Das Bundesministerium des Inneren hat am 23.11.2016 den Verbänden einen Gesetzentwurf zur Anpassung des Datenschutzrechts an die Datenschutz-Grundverordnung (DS-GVO) vorgelegt.

Datenschutz-Grundverordnung praxisgerecht ergänzen

Das Bundesministerium des Inneren hat am 23.11.2016 den Verbänden einen Gesetzentwurf zur Anpassung des Datenschutzrechts an die Datenschutz-Grundverordnung (DS-GVO) vorgelegt. Kernregelung ist die Neufassung des Bundesdatenschutzgesetzes.

Das BDSG-neu sieht zum einen die Übernahme der für die Wirtschaft relevanten Zulässigkeitsregelungen zum Beschäftigtendatenschutz (§ 32 BDSG), zur Datenübermittlung an Auskunfteien (§ 28a BDSG) und zum Scoring (§ 29 BDSG) vor. Auch für die Weiterverarbeitung von Daten werden auf Grundlage der Öffnungsklausel in Art. 6 Abs. 4 DS-GVO weitere Rechtsgrundlagen geschaffen.

Bestellpflicht für Datenschutzbeauftragte bleibt erhalten

Aus Sicht der GDD ist begrüßenswert, dass die Bestellvoraussetzungen für einen betrieblichen Datenschutzbeauftragten unverändert übernommen werden. Mit Blick auf seine unabhängige Aufgabenwahrnehmung wurde auch der besondere Kündigungsschutz übernommen.

Ebenso wurde auch die Schweigepflicht, die zugleich auch ein Schweigerecht ist, adaptiert.

Praxisgerechte Konkretisierungen der Transparenzpflichten

Von großer Bedeutung für die Datenschutzpraxis sind die Konkretisierungen der Transparenzpflichten der DS-GVO mit Blick auf die Praktikabilität des Datenschutzes. Nach Art. 13 DS-GVO hat der Verantwortliche bereits bei der Datenerhebung beim Betroffenen umfangreiche, detaillierte  Informationspflichten. Insbesondere bei der Videoüberwachung sind diese schwer umsetzbar. Unter Berufung auf die Öffnungsklausel des Art. 23 DS-GVO sieht § 30 Abs. 3 Satz 2 BDSG-neu-E vor, dass bei der Videoüberwachung öffentlich zugänglicher Räume der Umstand der Beobachtung über Name und Kontaktdaten des Verantwortlichen durch geeignete Maßnahmen zum frühestmöglichen Zeitpunkt erkennbar zu machen sind. Diese Vorgabe entspricht § 6b BDSG. Alle anderen Lösungen als der Standard durch ein Piktogramm wären nicht praktikabel und für diese spezifische Verarbeitungssituation nicht im Betroffeneninteresse. Auch das Korrektiv des § 30 Abs. 1 Nr. 3 BGSG-neu-E, wonach eine Informationspflicht bei der Weiterverarbeitung nicht besteht, wenn diese voraussichtlich die Verwirklichung der Ziele der Verarbeitung unmöglich machen oder ernsthaft beeinträchtigen würde, ist praxisgerecht, da anderweitig investigative Maßnahmen bei Verdacht von kriminellen Handlungen dem Betroffenen angekündigt werden müssten.

Sperrpflichten des BDSG werden übernommen

Das Recht auf Löschung soll in § 33 BDSG-neu-E auf die Sperrvorschriften des § 35 Abs. 3 BDSG zurückgeführt werden. Insofern wird aus der Einschränkung der Verarbeitung in Art. 18 DS-GVO, die nur als Betroffenenrecht ausgestaltet ist, eine ergänzende Pflicht des Verantwortlichen. Praxisrelevanz hat dieser Rückgriff auf das BDSG z.B. bei der Datensicherung. Sämtliche, z.T. umfangreiche Tages-, Wochen- und Monatssicherungen müssten für ein zu löschendes Datum mit großem administrativen Aufwand der IT korrigiert werden. Das wäre unverhältnismäßig. Konsequent ist auch die Beibehaltung der Sperrpflicht nicht nur bei gesetzlichen (geregelt Art. 17 Abs. 3 lit. b DS-GVO), sondern auch bei vertraglichen oder satzungsmäßigen Aufbewahrungspflichten. Dadurch werden Pflichtenkollisionen, auf die die Gesetzesbegründung zutreffend verweist, vermieden.

