Bereiten Sie sich mit Trackforce auf die DSGVO vor

Über die DSGVO

Was ist die DSGVO?

Die DSGVO ist ein neues, umfassendes Datenschutzgesetz (in Kraft getreten am 25. Mai 2018) in der EU, das den Schutz personenbezogener Daten angesichts rascher technologischer Entwicklungen, zunehmender Globalisierung und komplexerer internationaler Datenströme stärkt. Sie aktualisiert und ersetzt alle derzeit geltenden nationalen Datenschutzgesetze (die auf der EU-Datenschutzrichtlinie von 1995 – DPD – basieren) durch ein einheitliches Regelwerk.

Wie war das vor der DSGVO?

Die wichtigsten Änderungen sind folgende: Erweiterte Datenschutzrechte für EU-Bürger, die Meldepflicht bei Datenschutzverletzungen und zusätzliche Sicherheitsanforderungen für Unternehmen sowie Anforderungen hinsichtlich der Profilerstellung und Überwachung von Kunden. Die DSGVO enthält zudem verbindliche Unternehmensregeln für Unternehmen, um die Übermittlung personenbezogener Daten außerhalb der EU zu legalisieren, sowie eine Geldbuße in Höhe von 4 % des weltweiten Umsatzes für Unternehmen, die ihren Verpflichtungen zur Einhaltung der DSGVO nicht nachkommen. Insgesamt schafft die DSGVO eine zentrale Durchsetzungsinstanz, indem sie Unternehmen verpflichtet, bei grenzüberschreitenden Datenschutzfragen mit einer federführenden Aufsichtsbehörde zusammenzuarbeiten.

Gilt die DSGVO für mein Unternehmen?

Wenn Sie personenbezogene Daten im Rahmen einer in der EU ansässigen Organisation verarbeiten, gilt die DSGVO für Sie, unabhängig davon, ob Sie personenbezogene Daten in der EU verarbeiten oder nicht. „Verarbeitung“ bezeichnet jeden Vorgang, der an personenbezogenen Daten vorgenommen wird, wie beispielsweise die Erhebung, Speicherung, Übermittlung, Verbreitung oder Löschung.

Wenn Sie nicht in der EU ansässig sind, gilt die DSGVO für Sie, wenn Sie Waren oder Dienstleistungen (ob kostenpflichtig oder kostenlos) an betroffene Personen in der EU anbieten oder das Verhalten von betroffenen Personen in der EU überwachen. Unter „Überwachung“ versteht man alles von der Platzierung von Cookies auf einer Website über die Verfolgung des Surfverhaltens betroffener Personen bis hin zu hochtechnologischen Überwachungsmaßnahmen.

Nach dem europäischen Datenschutzrecht werden Organisationen, die personenbezogene Daten verarbeiten, in „Verantwortliche“ – also die Stellen, die die personenbezogenen Daten kontrollieren – und „Auftragsverarbeiter“ – also die Stellen, die personenbezogene Daten ausschließlich auf Anweisung der Verantwortlichen verarbeiten – unterteilt. Die DSGVO gilt sowohl für Verantwortliche als auch für Auftragsverarbeiter.

Haftungsausschluss

Dieser Brief ist weder ein Standardwerk zum Thema Datenschutz in der EU noch eine Rechtsberatung für Ihr Unternehmen zur Einhaltung von EU-Datenschutzgesetzen wie der DSGVO. Daher dürfen Sie sich auf dieses Dokument weder als Rechtsberatung noch als Empfehlung einer bestimmten Rechtsauffassung verlassen.

