Compliance - 6-Schritte-Methode der CNIL
Die französische Datenschutzbehörde (CNIL) hat am 15.3.2017 die "methodologie en 6 etapes" (6-Schritte-Methode, 6 steps methodology) veröffentlicht.
Die französische Datenschutzbehörde CNIL hat am 15.3.2017 eine 6-Schritte-Methode zur Vorbereitung auf die DSGVO veröffentlicht. Diese soll es Unternehmen ermöglichen, sich rechtzeitig auf die Verpflichtungen und Vorgaben der DSGVO vorzubereiten, und die Vorgaben korrekt umzusetzen.
Dieser „Fahrplan“ stellt eine (inoffizielle) Übersetzung und Zusammenfassung der Veröffentlichung der CNIL dar; die Übersetzung wurde mit Links zu www.dataprotect.at versehen.
Die „methodologie en 6 etapes“ („6-Schritte-Methode“) umfasst:
Datenschutzbeauftragen bestellen („Désigner un pilote“)
Datenstruktur erheben („Cartographer“)
Maßnahmen priorisieren („Prioriser“)
Risiko managen („Gerer le risques“)
Organisieren („Organiser“)
Dokumentieren („Documenter“)
Schritt 1: Datenschutzbeauftragen bestellen („Désigner un pilote“)
Es wird empfohlen eine verantwortliche Person (als DSB) zu benennen, die Informations-, Beratungs- und Kontrollaufgaben wahrnimmt.
Die verantwortliche Person soll die Compliance mit der DSGVO sicherstellen.
Auch wenn das Unternehmen nicht verpflichtet sein sollte (nach Art. 37 DSGVO) einen DSB zu bestellen, sei es sinnvoll, jemanden zu benennen, der als verantwortliche Person tätig ist.
Die verantwortliche Person soll als „Pilot“ die Umsetzung der Verpflichtungen der DSGVO auf Basis einer Verpflichtungserklärung ermöglichen, und das Unternehmen hat ihm/ihr die notwendigen Ressourcen zur Verfügung zu stellen.
Anmerkung:
Auch wenn ein DSB nicht verpflichtend zu bestellen ist, sollte sich die Organisation damit auseinandersetzen und dokumentieren, aus welchen Überlegungen kein DSB (verpflichtend) Bestellt werden muss.
Der "Pilot" sollte mE nicht "Datenschutzbeauftragter" genannt werden.
Schritt 2: Datenstruktur erheben („Cartographer“)
In diesem Schritt soll die Organisation die Daten im Detail identifizieren, und zwar in der Form, dass ein Verzeichnis von Verarbeitungstätigkeiten iSd Art 30 DSGVO erstellt wird.
Es ist eine umfassende Dokumentation der Datenverarbeitungen notwendig, die in ein Verzeichnis von Verarbeitungstätigkeiten aufgenommen wird. Die CNIL hat eine Vorlage für ein Verzeichnis von Verarbeitungstätigkeiten entwickelt.
Zum nächsten Schritt können Organisationen übergehen, wenn
Auftragsdatenverarbeiter, die in die Verarbeitungsaktivitäten involviert sind, identifiziert habenund wissen, dass ihre (personenbezogenen) Daten übermittelt werden und an wen, und wo und wie lange die Daten gespeichert werden.
Schritt 3: Maßnahmen priorisieren („Prioriser“)
Nach Erstellung des Verzeichnis von Verarbeitungstätigkeiten ist es notwendig, die Maßnahmen zu definieren, die erforderlich sind, um die Compliance mit der geltenden Rechtslage und der DSGVO herzustellen. Diese Maßnahmenfestlegung erfolgt unter Berücksichtigung der Risken in Bezug auf die Rechte und Freiheiten der betroffenen Personen.
Folgende Maßnahmen sind durchzuführen bzw. Prinzipien einzuhalten:
Datenminimierung, sohin Sicherstellung, dass nur die personenbezogenen Daten erhoben und in der Folge verarbeitet werden, die zur Erfüllung des Zweckes der Datenverarbeitung notwendig sind.Festlegung der Rechtsgrundlage der Verarbeitung der personenbezogenen DatenReview der bestehenden Datenschutzerklärungen, um sicherzustellen, dass diese den Anforderungen der DSGVO entsprechenPrüfung, ob alle Lieferanten / Auftragsdatenverarbeiter mit den neuen Aufgaben und Verpflichtungen der DSGVO vertraut sind und dass angemessene Datenschutzklauseln in den Vereinbarungen enthalten sindFestlegung von Prozessabläufen bei Ausübung der Rechte einer betroffenen PersonPrüfung, ob Datensicherheitsmaßnahmen implementiert sind
Schritt 4: Risiko managen („Gerer le risques“)
Wenn sich während der bisherigen Schritte herausgestellt hat, dass eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben kann, dann ist eine Datenschutz-Folgenabschätzung
iSd Art. 35 DSGVO durchzuführen.
