Datenschutzbericht 2023 - Versionsgeschichte

Admin: /* Allgemeine Lage */

2024-11-14T10:39:09Z

Allgemeine Lage

Admin am 24. Januar 2024 um 07:13 Uhr

2024-01-24T07:13:02Z

Admin: /* NEU: Hinweisgeberschutz */

2024-01-17T12:59:30Z

NEU: Hinweisgeberschutz

Admin: /* Informationsfreiheit */

2024-01-17T12:57:48Z

Informationsfreiheit

Admin: /* Informationsfreiheit */

2024-01-17T09:01:28Z

Informationsfreiheit

Admin: /* Allgemeine Lage */

2024-01-17T08:58:12Z

Allgemeine Lage

Admin: /* Was ist Datenschutz? */

2024-01-17T08:57:02Z

Was ist Datenschutz?

Admin: /* Änderungen der Rechtslage im Datenschutz */

2024-01-17T08:55:25Z

Änderungen der Rechtslage im Datenschutz

Admin: /* Änderungen der Rechtslage im Datenschutz */

2024-01-17T08:50:34Z

Änderungen der Rechtslage im Datenschutz

Admin: /* Besondere Anfragen und ihre Lösungen */

2024-01-17T08:47:44Z

Besondere Anfragen und ihre Lösungen

@@ Zeile 4: / Zeile 4: @@
 = Allgemeine Lage =
 * Die '''Anzahl der Datenschutzfälle''' im Jahr 2023 erreichte einen Tiefstand seit der Einrichtung nach der EU-DSGVO im Jahr 2016. Insgesamt wurden lediglich 55 Beratungen zu konkreten und größeren Fällen angefragt. Die restlichen Datenschutzaufgaben beinhalteten Routineaufgaben wie Erstellung von Datenschutzerklärungen, Entwurf von Verträgen, Kurzberatungen, einfache Anfragen oder die Prüfung dieser Dokumente.
-* Im Bereich Datenschutz hat sich also eine gewisse '''Routine''' etabliert und das allgemeine Wissen über den Datenschutz ist bei den Beschäftigten gestiegen. Hervorzuheben ist nach wie vor die Sensibilität, mit der die Beschäftigten der zuständigen Kommunen Leichlingen, Overath und Odenthal arbeiten. Auch wenn nicht täglich nachgefragt wird, ist der Datenschutz ein Teil der täglichen Arbeit geworden und im Zweifel wird nachgefragt.
+* Im Bereich Datenschutz hat sich also eine gewisse '''Routine''' etabliert und das allgemeine Wissen über den Datenschutz ist bei den Beschäftigten gestiegen. Hervorzuheben ist nach wie vor die Sensibilität, mit der die Beschäftigten der zuständigen Kommunen arbeiten. Auch wenn nicht täglich nachgefragt wird, ist der Datenschutz ein Teil der täglichen Arbeit geworden und im Zweifel wird nachgefragt.
-* Etwa 50 % der '''Aufträge''' kamen aus Leichlingen, 25 % jeweils aus Overath und Odenthal. Auch 2023 hat sich die Arbeit im Homeoffice sehr bewährt, da stets ein vertrauensvolles Umfeld offene Rede am Telefon ermöglicht.
+* Etwa 50 % der '''Aufträge''' kamen aus K1, 25 % jeweils aus K2 und K3. Auch 2023 hat sich die Arbeit im Homeoffice sehr bewährt, da stets ein vertrauensvolles Umfeld offene Rede am Telefon ermöglicht.
-* Ende des Jahres rückte das Thema Datenschutz noch in einem besonderen Fall in den Fokus der Öffentlichkeit. Durch einen immensen Schaden eines '''Cyberangriffs''' auf den Dienstleister "Südwestfalen IT", einem Zusammenschluss der KDVZ Hellweg-Sauerland und der SIT, fielen nahezu alle Systeme von 72 Kommunen in NRW für Wochen aus. Die anfängliche Befürchtung, es könnten Daten in großen Mengen abgeflossen sein, hat sich m. W. nicht bestätigt. Es blieb aber ein immenser Funktionsausfall der IT in Teilen von NRW.
+* Ende des Jahres rückte das Thema Datenschutz noch in einem besonderen Fall in den Fokus der Öffentlichkeit. Durch einen immensen Schaden eines '''Cyberangriffs''' auf den Dienstleister, fielen nahezu alle Systeme von 72 Kommunen in NRW für Wochen aus. Die anfängliche Befürchtung, es könnten Daten in großen Mengen abgeflossen sein, hat sich m. W. nicht bestätigt. Es blieb aber ein immenser Funktionsausfall der IT in Teilen von NRW.
 = Änderungen der Rechtslage im Datenschutz =

