Datenschutzrichtlinie (DSGVO)

Informationspflichten und Betroffenenrechte

Darüber hinaus müssen die Informationspflichten und Betroffenenrechte erfüllt werden.

Die Informationspflichten unterscheiden sich, je nachdem ob man die Daten bei den betroffenen Personen selbst erhoben hat oder nicht. Im Fall der Massage-Praxis haben wir es im Regelfall mit ersterem Fall zu tun. Das bedeutet, dass nachfolgende Informationen schon zum Zeitpunkt der Datenerhebung zur Verfügung gestellt werden müssen (es sei denn, die betroffene Person verfügt schon über die erforderlichen Informationen):

1. die Namen und Kontaktdaten des Verantwortlichen (gegebenenfalls auch seiner Vertreter und/oder des Datenschutzbeauftragten),
2. die Verarbeitungszwecke und Rechtsgrundlagen der Verarbeitung,
3. gegebenenfalls die Empfänger der Daten,
4. die Dauer der Datenspeicherung bzw. wenn unmöglich die Kriterien für die Festlegung der Dauer,
5. die Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch,
6. die Möglichkeit des Widerrufs der Einwilligung,
7. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde, sowie
8. die Information, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist; ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte.

Die Betroffenenrechte sind jene Rechte, die die von der Datenverarbeitung betroffene Person gegenüber dem Verantwortlichen hat, um sich z.B. gegen unrichtige Datensätze zu wehren oder aber zu verlangen, dass erhobene Daten gelöscht werden, und müssen präzise, transparent, verständlich und leicht zugänglich (schriftlich, elektronisch oder auch in einer anderen Form) vermittelt werden:

1. Informationspflicht (der betroffenen Person),
2. Auskunftsrecht,
3. Recht auf Berichtigung,
4. Recht auf Löschung („Recht auf Vergessenwerden“),
5. Recht auf Einschränkung der Verarbeitung,
6. Recht auf Datenübertragbarkeit und
7. Widerspruchsrecht.

Von wesentlicher Bedeutung ist die klare Information, an wen sich eine betroffene Person für die Ausübung der Betroffenenrechte wenden kann und angefragte Informationen müssen unverzüglich, jedenfalls innerhalb eines Monats nach Eingang der Anfrage zur Verfügung gestellt werden. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist.

1. Informationen und alle Mitteilungen und Maßnahmen sind unentgeltlich zur Verfügung zu stellen.
2. Bei offenkundig unbegründeten oder exzessiven Anträgen (z.B. wenn die Anfrage häufig wiederholt wird) einer betroffenen Person kann der Verantwortliche entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder sich weigern, aufgrund des Antrags tätig zu werden.
   In beiden Fällen liegt die „Beweislast“ beim Verantwortlichen.

Datensicherheitsmaßnahmen

Erforderliche Datensicherheitsmaßnahmen sind:

1. die Pseudonymisierung und Verschlüsselung personenbezogener Daten (z.B. Passwortsicherungen von Dateien),
2. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen (z.B. Zutritts-/Zugangskontrollen, Zugriffsbeschränkungen),
3. die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (z.B. Backup-Programme), und
4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung (z.B. Selbstevaluierungsprozesse).

Neben der Wahl geeigneter technischer und organisatorischer Maßnahmen („privacy by design“) sind geeignete technische und organisatorische Maßnahmen zu treffen, die sicherstellen, dass durch entsprechende Voreinstellungen grundsätzlich nur solche personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist („privacy by default“).

Pages: 1 2 3