Im Rahmen der Blog-Reihe „Ein Spaziergang durch die DS-GVO“ betrachten wir die einzelnen Artikel der Datenschutz-Grundverordnung aus einem etwas anderen Blickwinkel. Ziel ist kein x-ter Kommentar, es soll eher ein Datenschutz-Feuilleton entstehen, mit Anmerkungen und Überlegungen auch zu Artikeln, die Sie im Datenschutz-Alltag vielleicht noch nie gelesen haben. Das Muster seit Artikel 28 setzt sich fort: lang/kurz/lang/… und heute wieder kurz.

Erste Etappe – Artikel 31

Mit Artikel 31 betreten wir einen der kürzesten DS-GVO-Artikel überhaupt.

(Ich bin sehr versucht, den ganzen Text hier einzufügen. Aber Sie sollen ja selbst in die DS-GVO schauen!)

Es geht um die Zusammenarbeit zwischen Verantwortlichen und Auftragsverarbeitern einerseits mit den Aufsichtsbehörden andererseits. Aus der deutschen Fassung wird nicht ganz klar, wo zusammengearbeitet werden muss: Bei den Aufgaben der Aufsichtsbehörde? Oder bei den Aufgaben der Verantwortlichen, Auftragsverarbeiter und Vertreter? Die englische Sprache klärt es auf: Gemeint sind die Aufgaben der Aufsichtsbehörde.

Damit wird der Artikel 31 allerdings komplett überflüssig: Was die Aufsichtsbehörde verlangen kann, ist in Artikel 58 ausführlich geregelt. Und mehr ist zu Artikel 31 wirklich nicht zu sagen…

Deshalb (und weil die Tage lange hell sind, so nah an der Sommersonnenwende) wagen wir zum ersten Mal zwei Etappen an einem Wandertag: Artikel 32 ist viel interessanter als sein „Vorgänger“, aber ganz locker heute noch abzuspazieren.

Zweite Etappe – Artikel 32

Am besten wieder einmal „rückwärts“:

Absatz 4 erinnert uns (hoffentlich noch) an Artikel 29. Die Verantwortlichen und Auftragsverarbeiter dürfen nicht einfach darauf vertrauen, dass ihre Mitarbeiter sich korrekt verhalten, sondern sollen das „sicherstellen“. Geeignete Schritte sind – natürlich – Schulungen, Anweisungen und (zumindest gelegentlich) Kontrollen.

Absatz 3 ist ärgerlich, weil völlig überflüssig und inhaltsleer.

Die Absätze 1 und 2 gehören eng zusammen. Wenn man sie sortiert und (Artikel 12 Abs. 1 Satz 1) „in eine klare und einfache Sprache übermittelt“, ergibt sich:

• Verantwortliche und Auftragsverarbeiter müssen personenbezogene Daten angemessen schützen.
• Was angemessen ist, bestimmt sich nach dem jeweiligen Verarbeitungsrisiko, dem Schutzaufwand sowie den Umständen der Verarbeitung.
• Das Verarbeitungsrisiko ermittelt sich aus der Wahrscheinlichkeit und der Schwere drohender Schäden, vor allem hinsichtlich Vertraulichkeit, Verfügbarkeit und Integrität. Geschützt werden soll also gegen unbefugten Datenzugriff, ungewollten Datenverlust und unerwünschte Datenänderung.
• Beispiele des Gesetzgebers für Schutzmaßnahmen sind Pseudonymisierung und Verschlüsselung.
• Zum wirksamen Schutz gehören die regelmäßige Prüfung der Maßnahmen und die Fähigkeit, Pannen schnell zu beheben.

Hinsichtlich der abwägungsrelevanten Umstände der Verarbeitung („Art, Umfang, Umstände, Zweck“ nach Absatz 1) schweigt sich die DS-GVO aus. Wichtig sein dürfte z. B., ob/dass

• Betroffene bestimmte Risiken (informiert) akzeptieren,

• Verarbeitungen im Interesse der Betroffenen erfolgen,

• Risiken durch die Betroffenen selbst herbeigeführt werden.

Also: Wenn Erwachsene eine Anfrage zu ihrer ärztlichen Diagnose per WhatsApp stellen, darf ihnen auf diese Weise auch geantwortet werden. – Gegenstimmen?

Etappen Ende – weiter im Doppelpack?

Etappe 2 auch geschafft.  Und weil es so schmerzfrei ging, planen wir die nächsten beiden Wandertage vielleicht auch als Doppel-Etappen? Artikel 33/34 und 35/36 passen ja bestens zusammen.

Auf Wiedersehen!

