EU-Datenschutz-Grundverordnung tritt am 25. Mai 2018 in Kraft

[Discovery_1]

Die EU-Datenschutz-Grundverordnung (EU-DSGVO) soll die Rechte personenbezogner Daten von persönlichen Personen zukünftig in der EU mit einheitlichen Vorschriften sichern.

Die betrifft ausschließlich personenbezogene Daten von natürlichen Personen, da diese im Unterschied zu juristischen Personen ein Grundrecht auf Schutz ihrer persönlichen Daten geniessen. Die ganze Verodrnung gibt es hier zu lesen (ist noch nicht die finale Version, da noch Änderungen hinzukommen).

Der Grund warum ich diesen Thread aufmache, ist weil ich durch die Verordnung nicht ganz durchsteige. Auch eine Kurzerklärung heute bei "Phoenix" hat mich nicht wirklich schlauer gemacht. Was heiß das jetzt eigentlich? Was soll diese neue Verordnung? Alles was ich daraus ersehen kann, ist das der Schutz meiner persönlichen Daten innerhalb der EU aufgehoben wird, oder sehe ich das falsch? Ich habe bei Wikipedia auch noch mal geschaut und dieses gefunden: "

Ungehemmter Austausch personenbezogener Daten in der EU

Der Austausch personenbezogener Daten in der EU darf nicht (mehr) mit dem Argument abgelehnt werden, dass der Datenschutz innerhalb der EU verschieden gehandhabt wird. Artikel 1, Absatz (3) formuliert:

„Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.“

Rest bei Wikipedia

Ich verstehe die Änderungen immo nicht ganz und hoffe, ihr könnt mir weiterhelfen.

 

[Markus83Muc]

Inkrafttreten ist die DSGVO bereits am 24. Mai 2016, anzuwenden ist diese ab 25. Mai 2018.

 

[Acrylium]

Bei den Änderungen blickt zur Zeit kaum noch einer durch. Die meisten Unternehmen verfallen daher zur Zeit ziemlich in Panik, da zumindest eines klar ist: Die Strafen bei Verstößen gegen die neue DSGVO sind nun drakonisch und können sehr schnell zum Ende eines Unternehmens führen.

 

[Mustis]

Blödsinn. Weder gibt es jetzt derart viele noch gravierende änderungen noch sind steafen so drakonisch das sie das ende von unternehmen bedeuten. Sticheort relation und höchststrafe. 🙄

 

[Idon]

Die Höchststrafen sind empfindlich. 4% des Vorjahresumsatzes können weh tun. Natürlich werden solche Höchststrafen kaum regelmäßig verhängt, der Weg geht aber ganz klar in Richtung anglo-amerikanische Zahlungsmotivation.

Die Änderungen sind teilweise ebenfalls gravierend, vor allem aber ist die Rechtsunsicherheit extrem.

 

[badfallenangel]

Blödsinn. Weder gibt es jetzt derart viele noch gravierende änderungen noch sind steafen so drakonisch das sie das ende von unternehmen bedeuten. Sticheort relation und höchststrafe. 🙄

Doch, die sind drakonisch und die Änderungen gravierend für alle Unternehmer unter 250MA, denn da gilt jetzt compliance von 0 auf 100, wofür die schon verpflichteten unternehmen, die eh viel Geld haben und da schon reingesteckt haben, nur noch ein update brauchen.

Daher ist der Panic-Mode vieler Kleinstunternehmen verständlich und berechtigt. Stell dir mal vor, einer nimmt dir 12% deines Jahresgehalts weg (3 Verstöße a 4 % Jahresumsatz). Das geht schneller als man denkt. mEn ist die dsgvo nur ne Geldeinnahmequelle, die von der EU für die maroden Staaten erschlossen wurde. Ich kenne viele, die mittlerweile nicht nur blog o.ä. einstellen, sondern deren (Kleinst-)Unternehmen schließen!

 

[Mustis]

Das sind Höchststrafen... nicht die Standardstrafe.

