Dell: Firmen schlecht vorbereitet auf EU-Datenschutzgrundverordnung

/in /von

Die meisten Unternehmen sind nicht mit den Details der EU-Datenschutzgrundverordnung vertraut und haben auch keinen Plan, wie sie neuen Anforderungen gerecht werden sollen. Zudem unterschätzen sie die möglichen Strafen.

Die im Mai 2018 in Kraft tretende EU-Datenschutzgrundverordnung dürfte eines der dominierenden Themen des kommenden Jahres werden. Einerseits weil die Anforderungen an Datensicherheit und Datenschutz für Unternehmen noch einmal stark erhöht werden, andererseits weil viele Unternehmen noch gar nicht wissen, was überhaupt auf sie zukommt. So gaben etwa in einer Umfrage von Dimensional Research im Auftrag von Dell mehr als 80 Prozent von über 800 Managern an, nur wenige oder keine Details der Verordnung zu kennen. Nur 30 Prozent waren der Meinung, ihr Unternehmen sei gut auf die neuen Anforderungen vorbereitet. Immerhin: In Deutschland liegt dieser Anteil bei 44 Prozent.

Allerdings haben die meisten Firmen, die sich bislang nicht gut für die Datenschutzgrundverordnung aufgestellt sehen, meist keinen Plan, wie sie das ändern (97 Prozent). Dabei spielt womöglich auch eine Rolle, dass die Konsequenzen, die Verstöße mit sich bringen, unterschätzt werden. So sind 21 Prozent der Befragten sicher, sie hätten mit einer Strafe zu rechnen, wenn die Verordnung bereits gelten würde. Allerdings geht gut ein Drittel von diesen davon aus, einfache Nachbesserungen im Unternehmen würden reichen. Knapp 50 Prozent glauben, mit einer moderaten Geldstrafe und überschaubaren Anpassungen davonzukommen.

»Die Umfrage zeigt deutlich den globalen Mangel an Verständnis für die GDPR und was getan werden muss, um die strengen Strafen zu vermeiden«, sagt John Milburn, Vice President und General Manager für die Dell One Identity Solution. Viele Unternehmen glaubten zwar, den Anforderungen gerecht zu werden, »doch es wird ein böses Erwachen geben, wenn sie einen Verstoß begehen, überprüft werden und die Folgen tragen müssen«. Denn in der EU-Datenschutzgrundverordnung sind Strafen von bis zu 4 Prozent des Jahresumsatzes vorgesehen.

EU-Kommission veröffentlicht Leitfaden zum Privacy Shield

/in /von

Die  Europäische  Kommission  hat  einen  Leitfaden  zum  Privacy-Shield veröffentlicht. Diesen können Interessierte auch in der deutschen Übersetzung abrufen.

Der Leitfaden gibt nicht nur Antworten auf die Frage „Was ist der EU-US-Datenschutzschild und warum brauchen wir ihn?“, sondern gibt auch eine Erklärung zu der Frage, wie genau denn der Schutzschild überhaupt funktioniert.

Für  Betroffene  besonders  interessant  dürften  die  Ausführungen  sein,  welche  Verpflichtungen,  die  dem  Datenschutzschild  angeschlossenen  Unternehmen  haben  und  welche  Rechte  im  Zusammenhang  mit  der  Verwendung  personenbezogenen  Daten  der  Betroffenen bestehen.

Quelle: Europäische Kommission

BayLDA: Auftragsverarbeitung nach der DS-GVO

/in /von

Auch in der DS-GVO findet sich eine Regelung zur Auftragsdatenverarbeitung – jetzt Auftragsverarbeitung genannt – wieder. Allerdings legt die DS-GVO den Auftragsverarbeitern künftig mehr Verantwortung und Pflichten auf als bislang. Welche Rahmenbedingungen besonders im Fokus stehen hat das BayLDA in einem kurzem Papier zusammengefasst, das nachfolgend heruntergeladen werden kann.

https://www.lda.bayern.de/media/baylda_ds-gvo_10_processor.pdf

BayLDA: Datenschutzbeauftragter darf keinen Interessenkonflikten unterliegen – Bußgeld

/in /von

Zum Datenschutzbeauftragten können jedoch nicht Personen bestellt werden, die daneben im Unternehmen noch solche Aufgaben wahrnehmen, die zu Interessenkonflikten mit den Aufgaben eines Datenschutzbeauftragten führen können. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in einem solchen Fall eine Geldbuße gegen ein Unternehmen ausgesprochen.

