Jürgen Kühling - Datenschutzrecht

V. Verbot automatisierter Entscheidungen im Einzelfall einschließlich Profiling (Art. 22 DS-GVO)

1. Grundsätzliches Verbot (Art. 22 Abs. 1 DS-GVO)

2. Ausnahmen vom Verbot in der DS-GVO (Art. 22 Abs. 2 DS-GVO)

3. Ausnahmen vom Verbot im BDSG (§ 37 BDSG)

E. Einwilligung der betroffenen Person (Art. 7 f. DS-GVO)

I. Einführung

II. Die Einwilligung gegenüber öffentlichen und privaten Stellen

III. Grundrechtliche Vorprägung

IV. Inhaltliche Wirksamkeitsvoraussetzungen (Art. 7 DS-GVO)

1. Freiwillig (Art. 4 Nr. 11 DS-GVO; Art. 7 Abs. 4 DS-GVO)

2. Informierte Einwilligung (Art. 4 Nr. 11 DS-GVO)

3. Bestimmtheit (Art. 5 Abs. 1 lit. b, 6 Abs. 1 UAbs. 1 lit. a DS-GVO)

4. Einwilligung bei sensiblen Daten (Art. 9 Abs. 2 lit. a DS-GVO)

V. Formale Wirksamkeitsvoraussetzungen

1. Abgabe/Einwilligungsbewusstsein (Art. 4 Nr. 11, Erwägungsgrund 32 DS-GVO)

2. Form

3. Transparenzgebot (Art. 7 Abs. 2 S. 1 DS-GVO)

4. Nachweisbarkeit (Art. 7 Abs. 1 DS-GVO)

VI. Widerrufbarkeit (Art. 7 Abs. 3 DS-GVO)

VII. Einsichtsfähigkeit und Einwilligung Minderjähriger (Art. 8 DS-GVO)

F. Gemeinsame Verantwortlichkeit und Auftragsverarbeitung (Art. 26 und 28 DS-GVO)

I. Gemeinsame Verantwortlichkeit (Art. 26 DS-GVO)

1. Stärkung und Ausdifferenzierung der Rechtsfigur durch den EuGH

2. Rezeption in der Anwendungspraxis

II. Auftragsverarbeitung (Art. 28 DS-GVO)

1. Begriff der Auftragsverarbeitung

a) Definition

b) Abgrenzung zum Verantwortlichen

c) Abgrenzung zur Figur der gemeinsamen Verantwortlichkeit

2. Eigenständige Pflichten des Auftragsverarbeiters

3. „Privilegierung“ der Auftragsverarbeitung

4. Auswahl des Auftragsverarbeiters durch den Verantwortlichen (Art. 28 Abs. 1 DS-GVO)

5. Vereinbarungen zur Auftragsverarbeitung (Art. 28 Abs. 3, 6 bis 9 DS-GVO)

a) Beschreibung der Verarbeitung, Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 S. 1 DS-GVO)

b) Weisungsbefugnis (Art. 28 Abs. 3 S. 2 lit. a DS-GVO)

c) Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b DS-GVO)

d) Sicherheit (Art. 28 Abs. 3 S. 2 lit. c DS-GVO)

e) Unterauftragsverarbeiter (Art. 28 Abs. 3 S. 2 lit. d DS-GVO)

f) Unterstützungspflichten (Art. 28 Abs. 3 S. 2 lit. e und f DS-GVO)

g) Rückgabe/Löschung (Art. 28 Abs. 3 S. 2 lit. g DS-GVO)

h) Informations- und Kontrollbefugnisse (Art. 28 Abs. 3 S. 2 lit. h DS-GVO)

i) Haftungsverteilung (optional)

6. Unterauftragsverarbeitung

7. Besonderheiten bei der Aufsicht

8. IT-Systemwartung

III. Exkurs: Besonderheiten bei berufsrechtlicher Schweigepflicht

G. Grenzüberschreitender Datenverkehr

I. Übermittlung innerhalb des datenschutzrechtlichen Binnenraums

II. Übermittlung in Drittländer (Art. 44 ff. DS-GVO)

1. Angemessenes Schutzniveau beim Empfänger (Art. 45 DS-GVO)

a) Feststellung durch Europäische Kommission

b) Sondersituation bei Datenübermittlungen in die USA

2. Kein angemessenes Schutzniveau beim Empfänger (Art. 46 und 49 DS-GVO)

H. Rechte der betroffenen Person

I. Übergreifende Vorgaben

1. Transparenzgebot und Modalitäten (Art. 12 Abs. 1, 3, 5 DS-GVO)

2. Ausnahmen (Art. 12 Abs. 5 S. 2, Abs. 4 DS-GVO)

3. Öffnungsklauseln (Art. 23, 85 Abs. 2, 89 Abs. 2 und 3 DS-GVO)

II. Betroffenenrechte im Einzelnen

1. Information

a) Datenerhebung bei der betroffenen Person (Direkterhebung)

aa) Allgemeine Vorgaben (Art. 13 Abs. 1, 2 DS-GVO)

bb) Ausnahmen (Art. 13 Abs. 4 DS-GVO; § 32 Abs. 1, 2 BDSG)

b) Datenerhebung nicht bei der betroffenen Person (Dritterhebung)

aa) Allgemeine Vorgaben (Art. 14 Abs. 1, 2 DS-GVO)

bb) Ausnahmen (Art. 14 Abs. 5 DS-GVO; § 29 Abs. 1, § 33 Abs. 1, 2 BDSG)