Die DSGVOI ist sinnvoll. Datensparsamkeit hätte schon immer herrschen sollen. Die Unternehmen sind selbst schuld, dass sie das Thema nur vernachlässigt haben und nun Compliance von 0 auf 100 kommen. Ich habe da keinerlei Mitleid.

 

[Idon]

Als vernünftiger Unternehmensjurist kann ich aber doch nicht mit gutem Gewissen der Geschäftsführung empfehlen, sich darauf zu verlassen, dass nur Kleinbeträge angesetzt werden. Das wäre unseriös. Bei derart unklarer Rechtslage muss ich, schon um mich selbst abzusichern, die Maximalstrafe einplanen.

Es geht hierbei auch nicht nur um Datensparsamkeit. Es geht beispielsweise darum, dass Krankmeldungen nicht mehr in den Sekretariaten der einzelnen Abteilungen oder an der Pforte abgegeben werden dürfen. Es geht darum, dass nur noch der zwingend für dich zuständige Personaler deine Daten bearbeiten darf, die ansonsten in abschließbaren Schränken liegen müssen - man braucht jetzt also auch neue Büroausstattung (und Platz). Bei digitalen Daten ist das um Längen komplexer.

Ich kenne befreundete Unternehmen, die haben von Fingerabdrucksystemen (Ein-/Ausloggen, PC, Türen etc.) wieder zurückgebaut, weil die Rechtssicherheit nicht gegeben sein wird.

Und auf der anderen Seite sind Länderbehörden, die sich total uneinig sind. Niedersachsen hat absurde, perverse Anforderungen (z. B. bei der Beschilderung von Kameras mit Erfassung öffentlicher Bereiche). Allesamt sind die Behörden sehr schlecht aufgestellt, dafür aber hochmotiviert.

Zuletzt gibt's natürlich die wohl stattfindende Abmahnwelle gegenüber öffentlich einsehbarer Bereiche, also Internetseiten, Kameraschilder etc.

Eine neue DSGVO ist sinnvoll. Die derzeitige Umsetzung mit all den Rechtsunsicherheiten ist lächerlich und geschäftsgefährdend.

 

[ayngush]

War das denn vorher anders geregelt? Mussten laut den Anforderungen des BDSG, der GewO, des Aktiengesetz, usw. Personaldaten bisher nicht verschlossen aufbewahrt werden und durften die von Jedermann im Unternhemen bearbeitet werden?

Um ehrlich zu sein dürften sich für ein Unternehmen in Deutschland genau eine Maßnahme ergeben, um die DSGVO umzusetzen: Ein Verarbeitungsverzeichnis erstellen.
Das momentan so viel Wind in der Sache ist, zeigt genau eines: Bisher haben sich die Unternehmen nicht für eine ordnungsgemäße (IT-)Organisation bemüht. Warum sollte sich daran mit der DSGVO jetzt etwas ändern?

Wenn die erste Welle mit Abmahnungen usw. durch ist, geht das hier wieder weiter wie bisher auch: 20- 25% der Firmen halten sich an die Regeln, der Rest nicht.

 

[Idon]

Bisher mussten die Daten einfach nur geschützt werden. Die Anforderungen daran waren niedriger.

Es geht dabei gerade nicht nur um IT, sondern um das Gesamtbild. Ich weiß natürlich, dass das hier bei CB viele aus der IT-Brille sehen. Da ändert sich aber tatsächlich nicht so viel, wenn man mal den Internetauftritt ignoriert.

 

[Piktogramm]

Bisher mussten die Daten einfach nur geschützt werden. Die Anforderungen daran waren niedriger.

Kann ich nicht nachvollziehen. "Einfach nur geschützt" stimmt meines Wissens nicht. Die Maßgabe der Datenverarbeitung bei Angestellten war auch vorher immer zweckgebunden und im Sinne des Arbeitnehmerschutzes auszulegen. Was eben auch bedeutet, dass der Zugriff auf diese Daten nur berechtigten Personen zugänglich sein dürfte. Im besten Fall also ein kleiner Kreis Personalverantwortlicher Stellen und auch da hätte Personaler mit Zuständigkeit Abteilung A nicht in die Datensätze der Abteilung B schauen dürfen.

