Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)

im folgenden DSGVO abgekürzt.

Geltung ab 25.05.2018.

Es handelt sich um unmittelbar geltendes Recht in allen Mitgliedstaaten der EU.

Ziel: Harmonisierung des Datenschutzrechts in der EU.

Die DSGVO gilt gleichermaßen für Unternehmen und Behörden.


Gliederung:
I. Grundsätzliches zur DSGVO


I.1
EU-Recht, Bundes- und Landesrecht, Öffnungsklauseln




Aber: insbesondere für den öffentlichen Bereich enthält die DSGVO viele Öffnungsklauseln und Regelungsaufträge für die nationalen Gesetzgeber.
Neben der DSGVO wird der Datenschutz geregelt im sonstigen EU-Recht, in neuen Datenschutzgesetzen von Bund und Ländern und bereichsspezifischen Regelungen in den Fachgesetzen wie z.B. im SGB X.

Zudem gehört zum neuen Regelungswerk noch die JI-Richtlinie 2016/680. Diese ist wie die von der DSGVO abgelöste Datenschutzrichtlinie von den Mitgliedsstaaten in nationales Recht umzusetzen. Dies ist mit Regelungen im BDSG und bezogen auf Niedersachsen im NDSG geschehen. Geregelt wird hier der Datenschutz in Zusammenhang mit Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten.


I.2
Informationssicherheit

In Zeiten fortschreitender Digitalisierung bekommt neben dem Datenschutz (Schutz der Person vor Missbrauch personenbezogener Daten) die Informationssicherheit zunehmend Bedeutung (Schutz aller Informationswerte eines Unternehmens).
Das können Informationen in Papier- oder IT-Form sein, Verträge, Urkunden, Kommunikation - aber auch das Wissen der Mitarbeiter*innen.

Die Hauptschutzziele der Informationssicherheit sind

Datenschutz und Informationssicherheit besitzen eine große Schnittmenge, haben aber u. U. im Einzelfall auch gegensätzliche Ziele.

Informationssicherheit etabliert man in der Regel in Form eines Informationssicherheits-Managementsystems (ISMS), internationaler Standard dafür ist die DIN/ISO 27001.

Ein ISMS ist eine Sammlung von Regeln und technisch-organisatorischer Maßnahmen, die auf Basis von Risikobewertungen für die zu schützenden Informationen ausgewählt, dokumentiert und zyklisch überprüft werden.

Durch ein ISMS auf Basis ISO 27001 wird erreicht


I.3
Aufbau der DSGVO

Die DSGVO ist ein Artikelgesetz mit 173 „Erwägungsgründen“ (Legal-Kommentierung des Verordnungsgebers).
EU-Verordnungen sind unmittelbar geltendes Recht.
Aber: die DSGVO enthält zahlreiche Öffnungsklauseln und ist damit teilweise „richtlinienähnlich“ konzipiert.
Ein Beispiel: die Öffnungsklausel des Art. 6 Abs. 2 u. Abs. 3 DSGVO i. V. m. Art. 6 Abs. 1 lit. c) und e)


II. DSGVO - Inhalte der Verordnung


II.1
Der Verantwortliche (Art. 4 Nr. 7 DSGVO)


Art. 24 Verantwortung des für die Verarbeitung Verantwortlichen

Technisch-organisatorische Maßnahmen (TOMs) zur Sicherstellung und Erbringung des Nachweises
dass die Verarbeitung gemäß der DSGVO erfolgt (gemeint sind alle Handlungen die dem dienen z. B.:

Sie müssen geeignet sein, d.h. den konkreten Umständen unter Abwägung des jeweiligen Risikos (Eintrittswahrscheinlichkeit und Schwere der Risiken, siehe Schutzstufenkonzept der Landesbeauftragten für den Datenschutz Niedersachsen) angemessen sein.
Es besteht die Pflicht zur regelmäßigen Überprüfung. Verhaltensregeln gemäß Art. 40 DSGVO oder ein Zertifizierungsverfahren gemäß Art. 42 DSGVO können herangezogen werden, um den Nachweis zu erbringen.

Art. 5 Abs. 1 Grundsätze für die Verarbeitung personenbezogener Daten


Art. 5 Abs. 2: Verantwortlicher hat Rechenschaftspflicht bzgl. in Abs. 1 genannter Grundsätze

Im Rahmen der Nachweispflicht sind insbesondere
folgende Unterlagen vorzulegen („Dokumentation“):

Art. 13, 14 Informationspflichten, Art. 15 Auskunftsrecht

Umfängliche Informationspflichten des Verantwortlichen
Ziel:

Art. 30 Verzeichnis von Verarbeitungstätigkeiten

Nach Abs. 1 S.1 sind alle (nicht nur automatisierte!) Verarbeitungstätigkeiten des Verantwortlichen zu erfassen.

Art. 32 Sicherheit der Verarbeitung (TOMs)

Dies wird im Regelfall durch das Rechenzentrum sichergestellt, aber es gibt bei der LHH auch
Art. 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde

Art. 34 Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person

Art. 35 Datenschutz-Folgenabschätzung

Insbesondere in folgenden Fällen:

Mindestanforderungen:

Die Datenschutz-Folgeabschätzung ist vom Verantwortlichen vorzunehmen, der Rat der/des Datenschutzbeauftragten ist einzuholen.


