FAQ: Häufig gestellte Fragen
Auf dieser Seite finden Sie Antworten auf häufig gestellte Fragen!
Das Recht auf informationelle Selbstbestimmung ist im Recht Deutschlands das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. *Quelle Wikipedia
Datenschutzgesetze wie die DSGVO zielen darauf ab, dass uns unser Recht auf informationelle Selbstbestimmung erhalten bleibt.
Unter Betroffenenrechten versteht das Datenschutzrecht die Rechte jedes Einzelnen gegenüber für die Verarbeitung Verantwortlichen. Das deutsche Bundesdatenschutzgesetz (BDSG) kennt in seinen §§ 33 bis 35 bereits eine Reihe derartiger Rechte.
Diese Rechte gilt es als Verantwortlicher zu wahren und zu erfüllen.
Die Datenschutzdokumentation muss jeder Verantwortliche (natürliche oder juristische Person, die personenbezogene Daten verarbeitet) bzw. der Auftragsverarbeiter erstellen und damit nachweislich die Rechenschaftspflicht erfüllen.
Die Datenschutzdoku erstellen wir gemeinsam mit Ihnen und gehen dabei über die gewohnten Pflichten eines DSB hinaus, da gesetzlich lediglich die Unterrichtung und Beratung durch diesen verpflichtend ist.
Ab 250 Mitarbeitern immer. Bei unter 250 Mitarbeitern, wenn die von Ihnen vorgenommene Verarbeitung nicht nur gelegentlich erfolgt, die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, eine Verarbeitung besonderer Datenkategorien vorliegt oder die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten erfolgt.
“TOM” ist die Abkürzung für technische und organisatorische Maßnahmen. Damit werden alle Aktionen bezeichnet, die in einer Organisation standardmäßig vorgenommen werden, um personenbezogene Daten zu schützen. Der Begriff ist sehr breit vielseitig und kann in verschiedenen Unternehmen vollkommen unterschiedliche Dinge bedeuten. Die Maßnahmen können sowohl technische Vorgänge oder auch organisatorische Prozesse umfassen. Die Tom’s müssen im Verzeichnis der Verarbeitungstätigkeiten dokumentiert werden. Im Rahmen der technisch-organisatorischen Maßnahmen werden Ihre Sicherheitsmechanismen (sowohl offline als auch online) dokumentiert und Sie erhalten von uns Ratschläge zur Einhaltung der für Sie geltenden rechtlichen Anforderungen.
Werden Datenverarbeitungsvorgänge durch einen externen Dienstleister erledigt, ist der Abschluss eines Auftragsverarbeitungsvertrags sehr ratsam.
Der Auftragsverarbeitungsvertrag regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte der Vertragspartner. Durch diesen Vertrag geht das beauftragende Unternehmen (der sogenannte Verantwortliche) auf Nummer sicher und lässt sich bestätigen, dass das andere Unternehmen (der sogenannte Auftragsverarbeiter) an seine Weisungen gebunden ist.
Eine der gängigsten Auftragsverarbeitungen liegen vor, wenn Unternehmen z. B. die Lohn- und Gehaltsabrechnung durch andere Unternehmen durchführen lassen oder Fernwartung durch externe IT-Dienstleister geschieht.
Das bekannteste Hilfsmittel zur Verfolgung und Analyse der Besuchern von Webseiten ist Google Analytics. Der Einsatz von Google Analytics ist bedenklich und mit der DSGVO nicht so leicht in Einklang zu bringen.
Eine datenschutzkonforme Variante heißt Matomo, welches selber gehostet werden kann (die Daten der Besucher bleiben also beim Betreiber der Seite). Die strikte Einhaltung des Datenschutzrechts bietet Unternehmen elementare Rechtssicherheit.
Die beiden entscheidenden Vorteile:
• Daten können nicht abgezogen und von Google verwendet werden.
• Bessere Auswertungsmöglichkeiten als Google Analytics.
Die Datenschutz-Grundverordnung ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten in EU vereinheitlicht werden. Den Gesetzestext können Sie beispielsweise hier nachlesen.
Die neue Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018.
Wenn regelmäßig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist die Benennung eines Datenschutzbeauftragten (DSB) in Deutschland Pflicht. Die Beschäftigung erfasst auch externe Dienstleister, bspw. wenn Sie eine externe Buchhaltung beauftragen.
Nehmen Sie Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung unterliegen oder verarbeiten Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, dann haben Sie einen Datenschutzbeauftragten zu benennen, unabhängig davon wie viele Mitarbeiter mit der Verarbeitung personenbezogener Daten beschäftigt sind.
Viele Unternehmen entscheiden sich für die auf den ersten Blick leichteste Lösung. Sie benennen Mitarbeiter aus der eigenen Belegschaft. Dies ist jedoch nicht ohne Weiteres möglich. Es sind viele Aspekte zu beachten.
Über folgende Kompetenzen muss ein Datenschutzbeauftragter verfügen:
- Genaue Kenntnis folgender Gesetze: DSGVO, BDSG, TMG, TKG
- Umfangreiche technische Fachkunde
- Kenntnis der IT-Grundschutzkataloge des Bundesamts für Sicherheit in der Informationstechnik
- Zuverlässigkeit und persönliche Integrität
Folgende Personen dürfen nicht als Datenschutzbeauftragter benannt werden:
- der Verantwortliche / Geschäftsführer
- Oberes Management (insbesondere Leitung der IT-Abteilung)
- Unqualifizierte und unzureichend erfahrene Personen
Der Grund für diese Vorgaben ist, dass der Gesetzgeber Interessenkonflikte sowie mögliche Fehlerquellen vermeiden möchte.
Die DSGVO droht mit Bußgeldern bis hin zu 20 Millionen Euro bzw. bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres. Ausschlaggebend ist, welcher der Beträge höher ist. Einige Verstöße, beispielsweise die Nichtbestellung eines Datenschutzbeauftragten, werden als grob fahrlässiges Verhalten eingestuft. Geschäftsführer oder Verantwortliche haften unter Umständen unbeschränkt mit ihrem Privatvermögen.
Viele Unternehmen haben die Folgen der DSGVO zu spüren bekommen:
- Deutsche Wohnen: 14,5 Millionen Euro – Daten wurden nicht korrekt gelöscht
- Google: 50 Millionen Euro – rechtswidriger Einrichtungsprozess auf dem Betriebssystem Android
- Delivery Hero: Ca. 200.000 Euro – nicht gelöschte Kundendatensätze und unzulässige Werbeemails
Dies sind nur ein paar der verhängten Bußgelder und die Tendenz, dass weitere hohe Bußgelder folgen, ist stark steigend.
Die Schonfrist für Unternehmen ist abgelaufen. Die Aufsichtsbehörden gehen Verstößen nun konsequent nach und nie war es ratsamer das Thema Datenschutz professionell zu lösen.
Das neue und sich ständig ändernde Datenschutzrecht führt zu einem höhen Verwaltungsaufwand und sehr viel Arbeit. Beauftragen Sie einen externen Datenschutzbeauftragten wie uns, nehmen wir Ihnen eines Großteil des Aufwandes und der bürokratischen Papierberge ab. Sie können sich weiterhin auf Ihre Kerntätigkeiten und die Arbeit, die Ihnen Spaß macht, konzentrieren.
Die Anforderungen, die ein Datenschutzbeauftgter erfüllen muss, haben wir auf unserer Themenseite zusammengefasst.