weitergabe von daten an dritte
Darf mein TV-Anbieter meine persönlichen Daten an dritte weitergeben?
Darf mein TV-Anbieter meine persönlichen Daten an dritte weitergeben?
Das Inkrafttreten der EU-DSGVO hat den Datenschutz zum zentralen Element jedes unternehmerischen Vorhabens werden lassen. Schon vor der Gründung müssen Aspekte des Datenschutzes erkannt und systematisch in die Unternehmensplanung integriert werden. Betroffen sind Personal- und Marketingabteilunge, allgemeine interne und externe Kommunikation und die Entwicklung digitaler Produkte.
Die personenbezogenen Daten sind ein elementarer Schlüsselbegriff der neuen Datenschutzgrundverordnung. Erst wenn diese verarbeitet, erhoben oder verwendet werden, greift die neue Verordnung der EU. Eine genaue Erläuterung findet sich in Art. 4 Abs. 1 DSGVO: Daten sind demnach personenbezogen, wenn sie die Möglichkeit bieten eindeutige Rückschlüsse auf eine natürliche Person zu ziehen. Auch eine indirekte Verbindung zu einer Person, etwa über ein Online-Pseudonym in einem Forum, kann unter diesem Begriff zusammengefasst werden. Typische personenbezogene Daten im Betriebsalltag sind etwa die E-Mail-Adresse, selbstredend Namen und Adressdaten, Kontonummern, aber auch rein digitale Daten, wie IP-Adressen, Log-in-Standorte oder Nutzerverhalten im Web.
Telefonische Erstberatung
Über
geprüfte Fälle
Offene Fragen? – Einfach anrufen:
(Mo. – So. von 9 – 22 Uhr / BUNDESWEIT – Dt. Festnetz)
Unabhängig von der Größe des Unternehmens, wird immer eine für den Datenschutz verantwortliche Person benötigt. Muss kein Datenschutzbeauftragter bestellt werden, so ist der Inhaber oder Geschäftsführer des Unternehmens verantwortlich. Welche Unternehmen einen Datenschutzbeauftragten benötigen wird in der neuen Fassung des Bundesdatenschutzgesetzes (BDSG-Neu) definiert, welches die Auslegung der EU-DSGVO in deutsches Recht konkretisiert. Maßgebend für das Erfordernis eines Datenschutzbeauftragten sind dabei folgende Faktoren.
Ist ein Unternehmen zur Bestellung eines Datenschutzbeauftragten verpflichtet und kommt dieser Pflicht nicht nach, so können Bußgelder bis zu 20 Mio. € oder in Höhe von 4% des weltweiten Konzernumsatzes verhängt werden.
In einigen Bestandteilen waren bestimmte gesetzliche Richtlinien der DSGVO schon durch das BDSG-alt geltendes Recht. Die europäische Datenschutzgrundverordnung orientiert sich zudem an bestimmten Teilen des BDSG. Allerdings werden die Pflichten der Verantwortlichen und die Rechte der betroffenen Personen drastisch ausgeweitet:
Verantwortliche Unternehmen unterliegen gleichzeitig neuen Pflichten, die nicht mit den Rechten der Betroffenen korrelieren. Der Datenschutzbeauftragte und die Auftragsdatenverarbeitung waren schon vor der DSGVO für viele Unternehmen verpflichtend. Zusätzliche Pflichten ergeben sich vor allem im Bereich des technischen Datenschutzes.
Nach Art. 24 DSGVO müssen Unternehmen technisch-organisatorische Maßnahmen treffen, um den Datenschutz als Grundrecht zu gewährleisten. Das beinhaltet zudem eine ständige Evaluierung der technischen Maßnahmen und eine Anpassung an fortschreitende technologische Entwicklungen. Die Maßnahmen müssen somit dem „neusten Stand der Technik“ entsprechen.
Der technische Datenschutz wird durch die DSGVO nicht konkretisiert. Wie einzelne Maßnahmen in der Praxis auszusehen haben, entscheiden entweder nationale Gesetze oder anstehende Gerichtsurteile. Die DSGVO selber formuliert allerdings Schutzziele, deren Erreichung Ziel der technischen Maßnahmen zum Datenschutz sein sollen:
Wie einzelne Maßnahmen in der Praxis in Ihrem Betrieb aussehen, hängt stark von der Art der Datenverarbeitung ab. Ein Datenschutzbeauftragter berät Sie umfangreich zu konkreten Maßnahmen.
In Art. 35 DSGVO wird eine Datenschutzfolgeabschätzung beschrieben, die notwendig wird, wenn die verarbeiteten Daten besonders sensibel sind. Ein Datenleck bei solchen Unternehmen würde ein erhöhtes Schadensrisiko für die betroffenen Personen darstellen. Die Datenschutzfolgeabschätzung wird nach Umsetzung eines Datenschutzkonzeptes vom Datenschutzbeauftragten vorgenommen und an die zuständige Datenschutzbehörde weitergeleitet. Im Grunde handelt es sich dabei um eine Abschätzung aller Risiken und eine Vorabkontrolle des Datenschutzkonzeptes durch die zuständige Behörde.
Besonders drastisch wird die DSGVO aufgrund der höheren Bußgelder und Strafen empfunden, die durch Datenschutzbehörden verhängt werden können. Viele Anforderungen der DSGVO bestanden in Teilen schon durch das deutsche BDSG-alt. Die Verfasser der neuen Verordnung haben sich an dem deutschen Datenschutzgesetz orientiert. Dass die Thematik von Unternehmen überwiegend ignoriert oder vernachlässigt wurde, lag zudem an der geringen Verfolgung durch Datenschutzbehörden und den niedrigen Bußgeldern. Wer nach Inkrafttreten der DSGVO gegen das geltende Datenschutzrecht verstößt, muss mit Bußgeldern in Höhe von bis zu 20. Mio € oder 4% des gesamten Jahresumsatzes rechnen.
