Datenschutz Flashcards
Anknüpfungspunkte Rechtsrahmen
-Daten
(Keine Behandlung i.S.d. Datenschutzrechts, aber Schutz für:
-Personenbezogene Daten
-Betriebsgeheimnisse)
- Datenträger
- Datenbanken
- Inhalte der Daten
Grundsätze des Datenschutzrechts (DSGVO)
1) Rechtmäßigkeit
(Art.6 Abs.1): Verbot, Ausnahme: Rechtsvorschrift, Zulässigkeitstatbestand o. Einwilligung
(Für jede Phase mit pb-Daten seperat zu prüfen)
2) Verarbeitung nach Treu und Glauben
- Vorgehen, wie betroffene Person es erwarten würde (keine Spyware, unfaire Verhaltensweise)
- Direkterhebung: Erhebung über Dritte nur in Ausnahmen zulässig
3) Transparenz
- Informieren über Art/Umfang/Verwendung/Übermittlung/Verantwortlicher der pb-Daten
Beispiel Vertragsabschluss: Hinweise zum Datenschutz // Datenweitergabe: Zusätzliche Einwilligung + og. Infos
4) Zweckbindung
- konkrete Festlegung der Datennutzung - ändern?: neue Rechtsgrundlage -> Einwilligung
Beispiel: Vertragserfüllung/bessere Angebote=ja /weitere Verarbeitung für Kundenprofile/Werbung=nein
- Entscheidungserhebliche Faktoren: Verbindung zw. Zwecken (Zweckvereinbarkeit)
5) Verhältnismäßigkeit
- Erhebungsumfang stimmt überein mit Zweck
- Erhobene Daten erforderlich für Zweck
6) Korrektheit der Daten
- Unzutreffende müssen korrigiert/gelöscht werden
7) Datenminimierung (Minimierung & Sparsamkeit)
- so wenig pb-Daten wie möglich, nach Möglichkeit anonymisieren/pseudononisieren
Einwilligung, Mindestanforderung, insbesondere Informierte Einwilligung
- Mindestanforderung: Zeitpunkt (vorher), Form(alles möglich),Inhalt („informierte Einwilligung“, siehe Informationsrecht), Widerruf
- Freiwilligkeit (Kopplungsverbot)
Informierte Einwilligung:
0) Angabe der pb-Daten
1) Kontaktdaten Verantwortlicher und Datenschutzbeauftragten
2) Zweck, Rechtsgrundlage und berechtigtes Interesse
3) Empfänger / ggf. Drittland -> geeignete Garantien
4) Speicherdauer, Betroffenenrechte inkl. Widerruf und Beschwerde
6) Logik einer automatisierten Entscheidung/Profiling
Erlaubnistatbestände Verarbeitung pb-Daten (DSGVO Art.6 Abs.1)
->Rechtsgrundlage für Verarbeitung pb-Daten
a) Einwilligung
b) Erforderlichkeit f. Erfüllung eines Vertrags
(c) Erforderlichkeit f. Erfüllung einer rechtl. Verpflichtung)
f) Erforderlichkeit zur Wahrung berechtiger Interessen
- Interessensabwägung Wirtschaftlich vs Schutz pb-Daten (Empfindlichkeit der Daten / Kinder?)
weitere)
- Verarbeitung Beschäftigtendaten
- Betriebsvereinbarungen und Tarifvertrag (MA-Daten: Einwilligung heikel, da Abhängigkeit)
Defi pb-Daten
Alles, was natürliche Person in Verhalten / Lebensumstände beschreibt
Akteure Datenschutz
- Betroffene Person (natürliche Person)
- Verantwortlicher (Entscheider über Verarbeitung von Pb-Daten, “Herr der Daten”)
- Auftragsverarbeiter (verlängerter Arm d. Verantwortlichen, vorgezeichneter Entscheidungsspielraum, nicht verantwortlich)
- Berater (Mischkonstellation, nur verantwortlich wenn Eigeninteresse
Mindestvorgaben Auftragserteilung Auftragsverarbeiter
Sorgfältige Auswahl des Auftragsverarbeiters, Zulässigkeitstatbestand
Festlegung folgender Aspekte (schriftlich)
- Art der Daten, bP
- Dauer
- Umfang, Art und Zweck des Datenumgangs
- Sicherheit der Datenverarbeitung (Art. 32 DSGVO)
- Unterstützung bei Geltendmachung von Betroffenenrechten
- Kontrollrechte und Weisungsbefugnis des Auftraggebers
- Mitteilungspflicht des Auftragnehmers bzgl. Verstöße gegen datenschutzrechtliche Vorgaben
- Rückgabe von Datenträgern und die Löschung von Daten
Ziele des Datenschutzrechts
- Schutz vor Beeinträchtigung des Persönlichkeitsrechts durch Umgang mit personenbezogenen Daten
- Der Einzelne soll im Sinne der informationellen Selbstbestimmung grundsätzlich selbst entscheiden, ob und wie weit persönliche Lebenssachverhalte offenbart und verwendet werden
Sachlicher Anwendungsbereich eröffnet, wenn:(Art. 4 DVGVO)
SachlicherAnwendungsbereich eröffnet, wenn Pb-Daten:
