Die europäische Datenschutzgrundverordnung (DSGVO) regelt ab dem 25. Mai 2018 den Datenschutz in der EU. Davon sind alle Unternehmen betroffen, die Personen bezogene Daten verarbeiten.
Die Datenschutz Grundverordnung (DSGVO) ist eine europäische Verordnung und verdrängt somit nationales Recht. Ab 25. Mai 2018 wird die DSGVO in allen EU Mitgliedsstaaten geltendes Recht. Die DSGVO regelt den Datenschutz für alle EU Bürger und alle Menschen, die sich innerhalb der EU aufhalten. Das betrifft z.B. auch ein türkisches Unternehmen, das kostenlose Auskunftsdienste online in der EU anbietet. Ebenso fällt ein Tourist in der EU unter den Schutz der DSGVO, wenn die Daten z.B. von einem Deutschen Unternehmen gespeichert und verarbeitet werden (Marktortprinzip).
Die zentrale Fragestellung für Unternehmen lautet, unter welchen Bedingungen Unternehmen Personen bezogene Daten verarbeiten dürfen.
Die Grundprinzipien wie Zweckbindung, Datenminimierung und Transparenzgebot bleiben erhalten. Der Umgang mit personenbezogenen bleibt grundsätzlich verboten, sofern er nicht durch einen Erlaubnistatbestand einer Rechtsvorschrift erlaubt ist (Verbot mit Erlaubnisvorbehalt). Allerdings geht die Neuregelung in einigen Bereichen weiter und fordert z.B. die Verpflichtung zu „Privacy by Design“ oder zusätzliche Informationspflichten. So muss der Betroffene darüber informiert werden, auf welcher Rechtsgrundlage die Daten erhoben und das berechtigte Interesse des Verantwortlichen aufgeführt werden. Dazu später mehr.
Die DSGVO kennt nur den Begriff der Verarbeitung von Daten und nicht mehr die Dreiteilung in Erhebung, Verarbeitung und Übermittlung. Neu werden die Verarbeitung biometrischer oder genetischer Daten geregelt. Dabei geht es um die Gesichtserkennung oder den Fingerabdruck.
Die nachträgliche Zweckänderung der Verwendung Personen bezogener Daten wird anders als im bisherigen Bundesdatenschutzgesetz (BDSG) geregelt. Betroffene sind über die Zweckänderung zu informieren. Der Grundsatz der Zweckbindung bleibt bestehen.
Die Erteilung der Einwilligung erfordert eine freiwillige, spezifisch informierte und eindeutige Handlung – z. B. das Anklicken eines Kästchens auf einer Webseite. Werbetreibende Unternehmen sind in der Nachweispflicht, dass eine wirksame Einwilligung vorliegt.
Gleichzeitig wurden die Anforderungen für den Widerruf der Einwilligung herabgesetzt. Der Betroffene muss seine Einwilligung „jederzeit“ und „ohne Begründung“ widerrufen können. Der Widerruf der Einwilligung ist mindestens so einfach zu gestalten wie die Abgabe (Art. 7).
Deshalb sollten Unternehmen einen wirksamen Prozess der Widerrufsverarbeitung implementieren. Die Speicherung personenbezogener Daten in unterschiedlichen Anwendungen erhöht die Komplexität.
Unternehmen müssen Betroffenen weitere Informationen bereitstellen:
- Rechtsgrundlage der Datenverarbeitung
- Angaben zur Dauer der Speichern bzw. die Kriterien, wann eine Löschung der Daten erfolgt
- Bei einer Zweckänderung der Datennutzung ist der Betroffene erneut zu informieren
Vom Betroffenen selbst bereitgestellte Daten müssen von Unternehmen in gängigen Formaten elektronisch auf Anforderungen des Betroffenen an Dritte weitergegeben werden.
Wenn personenbezogene Daten sachlich nicht korrekt sind und die Daten an Dritte weitergegeben wurden, muss das Unternehmen auch den Dritten über Korrekturen, einen Widerspruch der Nutzung oder die Löschung informieren.
Unternehmen müssen deshalb genau dokumentieren, an wen Daten weitergegeben wurden.
