Hauptseite

Wenn besondere Kategorien oder andere personenbezogene Daten verarbeitet werden, eine ausreichende Rechtsgrundlage vorliegt, die räumliche Anwendbarkeit gegeben ist, alle notwendigen Dokumente (Datenschutzerklärung, ggf. Einwilligung, Auftragsverarbeitungsvertrag, Verarbeitungsverzeichnis, Datenschutzfolgenabschätzung) vorliegen, falls erforderlich Datenschutzbeauftragte benannt ist und diese Verarbeitung durch ausreichende technische und organisatorische Maßnahmen ermöglicht wird, sind weder eine Meldung an die Aufsichtsbehörde, noch Klagen oder Schadensersatz notwendig, es sei denn, die Verarbeitung ist nicht rechtmäßig und verjährt.

Fall 62/2021: Keine Impfumfrage nach Liste!

Wegen der Bemühungen, die Corona-Pandemie unter Kontrolle zu bekommen, ist die jährliche Grippeschutzimpfung etwas aus dem Fokus geraten. Dennoch ist natürlich auch hier eine entsprechende Vorsorge notwendig, da die Grippe kein Grippaler Infekt sondern eine eigene, teilweise sehr gefährliche Krankheit ist.

Glücklicherweise sorgen sich auch gute Arbeitgeber um die Gesundheit ihrer Beschäftigten und bieten eine entsprechende Schutzimpfung an. Verlockend ist dabei, eine Liste herumgehen zu lassen, auf der sich die Impfwilligen eintragen können. Allerdings handelt es sich um Gesundheitsdaten, die unter die Besonderen Kategorien personenbezogener Daten fallen und nicht ohne ausreichende Rechtsgrundlage übermittelt werden dürfen.

Es empfiehlt sich daher eher, eine E-Mail-Adresse anzubieten, bei der sich Impfwillige melden können. So erfährt niemand von der Impfwilligkeit der anderen und die verarbeitende Stelle hat einen ausreichenden Grund für die Verarbeitung. Die Schweigepflicht ist dabei natürlich selbstverständlich.

Fall 61/2021: Gruppenauskunft für KiJuPa?

Für die Wahl zum Kinder- und Jugendparlament (KiJuPa) wird eine Gruppenauskunft angefordert. Das ist eine Auskunft über die Meldedaten einer fest definierten Gruppe. Darf für die Wahl des KiJuPa eine Liste aller Wahlberechtigten angefordert werden?

Diese Auskunft muss sich durch feste Kriterien definieren und sie muss im öffentlichen Interesse liegen (§ 46 Bundesmeldegesetz). Fraglos liegt die Jugendpartizipation im öffentlichen Interesse, denn man möchte natürlich Kinder und Jugendliche an die Politik heranführen, damit sie früh lernen, sich für ihre Interessen einzusetzen. Und die Gruppe der Wähler kann man aufgrund des Alters ebenfalls spezifizieren. Das Alter ist nach § 46 auch ein erlaubtes Kriterium zur Definition einer Gruppe.

Die Auskunft ist also datenschutzrechtlich einwandfrei.

Fall 60/2021: Kann man Surveymonkey nutzen?

Ist das Angebot von Surveymonkey datenschutzrechtlich legal nutzbar?

Da die Firma einen Sitz in den Niederlanden hat und eine ausreichend offene Datenschutzerklärung, sehe ich keinen Grund, warum das Angebot der Firma nicht genutzt werden soll.

Fall 59/2021: Betriebliches Eingliederungsmanagement und Personalrat

Ein Personalrat fordert Daten der Verwaltung an: welche Mitarbeiter/-innen sind länger als 42 Tage erkrankt? Ist die Datenübermittlung rechtmäßig?

Da es sich um personenbezogene Daten, nicht aber um besondere Kategorien personenbezogener Daten handelt (eine Diagnose wird weder angefragt noch übermittelt), wird eine Rechtsgrundlage benötigt.

Die befindet sich in § 167 Abs. 2 SGB IX. Dort ist die Interessenvertretung ausdrücklich aufgeführt.

Prüfschema Datenschutz 2021: Arbeiten wir nach der EU-DSGVO?

• Geben Sie dem Fall ein eindeutiges Aktenzeichen und einen eindeutigen Titel.
• Beschreiben Sie den Sachverhalt (ohne personenbezogene Daten zu erfassen, da dies selbst ein Datenschutzfall sein könnte).
• Prüfen Sie dann die folgenden Verhältnisse:

1. Fand der Sachverhalt nach dem 28.05.2018, 0:00 Uhr statt?
2. Sind personenbezogene Daten betroffen? Wenn ja, welcher Art?
3. Werden diese Daten verarbeitet und brauchen Sie eine Datenschutzerklärung!
4. Ist die EU-DSGVO räumlich anwendbar?
5. Besteht eine Rechtsgrundlage oder müssen Sie eine Einwilligung einholen?
6. Werden besondere Kategorien personenbezogener Daten verarbeitet?
7. Besteht eine legale Auftragsverarbeitung, sind alle Betroffenenrechte gewährleistet?
8. Muss ein Verarbeitungsverzeichnis durch Verantwortliche erstellt werden?
9. Müssen Datenschutzbeauftragte benannt werden?
10. Muss eine Datenschutzfolgenabschätzung abgegeben werden?
11. Sind geeignete technische und organisatorische Maßnahmen ergriffen worden?

• Eventuell muss eine Meldung an die Aufsichtsbehörde erfolgen.
• Es droht u. U. ein Bußgeld.
• Es besteht möglicherweise ein Anspruch auf Schadensersatz.

Weitere Angebote

• 👩‍🎓 Einführung in die EU-DSGVO
• 📜 Datenschutzberichte
• 📓 Datenschutzlexikon
• 🎈 Eine Liste weiterer interessanter Links
• 👓 Prüfschema für Datenschutzfälle
• 💸 Korruptionsschutz

Programme (Windows, Beta)

• 😀 KURT - Programm zur Prüfung der Korruptionsvorbeugung (Version 21.07.2020)
• 😁 EUGEN - Programm zur Prüfung von Datenschutzfällen (Version 24.06.2020)
• 🍕 Pizza 2000 - Einfaches Programm für Lieferdienste (Version 14.08.2020, Freizeitspaß)