Beratung für die KVKK Anpassungsphase

• Bestimmung der Arbeitsprozesse für die jeweiligen Einheiten,
• Auflistung der Tätigkeiten im Rahmen der Prozesse,
• Bestimmung, welche Datenarten die bei Tätigkeitsausübungen erhaltenen Angaben bzw. Belege beinhalten müssen,
• Einzelne Bestimmung sämtlicher in diesen Angaben bzw. Belegen vorhandener Daten,
• Bei Daten, die in mehreren Arbeitsabläufen verarbeitet wurden, Bestimmung   
  1. des Verarbeitungszwecks,
  2. der Aufbewahrungsfristen, 
  3. der Ungleichheiten hinsichtlich Übermittlung und Sicherheitsmaßnahmen.

Nach der Analyse der innerbetrieblichen Einheiten und Arbeitsprozesse hat der Datenverantwortliche ein sehr viel detaillierteres Dokument für jede in physikalischer oder elektronischer Umgebung verarbeitete personenbezogene Datei zu erstellen, die er aus den im Rahmen dieser Arbeitsprozesse ausgeübten Tätigkeiten entstandenen Belegen, Dokumenten, Sondereintragungen erhalten hat. Dieses Dokument muss beinhalten, zu welchem Zweck und mit welcher Rechtsbegründung die Verarbeitung vorgenommen wurde; ob eine Übermittlung stattgefunden hat; Informationen über die Drittpersonen, an die die verarbeiteten Daten übermittelt wurden; Aufbewahrungsfristen; betroffene Personengruppen und erstellte Sicherheitsmaßnahmen.   

An diesem Punkt bleibt das Inventar in der Unternehmensstruktur des Datenverantwortlichen und ist für die Öffentlichkeit nicht zugänglich. Auf Anforderung des Ausschusses muss es jedoch diesem vorgelegt werden.

Art. 10 des Gesetzes regelt die Aufklärungspflicht des Datenverantwortlichen. Der Datenverantwortliche bzw. sein Vertreter ist verpflichtet, die Betroffenen über folgendes zu informieren:

1. Die Personalien des Datenverantwortlichen und ggfs. seines Vertreters,
2. den Datenverarbeitungszweck,
3. die Personen, an die die verarbeiteten Daten übermittelt werden, sowie den Übermittlungsgrund,
4. die Datenerfassungsmethode, den Rechtsgrund der Datenerfassung sowie die sonstigen bestimmten Rechte.

Sobald sich in der Datenerfassungsphase die Methode und der Rechtsgrund ändern, ist dies je nach Phase des Aufklärungstextes auch entsprechend zu ändern.

Für personenbezogene Daten sämtlicher Datensammlungsquellen, die eine  übersichtliche Einwilligungserklärung erfordern, muss eine dem Gesetz, der Tätigkeit und dem Zweck entsprechende übersichtliche Einwilligungserklärung formuliert werden. Die einzuholende Einwilligungserklärung muss mit freiem Willen abgegeben sein und bestätigen, dass man genügend Kenntnisse besitzt. Die Gesetzesbestimmung ist wie folgt:

1. Gemäß Art. 5/1 der KVKK Nr. 6698 dürfen Daten ohne übersichtliche Einwilligungserklärung der betroffenen Person nicht verarbeitet werden.
2. Gemäß Art. 6/2 der KVKK Nr. 6698 dürfen Daten mit persönlicher Identifizierung ohne übersichtliche Einwilligungserklärung der betroffenen Person nicht verarbeitet werden.
3. Gemäß Art. 8/1 und 9/1 der KVKK Nr. 6698 dürfen Daten als Grundregel ohne übersichtliche Einwilligungserklärung der betroffenen Person nicht im Inland bzw. ins Ausland übermittelt werden.

Die Unternehmen müssen mit Personen bzw. Unternehmen, mit denen sie Datenaustausch haben, ein Protokoll bzw. einen Vertrag erstellen. Somit werden sowohl die Rechte und Verpflichtungen der Betroffenen bestimmt als auch bei personenbezogenen Daten juristische/technische Einschränkungen eingeführt.

Mit dem Zweck, zukünftig das Unstimmigkeitspotenzial und –risiko zu minimieren, verpflichtet das KVKK die Unternehmen, diesen Vertrag zu erstellen.

Die juristische Beratung im Rahmen der KVKK Beratung für die Anpassungsphase ist eine der zu beachtenden Grundschritte in der Anpassungsphase.

Die Auffassung von Unternehmen “Wir brauchen keine juristische Beratung” kann zur Zahlung von Buβgeldern führen. Die Auswertung der Erfahrungen in der KVKK Beratung zertifizierter, professioneller juristischer Fachleute als Berater hilft Ihnen, einen problemlosen Ablauf dieser Phase zu durchlaufen.

