Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

mehr

Rz. 114 Der Betroffene ist zudem über die bestehenden Betroffenenrechte zu informieren. Dies sind die folgenden:mehr

Rz. 120 Die Informationspflichten nach Art. 14 DSGVO entsprechen weitgehend den Pflichten nach Art. 13 DSGVO, so dass auf die dortigen Ausführungen verwiesen werden kann (siehe Rdn 105 ff.). Einzig die Information zur Verpflichtung der Datenbereitstellung nach Art. 13 Abs. 2 lit. e DSGVO ist bei Art. 14 DSGVO nicht erforderlich. Auch bei Art. 14 DSGVO hat der Verantwortliche...mehr

Rz. 107 Sofern ein Datenschutzbeauftragter bestellt ist, sind dessen Kontaktdaten (Adresse, E-Mail-Adresse) anzugeben. Der Name des Datenschutzbeauftragten muss hingegen nicht genannt werden.mehr

Leitsatz Die DSGVO ist anwendbar auf die Verarbeitung personenbezogener Daten durch die Finanzbehörden, und zwar auch, soweit die Verarbeitung im Bereich der direkten Steuern stattfindet Sachverhalt Die Kläger werden beim Finanzamt A besteuert. Mit der dortigen Bearbeitung unzufrieden zeigten sie dem beklagten Landesamt für Steuern - Landesamt - die Sachbehandlung an, über di...mehr

Rz. 105 Nach dem Wortlaut der DSGVO sind die in Art. 13 Abs. 1 DSGVO genannten Informationen dem Betroffenen immer mitzuteilen. Die in Abs. 2 genannten Informationen sind dem Betroffenen zur Verfügung zu stellen, da sie notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Unabhängig von dieser Aufteilung sind dem Betroffenen immer alle Informationen ...mehr

Rz. 108 Dem Zweckbindungsgrundsatz aus Art. 5 Abs. 1 lit. b DSGVO folgend, der nur die Erhebung von Daten zu bestimmten Zwecken erlaubt, sind diese Zwecke dem Betroffenen mitzuteilen. Hiermit soll dem Betroffenen der Umfang der Datenverarbeitung dargelegt werden, so dass er sich ein Bild davon machen kann, mit welchen Datenverarbeitungen er zu rechnen hat.[44] Zusätzlich zu ...mehr

Rz. 116 Zu informieren ist darüber, ob der Betroffene gesetzlich oder vertraglich dazu verpflichtet ist, die personenbezogenen Daten bereitzustellen. Dies gilt auch dann, wenn die Daten für einen Vertragsschluss erforderlich sind. Zudem ist darüber zu informieren, welche Folgen die Nichtbereitstellung hätte.mehr

Rz. 113 Dem Betroffenen ist mitzuteilen, wie lange die erhobenen Daten gespeichert werden. Die Angabe muss so präzise sein, dass der Betroffene die Dauer der Speicherung nachvollziehen kann. Sofern im Zeitpunkt der Erhebung die genaue Speicherung noch nicht angegeben werden kann, so sind zumindest die Kriterien für die Festlegung der Dauer anzugeben.mehr

Rz. 115 Sofern die Datenverarbeitung auf Basis einer Einwilligung durchgeführt wird, ist der Betroffene darüber zu informieren, dass er das Recht hat, seine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen, ohne dass dies eine Auswirkung auf die Datenverarbeitung bis zum Widerruf hat.mehr

Rz. 110 Sofern die erhobenen Daten an weitere Empfänger weitergegeben werden, ist der Betroffene hierüber zu informieren. Nach Art. 4 Nr. 9 DSGVO ist ein Empfänger jede Stelle, der personenbezogene Daten offengelegt werden. Somit sind auch Auftragsverarbeiter Empfänger und auch über eine Weitergabe der Daten an diese ist zu informieren.[47] Rz. 111 Nach allgemeiner Auffassung...mehr

