Guidelines der Aufsichtsbehörden

Übersicht

Leitlinien des europäischen Datenschutzausschusses (EDPB)

https://edpb.europa.eu/edpb_de

Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679

Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation 2016/679

Endorsement of GDPR WP29 Documents

Leitlinien der Art. 29-Datenschutz-Gruppe

Die Artikel-29-Datenschutzgruppe, ist ein unabhängiges Gremium der Europäischen Kommission. Seit 2016 veröffentlicht die Gruppe regelmäßig Leitlinien zu Fragen der Auslegung einzelner Regelungsbereiche der DSGVO. Ab Geltung der DSGVO wird der neu einzurichtende „Europäische Datenschutzausschuss“ diese Aufgabe gemäß Art. 68 DSGVO übernehmen. Die Leitlinien bestimmen den Kurs der Datenschutzbehörden sind allerdings nicht rechtlich verbindlich.

2018

WP 259 rev.01 – Guidelines on Consent under Regulation 2016/679

WP 260 rev.01 – Guidelines on Transparency under Regulation 2016/679

WP 251 – Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679

WP 250 – Guidelines on Personal data breach notification under Regulation 2016/679

WP 259 rev.01 – Guidelines on Consent under Regulation 2016/679

WP 260 rev.01 – Guidelines on Transparency under Regulation 2016/679

WP 251 – Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679

WP 250 – Guidelines on Personal data breach notification under Regulation 2016/679

WP 260 – Guidelines on transparency under Regulation 2016/679

WP 259 – Guidelines on Consent under Regulation 2016/679

WP 258 – Opinion on some key issues of the Law Enforcement Directive (EU 2016/680)

WP 256 – Working Document setting up a table with the elements and principles to be found in Binding Corporate Rules

WP 257 – Working Document setting up a table with the elements and principles to be found in Processor Binding Corporate Rules

WP 254 – Working document on Adequacy Referential (update of Chapter One of WP12)

WP 253 – Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

WP 252 – Opinion 03/2017 on processing personal data in the context of Cooperative Intelligent Transport Systems (C-ITS)

WP 249 – Opinion 2/2017 on data processing at work

WP 248 – Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679

WP 247 – Opinion 01/2017 on the Proposed Regulation for the ePrivacy Regulation (2002/58/EC)

WP 244 – Guidelines for identifying a controller or processor’s lead supervisory authority

WP 243 – Guidelines on Data Protection Officers (‘DPOs’)

WP 246 – EU-US Privacy Shield F.A.Q. for European Individuals

WP 245 – EU-US Privacy Shield – F.A.Q. for European Businesses

WP 242 – Guidelines on the right to data portability

WP 241 – Opinion 04/2016 on European Commission amendments proposals related to the powers of Data Protection Authorities in Standard Contractual Clauses and adequacy decisions

WP 240 – Opinion 03/2016 on the evaluation and review of the ePrivacy Directive

WP 239 – Opinion 02/2016 on the publication of Personal Data for Transparency purposes in the Public Sector

WP 238 – Opinion 01/2016 on the EU – U.S. Privacy Shield draft adequacy decision

WP 237 – Working Document 01/2016 on the justification of interferences with the fundamental rights to privacy and data protection through surveillance measures when transferring personal data (European Essential Guarantees

WP 236 – Statement on the 2016 action plan for the implementation of the General Data Protection Regulation (GDPR)

WP 235 – Work Programme 2016-2018

2017

WP 260 – Guidelines on transparency under Regulation 2016/679

WP 259 – Guidelines on Consent under Regulation 2016/679

WP 258 – Opinion on some key issues of the Law Enforcement Directive (EU 2016/680)

WP 256 – Working Document setting up a table with the elements and principles to be found in Binding Corporate Rules

WP 257 – Working Document setting up a table with the elements and principles to be found in Processor Binding Corporate Rules

WP 254 – Working document on Adequacy Referential (update of Chapter One of WP12)

WP 253 – Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679

WP 252 – Opinion 03/2017 on processing personal data in the context of Cooperative Intelligent Transport Systems (C-ITS)

WP 249 – Opinion 2/2017 on data processing at work

WP 248 – Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679

WP 247 – Opinion 01/2017 on the Proposed Regulation for the ePrivacy Regulation (2002/58/EC)

