Recht auf Löschung – Bewerbungsunterlagen dürfen 7 Monate aufbewahrt werden

Von Franz J Heidinger / Laurin Maran – Der Beschwerdeführer behauptete eine Verletzung im Recht auf Löschung und brachte vor, dass er per E-Mail die Löschung seiner personenbezogenen Daten aus der Bewerberdatenbank der Beschwerdegegnerin beantragt habe. Die Beschwerdegegnerin hätte jedoch mitgeteilt, dass sie diesem Antrag auf Löschung nicht entsprechen werde. Zwar werde die gegenständliche Bewerbung des Beschwerdeführers nicht mehr für die ausgeschriebene Stellen der Beschwerdegegnerin in Erwägung gezogen, doch ergebe sich eine gesetzliche Aufbewahrungspflicht nach dem Gleichbehandlungsgesetz (GlBG) von sechs Monaten. Das Recht auf Löschung bestehe gemäß Art 17 Abs 3 lit e DSGVO nämlich dann nicht, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sei. Die Bewerbungsunterlagen könnten daher erst nach 7 Monaten gelöscht werden, da noch ein Monat für den Postweg einer potentiellen Klage eingerechnet wurde.

§ 29 Abs 1 GlBG: Ansprüche nach § 26 Abs. 1 und 5 sind binnen sechs Monaten gerichtlich geltend zu machen. Die Frist zur Geltendmachung der Ansprüche nach § 26 Abs. 1 und 5 beginnt mit der Ablehnung der Bewerbung.“

Die Datenschutzbehörde hat dazu ausgeführt, dass der allgemeine Hinweis auf potenziell zukünftige, noch nicht anhängige bzw. nicht sicher bevorstehenden (Gerichts-) Verfahren nicht ausreichend ist, um dem Löschbegehren nicht entsprechen zu müssen. Vielmehr muss der Verantwortliche darlegen, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren eine Notwendigkeit zur weiteren Speicherung der personenbezogenen Daten begründet wird.

Im vorliegenden Fall bezog sich die Beschwerdegegnerin  aber nicht allgemein auf ein potenziell zukünftiges Verfahren, sondern benannte einen konkreten Anspruch, der ihr gegenüber innerhalb eines konkreten Zeitraumes geltend gemacht werden könnte. Ferner benannte die Beschwerdegegnerin einen konkreten Zeitpunkt, ab wann sie die Bewerberdaten löschen werde. Für den Beschwerdeführer war somit klar erkennbar, ab welchem Zeitpunkt seine Bewerberdaten gelöscht werden. Der zusätzliche Monat zur Einberechnung eines Klageweges ist angemessen. Die Frist von 7 Monaten beginnt mit der Ablehnung der Bewerbung.

TIPP: Unternehmen sollten bei einem Löschungsantrag zuerst prüfen, ob eine der Ausnahmebestimmungen des Art 17 Abs 3 DSGVO greift. Sollte dies der Fall sein, ist dem Antragsteller genau mitzuteilen, weshalb dem Löschungsbegehren nicht entsprochen werden kann und wie lange die Daten noch gespeichert werden müssen. Beruft man sich beispielsweise darauf, dass die Daten noch zur Verteidigung von Rechtsansprüchen gebraucht werden könnten, ist auszuführen, welche konkreten Rechtsansprüche gemeint sind.

Business Breakfast am 15.05.2019 – 1 Jahr DSGVO Datenschutz

image002

Die DSGVO hat den Umgang mit personenbezogenen Daten verändert und den Rechtsgütern Daten- und Persönlichkeitsschutz einen neuen, deutlich erhöhten, Stellenwert eingeräumt.

Ein Jahr nach dem Inkrafttreten wollen wir Erfahrungswerte austauschen und Sie auf dem Laufenden halten.

Als besonderen Service laden wir Sie daher zu einem Fachvortrag im Rahmen eines Business Breakfast ein. Du erhältst ein kompaktes Update zum Thema Datenschutz und was im abgelaufenen Jahr geschah.

