Das Datenschutz-Jahr 2021: Unser Rückblick

Von Kirchendatenschutz über rechtskonforme Cookie-Banner bis zur Europäischen Dateninfrastruktur: Auch in diesem Jahr gab es wieder einiges zum Thema DSGVO und Datenschutz zu berichten. Für unseren letzen Blogbeitrag in diesem Jahr möchten wir nochmals kurz auf die spannendsten Themen eingehen und zusammenfassend über fünf wichtige Inhalte informieren. Auch verabschieden wir uns in eine kleine Weihnachtspause und freuen uns bereits jetzt, im neuen Jahr über kommende Neuerungen und Gesetze zu berichten.

Jahresrückblick

Brexit vollzogen: UK als Drittland

Der Brexit ist nun fast schon zwei Jahre her, doch die Folgen beschäftigen uns noch immer. Gerade der Datenschutz und die einhergehende DSGVO sind von besonderer Bedeutung. Denn wer Daten an ein Drittland übermitteln möchte, muss eine Zulässigkeitsprüfung und ein angemessenes Schutzniveau vorweisen können. Ein Beschluss wie z. B. der Angemessenheitsbeschluss zur Erleichterung von der Übermittlung personenbezogener Daten hätte bis zum Ende des vergangenen Jahres erfasst werden müssen.

Inzwischen ist der Übergangszeitraum verstrichen: Das Vereinigte Königreich wird somit ein Drittland bei Datenübermittlungen. Dennoch ist das Vereinigte Königreich (noch) ein sicherer „Hafen“, denn die Datenschutz-Grundverordnung sowie Richtlinien zum Datenschutz wurden bereits 2018 in nationales Recht umgesetzt. Das Vereinigte Königreich muss sich damit an umfassende Richtlinien und Rahmenbedingungen der DSGVO halten. Das hat zufolge, dass größere Abweichungen und Ungleichgewichte zwischen der EU und dem Vereinigten Königreich erstmal nicht möglich sind. Die aktuellen Datenschutzbedingungen stimmen mit denen der EU in vielen Punkten überein. Offiziell wird dem Vereinigten Königreich vorerst ein angemessenes Datenschutzniveau gewährt und das Durchatmen vieler Unternehmen und deren Kund:innen ist möglich. Aber die Gewissheit, dass Datenübermittlungen für längere Zeit möglich sind, wird man nicht so schnell bekommen. Im April haben wir ausführlich darüber berichtet, was bei der Datenübermittlung in das Vereinigte Königreich zu beachten ist.

Datenschutzkonformer Umgang mit Cookies

Wer im Internet unterwegs ist, kommt an den lästigen PopUp-Fenstern, den s. g. Cookie-Bannern nicht mehr herum. Doch gerade diese ungeliebten Störer sollen uns als User den größtmöglichen Nutzen hervorbringen: Die Funktion, die Verarbeitung personenbezogener Daten zu regulieren. Unternehmen sind rechtlich verpflichtet ihren Kund:innen einen Hinweis zu geben, wenn ihre Daten erfasst, verarbeitet und gespeichert werden. Dabei gibt es die unterschiedlichsten Arten an Cookies, die gesetzt werden können. In unserem Beitrag zu Google Analytics & die aktive Einwilligung lesen Sie mehr.

Doch nicht jedes Unternehmen hält sich an die rechtskonforme Ausgestaltung des Cookie-Banners. So kann man im Internet verschiedenste Versionen vorfinden. Es gibt klare Regeln, die es einzuhalten gilt. Jedes Unternehmen muss bei der Nutzung eines Banners darauf achten, folgende Informationen einzubauen: Zweck des Cookies; die Möglichkeit, die Datenerfassung abzulehnen; die Nennung an wen die erhobenen Daten weitergeleitet werden; dem User klarstellen, dass seine Entscheidung frei ist und jederzeit widerrufen kann; einen Link zur Datenschutzinformation. Damit Sie Ihrer Informationspflicht nachkommen, ist es essentiell, Datenschutzinformationen wie z. B. die Speicherdauer der Daten offenzulegen. Zudem muss der User aktiv (per Opt-out) der Verarbeitung seiner Daten einwilligen, andernfalls dürfen keine Cookies verarbeitet werden. Links zum Impressum sowie zur Datenschutzinformation dürfen dabei von einem Banner nicht überdeckt werden. Ausführliche Details zur Erstellung eines Cookie-Banners finden Sie in unserem Blogbeitrag vom Juni.

GAIA-X: Europäische Dateninfrastruktur

GAIA-X ist ein in 2019 ins Leben gerufenes Projekt von Europa für Europa und hat sich das Ziel gesetzt, Datensouveränität, Datenverfügbarkeit und Innovation voranzutreiben. Es handelt sich dabei um eine Open-Source-Datei und soll Infrastrukturen und das digitale Ökosystem vernetzen und stärken. Nicht nur europäische Staaten sondern auch Unternemen weltweit sind an GAIA-X beteiligt. Mit dem Projekt möchten man sich auch unabhängiger von amerikanischen oder chinesischen IT-Anbietern machen, zumal das Privacy-Shield der USA für ungültig erklärt worden war. GAIA-X soll als sicherer „Hafen“ dienen, gleichzeitig folgende Grundprinzipen berücksichtigen: Nutzerfreundlichkeit, Modualrität, Vertrauen, Transparenz, freier Marktzugang und natürlich die Einhaltung des europäischen Datenschutzstandards, um nur ein paar Punkte zu nennen. Mehr über das GAIA-X Projekt finden Sie in unserem im Juli erschienenen Blog.

