Europarecht

Zweckbindung ist der datenschutzrechtliche Grundsatz, nach dem personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben und nicht ohne Weiteres zu unvereinbaren Zwecken weiterverarbeitet werden dürfen. Der Zweck muss vor der Erhebung ausreichend konkret bestimmt sein. Eine spätere Nutzung erfordert entweder Vereinbarkeit mit dem ursprünglichen Zweck oder eine neue Rechtsgrundlage. Bei der Prüfung zählen Zusammenhang,…

Datenminimierung verlangt, dass personenbezogene Daten dem Verarbeitungszweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Der Verantwortliche muss daher prüfen, ob weniger Daten, geringere Genauigkeit, kürzere Reichweite oder eine anonyme beziehungsweise pseudonyme Lösung den Zweck ebenso erreicht. Der Grundsatz betrifft Auswahl, Umfang, Detaillierung und Zugänglichkeit der Daten. Er gilt von der Planung eines…

Speicherbegrenzung ist der Grundsatz, dass personenbezogene Daten nur so lange in identifizierbarer Form aufbewahrt werden dürfen, wie es für die festgelegten Zwecke erforderlich ist. Der Verantwortliche muss Aufbewahrungsfristen oder überprüfbare Kriterien festlegen und Löschung oder Anonymisierung organisatorisch sicherstellen. Gesetzliche Aufbewahrungspflichten können längere Fristen tragen. Für Archiv-, Forschungs- oder Statistikzwecke sind längere Speicherungen möglich, wenn geeignete…

Rechenschaftspflicht bedeutet, dass der Verantwortliche die Datenschutzgrundsätze nicht nur einhalten, sondern deren Einhaltung auch nachweisen können muss. Er benötigt dafür angemessene organisatorische Strukturen, dokumentierte Entscheidungen, Zuständigkeiten, Schutzmaßnahmen und Kontrollen. Umfang und Tiefe richten sich nach Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung. Typische Nachweise sind Verarbeitungsverzeichnisse, Löschkonzepte, Interessenabwägungen, Einwilligungsprotokolle, Sicherheitskonzepte und Datenschutz-Folgenabschätzungen. Rechtliche Bedeutung…

Datenschutz-Folgenabschätzung ist eine strukturierte Vorabprüfung für geplante Verarbeitungen, die voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursachen. Sie beschreibt Verarbeitung und Zwecke, bewertet Notwendigkeit und Verhältnismäßigkeit, untersucht Risiken und legt Schutzmaßnahmen fest. Maßgeblich sind insbesondere neue Technologien, Umfang, Kontext und Datenarten. Bleibt trotz Maßnahmen ein hohes Risiko, muss der Verantwortliche vor Beginn…

Verzeichnis von Verarbeitungstätigkeiten ist die dokumentierte Übersicht über datenschutzrelevante Abläufe eines Verantwortlichen oder Auftragsverarbeiters. Es enthält unter anderem Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Das Verzeichnis muss schriftlich, auch elektronisch, geführt, aktuell gehalten und der Aufsichtsbehörde auf Anfrage vorgelegt werden. Die Ausnahme für kleine Organisationen greift…

Datenschutzbeauftragter ist ein fachkundiger, unabhängiger Ansprechpartner, der Verantwortliche oder Auftragsverarbeiter über Datenschutzpflichten unterrichtet, deren Einhaltung überwacht, bei Folgenabschätzungen berät und mit Aufsichtsbehörden zusammenarbeitet. Er kann intern beschäftigt oder extern bestellt sein. Seine Benennung ist in den gesetzlich bestimmten Fällen verpflichtend. Er ist frühzeitig einzubinden, erhält erforderliche Ressourcen, handelt bei seinen Kontrollaufgaben weisungsfrei und darf wegen…

Datenschutzverletzung ist eine Verletzung der Sicherheit, die unbeabsichtigt oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind Vertraulichkeits-, Integritäts- und Verfügbarkeitsverletzungen, unabhängig davon, ob sie digital oder analog entstehen. Der Verantwortliche muss den Vorfall unverzüglich untersuchen, Risiken bewerten, dokumentieren und gegebenenfalls die Aufsichtsbehörde…

Auskunftsrecht nach DSGVO ist der Anspruch des Betroffenen auf Bestätigung, ob ihn betreffende personenbezogene Daten verarbeitet werden, und gegebenenfalls auf Auskunft über diese Daten sowie begleitende Informationen. Dazu gehören Zwecke, Datenkategorien, Empfänger, Speicherdauer, Herkunft und weitere Rechte. Grundsätzlich ist auch eine Kopie bereitzustellen. Die Antwort muss verständlich, regelmäßig unentgeltlich und grundsätzlich innerhalb eines Monats erfolgen;…