[Neuer Bericht] 79% der CISOs wollen einen strategischeren Ansatz für das Management menschlicher Cyber-Risiken verfolgen. Lesen Sie den Bericht.

Es ist kaum zu glauben, dass sich der erste Jahrestag der DSGVO bereits nähert. Nach einer zweijährigen Übergangsphase trat die DSGVO am 25. Mai 2018 in Kraft und hat die Herangehensweise von Organisationen an den Datenschutz grundlegend verändert.

Das Gesetz wurde eingeführt, um der zunehmenden Digitalisierung unserer Welt Rechnung zu tragen und die Rechte des Einzelnen hinsichtlich der Verwendung seiner personenbezogenen Daten anzuerkennen.

Viele Organisationen haben viel Zeit und Mühe darauf verwendet, die Einhaltung der neuen Rechtsvorschriften sicherzustellen; für andere war dies jedoch ein schwierigerer und mühsamerer Weg. Der Nachweis der Einhaltung der DSGVO ist ein fortlaufender Prozess, und es gibt zahlreiche Aspekte der Rechtsvorschriften, die noch einer Klärung bedürfen und für Organisationen verwirrend sein können.

Zwei Begriffe, die im Zusammenhang mit der DSGVO immer wieder auftauchen, sind „Verantwortliche“ und „Auftragsverarbeiter“. Es ist wichtig, den Unterschied zwischen diesen beiden Begriffen zu verstehen, da davon Ihre Verantwortlichkeiten gemäß den gesetzlichen Bestimmungen abhängen.

Die Unterscheidung zwischen einem Verantwortlichen und einem Auftragsverarbeiter kann in der Praxis erhebliche Konsequenzen haben. Ist eine Organisation an der Datenverarbeitung beteiligt, ist es von entscheidender Bedeutung, dass sie Rollen und Zuständigkeiten frühzeitig festlegt, um im Falle einer Datenschutzverletzung jegliche Unklarheiten zu vermeiden. Dies trägt dazu bei, dass keine Lücken in der Zuständigkeitsverteilung entstehen und Organisationen solche Probleme effizient und effektiv bewältigen können.

Was sind personenbezogene Daten?

Wenn Ihre Organisation personenbezogene Daten verarbeitet, gilt die DSGVO für Sie. Die EU definiert „personenbezogene Daten“ als alle Informationen, die dazu verwendet werden können, eine natürliche Person (betroffene Person) direkt oder indirekt zu identifizieren. Dazu gehören unter anderem Namen, E-Mail-Adressen, IP-Adressen und Bilder. Ebenfalls dazu zählen sensible personenbezogene Daten wie biometrische oder genetische Daten, die zur Identifizierung einer natürlichen Person verarbeitet werden könnten.

Sind Sie ein „Verantwortlicher“ oder ein „Auftragsverarbeiter“?

1 6

Wenn Ihre Organisation die Zwecke und die Art und Weise der Verarbeitung personenbezogener Daten festlegt, gilt sie als Verantwortlicher.

Datenverantwortliche spielen eine zentrale Rolle bei der Einhaltung der DSGVO, da sie personenbezogene Daten von Kunden und Mitarbeitern speichern und erheben.

Zu den Pflichten des für die Datenverarbeitung Verantwortlichen gehören:

  • Förderung einer erhöhten Transparenz beim Umgang mit personenbezogenen Daten im Zusammenhang mit Anfragen betroffener Personen
  • Sicherstellung, dass die Anliegen der betroffenen Personen innerhalb der in der DSGVO festgelegten Fristen bearbeitet werden
  • Durchführung von Datenschutz-Folgenabschätzungen und Ernennung von Datenschutzbeauftragten
  • Meldung von Datenschutzverletzungen an die Aufsichtsbehörden innerhalb von 72 Stunden nach Feststellung der Verletzung
  • Überwachung und Reaktion auf Änderungen bei den Compliance-Vorgaben
  • Ersetzung identifizierender Datenfelder durch Pseudonyme und Verschlüsselung personenbezogener Daten
  • Führung von Aufzeichnungen über die Verarbeitung personenbezogener Daten mittels eines Registers für personenbezogene Daten
  • Verwaltung und Steuerung der Zusammenarbeit mit Dritten im Zusammenhang mit der Verarbeitung und dem Umgang mit personenbezogenen Daten

Wer ist ein Auftragsverarbeiter und welche Pflichten hat er?

