DSGVO-Handbuch

Zur DSGVO

Was ist die DSGVO?

Die DSGVO ist ein neues, umfassendes Datenschutzgesetz (in Kraft getreten am 25. Mai 2018) in der EU, das den Schutz personenbezogener Daten angesichts rascher technologischer Entwicklungen, zunehmender Globalisierung und komplexerer internationaler Datenströme stärkt. Sie aktualisiert und ersetzt alle derzeit geltenden nationalen Datenschutzgesetze (die auf der europäischen Datenschutzrichtlinie von 1995 – DSGVO – basieren) durch ein einheitliches Regelwerk.

Wie war die Situation vor Inkrafttreten der DSGVO?

Die wichtigsten Änderungen sind folgende: Erweiterte Datenschutzrechte für Personen in der EU, die Meldepflicht bei Datenschutzverletzungen und zusätzliche Sicherheitsanforderungen für Organisationen sowie Vorschriften zur Profilerstellung und zur Nachverfolgung von Kunden. Die DSGVO enthält außerdem verbindliche Unternehmensregeln für Organisationen, um die Übermittlung personenbezogener Daten außerhalb der EU zu legalisieren, sowie eine Geldbuße in Höhe von 4 % des weltweiten Umsatzes für Organisationen, die die Compliance-Verpflichtungen der DSGVO nicht einhalten. Insgesamt schafft die DSGVO eine zentrale Anlaufstelle für die Durchsetzung, indem sie von Unternehmen verlangt, bei grenzüberschreitenden Datenschutzfragen mit einer federführenden Aufsichtsbehörde zusammenzuarbeiten.

Gilt die DSGVO für mein Unternehmen?

Wenn Sie personenbezogene Daten im Rahmen einer in der EU ansässigen Organisation verarbeiten, gilt die DSGVO für Sie, unabhängig davon, ob Sie personenbezogene Daten in der EU verarbeiten oder nicht. „Verarbeitung“ bezeichnet jeden Vorgang, der mit personenbezogenen Daten durchgeführt wird, wie beispielsweise die Erhebung, Speicherung, Übermittlung, Weitergabe oder Löschung.

Wenn Sie nicht in der EU ansässig sind, gilt die DSGVO für Sie, wenn Sie betroffene Personen in der EU Waren oder Dienstleistungen (kostenpflichtig oder kostenlos) anbieten oder wenn Sie das Verhalten dieser Personen innerhalb der EU überwachen. Die Überwachung kann von der Platzierung von Cookies auf einer Website über die Verfolgung des Surfverhaltens der betroffenen Personen bis hin zu hochtechnologischen Überwachungsmaßnahmen reichen.

Gemäß der europäischen Datenschutz-Grundverordnung wird die Organisation, die personenbezogene Daten verarbeitet, in „Verantwortliche“ – also diejenigen Stellen, die die Kontrolle über die personenbezogenen Daten ausüben – und „Auftragsverarbeiter“ – also diejenigen Stellen, die personenbezogene Daten ausschließlich auf Anweisung der Verantwortlichen verarbeiten – unterteilt. Die DSGVO gilt sowohl für Verantwortliche als auch für Auftragsverarbeiter.

Haftungsausschluss

Dieser Brief ist weder ein Standardwerk zum Thema Datenschutz in der EU noch eine Rechtsberatung, die Ihr Unternehmen zur Einhaltung europäischer Datenschutzgesetze wie der DSGVO heranziehen könnte. Daher dürfen Sie sich auf dieses Dokument weder als Rechtsberatung noch als Empfehlung für eine bestimmte rechtliche Auslegung stützen.

