Die folgenden Fragen bieten einen allgemeinen Rahmen zur Informationspflicht, zu den Rechten der betroffenen Person und zu den ersten Schritten bei Verdacht auf eine Verletzung personenbezogener Daten. Im konkreten Fall werden Fristen, Unterlagen und die geltenden Vorschriften gesondert geprüft.
1–6 von 6 Fragen werden angezeigt
Wie wird die Informationspflicht bei der Verarbeitung personenbezogener Daten erfüllt?
Der Verantwortliche muss bei der Erhebung personenbezogener Daten verständlich über seine Identität, den Verarbeitungszweck, die Rechtsgrundlage, die Empfänger von Übermittlungen und die Rechte der betroffenen Person informieren.
Nach Artikel 10 des Gesetzes Nr. 6698 ist die Informationspflicht eine von der Rechtsgrundlage der Datenverarbeitung getrennte Verpflichtung. Die ausdrückliche Einwilligung ist nicht für jede Datenverarbeitung die zwingende Grundlage; sind die anderen im Gesetz genannten Verarbeitungsvoraussetzungen erfüllt, können diese herangezogen werden. Dass ein Datenschutzhinweis lediglich auf der Website veröffentlicht wird, beweist für sich allein nicht, dass im konkreten Zeitpunkt der Datenverarbeitung ordnungsgemäß informiert wurde. Bei Verarbeitungen im Zusammenhang mit Beschäftigten, Mandanten, Besuchern, Bewerbungen und Cookies müssen die Verarbeitungszwecke konkret und stimmig sein. Insbesondere bei Verarbeitungen, die besondere Kategorien personenbezogener Daten oder Datenübermittlungen ins Ausland umfassen, sind zusätzlich die besonderen Voraussetzungen und die erforderlichen Garantien zu prüfen.
Welche Rechte kann die betroffene Person hinsichtlich ihrer personenbezogenen Daten ausüben?
Die betroffene Person kann ihre Rechte auf Auskunft, Berichtigung, Löschung und die weiteren Rechte nach Artikel 11 KVKK durch einen Antrag an den Verantwortlichen ausüben; vor einer Beschwerde beim Rat für den Schutz personenbezogener Daten (Kurul) ist dieser Weg auszuschöpfen.
Der Verantwortliche entscheidet nach Artikel 13 KVKK spätestens innerhalb von 30 Tagen über den Antrag. Bei Ablehnung oder unzureichender Antwort kann die Beschwerde beim Kurul innerhalb von 30 Tagen ab Kenntnis der Antwort erhoben werden; die gesetzliche Obergrenze von 60 Tagen und die besonderen Möglichkeiten im Fristberechnungsbeschluss Nr. 2019/9 des Kurul sind zusätzlich zu beachten. Antwortet der Verantwortliche überhaupt nicht, ist die Frist von 60 Tagen ab dem Antrag maßgeblich. Im Antrag sollte erläutert werden, welche Daten, welche Verarbeitung oder welcher unrichtige Eintrag in Streit steht. Schadensersatz- und Persönlichkeitsrechtsansprüche, für die der unmittelbare Gang zum Gericht offensteht, und die verwaltungsrechtliche Beschwerde beim Kurul sind nicht derselbe Weg.
Welche ersten Schritte kommen bei Verdacht auf eine Verletzung personenbezogener Daten in Betracht?
Bei Verdacht auf eine Datenschutzverletzung wird zunächst der Umfang des Vorfalls bestimmt, es werden technische Sicherheitsmaßnahmen ergriffen und die Meldepflicht nach dem KVKK umgehend geprüft.
In Artikel 12 Absatz 5 KVKK und im Beschluss Nr. 2019/10 des Kurul wurde der Grundsatz festgelegt, dass die Meldung an das Kurul, wenn Dritte Daten auf unrechtmäßigem Weg erlangen, unverzüglich und spätestens innerhalb von 72 Stunden nach Kenntniserlangung zu erfolgen hat. Auch die betroffenen Personen werden den Umständen entsprechend informiert. Zu dokumentieren sind, welche Daten betroffen waren, wie der Angriff erfolgte, der Zeitpunkt der Feststellung, die Zugriffsprotokolle, die ergriffenen Maßnahmen und ob die Verletzung andauert. Das Vertuschen des Vorfalls oder das unüberlegte Löschen von Aufzeichnungen erschwert sowohl die technische Untersuchung als auch die Verteidigung. Nicht jeder Sicherheitsvorfall muss im gleichen Umfang eine Datenschutzverletzung darstellen; es ist eine konkrete rechtliche Einordnung vorzunehmen.
Wird ein Antrag auf Löschung personenbezogener Daten in jedem Fall angenommen?
Nein; sind die Verarbeitungsvoraussetzungen entfallen, kommen Löschung, Vernichtung oder Anonymisierung in Betracht.
Nach Artikel 7 KVKK und der einschlägigen Verordnung werden Aufbewahrungspflichten, der Nachweis einer Rechtsstreitigkeit und die Gründe der Verarbeitung personenbezogener Daten gesondert geprüft. Der Verantwortliche muss eine begründete Antwort erteilen und die Rechtsbehelfswege mitteilen.
Darf der Arbeitgeber die dienstlichen E-Mails der Beschäftigten nach Belieben lesen?
Nein; es bestehen Grenzen des berechtigten Zwecks, der Information, der Erforderlichkeit und der Verhältnismäßigkeit.
Die E-Mail-Richtlinie des Betriebs, die dem Beschäftigten vorab erteilte Information, der Umfang der Kontrolle und weniger eingreifende Alternativen werden geprüft. Das Fernmeldegeheimnis und der Schutz personenbezogener Daten sind gemeinsam zu beachten.
Kann eine Beschwerde nach dem KVKK zuerst unmittelbar beim Kurul erhoben werden?
In der Regel ist zunächst ein Antrag an den Verantwortlichen erforderlich.
Die in Artikel 14 KVKK vorgesehenen Beschwerdefristen von dreißig und sechzig Tagen, die auf die Antwort oder das Ausbleiben einer Antwort des Verantwortlichen folgen, werden gesondert berechnet. Die Nachweise über Absendung und Zustellung des Antrags sollten aufbewahrt werden.