Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Nach dem Gewaltmarsch durch Artikel 28 heute eine ganz kleine Etappe. Artikel 29 besteht aus einem einzigen Satz. Wenigstens ist er ein bisschen verschachtelt – so erkennt man, dass er zur DS-GVO gehört.
Datenverarbeitung nur nach Weisung
Es geht um eine Selbstverständlichkeit: Wer personenbezogene Daten verarbeitet und dabei einem Verantwortlichen oder einem Auftragsverarbeiter unterstellt ist, hat die Weisungen des Verantwortlichen zu befolgen. Außer: Nach EU- oder nationalem Recht werden Datenverarbeitungen vorgeschrieben.
Klar soweit?
Über ein, zwei, drei Problem(e) kann man grübeln beim Spazierengehen (wenn man möchte).
Hausaufgabe 1:
A arbeitet beim Auftragsverarbeiter B-GmbH. B-GmbH betreibt ein Rechenzentrum und ist unter anderem für den Verantwortlichen X-OHG tätig. B und X haben natürlich einen Vertrag nach Art. 28 Abs. 3 abgeschlossen.
X weist A an, die Daten auf einen separaten Datenträger zu kopieren und ein Jahr zu archivieren. Im AV-Vertrag ist das nicht vorgesehen, B lehnt es ab und bietet der X-OHG eine Vertragsänderung gegen Aufpreis an. Muss A seinem Arbeitgeber B gehorchen oder der X-OHG (wegen Artikel 29)?
Hausaufgabe 2:
A arbeitet bei der B-GmbH in der Personalabteilung und hat Zugang unter anderem zur privaten Telefonnummer von X. X erlaubt A, die Nummer zu nutzen. Darf A? Oder muss sie/er vorher die Geschäftsführung fragen?
Hausaufgabe 3:
A arbeitet bei der B-GmbH. Die Geschäftsführung weist A an, Daten unter Verstoß gegen die DS-GVO nicht zu löschen, sondern zu veröffentlichen. Muss A? Darf A?
Immer noch alles klar oder Auflösungen gewünscht in der nächsten Runde?
Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
