Datenschutz: Begriffe und FAQs

1. Recht auf Auskunft über ihre gespeicherten Daten.
2. Recht auf Berichtigung unrichtiger Daten.
3. Recht auf Löschung ("Recht auf Vergessenwerden") unter bestimmten Bedingungen.
4. Recht auf Einschränkung der Verarbeitung ihrer Daten.
5. Recht auf Datenübertragbarkeit zu einem anderen Anbieter.
6. Widerspruchsrecht gegen die Verarbeitung ihrer Daten.
7. Recht auf Beschwerde bei einer Datenschutzbehörde.

Die Datenschutz-Grundverordnung (DSGVO) sieht mehrere Rechtsgrundlagen für die Datenverarbeitung vor. Zu den wichtigsten gehören:

1. Einwilligung der betroffenen Person: Die Verarbeitung ist rechtmäßig, wenn die betroffene Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für einen bestimmten Zweck gegeben hat.

2. Vertragserfüllung oder vorvertragliche Maßnahmen: Die Verarbeitung ist erforderlich zur Erfüllung eines Vertrags, in den die betroffene Person involviert ist, oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person.

3. Erfüllung einer rechtlichen Verpflichtung: Die Verarbeitung ist erforderlich zur Erfüllung einer rechtlichen Verpflichtung, der der Datenverantwortliche unterliegt.

4. Schutz lebenswichtiger Interessen: Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen.

5. Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt: Die Verarbeitung ist zur Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Datenverantwortlichen übertragen wurde.

6. Berechtigte Interessen: Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Datenverantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, die den Schutz personenbezogener Daten erfordern.

Die Einwilligung zur Verarbeitung personenbezogener Daten ist erforderlich, wenn die Verarbeitung auf der Grundlage der Einwilligung der betroffenen Person erfolgt und keine andere Rechtsgrundlage anwendbar ist, wie z.B. die Erfüllung eines Vertrags, rechtliche Verpflichtungen oder berechtigte Interessen. Die Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein.

Eine Datenpanne bezieht sich auf einen Vorfall, bei dem personenbezogene Daten unbeabsichtigt oder unrechtmäßig offengelegt, verändert, gelöscht oder auf andere Weise kompromittiert werden. Im Kontext des Datenschutzes wird eine Datenpanne auch als Datenschutzverletzung bezeichnet. Dies kann durch verschiedene Ursachen wie menschliches Versagen, technische Fehler oder absichtliche Handlungen verursacht werden. Datenschutzverletzungen können dazu führen, dass sensible Informationen in die falschen Hände geraten, was zu negativen Auswirkungen für die betroffenen Personen führen kann, wie z.B. Identitätsdiebstahl, finanzielle Schäden oder Rufschädigung. Es ist wichtig, Datenschutzverletzungen ernst zu nehmen und angemessene Maßnahmen zu ergreifen, um die Auswirkungen zu minimieren und die Sicherheit der betroffenen Daten zu gewährleisten.

Die Meldepflichten bei einer Datenschutzverletzung gemäß der Datenschutz-Grundverordnung (DSGVO) umfassen:

1. Benachrichtigung der Aufsichtsbehörde: Der Datenverantwortliche muss unverzüglich nach Feststellung einer Datenschutzverletzung die zuständige Aufsichtsbehörde darüber informieren, es sei denn, die Datenschutzverletzung ist unwahrscheinlich, ein geringes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt oder bereits angemessene Schutzmaßnahmen ergriffen wurden.

2. Benachrichtigung der betroffenen Personen: Wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat, muss der Datenverantwortliche diese Personen unverzüglich über die Datenschutzverletzung informieren, es sei denn, es liegen Ausnahmen vor, wie z.B. technische und organisatorische Schutzmaßnahmen, die die betroffenen Daten unverständlich gemacht haben.

Die Benachrichtigung muss klar und verständlich sein und mindestens folgende Informationen enthalten: eine Beschreibung der Art der Datenschutzverletzung, die betroffenen Kategorien personenbezogener Daten, die betroffenen Personen, die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle für weitere Informationen, eine Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung und der ergriffenen oder vorgeschlagenen Maßnahmen zur Abhilfe der Datenschutzverletzung sowie Empfehlungen für die betroffenen Personen, um sich vor möglichen negativen Auswirkungen zu schützen.

Um die Einhaltung der Datenschutz-Grundverordnung (DSGVO) sicherzustellen, müssen Unternehmen eine Reihe von Maßnahmen ergreifen, darunter:

1. Datenschutzrichtlinien und -verfahren entwickeln: Unternehmen müssen interne Datenschutzrichtlinien und -verfahren erstellen, die den Anforderungen der DSGVO entsprechen und sicherstellen, dass alle Mitarbeiter über ihre Datenschutzpflichten informiert sind.

2. Datenschutzbeauftragten ernennen: Wenn erforderlich, müssen Unternehmen einen Datenschutzbeauftragten ernennen, der für die Überwachung der Einhaltung der DSGVO verantwortlich ist und als Ansprechpartner für Datenschutzfragen fungiert.

