Worauf ein Unternehmen achten muss, das mit personenbezogenen Daten von EU-Bürgern umgeht

Jedes Unternehmen, das personenbezogene Daten von Bürgern der Europäischen Union (EU) verarbeitet, muss sich im IT-Bereich in Belarus an den komplexen Vorgaben der Datenschutz-Grundverordnung (DSGVO / GDPR) orientieren. Die Einhaltung rechtlicher und ethischer Standards im Bereich des Datenmanagements erfordert das Verständnis und die Befolgung der DSGVO-Grundsätze, um Geldbußen zu vermeiden und Gesetzeskonformität zu gewährleisten.

Welche Regeln bei der Verarbeitung personenbezogener Daten von EU-Bürgern zu beachten sind

Die Datenschutz-Grundverordnung (DSGVO) legt Regeln für die Erhebung und Aufbewahrung personenbezogener Daten von EU-Bürgern fest. Die DSGVO ist für alle Unternehmen verbindlich geworden, die sich sowohl innerhalb als auch außerhalb der Europäischen Union befinden und personenbezogene Daten von EU-Bürgern verarbeiten. Diese Verordnung ist seit Mai 2018 in Kraft.

Was unter die Verarbeitung personenbezogener Daten von EU-Bürgern fällt

Die Verarbeitung personenbezogener Daten von EU-Bürgern gemäß der DSGVO umfasst jegliche Vorgänge im Zusammenhang mit personenbezogenen Daten. Dazu gehören das Erheben, das Erfassen, die Strukturierung, die Speicherung, die Bearbeitung, die Nutzung, die Übermittlung, die Vernichtung und andere Handlungen mit personenbezogenen Daten.

Gemäß der DSGVO gehören alle Identifikatoren, die bei der Identifizierung von Personen im Internet helfen, zu den personenbezogenen Daten. Dazu gehören IP-Adressen und Cookies.

Unternehmen, die mit personenbezogenen Daten von EU-Bürgern umgehen, müssen ihre Geschäftsprozesse in Übereinstimmung mit der DSGVO gestalten.

Welche Unternehmen die Datenschutz-Grundverordnung anwenden müssen

Es spielt keine Rolle, wo das Unternehmen ansässig ist, das personenbezogene Daten von EU-Bürgern verarbeitet. Die Anforderungen der DSGVO müssen von Unternehmen erfüllt werden, die:

• Sich innerhalb oder außerhalb des Gebiets der Europäischen Union befinden, aber Aktivitäten ausüben, die auf das Gebiet der Europäischen Union ausgerichtet sind.
• Mit Partnern aus der Europäischen Union kooperieren und personenbezogene Daten von Nutzern erhalten.
• Informationen aus dem Gebiet der Europäischen Union erheben und analysieren sowie Waren und Dienstleistungen für deren Einwohner bereitstellen.
• Personenbezogene Daten im Auftrag des Verantwortlichen (Operators) verarbeiten, welcher den Anforderungen der Datenschutz-Grundverordnung unterliegt.

Welche personenbezogenen Daten von EU-Bürgern nicht verarbeitet werden dürfen

Besondere Kategorien personenbezogener Daten von EU-Bürgern im Zusammenhang mit ethnischer oder rassischer Herkunft, politischen oder religiösen Ansichten, genetischen und biometrischen Daten sowie gesundheitsbezogenen Daten dürfen nicht verarbeitet werden. Solche Daten können nur von der betroffenen Person selbst – einem Bürger der Europäischen Union – zugänglich gemacht werden.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten von EU-Bürgern

Es gibt zwei Arten von Rechtsgrundlagen für die Verarbeitung personenbezogener Daten von EU-Bürgern: die Einwilligung des Bürgers sowie Tatbestände, bei denen laut DSGVO keine Einwilligung erforderlich ist.

Die Einwilligung von EU-Bürgern zur Verarbeitung personenbezogener Daten ist nicht erforderlich, wenn personenbezogene Daten ausschließlich zum Zweck des Abschlusses eines Vertrags mit einer natürlichen Person verwendet werden.

In allen anderen Fällen ist es erforderlich, die Einwilligung eines EU-Bürgers für jeden Vorgang einzuholen, der personenbezogene Daten betrifft. Vor der Einholung der Einwilligung muss die betroffene Person aufgefordert werden, sich mit Informationen über das Unternehmen und die Zwecke der Datenverarbeitung vertraut zu machen.