Rz. 109 Sofern die Datenverarbeitung auf Basis der Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO durchgeführt wird, ist dem Betroffenen zudem das berechtigte Interesse des Verantwortlichen mitzuteilen. So soll gewährleistet werden, dass der Betroffene die Abwägung der Interessen nachvollziehen kann.[46]mehr

Rz. 112 Sofern die Daten in ein Drittland (außerhalb der EU) übermittelt werden sollen, ist der Betroffene hierüber zu informieren. Zudem ist der Betroffene über das Vorhandensein oder das Fehlen eines Angemessenheitsbeschluss der EU-Kommission bzw. über die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, sofern die Überm...mehr

Rz. 106 Dem Betroffenen ist Name und Kontaktdaten des Verantwortlichen zu nennen. Mit Namen ist der Name der natürlichen Person, der Name des Unternehmens im Falle einer juristischen Person oder der Name der Behörde oder des Vereins gemeint. Bei den Kontaktdaten ist auf jeden Fall eine ladungsfähige Anschrift anzugeben, gerade im Onlineumfeld wird zudem noch vertreten, dass ...mehr

Rz. 117 Abschließend ist dem Betroffenen noch mitzuteilen, ob eine automatisierte Entscheidungsfindung – einschließlich eines Profiling – nach Art. 22 Abs. 1 und 4 DSGVO Anwendung findet. Sofern dies der Fall ist, ist zudem über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung zu informieren.mehr

Rz. 141 Sofern kein Angemessenheitsbeschluss besteht bzw. auch keine geeigneten Garantien vorliegen, hält Art. 49 DSGVO einige Ausnahmen bereit, in denen trotz allem Daten in ein Drittland übermittelt werden dürfen. Die relevantesten Fälle sind hierbei die ausdrückliche Einwilligung des Betroffenen in die Datenübermittlung, wobei auf die möglicherweise bestehenden Risiken de...mehr

mehr

Rz. 125 Muster 12.6: Datenschutzhinweise für Bewerber Muster 12.6: Datenschutzhinweise für Bewerber Datenschutzhinweise für Bewerber der _____ Mit den nachfolgenden Informationen möchten wir Ihnen einen Überblick über die Verarbeitung Ihrer personenbezogenen Daten als Bewerber oder Bewerberin auf ein Stellenangebot oder im Rahmen einer Initiativbewerbung geben. I. Wer ist Veran...mehr

Rz. 126 Muster 12.7: Datenschutzhinweise für Kunden Muster 12.7: Datenschutzhinweise für Kunden Datenschutzhinweise für Kunden der _____ Im Folgenden möchten wir Sie darüber informieren, welche personenbezogenen Daten wir von Ihnen im Zusammenhang des mit Ihnen geschlossenen Vertrages verarbeiten, welche Rechte Sie diesbezüglich haben und wie Sie uns kontaktieren können. I. Wer...mehr

Rz. 135 Sofern die Daten (beispielsweise durch einen Tracking-Dienstleister) in einem Drittland (außerhalb der EU) verarbeitet oder in ein Drittland übermittelt werden, so gelten nach Art. 44 DSGVO zusätzliche Anforderungen an die Datenverarbeitung. Mit den Vorschriften der Art. 44 ff. DSGVO möchte der Unionsgesetzgeber erreichen, dass das hohe Datenschutzniveau, das durch d...mehr

Rz. 143 Muster 12.8: Datenschutzhinweise für eine Webseite Muster 12.8: Datenschutzhinweise für eine Webseite Datenschutzhinweise In diesen Datenschutzhinweisen wird die Verarbeitung von personenbezogenen Daten im Rahmen der Nutzung der Webseite von _____ beschrieben. Zudem enthalten diese Informationen zu den Rechten, die Ihnen zustehen, und wie Sie uns kontaktieren können. I....mehr

Rz. 28 Vorab ist ein oft anzutreffendes Missverständnis im Zusammenhang mit der Pflicht zur Benennung eine Datenschutzbeauftragen aufzuklären. Diese Pflicht zur Bestellung eines Datenschutzbeauftragten besteht unabhängig von den Pflichten eines jeden Verantwortlichen zur Einhaltung aller datenschutzrechtlichen Bestimmungen bei der Verarbeitung personenbezogener Daten (Art. 5...mehr

