen lassen.
Die DSGVO und die Medien erwähnen es entweder nicht explizit oder nicht oft, aber ein brisantes Thema und wichtiger Aspekt des Datenschutzmanagements ist es dennoch. Schon anhand des aktuell viel diskutierten – inzwischen unwirksamen – Bußgeldbescheides gegen Deutsche Wohnen SE wird ersichtlich, dass ein Löschkonzept von hoher Wichtigkeit ist.
Die Aufforderung hierzu trifft Beschäftigte manchmal unerwartet und dennoch ist dies unabdinglich: die Erstellung eines sicheren Passworts. Erfüllt man diese Vorgabe nicht, verstößt man gegen Art. 32 Abs. 1 DSGVO. Dabei ist es ein einfacher Schritt, im Unternehmen personenbezogene Daten durch Passwörter, PINs o. Ä. zu schützen. In diesem Beitrag gehen wir näher darauf ein, wie Sie dies in Ihrem Unternehmen umsetzen können.
Die Bürger sind im Bezug zu der Verarbeitung ihrer personenbezogenen Daten aufgeklärter und besitzen mehr Wissen zu ihren Rechten gemäß der DSGVO. Fühlt sich ein Bürger dann beispielsweise durch unerwünschte Anrufe von Unternehmen belästigt und meldet dies, kann es für den Verantwortlichen ein Bußgeld wegen unerlaubter Telefonwerbung nachziehen.
In diesem Beitrag betrachten wir weitere Beispiele näher, die auf die Notwendigkeit von Meldungen von Dokumentenverlusten und organisatorischen Fehlerquellen hinweisen.
Im Folgenden betrachten wir die Notwendigkeit einer Meldung von Cyber- und Social Engineering-Angriffen (Beispiele auf denen des Entwurfs für „Richtlinien anhand von Beispielen zur Meldung eines Datenschutzvorfalls“ des Europäischen Datenschutzausschusses basierend) näher.
Die Notwendigkeit einer Meldung eines Ransomware-Angriffs ist nicht immer vorhanden, aber generell eine Option. In unserem Beitrag „Meldung einer Datenpanne“ gehen wir darauf an, was zu beachten ist, wenn ein Datenschutzvorfall gemeldet werden muss. In diesem Beitrag erläutern wir, wann ein Datenschutzverstoß gemeldet werden muss anhand verschiedener Szenarien eines Ransomware-Angriffs.
Eine mögliche Meldung einer Datenpanne an die Datenschutzaufsichtsbehörde und auch den betroffenen Personen ist immer ein Ereignis, was möglichst jeder Verantwortliche vermeiden möchte. Dabei sollte ein Verantwortlicher aber auch beachten, welchem Prozedere er bei der Meldung folgen muss, sofern denn eine zu melden ist.
Das Thema Corona hält weiterhin die Welt in Atem. Dabei ergeben sich immer wieder neue Fragen bezüglich Corona und Datenschutz. Im vorhergegangenen Beitrag beschäftigten wir uns mit einer ersten Auswahl solcher Fragen. Folgend beantworten wir weitere Fragen in unserem Beitrag Corona und Gesundheitsdaten im Beschäftigungsverhältnis – Teil II.
Seit fast einem Jahr beherrscht Covid-19 die Medien und ist Gesprächsthema Nr. 1. Dabei kommen immer wieder Fragen zum Beschäftigtendatenschutz auf. In diesem Beitrag möchten wir der Rechtsunsicherheit entgegenwirken und mit ersten Antworten zu Corona und Gesundheitsdaten im Beschäftigungsverhältnis – Teil I aufklären.
| +49 (0) 355 - 78427884 | |
| +49 (0) 355 - 49459824 |
| info@dpc-datenschutz.de | |
| www.dpc-datenschutz.de |
