EU-Datenschutz-Grundverordnung (DSGVO) - Praktikerhandbuch

Vorwort

Inhaltsverzeichnis

1 Einleitung und „Checkliste“

1.1 Gesetzgeberischer Hintergrund und bisherige Rechtslage

1.1.1 Die EG-Datenschutzrichtlinie

1.1.2 Die Datenschutz-Grundverordnung

1.1.3 Das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU

1.2 Checkliste – Die wichtigsten datenschutzrechtlichen Pflichten

1.2.1 Datenschutzorganisation

1.2.2 Rechtmäßigkeit der Datenverarbeitung

Referenzen

2 Anwendungsbereich der DSGVO

2.1 In welchen Fällen ist die Verordnung anwendbar? – sachlicher Anwendungsbereich

2.1.1 „Verarbeitung“

2.1.2 „Personenbezogene Daten“

2.1.3 Ausnahmen vom sachlichen Anwendungsbereich

2.2 Auf wen ist die Verordnung anwendbar? – persönlicher Anwendungsbereich

2.2.1 „Verantwortlicher“

2.2.2 „Auftragsverarbeiter“

2.2.3 Von der DSGVO geschützte Personen

2.3 Wo ist die Verordnung anwendbar? – räumlicher Anwendungsbereich

2.3.1 Datenverarbeitung im Rahmen der Tätigkeiten einerEU-Niederlassung

2.3.2 Verarbeitung personenbezogener Daten von innerhalb der EU befindlichen betroffenen Personen

2.4 Anwendungsbereich des BDSG-neu

Referenzen

3 Anforderungen an die Datenschutzorganisation

3.1 Rechenschaftspflicht

3.2 Allgemeine Pflichten

3.2.1 Verantwortlichkeit, Haftung und allgemeine Pflichten des Verantwortlichen

3.2.2 Die Verteilung von Verantwortlichkeiten zwischen gemeinsam für die Verarbeitung Verantwortlichen („Joint controllers“)

3.2.3 Zusammenarbeit mit den Aufsichtsbehörden

3.3 Technische und organisatorische Maßnahmen

3.3.1 Angemessenes Datenschutzniveau

3.3.2 Mindestanforderungen

3.3.3 Risikobasierter Ansatz bezüglich Datenschutz

3.3.4 Die NIS-Richtlinie

3.4 Verzeichnisse über Verarbeitungstätigkeiten

3.4.1 Inhalt und Zweck der Verzeichnisse

3.4.2 Dokumentation der Zwecke der Datenverarbeitung

3.4.3 Ausnahme von der Pflicht zum Führen der Verzeichnisse

3.5 Datenschutz-Folgenabschätzung („Data Protection Impact Assessment“)

3.5.1 Betroffene Arten von Verarbeitungstätigkeiten

3.5.2 Vornahme der Folgenabschätzung

3.6 Datenschutzbeauftragter

3.6.1 Pflicht zur Benennung

3.6.2 Anforderungen an den Datenschutzbeauftragten

3.6.3 Stellung des Datenschutzbeauftragten

3.6.4 Aufgaben des Datenschutzbeauftragten

3.7 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen („Privacy by Design and by Default“)