Auskunftspflichten an das BDSG angepasst

Die Beschränkungen des Auskunftsrechts nach Art. 15 DS-GVO hinsichtlich der Daten, für die eine Aufbewahrungspflicht besteht und entsprechend bei der Verarbeitung einzuschränken sind, haben ebenso die bestehende Rechtslage im Blick. Unverhältnismäßig wäre es, wenn Protokolldateien, die ausschließlich aus Gründen der Datensicherung und der Datenschutzkontrolle anfallen, beauskunftet werden müssten. Auch für widerstreitende Geschäftsgeheimnisse sieht die DS-GVO keine Beschränkung vor, sodass der nationale Gesetzgeber hier korrigierend eingreifen muss. Den Interessen der Betroffenen soll im Gegenzug dadurch Rechnung getragen werden, dass die Gründe der Auskunftsverweigerung zu dokumentieren und der Betroffene grundsätzlich darüber zu informieren ist.

Die geplanten Regelungen begrenzen zunächst den Aufwand für Unternehmen in Deutschland. Für europaweit tätige Konzerne, kann die Datenschutzorganisation hinsichtlich der Organisation der Betroffenenrechte zunächst nicht vereinheitlicht werden. Es bleibt deshalb zu hoffen, dass die anderen Mitgliedstaaten die deutschen Vorschläge wohlwollend prüfen und ggf. übernehmen. Der Zeitdruck für ein gesetzgeberisches Handeln ist jedenfalls vielfach dort nicht so groß, wie in Deutschland bedingt durch die Bundestagswahl im nächsten Jahr.

Den aktuellen Entwurf (vom 23.11.2016) des Datenschutz-Anpassungs- und -Umsetzungsgesetz finden Sie hier.

Der ASW Bundesverband, das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben erste Teile des Wirtschaftsgrundschutz-Handbuches veröffentlicht.

Der Wirtschaftsgrundschutz bietet Sicherheitsverantwortlichen in Firmen Handlungsempfehlungen und Orientierung für eine effektive Unternehmenssicherheit. Mit seiner modularen Struktur greift das neue Handbuch das Format des bewährten IT-Grundschutz auf und ergänzt die dortigen Maßnahmen der Informationssicherheit um Aspekte des Wirtschaftsschutzes. Die Kombination von IT-Grundschutz und Wirtschaftsgrundschutz bietet dabei umfangreiche Hilfestellung bei der Entwicklung eines funktionierenden Sicherheitskonzeptes.

In einem ersten Schritt werden Sicherheitsstandards für den Aufbau und Betrieb eines Sicherheitsmanagementsystems sowie eines Notfall- und Krisenmanagements vorgestellt. Darüber hinaus werden Bausteine mit konkreten Maßnahmen zu den Bereichen Reisesicherheit und Sicherheitsschulungen präsentiert. Dabei werden Empfehlungen für Basismaßnahmen, Standardmaßnahmen und erweiterte Maßnahmen gegeben, je nach Relevanz für das Unternehmen.

„Wir schaffen damit ein Werk, an dem sich Unternehmen – insbesondere Mittelständler – orientieren können, welche Maßnahmen sie ergreifen sollten, um sich angemessen zu schützen“, so der Vorsitzende des ASW Bundesverbandes Volker Wagner.

In den nächsten Monaten werden weitere Bausteine veröffentlicht,- beispielsweise zur Lauschabwehr, zum Management von Wirtschaftskriminalität, zu Produkt- und Knowhow-Schutz sowie zur Steuerung von Sicherheitsdienstleistungen.

