Die Datenschutz-Grundverordnung und ihre Auswirkungen für Vereine

Präsentation zum Thema: "Die Datenschutz-Grundverordnung und ihre Auswirkungen für Vereine"—  Präsentation transkript:

1 Die Datenschutz-Grundverordnung und ihre Auswirkungen für Vereine
DSGVO Die Datenschutz-Grundverordnung und ihre Auswirkungen für Vereine

2 Was ist überhaupt eine DSGVO
Was ist überhaupt eine DSGVO? Pflichten für Vereine Rechte der Betroffenen Gliederung

3 DSGVO DSGVO Datenschutz ist der Schutz…
vor missbräuchlicher Datenverarbeitung des Rechts auf informationelle Selbstbestimmung des Persönlichkeitsrechts bei der Datenverarbeitung der Privatsphäre. DSGVO

4 General Data Protection Regulation

5 DSGVO DSGVO EU Richtlinie vom 25. Januar 2012
Harmonisierung der nationalen Datenvorschriften Verschärfte Rechenschaftspflicht für Vereine und Unternehmen Marktort-Prinzip Recht auf Datenportabilität, Recht auf Vergessenwerden Privacy by Design und Privacy by Default DSGVO

6 Pressespiegel Abmahngefahr für Webseiten Neue Datenschutzregeln
(heise.de) Neue Datenschutzregeln "Es wird kein Pardon geben" (Spiegel) Datenschutzgrundverordnung Wo die Abmahnung droht (Computerwoche) Welche Daten erfassen SIE eigentlich? Und wohin übermitteln sie diese Daten? Hat sich jemals jemand Gedanken dazu gemacht? Wussten Sie, dass es ein Datenschutzgesetzt gibt? DSGVO – Hohe Bußgelder drohen (elektropraktiker.de)

7 Die etwas längere Antwort:
Die kurze Antwort: ALLE Die etwas längere Antwort: „Betroffen ist jeder Unternehmer, jeder Verein, Freiberufler oder Kleinkünstler, falls er denn in seinem Notizbuch speichert, welcher Lieblings-Coiffeur ihm einmal monatlich die Haare schert. „ Quelle: Also ALLE. Betroffene Vereine

8 Wir brauchen einen Plan!
Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Wir brauchen einen Plan!

9 Wir brauchen einen Plan!
Pflicht für die Berufung eines betrieblichen Datenschutz-Beauftragten? Wie bisher mehr als neun Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt Beispiele für Bestellpflicht nach Art. 37 Abs. 1 Buchst. b) DSGVO: Auskunfteien Detekteien Versicherungsunternehmen (teilweise) Marketing auf Basis detaillierter Kunden- und Interessentenprofile … Beispiele für Bestellpflicht nach Art. 37 Abs. 1 Buchst. c) DSGVO: Gesundheitseinrichtungen (z.B. Krankenhäuser, mit genetischen Untersuchungen befasste Labors, etc.) Beratungsstellen wie Pro Familia Dienstleister im biometrischen ID-Management Anbieter von Erotikartikeln Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken >> Art. 37 Abs. 1 Buchst. a) DS-GVO: Personenbezogene Datenverarbeitung durch Behörde / öffentliche Stelle (Ausnahme: Rechtsprechung) >> Art. 37 Abs. 1 Buchst. b) DS-GVO: Die Kerntä- tigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in Verarbeitungsvorgängen, welche aufgrund ihrer Art, ihres Umfangs und/ oder ihrer Zwecke eine umfangreiche regelmä- ßige und systematische Beobachtung von betroffenen Personen erforderlich machen. >> Art. 37 Abs. 1 Buchst. c) DS-GVO: Die Kerntätigkeit des Verantwortlichen oder Auftragsverarbeiters besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Art. 9 DS-GVO) oder von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DS-GVO).

