Eine Datenschutzrichtlinie ist ein internes Regelwerk einer Organisation, das Strategien, Zuständigkeiten und Schulungen für den Schutz personenbezogener Daten beschreibt und zu den Datenschutzmaßnahmen des Verantwortlichen nach der DSGVO gehören kann.
Auf einen Blick
Anknüpfung in der DSGVO: Artikel 24 Absatz 2 (Datenschutzvorkehrungen, sofern angemessen) und Artikel 39 Absatz 1 Buchstabe b (Überwachung der Strategien durch den Datenschutzbeauftragten).
Die Richtlinie 95/46/EG ist durch Artikel 94 Absatz 1 DSGVO mit Wirkung vom 25. Mai 2018 aufgehoben und keine Datenschutzrichtlinie im Sinne dieser Seite.
Davon zu unterscheiden sind die Informationen, die der Verantwortliche der betroffenen Person nach Artikel 13 Absatz 1 zum Zeitpunkt der Erhebung mitteilt, wenn er personenbezogene Daten bei ihr erhebt.
Was ist eine Datenschutzrichtlinie?
Nach innen gerichtet, hält eine Datenschutzrichtlinie die Strategien einer Organisation für den Schutz personenbezogener Daten fest. Ein Dokument mit diesem Namen schreibt die DSGVO nicht vor. Artikel 39 Absatz 1 Buchstabe b nennt als Aufgabe des Datenschutzbeauftragten die Überwachung der Einhaltung der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen.
Legt ein Versicherer in einer internen Datenschutzrichtlinie Zuständigkeiten und Löschregeln fest, kann sie zu den Maßnahmen nach Artikel 24 DSGVO gehören, die, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen müssen. Davon zu unterscheiden ist die Richtlinie 95/46/EG, die nach Artikel 94 Absatz 1 DSGVO mit Wirkung vom 25. Mai 2018 aufgehoben wurde. Davon zu unterscheiden sind die Informationen, die der Verantwortliche der betroffenen Person nach Artikel 13 Absatz 1 zum Zeitpunkt der Erhebung mitteilt, wenn er personenbezogene Daten bei ihr erhebt.
Wie funktioniert eine Datenschutzrichtlinie im Unternehmen?
Um die Einhaltung der DSGVO nachweisen zu können, sollte der Verantwortliche nach Erwägungsgrund 78 interne Strategien festlegen und Maßnahmen ergreifen, die unter anderem den Grundsätzen des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen Genüge tun. Eine Datenschutzrichtlinie kann solche internen Strategien bündeln. Der Verantwortliche setzt nach Artikel 24 Absatz 1 unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um; diese werden erforderlichenfalls überprüft und aktualisiert.
Nach Artikel 32 Absatz 4 unternehmen Verantwortlicher und Auftragsverarbeiter Schritte, damit ihnen unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. Nach Artikel 5 Absatz 2 muss der Verantwortliche die Einhaltung der Grundsätze nach Absatz 1 nachweisen können.
Datenschutzrichtlinie im Vergleich
| Kriterium | Datenschutzrichtlinie | Richtlinie 95/46/EG | Datenschutzerklärung | Cookie-Richtlinie |
|---|---|---|---|---|
| Art des Textes | Internes Regelwerk einer Organisation | Richtlinie der Union | Information an die betroffene Person | Nicht Gegenstand dieses Eintrags |
| Anknüpfung in der DSGVO | Artikel 24 Absatz 2 (Datenschutzvorkehrungen, sofern angemessen) und Artikel 39 Absatz 1 Buchstabe b (Überwachung der Strategien durch den Datenschutzbeauftragten) | Artikel 94 Absatz 1: Die Richtlinie 95/46/EG wird mit Wirkung vom 25. Mai 2018 aufgehoben | Artikel 13 Absatz 1: Werden Daten bei der betroffenen Person erhoben, teilt der Verantwortliche ihr zum Zeitpunkt der Erhebung die Informationen mit | Nicht Gegenstand dieses Eintrags |
| Wirkung | Strategien des Verantwortlichen oder des Auftragsverarbeiters, gerichtet auf die eigene Organisation | Verweise auf die aufgehobene Richtlinie gelten als Verweise auf die DSGVO (Artikel 94 Absatz 2) | Information an die betroffene Person zum Zeitpunkt der Erhebung, wenn die Daten bei ihr erhoben werden | Nicht Gegenstand dieses Eintrags |
Woran erkenne ich eine wirksame Datenschutzrichtlinie?
| Merkmal | Worauf es ankommt |
|---|---|
| Zuständigkeiten | Artikel 39 Absatz 1 Buchstabe b DSGVO nennt als Aufgabe des Datenschutzbeauftragten die Überwachung der Einhaltung der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten. |
| Sensibilisierung und Schulung | Artikel 39 Absatz 1 Buchstabe b nennt bei der Überwachung dieser Strategien durch den Datenschutzbeauftragten auch die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und die diesbezüglichen Überprüfungen. |
| Angemessenheit | Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen nach Artikel 24 Absatz 2 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen. |
| Überprüfung und Aktualisierung | Die Maßnahmen des Verantwortlichen werden nach Artikel 24 Absatz 1 erforderlichenfalls überprüft und aktualisiert. |
Schutz im Ernstfall
Vorbeugen
- Geeignete Datenschutzvorkehrungen anwenden, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht (Artikel 24 Absatz 2 DSGVO).
- Die Maßnahmen erforderlichenfalls überprüfen und aktualisieren (Artikel 24 Absatz 1 DSGVO).
- Zuständigkeiten zuweisen sowie die an den Verarbeitungsvorgängen beteiligten Mitarbeiter sensibilisieren und schulen; die Überwachung der Einhaltung der Strategien ist nach Artikel 39 Absatz 1 Buchstabe b DSGVO Aufgabe des Datenschutzbeauftragten.
- Umsetzung und Wirksamkeit der Maßnahmen nachweisen, evaluieren und gegebenenfalls verbessern können und sie auf diese Weise aktuell halten, so beschreibt es das Standard-Datenschutzmodell der Datenschutzkonferenz.
Beispiele aus der Praxis
- Ein Unternehmen hält in einer internen Datenschutzrichtlinie fest, welche Stelle für den Umgang mit Kundendaten zuständig ist und wie die beteiligten Mitarbeiter sensibilisiert und geschult werden.
- Ein Auftragsverarbeiter hält in einer internen Datenschutzrichtlinie fest, dass ihm unterstellte Personen personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten, vorbehaltlich einer Verpflichtung nach dem Recht der Union oder der Mitgliedstaaten.
- Ein Versicherer fasst Zuständigkeiten und Löschregeln in einer internen Datenschutzrichtlinie zusammen; sie kann zu den Maßnahmen nach Artikel 24 DSGVO gehören, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht.
