Die Datenschutz-Aufsichtsbehörden stimmen gegenwärtig eine einheitliche Sichtweise zur Auslegung der DS-GVO ab. Erste Ergebnisse sind gemeinsame Kurzpapiere, die die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) erarbeitet und seit Anfang Juli 2017 veröffentlicht.

„Diese Kurzpapiere dienen als erste Orientierung darüber, wie nach Auffassung der Datenschutzkonferenz die DS-GVO im praktischen Vollzug angewendet werden sollte”, führt Barbara Thiel, DSK-Vorsitzende und Landesbeauftragte für den Datenschutz Niedersachsen hierzu aus. 

Die Einzelnen Kurzpapiere

Kurzpapier Nr. 1 - Verarbeitungs-Verzeichnis: Verzeichnis aller automatisierten und nichtautomatisierten Verarbeitungstätigkeiten mit personenbezogenen Daten. Die Pflicht, ein solches Verzeichnis aufzustellen und zu führen, trifft jeden Verantwortlichen und auch jeden Auftragsdatenverarbeiter.

Die Voraussetzungen für die Verzeichnispflicht

Verarbeitende Stelle hat mindestens 250 Mitarbeiter. Datenverarbeitung birgt besonderes Risiko für Rechte und Freiheiten der betroffenen Personen. Hierzu gehören regelmäßig das Scoring und Überwachungsmaßnahmen. Datenverarbeitung erfolgt nicht nur gelegentlich sondern regelmäßig. Gemeint ist zum Beispiel die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten. Damit dürften auch Unternehmen, die weniger als 250 Mitabreiter beschäftigen, verzeichnispflichtig sein. Erfassung von besonderen Datenkategorien nach Art. 9 Absatz 1 DS-GVO. Hierzu gehören zum Beispiel die Verarbeitung von Religionsdaten, Gesundheitsdaten, strafrechtlichen Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO.

Das Verzeichnis ist zu führen, wenn eine der genannten Voraussetzungen vorliegt. Mit dem Verarbeitungsverzeichnis wird die Pflicht zur Führung eines Verfahrensverzeichnisses nach BDSG abgelöst. 

Kurzpapier Nr. 2 - Aufsichtsbefugnisse/Sanktionen: Skizziert die Möglichkeiten der Aufsichtsbehörden, die Einhaltung der Datenschutzvorgaben zu prüfen und durchzusetzen. Die DS-GVO sieht hier unterschiedliche Untersuchungs- und Abhilfebefugnisse vor und gibt die Möglichkeit Geldbußen zu verhängen. 

Kurzpapier Nr. 3 - Datenverarbeitung und Werbung: Stellt klar, wann die DSGVO die Verarbeitung personenbezogener Daten zu Werbezwecken erlaubt. Künftig hängt die Zulässigkeit nicht nur von der Einwilligung des Betroffenen, sondern auch von  einer Interessenabwägung nach Artikel 6 DSGVO ab. 

Kurzpapier Nr. 4 - Internationaler Datentransfer: Behandelt die Voraussetzungen, die nach Artikel 44 DSGVO für eine Datenübermittlung in Länder außerhalb der EU vorliegen müssen. Danach muss die EU-Kommission Angemessenheit des Datenschutzniveaus im Drittland festgestellt haben. Anderenfalls muss der Verantwortliche eine geeignete Garantie zur Gewährleistung des Schutzniveaus im Drittland abgeben oder es muss ein Ausnahmetatbestand einschlägig sein. 

Ergebnisse unter Vorbehalt

Thiel machte allerdings auch deutlich, dass die gemeinsam erarbeiteten Auffassungen unter dem Vorbehalt einer eventuell abweichenden Auslegung durch den Europäischen Datenschutzausschuss stehen.


Zu den Kurzpapieren, jeweils als PDF

Kurzpapier Nr. 1  -

Kurzpapier Nr. 2  -

Kurzpapier Nr. 3  -

Kurzpapier Nr. 4

Auch interessant:

• Christian Volkmer und Ingo Kaiser, Das Verzeichnis von Verarbeitungstätigkeiten und die Datenschutz-Folgenabschätzung in der Praxis, in PinG Privacy in Germany, Ausgabe 04/2017

Datenschutz und Compliance

PinG Privacy in Germany – Die Zeitschrift für alle, die mit Datenschutz in Unternehmen zu tun haben und bei der regelkonformen Umsetzung stets auf der sicheren Seite sein wollen. Herausgeber: Prof. Niko Härting.

(ESV/bp)