Autor: admin

Laut § 38 BDSG muss ein Unternehmen teilweise schon ab 20 Mitarbeitern einen Datenschutzbeauftragten bestellen.

Was ist, wenn dieser Paragraph bald wegfallen würde?

Sind Datenschutzbeauftragte dann überflüssig?

Nein!

Der Art. 37 Abs. 1 lit, c DSGVO schreibt einen Datenschutzbeauftragten vor, wennn die Kerntätigkeit in der Verarbeitung von beispielsweise Gesunheitsdaten besteht.

Also betrifft das alle Ärzte.

Knapp vorbei ist auch daneben. Die Datenschutzbehörden sehen das anders. Die Kerntätigkeit von Ärzten besteht darin, dem Menschen zu helfen, nicht deren Gesundheitsdaten zu verarbeiten.

???

Ohne Anamnese, Blutwerte und radiologische Befunde kann ein Arzt doch gar nicht arbeiten.

Sind Datenschutzbeauftragte dann überflüssig?

Nein!

VVT, AVV, datenschutzkonforme Webseiten – das sind beispielsweise Dinge, auf die geachtet werden muss.

Es klingt einfach, aber tatsächlich ist der Datenschutz schon ein komplexes Thema, wofür man selbst in kleineren Unternehmen eine Fachkraft damit beauftragen sollte.

Es lebe der Datenschutzbeauftragte.

Ansonsten drohen empfindliche Bußgelder.

Das ist keine gute Idee, soweit es um die Datenschutzbestimmungen, das Impressum und die Cookie-Einstellungen geht.

Die DSGVO schreibt vor, dass die entsprechenden Texte in einer verständlichen Form und klaren und einfachen Sprache abgebildet werden müssen.

Somit ist es klar, dass ausländische Sprachen nicht Datenschutzkonform sind.

Im Art. 83 Abs. 5 DSGVO steht, dass Bußgelder bis zu 20 Millionen bzw. 4% des weltweiten Umsatz möglich sind.

Das ist ganz schön heftig.

Natürlich zeigt die Angabe „bis zu“, dass wohl in der Regel die Bußgelder niedriger sind, was auch stimmt.

Es ist dennoch besser, hier kein Risiko einzugehen. Einen Datenschutzberater muss ein Unternehmen unter Umständen bereits ab 20 Mitarbeitern benennen, obwohl die allgemeine Meinung von 200 Mitarbeitern ausgeht.

Ist Ihre Webseite datenschutzkonform?

Haben Sie alle nötigen Unterlagen erstellt?

Versäumnisse in diesen Bereichen können schon zu einem Bußgeld führen.

Die Pseudonymisierten Daten sind relativ sicher, aber nicht so sicher wie anonymisierte Daten.

Beispiel:

Ein Onlineshop-Betreiber möchte wissen, wie viel Geld seine Kunden im Shop ausgegeben haben.

Exportiert wird eine Datei, die die Kundennummern und die Summe der Käufe enthält.

Mit der reinen Datei kann niemand die Verbindung zu Ihnen herstellen.

Aber ganz so sicher ist es nicht, denn wer Zugang zu den Daten hat, welche die Kundennummer mit den Kundendaten verknüpft, kann Ihnen die entsprechende Summe zuordnen.

Die Kundennummer dient dabei als ID, welche eindeutig sein muss.

Nach Anonymisierung Ihrer Daten ist es nicht mehr möglich, diese mit Ihnen in Verbindung zu bringen.

Beispiel:

In einem Onlineshop werden Daten exportiert, wann welches Produkt zu welchem Preis verkauft wurde.

Wenn das die ausschließlich exportierten Daten sind, kann niemand mehr sagen, wer welches Produkt gekauft hat.

Ist diese Information einmal verloren, so kann sie nie wieder hergestellt werden. Zumindest nicht in der exportierten Datei.

Ihre Daten sind in dieser Hinsicht sicher.

… wird ein Datenschutzbeauftragter zur Pflicht.

Dieser Mythos hält sich hartnäckig. Was aber stimmt denn dann?

Nach § 38 BDSG muss ein Datenschutzbeauftragter benannt werden, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind.

Das gilt auch für die Mitarbeiter mit einer Firmen-E-Mail-Adresse, denn mit E-Mails werden personenbezogene Daten verarbeitet.

Zu den 20 Personen zählen auch Teilzeitkräfte, Praktikanten und Auszubildende.

Wenn die Kerntätigkeit in der Verarbeitung von besonderen personenbezogenen Daten besteht, muss auch ein Datenschutzbeauftragter benannt werden.

Laut Art. 5 Abs. 1 lit. c DSGVO müssen die personenbezogenen Daten dem Zweck der Verwendung angemessen sein.

Bei einem Gewinnspiel muss man oft die Post-Adresse, die Telefonnummer und die E-Mail-Adresse angeben. Um die Gewinnmitteilung zuzustellen, reicht jedoch einer der Wege aus. Somit gibt es hier keine Datenminimierung.

Für den Kauf in einem Onlineshop ist es auch irrelevant, welches Geschlecht der/die Kunde/Kundin hat. Zudem muss es auch noch das „Geschlecht“ divers geben.

Auch der Geburtstag ist unnötig.

Aber was ist eine Zweckbindung?

Falls Sie unterschreiben, dass Ihr Foto auf der Firmenwebseite angezeigt werden darf, ist der Druck im Firmenprospekt nicht erlaubt.

Im Onlineshop dienen Ihre Daten in der Regel dem Kauf und Versand von Waren, nicht dem Versand von Shopfremder Werbung.

Werden also Ihre Daten oder Bilder für einen Zweck verwendet, so sind diese an diesen Zweck gebunden, sofern er dafür legal ist.

In vielen Cookie-Bannern wird dar Button „Ablehnen“ unscheinbarer dargestellt als der Button „Alles annehmen“.

Die Aufmerksamkeit des Betrachters wird so auf den zweiten Button gelenkt.

Man soll dadurch automatisch allen Cookies zustimmen und nicht weitere Buttons suchen.

Das ist leider nicht zulässig, denn laut Art. 7 DSGVO muss die Verweigerung genauso einfach erteilt werden können, wie die Einwilligung selbst.

Nach dem Urteil des VG Hannover (Az.: 10 A 5385/22) muss „Alles Ablehnen“ genauso gut sichtbar und gleichwertig neben dem „Alles akzeptieren“ stehen.

Im Art. 39 Abs. 1 lit. a DSGVO steht, dass der Datenschutzbeauftragte auch die Aufgabe hat, die Mitarbeiter, welche personenbezogene Daten verarbeiten, zu schulen.

Bei Schulungen von mehr als 50 Personen ist es besser, die Personen in mehrere Gruppen aufzuteilen, damit es übersichtlich bleibt.

Es ist damit zu rechnen, dass die Schulung etwa eine Stunde dauern wird – abhängig von den aufkommenden Fragen.