DSGVO Flashcards
1
Q
Unterscheidung der Datentypen
A
Personenbezogene Daten
- Können einer Person eindeutig zugeordnet werden
- z.B. Name, Telefonnummer, Augenfarbe, Geburtsdatum
Pseudo-anonymisierte Daten
- Zuordnung nur Teilweise möglich
- z.B. im Krankenhaus: Patient 1 mit Diagnose X, Patient 1: Annika in anderer Tabelle
- wird die Tabelle mit Zuordnung vernichtet handelt es sich um anonymisierte Daten
Anonymisierte Daten
- Daten können keiner Person zugeordnet werden
- Auswertung Nutzung Website
2
Q
Relevanz & Ziel Datenschutz
A
- Der einzelne soll davor bewahrt werden, dass er durch den umgang mit seinen personenbezogenen Daten in seinen Persönlichkeitsrechten beeinträchtigt wird
- Es sollen primär Menschen geschützt werden und nicht die Daten
- Ziel: Menschen vor Persönlichkeitseingriffen schützen, duch den Missbrauch ihrer personenbezogenen Daten
3
Q
Herausforderung Datenschutz
A
- Gefahr von ungleicher Auslegung innerhalb der unterschiedlichen Länder
- Mangelnde Umsetzungshilfen der Aufsichtsbehörden
- Mangel an qualifizierten Mitarbeitern (innerhalb der Unternehmen)
- Zu viele Änderungen und Anpassungen
4
Q
Definition DSGVO
A
- Datenschutzgrundverordnung
- Relen zur Verarbeitung personenbezogener Daten durch Unternehmen, Behörden und ereine, die innerhalb der EU einen Sitz haben
- findet nur auf personenbezogene Daten Anwendung
- DSGVO legt Unternehmen neue Pflichten auf, die den Datenschutz gewährleisten sollen
- Die Daten und Feiheiten jedes einzelnen sollen besser geschützt werden
- Europäische DSGVO nicht das einzige Gesetz, wird jedoch neben weiteren Vorgaben als Muttergesetz angesehen
- z.B. im Bereich der Medien
5
Q
Relevanz DSGVO
A
- Internet ist kein rechtsfreier Raum, doch besonders im Datenschutz war es bislang schwer Verstöße zu ahnden
- durch den einheitlichen Rechtsrahmen gibt es bessere Möglichkeiten gegen Datenmissbrauch vorzugehen
- EU-Weit erhalten die Nutzenden von digitalen Diensten neue und stärkere Rechte ggü. denjenigen, die ihre Daten verarbeiten
- Nutzer sollen besser informiert werden und müssen noch deutlicher nach ihrer Einwilligung gefragt werden, wenn personenbezogene Daten erarbeitet werden
- soll Internetwirtschaft schützen und EU-weite Rechtssicherheit bei der Verarbeitung und Verwertung der Daten von EU-Bürgern geben
- Nutzer sollen grundsätzlich selbst über die Preisgabe und Verwendung der eigenen Daten bestimmen können
- Menschen verhalten sich anders wenn sie beobachtet werden
- je stärker man beobachtet wird, desto stärker passt man sich an
- genau dies soll durch die DSGVO verhindert werden
6
Q
DSGVO Grundsätze
A
- Verarbeitung nach Treue und Glauben und Transparenz
- Zweckbindung
- Speicherabgrenzung
- Datenminimierung
- Integrität und Vertrauchlichkeit
- Richtigkeit
- Grundsatz der Rechenschaftspflicht
7
Q
DSGVO Grundsätze
Verarbeitung nach Treue und Glauben und Transparenz
A
- Verarbeitung personenbezogener Daten ist grundsätzlich verboten
- Kann nur erlaubt werden, entweder durch ein Gesetz oder durch die Einwillung der Person zur Datenverarbeitung
8
Q
DSGVO Grundsätze
Zweckbindung
A
- Man muss als verantwortlicher vor der Erhebnung der personenbezogenen Daten den Zweck definieren und niederschreiben
- Der Zweck darf nach der Erhebung nicht mehr verändert werden
9
Q
DSGVO Grundsätze
Speicherabgrenzung
A
- ur Datenerhebnungszeit muss festgelegt sein, wann diese wieder gelöscht werden
- Löschung erfolgt eig. dann, wenn der Zweck erfüllt ist
- Ausnahme: Gesetzliche Aufbewahrungsplichtregelung (6-10 Jahre, z.B. im Steuerrecht)
- Solange es gesetzliche Aufbewahrunspflichtenregelungen nicht gibt, gilt die DSGVO
10
Q
DSGVO Grundsätze
Datenminimierung
A
- Welche Daten werden für welchen Zweck benötigt?
