So gewährleisten Sie die Einhaltung der DSGVO während der Covid-19-Pandemie

Covid-19 hat Organisationen weltweit vor beispiellose Herausforderungen gestellt. Innerhalb kürzester Zeit mussten Organisationen rasch Remote-Arbeitsabläufe einrichten, schnell auf neue Risiken reagieren und Prozesse anpassen – und dabei stets die Einhaltung der DSGVO gewährleisten.

Infolge der Pandemie erheben und verarbeiten Organisationen nun neue Arten von Informationen über Einzelpersonen. Ein Großteil dieser Informationen fällt unter die Kategorien „personenbezogene Daten“ und „besondere Kategorien personenbezogener Daten“, die beide strengen Compliance-Anforderungen gemäß der DSGVO unterliegen.

Der rasche Übergang zur Telearbeit hat zudem die Bedeutung des Datenschutzes deutlich gemacht, da Cyberkriminelle versuchen, die Pandemie auszunutzen und sie als Mittel für gezielte Angriffe zu nutzen. Da ständig neue Cybersicherheitsrisiken entstehen, ist es von entscheidender Bedeutung, dass Unternehmen die richtigen Maßnahmen ergreifen, um die von der DSGVO geforderte strengste Datensicherheit zu gewährleisten.

Die britische Datenschutzbehörde (Information Commissioner’s Office, ICO) hat erklärt, dass sie die Schwierigkeiten, mit denen Organisationen derzeit konfrontiert sind, nachvollziehen kann und dass sie bei der Durchsetzung der Datenschutzverpflichtungen einen „angemessenen und pragmatischen“ Ansatz verfolgen wird. Allerdings hat die Behörde deutlich gemacht, dass von den Organisationen nach wie vor erwartet wird, dass sie ein hohes Maß an Einhaltung der DSGVO gewährleisten, während sie sich an diese neuen Arbeitsbedingungen anpassen.

Um sicherzustellen, dass Ihr Unternehmen auch während der Covid-19-Pandemie die Anforderungen der DSGVO erfüllt, haben wir eine Reihe von Maßnahmen zusammengestellt, die Sie ergreifen können.

Wichtige Tipps zur Einhaltung der DSGVO während der Covid-19-Pandemie

1. Führen Sie eine Datenschutz-Folgenabschätzung (DPIA) durch

Um die DSGVO einzuhalten, müssen Sie nachweisen können, dass Sie bei der Verarbeitung sensibler Daten zusätzliche Aufzeichnungspflichten erfüllen. Da Gesundheitsdaten als „besondere Kategorie personenbezogener Daten“ eingestuft werden, bergen sie ein höheres Risiko. Eine Möglichkeit, die Rechenschaftspflicht nachzuweisen und sicherzustellen, dass geeignete Maßnahmen zum Schutz dieser Daten getroffen wurden, ist die Durchführung einer Datenschutz-Folgenabschätzung. DSB-Folgenabschätzungen helfen dabei, Risiken im Zusammenhang mit der Verarbeitung personenbezogener Daten zu identifizieren und zu minimieren.

In der Datenschutz-Folgenabschätzung sollte Folgendes dargelegt werden:

• Die gerade bearbeitete Aktivität
• Die Datenschutzrisiken
• Ob die Maßnahme notwendig und verhältnismäßig ist
• Wie das Risiko gemindert wird
• Bestätigung, dass die Maßnahmen zur Risikominderung wirksam waren

Die Datenschutz-Folgenabschätzung (DPIA) wird von entscheidender Bedeutung sein, um die Einhaltung der Vorschriften nachzuweisen und datenschutzbezogene Risiken für Ihre Organisation zu verringern.

2. Erheben und verarbeiten Sie nur das, was notwendig ist

Gemäß der DSGVO müssen Organisationen einen konkreten und berechtigten Grund für die Erhebung und Verarbeitung personenbezogener Daten haben. Die Daten dürfen nur für bestimmte Zwecke verwendet werden und dürfen nicht für andere Zwecke verarbeitet werden, es sei denn, die betroffene Person hat ihre ausdrückliche Einwilligung erteilt. Die erhobenen Daten müssen sich ausschließlich auf das beschränken, was zur Erreichung dieser konkreten Zwecke erforderlich ist.

Das bedeutet, dass Ihre Organisation die Arten von personenbezogenen Daten bewerten und ermitteln sollte, die verarbeitet werden müssen, um die Sicherheit der Mitarbeiter zu gewährleisten. Ist es beispielsweise notwendig, beim Betreten des Büros Temperaturmessungen durchzuführen? Sollten die Kontaktpersonen eines Mitarbeiters, der positiv auf Covid-19 getestet wurde, benachrichtigt werden? Ihr Unternehmen darf personenbezogene Daten nicht einfach nur für den Fall erheben, dass sie in Zukunft nützlich sein könnten; es muss klare Ziele geben, warum diese Daten verarbeitet werden. Wenn Sie nachweisen können, dass Ihr Vorgehen angemessen, fair und den Umständen angemessen ist, ist es unwahrscheinlich, dass es rechtswidrig ist.

3. Seien Sie transparent

Bei der Verarbeitung personenbezogener Daten müssen Sie offen und ehrlich darüber informieren, wie Sie diese Daten verwenden. Wenn Ihre Organisation beispielsweise Tests für Mitarbeiter durchführen muss oder Sie Daten zum Zwecke der Kontaktverfolgung erheben müssen, müssen Sie transparent vorgehen und diesen Personen bestimmte Informationen zur Verfügung stellen. Mitarbeiter haben das Recht zu erfahren, warum Sie diese Daten benötigen, was Sie damit vorhaben und an wen Sie sie weitergeben werden.