Rz. 49 Die Auftragsverarbeitung durch den Dienstleister ist abzugrenzen von einer eigenverantwortlichen Datenverarbeitung. Damit stellt sich die Frage, wann ein Unternehmen noch als Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO handelt und wann er weisungsgebundener Dienstleister ist. Rz. 50 Nach der DSGVO wird ein Unternehmen als Verantwortlicher für eine Datenverarbeitung ange...mehr

Rz. 10 Weiterhin muss das Unternehmen die Umsetzung der Betroffenenrechte nach Art. 12 ff. DSGVO sicherstellen. Rz. 11 Dies betrifft die Information der Betroffenen gemäß Art. 13, 14 DSGVO. Der Verantwortliche muss bei Datenerhebung dem Betroffenen aufzeigen, für welche Zwecke die Daten verwendet werden und an wen sie weitergegeben werden. Zudem sind die Löschregeln zu benenn...mehr

mehr

Rz. 98 Nach Art. 5 Abs. 1 lit. a DSGVO muss die Verarbeitung von personenbezogenen Daten in für die betroffene Person nachvollziehbarer Weise erfolgen. Dieser Grundsatz der Transparenz wird in Art. 13 und 14 DSGVO konkretisiert, indem dem Verantwortlichen aktive Informationspflichten auferlegt werden. Hierbei wird unterschieden, ob die Daten direkt vom Betroffenen erhoben we...mehr

Rz. 6 Zusätzlich ist nach Art. 30 DSGVO eine Dokumentation sämtlicher Datenverarbeitungsprozesse im Unternehmen erforderlich. Neben den allgemeinen Angaben zum Verantwortlichen muss das Unternehmen aufzeigen, welche Datenverarbeitungsprozesse bestehen. Im Rahmen der internen Dokumentation muss angegeben werden, welche Daten für welche Zwecke verarbeitet und an wen sie weiter...mehr

Rz. 121 Abweichend zu Art. 13 DSGVO sind im Rahmen von Art. 14 DSGVO die Kategorien der erhobenen personenbezogenen Daten anzugeben. Dies dient dazu, dem Betroffenen transparent aufzuzeigen, welche Daten der Verantwortliche erhoben hat, da er im Gegensatz zu Art. 13 DSGVO an der Erhebung nicht beteiligt war. Es genügt im Rahmen der Informationspflichten die allgemeine Angabe...mehr

Rz. 36 Das Datenschutzrecht hat auch für Vereine insbesondere durch die Entwicklung der digitalen Medien und das Inkrafttreten der DSGVO eine zunehmende Bedeutung erlangt. Die Datenverarbeitung im Verein kann entweder aufgrund einer gesetzlichen Regelung oder einer Einwilligung durchgeführt werden. Art. 6 Abs. 1 lit. b) DSGVO erklärt die Datenverarbeitung dann für zulässig, ...mehr

Rz. 4 Die DSGVO führt mit Art. 5 Abs. 2, Art. 24 DSGVO die sog. Rechenschaftspflicht ein. Danach muss ein Unternehmen im erforderlichen Umfang interne technische und organisatorische Maßnahmen treffen, um gegenüber der Aufsichtsbehörde die Einhaltung der DSGVO nachweisen zu können. Der Umfang der zu treffenden Maßnahmen seitens des Verantwortlichen hängt davon ab, in welchem...mehr

Rz. 33 Zum Datenschutzbeauftragten kann nur bestellt werden, wer fachlich und charakterlich in der Lage ist, die in Art. 39 DSGVO genannten Aufgaben zu erfüllen. Hierzu gehören die Unterrichtung des Verantwortlichen hinsichtlich der Pflichten nach der DSGVO bzw. dem BDSG, die Überwachung der Einhaltung von Datenschutzbestimmungen sowie eine Beratung im Hinblick auf die Daten...mehr

