II - DV-grundsätze

Verantwortliche muss Einhaltung der Grundsätze nachweisen können

auch bei Auslagerung der Datenverarbeitung

Umfang nicht definiert

kein zeitlicher Umfang geregelt aber mindestens 3 Jahre sinnvoll

nicht jeder Verstoß gegen DSGVO ist Verletzung des Grundsatz der Rechtmäßigkeit

Datenverarbeitung muss auf Rechtgrundlage zurückgeführt werden z.B.:

• Vertrag

• Einwilligung der betroffenen Person

• Gestz, dass zur Datenverarbeitung verpflichtet

• Datenverarbeitung zum Schutz lebensiwchtiger Interessen

• Überwiegende Interessen des Verantwortlichen

erfasst Situationen indem betroffene Person benachteiligt wird wegen unausgeglichen Kräfteverhältnis zwischen betroffener Person und Verantwortlichen

• schließt vor allem heimliche Datenverarbeitung aus

Schutz vor heimlicher Datenverarbeitung

• Umfang der Datenverarbeitung

• Identität des Verantwortlichen

• Zweck der Verarbeitung

• Rechte der betroffenen Person

• Risiken

alle Informationen sollten leicht zugänglich, verständlich und in klarer einfacher Sprache verfasst sein

Datenverarbeitung nur zum vorher festgelegten Zweck

Datenverarbeitung pbD zu anderem Zweck zulässig für:

• Abwehr von Gefahren

• staatliche oder öffentliche Sicherheit

• Verfolgung von Straftaten

Datenverarbeitung ist angemessen, wenn sie Bezug zum Verarbeitungszweck hat

Datenverarbeitung ist erheblich wenn ihre Verarbeitung geeignet ist den Zweck zu fördern

Identifizierung betroffener Personen soll nur so lange möglich sein, wie es für die Verarbeitung der Daten erforderlich ist

PbD müssen danach gelöscht werden

Aufbewahrungsfristen und Verjährungsfristen bestimmen Grundsatz der Speicherbegrenzung

Gespeicherte Informationen müssen mit Realität übereinstimmen

muss nur im Hinblick auf die Zwecke der Verarbeitung gegeben sein

gewährleistet angemessene Sicherheit der pbD in technischer und organisatorischer Hinsicht

• Stand der Technik ist maßgeblich

• Schutzrichtungen:

  • unbefugte Verarbeitung

  • unrechtmäßige Verarbeitung

  • unbeabsichtigte Beinsträchtigungen

• mögliche technische Maßnahmen:

  • Umzäunung des Gebäudes

  • Sicherung von Türen und Fenstern

  • Verschlüsselung

  • Logging

  • Vorgaben für Passwortvergabe

  • Benutzeridentifikation

• mögliche organisatorische Maßnahmen

  • Mitarbeiterschulung

  • Vertraulichkeitsverpflichtung der Mitarbeiter

  • Vier-Augen-Prinzip

  • Clean-Desk-Policy

  • Pflicht zur Besucheranmeldung