Fachbeiträge & Kommentare zu Unternehmen

Nach Art. 30 DSGVO hat der Auftraggeber ein Verzeichnis der Auftragsverarbeitungen zu führen. Neben der Auflistung der Auftragsverarbeitungen empfiehlt es sich, in der Dokumentation auch die Verträge mit den Auftragsverarbeitern vorzuhalten. 8.3.1 Checkliste: Prüfung und Dokumentation der Auftragsverarbeitung Auftragsverarbeit...mehr

Der Verantwortliche hat vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für die betroffenen Personen durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung – insbesondere bei Verwendung neuer Technologien – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bestehen kann. Der D...mehr

"Verantwortlicher" ist derjenige, der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). Bei Kapitalgesellschaften oder Genossenschaften ist Verantwortlicher das Unternehmen, nicht die Geschäftsleitung. Das Geschäftsführungsorgan bestimmt zwar im Rahmen der Geschäftsführungsbefugnis die Orga...mehr

Als Teil der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Dieses Verzeichnis betrifft alle automatisierten und auch die nicht automatisierten Verarbeitungen personenbezogener Daten. Zunächst sind deshalb alle Verarbeitungsprozesse personenbezogener Daten im Unternehmen zu ermitteln. Um die Übersichtlichkeit zu wahr...mehr

Sachverhalt Bei dem portugiesischen Vorabentscheidungsersuchen ging es um die Auslegung von Art. 13 Teil B Buchst. a und c der 6. EG-Richtlinie sowie von Art. 135 Abs. 1 Buchst. a und Art. 136 Buchst. a MwStSystRL, die die erstgenannten Bestimmungen ersetzt haben, in Bezug auf die Frage, ob der Begriff "Versicherungs- und Rückversicherungsumsätze" als Haupttätigkeit eines Ve...mehr

Unklar ist, wie weit der Auskunftsanspruch des Betroffenen und insbesondere die Aushändigung von Kopien geht. Nach Art. 15 Abs. 4 DSGVO ist das Recht auf Erhalt einer Kopie begrenzt, wenn dadurch die Rechte und Freiheiten anderer Personen beeinträchtigt werden; darunter fallen nach Erwägungsgrund 63 Satz 5 auch Geschäftsgeheimnisse, geistiges Eigentum oder Urheberrechte an S...mehr

Der Datenschutzbeauftragte fungiert als "Anwalt der Betroffenen" und überwacht die Einhaltung der Datenschutzvorschriften. Operative Aufgaben treten dabei eher in den Hintergrund. Die Tätigkeit ist aufgrund des Schwerpunkts in der Überwachung zunehmend der Compliance zuzuordnen. Darüber hinaus berät er das Unternehmen und dessen Mitarbeiter zu Fragen des Datenschutzes. Er bi...mehr

Art. 83 DSGVO gibt die Bedingungen für die Verhängung und die maximale Bußgeldhöhe vor. Zusätzlich sind in § 43 Abs. 1 BDSG noch zwei bußgeldbewehrte Tatbestände aufgeführt: Es haftet, wer fahrlässig oder vorsätzlich einen Verstoß gegen das Auskunftsrecht des Betroffenen nach § 30 Abs. 1 BDSG zu vertreten hat oder entgegen § 30 Abs. 2 Satz 1 BDSG (Abschluss eines Verbraucherdar...mehr

Nach § 9b WEG wird die Gemeinschaft durch den Verwalter gerichtlich und außergerichtlich vertreten. Eine Einschränkung erfährt diese Vertretungsmacht im Außenverhältnis nur dadurch, dass vor dem Abschluss eines Grundstückskauf- oder Darlehensvertrags eine Beschlussfassung der Wohnungseigentümer erforderlich ist. Nach § 27 Abs. 1 WEG ist der Verwalter gegenüber der Gemeinscha...mehr

Selbst wenn eine Bußgeld- oder eine Schadenersatzforderung wegen behaupteter immaterieller Schäden erfolgreich abgewehrt werden kann, werden doch zeitliche Kapazitäten gebunden. Eine Verurteilung führt dann auch noch zu finanziellen Einbußen. Unternehmen sollten deshalb bereits im Vorfeld versuchen, solchen Forderung vorzubeugen. Wichtig ist hierzu in erster Linie ein Datensc...mehr

