COVID-19 datenschutzrechtliche Beratung

Neben den wirtschaftlichen Folgen, die nun ein Risiko darstellen, muss auch der Datenschutz bei allen nun getroffenen Maßnahmen gewährleistet sein.

Neben Datenschutzverstößen, die bei einer reflexartigen Verarbeitung geschehen können und dadurch unzulässig und bußgeldbewährt sein könnten, sind auch Risiken, die durch Sofortmaßnahmen, wie Home-Office-Tätigkeiten, entstehen, zu beachten.

Damit Sie weiterhin von FKC ausreichend geschützt sind, wollen wir Sie weiterhin mit Unterlagen und der Beratung unterstützen. Hierfür stehen die Berater der FKC Consult für Sie als Kunden zur Verfügung. Wir stellen Ihnen gerne Unterlagen bereit und erläutern diese dann mittels Videotelefonie.


Allgemeine Risiken, die daher beachtet werden sollten und generelle Fragen, zu denen wir beraten, sind nachfolgend beispielhaft aufgezählt

Leistungsübersicht

  • Was muss beachtet werden, wenn alle Mitarbeiter jetzt im Home-Office arbeiten?
  • Reicht meine aktuelle Home-Office-Richtlinie aus?
  • Wie sieht es mit der Verteilung von Zugriffsberechtigungen in Systemen aus, wenn wir nun mit einer Notfallbesetzung arbeiten?
  • Kann ein Arbeitgeber von allen Mitarbeitern und Besuchern des Gebäudes das Ausfüllen eines Fragebogens verlangen, in dem Informationen über ihre jüngste Reisegeschichte in Bezug auf die vom Virus betroffenen Länder, sowie medizinische Informationen, wie z.B. Symptome von Fieber, Fieberkrämpfen usw. erfragt werden?
  • Dürfen Arbeitgeber aktuelle private Handynummern oder andere Kontaktdaten von der Belegschaft erheben, um die Beschäftigten im Falle einer Schließung des Betriebs oder in ähnlichen Fällen kurzfristig warnen oder auffordern zu können, zu Hause zu bleiben?
  • Kann ein Arbeitgeber angesichts der Situation in Bezug auf COVID-19 auf ärztlichen Bescheinigungen genauere Einzelheiten über die Krankheit seines Mitarbeiters verlangen?
  • Dürfen Arbeitgeber den Beschäftigten mitteilen, dass ein bestimmter Mitarbeiter am Virus erkrankt ist, sogar unter Nennung des konkreten Namens, um darauf aufbauend mögliche Kontaktpersonen freizustellen?
  • Dürfen Arbeitgeber nach Aufforderung durch Gesundheitsbehörden Daten über erkrankte Beschäftigte, über Beschäftigte mit Aufenthalt in Risikogebieten oder Kontakte zu Infizierten an die Behörden übermitteln?
  • Dürfen Unternehmen (z. B. Messeveranstalter, Theater usw.) auf Aufforderung durch Gesundheitsbehörden Daten von Kunden oder Besuchern von Veranstaltungen erheben, speichern oder übermitteln für den Fall, dass später bekannt wird, dass eine infizierte Person auf der Veranstaltung war?
  • Kann ein Arbeitgeber seinen Kollegen mitteilen, dass ein Mitarbeiter mit dem Virus infiziert ist?
  • Welche Daten (über Erkrankte und Nichterkrankte) haben Leistungserbringer im Gesundheitsbereich (z. B. Krankenhäuser/Ärzte) insoweit zu erheben und an Gesundheitsbehörden zu melden?
Angebot anfragen

Häufige Fragen und Antworten

Jede Organisation,

  • die personenbezogenen Daten automatisiert verarbeitet (oder nach bestimmten Kriterien zugänglich in einer strukturierten Sammlung speichert), wenn dies durch eine in der EU belegene Niederlassung erfolgt;
  • die in der EU befindlichen Personen Waren oder Dienstleistungen anbietet und in diesem Zusammenhang deren personenbezogene Daten verarbeitet (Bsp.: Onlineshops);
  • die mittels Datenverarbeitung das Verhalten von in der EU befindlichen Personen beobachtet (ggf. Tracking, Profiling, Social-Media-Plugins etc.).
  • Praktisch alle Organisationen in der EU, da jede IT-basierte Datenverarbeitung erfasst ist
  • Sowohl Unternehmen als auch viele gemeinnützige Träger (bspw. schon bei Lohnabrechnung)
  • Auch Nicht-EU-Organisationen, die sich an EU-Bürger richten und deren Daten verarbeiten