Hier finden Sie eine Liste mit Fragen, anhand derer Sie überprüfen können, inwieweit Sie die Anforderungen der DSGVO erfüllen:

„Welche personenbezogenen Daten erheben bzw. speichern wir?“
„Werden personenbezogene Daten außerhalb der EU übermittelt, und wenn ja, haben wir angemessene Schutzmaßnahmen getroffen?“
„Erheben oder verarbeiten wir besondere Kategorien personenbezogener Daten, wie beispielsweise sensible Daten?“
„Personenbezogene Daten“, Daten über Kinder, biometrische oder genetische Daten usw. – und wenn ja, halten wir uns bei deren Erhebung, Verarbeitung und Speicherung an die geltenden Vorschriften?“
„Sorgen wir für deren Sicherheit, indem wir ein dem Risiko angemessenes Sicherheitsniveau anwenden? Sind beispielsweise Verschlüsselung oder Pseudonymisierung erforderlich, um die bei uns gespeicherten personenbezogenen Daten zu schützen? Beschränken wir den Zugriff, um sicherzustellen, dass die Daten nur für die vorgesehenen Zwecke verwendet werden?“
„Stellen wir sicher, dass wir sie nicht länger als nötig aufbewahren und auf dem neuesten Stand halten?“
„Haben wir die Daten auf rechtmäßige Weise erhoben? Liegen uns die erforderlichen Einwilligungen vor, und wurden die betroffenen Personen über den konkreten Zweck informiert, für den wir ihre Daten verwenden werden? Haben wir diesen Zweck klar und unmissverständlich dargelegt, und wurden sie über ihr Recht informiert, ihre Einwilligung jederzeit zu widerrufen?“

Was wird sich mit der DSGVO ändern?

Einverständniserklärung

Jedes Mal, wenn eine betroffene Person im Begriff ist, ihre personenbezogenen Daten weiterzugeben, muss der für die Verarbeitung Verantwortliche (in der Regel ein Unternehmen) sicherstellen, dass die betroffene Person ihre Einwilligung erteilt hat. Die DSGVO verschärft die Offenlegungsstandards bei der Einholung der Einwilligung, die „freiwillig, spezifisch, in voller Kenntnis der Sachlage und unmissverständlich“ sein muss, wobei die für die Verarbeitung Verantwortlichen eine „klare und einfache“ Rechtssprache verwenden müssen, die sich deutlich von anderen Fragen abhebt. Die für die Verarbeitung Verantwortlichen sind zudem verpflichtet, nachzuweisen, dass ihre Verfahren konform sind und in jedem Einzelfall eingehalten werden. Zuvor konnte gemäß der Datenschutzrichtlinie (DPD) die Einwilligung aus einer Handlung oder Unterlassung abgeleitet werden, sofern diese Handlung oder Unterlassung eindeutig die Einwilligung bedeutete. Somit ließ die Richtlinie die Möglichkeit eines „Opt-out“-Mechanismus offen. Dies wird sich jedoch gemäß der DSGVO ändern, die verlangt, dass die betroffene Person ihre Zustimmung durch „eine eindeutige positive Erklärung oder Handlung“ bekundet.

Im Wesentlichen darf Ihr Kunde weder zur Erteilung seiner Einwilligung gezwungen werden, noch darf ihm verheimlicht werden, dass er der Verarbeitung seiner personenbezogenen Daten zustimmt. Er muss zudem genau wissen, wozu er seine Einwilligung erteilt, und im Voraus über sein Recht informiert werden, diese Einwilligung zu widerrufen. Die Einholung der Einwilligung erfordert eine positive Bekundung der Zustimmung – sie darf nicht aus Schweigen, vorab angekreuzten Kästchen oder Untätigkeit abgeleitet werden. Das bedeutet, dass es in Zukunft immer wichtiger wird, den Nutzer während des Opt-in-Prozesses zu informieren.

Neue Rechte für Privatpersonen

Die Verordnung sieht außerdem zwei neue Rechte für betroffene Personen vor: ein „Recht auf Vergessenwerden“, das die für die Verarbeitung Verantwortlichen verpflichtet, nachgelagerte Empfänger über Löschungsanträge zu informieren, und ein „Recht auf Datenübertragbarkeit“, das es betroffenen Personen ermöglicht, eine Kopie ihrer Daten in einem gängigen Format anzufordern. Dank dieser beiden Rechte wird es für die Nutzer künftig einfacher sein, die Löschung aller gespeicherten Informationen zu verlangen oder die Übermittlung der über sie erhobenen Informationen zu beantragen.

