Die 18 deutschen Datenschutz-Aufsichtsbehörden veröffentlichen regelmäßig in ihren Tätigkeitsberichten, was sie im letzten Jahr oder auch in den letzten zwei Jahren getan haben. Über was in diesen Berichten berichtet werden soll, definiert noch immer jede Behörde selbst. Vergleichbarkeit ist offenbar unerwünscht.

Weiterlesen

Es gibt seit einem Jahr für Datenschützer kaum ein anderes Thema mehr, als die Umsetzung der DSGVO und die damit einhergehenden Veränderungen für das deutsche und europäische Datenschutzrecht. Jedoch scheinen die ab 25. Mai 2018 geltenden neuen Pflichten bezüglich der Verarbeitung von personenbezogenen Daten durch mehrere Verantwortliche, bisher nicht deren Hauptaugenmerk zu sein. Eine abgespeckte Regelung der Verantwortlichkeit von mehreren Datenverarbeitern ist bereits in Art. 6 Abs. 2 BDSG normiert. Der Wortlaut des BDSG spricht zwar nur eine „verantwortliche Stelle“ an, schließt jedoch die Verantwortung mehrerer natürlicher und juristischer Personen auch nicht eindeutig aus (Vgl. Dammann in Simitis (Hrsg.), BDSG, 8. Aufl. 2014, § 3 Rdnr. 226.). Art. 26 DSGVO regelt nun Fälle der automatisierten Speicherung, die nicht eindeutig einer Stelle zuordenbar ist, mit dem Ziel dass sich Betroffene an jede verantwortliche datenverarbeitende Stelle wenden können (Vgl. Bertemann in Ehmann/ Selmayer, Datenschutzgrundverordnung, Art. 26, Rn. 4). Der Verordnungsgeber legt damit explizit in Art. 26 Abs. 1 S.1 DSGVO Vorgaben für den Fall fest, wenn Verantwortliche gemeinsam personenbezogene Daten verarbeiten. Weiterlesen

Durch die zunehmende Auseinandersetzung mit der Datenschutzgrundverordnung, mehr und mehr Behördenäußerungen und ersten Erfahrungsberichten aus der Praxis wächst auch der Detailgrad, in dem sich Autoren mit einzelnen Rechtsfragen zur DSGVO auseinandersetzen. Die Tendenz der letzten Ausgaben setzt sich in der neuen PinG-Ausgabe fort (zum Editorial). Es geht nicht mehr darum, einen Überblick zu schaffen, sondern praxisrelevante Fragestellungen zu beantworten. Dabei geht es auch um eine Einordnung in die Systematik des Rechts insgesamt.

Weiterlesen

Um eine ordnungsgemäße Datenverarbeitung zu gewährleisten bedarf es technischer und organisatorischer Maßnahmen. Technische und organisatorische Maßnahmen (TOMS) reichen von der Ausrichtung technischer Systeme über die Instruktion des Personals, bis hin zur Pannenvorsorge (Martini in Paal/ Pauly, DSGVO, 1. Aufl. 2017, Art. 24, Rn. 20).  Nach geltendem Recht werden TOMS in § 9 BDSG und der dazugehörigen Anlage 1 gelistet.  Demnach sind Maßnahmen je nach Art und Kategorie der zu schützenden Daten zu treffen und nur erforderlich, wenn ihr Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht (Vgl. Martini in Paal/Pauly, DSGVO, § 32, Rn. 73.).  Nach der DSGVO müssen sich TOMS nun nach dem Zweck der Verarbeitung sowie dem Stand der Technik richten. Doch auch das vom Datenverarbeitungsverfahren ausgehende Risiko für die Persönlichkeits- und Freiheitsrechte des Betroffenen,  muss fortan bei der Umsetzung der TOMS berücksichtigt werden. Art. 32 HS. 2 DSGVO fordert außerdem eine Risikoabschätzung der Datensicherheit zur Bestimmung, ob eine Datenschutzfolgeabschätzung vorgenommen werden muss. Diese muss immer dann vorgenommen werden, wenn „voraussichtlich ein hohes Risiko“ für die persönlichen Rechte und Freiheiten des Betroffenen zu erwarten ist.