Wer wegen der neuen Verordnung in Deutschland rumheult, beweißt echt nur, dass die Rechtslage bis dahin ignoriert wurde.


Ich bekomme den Spaß gerade in einem öffentlichem Organ mit. Die notwendigen Änderungen sind vergleichsweise klein.

Ergänzung (20. Mai 2018)

Als vernünftiger Unternehmensjurist kann ich aber doch nicht mit gutem Gewissen der Geschäftsführung empfehlen, sich darauf zu verlassen, dass nur Kleinbeträge angesetzt werden. Das wäre unseriös. Bei derart unklarer Rechtslage muss ich, schon um mich selbst abzusichern, die Maximalstrafe einplanen.

Bullshit!
Die Maximalstrafen muss man einplanen, wenn Vorsatz anzunehmen ist. Als Jurist wird man mit Klienten da vorher ein sehr ernstes Wörtchen reden und gegebenenfalls die Beziehung zum Klienten auflösen. Bei Rechtsverletzungen die aus Unwissenheit / Nachlässigkeit geschehen die bei Bekanntwerden jedoch glaubhaft abgestellt werden sind die zu erwartenden Strafen verhältnismäßig klein.

Auch ist die Rechtslage nicht unklar bzw. nicht unklarer als bei der Steuergesetzgebung, dem Handelsgesetzbuch etc. Unklar / Unseriös ist die Panikmache drumherum.

 

[Idon]

Als Unternehmensjurist, also in-house Jurist/Justiziar, habe ich eine ganz andere Verpflichtung als externe Juristen.

Nichtwissen ist kein Grund, Nachlässigkeit auch nicht. Strafverringernd wirkt lediglich der nachweisbare (!) und glaubhafte (!) Einsatz von Ressourcen, also Zeit und Geld.

Natürlich ist die Rechtslage unklar. Teile des neuen BDSG werden selbst von Behörden als wahrscheinlich EU-rechtswidrig eingesetzt, andere sind unklar formuliert. Muss man (öffentliche) Kameras nun mit der Speicherdauer beschildern? Reicht ein Verweis auf den Auslegeort? Reicht es, einen Auslegeort auf Nachfrage zu haben? Und gibt es Ausnahmen für sensible Bereiche, z. B. Juweliere?


Sorry, du wirkst auf mich nicht so, als ob du in dem Thema drin bist. Egal ob nun als Jurist oder einfach nur anderweitig geschult (Datenschutzbeauftragter etc.). Was du schreibst ist, sofern das jemand so befolgen würde, wirklich brandgefährlich.

 

[Piktogramm]

Ich bin in einem öffentlichem Organ tätig und da eben auch in Bereichen die mit persönlichen Daten von Angestellten berührt werden. Entsprechend gab es da Informationen von den Juristen und Datenschutzbeauftragten und die Änderungen waren allgemein klein und für die bereits etablierte Praxis auch recht klein.
Zugegeben, das liegt auch daran, dass die bisher gültige Rechtslage von Mitarbeitern und Dritten ausreichend häufig durchgesetzt wurde.

Muss man (öffentliche) Kameras nun mit der Speicherdauer beschildern? Reicht ein Verweis auf den Auslegeort? Reicht es, einen Auslegeort auf Nachfrage zu haben? Und gibt es Ausnahmen für sensible Bereiche, z. B. Juweliere?

§14 Abs. 5 DSGVO gibt Mitgliedsstaaten der EU die Möglichkeit durch "geeignete Regelungen" eigene Informationspflichten zu fassen. Was in Deutschland entsprechend §4 BDSG Abs. 2 (gültig ab 25.Mai 2018) der Fall ist:

Der Umstand der Beobachtung und der Name und die Kontaktdaten des Verantwortlichen sind durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen.

Wobei bereits Rechtslage ist nach §6 Abs. 2 BDSG vergleiche:

Quelle: http://www.gesetze-im-internet.de/bdsg_1990/__6b.html
Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen.