Unternehmen und andere Stellen müssen einen Datenschutzbeauftragten bestellen, wenn bei ihnen mindestens zehn Personen mit der automatisierten Verarbeitung  personenbezogener Daten befasst sind. Zahlreiche Unternehmen erfüllen diese  Voraussetzungen. Das Gesetz stellt es Unternehmen und anderen Stellen frei, ob die Funktion des Datenschutzbeauftragten an eine externe Person vergeben wird („externer Datenschutzbeauftragter“) oder aber durch einen Mitarbeiter („interner Datenschutzbeauftragter“) erfüllt wird. Wird ein Mitarbeiter zum Datenschutzbeauftragten  bestellt, so darf er jedoch daneben  nicht  noch  für solche Aufgaben  zuständig sein,  die die Gefahr von Interessenkonflikten mit seiner Funktion als Datenschutzbeauftragter mit sich bringen können.

Eine solche Interessenkollision lag nach Auffassung des BayLDA im Falle eines Datenschutzbeauftragten eines bayerischen Unternehmens vor, der die Position des „IT-Managers“ des Unternehmens bekleidete. Eine  derart exponierte Position im Hinblick auf die Datenverarbeitungsprozesse im Unternehmen ist in aller Regel unvereinbar mit den Aufgaben eines Datenschutzbeauftragten. Dies liefe letztlich auf eine Datenschutzkontrolle eines der maßgeblichen zu kontrollierenden Funktionsträger im Unternehmen durch sich selbst hinaus. Eine solche Selbstkontrolle widerspricht der Funktion eines Datenschutzbeauftragten, der gerade eine unabhängige Instanz sein soll, die im Unternehmen auf die Einhaltung des Datenschutzes hinwirkt. Diese Aufgabe kann der Datenschutzbeauftragte nicht erfüllen, wenn er gleichzeitig maßgebliche operative Verantwortung für Datenverarbeitungsprozesse besitzt.

Das BayLDA hatte das Unternehmen auf diesen Umstand hingewiesen und zur Bestellung eines Datenschutzbeauftragten aufgefordert, der keiner derartigen Interessenkollision unterliegt. Das Unternehmen kündigte zwar wiederholt an, im Zuge von Umstrukturierungen auch die Funktion des Datenschutzbeauftragten neu zu bekleiden. Es versäumte es jedoch über Monate, dem BayLDA den Nachweis für die Bestellung eines geeigneten Datenschutzbeauftragten vorzulegen. Vor  diesem  Hintergrund hat  das  BayLDA  gegen  das  Unternehmen  eine Geldbuße festgesetzt, die inzwischen bestandskräftig ist.

„Der betriebliche Datenschutzbeauftragte ist ein Erfolgsmodell und  ein  sehr  wichtiges  Element der  Datenschutzorganisation in Deutschland. Die Funktion des Datenschutzbeauftragten kann aber nicht durch eine Person wahrgenommen werden, die daneben im Unternehmen noch Aufgaben innehat, die in einem Spannungsverhältnis mit einer  unabhängigen,  effektiven  internen  Aufsicht  über  den  Datenschutz  stehen. Unternehmen,  die  gesetzlich  zur Bestellung  eines  Datenschutzbeauftragten  verpflichtet  sind, können daher  nur  eine  solche Person  zum  Datenschutzbeauftragten  bestellen,  die  in der  Lage  ist,  diese  Aufgabe  frei  von  sachfremden  Zwängen  auszuüben.  Und wenn sie das trotz wiederholter Aufforderung nicht machen, müssen sie notfalls mit Bußgeld dazu gezwungen werden.“, betont Thomas Kranig, der Präsident des BayLDA.

Quelle: https://www.lda.bayern.de/media/pm2016_08.pdf

BvD stellt aktualisiertes Berufsbild für Datenschutzbeauftragte vor

/in /von

Die neue EU-Datenschutz-Grundverordnung (DS-GVO) und die dadurch erforderliche Anpassung des nationalen Datenschutzrechts stellen Unternehmen und Behörden vor große Herausforderungen. Um die Sicherheit von Kunden-, Mitarbeiter- und Geschäftsdaten zu gewährleisten, müssen bestehende Managementsysteme an die neuen Anforderungen angepasst und regelmäßig überprüft werden. Hilfe durch den Dschungel der neuen Regelungen bietet der betriebliche Datenschutzbeauftragte. Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. stellt jetzt hierzu ein aktualisiertes Berufsbild vor.

