{"id":1208,"date":"2017-04-11T17:16:07","date_gmt":"2017-04-11T15:16:07","guid":{"rendered":"http:\/\/it-news-blog.com\/?p=1208"},"modified":"2019-04-30T09:50:36","modified_gmt":"2019-04-30T07:50:36","slug":"neuregelung-des-datenschutzes-in-europa-eu-dsgvo","status":"publish","type":"post","link":"https:\/\/it-news-blog.com\/?p=1208","title":{"rendered":"Neuregelung des Datenschutzes in Europa (EU-DSGVO)"},"content":{"rendered":"

Die wichtigsten \u00c4nderungen, die es im Zusammenhang mit der EU-Datenschutzgrundverordnung (EU-DS-GVO) zu beachten gilt in einer kurzen Zusammenstellung.<\/strong><\/p>\n

Sicherlich ist die Umstellung auf die neue EU-Datenschutzgrundverordnung (EU-DS-GVO) – zum Stichtag am 25. Mai 2018 – auch in Ihrem Unternehmen bereits ein aktuelles Thema. Durch die weitreichenden \u00c4nderungen der neuen Gesetzesregelung, m\u00fcssen bis zu diesem Tag immerhin nicht nur die gesamte Dokumentation, sondern in aller Regel auch alle Datenschutzprozesse, sowie die Vereinbarungen zur Auftragsdatenverarbeitung angepasst bzw. neu erstellt werden. Die neue Gesetzgebung fordert deutlich mehr Transparenz gegen\u00fcber Betroffenen und einiges mehr an Dokumentationsaufwand.<\/p>\n

Wer die Umstellung zu lange aufschiebt, d\u00fcrfte mit dem oben genannten Stichtag arge Probleme bekommen und sich der Gefahr von Abmahnungen oder von deutlich erh\u00f6hten Bu\u00dfgeldern aussetzen.<\/p>\n

Vorwort<\/strong>
\nIm April 2016 wurde die Datenschutz-Grundverordnung (DS-GVO) durch das Europ\u00e4ische Parlament beschlossen. Sie besteht aus 99 Artikeln und 173 Erw\u00e4gungsgr\u00fcnden und ist ab dem 25. Mai 2018 wirksam und in allen EU-Mitgliedstaaten anzuwenden. In Deutschland ersetzt die DS-GVO damit das bisherige BDSG sowie eine Reihe anderer Datenschutzregelungen, aus dem Telemediengesetz (TMG) und dem Telekommunikationsgesetz (TKG).<\/p>\n

Die DS-GVO wurde zur Harmonisierung und Vereinfachung des Datenschutzes in der Europ\u00e4ischen Union (EU) geschaffen. Sie l\u00f6st die EU-Datenschutzrichtlinie (Richtlinie 95\/46\/EG) ab und ist in allen EU-Mitgliedstaaten geltendes Recht. Unterschiede sind innerhalb der EU daher nur noch durch die sogenannten \u201e\u00d6ffnungsklauseln\u201c zu erwarten. Je nach Z\u00e4hlweise sind zwischen 50 und 60 \u00d6ffnungsklauseln in der DS-GVO vorgesehen, welche den nationalen Gesetzgebern die M\u00f6glichkeit geben, in Teilbereichen eigene Regelungen zu erlassen. In Deutschland wird es hierf\u00fcr vermutlich ein neues novelliertes \u201eBDSG\u201c geben. Bei m\u00f6glichen Kollisionen der Gesetzgebung gilt dann aber die DS-GVO.<\/p>\n

Die E-Privacy-Richtlinie 2002\/58\/EG und die Cookie Richtlinie 2009\/136\/EG, bleiben in Kraft.
\nBestehende Corporate Business Rules und die Standardvertragsklauseln sind ebenfalls auch weiterhin f\u00fcr die Daten\u00fcbermittlung in Drittstaaten nutzbar.<\/p>\n

Das sind die wesentlichen \u00c4nderungen\u2026<\/strong>
\n\u201ePersonenbeziehbarkeit\u201c wird durch die \u201eIdentifizierbarkeit\u201c ersetzt. (Artikel 4 Abs. 1) (Erw\u00e4gungsgrund 24 S. 2)
\nDas bedeutet, dass die \u201eStufe\u201c der Pseudonymisierung entfallen d\u00fcrfte und pseudonymisierte Daten k\u00fcnftig ebenfalls als „personenbezogene“ anzusehen sind.<\/p>\n

Besch\u00e4ftigtendatenschutz<\/strong>
\nDie bisherigen Verpflichtungserkl\u00e4rungen zur Geheimhaltung gem\u00e4\u00df \u00a7 5 BDSG und \u00a7 88 TKG \u00a0\u00a0\u00a0\u00a0 entfallen, sind aber in vergleichbarer Art und Weise auch k\u00fcnftig einzuholen.<\/p>\n