Die Unternehmen sind verpflichtet, personenbezogene Daten unter Ergreifung der erforderlichen technischen und administrativen Maβnahmen aufzubewahren und zu sichern. Sie haften zusammen mit den Drittpersonen bzw. –unternehmen, an die sie die Daten weitergeben, gleichermaßen für die Sorgfalt in gleichem Niveau. Sie sind ebenso verpflichtet, zu prüfen bzw. prüfen zu lassen, ob die Maβnahmen umgesetzt werden.

Im Falle, dass personenbezogene Daten widerrechtlich erbeutet werden, hat das Unternehmen dies den betroffenen Personen sowie der zuständigen Datenschutzbehörde mitzuteilen.   

Wenn kein Grund mehr für die Aufbewahrung der personenbezogenen Daten gegeben ist und das Gesetz keine Aufbewahrungsfrist vorsieht, müssen sie gelöscht werden. Die einzuhaltende Aufbewahrungsfrist muss im Gesetzt bestimmt sein. Wenn z.B. die betroffene Person in keiner Beziehung mehr zu Ihrer Firma steht oder von der Mitgliedschaft ausgeschieden ist, müssen diese Daten gelöscht werden.

Im Rahmen der Beratung für VERBIS Registrierung UNTERSTÜTZEN wir Sie als Garanti KVK Team bei Ihrer Dateninventur-Durchführung!

Z.B. müssen Sie erhaltene Informationen über durchgeführte Handy-Gespräche gemäß Gesetz über E-Kommunikation zwei Jahre lang aufbewahren. Auch wenn die betroffene Person aus dem Abonnement ausscheidet, darf sie die Löschung dieser Daten nicht verlangen.

Wenn die betroffene Person sich beim Unternehmen erkundigen will, ob ihre personenbezogenen Daten aufbewahrt werden oder nicht, ist das Unternehmen verpflichtet, diese Frage zu beantworten. Es muss angeben, zu welchen Zwecken und in welcher Form diese Daten verwendet werden. Wenn die betroffene Person als Folge der Verwendung ihrer personenbezogenen Daten einen Schaden erleidet, kann sie Schadenersatz verlangen.    

Im Rahmen des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten haben Unternehmen / Steuerpflichtige folgendes vorzunehmen:

1. Innerbetriebliche Schulung
2. Dateninventur-Durchführung
3. Ermitteln bzw. Erstellen von übersichtlichen Einwilligungserklärungen
4. Ermitteln bzw. Erstellen von Verträgen
5. Erstellen von Aufklärungstexten
6. Beantwortung der Anträge
7. Ergreifung von Maβnahmen über Datensicherheit und –geheimhaltung    sowie diesbezügliche Prüfung.

Wenn die Unternehmen versuchen, ihre rechtlichen KVKK Verpflichtungen mit eigenen Rechtsberatern zu erfüllen, könnten sie den Bedarf nach der technologischen Infrastruktur übersehen. Die Verpflichtungen der Unternehmen im Rahmen des Gesetzes über den Schutz personenbezogener Daten sollten sowohl nach rechtlichem als auch nach technischem Gesichtspunkt durch Orientierung und einzuholende Beratung umgesetzt werden.   

Hierbei sichert die Garanti KVK, dass die Institutionsfunktionen des jeweiligen Unternehmens bei Angelegenheiten wie Verarbeitung, Aufbewahrung und Mitbenutzung der personenbezogenen Daten entsprechend dem Recht und den Verordnungen in einem sicheren, problemlosen Arbeitsumfeld ausgeübt werden. Unsere Dienstleistungen im Rahmen der Beratung für die Anpassungsphase sind wie folgt:

1. Gestaltung der Arbeitsplätze gemäß KVKK,
2. Ergreifung von Sicherheitsmaβnahmen im physischen Umfeld, in dem sich die Daten befinden; sowie von Maβnahmen bezüglich Naturkatastrophen, Diebstahl u.ä. (wie z.B. Aufbewahrung der Daten in einem unabhängigen sicheren Umfeld),
3. Datenzugriffssperre für unbefugte Personen; Zugriffserlaubnis nur im Rahmen der erteilten Befugnis gemäß der zuständigen KVKK Prozedur,
4. Einführung der Regelung darüber, dass jeder Mitarbeiter für die Sicherheit der physischen Akten in seinem Kompetenzbereich haftet,
5. Ausstellen von Konformitätsbescheinigungen.

Der nächste Schritt nach Vollendung der rechtlichen und technischen Arbeiten, Umsetzung von Prozeduren und Protokollen sowie Bestätigung der VERBIS Registrierung ist das Ausstellen der Konfirmationsbescheinigung. Mit unserer Beratung für die KVKK Anpassungsphase stehen wir Ihnen für den ganzen Prozess zur Verfügung.