Hier finden Sie eine Liste mit Fragen, anhand derer Sie Ihren Grad der Einhaltung der DSGVO beurteilen können:

• „Welche personenbezogenen Daten erheben bzw. speichern wir?“
• „Werden personenbezogene Daten außerhalb der EU übermittelt, und wenn ja, sind angemessene Schutzmaßnahmen getroffen worden?“
• „Erheben oder verarbeiten wir besondere Kategorien personenbezogener Daten, wie beispielsweise ‚sensible
• „Personenbezogene Daten, Daten von Kindern, biometrische oder genetische Daten usw. – und wenn ja, erfüllen wir die Standards für deren Erhebung, Verarbeitung und Speicherung?“
• „Sorgen wir für einen angemessenen Schutz der Daten, der dem jeweiligen Risiko entspricht? Sind beispielsweise Verschlüsselung oder Pseudonymisierung erforderlich, um die von uns gespeicherten personenbezogenen Daten zu schützen? Beschränken wir den Zugriff, um sicherzustellen, dass die Daten ausschließlich für den vorgesehenen Zweck verwendet werden?“
• „Stellen wir sicher, dass wir die Daten nicht länger als nötig aufbewahren und sie auf dem neuesten Stand halten?“
• „Haben wir die Daten auf rechtmäßige Weise erhoben? Liegen uns die erforderlichen Einwilligungen vor, und wurden die betroffenen Personen über den konkreten Zweck informiert, für den wir ihre Daten verwenden werden? Haben wir diesen Zweck klar und unmissverständlich dargelegt, und wurden sie über ihr Recht informiert, ihre Einwilligung jederzeit zu widerrufen?“

Was wird sich durch die DSGVO ändern?

Einwilligung

Wann immer eine betroffene Person im Begriff ist, ihre personenbezogenen Daten zu übermitteln, muss der für die Verarbeitung Verantwortliche (in der Regel ein Unternehmen) sicherstellen, dass die betroffene Person ihre Einwilligung erteilt hat. Die DSGVO verschärft die Anforderungen an die Informationspflichten bei der Einholung der Einwilligung, da diese „freiwillig, spezifisch, in voller Kenntnis der Sachlage und unmissverständlich“ erteilt werden muss, wobei die für die Verarbeitung Verantwortlichen eine „klare und verständliche“ Rechtssprache verwenden müssen, die sich „deutlich von anderen Sachverhalten abhebt“. Die Verantwortlichen sind zudem verpflichtet, nachzuweisen, dass ihre Verfahren konform sind und in jedem Einzelfall eingehalten werden. Zuvor konnte gemäß der Datenschutzrichtlinie (DPD) die Einwilligung aus einer Handlung oder Unterlassung abgeleitet werden, sofern diese Handlung oder Unterlassung eindeutig eine Einwilligung signalisierte. Somit ließ die Richtlinie die Möglichkeit eines „Opt-out“-Mechanismus offen. Dies wird sich jedoch mit der DSGVO ändern, die verlangt, dass die betroffene Person ihre Einwilligung durch „eine Erklärung oder eine eindeutige bestätigende Handlung“ signalisiert.

Im Wesentlichen darf Ihr Kunde nicht zur Einwilligung gezwungen werden oder sich nicht bewusst sein, dass er der Verarbeitung seiner personenbezogenen Daten zustimmt. Er muss außerdem genau wissen, wozu er seine Einwilligung erteilt, und im Voraus über sein Recht informiert werden, diese Einwilligung zu widerrufen. Die Einholung der Einwilligung erfordert eine positive Zustimmung – sie darf nicht aus Schweigen, vorab angekreuzten Kästchen oder Untätigkeit abgeleitet werden. Das bedeutet, dass die Aufklärung des Nutzers während des Opt-in-Prozesses in Zukunft an Bedeutung gewinnen wird.

Neue Rechte für Einzelpersonen

Die Verordnung sieht zudem zwei neue Rechte für betroffene Personen vor: ein „Recht auf Vergessenwerden“, das die für die Verarbeitung Verantwortlichen verpflichtet, nachgelagerte Empfänger über Löschanträge zu informieren, sowie ein „Recht auf Datenübertragbarkeit“, das es betroffenen Personen ermöglicht, eine Kopie ihrer Daten in einem gängigen Format zu verlangen. Diese beiden Rechte erleichtern es den Nutzern nun, die Löschung gespeicherter Informationen oder die Weitergabe der erhobenen Informationen an sie selbst zu beantragen.