Ein Datenschutzbeauftragter ist erforderlich,

  • wenn Daten-Verarbeitungsvorgänge erfolgen, die zum einen/eine umfangreiche, regelmäßige und systematische Überwachung der betroffenen Personen erfordert. (z.B. GPS Tracking bei Speditionsflotte)
  • wenn in großem Umfang persönliche Daten von besonderer Kategorie (z.B. Gesundheitsdaten, Daten zur Konfession) sowie strafrechtlich relevante Daten verarbeitet werden.
  • wenn eine Datenschutzfolgeabschätzung nach Art. 35 DSGVO notwendig wird > Liste, wann erforderlich ist noch nicht durch Behörde veröffentlicht.
  • wenn geschäftsmäßig personenbezogene Daten zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden (z.B. Schufa etc.)
  • wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (dazu zählen nicht nur Vollzeitbeschäftigte sondern auch Studenten, Praktikanten etc.)
  • Rechtmäßigkeit / Rechtsgrundlage für Verarbeitung muss existieren
  • Treu und Glauben / Verarbeitung muss redlich und anständig sein
  • Transparenz / Verarbeitung muss für Betroffenen nachvollziehbar sein
  • Zweckbindung / Verarbeitung darf nur zu einen vorher festgelegten / eindeutigen legitimen Zweck erfolgen
  • Datensparsamkeit / Verarbeitung muss auf das notwendige Maß beschränkt sein
  • Begrenzte Speicherung / Daten sind frühestmöglich zu löschen
  • Integrität / Vertraulichkeit / Schutz vor Verlust und Beschädigung

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person, die betroffene Person, beziehen. Immer dann, wenn sich durch die Information ein Personenbezug herstellen lässt, handelt es sich um ein personenbezogenes Datum.

  • Einwilligung der betroffenen Person liegt vor
  • Berechtigtes Interesse liegt vor und schutzwürdige Interessen stehen dem nicht entgegen
  • Verarbeitung ist erforderlich zur Vertragserfüllung, für vorvertragliche Maßnahmen, Erfüllung von rechtlichen Anforderungen, Schutz lebenswichtiger Interessen ….

Betroffenen stehen diverse Rechte zu. Diese können, z. B. Recht auf Auskunft, Recht auf Löschen und Widerspruchsrechte umfassen.  (Reaktionszeit von einem Monat für den Verarbeiter)

  • Darstellung und Erläuterung > der Betroffenenrechte
    • Recht auf Auskunft
    • Recht auf Berichtigung
    • Recht auf Löschen
    • Recht auf Einschränkung
    • Mitteilungspflicht gegenüber Empfängern
    • Recht auf Datenübertragbarkeit
    • Widerspruchsrecht

Das Verzeichnis der Verarbeitungstätigkeiten dient vor allem der Dokumentation und somit der Erfüllung der Nachweispflicht gegenüber den Aufsichtsbehörden. Grundsätzlich sind Unternehmen mit mehr als 250 Mitarbeitern zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten gemäß DSGVO verpflichtet. Bei einer geringeren Mitarbeiteranzahl auch dann, wenn besonders sensible personenbezogene Daten verarbeitet oder z.B. Risiken für die Rechte betroffener Personen entstehen können.

Viele Unternehmen bedienen sich an Dienstleistungsangeboten anderer Unternehmen. Im Rahmen der Dienstleistungen sind personenbezogene Daten Bestandsteil oder Beiwerk. Zur Regelung von Verantwortlichkeiten, Pflichten und Haftungsmöglichkeiten sieht das Datenschutzgesetzt die Schließung von Auftragsverarbeitungsverträgen (AV-Vertrag) vor. (Art 28 DSGVO)

Die ePrivacy-Verordnung ist eine EU-Verordnung und geht auf eine Initiative der EU-Kommission im Januar 2017 zurück. Die Verordnung befindet sich zu Zeit jedoch noch im Gesetzgebungsverfahren und liegt nur als Entwurf vor. Die ePrivacy-Verordnung wird die ePrivacy-Richtlinie, die in Deutschland größtenteils in dem Telekommunikationsgesetz (TKG) und Telemediengesetz (TMG) umgesetzt wurde ablösen. Des Weiteren soll sie die DSGVO für den Bereich der elektronischen Kommunikation ergänzen.

Angebotsanfrage Datenschutz

Ihr indviduelles Angebot



Fordern Sie ihr individuelles Angebot zum Thema Datenschutz an!

Oder sprechen Sie direkt mit Ihrem Ansprechpartner

 

Herr Oliver Baumann

0800 400 510 1