Auf einer Website kann die Einwilligung beispielsweise ausgedrückt werden durch:

• Eine Markierung in einem bestimmten Formular auf der Website.
• Durch Auswahl der technischen Einstellungen auf der Website.

Wer die korrekte Anwendung der DSGVO im Unternehmen kontrolliert

Um die korrekte Anwendung der DSGVO zu überwachen, ernennt der Dateneigentümer (dies kann der Softwarekunde sein) einen DPO (Data Protection Officer) bzw. einen Datenschutzbeauftragten. Ein solcher Spezialist bearbeitet Anfragen von Privatpersonen und Aufsichtsbehörden.

Gemäß den belarussischen Anforderungen an den Datenschutz muss jedes Unternehmen, das mit natürlichen Personen zu tun hat, über Spezialisten für die Datenverarbeitung verfügen.

Hinsichtlich der personenbezogenen Daten von EU-Bürgern gibt es keine derartig strenge Voranforderung bezüglich fest angestellter Personen; der DPO kann auch ein externer Dienstleister (Outsourcing-Spezialist) oder ein Mitarbeiter des Unternehmens sein.

Ein DPO wird von Organisationen ernannt oder beauftragt, die:

• Personenbezogene Daten vieler Einzelpersonen verarbeiten, die Bürger der Europäischen Union sind.
• Große Mengen besonderer personenbezogener Daten verarbeiten.

Welche Aufgaben hat der DPO?

Der DPO organisiert ein internes Kontrollsystem für die Verarbeitung personenbezogener Daten. Die spezifischen Aufgaben des DPO richten sich nach den Besonderheiten des Unternehmens. Meistens übernimmt der DPO folgende Aufgaben:

• Er berät die Mitarbeiter des Unternehmens, die personenbezogene Daten verarbeiten, bei der Anwendung der DSGVO.
• Er kontrolliert die Bearbeitung von Einzelanfragen und die Einhaltung des durch die DSGVO festgelegten Verfahrens.
• Er führt ein Audit der Verarbeitung personenbezogener Daten durch und entwickelt Vorschriften und Richtlinien für deren Verarbeitung gemäß der DSGVO.
• Er bewertet die Risiken von Datenschutzverletzungen (Datenlecks).
• Er arbeitet mit der Aufsichtsbehörde zusammen.

Ein Kunde aus der Europäischen Union kann auf einem Audit zur Einhaltung der DSGVO beim Datenschutz unter Einbeziehung eines DPO bestehen. In jedem Fall ist es für ein Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet, von Vorteil, sich vom DPO beraten zu lassen.

Wer sind Verantwortlicher (Controller) und Auftragsverarbeiter (Processor)?

Die DSGVO verwendet Begriffe wie „Controller“ (Verantwortlicher) und „Processor“ (Auftragsverarbeiter). Diese Begriffe entsprechen den Konzepten des Operators und der befugten Person in der belarussischen Gesetzgebung zum Schutz personenbezogener Daten.

Zu den Pflichten des Verantwortlichen gehören:

• Überprüfung der Einhaltung des Verfahrens zur Verarbeitung personenbezogener Daten im Einklang mit den Grundsätzen der Rechtmäßigkeit, Fairness und Transparenz.
• Gewährleistung der Rechte von Bürgern in Bezug auf die Verarbeitung ihrer personenbezogenen Daten.
• Datenschutz und Informationssicherheit.
• Beauftragung von Auftragsverarbeitern und Abschluss entsprechender Verträge mit ihnen.
• Unterrichtung der Aufsichtsbehörde über Verstöße bei der Verarbeitung personenbezogener Daten innerhalb von 72 Stunden.
• Einhaltung des Verfahrens für die internationale Übermittlung personenbezogener Daten.
• Interaktion mit den Behörden, die die Verarbeitung personenbezogener Daten in den EU-Mitgliedstaaten kontrollieren.

Worüber eine Person informiert werden muss

Wenn der Verantwortliche personenbezogene Daten nicht direkt von der betroffenen Person selbst erhalten hat, muss er die Person gemäß der DSGVO über Folgendes informieren:

1. Über seine eigenen Daten und die Daten seines Vertreters.
2. Über die Kontaktdaten des DPO.
3. Über die Zwecke und Rechtsgrundlagen der Verarbeitung personenbezogener Daten.
4. Über die Arten personenbezogener Daten und die Empfänger der Daten.

