Allgemein
Berechtigtes Interesse
Das berechtigte Interesse
Eine wichtige Rechtsgrundlage zur Verarbeitung personenbezogener Daten ist das „berechtigte Interesse“, welches in Art. 6 Abs. 1 lit. f DSGVO geregelt ist.
Die Datenschutz-Grundverordnung (DSGVO) enthält eine Reihe von Regelungen, die Unternehmen und Organisationen im Umgang mit personenbezogenen Daten beachten müssen. Ein wichtiger Grundsatz der DSGVO ist das Prinzip der Rechtmäßigkeit, das besagt, dass die Verarbeitung personenbezogener Daten nur auf einer rechtmäßigen Grundlage erfolgen darf.
Eine solche rechtmäßige Grundlage ist das berechtigte Interesse. Das berechtigte Interesse ist eine Rechtsgrundlage, die es einem Unternehmen erlaubt, personenbezogene Daten zu verarbeiten, ohne dass eine Einwilligung der betroffenen Person erforderlich ist. Allerdings müssen bestimmte Bedingungen erfüllt sein, um das berechtigte Interesse als Rechtsgrundlage nutzen zu können.
Das Unternehmen muss zunächst ein berechtigtes Interesse an der Verarbeitung der personenbezogenen Daten haben. Ein berechtigtes Interesse kann beispielsweise dann vorliegen, wenn die Verarbeitung der personenbezogenen Daten zur Wahrung der berechtigten Interessen des Unternehmens erforderlich ist, z.B. um ein legitimes Geschäftsinteresse zu verfolgen.
Darüber hinaus muss das Unternehmen sicherstellen, dass das berechtigte Interesse der betroffenen Person nicht überwiegt. Wenn das berechtigte Interesse des Unternehmens das Interesse oder die Grundrechte und Freiheiten der betroffenen Person überwiegt, kann das Unternehmen die personenbezogenen Daten unter Umständen verarbeiten, ohne dass eine Einwilligung erforderlich ist.
Die Interessenabwägung ist auf jeden Fall zu dokumentieren, da diese ggf. auch einer Aufsichtsbehörde vorgelegt werden muss. Hier muss eine sachgerechte Abwägung der unterschiedlichen Interessen ersichtlich sein.
Es ist jedoch wichtig zu betonen, dass das berechtigte Interesse kein Freifahrtschein für Unternehmen ist, um personenbezogene Daten beliebig zu verarbeiten. Unternehmen müssen sicherstellen, dass sie nur diejenigen personenbezogenen Daten verarbeiten, die für die Zwecke, für die sie benötigt werden, angemessen, relevant und begrenzt sind.
Ein kompetenter Datenschutzbeauftragter kann hier wertvolle Dienste leisten.
Weiterhin ist hier zu beachten, dass diese Rechtsgrundlage für den öffentlichen Bereich NICHT anwendbar ist (vgl. Art. 6 Abs.1 Satz 2 DSGVO).
Datenschutz Mogelpackung für kleine und mittlere Unternehmen (KMU)
Datenschutz Mogelpackung für Unternehmen
Der Bundestag hat am 28.06.2019 ein Gesetz zur Änderung verschiedener Vorschriften beschlossen. Darunter auch die Änderung des § 38 Bundesdatenschutzgesetz (BDSG). Hier wurde die Grenze zur verpflichtenden Benennung eines Datenschutzbeauftragten (DSB) von 10 auf 20 Personen heraufgesetzt, welche mit der Verarbeitung personenbezogener Daten beschäftigt sind. Begründet wurde dies mit einer Entlastung der KMU’s.
Hier wird aber voraussichtlich das genaue Gegenteil der Fall sein. Es wurde nämlich nicht erwähnt, dass die datenschutzrechtlichen Vorschriften (DSGVO, BDSG…) selbstverständlich weiterhin für diese Unternehmen in vollem Umfang gelten und genauso wie bisher umzusetzen sind. Dies hat zur Folge, dass kein geschulter DSB mehr vorhanden ist, aber die Vorschriften vom Unternehmen trotzdem eingehalten werden müssen.
