Die DSGVO, also die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ist die in der Europäischen Union geltende Datenschutz-Grundverordnung, die die Verarbeitung personenbezogener Daten natürlicher Personen in der EU durch natürliche Personen, Unternehmen und Organisationen regelt. Ihr Anwendungsbereich erfasst weder die Verarbeitung personenbezogener Daten verstorbener Personen noch die Verarbeitung von Daten juristischer Personen. Sie findet auch dann keine Anwendung, wenn eine natürliche Person Daten zu Zwecken verarbeitet, die nicht mit einer beruflichen oder kommerziellen Tätigkeit im Zusammenhang stehen.
Die neuen Datenschutzvorschriften werden seit dem 25. Mai 2018 angewandt. Die Stellen, die im Sinne der Verordnung personenbezogene Daten verarbeiten, wissen häufig nicht, welche Pflichten sie erfüllen müssen, und greifen deshalb immer öfter auf Unterstützung im Bereich des Datenschutzes nach der DSGVO zurück, um den Konsequenzen zu entgehen, die die Vernachlässigung dieser Pflichten mit sich bringen kann.
Personenbezogene Daten und ihre Verarbeitung
Unter personenbezogenen Daten verstehen wir alle Informationen, mit deren Hilfe wir eine Person unmittelbar oder mittelbar identifizieren können. Dazu gehören also unter anderem Vor- und Nachname, die PESEL-Nummer, die Wohnadresse, aber auch das Bildnis, Angaben zur Ausbildung, der Gesundheitszustand, eine Stimmaufnahme, ein Fingerabdruck oder Vorstrafen.
Eine Verarbeitung personenbezogener Daten ist dagegen das Erheben, das Erfassen, die Organisation, die Speicherung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung sowie das Löschen oder die Vernichtung von Daten.
Für die Verarbeitung personenbezogener Daten benötigen wir eine Grundlage, die in einer der folgenden Bedingungen bestehen kann:
- Einwilligung der betroffenen Person,
- Erfüllung eines Vertrags, dessen Partei die betroffene Person ist, oder Durchführung von Maßnahmen auf Anfrage der betroffenen Person vor Vertragsabschluss,
- Erfüllung einer rechtlichen Verpflichtung, die dem Verantwortlichen obliegt,
- Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen Person,
- Wahrnehmung einer Aufgabe, die im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erfolgt,
- berechtigtes Interesse des Verantwortlichen oder eines Dritten.
Diese Bedingungen haben eigenständigen, autonomen und voneinander unabhängigen Charakter, was bedeutet, dass die Erfüllung einer einzigen Bedingung genügt, um die Verarbeitung als rechtmäßig anzusehen.
Pflichten des Verantwortlichen
Die DSGVO legt den Stellen, die Verantwortliche für personenbezogene Daten sind, eine Reihe von Pflichten auf, zu denen unter anderem gehören:
- die Informationspflicht gegenüber der Person, deren Daten verarbeitet werden. Die Informationen, die der Verantwortliche zu erteilen hat, sind in Art. 13 DSGVO aufgeführt. Sie sollten im Zeitpunkt der Datenerhebung oder unmittelbar davor zur Verfügung gestellt werden. Dies geschieht durch die Übermittlung des Inhalts der sogenannten Informationsklausel;
- die Berücksichtigung der Anliegen der Personen, deren Daten verarbeitet werden, unter anderem hinsichtlich der Löschung der Daten, des Widerspruchs gegen die Verarbeitung der Daten, der Datenübertragbarkeit sowie des Widerrufs einer erteilten Einwilligung;
- die Feststellung, ob ein konkreter Vorfall bei der Verarbeitung personenbezogener Daten eine Verletzung darstellte;
- die Benachrichtigung der betroffenen Person über die Verletzung des Schutzes personenbezogener Daten.
Eine Verletzung der Vorschriften der DSGVO kann dazu führen, dass gegen den Verantwortlichen für personenbezogene Daten oder gegen den Auftragsverarbeiter eine verwaltungsrechtliche Geldbuße verhängt wird. Sie können auch auf dem zivilrechtlichen Weg zur Haftung herangezogen werden.
Zivilrechtliche Haftung
Jeder an der Verarbeitung beteiligte Verantwortliche haftet für Schäden, die durch eine gegen die DSGVO verstoßende Verarbeitung verursacht wurden. Der Auftragsverarbeiter personenbezogener Daten haftet für Schäden, die durch die Verarbeitung verursacht wurden, dagegen nur dann, wenn er die Pflichten nicht erfüllt hat, die die DSGVO unmittelbar den Auftragsverarbeitern auferlegt, oder wenn er außerhalb der rechtmäßigen Weisungen des Verantwortlichen oder entgegen solchen Weisungen gehandelt hat.
Unbeschadet der verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfe, einschließlich des Rechts auf Beschwerde bei der Aufsichtsbehörde, hat jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund der DSGVO zustehenden Rechte infolge einer nicht im Einklang mit der DSGVO stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden. Auch eine Person, die infolge der Verletzung einen materiellen oder immateriellen Schaden erlitten hat, hat das Recht, von dem Verantwortlichen oder dem Auftragsverarbeiter Schadensersatz für den erlittenen Schaden zu erhalten.
Der Verantwortliche oder der Auftragsverarbeiter können sich von der Haftung befreien, wenn sie nachweisen, dass sie kein Verschulden an dem Ereignis tragen, das zur Entstehung des Schadens geführt hat.
