Neuigkeiten aus der Zertifizierwelt
Neuigkeiten aus der Zertifizierwelt
Die neue Datenschutzgrundverordnung (DSGVO) hat Änderungen bei den Auskunftsrechten für Betroffene gebracht. Unternehmen sollten diese genau kennen, denn bei Verstößen drohen empfindliche Bußgelder.
Seit 25. Mai 2018 ist die DSGVO europaweit anwendbares Recht. Ob Kunde, Online-Nutzer oder Patient – Betroffene können jetzt von erweiterten Auskunftsrechten über alle bei Firmen gespeicherten personenbezogenen Daten Gebrauch machen. Darauf sollten Unternehmen gut vorbereitet sein. Denn verstoßen sie gegen die Vorschriften der Auskunftsrechte, müssen sie mit einem Bußgeld von bis zu 20 Mio. Euro oder bis zu 4 Prozent des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr rechnen – je nachdem, welcher Betrag höher ist.
Das Auskunftsrecht untergliedert sich in zwei Stufen. Zum einen können betroffene Personen Informationen darüber verlangen, ob das Unternehmen überhaupt personenbezogene Daten von ihnen verarbeitet. Ist dies der Fall, besteht grundsätzlich ein Recht auf Auskunft über diese Daten. Zu welchem Zweck werden diese verarbeitet? Wer hat sie bisher empfangen und wer soll sie künftig bekommen? Wie lange werden die personenbezogenen Daten gespeichert und welche Kriterien haben zur Festlegung dieser Zeitspanne geführt? Soweit die Daten nicht bei der betroffenen Person erhoben worden sind, kann diese auch die Herkunft der Daten erfragen. Zum anderen dürfen Betroffene die Berichtigung oder Löschung ihrer Daten verlangen oder verfügen, dass diese Daten nur eingeschränkt verarbeitet werden dürfen.
Unternehmen müssen Betroffene über dieses Widerspruchsrecht sowie ihr Beschwerderecht bei einer Aufsichtsbehörde informieren. Artikel 15 DSGVO erweitert somit die bisher bekannten Regelungen des § 34 BDSG bei den Auskunftsrechten.
Der Verantwortliche muss nach Artikel 15 Absatz 3 DSGVO der betroffenen Person eine Kopie derjenigen personenbezogenen Daten zur Verfügung stellen, die Gegenstand der Verarbeitung sind. Für diese erste Kopie dürfen dem Kunden keine Kosten entstehen. Wurde der Antrag elektronisch gestellt, sind die notwendigen Informationen in einem gängigen elektronischen Format zu übermitteln.
Durch das erweiterte Beschwerderecht für Betroffene ist damit zu rechnen, dass diese häufiger davon Gebrauch machen und etwa darauf bestehen, dass ihre Daten gelöscht werden. TÜV SÜD weist darauf hin, dass Verantwortliche – sofern noch nicht geschehen – konkrete Datenlöschprozesse implementieren müssen. Darüber hinaus empfiehlt es sich, Verfahren einzubauen, die es ermöglichen, zeitnah auf die Rechte der Betroffenen zu reagieren.
Kein Auskunftsrecht besteht, wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund von Aufbewahrungsvorschriften nicht gelöscht werden dürfen. Patienten- oder Personalakten zum Beispiel müssen in der Regel zehn Jahre aufgehoben werden. Bevor sie Auskunft erteilen, können Unternehmen außerdem verlangen, dass die betroffene Person konkretisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht. Und auch im Fall, dass die Auskunftserteilung für die Verantwortlichen einen unverhältnismäßigen Aufwand bedeuten würde, besteht kein Anrecht darauf.
Ein Whitepaper mit den wichtigsten Grundsätzen, Regelungen sowie umfangreichen Praxishilfen zur Umsetzung der DSGVO haben unsere Kollegen von der TÜV SÜD Akademie in Kooperation mit der TÜV SÜD Sec-IT entwickelt. Es steht Ihnen hier zum kostenlosen Download bereit:
Die TÜV SÜD Sec-IT bündelt mit ihren innovativen Leistungen Kompetenzen der Bereiche IT-Security und Datenschutz.
Weitere Informationen zur TÜV SÜD Sec-IT: Webseite Cyber Security
