Wochenrückblick KW 02/18 – 5 Beiträge zur DSGVO

DSGVO und die Folgen für Bonitäts-Auskunfteien

Gemeint sind Schufa & Co, wie es auf datenschutzbeauftragte-info heißt. Der Beitrag   bezieht sich auf die Situation in Deutschland, wo die Verarbeitung personenbezogener Daten in Aufkunfteien bisher schon im BDSG geregelt war und ebenso in BDSG Neu, unter §§ 30, 31 . 

Auf datenschutzbeauftrager-info wird insbesondere auf drei Erlaubnistatbestände hingewiesen: (1) Die Einwilligung der Betroffenen, (2) eine entsprechende vertragliche Vereinbarung als Auftragsverarbeiter und (3) als Grundlage das berechtigte Interesse des Verantwortlichen.

Bezüglich Löschung sind gesetzliche Fristen zu berücksichtigen. Der lesenswerte und informative Beitrag geht näher auf die umfassenden Informationspflichten des Verantwortlichen, aber auch des Auftragsverarbeiters ein und weist auf das Auskunftsrecht Betroffener hin.

Ein Beitrag zur Situation in Österreich ist in Vorbereitung. Ab März 2018 finden Sie Informationen dazu unter  „DSGVO und Auskunftsdienste in Österreich”

Pseudonymisierung personenbezogener Daten

Keine geringe Herausforderung stellt das Thema Pseudonymisierung nach DSGVO dar. Auf i-scoop findet sich ein ausführlicher Beitrag dazu, den zu lesen sich lohnt. Zunächst ist zwischen Pseudonymisierung und Anonymisierung zu unterscheiden. In vielen Fällen wird diese Unterscheidung nicht klar getroffen und daher sind die eingesetzten Mittel oft auch nicht für die jeweilige Anforderung angemessen. Die Erfordernisse von Pseudonymisierung und Anonymisierung werden in ErwG 26, 28-29, 78 und 85 DSGVO  und in Art. 4, 25, 32 DSGVO erläutert.

Pseudonymisierung reduziert das Risiko der Identifizierung von personenbezogenen Daten, reduziert entsprechende Risiken bei der Verarbeitung der Daten und erhöht so die Datenschutz Sicherheit.

Der Beitrag setzt sich mit Fragen der Pseudonymisierung und Möglichkeiten der Re-Identifizierung auseinander, liefert Informationen zum konkreten Einsatz und zur Umsetzung. Am Beispiel medizinischer Forschung wird das Thema anschaulich dargestellt. 

Die Autoren merken allerdings kritisch an, dass Pseudonymisierung allein nicht ausreicht um die Vorgaben zum Schutz personenbezogener Daten gemäß DSGVO zu erzielen.

DSGVO und Folgenabschätzung

Stefan Schmelzer gibt in einem kurzen Beitrag, einer Skizze, wie er es nennt, zur Datenschutz-Folgeabschätzung (Art. 35 Abs. 1  lit.1  DSGVO) praxisbezogene Informationen.  Ein guter Einstieg in das Thema zu Fragen, wer zur Folgenabschätzung nach DSGVO verpflichtet ist und welche Inhalte dabei vorzusehen sind.

Dazu ist auch ein eigener Beitrag auf fokus.genb.org geplant, u.a. mit Hinweisen auf Mustervorlagen etc.

DSGVO und Bildungseinrichtungen

Schulen, Hochschulen und andere Bildungseinrichtungen sind von der DSGVO gleichfalls betroffen. Christine Jackson fasst auf Wright Hassall die wesentlichen Punkte, die es dabei zu berücksichtigen zusammen (englisch)  

In diesem Zusammenhang sei auf einen weiteren, ausführlichen und detaillierten Beitrag  zu DSGVO und Moodle hingewiesen.   Viele Bildungseinrichtungen nutzen Moodle als Learning Management System (LMS). Im Grunde sind die Informationen aber darüber hinaus auch beim Einsatz anderer LMS hilfreich.

>

Haltung gegenüber DSGVO ist wichtig

Bei allem technokratischen und rechtlichen Anforderungsdruck sollte nicht vergessen werden, dass es weitere wichtige Faktoren gibt, die es nicht zu vernachlässigen gilt. Ellen Tannam zeigt in ihrem Beitrag A positive attitude is a crucial element for GDPR compliance   am Beispiel von Egnyte, wie wichtig es ist, die Menschen mitzunehmen, sie zu unterstützen, die DSGVO Vorgaben zu einem eigenen Anliegen zu machen und dazu beizutragen, dass das Unternehmen entsprechend agiert..

Der Gesetzestext der DSGVO, EU-Lex