Am besten halten Sie diese Informationen in einem Dokument fest, das als Datenschutzerklärung bezeichnet wird. Eine Datenschutzerklärung ist eines der wichtigsten Dokumente, die Sie vorlegen müssen, wenn Sie personenbezogene Daten verarbeiten, um die DSGVO einzuhalten. Im Wesentlichen erläutert sie, wie Sie die Daten von Personen erheben, verarbeiten und nutzen. Ihre bestehende Datenschutzerklärung enthält möglicherweise bereits Angaben dazu, welche Informationen während einer Gesundheitskrise erhoben und verarbeitet werden dürfen; diese muss jedoch möglicherweise aktualisiert werden, um neuen Datenverarbeitungsaktivitäten Rechnung zu tragen, die im Zuge der aktuellen Covid-19-Pandemie durchgeführt werden.

4. Sorgen Sie für die Sicherheit Ihrer Daten

Alle personenbezogenen Daten, die Sie speichern, müssen sicher aufbewahrt und nur so lange gespeichert werden, wie dies erforderlich ist. Eine Aufbewahrungsrichtlinie hilft dabei, festzulegen, wann personenbezogene Daten überprüft, gelöscht oder vernichtet werden müssen. Physische Unterlagen sollten unter Verschluss gehalten werden, um Datenverstöße zu verhindern, und es sollten geeignete Sicherheitsmaßnahmen getroffen werden, um digital gespeicherte personenbezogene Daten zu schützen.

Trotz der raschen Umstellung auf Homeoffice hat die ICO erklärt, dass Unternehmen dieselben Sicherheitsmaßnahmen ergreifen sollten, die sie auch unter normalen Umständen anwenden würden. Um Verstöße gegen den Datenschutz zu verhindern und das Risiko kostspieliger Cyberangriffe zu verringern, ist es wichtig, dass Sie die Sicherheit Ihrer Systeme und Software gewährleisten und wachsam gegenüber Cyberbedrohungen im Zusammenhang mit dem Coronavirus bleiben. Die Mitarbeiter müssen zudem über die sich ständig weiterentwickelnden Bedrohungen aufgeklärt und im Umgang mit den neuen Sicherheitstools und -prozessen geschult werden, die ein sicheres Arbeiten im Homeoffice ermöglichen .

Darüber hinaus sind Organisationen nach wie vor gesetzlich verpflichtet, jede Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach ihrer Feststellung der zuständigen Aufsichtsbehörde zu melden.

5. Die Rechte der betroffenen Person zu wahren

Auch wenn Ihre Organisation derzeit unter außergewöhnlichen Umständen tätig ist, ist es von entscheidender Bedeutung, dass sie die betroffenen Personen über ihre Rechte in Bezug auf ihre personenbezogenen Daten informiert. Die DSGVO gewährt den betroffenen Personen folgende Rechte:

• Das Recht auf Auskunft – Jede Person hat das Recht, über die Erhebung und Verwendung ihrer personenbezogenen Daten informiert zu werden.
• Das Recht auf Auskunft – Betroffene haben das Recht, Auskunft über ihre personenbezogenen Daten und etwaige ergänzende Informationen zu erhalten. Sie können eine Kopie aller über sie gespeicherten Informationen anfordern; diese ist kostenlos und innerhalb eines Monats nach Einreichung des Antrags bereitzustellen.
• Das Recht auf Berichtigung – Betroffene Personen können verlangen, dass unrichtige personenbezogene Daten berichtigt werden.
• Das Recht auf Löschung – Betroffene Personen können die Löschung ihrer personenbezogenen Daten beantragen. Das Recht auf Löschung wird auch als Recht auf Vergessenwerden bezeichnet.
• Das Recht auf Einschränkung der Verarbeitung – Unter bestimmten Umständen können betroffene Personen verlangen, dass die weitere Verarbeitung ihrer Daten eingeschränkt wird. Wenn die Verarbeitung eingeschränkt ist, dürfen Sie deren personenbezogene Daten zwar speichern, jedoch nicht verwenden.
• Das Recht auf Datenübertragbarkeit – Betroffene Personen können ihre personenbezogenen Daten abrufen und für eigene Zwecke in anderen Diensten wiederverwenden.
• Das Widerspruchsrecht – Sofern keine berechtigten Gründe für die Verarbeitung der personenbezogenen Daten einer Person vorliegen, hat diese das Recht, der Verarbeitung zu widersprechen.
• Rechte im Zusammenhang mit automatisierten Entscheidungen und Profiling – Die DSGVO enthält Bestimmungen zur automatisierten Entscheidungsfindung in Bezug auf Einzelpersonen. Dadurch wird das Risiko verringert, dass nachteilige Entscheidungen ohne menschliches Eingreifen getroffen werden.

Falls Ihre Organisation die Überprüfung von Symptomen oder Tests eingeführt hat, müssen Sie zusätzliche Anforderungen beachten. Dazu gehören die Festlegung einer Rechtsgrundlage für die Verwendung der von Ihnen erhobenen Daten sowie die Durchführung einer Datenschutz-Folgenabschätzung, falls Gesundheitsdaten in großem Umfang verarbeitet werden.