← Nächstältere Version		Version vom 24. Januar 2024, 07:13 Uhr
Zeile 1:		Zeile 1:
−
−	~~(Dieser Bericht ist noch in Arbeit)~~
−
	= Was ist Datenschutz? =		= Was ist Datenschutz? =
	Die '''Verarbeitung''' (Erfassung, Änderung, Auswertung, Übermittlung, Zweckänderung, Löschung) von Daten, durch die eine '''natürliche Person''' eindeutig identifiziert werden kann, ist nur erlaubt, wenn diese Verarbeitung Teil eines '''Vertrags''' oder Vorvertrags ist, durch '''Gesetz''' erlaubt wird, einer '''rechtlichen Verpflichtung''' entspringt, lebenswichtige oder berechtigte '''Interessen''' vorliegen oder eine '''Einwilligung''' der Betroffenen vorliegt. Werden ethnische, biometrische, genetische oder andere '''sensible Daten''' verarbeitet, sind weitere Kriterien zu erfüllen. Möglicherweise müssen der oder die Verantwortlichen eine '''Datenschutzerklärung''' (bei Erfassungen oder Empfang von Übermittlungen) abgeben, ein '''Verfahrensverzeichnis''' führen, eine '''Datenschutzfolgenabschätzung''' abgeben und einen '''Datenschutzbeauftragten''' benennen. '''Auftragnehmer''' müssen zuverlässig sein und durch einen schriftlichen Vertrag mit definiertem Inhalt verpflichtet werden.		Die '''Verarbeitung''' (Erfassung, Änderung, Auswertung, Übermittlung, Zweckänderung, Löschung) von Daten, durch die eine '''natürliche Person''' eindeutig identifiziert werden kann, ist nur erlaubt, wenn diese Verarbeitung Teil eines '''Vertrags''' oder Vorvertrags ist, durch '''Gesetz''' erlaubt wird, einer '''rechtlichen Verpflichtung''' entspringt, lebenswichtige oder berechtigte '''Interessen''' vorliegen oder eine '''Einwilligung''' der Betroffenen vorliegt. Werden ethnische, biometrische, genetische oder andere '''sensible Daten''' verarbeitet, sind weitere Kriterien zu erfüllen. Möglicherweise müssen der oder die Verantwortlichen eine '''Datenschutzerklärung''' (bei Erfassungen oder Empfang von Übermittlungen) abgeben, ein '''Verfahrensverzeichnis''' führen, eine '''Datenschutzfolgenabschätzung''' abgeben und einen '''Datenschutzbeauftragten''' benennen. '''Auftragnehmer''' müssen zuverlässig sein und durch einen schriftlichen Vertrag mit definiertem Inhalt verpflichtet werden.

← Nächstältere Version		Version vom 17. Januar 2024, 12:59 Uhr
Zeile 60:		Zeile 60:

	== NEU: Hinweisgeberschutz ==		== NEU: Hinweisgeberschutz ==
−	* Die Bundesrepublik Deutschland wurde 2022 von der EU-Kommission verklagt, da sie noch nicht die Richtlinien zum besseren Schutz von Hinweisgebern in geltendes Recht umgesetzt hatte. Das wurde 2023 erfüllt.	+	Die Bundesrepublik Deutschland wurde 2022 von der EU-Kommission verklagt, da sie noch nicht die Richtlinien zum besseren Schutz von Hinweisgebern in geltendes Recht umgesetzt hatte. Das wurde 2023 erfüllt. Künftig wird hier berichtet.
		+
		+	In 2023 wurde meine Informationsbasis verbreitert und eine Einarbeitung erfolgte. Hinweise gingen nicht ein.

@@ Zeile 52: / Zeile 52: @@
 == Informationsfreiheit ==
-* Die Herausgabe der '''Schadstoffberichte''' einer Messung in einer Schule konnte nicht gewährt werden, da das Verfahren noch nicht abgeschlossen war, was nach der Rechtslage nicht erlaubt ist.
+* Die Herausgabe der '''Schadstoffberichte''' einer Messung in einer Schule konnte nicht gewährt werden, da das Verfahren noch nicht abgeschlossen war, was nach der Rechtslage keine Herausgabe ermöglicht.
-* Ein konkurrierendes Veranstaltungsunternehmen wollte '''Einblick''' in Veranstaltungsanträge der Konkurrenzveranstaltung bekommen. Die dort aufgeführten personenbezogenen Daten verhinderten einen Einblick.
+* Ein konkurrierendes Veranstaltungsunternehmen wollte '''Einblick''' in Veranstaltungsanträge der Konkurrenzveranstaltung bekommen. Die dort aufgeführten personenbezogenen Daten verhinderten einen Einblick. Ein Einblick ohne personenbezogene Daten wäre nicht möglich gewesen.
 * Ein Einblick in eine '''verkehrsrechtliche Anordnung''' war frei von Genehmigungshindernissen und konnte gewährt werden.

