Fachwissen Datenschutz - DSGVO, BDSG, TTDSG, ...

• Datenschutzprinzipien
  Die DSGVO basiert auf klaren Prinzipien, wie Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.
  
  
• Rechte der Betroffenen
  Die Verordnung stärkt die Rechte der Betroffenen, darunter das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.
  
  
• Pflichten der Verantwortlichen
  Unternehmen, die personenbezogene Daten verarbeiten, sind verpflichtet, diese zu schützen und bei bestimmten Verarbeitungstätigkeiten eine Datenschutz-Folgenabschätzung durchzuführen.
  
  
• Datenschutzbeauftragter
  Bestimmte Unternehmen müssen einen Datenschutzbeauftragten ernennen, der die Einhaltung der DSGVO überwacht.

Die Anwendung des DSGVO richtet sich auf die Verarbeitung personenbezogener Daten natürlicher Personen. Jegliches grundlegendes Handeln unterliegt hiernach somit der Wahrung der Vertraulichkeit von personenbezogenen Daten als auch der Verschwiegenheit gegenüber Unbefugten.

Natürliche Personen haben über ihre gespeicherten persönlichen Daten ein Auskunftsrecht. Die Anfrage zur Auskunft über diese Daten kann durch eine formlose Anfrage (z.B. via E-Mail oder Brief) erfolgen.

Innerhalb eines Monats muss eine Rückmeldung über die angeforderten Informationen (welche Daten, Herkunft der Daten, Verwendung der Daten, Dauer der Datenspeicherung) vorliegen.

Untersagt eine natürliche Person die Weitergabe von personenbezogenen Daten, dann sind diese nicht nur vor dem Zugriff Dritter zu schützen, sondern dürfen auch nicht für personenbezogene Werbung verarbeitet werden.

Neben dem Recht, falsche Daten korrigieren zu lassen, müssen auf Verlangen alle Daten tatsächlich so vernichtet/ gelöscht werden, dass sie auch nicht (mehr) einem Dritten zur Verfügung stehen. Damit haben natürliche Personen auch das Recht auf digitales Vergessen.

Personenbezogene Daten dürfen jedoch nicht immer gelöscht werden. Beispielsweise wenn es gesetzliche Aufbewahrungsfristen (z.B. Rechnungen) zu beachten gibt.

Darüber hinaus kann die Einsicht in Dokumente dann beschränkt oder verwehrt werden, wenn dieses die Rechte und Freiheiten anderer Personen beeinträchtigen würde, insbesondere ein berechtigtes Interessen Dritter an einer Geheimhaltung besteht.

Die Datenschutz-Erklärungen müssen nunmehr so verständlich verfasst sein, dass auch Kinder und Jugendliche den Inhalt verstehen können, wenn sich z.B. ein Angebot auf einer Webseite an diese richtet. Die entsprechende Einwilligung kann von Jugendlichen – sofern 16 Jahre alt - selbst, ansonsten durch die Eltern erfolgen.

Betroffen von den Datenschutzbestimmungen ist die Verarbeitung der Daten, wenn die Tätigkeiten innerhalb der EU erfolgen.

Sollte ein Unternehmen seine Niederlassung(en) außerhalb der EU haben, sind die Regelungen der DSGVO trotzdem zu beachtet, wenn Waren oder Dienstleistungen in der EU angeboten werden und diese Aktivitäten im Zusammenhang zu der Datenverarbeitung stehen.

Die Verarbeitung personenbezogener Daten muss auf das für den Zweck der Verarbeitung notwendige Maß beschränkt sowie dem Zweck angemessen und sachlich relevant sein.

Zur Erfüllung gesetzlicher Verpflichtungen wie z.B. handels- und steuerrechtlichen Aufbewahrungspflichten dienen als Rechtsgrundlage für die Verarbeitung von Daten die jeweiligen gesetzlichen Regelungen i.V. mit Art. 6 Abs. 1c DSGVO.

Personenbezogene Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden.

Rechtsgrundlage für die Verarbeitung personenbezogener Daten für (vor)vertragliche Zwecke ist Art. 6 Abs. 1b DSGVO.

Relevante personenbezogene Daten sind Personalien (Name, Adresse und andere Kontaktdaten, Geburtsdatum und -ort, Staatsangehörigkeit), evtl. Lebensgemeinschaft, Lebenslauf, ggf. Bankverbindung und ggf. Steuerdaten, sowie andere mit den genannten Kategorien vergleichbare Daten.

Der Unternehmer hat geeignete technische und organisatorische Maßnahmen zur Datensicherheit umzusetzen. Dabei hat er neben dem Stand der Technik und den Implementierungskosten, den Zweck der Datenverarbeitung, aber auch die Eintrittswahrscheinlichkeit und die Schwere des Risikos für die persönlichen Rechte zu berücksichtigen.

Eine Verletzung des Schutzes personenbezogener Daten muss der Unternehmer unverzüglich, nach Möglichkeit innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls, an die zuständige Datenschutzbehörde melden. Es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten des Betroffenen.

Unternehmen haben gegenüber den Betroffenen weitreichende Informationspflichten zu erfüllen, z. B. über den Zweck und die Rechtsgrundlage der Datenverarbeitung. Sie müssen gegenüber einer anfragenden Person Auskunft darüber geben, ob und ggf. welche Daten dieser Personen sie verarbeitet haben.

Darüber hinaus können Betroffene von Unternehmen verlangen, dass unzutreffende personenbezogene Daten berichtigt oder Daten gelöscht werden, weil z. B. die Einwilligung zur Datenverarbeitung widerrufen wurde.

Der Unternehmer muss vorab vorsorglich eine „Datenschutz-Folgen Abschätzung“ durchführen, wenn die Art der Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten birgt.

Ein Datenschutzbeauftragter ist u. a. zu benennen, wenn ein deutsches Unternehmen mehr als zehn Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.

Muss ein Unternehmen eine Datenschutz-Folgenabschätzung durchführen, ist ein Datenschutzbeauftragter unabhängig von der Anzahl der Beschäftigten, die personenbezogene Daten verarbeiten, zu benennen.

Das Recht auf Beschwerde besteht auch gegenüber einer zuständigen Datenschutzaufsichtsbehörde.

Für die Wahrung der Rechte eines Betroffenen sind sowohl die Gerichte, als auch die Aufsichtsbehörde am jeweiligen Wohnort zuständig.

• Anwendungsbereich
  Das BDSG gilt für die Verarbeitung personenbezogener Daten durch öffentliche Stellen des Bundes, private Unternehmen und teilweise auch für öffentliche Stellen der Länder, soweit die DSGVO keine Anwendung findet.
  
  
• LDSG
  Die Landesdatenschutzgesetze ergänzen das BDSG und regeln die Verarbeitung personenbezogener Daten durch öffentliche Stellen der jeweiligen Bundesländer.

• Anwendungsbereich
  Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) gilt für elektronische Kommunikationsdienste und regelt unter anderem den Einsatz von Cookies und ähnlichen Technologien sowie die Verarbeitung von Daten im Kontext
  der Telekommunikation und der elektronischen Kommunikationsdienste.
  
  
• Besondere Regelungen für Mitarbeiter
  Im TTDSG finden sich spezifische Vorschriften für die Nutzung von E-Mail und Internet am Arbeitsplatz, die sowohl die Privatsphäre der Mitarbeitenden als auch die Interessen des Arbeitgebers berücksichtigen.