Christian Szidzek - Datenschutzgrundverordnung für Dummies

Und dann gibt es da noch Art. 40, der es erlaubt, rechtsverbindliche Verhaltensregeln für kleinere oder mittelständische Unternehmen zu erlassen, und es sogar Verbänden ermöglicht, solche Verhaltensregeln selbst auszuarbeiten. Um rechtsverbindlich zu werden, müssen die Verhaltensregeln jedoch zuvor von den Aufsichtsbehörden genehmigt werden. Aktuell hat sich hier allerdings noch nichts Nennenswertes getan. Beobachten sollten Sie das aber schon.

Sie sehen also, die DSGVO ist die Herrin des europäischen Datenschutzrechts, aber in der Praxis müssen Sie sich zusätzlich leider auch noch durch viele ergänzende und weitere konkretisierende Vorschriften quälen.

Am besten gehen Sie die Vorschriften in der folgenden Reihenfolge durch, wenn Sie nichts übersehen wollen.

Vorschriften der E-Privacy-VO als Spezialregelung (nach Inkrafttreten)

Vorschriften der DSGVO

Nationales Umsetzungsgesetz zur Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr

Ergänzende Gesetze Ihres Mitgliedstaats, die aufgrund von Öffnungsklauseln der DSGVO erlassen worden sind

Verhaltensregeln nach Art. 40 (soweit vorhanden)

Vertragliche Verpflichtungen im Rahmen einer Auftragsverarbeitung (siehe dazu Näheres in Kapitel 7 Zusammenarbeit von Unternehmen unter der Überschrift Die Auftragsverarbeitung

Adressaten von Vorschriften sind immer diejenigen, an die sich eine Vorschrift richtet. Wenn Sie Jude sind, braucht Sie das Neue Testament nicht zu interessieren, als Christ wäre das allerdings zu empfehlen, wenn Sie nicht in die Hölle kommen wollen. Das Fegefeuer soll ja inzwischen abgeschafft sein. Ebenso wenig muss Sie als Buddhist der Koran interessieren oder als Muslim die Veden. So ist es auch bei der EU-Gesetzgebung. Wenn Sie nicht Adressat der Vorschrift sind, braucht Sie die Vorschrift auch nicht weiter zu kümmern, es sei denn, Sie sind Lobbyist. Adressaten der DSGVO sind Verantwortliche und Auftragsverarbeiter .

Wann Sie Verantwortlicher sind und wann Sie zum Auftragsverarbeiter werden, erfahren Sie in Kapitel 4 Die Protagonisten . Im Wesentlichen geht es darum, dass Sie geschäftsmäßig irgendwie personenbezogene Daten verarbeiten und das nicht nur für private Zwecke tun.

Adressaten der DSGVO sind zunächst einmal

öffentliche und

nicht öffentliche Stellen

Öffentliche Stelle ist nicht gleich jeder, der ein YouTube-Video veröffentlicht oder nachts im Suff peinliche Leserbriefe oder Kommentare schreibt.

Wenn von öffentlichen Stellen die Rede ist, sind damit in der Regel Behörden oder Gerichte gemeint. Aber auch Stiftungen oder andere Vereinigungen , die staatlich getragen sind, zählen dazu. Je nachdem was die Mitgliedstaaten national geregelt haben, kann es auch vorkommen, dass Notare oder Rechtsanwälte als öffentliche Stellen gelten.

Ausdrücklich ausgenommen vom Geltungsbereich der DSGVO sind folgende öffentliche Stellen:

Organe, Einrichtungen, Ämter oder Agenturen der EU (Art. 2 Abs. 3),

Mitgliedstaaten bei Tätigkeiten gemeinsamer Außen- und Sicherheitspolitik (Art. 2 Abs. 2 b),

zuständige Behörden zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten und

Behörden, die zuständig sind für die Vollstreckung von Strafen oder zum Schutz der öffentlichen Sicherheit vor Bedrohungen (Art. 2 Abs. 2 d).

Wundern Sie sich jetzt bitte nicht, wenn die Einrichtungen der EU sich nicht an die DSGVO halten müssen. Man hat ja schon alle Hände voll zu tun, Verordnungen wie die DSGVO überhaupt zu erlassen. Wenn man sich jetzt selbst auch noch an die selbst gemachten Vorschriften halten müsste, käme man ja gar nicht mehr zum Arbeiten.

Was nicht öffentliche Stellen sind, ist schnell erklärt. Das sind alle, die keine öffentliche Stellen sind. Also Sie und ich sowie Unternehmen, Vereine oder sonstige Zusammenschlüsse von Personen im zivilrechtlichen Bereich.