Wohnungsunternehmen verlagern zunehmend ihre Daten oder einzelne Geschäftsprozesse in externe Rechenzentren oder Cloud-Anwendungen. Entsprechende Auslagerungen sind grundsätzlich als Auftragsverarbeitung zu werten. Die Verantwortung für die Einhaltung sämtlicher datenschutzrechtlicher Pflichten obliegt somit weiterhin dem auslagernden Unternehmen. Es muss also sichergestellt ...mehr

Gemäß der DSGVO besteht für nichtöffentliche Unternehmen in folgenden Fällen eine Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten: Die Kerntätigkeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters besteht in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihres Wesens, ihres Umfangs und/oder ihrer Zwecke eine regelmäßige un...mehr

§ 2 Abs. 1 und 2 BDSG definiert die öffentlichen Stellen. Hierunter fallen z. B. Behörden und sonstige Stellen eines Landes oder des Bundes, die Gemeinden und Gemeindeverbände und sonstige juristische Personen des öffentlichen Rechts. Öffentliche Stellen haben zusätzlich die von den Bundesländern erlassenen Landesdatenschutzgesetze zu beachten. Nichtöffentliche Stellen sind n...mehr

Nach der Zusendung des Bußgeldbescheids kann das betroffene Unternehmen innerhalb von 2 Wochen schriftlich oder zur Niederschrift bei der Aufsichtsbehörde Einspruch gegen den Bußgeldbescheid einlegen (§ 67 Abs. 1 OWiG). Zunächst prüft die Aufsichtsbehörde, ob der Einspruch zulässig ist, also form- und fristgerecht eingelegt wurde (§ 69 Abs. 1 Satz 1 OWiG). Sofern der Einspruc...mehr

Verpflichtungserklärung zur Wahrung des Datengeheimnisses Sehr geehrter Herr ________ / Sehr geehrte Frau ________, aufgrund Ihrer Aufgabenstellung in unserem Unternehmen sind Sie mit der Verarbeitung personenbezogener Daten befasst. Wir weisen Sie hiermit darauf hin, dass es Ihnen untersagt ist, personenbezogene Daten ...mehr

Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung der datenschutzrechtlichen Vorgaben nachweisen können ("Rechenschaftspflicht"). Die Rechenschaftspflicht führt zu einer Beweislastumkehr. Wird dem Unternehmen durch die Aufsichtsbehörde oder einen Betroffenen vorgehalten, gegen Datenschutzregeln verstoßen zu haben, muss sich das Unternehmen entlasten. Dies setz...mehr

Die erforderlichen Inhalte nach TMG können § 5 TMG entnommen werden. Im Einzelnen sind anzugeben: Name und Anschrift des Anbieters, § 5 Nr. 1 TMG Der Anbieter ist verpflichtet, den Namen und die Anschrift, unter der er niedergelassen ist, anzugeben. Personengesellschaften (z. B. GbR, OHG, KG) und juristische Personen (z. B. GmbH) müssen die Firmenbezeichnung, einschließlich de...mehr

Das Auskunftsbegehren unterliegt nach den Bestimmungen der DSGVO keinen besonderen Anforderungen an Form und Inhalt und ist auch nicht zu begründen. Nach Erwägungsgrund 63 DSGVO dient das Auskunftsrecht dem Zweck, dass sich der Betroffene der Verarbeitung bewusst wird und deren Rechtmäßigkeit überprüfen kann. Ist eine Verarbeitung erfolgt, besteht im Weiteren das Recht, eine...mehr

Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, steht aber unter dem Erlaubnisvorbehalt des Art. 6 DSGVO. Erlaubt ist die Verarbeitung personenbezogener Daten durch Unternehmen, wenn ein Rechtfertigungsgrund vorliegt.mehr

Unternehmen veröffentlichen häufig Fotos von Mitarbeitern, Mietern oder anderen Personen auf der Homepage, in der Kundenzeitschrift oder in sozialen Netzwerken. Es besteht inzwischen weitestgehend Klarheit, dass die Vorgaben des Kunsturhebergesetzes (KunstUrhG) zur Veröffentlichung und Verbreitung von Fotografien und damit auch die Ausnahmetatbestände weiterhin Gültigkeit hab...mehr