Datenschutz-Aufsichtsbehörden werden verstärkt prüfen
Die deutschen Datenschutzaufsichtsbehörden haben sich im Vorfeld gegen diese Gesetzesänderung ausgesprochen. Daher ist davon auszugehen, dass die Prüfungen verstärkt werden, da auch hier die oben genannte Problematik gesehen wird. Es ist leider anzunehmen, dass auch die Anzahl der verhängten Bußgelder hierdurch steigen wird.
Die ersten Datenschutz-Aufsichtsbehörden haben schon eine Stellungnahme abgegeben:
Berlin:
Niedersachsen:
Das Haftungsrisiko steigt
Bei einem Bußgeldrisiko von bis zu 20 Millionen Euro wird es sich kein Unternehmen leisten können, den Datenschutz zukünftig außer Acht zu lassen. Daher müssen die eigenen Mitarbeiter in der Thematik geschult werden.
Auch die Haftung der Vorstände bzw. Geschäftsführer (siehe Aktiengesetz, GmbH-Gesetz) kann hier meiner Ansicht nach betroffen sein, wenn intern kein geeignetes Risikomanagement organisiert wird, welches das Bußgeldrisiko minimieren soll.
Der Aufwand für die Firmen wird damit steigen. Von einer Entlastung kann absolut keine Rede sein.
Selbstverständlich könnte ein Unternehmen entscheiden, dass der Datenschutz zukünftig nur noch eine untergeordnete Rolle einnehmen soll. Dies kann aber spätestens dann zu einer kostspieligen Entscheidung werden, wenn bei einer Aufsichtsbehörde eine Beschwerde eines Kunden oder Mitarbeiters vorliegt, welche eine entsprechende Prüfung nach sich zieht.
Fazit
Einige Unternehmen haben die genannten Probleme jedoch bereits erkannt und werden zukünftig auf eine freiwillige Benennung eines Datenschutzbeauftragten zurückgreifen. Dies wird bereits von vielen Unternehmen öffentlichkeitswirksam dargestellt und sich in Zukunft als Wettbewerbsvorteil herausstellen.
Anwendungsbereich des BDSG
Der Anwendungsbereich des BDSG
Das Bundesdatenschutzgesetz (BDSG) kommt oft neben der DSGVO zur Anwendung. Nämlich immer dann, wenn die DSGVO eine sog. Öffnungsklausel für den nationalen Gesetzgeber vorsieht. Das neue BDSG trat mit der DSGVO in Kraft. Das BDSG besteht aus 4 Teilen:
- Teil 1: §§ 1 – 21
- Teil 2: §§ 22 – 44
- Teil 3: §§ 45 – 84
- Teil 4: § 85
Bei § 44 BDSG ist Schluss
Nun sieht man jedoch ziemlich oft, dass in Datenschutzerklärungen o.ä. auf §§ des 3.Teils (ab § 45 BDSG) verwiesen wird. Dies ist jedoch nur möglich, wenn es sich hier um eine Stelle handelt, welche für die Verhütung, Ermittlung, Aufdeckung, Verfolgung oder Ahndung von Straftaten oder Ordnungswidrigkeiten zuständig ist. Dies sind beispielsweise Gerichte, Polizei, Staatsanwaltschaften usw.
Um dies festzustellen, ist kein Jurastudium notwendig. Hier reicht es vollkommen aus, wenn man sich den Anwendungsbereich für den 3.Teil (§ 45 BDSG) durchliest oder aktuelle Fortbildungen zum Thema Datenschutz besucht.
Der 3.Teil des BDSG (§§ 45 – 84 ) ist somit nicht für Unternehmen anwendbar!
Alle §§ von 45 bis 84 können somit nicht von Unternehmen herangezogen werden. Sollte also ein „Datenschutzberater“ diese Paragraphen verwenden, wäre diesem eine aktuelle Fortbildung zu empfehlen.