BfV-Präsident Dr. Hans Georg Maaßen erklärt hierzu:

„Eine digitalisierte Welt birgt zahlreiche Risiken durch Spionage, Sabotage, Terrorismus und Extremismus. Zu den Aufgaben des BfV gehört es, auf die Risiken hinzuweisen und Schutzmöglichkeiten aufzuzeigen. Erstmalig haben wir praxisgerechte Handlungsempfehlungen gebündelt. Wir laden die Unternehmen dazu ein, dieses Instrument zu nutzen und ihre Sicherheitsmaßnahmen zu überprüfen und zu optimieren.“

„Wir haben unsere Erfahrungen mit der Informationssicherheit und insbesondere mit dem IT-Grundschutz des BSI in den Maßnahmenkatalog eingebracht. Die bewährte Vorgehensweise des IT-Grundschutz mit ihrem breiten fachlichen Fundament konnte so um Aspekte des Wirtschaftsschutzes ergänzt werden“, erklärt BSI-Präsident Arne Schönbohm.

Das Handbuch ist auch eine Antwort auf die komplexe Bedrohungslage und Ergebnis von Analysen, die zeigen, dass durch Basismaßnahmen bereits ein Großteil der Angriffe abgewehrt werden kann. Herausgegeben wird der Wirtschaftsgrundschutz vom ASW Bundesverband, BfV und BSI. Es ist das Ergebnis eines Forschungsprojekts, an dem der ASW Bundesverband und die HiSolutions AG über zwei Jahre gearbeitet haben. Mitgewirkt haben Experten aus zahlreichen Unternehmen und Forschungseinrichtungen sowie Vertreter der Sicherheitsbehörden. Gefördert wurde das Projekt durch das Land Berlin und aus Mitteln des Europäischen Fonds für Regionale Entwicklung (EFRE).

Das Handbuch zum Wirtschaftsgrundschutz wird auf www.wirtschaftsschutz.info, der Webseite der „Initiative Wirtschaftsschutz“, dem Verbund von Staat und Wirtschaft für mehr Sicherheit in den Unternehmen, veröffentlicht.

In  einer  koordinierten  schriftlichen  Prüfungsaktion  nehmen  zehn deutsche  Datenschutzaufsichtsbehörden Übermittlungen  personenbezogener  Daten  in  das  Nicht-EU-Ausland genauer unter  die  Lupe.  Die  Prüfung soll dabei auch der  Sensibilisierung von Unternehmen  für gerade  die Verarbeitungsprozesse dienen, bei  denen personenbezogene Daten in Nicht-EU-Länder  übermittelt  werden – wie  es  bspw.  bei Cloud Computing häufig der Fall ist.

In  den  letzten  Jahren haben grenzüberschreitende Übermittlungen von personenbezogenen Daten in der Privatwirtschaft weiter  massiv zugenommen.  Zu  den  Ursachen  dieser Entwicklung  zählen  die wirtschaftliche Globalisierung  wie  auch die  stetige  Ausbreitung von  Dienstleistungen  und  Produkten  des sog.  Cloud  Computing. Selbst viele  kleinere  und  mittlere Unternehmen in  Deutschland verarbeiten  inzwischen zahlreiche personenbezogene  Daten (z.B. von  Kunden,  Mitarbeitern  oder  Bewerbern) häufig auf  Servern  externer Dienstleister, oft außerhalb der Europäischen Union. Dies ist vor allem bei Angeboten wie dem sog. Software as a Service der Fall.  Ein  klassisches  Beispiel  hierfür  sind Office-Anwendungen „aus dem Internet“,  die  standortunabhängig  und flexibel genutzt werden können. Viele dieser Dienste stammen jedoch von US-Unternehmen und setzen deshalb meist die Übermittlung personenbezogener Daten in die USA und/oder in andere Nicht-EU-Staaten voraus. Die bisherige  Erfahrung der  Datenschutzaufsichtsbehörden zeigt,  dass sich Unternehmen bei Nutzung solcher Produkte nicht immer der Tatsache bewusst sind,  dass dadurch eine Übermittlung personenbezogener Daten in Nicht-EU-Staaten stattfindet und entsprechende datenschutzrechtliche Konsequenzen daraus resultieren.