Auskunftsersuchen

Betroffene Personen hatten schon immer das Recht, Auskunft über ihre Daten zu verlangen. Die DSGVO erweitert diese Rechte jedoch. In den meisten Fällen dürfen Sie für die Bearbeitung eines Auskunftsersuchens keine Gebühren erheben, es sei denn, Sie können nachweisen, dass die Kosten unverhältnismäßig hoch wären. Die Frist für die Bearbeitung eines Auskunftsersuchens verkürzt sich zudem auf 30 Tage. In bestimmten Fällen können Organisationen die Gewährung eines Auskunftsersuchens ablehnen, beispielsweise wenn das Ersuchen als offensichtlich unbegründet oder übertrieben angesehen wird. Allerdings müssen Organisationen über klare Richtlinien und Verfahren für die Ablehnung verfügen und darlegen, warum das Ersuchen diese Kriterien erfüllt.

• Unterstützung gewinnen und ein Team aufbauen
• Die Führungskräfte des Unternehmens für die Bedeutung der Einhaltung der DSGVO sensibilisieren
• Sich die Unterstützung der Geschäftsleitung für die erforderlichen personellen Ressourcen und finanziellen Investitionen sichern
• Wählen Sie eine Person aus, die die Maßnahmen zur Einhaltung der DSGVO leitet
• Bilden Sie einen Lenkungsausschuss aus den wichtigsten Funktionsleitern
• Identifizieren Sie Datenschutzbeauftragte im gesamten Unternehmen

• Die bestehenden Maßnahmen zum Datenschutz und zur Sicherheit überprüfen, um den Bedarf zu ermitteln
• Ermitteln Sie alle Systeme, in denen das Unternehmen personenbezogene Daten speichert, und erstellen Sie eine
• Datenbestandsaufnahme
• Ein Verzeichnis der Datenverarbeitungsvorgänge erstellen und eine Datenschutz-Folgenabschätzung durchführen
• Risikobewertung für jede risikoreiche Tätigkeit

• Stellen Sie sicher, dass überall dort, wo personenbezogene Daten erhoben werden, Datenschutzerklärungen vorhanden sind
• Führen Sie Kontrollmaßnahmen ein, um die Nutzung von Daten durch die Organisation auf die Zwecke zu beschränken, für die
• Es hat die Daten erfasst
• Einrichtung von Mechanismen zur Verwaltung der Einwilligungspräferenzen der betroffenen Personen
• Geeignete administrative, physische und technische Sicherheitsmaßnahmen umsetzen
• sowie Verfahren zur Erkennung von und Reaktion auf Sicherheitsverletzungen
• Festlegung von Verfahren zur Bearbeitung von Auskunftsersuchen betroffener Personen,
• Berichtigung, Widerspruch, Einschränkung, Datenübertragbarkeit und Löschung (Recht auf Vergessenwerden)
• Schließen Sie Verträge mit verbundenen Unternehmen und Anbietern ab, die personenbezogene Daten erheben oder erhalten
• Einführung eines Verfahrens zur Datenschutz-Folgenabschätzung
• Durchführung von Schulungen zum Thema Datenschutz und Sicherheit für Mitarbeiter und Lieferanten

• Stellen Sie Kopien der Datenschutzerklärungen und Einwilligungserklärungen, des Datenverzeichnisses und des Verzeichnisses der Datenverarbeitungsvorgänge, der schriftlichen Richtlinien und Verfahren, der Schulungsunterlagen, der unternehmensinternen Datenübermittlungsvereinbarungen sowie der Lieferantenverträge zusammen.
• Ernennen Sie gegebenenfalls einen Datenschutzbeauftragten und bestimmen Sie die zuständige EU-Aufsichtsbehörde.
• Führen Sie regelmäßige Risikobewertungen durch

Trackforce – Der Weg zur DSGVO-Konformität

Trackforce hat es sich zur Aufgabe gemacht, unsere Kunden bei der Einhaltung der DSGVO zu unterstützen. Wir haben die Anforderungen der DSGVO eingehend analysiert und arbeiten derzeit daran, unsere Produkte, Verträge und Dokumentationen so zu optimieren, dass sie die Einhaltung der DSGVO gewährleisten.

