Podcast "Der Feind in meinem Pad"

SKRIPT Podcast/Video

DER FEIND IN MEINEM PAD
Eine Prüfung nach EU-DSGVO in 15 Schritten
Entwurf: April 2023

FRANK H. WERNER
Behördlicher Datenschutzbeauftragter (2016)
Geprüfter UNIX-Administrator (1995)
Staatlich geprüfter Informatiker (1989)
Kommunalbeamter a. D. (1985)

1. Ist die EU-DSGVO generell anwendbar?

* Prüfung von Datenschutzfällen immer zuerst nach EU-DSGVO  (Art. 5)
* Dann erst nach Datenschutz im Spezialrecht (Gesellschaftsrecht, Polizeirecht, BGB)
* Dann entweder BDSG (bei Bundesbehörden, Firmen, Privatpersonen)
* oder LDSG (Landesbehörden, Verbände, Kommunen)
* Erlassen 28.05.2016, gültig 28.05.2018, 0:00 Uhr
* Unterschied zu 24:00 Uhr: gültig ab Anfang des Tages
* Es gab 2 Jahre Karenzzeit (reichte aber nicht aus)
* EU-DSGVO ist Grundverordnung – keine nationale Umsetzung
* Grundregelungen mit direkter Wirkung - aber „Öffnungsklauseln“
* Regelungen ähneln dem alten deutschen Datenschutzrecht

2. Werden personenbezogene Daten verarbeitet (Sachliche Anwendbarkeit)?

* Personenbezogene Daten beziehen sich auf natürliche Personen
* Personen sind durch sie eindeutig identifizierbar
* Auch mit Hilfe von anderen Daten (Nummernschild und Kfz-Register)
* Eindeutige Merkmale sind auch identifizierend

Besondere Kategorien personenbezogener Daten sind Daten über

* Ethnie und Herkunft (Originaltext: "Rasse")
* Politische Einstellungen
* Mitgliedschaft in Gewerkschaften
* religiöse oder weltanschauliche Überzeugungen
* genetische Daten
* biometrische Daten
* Sexuelle Ausrichtung

Verarbeitung bedeutet, Daten werden...

* erhoben, erfasst, auslesen, abfragen (Datenerzeugung)
* organisieren, ordnen, speichern, anpassen, verändern (Datenveränderung)
* verwenden, offen legen, verbreiten (Datenverteilung)
* abgleichen, verknüpfen (Datenauswertung)
* einschränken, löschen, vernichten (Datenvernichtung).
* ferner: Zweckänderung oder Übermittlung

3. Ist diese Verarbeitung rechtmäßig?

* Lebenswichtiges Interesse
* Öffentliches Interesse
* Öffentliche Gewalt
* Gesetz
* Vertrag
* Berechtigtes Interesse

Wenn nicht: liegt eine gültige Einwilligung vor?

* Einwilligung ist immer möglich und immer gültig
* Denn mit seinen Daten kann jeder tun und lassen, was er will
* Einwilligung muss freiwillig erfolgen (darauf muss hingewiesen werden!)
* Sie darf nicht an Bedingungen geknüpft sein (Koppelungsverbot)
* Sie muss jederzeit nachweisbar sein (während der Verarbeitung)
* Einwilligung nur für jeweils einen Sachverhalt möglich
* Einwilligungen können jederzeit widerrufen werden, gelten aber nur für die Zukunft
* Einwilligende müssen "informiert" sein!
* Kinder unter 16 Jahren können nicht einwilligen (Träger elterlicher Belange muss einwilligen)

Bei besonderen Kategorien personenbezogener Daten 

* Zunächst gelten alle bisherigen Anforderungen an die Rechtmäßigkeit
* Solche Datenverarbeitungen müssen außerdem ERFORDERLICH sein
* um ein Recht oder eine Pflicht
* der sozialen Sicherheit oder dem Arbeitsrecht auszuüben
* Verarbeitung nur durch Fachpersonal oder Personal mit Schweigepflicht ("Berufsgeheimnis")
* Berufsgeheimnisträger sind Ärzte, Anwälte, Geistliche, Apotheker etc.

4. Brauchen wir eine Datenschutzerklärung?

* Werden Daten ERHOBEN oder EMPFANGEN, ist eine Datenschutzerklärung notwendig
* Der Verantwortliche erklärt...
* ...wer er ist (und wer sein Stellvertreter ist)
* ...wer der Datenschutzbeauftragte ist (sofern es einen gibt)
* ...welchen Zweck die Verarbeitung hat
* ...welche Rechtsgrundlage die Verarbeitung hat
* ...ggf. welche berechtigten Interessen
* ...wer diese Daten empfängt (oder welche Kategorien von Empfängern)
* ...die Absicht, die Daten außerhalb der EU zu übermitteln

sowie auf Nachfrage (beim Verantwortlichen!)   <- FALSCH!

* die Dauer der Speicherung dieser Daten
* das Bestehen der Betroffenenrechte
* das Recht auf Widerruf einer Einwilligung
* das Bestehen eines Rechts der Beschwerde bei der Aufsichtsbehörde
* die Folgen der fehlenden Bereitstellung der Daten
* das Bestehen einer automatischen Entscheidungsfindung

5. Brauchen wir ein Verarbeitungsverzeichnis?

* Name und Kontaktdaten von Verantwortlichen, gemeinsam Verantwortlichen und Stellvertretern
* Name und Kontaktdaten des Datenschutzbeauftragten
* die Zwecke der Verarbeitung
* die Kategorien der betroffenen Personen und die der personenbezogenen Daten
* die Kategorien von Empfängern, denen die Daten offen gelegt werden (in Drittländern)
* Übermittlung von solchen Daten an ein Drittland
* Löschfristen dieser Daten
* technische und organisatorische Maßnahmen zum Schutz dieser Daten
* ...für Auftragsverarbeiter zeigen dagegen nur an
* Name und Kontaktdaten von Verantwortlichen, gemeinsam Verantwortlichen und Stellvertretern
* Name und Kontaktdaten des Datenschutzbeauftragten
* Kategorien von Verarbeitungen dieser Daten
* Übermittlung solcher Daten an ein Drittland
* technische und organisatorische Maßnahmen zum Schutz dieser Daten

