Startseite

Themensammlung - Datenschutz

Inhalt

Gesetze und Rechtsportale

Datenschutzgrundverordnung (DSGVO)

Bundesdatenschutzgesetz (BDSG)

Rechtsportale und Quellen für weitere Gesetze

Wettbewerbsrecht und Abmahnungen

Datenschutzrechtliche Aufsichtsbehörden bzw. Institutionen

Arbeitspapiere und Leitlinien

Datenschutzverbände

Informationsportale

Portale mit Unterlagen und Musterdokumenten:

Rechtsgrundlagen

Einwilligung

Berechtigtes Interesse

Der Datenschutzbeauftragte

Haftung

Abberufung

Arztpraxen

Verzeichnis der Verarbeitungstätigkeiten

Automatische Entscheidungsfindung (Profiling)

Datenschutzfolgenabschätzung (DSFA)

Eine Datenschutzfolgenabschätzung (DSFA) ist gemäß Art. 35 DSGVO bei voraussichtlich hohem Risiko für eine Verarbeitungstätigkeit durchzuführen. Dementsprechend ist schon eine (grobe) Risikobewertung durchzuführen, um zu entscheiden, ob auch eine detaillierte Risikobewertung durch eine DSFA durchgeführt werden muss. Für diesen Zweck kann man beispielsweise eine Schwellwertanalyse durchführen:

  1. Wahrscheinlichkeit einer Datenschutzverletzung identifizieren und bewerten
  2. Schweregrad der Auswirkungen auf betroffene Personen identifizieren und bewerten
  3. Wahrscheinlichkeit und Schweregrad der Auswirkungen in eine Risikomatrix eintragen
  4. Festlegen welcher Bereich der Matrix noch akzeptable Risiken darstellt
  5. Bei Überschreiten des akzeptierten Risikos DSFA durchführen

Darüber hinaus ist eine DSFA für bestimmte von den Aufsichtsbehörden festgelegte Verarbeitungstätigkeiten durchzuführen:

Hilfsmittel / Software zur Durchführung einer DSFA:

Löschkonzept und Datenvernichtung

Externe Quellen zum Thema Löschkonzept: Standards zur Datenvernichtung: Aufbewahrungsfristen

Datenschutzmanagement und TOMs

Unten stehend findet sich ein grober Überblick über Quellen zu Datenschutzmanagement und TOMs. Mehr Details finden sich auf meiner Seite mit ergänzenden Informationen zum Kurs "Information Security Foundation".

Auftragsverarbeitung

Übermittlung in Drittland

Angemessenheitsbeschlüsse

  • Angemessenheitsbeschlüsse des Europäischen Datenschutzausschusses gemäß Art. 45 DSGVO
    • EU-US Data Privacy Framework (DPF) seit 10.07.2023 als Angemessenheitsbeschluss für die Übermittlung in die USA.

      Siehe dazu auch die Pressemitteilung der EU-Kommission vom 10.07.2023.

      Durch das DPF ist ein Datentransfer an zertifizierte Organisationen aktuell erlaubt. Problematisch ist einerseits, dass sich Organisationen selbst zertifizieren, siehe dazu

      Andererseits besteht auch im DPF die Problematik, dass betroffenen Personen nicht mitgeteilt wird, ob sie tatsächlich von einer Überwachungsmaßnahme durch die US-Behörden nach FISA 702 und EO 12333 bzw. EO 14086 (siehe Abschnitt 3.2.1 des DPF) betroffen war und welche Wirkung eine (anerkannte) Beschwerde einer betroffenen Person hatte. Es ist daher damit zu rechnen, dass auch das DPF einer Überprüfung durch den EuGH nicht standhalten wird.

      Der neue Angemessenheitsbeschluss war notwendig, weil das Privacy Shield seit 16.07.2020 nicht mehr gültig ist:

      Am 16.07.2020 hat der EuGH entschieden, dass die USA kein der DSGVO genügendes Datenschutzniveau bieten und den bis dahin unter dem Namen „Privacy Shield“ geltenden Angemessenheitsbeschluss der Europäischen Union für die USA gemäß Art. 45 DSGVO für ungültig erklärt. Ein Datentransfer in die USA ist somit derzeit nur noch auf Basis von Standardvertragsklauseln und zusätzlichen Garantien, wie beispielsweise der Verschlüsselung der Daten möglich.

      Hinweise zu nicht mehr gültigem Privacy Shield:

Genehmigte Verhaltensregeln gemäß Art. 40 DSGVO

Verbindliche interne Datenschutzvorschriften gemäß Art. 47 DSGVO

Datenübermittlungen nach Grobßbrittanien

Bewertung von Microsoft 365

Cookies

Bewertung des Einsatzes von Google Analytics

Dark Patterns

Dark Pattern sind Methoden zur Irreführung, um Benutzer zu Handlungen zu veranlassen, die zum Vorteil des Anbieters sind.

Werbung und Marketing

Online-Handel

Die Datenschutzkonferenz (DSK) hat am 24.02.2022 beschlossen, dass für den datenschutzkonformen Online-Handel ein Gast-Zugang bereitgestellt werden muss, siehe den Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder: Hinweise der DSK – Datenschutzkonformer Online-Handel mittels Gastzugang

Beschäftigtendatenschutz

Haftung und Schadensersatz

Haftung und Schadensersatz sind in Art. 82 DSGVO geregelt. Schadensersatz wird ein immer wichtigeres Thema, da selbst bei kleineren Schadensersatzforderungen durch die Anzahl der betroffenen Personen schnell erhebliche Summen zustande kommen können, die höher ausfallen können, als potenzielle Bußgelder. Siehe dazu:

Bußgelder

Beispiele für verhängte Bußgelder

Datenschutz in KMU (kleinen und mittleren Unternehmen)

Datenschutzprüfung von Web-Seiten

Datenschutzfreundliche Software

Privatsphähre bei Mobilgeräten

Widerspruch gegen Auswertung von Bewegungsdaten

Die Mobilfunknetzbetreiber in Deutschland sammeln, analysieren und verkaufen die Bewegungen ihrer Kunden in anonymisierter Form zu Marketingzwecken an Drittunternehmen. Wer nicht möchte, dass seine Daten für diesen Zweck verwendet werden, kann dagegen widersprechen:

  • Kunden von Telefónica (O2, Blau, Fonic, Simyo etc.) senden dazu eine (kostenlose) SMS mit dem Text „Abmelden“ an die Nummer 66866 senden.
  • Telekom-Kunden (Congstar, Klarmobil etc.) können über ein Opt-Out-Portal widersprechen.

Soziale Medien und Messenger

Datenschutz-Icons

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg stellt auf seiner Internet-Seite Datenschutz-Icons zur Verfügung, also Symbole mit denen Begriffe aus dem Datenschutz veranschaulicht werden können.