Autor: admin

Die Pseudonymisierten Daten sind relativ sicher, aber nicht so sicher wie anonymisierte Daten.

Beispiel:

Ein Onlineshop-Betreiber möchte wissen, wie viel Geld seine Kunden im Shop ausgegeben haben.

Exportiert wird eine Datei, die die Kundennummern und die Summe der Käufe enthält.

Mit der reinen Datei kann niemand die Verbindung zu Ihnen herstellen.

Aber ganz so sicher ist es nicht, denn wer Zugang zu den Daten hat, welche die Kundennummer mit den Kundendaten verknüpft, kann Ihnen die entsprechende Summe zuordnen.

Die Kundennummer dient dabei als ID, welche eindeutig sein muss.

Nach Anonymisierung Ihrer Daten ist es nicht mehr möglich, diese mit Ihnen in Verbindung zu bringen.

Beispiel:

In einem Onlineshop werden Daten exportiert, wann welches Produkt zu welchem Preis verkauft wurde.

Wenn das die ausschließlich exportierten Daten sind, kann niemand mehr sagen, wer welches Produkt gekauft hat.

Ist diese Information einmal verloren, so kann sie nie wieder hergestellt werden. Zumindest nicht in der exportierten Datei.

Ihre Daten sind in dieser Hinsicht sicher.

… wird ein Datenschutzbeauftragter zur Pflicht.

Dieser Mythos hält sich hartnäckig. Was aber stimmt denn dann?

Nach § 38 BDSG muss ein Datenschutzbeauftragter benannt werden, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind.

Das gilt auch für die Mitarbeiter mit einer Firmen-E-Mail-Adresse, denn mit E-Mails werden personenbezogene Daten verarbeitet.

Zu den 20 Personen zählen auch Teilzeitkräfte, Praktikanten und Auszubildende.

Wenn die Kerntätigkeit in der Verarbeitung von besonderen personenbezogenen Daten besteht, muss auch ein Datenschutzbeauftragter benannt werden.

Laut Art. 5 Abs. 1 lit. c DSGVO müssen die personenbezogenen Daten dem Zweck der Verwendung angemessen sein.

Bei einem Gewinnspiel muss man oft die Post-Adresse, die Telefonnummer und die E-Mail-Adresse angeben. Um die Gewinnmitteilung zuzustellen, reicht jedoch einer der Wege aus. Somit gibt es hier keine Datenminimierung.

Für den Kauf in einem Onlineshop ist es auch irrelevant, welches Geschlecht der/die Kunde/Kundin hat. Zudem muss es auch noch das „Geschlecht“ divers geben.

Auch der Geburtstag ist unnötig.

Aber was ist eine Zweckbindung?

Falls Sie unterschreiben, dass Ihr Foto auf der Firmenwebseite angezeigt werden darf, ist der Druck im Firmenprospekt nicht erlaubt.

Im Onlineshop dienen Ihre Daten in der Regel dem Kauf und Versand von Waren, nicht dem Versand von Shopfremder Werbung.

Werden also Ihre Daten oder Bilder für einen Zweck verwendet, so sind diese an diesen Zweck gebunden, sofern er dafür legal ist.

In vielen Cookie-Bannern wird dar Button „Ablehnen“ unscheinbarer dargestellt als der Button „Alles annehmen“.

Die Aufmerksamkeit des Betrachters wird so auf den zweiten Button gelenkt.

Man soll dadurch automatisch allen Cookies zustimmen und nicht weitere Buttons suchen.

Das ist leider nicht zulässig, denn laut Art. 7 DSGVO muss die Verweigerung genauso einfach erteilt werden können, wie die Einwilligung selbst.

Nach dem Urteil des VG Hannover (Az.: 10 A 5385/22) muss „Alles Ablehnen“ genauso gut sichtbar und gleichwertig neben dem „Alles akzeptieren“ stehen.

Im Art. 39 Abs. 1 lit. a DSGVO steht, dass der Datenschutzbeauftragte auch die Aufgabe hat, die Mitarbeiter, welche personenbezogene Daten verarbeiten, zu schulen.

Bei Schulungen von mehr als 50 Personen ist es besser, die Personen in mehrere Gruppen aufzuteilen, damit es übersichtlich bleibt.

Es ist damit zu rechnen, dass die Schulung etwa eine Stunde dauern wird – abhängig von den aufkommenden Fragen.

Es ist für Datenschutzbeauftragte in Unternehmen nicht vorgeschrieben, einen Jahresbericht zu erstellen, aber es gehört einfach zum guten Ton, ihn zu übergeben.

Darin stehen die Aktivitäten des Datenschutzbeauftragten, besondere Vorkommnisse und noch offene Baustellen.

Selbstverständlich sollte darin auch festgehalten werden, was (sehr) gut gelaufen ist. Positive Anmerkungen unterstützen das angenehmere Verhältnis zum Datenschutz.

Wenn nur negative Dinge aufgeführt sind, macht das Lesen auch nicht so viel Spaß.

Wem darf ich zum Jahreswechsel einen Bericht überreichen?

Auskunftsrecht Art. 15 DSGVO

Ein Unternehmen muss Ihnen mitteilen, ob und welche Daten über Sie gespeichert sind.

Recht auf Berichtigung Art. 16 DSGVO

Ein Unternehmen ist verpflichtet, falsche oder unvollständige Daten zu korrigieren.

Recht auf Löschung Art. 17 DSGVO

Sie haben das Recht auf Vergessenwerden, falls keine Aufbewahrungsfristen dagegen sprechen.

Recht auf Einschränkung der Verarbeitung Art. 18 DSGVO

Sie können verlangen, dass Ihre Daten aktuell nicht verarbeitet werden.

Recht auf Übertragbarkeit Art. 20 DSGVO

Sie können Ihre Daten an ein anderes Unternehmen übertragen lassen.

Widerspruchsrecht Art. 21 DSGVO

Sie können zum Beispiel bei Direktwerbung der Datenverarbeitung widersprechen.

Beschwerderecht Art. 77 DSGVO

Sie können sich jederzeit bei der Datenschutz-Aufsichtsbehörde beschweren.

Im Datenschutz gibt es sehr viele Begriffe, die den täglichen Alltag eines Datenschutzbeauftragten begleiten.

Wie in einem Netz hängen die meisten Begriffe voneinander ab und bedingen sich.

Befinden sich in dem Netz Löcher, so besteht die Gefahr, dass nötige Dokumente nicht erstellt werden oder Einwilligungen unrechmäßig eingeholt werden.

Als Mitarbeiter ist man häufig betriebsblind und sieht einige Dinge nicht mehr, weil sie zu selbstverständlich geworden sind.

Empfindliche Strafen drohen bei einer Überprüfung durch die entsprechende Behörde.

Ein Blick von außen hilft dabei, den Überblick zu bewahren.

Ich biete Ihnen an, diesen externen Blick in Ihr Unternehmen zu wagen und Sie etnsprechend zu beraten.