Im Bereich des bisherigen Verfahrensverzeichnisses ist es nunmehr erforderlich, ein Verzeichnis als Tätigkeiten nach Art. 30 vorzuhalten, was erst einmal zeitaufwendig durch Befragung der Mitarbeiter eruiert werden sollte. Auch unter 250 Mitarbeitern sind Unternehmen davon betroffen, wenn sie regelmäßig personenbezogene Daten verarbeiten. Dies ist bereits bei einem Internetzugang der Fall, weil damit Mail- und IP-Adressen regelmäßig als personenbezogene Daten verarbeitet werden.
Weiter müssen mit allen Kunden und Lieferanten Auftragsdatenverarbeitungsvereinbarungen geschlossen werden, sofern bei den Aufträgen personenbezogene Daten verarbeitet werden, wobei schon die Möglichkeit der Kenntnisnahme z.B. im Rahmen eines Wartungszugriffes ausreicht. Bisher musste sich ausschließlich der Auftraggeber darum kümmern, inzwischen treffen die Bußgeldsanktionen der EU-DSGVO auch Auftragnehmer direkt und diese können ebenfalls mit oben genannten Bußgeldern belegt werden.
Bei einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen, insbesondere bei der Verwendung neuer Technologien, umfangreicher Verarbeitung von sensiblen Daten wie z.B. Gesundheitsdaten, Religionszugehörigkeit oder biometrischen Daten, der automatisierten Verarbeitung von Daten oder der systematischen umfangreichen Überwachung öffentlich zugänglicher Bereiche ist eine Risikofolgenabschätzung erforderlich, d.h. eine vorherige Bewertung der Datenschutzrisiken mit Beschreibung der Maßnahmen zur Eindämmung der Risiken zu erstellen.
Schon seit dem Inkrafttreten des Bundesdatenschutzgesetzes im Jahr 1990 gibt es in Deutschland die Anforderung, personenbezogene Daten zu löschen, wenn sie nicht mehr benötigt werden bzw. dann wenn die Daten noch einer Aufbewahrungspflicht unterliegen, gegen Bearbeitung und Lesen von Unberechtigten zu sperren und dann direkt zum Ende der Aufbewahrungspflicht zu löschen. Aufgrund der Rechtsprechung des Europäischen Gerichtshofs gab es auch schon bisher einen Anspruch, Daten auf Verlangen unter bestimmten Umständen löschen zu lassen.
Ebenfalls im alten Bundesdatenschutzgesetz enthalten waren Ansprüche auf Auskunft, welche Daten über die eigene Person von einem Unternehmen gespeichert wurden oder ein Berichtigungsanspruch bei unrichtiger Verarbeitung.
In der Praxis waren jedoch die wenigsten Unternehmen bisher dazu in der Lage, Auskunft zu erteilen oder Daten rechtzeitig wegen Zeitablaufs oder wegen gezieltem Verlangen eines Betroffenen zu löschen oder zu sperren. Die Datenschutzaufsichtsbehörden haben unmissverständlich klar gemacht, dass ab dem 25.05.2018 jedes Unternehmen ein den Vorgaben der Verordnung entsprechendes Lösch- und Sperrkonzept (zu Art. 17 und 18 der EU-DSGVO) benötigt und ansonsten die oben erwähnten erheblichen Bußgelder drohen.
Nach der aktuellsten Umfrage vom Januar 2018 in Österreich zum Thema DSGVO von Deloitte sind nur etwa die Hälfte der Unternehmen in Österreich aktuell auf die EU-DSGVO vorbereitet oder schaffen die Vorbereitung noch rechtzeitig. [1]
In Deutschland sieht die Situation zur Umsetzung der EU-DSGVOeher noch düsterer aus. Nach einer Umfrage des Bitkom unter 500 deutschen Unternehmen im September 2017 haben sich damals noch mehr als ein Drittel der Unternehmen noch nicht mit der Verordnung beschäftigt. Nur 19 Prozent der Unternehmen, die sich schon mit der Verordnung beschäftigt haben, gehen davon aus, zum Stichtag die Anforderungen erfüllt zu haben, 20 % zum größten Teil und 55% nur teilweise. [2]
Daher wird es nun, da noch weniger als 4 Monate bis zum Inkrafttreten verbleiben, höchste Zeit, sich mit dem Thema überhaupt oder in vielen Fällen mit höherem Nachdruck als bisher mit dem Thema zu beschäftigen. Dabei kann ein Seminar oder In-House-Workshop zum Thema EU-Datenschutzgrundverordnung erheblich weiterhelfen.
