Was ist Datenschutz?

Aus Datenschutz
Zur Navigation springen Zur Suche springen

Wenn im räumlichen Anwendungsbereich der EU-DSGVO

  • Die Verarbeitung findet innerhalb der EU statt
  • oder in Norwegen, Island oder Liechtenstein ("NIL-Staaten")
  • oder die Verantwortlichen unterliegen EU-Recht
  • oder die Verantwortlichen haben wenigstens eine Niederlassung innerhalb der EU

und im sachlichen Anwendungsbereich der EU-DSGVO

  • und es handelt sich nicht um Verantwortliche innerhalb der Strafverfolgung (Polizei, Gerichte)
  • und es handelt sich nicht um EU-Organe (da gelten eigene Vorschriften)
  • und es handelt sich nicht um den rein persönlichen oder familiären Bereich

und im zeitlichen Anwendungsbereich der EU-DSGVO

  • also nach dem 28.05.2018, 0:00 Uhr

personenbezogene Daten

  • Personenbezogenen sind Daten (auch Bild- und Tonaufnahmen), durch die
    • eine oder mehrere natürliche Personen
    • direkt oder mit Hilfe von weiteren Datenquellen
    • eindeutig
  • identifiziert werden kann.

oder besondere Kategorien personenbezogener Daten

  • Daten über rassische oder ethnische Herkunft (Originaltext)
  • politische Meinungen oder Gewerkschaftszugehörigkeit
  • religiöse oder weltanschauliche Überzeugungen
  • genetische, biometrische oder gesundheitliche Daten
  • Sexualleben oder die sexuelle Ausrichtung

verarbeitet werden,

  • erhoben (z. B. Daten werden von Betroffenen erfragt)
  • erfasst (z. B. Daten werden gespeichert)
  • empfangen (z. B. Daten werden von anderen Stellen übermittelt)
  • ausgelesen (z. B. Daten werden von Maschinen auf Anfrage übermittelt)
  • abfragen (z. B. Daten werden von anderen Stellen angefordert)
  • organisiert (z. B. Daten werden anders sortiert)
  • geordnet (z. B. Daten werden reindiziert)
  • angepasst (z. B. Daten werden übersetzt)
  • verwendet (z. B. Adressen bei Serienbriefen)
  • abgeglichen (z. B. mit anderen Datenbeständen ergänzt)
  • verknüpft (z. B. mit anderen Datenbeständen koordiniert)
  • offengelegt (z. B. in sozialen Netzen gepostet)
  • übermittelt (z. B. an andere Stellen gesendet)
  • verbreitet (z. B. ins Internet gestellt)
  • bereitgestellt (z. B. zum Abruf in die Cloud)
  • eingeschränkt (z. B. aus der Bearbeitung genommen)
  • gelöscht (z. B. wieder herstellbar verschoben)
  • vernichtet (z. B. endgültig unbrauchbar gemacht)

dann müssen die Verantwortlichen

  • Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung entscheidet
  • Es kann auch gemeinsam Verantwortliche geben
    • die vereinbaren, wer welche Pflichten nach der EU-DSGVO übernimmt
    • und die die wesentlichen Regelungen den Betroffenen zur Verfügung stellt.
  • Auftragnehmer ohne diese Entscheidungsfähigkeit dürfen nur mit einem Vertrag bestimmten Inhalts beauftragt werden.

dies rechtmäßig,

  • Rechtsgrundlagen sind
    • Interessen
      • lebenswichtiger Art (Leben oder Gesundheit der Betroffenen sind bedroht)
      • öffentlicher Art (das Interesse der Öffentlichkeit ist höher als das der Betroffenen (z. B. bei allgemeinen Bedrohungslagen))
      • berechtigter Art (z. B. Firmen, deren Interesse die Werbung ist)
    • Verträge, Vorverträge oder vorvertragliche Verhandlungen
      • deren Beteiligte die Betroffenen sind
    • Gesetze
      • materieller Art (also z. B. keine Satzungen)
    • oder in Ausübung öffentlicher Gewalt
      • die der Staat oder damit Beliehene ausüben dürfen
    • eine informierte Einwilligung der Betroffenen

unter Beachtung der zusätzlich bei besonderen Kategorien personenbezogener Daten geltenden Voraussetzungen,

