Der vorgelegte Plan sieht die Kontrolle folgender Stellen vor:
- Behörden, die personenbezogene Daten im Schengener Informationssystem und im Visa-Informationssystem verarbeiten, und zwar die Verarbeitung personenbezogener Daten in SIS/VIS auf der Grundlage des polnischen Gesetzes vom 24. August 2007 über die Beteiligung der Republik Polen am Schengener Informationssystem und am Visa-Informationssystem (poln. Gesetzblatt Dz. U. von 2023, Pos. 1355), der Durchführungsakte sowie der Vorschriften der Europäischen Union.
- Stellen, die personenbezogene Daten mithilfe von Internetanwendungen (Webanwendungen) verarbeiten, und zwar die Art der Sicherung und der Zugänglichmachung personenbezogener Daten, die im Zusammenhang mit der Nutzung der Anwendung verarbeitet werden, als Fortsetzung der Kontrollen aus dem Jahr 2023.
- Private Stellen, und zwar die Richtigkeit der Erfüllung der Informationspflicht nach Art. 13 und 14 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. EU L 119 vom 4.05.2016, S. 1, mit Änderungen).
Alle vorstehend bezeichneten Stellen sollten daher Schritte einleiten, um zu überprüfen, ob sie die Pflichten erfüllen, die ihnen die DSGVO, die polnischen Vorschriften über den Schutz personenbezogener Daten sowie die oben aufgeführten Regelungen auferlegen.
Private Stellen, die in irgendeiner Weise personenbezogene Daten verarbeiten, sind unabhängig von der Art ihrer Tätigkeit von dem vorstehenden Plan erfasst und können im Hinblick auf die Erfüllung der Informationspflicht nach Art. 13 und 14 der DSGVO einer Kontrolle unterliegen. Die Form der Erfüllung dieser Pflicht nimmt beim Betrieb einer Website oder einer Internetanwendung am häufigsten die Gestalt der Bestimmungen einer Datenschutzerklärung an.
Der Begriff der Datenschutzerklärung ist weithin bekannt und verstanden, dennoch bestehen weiterhin in großem Umfang Zweifel daran, ob sie eingeführt werden sollte. Diese Erklärung enthält jedoch eine Sammlung rechtlich vorgeschriebener Informationen, die die Zwecke und Grundlagen der Verarbeitung personenbezogener Daten bestimmen, etwa von Nutzern, Kunden oder Abonnenten, und diesen Personen Auskunft darüber geben, wer ihre Daten wann verarbeiten wird.
Art. 13 DSGVO betrifft die Situation, in der die personenbezogenen Daten der betroffenen Person bei dieser Person erhoben werden, während Art. 14 DSGVO die Situation betrifft, in der die personenbezogenen Daten der Personen, deren Daten verarbeitet werden, nicht bei der betroffenen Person erlangt wurden.
Welche Informationen muss der Verantwortliche also mitteilen?
- seine Identität und Kontaktdaten sowie, sofern zutreffend, die Identität und die Kontaktdaten seines Vertreters;
- sofern zutreffend, die Kontaktdaten des Datenschutzbeauftragten;
- die Zwecke der Verarbeitung personenbezogener Daten sowie die Rechtsgrundlage der Verarbeitung (geregelt in Art. 6 DSGVO);
- wenn die Verarbeitung auf Art. 6 Abs. 1 Buchst. f) beruht, also wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, die von dem Verantwortlichen oder von einem Dritten verfolgten berechtigten Interessen;
- Informationen über die Empfänger der personenbezogenen Daten, also darüber, wem die Daten weitergegeben werden, oder über die Kategorien von Empfängern, sofern es solche gibt;
- sofern zutreffend, Informationen über die Absicht, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie über das Vorliegen oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder, im Falle einer Übermittlung nach Art. 46, Art. 47 oder Art. 49 Abs. 1 Unterabs. 2, einen Hinweis auf die geeigneten oder angemessenen Garantien sowie Informationen darüber, wie eine Kopie dieser Garantien zu erhalten ist oder wo sie verfügbar sind;
- die Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
- Informationen über das Recht, von dem Verantwortlichen Auskunft über die die betroffene Person betreffenden personenbezogenen Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verlangen, oder über das Recht, Widerspruch gegen die Verarbeitung einzulegen, sowie über das Recht auf Datenübertragbarkeit;
- wenn die Verarbeitung auf Art. 6 Abs. 1 Buchst. a) oder Art. 9 Abs. 2 Buchst. a) beruht, Informationen über das Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
- Informationen über das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen;
- die Information, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte;
- Informationen über eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 sowie, zumindest in diesen Fällen, aussagekräftige Informationen über die involvierte Logik und über die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person;
- beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so informiert er die betroffene Person vor dieser Weiterverarbeitung über diesen anderen Zweck und erteilt ihr alle anderen einschlägigen Informationen, die oben genannt sind.