Produkt-Roadmap

Recht auf Vergessenwerden

Art der personenbezogenen Daten	Max. Aufbewahrungsfrist	Maßnahmen nach Ablauf der Aufbewahrungsfrist
Persönliche Medien (Fotos und Videos)	Bis zu 3 Monate nach der Erstellung	Gelöscht
Besucherdaten	Bis zu 3 Monate nach dem Besuch	Anonymisiert
Der Verlauf der GPS-Daten	Bis zu 6 Monate nach der Erstellung	Gelöscht
Trainingsdaten	Bis zu 12 Monate nach dem Ausscheiden des Mitarbeiters	Gelöscht
Alle Berichte	Bis zu 5 Jahre nach der Erstellung	Gelöscht
Die verschiedenen Felder der Aktivitätsvorlage	Bis zu 5 Jahre nach der Erstellung	Anonymisiert

So richten Sie Ihre DSGVO-Einstellungen ein:

• Gehe zu „Einstellungen“ > „Kontoeinstellungen“
• Klicken Sie auf „DSGVO-Einstellungen“
• Wählen Sie für jede Kategorie die allgemeine Aufbewahrungsfrist aus (standardmäßig wird die längste mögliche Frist angezeigt).
• Über die Option „Ausnahmen für Kunden einrichten“ können Sie außerdem unterschiedliche Aufbewahrungsfristen für verschiedene Kunden festlegen.

Ihrerseits können Sie nach Beendigung der Geschäftsbeziehung mit einem Kunden dessen personenbezogene Daten bis zu 5 Jahre und dessen persönliche Medien (Fotos und Videos) bis zu 3 Monate aufbewahren.

Datenübertragbarkeit

Mit der Trackforce-Plattform können Sie den Wünschen Ihrer Kunden nach einem Datenexport nachkommen. Die Daten können auf Anfrage extrahiert werden.

Sicherheit

Trackforce verfügt über Sicherheitsmaßnahmen, die in jede Ebene der Plattform integriert sind. Die Infrastrukturebene umfasst Replikation, Datensicherung, Verschlüsselung und Notfallwiederherstellung. Die Netzwerkdienste bieten Verschlüsselung während der Übertragung sowie erweiterte Bedrohungserkennung mittels IPS/IDS. Unsere Anwendungsdienste umfassen Identitätsmanagement, Zwei-Faktor-Authentifizierung und Benutzerberechtigungen.

Einschränkung der Verarbeitung

Trackforce verbessert seine Produkte dahingehend, dass die Verantwortlichen oder Auftragsverarbeiter die Nutzung personenbezogener Daten technisch einschränken können (beispielsweise durch die Beschränkung des Zugriffs auf Berichte oder durch die Zuordnung der personenbezogenen Daten einer betroffenen Person zu bestimmten Kontoseiten). Außerdem wird auf allen von der Anwendung versendeten PDF-Dateien oder E-Mails ein Haftungsausschluss abgedruckt, in dem die Löschung des Dokuments bis zum Ende der Aufbewahrungsfrist gefordert wird (das genaue Datum wird angegeben).

Unsere rechtlichen Hinweise

Rechenschaftspflicht/Transparenz

Da der Mai 2018 näher rückt, hat Trackforce einen Datenschutzbeauftragten (DSB) ernannt und konzentriert sich nun auf die Maßnahmen zur Einhaltung der DSGVO. Unser Rechtsteam arbeitet derzeit daran, sicherzustellen, dass unsere rechtlichen Dokumente (nämlich unsere Nutzungsbedingungen für Kunden, unsere Datenverarbeitungsvereinbarung und unsere Datenschutzerklärung) aktualisiert werden, um etwaige Produktänderungen zu berücksichtigen und die gemäß Artikel 28 der DSGVO vorgeschriebenen Bestimmungen für Auftragsverarbeiter aufzunehmen.