6. Brauchen wir eine Datenschutzfolgenabschätzung?

Bei neuen Verfahren sind Art, Umfang, Umstände und Zweck der Verarbeitung darauf zu prüfen, ob ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht (Datenschutz-Folgenabschätzung, DSFA). Dabei kann eine Abschätzung für mehrere ähnliche Verfahren vorgenommen werden. Der Rat des Datenschutzbeauftragten ist dabei einzuholen.

Erforderlich ist eine DSFA nach Artikel 35 Abs. 3, wenn

* natürliche Personen durch Profiling oder automatisierte Verarbeitung eingeschätzt werden und
* dass Rechtsfolgen für diese Personen haben könnte oder
* große Mengen besonderer personenbezogener Daten verarbeitet werden sollen oder
* öffentliche Bereiche systematisch überwacht werden sollen

Die Aufsichtsbehörde erstellt eine Liste der Verarbeitungsvorgänge, für die eine DSFA durchzuführen ist und veröffentlicht diese. Sie kann auch eine Liste der Arten von Verarbeitungsvorgängen erstellen, für die keine DSFA notwendig ist.

Eine DSFA enthält wenigstens

* eine Beschreibung der geplanten Verarbeitungsvorgänge
* eine Bewertung der Verhältnismäßigkeit und Notwendigkeit in Bezug auf den Zweck
* eine Bewertung der Risiken für Rechte und Freiheiten der Betroffenen
* Abhilfemaßnahmen, die die Risiken minimieren

Der Standpunkt betroffener Personen kann eingeholt werden. Die Abhilfemaßnahmen einer DSFA sind erforderlichenfalls zu kontrollieren, besonders wenn Änderungen eingetreten sind. Hat die DSFA ergeben, dass die Verarbeitung ein hohes Risiko birgt, kann der Verantwortliche die Aufsichtsbehörde konsultieren.

7. Sind die Betroffenenrechte garantiert?

* Dateneigentümer haben garantierte Rechte im Datenschutz
* Konstruktive Rechte:
◦ Auskunft
◦ Berichtigung
◦ Datenübertragbarkeit
* Destruktive Rechte:
◦ Widerspruch
◦ Einschränkung
◦ Löschung (Vergessen werden) -> auch nicht aktuelle Datenbestände berücksichtigen!
* Die Rechte sind allerdings beschränkt (Art. 23 EU-DSGVO)
* Aus der Informationspflicht folgt die Datenschutzerklärung

8. Verantwortliche, gemeinsam Verantwortliche, Auftragsverarbeitung

* Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung bestimmt
* Bestimmen mehrere darüber, sind es gemeinsam Verantwortliche
* Technische und organisatorische Maßnahmen notwendig
* Bestimmen Auftragnehmer selbstständig über Mittel und Zweck, sind es Auftragsverarbeiter
* Auftragsverarbeitungsverträge müssen bestimmten Anforderungen genügen

9. Der Datenschutzbeauftragte

* Datenschutzbeauftragte müssen benannt werden
* Von Behörden immer!
* von Verantwortlichen, die systematisch überwachen (Security Dienste)
* von Verantwortlichen, die umfangreiche besondere Kategorien verarbeiten (Praxen, Apotheken)
* Notwendig Qualifikation und Fachwissen (evtl. Fortbildung)
* Pflicht zur Unterstützung durch Verantwortliche und Auftragsverarbeiter
* Keine Weisungsempfänger bezüglich Tätigkeit
* Recht auf Bericht an Verantwortliche unmittelbar
* Betroffene können ihn zu Rate ziehen (Bürger, Kunden)
* Geheimhaltung und Vertraulichkeitspflicht
* Kein Interessenskonflikt (keine Selbstkontrolle)
* Unterrichtung und Beratung über die Rechtslage
* Überwachung der Einhaltung der EU-DSGVO
* Allgemeine Beratung (auf Anfrage)
* Anlaufstelle für und Zusammenarbeit mit der Aufsichtsbehörde
* Datenverarbeitung durch Datenschutzbeauftragte erfolgt verantwortungsvoll!

10. Meldung, Klage, Bußgeld

* Meldung „möglichst“ binnen 72 Stunden
* Auftragsverarbeiter melden an Verantwortliche
* Inhalt der Meldung
* Art der Datenschutzverletzung (inkl. Kategorien und Anzahl der Datensätze)
* Kontaktdaten des Datenschutzbeauftragten
* Wahrscheinliche Folgen der Verletzung
* Ergriffene oder vorgeschlagene Maßnahmen zur Behebung

* Zuständig sind die ordentlichen Gerichte
* Also z. B. nicht die Verwaltungsgerichte
* Die Übersendung der Akten erfolgt zuerst an die Staatsanwaltschaft,
* die sie nach Prüfung auf Einstellung
* nicht ohne Zustimmung der erlassenden Datenschutzbehörde
* an das Strafgericht übersandt.

* Bußgelder sind nur gegen jeden Verantwortlichen möglich
* Mitarbeiter können auch verantwortlich sein
* Bis 100.000.- € Bußgeld ist das Amtsgericht zuständig
* Darüber hinaus das Landgericht.
* Ein Anspruch auf Verhängung eines Bußgeldes besteht nicht.
* Datenschutzverstöße verjähren nach 3 - 5 Jahren

ENDE