Zugangsanträge

Die betroffenen Personen hatten schon immer das Recht, Auskunft über ihre Daten zu verlangen. Die DSGVO stärkt diese Rechte jedoch. In den meisten Fällen dürfen Sie für die Bearbeitung eines Auskunftsersuchens keine Gebühren erheben, es sei denn, Sie können nachweisen, dass die Kosten unverhältnismäßig hoch sind. Die Frist für die Bearbeitung eines Auskunftsersuchens wird zudem auf 30 Tage verkürzt. In bestimmten Fällen können Organisationen den Zugang zu Daten verweigern, beispielsweise wenn der Antrag als offensichtlich unbegründet oder unverhältnismäßig angesehen wird. Allerdings müssen Organisationen klare Richtlinien und Verfahren für die Verweigerung festlegen und darlegen, warum der Antrag diese Kriterien erfüllt.

Mitglieder gewinnen und ein Team aufbauen
Die Führungskräfte der Organisation für die Bedeutung der Einhaltung der DSGVO sensibilisieren.
Die Unterstützung der Geschäftsleitung für die erforderlichen Personalressourcen und finanziellen Investitionen sichern.
Wählen Sie eine Person aus, die für die Leitung der Maßnahmen zur Einhaltung der DSGVO zuständig ist.
Einrichtung eines Lenkungsausschusses, der sich aus den wichtigsten Fachbereichsleitern zusammensetzt
Die Vorreiter im Datenschutz im gesamten Unternehmen identifizieren

Die bestehenden Maßnahmen im Bereich Datenschutz und Sicherheit prüfen, um den Bedarf zu ermitteln
Ermitteln Sie alle Systeme, in denen das Unternehmen personenbezogene Daten speichert, und erstellen Sie eine
Datenbestandsaufnahme
Ein Verzeichnis der Datenverarbeitungsvorgänge erstellen und eine Datenschutz-Folgenabschätzung durchführen.
Bewertung für jede risikoreiche Tätigkeit

Es ist sicherzustellen, dass überall dort, wo personenbezogene Daten erhoben werden, Datenschutzerklärungen vorhanden sind.
Kontrollen einrichten, um die Nutzung der Daten durch die Organisation auf die Zwecke zu beschränken, für die sie erhoben wurden.
Er hat die Daten erfasst
Einrichtung von Mechanismen zur Verwaltung der Einwilligungspräferenzen der betroffenen Personen
geeignete administrative, physische und technische Sicherheitsmaßnahmen umzusetzen
sowie die Verfahren zur Erkennung von und Reaktion auf Sicherheitsverletzungen
Verfahren zur Bearbeitung von Auskunftsersuchen betroffener Personen festlegen,
Berichtigung, Widerspruch, Einschränkung, Datenübertragbarkeit und Löschung (Recht auf Vergessenwerden)
Verträge mit verbundenen Unternehmen und Anbietern abzuschließen, die personenbezogene Daten erheben oder erhalten
Ein Verfahren zur Bewertung der Auswirkungen auf den Datenschutz einrichten
Organisation von Schulungen zur Sensibilisierung für Datenschutz und Sicherheit für Mitarbeiter und Lieferanten.

Stellen Sie Kopien der Datenschutzerklärungen und Einwilligungserklärungen, des Datenverzeichnisses und des Verzeichnisses der Datenverarbeitungsvorgänge, der schriftlichen Richtlinien und Verfahren, der Schulungsunterlagen, der Vereinbarungen über die unternehmensinterne Datenübermittlung sowie der Verträge mit den Dienstleistern zusammen.
Ernennen Sie gegebenenfalls einen Datenschutzbeauftragten und geben Sie die zuständige Aufsichtsbehörde der EU an.
Regelmäßige Risikobewertungen durchführen

Der Weg von Trackforce zur Einhaltung der DSGVO

Trackforce hat es sich zur Aufgabe gemacht, seine Kunden bei der Einhaltung der DSGVO zu unterstützen. Wir haben die Anforderungen der DSGVO eingehend analysiert und sind bestrebt, unsere Produkte, Verträge und Dokumentationen so zu verbessern, dass sie die Einhaltung der DSGVO unterstützen.