Über den Autor: Prof. Dr. Ralph Wagner ist Vorstand des DID Dresdner Institut für Datenschutz sowie Vorsitzender des ERFA-Kreis Sachsen der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD). Als Honorarprofessor an der Technischen Universität Dresden hält er regelmäßig Vorlesungen und Seminare zum Thema Datenschutzrecht. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Zu Beginn des neuen Jahres möchten wir unseren Blog-Lesern zuallererst ein frohes und gesundes neues Jahr wünschen! Wir freuen uns, Ihnen auch in diesem Jahr in unseren wöchentlichen Beiträgen eine Übersicht über aktuelle und wichtige Themen aus den Bereichen des Datenschutzes und der Informationssicherheit bieten zu können. Möchten Sie zu einzelnen Beiträgen Fragen oder Feedback äußern? Haben Sie Vorschläge für interessante Beiträge? Zögern Sie nicht, die jeweiligen Verfassenden zu anzusprechen. Die Kontaktmöglichkeiten erfahren Sie am Ende eines jeden Beitrages.

Diesen ersten Beitrag im Jahr 2022 möchten wir ebenfalls gern nutzen, um in eigener Sache auf das Thema Datenschutz beziehungsweise Informationssicherheit und Qualitätsmanagement aufmerksam zu machen. Einerseits bieten diese Bereiche in ihrer Gesamtheit einzelne Berührungspunkte zueinander, andererseits bedarf auch die Arbeit von Datenschutz- und Informationssicherheitsbeauftragten bestimmten Leistungs- und Qualitätsstandards, um die jeweils gesetzlich definierten Aufgaben vollumfänglich erfüllen zu können.

Auch wenn beispielsweise die Datenschutz-Grundverordnung (DS-GVO) keine näheren Anforderungen an die Qualität der Arbeit des Datenschutzbeauftragten setzt, wird insbesondere in der Darstellung des Art. 37 Abs. 5 DS-GVO deutlich, dass ein Datenschutzbeauftragter sowohl auf Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Bereich des Datenschutzrechts und der Datenschutzpraxis, aber auch auf Grundlage seiner Fähigkeiten zur Erfüllung der in Art. 39 DS-GVO benannten Aufgaben zu benennen ist. Aus dem Aufgabenkatalog des Art. 39 DS-GVO wird deutlich, dass im besten Falle nicht nur die verantwortliche Stelle ein Datenschutzmanagementsystem vorweisen kann, sondern dass auch der Datenschutzbeauftragte strukturiert und koordiniert die einzelnen Aufgabenbereiche zu managen und durchzuführen hat. Dies gilt umso mehr für externe Datenschutzbeauftragte, die oftmals eine Vielzahl von verantwortlichen Stellen beraten.

Aus diesem Grund haben wir als Dresdner Institut für Datenschutz das vergangene Jahr genutzt, um unsere Beratungs- und Lehrtätigkeit in den Bereichen des Datenschutzes und der Informationssicherheit einmal näher zu betrachten, essenzielle Prozesse zu identifizieren sowie Verbesserungspotenzial zu erkennen und auszuschöpfen. Ein wichtiger Baustein war in diesem Zusammenhang beispielsweise die Befragung unserer Vertragsparteien im Sommer 2021 hinsichtlich der Zufriedenheit mit unseren Dienstleistungen. Unter anderem diese Ergebnisse flossen in ein umfassendes Qualitätsmanagementsystem ein, welches wir im letzten Quartal des vergangenen Jahres einer externen Auditierung unterzogen. Das Ergebnis kann sich sehen lassen: Unser Qualitätsmanagement für die Beratung und Lehrtätigkeit in den Bereichen Datenschutz und Informationssicherheit ist nun zunächst bis 2024 nach ISO 9001:2015 zertifiziert.

Auch das neue Jahr wollen wir nutzen, um möglichst viele Personen für die Themen Datenschutz und Informationssicherheit begeistern zu können, wichtige Anforderungen zu erläutern und praxistaugliche Umsetzungsmöglichkeiten abzubilden. Da wir uns insbesondere im Rahmen der datenschutzrechtlichen Beratung oft mit Irrtümern und Fehlvorstellungen konfrontiert sehen, wollen wir in unserem neuen Format, der Datenschutzsprechstunde, regelmäßig für alle Interessierten eine Möglichkeit zum Austausch und zur Diskussion bieten. Den ersten Termin  unserer Online-Sprechstunde erfahren Sie bereits in den nächsten Tagen auf unserer Internetseite www.dids.de. Dort erhalten Sie dann auch die Möglichkeit zur Anmeldung sowie weiterführende Hinweise.

Auch darüber hinaus haben wir für Sie einige weitere Überraschungen vorbereitet, welche wir Ihnen nach und nach im Laufe des Jahres vorstellen wollen oder welche Ihnen hier in unserem Blog begegnen werden. Seien Sie gespannt! In diesem Sinne: Starten Sie gut in das neue Jahr und bleiben Sie stets neugierig – insbesondere natürlich in Bezug auf die Themen Datenschutz und Informationssicherheit!

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.