Da ändert sich für mich als ambitionierten Laien also nichts. §14 Abs. 5 DSGVO sorgt ja dafür, dass §14 Abs. 1 bis 4 nicht greifen, jedoch §6 Abs. 2 BDSG seine Wirkung behält, auch wenn daraus §4 Abs. 2 BDSG wird.


Insgesamt bleibe ich dabei, die ganze EU-Verordnung ändert an der rechtlichen Lage in Deutschland sehr wenig. Das gravierendste ist, dass das Strafmaß anzieht.


Edit und PS
Wie kommst du auf Juweliere und "sensible Bereiche" bei der Informationspflicht. "sensible Bereiche" finden sich bei der Informationspflicht nicht als Formulierung. Bei der Überwachung mit audio- / visuellen Systemen findet sich ansonsten "nur" eine Interessenabwegung zwischen Schutzinteressen der natürlichen Personen und dem Zweck der Überwachung. Was im Verkaufsbereich von Juwelieren zum Zwecke der Prävention und Aufklärung von Diebstahl und Raub kein größeres Problem darstellen sollte. Zumindest solang die Überwachung sich auf einen sinnvollen Bereich beschränkt (also nicht das Mitarbeiter / Kundenklo)

 

[Idon]

Naja, ich kenne (jur.) Kollegen aus dem Öffentlichen Dienst. Vielleicht liegt es also auch schlicht an diesen, dass die Änderungen vermeintlich klein sind.

Niedersachsen ist beispielsweise der Ansicht, dass bereits auf den Schildern bei der Kamera neben den Kontaktdaten des Datenschutzbeauftragten die Speicherdauer angegeben werden muss. Ich sitze nicht in Niedersachsen und halte das für total lächerlich - ändert aber erstmal nichts an der derzeitigen juristischen Behördenansicht dort.

Genau das ("umstandt der Beobachtung"; "verantwortliche Stelle"; "geeignete Maßnahmen") bietet zu viel Spielraum für berechtigte Interpretationen.


Juweliere sind das typische Beispiel, nicht nur bei Schulungen zum Thema Datenschutz. Du hast als Juwelier ein Ladengeschäft. Folgt man der Rechtsansicht, die u. a. in Niedersachsen verfolgt wird, müsstest du nun öffentlich ausschreiben, und zwar für jedermann sichtbar, dass du nach z. B. 90 Tagen deine Kameraufnahmen überschreibst. Wer den Laden also überfallen will, der wird das erst >91 Tage tun, nachdem er den Laden ausgekundschaftet hat. Nun ist aber das Auffinden der Kundschafter eine Primärtaktik der Ermittlungsbehörden in derlei Fällen.
Spaßeshalber: Ersetze Juwelier durch kerntechnische Anlage.


Bei uns halten sich die Änderungen ebenfalls im Rahmen. Wir bieten kein Bewerberportal an, wir haben kein Verbrauchergeschäft etc. Je mehr man davon macht, desto schwieriger ist die Umsetzung. Eine rechtlich korrekte Umsetzung ist derzeit schlicht nicht möglich, da unklar ist, wie die Rechtsprechung letztlich ausfällt.

 

[Piktogramm]

Den Interpretationsspielraum den es gibt, gab es aber bereits vorher. An der rechtlichen Unsicherheit ändert sich da auch nichts bis nur wenig. Wenn da jetzt angefangen wird panisch zu werden ist das ein Zeichen dafür, dass die Gesetzeslage ignoriert wurde. Denn die relevanten Teile (insbesondere Absatz 2) von $6 BDSG (derzeitig gültig) sind so mindestens seit 2010 gültig*.

Als Rechtslaie finde ich auch die Begrifflichkeiten nicht all zu unklar, die Absicht des Gesetzgebers wird meiner Meinung klar. Man soll kenntlich machen welche Daten zu welchem Zweck erhoben werden**. Beim Juwelier also Videoüberwachung zur Prävention und Aufklärung etwaiger Diebstähle / Raub. Verantwortliche sind beim Datenschutz immer mindestens die Datenschutzbeauftragten.
Wo man sich dann tatsächlich streiten kann ist, ob die Speicherung von 90 Tagen angemessen ist. Da sollte man aber den Einzelfall klären und da kann es wirklich komplizierter werden. Wobei das wenig mit der EU-Verordnung zu tun hat. Was Speicherfristen angeht hat in Verbindung mit der Vorratsdatenspeicherung das Bundesverfassungsgericht dem Gesetzgeber ja auch schon in die Suppe gespuckt...