Produkt-Roadmap

Recht auf Vergessenwerden

Art der personenbezogenen Daten	Max. Aufbewahrungsfrist	Maßnahme Nach Ablauf der Aufbewahrungsfrist
Persönliche Medien (Fotos und Videos)	Bis zu 3 Monate nach der Gründung	Gelöscht
Besucherdaten	Bis zu 3 Monate nach dem Besuch	Anonymisiert
Der Verlauf der GPS-Daten	Bis zu 6 Monate nach der Gründung	Gelöscht
Ausbildungsdaten	Bis zu 12 Monate nach Ausscheiden des Arbeitnehmers	Gelöscht
Alle Berichte	Bis zu 5 Jahre nach der Gründung	Gelöscht
Die verschiedenen Aktivitäten im Bereich der Modellierung	Bis zu 5 Jahre nach der Gründung	Anonymisiert

So richten Sie Ihre DSGVO-Einstellungen ein:

Geht zu „Einstellungen“ > „Kontoeinstellungen“
Klicken Sie auf die DSGVO-Einstellungen
Wählen Sie für jede Kategorie die allgemeine Aufbewahrungsfrist für die Daten aus (standardmäßig wird die längste mögliche Frist angezeigt).
Sie können außerdem mithilfe der Option „Ausnahmen für Kunden festlegen“ unterschiedliche Aufbewahrungsfristen für verschiedene Kunden festlegen.

Ihrerseits können Sie nach Beendigung der Geschäftsbeziehung mit einem Kunden dessen personenbezogene Daten bis zu 5 Jahre und dessen persönliche Medien (Fotos und Videos) bis zu 3 Monate aufbewahren.

Datenübertragbarkeit

Sie können die Trackforce-Plattform nutzen, um den Anfragen Ihrer Kunden bezüglich der Datenausgabe nachzukommen. Die Daten können auf Anfrage extrahiert werden.

Verwaltungssoftware

Trackforce hat die Sicherheit in jede Ebene der Plattform integriert. Die Infrastrukturebene umfasst Replikation, Datensicherung, Verschlüsselung und Notfallwiederherstellung. Die Netzwerkdienste verfügen über eine Verschlüsselung während der Übertragung sowie eine fortschrittliche Bedrohungserkennung mit IPS/IDS. Unsere Anwendungsdienste setzen Identitätsmanagement, Zwei-Faktor-Authentifizierung und Benutzerberechtigungen um.

Einschränkung der Verarbeitung

Trackforce verbessert seine Produkte, damit die für die Datenverarbeitung Verantwortlichen oder Auftragsverarbeiter die Nutzung personenbezogener Daten technisch einschränken können (beispielsweise durch die Beschränkung des Zugriffs auf Berichte oder durch die Zuordnung der personenbezogenen Daten einer betroffenen Person zu bestimmten Kontoseiten). Außerdem wird auf jeder von der Anwendung versendeten PDF-Datei oder E-Mail ein Haftungsausschluss abgedruckt, in dem die Löschung des Dokuments nach Ablauf der Aufbewahrungsfrist gefordert wird (das genaue Datum wird angegeben).

Unsere juristischen Unterlagen

Verantwortung/Transparenz

Im Vorfeld des Monats Mai 2018 hat Trackforce einen Datenschutzbeauftragten (DSB) ernannt und konzentriert sich nun auf die Maßnahmen zur Einhaltung der DSGVO. Unsere Rechtsabteilung ist derzeit damit beschäftigt, sicherzustellen, dass unsere rechtlichen Dokumente (nämlich unsere Nutzungsbedingungen, unsere Datenverarbeitungsvereinbarung und unsere Datenschutzerklärung) aktualisiert werden, um alle Produktänderungen widerzuspiegeln und die gemäß Artikel 28 der DSGVO vorgeschriebenen Bestimmungen für Auftragsverarbeiter aufzunehmen.

