Antworten auf die wichtigsten Fragen zur DSGVO – Teil 3

In dem letzten Teil unserer Serie zu den wichtigsten DSGVO-Fragen beschäftigen wir uns u.a. mit den Auswirkungen auf öffentliche Organisationen sowie kleineren und mittelständischen Unternehmen (KMUs). Außerdem geht es um spezielle Datenkategorien, wie die von Minderjährigen.

Wie verarbeite ich sensible Daten und Informationen über Minderjährige?

Beide Datentypen sind speziell und müssen auch dementsprechend behandelt werden. Bei der Verarbeitung der Daten müssen Unternehmen auf einige zusätzliche Pflichten achten.

Persönliche Daten von Minderjährigen

Wenn auch Daten von Kindern und Jugendlichen erhoben werden und eine Einwilligung erforderlich ist, müssen Unternehmen die folgenden zwei Dinge beachten:

• ein Mechanismus zur Verifizierung des Alters sollte implementiert sein
• Bei Kindern unter 16 Jahren ist die Einwilligung nur durch Zustimmung der Eltern gültig oder wenn die Einwilligung direkt von Ihnen erteilt wird

Zusätzlich sollten die Informationen zum Consent- und anderen Formularen so formuliert sein, dass Kinder sie verstehen können.

Besondere Kategorien personenbezogener Daten und ausdrückliche Einwilligung

Die DSGVO beschreibt besondere Datenkategorien in Artikel 9.1 wie folgt:

Wenn Sie diese Datenkategorien speichern und verarbeiten wollen, müssen Sie die Nutzung mit einer der neun Bedingungen aus Artikel 9.2 legitimieren. Eine der Bedingungen, unter der die Datennutzung erlaubt ist, ist die ausdrückliche Einwilligung der betroffenen Person. Dies dürfte den einfachsten Weg darstellen, die Verarbeitung dieser Datenkategorie für Marketingzwecke zu legitimieren.

Ausdrückliche Einwilligungen spiegeln im Prinzip die DSGVO Standard-Anforderungen für die Einholung von Einwilligungen wider. Sie unterscheiden sich nur dahingehend, dass kein Raum für Missinterpretationen bleiben darf. Zudem sollte sich eine ausdrückliche Einwilligung ausschließlich auf den Teil der Datenverarbeitung beziehen, der eine solche Einwilligung erfordert.

Sie sollten keine ausdrückliche Einwilligung anstreben, wenn es andere gesetzeskonforme Möglichkeiten für die Datenerhebung gibt. Beispielsweise können Sie Daten ohne Einwilligung speichern, wenn sie notwendig sind für:

• einen Vertrag mit der betroffenen Person
• Konformität zu einer gesetzlichen Verpflichtung
• ein grundlegendes Interesse
• eine öffentliche Aufgabe
• legitimiertes Interesse

Wie wirkt sich die DSGVO auf kleine und mittelständische Unternehmen (KMU) aus?

Alle Unternehmen, die persönliche Informationen sammeln und verarbeiten haben größtenteils die gleichen Auflagen und müssen die gleichen Datenschutzrichtlinien einhalten. Kleine und mittelständische Unternehmen sind Großunternehmen somit gleichgestellt und müssen DSGVO-konform agieren.

In Erwägungsgrund 13 nimmt das neue Gesetz allerdings in Teilen Rücksicht auf mittlere, kleine und Kleinstunternehmen:

Leider kann man zur Zeit noch nicht genau beurteilen, wie die Mitgliedstaaten mit dem Thema umgehen werden.

DSGVO & Human Resources: Wie wirkt sich die DSGVO auf Mitarbeiterdaten aus?

Wie bekannt, bezieht sich die DSGVO auf alle persönlichen Daten – inklusive die der Mitarbeiter. Wichtig für Arbeitgeber ist hier, dass Einwilligungen in dem meisten Fällen nicht als rechtliche Grundlage verwendet werden können, wenn es um die Speicherung der Daten von ihren Angestellten geht.

Erwägungsgrund 43 erklärt diesbezüglich:

Auch die Art.29-Datenschutzgruppe verweist auf das Risiko, dass eine Einwilligung durch das Machtungleichgewicht zwischen Arbeitgeber und Arbeitnehmer nicht unbedingt freiwillig abgegeben wird.

Problematisch ist dies allerdings nicht. Unternehmen können sich einfach auf eine der anderen rechtlichen Grundlagen berufen, um persönliche HR-Daten zu verarbeiten. Hier bietet sich beispielsweise eine vertragliche Notwendigkeit, eine gesetzliche Verpflichtung oder ein legitimes Interesse durch den Arbeitgeber an.

Wie wirkt sich die DSGVO auf den Finanz- und Bankensektor aus?

Die Auswirkungen der DSGVO auf die Finanzbranche sind sehr komplex, deshalb berichten wir darüber in einem separaten Artikel auf unserem Blog:
“Welchen Einfluss hat die neue EU-DSGVO auf den Banken- und Finanzsektor?“

Sind Stiftungen und ehrenamtliche Vereine betroffen?

Stiftungen und ehrenamtlich arbeitende Organisationen sind auch von der DSGVO betroffen. Das Gesetz betont, dass Datenverarbeiter und Datenverantwortliche sich unabhängig von ihrer Organisation an die Auflagen halten müssen. Daher müssen auch Wohltätigkeitsvereine, Stiftungen und Ehrenamtliche sicherstellen, dass sie Ihre Nutzerdaten konform zur DSGVO speichern, verwalten und verarbeiten.

Sind Regierungen und öffentliche Einrichtungen wie Schulen betroffen?

Auch für Regierungen und öffentliche Einrichtungen wird keine Ausnahmen gemacht. Alle Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, sind von der DSGVO betroffen. Größe, Standort und Art des Geschäfts spielen keine Rolle.

Fazit

Wir hoffen, dass unsere 3-teilige Blogartikel-Serie über die wichtigsten Fragen zur DSGVO dazu beigetragen hat, dass Sie ein besseres Verständnis über die neuen Regelungen bekommen haben.