Vorab möchten wir einen kurzen Überblick für interessierte Leser über die Regelungen der EU-DSGVO geben:
Am 27.04.2016 hat die Europäische Union daher eine neue EU-Datenschutzgrundverordnung beschlossen, die am 25.05.2018 in allen Ländern der Europäischen Union unmittelbar ohne Umsetzung in nationales Recht in Kraft treten wird. Damit wird erstmals in der Geschichte der Europäischen Union ein einheitlicher Datenschutzstandard verwirklicht, um den Unternehmen Rechtssicherheit in allen Staaten der Union zu geben und Handelshemmnisse für den Binnenmarkt durch unterschiedliche Datenschutzregelungen abzubauen. Dies ist nicht ganz gelungen, da im Entwurfsstadium massive wirtschaftliche Interessen zu erheblicher Lobbyarbeit und ca. 4000 verschiedenen Änderungsanträgen geführt haben und insgesamt 70 verschiedene Ausnahmeregelungen für Mitgliedsstaaten eingeführt wurden. In Deutschland liegt ein Kabinettsentwurf vom 03.02.2017 vor, der von fast allen Ausnahmeregelungen Gebrauch macht, fast immer zu Lasten des Datenschutzes. Nach heftiger Kritik von Datenschützern an den ersten Referentenentwürfen wurde der Entwurf zwar nachgebessert, bleibt aber dennoch in vielen Fällen hinter den Standards der übrigen EU-Mitgliedsstaaten zurück. Daher ist es notwendig, die Rechtsänderungen der neuen EU-Verordnung nicht isoliert zu betrachten, sondern stets mit den Änderungen durch das neue deutsche Bundesdatenschutzgesetz bzw. mit den noch anzupassenden übrigen deutschen Datenschutzregelungen wie z.B. den Landesdatenschutzgesetzen.
Der Anwendungsbereich der neuen Verordnung beschränkt sich nicht mehr auf die EU, sondern trifft alle Unternehmen weltweit, die Waren- oder Dienstleistungsangebote an EU-Bürger richten. Zusätzlich müssen Niederlassungen von EU-Firmen auch außerhalb der EU die Verordnung beachten, ebenso Firmen inner- oder außerhalb der EU, die Personen in der EU überwachen. (siehe Abbildung 1)
Abbildung 1: Anwendungsbereiche der neuen Datenschutzgrundverordnung
Für amerikanische und andere Nicht-EU-Firmen wird sich daher vieles grundlegend ändern. Diese Unternehmen sind direkt der EU-Datenschutzverordnung unterworfen, nicht wie bisher – im Falle von US-Unternehmen – nur den Regeln des Vertrages und ggf. einer Selbstverpflichtungserklärung nach dem „EU-US-Privacy Shield“ vom 12.07.2016. Zudem müssen sie sich an das Recht am Marktort halten, im Rechtsverkehr mit Verbrauchern also fast immer am Wohnort des Verbrauchers, bei Unternehmen mangels anderweitiger Regelung ebenfalls. Daher ist es für Nicht-EU-Unternehmen nicht ausreichend, sich mit der EU-Datenschutzverordnung zu befassen, sondern die länderspezifischen Ausnahmeregelungen zur EU-Datenschutzverordnung müssen ebenfalls berücksichtigt werden.
Der Umfang der personenbezogenen Daten wurde in der Verordnung klarer definiert und erweitert, z.B. IP-Adressen, Cookie IDs, RFID Tags, genetische Daten, besonderer Schutz der Daten von Kindern usw.
Eine Einwilligung in die Verarbeitung personenbezogener Daten muss deutlich von anderen Klauseln unterscheidbar sein und leicht verständlich sein. Es dürfen in der Regel keine Daten erhoben werden, die für die Durchführung des Vertrages nicht erforderlich sind. Es muss in jedem Fall auf eine Widerspruchsmöglichkeit hingewiesen werden, wie dies in Deutschland bisher schon im Anwendungsbereich des Telekommunikationsgesetzes und des Telemediengesetzes geregelt ist.
