Früh handeln und vorbeugen, denn die neue EU-Datenschutz-Grundverordnung kommt!
Wir raten zu einer frühen Umsetzung ….
Mit der Datenschutz-Grundverordnung (DS-GVO) schafft die EU nun einen verbindlichen
Rechtsrahmen.
Drei Gesetze zusammen bilden ab Mai 2018 das neue Datenschutzrecht, lösen aber weitere bereits bestehende Gesetze (z.B. TMG, TKG, UWG) nicht (gänzlich) ab.
– Europäische Datenschutz-Grundverordnung
Bestehend aus 99 Artikeln mit einer entsprechenden Anzahl von Erwägungsgründen, löst
bestehendes BDSG am 25.5.18 weitgehend ab -> keine weiteren Übergangsfristen(!), regelt
das allgemeine Datenschutzrecht
– BDSG-A oder -N Anpassungsgesetz
Bestehend aus 45 Paragrafen, füllt die 42 vom Europaparlament geschaffenen
Öffnungsklauseln, gültig ab 25.5.18, gilt ergänzend zur DS-GVO
– E-Privacy-Verordnung
Bestehend aus 29 Artikeln, regelt im Wesentlichen den Datenschutz im Bereich E-Mail,
Internet, Telefon, gültig ab 25.5.18 (dieser Termin wird definitiv nicht einzuhalten sein, das
endgültige Inkrafttreten wird im Frühjahr 2019 erwartet), gilt zusätzlich zur DS-GVO
Grundsätzliches (DS-GVO)
Einheitlicher Datenschutz in Europa durch EU-Datenschutz-Grundverordnung
— Stärkere Nutzerrechte
– Recht auf Vergessenwerden
– Recht auf Datenportabilität
– umfangreiche Informationspflichten
– benutzerfreundliche Voreinstellungen
— Einwilligung in Datenverarbeitung erst ab 16
— Unternehmen aus Drittländern (nicht EU, nicht EWR) sind an europäisches Datenschutzrecht
gebunden (Marktortprinzip)
— Höhere Bußgelder möglich (bis EUR 20 Mio. bzw. 4% des weltweiten, konzernübergreifenden
Jahres-Umsatzes)
— Datenschutz-Folgenabschätzung
— Data Breach Notification
Dialogmarketing (DS-GVO):
— grundsätzlicher Einwilligungsvorbehalt
Die Verarbeitung ist u.a. rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist (Artikel 6, Absatz 1 lit. f) DS-GVO),
sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person,
die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn
es sich bei der betroffenen Person um ein Kind handelt (-> Interessensabwägung bzw. -> Datenschutz-Folgenabschätzung, -> Werbewiderspruchsrecht)
Dialogmarketing ist grundsätzlich ein berechtigtes Interesse von Unternehmen
(Erwägungsgrund 47 DS-GVO)
Profiling (Art. 4, 22 DS-GVO) bezieht sich nicht auf reine Adressen-Selektionen, diese sind
im bereits bisher zulässigen gesetzlichen Rahmen weiterhin möglich
Die Interessenabwägungsklausel verweist ausdrücklich darauf, dass auch Interessen von Dritten in der Abwägung Berücksichtigung finden können (Auftragsverarbeitung)
Weitere Selektionskriterien, die gegebenenfalls von anderen Marktteilnehmern, aus öffentlich zugänglichen Quellen oder von Datendienstleistern dürfen den eigenen Datensätzen hinzugespeichert werden
Eine Zweckänderung ist nicht ohne weiteres zulässig (-> Einwilligung, -> Informationspflichten)
Bereits zum Zeitpunkt der Erhebung personenbezogener Daten muss umfangreich über die geplante Datennutzung informiert werden. Es wird zwischen einer direkten Erhebung beim Betroffenen und einer Erhebung aus anderen Quellen unterschieden
Informationspflichten (DS-GVO):
Grundsätzlich:
– Nennung der verantwortlichen Stelle sowie Kontaktdaten des für die Verarbeitung
Verantwortlichen und ggf. seines Vertreters, als auch die Kontaktdaten des
Datenschutzbeauftragten
– die Rechtsgrundlage, auf der die Datenerhebung basiert und das berechtigte Interesse,
wenn die Datenerhebung auf einem solchen beruht (Art. 6 Abs. 1 DSGVO)
– die Kategorien von Empfängern der personenbezogenen Daten müssen ohne Einschränkung
mitgeteilt werden
– Informationen über ggf. geplante Übermittlungen in ein Drittland nebst Benennung der
Maßnahmen, auf die die Übermittlung gestützt wird (z.B. EU-Standard-Vertragsklauseln)
– die Dauer der Speicherung
– Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Widerspruchsrechte sowie das
Recht auf Datenübertragbarkeit
– Informationen darüber, dass der Betroffene bei Erteilung einer Einwilligung diese jederzeit
widerrufen kann, ohne dass die Rechtmäßigkeit der bis dahin vorgenommenen Verarbeitung
entfällt
– das Beschwerderecht bei der Aufsichtsbehörde
– Im Falle einer automatisierten Entscheidungsfindung einschließlich dem sog. Profiling
müssen dem Betroffenen aussagekräftige Informationen über die verwendete Logik, die
Tragweite und angestrebten Auswirkungen einer derartigen Verarbeitung mitgeteilt werden
