Leitlinien für die Verantwortlichen

Leitlinien für die Verantwortlichen – wie ist die DSGVO anzuwenden – praktische Hinweise

Bestimmen Sie die richtige Grundlage für die Erhebung und Verwendung personenbezogener Daten

Denken Sie daran, dass die Einwilligung nicht die einzige Grundlage ist, die zur Verarbeitung personenbezogener Daten berechtigt. Holen Sie die Einwilligung nicht ein, wenn Sie auf Grundlage von Rechtsvorschriften berechtigt sind, personenbezogene Daten zu erheben und zu verwenden, oder wenn die Daten für den Abschluss eines Vertrags erforderlich sind. Solche Vorgehensweise ist für Ihre Kunden irreführend, da sie in solchen Fällen ihre Einwilligung nicht widerrufen können.

Erfüllen Sie der Informationspflichten nach den neuen Vorschriften

Denken Sie daran, dass die DSGVO wesentliche Änderungen in Bezug auf die Erfüllung der so genannten Informationspflicht eingeführt hat. Sie müssen nun den Personen, deren Daten Sie verarbeiten, mehr Informationen geben. Wenn Sie einen Datenschutzbeauftragten (DSB) benannt haben, müssen Sie dessen Kontaktdaten angeben. Ihre Pflicht ist auch angeben, wie lange Sie die Daten aufbewahren wollen. Sie müssen auch mehr Informationen über die Rechte der Betroffenen bereitstellen – unter anderem über die Möglichkeit, die Zustimmung zu widerrufen, und das Recht, eine Beschwerde beim Präsidenten der Datenschutzbehörde einzureichen. Und vergessen Sie nicht, dass Sie, wenn Sie die Daten einer Person von Dritten oder aus öffentlichen Quellen sammeln oder sie kaufen, zum Verantwortlichen werden und ebenfalls die Informationspflicht einhalten müssen. Selbst wenn es sich nur um eine Telefonnummer oder eine E-Mail-Adresse handelt.

Kommunizieren Sie auf klare Art und Weise

Denken Sie daran, dass der durch die DSGVO eingeführte Grundsatz der Transparenz in allen Phasen der Kommunikation mit der betroffenen Person, deren Daten verarbeitet werden, anzuwenden ist. Sie schreibt vor, dass alle Informationen und Mitteilungen im Zusammenhang mit der Verarbeitung personenbezogener Daten kurz, transparent und leicht verständlich in einer klaren und einfachen Sprache sein müssen. Es geht darum, dass es sich nicht um Anmerkungen handelt, die von Anwälten für Anwälte geschrieben werden, wie es bisher oft der Fall war. Sie müssen außerdem leicht zugänglich sein. Organisieren Sie daher Ihre Kommunikation mit den betroffenen Personen und stellen Sie sicher, dass Ihre Mitteilungen und Informationen richtig formuliert sind. Verwenden Sie, wenn nötig, eine mehrschichtige Kommunikation – geben Sie zuerst grundlegende Informationen und lassen Sie die Leute wissen, wo sie den Rest lesen können.

Stellen Sie sicher, dass die Rechte von Betroffenen jederzeit geachtet werden

Denken Sie daran, die Rechte der betroffenen Personen wahrzunehmen, deren Daten Sie verarbeiten. Vergewissern Sie sich, dass dies auch dann der Fall ist, wenn Sie einen Dritten in Ihrem Namen handeln lassen, mit dem Sie eine Vereinbarung über die Verarbeitung der personenbezogenen Daten Ihrer Kunden schließen.  Wenn er z. B. Marketingaktivitäten für Sie durchführt, stellen Sie sicher, dass er Sie über Widersprüche oder Anträge auf Berichtigung informiert. Es ist ratsam, entsprechende Bestimmungen in den Vertrag aufzunehmen, den Sie mit ihm abschließen. Ihre Kunden werden es sicher zu schätzen wissen.

Denken Sie daran, dass die Zustimmung jederzeit widerrufen werden kann

In der DSGVO wird ausdrücklich darauf hingewiesen, dass die Person, deren Daten Sie auf der Grundlage der Einwilligung verarbeiten, diese jederzeit widerrufen kann und dass dies keine negativen Folgen für sie haben darf (z. B. eine Erhöhung der Servicegebühr).    Sie müssen sie über dieses Recht informieren. Stellen Sie sicher, dass die Widerrufung der Zustimmung genauso einfach ist wie die Erteilung.