Pflichten des Auftragsverarbeiters

Handelt eine Person, eine Organisation, eine Behörde oder eine sonstige Stelle im Auftrag eines für die Datenverarbeitung Verantwortlichen, so gilt diese als Auftragsverarbeiter.

Beispiele für Auftragsverarbeiter sind unter anderem:

  • Ein externes Unternehmen (z. B. ein Unternehmen, das für die Entsorgung von Kundendaten zuständig ist)
  • Ein Cloud-Anbieter, der personenbezogene Daten speichert
  • Jeder Dienstleister, der in Ihrem Auftrag tätig ist und Zugriff auf personenbezogene Daten eines Kunden oder Mitarbeiters hat

Zu den Aufgaben eines Datenverarbeiters gehören:

  • Die Entscheidung, welche IT-Systeme oder sonstigen Methoden zur Erhebung personenbezogener Daten eingesetzt werden sollen
  • So speichern Sie personenbezogene Daten
  • Datensicherheit
  • Mittel zur Übertragung von Daten von einer Organisation zur anderen
  • Mittel, die zum Abruf personenbezogener Daten über bestimmte Personen verwendet werden
  • Sicherstellung, dass die dem Aufbewahrungsplan zugrunde liegende Methode eingehalten wird
  • Maßnahmen zur Löschung bzw. Entsorgung von Daten

Auftragsverarbeiter unterliegen gemäß der DSGVO mehreren neuen Verpflichtungen, zu denen auch die Umsetzung von Maßnahmen gehört, die ein dem potenziellen Risiko angemessenes Sicherheitsniveau für personenbezogene Daten gewährleisten.

Auftragsverarbeiter sind verpflichtet, die Anweisungen der für die Verarbeitung Verantwortlichen zu befolgen, es sei denn, diese Anweisungen stehen im Widerspruch zur DSGVO selbst.

Kann ein Verantwortlicher gleichzeitig auch ein Auftragsverarbeiter sein?

Es gibt bestimmte Grauzonen, in denen sich Situationen überschneiden können, sodass es schwierig ist, zu unterscheiden, ob Sie als Verantwortlicher oder als Auftragsverarbeiter auftreten. Die ICO äußert sich in ihren Leitlinien jedoch eindeutig wie folgt: „Eine Organisation kann bei derselben Datenverarbeitungsaktivität nicht gleichzeitig Verantwortlicher und Auftragsverarbeiter sein; sie muss entweder das eine oder das andere sein.“

Das bedeutet, dass zur Feststellung, welche Organisation für welche Daten die datenschutzrechtliche Verantwortung trägt, sowohl die betreffende Verarbeitung als auch die beteiligten Organisationen zu betrachten sind. Zudem ist es wichtig, dass Systeme und Verfahren, soweit dies praktikabel ist, zwischen den „eigenen“ Daten der Organisation und den Daten unterscheiden, die sie im Auftrag anderer verarbeiten.

Erfahren Sie außerdem, was eine gültige Einwilligung gemäß DSGVO ist

Um die vollständige Einhaltung der DSGVO zu gewährleisten, müssen Unternehmen Rollen und Verantwortlichkeiten klar definieren, um Verstöße gegen die Rechtsvorschriften zu vermeiden. Sollten Sie sich in irgendeiner Weise unsicher sein, in welcher Situation sich Ihr Unternehmen befindet, sollten Sie rechtlichen Rat einholen, um weitere Klarheit zu erlangen.

MetaPrivacy wurde entwickelt, um einen Best-Practice-Ansatz für die Einhaltung datenschutzrechtlicher Vorschriften zu bieten. Kontaktieren Sie uns, um weitere Informationen darüber zu erhalten, wie wir Ihrem Unternehmen dabei helfen können, seine Compliance-Struktur zu verbessern.

HAFTUNGSAUSSCHLUSS: Der Inhalt und die Meinungen in diesem Blog dienen nur zu Informationszwecken. Sie stellen keine Rechts- oder sonstige professionelle Beratung dar und sollten nicht als Ersatz für eine spezifische Beratung in Bezug auf bestimmte Umstände, das Datenschutzgesetz oder andere aktuelle oder zukünftige Gesetze betrachtet werden. MetaCompliance übernimmt keine Verantwortung für Fehler, Auslassungen oder irreführende Aussagen oder für Verluste, die durch das Vertrauen auf die in diesem Blog enthaltenen Materialien entstehen können.