Wer Daten verarbeitet, muss dazu die Rechtsgrundlage nennen können und damit auch selbst nachweisen, dass es sich um eine rechtmäßige Datenverarbeitung handelt. Zudem muss der Betroffene über die Datenverarbeitung umfassend nach den Artikeln 13 und 14 informiert werden, egal ob die Daten beim Betroffenen selbst oder bei Dritten erhoben werden.
Die Regeln zur Erhebung von Daten bei Dritten und die Information des Nutzers über die Datenerhebung werden in der EU in den Artikeln 13 bis 15 der Verordnung strenger geregelt als bisher. In Deutschland werden weitergehende Ausnahmen zugelassen, so z. B. wenn die Information des Betroffenen unverhältnismäßigen Aufwand verursacht oder allgemein anerkannte Geschäftszwecke des Verantwortlichen erheblich gefährden würde.
Schon bisher konnte der Betroffene in Deutschland unrichtige Daten über ihn berichtigen lassen. Neu ist jedoch, dass er bei negativen Äußerungen, die länger zurückliegen unter den Voraussetzungen des Art. 17 der Verordnung ein „Recht auf Löschen und Vergessen“ geltend machen kann. Diese Möglichkeit gab es bisher nur aufgrund eines Urteils des Europäischen Gerichtshofes. Das Recht auf Löschen bzw. Vergessen entsteht in folgenden Fällen:
- Daten sind nicht mehr notwendig
- Einwilligung wird widerrufen
- Widerspruch nach Art. 19
- Unrechtmäßige Verarbeitung
- Daten aus Kindertagen
- Daten, die unrechtmäßig veröffentlicht sind, sind auch bei Dritten löschen zu lassen.
Von erheblicher Bedeutung für den Nutzer und bisher gänzlich ungeregelt ist das Recht auf Mitnahme von Daten zu einem neuen Dienstleister und die Mitwirkung des bisherigen Dienstleisters an der Bereitstellung von Daten in weiterverwendbaren Standardformaten. Dies wird durch Art. 20 der neuen Verordnung geregelt und ist vor allem im Bereich von Outsourcing und Clouddiensten von existentieller Bedeutung, wenn die komplette IT eines Unternehmens in fremde Hände gelegt wurde. Der Nutzer kann vom bisherigen Dienstleister auch die direkte Übermittlung der Daten an einen neuen Dienstleister nach Artikel 20 Absatz 2 verlangen.
Die Notwendigkeit zur Bestellung eines Datenschutzbeauftragten für Unternehmen ab 10 Mitarbeitern wird aufgrund des deutschen Begleitgesetzes zur EU-Datenschutzverordnung (BDSG-neu) erhalten bleiben. Neu ist, dass Behörden in jedem Fall einen Datenschutzbeauftragten benötigen, das war bisher nicht in allen Bundesländern der Fall (z.B. Baden-Württemberg oder Sachsen). Neu ist dabei auch das Verbot der Interessenkollision, d.h. der Datenschutzbeauftragte darf nicht in leitender Funktion in der IT-Abteilung beschäftigt sein, die er kontrollieren soll.
Die technischen Anforderungen an den Datenschutz steigen erheblich, schon deshalb, weil das neu eingeführte Prinzip „Datenschutz durch Technik“ Unternehmen dazu zwingt, die jeweils beste verfügbare Technik zum Schutz der personenbezogenen Daten einzusetzen, soweit dies vom Aufwand her angemessen ist.
Der Verantwortliche muss nach Artikel 24 der Verordnung technische und organisatorische Maßnahmen treffen, um die Anforderungen des Datenschutzes zu erfüllen und den Nachweis dafür erbringen. Es reicht keine Momentaufnahme, sondern die Datenschutzmaßnahmen müssen nach der neuen Verordnung laufend aktualisiert werden. Bei einer Vielzahl von Bedrohungen für personenbezogene Daten und permanent neuen Lücken und sicherheitsrelevanten Schadprogrammen ist dies nur mit Hilfe von Schutzsoftware zu erreichen, die professionell auf dem aktuellen Stand gehalten wird und die Gesamtzahl der Bedrohungen mit den aktuellen Bedrohungen der Firma abgleichen kann.
