Datenschutz-Grundverordnung und Bundesdatenschutzgesetz
Seit dem 25.5.2018 gilt mit der Datenschutz-Grundverordnung (DSGVO) ein neuer datenschutzrechtlicher Standard in Europa. Als Verordnung gilt die DSGVO in den Mitgliedsstaaten unmittelbar und muss daher nicht erst in nationales Recht umgesetzt werden. Mit der DSGVO ist seit dem 25.5.2018 auch eine neue Fassung des Bundesdatenschutzgesetzes (BDSG-neu) anzuwenden. Gegenüber den bisher geltenden Regelungen des Bundesdatenschutzgesetzes (BDSG) enthält die DSGVO erheblich verschärfte Anforderungen, insbesondere bei den so genannten Betroffenenrechten und der Dokumentations- und Rechenschaftspflicht gegenüber Aufsichtsbehörden. Unternehmen stehen deshalb dauerhaft vor der Aufgabe, ihre internen Prozesse an diesem Rechtsrahmen auszurichten und fortlaufend zu überprüfen.
Was wir tun
In der Regel beraten wir Unternehmen bzw. deren Organe. Gerne stehen wir auch internen oder externen Datenschutzbeauftragten beratend zur Seite.
Als Berater identifizieren wir die datenschutzrechtlichen Prozesse und Probleme in Ihrem Unternehmen und zeigen Wege auf, die Anforderungen des Datenschutzrechts praxistauglich umzusetzen. Dabei versuchen wir, die von selbsternannten Datenschutzberatern und -experten leider viel zu schnell und häufig empfohlene Einholung von Einwilligungen weitestgehend zu vermeiden. Denn mit entsprechender Argumentation können Datenverarbeitungen häufig auf eine andere Rechtsgrundlage gestützt werden.
Bei der Beratung im Datenschutzrecht erstreckt sich unsere Tätigkeit insbesondere auf folgende Bereiche:
- Beratung bei der Umsetzung der sich aus der Datenschutz-Grundverordnung (DSGVO) ergebenden Pflichten
- Pflicht zur Bestellung eines Datenschutzbeauftragten
- Prüfung und Überarbeitung von Websites und Online-Shops, insbesondere
- Erstellung oder Anpassung von Datenschutzerklärungen (Erfüllung der Informationspflichten nach Art. 13 DSGVO und Art. 14 DSGVO)
- Einsatz von Cookies und Tracking-Maßnahmen (z. B. Google Analytics, Matomo)
- Verwendung von Schriftart- oder JavaScript-Bibliotheken (z. B. Google Fonts, Ajax (Asynchronous JavaScript and XML), jQuery)
- Speicherung von IP-Adressen
- Transportverschlüsselung (TLS)
- Gegebenenfalls Überarbeitung von Anbieterkennzeichnung & AGB
- Erstellung und Prüfung datenschutzrechtlicher Verträge
- Verträge mit Datenschutzbeauftragten (intern oder extern)
- Vereinbarungen zwischen gemeinsam Verantwortlichen
- Auftragsverarbeitungsverträge
- (Alternative) EU-Standarddatenschutzklauseln
- Binding Corporate Rules (BCR)
- Erhebung und Verwendung von Kundendaten
- Kommunikation mit Kunden über Messenger, insbesondere „WhatsApp“
- Videoüberwachung, z. B. am Arbeitsplatz
- Formulierung von Einwilligungserklärungen
- Beschäftigtendatenschutz
- Internationaler Datentransfer (Binding Corporate Rules, EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Angemessenheitsbeschlüsse, Vereinigtes Königreich)
- Begutachtung einzelner datenschutzrechtlicher Fragen
- Kommunikation mit Betroffenen und Behörden
- Unterstützung bei Auskunfts- und Informationsanfragen
- Verteidigung gegen wettbewerbsrechtliche Inanspruchnahme (Abmahnung)
- Prüfung und Geltendmachung von Regressansprüchen gegenüber Datenschutzbeauftragten
Für die Benennung als externe Datenschutzbeauftragte stehen die Rechtsanwälte unserer Kanzlei nicht zur Verfügung. Gegebenenfalls besteht aber die Möglichkeit, Ihnen bei der Vermittlung eines geeigneten Datenschutzbeauftragten für Ihr Unternehmen behilflich zu sein.
Sanktionen
Die DSGVO sieht für Verstöße Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Schon das Bußgeld bei einem Verstoß gegen die Verpflichtung zur Bestellung eines Datenschutzbeauftragten kann bis zu 10 Millionen Euro oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen. Dabei handelt es sich, was leider oft unerwähnt bleibt, um Höchstwerte. Die Entscheidung über eine Bußgeldverhängung sowie über deren konkrete Höhe liegt im Ermessen der Aufsichtsbehörden. Panik ist in den meisten Fällen deshalb nicht angebracht. Wer seine Prozesse nicht überprüft und notwendige Maßnahmen einleitet, geht aber in jedem Fall ein erhebliches Risiko ein.