WP 244 – Guidelines for identifying a controller or processor’s lead supervisory authority

WP 243 – Guidelines on Data Protection Officers (‘DPOs’)

2016

WP 246 – EU-US Privacy Shield F.A.Q. for European Individuals

WP 245 – EU-US Privacy Shield – F.A.Q. for European Businesses

WP 242 – Guidelines on the right to data portability

WP 241 – Opinion 04/2016 on European Commission amendments proposals related to the powers of Data Protection Authorities in Standard Contractual Clauses and adequacy decisions

WP 240 – Opinion 03/2016 on the evaluation and review of the ePrivacy Directive

WP 239 – Opinion 02/2016 on the publication of Personal Data for Transparency purposes in the Public Sector

WP 238 – Opinion 01/2016 on the EU – U.S. Privacy Shield draft adequacy decision

WP 236 – Statement on the 2016 action plan for the implementation of the General Data Protection Regulation (GDPR)

WP 235 – Work Programme 2016-2018

Kurzpapiere der Datenschutzkonferenz

Die Konferenz der Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz – DSK) veröffentlicht eigene Auslegungschriften zur DSGVO. Die Kurzpapiere sollen als erste Orientierung dienen, wie nach Auffassung der Datenschutzkonferenz die DSGVO im praktischen Vollzug angewendet werden sollte. Sie stehen unter dem Vorbehalt einer zukünftigen – möglicherweise abweichenden – Auslegung durch den Europäischen Datenschutzausschuss.

Das Standard-Datenschutzmodell Die 95. Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder hat am 26. April 2018 die Version 1.1 des Standard-Datenschutzmodells (SDM) verabschiedet. Das SDM richtet sich einerseits an die Stellen, die für die Verarbeitung personenbezogener Daten verantwortlich sind. Diese können mit dem SDM die erforderlichen Funktionen und Schutzmaßnahmen systematisch planen, umsetzen und kontinuierlich überwachen. Das Modell richtet sich zudem an die Datenschutzbehörden, um mit einer einheitlichen Systematik zu einem transparenten, nachvollziehbaren, belastbaren Gesamturteil über ein Verfahren und dessen Komponenten zu gelangen. Das SDM soll einen wesentlichen Beitrag leisten, um einen an Grundrechten orientierten Datenschutz durchzusetzen.

Kurzpapier Nr. 19: Unterrichtung und Verpflichtung von Beschäftigten auf Beachtung der datenschutzrechtliche Anforderungen nach der DS-GVO

Kurzpapier Nr. 18: Risiko für die Rechte und Freiheiten natürlicher Personen

Kurzpapier Nr. 17: Besondere Kategorien personenbezogener Daten

Kurzpapier Nr. 16: Gemeinsam für die Verarbeitung Verantwortliche

Kurzpapier Nr. 15: Videoüberwachung nach der Datenschutz-Grundverordnung

Kurzpapier Nr. 14: Beschäftigtendatenschutz

Kurzpapier Nr. 13: Auftragsverarbeitung

Kurzpapier Nr. 12: Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern

Kurzpapier Nr. 11: Recht auf Vergessenwerden Die Löschung personenbezogener Daten ist gegenüber der bisherigen Rechtslage insofern aufgewertet worden, als die diesbezüglichen Bestimmungen detaillierter ausformuliert worden sind und zum Teil auch darüber hinausgehen. Das mit dem Löschungsanspruch der betroffenen Person verbundene „Recht auf Vergessenwerden“ wird zum ersten Mal ausdrück-lich gesetzlich geregelt; es ergänzt die Löschung unmittelbar beim Verantwortlichen und die bereits bislang im BDSG verankerten Nachberichtspflichten.

Kurzpapier Nr. 10: Informationspflichten Die Informationspflichten bilden die Basis für die Ausübung der Betroffenenrechte. Nur wenn die betroffene Person weiß, dass personenbezogene Daten über sie verarbeitet werden, kann sie diese Rechte auch ausüben. Die Informationspflichten gemäß der DSGVO gehen daher weit über die bisherige Rechtslage hinaus und müssen beachtet werden, sofern keine Ausnahmevorschriften greifen.