- Situationsabhängig, welche Daten tatsächlich zweckmäßig sind
- Differenzierung z.B. im Offline/Online-Kauf:
- im Offline Kauf ist nur Preis und Zahlung für Kaufvertrag relevant
- beim Online-Kauf jedoch auch die Adresse für den Versand
11
Q
DSGVO Grundsätze
Integrität und Vertraulichkeit
A
- Angemessene technische und organisatorische Schutzmaßnahmen zur Datensicherheit
- z.B. durch Verschlüsselungsmechanismen
12
Q
DSGVO Grundsätze
Richtigkeit
A
- Personen haben das Recht darauf, dass Ihre Daten richtig und aktuell sind
- Z.B. Schufa Schulden, die man gar nicht mehr hat
13
Q
DSGVO Grundsätze
Grundsatz der Rechenschaftspflicht
A
- Übergreifende/Übergeordnete Verpflichtung
- Einhaltung der DSGVO zu jeder Zeit
- Beweise, dass sie eingehalten wird
- Grund für umfangreiche Datenschutzorganisation
14
Q
Definition Betroffenenrechte
A
- Recht jedes Einzelnen gegenüber denjenigen, die für die Verarbeitung der Daten verantwortlich sind
- allen Rechten muss nur auf Anfrage nachgekommen werden, bis auf das Betroffenrecht Information, hier besteht Bringschuld des Verantwortlichen
- Auskunft
- Widerspruch
- Berichtigung
- Datenübertragbarkeit
- Löschung/Einschränkung der Verarbeitung
- Recht auf Information
15
Q
Betroffenenrechte
Auskunft
A
- Nutzer hat das Recht auf Auskunft
- z.B. bei Facebook nachfragen, welche Daten sie eigentlich gespeichert haben
16
Q
Betroffenenrechte
Widerspruch
A
- Recht, aus Gründen, die sich aus einer Situation ergeben, jederzeit Wiederspruch gegen die Verarbeitung einzulegen
17
Q
Betroffenenrechte
Berichtigung
A
- Wenn sich was ändert, hat man Recht es berichtigen zu lassen
- auch wenn Daten falsch sind besteht das Recht
18
Q
Betroffenenrechte
Datenübertragbarkeit
A
- Recht, sich die betreffenden personenbezogenen Daten, die man einem verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten
- Recht, diese Daten einem anderen verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die Personenbezogenen Daten bereitgestellt wurden, zu übermitteln
19
Q
Betroffenenrechte
Löschung/Einschränkung der Verarbeitung
A
- Recht, dss die jeweiligen Personenbezogenen Daten nicht anderweitig verarbeitet werden (nach Löschung)
- Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass die Daten unverzüglich gelöscht werden
- Verantwortlicher ist verpflichtet diese unverzüglich zu löschen, vorausgesetzt es gibt keine rechtlichen Aufbewahrungspflichten oder sie werden nicht mehr für die Erfüllung des Vertrages benötigt
20
Q
Betroffenenrechte
Recht auf Informationen
A
- Recht des Betroffene, dass man Informationen über die Datenverarbeitung erhält
- Spielt große Rolle, seit 2018 da Websites nun verpflichtet sind Datenschutzerklärung zu haben
- Websites sind verpflichtet den Betroffenen Informationen über die Datenverarbeitung zu liefern
- als Betroffener weis man so, an wen man sich für seine Rechte wenden muss
- Auch Arbeitgeber müssen dies zum Beginn des Verhältnisses offenlegen
- Besonderheit: Verantwortlicher hat Bringschuld
- jeder muss betroffene aktiv informieren und äußere Rahmenbedingungen mitteilen
21
Q
Sicherheit der Datenverarbeitung
A
Es gilt folgende sechs Kriterien regelmäßig auf ihre Wirksamkeit zu überprüfen und zu evaluieren, ob diese gegeben sind:
-
Pseudonymisierung:
- Daten müssen immer und zu jeder Zeit pseudonymisiert sein
- Integrität
-
Verschlüsselung:
- Daten müssen zu jeder Zeit verschlüsselt und geschützt sein
-
Verfügbarkeit
- Die Daten müssen dem Nutzer jederzeit zu Verfügung stehen, wenn er diese anfragt
-
Vertraulichkeit:
- Daten müssen immer und zu jederzeit vertraulich behandelt werden
-
Rasche Wiederherstellbarkeit:
- Im Falle einer Datenpanne müssen alle Daten schnell wiederhergestellt werden können, sodass sie geschützt sind
22
Q
Zusätzliche Regelungen der DSGVO
A
Auftragsverarbeitung
- man muss nicht immer jeden Schritt der Datenerarbeitung selbst erfüllen und kann hier auch anderes Unternehmen beauftragen
- muss jedoch vertraglich geregelt sein und verpflichtende Bestandteile müssen erfüllt werden
- bedarf sorgfältiger Auswahl, da heikle Daten