Pflichten f\u00fcr Unternehmen<\/strong>
\nDie Vorabkontrolle entf\u00e4llt – an deren Stelle tritt die Datenschutz-Folgenabsch\u00e4tzung sowie die sich daran evtl. anschlie\u00dfende Konsultation der zust\u00e4ndigen Aufsichtsbeh\u00f6rde. Hier muss man k\u00fcnftg wohl mit etwas Mehraufwand rechnen.<\/p>\n

Internationale Datentransfers ins Ausland<\/strong>
\nDer Transfer von personenbezogenen Daten in Staaten au\u00dferhalb der EU\/des EWR (sogenannten Drittstaaten) ist weiterhin problematisch.<\/p>\n

Neuregelung Video\u00fcberwachung<\/strong>
\nEine explizite Regelung zur Zul\u00e4ssigkeit von Video\u00fcberwachung besteht in der DS-GVO nicht. Das Thema Video\u00fcberwachung wurde lediglich in dem Artikel zur Notwendigkeit einer sog. \u201eDatenschutz-Folgenabsch\u00e4tzung\u201c erw\u00e4hnt.<\/p>\n

Auftragsdatenverarbeitung<\/strong>
\nDie neue Regelung kennt keine Funktions\u00fcbertragung mehr und bezeichnet die bekannte Auftragsdatenverarbeitung als Auftragsverarbeitung. Inhaltlich orientiert sich die Auftragsverarbeitung an dem bekannten \u00a7 11 BDSG, sie erweitert dessen Forderungen also prinzipiell auf die gesamte EU. Bei einem genaueren Blick auf die neue Regelung, ergeben sich aber durchaus Unterschiede die es zu beachten gilt. Auch hier d\u00fcrfte einiger Aufwand f\u00fcr die Umstellung n\u00f6tig werden, da alle Vertr\u00e4ge neu erstellt werden m\u00fcssen.<\/p>\n

Wartungsarbeiten durch Dienstleister<\/strong>
\nDerzeit stellt die Wartung eines Servers durch einen Dienstleister eine Auftragsdatenverarbeitung dar. Ob diese Auffassung mit der DS-GVO weiterhin bestehen bleibt ist derzeit umstritten, da die DS-GVO hierzu durchaus Spielraum zur Interpretation l\u00e4sst. Es d\u00fcrfte wohl einige Zeit dauern, bis Stellungnahmen der Aufsichtsbeh\u00f6rden endg\u00fcltige Rechtssicherheit f\u00fcr alle Beteiligten schaffen.<\/p>\n

Internetauftritt<\/strong>
\nDa die DS-GVO dem nationalen Recht vorgeht und teilweise Bereiche regelt, die in Deutschland bereits im Telemediengesetz geregelt sind, sind die Internetangebote der Unternehmen neu zu bewerten. In den meisten F\u00e4llen muss die Datenschutzerkl\u00e4rung sowie das Impressum angepasst werden.<\/p>\n

Bu\u00dfgelder und Sanktionen<\/strong>
\nDie Bu\u00dfgelder und Sanktionen sind im Artikel 83 und 84 der DS-GVO zu finden. Sie fallen k\u00fcnftig deutlich h\u00f6her als bei der bisherigen Regelung aus, da die Verst\u00f6\u00dfe nun als eine Verletzung der Grundrechtecharta der Europ\u00e4ischen Union angesehen werden. Im Detail sieht die DS-GVO 20 Mio. oder 2 % des weltweiten Umsatzes bzw. 40 Mio. oder 4% des weltweiten Umsatzes f\u00fcr Verst\u00f6\u00dfe vor.<\/p>\n

Ob Bu\u00dfgelder k\u00fcnftig auch gegen Beh\u00f6rden oder \u00f6ffentliche Einrichtungen verh\u00e4ngt werden k\u00f6nnen, ist derzeit noch nicht geregelt, da hierzu eine „\u00d6ffnungsklausel“ existiert die noch nicht definiert wurde.<\/p>\n

Aufsichtsbeh\u00f6rden<\/strong>
\nDie Rolle und vor allem die Zust\u00e4ndigkeiten der Aufsichtsbeh\u00f6rden wurden neu definiert. Daraus ergeben sich f\u00fcr die praktische Handhabung des Datenschutzes neue Chancen, aber auch neue Probleme.<\/p>\n