Die DSGVO bemüht sich darum, geschäftsmäßige und private Datenverarbeitung auseinanderzuhalten. Wenn Sie sich Sorgen machen sollten, ob Sie Ihr Familienalbum weiterführen dürfen oder nicht, können wir Sie beruhigen. Das dürfen Sie. Sie dürfen auch gerne weiter in Ihren sozialen Netzwerken jeden Blödsinn posten, solange Sie das ausschließlich zu persönlichen oder familiären Zwecken machen. Es gibt nämlich die sogenannte Haushaltsausnahme nach Art. 2 Abs. 2 c. Um von der Haushaltsausnahme Gebrauch machen zu können, müssen Sie als Erstes einmal eine natürliche Person sein oder mit anderen Worten ein Mensch. Ob Sie auf natürlichem oder unnatürlichem Weg zustande gekommen sind oder Sie geklont wurden oder sich gar selbst geklont haben, ist dabei völlig egal. Wenn Sie zu dem Ergebnis gekommen sind, dass es sich bei Ihnen um einen Menschen handelt, dann erlaubt Ihnen die DSGVO personenbezogene Daten für persönliche oder familiäre Zwecke zu verarbeiten, ohne sich um Datenschutz besonders kümmern zu müssen. Allerdings dürfen Sie dabei den persönlichen und familiären Lebensbereich nicht verlassen. Falls doch: DSGVO.

Der persönliche oder familiäre Lebensbereich ist schnell überschritten! Zusammengefasst kann man sagen, dass das immer dann der Fall ist, wenn Sie Ihre Privatsphäre verlassen und anfangen, Daten von Leuten zu verarbeiten, die sich außerhalb dieser Privatsphäre befinden. Und das ist immer dann schon der Fall, wenn Sie diejenigen, deren Daten Sie verarbeiten, nicht kennen. Oder wenn Sie Daten von Leuten, die sie kennen und zu Ihrem persönlichen oder familiären Lebensbereich zählen, plötzlich anderen gegenüber offenlegen, die nicht in diesen Bereich gehören. Die Abgrenzung ist aber oft nicht leicht.

Besonders vorsichtig müssen Sie sein, wenn Sie in sozialen Netzwerken aktiv sind. Solange nur ein begrenzter Personenkreis auf die Daten zugreifen kann, gilt die Haushaltsausnahme. Wenn aber ein unbestimmter Personenkreis auf die Daten zugreifen kann, gilt die Ausnahme nicht ! Auch die Begrenzung auf Gruppen ist in diesen Netzwerken oft nicht ausreichend, um von der Ausnahme Gebrauch machen zu können. Und natürlich schon gar nicht greift die Ausnahme, wenn Sie mit der Datenbereitstellung wirtschaftliche oder sonst geschäftsmäßige Zwecke verfolgen.

Bei der Videoüberwachung Ihrer privaten Lebensbereiche können Sie sich meist auf die Haushaltsausnahme berufen. Das gilt aber dann schon wieder nicht, wenn ein öffentlicher Bereich wie Straße, Bürgersteig oder angrenzende Parks und Nachbargrundstücke von der Überwachung erfasst werden. Die Haushaltsausnahme gilt auch nicht bei der Nutzung von Dashcams oder Drohnen , wenn Sie dabei fremde Personen filmen.

Der sachliche Anwendungsbereich der DSGVO ist nach Art. 2 DSGVO eröffnet für die geschäftsmäßige Verarbeitung personenbezogener Daten . die

automatisiert oder

nicht automatisiert stattfindet.

Nur wenn Sie personenbezogene Daten verarbeiten, müssen Sie sich an die DSGVO halten, sonst nicht. Aber Moment, Sie wissen ja noch gar nicht, was im Datenschutz alles unter der Bezeichnung personenbezogene Daten verstanden wird. Das ist natürlich nachvollziehbar, denn wir erklären Ihnen das ja im Detail auch erst in den folgenden Kapiteln. An dieser Stelle sei aber schon einmal so viel verraten, dass es sich bei personenbezogenen Daten um Informationen über Menschen handelt. Das beginnt mit dem Namen, der Wohnanschrift, dem Familienstand und endet bei verschiedenen kryptischen Ziffern- und Buchstabenkombinationen, über die sich ein Personenbezug herstellen lässt. Manchmal lässt sich nicht leicht auseinanderhalten, ob bestimmte Informationen zu den personenbezogenen Daten gehören oder nicht. Deshalb ist den personenbezogenen Daten in diesem Dummies-Buch ein eigenes Kapitel gewidmet.