Möchte ein  Unternehmen  personenbezogene  Daten in  Länder außerhalb  der  Europäischen  Union übermitteln, so muss es zuerst prüfen, ob überhaupt sicher gestellt werden kann, dass die Daten auch nach der Übermittlung noch angemessen geschützt bleiben – andernfalls muss die Übermittlung unterbleiben. Entscheidend ist daher, im  Unternehmen frühzeitig eine  Sensibilisierung  dafür  zu  erzeugen, ob  und ggf. im  Rahmen  welcher  Verarbeitungen das Unternehmen personenbezogene Daten in Nicht-EU-Staaten übermitteln möchte oder vielleicht sogar bereits übermittelt. Finden solche Übermittlungen statt, so muss sich das Unternehmen zwingend Gedanken machen, inwieweit diese auf eine datenschutzrechtliche Grundlage gestützt werden können oder nicht.

Vor  diesem  Hintergrund  werden zehn  deutsche  Datenschutzaufsichtsbehörden  (Bayern,  Berlin,  Bremen,  Hamburg, Mecklenburg-Vorpommern, Niedersachsen, Nordrhein-Westfalen, Rheinland-Pfalz, Saarland und Sachsen-Anhalt) in den nächsten Wochen eine  koordinierte schriftliche Prüfungsaktion zur Abfrage von Übermittlungen personenbezogener Daten durch nicht-öffentliche Stellen, d. h. insbesondere Unternehmen, in Nicht-EU-Staaten durchführen. Im Rahmen der Prüfung werden rund 500 Unternehmen angeschrieben, die nach dem Zufallsprinzip ausgewählt wurden. Die Aufsichtsbehörden haben dabei Wert darauf gelegt, Unternehmen unterschiedlicher Größenordnungen und verschiedener Branchen einzubeziehen.

Ein wichtiges Ziel der Prüfung liegt in der Sensibilisierung der Unternehmen für Datenübermittlungen in Länder außerhalb der Europäischen Union. Um Unternehmen das Auffinden solcher Übermittlungen zu erleichtern, wird auch gezielt nach  dem  Einsatz von  Produkten  und  Leistungen  externer  Anbieter  gefragt, die – nach bisherigen Erfahrungen  der  Aufsichtsbehörden – mit einer  Übermittlung personenbezogener Daten  in  Nicht-EU-Staaten verbunden sind. Gefragt  wird  zum  Beispiel  nach der Inanspruchnahme  externer  Leistungen  und  Produkte  in Bereichen wie Fernwartung,  Support,  Ticketing – Bearbeitung,  aber  auch  Customer  Relationship  Management oder  Bewerbermanagement.  Die  Unternehmen  werden dann aufgefordert,  die  entsprechenden von  ihnen genutzten Dienstleistungen und Produkte konkret zu nennen.

Sofern  personenbezogene  Daten  in  Nicht-EU-Staaten  übermittelt werden, sind die kontrollierten Unternehmen darüber  hinaus aufgefordert  anzugeben,  auf  welcher datenschutzrechtlichen  Grundlage  die  Übermittlungen erfolgen. Mitgeteilt werden muss bspw., ob für das Zielland durch Beschluss der Europäischen Kommission ein angemessenes Datenschutzniveau anerkannt ist (dazu zählt auch der sog. EU-U.S. Privacy Shield), ob Standardvertragsklauseln  als  Grundlage  verwendet  werden,  ob die  Übermittlungen  auf  Einwilligungen  der  Betroffenen gestützt werden o.a.

