Prozessorientiertes Datenschutz-Managementsystem

EU-DSGVO

Patrick Walitschek

• Verlag: Books on Demand
• Jahr: 2018
• eBook-ISBN: 9783752804102
• Auflage: 1
• Thema: Business
• Thema: Business General

Ein installiertes und gelebtes Datenschutzmanagementsystem kann dabei helfen, durch eine ständige Neubewertung den eigenen Stand der Technik aufs Neue zu hinterfragen und damit die Organisation in Bezug auf die Anforderungen der DSGVO kontinuierlich zu verbessern. Die daraus entstehende Dokumentation kann bei behördlichen Inspektionen genutzt werden, um detailliert den Prozess der Verarbeitung von personenbezogenen Daten darzustellen und durch die Anwendung von Werkzeugen aus dem Risikomanagement evtl. auftretende Probleme bereits im Vorfeld beheben.

Die Datenschutzgrundverordnung

Das Thema Datenschutz ist durch die erste Gesetzgebung im Jahr 1970 durch das Bundesland Hessen aus juristischer Sicht bekannt geworden. In den 1980er Jahren gelangte der Datenschutz durch das Volkszählungsurteil des Bundesverfassungsgerichts in den Fokus der Öffentlichkeit. (BVerfG 1 BvR 209/83, 1 BvR 484/83, 1 BvR 420/83, 1 BvR 362/83, 1 BvR 269/83, 1 BvR 440/83) Das Gericht entschied über die informelle Selbstbestimmung der Bürger, dass eine Volkszählung nicht zulässig sei. Die Datenverarbeitung war durch das Verbot eines Erlaubnisvorbehalts reglementiert. Die Betroffenen mussten der Verarbeitung der Daten im Vorhinein zustimmen. Diese Regelung stammt aus den 80er Jahren. Mit der ‚Erfindung‘ des Internets jedoch wurde die Verarbeitung von Daten der Öffentlichkeit und den privaten Haushalten zugänglich gemacht und war nicht länger an Großrechner gebunden. Diesem rasanten technischen Fortschritt kam die Gesetzgebung seiner Zeit nicht nach (Körner, 2017, S. 5).

Der Whistleblower Edward Snowdon enthüllte im Jahr 2013, dass die US-Geheimdienste über Jahre hinweg personenbezogene Daten von Millionen von Menschen verarbeiten. Weiter berichtete Snowdon, dass auf ähnliche Art und Weise private Unternehmen, über Auswertungsverfahren verfügen, um über diese Datenmengen Zusammenhänge und Trends zu erkennen. Dadurch wäre es möglich, zukünftiges Verhalten von Betroffenen zu berechnen und Entscheidungen zu steuern. Hierbei handelt es sich um eine Gefahr für die Privatsphäre (Körner, 2017, S. 5).

Durch eine Klage wurde 2015 dem US-amerikanischen Unternehmen Facebook verboten, personenbezogene Daten von europäischen Bürgern in die Vereinigten Staaten zu übermitteln, solange es dort keine ausreichenden Regeln und Gesetze zum Datenschutz gibt (EuGH C-362/14).

Das Internet und die sozialen Medien bieten Menschen die Möglichkeit, ihre personenbezogenen Daten einfach und unkontrolliert zu veröffentlichen. Die meisten Nutzer dieser Medien scheinen mit dem Verlust an Kontrolle über ihre Daten kein Problem zu haben. Aktuelle Vorfälle aus der jüngeren Vergangenheit, wie das erwähnte Whistleblowing, zeigen jedoch, dass ein Umdenken stattfindet. Die Nutzer des Internets werden nicht zuletzt durch staatliche Überwachungsbehörden und kommerzielle Unternehmen aufmerksamer auf Überwachungs- und Datenspeicherungsprogramme (Kieselmann, 2018, S. 1). Der Verlust an Kontrolle über personenbezogenen Daten zeigt der Umstand, dass es nahezu unmöglich ist, die einst veröffentlichten Daten wieder restlos aus dem Internet zu löschen. „However, to delete a data object completely, all copies must first be found. This is a challenge even in a closed system. On the Internet, it is even more difficult or impossible to find all copies and, then, delete them on foreign computers“ (Kieselmann, 2018, S. 123).

2.1 Start der Datenschutzgrundverordnung

2012 hat die Europäische Union (EU) den ersten Entwurf der Verordnung vorgelegt. Diese Verordnung soll die Wirtschaftsakteure dabei unterstützen, die Digitalisierung als Chance zu nutzen und dabei den Schutz von personenbezogenen Daten der Betroffenen nicht zu vernachlässigen (Körner, 2017, S. 5). Am 04.05.2016 wurde die finale Datenschutzgrundverordnung im Amtsblatt der EU veröffentlicht, die nach einer zweijährigen Übergangsfrist am 25.05.2018 für staatliche Stellen und Unternehmen in Kraft tritt und verbindlich in allen Mitgliedsstaaten der EU umgesetzt werden muss (Datenschutz-Grundverordnung, 2016, Art. 99, Abs. 1).

2.2 Grundsätzliche Anforderungen zur Verarbeitung von personenbezogenen Daten

Abbildung 1 – ‚Kreis des Vertrauens‘, eigene Darstellung

Rechtmäßigkeit der Verarbeitung von personenbezogenen Daten

Die DSGVO fordert in Art. 5 Abs. 1, dass die Verarbeitung von personenbezogenen Daten rechtmäßig und nach ‚Treue und Glauben‘ zu erfolgen hat. Für die betroffene Person muss diese Verarbeitung in einer nachvollziehbaren Art und Weise erfolgen und transparent sein (Datenschutz-Grundverordnung, 2016, Art. 5, Abs. 1, lit. a). Treue und Glauben als unbestimmter Rechtsbegriff wird vom BGB wie folgt beschrieben: „Der Schuldner ist verpflichtet, die Leistung so zu bewirken, wie Treu und Glauben mit Rücksicht auf die Verkehrssitte es erfordern“ (BGB, 1896, § 242). In Bezug auf die DSGVO meint dies, dass das Verhalten der beteiligten Parteien gewissenhaft und aufrichtig sein soll. Dabei hat die Verarbeitung von personenbezogenen Daten für die Betroffenen transparent und leicht verständlich zu erfolgen.

Zweckbindung bei der Verarbeitung personenbezogener Daten

Personenbezogene Daten dürfen nur für einen eindeutigen und festgelegten Zweck verarbeitet werden. Dieser ...

Inhaltsverzeichnis

• Einleitung und Problemstellung
• Die Datenschutzgrundverordnung
• Datenschutzbeauftragter
• Prozessorientierter Ansatz
• Prozessorientiertes Datenschutzmanagementsystem
• Verpflichtung der obersten Leitung
• Dokumentation
• Datenschutzaudit
• Beispielhafte Gliederung eines Datenschutzmanagementsystems
• Fazit
• Glossar
• Abkürzungsverzeichnis
• Literaturverzeichnis
• Impressum