Home / Aktuelles & Termine / it.sec blog

Die DSGVO sieht im öffentlichen Bereich Regelungsaufträge und Öffnungsklauseln vor, die die Mitgliedstaaten ermächtigen, in einigen Bereichen eigene Regelungen zu erlassen. Das BayDSG wurde daher neu gefasst und ist am 25.05.2018 in Kraft getreten.

Die Regelungssystematik, nach der bayerische öffentliche Stellen personenbezogene Daten verarbeiten dürfen, ist eher ein Regelungschaos:

Sofern diese Stellen personenbezogene Daten verarbeiten, gilt die DSGVO, Art. 2 S. 1 BayDSG. Eine Ausnahme von diesem Grundsatz besteht, wenn es eine anderweitige Regelung gibt, Art. 2 Abs. 1 S. 1 BayDSG. Diese anderweitige Regelung kann sich aus dem BayDSG selbst ergeben (z.B. Art. 2 S. 2 BayDSG) oder auch aus bereichsspezifischen Rechtsvorschriften, die dem BayDSG vorgehen, Art. 1 Abs. 5 BayDSG. Beispiele für bereichsspezifische Rechtsvorschriften sind z.B. Regelungen der DSGVO selbst oder Art. 103 ff. Bayerisches Beamtengesetz (BayBG). Hierbei muss immer beachtet werden, dass diese anderweitigen Regelungen oder bereichsspezifischen Rechtsvorschriften der DSGVO nicht widersprechen.

Der Bayerische Landesbeauftragte für den Datenschutz sagt in einem Überblick hierzu: „Der Regelungsgehalt des neuen Bayerischen Datenschutzgesetzes ist aus sich heraus in der Regel nicht mehr verständlich“ und die „Regelungssystematik (…) anspruchsvoll.“

Die wichtigsten Vorschriften zum BayDSG, bezogen auf die DSGVO, sollen nachfolgend dennoch aufgelistet werden:

Anwendungsbereich: Die Vorschriften des BayDSG gelten für Behörden und sonstige öffentliche Stellen in Bayern, Art. 1 Abs. 1 S. 1 BayDSG.

Für nicht-öffentliche Stellen sowie öffentliche Stellen, die als Unternehmen am Wettbewerb teilnehmen, gelten die Vorschriften des BayDSG nicht, Art. 1 Abs. 3 S. 1 BayDSG. Ausnahmen:

  • Für nicht-öffentliche Stellen, die hoheitliche Aufgaben der öffentlichen Verwaltung in Bayern wahrnehmen, gelten die Vorschriften BayDSG, Art. 1 Abs. 4 BayDSG.
  • Art. 38 BayDSG gilt auch für nicht-öffentliche Stellen, Art. 1 Abs. 1 S. 4 BayDSG.

Zuständige Aufsichtsbehörde für sämtliche öffentliche Stellen, d.h. auch solche, die als Unternehmen am Wettbewerb teilnehmen, ist der Bayerische Landesbeauftragte für den Datenschutz, Art. 1 Abs. 3 S. 2 BayDSG.

Bußgelder: Gegen öffentliche Stellen werden keine Bußgelder verhängt, wenn sie gegen datenschutzrechtliche Bestimmungen verstoßen, Art. 22 BayDSG. Eine Ausnahme besteht gegenüber öffentlichen Stellen, die als Unternehmen am Wettbewerb teilnehmen.

Datengeheimnis: Die Beamten sowie nicht-verbeamteten Beschäftigten der öffentlichen Stellen sind zur Wahrung des Datengeheimnisses zu verpflichten. Diese Pflicht besteht auch nach Beendigung ihrer Tätigkeit bei der öffentlichen Stelle fort, Art. 11 BayDSG.

Datenverarbeitung:

  • Die Erhebung personenbezogener Daten bestimmt sich nach Art. 4 Abs. 1, Abs. 2 BayDSG. Es gilt ein Direkterhebungsgebot.
  • Die Verarbeitung der personenbezogenen Daten bestimmt sich nach Art. 4 Abs. 1 BayDSG.
  • Die Übermittlung bzw. Offenlegung personenbezogener Daten bestimmt sich nach Art. 5 BayDSG. Hiermit ist wohl nicht nur die Datenübermittlung an Dritte, sondern generell die Offenlegung gegenüber Empfängern (z.B. auch Auftragsverarbeitern) gemeint.
  • Die spätere Verarbeitung personenbezogener Daten zu geänderten Zwecken (Weiterverarbeitung) bestimmt sich nach Art. 6 Abs. 2 BayDSG.
  • Die Einrichtung automatisierter Verfahren zur Übermittlung personenbezogener Daten durch Abruf oder der gemeinsame Betrieb automatisierter Verfahren i.S.v. Art. 26 DSGVO bestimmt sich nach Art. 7 BayDSG.
  • Die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.v. Art. 9 Abs. 1 DSGVO bestimmt sich nach Art. 8 BayDSG.
  • Die Verarbeitung personenbezogener Daten im Rahmen der Videoüberwachung bestimmt sich nach Art. 24 BayDSG.
  • Die Verarbeitung personenbezogener Daten zu journalistischen, künstlerischen oder literarischen Zwecken bestimmt sich nach Art. 38 BayDSG. Diese Vorschrift gilt für öffentliche und nicht-öffentliche Stellen, Art. 1 Abs. 1 S. 4 BayDSG.
  • Bei der Löschung personenbezogener Daten ist zusätzlich Art. 26 Abs. 6 BayDSG zu beachten.