Rz. 129 Dem Besucher einer Webseite sind nach Art. 13 DSGVO Informationen zur Verfügung zu stellen, welche personenbezogenen Daten zu seiner Person erhoben und verarbeitet werden. Hierbei gelten die allgemeinen Vorgaben aus Art. 12 DSGVO, dass die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache z...mehr

Rz. 56 Der Inhalt eines Vertrags zur Auftragsverarbeitung ist nach Art. 28 Abs. 3 DSGVO vorgegeben. Durch den Vertrag muss sichergestellt werden, dass der Dienstleister die personenbezogenen Daten ausschließlich nach Weisung des Auftraggebers verarbeitet, die IT-Sicherheit gewährleistet und den Auftraggeber bei der Umsetzung seiner Verpflichtungen aus der DSGVO unterstützt. ...mehr

Rz. 99 Nach Art. 12 Abs. 1 DSGVO sind die Informationen zur Datenverarbeitung in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache zu übermitteln. Die Informationserteilung erfolgt zudem nach Art. 12 Abs. 5 DSGVO unentgeltlich. Rz. 100 "In präziser, transparenter Form" bedeutet insbesondere, dass die Informationen k...mehr

Rz. 104 Nach Art. 13 Abs. 1 DSGVO sind die Informationen dem Betroffen zum Zeitpunkt der Erhebung der Daten zu erteilen. Durch die Informationspflichten soll der Betroffene in die Lage versetzt werden, den Umfang und die Folgen der Datenverarbeitung zu überblicken. Aus diesem Grund muss die Erteilung der Informationen nach Art. 13 DSGVO vor oder zumindest spätestens gleichze...mehr

Rz. 69 Die Einhaltung der DSGVO erfordert auch einen adäquaten Schutz von personenbezogenen Daten vor Missbrauch und unbefugter Kenntnisnahme. Dies ist eine Aufgabe, die vom Verantwortlichen fortlaufend sicherzustellen ist. Die Aufgabe, die Sicherheit der Verarbeitung von personenbezogenen Daten zu gewährleisten, trifft auch den Auftragsverarbeiter. Der Verantwortliche muss ...mehr

Rz. 71 Unternehmen sind verpflichtet, personenbezogene Daten vor einer unbefugten oder unrechtmäßigen Verarbeitung und vor einem unbeabsichtigten Verlust bzw. unbeabsichtigter Zerstörung durch geeignete technische und organisatorische Maßnahmen zu schützen. Dies müssen sie auf Anfrage jederzeit der Aufsichtsbehörde gegenüber nachweisen können (vgl. Art. 5 Abs. 1 lit. f), Abs...mehr

Rz. 128 Bei der Verarbeitung von personenbezogenen Daten im Zusammenhang mit einer Webseite erfolgt die Datenerhebung direkt beim Betroffenen, so dass hinsichtlich der Informationspflichten Art. 13 DSGVO gilt. Zu den einzelnen Anforderungen der Informationspflicht nach Art. 13 DSGVO siehe Rdn 103 ff.mehr

Rz. 26 Muster 12.3: Beantwortung eines Auskunftsersuchens Muster 12.3: Beantwortung eines Auskunftsersuchens [Briefbogen des Verantwortlichen] Wenn unzustellbar, bitte zurück an _____ _____ [Anschrift Petent] _____ [Ort, Datum] Datenauskunft – Ihre Anfrage Sehr geehrte/r Frau/Herr _____, gerne kommen wir Ihrer Bitte um Auskunft zu Ihren von _____ gespeicherten personenbezogenen Dat...mehr

Rz. 97 Der Geschäftsführer eines Unternehmens wünscht eine Beratung, inwiefern sein Unternehmen von den Informationspflichten der DSGVO betroffen ist und wie er insbesondere Bewerber oder Kunden nach der DSGVO zu informieren hat.mehr

