Der Komet 5619 – Seite 46

BSM wenn gezielt nur ein einzelner Teilnehmer fotografiert worden ist. Dann ist seine Einwilligung nötig. Fallbeispiel 1: Bei der Landesdelegiertenkonferenz (Erweiterten Präsidiumskonferenz) spricht ein Minis- ter oder dessen Vertreter. Mitglieder gesellen sich in die Gesprächsrunde am Rande der Veranstaltung, wobei Fotos entstehen. Hierzu ist keine Einwilligung der abgebildeten Personen erforderlich. Der Politiker ist eine Person der Zeitgeschichte und die sonstigen abgebildeten Personen sind neben ihm eine Art „Bei- werk" (Fall des § 23 Abs. 1 Nr. 1 KUG). Fallbeispiel 2: Der Landesverband will dokumentie- ren, wie gut die Versammlungen besucht sind. Ein Vereinsmitglied fotografiert den nahezu vollbesetz- ten Versammlungsraum. Auf diesem Foto sind die Gesichter einzelner Zuschauer zu erkennen. Die Ver- öffentlichung des Fotos ist ohne Einwilligung zulässig (Fall einer Versammlung gemäß §23 Abs. 1 Nr. 3 KUG; argumentieren lässt sich auch damit, dass es um das Foto einer Örtlichkeit geht, bei der die Personen nur als Beiwerk erscheinen – Fall des § 23 Abs. 1 Nr. 2 KUG). HINWEIS: Bei den Unternehmensleitungen liegt die Gesamtverantwortung für die DS-GVO. Daten- schutz ist insoweit Führungsaufgabe und damit Chefsache. Letztlich sind die Geschäftsleitung bzw. der Vorstand in Vereinen dafür verantwort- lich, dass im Unternehmen technisch wie orga- nisatorisch ein System entsteht, das fristgerecht den rechtskonformen Datenumgang sicherstellt. Auch bei WhatsApp verbirgt sich ein Fallstrick für Geschäftshandys. Es werden von der App immer wieder die Kontaktdaten des mit WhatsApp ver- bundenen Telefons abgerufen. Mit diesem Zugriff, der nicht abstellbar oder beschränkbar ist, hat WhatsApp nun auch Daten von Kontakten, die keine Mitglieder sind bzw. hier registriert werden möchten. Hier kann unter Umständen von einer Datenschutzverletzung ausgegangen werden. Auch Facebook-Fanpage-Betreiber sind für mögliche Datenschutzverstöße verantwortlich. Dieses hat der EuGH im Juni 2018 entschieden. Einem Fanpage- Betreiber bleiben aktuell aber nur wenige Möglich- keiten, dieses Urteil umzusetzen. Deshalb gilt hier die Empfehlung, alle auch geschäftlich genutzten Seiten, mit einer angepassten Datenschutzerklärung zu verlinken oder diese einzubinden. Was ist zu unternehmen! Dieses muss jeder Betrieb, anhand eines risikobasier- ten Ansatzes selbst beurteilen, inwieweit technische und organisatorische Maßnahmen getroffen werden müssen, um die neuen datenschutzrechtlichen Vor- gaben einzuhalten. Die DSGVO gibt diesbezüglich folgende Erwägungen und Anhaltspunkte vor: Erstellung eines Verzeichnisses über die Verarbeitungstätigkeit Das Verzeichnis der Verarbeitungstätigkeit dient dazu, den Überblick zu erhalten, welche, für was und vor allem von wem personenbezogen Daten verarbeitet werden. Es dient neben der eigenen Qualitätskon- trolle ausschließlich dafür, der Aufsichtsbehörde nachzuweisen, in welchem Verfahren in dem jewei- ligen Unternehmen oder Verein mit personenbe- zogenen Daten umgegangen wird. Das Verzeichnis ist regelmäßig in deutscher Sprache zu führen und kann schriftlich oder auch elektronisch vorgehalten werden. Was sind personenbezogene Daten? Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbeson- dere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physi- schen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 4 Nr. 1 DS-GVO). Beispiele dafür sind Name, Wohnort, Geb.-Datum, Steuernummer, Religionszugehörigkeit. Was ist „verarbeiten"? Verarbeiten ist in der DS-GVO ein umfassender Begriff für den Umgang mit personenbezogenen Daten. Er umfasst das Erheben (Daten beschaffen, sammeln), Speichern, Ändern (Berichtigung einer E-Mailadresse), Nutzen (Abfrage starten), Übermitteln (durch Wei- tergabe von Daten oder auch „reinschauen" lassen), Verknüpfen (mit anderen Daten) oder Löschen (ein- schließlich Vernichten eines Datenträgers). Auf dem Punkt gebracht: Es ist unerheblich was mit den personenbezogenen Daten gemacht wird, es ist immer eine Verarbeitung nach der DS-GVO! HINWEIS: Die Verarbeitung von personenbezo- genen Daten für ausschließlich persönliche und familiäre Tätigkeiten (z.B. private Adressbücher oder Fotos) fällt nicht in den Anwendungsbereich der DS-GVO. Die Freistellung von der Verpflichtung ein Verzeichnis der Verarbei- tungstätigkeiten aufzustellen, gibt es theoretisch für Unternehmen und Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen. In der Praxis hat das aber fast keine Bedeutung, da diese Freistellung u. a. nur dann gilt, wenn die Verarbeitung nur gelegentlich erfolgt und auch keine besonderen Daten kategorien wie Gesundheits- oder Religionsdaten verarbeitet