Außerdem haben wir die E-Mail-Adresse [email protected] für alle Fragen und Anfragen im Zusammenhang mit der DSGVO eingerichtet.

Durch unsere organisatorischen Maßnahmen und rechtlichen Unterlagen (nämlich unsere Nutzungsbedingungen, unsere Datenverarbeitungsvereinbarung und unsere Datenschutzerklärung) stellt Trackforce sicher, dass die betroffene Person sowohl bei der Erhebung als auch bei der Verarbeitung ihre Einwilligung im Sinne der DSGVO erteilt hat.

Häufig gestellte Fragen

An wen muss ich mich wenden, um meine personenbezogenen Daten zu erhalten?

Bei allen Fragen zur DSGVO wenden Sie sich bitte per E-Mail an unseren Datenschutzbeauftragten unter [email protected].

Welche Unterlagen muss ich vorlegen, um meine personenbezogenen Daten zu erhalten?

Sie sollten ein Dokument vorlegen, das Ihre Identität belegt.

Ist es möglich, meine einmal erstellten DSGVO-Einstellungen zu ändern?

Ja, jederzeit.

Wie lange speichern Sie Kundendaten?

Jeder Kunde legt seine bevorzugte Aufbewahrungsfrist im Rahmen der durch die DSGVO vorgegebenen Grenzen fest.

Was soll ich tun, wenn ein Kunde seine Daten schneller löschen möchte als die anderen?

Auf der Einrichtungsseite können Sie Ausnahmen festlegen.

Ist es möglich, meine Daten wiederherzustellen, sobald sie anonymisiert wurden?

Die Anonymisierung im Sinne der DSGVO ist unumkehrbar.

Welche personenbezogenen Daten erheben Sie?

Das hängt von Ihrem Sicherheitsdienstleister ab. Bitte wenden Sie sich an diesen oder an dessen Datenschutzbeauftragten, falls es einen gibt.

Welche Daten auf Ihrer Plattform unterliegen den Anforderungen der DSGVO?

Medien mit personenbezogenen Daten, GPS-Verlaufsdaten, Besucherdaten, Mitarbeiterdaten sowie Feldern mit personenbezogenen Daten in Aktivitätsvorlagen (es obliegt jedem Kunden, die Daten zu definieren, die er schützen muss).

Was passiert, wenn ich einen schwerwiegenden Vorfall gegenüber den Versicherungen oder gegenüber der Justiz dokumentieren muss?

Es liegt in der Verantwortung des Kunden, alle erforderlichen Berichte vor Ablauf der Aufbewahrungsfrist herunterzuladen. Nach Ablauf dieser Frist kann Trackforce Ihre Daten nicht mehr wiederherstellen.

Was passiert, wenn eine E-Mail mit meinen (oder den) Daten meiner Mitarbeiter versendet wird?

In jede PDF-Datei und jede E-Mail, die von der Anwendung versendet wird, wird ein Haftungsausschluss eingefügt. Der Empfänger des Dokuments ist für die Einhaltung der Anforderungen der DSGVO verantwortlich.

Kann eine Tochtergesellschaft von Trackforce auf die Daten einer Tochtergesellschaft in einem anderen Land zugreifen?

Nein; personenbezogene Daten werden von einer Tochtergesellschaft zur anderen isoliert und segmentiert. Jede Tochtergesellschaft hat nur Zugriff auf ihre eigenen Daten.

Kann Trackforce seine Auftragsverarbeiter dazu verpflichten, die DSGVO einzuhalten?

Nein; ab dem 25. Mai 2018 wird Trackforce jedoch nur noch Subunternehmer beauftragen, die ausreichende Garantien hinsichtlich der Einhaltung der DSGVO vorweisen können.

Was passiert, wenn Trackforce in Zukunft neue Softwarelösungen entwickelt, die nicht den aktuellen Anforderungen der DSGVO entsprechen?

Um die DSGVO-Konformität zu gewährleisten, wird Trackforce bei jeder Einführung eines neuen Produkts eine Datenschutz-Folgenabschätzung (PIA) durchführen.