@@ Zeile 52: / Zeile 52: @@
 == Informationsfreiheit ==
-* Herausgabe der Schadstoffberichte einer Messung in einer Schule
+* Die Herausgabe der '''Schadstoffberichte''' einer Messung in einer Schule konnte nicht gewährt werden, da das Verfahren noch nicht abgeschlossen war, was nach der Rechtslage nicht erlaubt ist.
-* Fremde Veranstaltungsanträge veröffentlichungsfähig?
+* Ein konkurrierendes Veranstaltungsunternehmen wollte '''Einblick''' in Veranstaltungsanträge der Konkurrenzveranstaltung bekommen. Die dort aufgeführten personenbezogenen Daten verhinderten einen Einblick.
-* Verkehrsrechtliche Anordnung
+* Ein Einblick in eine '''verkehrsrechtliche Anordnung''' war frei von Genehmigungshindernissen und konnte gewährt werden.
 == Korruptionsprävention ==

@@ Zeile 3: / Zeile 3: @@
 = Was ist Datenschutz? =
-Die '''Verarbeitung''' (Erfassung, Änderung, Auswertung, Übermittlung, Zweckänderung, Löschung) von Daten, durch die eine '''natürliche Person''' eindeutig identifiziert werden kann, ist nur erlaubt, wenn diese Verarbeitung Teil eines '''Vertrags''' oder Vorvertrags ist, durch '''Gesetz''' erlaubt wird, einer '''rechtlichen Verpflichtung''' entspringt, lebenswichtige oder berechtigte '''Interessen''' vorliegen oder eine '''Einwilligung''' der Betroffenen vorliegt. Werden ethnische, biometrische, genetische oder andere '''sensible Daten''' verarbeitet, sind weitere Kriterien zu erfüllen. Möglicherweise müssen der oder die Verantwortlichen eine '''Datenschutzerklärung''' (bei Erfassungen) abgeben, ein '''Verfahrensverzeichnis''' führen, eine '''Datenschutzfolgenabschätzung''' abgeben und einen '''Datenschutzbeauftragten''' benennen. '''Auftragnehmer''' müssen zuverlässig sein und durch einen schriftlichen Vertrag verpflichtet werden.
+Die '''Verarbeitung''' (Erfassung, Änderung, Auswertung, Übermittlung, Zweckänderung, Löschung) von Daten, durch die eine '''natürliche Person''' eindeutig identifiziert werden kann, ist nur erlaubt, wenn diese Verarbeitung Teil eines '''Vertrags''' oder Vorvertrags ist, durch '''Gesetz''' erlaubt wird, einer '''rechtlichen Verpflichtung''' entspringt, lebenswichtige oder berechtigte '''Interessen''' vorliegen oder eine '''Einwilligung''' der Betroffenen vorliegt. Werden ethnische, biometrische, genetische oder andere '''sensible Daten''' verarbeitet, sind weitere Kriterien zu erfüllen. Möglicherweise müssen der oder die Verantwortlichen eine '''Datenschutzerklärung''' (bei Erfassungen oder Empfang von Übermittlungen) abgeben, ein '''Verfahrensverzeichnis''' führen, eine '''Datenschutzfolgenabschätzung''' abgeben und einen '''Datenschutzbeauftragten''' benennen. '''Auftragnehmer''' müssen zuverlässig sein und durch einen schriftlichen Vertrag mit definiertem Inhalt verpflichtet werden.
 = Allgemeine Lage =