Mehr zur Datenschutz-Folgenabschätzung finden sie auf dataprotect.at.
Schritt 5: Organisieren („Organiser“)
In diesem Schritt müssen die Organisationen Prozesse festlegen, die es gewährleisten, dass jederzeit während der Laufzeit einer Datenverarbeitung unter Berücksichtigung aller möglichen Ereignisse (z.B. Sicherheitsverletzungen, Anfragen von betroffenen Personen, Veränderungen der erhobenen Daten, Veränderungen bei Lieferanten etc…) der Schutz der personenbezogenen Daten gegeben ist.
Im Einzelnen erfordert dies:
-
Berücksichtigung von Datenschutzprinzipien bei der Einführung einer Verarbeitung oder Verarbeitungstätigkeit.
-
Erhöhung des Bewusstseins von Mitarbeitern und Sicherstellung, dass
datenschutzrelevante Informationen zu den korrekten Ansprechpartnern kommen (Training, Kommunikations-leitlinien etc…)
-
Richtlinien zur Behandlung von Datenschutzanfragen
- Antizipieren von Datenschutzverletzungen und Sicherstellung, dass Data Breach Notifications durchgeführt werden können, und auch die Zeitlimits (z.B. 72 Stunden) eingehalten werden können, wobei die CNIL angibt, dass es ein Online-Meldesystem geben wird
Schritt 6: Dokumentieren („Documenter“)
Für den letzten Schritt ist es notwendig, dass die Organisationen die datenschutzrechtliche Dokumentation zusammenstellen und aufbereiten.
Die Compliance-Aktivitäten und die Dokumente, die in jedem Schritt erstellt werden, müssen in periodischen Abständen geprüft und angepasst werden, um den kontinuierlichen Datenschutz zu gewährleisten.
Im Einzelnen enthält diese Dokumentation:
- Verzeichnis von Verarbeitungstätigkeiten iSd Art. 30 DSGVO
- Datenschutz-Folgenabschätzungen für Verarbeitungen mit hohen Risken oder die Dokumentation, weshalb keine hohen Risken gegeben sind.
- Dokumentation zu den Mechanismen der Datenübermittlungen (z.B. Standardvertragsklauseln, Binding Corporate Rules, Zertifizierungen, sofern anwendbar)
- Datenschutzerklärungen
- Formulare für die Einwilligungserklärungen von betroffenen Personen, und auch Nachweise, dass die betroffenen Personen die Einwilligung gegeben haben, in den Fällen, in denen die Einwilligung die Rechtsgrundlage darstellt.
- Prozesse, die implementiert wurden, um sicherzustellen, dass betroffene Personen ihre Rechte ausüben können;
- Vereinbarungen mit Lieferanten und Auftragsdatenverarbeitern; und
- Interne Prozesse nach einer Datenschutzverletzung (inkl. Data Breach Notification)
EuGH bestätigt parallelen Rechtsschutz im Datenschutzrecht: Zivilgerichte und Aufsichtsbehörden können parallel angerufen werden
BVwG: Unzuständigkeit der DSB bei Auskunftsanfrage an rein italienische Rechtsanwaltskanzlei
DSB: Telefonische Auskunft an einen Dienstgeber zur Gesundheitsvorsorge rechtmäßig
DSB: Weiterleitung privater Social-Media-Nachrichten an Dritteohne Zustimmung rechtswidrig
BVwG: Weitergabe von Vermögensbekenntnis an Mandant rechtmäßig
BVwG: Weitergabe an Mandant rechtmäßig | dataprotect.at
Rechtssatz
Die Weitergabe von Unterlagen eines Prozessbeteiligten durch einen Rechtsanwalt an seinen Mandanten zur Wahrung des rechtlichen Gehörs im Zivilverfahren verstößt nicht gegen das Recht auf Geheimhaltung nach der DSGVO.