„Übermittlungen personenbezogener Daten in Nicht-EU-Staaten gehören inzwischen auch bei vielen mittelständischen Unternehmen zum Alltag, nicht zuletzt aufgrund der immer stärkeren Verbreitung von Angeboten des Cloud Computing.  Unternehmen  müssen  sich  aber dessen bewusst  sein,  dass  hierfür besondere datenschutzrechtliche Anforderungen gelten. Durch die koordinierte Prüfaktion, an der sich zehn deutsche Datenschutzaufsichtsbehörden beteiligen,  wollen  wir auch die  Sensibilität  der  Unternehmen  in  diesem  Bereich  erhöhen.“ betont  Thomas  Kranig, der  Präsident  des  Bayerischen  Landesamtes  für  Datenschutzaufsicht. „Ausgehend  von  der  Beantwortung  des Fragebogens  kann  und  wird  das  Bayerische  Landesamt  für  Datenschutzaufsicht dort,  wo  sich  dies  als  notwendig zeigt, auch in eine tiefere Prüfung einsteigen.“

Thomas Kranig
Präsident

Link PR-Mitteilung

Die meisten Unternehmen sind nicht mit den Details der EU-Datenschutzgrundverordnung vertraut und haben auch keinen Plan, wie sie neuen Anforderungen gerecht werden sollen. Zudem unterschätzen sie die möglichen Strafen.

Die im Mai 2018 in Kraft tretende EU-Datenschutzgrundverordnung dürfte eines der dominierenden Themen des kommenden Jahres werden. Einerseits weil die Anforderungen an Datensicherheit und Datenschutz für Unternehmen noch einmal stark erhöht werden, andererseits weil viele Unternehmen noch gar nicht wissen, was überhaupt auf sie zukommt. So gaben etwa in einer Umfrage von Dimensional Research im Auftrag von Dell mehr als 80 Prozent von über 800 Managern an, nur wenige oder keine Details der Verordnung zu kennen. Nur 30 Prozent waren der Meinung, ihr Unternehmen sei gut auf die neuen Anforderungen vorbereitet. Immerhin: In Deutschland liegt dieser Anteil bei 44 Prozent.

Allerdings haben die meisten Firmen, die sich bislang nicht gut für die Datenschutzgrundverordnung aufgestellt sehen, meist keinen Plan, wie sie das ändern (97 Prozent). Dabei spielt womöglich auch eine Rolle, dass die Konsequenzen, die Verstöße mit sich bringen, unterschätzt werden. So sind 21 Prozent der Befragten sicher, sie hätten mit einer Strafe zu rechnen, wenn die Verordnung bereits gelten würde. Allerdings geht gut ein Drittel von diesen davon aus, einfache Nachbesserungen im Unternehmen würden reichen. Knapp 50 Prozent glauben, mit einer moderaten Geldstrafe und überschaubaren Anpassungen davonzukommen.

»Die Umfrage zeigt deutlich den globalen Mangel an Verständnis für die GDPR und was getan werden muss, um die strengen Strafen zu vermeiden«, sagt John Milburn, Vice President und General Manager für die Dell One Identity Solution. Viele Unternehmen glaubten zwar, den Anforderungen gerecht zu werden, »doch es wird ein böses Erwachen geben, wenn sie einen Verstoß begehen, überprüft werden und die Folgen tragen müssen«. Denn in der EU-Datenschutzgrundverordnung sind Strafen von bis zu 4 Prozent des Jahresumsatzes vorgesehen.

Auch in der DS-GVO findet sich eine Regelung zur Auftragsdatenverarbeitung – jetzt Auftragsverarbeitung genannt – wieder. Allerdings legt die DS-GVO den Auftragsverarbeitern künftig mehr Verantwortung und Pflichten auf als bislang. Welche Rahmenbedingungen besonders im Fokus stehen hat das BayLDA in einem kurzem Papier zusammengefasst, das nachfolgend heruntergeladen werden kann.

https://www.lda.bayern.de/media/baylda_ds-gvo_10_processor.pdf