Mittwoch, 15.05.2019, 08:00 – ca. 10:00 Uhr in den
gemeinsamen Räumlichkeiten der Crowe SOT GmbH Wirtschaftsprüfungs-
und Steuerberatungsgesellschaft und Alix Frank Rechtsanwälte GmbH,
1010 Wien, Schottengasse 10/3. Stock

Im Rahmen eines Business Breakfast laden wir Sie gerne zu einem kleinen Frühstück ein. Den Flyer zur Veranstaltung finden Sie hier:  Flyer – Business Breakfast – Datenschutz

Teilnahmegebühr samt Tagungsunterlagen EUR 24 (inkl. USt.).

Anmeldungen bitte bis 08.05.2019 per Mail an austrolaw@alix-frank.co.at. Wegen der beschränkten Teilnehmerzahl empfehlen wir eine rasche Anmeldung.

Recht auf Löschung – Anonymisierung ist ausreichend

Von Franz J Heidinger / Laurin Maran – Die Österreichische Datenschutzbehörde hat in einer Beschwerde wegen Verletzung im Recht auf Löschung von personenbezogen Daten festgehalten, dass die Entfernung des Personenbezuges von personenbezogenen Daten ein mögliches Mittel zur Löschung im Sinne der EU-DSGVO sein kann. Es muss jedoch sichergestellt werden, dass weder der Verantwortliche selbst, noch ein Dritter ohne unverhältnismäßigen Aufwand einen Personenbezug wiederherstellen kann. Nur wenn der Verantwortliche die Daten im Ergebnis auf einer Ebene aggregiert, sodass keine Einzelereignisse mehr identifizierbar sind, kann der entstandene Datenbestand als anonym (also ohne Personenbezug) bezeichnet werden.

Im vorliegenden Fall hat die Beschwerdegegnerin die personenbezogenen Daten des Beschwerdeführers teils vernichtet (also ohne „Hinterlassen“ von anonymisierten Daten), teils durch Entfernung des Personenbezugs zum Beschwerdeführer „gelöscht“. Der Anonymisierungsprozess wurde mit folgenden Schritten umgesetzt:

  1. Löschung des Offerts: Sowohl die Kundenanfrage als auch das Angebot, das aufgrund der Onlineangaben des Kunden vom Kundenmanagementsystem erstellt wurde, wurden gelöscht.
  2. Löschung aller elektronischer Kontakte (E-Mail-Adresse, Telefonnummer, etc.) des Kunden.
  3. Änderung der Person (Name, Vorname, Adresse): Sowohl Name, als auch Adresse wurden durch eine anonyme, nicht zuordenbare Person (Max Mustermann) mit identem Geschlecht und Geburtsdatum unwiderruflich manuell überschrieben.
  4. Die nun inhaltsleere Kundenverbindung wurde nur mehr Max Mustermann zugeordnet.
  5. Der mit einer Kundenverbindung automatisch gestartete interne Ablauf wurde sofort gestoppt.
  6. Zusammenlegung der zu löschenden Person auf die neue anonyme Person zur Sicherstellung, dass die Überschreibung auch technisch nachhaltig verankert sei.
  7. Löschen des Kunden im Elektronischen Akt (Historie).

Die Daten des Betroffenen wurden durch einen „Dummy Kunden“ ersetzt. Dieser „Dummy Kunde“ wurde mit einem weiteren, nicht zuordenbaren Eintrag zusammengelegt, wodurch auch der Änderungsverlauf nachhaltig nicht mehr rekonstruierbar ist. Logdaten waren nicht mehr vorhanden.

Bei Papierakten wird auch eine „Schwärzung“ als Form der Löschung angesehen. Durch die Unkenntlichmachung des Namens des Betroffenen sowie aller anderer seine Person betreffende Daten kann einem Löschungsbegehren entsprochen werden.

Durch die Entfernung des Personenbezugs wurde das Löschungsbegehren erfüllt und die Beschwerde somit abgewiesen.

Immaterieller Schadenersatz bei Verstößen gegen die Datenschutzgrundverordnung

Von Franz J Heidinger / Laurin Maran: Vom 21. August bis zum 5. September 2018 hatten Cyberkriminelle Zugriff auf personenbezogene Daten von Kunden der britischen Fluggesellschaft British Airways, die in diesem Zeitraum Flüge über die Homepage oder die App gebucht hatten. Es seien rund 380.000 Bank- und Kreditkartenzahlungen betroffen, aber auch Namen, Rechnungsanschriften und E-Mail-Adressen.

