Vorweg, im Folgenden wird vom Datenschutzbeauftragten in der männlichen Form gesprochen. Der Einfachheit halber beim Lesen unterscheiden wir nicht. Es sind natürlich alle Geschlechter angesprochen.
In einem vorherigen Blogbeitrag haben wir bereits die zahlreichen Aufgaben des Datenschutzbeauftragten vorgestellt. Neben der Überwachung und Einhaltung der DSGVO, Beratungstätigkeiten und Mitarbeitersensibilisierung ist ein wichtiger Aspekt nicht zu vergessen: Die Weiterbildung des Datenschutzbeauftragten im fachlichen Sinne.
Doch wie und vor allem wo kann ein Datenschutzbeauftragter eine Datenschutzfortbildung absolvieren? Welche Angebote entsprechen den gesetzlichen Anforderungen? Kann man auch ohne Schulungen auf dem laufenden bleiben?
Diese Fragen stellen sich insbesondere interne Datenschutzbeauftragte. In vielen Fällen übt nämlich der interne Datenschutzbeauftragte seine Rolle als DSB zusätzlich zu einer bereits bestehenden Tätigkeit aus. Es bleibt meist wenig Zeit für eine qualifizierte Fortbildung und einen Austausch mit Gleichgesinnten in einem Netzwerk.
In diesem Blogartikel möchte ich Ihnen diese Fragen beantworten und auch einen Lösungsansatz anbieten.
Videokonferenzen oder Onlinemeetings haben aufgrund der Corona-Krise von einem Tag auf den anderen Einzug in die Unternehmen erhalten. Wer hätte gedacht, dass die Digitalisierung in diesem Bereich nun doch so schnell vonstattengeht?
Es ist nicht ganz einfach, aus der großen Auswahl von Onlinemeeting Tools den richtigen Meeting-Service auszuwählen. Neben den Anforderungen an die Benutzerfreundlichkeit ist auch die Einhaltung der Datenschutzanforderungen eine wichtige Komponente.
In diesem Beitrag möchten wir Ihnen eine Übersicht über die gängigsten Videokonferenzsysteme und deren Aspekte zum Datenschutz geben. Zudem zeigen wir vorab auf, was bei der Auswahl eines Systems in Bezug auf die Sicherheit personenbezogener Daten beachtet werden soll. Abschließend geben wir noch ein paar Tipps, was beim Einsatz und der Durchführung von Onlinemeeting-Tools zu beachten ist.
Hinweis: Bei diesem Beitrag handelt es sich um keine Rechtsberatung. Der Inhalt stellt auch keine Werbung dar. Wir listen in diesem Beitrag objektive Kriterien auf und geben unsere subjektive Meinung ab. Dies ist aber auch extra gekennzeichnet („Erfahrung / Einschätzung der Datenbeschützerin).
In Zeiten des Coronavirus steht an erster Stelle, die Anzahl der Neuinfizierungen über einen längeren Zeitraum zu strecken. Dies führt zu drastischen, noch nie da gewesenen Maßnahmen. Sie als Unternehmen, Behörde, Verein oder sonstige Institution, sind verpflichtet mitzuwirken.
Was bedeutet das nun aber für die Regeln des Datenschutzes? Sind die DSGVO und das BDSG aufgrund der Corona-Krise außer Kraft gesetzt?
Natürlich Nicht!
Auf was Sie als Verantwortlicher achten müssen, erfahren Sie in diesem Beitrag!
Auf den Punkt gebracht: Datenschutz und Corona
Die Erhebung und Verarbeitung besonders schützenswerter Daten nach Art. 9 DSGVO ist für die Eindämmung einer Pandemie erlaubt
Die Rechtsgrundlagen der Verarbeitung können abweichen von den üblichen Rechtsgrundlagen im Beschäftigungsverhältnis
Denken Sie and die Erweiterung Ihrer Informationspflicht für die neue Datenverarbeitung
Stellen Sie den besonderen Schutz der Gesundheitsdaten sicher
Wie verhält es sich mit dem Beschäftigtendatenschutz beim Coronavirus?
