Artikel 4

Innerhalb des Unternehmens oder für die Bedürfnisse des Unternehmens dürfen nur personenbezogene Daten verarbeitet werden, für die eine entsprechende Rechtsgrundlage gemäß den Bestimmungen der DSGVO oder anderer Rechtsvorschriften besteht. Besteht keine Rechtsgrundlage für die Verarbeitung, muss die aktive Verarbeitung personenbezogener Daten unverzüglich eingestellt, der Zugriff darauf verweigert und das Fehlen einer Grundlage dem Geschäftsführer des Unternehmens gemeldet werden, der über das weitere Vorgehen bezüglich dieser Daten entscheidet. Personenbezogene Daten dürfen nur für festgelegte und rechtmäßige Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden, sofern gesetzlich nichts anderes bestimmt ist. Wenn das Unternehmen beabsichtigt, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten als den, für den sie erhoben wurden, muss vorab geprüft werden, ob der neue Zweck mit dem ursprünglichen Zweck vereinbar ist, und ein schriftlicher Bericht darüber erstellt werden. Maßnahmen zur Gewährleistung der Sicherheit spezifischer Sammlungen personenbezogener Daten, wie Pseudonymisierung und Verschlüsselung, Zeit- und Zugriffsbeschränkungen, Verarbeitungsbeschränkungen, Zweckbindungen usw., sowie die Art der Umsetzung werden vom Geschäftsführer auf Vorschlag des Managers festgelegt.

Gemäß der DSGVO ist die Führung dieses Verzeichnisses für Unternehmen mit weniger als 250 Mitarbeitern nicht erforderlich, ES SEI DENN: – die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen (d. h. sie ist invasiv); – die Verarbeitung erfolgt nicht nur gelegentlich; – die Verarbeitung umfasst besondere Kategorien von Daten. In Anbetracht dessen, insbesondere der Bedingung der Häufigkeit der Verarbeitung, wird empfohlen, dass auch Unternehmen mit weniger als 250 Mitarbeitern ein Verzeichnis von Verarbeitungstätigkeiten führen. Besondere Kategorien personenbezogener Daten dürfen nur in Übereinstimmung mit den Bestimmungen der DSGVO und anderer Gesetze verarbeitet werden. Während der Verarbeitung müssen diese Daten speziell gekennzeichnet und so gesichert werden, dass unbefugter Zugriff verhindert wird. Einzelpersonen müssen über die Verarbeitung ihrer personenbezogenen Daten gemäß den Bestimmungen der Artikel 12, 13 und 14 der DSGVO informiert werden. Jeder Abteilungsleiter, der für ein bestimmtes Dateisystem verantwortlich ist, ist für die Erstellung der Information innerhalb seiner Abteilung zuständig. Jeder für ein bestimmtes Dateisystem verantwortliche Service-Manager ist verpflichtet, für jedes Dateisystem eine schriftliche Liste der Personen zu erstellen und zu führen, die aufgrund der Art ihrer Arbeit und/oder Funktion im Unternehmen bestimmte personenbezogene Daten verarbeiten oder Zugriff auf die Sammlungen haben dürfen (im Folgenden als „autorisierte Datenverarbeiter“ bezeichnet). Die Abteilungsleiter sind verpflichtet, dem Geschäftsführer des Unternehmens eine schriftliche Liste der autorisierten Datenverarbeiter vorzulegen. Vor der Verarbeitung personenbezogener Daten müssen sich die autorisierten Datenverarbeiter mit den Bestimmungen der DSGVO und dem Inhalt dieser Regelung vertraut machen und sind verpflichtet, einen speziellen „Anhang zum Datenverarbeitungsvertrag“ zu unterzeichnen.

Artikel 5

Eine Person hat das Recht, von dem Unternehmen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in Artikel 15 Absatz 1 der DSGVO genannten Informationen. Eine Person hat das Recht, von dem Unternehmen unverzüglich die Berichtigung sie betreffender unrichtiger oder unvollständiger personenbezogener Daten zu verlangen. Eine Person hat das Recht, von dem Unternehmen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der folgenden Gründe zutrifft: – die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig; – die Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung; – die Person legt Widerspruch gegen die Verarbeitung ein, und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor; – die personenbezogenen Daten wurden unrechtmäßig verarbeitet; – die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich; – die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft bei einem Kind erhoben. Eine Person hat das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist: – die Richtigkeit der Daten wird von der Person bestritten, und zwar für eine Dauer, die es dem Unternehmen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen; – die Verarbeitung ist unrechtmäßig und die Person lehnt die Löschung der personenbezogenen Daten ab und verlangt stattdessen die Einschränkung der Nutzung; – das Unternehmen benötigt die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger, die Person benötigt sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen; – die Person hat Widerspruch gegen die Verarbeitung eingelegt, solange noch nicht feststeht, ob die berechtigten Gründe des Unternehmens gegenüber denen der Person überwiegen. Eine Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie dem Unternehmen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch das Unternehmen zu übermitteln, sofern: – die Verarbeitung auf einer Einwilligung beruht und – die Verarbeitung mithilfe automatisierter Verfahren erfolgt. Der Geschäftsführer des Unternehmens ist dafür verantwortlich, dass die Personen ordnungsgemäß über die in den vorstehenden Absätzen dieses Artikels beschriebenen Rechte gemäß den Anforderungen der DSGVO informiert werden. Der Geschäftsführer stellt außerdem die Einrichtung einer zentralen Kontaktstelle sicher, an die sich Personen zur Ausübung ihrer Rechte wenden können. Der Abteilungsleiter ist dafür verantwortlich, die Ausübung der Rechte der Personen zu erleichtern und mit ihnen zu kommunizieren. Falls personenbezogene Daten einer Person in mehreren Sammlungen gefunden werden, bestimmt der Geschäftsführer des Unternehmens den zuständigen Abteilungsleiter.

Artikel 6

Der Abteilungsleiter oder jede andere Person, die davon Kenntnis erlangt, dass eine geplante Verarbeitung personenbezogener Daten, insbesondere (aber nicht ausschließlich) bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss den Geschäftsführer benachrichtigen. In solchen Fällen entscheidet der Geschäftsführer, ob es notwendig ist, eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (Datenschutz-Folgenabschätzung) durchzuführen. Der Abteilungsleiter oder eine andere vom Abteilungsleiter benannte autorisierte Person ist für die Durchführung der Folgenabschätzung verantwortlich. Alle Mitarbeiter, die notwendige Informationen und Einschätzungen liefern können, müssen daran mitwirken. Die Folgenabschätzung wird schriftlich durchgeführt und umfasst: – eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Unternehmen verfolgten berechtigten Interessen; – eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck; – eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen; – die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis der Einhaltung der DSGVO erbracht wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird. Wenn der Abteilungsleiter oder die autorisierte Person, die die Folgenabschätzung durchgeführt hat, feststellt, dass die beabsichtigte Verarbeitung zu einem hohen Risiko führen würde und das Unternehmen keine Maßnahmen zur Eindämmung des Risikos ergreift, müssen sie den Geschäftsführer des Unternehmens informieren und prüfen, ob eine Konsultation der Aufsichtsbehörden erforderlich ist.