Kurzpapier Nr. 9: Zertifizierung Mit den Artikeln 42 und 43 der DSGVO legt der Gesetzgeber einen rechtlichen Grundstein für europäisch einheitliche Akkreditierungs- und Zertifizierungsverfahren, die dazu dienen, die Einhaltung der DSGVO bei Verarbeitungsvorgängen nachzuweisen.

Kurzpapier Nr. 8: Maßnahmenplan „DS-GVO“ für Unternehmen Tipps zur Erstellung eines Maßnahmenplans für Unternehmen von den Datenschutzaufichtsbehörden.

Kurzpapier Nr. 7: Marktortprinzip: Regelungen für außereuropäische Unternehmen Das Marktortprinzip schließt unter bestimmten Bedingungen auch Unternehmen, die nicht in der EU niedergelassen sind, in den Anwendungsbereich der DSGVO ein.

Kurzpapier Nr. 6: Auskunftsrecht der betroffenen Person, Art. 15 DS-GVO Wie schon nach der bisherigen Rechtslage haben betroffene Personen das Recht mit formlosem Antrag und ohne Begründung von einem Verantwortlichen Auskunft über dort gespeicherte personenbezogene Daten zu verlangen. Die Auskünfte können es beispielsweise erleichtern, gezielt weitere Rechte, wie auf Berichtigung, Löschung oder Einschränkung der Verarbeitung („Sperrung“), geltend zu machen.

Kurzpapier Nr. 5: Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO Auch bei einer rechtmäßigen Verarbeitung personenbezogener Daten entstehen Risiken für die betroffenen Personen. Deswegen sieht die DSGVO unabhängig von sonstigen Voraussetzungen für die Verarbeitung vor, dass durch geeignete Abhilfemaßnahmen (insbesondere durch technische und organisatorische Maßnahmen (TOMs)) diese Risiken eingedämmt werden. Das Instrument einer Datenschutz-Folgenabschätzung (DSFA) kann hierfür systematisch eingesetzt werden.

Kurzpapier Nr. 4: Datenübermittlung in Drittländer Die DSGVO sieht für Datentransfers in Drittländer verschiedene Möglichkeiten vor. Neben EU-Standardvertragsklauseln können Binding Corporate Rules und mit Bezug auf die USA das EU-US-Privacy-Shield Grundlage für Datentransfers ein.

Kurzpapier Nr. 3: Verarbeitung personenbezogener Daten für Werbung Mit der DSGVO fallen alle detaillierten Regelungen des Bundesdatenschutzgesetzes (BDSG) zur Verarbeitung personenbezogener Daten für werbliche Zwecke weg. Statt dessen werden die neuen gesetzlichen Erlaubnisse je nach Einzelfall Anwendung finden. Von besonderem Interesse wird die Möglichkeit der Verarbeitung von Daten auf Grundlage des legitimes Interesses des Datenverarbeiters sein.

Kurzpapier Nr. 2: Aufsichtsbefugnisse/Sanktionen Die DSGVO stellt den Aufsichtsbehörden einen umfassenden Katalog von Untersuchungs- und Abhilfebefugnissen zur Verfügung, um die Einhaltung datenschutzrechtlicher Bestimmungen durchzusetzen. Neben diesen verwaltungsrechtlichen Maßnahmen können Verstöße auch mit hohen Geldbußen sanktioniert werden.

Kurzpapier Nr. 1: Verzeichnis von Verarbeitungstätigkeiten – Art. 30 DS-GVO In dem Kurzpapier werden die Anforderungen und Unterschiede zwischem altem Verfahrens- und neuem Verarbeitungsverzeichnis erläutert.

Beschlüsse der Datenschutzkonferenz

Die Datenschutzbeauftragten des Bundes und der Länder treffen sich zweimal im Jahr unter jährlich wechselndem Vorsitz eines Datenschutzbeauftragten zu ihren Datenschutzkonferenzen. Die Ergebnisse dieser Treffen werden der Öffentlichkeit als Konferenzbeschlüsse oder -entschließungen bekannt gegeben. Hier finden Sie alle Beschlüsse der DSK seit 2016.