Werden die Daten nicht direkt beim Betroffenen erhoben, kommen nach Art. 14 DSGVO noch folgende Informationspflichten hinzu:
– den betroffenen Personen müssen die Kategorien der personenbezogenen Daten genannt
werden
– Darlegungspflicht des berechtigten Interesses, sollten die Daten aufgrund berechtigter
Interessen des für die Verarbeitung Verantwortlichen oder Dritter erhoben werden (Art. 6
Abs. 1)
– Darüber hinaus muss den betroffenen Personen ab Geltung der Grundverordnung kenntlich
gemacht werden, aus welchen Quellen die personenbezogenen Daten stammen und ob sie
aus öffentlich zugänglichen Quellen kommen
Laut Ansicht der Aufsichtsbehörden soll generell nach dem aus dem BDSG bekannten Prinzip der transparenten Nutzung verfahren werden. Dabei gibt es auch keine Ausnahmen mehr für NPO / NGO und den B2B-Bereich
In folgenden Fällen kann von den Informationspflichten abgesehen werden:
– Die Erteilung der Information erweist sich als unmöglich oder erfordert einen
unverhältnismäßigen Aufwand
– die Erlangung oder Weitergabe der Daten ist durch Rechtsvorschriften der Union oder der
Mitgliedstaaten ausdrücklich geregelt
– die Daten unterliegen gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem
Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht und müssen
vertraulich behandelt werden
– besondere Kategorien von Daten (im Wesentlichen wie im BDSG festgelegt -> Gesundheit,
politische Ansichten, rassische Herkunft etc.), dürfen nicht ohne Einwilligung der
Betroffenen verarbeitet werden
Sonstiges (DS-GVO)
Datenschutzbeauftragte(r)
Ist geregelt im BDSG-N, behält Grundsätze des „alten“ BDSG bei, die EU-DSGVO bestimmt aber auch, dass verantwortliche Stellen, die besondere Kategorien von Daten (z.B. Gesundheitswesen) verarbeiten, oder gewerbsmäßigen Handel mit Daten betreiben (z.B. Adressenverlage) unabhängig von der jeweiligen Betriebsgröße, einen Datenschutzbeauftragten bestellen müssen
Auftragsverarbeitung
Die Prinzipien der Auftragsdatenverarbeitung entsprechen weitestgehend denen, die bereits im BDSG festgelegt waren. Die neue Begrifflichkeit heißt „Auftragsverarbeiter“. Die Pflichten werden deutlich erweitert, da Auftragsverarbeiter in die Mithaftung genommen werden können. Ferner sind sowohl bei der verantwortlichen Stelle als auch beim Auftragsverarbeiter Verfahrensverzeichnisse analog zu führen / dokumentieren
Die aus dem §9 (BDSG) bekannten technisch-organisatorischen Maßnahmen zur Wahrung einer größtmöglichen Datensicherheit finden sich in der DS-GVO fast wortgleich wieder
Verträge (ADV) mit Dienstleistern müssen neu geschlossen werden, bisherige ADV verlieren ihre Gültigkeit
Verfahrensverzeichnis
Es gibt keine Pflicht mehr, ein öffentliches Verfahrensverzeichnis zu führen. Verfahrensverzeichnisse werden in Verarbeitungsverzeichnisse umbenannt. Die internen Verarbeitungsverzeichnisse müssen deutlich umfangreicher ausfallen, als dies bisher nach BDSG vorgeschrieben war
Arbeitnehmerdatenschutz
Fand in die DS-GVO keinen Einzug. Es gelten die – weiterhin unzureichenden – Regelungen des BDSG, die ins BDSG-N übernommen wurden
Videoüberwachung
Fand in die DS-GVO keinen Einzug. Eine entsprechende Öffnungsklausel wurde im BDSG-n (zumindest für den öffentlichen Bereich) sehr weitreichend formuliert
Weitere Informationen und Unterstützung zu diesem Thema erhalten Sie bei unserem Schwesterunternehmen ZB Datenschutz und -sicherheit GmbH & Co. KG ().
Mit freundlichen Grüßen
Ulrich Braunbach
Über:
pro:tagon® direct marketing GmbH & Co. KG
Herr Ulrich Braunbach
Edmund-Rumpler-Str. 6 a-c
51149 Köln
Deutschland
fon ..: +49.(0)2203.89842-0
fax ..: +49.(0)2203.89842-80
web ..: http://www.protagon.de
email : info@protagon.de
Die Firma pro:tagon® ist ein innovatives Dienstleistungsunternehmen. Zu unseren Kunden zählen Versandhäuser, Finanzdienstleister, Verlage, Non Profit-Organisationen wie Spendenorganisationen (bzw. Fundraising) und andere direktwerbetreibende Unternehmen im Consumer- und Business-to-Business-Bereich.
Profitieren Sie von unserer jahrzehntelangen Direktmarketingpraxis und nutzen Sie diesen Vorsprung für sich. Bei uns gilt: „Nichts ist unmöglich!“
pro:tagon® immer eine Idee Response stärker. Wir freuen uns auf Ihren Kontakt!
Pressekontakt:
pro:tagon® direct marketing GmbH & Co. KG
Herr Ulrich Braunbach
Edmund-Rumpler-Str 6 a-c
51149 Köln
fon ..: +49.(0)2203.89842-0
web ..: http://www.protagon.de
email : info@protagon.de