10 Wir brauchen einen Plan!
Datenschutzbeauftragte müssen „fachkundig und zuverlässig“ sein Nach der DSGVO umfassende Überwachungspflicht der gesetzlichen Vorgaben Vereinen: Leistung duch die Geschäftsleitung Externer Datenschutz-Beauftragter Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken

11 Wir brauchen einen Plan!
Grundlage für das Verfahrensverzeichnis Wo und wann werden Daten von erhoben und verarbeitet? In welchen Systemen werden diese Verarbeitet? Wer hat jeweils Zugriff? Gibt es externe jedweder Art, die in die Datenverarbeitung irgendwie eingebunden sind? Wer ist zukünftig für welchen Prozess verantwortlich? Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Verfahrensverzeichnis kommt gleich

12 Wir brauchen einen Plan!
Das „Verzeichnis von Verarbeitungstätigkeiten“ Dokumentation der Verarbeitungsschritte personenbezogener Daten ERHEBLICHER bürokratischer Aufwand! Muster-Verzeichnis: Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Verpflichtung: Art. 30 DSGVO Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern. Diese könnten laut Art. 30 Abs. 5 DSGVO von der Führung eines Verzeichnisses befreit sein, sofern die Verarbeitungen von personenbezogenen Daten - kein Risiko für die Rechte und Freiheiten der betroffenen Personen bergen, - nur gelegentlich erfolgen oder - keine besonderen Datenkategorien gemäß 9 Abs. 1 DSGVO (z. B. Gesundheitsdaten) oder strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO betreffen.

13 Wir brauchen einen Plan!
Klare Kompetenzen und Verantwortlichkeiten verteilen Evtl. schulen und fortbilden Ressourcen zur Verfügung stellen Mitglieder sensibilisieren auf Datenschutzrechtliche Regelungen Prozesse zur Umsetzung Verpflichtung auf das Datengeheimnis Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken ACHTUNG, Horror Bild :-D

14 Wir brauchen einen Plan!
„GDPR Nightmare Letter“ oder „Der DSGVO Brief des Grauens“ Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Constantine Karbaliotis (Kanadier) suchte anschauliches Beispiel für GDPR

15 Wir brauchen einen Plan!
Recht der Datenabfrage für jedermann, auch völlig anlasslos Beantwortung innerhalb von max. 4 Wochen Auf Anfrage sind ALLE personenbezogenen Daten zu übermitteln – als 1 zu 1 Kopie! Auskunft muss für einen Laien nachvollziehbar sein Auskunft muss schriftlich, elektronisch oder mündlich erteilt werden Identitätsprüfung Portabilitätspflicht Löschanspruch Berichtigungsanspruch Recht auf Einschränkung der Verarbeitung Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Abfragerecht:  Art. 15 DSGVO Portabilitätspflicht: Art. 20 DSGVO

16 Wir brauchen einen Plan!
Sicherheit der Verarbeitung: „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.“ Geeignete technische […] Maßnahmen? Wir brauchen einen Plan! Einen Verantwortlichen festlegen Überblick und Transparenz schaffen Datenverarbeitung dokumentieren Mitarbeiter informieren und schulen Prozesse einführen und testen Langfristig mitdenken Abfragerecht:  Art. 15 DSGVO Constantine Karbaliotis (Kanadier) suchte anschauliches Beispiel für GDPR

17 Angenommen, nur mal angenommen…
… ich ignoriere das alles und mache einfach weiter wie bisher: Akute Abmahn-Gefahr ab dem 25. Mai 2018 für Fehlendes Verarbeitungsverzeichnis Unzureichende Datenschutzerklärung Kein Datenschutzbeauftragter trotz Verpflichtung Kein SSL-Zertifikat für das Kontakt-Formular auf der Homepage Kein Double-Opt-In bei der Newsletter-Registrierung … Bußgelder der Aufsichtsbehörde (für Unternehmen) Ordnungsgelder in Höhe von bis zu 2 % des weltweiten Jahresumsatzes oder 10 Millionen € Ankündigung der Behörden für verstärkte Überprüfungen Ohne Anpassungen oft kein Versicherungs-Schutz z.B. durch Betriebshaftpflicht bei Datenlecks Angenommen, nur mal angenommen…

18 Dieser Vortrag und die zugehörige Präsentation und alle vorgeschlagenen Handlungen und Empfehlungen ersetzen NICHT die individuelle Beratung durch einen Fachanwalt oder Datenschutz-Experten. Auch nicht ausnahmsweise! nur zur Sicherheit…

19 Ihr Referent Christian Rudde (35) aus Ahaus-Graes
Geschäftsführer der BLmedia GmbH Seit 2002 freier Referent für Internet-Themen Kontakt BLmedia GmbH Industriestr Ahaus 02561 / Ihr Referent