@@ Zeile 12: / Zeile 12: @@
 = Änderungen der Rechtslage im Datenschutz =
-Wieder datenschutzgerechte Datenübermittlungen in die USA ermöglichte ein neuer Beschluss. Im Sommer nahm die EU-Kommission das neue "Data Privacy Framework" an. Das war notwendig, weil die alte Regelung ("Data Privacy Shield") durch das so genannte "Schrems II"-Urteil im Sommer 2020 vom Europäischen Gerichtshof für ungültig erklärt wurde.
+Wieder datenschutzgerechte Datenübermittlungen in die USA ermöglichte ein neuer Beschluss. Im Sommer nahm die EU-Kommission das neue '''"Data Privacy Framework"''' an. Das war notwendig, weil die alte Regelung ("Data Privacy Shield") durch das so genannte "Schrems II"-Urteil im Sommer 2020 vom Europäischen Gerichtshof für ungültig erklärt wurde.
 Was vielleicht etwas akademisch klingt, hat ganz praktische Anwendungen. Ohne eine datenschutzgerechte Datenübermittlung in die USA konnte man streng genommen weder Handy noch Windows-PC einschalten, da beide Gerätearten ständig Daten in die Zentralen von Google bzw. Microsoft übertragen. Das ist jetzt wieder auf rechtssicherem Terrain möglich. Alle übermittelnden Organisationen müssen sich allerdings zertifizieren lassen und es wurden bereits Klagen gegen die neue Regelung angekündigt.
-Nach dem Bundesmeldegesetz sind Auszüge aus dem Einwohnermelderegister für private Organisationen möglich, wenn die Kriterien exakt genug formuliert werden. Das Innenministerium NRW hat nun zusätzlich bestimmt, dass die Anzahl der Datensätze 2 % der Einwohnerschaft nicht übersteigen darf. Die Nutzung amtlicher Einträge im Register ist somit strenger geregelt. Kommunen dürfen allerdings gemäß dem Meldegesetz NRW Anfragen auch direkt an die Bürger weiterleiten. Umfragen könnten so verteilt werden, ohne dass die Daten der Bürger an die Organisationen herausgegeben werden müssten.
+Nach dem Bundesmeldegesetz sind '''Auszüge aus dem Einwohnermelderegister für private Organisationen möglich''', wenn die Kriterien exakt genug formuliert werden. Das Innenministerium NRW hat nun zusätzlich bestimmt, dass die Anzahl der Datensätze 2 % der Einwohnerschaft nicht übersteigen darf. Die Nutzung amtlicher Einträge im Register ist somit strenger geregelt. Kommunen dürfen allerdings gemäß dem Meldegesetz NRW Anfragen auch direkt an die Bürger weiterleiten. Umfragen könnten so verteilt werden, ohne dass die Daten der Bürger an die Organisationen herausgegeben werden müssten.
 === EuGH, Urteil vom 20. Dezember 2023, Rechtssache C-340/21 ===

