Datenschutz (DSGVO & BDSG) (B13)

Question

Answer

• Transparenz
• Richtigkeit
• Einwilligung
• Verhältnismäßigkeit im engeren Sinne
• Speicherbegrenzung

Question

Answer

• Untersuchungsbefugnisse
• Sanktionsbefugnisse gegenüber Gesetzgebungsorganen
• Abhilfebefugnisse
• Genehmigungsbefugnisse
• Weisungsbefugnisse gegenüber anderen Behörden

Question

Answer

• Die DSGVO verfolgt sowohl den Schutz natürlicher Personen als auch die Gewährleistung des freien Datenverkehrs
• Unternehmen mit weniger als 50 Mitarbeitenden sind von der DSGVO vollständig ausgenommen
• Die Verarbeitung personenbezogener Daten ist grundsätzlich erlaubt, sofern keine ausdrückliche Untersagung besteht
• Verantwortliche haben nach einer Datenübertragung an Dritte keine weiteren datenschutzrechtlichen Pflichten mehr
• Die DSGVO gilt unmittelbar in den Mitgliedstaaten, ohne dass es einer nationalen Umsetzung bedarf

Question

Answer

• Neben der Datensensibilität sind auch Umfang, Umstände und Zweck der Verarbeitung zu berücksichtigen
• Der Stand der Technik und die Implementierungskosten sind bei der Maßnahmenwahl ebenfalls relevant
• Organisatorische Maßnahmen sind gegenüber technischen Maßnahmen grundsätzlich nachrangig
• Es ist stets der höchstmögliche Sicherheitsstandard zu implementieren, unabhängig vom Risiko
• Die Angemessenheit der Maßnahmen richtet sich nach der Eintrittswahrscheinlichkeit und Schwere des Risikos für Betroffene

Question

Answer

• Die Weitergabe stellt eine eigenständige Verarbeitung dar, die einer eigenen Rechtsgrundlage bedarf
• Es hätte zunächst geprüft werden müssen, ob eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt
• Da es sich um einen Geschäftspartner handelt, ist die Weitergabe ohne weitere Prüfung zulässig
• Die betroffenen Kunden behalten ihre Datenschutzrechte auch nach einer solchen Weitergabe
• Eine Weitergabe an Dritte ist immer dann zulässig, wenn sie einmalig und nicht kommerziell motiviert ist

Question

Answer

• Die Verarbeitung ist stets zulässig, sofern ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO vorliegt
• Ausnahmen vom Verarbeitungsverbot sind in Art. 9 Abs. 2 DSGVO abschließend geregelt
• Im Beschäftigungsverhältnis wird die Freiwilligkeit einer Einwilligung in der Regel kritisch beurteilt
• Biometrische Daten zählen nicht zu den besonderen Kategorien nach Art. 9 DSGVO
• Gesundheitsdaten unterliegen einem grundsätzlichen Verarbeitungsverbot

Question

Answer

• Sobald ein Dienstleister irgendeine eigene Verarbeitung vornimmt, kann er nicht mehr Auftragsverarbeiter sein
• Auftragsverarbeiter sind nach Art. 28 Abs. 3 lit. c DSGVO sogar verpflichtet, eigene TOM zu treffen
• Für die Analyse zur Serveroptimierung kann eine eigenständige, von der Auftragsverarbeitung getrennte Verantwortlichkeit des Dienstleisters bestehen
• Die eigenständige Analyse zur Serveroptimierung führt zwingend zu einer gemeinsamen Verantwortlichkeit mit dem Auftraggeber
• Die Durchführung eigener Sicherheitsmaßnahmen ist grundsätzlich mit der Rolle als Auftragsverarbeiter vereinbar

Question

Answer

• Der Dienstleister bleibt trotz eigenständiger technischer Umsetzungsentscheidungen Auftragsverarbeiter, solange er nicht über Zwecke oder wesentliche Mittel entscheidet
• Entscheidend für die Abgrenzung ist, wer über Zwecke und wesentliche Mittel der Verarbeitung bestimmt
• Da der Dienstleister über technische Aspekte mitentscheidet, ist er automatisch Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO
• Die Entscheidung über Monitoring-Tools und Backup-Zyklen begründet für sich genommen bereits eine gemeinsame Verantwortlichkeit
• Die Einbindung eines Unterauftragnehmers ist im Rahmen einer Auftragsverarbeitung grundsätzlich zulässig

Question

Answer

• Eine Meldung an die Aufsichtsbehörde hat unverzüglich, möglichst binnen 72 Stunden, zu erfolgen
• Eine Meldung an die Aufsichtsbehörde ist stets entbehrlich, wenn die Daten verschlüsselt gespeichert waren
• Die Meldepflicht entfällt grundsätzlich, wenn weniger als 100 Personen betroffen sind
• Bei hohem Risiko für die Betroffenen sind zusätzlich die betroffenen Personen selbst zu benachrichtigen
• Besteht voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen, kann von einer Meldung abgesehen werden

Question

Answer

• Der Verantwortliche entscheidet über die Zwecke und Mittel der Verarbeitung
• Der Auftragsverarbeiter handelt weisungsgebunden im Auftrag des Verantwortlichen
• Ein Auftragsverarbeitungsvertrag ist gesetzlich nicht erforderlich, wenn Vertrauen zwischen den Parteien besteht
• Ein Auftragsverarbeiter entscheidet eigenständig über die Verarbeitungszwecke
• Der Auftragsverarbeitungsvertrag muss u. a. Gegenstand, Dauer, Art und Zweck der Verarbeitung regeln

Question

Answer

• Die Einwilligung ist sowohl ein Grundsatz nach Art. 5 als auch eine Rechtsgrundlage nach Art. 6 DSGVO
• Art. 5 DSGVO enthält die Grundsätze der Verarbeitung, Art. 6 DSGVO die Rechtsgrundlagen
• Eine Verarbeitung ohne Rechtsgrundlage nach Art. 6 DSGVO ist stets unzulässig, selbst wenn alle Grundsätze nach Art. 5 DSGVO eingehalten werden
• Das Rechenschaftsprinzip nach Art. 5 Abs. 2 DSGVO verlangt die Nachweisbarkeit der Einhaltung der Grundsätze
• Art. 6 DSGVO listet die Rechtsgrundlagen nur beispielhaft, weitere sind durch Auslegung möglich

Question

Answer

• Nach Art. 37 DSGVO ist ein Datenschutzbeauftragter u. a. zu bestellen, wenn die Kerntätigkeit eine umfangreiche, systematische Überwachung von Personen erfordert
• § 38 BDSG sieht eine Bestellpflicht vor, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind
• Die Bestellung eines Datenschutzbeauftragten ist ausschließlich für öffentliche Stellen vorgesehen
• Der Datenschutzbeauftragte ist gemäß Art. 39 DSGVO für die Zusammenarbeit mit der Aufsichtsbehörde zuständig
• Eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten kann ebenfalls eine Bestellpflicht auslösen