  • Basiert die Verarbeitung auf einer Einwilligung, muss die Verarbeitung dieser Daten explizit aufgeführt sein.
  • Die Verarbeitung muss erforderlich sein, um ein soziales Recht auszuüben oder einer entsprechenden Pflicht nachzukommen.
  • Eine Einwilligung der Betroffenen ist gesundheitlich oder rechtlich nicht möglich.
  • Die Verarbeitung erfolgt durch eine nicht gewinnorientierte Stiftung.
  • Die Betroffenen haben die Daten selbst öffentlich gemacht.
  • Die Verarbeitung ist im Bereich von Gerichten erforderlich.
  • Die Verarbeitung ist aus erheblichen öffentlichen Interessen erforderlich.
  • Verarbeitung zum Zwecke der
    • Gesundheitsvorsorge,
    • Arbeitsmedizin,
    • Beurteilung der Arbeitsfähigkeit,
    • medizinische Diagnostik,
    • Versorgung oder Behandlung im Gesundheitsbereich,
    • Schutz vor Pandemien o. ä.,
    • archivarische, wissenschaftliche oder historische Zwecke
  • Verarbeitende unterliegen einer Geheimhaltungspflicht

zweckgebunden,

  • Der Zweck der Verarbeitung muss vor der Verarbeitung festgelegt sein.
  • Eine Zweckänderung ist die Nutzung vorhandener Daten zu einem anderen Zweck als dem, der bei der Entstehung der Daten der Grund war.
  • Eine Zweckänderung muss mit dem ursprünglichen Zweck vereinbar sein.
  • oder es muss eine Rechtsgrundlage für die Zweckänderung geben (Gesetz, Einwilligung)
  • Zu berücksichtigen sind
    • Verbindungen zwischen dem ursprünglichen und dem neuen Zweck
    • Zusammenhängen der Erhebung der Datenbestände
    • Arten der personenbezogenen Daten, gerade bei besonderen Kategorien personenbezogener Daten
    • Folgen der neuen Verarbeitung
    • Garantien für Rechte und Freiheiten der Betroffenen durch Verschlüsselung oder Pseudonymisierung
  • Eine Weiterverarbeitung für im Öffentlichen Interesse liegende archivarische, wissenschaftliche oder historische Zwecke gilt als vereinbar.

minimiert,

  • Es dürfen nur so viele Daten verarbeitet werden, wie für den Zweck unbedingt notwendig sind.

transparent,

  • Bei Erfassungen und Empfang muss eine Datenschutzerklärung an die Betroffenen abgegeben werden.
  • Betroffene haben ein Recht auf Auskunft

mit den korrekten Daten,

  • Betroffene haben ein Recht auf Korrektur ihrer Daten
  • Betroffene haben u. U. ein Recht auf Sperrung ihrer Daten (Aussetzen der Verarbeitung)

zeitlich begrenzt,

  • Die Daten dürfen nur so lange personenbezogen sein, wie es für die Verarbeitung unbedingt notwendig ist.
  • Der Personenbezug kann dann reversibel (Pseudonymisierung) oder irreversibel (Anonymisierung) entfernt werden.
  • Hinweis: Betroffene haben u. U. ein Recht auf Einschränkung, Sperrung oder Löschung ihrer Daten.

integer und vertraulich,

  • Verantwortliche müssen einen Datenschutzbeauftragten benennen, wenn
    • es sich bei den Verantwortlichen um Behörden handelt oder
    • mindestens 20 Personen regelmäßig mit der Verarbeitung beschäftigt sind oder
    • besondere Kategorien personenbezogener Daten verarbeitet werden oder
    • personenbezogene Daten in großem Umfang verarbeitet werden oder
    • und systematisch das Verhalten natürlicher Personen überwacht wird

nach Treu und Glauben

  • Nach herrschender Meinung in anständiger und fairer Weise.
  • Englischer Begriff: "fairness".