Sachverhalt
Der Kläger eines Amtshaftungsverfahrens wurde vom Gericht aufgefordert, ein Vermögensverzeichnis mit Beilagen einzureichen, da ihm Verfahrenshilfe gewährt worden war.
Der Rechtsanwalt der beklagten Partei erhielt diese Unterlagen vom Gericht zur allfälligen Äußerung und leitete sie an seinen Mandanten weiter.
Der Kläger beschwerte sich bei der Datenschutzbehörde und behauptete, die Unterlagen wären ohne Berechtigung an nicht am Verfahren beteiligte Dritte weitergegeben worden.
Die Datenschutzbehörde wies die Beschwerde ab; der Kläger erhob Bescheidbeschwerde beim Bundesverwaltungsgericht.
Rechtliche Begründung
Das BVwG bestätigte die Datenschutzbehörde.
Zunächst wurde festgestellt, dass die Weiterleitung an Dritte nicht nachgewiesen wurde – der Kläger konnte seine entsprechenden Vorwürfe nicht substantiiert darlegen. Soweit die Unterlagen an die beklagte Partei (vertreten durch ihren Rechtsanwalt) weitergeleitet wurden, war dies rechtmäßig.
Das Recht auf faires Verfahren nach Art. 6 EMRK gebietet, dass die Parteien eines Zivilverfahrens Kenntnis von vorgelegten Beweisen und Unterlagen nehmen und sich dazu äußern können (rechtliches Gehör). Der Rechtsanwalt ist gemäß § 9 RAO befugt, alles zur Vertretung seiner Partei Dienliche vorzubringen. Die Datenverarbeitung war nach Art. 6 Abs. 1 lit. f DSGVO durch das berechtigte Interesse an der Verteidigung von Rechtsansprüchen gerechtfertigt. Der Kläger konnte keine überw iegenden eigenen Interessen nachweisen.
Fazit
Das BVwG bestätigte, dass ein Rechtsanwalt Unterlagen, die ihm vom Gericht zur Wahrung des rechtlichen Gehörs seines Mandanten übermittelt wurden, an diesen weitergeben darf, ohne gegen datenschutzrechtliche Bestimmungen zu verstoßen. Dies ist eine Anwendung des DSGVO-Grundsatzes der verhältnismäßigen Datenverarbeitung im Kontext der Rechtsverteidigung. Die Entscheidung unterstreicht das Spannungsverhältnis zwischen Datenschutz und Verfahrensgerechtigkeit zugunsten des fairen Verfahrens.
Was bedeutet das für Verantwortliche?
Rechtsanwälte und Prozessparteien sollten beachten:
(1) Die Weitergabe von Unterlagen an den eigenen Mandanten zu Verteidigungszwecken ist regelmäßig zulässig, wenn diese vom Gericht zur Äußerung vorgelegt wurden.
(2) Der Grundsatz des rechtlichen Gehörs schützt diese Praxis unter Umständen verfassungsrechtlich ab.
(3) Wer eine Datenschutzverletzung rügen möchte, muss substanziiert darlegen, an wen Daten weitergeleitet wurden – bloße Behauptungen genügen nicht.
(4) Geschäftsführer und Datenschutzbeauftragte sollten Rechtsanwälte instruieren, dass Weitergaben an nur den Mandanten begrenzt bleiben und über weitere Empfänger dokumentiert werden.
Originalentscheidung: https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bvwg&Dokumentnummer=BVWGT_20260506_W292_2320281_1_00
Inkassoinstitute - Forderungsbetreibung - Datenschutz - Inkassobüros sind Verantwortliche und zur Datenverarbeitung von Schuldnerdaten berechtigt
BVwG: Heimliche Gesprächsaufzeichnung ohne Einwilligung verletzt Geheimhaltungsrecht
Pseudonyme in öffentlichen Foren: Wann gelten Gesundheitsdaten als "öffentlich gemacht"?
Deep-Fakes - erste Entscheidung des OLG Wien zur Bildern - Kennzeichnung als KI-generiert hilft
Jobangebot mit den historischen Gehaltsdaten an ehemalige Mitarbeiter:innen - datenschutzrechtlich unzulässig
BVwG zur unzulässigen Datenübermittlung in ein Drittland
Datenübermittlung in die USA (vor EU-US-DPF):
BVwG bestätigt Verletzung von Art. 44 DSGVO