Melden Sie die Datenschutzverstöße an den Präsidenten der Datenschutzbehörde und, falls erforderlich, unterrichten Sie darüber auch die Personen, deren Daten verletzt worden sind

Im Falle einer Verletzung des Schutzes personenbezogener Daten (z. B. deren Weitergabe an Unbefugte, Verlust oder versehentliche Offenlegung) müssen Sie als Verantwortlicher dies dem Präsidenten der Datenschutzbehörde unverzüglich melden – nach Möglichkeit spätestens innerhalb von 72 Stunden nach Feststellung der Verletzung. Eine Ausnahme besteht dann, wenn das Ereignis wahrscheinlich nicht zu einer Beeinträchtigung der Rechte oder Freiheiten von Einzelpersonen führen wird.  Wenn das Risiko einer Verletzung dieser Rechte und Freiheiten hoch ist, müssen Sie auch die Personen benachrichtigen, deren Daten verletzt worden sind. Geben Sie ihnen Hinweise zum weiteren Vorgehen, damit sie Maßnahmen ergreifen können, um die negativen Folgen der Sicherheitsverletzung, wie z. B. das Risiko eines Identitätsdiebstahls, zu verhindern oder abzumildern.

Erstellen Sie keine unnötige Dokumentation

Der Grundsatz der Rechenschaftspflicht verpflichtet Sie, interne Verfahren einzurichten, um sicherzustellen, dass Sie die DSGVO einhalten und in der Lage sind, nachzuweisen, dass Sie personenbezogene Daten korrekt verarbeiten. Denken Sie daran, dass Sie zum Nachweis verschiedener Handlungen, wie z. B. der Einholung der Zustimmung, nicht immer Papierunterlagen sammeln und Unterschriften der Personen einholen müssen, die Ihnen die Zustimmung erteilt haben.  Sie kann auch in einem IT-System aufgezeichnet oder gespeichert werden. Auch die von Ihnen eingeführten und umgesetzten Verfahren, die durch Aussagen der Mitarbeiter bestätigt werden, können als Nachweis ausreichen.

Sie haben das Recht auf Profiling, aber beachten Sie die Einschränkungen

Die DSGVO untersagt kein Profiling. Denken Sie jedoch daran, dass Sie in diesem Fall die betroffene Person informieren und auf die Folgen hinweisen müssen. Wenn Sie jedoch automatisierte Entscheidungen (ohne menschliches Zutun) auf der Grundlage von Profiling treffen, die rechtliche Wirkungen entfalten oder eine Person wesentlich beeinträchtigen, müssen Sie die Einwilligung der Person einholen, es sei denn, die Maßnahme ist durch die Notwendigkeit des Abschlusses oder der Erfüllung eines Vertrags oder durch die Tatsache, dass sie nach dem Recht der EU oder eines Mitgliedstaats zulässig ist, legalisiert.

Hüten Sie sich vor Betrügern

Sie mit hohen Bußgeldern zu erschrecken oder Sie zur Zahlung einer Gebühr aufzufordern, sind beliebte Methoden von Betrügern, die mit DSGVO auf einfache Art und Weise Geld verdienen wollen! Seien Sie wachsam und fallen Sie nicht darauf herein! Lesen Sie eingehende Korrespondenz sorgfältiger. Prüfen Sie, von wem sie abgeschickt wurde und was sie betrifft. Wenn sie von der Datenschutzbehörde stammen soll, überprüfen Sie, ob sie die erforderlichen Angaben enthält, z. B. den korrekten Namen der Behörde, korrekte Anschriften, authentische Unterschriften und das offizielle Siegel im Original. Bitten Sie den Prüfer um die Vorlage seiner Kontrollbefugnis und seines amtlichen Ausweises. Wenn Sie die Unterstützung von Unternehmen in Anspruch nehmen wollen, die auf dem Markt tätig sind, sollten Sie deren Glaubwürdigkeit und Erfahrung prüfen und Datenschutzschulungen und -kurse mit Bedacht auswählen.