27

IT Security (Subject) / DSB (Lesson)

DSB allgemein

This lesson was created by Oboritur.

Learn lesson

This lesson is not released for learning.

back  |  next 1 / 1

Advertisement
  • Wann ist ein DSB zu benennen? In aller Regel ist nur dann ein DSB zu benennen, wenn mindestens 10 Personenständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. „Ständig beschäftigt“ ist, wer z. B. permanent Kundenverwaltung macht. „Nicht ständig be-schäftigt“ ist dagegen bspw., wer als Produktionsmitarbeiter ab und an mit den Kundennamen in Kontakt kommt.
  • Löschen von Daten Sobald keine gesetzliche Grundlage (z. B. steuerliche Aufbewahrungspflicht) mehr für die Speicherung von personenbezogenen Daten besteht, sind diese zu löschen. Dies ist bspw.der Fall, wenn ein Kunde seit mehreren Jahren nichts mehr bestellt hat.
  • Auftragsverarbeitung Sobald Verantwortliche Dienstleistungen (z. B. Buchhaltung) in Anspruch nehmen, um personenbezogene Daten in ihrem Auftrag durch andere Unternehmen verarbeiten zu lassen, istein schriftlicher Vertrag zur Auftragsverarbeitung erforderlich.
  • Datenschutzverletzungen Kommt es bei der Verarbeitung personenbezogener Daten zu Sicherheitsvorfällen (z. B. Hacking des Online-Shops), so bestehen gesetzliche Meldepflichten: Die Aufsichtsbehörde ist im Regelfall darüber innerhalb von 72 Stunden in Kenntnis zu setzen, betroffene Personen dagegen nur bei vorliegendem hohem Risiko (was eher selten der Fall ist).
  • Ab wann gilt die EU-DSGVO? Über die DSGVO wurde schon überall gesprochen, Irritation gab es aber über den offiziellen Start.   Die DSGVO trat schon am 25. Mai 2016 in Kraft. ABER: Unternehmen und Webseitenbetreiber in den  EU-Mitgliedstaaten müssen die Datenschutzgrundverordnung erst seit dem dem 25. Mai 2018 verbindlich anwenden.
  • Für wen gilt die DSGVO? Die Datenschutzgrundverordnung gilt für: alle Unternehmen, die in der EU ansässig sind. Allerdings müssen sich auch außereuropäische Unternehmen an die neuen Regelungen halten. Das gilt aber nur wenn sie:  Eine Niederlassung in der EU haben oder personenbezogene Daten von EU-Bürgern verarbeitenWichtigster Anknüpfungspunkt beim Anwendungsbereich der Datenschutzgrundverordnung: personenbezogene Daten. Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. "Identifizierbar"´ ist eine Person dann, wenn sie direkt oder indirekt, vor allem mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten oder anderen besonderen Merkmalen identifiziert werden kann. Die Möglichkeit der Identifizierung einer Person reicht hier aus!
  • Für wen gilt die DSGVO? Die Datenschutzgrundverordnung gilt für: alle Unternehmen, die in der EU ansässig sind. Allerdings müssen sich auch außereuropäische Unternehmen an die neuen Regelungen halten. Das gilt aber nur wenn sie: ◊ Eine Niederlassung in der EU haben oder ◊ personenbezogene Daten von EU-Bürgern verarbeitenWichtigster Anknüpfungspunkt beim Anwendungsbereich der Datenschutzgrundverordnung: personenbezogene Daten. Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. "Identifizierbar"´ ist eine Person dann, wenn sie direkt oder indirekt, vor allem mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten oder anderen besonderen Merkmalen identifiziert werden kann. Die Möglichkeit der Identifizierung einer Person reicht hier aus!
  • Personenbezogene Daten sind z.B.: NameAdresseE-Mail-AdresseTelefonnummerGeburtstagKontodatenKfz-KennzeichenStandortdatenIP-AdressenCookies