2. Auskunft

a) Voraussetzungen und Rechtsfolgen (Art. 15 DS-GVO; § 34 Abs. 4 BDSG)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2, 28 Abs. 2, 29 Abs. 1 S. 2, 34 Abs. 1 f. BDSG)

3. Berichtigung

a) Voraussetzungen und Rechtsfolgen (Art. 16 und 19 DS-GVO)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2 S. 1, 28 Abs. 3 BDSG)

4. Löschung

a) Voraussetzungen und Rechtsfolgen (Art. 17 Abs. 1 DS-GVO; § 4 Abs. 5 BDSG)

b) Nachberichts- und Informationspflichten (Art. 17 Abs. 2, 19 DS-GVO)

c) Ausnahmen (Art. 12 Abs. 5 S. 2, 17 Abs. 3 DS-GVO; § 35 BDSG)

5. Einschränkung (Sperrung)

a) Voraussetzungen und Rechtsfolgen (Art. 18 und 19 DS-GVO; § 35 BDSG)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2 S. 1, 28 Abs. 4 BDSG)

6. Recht auf Datenübertragbarkeit

a) Bedeutung

b) Voraussetzungen und Rechtsfolgen (Art. 20 DS-GVO)

c) Ausnahmen (Art. 12 Abs. 5 S. 2, 20 Abs. 3 DS-GVO; § 28 Abs. 4 BDSG)

7. Widerspruch

a) Voraussetzungen und Rechtsfolgen (Art. 21 DS-GVO)

b) Ausnahmen (Art. 12 Abs. 5 S. 2 DS-GVO; §§ 27 Abs. 2, 28 Abs. 4, 36 BDSG)

8. Sonstige Rechte (Art. 22, 34, 77, 78, 79, 82 DS-GVO)

I. Institutionelles und prozedurales Datenschutzrecht

I. Aufsichtsbehörden (Art. 51 ff. DS-GVO)

1. Institutionen auf EU-Ebene

a) Europäischer Datenschutzbeauftragter (Art. 16 Abs. 2 S. 2 AEUV)

b) Europäischer Datenschutzausschuss (Art. 68, 73 ff. DS-GVO)

2. Institutionen auf nationaler Ebene

a) Der oder die Bundesbeauftragte für den Datenschutz (§§ 8 ff. BDSG)

b) Die Landesdatenschutzbehörden

3. Abstimmung aufsichtsrechtlicher Entscheidungen auf EU-Ebene

a) Zuständigkeit – Grundsatz (Art. 55 Abs. 1 DS-GVO)

b) Zuständigkeit bei grenzüberschreitender Datenverarbeitung (Art. 56 DS-GVO)

c) Kooperation, Abstimmung und Zusammenarbeit zwischen den Aufsichtsbehörden (Art. 60 f. DS-GVO)

d) Kohärenzverfahren (Art. 63 ff. DS-GVO)

4. Aufgaben und Befugnisse der Aufsichtsbehörden (Art. 57 DS-GVO)

a) Aufgaben

b) Befugnisse

aa) Befugnisse nach der DS-GVO

bb) Ergänzende Befugnisse nach nationalem Recht

II. Dokumentations-, Melde- und Kontrollpflichten des Verantwortlichen

1. Dokumentationspflichten (Art. 5 Abs. 2, 30 Abs. 1, 2 DS-GVO)

2. Meldepflichten

a) Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DS-GVO)

b) Benachrichtigungspflicht gegenüber der betroffenen Person (Art. 34 DS-GVO)

3. Datenschutz-Folgenabschätzung (Art. 35 DS-GVO)

a) Inhalt und Umfang

b) Voraussetzungen und Verfahren

c) Rolle der Aufsichtsbehörden

4. Datenschutzbeauftragter (Art. 37 f. DS-GVO)

a) Benennung und persönliche Voraussetzungen

b) Rechtsstellung

c) Aufgaben

III. Selbstregulierung

1. Zertifizierung (Art. 42 f. DS-GVO)

2. Genehmigte Verhaltensregeln (Art. 40 f. DS-GVO)

IV. Datenschutzfreundliche Produktgestaltung (Art. 25 DS-GVO)

1. Privacy by Design

2. Privacy by Default

V. Rechtsfolgen bei Verstößen (Art. 77 ff. DS-GVO)

1. Bußgeld (Art. 83 DS-GVO)

2. Schadensersatz (Art. 82 DS-GVO)

3. Strafrechtliche Sanktionen (§ 42 BDSG)

4. Wettbewerbsrechtliche Implikationen

5. Einfluss des Kartellrechts

3. Kapitel Besondere Datenverarbeitungssituationen und bereichsspezifisches Datenschutzrecht

A. Besondere Datenverarbeitungssituationen in DS-GVO und BDSG

I. Videoüberwachung

1. Vorgaben der DS-GVO

a) Anwendungsbereich

b) Abwägungstopoi für die materielle Rechtmäßigkeit

c) Transparenzvorgaben

d) Speicherdauer

e) Datenschutz-Folgenabschätzung

f) Besonderheiten beim Einsatz von Gesichtserkennungssoftware

2. Regelungsgehalt des § 4 BDSG und dessen eingeschränkte Anwendbarkeit

3. Videoüberwachung am Arbeitsplatz

II. Datenschutz im Beschäftigtenkontext

1. Öffnungsklausel im EU-Recht (Art. 88 DS-GVO)