Hauptseite

Willkommen! Schauen Sie sich doch mal mein Standarddatenschutzmodell an! Ist allerdings noch im Entstehen...

Fall 51/2021: Personenbezogene Daten in E-Mails

E-Mails sind bekanntlich einer mit Bleistift geschriebenen Postkarte gleichzustellen, was ihre Sicherheit angeht. Das warf die Frage auf, ob personenbezogene Daten überhaupt mittels E-Mail übermittelt werden können.

E-Mails sind technisch gesehen kleine Textdateien, die von Computer zu Computer geschoben werden. Diese Computer werden von irgendjemandem verwaltet, der, schon aus sicherheitstechnischen Gründen, auf jeden Bereich des Computers und eben auch auf E-Mails zugreifen können muss. E-Mails können auch verändert werden.

Personenbezogene Daten, die mittels E-Mail übertragen werden, könnten also Dritten offengelegt werden. Das widerspricht dem Datenschutz, wenn es sich um personenbezogene Daten handelt. Der Transport von personenbezogenen Daten mittels herkömmlicher E-Mail ist daher datenschutzrechtlich nicht erlaubt.

E-Mails könnten aber verschlüsselt werden oder man könnte ein grundsätzlich sicheres System wie DE-Mail nutzen. Behörden sind nach dem eGovernment-Gesetz ohnehin verpflichtet, ein DE-Mail-Konto zu betreiben.

Und wenn die Bürger ihre (!) Daten per Mail übermitteln? Jeder darf mit seinen Daten machen, was er will. Wenn jemand also seine personenbezogenen Daten per E-Mail versenden will, dann ist das natürlich erlaubt. Antworten darf der Adressat allerdings nicht über unverschlüsselte E-Mail. Geeignet wäre da das erwähnte DE-Mail-Konto oder der gute alte Brief.

Fall 50/2021: Adressensammlung für Ideenbörse

Für eine Ideenbörse sollte eine Liste von interessierten Bürgern angelegt werden. Diese Liste sollte "manuell" verwaltet werden, aber eben mit Hilfe eines Tabellenkalkulationsprogramms, was dann ja nicht mehr "manuelle Verwaltung" ist. Insofern befindet sich der Fall im sachlichen Anwendungsbereich der EU-DSGVO.

Die Ideenbörse ist mit einem Newsletter vergleichbar. Bei Newslettern ist ein "Double Opt-In" notwendig. Die Adressaten müssen einerseits mit Erlaubnis in eine Liste eingetragen werden, andererseits aber auch ihre E-Mail-Adresse nochmal bestätigen, damit niemand eine fremde Adresse angeben kann.

Die Datenschutzerklärung erklärt das ausreichend. Der Fall war datenschutzkonform.

Prüfschema Datenschutz 2021: Arbeiten wir nach der EU-DSGVO?

• Geben Sie dem Fall ein eindeutiges Aktenzeichen und einen eindeutigen Titel.
• Beschreiben Sie den Sachverhalt (ohne personenbezogene Daten zu erfassen, da dies selbst ein Datenschutzfall sein könnte).
• Prüfen Sie dann die folgenden Verhältnisse:

1. Sind personenbezogene Daten betroffen? Wenn ja, welche?
2. Werden diese Daten verarbeitet und brauchen Sie eine Datenschutzerklärung!
3. Ist die EU-DSGVO räumlich anwendbar?
4. Besteht eine Rechtsgrundlage oder müssen Sie eine Einwilligung einholen?
5. Werden besondere Kategorien personenbezogener Daten verarbeitet?
6. Besteht eine legale Auftragsverarbeitung, sind alle Betroffenenrechte gewährleistet?
7. Muss ein Verarbeitungsverzeichnis erstellt werden?
8. Müssen Datenschutzbeauftragte benannt werden?
9. Muss eine Datenschutzfolgenabschätzung abgegeben werden?
10. Sind geeignete technische und organisatorische Maßnahmen ergriffen worden?

• Eventuell muss eine Meldung an die Aufsichtsbehörde erfolgen.
• Es droht u. U. ein Bußgeld.
• Es besteht möglicherweise ein Anspruch auf Schadensersatz.

Weitere Angebote

• 👩‍🎓 Einführung in die EU-DSGVO
• 📜 Datenschutzberichte
• 📓 Datenschutzlexikon
• 🎈 Eine Liste weiterer interessanter Links
• 👓 Prüfschema für Datenschutzfälle
• 💸 Korruptionsschutz

Programme (Windows, Beta)

• 😀 KURT - Programm zur Prüfung der Korruptionsvorbeugung (Version 21.07.2020)
• 😁 EUGEN - Programm zur Prüfung von Datenschutzfällen (Version 24.06.2020)
• 🍕 Pizza 2000 - Einfaches Programm für Lieferdienste (Version 14.08.2020, Freizeitspaß)