Werden Daten von Personen verarbeitet, deren Daten nicht unmittelbar bei dieser Person erlangt wurden, ist sie zusätzlich über die Herkunft der personenbezogenen Daten und, sofern zutreffend, darüber zu informieren, ob die Daten aus öffentlich zugänglichen Quellen stammen.
Um also das Risiko zu vermeiden, dass das polnische Datenschutzamt (Urząd Ochrony Danych Osobowych, UODO) infolge einer durchgeführten Kontrolle Maßnahmen ergreift, sollte in erster Linie jede Stelle, die eine Website, eine Unterseite, einen Onlineshop oder eine Internetanwendung betreibt und in den Besitz personenbezogener Daten der Nutzer gelangt, überprüfen, ob dort eine Datenschutzerklärung veröffentlicht wurde – woran Unternehmer leider häufig nicht denken.
Zu berücksichtigen ist, dass für eine Verletzung des Schutzes personenbezogener Daten hohe Geldbußen vorgesehen sind und zudem die Möglichkeit besteht, zur strafrechtlichen Verantwortung gezogen zu werden. Darüber hinaus hat jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn sie der Ansicht ist, dass die ihr aufgrund der DSGVO zustehenden Rechte infolge einer nicht im Einklang mit der DSGVO stehenden Verarbeitung ihrer personenbezogenen Daten verletzt worden sind.
Mehr über die Sanktionen, die für eine Verletzung des Schutzes personenbezogener Daten vorgesehen sind, können Sie HIER lesen.
Häufig gestellte Fragen
Kann mein Unternehmen in diesem Jahr vom Amt für den Schutz personenbezogener Daten überprüft werden?
Ja, der Kontrollplan für das Jahr 2024 erfasst private Stellen, die personenbezogene Daten verarbeiten, darunter solche, die Websites oder Anwendungen betreiben. Das UODO überprüft, ob die in den Vorschriften über den Schutz personenbezogener Daten bestimmte Informationspflicht erfüllt ist.
Warum sollte sich auf meiner Website eine Datenschutzerklärung befinden?
Die Datenschutzerklärung ist die am häufigsten angewandte Form, die Informationspflicht gegenüber den Nutzern zu erfüllen. Sie enthält die rechtlich vorgeschriebenen Informationen über die Zwecke der Datenverarbeitung sowie über die Identität des Verantwortlichen, was für die Rechtmäßigkeit von entscheidender Bedeutung ist.
Welche konkreten Informationen muss ich den Personen mitteilen, deren Daten ich verarbeite?
Der Verantwortliche sollte seine Identität, die Zwecke der Datenverarbeitung, die Rechtsgrundlage sowie die Dauer der Speicherung der Informationen mitteilen. Ebenso ist über die Rechte der betroffenen Person zu informieren, etwa über das Recht auf Auskunft, auf Berichtigung oder auf Widerspruch.
Drohen mir Strafen, wenn auf der Website meines Unternehmens eine Datenschutzerklärung fehlt?
Für eine Verletzung des Schutzes personenbezogener Daten sind hohe Geldbußen und in äußersten Fällen eine strafrechtliche Verantwortlichkeit vorgesehen. Zusätzlich kann die betroffene Person bei Gericht eine Beschwerde einlegen, wenn sie der Ansicht ist, dass ihre Rechte verletzt worden sind.
Was muss ich tun, wenn ich Daten von Personen nicht unmittelbar bei diesen erlange?
In diesem Fall ist die betroffene Person zusätzlich über die Herkunft ihrer personenbezogenen Daten zu informieren. Stammen die Daten aus öffentlich zugänglichen Quellen, ist auch dies im Rahmen der Informationspflicht zu erwähnen.
Unsicher, ob das Ihr Fall ist?
Genau damit beginnen die meisten Gespräche mit einem Anwalt. Schildern Sie die Sache mit eigenen Worten. Wir prüfen, ob wir helfen können, und nennen Umfang, Preis und Termin der Beratung. Das Angebot verpflichtet zu nichts, und das Recht überlassen Sie uns.
- 1 Gespräch
Sie schildern, worum es geht, in eigenen Worten.
- 2 Wie weiter
Wir nennen Ihre Optionen und die Kosten.
- 3 Wir handeln
Sie geben grünes Licht und der Fall ist unserer.
Möchten Sie gleich sprechen? Beratung vereinbaren.
Spezialisiert auf die korporative Betreuung von Wirtschaftssubjekten und den Schutz personenbezogener Daten. Unterstützt die Mandanten der Kanzlei bei der Erstellung sämtlicher Unternehmensdokumentation, einschließlich der Registrierung von Handelsgesellschaften und der weiteren Registrierung von Änderungen, sowie bei laufender und umfassender Beratung in geschäftlichen Angelegenheiten. Berät bei der Durchführung von Transformationsprozessen von Handelsgesellschaften, einschließlich Umwandlungen und…
Profil ansehen →