und das alles nachweisen können

  • Verantwortliche und Auftragsverarbeiter müssen ein Verarbeitungsverzeichnis schriftlich führen (Art. 30 EU-DSGVO).
    • wenn es sich um Behörden handelt
    • oder um private Stellen,
      • die mehr als 249 Beschäftigte haben
      • deren Verarbeitung nicht nur gelegentlich erfolgt
      • oder es werden dort besondere Kategorien personenbezogener Daten verarbeitet
      • oder es werden dort Daten über Verurteilung oder Straftaten verarbeitet
  • das mindestens folgendes enthält:
    • Name und Kontaktdaten des Verantwortlichen,
      • der gemeinsam Verantwortlichen und der Vertreter,
      • sowie ggf. der Auftragsverarbeiter
    • Name und Kontaktdaten des Datenschutzbeauftragten
    • die Zwecke der Verarbeitung
    • die Kategorien betroffener Personen und Daten
    • die Kategorien von Empfängern (auch in Drittländern)
    • Übermittlungen an ein Drittland
    • Fristen für die Löschung der Daten
    • technische und organisatorische Maßnahmen zum Schutz der Daten
  • und das den Aufsichtsbehörden auf Anfrage vorgelegt werden muss

oder abschätzen

  • Verantwortliche müssen u. U. eine Datenschutzfolgenabschätzung durchführen und dokumentieren
  • Dies muss erstellt werden, wenn
    • neue Technologien verwendet werden
    • voraussichtlich ein hohes Risiko für Rechte und Freiheiten für die Betroffenen entsteht, weil
      • Art (regelmäßig Profiling)
      • Umfang (große Mengen besonderer Kategorien personenbezogener Daten)
      • Umstände (systematische Überwachung)
      • Zwecke
    • der Verarbeitung dies verursachen könnte.
  • Der Rat der Datenschutzbeauftragten muss vorher eingeholt werden.
  • Eine Datenschutzfolgenabschätzung enthält zu mindestens folgendes:
    • Beschreibung von Verarbeitungsvorgängen
    • Beschreibung von Zwecken
    • Beschreibung von Interessen
    • Bewertung von Notwendigkeit und Verhältnismäßigkeit
    • Bewertung von Risiken für Rechte und Freiheiten und
    • die dazu vorgenommenen Abhilfen (Garantien, Sicherheitsmaßnahmen, Verfahren).

weil ansonsten eine Meldung an die Aufsichtsbehörde erfolgen,

  • Für die Behörden des Bundes ist der oder die Bundesdatenschutzbeauftragte zuständig (§9 BDSG).
  • Zuständig für nicht-öffentliche Stellen (Firmen, Privatpersonen) ist der oder die Landesdatenschutzbeauftragte (§ 40 BDSG).
  • Betrifft der Fall mehrere Bundesländer, ist der oder die Bundesdatenschutzbeauftragte zuständig (§ 40 BDSG).
  • Die Meldung
    • soll binnen 72 Stunden nach dem Vorfall erfolgen oder begründet später
    • enthält die Art der Verletzung (Gegen welches Benutzerrecht wurde verstoßen?)
    • enthält Kontaktdaten der Datenschutzbeauftragten
    • enthält wahrscheinliche Folgen der Verletzung
    • enthält ergriffene oder vorgeschlagene Maßnahmen zur Behebung
  • Der Verantwortliche benachrichtigt auch die betroffenen Personen

eine Klage erhoben,

und eventuell eine Strafe verhängt

  • Die EU-DSGVO sieht Bußgelder in Höhe von max. 2 % des weltweiten Jahresumsatzes vor.
  • Schadensersatz ist auch möglich.

oder Schadensersatz verlangt werden kann.