Zu den Pflichten von Auftragsverarbeitern gehören:

1. Die Ausführung der Weisungen des Verantwortlichen unter Einhaltung der gesetzlichen Bestimmungen zur Vertraulichkeit von Informationen.
2. Datenschutz und Informationssicherheit.
3. Übermittlung von Informationen über Informationssicherheitsvorfälle an Verantwortliche und Aufsichtsbehörden.
4. Einbindung von Unterauftragsverarbeitern auf Anweisung des Verantwortlichen und Interaktion mit diesen.

Was ist das „Recht auf Vergessenwerden“?

Die DSGVO gewährt Einzelpersonen – ähnlich wie die belarussische Gesetzgebung – das Recht, vom Verantwortlichen die Löschung sie betreffender personenbezogener Daten zu verlangen. Dafür müssen bestimmte Gründe vorliegen:

• Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich.
• Widerruf der Einwilligung zur Verarbeitung personenbezogener Daten durch die betroffene Person.
• Widerspruch einer Person gegen die Verarbeitung personenbezogener Daten.
• Unrechtmäßige Verarbeitung personenbezogener Daten.
• Vernichtung personenbezogener Daten gemäß gesetzlichen Verpflichtungen.

Wie im Falle eines Vorfalls zu reagieren ist

Zu den Vorfällen gehören Fälle von Datenlecks (Verstößen gegen den Schutz personenbezogener Daten). Das Datenleck muss der Aufsichtsbehörde desjenigen EU-Mitgliedstaates gemeldet werden, dessen Staatsangehörigkeit die betroffenen Personen besitzen. Bei einem großflächigen Datenleck werden entsprechende Informationen in den Medien verbreitet.

Was ist eine Aufsichtsbehörde?

Aufsichtsbehörden im Bereich des Datenschutzes sind staatliche Stellen (z. B. Gerichte) in jedem EU-Staat.

Die Aufsichtsbehörde kann:

• Das Verfahren zur Verarbeitung personenbezogener Daten überprüfen.
• Verwarnungen und Anordnungen zur Einhaltung der DSGVO erteilen.
• Die Bedingungen für die grenzüberschreitende Übermittlung personenbezogener Daten festlegen.
• Die Verarbeitung personenbezogener Daten untersagen und Geldbußen bei Verstößen gegen die DSGVO verhängen.

Die übergeordnete Aufsichtsbehörde der Europäischen Union ist der Europäische Datenschutzausschuss.

Welche Maßnahmen die Aufsichtsbehörde bei DSGVO-Verstößen ergreifen kann

Bei Verstößen gegen Vertraulichkeitspflichten sowie Verletzungen der Pflichten von Verantwortlichen und Auftragsverarbeitern wird eine Geldbuße von bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder von bis zu 10 Millionen Euro verhängt.

Bei Verstößen gegen die Grundsätze der Datenverarbeitung, die Rechte betroffener Personen, das Verfahren zur Datenübermittlung oder das Fehlen eines DPO wird eine Geldbuße von bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder von bis zu 20 Millionen Euro verhängt.

Zudem können gerichtliche Schritte eingeleitet werden.

Wie wir Sie beim Aufbau DSGVO-konformer Geschäftsprozesse und der Verarbeitung personenbezogener Daten von EU-Bürgern unterstützen können

Wir können:

• Sie zur DSGVO-Compliance bei der Verarbeitung personenbezogener Daten in Ihrem Unternehmen beraten.
• Ein Audit der Verarbeitung personenbezogener Daten auf Einhaltung der DSGVO durchführen und Empfehlungen aussprechen.
• Externe DPO-Dienste (Datenschutzbeauftragter im Outsourcing) bereitstellen.
• Ihre Interessen bei Verhandlungen mit Kunden über die Einhaltung von DSGVO-Prozessen vertreten.
• Dokumente zum Schutz personenbezogener Daten in Übereinstimmung mit der DSGVO entwickeln.

Kontaktieren Sie uns

Wenn Sie Fragen zur Erfüllung der DSGVO-Anforderungen haben, helfen wir Ihnen gerne weiter! Unsere langjährige Erfahrung unterstützt Sie bei der Beilegung jeglicher Streitigkeiten.
Für Ihre Kontaktaufnahme stehen Ihnen Telefon und E-Mail zur Verfügung:

• +375 29 505 10 51 (WhatsApp/Telegram/Viber);
• info@ambylegal.by.