Der Bundesdatenschutzbeauftragte (BfDI) gibt einige Hinweise für Arbeitgeber heraus. Hier wird auf den Umgang mit personenbezogenen Daten, die durch die Corona-Pandemie entstehen, hingewiesen. Nachfolgend eine Zusammenfassung, der für Sie relevanten Punkte:
Besonders schützenswerte Daten nach Art. 9 DSGVO
Wenn es um Daten zu Betroffenen der Pandemie geht, ist man mehr oder weniger sofort bei besonders schützenswerten Daten nach Art. 9 DSGVO. Diese müssen höher geschützt werden, als „normale“ personenbezogene Daten. Zudem muss ein wichtiger Zweck vorliegen, damit die Daten überhaupt verarbeitet werden dürfen.
Die Maßnahmen zum Schutz der Verzögerung der Ausweitung der Corona-Pandemie gelten als wichtiger Zweck. Natürlich aber auch der Schutz der Mitarbeiter. Trotzdem ist es wichtig, dass auch zu diesem Zweck der Datenschutz eingehalten wird. Das BfDI weißt auch auf die Einhaltung der Verhältnismäßigkeit bei der Datenverarbeitung hin!
Hinweis zu personenbezogenen Daten besonderer Kategorien (Art. 9 DSGVO)
Sehr häufig haben wir die Anfrage bzw. die Annahme, dass die Verarbeitung von Daten, die unter Artikel 9 DSGVO fallen, einen Datenschutzbeauftragten voraussetzen. Dies könnte man beim schnellen Durchlesen, aus Art. 37 (1) lit. c DSGVO heraus lesen.
Beim genauen lesen sieht man allerdings, dass es sich bei der Verarbeitung dieser Daten um die Kerntätigkeit des Verantwortlichen handeln muss. Ebenfalls muss es sich dann noch um eine umfangreiche Verarbeitung dieser Daten handeln. Da fallen nicht mal Ärzte darunter!
Das heißt nun für Sie, als Verantwortlicher im Umgang mit Datenschutz und Corona, dass Sie deswegen nicht plötzlich einen Datenschutzbeauftragten benennen müssen.
Datenschutzrechtlich erlaubte Erhebungs- und Verarbeitungszwecke im Umgang mit Covid-19 Daten
Diese Liste ist übernommen vom Bundesdatenschutzbeauftragten:
Personenbezogene Daten (inklusive benötigter Gesundheitsdaten) zur Verhinderung weiterer Ausbreitung des Corona-Virus bei Mitarbeitern und Führungskräften (dies gilt in angemessenen Umgang auch für Vereine und andere Organisationen).
Personen, bei denen eine Infektion festgestellt wurde
Personen, die Kontakt zu einer nachweislich infizierten Person hatten
Personen, die sich im relevanten Zeitraum in einem Risikogebiet aufgehalten haben (Risikogebiete werden vom Robert-Koch-Institiut eingestuft)
Daten von Gästen und Besuchern, ebenfalls inklusive der benötigten Gesundheitsdaten dürfen erhoben und verarbeitet werden, wenn
diese infiziert sind oder Kontakt mit einer nachweislich infizierten Person hatten
sich im relevanten Zeitraum in einem Risikogebiet aufgehalten haben
Die Offenlegung dieser Daten von nachweislich infizierten bzw. unter Verdacht stehenden Personen, sich infiziert zu haben ist mit größter Vorsicht zu behandeln. Dies ist nur erlaubt, wenn diese Informationen für die Vorsorgemaßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.
Rechtsgrundlagen zur Verarbeitung der Daten im Zusammenhang mit der Corona-Pandemie
Auf der Seite des BfDI ist dies sehr ausführlich erläutert. Hier geben wir Ihnen einen kurzen Überblick.
Artikel 6 (1) lit. e DSGVO: Verarbeitung von Mitarbeiterdaten für die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt;
Art. 6 (1) lit. c DSGVO: Auch weiterhin ist natürlich die Erfüllung (eventuell neuer) gesetzlicher Anforderungen eine Grundlage
§26 (3) BDSG: Erlaubte Verarbeitung von Daten nach Art. 9 DSGVO zur sozialen Sicherheit und des Sozialschutzes;
Art. 9 (2) lit. g DSGVO: Verarbeitung aus Gründen des öffentlichen Interesses
§22 Abs. 1 (1) lit. c BDSG: Verarbeitung von Daten besonderer Kategorien im öffentlichen Interesse und zur öffentlichen Gesundheit
Schutz der personenbezogenen Daten für die Verarbeitung zur Eindämmung der Corona-Pandemie
Natürlich müssen diese Daten entsprechend der Anforderungen mit Maßnahmen nach Art. 32 DSGVO geschützt werden.