"Betroffener" ist eine natürliche Person, deren personenbezogene Daten verarbeitet werden. Unternehmen fallen nicht in den Schutzbereich des Datenschutzes, sind also nicht Betroffene.mehr

Im Rahmen des Bewerbungsverfahrens wird regelmäßig eine Vielzahl personenbezogener Daten erhoben. Es steht in der Verantwortung des Wohnungsunternehmens, deren Sicherheit und Vertraulichkeit zu gewährleisten. Zugang zu diesen Daten dürfen nur Personen haben, die am Bewerbungs- und Auswahlverfahren direkt beteiligt sind. Bereits bei der Erhebung von personenbezogenen Daten (St...mehr

Betroffene können verlangen, dass unrichtige personenbezogene Daten über sie unverzüglich berichtigt werden (siehe DSGVO-Pflichten für Unternehmen, Kap. 7.1 Berichtigung.mehr

Wie bei der Vermietung werden für die Abrechnung der Heizkosten darauf spezialisierte Unternehmen beauftragt und es liegt eine Auftragsverarbeitung vor. Zu Einzelheiten hierzu siehe Datenschutz bei der Vermietung und Bestandsverwaltung, Kap. 2.2.1 Verbrauchsdaten.mehr

Bereits bei der Erhebung personenbezogener Daten treffen den Verantwortlichen Informationspflichten. Datenerhebung ist immer ein aktiver Prozess. Werden dem Unternehmen personenbezogene Daten offenbart, ohne dass es dazu aufgefordert hat (z. B. bei Blindbewerbungen), bestehen die Informationspflichten nicht. Man kann darüber diskutieren, wann eine Datenerhebung erfolgt. Ist ...mehr

Auch im Hinblick auf die Bestellpflicht existiert eine Öffnungsklausel in Art. 37 Abs. 4 Satz 1 DSGVO, die dem nationalen Gesetzgeber das Recht auf weitergehende Regelungen einräumt. Die Öffnungsklausel beschränkt den Gesetzgeber jedoch auf die Formulierung zusätzlicher Voraussetzungen, unter denen ein Datenschutzbeauftragter zu bestellen ist. Eine von der DSGVO abweichende ...mehr

Bei einer Sperrung werden die personenbezogenen Daten nicht gelöscht, doch können sie nur noch für einen bestimmten Zweck verwendet werden (siehe DSGVO-Pflichten für Unternehmen, Kap. 7.3 Sperrung/ Einschränkung.mehr

Einem Arbeitgeber steht es grundsätzlich frei, ob er den Arbeitnehmern die private Nutzung der betrieblichen Kommunikationsmittel (Internet, E-Mail, Smartphones etc.) gestattet. Aufgrund der anfallenden personenbezogenen Daten bei der Privatnutzung sind jedoch die datenschutzrechtlichen Vorgaben zu beachten. Beim Thema Archivierung oder wenn aufgrund von Krankheit, Urlaub od...mehr

Überblick Der betriebliche Datenschutzbeauftragte spielt auch in der EU-einheitlichen Gesetzgebung unter der DSGVO eine entscheidende Rolle in der betrieblichen Selbstkontrolle nichtöffentlicher Unternehmen in Bezug auf die Einhaltung der datenschutzrechtlichen Vorgaben. Das folgende Kapitel soll über die Pflicht zur Bestellung eines Datenschutzbeauftragten sowie dessen Rech...mehr

Zum 1.12.2021 ist die novellierte Heizkostenverordnung in Kraft getreten. Von datenschutzrechtlicher Relevanz sind in diesem Zusammenhang insbesondere die neuen Informationspflichten, wenn fernablesbare Geräte zur Verbrauchserfassung vorhanden sind. Wenn diese bereits installiert sind, müssen den Nutzern seit dem 1.1.2022 monatlich Abrechnungs- oder Verbrauchsinformationen f...mehr

Nach dem Geldwäschegesetz haben Wohnungsgenossenschaften mit Spareinrichtung als Kreditinstitute einen Geldwäschebeauftragten und einen Stellvertreter zu bestellen. Zum Geldwäschebeauftragten können auch externe Dienstleister bestellt werden. In die Zuständigkeit des Geldwäschebeauftragten fällt die Umsetzung und Überwachung der geldwäscherelevanten Vorschriften im Unternehm...mehr