Darin beschreibt der BvD die Anforderungen und Aufgaben für Datenschutzbeauftragte durch die neue DS-GVO, die ab 25. Mai 2018 von Firmen und Behörden angewendet werden muss. Die Selbstverpflichtung der Datenschutzbeauftragten auf das aktualisierte Leitbild sichert Unternehmen und Behörden ein Datenschutz-Knowhow auf höchstem Niveau und sorgt für Reputation, Glaubwürdigkeit und Kundenbindung.

Im Kern obliegt dem Datenschutzbeauftragten die Aufgabe, ein funktionierendes Datenschutzmanagement zu entwickeln und Unternehmen zu unterstützen, bestehende Systeme an die neuen Anforderungen anzupassen. Er berät die Unternehmensleitung und unterstützt bei der rechtlich einwandfreien Datenverarbeitung sowie der Dokumentation von Datenschutzmaßnahmen und Datenverarbeitungsprozessen. Zudem schult er Mitarbeiter und Betriebsräte, um sie für den sicheren Umgang mit Daten zu sensibilisieren.

Interessierte können das neue Berufsbild auf den Internetseiten des BvD unter https://www.bvdnet.de/berufsbild.html downloaden.

BSI: „Sicher online bezahlen“: Empfehlungen zum Interneteinkauf

/in /von

Bürgerinnen und Bürger europaweit durch unterschiedliche Aktionen für einen sicherheitsbewussten Umgang mit dem Internet zu sensibilisieren, ist das Ziel des European Cyber Security Month (ECSM). Aus diesem Anlass informiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Oktober zu vier verschiedenen Themenschwerpunkten aus dem Bereich der IT- und Internetsicherheit. Den Auftakt macht die Aktionswoche „Sicher online bezahlen“.

Mit dem orts- und zeitunabhängigen Einkauf im Internet ist das Leben von Millionen von Menschen einfacher und bequemer geworden. Ein sicherheitsrelevanter Aspekt dabei ist die Bezahlung. Viele gängige Methoden zur Bezahlung in Online-Shops erfordern die Übermittlung sensibler Informationen wie Kreditkarten- oder Kontodaten. Diese sollten stets verschlüsselt übertragen werden. Verbraucherinnen und Verbraucher erkennen dies an dem Kürzel „https“ und einem kleinen Vorhängeschloss-Symbol in der Adresszeile des Browsers. Es bedeutet, dass der Anbieter der Internetseite nach der Überprüfung durch eine unabhängige Stelle ein gültiges Zertifikat vorweisen kann, das seine Identität bestätigt. Ein besonders hohes Maß an Verlässlichkeit bieten sogenannte Extended-Validation-Zertifikate (EV-Zertifikat), da Antragsteller dafür erweiterte Sicherheitskriterien erfüllen müssen. Zu erkennen ist ein EV-Zertifikat meist an einer grün gefärbten Adresszeile im Browser.

Alternativ können Online-Shopper auf Online-Bezahldienste zurückgreifen. Dort werden die Kontodaten einmalig hinterlegt. Beim Bezahlvorgang wird der Kunde dann vom Internet-Shop auf die gesicherte Seite des Dienstleisters oder die Umgebung der kontoführenden Bank weitergeleitet, wo die Zahlung ausgeführt wird. Eine Weitergabe von sensiblen Kontodaten über das Internet an Dritte ist dadurch nicht notwendig.