Außerdem haben wir die E-Mail-Adresse [email protected] für alle Fragen und Anfragen im Zusammenhang mit der DSGVO eingerichtet.

Einverständniserklärung

Im Rahmen unserer organisatorischen Maßnahmen und unserer rechtlichen Unterlagen (nämlich unserer Kundendienstbedingungen, unserer Vereinbarung zur Datenverarbeitung und unserer Datenschutzerklärung) stellt Trackforce sicher, dass die betroffene Person ihre Einwilligung im Sinne der DSGVO sowohl hinsichtlich der Erhebung als auch der Verarbeitung erteilt hat.

Häufig gestellte Fragen

An wen muss ich mich wenden, um meine personenbezogenen Daten zu erhalten?

Bei allen Fragen zur DSGVO wenden Sie sich bitte per E-Mail an unseren Datenschutzbeauftragten unter [email protected].

Welche Unterlagen muss ich vorlegen, um meine personenbezogenen Daten zu erhalten?

Sie müssen alle Unterlagen vorlegen, die Ihre Identität belegen.

Ist es möglich, meine DSGVO-Konfiguration nach der Erstellung zu ändern?

Ja, jederzeit.

Wie lange speichern Sie Kundendaten?

Jeder Kunde legt seine bevorzugte Aufbewahrungsfrist im Rahmen der Bestimmungen der DSGVO fest.

Was soll ich tun, wenn ein Kunde seine Daten schneller löschen möchte als die anderen?

Auf der Konfigurationsseite können Sie Ausnahmen festlegen.

Ist es möglich, meine Daten wiederherzustellen, nachdem sie anonymisiert wurden?

Die Anonymisierung im Sinne der DSGVO ist unumkehrbar.

Welche Art von personenbezogenen Daten erheben Sie?

Das hängt von Ihrem Sicherheitsdienstleister ab. Bitte wenden Sie sich an diesen oder an dessen Datenschutzbeauftragten, falls es einen gibt.

Welche Art von Daten Ihrer Plattform unterliegt den Anforderungen der DSGVO?

Medien mit personenbezogenen Daten, GPS-Verlauf, Besucherdaten, Mitarbeiterdaten, Felder mit personenbezogenen Daten in den Geschäftsvorlagen (es obliegt jedem Kunden, die Daten zu definieren, die er schützen muss).

Was passiert, wenn ich einen schwerwiegenden Vorfall gegenüber den Versicherungen oder den Justizbehörden dokumentieren muss?

Es liegt in der Verantwortung des Kunden, alle erforderlichen Berichte vor Ablauf der Aufbewahrungsfrist herunterzuladen. Nach Ablauf dieser Frist ist Trackforce nicht mehr in der Lage, Ihre Daten wiederherzustellen.

Was passiert, wenn eine E-Mail mit meinen Daten (oder denen meiner Mitarbeiter) versendet wird?

In jede von der Anwendung versendete PDF-Datei oder E-Mail wird ein Haftungsausschluss eingefügt. Es obliegt dem Empfänger des Dokuments, die Anforderungen der DSGVO einzuhalten.

Kann eine Tochtergesellschaft von Trackforce auf die Daten einer anderen Tochtergesellschaft in einem anderen Land zugreifen?

Nein, die personenbezogenen Daten sind zwischen den einzelnen Tochtergesellschaften voneinander getrennt und segmentiert. Jede Tochtergesellschaft hat nur Zugriff auf ihre eigenen Daten.

Kann Trackforce seine Subunternehmer dazu verpflichten, die DSGVO einzuhalten?

Nein; ab dem 25. Mai 2018 wird Trackforce jedoch nur noch Subunternehmer beauftragen, die ausreichende Garantien hinsichtlich der Einhaltung der DSGVO bieten.

Was passiert, wenn Trackforce in Zukunft neue Softwarelösungen entwickelt, die nicht den derzeitigen Anforderungen der DSGVO entsprechen?

Um die Anforderungen der DSGVO einzuhalten, wird Trackforce bei jeder Einführung eines neuen Produkts eine Datenschutz-Folgenabschätzung (PIA) durchführen.