FAQ zur EU-Datenschutzgrundverordnung I
Welches Ziel verfolgt der gesetzliche Datenschutz?
Wie schon bisher beim Bundesdatenschutzgesetz geht es im Wesentlichen darum, dass die bei einem Unternehmen vorhandenen Daten natürlicher Personen nicht in die Hände unbefugter Dritter gelangen. Datenschutz meint also alle Vorkehrungen organisatorischer oder technischer Natur vor einem unberechtigten Zugriff auf Daten, die das Unternehmen/der Unternehmer eigentlich nur für seine Zwecke mit der entsprechenden Berechtigung gespeichert hat.
Wann muss ein Wohnhandwerker einen Datenschutzbeauftragten benennen?
Wenn im Betrieb mehr als neun Personen mit der automatisierten Verarbeitung von Daten natürlicher Personen befasst sind. Es spielt keine Rolle, ob die betreffenden Personen geringfügig, in Teilzeit oder in Vollzeit beschäftigt sind. Nicht unter „Datenverarbeitung“ fällt die bloße Kenntnisnahme von Kundendaten. Wenn Mitarbeiter in der Arbeitsvorbereitung einen Kundenauftrag bearbeiten und zum Beispiel einen Schrank planen oder Mitarbeiter zur Montage des gleichen Schrankes die Kundenadresse erhalten, handelt es sich nicht um Datenverarbeitung im Sinne des Gesetzes. Etwas anderes gilt, wenn die gleichen Mitarbeiter, also der Meister in der Arbeitsvorbereitung oder der Leiter der Montage, Zugriff haben auf die Kundendaten aus der Buchhaltung. Wenn diese Arbeitsprozesse oder „Datenkreise“ nicht getrennt sind und jeder Mitarbeiter ohne weiteres die Kundendaten auslesen kann, muss von einer Datenverarbeitung ausgegangen werden. Das gilt auch dann, wenn der betreffende Mitarbeiter die Daten des Kunden selbst nicht verändern kann (also keine Schreib-, sondern nur Leserechte hat)!
In der Regel werden also bei der Berechnung der Personenzahl die kaufmännischen Mitarbeiter relevant sein einschließlich der Inhaber! Gewerbliche Mitarbeiter in der Werkstatt oder auf der Baustelle zählen nicht dazu!
Wann darf man Daten überhaupt verarbeiten bzw. nutzen?
Dies ist nur zulässig, wenn eine Einwilligung des Betroffenen vorliegt oder durch eine gesetzliche Vorschrift erlaubt wird. Allerdings muss es sich immer um die Daten einer natürlichen Person handeln. Unternehmensdaten fallen nicht unter die Datenschutz Grundverordnung!
Wann liegt eine gesetzliche Erlaubnis vor?
Am relevantesten ist sicherlich der gesamte Bereich des Vertragsrechts, also die Anbahnung eines Vertrages oder dessen Erfüllung oder sich daran anschließende weitere Werbemaßnahmen. Wirbt man per E-Mail, bedarf es immer der Einwilligung des Vertragspartners, sofern es sich bei diesem um einen Verbraucher/natürliche Person handelt. Andere Formen der Direktwerbung sind aber auch dort zulässig.
Welche Anforderungen muss eine Einwilligung erfüllen?
Die Einwilligung darf nicht unter Druck oder Zwang zustande kommen. Es genügt die Textform. Dabei ist der jeweils Einwilligende auf sein jederzeitiges Widerrufsrecht hinzuweisen. Es versteht sich von selbst, dass der Einwilligungsempfänger seine Identität, den Umfang der erhobenen Daten und den Zweck seiner Datenerhebung offen legen muss. Die Einwilligungserklärung sollte optisch hervorgehoben sein und muss aktiv erfolgen, zum Beispiel durch das Anklicken eines entsprechenden Kästchens auf einer Internetseite. Die spezielle Einwilligung ist jedoch ausdrücklich nicht erforderlich, wenn die Daten des Kunden für die Abwicklung eines Vertrages mit ihm ohnehin erfasst werden!