1) Verarbeitet (gesamter Umgang mit Daten)
2) tatsächlich Pb vorhanden (Adresse, Hobbies, Kaufgewohn. Telefonnr) ->Anonymisierung, aber schwierig, da enge Auslegung wann wirklich anonym
Räumlicher Anwendungsbereich eröffnet, wenn:
1) Niederlassungsprinzip
- Niederlassung in der EU (unabhägig vom Ort der Datenverarbeitung)
- Briefkasten / Server reicht nicht aus
- > DSGVO und BSDG finden Anwendung
2) Marktortprinzip
- Anbieten von Produkten/Dienstleistungen/Tracking an EU Bürger
- > DSGVO und BSDG finden Anwendung
Rechte betroffene Personen (DSGVO/BDSG)
• Recht auf Information (Informationspflicht)
- Art und Weise: transparent, leicht zugänglich, klare und einfache Sprache / Schriftform,andere Form
- Inhalt:Erhebung bei bP:
1)Kontaktdaten Verantwortlicher und Datenschutzbeauftragten
2) Zweck, Rechtsgrundlage und berechtigtes Interesse
3) Empfänger / ggf. Drittland -> geeignete Garantien
4) Speicherdauer, Betroffenenrechte inkl. Widerruf und Beschwerde
6)Logik einer automatisierten Entscheidung/Profiling
Erhebung nicht bei bP, zusätzliche Informationen:
- Quelle, aus der Daten stammen
- Berechtigtes Interesse bei Abwägungstatbestand
• Recht auf Auskunft („Was passiert mit den Daten?“)
-Zwecke, Datenkategorien, (zukünftige) Empfänger, Speicherdauer, Betroffenenrechte inkl. Widerruf und Beschwerde, ggf. Datenquelle, Logik automatische Entscheidungen/Profiling; bei Drittlandübermittlung zusätzlich: geeignete Garantien
- Rechte auf Berichtigung und Löschung
- Recht auf Einschränkung der Verarbeitung und Widerspruchsrecht
• Recht auf Datenübertragbarkeit
- Erhalt der pB-Entscheidungsrelevanten Daten (z.B. bei automatisierter Einzelentscheidung)
• Rechtsbehelfe der betroffenen Personen:
- Recht auf Schadensersatz
- Recht, die Datenschutzbehörden anzurufen
Datenweitergabe ins Ausland (DSGVO)
1)Überhaubt zulässig? -> Zulässigkeitstatbestände prüfen
2) In dieses Land zulässig?
- EU/EWR: Datenweitergabevorschriften wie in Deutschland
- Drittstaaten: Voraussetzungen zu erfüllen!
a) Angemessenes Datenschutzniveau: Formell festgestellt durch EU / USA durch Privacy Shield (Zertifizierung durch US Behörde)
b) geeignete Garantien, die angemessenes Datenschutzniveau schaffen (Binding Corporate Rules, EU-Standartklauseln, genehmigte Verhaltensreglen/Zertifizierungen)
Ausnahme von Voraussetzungen Drittstaaten:
- Einwilligung der bP
- Erforderlichkeit für Vertrag/vorvertragliche Maßnahmen auf Veranlassung von bP
- Erforderlichkeit für Vertrag im interesse der bP zwischen verant. Stelle und Dritten
- Wahrung öffentlicher Interessen
- lebenswichtige Interessen
Erforderlichkeit zur Wahrung berechtiger Interessen (DSGVO 6 Abs 1) Prüfungsschema
Schema: Erforderlichkeit, berechtigtes Interesse, kein Überwiegen schutzwürdiges Interesse bP
- Berechtigtes Interesse: jedes wirtschaftliche Interesse der Verantwortlichen
- Erforderlichkeit: Auswertung pb-Daten nötig für wirtschaftliches Interesse
- > Bewertungsfaktoren: info.Selbstbestimmung, Sensibilität der Daten (besondere Datenarten)
Verarbeitung Beschäftigtendaten (DSGVO/BDSG)
Gesetzliche Erlaubnistatbestände:
1) Vertragsangelegenheiten (Begründung, Durchführung, Beendigung) kein Überwiegen schutzwürdiges Interesse MA
2) Rechte & Pflichten aus Tarifvertrag, Betriebsvereinbarung oder Gesetz
3) Aufdeckung von Straftaten bei konkretem Verdacht (Interessenabwägung, Verhältnismäßigkeit Datenumfang)
4) Einwilligung (eng begrenzt, da Freiwilligkeit der Einwilligung durch Beschäftigtenverhältnis eingeschränkt)
Erforderlichkeit Vertragsdurchführung
- Verarbeitung zur Vertragserfüllung notwendig (betroffene Person muss Vertragspartei sein!)
Erforderlichkeit: Abhängig vom Vertragsinhalt - Verarbeitung für vorvertragliche Maßnahmen, wie indiv. Angebote, Kostenvoranschläge (betroffene Person muss diese initiieren!) Erforderlichkeit: Abhängig vom konkreten Zweck