Was Kernkraftanlagen angeht -> die sind nicht öffentlich zugänglich und damit nicht mit einem Juwelier vergleichbar (selbst dann nicht, wenn ein Juwelier einen Wachdienst beschäftigt der die Türen gezielt öffnet).


* Da gab es zumindestens ne größere Änderung, keine Ahnung wie groß. Irgendwo hört die Liebe zum Paragraphenlesen auf

** Ok Auslegungssache, ob man "Umstand der Beobachtung" so interpretiert, dass die Speicherdauer einbegriffen ist.

 

[M80331]

Könnte der Kundschafter dann nicht 1 Tag nach dem auskundschaften nach §17 sagen er möchte gerne seine Daten gelöscht haben (weiß ja keiner vom kundschaften und ist noch nix passiert).

Edit: okay hab weiter gelesen, der Juwelier wäre wohl nach §6 Abs. 1 (f) der Dritte mit berechtigtem Interesse zu filmen, ach alles blöd.

Man kann ja nicht mal was gegen die Schufa dass die nicht erheben dürfen und löschen müssen auf Anfrage. Wenn das so richtig ist:
https://forum.golem.de/kommentare/s...vo-ab-5-2018/115816,5025361,5025361,read.html

 

[ayngush]

Du kannst eine Löschung nur verlangen und durchsetzen, wenn es keine andere Rechtsgrundlage gibt, die die Erhebung und Verarbeitung ermöglicht oder gar als Rechtspflicht regelt. War schon immer so, bleibt auch quasi unberührt.

Also in der Regel immer dann, wenn mit einer Einwilligung gearbeitet wird.

 

[Thorle]

Ich möchte da mal die Diskussion in eine andere Richtung lenken. Mir selbst geht es weniger darum was es alles schon an Datenschutz gab und wie gut das in den Firmen etc. in der Vergangenheit umgesetzt worden ist sondern darum, dass es nun eine extreme Verschärfung gepaart mit Verunsicherungen gibt.

Für mittlere bis Großbetriebe ist das alles kein Problem mit Ihren Rechtsabteilungen oder x-Leuten die sich mit solchen Themen beschäftigen. Im schlimmsten Fall wird da vor Gericht "gefeilscht" Aber kleine oder Kleinstbetriebe müssen da Jemanden mit beauftragen. Bindet Kapazitäten oder Geld. Beides meist nicht in dem Überfluss vorhanden.

Dann kommt für mich als ärgerlichster Faktor hinzu, dass Themenbereiche nicht 100% Klar geregelt sind, weil es einfach noch an höchstrichterlichen Urteilen oder Auslegungen fehlt. Da stehst du, wie Idon schrieb, da mit der Pistole auf der Brust, denn du weist nicht ob du es richtig gemacht hast oder im schlimmsten Fall wie hoch die Strafe ist. Mindestlohngesetz ging da in die selbe Richtung; guter Gedanke, schlechte Umsetzung und erst später klärten sich viele Fragezeichen. Das hätte auch ganz schön ins Auge gehen müssen.

Wer sich nur an der Theorie hochzieht macht es sich hier zu einfach, die Praxis ist da Problem.
Stichwort WhatsApp: Nicht mehr möglich aber die Kunden wollen es so. Wie sichere ich es zu 100% ab, das es rechtmäßig ist? Soll ich dem ein Schreiben vorher senden um Zustimmung zu erhalten. Meldet er sich zuerst bei mir ist das dann vor Gericht zu meinen Gunsten auszulegen.

