Datenschutz 2018

Zeitenwende im Datenschutzrecht und Anpassungsbedarf in der Verwaltung

Der Vortrag skizziert die Zeitenwende im Datenschutzrecht. So werden die Grundzüge des ab Mai 2018 geltenden Rechtsrahmens bestehend aus EURecht (insbesondere der EU-DSGVO) und dem allgemeinen und bereichsspezifischen Datenschutzrecht des Bundes und die daraus folgenden Anpassungen der Bundesverwaltung beschrieben.

Noch zwei Monate bis zur Umsetzung der EU-DSGVO. Eine Bestandsaufnahme und aktuelle Maßnahmen. Was bleibt zu tun?

Schon heute gilt die europäische Datenschutzgrundverordnung. Sie ist umzusetzendes europäisches Recht. Allerdings hatte der Gesetzgeber Behörden, Kommunen und Unternehmen eine Übergangsfrist für die Umstellung ihrer Prozesse auf die neue EU-Datenschutzgrundverordnung eingeräumt. Diese endet am 25. Mai 2018. Ab diesem Zeitpunkt können die Aufsichtsbehörden entsprechend den Vorgaben der EU-DSGVO die Datenschutzprozesse der Organisationen kontrollieren, Verstöße ahnden und bußgeldrelevante Abmahnungen aussprechen. Alles weist darauf hin, dass die Datenschutz-Grundverordnung ab dem ersten Tag strikt durchgesetzt werden wird. Eine weitere Schonfrist scheint es nicht zu geben. Umso erstaunlicher ist es, dass fast die Hälfte aller Unternehmen in Deutschland noch keine konkreten Vorbereitungen getroffen haben. Bei den öffentlichen Stellen scheint es besser auszusehen. Trotzdem, für alle, die noch nicht die Vorgaben der EU-DSGVO vollständig umgesetzt haben, bedeutet dies: Jetzt handeln! Der Vortrag gibt einen aktuellen Überblick über die notwendigen Schritte zur Einführung der geforderten Datenschutzprozesse entsprechend der EU-DSGVO und zeigt mit einem Schritt-für-Schritt-Beispiel auf, wie Sie Ihre Organisation noch für das europäische Datenschutzgesetz fit machen.

Die neue EU-DSGVO: Umsetzungsverantwortung der Führungskräfte - Überwachungsverantwortung des Datenschutzbeauftragten

Die DSGVO muss bis zum 25. Mai 2018 in Verwaltungen und Betrieben umgesetzt sein. Zeitgleich tritt ein neues Bundesdatenschutzgesetz in Kraft. Anpassungen der Landesdatenschutzgesetze stehen bevor. Das neue Recht muss umgesetzt, die Einhaltung der Vorschriften überwacht werden. Wer hat was zu tun? Welche Rollen haben Führungskräfte wie Hauptverwaltungsbeamte bzw. Geschäftsführer einerseits und Datenschutzbeauftragte andererseits? Die DSGVO nimmt die juristischen Personen, Behörden und vergleichbare Einrichtungen als „Verantwortliche“ in die Pflicht. Denn sie bestimmen Zwecke und Mittel der Datenverarbeitung. Die Leiter der Verwaltung bzw. Betriebe stehen in der Verantwortung einer sachgerechten Aufbau- und Ablauforganisation. Auf dieser strategischen Ebene legen sie die einzelnen funktionell zusammengefassten Arbeitsfelder und ihre Verteilung fest. Sie setzen als Vorgesetzte das Personal statusneutral an ihren Plätzen ein. Infolge ihrer Leitungsfunktion verfügen Hauptverwaltungsbeamte bzw. Geschäftsführer über den gesamten Bestand an sächlichen und personellen Arbeitsmitteln des „Apparates“, der von der Zuständigkeitsordnung lediglich als instrumentaler Unterbau begriffen wird. Kern der Leitungsverantwortung ist die Beauftragung der innerorganisatorisch zuständigen Stellen des Apparates zur Implementierung eines Datenschutzmanagementsystems. Dazu gehören Optimierung der Prozesse und Abläufe der Datenverarbeitung mit Berichtspflichten und Kontrollen. Der Verantwortliche bzw. der Auftragsverarbeiter benennt intern oder extern einen Datenschutzbeauftragten. Wie nach altem Recht ist er fachlich unabhängig. Die DSGVO zählt die „Überwachung“ der Verordnung sowie der nationalen Vorschriften ausdrücklich zu den Pflichten der Datenschutzbeauftragten. Jedoch erhalten die Datenschutzbeauftragten keine Weisungsrechte gegenüber den Verantwortlichen bzw. anderen Beschäftigten des Apparates. Die Überwachung berechtigt zu aufgabenbezogenen Prüfungen und Feststellungen. Für Fehler und Versäumnisse des Verantwortlichen hat der Datenschutzbeauftragte nicht einzustehen. Die DSGVO enthält ein Sanktionsprogramm für Datenschutzverstöße. Zu verhängende Geldbußen können umständehalber drastisch ausfallen. Betroffene eines OWi-Verfahrens sind grundsätzlich nur Verantwortliche und Auftragsverarbeiter. Mitarbeiter von verantwortlichen Stellen sind vom persönlichen Anwendungsbereich der Bußgeldvorschriften nicht erfasst. In seinem Vortrag zeigt der Referent auf, welche neuen Aufgaben auf die Führungskräfte und Datenschutzbeauftragten zukommen und wo in der Praxis Probleme liegen können.

Die Umsetzung der Vorgaben der EU-DSGVO durch das neue BDSG im Arbeitsverhältnis. Worauf in der Praxis zu achten ist.

Die EU-DSGVO setzt auch an den Beschäftigtendatenschutz hohe Anforderungen. Nun ist Handeln geboten. So wird durch das neue BDSG zwar positiv klargestellt, dass auch sogenannte „Kollektivvereinbarungen“, also Tarifverträge oder Dienstvereinbarungen, „Rechtsvorschriften“ im Sinne des BDSG sind und demnach geeignete Rechtsgrundlagen für eine Datenverarbeitung schaffen können. Die Kollektivvereinbarungen müssen jedoch mit den Grundrechten der Arbeitnehmer unter den neuen Auslegungskriterien der EU-DGSVO vereinbar sein. Veraltete Kollektivvereinbarungen sowie zu weitgehende Einwilligungen können im Umkehrschluss einen Verstoß gegen das BDSG dokumentieren. Im Vortrag erläutert der Referent, welche Anpassungen in den Dienstvereinbarungen und bei etwa bestehenden Einwilligungen vorgenommen werden müssen.