Wenn betroffene Personen (Kunden, Patienten, Klienten, Betreute, Schüler, Beschäftigte) Einsicht, Korrektur, Weitergabe oder Löschung Ihrer im Unternehmen verarbeiteten Daten verlangen, sollten Sie sich dieses Begehren grundsätzlich schriftlich oder per eMail geben lassen und leiten dies am besten an Ihre/n Datenschutzbeauftragte/n.
Dazu sollte immer eine schriftliche Erklärung der betroffenen Person eingeholt werden. Meist exisitieren dafür prozessorientierte Formulare im Unternehmen. Ansonsten sollten Sie diese von Ihrer/m Datenschutzbeauftragten anfordern.
Das Datenschutzgesetz gebietet, dass wir Personendaten grundsätzlich gesichert transportieren und Personendaten in eMails demnach verschlüsseln müssen. Falls also z. B. mit Outlook oder anderen elektronischen Hilfsmitteln Personendaten weitergeleitet werden sollen, sollten diese sich in gesonderten Dateien wie z. B. WORD-, PDF- oder ZIP-Dateien befinden und verschlüsselt werden. Die Mitteilung des zugehörigen Passworts der verschlüsselten Datei an den Empfänger der eMail sollte mit gesonderter eMail, SMS oder auch telefonisch oder schriftlich erfolgen.
Bei fast jedem Tool für Videokonferenzen, ob Skype, TEAMS oder sonstige spezielle Tools wie z. B. für Videosprechstunden, werden Daten über Server in ausländischen Staaten, oft auch außerhalb der EU, geleitet. Dabei gehen für die Teilnehmenden immer auch entscheidende Persönlichkeitsrechte verloren. Daher ist eine Teilnahme immer nur möglich, wenn die Teilnehmenden sich dessen bewusst sind und in diesem Bewusstsein einer Teilnahme zustimmen. Wenn Sie zu einem Termin für eine Videokonferenz einladen, sollte Sie der Einladung immer eine entsprechende Erklärung beifügen.
Grundsätzlich schulden wir jeder Person, deren Daten wir bei Ihnen direkt oder mittelbar bei anderen erheben, eine entsprechende Datenschutzerklärung, also auch den BewerberInnen.
Die verantwortlichen Unternehmen bzw. Inhaber von Personengesellschaften oder Einzelunternehmen (Verantwortliche) müssen in jedem der folgenden Fälle eine/n Datenschutzbeauftragte/n (DSB) bestellen:
- Wenn regelmäßig mindestens 20 Personen mit Personendaten umgehen oder
- Behörden (außer Gerichte) oder
- wenn die Kerntätigkeit aus einer Datenverarbeitung besteht, die eine regelmäßige, umfangreiche und systematische Überwachung von betroffenen Personen erforderlich macht und die Erreichung der Unternehmensziele oder der Ziele eines Unternehmensbereiches ohne den Einsatz von IT nicht möglich ist oder
- wenn die Kerntätigkeit aus einer umfangreichen Verarbeitung von z. B. Gesundheitsdaten besteht und ohne den Einsatz von IT nicht möglich ist oder
- wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat
Zusammenfassend kann also festgehalten werden:
Wenn die Unterstützung des Verantwortlichen bei Umsetzung und Einhaltung der DSGVO durch einen Datenschutzbeauftragten geboten ist, dann liegt auch eine Bestellpflicht vor. Ich habe z. B. medizinische Labore mit weniger als 20 Beschäftigten kennengelernt, die keine/n Datenschutzbeauftragte/n bestellt hatten. Diese wären aber aufgrund der anderen o. g. Kriterien dennoch zur Bestellung einer/s Datenschutzbeauftragten verpflichtet gewesen, da nicht eine einzige Laborleistung ohne Anwendung von IT möglich wäre.
Um einem weit verbreiteten Irrtum entgegenzutreten: Nur weil für ein verantwortliches Unternehmen bzw. für eine/n Inhaber/in von Personengesellschaften oder Einzelunternehmen (Verantwortliche) keine gesetzliche Pflicht zur Bestellung eines/r Datenschutzbeauftragten besteht, darf es die Datenschutzvorschriften der DSGVO nicht ignorieren. Die Praxis zeigt, dass insbesondere bei den Verantwortlichen, die keine/n Datenschutzbeauftragten bestellen müssen, die Umsetzung der DSGVO-Vorschriften am häufigsten und am meisten ignoriert wird. So besteht auch für kleinere Unternehmen die Möglichkeit, einmalig eine/n Datenschutzbeauftragte/n zu bestellen, um zumindest alle formalen Vorschriften zu erfüllen.
Gerade die externen Datenschutzbeauftragten, die sich beruflich auf diese Form der Beratung spezialisiert haben, besitzen umfangreiche Expertise in juristischen sowie technischen und organisatorischen Fragen. Externe Datenschutzbeauftragte sind kein verlängerter Arm des Gesetzes sondern Berater der Verantwortlichen. Sie können die Angemessenheit der Sicherheitsvorkehrungen in der IT genauso beurteilen wie knifflige juristische Fragen im Datenschutzrecht und sind zudem meist gut ausgebildet, um die Organisationsentwicklung im Unternehmen und die Awareness für Datenschutz effektiv zu unterstützen.
Seite 2 von 2