3. Datenschutz-Folgenabschätzungen durchführen: Unternehmen müssen Datenschutz-Folgenabschätzungen (DSFA) durchführen, um potenzielle Risiken für die Rechte und Freiheiten betroffener Personen im Zusammenhang mit bestimmten Datenverarbeitungsaktivitäten zu bewerten und geeignete Schutzmaßnahmen zu ergreifen.

4. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen umsetzen: Unternehmen sollten Datenschutzprinzipien bereits bei der Entwicklung von Produkten, Dienstleistungen und Systemen berücksichtigen und datenschutzfreundliche Voreinstellungen implementieren, um den Datenschutz zu fördern.

5. Sicherheitsmaßnahmen implementieren: Unternehmen müssen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten vor unbefugtem Zugriff, Verlust oder Diebstahl ergreifen, einschließlich Verschlüsselung, Zugangskontrollen und regelmäßiger Sicherheitsüberprüfungen.

6. Einwilligung einholen: Wenn die Verarbeitung personenbezogener Daten auf Einwilligung beruht, müssen Unternehmen sicherstellen, dass die Einwilligung freiwillig, informiert, spezifisch und eindeutig ist und dass die betroffenen Personen das Recht haben, ihre Einwilligung jederzeit zu widerrufen.

7. Schulung der Mitarbeiter: Unternehmen sollten ihre Mitarbeiter regelmäßig über die Anforderungen der DSGVO und die Bedeutung des Datenschutzes schulen, um sicherzustellen, dass sie die Datenschutzbestimmungen verstehen und entsprechend handeln können.

8. Datenschutzverletzungen melden: Unternehmen müssen Datenschutzverletzungen unverzüglich an die zuständige Aufsichtsbehörde melden und gegebenenfalls auch die betroffenen Personen über die Verletzung informieren.

Indem Unternehmen diese Maßnahmen umsetzen, können sie sicherstellen, dass sie die Anforderungen der DSGVO einhalten und die Privatsphäre und die Rechte betroffener Personen angemessen schützen.

Die Speicherfrist für personenbezogene Daten wird nicht direkt durch die Datenschutz-Grundverordnung (DSGVO) festgelegt, sondern hängt von verschiedenen Faktoren ab, einschließlich des Zwecks der Datenverarbeitung und der rechtlichen Anforderungen in jedem spezifischen Kontext. Grundsätzlich dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck, für den sie erhoben wurden, erforderlich ist.

Die DSGVO fordert, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für den Zweck der Verarbeitung erforderlich ist. Nach Erreichung des Verarbeitungszwecks müssen die Daten gelöscht oder anonymisiert werden, es sei denn, es liegen rechtliche Verpflichtungen oder berechtigte Interessen vor, die eine längere Speicherung rechtfertigen. Es ist wichtig, interne Aufbewahrungsrichtlinien zu entwickeln, die die Speicherfristen für verschiedene Arten von personenbezogenen Daten festlegen und sicherstellen, dass diese mit den Anforderungen der DSGVO übereinstimmen.

Betroffene können ihr Recht auf Zugriff, Berichtigung oder Löschung ihrer personenbezogenen Daten gemäß der Datenschutz-Grundverordnung (DSGVO) auf folgende Weise ausüben:

1. Recht auf Zugriff (Artikel 15 DSGVO):

   • Betroffene können den Datenverantwortlichen kontaktieren und eine Kopie ihrer personenbezogenen Daten anfordern, die verarbeitet werden.
   • Der Datenverantwortliche ist verpflichtet, die angeforderten Informationen bereitzustellen und Auskunft über die Verarbeitungszwecke, die Kategorien der personenbezogenen Daten, die Empfänger oder Kategorien von Empfängern sowie die geplante Speicherdauer zu geben.

2. Recht auf Berichtigung (Artikel 16 DSGVO):

   • Betroffene haben das Recht, unrichtige oder unvollständige personenbezogene Daten korrigieren oder vervollständigen zu lassen.
   • Der Datenverantwortliche muss die erforderlichen Änderungen vornehmen und sicherstellen, dass die korrigierten Daten an Dritte übermittelt werden, wenn dies erforderlich ist.

3. Recht auf Löschung (auch als "Recht auf Vergessenwerden" bekannt) (Artikel 17 DSGVO):

   • Betroffene können unter bestimmten Bedingungen die Löschung ihrer personenbezogenen Daten verlangen, z.B. wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr benötigt werden oder wenn die Verarbeitung unrechtmäßig erfolgt ist.
   • Der Datenverantwortliche muss die angeforderten Daten löschen, es sei denn, es gibt rechtliche Gründe, die eine weitere Speicherung rechtfertigen, wie z.B. rechtliche Verpflichtungen oder die Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit.

Betroffene können diese Rechte in der Regel schriftlich oder elektronisch beim Datenverantwortlichen geltend machen. Der Datenverantwortliche ist verpflichtet, innerhalb einer angemessenen Frist auf solche Anfragen zu reagieren und die angeforderten Maßnahmen umzusetzen.