Besonders ist auf die höhere Sicherheit der Verarbeitung hinzuweisen, wenn Daten nach Art. 9 DSGVO (also besonders schutzwürdige Daten) verarbeitet werden. Beispielsweise muss die Übertragung der Daten höher geschützt sein.
Löschung von Daten für Zwecke der Pandemie-Eindämmung
Nachdem der Verarbeitungszweck erloschen ist (laut BfDI nach Ende der Pandemie – spätestens), müssen die Daten unverzüglich gelöscht werden.
Einwilligung oder Information der Betroffenen bei der Erhebung von Gesundheitsdaten über Corona?
Da mit den oben genannten Rechtsgrundlagen die Verarbeitung zulässig ist, sollte von einer Einwilligung abgesehen werden.
Die Information nach Art. 13 und Art. 14 der Betroffenen über die Datenverarbeitung ist ausreichen. Sie können hierfür folgende Beispielsformulierung entnehmen.
Passage für die Informationspflicht nach Art. 13 und Art. 14 DSGVO zum Zwecke der Eindämmung der Pandemie
„Zur Eindämmung der Pandemie und zum Schutz der Gesundheit unserer Mitarbeiter werden zum aktuellen Zeitpunkt folgende zusätzliche Daten nach Art. 9 DSGVO von unseren Mitarbeitern erhoben: [Bitte hier eine Aufzählung der erhobenen Daten einfügen].
Die Verarbeitung der Daten beruht auf einer gesetzlichen Grundlage nach Art. 6 Abs. 1 lit. c DSGVO, zur Wahrnehmung der Aufgaben des öffentlichen Interesses nach Art. 6 Abs. 1 lit. e DSGVO, sowie aufgrund des Gesundheitsschutzes nach §22 Abs. 1 (1) lit. c BDSG [ggf. hier – falls zutreffend noch weitere Rechtsgrundlagen einfügen].
Die Daten verbleiben intern und werden nur auf Anfrage seitens der Gesundheitsbehörde an diese übermittelt. Die erhobenen Daten werden unverzüglich nach Beendigung der Pandemie gelöscht.“
Quellen:
Die Pressemitteilung vom 13.03.2022 des BfDI finden Sie hier.
Weitere interessante Links zum Thema Beschäftigtendatenschutz bei einer Pandemie
Dieser Artikel basiert auf unserer Erfahrung im täglichen Geschäft mit Kunden, die uns zum Einsatz von WhatsApp im Unternehmen kontaktieren. Der Bericht wurde nicht bezahlt. Der Beitrag kann aber im Einzelfall als Werbung für verschiedene Produkte, die erwähnt werden, verstanden werden.
Im Juli 2018, kurz nach dem „DSGVO-Stichtag“, hat WhatsApp die Nutzungsbedingungen aktualisiert. Im Dezember 2019 kam eine weitere Neuerung des Messenger-Betreibers zur Verwendung von Broadcast Listen.
Was bedeutet das für den Einsatz des Messengers in Firmen? Ist die App DSGVO-konform und darf WhatsApp im Unternehmen verwendet werden? Gibt es eigentlich (sinnvolle und praktikable) Alternativen zu WhatsApp?
Auf diese und weitere Themen rund um den Messenger WhatsApp in Unternehmen möchte ich in diesem Artikel eingehen.
Seit Inkrafttreten der DSGVO sind bereits zahlreiche Urteile seitens der Gerichte ergangen.
Die Urteile sind aufgrund ihrer Vielzahl thematisch gegliedert. Die Übersicht bezieht sich lediglich auf die deutsche Rechtsprechung. . Sie erhalten eine kurze Zusammenfassung des Themas und was das Urteil für Sie bedeutet und ob Handlungsbedarf besteht.
