Basiswissen und Beispiele
Für einen Auftragsverarbeiter ist in Art. 28 Abs. 3 b) DSGVO bestimmt, dass nur Personen zur Verarbeitung eingesetzt werden, die – soweit sie nicht bereits einer gesetzlichen Pflicht zur Verschwiegenheit unterliegen – zur Vertraulichkeit verpflichtet wurden
Personenbezogen sind alle Einzelangaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen
das ist eine bestimmte oder bestimmbare ...
... natürliche Person
ACHTUNG: Daten über Personengesellschaften und "Ein Personen Gesellschaften " (GmbH, AG, etc.) werden wie natürliche Personen behandelt
Grundsatz:
Personenbezogene Daten dürfen gar nicht erhoben, verarbeitet oder genutzt werden
Ausnahmen:
Besondere Arten personenbezogener Daten sind Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, das Sexualleben oder strafrechtliche Verurteilungen. Diese sind als besonders sensibel einzustufen und strikt vertraulich zu behandeln.
Die meisten Datenpannen passieren durch Fehler oder Unachtsamkeit der Mitarbeiter, nicht durch Attacken von außen
“So wie Sie nicht wollen, dass Daten über Sie Unbefugten zur Kenntnis gelangen, müssen Sie auch dafür sorgen, dass Sie die Daten anderer vertraulich behandeln.”
Art. 33 und 34 Datenschutz-Grundverordnung:
u.a.
Praxisbeispiele
Die Zusendung von Geburtstagsglückwünschen zur Förderung der Kundenbeziehung ist grundsätzlich zulässig. Dabei kommt es vor, dass ein Unternehmen einem Kunden mit Postkarte zum 60. Geburtstag gratuliert oder dass auf dem Briefumschlag aufgedruckt ist: "Alles Gute zum 50. Geburtstag "
Zulässig? ja / nein
Derartige Glückwunschschreiben sind datenschutzrechtlich nicht zulässig. Die Unternehmen müssen vielmehr sicherstellen, dass niemand unbefugt vom Alter und vom Geburtsdatum des angeschriebenen Kunden Kenntnis erhalten kann. Sie müssen deshalb von offenen Glückwunschkarten und von entsprechenden Kuvertaufdrucken absehen.
Ein Telemediendienstleister speichert zeitlich unbegrenzt die IP-Adresse des anfragenden Rechners, Datum und Uhrzeit des Zugriffs, Name und URL der abgerufenen Datei, die übertragene Datenmenge, die Meldung, ob der Abruf erfolgreich war, Erkennungsdaten des verwendeten Browser- und Betriebssystems, die Webseite, von der aus der Zugriff erfolgt, sowie den Namen des Internet-Zugangs-Providers der Nutzer seines Telemediendienstes.
zulässig? ja / nein
In Art. 5 Abs. 1c) Datenschutz-Grundverordnung (DSGVO) gibt es die Pflicht zur Datenvermeidung und Datenminimierung;
§ 15 Telemediengesetz (TMG) verbietet die personenbeziehbare Protokollierung des Nutzungsverhaltens, sofern diese nicht zur Abrechnung erforderlich ist.
“Was auch immer du tust,
handle klug
und berücksichtige das Ende!”
(Quidquid agis, prudenter agas et respice finem)