werden. Jedes Unternehmen oder jeder Verein, der kontinuierlich für seine Beschäftigten Lohnabrech- nungen durchführt, einschließlich der Verarbeitung von Religionsdaten zur Abführung der Kirchensteuer oder Gesundheitsdaten zur Feststellung der Krank- heitstage oder als Verein seine Mitgliederverwaltung auf dem Laufenden hält, ist von der Freistellung nicht mehr umfasst. Er verarbeitet die Daten nicht mehr nur gelegentlich. Unabhängig davon sollten Verantwort- liche eher weniger Aufwand in die Begründung ihrer Freistellung investieren als im Zweifel lieber ein Ver- zeichnis ihrer Verarbeitungstätigkeiten aufzustellen. Es hilft jedem Verantwortlichen, einen Überblick dar- über zu bekommen oder zu behalten, wie im eigenen Unternehmen oder Verein mit personenbezogenen Daten umgegangen wird. Dieses Verzeichnis kann darüber hinaus sehr hilfreich sein, um andere gesetz- lich verpflichtende Aufgaben zu erfüllen. Aktualisierung des Verzeichnisses Das Verzeichnis muss immer aktuell gehalten werden. Als Nachweis der Aktualisierungen sind die Daten nicht einfach zu überschreiben, sondern Daten mit Änderungsdatum hinzuzufügen. Es sollte mindesten für 1 Jahr nachgewiesen werden können, welche Änderungen vorgenommen wurden. Anforderung Rechtmäßigkeit (Art. 6 ff. DSGVO) bedeutet, dass nur dann personenbezogene Daten verarbeitet werden dürfen, wenn entweder eine Rechtsgrundlage (Sozi- algesetzbuch, Steuerrecht, Handelsrecht, Vertrag, Satzung u.a.) oder die Einwilligung der betroffenen Person vorliegt. Rechtmäßigkeit liegt auch vor, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Hierbei ist zu beachten, dass nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezoge- ner Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Informationspflichten (Art. 13, 14) beinhaltet das berechtigte Interesse der betroffenen Person zu wissen, was mit ihren Daten passiert. Je direkter der Kontakt ist, desto geringer sind die Informations- pflichten (Bestellung beim Marktkaufmann am Stand bzw. beim Schausteller am Geschäft oder Bestellung im Onlineshop). Die betroffene Person soll wissen, wer was mit den Daten macht, um auch noch nein sagen zu können. Betroffenenrechte sind Rechte auf Auskunft, auf Berichtigung, auf Löschung sowie auf Widerruf einer Einwilligung seiner personenbezogenen Daten. Betroffenenrechte verpflichten Unternehmen und Vereine, aktiv im Wege einer transparenten Informa- tion über die von ihnen geplante Datenverarbeitung und der Rechtsgrundlage bzw. die Basis der Interes- senabwägung zu informieren. Eine Auskunft ist nicht automatisch zu erteilen, sondern nur, wenn ein kon- kreter Antrag vorliegt. Wichtig: Es ist dabei zu beachten, dass man sich als Verantwortlicher darüber vergewissert, dass der Antragsteller der ist, der er vorgibt, zu sein. Der Datenschutzbeauftragte Alleine die Verarbeitung von personenbezogenen Daten (Kunden, Mitarbeitern, Mitgliedern) führt nicht dazu, dass ein Datenschutzbeauftragter bestellt werden muss. Wann muss ein Datenschutzbeauftragter bestellt werden? • Wenn mindestens zehn Personen mit der automa- tisierten Verarbeitung (PC, Laptop, sonstige EDV- Gerät) von personenbezogenen Daten umgehen. Hierbei ist es unerheblich, ob diese Person für ihre Tätigkeit bezahlt wird. • Daten verarbeiten, die wegen eines hohen Risikos für die betroffenen Personen eine Datenschutz- Folgenabschätzung erfordern (§ 38 Abs. 1 Satz 2 BDSG-neu absolute Ausnahme). Empfehlung und Quelle: Erste Hilfe zur Datenschutz- Grundverordnung (ISBN 978 3 406 71662 1) Die Broschüre informiert knapp und verständlich über die inhaltlichen Vorgaben und die formalen Pflichten beim Umgang mit Daten. Zielgruppe sind die Inhaber und Datenschutzverantwortlichen kleinerer Unternehmen, Vereinsvorsitzende, datenschutzinte- ressierte Vereinsmitglieder, aber auch alle, die sich einen schnellen Überblick über die Anforderungen des neuen Datenschutzrechts verschaffen wollen. Alle Ausführungen stehen unter dem Vorbehalt neuer Erkenntnisse und Entwicklungen der Gesetz-/Verordnungsgebung, Rechtsprechung und Wissenschaft. Die vorstehenden Informati- onen wurden von uns mit größtmöglicher Sorg- falt erstellt. Der Bayerische Landesverband der Marktkaufleute und der Schausteller übernimmt jedoch keine Gewähr für deren Richtigkeit und Vollständigkeit. Eine Haftung für Fehler oder Auslassungen wird von uns nicht übernommen. Die Nutzung der Informationen erfolgt auf eigene Gefahr. Vorsorglich weisen wir ergänzend darauf hin, dass die vorstehenden Informationen keine anwaltliche Rechtsberatung darstellen und keine einzelfallbezogene anwaltliche Beratung ersetzen können. (BLV-Pressestelle: JW/Foto) ■ BSM 46 Ende des Verbandsteils BSM 5619 | 20.09.2018 Der Komet