Verwaltungsrechtliche Geldbußen
Verletzt der Verantwortliche oder der Auftragsverarbeiter vorsätzlich oder unbeabsichtigt die Vorschriften der DSGVO, muss er mit möglichen finanziellen Sanktionen rechnen. In Polen ist der Präsident des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych, UODO) die zur Verhängung von Geldbußen befugte Behörde.
Geldbußen sollten in Abhängigkeit von den Umständen jedes einzelnen Falles verhängt werden (neben oder anstelle anderer Abhilfemaßnahmen), sie sollten also verhältnismäßig, aber abschreckend sein. Bei der Verhängung einer Geldbuße werden die Art, die Schwere und die Dauer der Verletzung unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung, der Zahl der geschädigten betroffenen Personen sowie des Ausmaßes des von ihnen erlittenen Schadens berücksichtigt.
Die Höhe der Geldbuße richtet sich nach der Art der Stelle und dem Charakter der Verletzung. Die Verletzung unter anderem der Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten durch den Verantwortlichen oder den Auftragsverarbeiter oder auch die Verletzung der Grundsätze des Datenschutzes durch Technikgestaltung kann zur Verhängung einer Geldbuße in Höhe von bis zu 10 000 000 Euro führen, im Falle eines Unternehmens in Höhe von bis zu 2 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, wobei der höhere Betrag maßgebend ist.
Einer Geldbuße in Höhe von bis zu 20 000 000 Euro, im Falle eines Unternehmens in Höhe von bis zu 4 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, unterliegt dagegen unter anderem die Verletzung der Grundsätze der Datenverarbeitung, einschließlich der Bedingungen der Einwilligung, der Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation, sowie die Verletzung der Rechte der betroffenen Personen, also zum Beispiel des Rechts auf Vergessenwerden. Auch in diesem Fall ist der höhere Betrag maßgebend.
Häufig gestellte Fragen
Können meine personenbezogenen Daten ohne meine Einwilligung verarbeitet werden?
Ja, die Verarbeitung kann rechtmäßig sein, wenn eine der anderen Bedingungen erfüllt ist, etwa die Erfüllung eines Vertrags, die Erfüllung einer rechtlichen Verpflichtung oder der Schutz lebenswichtiger Interessen. Eine Einwilligung ist nicht erforderlich, wenn der Verantwortliche im Rahmen eines berechtigten Interesses handelt oder eine Aufgabe im öffentlichen Interesse wahrnimmt.
Was muss ich tun, wenn der Verantwortliche meinen Anliegen zu meinen Daten nicht nachkommt?
Der Verantwortliche ist verpflichtet, Ihre Anliegen zu berücksichtigen, einschließlich der Bitten um Löschung der Daten, um Widerruf der Einwilligung oder um Datenübertragbarkeit. Im Falle einer Verletzung dieser Rechte können Sie einen wirksamen gerichtlichen Rechtsbehelf in Anspruch nehmen und Schadensersatz für den erlittenen materiellen oder immateriellen Schaden geltend machen.
Welche rechtlichen Konsequenzen drohen einem Unternehmen, das die Datenschutzvorschriften verletzt?
Die Verletzung der Vorschriften kann dazu führen, dass der Präsident des Amtes für den Schutz personenbezogener Daten eine verwaltungsrechtliche Geldbuße verhängt. Das Unternehmen kann außerdem zivilrechtlich zur Haftung herangezogen und zum Ersatz des Schadens verpflichtet werden, es sei denn, es weist nach, dass es kein Verschulden an dem Ereignis trägt, das den Schaden verursacht hat.
In welchen Situationen kann gegen den Verantwortlichen eine hohe Geldbuße verhängt werden?
Geldbußen von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes drohen bei schwerwiegenden Verletzungen, etwa bei einem Verstoß gegen die Grundsätze der Datenverarbeitung, bei einer unwirksamen Einwilligung oder bei einer Verletzung der Rechte der betroffenen Personen. Geringere Geldbußen von bis zu 10 Millionen Euro oder 2 % des Umsatzes betreffen zum Beispiel das Fehlen eines Verzeichnisses von Verarbeitungstätigkeiten oder Fehler beim Datenschutz durch Technikgestaltung.
Unsicher, ob das Ihr Fall ist?
Genau damit beginnen die meisten Gespräche mit einem Anwalt. Schildern Sie die Sache mit eigenen Worten. Wir prüfen, ob wir helfen können, und nennen Umfang, Preis und Termin der Beratung. Das Angebot verpflichtet zu nichts, und das Recht überlassen Sie uns.
- 1 Gespräch
Sie schildern, worum es geht, in eigenen Worten.
- 2 Wie weiter
Wir nennen Ihre Optionen und die Kosten.
- 3 Wir handeln
Sie geben grünes Licht und der Fall ist unserer.
Möchten Sie gleich sprechen? Beratung vereinbaren.
Spezialisiert auf die korporative Betreuung von Wirtschaftssubjekten und den Schutz personenbezogener Daten. Unterstützt die Mandanten der Kanzlei bei der Erstellung sämtlicher Unternehmensdokumentation, einschließlich der Registrierung von Handelsgesellschaften und der weiteren Registrierung von Änderungen, sowie bei laufender und umfassender Beratung in geschäftlichen Angelegenheiten. Berät bei der Durchführung von Transformationsprozessen von Handelsgesellschaften, einschließlich Umwandlungen und…
Profil ansehen →