Was verbirgt sich hinter Auftragsbearbeitung?
Der Begriff ist etwas missverständlich. Es geht nicht um den Auftrag, den der Wohnhandwerker von seinem Kunden erhält. Vielmehr geht es darum, dass ein Wohnhandwerker die Datenverarbeitung durch einen Dienstleister vornehmen lässt, etwa die Lohn- oder Finanzbuchhaltung durch einen Steuerberater. Dann sollte in Textform eine vertragliche Regelung zwischen dem Auftragsverarbeiter (z. B. Steuerberater) und dem Wohnhandwerker bestehen hinsichtlich des Inhaltes des Auftrags, dessen Dauer und der organisatorischen Zusammenhänge. Vor allem hat natürlich der betreffende Dienstleister das Datenschutzgeheimnis zu wahren und Weisungen seines Auftraggebers, also des Wohnhandwerkers, gerade auch in dieser Hinsicht Folge zu leisten. Wird ein anderer externer Dienstleister eingeschaltet etwa als Systemadministrator für die EDV oder für die Fernwartung der CNC-Maschine genügt eine einfache Verschwiegenheitserklärung.Eine entsprechende Erklärung sollte auch von jedem Mitarbeiter vorliegen, der Kontakt hat mit den Daten natürlicher Personen, in der Regel also der Kunden. Ist eine Verschwiegenheitserklärung nicht ohnehin schon Teil des Arbeitsvertrags, sollte eine entsprechende Erklärung zusätzlich schriftlich erfolgen.
Wie muss sich der Wohnhandwerker gegenüber der natürlichen Person verhalten, von der die Daten erhoben werden?
Der Wohnhandwerker muss auf ein Ersuchen hin Auskunft erteilen über die gespeicherten Daten, insbesondere seines Kunden. In aller Regel wird es sich um die normalen Kontaktdaten der betreffenden Person handeln wie Name, Adresse und Bankverbindung. Vor allem soll auch angegeben werden, wie lange die Daten gespeichert werden. Dies wird vor allem abhängig sein davon, aus welchen anderen Gründen der Wohnhandwerker verpflichtet ist, Daten vorzuhalten im Hinblick auf seine Pflichten aus kaufmännischer bzw. steuerlicher Sicht.
Was hat es mit den sogenannten Dokumentationspflichten auf sich?
Jeder Wohnhandwerker, der personenbezogene Daten verarbeitet, ist verpflichtet, seine sämtlichen Verarbeitungsprozesse im sogenannten Verzeichnis von Verarbeitungstätigkeiten zu dokumentieren. Dieses Verarbeitungsverzeichnis muss enthalten die genauen Angaben zum Betrieb und seiner eventuellen gesetzlichen Vertreter, den Zweck der Verarbeitung, die Unterscheidung von Kategorien verschiedener betroffener Personen (Kunden, Zulieferer, Mitarbeiter…), Beschreibung der Kategorien personenbezogener Daten (gibt es besonders sensible Daten etwa von Mitarbeitern), eine Darstellung, an wen die Daten gegebenenfalls weitergegeben werden (zum Beispiel Creditreform), die Fristen für die Löschung von Daten und eine Beschreibung der technischen und organisatorischen Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Trennung der Daten verschiedener Personenkategorien. Wichtig: Der Aufsichtsbehörde müssen die Verzeichnisse der Verarbeitungstätigkeiten auf Anfrage zur Verfügung gestellt werden. Zugleich ist aber die bisherige Regelung im BDSG, welche ein allgemeines öffentliches Verfahrensverzeichnis mit einem Einsichtsrecht für jedermann vorsah, entfallen!
Muster für Verarbeitungsverzeichnis usw. unter www.schreiner.saarland
Weitere Infos unter: www.bfdi.de und www.datenschutz.saarland.de
Siehe auch die zahlreichen Dokumente unter
https://datenschutz.saarland.de/ds-grundverordnung/kurzpapiere/