Die DSGVO soll für einen einheitlichen europaweiten Datenschutz sorgen und die freie Bestimmung über die eigenen Daten als Persönlichkeits- und Grundrecht stärken. Deutsche Behörden haben angekündigt, Verstöße gegen die DSGVO streng zu verfolgen. Zudem wurden Datenschutzbehörden, die gleichzeitig eine beratende Funktion haben sollen, mit mehr Befugnissen ausgestattet. Es ist somit zu erwarten, dass die Einhaltung von Datenschutzgesetzen ab sofort streng verfolgt und ein wichtiger Bestandteil jeder unternehmerischen Tätigkeit sein wird.
Elementar ist die Rechenschaftspflicht der DSGVO für den neuen europäischen Datenschutz. Unternehmen, die personenbezogene Daten verarbeiten, müssen Aufsichtsbehörden gegenüber nachweisen können, dass sie die Vorgaben erfüllen. Maßgebend sind dabei folgende Grundsätze:
Die Umsetzung der Grundsätze in konkrete Maßnahmen sollte bereits vor der Gründung vorgenommen werden. Im Optimalfall treten Sie mit einem juristischen Beistand in Kontakt, um Ihr Geschäftsmodell evaluieren zu lassen und einen Überblick über datenschutzrechtliche Anknüpfungspunkte zu erhalten.
Telefonische Erstberatung
Über
geprüfte Fälle
Offene Fragen? – Einfach anrufen:
(Mo. – So. von 9 – 22 Uhr / BUNDESWEIT – Dt. Festnetz)
Durch die DSGVO wird der Datenschutz zum wichtigen Themenfeld jeder unternehmerischen Tätigkeit. Schon bei der Wahl des Geschäftsmodells und der Vorbereitung der Unternehmensgründung sollten Aspekte des Datenschutzes evaluiert werden. Start Ups müssen in folgenden Bereichen sich häufig mit Datenschutzaspekten auseinandersetzen:
Start Ups müssen von Beginn an den Datenschutz als wichtigen Aspekt ihrer unternehmerischen Tätigkeit einplanen. Die konkrete Ausarbeitung eines Datenschutzkonzeptes ist in den meisten Fällen Aufgabe des Datenschutzbeauftragten und stark abhängig von dem angestrebten Geschäftsmodell. Da die strengeren Datenschutzgesetze eine Antwort auf die erstarkten Bedürfnisse der Verbraucher sind, können Start Ups sich gegenüber positiv positionieren, wenn Sie die eigene DSGVO-Compliance und eine Betonung der Thematik als Marketingvorteil nutzen.
Die DSGVO-Compliance muss bei der Planung eines Unternehmens berücksichtigt werden. Neben der Personalplanung, wird auch die Finanzplanung und der zeitliche Fortschritt eines neu gegründeten Unternehmens tangiert. Nach einer juristischen Evaluation des Geschäftsmodells und des Plans, sollten Datenschutzaspekte ermittelt und die Compliance eingeplant werden. Unterliegt ein Unternehmen der Pflicht zur Bestellung eines Datenschutzbeauftragten, müssen die Kosten dafür eingeplant werden. Weitere Kosten entstehen durch den Einsatz datenschutzkonformer Software, der Dokumentation der Datenschutzmaßnahmen und der Erhebung der Daten sowie durch die Schulung der Mitarbeiter.
Für die Einhaltung der Datenschutzgesetze ist in jedem Unternehmen der Geschäftsführer oder bei Personengesellschaften der Inhaber verantwortlich. Auch wenn ein Datenschutzbeauftragter bestellt werden muss, kann er nur eine beratende Funktion haben.
Er muss die Geschäftsführung jedoch über alle problematischen Felder in Kenntnis setzen. Somit obliegt ihm die indirekte Verantwortung. Er muss das Unternehmen analysieren und feststellen, an welcher Stelle Anpassungen der Prozesse notwendig sind. Versäumt er die Feststellung, so kann er haftbar gemacht werden.
Es sollte allerdings festgehalten werden, dass bei der Bestellung eines internen Datenschutzbeauftragten aufgrund der inneren Betriebshaftung weiterhin das Unternehmen selbst haftet. Für die praktische Umsetzung ist in jedem Fall die Geschäftsführung verantwortlich.
Um ein gesetzeskonformes Datenschutzkonzept zu entwickeln wird in erster Linie juristische Unterstützung benötigt. Ein akkreditierter Datenschutzbeauftragter kann Ihnen bei der Entwicklung und Umsetzung eines Konzeptes behilflich sein. Eine erste Evaluierung Ihres Vorhabens können Sie einem kostenlosen Erstgespräch im Rahmen unserer Datenschutzberatung erhalten. Fortlaufend kann auch der Kontakt zur zuständigen Datenschutzbehörde aufgenommen werden. Sie haben neben der überwachenden auch eine beratende Funktion.
Telefonische Erstberatung
Über
geprüfte Fälle
Offene Fragen? – Einfach anrufen:
(Mo. – So. von 9 – 22 Uhr / BUNDESWEIT – Dt. Festnetz)
Telefon: 0221 – 6777 00 55
E-Mail: info@anwalt-kg.de
KRAUS GHENDLER RUVINSKIJ ist eine Kooperation der folgenden unabhängigen und rechtlich selbständigen Rechtsanwaltskanzleien: Kraus Ghendler GbR, der GHENDLER RUVINSKIJ Partnerschaftsgesellschaft mbB und KRAUS Anwaltskanzlei (Rechtsanwalt Andre Kraus).