Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das Muster seit Artikel 28 setzt sich fort: lang/kurz/lang/… und heute wieder kurz.
Erste Etappe – Artikel 31
Mit Artikel 31 betreten wir einen der kürzesten DS-GVO-Artikel überhaupt.
(Ich bin sehr versucht, den ganzen Text hier einzufügen. Aber Sie sollen ja selbst in die DS-GVO schauen!)
Es geht um die Zusammenarbeit zwischen Verantwortlichen und Auftragsverarbeitern einerseits mit den Aufsichtsbehörden andererseits. Aus der deutschen Fassung wird nicht ganz klar, wo zusammengearbeitet werden muss: Bei den Aufgaben der Aufsichtsbehörde? Oder bei den Aufgaben der Verantwortlichen, Auftragsverarbeiter und Vertreter? Die englische Sprache klärt es auf: Gemeint sind die Aufgaben der Aufsichtsbehörde.
Damit wird der Artikel 31 allerdings komplett überflüssig: Was die Aufsichtsbehörde verlangen kann, ist in Artikel 58 ausführlich geregelt. Und mehr ist zu Artikel 31 wirklich nicht zu sagen…
Deshalb (und weil die Tage lange hell sind, so nah an der Sommersonnenwende) wagen wir zum ersten Mal zwei Etappen an einem Wandertag: Artikel 32 ist viel interessanter als sein „Vorgänger“, aber ganz locker heute noch abzuspazieren.
Zweite Etappe – Artikel 32
Am besten wieder einmal „rückwärts“:
Absatz 4 erinnert uns (hoffentlich noch) an Artikel 29. Die Verantwortlichen und Auftragsverarbeiter dürfen nicht einfach darauf vertrauen, dass ihre Mitarbeiter sich korrekt verhalten, sondern sollen das „sicherstellen“. Geeignete Schritte sind – natürlich – Schulungen, Anweisungen und (zumindest gelegentlich) Kontrollen.
Absatz 3 ist ärgerlich, weil völlig überflüssig und inhaltsleer.
Die Absätze 1 und 2 gehören eng zusammen. Wenn man sie sortiert und (Artikel 12 Abs. 1 Satz 1) „in eine klare und einfache Sprache übermittelt“, ergibt sich:
- Verantwortliche und Auftragsverarbeiter müssen personenbezogene Daten angemessen schützen.
- Was angemessen ist, bestimmt sich nach dem jeweiligen Verarbeitungsrisiko, dem Schutzaufwand sowie den Umständen der Verarbeitung.
- Das Verarbeitungsrisiko ermittelt sich aus der Wahrscheinlichkeit und der Schwere drohender Schäden, vor allem hinsichtlich Vertraulichkeit, Verfügbarkeit und Integrität. Geschützt werden soll also gegen unbefugten Datenzugriff, ungewollten Datenverlust und unerwünschte Datenänderung.
- Beispiele des Gesetzgebers für Schutzmaßnahmen sind Pseudonymisierung und Verschlüsselung.
- Zum wirksamen Schutz gehören die regelmäßige Prüfung der Maßnahmen und die Fähigkeit, Pannen schnell zu beheben.
Hinsichtlich der abwägungsrelevanten Umstände der Verarbeitung („Art, Umfang, Umstände, Zweck“ nach Absatz 1) schweigt sich die DS-GVO aus. Wichtig sein dürfte z. B., ob/dass
- Betroffene bestimmte Risiken (informiert) akzeptieren,
- Verarbeitungen im Interesse der Betroffenen erfolgen,
- Risiken durch die Betroffenen selbst herbeigeführt werden.
Also: Wenn Erwachsene eine Anfrage zu ihrer ärztlichen Diagnose per WhatsApp stellen, darf ihnen auf diese Weise auch geantwortet werden. – Gegenstimmen?
Etappen Ende – weiter im Doppelpack?
Etappe 2 auch geschafft. Und weil es so schmerzfrei ging, planen wir die nächsten beiden Wandertage vielleicht auch als Doppel-Etappen? Artikel 33/34 und 35/36 passen ja bestens zusammen.
Auf Wiedersehen!
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