  • Welche Strafen und Bußgelder drohen bei Verstößen gegen die DSGVO? Was ist mit Abmahnungen? Neu sind vor allem die immens hoben Strafen und Bußgelder, die die DSGVO vorsieht. Bisher lag der Rahmen des Bundesdatenschutzgesetzes für Bußgelder bei 50.000 Euro bzw. maximal 300.000 Euro für sehr schwere Verstöße. Bisher haben Datenschutzbehörden den oberen Rahmen der Bußgelder nur sehr selten und bei dauerhaften Verstößen ausgereizt. Das wird sich aber sehr wahrscheinlich ändern. Die DSGVO sieht Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Vorjahresumsatzes vor. Der hohe Bußgeldrahmen ist ein Kernbestandteil der DSGVO, um auch gegen global agierende Unternehmen ein effektives Mittel bei Datenschutzverstößen zur Hand zu haben.
  • Verbot mit Erlaubnisvorbehalt Im Klartext: Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist grundsätzlich verboten, es sei denn, Sie haben eine Erlaubnis. Diese kann entstehen aus: ◊ Gesetz, z.B. aus dem BDSG, TMG, EU-DSGVO◊ Einwilligung der betroffenen Person
  • Advertisement
  • Datensparsamkeit Sie dürfen nur die und so viele Daten erheben und verarbeiten, wie Sie tatsächlich benötigen.
  • Zweckbindung Daten dürfen Sie nur zu dem Zweck verarbeiten, für die Sie sie erhoben haben.
  • Datenrichtigkeit Daten müssen inhaltlich und sachlich richtig und aktuell gehalten sein.
  • Recht auf Vergessenwerden (Recht auf Löschung) Das Recht auf Vergessenwerden ist nicht ganz neu. Der EuGH hat hierzu entschieden, dass EU-Bürger von Suchmaschinen unter bestimmten Voraussetzungen verlangen können, dass bestimmte Suchergebnisse nicht mehr gezeigt werden.Das Recht auf Vergessenwerden ist also ein Anspruch darauf, dass personenbezogenen Daten gelöscht oder gesperrt werden müssen, wenn für die Verwendung der Daten keine Berechtigung mehr vorliegt.
  • Recht auf Datenübertragbarkeit (Datenportabilität) Die Nutzer können danach von dem Datenverantwortlichen verlangen, ihre personenbezogenen Daten in einem ´gängigen Format´ an einen anderen Verantwortlichen weiterzugeben. Die Datenportabilität ist zum Beispiel wichtig für: ◊ Wechsel zu anderen (sozialen) Netzwerken◊ Wechsel der Bank◊ Wechsel des Arbeitgebers
  • Einwilligungen einholen Form:Die Einwilligung im Datenschutz ist nicht an besondere Formerfordernisse gebunden. Mündliche, schriftliche und elektronische Einwilligungen sind nach der Datenschutzgrundverordnung erlaubt.  Achtung: Bei Einwilligungen müssen Sie immer auch an die Dokumentation denken. Mündliche Einwilligungen können hier natürlich schneller zum Problem werden, als wenn Sie die schriftliche oder elektronische Einwilligung im System vermerkt und gespeichert haben. Opt-In oder Opt-Out:Lassen Sie sich die Einwilligung mit einem Opt-In Kästchen geben! Das Opt-Out ist grundsätzlich nicht ausreichend, sodass vor allem vorangekreuzte Kästchen keine wirksame Einwilligung bewirken. Freiwillig:Besonders wichtig ist auch das Gebot der Freiwilligkeit. Das heißt: Die Vertragserfüllung Ihrerseits dürfen Sie nicht davon abhängig machen, dass die betroffene Person die Einwilligung erteilt, wenn die Einwilligung nicht für die Vertragserfüllung erforderlich ist. Inhaltliche Anforderungen:Die Einwilligung müssen Sie immer zweckgebunden einholen und die Verarbeitungszwecke dabei aufführen. Generaleinwilligungen sind also auch weiterhin nicht erlaubt. Nachweisbarkeit:Sie müssen nachweisen können, dass Ihnen die Einwilligung zur Datenverarbeitung erteilt wurde! Denken Sie hier im Zusammenhang mit der EU-Datenschutzgrundverordnung immer auch an eine  umfassende Dokumentation. Widerruf:Wie bisher hat der Betroffene ein Widerrufsrecht. Er muss deswegen die erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können. Neu ist: Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.