DSGVO vs. Kirchendatenschutz

An den Datenschutz müssen sich nicht nur Unternehmen, Vereine oder Institutionen halten, auch die Kirche hat ihre Aufgaben zur Einhaltung personenbezogener Daten zu erfüllen. Gerade da die Kirche oft Träger von Krankenhäusern und Kindertagesstätten ist, gelten hier noch strengere Richtlinien des Datenschutzes. Dass die Kirche mit sensiblen Daten einhergeht, stellt sich schon früh mit dem Beichtgeheimnis heraus. Eine Sondervorschrift hat sich genau aus diesem Datengeheimnis für die Kirche gebildet. Ab 2012 wurde diese Vorschritt durch eine für die Kirchen angepasste DSGVO ersetzt, in der fortan sämtliche religiöse Einrichtungen mit einbezogen werden. Begrifflichkeiten und Regelungen stehen zwar mit der DSGVO im Einklang, dennoch gibt es vier Besonderheiten: Die Schriftformerfordernis, die Verpflichtung auf das Datengeheimnis, die Benennung eines Datenschutzbeauftragten und die Höhe der Geldbußen. Mehr Details zum Thema Kirchendatenschutz in unserem im August erschienenen Blog.

5 Umsetzungsschwierigkeiten der DSGVO für Unternehmen

Die richtige Umsetzung von DSGVO-Maßnahmen sind gerade für kleine und mittlere Unternehmen nicht leicht anzuwenden. Doch leider macht sich die Datenschutz-Grundverordnung nicht von der Unternehmensgröße abhängig. Auch das kleine StartUp muss – wenn es personenbezogene Daten verarbeiten möchte – immer das Ziel der DSGVO im Hinterkopf behalten: Ein umfassender Verbraucherschutz und ein sicherer Datenverkehr innerhalb der EU. Die wichtigsten fünf Punkte zusammengefasst:

1. Informieren Sie Ihre Nutzer:innen per Cookie-Banner vor Ihrer Erhebung von personenbezogenen Daten auf Ihrer Website. Falls Sie einen Webshop betreiben, reicht auch kein „Standard“-Banner. Stellen Sie Informationen zur Bestellabwicklung, zum Benutzerkonto und zum Zahlungsverkehr zur Verfügung.
2. Bei der Auftragsverarbeitung muss zwischen Unternehmen und Dienstleistern ein Vertrag geschlossen werden. Dabei werden Zweck, Gegenstand und die Art personenbezogener Daten definiert, die wiederum mit Rechten und Pflichten aus der Datenschutzverordnung hervorgehen.
3. Ernennen Sie eine:n Datenschutzbeauftragte:n! Diese Person wird öffentlich ernannt und stellt die Einhaltung des Datenschutzes sicher.
4. Schulen Sie Ihr Personal im Bereich des Datenschutzes. Denn nur wer über ein Thema Bescheid weiß, trägt zu einer effektiven Umsetzung bei. Zumal aus Sicht des Unternehmens Datenschutz-Pannen vermieden werden möchten oder das Risiko hinzu reduziert werden kann.
5. Jedes Unternehmen ist dazu verpflichtet, Nachweise zur Einhaltung des Datenschutzes zu führen. Das s. g. Verarbeitungsverzeichniss enthält dabei ausführliche Beschreibungen von Maßnahmen, Kategorien, Zwecke, Angaben und Informationen zu Verantwortlichen und Vertreter:innen.

Mehr Informationen zu diesem Thema auch nochmals ausführlich in unserem September-Blog.

VELIT Consulting wünscht frohe Weihnachten!

Wir hoffen, dass wir Ihnen mit diesem kleinen Jahresrückblick abschließend fünf Themen näher bringen konnten, die 2021 im Bereich des Datenschutzes von besonderer Bedeutung waren. Die ausführlichere Version jeden einzelnen Themas (und vieles mehr) finden Sie auch hier auf unserem Blog. Das Team der VELIT Consulting bedankt sich für Ihr Interesse – und unseren Kund:innen danken wir für das entgegengebrachte Vertrauen, gemeinsam den Datenschutz im Unternehmen zu erarbeiten und erfolgreich umzusetzen. Auch die digitalen Schulungen in Zeiten des Homeoffice waren ein Erfolg und zeigen uns, dass komplexe Datenschutz-Themen gemeinsam verständlich aufgearbeitet werden können.

Bleiben Sie uns auch im neuen Jahr als Leser:in treu! Die Themen rund um die DSGVO und den Datenschutz erweitern sich stetig: Begleiten Sie uns, wenn neue Gesetze und Vorschriften in Kraft treten. Auf unserem Blog bleiben immer informiert. Jetzt wünschen wir erst einmal eine stressfreie Weihnachtszeit und einen tollen Start in 2022. Ihr VELIT Consulting Team.