Wir aktualisieren diese Liste ständig, können jedoch keine Vollständigkeit gewährleisten.
Seit Inkrafttreten der DSGVO wurden bereits einige Bußgelder in Deutschland und in der EU verhängt. Eine aktuelle Übersicht dazu finden Sie im Artikel zu den Bußgeldern DSGVO.
Die DSK hat nun ein Konzept zur Bußgeldberechnung erstellt und veröffentlicht. Mit diesem Berechnungskonzept soll vor allem die Transparenz bei der Bußgeldvergabe gewährleistet werden.
Nachfolgend zeigen wir Ihnen einen Überblick über die Ermittlung der Höhe des Bußgelds bei einem Verstoß gegen die DSGVO.
Mit der DSGVO können höhere Bußgelder als im Gegensatz zum BDSG ausgesprochen werden. Seit dem 25.05.2018 sind bereits einige Bußgelder erlassen worden. Es wurden jedoch bisher nie die „gefürchteten“ 2 Millionen Euro erreichten. (vor allem nicht bei Klein- und Mittelständischen Unternehmern).
Die Bußgeldberechnung wurde durch das im Oktober 2019 veröffentlichte Bußgeldkonzept der DSK transparenter dargestellt.
In der nachfolgenden Liste erhalten Sie eine Übersicht über die ausgesprochenen Bußgelder in Europa aber auch in den Drittländern durch die zuständigen Aufsichtsbehörden.
Auf den Punkt gebracht: Datenschutzerklärung selber erstellen
Prüfen Sie die technischen und inhaltlichen Teile Ihrer Webseite auf Datenschutzrelevanz.
Erstellen Sie den allgemeinen Teil der Datenschutzerklärung sowie gängige Inhalte durch einen Generator.
Sind aus der Webseitenprüfung noch relevante Inhalte offen, die Sie in der Datenschutzerklärung berücksichtigen müssen, für die der Generator aber kein Ergebnis geliefert hat? Erstellen Sie diese Teile der Datenschutzerklärung selbst.
Erstellen Sie die Inhalte nach den Vorgaben der Informationspflicht nach Art. 13 und Art. 14 DSGVO. Die DSE besteht aus einem allgemeinen Teil, der allgemeine Angaben zum Unternehmen und den Rechten der Betroffenen enthält. Im spezifischen Teil wird aufgelistet, für welchen Zweck Daten verarbeitet, gespeichert und ggf. weiter gegeben werden.
Sie haben die perfekte Webseite und müssen nun die zugehörige Datenschutzerklärung erstellen. Denn erst mit der vollständigen Datenschutzerklärung (kurz: DSE) wird Ihre Internetpräsenz DSGVO-konform. Nichts leichter als das, denken Sie. Im Internet gibt es schließlich eine Vielzahl von Generatoren für die Datenschutzerklärung der Webseite.
Es stimmt, die Generatoren nehmen Ihnen einen großen Aufwand ab. Trotzdem fällt uns immer wieder auf, dass die Datenschutzerklärung für eine individuelle Webseite in den seltensten Fällen komplett durch einen Generator erstellt werden kann.
In diesem Beitrag erklären wir Ihnen, wie Sie vorgehen können, um die vollständige und damit DSGVO-konforme Datenschutzerklärung für Ihre Webseite zu erstellen. Zudem zeigen wir Ihnen, wie Sie fehlende Passagen der Datenschutzerklärung selbst schreiben können.
Darf personalisierte Werbung nach der DSGVO noch versendet werden? Dürfen Kunden telefonisch auf neue Produkte hingewiesen werden? Und vor allem, darf ich jedem Kunden einen Newsletter zusenden?
kostenloses Live-Webinar: So setzen Sie TISAX® um!
Von Experten – für Experten im Datenschutz
Tauschen Sie sich mit Gleichgesinnten aus und bleiben Sie up to date!
Whistleblowing-Portal der Datenbeschützerin
Whistleblowing Richtlinie - Bereit für das Hinweisgeberschutzgesetz?
Bleiben wir in Kontakt
Melden Sie sich zu unserem Newsletter an und erhalten Sie alle 14 Tage aktuelle und praxisorientierte Informationen zum Datenschutz und zur Informationssicherheit.
