Über Barth Datenschutz

Personenbezogene Daten sind Informationen, welche einen speziellen Bezug zu einer natürlichen Person herstellen. Also sämtliche Angaben, die zu einer Person gemacht werden können und diese somit bestimmbar machen; unter anderem:

Ein wichtiger Bestandteil der DSGVO ist die Transparenz für Betroffene. Diese sollen in die Lage versetzt werden, die Datenverarbeitung zu prüfen. Mit anderen Worten gesagt, soll jeder Betroffene wissen, wer was wann und bei welcher Gelegenheit über ihn weiß. Diese Informationen findet er in der verpflichtenden Datenschutzerklärung, in deren Mittelpunkt personenbezogene Daten stehen.

Ein auf Papier oder elektronisch geführtes Verzeichnis von Verarbeitungstätigkeiten enthält mehrere Verfahrensbeschreibungen, welche personenbezogenen Daten wann, wie und warum erhoben werden. Dieses Verzeichnis lässt sich auch als Verfahrensverzeichnis beschreiben und kann von den Datenschutzbehörden zur Vorlage verlangt werden, ansonsten ist mit einem Bußgeld zu rechnen.

Sowohl Kundendaten als auch interne Daten werden notiert. Das Verzeichnis muss fortlaufend gepflegt werden und muss zumindest in Form einer simplen Tabelle vorliegen. Eine einmalige Dokumentation ist nicht ausreichend. Sollten sich Prozesse ändern, muss dies ebenfalls im Verzeichnis aktualisiert werden.

Es sollten für jeden Arbeitsschritt folgende Punkte festgehalten werden:

Wenn verschiedene Dienste von Webhostern oder ähnlichen digitalen Dienstleistern in Anspruch genommen werden, werden die personenbezogenen Daten dort verarbeitet. Damit diese externe Datenverarbeitung (d.h. außerhalb vom heimischen Server) auch vernünftig und gesetzeskonform abläuft, sollte ein Vertrag mit dem Dienstleister geschlossen werden – der Auftragsverarbeitungsvertrag (AV-Vertrag), der die Sicherheit und den Schutz der personenbezogenen Daten regelt.

Die Datenübermittlung an externe Dienstleister sollte immer auf Aktualität überprüft und regelmäßig kontrolliert werden. Es ist überaus sinnvoll, nachzusehen, welche Daten tatsächlich nötig sind und wie detailliert diese ausfallen. Alle Dienstleister und Partner innerhalb der EU sind dazu angehalten, einen solchen Vertrag aufzusetzen. Im Grunde gilt dies für sämtliche Dienstleister und Partner, auch außerhalb der EU. Die Datenverarbeitung muss den Datenschutzbestimmungen nach der DSGVO entsprechen, da dort ansonsten keine personenbezogenen Daten verarbeitet werden dürfen.

Sobald auf EDV-basierte Verarbeitung personenbezogener Daten zurückgegriffen wird, mindestens 20 Mitarbeiter jeglicher Art auf diese Daten zugreifen, oder Daten an Dritte übermittelt werden, ist die Ernennung eines Datenschutzbeauftragten (DSB) Pflicht. Unternehmensgruppen ist es gestattet einen gemeinsamen Datenschutzbeauftragten zu bestimmen. Hierbei muss allerdings die (persönliche) Erreichbarkeit des Datenschutzbeauftragten gewährleistet sein. Um einen gemeinsamen Datenschutzbeauftragten ernennen zu können, müssen die einzelnen Unternehmen allerdings schon im Vorfeld Daten gemeinsam verarbeitet haben.

Der DSB überprüft grundsätzlich, dass das Unternehmen alle Datenschutzvorgaben einhält und somit personenbezogene Daten sicher verarbeitet werden. Im Detail sehen seine Aufgaben wie folgt aus:

Der Datenschutzbeauftragte berät und überwacht die verantwortlichen Personen (Geschäftsführung) im Unternehmen bei allen Fragen rund um das Thema Datenschutz. Er ist allerdings nicht in der Lage, eigenwillig Entscheidungen zu treffen. Die Zusammenarbeit mit der Datenschutzbehörde ist eine weitere Aufgabe des Datenschutzbeauftragten. Es besteht keine Verpflichtung, sich von seiner Seite aus dort zu melden, wenn Vorfälle im Unternehmen auftreten. Sollte allerdings die Behörde Kontakt zu ihm aufnehmen, beispielsweise aufgrund einer Beschwerde, so muss er bei der Aufklärung des Falls helfen und ist direkter Ansprechpartner.

Die Sensibilisierung und Schulung anderer Mitarbeiter zählt ebenfalls zu den Aufgaben des Datenschutzbeauftragten. In welchem Umfang und wie oft entsprechende Schulungen stattzufinden haben, schreibt die DSGVO nicht vor. Allerdings sollte dafür gesorgt werden, dass alle Mitarbeiter im Hinblick auf Datensicherheit gewappnet sind und so Beschwerden vermieden werden. Der Datenschutzbeauftragte ist außerdem direkter Ansprechpartner für betroffene Personen. Bei allen Vorfällen rund um das Thema Datensicherheit können Anfragen und Beschwerden bei ihm eingehen.