- z.B.: Offline: Papierverarbeitung / Online: Cloud
Datenschutz-Folgeabschätzung
- bei risikoreicher Datenverarbeitung sind risiken zu identifieren und Gegenmaßnahmen zu integrieren
Privacy-by-Design
- Datenschutz während der Entwicklung neuer Technologien berücksichtigen
- Hochstmöglicher Grad an Datenschutz muss gegeben sein (z.B. Facebook)
Drittstaatenübermittlung
- Bei Datenübertragung in Länder außerhalb der EU müssen spezielle Regelungen getroffen werden
- man muss für wietere zusätzliche Garantien sorgen, dass gleicher Schutz wie in der EU gegeben is
23
Q
Datenpannen
A
- Vorfälle bei denen personenbezogene Daten unberechtigten bekannt werden oder bekannt geworden sein können
- Im Falle einer Panne muss dies umgehend an die zuständige Aufsichtsbehörde gemeldet werden
- im Einzelfall sind zusätzlich die Betroffenen über die Datenpanne zu informieren
24
Q
ePrivacy Verordnung
A
- Spezialgesetzgebung mit Vorschriften für die Bereitstellung und Nutzung elektronischer Kommunikationsdienste
- Soll die DSGVO hinsichtlich spezieller Vorschriften für die Bereitstellung und Nutzung elektronischer Kommunikationsdienste präzisieren und ergänzen
- z.B.: Zustimmung der Benutzung muss eingeholt werden durch Cookies
- Bei Überschneidung von Regelungsbereichen der SDGVO und ePVO genießen die Spezialvorschrfiten der ePVO grundsätzlich vorang
25
Q
Cookies
A
- Textdateien die von einer Website in den Browserverlauf eines Benutzers gesetzt werden
- Wie oft und wie lange die Seite besucht wird?
-
Ziel: Angebote optimieren und die User-Experience erleichtern
- Cookie-Hinweis beim ersten Besuch
- Cookie Richtlinien angeben
- Benutzer ermöglichen Präferenzen zu bestimmen
- Benutzer erlauben Cookies zu besimmen (ohne Einwilligung keine Datenerfassung)
- ermöglicht auch Personalisierung (Warenkorb, geografische Position)
- Optimierung der Einwilligungsstrategie: möglichst viele Nutzern erlauben Cookies, auf Ihren engeräten zu hinterlassen
- alles zum Zweck des Performance Marketings
- Ausblick: Google möchte auf Tracking-Cookies verzichten: Cookies-Area neigt sich aufgrund der DSGVO dem Ende zu: es gibt immer mehr Vorschriften, daher „Abneigung”, noch unklar was Google genau umsetzt
- Betrifft nicht nur Online-Medien, aber natürlich vorzüglich, da hier viel mehr personenbezogene Daten vorliegen
- Um vertrauen zu schaffen: Consent-Management-Plattform
- Technologie soll sicherstellen, dass Datenverarbeitung datenschutzkonform und transparent für alle Marktteilnehmer vonstattengeht
- Transparenz schafft Vertrauen, was sich auf Ihr Markenimage und Erträge auswirkt
- früher waren Cookies direkt akzeptiert, heute muss man selbst auswählen welche man zulässt
26
Q
Cookies
Arten
A
Session Cookies
- Beziehen sich immer nur auf die Dauer der Benutzersitzung und werden danach gelöscht
Tracking Cookies
- Session-Übergreifend und dauerhafte Ablegung der Daten beim Nutzer
- Google möchte hierauf verzichten
First-/Second-Party-Cookies
- Werden auf Websites gesetzt, auf der ein user gerade surft
- Websitebreteiber erhält berichte über den Warenkorb, Ort des Kunden oder Ladezeiten verschiedener Browser
- Werden nicht über mehrere Domains hinweg erkannt
- Werden nur vom Website-Inhaber genutzt
Third-Party-Cookies
- Werden durch einen dritten, z.B. advertiser, ausgepielt
- funktioneren domainübergreifend
- geht ein Nutzer auf eine Website,kann ein Display-Banner unbemerkt ein Tracking-Cookie auf dem Client platzieren
- 3rd Party sollen abgeschafft werden -> Alternativen?
27
Q
Zustimmungsverfahren (opt)
A
Opt-In
- einem Informations- oder Werbeangebot aktiv zustimmen
- “wählen”
- z.B. Zustimmung der Cookies, oder Aktivieren einer Checkbox
Double-Opt-In
- einem Informations- oder Werbeangebot aktiv zustimmen und einen Bestätigungslink per Mail erhalten
- erst nach Bestätigung des Links werden Informations- oder Werbeangebote erhalten
Opt-Out
- um eine Datenverarbeitung zu untersagen
- “nicht mitmachen”
- Wiederrufs-/Widerspruchsrecht
- Entfernen eines Häckchens
- z.B. ein link am Ende einer E-Mail um erhalt des Newsletters zu widerrufen