Einer von vielen Datenskandalen in den letzten Jahren. Einer dieser Datenskandale, bei dem sich das Unternehmen reumütig entschuldigt und verspricht, dass so etwas nie wieder vorkommen wird: „Please accept our deepest apologies for the worry and inconvenience that this criminal activity has caused,” heißt es in einer Mail an die betroffenen Kunden von British Airways. In der Regel hörte man dann nichts weiter davon.

Seit 25. Mai 2018 ist allerdings die EU-Datenschutzgrundverordnung (EU-DSGVO) in Kraft, die zumindest derzeit auch noch im Vereinigten Königreich anzuwenden ist und die bei Verstößen drakonische Geldbußen der Behörden vorsieht (Mehr zum Thema Brexit und die damit verbundenen rechtlichen Folgen auf: http://www.brexit-alixfrank.at/). British Airways muss nun aber nicht nur die britische Datenschutzbehörde fürchten, sondern auch die 380.000 Kunden, deren Daten gestohlen wurden. Gemäß Art. 82 EU-DSGVO hat nämlich jede Person, der wegen eines Verstoßes gegen die EU-DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.

Mehrere britische Rechtsanwaltskanzleien sind derzeit auf der Suche nach betroffenen Kunden und bereiten Sammelklagen gegen die Fluggesellschaft vor. Das Bemerkenswerte daran ist, dass nicht die finanziellen Schäden geltend gemacht werden sollen, die beispielsweise durch den Missbrauch von Kreditkartendaten entstehen können, sondern immaterielle Schäden. Man möchte also eine Entschädigung für die mit dem Data Breach erlittenen Unannehmlichkeiten, Sorgen und Ärgernisse durchsetzen. Aus Insiderkreisen hört man, dass bis zu GBP 5.000,- pro Person eingeklagt werden sollen. Geht man davon aus, dass sich 200.000 Geschädigte dem Verfahren anschließen, ergibt das einen Streitwert von GBP 1 Milliarde (rund EUR 1.142.665.000,-), zuzüglich Verfahrenskosten. Ein Betrag, den British Airways unter Umständen für das mulmige Gefühl der Kunden bezahlen muss, die ihre personenbezogenen Daten in den falschen Händen wissen. Sollten Sie tatsächlich Opfer eines Kreditkartenbetruges werden, wäre dieser Schaden natürlich zusätzlich von Britisch Airways zu bezahlen

In Österreich wurde bislang kein Fall bekannt, bei dem ein Unternehmen auf Grundlage der EU-DSGVO für einen immateriellen Schaden in Anspruch genommen wurde. Es ist jedoch damit zu rechnen, dass Betroffenen bald auf diversen Internetplattformen angeboten wird, neben ihren Ansprüchen aus verspäteten Flügen oder überhöhten Mietzinsen auch Ansprüche wegen Verstößen gegen die EU-DSGVO durchzusetzen.

Ein Unternehmen wird in einem solchen Fall nur dann von seiner Haftung befreit werden, wenn es nachweist, dass es in keiner Weise für den Schaden verantwortlich ist. Es kommt sozusagen zu einer Beweislastumkehr: Der Betroffene muss lediglich beweisen, dass ein Schaden vorliegt, der vom Unternehmen verursacht wurde. Das Unternehmen muss dann nachweisen, dass es in keiner Weise verantwortlich ist und die Regeln der EU-DSGVO eingehalten hat.

Wer darauf nicht vorbereitet ist, kann massive Probleme bei der Abwehr solcher Ansprüche bekommen. Wenn man bedenkt, dass die Datenschutzbehörde eine Geldbuße verhängt, Betroffene Ansprüche für materielle und immaterielle Schäden geltend machen und aufgrund der hohen Sensibilität der Öffentlichkeit mit Umsatzeinbußen zu rechnen ist, könnte ein kleiner Verstoß gegen die EU-DSGVO Folgen haben, die für ein kleines oder mittelständischen Unternehmen nur schwer zu stemmen sind.