Bei besonders schwerwiegenden Verstößen, darunter Verstöße gegen die Datenverarbeitungsgrundsätze und gegen die Betroffenenrechte oder im Fall einer Verarbeitung ohne Rechtsgrundlage, sind Geldbußen in Höhe von bis zu 20 Mio. EUR oder bei Unternehmen bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres (Art. 83 Abs. 5 DSGVO) möglich, wobei der jeweils...mehr

Unternehmen können Mietforderungen an Inkassounternehmen verkaufen. Das Wohnungsunternehmen als Gläubiger ist berechtigt, im Rahmen einer unternehmerischen Entscheidung festzulegen, dass es Forderungen nicht selbst beitreibt, sondern diese an einen Dritten verkauft. Der Forderungsverkauf selbst ist ein Rechtskauf (§ 453 BGB). Aus dieser vertraglichen Konstellation erwächst s...mehr

Bei der Überlassung von mobilen Endgeräten sind neben der Privatsphäre der Mitarbeiter auch Sicherheitsaspekte zu beachten, da regelmäßig schützenswerte Firmendaten auf diesen Geräten gespeichert werden. Während PCs und Notebooks gut in die IT-Infrastruktur integriert sind, verbleibt die Konfiguration betrieblich genutzter Smartphones in den meisten Fällen in den Händen der ...mehr

Alle Funktionen des IT-Systems müssen zur Verfügung stehen und auftretende Fehlfunktionen gemeldet werden. Die Zuverlässigkeit ist ein Teilaspekt der Verfügbarkeitskontrolle. Unternehmen haben ein starkes Interesse daran, ihre IT-Systeme funktionsfähig zu halten und frühzeitig über auftretende Fehlfunktionen informiert zu werden. Informationen der Aufsichtsbehörden, wie die ...mehr

Bei den Heiz- und Warmwasserkosten erfolgt die Umlage nach den Bestimmungen der Heizkostenverordnung. Dem Gebäudeeigentümer obliegt nach §§ 4 ff. HeizKV die Pflicht zur Verbrauchserfassung, Beschaffung der Ausstattung zur Verbrauchserfassung und zur verbrauchsabhängigen Kostenverteilung. Zur Ermittlung der verbrauchsabhängigen Kostenverteilung bedient man sich in der Regel e...mehr

Der Auftragsverarbeiter hat den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten bei erfolgten Datenschutzverletzungen und bei Datenschutz-Folgenabschätzung zu unterstützen. Einschlägig sind folgende gesetzliche Vorschriften: Art. 33 DSGVO: Meldung von Datenschutzverletzungen an d...mehr

Der Datenschutzbeauftragte ist gemäß den gesetzlichen Vorgaben ausschließlich und unmittelbar der höchsten Managementebene berichtspflichtig (Art. 38 Abs. 3 Satz 3 DSGVO). Eine gesetzliche Pflicht zur Erstellung eines Tätigkeitsberichts besteht nicht. Es ist allerdings empfehlenswert, dass der Datenschutzbeauftragte in regelmäßigen Abständen einen Bericht erstellt, um den Do...mehr

Das Datenschutzrecht betrifft ausschließlich die personenbezogenen Daten natürlicher Personen: Die betrieblichen Kontaktdaten oder betriebliche Funktionen sind keine personenbezogenen Daten – private Kontaktdaten oder Fotografien von Mitarbeitern hingegen sind welche und unterliegen damit dem Schutz der DSGVO. Auch die Daten von anderen Unternehmen sind keine personenbezogen...mehr

Wohnungsunternehmen ersetzen in den Gebäuden vermehrt klassische mechanische Schließanlagen durch elektronische oder elektromechanische Schließsysteme, da die elektronischen Systeme zahlreiche Vorteile bieten. Die Schlüsselverwaltung ist vereinfacht und beim Verlust von Zugangsmedien können diese gesperrt werden, weshalb auf den Austausch einer Schließanlage verzichtet werde...mehr