Doppelter Nachweis beim Bezahlen

Um dem Missbrauch gestohlener Konto- oder Kreditkartendaten vorzubeugen, existieren Verfahren mit Zwei-Faktor-Authentifizierung. Dabei genügt es nicht, beim Bezahlvorgang lediglich die notwendigen Konto- oder Karteninformationen einzugeben. Vielmehr muss der Nutzer in einer der Kategorien Wissen, Besitz oder Inhärenz den Nachweis erbringen, dass er tatsächlich der rechtmäßige Besitzer des Kontos oder der Bezahlkarte ist. Zu den möglichen Authentifizierungswegen gehören ein Passwort (Wissen), eine beim Bezahlvorgang an das Handy geschickte TAN (Besitz) oder die Übertragung des gescannten Fingerabdrucks (Inhärenz). Dieser Nachweis macht die Kreditkarten- und EC-Karten-Zahlung im Internet sicherer und hilft dabei, Schäden durch Betrugsfälle zu reduzieren.

Weitere Informationen zum Thema sowie ein passendes Video sind abrufbar unter: https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/sicher_online_bezahlen_05102016.html

Über den ECSM

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt und koordiniert im Oktober den European Cyber Security Month (ECSM) in Deutschland. Unter dem Motto „Ins Internet – mit Sicherheit“ informiert das BSI während des Aktionsmonats über die alltäglichen Gefährdungen in der Cyber-Welt und sensibilisiert Bürgerinnen und Bürger sowie Organisationen für einen umsichtigen und verantwortungsbewussten Umgang mit dem Internet. Neben dem BSI mit seinen Aktivitäten beteiligen sich über 50 weitere Partner mit eigenen Aktionen am ECSM.

Quelle: BSI Pressemitteilung

Düsseldorfer Kreis: Beschluss zur Fortgeltung bisher erteilter Einwilligungen

/in /von

​Der Düsseldorfer Kreis hat in einem Beschluss vom 13./14. September 2016 mitgeteilt, dass bisher erteilte Einwilligungen unter der Datenschutz-Grundverordnung fortgelten, sofern sie der Art nach den Bedingungen der DS-GVO entsprechen. Somit erfüllen bisher rechtswirksame Einwilligungen grundsätzlich diese Bedingungen. Der Beschluss kann hier heruntergeladen werden.

Anordnung gegen Massendatenabgleich zwischen WhatsApp und Facebook

/in /von

​(hmbbfdi, 27.9.2016) Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat eine Verwaltungsanordnung erlassen, die es Facebook ab sofort untersagt, Daten von deutschen WhatsApp-Nutzern zu erheben und zu speichern. Facebook wird ferner aufgegeben, bereits durch WhatsApp an das Unternehmen übermittelte Daten zu löschen.

Facebook und WhatsApp sind selbstständige Unternehmen, die die Daten ihrer jeweiligen Nutzer auf Grundlage ihrer eigenen Nutzungs- und Datenschutzbedingungen verarbeiten. Nach dem Erwerb von WhatsApp durch Facebook vor zwei Jahren haben sie öffentlich zugesichert, dass die Daten der Nutzer nicht miteinander ausgetauscht werden. Dass dies nun doch geschieht, ist nicht nur eine Irreführung der Nutzer und der Öffentlichkeit, sondern stellt auch einen Verstoß gegen das nationale Datenschutzrecht dar. Denn ein solcher Austausch ist nur dann zulässig, wenn sowohl auf Seiten des Unternehmens, das Daten liefert (WhatsApp) als auch bei dem empfangenden Unternehmen (Facebook) eine Rechtsgrundlage dafür vorliegt. Facebook hat allerdings weder eine wirksame Einwilligung von den Nutzern von WhatsApp eingeholt, noch ist eine gesetzliche Grundlage für den Datenempfang vorhanden.

Dass Facebook die Regelungen des deutschen Datenschutzrechts respektieren muss, ist klar, nachdem im Juli der EuGH in einem Urteil bestätigt hat, dass nationales Datenschutzrecht anwendbar ist, wenn ein Unternehmen im Zusammenhang mit einer nationalen Niederlassung Daten verarbeitet. Dies tut Facebook in Deutschland durch seine Niederlassung in Hamburg, die das deutschsprachige Werbegeschäft betreibt.

Hierzu der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Johannes Caspar:

„Die Anordnung schützt die Daten der ca. 35 Millionen WhatsApp-Nutzer in Deutschland. Es muss ihre jeweilige Entscheidung sein, ob sie eine Verbindung ihres Kontos mit Facebook wünschen. Dazu muss Facebook sie vorab um Erlaubnis fragen. Dies ist nicht geschehen.