  • Was ist ADV genau? ADV ist die "Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch einen Auftragnehmer (natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle), der die Daten im Auftrag des Verantwortlichen verarbeitet)."z.B.: Einsatz eines externen Kundencenters (z.B. Callcenter)externer Newsletter-AnbieterCloud ComputingEinsatz externer Unternehmen beim MarketingExternes RechenzentrumWichtig: Bei der ADV ist der Auftraggeber der primäre Ansprechpartner für Betroffene und für die Einhaltung der Datenschutzvorgaben zuständig.
  • Wann ist ein Datenschutzbeauftragter Pflicht? Die Datenschutzgrundverordnung regelt europaweit die Bestellpflicht für einen Datenschutzbeauftragten in Art. 35 ff DSGVO. Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich im wesentlichen aus 3 Bereichen: ◊ Sie verarbeiten besondere Kategorien von Daten gemäß Artikel 9 der DSGVO oder◊ Ihre "Kerntätigkeit" betrifft eine "umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen"◊ es sind (als Angestellte oder auch freie Mitarbeiter) mehr als 9 Personen mit der automatisierten Verarbeitung personenbezogener Daten befasst.Wenn einer der Punkte bei Ihnen zutrifft, benötigen Sie einen DSB.
  • Welche Aufgaben und Zuständigkeiten hat ein Datenschutzbeauftragter? Der Datenschutzbeauftragte überwacht die Einhaltung der Datenschutzgrundsätze im Unternehmen und führt das Verarbeitungsverzeichnis (AV). Er ist zudem Schnittstelle zwischen IT-Marketing und Geschäftsführung und Ansprechpartner der Kunden und Datenschutzbehörden bei Fragen zum Umgang mit personenbezogenen Daten. Der Datenschutzbeauftragte hält als Verantwortlicher also alle Zuständigkeiten bei Datenschutzfragen in der Hand.
  • Wie sieht es mit der Bestellung eines Datenschutzbeauftragten aus? Vor der DSGVO musste der Datenschutzbeauftragte immer schriftlich bestellt werden.Die Bestellung eines Datenschutzbeauftragten kann nach der DSGVO jetzt auch ohne Schriftform vorgenommen werden. Ein "unterschriebener Vertrag" ist also nicht mehr nötig, die DSGVO spricht nur allgemein von einer "Benennung".
  • Welche Ausbildung muss ein Datenschutzbeauftragter haben? Gibt es Vorgaben zur Zertifizierung eines Datenschutzbeauftragten? Es gibt keine gesetzliche Pflicht, eine Ausbildung/ Zertifizierung des DSB bei bestimmten Anbietern durchführen zu lassen. Als Unternehmer sind Sie aber, wenn es an diesem Punkt Auseinandersetzungen geben sollte, in der Pflicht zu beweisen, dass Ihr DSB die "erforderliche Fachkunde" verfügt. Im Fall der Fälle hilft es natürlich, wenn der DSB eine juristische Ausbildung hat oder über ein Ausbildungszertifikat von TÜV, IHK usw. verfügt.