Auftragsverarbeitung: Es gilt Art. 28 DSGVO. IT-Dienstleister, die die Prüfung und (Fern-)Wartung von Datenverarbeitungssystemen und -anlagen übernehmen, gelten als Auftragsverarbeiter, Art. 5 Abs. 3 S. 1 BayDSG.

Joint Control: Es gilt Art. 26 DSGVO, ergänzt durch Art. 7 Abs. 2 BayDSG.

Informationspflichten: Die betroffenen Personen müssen über die Datenverarbeitung informiert werden gemäß Art. 13, 14 DSGVO („mit deren Kenntnis“, Art. 4 Abs. 2 S. 1 BayDSG).

Ausnahmen von der Informationspflicht sind gemäß Art. 4 Abs. 2 S. 4, Art. 9 BayDSG vorgesehen für die Fälle von Art. 4 Abs. 2 Nr. 1, Nr. 2 BayDSG, Art. 6 Abs. 2 Nr. 3 lit. a), b), d) BayDSG. Eine Ausnahme kann ggf. auch für den Fall von Art. 10 Abs. 1 S. 2 BayDSG bestehen.

Auskunftsrecht: Betroffene Personen haben in den Fällen des Art. 10 Abs. 1 S. 1 und 2, Abs. 2 Nr. 1 bis 5 lit. a), b) BayDSG kein Recht, Auskunft zu den über sie verarbeiteten personenbezogenen Daten zu verlangen.

Benachrichtigungspflicht aus Art. 34 DSGVO: Die Benachrichtigung betroffener Personen über Datenschutzverletzungen kann in den Fällen von Art. 6 Abs. 2 Nr. 3 lit. a), b), d) BayDSG unterbleiben, Art. 13 BayDSG.

Verzeichnisses von Verarbeitungstätigkeiten: Das Führen eines solchen Verzeichnisses wird in Art. 2 S. 2 BayDSG eingeschränkt.

Datenschutz-Folgenabschätzung: Die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung wird in Art. 2 S. 2 sowie Art. 14 BayDSG eingeschränkt.

S. Kieselmann

Beraterin für Datenschutz

Dipl.sc.pol.Univ.

Die Übermittlung personenbezogener Daten aus Europa in die USA ist in Zeiten von Cloud-Diensten und internationalen Unternehmen ein wichtiges Thema.

Gemäß dem Durchführungsbeschluss (EU) 2016/1250 der Europäischen Kommission vom 12.07.2016 bieten US-Unternehmen, die eine Privacy Shield-Zertifizierung besitzen, ein angemessenes Datenschutzniveau. Eine Übermittlung personenbezogener Daten ist dann gemäß Art. 45 DSGVO zulässig. Diese Zertifizierung muss erst durch die Unternehmen erworben werden, somit ist nicht jedes Unternehmen aus den USA zwingend auch nach den Richtlinien des Privacy-Shields zertifiziert.

Unter dem folgenden Link kann geprüft werden, ob das US-Unternehmen, dem man Daten übermitteln möchte, eine Privacy-Shield-Zertifizierung aufweist: https://www.privacyshield.gov/list.

Aufgrund der Abreden zum EU-US Privacy Shield müssen diese US-Unternehmen den betroffenen Personen verschiedene Rechte einräumen, welche dann direkt gegenüber den zertifizierten Unternehmen geltend gemacht werden können.

Bei vermuteten Datenschutzverstößen kann man sich auch an die nationalen Aufsichtsbehörden wenden. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat hierzu ein Beschwerdeformular veröffentlich, welches mit den anderen europäischen Datenschutzbehörden abgestimmt wurde. Auch die Aufsichtsbehörden von Bayern, NRW und Baden-Württemberg haben ebenfalls entsprechende Formulare veröffentlicht. Dieses gilt allerdings nur für Beschwerden gegenüber privaten Unternehmen. Sollte eine betroffene Person befürchten, dass auf ihre personenbezogenen Daten durch US-amerikanische Sicherheitsbehörden oder Nachrichtendienste zugegriffen wurde, kann auch dies einer Prüfung unterzogen werden. Für ein solches Vorgehen steht ein separates Formular zur Verfügung. Entsprechende Fälle werden dann durch eine Ombudsperson des US-Außenministeriums bearbeitet.