Für mich ist das jetzt erstmal so, dass man alles nochmal auf den Prüfstand gestellt hat und entsprechend angepasst und einige Dinge (praxisfern) abgestellt hat. Also so weit wie möglich DSGVO sicher gemacht hat. Aber ein großes Fragezeichen bleibt dennoch bestehen.

 

[Mustis]

Welche extreme Verschärfung den Bitte? Die DSGVO gilt seit 2 Jahren! Zum 25.05 wird sie rechtsverbindlich. Man hätte sich also schon lange damit beschäftigen können und Lösungen finden. Wer es nicht getan hat: PECH! Die Vorlaufzeiten waren ausreichend lang. Solche Dinge, dass man WhatsApp und Newsletter und Co erst nach nachweisbarer Zustimmung zusenden bzw. verwenden durfte, gilt ebenfalls seit Jahren. Das es bisher einfach so gemacht wurde, war schon lange nicht gesetzeskonform. Es hat halt nur keinen interessiert.

Das bei neuen Gesetzen nicht immer alles gleich 100% klar ist, ist auch keine Neuigkeit. Ist nahezu immer so. Macht aber nix, weil keiner wird Kleinbetriebe auf Höchststrafen verklagen auf Basis einer unklaren Rechtslage. Wer auf seiner Webseite die Datenschutzerklärung konform hinterlegt (dazu gibt es Baukästen und jede Menge Hilfe wer es selbst machen will/muss) und Datenschutz bei seinen System nicht auf 0 hat (was bisher schon nicht gesetzeskonform war) und das Prinzip Datensparsamkeit lebt, wird nichts zu befürchten haben. Und mal ehrlich, welches Kleinunternehmen hantiert den mit solchen Datenmengen, dass es diese nicht verwalten kann bzw. hat derartig viele Subunternehmen bzw. Mitarbeiter, dass da keine DSGVO konforme Verarbeitungsregelung gefunden werden kann? Datenlöschung nach enden der gesetzlichen Aufbewahrungsfristen ist auch keine Neuerung der DSGVO.

Wenn es dir um die Anfragen und Löschung geht, sorry, aber wie die von dir verarbeiteten personenbezogenen Daten gespeichert und verarbeitet werden, sollte doch grade ein Kleinunternehmen nachvollziehen können. Man muss doch nur nachweisen, dass Daten automatisiert gelöscht werden, die keine Fristen mehr haben und wo die Daten gespeichert werden und wer darauf Zugriff hat und warum. Also das, was man ohnehin über seinen Arbeitsprozess wissen sollte.

Wenn du dir vollkommen unsicher bist, konsultiere eine Rechtsberatung. Die haftet dann auch dafür wenn du dich absichern willst.

Ich finde die DSGVO kein Hexenwerk und muss mich auch damit auseinandersetzen und die für berufsbedingt umsetzen und durchsetzen. Die Hauptarbeit ist an sich das lesen und verstehen der DSGVO, dann einmalig die benötigten Daten zusammentragen und diese im Verarbeitungsverzeichnis erfassen und diese ggf. pflegen (wobei die System sich ja nicht laufend ändern in Kleinbetrieben). Der Rest, sprich, wie Daten zu speichern und zu löschen sind und wann man eine Einwilligung benötigt und wann die Datenverarbeitung aus sich heraus gestattet ist, das ist nicht mit der DSGVO neu erfunden worden.

Wenn ich mir das ganze Trara darum aber ansehe, halte ich die DSGVO aber für umso richtiger und sinnvoller, denn ganz offensichtlich wurde beim Umgang mit personenbezogenen Daten massiv geschludert und gespart was die ganzen Datenskandale der letzten Zeit unterstreichen und ich will nicht wissen, welche Datenberge unnötigerweise bei Kleinst-, Klein-, und mittelständischen Unternehmen gespeichert liegen und das unbekannterweise und wohl auch oft kaum vor Zugriff geschützt.

 

[Idon]

Solange Teile der Behörden Teile des BDSG für europarechtswidrig halten und so lange die E-Privacy-VO losgelöst ist, so lange kann man wohl kaum davon sprechen, dass sich alle Änderungen einfach umsetzen lassen oder man das schon früher hätte tun können.