Pflicht zur kostenlosen Zurverfügungstellung historischer Bankbelege

Von Franz J Heidinger / Laurin Maran: Eine Person verlangte von seiner Bank, ihm seine Überweisungsauszüge von 2013 bis heute zur Verfügung zu stellen. Er selbst hatte nur Zugriff auf die Überweisungsauszüge für das letzte Jahr. Die Bank verlangte dafür EUR 30,- pro Jahr. Darauf stellte der Bankkunde ein datenschutzrechtliches Auskunftsbegehren, das die Bank jedoch nicht beantwortete.

Art. 15 DSGVO regelt das Recht eines Betroffenen, auf Antrag vom Verantwortlichen Auskunft zu verlangen. Dies dient in erster Linie zu Überprüfung, ob die Daten rechtmäßig verarbeitet wurden. Bezüglich des Umfangs ist der Verantwortliche verpflichtet, die wesentlichen Elemente der Verarbeitung, wie deren Zweck, Dauer, die Kategorien und Empfänger der Daten sowie deren Herkunft zur Verfügung zu stellen. Der Betroffene kann eine Kopie der personenbezogenen Daten kostenfrei verlangen.

Die Bank argumentierte, dass die Auskunft personelle Ressourcen binden würde und dort, wo man auf Drittdienstleiter angewiesen sei, mit Kosten verbunden sei. Außerdem sei das Auskunftsbegehren schikanös.

Der Bank wurde von der Behörde aufgetragen, dem Beschwerdeführer die begehrte Auskunft innerhalb von zwei Wochen zu erteilen. Zum von der Bank verlangten Entgelt  stellte die Behörde fest, dass bei offenkundig unbegründeter bzw exzessiver Rechtsausübung ein Anspruch auf Vorschreibung von Kosten oder ein „Verweigerungsrecht“ für den Auskunftspflichtigen besteht, hierfür aber eine gewissen Intensität vorliegen muss, die es dem Verantwortlichen unzumutbar machen würde, das grundsätzlich anlasslose subjektive Kontrollrecht gegen sich gelten lassen zu müssen. Dies war allerdings nicht der Fall.

Das Begehren nach einer kostenlosen Auskunft über seine historischen Bankbelege war somit berechtigt.

Quintessenz: Auskunft- und Löschungsbegehren nehmen stark. Es ist damit zu rechnen. Aufgrund der unterschiedlichen Ausgangslage muss jedoch jeder Einzelfall geprüft werden. Für Verantwortliche ist es daher unerlässlich, klare und strukturierte Prozesse zur Erfüllung der Betroffenenrechte aufzustellen.

Business Breakfast @ Schottengasse 10 zum Thema Datenschutz

Am 19.09.2018 fand erneut ein Business Breakfast @ Schottengasse 10 statt. Franz J Heidinger und Laurin Maran referierten zum Thema Datenschutz. Sie berichteten über die aktuelle Situation nach dem Stichtag 25.05.2018 und besprachen die drei ersten Entscheidungen der Datenschutzbehörde auf Grundlage der neuen Rechtsordnung. Im Anschluss wurden die Besucher auf die Risiken für Unternehmen und deren Leitungsorgane im Zusammenhang mit dem Thema Datenschutz aufmerksam gemacht und es wurden ihnen hilfreiche Tipps zur Schadensprävention mit auf den Weg gegeben.

Das Format des Business Breakfast @ Schottengasse 10 zeichnet sich dadurch aus, dass es keinen klassischer Vortrag mit einem Vortragenden und einem Publikum gibt, sondern alle gemeinsam an einem runden Tisch sitzen und sich zu einem bestimmten Thema austauschen. Wir dürfen uns daher für die aufschlussreichen Wortmeldungen und interessanten Fragen der Teilnehmer bedanken, ohne die das Business Breakfast @ Schottengasse 10 zum Thema Datenschutz kein Erfolg geworden wäre.

Für alle die nicht persönlich dabei sein konnten, dürfen wir unter folgendem Link unsere Präsentation zur Verfügung stellen: Business Breakfast – Datenschutz

Das nächste Business Breakfast @ Schottengasse 10  wird am 17.10.2018, 8:00 – 10:00 Uhr, stattfinden. Thema: „Arbeitsrecht – Der 12 Stunden Arbeitstag.“

Die Teilnahme ist kostenlos!