Artikel 25 verlangt explizit, dass der Datenschutz sogar 2 Mal durch technische Maßnahmen geprüft wird: einmal bei der Finanzierungsentscheidung über die Festlegung des Verarbeitungsverfahrens und einmal bei der Verarbeitung selbst. Dabei sollte in Deutschland sichergestellt werden, dass der Datenschutzbeauftragte auch an den Entscheidungsprozessen beteiligt wird. Der Betriebsrat muss in Deutschland bei allen IT-Projekten zwingend nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz mitbestimmen, so dass auch der Betriebsrat frühzeitig bei der Einführung neuer IT-Software einbezogen werden sollte. Soweit es möglich und angemessen ist, kann es erforderlich sein, Daten zu pseudonymisieren oder anonymisieren.
Bei der Erhebung von Daten darf keine Einwilligung in eine Datenerhebung oder Weitergabe vorangekreuzt sein, die nicht zur Durchführung des Vertrages erforderlich ist. Die bisher weit verbreitete Praxis, z.B. Einwilligungen zur Werbung oder zur Weitergabe von Daten an Dritte vorzubelegen, wird damit unzulässig. Das gilt unabhängig davon, dass bei der Abwägung eines berechtigten Interesses für die Datenverarbeitung nach Artikel 6 I f der Verordnung Werbung auch ein berechtigtes Interesse bei der Zulässigkeit der Datenverarbeitung sein kann.
Nach Art. 32 der Verordnung sind zwingend angemessene Sicherheitsmaßnahmen zum Schutz der Daten erforderlich. In den Erwägungsgründen der Verordnung heißt es dazu:
„Zur Aufrechterhaltung der Sicherheit und zur Vorbeugung gegen eine gegen diese Verordnung verstoßende Verarbeitung sollte der Verantwortliche oder der Auftragsverarbeiter die mit der Verarbeitung verbundenen Risiken ermitteln und Maßnahmen zu ihrer Eindämmung, wie etwa eine Verschlüsselung, treffen. Diese Maßnahmen sollten unter Berücksichtigung des Stands der Technik und der Implementierungskosten ein Schutzniveau — auch hinsichtlich der Vertraulichkeit — gewährleisten, das den von der Verarbeitung ausgehenden Risiken und der Art der zu schützenden personenbezogenen Daten angemessen ist. Bei der Bewertung der Datensicherheitsrisiken sollten die mit der Verarbeitung personenbezogener Daten verbundenen Risiken berücksichtigt werden, wie etwa — ob unbeabsichtigt oder unrechtmäßig — Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von oder unbefugter Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden, insbesondere wenn dies zu einem physischen, materiellen oder immateriellen Schaden führen könnte.“
Bei der Bestimmung der notwendigen Schutzmaßnahmen ist insbesondere das Risiko für die Betroffenen, also die Höhe eines möglichen Schadens und die Eintrittswahrscheinlichkeit zu berücksichtigen.
Als Schutzmaßnahmen werden in Artikel 32 insbesondere folgende Maßnahmen vorgeschlagen:
- die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
- die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
- die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
- ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
Das „Gewährleisten eines dem Risiko angemessenen Schutzniveaus“ muss sowohl vom Verantwortlichen für die Datenverarbeitung als auch von jedem Auftragsverarbeiter geleistet werden. Beide haben daher zwingend eine Risikoanalyse durchzuführen und strategische Überlegungen zum Aufbau bzw. der Fortschreibung eines angemessenen Schutzniveaus zu leisten. Angemessene Vorkehrungen müssen gegen Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von personenbezogenen Daten sowie gegen unbefugten Zugang zu diesen getroffen werden.
Das ist kaum ohne ein umfassendes Sicherheitskonzept und eine regelmäßige Evaluation nach Buchstabe d) machbar. Für die bei der Risikoanalyse festgestellten Risiken ist dabei getreu dem Grundsatz „Datenschutz durch Technik“ ein Maßnahmenpaket z.B. mit organisatorischen Maßnahmen oder Installation von Security Software zu schnüren.
Es sind auch Vorkehrungen gegen Risiken zu treffen, die durch eine unbeabsichtigte oder unrechtmäßige Verarbeitung entstehen können, also auch gegen versehentliches Löschen oder Hackerangriffe.
Zudem sind Mitarbeiter nach Art. 28 Abs. 3 b) EU DSGVO auf die Einhaltung des Datenschutzes zu verpflichten.