Dazu kommen noch viele Millionen Personen, deren Kontaktdaten aus den Adressbüchern der Nutzer zu WhatsApp hochgeladen wurden, ohne dass diese etwas mit Facebook oder WhatsApp zu tun haben müssen. Diese gigantische Menge von Daten hat Facebook zwar nach eigenem Bekunden noch nicht erhoben. Die Antwort von Facebook, dass dies lediglich zur Zeit noch nicht erfolgt sei, gibt jedoch Anlass zur Sorge, dass das Ausmaß des Datenverstoßes noch massivere Auswirkungen nach sich ziehen wird.“

https://www.datenschutz.de/wp-content/uploads/kalins-pdf/singles/anordnung-gegen-massendatenabgleich-zwischen-whatsapp-und-facebook.pdf

BayLDA: Umgang mit Datenpannen – Art. 33 und 34 DS-GVO

/in /von

Wenn sensible Daten im Unternehmen abhandenkommen, drohen meist schwer zu kalkulierende Auswirkungen – vom Vertrauensverlust bei Kunden, Image-Schäden gegenüber Geschäftspartnern bis hin zu großen finanziellen Einbußen, die sich auf das Jahresergebnis niederschlagen können. Schon heute zeigt sich, dass eine aktive und umfassende Zusammenarbeit mit der Aufsichtsbehörde nicht nur die Schäden hierbei besser einzugrenzen hilft, sondern auch geeignet ist, um die Betroffenen fachgerecht zu informieren. Welche neuen Anforderungen an die Meldung von Datenpannen in der Grundverordnung verankert sind, hat das BayLDA in einem neuen kurzen Papier zusammengefasst. Das Dokument kann nachfolgend heruntergeladen werden.

WIM September 2016: Datenschutz-Grundverordnung – Personen unter Schutz

/in /von

WiM – Wirtschaft in Mittelfranken, Ausgabe 09|2016, Seite 20

​Die Datenschutz-Grundverordnung regelt ab 2018 die Verarbeitung von personenbezogenen Daten. Unternehmen sollten sich schon jetzt vorbereiten.

Gewaltige Lobby-Schlachten sind wegen der Datenschutz-Grundverordnung (DS-GVO) geführt worden. Sie wurde nun am 4. Mai 2016 im Amtsblatt der Europäischen Union veröffentlicht und regelt insbesondere die Verarbeitung personenbezogener Daten. In Kraft treten wird sie zwar erst am 25. Mai 2018, aber diese zweijährige Übergangszeit sollten alle Unternehmen intensiv für die Vorbereitung nutzen.

Auch nach dem Abschluss des Gesetzgebungsverfahrens wird kontrovers über Ausgestaltung und Bedeutung des Regelwerks diskutiert, das folgende amtliche Bezeichnung trägt: „Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundordnung)“. Diese sperrige Bezeichnung könnte symbolisch stehen für die Unsicherheit, mit der Unternehmen, Behörden, Vereine, Verbände und Freiberufler den künftigen Vorschriften gegenüberstehen. Denn darüber, wie die neuen Normen im Detail wirklich zu verstehen bzw. zu vollziehen sein werden, wird vielfach spekuliert. Für mehr Klarheit sorgen dürften in den nächsten Monaten Verlautbarungen und Leitlinien der deutschen Aufsichtsbehörden und des neu geschaffenen Europäischen Datenschutzausschusses. Datenschutz-Experten sind sich aber einig, dass abschließende Klarheit in einzelnen Fragen – etwa bei den erheblich geänderten Normen im Bereich der Datensicherheit – wohl erst im Laufe der nächsten Jahre durch die Rechtsprechung des Europäischen Gerichtshofs geschaffen werden wird.

Dies bedeutet aber nicht, dass Unternehmen erst einmal abwarten sollten. Vielmehr sollten sie schon jetzt analysieren, in welchen Bereichen sie durch die DS-GVO betroffen sein könnten. Denn die wesentlichen Bestimmungen liegen fest: Die DS-GVO regelt vor allem die Art und Weise, wie jegliche personenbezogenen Daten verarbeitet werden dürfen. „Verarbeitung“ ist der neue Einheitsbegriff, der die bisherigen differenzierten Begriffe umfasst („Daten erheben, speichern, verändern, übermitteln, sperren, löschen oder nutzen“). Als personenbezogene Daten gelten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Identifiziert werden kann eine Person laut DS-GVO, wenn ihr direkt oder indirekt ein Name, eine Kennnummer (z.B. Steuernummer), Standortdaten, eine Online-Kennung (E-Mail-Adresse) oder ein oder mehrere charakteristische Merkmale zugeordnet werden können. Die Verarbeitung der personenbezogenen Daten muss nicht zwingend in der EU selbst stattfinden. Vielmehr erfasst die DS-GVO auch die Datenverarbeitung außerhalb der EU, wenn sie durch einen Verantwortlichen oder einen Auftragsverarbeiter mit Sitz in der EU erfolgt.