Bitte um Anmeldung an austrolaw@alix-frank.co.at bis 15. 10. 2018

 

DATENSCHUTZ – Frühstück am 19.09.2018

Business Breakfast @ Schottengasse 10

Expert_innen von Alix Frank Rechtsanwälte liefern kompakte Informationen zum Thema Datenschutz und die Verantwortung von Geschäftsführer_innen, Vorstand oder Vereinsobleuten:

  • Welche Risiken bestehen für Unternehmen?
  • Welche Haftung haben die Organe?
  • Welche Maßnahmen können zur Haftungsvermeidung ergriffen werden?
  • und vieles mehr

Ort: Schottengasse 10, 1010 Wien
Einlass und Frühstück: 19.09.2018, 8 Uhr
Vortrag: 8:30 – 9:30 Uhr
anschließend Diskussion und Gedankenaustausch

Die Teilnahme ist kostenlos!

Bitte um Anmeldung an austrolaw@alix-frank.co.at bis 17. 9. 2018

Datenschutzverstöße und die persönliche Haftung von Geschäftsführern

Von Franz J Heidinger / Thomas Kowatsch: Die DSGVO hat den Umgang mit personenbezogen Daten verändert und den Rechtsgütern Daten- und Persönlichkeitsschutz einen neuen Stellenwert eingeräumt. Dies führt natürlich zu höheren Sorgfaltspflichten und größeren Risiken für Unternehmen und ihre Leitungsorgane:

Risiken für Unternehmen

Abgesehen von Schadenersatzforderungen von Betroffen sieht die DSGVO bei Datenschutzverletzungen Strafen von bis zu EUR 20 Mio. oder 4 % des weltweiten Jahresumsatzes vor. Das klingt zunächst drakonisch, zeigt aber, dass das Thema von allen Unternehmen ernst zu nehmen ist. Allerdings muss die Strafe auch einzelfallabhängig und verhältnismäßig sein. Dabei sind Faktoren wie Vorsatz/Fahrlässigkeit, Ausmaß des Schadens, usw. bei der Strafbemessung zu berücksichtigen. Mit anderen Worten: Wer sich zumindest um die Einhaltung der Regeln bemüht hatte, könnte noch mit einem blauen Auge davonkommen.

Risiken für Organe

Das Strafpotential für ein Unternehmen stellt jedoch auch für die verantwortlichen Organe – Vorstand, Aufsichtsrat oder Geschäftsführer – ein Risiko dar. Wenn auch die Erledigung einzelner Aufgaben delegiert wird; für Planung, Überwachung und Prüfung der Umsetzung der Aufgaben im Bereich des Datenschutzes bleiben die Leitungsorgane verantwortlich. Kommt es zu Schadensfällen für das Unternehmen, kann oder muss sich die Gesellschaft an den verantwortlichen Organen regressieren. Die Risiken für das Unternehmen schlagen gewissermaßen auf die Organwalter des Unternehmens durch.

Maßnahmen zur Haftungsvermeidung

Wie erwähnt sind mit der neuen Regelung Angelegenheiten des Datenschutzes in hohem Maße ernst zu nehmen. Nun liegt es an den Leitungsorganen der Unternehmen, nicht zuletzt um sich selbst abzusichern, eine laufende, regelmäßige Kontrolle der Umsetzung der Vorschriften der DSGVO als wesentliche Compliance-Aufgabe wahrzunehmen.

Die Datenschutzexperten der Alix Frank Rechtsanwälte GmbH unterstützen Sie gerne dabei.

Sanfte Entwarnung für Unternehmen: Strafen erst nach mehrmaligen Verstößen

Von Franz J Heidinger / Laurin Maran: Wie sich mittlerweile herumgesprochen haben sollte, drohen bei Verstößen gegen die EU-Datenschutzgrundverordnung (EU-DSGVO) Geldbußen von bis zu EUR 20.000.000,- oder im Falle eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs.

Diese existenzvernichtende Drohung des europäischen Gesetzgebers hat ihre Wirkung nicht verfehlt: Die europäischen Unternehmen wurden in helle Aufregung versetzt und bemühen sich seit Monaten intensiv, nicht zuletzt um solche Geldbußen zu vermeiden, ihre Geschäftsmodelle bis zum 25.05.2018 fit für die EU-DSGVO zu machen.