Einwilligung<\/strong>
\nDas Verbot mit Erlaubnisvorbehalt zur Datenverarbeitung bleibt auch mit der neuen Gesetzeslage erhalten. Hinsichtlich der Anforderungen an die Wirksamkeit einer rechtsg\u00fcltigen Einwilligung, durch den erwachsenen Betroffenen, ver\u00e4ndert die DS-GVO nichts. Die Einwilligung von Minderj\u00e4hrigen unter 16 Jahren (bzw. unter 13 Jahren wenn das nationale Recht dies vorsieht), ist dagegen nur noch g\u00fcltig, wenn ein Erziehungsberechtigter zustimmt. Es d\u00fcrfte spannend werden wie Facebook, Google und Co. diese Vorgabe erf\u00fcllen werden.<\/p>\n

Datenschutz-Vertreter f\u00fcr Unternehmen<\/strong>
\nMit Einf\u00fchrung des „Marktortprinzip“ m\u00fcssen alle Unternehmen, auch solche die keine Niederlassung in der EU haben, jedoch Waren oder Dienstleistungen an Personen in der EU anbieten bzw. das Verhalten dieser Personen durch \u201eTracking\u201c oder \u201eProfiling\u201c beobachten, grunds\u00e4tzlich einen EU-Vertreter bestellen.<\/p>\n

Datenschutzbeauftragter<\/strong>
\nDas Modell Datenschutzbeauftragter ist in Deutschland seit langem bekannt und hat sich bew\u00e4hrt. Viele Unternehmen m\u00fcssen bereits heute einen Datenschutzbeauftragten bestellen. Mit Inkrafttreten der DS-GVO wird eine solche Pflicht nun erstmals europaweit f\u00fcr Unternehmen, deren T\u00e4tigkeit einer besonderen Kontrolle bedarf, eingef\u00fchrt. Zwar gibt es hierzu eine „\u00d6ffnungsklausel“ die auf nationaler Ebene geregelt werden kann, jedoch d\u00fcrfte sich durch diese Klausel an der gewollten Bestellpflicht wenig \u00e4ndern. In Deutschland ist bereits im Entwurf des DSAnpUG-EU vom 05.08.2016 und dem Entwurf zur Novellierung des BDSG vom 02.02.2017 die bisherige Regel des BDSG vorgesehen. Der Datenschutzbeauftragte ist zudem k\u00fcnftig mit Datum seiner Bestellung bei der zust\u00e4ndigen Aufsichtsbeh\u00f6rde bekannt zu geben.<\/p>\n

Aufgaben des Datenschutzbeauftragten<\/strong>
\nDie DS-GVO erweitert den Aufgabenkreis des Datenschutzbeauftragten und wertet seine Stellung im Unternehmen weiter auf. Gem\u00e4\u00df Artikel 39 Abs. 1 b DS-GVO \u00fcberwacht er nun die Einhaltung der DS-GVO und der nationalen Sonderregelungen im Unternehmen.<\/p>\n

Datensicherheit<\/strong>
\nDurch die DS-GVO werden die Anforderungen an die IT-Sicherheit, also die technischen und organisatorischen Ma\u00dfnahmen (TOM) ge\u00e4ndert. Selbst die bisherigen Begriffe werden neu definiert und abstrakter, als sie es bisher bereits waren. Der neue \u00dcberbegriff ist nun \u201eSicherheit der Verarbeitung\u201c. Ebenfalls neu eingef\u00fchrte Begrifflichkeiten sind unter anderem auch der „Stand der Technik“, die „Belastbarkeit der Systeme“<\/span> und die „Implementierungskosten“. Eine kl\u00e4rende Auflistung was darunter zu verstehen ist, wie dies aus der Anlage zu \u00a7 9 BDSG (Ma\u00dfnahmen) zu finden war, gibt es in der DS-GVO leider nicht. Auch d\u00fcrfte sich erst im Laufe der Zeit kl\u00e4ren, was unter welchen Umst\u00e4nden jeweils im Detail zu tun ist. Unternehmen die bereits Standards wie die ISO\/IEC 27001, PCI-DSS oder den IT-Grundschutz des BSI umgesetzt haben, sollten den neuen Anforderungen im Punkto IT-Sicherheit aber gen\u00fcgen.<\/p>\n

Informationspflichten<\/strong>
\nDie DS-GVO f\u00fchrt eine Reihe neuer Informationspflichten f\u00fcr Unternehmen ein. Der Gesetzgeber fordert, dass die Datenerhebung, -verarbeitung oder -nutzung, gegen\u00fcber dem Betroffenen k\u00fcnftig transparenter erfolgt. Hierzu muss dieser mehr Einsicht zu den \u00fcber ihn gespeicherten Daten erhalten. Dieser Punkt wird vielen Unternehmen deutlich mehr Arbeit bei der Neugestaltung der Prozesse und hinsichtlich der technischen Umsetzung bereiten.<\/p>\n

Bei der Datenerhebung ist der Betroffen zu informieren:<\/p>\n