Auftragsverarbeiter sind Dienstleister, die im Auftrag eines Unternehmens personenbezogene Daten verarbeiten. Das sind z.B. Lettershops oder Callcenter Dienstleister. Diese werden zukünftig stärker in die Pflicht genommen. Es gelten eigene Dokumentationspflichten und die gesamtschuldnerische Haftung bei Datenpannen gegenüber den Betroffenen. Eine EU-Aufsichtsbehörde kann in Zukunft Bußgelder auch direkt gegen den Auftragsverarbeiter verhängen, wenn die Auftragsverarbeitung nicht den Vorgaben der DSGVO entspricht. Somit verschärfen sich Datenschutzanforderungen für die Auftraggeber.
Die technischen IT Systeme sollten den Anforderungen des Privacy by Design entsprechen. Datenbank basierte Anwendungen erlauben z.B. einen stärkeren Datenschutz als unverschlüsselte Excel-Listen.
In Bezug auf technisch-organisatorische Maßnahmen wird eine Dokumentation der Risikoeinschätzung notwendig. Für besonders risikobehaftete Datenverarbeitungen wird die Durchführung einer Datenschutz-Folgenabschätzung vorgeschrieben. Dafür entfällt die Pflicht zur Meldung der Verfahren bei der Aufsichtsbehörde
Einer Datenschutz Folgeabschätzung sollte ein adäquates Risikomanagement vorausgehen. Sollten Sie bei der Risikoabschätzung der einzelnen Datenverarbeitung zu dem Ergebnis kommen, dass diese ein hohes Risiko für die Rechte und Freiheiten des Betroffenen darstellt, müssen Sie eine Datenschutz-Folgeabschätzung durchführen – insbesondere dann, wenn es um eine automatisierte Entscheidung für den Betroffenen geht, massenhaft sensible Daten verarbeitet werden oder systematisch öffentlich zugängliche Bereiche massenhaft beobachtet werden. Auch bei der Einführung neuer Technologien ist eine Datenschutz Folgeabschätzung notwendig.
Die zuständige Aufsichtsbehörde für ein Unternehmen richtet sich europaweit nach dem Hauptsitz bzw. der Niederlassung, die generell über die Datenverarbeitung entscheidet.
Geldbußen bei Verstößen gegen die DSGVO wurden auf bis zu 20 Millionen oder 4 % des weltweiten Umsatzes erhöht. Das BDSG sah bislang ein Höchstmaß von € 300.000 vor. Unternehmen sollten dies in ihrer Risikoeinschätzung berücksichtigen.
Musste früher der Großteil der Datenlecks nicht gemeldet werden, da betreffende Daten im Bereich Marketing und Vertrieb für gewöhnlich nicht verarbeitet werden, besagt die neue Verordnung zur Pannenmeldungspflicht, dass Datenlecks oder –pannen, egal welcher Datenkategorie, bei der Datenschutzaufsichtsbehörde zu melden sind. Verbraucher müssen informiert werden, sofern die Pannen ein hohes Risiko der Beeinträchtigung darstellen.
Das sollten Sie jetzt prüfen:
- Verfahrensverzeichnis
Dokumentation der Datenverarbeitungsprozesse im Unternehmen - Datenschutzerklärung prüfen, ob DSGVO konform
- Informationspflicht bei Erstansprache gewährleisten
– Kontaktdaten Verantwortlicher
– Kontaktdaten Datenschutzverantwortlicher
– Zweck der Datenerhebung
– Dauer der Speicherung bzw. Löschregeln
– Hinweis auf Betroffenenrechte - Im CRM je Datensatz prüfen und speichern:
– Rechtsgrundlage für Speicherung personenbezogener Daten
– an welche Dritte Daten ggf. weitergegeben wurde
– Einwilligung je Kommunikationskanal inkl. Einwilligungstext
– Zweck der Datenverarbeitung
– Löschfristen oder Regeln für Löschen personenbezogener Daten definieren - Einwilligungserklärungen
– auf DSGVO Anforderungen anpassen
– bestehende Einwilligungen prüfen und ggf. neu einholen. - Prozesse zur Umsetzung des Widerspruchsrechts (Opt-Out)
- Bestehende Auftragsdatenvereinbarungen überprüfen
- Prozess bei Datenpannen entsprechend neuer DSGVO Vorgaben anpassen
Information Aufsichtsbehörde innerhalb von 72 Stunden. - Verfahren, um Daten in elektronischen Format übertragbar bereitzustellen
- Risk Management zur Festlegung technisch-organisatorische Maßnahmen
Quelle: http://www.erfolgreiches-contactcenter.de/blog/dsgvo-veraenderungen-im-datenschutz-2018
Hinterlasse einen Kommentar