EU-Datenschutzrecht

Rechtmäßigkeit der Verarbeitung (Art. 5f)

Für die Verarbeitung von personenbezogenen Daten ist weiterhin eine Einwilligung nötig. Neu sind etliche Sonderregelungen, zum Beispiel für Kinder.

Recht auf Weiterverarbeitung (Art. 6)

Die EU-DSGVO unterscheidet zwischen der Erst- und der Weiterverarbeitung. Letztere ist nur zulässig, wenn sie mit dem ursprünglichen Zweck der Datenerhebung vereinbar ist.

Transparenz- und Informationspflichten (Art. 12ff.)

Durch die Verordnung steigen die Informationspflichten, wenn personenbezogene Daten beim Betroffenen erhoben werden.

Recht auf Löschung – „Vergessenwerden“ (Art.17)

Personenbezogene Daten sind zu löschen, wenn der Zweck weggefallen ist. Unternehmen müssen zukünftig auch andere Unternehmen darüber informieren, dass der Betroffene die Löschung der Daten verlangt.

Verantwortung des für die Verarbeitung Verantwortlichen (Art. 24)

Zukünftig hat der Verantwortliche für die Verarbeitung geeignete Maßnahmen zu treffen, dass die personenbezogenen Daten rechtskonform verarbeitet werden.

Auftragsdatenverarbeitung (Art. 28)

Die bisher bekannte „Auftragsdatenverarbeitung“ wird zur „Auftragsverarbeitung“. Dies beinhaltet wesentliche Veränderungen. Eine ist die Gewährung von bestimmten Garantien.

Datenschutz-Folgenabschätzung (Art. 35)

Die Verpflichtung zur Datenschutz-Folgenabschätzung ist ebenfalls neu. Dafür sind alle geplanten Verarbeitungsvorgänge systematisch zu beschreiben.

Haftung des Datenschutzbeauftragten

Die Haftung der Datenschutzbeauftragten wird stark erweitert.

Sanktionen und Bußgelder

Die EU-DSGVO bringt hier deutliche Verschärfungen: Der Bußgeldrahmen beläuft sich auf bis zu 20.000.000 Euro beziehungsweise 2 bis 4 Prozent des Jahresumsatzes.

DAS KÖNNEN SIE TUN, UM DIE EU-DSGVO UMZUSETZEN

1. Einen Datenschutzbeauftragten bestellen.
2. Alle Datenverarbeitungsvorgänge im Detail beschreiben und in ein Datenschutz-Konzept aufnehmen. Erfinden Sie das Rad nicht neu: Vieles existiert bereits im QM-Handbuch.
3. Ein Verfahren implementieren, um die Datenschutz-Folgenabschätzung sicherzustellen.
4. Alle Dienstleistungs- und Lieferantenverträge gründlich überprüfen und darin die Anforderungen an den Datenschutz ergänzen. Gegebenenfalls Verträge zur Auftragsdatenverarbeitung (ADV) abschließen.
5. Alle Datenschutz-Erklärungen aktualisieren.
6. Das Löschen von Daten in Routinen festlegen und Maßnahmen verankern, um nicht mehr benötigte Daten sicher zu vernichten.
7. Ein Verfahren für die Benachrichtigung bei Datenschutzverletzungen implementieren.
8. Mitarbeiter dezidiert unterweisen.