II.2
Der Datenschutzbeauftragte (Artt. 37 ff. DSGVO)

Art. 38 Stellung des Datenschutzbeauftragten

Art. 39 Aufgaben des Datenschutzbeauftragten


II.3
Betroffenenrechte (Artt. 12 ff. DSGVO)

Recht auf Information (Artt. 13, 14 DSGVO)
Der Verantwortliche muss zum Zeitpunkt der Datenerhebung dem Betroffenem u.a. den Zweck der Verarbeitung, die Rechtsgrundlage, die Kategorien der verarbeiteten Daten und die Speicherdauer mitteilen.

Recht auf Auskunft
Der Betroffene kann Auskunft über seine verarbeiteten personenbezogenen Daten verlangen (Art. 15 DSGVO).

Recht auf Berichtigung
Der Betroffene kann die Berichtigung oder Vervollständigung seiner Daten verlangen (Art. 16 DSGVO).

Recht auf Löschung
Der Betroffene kann unter den Voraussetzungen des Art. 17 DSGVO die Löschung seiner personenbezogenen Daten verlangen (sofern nicht rechtliche Gründe wie z.B. gesetzliche Aufbewahrungsfristen dem entgegenstehen). Das Recht auf Vergessenwerden erweitert dieses Betroffenenrecht auf Inhalte, die im Internet veröffentlicht worden sind.

Recht auf Einschränkung der Verarbeitung
In den in Art. 18 DSGVO genannten Fällen (z.B. wenn die Richtigkeit der gespeicherten Daten bestritten wird) hat der Betroffene das Recht, eine Einschränkung der Verarbeitung der ihn betreffenden Daten zu verlangen.

Recht auf Datenübertragbarkeit
Der Betroffene kann verlangen, dass seine personenbezogenen Daten einem anderen „Anbieter“ übertragen werden (Art. 20 DSGVO). Dies gilt nicht, soweit die Verarbeitung in Wahrnehmung öffentlicher Aufgaben erfolgt(e).

Recht auf Widerspruch
Der Betroffene hat ein Widerspruchsrecht gegen die Verarbeitung seiner personenbezogenen Daten, soweit dafür Gründe vorliegen, die sich aus seiner besonderen Situation ergeben, und sofern an der Verarbeitung kein überwiegendes öffentliches Interesse besteht oder eine Rechtsvorschrift die Verarbeitung dieser Daten vorschreibt (Art. 21 DSGVO).

Widerrufsrecht bei Einwilligung
Beruht die Verarbeitung personenbezogener Daten auf einer Einwilligung, kann der Betroffene diese jederzeit mit Wirkung für die Zukunft widerrufen.


II.4
Einige weitere neue Regelungen

Haftung und Recht auf Schadenersatz (Art. 82 DSGVO) richten sich nunmehr auch direkt gegen den Auftragsverarbeiter.


II.5
Aufsichtsbehörde, Rechtsbehelfe, Haftung und Sanktionen


Art. 58 Befugnisse der Aufsichtsbehörde (Auszug)

Jede Aufsichtsbehörde verfügt über Untersuchungsbefugnisse,

Jede Aufsichtsbehörde verfügt über Abhilfebefugnisse,

Die Befugnis, Geldbußen zu verhängen (Art. 83 DSGVO), steht der Aufsichtsbehörde gegenüber öffentlichen Stellen nur zu, soweit diese als Unternehmen am Wettbewerb teilnehmen (§ 20 Abs. 5 NDSG):

Art. 77 Recht auf Beschwerde bei einer Aufsichtsbehörde

Art. 79 DSGVO Recht auf wirksamen gerichtlichen Rechtsbehelf gegen Verantwortliche oder Auftragsverarbeiter.

Art. 82 DSGVO Haftung und Recht auf Schadenersatz


Auszug aus dem NDSG:

§ 59 NDSG Ordnungswidrigkeiten

(1) Ordnungswidrig handelt, wer
als Person, die bei einer öffentlichen Stelle oder deren Auftragsverarbeiter dienstlichen Zugang zu nicht allgemein zugänglichen personenbezogenen Daten hat oder hatte, diese Daten zu einem anderen als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck

a. speichert, verändert oder übermittelt,
b. zum Abruf bereithält,
c. abruft oder sich oder einem anderen verschafft oder
d. in anderer Weise verarbeitet

oder

personenbezogene Daten, die in dem Anwendungsbereich dieses Gesetzes verarbeitet werden und nicht allgemein zugänglich sind, durch Vortäuschung falscher Tatsachen sich oder einer anderen Person verschafft oder sich oder einer anderen Person durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung offenlegen lässt.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu 50 000 Euro geahndet werden.


§ 60 NDSG Straftaten

(1) Wer gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, eine in § 59 Abs. 1 genannte Handlung begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. Ebenso wird bestraft, wer unter den in Satz 1 genannten Voraussetzungen Einzelangaben über persönliche oder sachliche Verhältnisse einer nicht mehr bestimmbaren Person zusammenführt und dadurch wieder bestimmbar macht.

(2) Der Versuch ist strafbar.

(3) Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der
Verantwortliche, der Auftragsverarbeiter und die von der oder dem Landesbeauftragten
geleitete Behörde.


Quellenangabe

Gender-Aspekte werden durch diese Info-Drucksache nicht berührt.

Es entstehen keine finanziellen Auswirkungen.