Für österreichische Unternehmen kann nun teilweise Entwarnung gegeben werden. Am 20.04.2018 wurde das „Bundesgesetz, mit dem das Datenschutzgesetz geändert wird (Datenschutz-Deregulierungs-Gesetz 2018)“ im Nationalrat angenommen. Der neu verfasste § 11 DSG sieht nun vor, dass die Datenschutzbehörde die Bestimmungen des Art 83 DSGVO, wo die oben erwähnte Geldbußen festgelegt sind, so anzuwenden hat, dass die Verhältnismäßigkeit gewahrt wird. Bei erstmaligen Verstößen wird die Datenschutzbehörde von ihren Abhilfebefugnissen insbesondere durch Verwarnungen Gebrauch machen.

Somit gilt, dass grundsätzlich erst eine Verwarnung auszusprechen ist, bevor es zu einer Strafe kommt. Und selbst wenn eine Strafe ausgesprochen werden sollte, dann sicher nicht in einer Höhe, die ein Unternehmen in die Insolvenz treiben könnte. Die Höhe der Geldbuße muss verhältnismäßig sein und sich an der Schwere des Verstoßes und an der Größe des Unternehmens orientieren.

Es besteht somit kein Grund, dem 25. Mai 2018 sorgenvoll entgegen zu blicken. Die EU-DSGVO wird wohl nicht so heiß gegessen werden, wie es der Aufruhr um sie in den letzten Monaten vermuten lässt. Dies ist jedoch kein Grund, nun die Füße hochzulegen und die DSGVO zu ignorieren. Auch eine Verwarnung kann sehr unangenehme Folgen haben und sich negativ auf das Image des Unternehmens auswirken. Außerdem drohen bei Verstößen nicht nur Geldbußen der Behörde, sondern auch Schadenersatzansprüche der Betroffenen. Außerdem könnte ein Verstoß gegen eine Bestimmung des Datenschutzgesetzes als unlauterer Wettbewerb betrachtet werden und entsprechende Unterlassungsklagen von Konkurrenten nach sich ziehen.

Verzeichnis von Verarbeitungstätigkeiten

Von Franz J Heidinger / Laurin Maran: Art. 30 EU-DSGVO verpflichtet Unternehmen, ein sogenanntes Verarbeitungsverzeichnis zu führen. Darin sind alle Verarbeitungstätigkeiten aufzunehmen, die der jeweiligen Zuständigkeit unterliegen. Das Verfahrensverzeichnis ist auf Anfrage der Aufsichtsbehörde zur Verfügung zu stellen und die Aufsichtsbehörde muss mit Hilfe des Verfahrensverzeichnisses in der Lage sein, alle Verarbeitungstätigkeiten kontrollieren zu können.

Wer muss ein Verarbeitungsverzeichnis führen?

Die Verordnung nimmt Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, von dieser Pflicht aus. Allerdings nur, sofern die von ihnen vorgenommene Verarbeitung nicht

  • ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt,
  • die Verarbeitung nicht nur gelegentlich erfolgt oder
  • die Verarbeitung nicht die Verarbeitung besonderer Datenkategorien (früher: „sensible Daten“) bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten einschließt.

Diese Ausnahmetatbestände sind derart engmaschig gestaltet, dass sie wohl nur in äußersten Ausnahmefällen zur Anwendung kommen und wohl 99% aller Unternehmen, die auch nur einen einzigen Mitarbeiter beschäftigen, ein Verarbeitungsverzeichnis benötigen.

Welchen Zweck hat das Verarbeitungsverzeichnis?

In erster Linie sollten Unternehmen natürlich alleine schon deshalb ein Verzeichnis aller Verarbeitungstätigkeiten führen, um der gesetzlichen Verpflichtung gemäß Art. 30 EU-DSGVO nachzukommen. Davon abgesehen kann das Verzeichnis aber durchaus auch für interne Zwecke genutzt werden und die gesamte Unternehmensorganisation verbessern. Die Erstellung des Verzeichnisses sollte daher nicht nur als Pflicht verstanden werden, sondern kann auch eine Chance sein, die im Unternehmen vorhandenen Daten und Informationen zu strukturieren und optimal zu nutzen.