3.8 Verletzungen des Schutzes personenbezogener Daten („Data Breach Notification“)

3.8.1 Verletzung des Schutzes personenbezogener Daten

3.8.2 Meldung an die Aufsichtsbehörde

3.8.3 Benachrichtigung der betroffenen Personen

3.9 Verhaltensregeln, Zertifizierungen, Siegel, etc.

3.9.1 Verhältnis zwischen Verhaltensregeln und Zertifizierungen

3.9.2 Verhaltensregeln („Codes of Conduct“)

3.9.3 Zertifizierungen, Datenschutzsiegel und –prüfzeichen („Certifications, seals and marks“)

3.10 Auftragsverarbeiter

3.10.1 Privilegierte Stellung des Auftragsverarbeiters

3.10.2 Verpflichtung des Verantwortlichen bei der Auswahl eines Auftragsverarbeiters

3.10.3 Pflichten des Auftragsverarbeiters

3.10.4 Hinzuziehung eines „Unter-Auftragsverarbeiters“

Referenzen

4 Materielle Anforderungen

4.1 Verarbeitungsgrundsätze

4.1.1 Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

4.1.2 Zweckbindung

4.1.3 Datenminimierung

4.1.4 Richtigkeit

4.1.5 Speicherbegrenzung

4.1.6 Integrität und Vertraulichkeit

4.2 Rechtsgrundlagen für die Datenverarbeitung

4.2.1 Verarbeitung auf der Grundlage der Einwilligung der betroffenen Person

4.2.2 Verarbeitung auf der Grundlage eines gesetzlichen Erlaubnistatbestandes

4.2.3 Verarbeitung besonderer Kategorien personenbezogener Daten

4.3 Datenübermittlungen an Drittländer

4.3.1 Angemessenheitsbeschlüsse

4.3.2 Einwilligung

4.3.3 Standardvertragsklauseln

4.3.4 EU-U.S. Privacy Shield

4.3.5 Binding Corporate Rules

4.3.6 Verhaltensregeln, Zertifizierungsverfahren, etc.

4.3.7 Ausnahmen für bestimmte Fälle

4.3.8 Benennung eines Vertreters durch nicht in der EU niedergelassene Unternehmen

4.4 Eingeschränktes „Konzernprivileg “

4.4.1 Eigenständige Datenschutzverantwortlichkeit jedes Gruppenunternehmens

4.4.2 Erleichterungen in Bezug auf die materiellen Anforderungen

4.4.3 Erleichterungen in Bezug auf die Datenschutzorganisation

Referenzen

5 Rechte der betroffenen Personen

5.1 Transparenz und Modalitäten

5.1.1 Die Art und Weise der Kommunikation mit den betroffenen Personen

5.1.2 Die Form der Kommunikation

5.2 Informationspflicht des Verantwortlichen bei Erhebung der personenbezogenen Daten

5.2.1 Zeitpunkt der Information

5.2.2 Erhebung der Daten bei der betroffenen Person

5.2.3 Erhebung der Daten von einer anderen Quelle

5.2.4 Einschränkung der Informationspflichten nach dem BDSG-neu

5.2.5 Praxishinweise

5.3 Informationen über auf den Antrag der betroffenen Personen hin ergriffene Maßnahmen

5.3.1 Art und Weise der Bereitstellung der Informationen

5.3.2 Frist für die Bereitstellung der Informationen

5.3.3 Unterrichtung im Falle Nicht-Tätigwerdens

5.3.4 Bestätigung der Identität der betroffenen Person

5.4 Auskunftsrecht

5.4.1 Umfang des Auskunftsrechts

5.4.2 Einschränkungen des Auskunftsrechts nach dem BDSG-neu

5.4.3 Zurverfügungstellen der personenbezogenen Daten

5.4.4 Praxishinweise

5.5 Recht auf Löschung, auf Berichtung und auf Einschränkung der Verarbeitung

5.5.1 Recht auf Berichtigung

5.5.2 Recht auf Löschung

5.5.3 Recht auf Einschränkung der Verarbeitung

5.5.4 Mitteilungspflicht gegenüber Dritten im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung, Art. 19

5.6 Recht auf Datenübertragbarkeit

5.6.1 Anwendungsbereich & Ausübung des Rechts auf Datenübertragbarkeit

5.6.2 Technische Spezifikationen

5.6.3 Übermittlung der Daten