Rz. 138 Sofern kein Angemessenheitsbeschluss besteht, darf der Verantwortliche die Daten nach Art. 45 DSGVO nur übermitteln, sofern er geeignete Garantien zur Sicherstellung des angemessenen Datenschutzniveaus gewährleistet. Art. 45 Abs. 2 DSGVO gibt einige Möglichkeiten für derartige geeignete Garantien vor. Die praxisrelevanteste Alternative sind die Standarddatenschutzkla...mehr

Rz. 119 Art. 14 Abs. 3 lit. a DSGVO gibt hierzu vor, dass die Informationen nach Art. 14 DSGVO dem Betroffenen spätestens innerhalb eines Monats zur Verfügung zu stellen sind. Sofern die Daten zur Kommunikation mit dem Betroffenen genutzt werden sollen, verkürzt sich diese Frist auf den Zeitpunkt der ersten Mitteilung an den Betroffenen. Das gleiche gilt, sofern die Daten ei...mehr

Rz. 123 Nach Art. 13 Abs. 4 und Art. 14 Abs. 5 lit. a DSGVO entfällt die Pflicht zur Information des Betroffenen, sofern der Betroffene über die Informationen bereits verfügt. Im Falle der Erhebung der Daten nicht beim Betroffenen selbst bestehen nach Art. 14 Abs. 5 DSGVO darüber hinaus noch weitere Ausschlussgründe. Unter anderem ist dies der Fall, sofern sich die Erteilung...mehr

Rz. 103 Art. 13 DSGVO erfasst den Fall, dass die Daten direkt beim Betroffenen erhoben werden. Gemeint ist damit, dass der Betroffene die unmittelbare Datenquelle darstellt. Dies kann entweder durch eine bewusste Übermittlung von Daten an einen Verantwortlichen durch den Betroffenen geschehen (Bsp.: Ausfüllen eines Formulars) oder durch das Beobachten des Betroffenen erfolge...mehr

Rz. 25 Muster 12.2: Verpflichtung zur Vertraulichkeit für Mitarbeiter Muster 12.2: Verpflichtung zur Vertraulichkeit für Mitarbeiter Verpflichtung zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes Sehr geehrte/r Frau/Herr _____, da Sie im Rahmen Ihrer Tätigkeit voraussichtlich mit personenbezogenen Daten in Kontakt kommen, sind Sie zur Beachtung des Datenschut...mehr

Rz. 122 Zusätzlich anzugeben ist im Rahmen von Art. 14 DSGVO die Herkunft der Daten. Hierbei sind die Quellen der Daten so exakt wie möglich anzugeben. Zudem ist darüber zu informieren, ob die Daten aus öffentlichen Quellen stammen. Die öffentlichen Quellen sind dabei zu benennen.[51]mehr

Rz. 88 Eine umgehende Information des Betroffenen über den Datenverlust ist nach Art. 34 Abs. 1 DSGVO im Fall eines voraussichtlich bestehenden hohen Risikos für die Rechte und Freiheiten für den Betroffenen erforderlich. Von dieser Benachrichtigungspflicht sieht Art. 34 Abs. 3 DSGVO Ausnahmen vor. Eine Meldung gegenüber dem Betroffenen ist nicht erforderlich, sofern durch t...mehr

Rz. 133 Die bei einem Webseitentracking anfallenden Daten sind personenbezogen im Sinne der DSGVO. Nach Art. 4 Nr. 1 DSGVO sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Als identifizierbar wird dabei eine Person angesehen, wenn diese über die Zuordnung zu einer Online-Kennung identifiziert werden kann. Bei einem Webseit...mehr

Rz. 9 Alle Mitarbeiter im Unternehmen dürfen personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten (vgl. Art. 29 DSGVO). Das Unternehmen muss entsprechende Schritte ergreifen, um sicherzustellen, dass die Mitarbeiter nur entsprechend der Weisung des Unternehmens personenbezogene Daten verarbeiten (vgl. Art. 32 Abs. 4 DSGVO). Ohne eine entsprechen...mehr

Rz. 21 Weitere Regelungsbereiche einer Datenschutzrichtlinie können sein:mehr