Wie das bisherige Datenschutzrecht geht auch die DS-GVO davon aus, dass mit personenbezogenen Daten nur dann umgegangen werden darf, wenn eine Einwilligung des Betroffenen vorliegt oder wenn eine Rechtsgrundlage dies erlaubt oder anordnet.

Datenverarbeitung dokumentieren

Die Kenntnis dieser Regelungen der DS-GVO reicht für die Unternehmen aus, um sich schon jetzt an die wichtigsten Vorbereitungsarbeiten zu machen. Sie bilden die Basis, um später beurteilen zu können, ob der Betrieb die Vorschriften der DS-GVO einhält. Jedes Unternehmen sollte jetzt sehr genau prüfen, welche personenbezogenen Daten von Mitarbeitern, Kunden oder sonstigen Geschäftspartnern verarbeitet werden, auf welcher Rechtsgrundlage diese Verarbeitung erfolgt, zu welchem Zweck dies geschieht, an wen Daten übermittelt und wann diese Daten gelöscht werden. Eigentlich sind die verantwortlichen Stellen aufgrund des geltenden Bundesdatenschutzgesetzes schon jetzt verpflichtet, entsprechende Verfahrensverzeichnisse zu erstellen und zu führen. Aus der Prüfpraxis des Bayerischen Landesamtes für Datenschutzaufsicht ergibt sich, dass dies von vielen Unternehmen eher als eine lästige Formalie angesehen wird und deshalb als Dokumentation über die Datenverarbeitung im Unternehmen häufig nicht ausreichend ist. Nur wer eine derartige Verarbeitungsübersicht hat und Datenbestand und Datenflüsse im eigenen Unternehmen identifizieren kann, wird in der Lage sein, die datenschutzrechtlichen Vorgaben zu erfüllen. Ernst wird es spätestens mit der DS-GVO: Sie verpflichtet die Datenverarbeiter ebenfalls, derartige Verfahrensübersichten zu führen und die Folgen bestimmter Maßnahmen (z. B. Videoüberwachung) für den Datenschutz abzuschätzen und zu dokumentieren. Verstöße dagegen unterliegen extrem hohen Sanktionen.

Alle Unternehmen sollten deshalb für Transparenz über die Datenverarbeitung im eigenen Unternehmen sorgen. Nur wenn man weiß, welche Daten auf welche Art und Weise verarbeitet werden, wird man prüfen können, ob diese Verarbeitung in Zukunft unter den Voraussetzungen der DS-GVO noch so möglich ist bzw. was gegebenenfalls geändert werden muss. Die zweijährige Übergangsphase bis zum Inkrafttreten der Grundverordnung sollte intensiv genutzt werden. Diese Zeitspanne werden viele Unternehmen brauchen, um ihre Prozesse anzupassen und umzustellen. Eine weitere Übergangsphase nach dem 25. Mai 2018 bzw. eine Schonfrist bei der Prüfung durch die Aufsichtsbehörden wird es jedenfalls nicht geben.

Das Bayerische Landesamt für Datenschutzaufsicht informiert über alle Fragen zu den Vorschriften der neuen DS-GVO. Das Landesamt und alle anderen Aufsichtsbehörden sowie die Kammern und Verbände sind dankbar für Hinweise auf unklare Regelungen oder Umsetzungsprobleme. Sie helfen den Aufsichtsbehörden, offene Fragen und ungelöste Problemfelder zu erkennen und – auch in Zusammenarbeit mit den anderen zuständigen Behörden auf deutscher und europäischer Ebene – Klarstellungen vorzunehmen.

Autor:
Thomas Kranig (Präsident des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA) in Ansbach (www.lda.bayern.de).