Weiterlesen

Das Thema IT-Sicherheit ist in aller Munde. Es bestehen vielfältige Anforderungen und mit der DSGVO gewinnt die Sicherheit von Informationstechnik an Bedeutung. Einen Überblick zum rechtlichen Rahmen und Einblicke in de technischen Möglichkeiten gibt es am 14.9. in Berlin.

Weiterlesen

Eine Datenschutzfolgenabschätzung (DSFA) wird mit Geltung der DSGVO am 25. Mai 2017 relevant, wenn eine Datenverarbeitung ein hohes Risiko für die Rechte und Freiheiten der Betroffenen darstellt.  Nach geltendem Datenschutzrecht wird eine ähnliche Prüfung in § 4d Abs. 5 BDSG vorgenommen, wonach bestimmte Verfahren einer speziellen Prüfung (Vorabkontrolle) unterzogen werden müssen, wenn sie besondere Risiken für die Betroffenen darstellen (Schmitz/von Dall’Armi in Datenschutz-Folgenabschätzung – verstehen und anwenden, ZD 2017, 57). Die Datenschutzfolgenabschätzung wird vom Verordnungsgeber in Art. 35  DSGVO normiert und soll nach ErwG. 89 S. 3 DSGVO dazu dienen, die unterschiedslose allgemeine Meldepflicht abzuschaffen und durch „wirksamere Verfahren und Mechanismen“ zu ersetzen. Weiterlesen

Der Verordnungsgeber hat eine neue Rechtsgrundlage für die Datenverarbeitung in Art. 6 Abs. 1 S. 1 lit. f DSGVO festgelegt. Hiernach wird es in Zukunft ausreichen, wenn der Verantwortliche ein „berechtigtes Interesse“ an der Verarbeitung von personenbezogenen Daten hat. Doch was ist überhaupt unter einem „berechtigten Interesse“ zu verstehen? Hierunter fallen nicht nur rechtliche, sondern auch tatsächliche, wirtschaftliche oder ideelle Interessen, die von der Rechtsordnung anerkannt werden (Vgl. Buchner/Petri in Kühling/Buchner, DSGVO, Art. 6, Rn. 146.). Nach bisher geltendem Datenschutzrecht ist der Tatbestand der „berechtigten Interessen“ in Art. 28 Abs. 1 S.1 Nr. 2 BDSG normiert, wonach das Erheben, Speichern, Verändern oder Übermitteln von Daten mit Personenbezug oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke zulässig ist. Darunter fallen auch gem. § 29 Abs. 1 BDSG Werbung, Adresshandel und Auskunfteien. Aber auch die Übermittlung oder Nutzung von personenbezogenen Daten, die einem anderen als dem Geschäftszweck dienen und ein „berechtigtes Interesse“ des Datenverarbeiters darstellen,  werden in § 28 Abs. 2 Nr. 2 lit. a BDSG  festgelegt. Weiterlesen

Ab Mai 2018 tritt die Datenschutz – Grundverordnung (DSGVO) in Kraft und mit ihr kommen grundlegende Veränderungen für das Datenschutzrecht. Nach geltendem Recht ist in § 28 Abs. 3b BDSG ein Kopplungsverbot normiert, jedoch für den besonderen Fall der Verarbeitung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung. Der Abschluss eines Vertrags darf nicht von einer Einwilligung zu diesen Zwecken abhängig gemacht werden. Eine Ausnahme besteht dann, wenn dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne die Einwilligung in zumutbarer Weise möglich ist.

Weiterlesen

Der Landesbauftragte für den Datenschutz Sachsen-Anhalt hat Hinweise zum Verzeichnis nach Art. 30 DSGVO online gestellt.

Weiterlesen

Pressemitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 14. August 2017:

Seit 1. August 2016 sind die zwischen der EU und den USA vereinbarten Neuregelungen
für die Übermittlungen personenbezogener Daten in die USA in Kraft. Sie werden als EU-US
Privacy Shield bezeichnet. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit,
Maja Smoltczyk, stellt ab sofort auf ihrer Internetseite Informationen zum Privacy Shield bereit,
die auch einheitliche Beschwerdeformulare beinhalten.

Weiterlesen