  • Sollte ich einen externen oder internen Datenschutzbeauftragten bestellen? Der interne Datenschutzbeauftragte ist naturgemäß "näher dran" am Geschäftsmodell und den Abläufen in einem Unternehmen. Nachteil: Er wird sich von Weisungen seines Vorgesetzen naturgemäß nie ganz frei machen können. Es kann auch nicht jeder interne Mitarbeiter als Datenschutzbeauftragter beschäftigt werden. Geschäftsführer und oft auch der Chef der IT dürfen aufgrund möglicher Interessenskonflikte nicht Datenschutzbeauftragter im eigenen Unternehmen sein. Hinzu kommt, dass sich Fragen nach Kündigung und Kündigungschutz hier im Gegensatz zu einem internen Datenschutzbeauftragten nicht stellen. Bei externen Datenschutzbeauftragten bestehen all diese Gefahren nicht. Dafür ist eventuell ein höherer Aufwand beim "Onboarding" bzw. der Einarbeitung in die Unternehmensprozesse nötig. Auch ist der DSB im Fall der Fälle nicht immer sofort greifbar, wenn es Fragen oder Beschwerden gibt. 
  • Verfahrensverzeichnis (Verzeichnis der Verarbeitungstätigkeiten) nach DSGVO Nach Artikel 30 DSGVO muss jeder Verantwortliche ein so genanntes Verarbeitungsverzeichnis - bzw. offiziell "Verzeichnis von Verarbeitungstätigkeiten" - anlegen und führen. Datenschutzprofis wird dies bekannt vorkommen, es gab auch unter der Geltung des BGSG schon für bestimmte Unternehmen die Pflicht, ein so genanntes „Verfahrensverzeichnis“ zu führen.
  • Was ist beim Verarbeitungsverzeichnis nach DSGVO neu? Kein öffentliches Verfahrensverzeichnis mehr Zunächst die positive Nachricht: Das Verfahrensverzeichnis/ Verarbeitungsverzeichnis nach DSGVO muss nicht mehr öffentlich sein. Es kann nun nicht mehr von Unternehmen „auf Zuruf“ verlangt werden, die Datenverarbeitung offen zu legen, das „öffentliche Verfahrensverzeichnis“ nach BDSG gibt es seit dem 25.Mai 2018 nicht mehr. Wichtig ist auch, verantwortlich für das Verarbeitungsverzeichnis ist die Unternehmensleitung, nicht der Datenschutzbeauftragte. Vorlagepflicht gegenüber DatenschutzbehördenDas Verarbeitungsverzeichnis nach DSGVO ist für den reinen unternehmens- oder behördeninternen Gebrauch gedacht, es muss aber auf Verlangen der Datenschutzbehörde vorgelegt werden. Schriftliches oder elektronisches Verzeichnis?Die DSGVO sagt in Art. 30 Abs. 3, dass das Verzeichnis von Verarbeitungstätigkeiten schriftlich zu führen ist, erlaubt aber auch die elektronische Form.
  • Wer konkret muss denn nun ein Verarbeitungsverzeichnis führen? Nach Art. 30 Abs.5 DSGVO nur Unternehmen ein Verarbeitungsverzeichnis führen die ◊ mehr als 250 Mitarbeiter beschäftigen,◊ besonders sensible Daten nach Artikel 9 DSGVO verarbeiten,◊ die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt (Videoüberwachung und Ähnliches)◊ personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10. Verarbeiten oder◊ wenn die Datenverarbeitung nicht nur gelegentlich erfolgt
  • Was gehört in das Verfahrensverzeichnis (DSGVO)? Im wesentlichen gehören in das Verarbeitungsverzeichnis (bei Unternehmen) ◊ Name und Kontaktdaten des Unternehmens◊ der Zwecke der Datenverarbeitung◊ die Kategorien betroffener Personen◊ die Kategorien personenbezogener Daten◊ die Kategorien von Empfängern der Daten◊ die Übermittlungen personenbezogener Daten in ein Drittland◊ Fristen für die Löschung der verschiedenen Datenkategorien
  • Muss ich meine Datenschutzbestimmungen anpassen? Die Anforderungen an die Information und Belehrung der betroffenen Personen steigen durch die DSGVO. Die Datenschutzbestimmungen mit allen notwendigen Informationen müssen deswegen zukünftig ◊ präzise◊ transparent◊ verständlich◊ leicht zugänglich◊ in klarer und einfacher Sprachesein.

back  |  next 1 / 1