5.6.4 Verhältnis zum Recht auf Löschung

5.6.5 Ausschluss des Rechts auf Datenübertragbarkeit

5.7 Widerspruchsrecht

5.7.1 Gründe für einen Widerspruch gegen die Verarbeitung

5.7.2 Einschränkungen im BDSG-neu

5.7.3 Ausübung des Rechts & Rechtsfolgen

5.7.4 Informationspflicht

5.8 Automatisierte Entscheidungsfindung

5.8.1 Anwendungsbereich des Verbots

5.8.2 Ausnahmen vom Verbot nach der DSGVO

5.8.3 Ausnahme vom Verbot nach dem BDSG-neu

5.8.4 Angemessene Schutzmaßnahmen

5.9 Beschränkungen der Betroffenenrechte

Referenzen

6 Zusammenarbeit mit den Aufsichtsbehörden

6.1 Bestimmung der zuständigen Aufsichtsbehörde

6.2 One-Stop-Shop

6.3 Bestimmung der federführenden Aufsichtsbehörde

6.3.1 Bestimmung anhand der Hauptniederlassung des Unternehmens

6.3.2 Bestimmung bei Fehlen einer Niederlassung des Unternehmens in der EU

6.3.3 Ausnahme: lokale Zuständigkeit

6.3.4 One-Stop-Shop auf nationaler Ebene nach dem BDSG-neu

6.4 Zusammenarbeit und Kohärenzverfahren

6.4.1 Europäischer Datenschutzausschuss

6.4.2 Verfahren zur Zusammenarbeit

6.4.3 Kohärenzverfahren

Referenzen

7 Rechtsdurchsetzung und Sanktionen nach der DSGVO

7.1 Aufgaben und Untersuchungsbefugnisse der Aufsichtsbehörden

7.1.1 Größere Konsistenz der Untersuchungsbefugnisse innerhalb der EU

7.1.2 Regelungen zu aufsichtsbehördlichen Befugnissen im BDSG-neu

7.1.3 Umfang der Untersuchungsbefugnisse

7.1.4 Ausübung der Befugnisse

7.2 Zivilrechtliche Haftung

7.2.1 Recht auf Schadensersatz

7.2.2 Schadensersatzpflichtige

7.2.3 Exkulpationsmöglichkeit

7.3 Sanktionen

7.3.1 Abhilfebefugnisse der Aufsichtsbehörden

7.3.2 Gründe für Bußgelder und Bußgeldbeträge

7.3.3 Verhängung von Bußgeldern, inkl. mildernden Umständen

7.3.4 Sanktionierung von Unternehmensgruppen

7.3.5 Sanktionen und Verfahrensvorschriften des BDSG-neu

7.3.6 Praxishinweise

7.4 Rechtsbehelfe

7.4.1 Rechtsbehelfe von datenverarbeitenden Unternehmen

7.4.2 Rechtsbehelfe von betroffenen Personen

Referenzen

8 Nationale Besonderheiten

8.1 Vielzahl von Öffnungsklauseln

8.1.1 Öffnungsklauseln innerhalb der allgemeinen Bestimmungen der DSGVO

8.1.2 Gesetzgebungskompetenz der EU-Mitgliedstaaten in besonderen Verarbeitungssituationen

8.1.3 Regelungen im BDSG-neu zu besonderen Verarbeitungssituationen

8.2 Beschäftigtendatenschutz

8.2.1 Öffnungsklausel

8.2.2 Regelungen des § 26 BDSG-neu

8.2.3 Arbeitnehmervertretungsorgan in Deutschland (Betriebsrat)

8.3 Telemediendatenschutz

Referenzen

9 Besondere Verarbeitungssituationen

9.1 Big Data

9.1.1 Anwendbarkeit der DSGVO

9.1.2 Rechenschaftspflicht

9.1.3 Einhaltung der Verarbeitungsgrundsätze

9.2 Cloud Computing

9.2.1 Verteilung der Verantwortlichkeiten

9.2.2 Auswahl eines geeigneten Cloud-Serviceanbieters

9.2.3 Cloud-Serviceanbieter in Drittländern

9.3 Internet of Things

9.3.1 Rechtsgrundlage für Datenverarbeitungen im IoT

9.3.2 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen

Referenzen

10 Praktische Umsetzung der Vorgaben der DSGVO

10.1 Schritt 1: „Lücken“-Analyse

10.2 Schritt 2: Risikoanalyse

10.3 Schritt 3: Projektkonzeption und Ressourcen-/Budgetplanung

10.4 Schritt 4: Implementierung

10.5 Schritt 5: Nationale Zusatzanforderungen

Referenzen

Annex I – Gegenüberstellung der Vorschriften und entsprechenden Erwägungsgründe der DSGVO sowieder korrespondierenden Vorschriften des BDSG-neu

Stichwortverzeichnis