Bevor die Aufsichtsbehörde ein Bußgeld festsetzen kann, ist in einem Vorverfahren zunächst das betroffene Unternehmen zu hören (§ 55 OWiG), das sich umfassend zum Vorwurf des Datenschutzverstoßes äußern kann. Hier ist von Unternehmensseite große Sorgfalt erforderlich, um zu klären, ob der Vorwurf überhaupt zutreffend ist bzw. wie der Vorfall tatsächlich abgelaufen ist. Nach ...mehr

Es können Geldbußen in Höhe von bis zu 10 Mio. EUR bzw. bei Unternehmen bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden (Art. 83 Abs. 4 DSGVO), wobei der jeweils höhere Betrag als maximale Buße verhängt werden kann. Mögliche Verstöße, die mit einem Bußgeld geahndet werden können, sind z. B.: unzulässige Weitergabe p...mehr

Nach Art. 30 DSGVO hat der Auftraggeber ein Verzeichnis der bestehenden Auftragsverarbeitungen zu führen. Hinweis Praxishinweis Es empfiehlt sich, die gesamten Unterlagen zur Auftragsverarbeitung an einer zentralen Stelle im Unternehmen aufzubewahren – entweder in einem separaten physischen Ordner (ggf. auch nur die Kopien der Vereinbarungen) oder im digitalen Archiv. Im Fall ...mehr

Gläubiger, Inkassounternehmen Häufig wenden sich Gläubiger und Inkassofirmen mit sogenannten Arbeitgeberanfragen an den Arbeitgeber, um zu überprüfen, ob Lohn- und Gehaltspfändungen aussichtsreich sein könnten. Generell ist dies nur zulässig, wenn der Arbeitnehmer in die Weitergabe einwilligt, der Arbeitgeber gerichtlich zur Abgabe einer Drittschuldnererklärung verpflichtet wu...mehr

Das aufgezeichnete Material ist unverzüglich zu löschen, wenn es zur Zweckerreichung nicht mehr notwendig ist (Art. 17 Abs. 1 lit. a DSGVO). Die statthafte Speicherdauer orientiert sich damit an dem maximalen Zeitraum, der bis zur Erkennung von Vorkommnissen zu überbrücken ist. Als Regelfrist werden von den Aufsichtsbehörden 48–72 Stunden genannt. Bei kleineren Unternehmen, d...mehr

Mitzuteilen sind: der Name bzw. die Firma und die Kontaktdaten des Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten, die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung, das berechtigte Interesse, falls die Datenerhebung auf einem berechtigten Interesse des Verantwortlichen oder eines Dritten ber...mehr

Ob die Ablage der Unterlagen aus dem Bewerbungsprozess in Papierform oder elektronisch in der Mieterakte für die Dauer des Mietverhältnisses zulässig ist, ist noch nicht entschieden. Da die Bewerbungsunterlagen auch Geschäfts- bzw. Handelsbriefe sind, ist eine Aufbewahrung zumindest während der handelsrechtlichen Aufbewahrungsfristen zulässig.mehr

Der BGH[1] hat zur Zulässigkeit einer Videoüberwachung durch eine Wohnungseigentümergemeinschaft Stellung genommen. Für die Zulässigkeit gelten die oben in Kap. 1.1.1 genannten Voraussetzungen, wobei das Überwachungsinteresse der Gemeinschaft das Interesse des einzelnen Wohnungseigentümers und von Dritten am Schutz ihrer Privatsphäre überwiegen muss. Erforderlich ist ein Meh...mehr

Nicht selten richtet die Polizei im Rahmen eines Ermittlungsverfahrens ein Auskunftsverlangen an Vermieter und fordert die Offenlegung von personenbezogenen Daten von Mietern. Diese Auskunftsverlangen führen bei den Vermietern zu Unsicherheit, ob eine Verpflichtung zur Datenweitergabe besteht bzw. ob datenschutzrechtliche Verpflichtungen einer Datenweitergabe entgegenstehen....mehr

Wohnungsunternehmen haben sich häufig damit auseinanderzusetzen, dass Mieter Mietschulden anhäufen und dann die Räumung droht oder dass Mieter durch Verstoß gegen die Hausordnung (Lärm, Schmutz) den Hausfrieden stören. Teilweise beschäftigen Wohnungsunternehmen Sozialarbeiter, die im Rahmen des Mietvertrags auch eingesetzt werden, wenn der Mieter durch Nichtzahlung das Vertr...mehr