Muss ich meine Datenschutz-Folgenabschätzung (DSFA) auf Anfrage herausgeben?

In bestimmten Fällen sieht Art. 35 DSGVO die Durchführung einer Datenschutz-Folgenabschätzung (DSFA) zwingend vor. In diesem Kontext wurde hier eine Frage gestellt: Die Frage Wenn ich eine Datenschutz-Folgenabschätzung erstellt habe, muss bzw. sollte ich sie interessierten Personen (deren Daten ich verarbeiten will) zur Verfügung stellen? Meine Antwort Nein!Der Auskunftsanspruch von Betroffenen ist in Art. 15…

Auskunftsanspruch: Muss automatisch eine Kopie der Daten gesendet werden?

Das Recht aus Auskunft des Art. 15 DSGVO gehört sicher zu den Themen, die für viel Diskussion und Streit (auch vor Gerichten) sorgen. Passend dazu erreichte mich diese Frage: Die Frage Ist das Recht auf Erhalt einer Kopie gem. Art. 15 Abs 3 DSGVO automatisch bei Stellung eines Auskunftsantrags zu erfüllen oder bedarf es eines…

Müssen Auftragsverarbeitungsverträge in Unternehmensgruppen einzeln abgeschlossen werden?

Eine Frage, die recht häufig von Mandantinnen gestellt wird, ist hier „eingetrudelt“. Und da passt es ganz gut, diese einmal „generell“ zu beantworten: Die Frage Reicht es aus, einen Vertrag mit einer Konzerngesellschaft (GmbH) zu schließen oder muss dies mit jeder Konzerngesellschaft (GmbH) der Unternehmensgruppe gemacht werden, von der man Leistungen/Beratung für die eigenen Kunden…

Der „Do Not Track“-Header als Standardauswahl für die Nichtanzeige von Cookie-Bannern

Eine spezifische und kurze Frage zum „Do Not Track“ (DNT)-Header wurde über das Fragenformular gestellt: Die Frage In Borlabs Cookies gibt es die Option, Nutzern, die die Option “Do not track” voreingestellt haben, die Dialogbox “zu ersparen” und einfach von “Nein” auszugehen – also nur unbedingt erforderliche Cookies – zuzulassen. Ist dieser stillschweigende Dissens rechtens?…

|

Fallen Daten von Beschäftigten von Kunden in den Anwendungsbereich der DSGVO?

Über das Fragenformular kam mal wieder eine schöne Frage hier auf den Schreibtisch „geflogen“. Die lautete wie folgt: Die Frage Eine Aufsichtsbehörde hat mir gegenüber geäußert, dass Mitarbeiterdaten von Kunden (juristische Personen) nicht unter die DSGVO fallen, da diese nur für natürliche Personen gilt. Bisher war ich der Meinung, dass die Daten von Mitarbeiterinnen und…

Wer muss Teilnehmende an Online-Meetings über den „Datenschutz“ informieren und wie mache ich das?

Neulich wurde über das Fragenformular für Datenschutz-Coaching-Mitglieder diese Frage gestellt: Konferenzteilnehmer an Online-Meetings sollten ja zuvor über die damit verbundene Verarbeitung personenbezogener Daten informiert werden. Ist dafür jeweils derjenige, der das Meeting initiiert, verantwortlich? Oder wie ist es, wenn unsere MA dazu eingeladen werden, z. B. von Kunden? Kann man die Datenschutzhinweise zu diversen eingesetzten…

„Ein“ Internetauftritt von mehreren Verantwortlichen

Es wird häufiger gefragt, wie es eigentlich damit aussieht, wenn mehrere Unternehmen gemeinsam eine Internetseite betreiben wollen. Das kommt häufig z.B. in Unternehmensgruppen vor, in denen z.B. rechtlich selbstständige Tochterunternehmen die Internetseiten des Mutterunternehmens nutzen, um sich zu präsentieren. Wenn es dann über reine Informationen hinausgeht, sondern sich die Inhalte so darstellen, dass sie wie…

|

Schriftformerfordernis beim Auftragsverarbeitungsvertrag?

Häufiger kommen Fragen von Datenschutz-Coaching-Mitgliedern, die sich auf die erforderliche „Form“ des Abschlusses von Auftragsverarbeitungsverträgen beziehen. Dazu gehört auch diese Frage: Unternehmen mit einer Vielzahl von Kunden, stellen einen Auftragsverarbeitungsvertrag als Download bereit, der zum Teil bereits unterschrieben ist oder überhaupt keine Unterschrift enthält. Im eigenen Account steht dann nur, dass der Vertrag (mit Datum)…

Verarbeitung von Corona-Virus-Infos zu Beschäftigten ins Verarbeitungsverzeichnis?

Verarbeitung von Corona-Virus-Infos zu Beschäftigten ins Verarbeitungsverzeichnis?

Über das Corona-Virus-Fragenformular ist diese Frage hereingekommen: Muss ich für die Corona Thematik wie z.B. die Datenerfassung "Erkrankte Mitarbeiter" als separate Verarbeitung im Verarbeitungsverzeichnis führen? Wie ist der Zweck, die Rechtsgrundlage, die Löschfristen etc.? Meine Antwort Das ist eine sehr schöne Frage. Ich würde vermuten, dass das Meinungsbild der Datenschutzrechtler zu dieser Frage sehr uneinheitlich…

Fragen & Antworten zu Datenschutz & Arbeitsrecht in Zeiten des Corona-Virus
|

Fragen & Antworten zu Datenschutz & Arbeitsrecht in Zeiten des Corona-Virus

In der heutigen Podcast-Episode geht es um die Beantwortung von Fragen, die über das der Corona-Virus-Fragenformular hier eingegangen sind. Einige der eingegangenen Fragen zielen auf das Arbeitsrecht ab. Da ich kein Arbeitsrechtler bin und hier nicht gefährliches Halb- oder 2/3-Wissen kundtun möchte, habe ich mir in diesem Podcast Verstärkung dazugeholt. Und zwar hat sich der…

Auftragsverarbeitung: Erweiterung des Gegenstands der Verarbeitung

Auftragsverarbeitung: Erweiterung des Gegenstands der Verarbeitung

Im Rahmen der Corona-Virus-Fragen ist diese Frage aufgekommen: Mit unserem IT-Dienstleister haben wir einen Auftragsverarbeitungsvertrag zu Fernwartung, Nutzereinrichtung, Hardwarebereitstellung usw. geschlossen. Normalerweise erhalten neue Mitarbeiter während des Onboardings die entsprechende Hardware. Neue Mitarbeiter werden in diesen Tagen nicht persönlich in Empfang genommen und sollen daher die Hardware per Post direkt von unserem IT-Dienstleister erhalten. Nun…

Darf das Finanzamt bei einer Betriebsprüfung die Patientendaten einsehen?
|

Darf das Finanzamt bei einer Betriebsprüfung die Patientendaten einsehen?

Hier kommt wieder eine schöne Frage, die bei einem Datenschutz-Coaching-Mitglied entstanden ist: Die Frage Meine Frage zu Prüfungen durch das Finanzamt in einer Praxis für Krankengymnastik: Dürfen Prüfer die Patientenkartei und/oder die dort befindlichen Rezepte einsehen, um z. B. Termine und Abrechnungen zu vergleichen? Auf den Karteien befinden sich neben den Patientendaten auch Diagnoseschlüssel und…