Die entsprechenden Formulare sind u.a. auf der Internetseite der Berliner Beauftragten für Datenschutz und Informationsfreiheit unter https://datenschutz-berlin.de/content/eu-us-privacy-shield-informationen-und-beschwerdemoeglichkeiten abrufbar.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Widerspruchsrecht der betroffenen Person:

Die betroffene Person hat gemäß Art. 21 Abs. 1 DSGVO das Recht,

  • der weiteren Verarbeitung ihrer personenbezogenen Daten oder einem Profiling
  • auf Grundlage von Art. 6 Abs. 1 lit. f) oder e) DSGVO

jederzeit zu widersprechen, sofern sich hierfür

  • aus der besonderen persönlichen Situation der betroffenen Person schutzwürdige Interessen am Ausschluss der Datenverarbeitung oder des Profilings ergeben und
  • der Verantwortliche keine zwingenden schutzwürdigen Gründe für die weitere Verarbeitung oder das Profiling nachweisen kann.

Ebenso hat die betroffene Person gemäß Art. 21 Abs. 2 DSGVO jederzeit das Recht, der Verarbeitung ihrer Daten oder dem Profiling zum Zwecke der Direktwerbung zu widersprechen.

Der Verantwortliche muss die betroffene Person spätestens zum Zeitpunkt der ersten Kommunikation ausdrücklich auf das ihr zustehende Widerspruchsrecht hinweisen gemäß Art. 21 Abs. 4, Art. 13 Abs. 2 lit. b), Art. 14 Abs. 2 lit. c) DSGVO.

Widerrufsrecht der betroffenen Person:

Der betroffenen Person steht gemäß Art. 7 Abs. 3 S. 1 DSGVO ein Widerrufsrecht mit Wirkung für die Zukunft gemäß Art. 7 Abs. 3 S. 2 DSGVO zu aufgrund ihrer freiwillig im Rahmen einer Einwilligung i.S.v. gemäß Art. 6 Abs. 1 lit. a) oder Art. 9 Abs. 2 a) DSGVO abgegebenen personenbezogenen Daten.

Der Verantwortliche muss die betroffene Person über ihr Widerrufsrecht vor Abgabe ihrer Einwilligung in Kenntnis setzen gemäß Art. 7 Abs. 3 S. 3, Art. 13 Abs. 2 lit. c), Art. 14 Abs. 2 lit. d) DSGVO.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Abbinder Abmahnung Abmahnungen Abo-Falle ADCERT Angemessenheitsbeschluss Angriff Anklage Anwendbarkeit Anwendung Arbeitgeber Arbeitnehmer Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeiter Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch Backup BAG BayDSG Bayerisches Datenschutzgesetz BDSG-Neu BEAST Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsvereinbarung Betroffenenrechte BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonitätsprüfung Brexit Browser Bund Bundesarbeitsgericht Bußgeld Bußgelder BVG Cloud CNIL Compliance Cookie Custom Audience Cyber Dashcam Daten Datenlöschung Datenminimierung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Schulungen Datenschutzabkommen Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung datenschutzkonform Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Deutsche Bahn Dienstleister Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSGVO DSK dynamische IP-Adresse E-Mail e-Privacy-Verordnung E-Rechnung eCall-Technologie EES EFAIL Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entsorgung Erhebung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EuGH Europäische Union Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis FlugDaG Fluggastdaten Folgenabschätzung Foto Funkmäuse Funktastaturen Geldbörse Gemeinsam Verantwortliche Gericht Gesetz gegen den Unlauteren Wettbewerb Gesundheitsdaten Google Google Analytics hacken Hacker Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Home Office Immobilienmakler Informationspflicht Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Security IT-Sicherheit IT-Systeme ITSECX Jin-hyok Joint Control Kanada Keynote Klagebefugnis Klingelschilder Kommune Konferenz Kontaktdaten Kontakte Konzern konzerninterner Datentransfer KoSIT Kriminalität KUG Kundenbindung Kundenzufriedenheit Kunsturhebergesetz Lazarus Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Löschungsrecht Lösegeld Malware Markennamen Markenrecht Marktortprinzip MD5 Meldepflicht Meldescheine Meldung Meltdown Messenger Microsoft Mieter Misch-Account Mitarbeiter Mitbewerber MouseJack-Angriffe Netzwerklabor NIST Nordkorea Nutzungsbedingungen Öffnungsklauseln One Stop Shop Österreich Papierrechnung Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Patientendaten Penetrationstest Personalausweiskopien personenbezogene Daten Personenbilder Persönlichkeitsrechte Pflichten Plattformbetreiber PNR-Daten PNR-Instrumente POODLE Privacy by Default Privacy by Design Privacy Shield privat private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Privatsphäre Profiling Quantencomputer Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Referenten Regelungsaufträge Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management SamSam Sanktionen Schaden Schadprogramm Seitenbetreiber SHA1 sicher Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Skype Smartphone Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke Spectre Sponsoren Standardvertragsklauseln Strafe Strafverfolgung Studenten Supercomputer Risikolage Support Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telefonnummer Telemediendienst Telemediengesetz Telstra Security Report TKG TLS TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe US-Regierung USA UWG Verantwortlicher Verantwortung Vereinbarung Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Virus Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wohnung X-Rechnung Zertifikat Zertifizierung Zugangsdaten Zugriff zulässig Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30
31