Ferner kann das Verarbeitungsverzeichnis als Grundlage für die Erfüllung alle weiteren datenschutzrechtlichen Verpflichtungen herangezogen werden. Wendet sich beispielsweise ein Betroffener an das Unternehmen und ersucht gemäß Art. 15 EU-DSGVO um Auskunft über die von ihm vorhandenen Daten, kann diese Anfrage mit Hilfe eines Verzeichnisses deutlich einfacher beantwortet werden. Müssten erst alle vorhandenen Daten nach den personenbezogenen Daten des Betroffenen durchforstet werden, kann es schwierig werden, die Anfrage innerhalb der gesetzlichen Frist von einem Monat zu beantworten. Ganz zu schweigen von den damit verbundenen Personalaufwand.

Welche Angabe muss das Verzeichnis enthalten?

Der Gesetzgeber hat klar vorgegeben, welche Informationen das Verzeichnis enthalten muss: Namen und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, soweit einer bestellt wurde. Zwecke und Beschreibung der Datenverarbeitung, eine Beschreibung der Kategorie der betroffenen Personen und der personenbezogenen Daten, die Kategorie von Empfängern, denen die Daten übermittelt werden, gegebenenfalls die Übermittlungen von Daten an ein Land außerhalb der EU und wenn möglich die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Außerdem sollten die technischen und organisatorischen Maßnahmen aufgezählt werden, die ergriffen wurden, um personenbezogene Daten zu schützen.

Die Rechtsgrundlagen für die Datenverarbeitungen müssen grundsätzlich nicht in das Verzeichnis aufgenommen werden. Das Unternehmen muss allerdings jederzeit nachweisen können, dass eine Datenverarbeitung nach den in der EU-DSGVO normierten Grundsätzen erfolgt ist. Es ist daher empfehlenswert, bei den jeweiligen Datenverarbeitungszwecken anzuführen, auf welcher Rechtsgrundlage die Daten verarbeitet werden. Ferner können sich Mitarbeiter durch Einsicht in das Verzeichnis vergewissern, ob eine spezielle Datenverarbeitung rechtskonform ist.

Die jeweils gespeicherten Daten müssen nicht im Verzeichnis aufgezählt werden. Wird als Verarbeitungszweck beispielsweise die Lohnverrechnung genannt, wäre als Kategorie der betroffenen Personen „Mitarbeiter“ zu nennen. Bei der Datenkategorie müssen dann aber nicht alle Daten der Mitarbeiter des Unternehmens aufgezählt werden, sondern eben nur die jeweilige Kategorie der Daten wie zum Beispiel: Name, Anschrift, Bankverbindung. Es wäre keine Datenkategorie, wenn man schreiben würde: Hans Müller, Müllerweg 1, IBAN: AT91 (…).

Form und Aufbau des Verzeichnisses

Der Gesetzgeber schreibt lediglich vor, dass das Verzeichnis schriftlich zu führen ist und auch in einem elektronischen Format erfolgen kann. Somit scheint die Struktur des Verzeichnisses völlig unerheblich. Es kann eine einfache Exceltabelle sein oder können die Daten auch in eine Software eingespeist werden. Wichtig ist, dass die Aufsichtsbehörde bei der Einsicht einen umfassenden und abschließenden Überblick über die Tätigkeit des Unternehmens und die damit verbundenen Datenverarbeitungen erhält.

Im Hinblick auf den erwähnten Nutzen für das Unternehmen, den ein gutes Verzeichnis mitbringen kann, empfiehlt es sich allerdings, bei der Strukturierung und der jeweiligen Kategorisierung mehr Aufwand zu investieren, als gesetzlich vorgeschrieben ist. So spart man sich einerseits viel Zeit, bei der Bearbeitung von Anfragen von Betroffenen und andererseits lassen sich die Daten so besser auswerten.

Sollten Sie Hilfe bei der Erstellung eines Verarbeitungsverzeichnisses haben, stehen Ihnen die Datenschutzexperten der Alix Frank Rechtsanwälte GmbH jederzeit tatkräftig zur Seite.