@@ Zeile 19: / Zeile 19: @@
 === EuGH, Urteil vom 20. Dezember 2023, Rechtssache C-340/21 ===
-In diesem Urteil hat der EuGH entschieden, dass Betroffene nach einem Datenleck auch dann Schadensersatz geltend machen können, wenn ihre Daten (noch) nicht missbraucht wurden. Dies gilt auch dann, wenn der Verstoß nicht zu einer konkreten Beeinträchtigung der Rechte des Betroffenen geführt hat. Diese Entscheidung stärkt die Rechte der Betroffenen bei Datenschutzverletzungen und erleichtert ihnen den Zugang zu Schadensersatz.
+In diesem Urteil hat der EuGH entschieden, dass '''Betroffene nach einem Datenleck auch dann Schadensersatz''' geltend machen können, wenn ihre Daten (noch) nicht missbraucht wurden. Dies gilt auch dann, wenn der Verstoß nicht zu einer konkreten Beeinträchtigung der Rechte des Betroffenen geführt hat. Diese Entscheidung stärkt die Rechte der Betroffenen bei Datenschutzverletzungen und erleichtert ihnen den Zugang zu Schadensersatz.
 === EuGH, Urteil vom 20. Dezember 2023, Rechtssache C-807/21 ===
-In diesem Urteil hat der EuGH entschieden, dass die Bedingungen für die Verhängung von Bußgeldern im Datenschutzrecht nicht zu streng ausgelegt werden dürfen. Der EuGH hat klargestellt, dass die Mitgliedstaaten bei der Verhängung von Bußgeldern die Schwere des Verstoßes, die Dauer der Zuwiderhandlung, den Umfang der betroffenen Daten und die Art und Weise der Verarbeitung der Daten berücksichtigen müssen. Diese Entscheidung stärkt die Rechte der Betroffenen und stellt sicher, dass Unternehmen für Datenschutzverstöße angemessen sanktioniert werden.
+In diesem Urteil hat der EuGH entschieden, dass die Bedingungen für die Verhängung von '''Bußgeldern im Datenschutzrecht nicht zu streng''' ausgelegt werden dürfen. Der EuGH hat klargestellt, dass die Mitgliedstaaten bei der Verhängung von Bußgeldern die Schwere des Verstoßes, die Dauer der Zuwiderhandlung, den Umfang der betroffenen Daten und die Art und Weise der Verarbeitung der Daten berücksichtigen müssen. Diese Entscheidung stärkt die Rechte der Betroffenen und stellt sicher, dass Unternehmen für Datenschutzverstöße angemessen sanktioniert werden.
 === BGH, Urteil vom 28. Juli 2023, Az. VI ZR 230/22 ===
-In diesem Urteil hat der BGH entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Erhebung, Verarbeitung und Nutzung der Daten in einer verständlichen und transparenten Weise informieren müssen. Der BGH hat klargestellt, dass die Informationspflicht auch dann besteht, wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über die Verarbeitung ihrer Daten umfassend informiert werden.
+In diesem Urteil hat der BGH entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Erhebung, Verarbeitung und Nutzung der Daten in einer verständlichen und transparenten Weise informieren müssen. Der BGH hat klargestellt, dass die Informationspflicht '''auch dann besteht''', wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über die Verarbeitung ihrer Daten umfassend informiert werden.
 === BGH, Urteil vom 20. Juli 2023, Az. VI ZR 287/22 ===
-In diesem Urteil hat der BGH entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Rechte der Betroffenen in Bezug auf ihre Daten informieren müssen. Der BGH hat klargestellt, dass die Informationspflicht auch dann besteht, wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über ihre Rechte in Bezug auf ihre Daten umfassend informiert werden.
+In diesem Urteil hat der BGH entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Rechte der Betroffenen in Bezug auf ihre Daten informieren müssen. Der BGH hat klargestellt, dass die Informationspflicht '''auch dann besteht''', wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über ihre Rechte in Bezug auf ihre Daten umfassend informiert werden.
 === OLG Frankfurt am Main, Urteil vom 20. Juni 2023, Az. 5 U 111/22 ===
-In diesem Urteil hat das OLG Frankfurt am Main entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde informieren müssen. Das OLG hat klargestellt, dass die Informationspflicht auch dann besteht, wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde umfassend informiert werden.
+In diesem Urteil hat das OLG Frankfurt am Main entschieden, dass Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, diese über die Möglichkeit der '''Beschwerde''' bei einer Aufsichtsbehörde informieren müssen. Das OLG hat klargestellt, dass die Informationspflicht auch dann besteht, wenn die Datenerhebung und -verarbeitung für die Erfüllung eines Vertrages erforderlich ist. Diese Entscheidung stärkt die Rechte der Verbraucher und stellt sicher, dass sie über die Möglichkeit der Beschwerde bei einer Aufsichtsbehörde umfassend informiert werden.
 Diese Urteile haben das Datenschutzrecht in Deutschland und der Europäischen Union in wichtigen Punkten weiter gestärkt. Sie schärfen die Pflichten von Unternehmen, die personenbezogene Daten von Verbrauchern verarbeiten, und erleichtern den Betroffenen den Zugang zu ihren Rechten.

@@ Zeile 44: / Zeile 44: @@
 * Decken '''Namensadressen''' personenbezogene Daten auf? Grundsätzlich nicht, da ein Name allein noch keine Zuordnung zu konkreten Personen ermöglicht (z. B. "Müller" als häufiger Name in Deutschland).
 * Für eine Studie "Muslimisches Leben in Deutschland" wollte ein Umfrageinstitut einen passenden '''Datensatz aus dem Einwohnermelderegister''' erhalten. Bei besonderen Kategorien personenbezogener Daten wie der Religionszugehörigkeit sind strenge Kriterien zu erfüllen. Der Datensatz wurde von mir abgelehnt.
-* Bei zwei größeren Fachverfahren in zwei Kommunen wurde die Einhaltung der datenschutzrechtlichen Vorschriften überprüft. Die Hersteller sind inzwischen sehr gut vorbereitet, so dass die passenden Unterlagen schnell geliefert wurden. Sehr löblich!
+* Bei zwei größeren '''Fachverfahren''' in zwei Kommunen wurde die Einhaltung der datenschutzrechtlichen Vorschriften überprüft. Die Hersteller sind inzwischen sehr gut vorbereitet, so dass die passenden Unterlagen schnell geliefert wurden. Sehr löblich!
-* Aktenverwaltung im Homeoffice ist erlaubt, sofern die Akten nur von Berechtigten eingesehen werden können. Sie sollen verschlossen werden.
+* '''Aktenverwaltung im Homeoffice''' ist erlaubt, sofern die Akten nur von Berechtigten eingesehen werden können. Sie sollen verschlossen werden.
 = Erwähnenswertes aus den anderen Themenbereichen =