Datenschutzkonforme Erhebung und Verarbeitung von Daten

Wie Sie Daten erheben und verarbeiten dürfen

Für die Erhebung und Verarbeitung von personenbezogenen Daten gilt ein Verbot mit Erlaubnisvorbehalt. Das bedeutet, dass die Nutzung nur dann zulässig ist, wenn eine Einwilligung oder mindestens eine andere den Vorschriften entsprechende Ausnahme vorliegt.

Diese Ausnahmen sind:

• Die Verarbeitung der Erfüllung eines Vertrags dient, die entsprechenden Daten einer Vertragspartei angehören, oder erforderlich ist, da eine Vertragspartei Antrag stellt, vorvertraglich festgeschriebene Maßnahmen durchzuführen.
• Die Verarbeitung notwendig ist, um rechtlichen Verpflichtungen nachzukommen, denen die entsprechende Person unterliegt.
• Die Verarbeitung unbedingt erforderlich ist, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu vertreten.
• Die Verarbeitung im öffentlichen Interesse liegt oder zur Erfüllung hoheitlicher Aufgaben erforderlich ist.
• Die Verarbeitung zur Wahrung berechtigter Interessen der entsprechenden Person oder Dritter notwendig ist und die Grundrechte der Person nicht übersteigen. Für Behörden trifft dieser Grund nicht zu.

Zweck der Datenerhebung

Beschäftigt man sich mit der ordnungsgemäßen Erhebung personenbezogener Daten, spielt auch der Begriff der Zweckbindung eine Rolle. Demnach dürfen die Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden. Unternehmen müssen also zu jeder Datenverarbeitung vorab genau definieren, welchem Zweck sie dient. Beispiel: Über einen Onlineshop werden Bestelldaten einschließlich der E-Mail-Adresse generiert. Zweck der Datenverarbeitung wäre hier die Abwicklung der einzelnen Bestellungen, die zur Erfüllung von Verträgen insbesondere ohne explizite Einwilligung des Kunden zulässig ist. Sollen die Daten jedoch später auch zu anderen Zwecken genutzt werden, z. B. zum Versenden von Werbe-Mailings, wäre dazu zuvor wegen der Zweckänderung eine gesonderte Einwilligung der Betroffenen einzuholen.

Löschung von Daten

Nach Artikel 17 der DSGVO ist der Verantwortliche dazu verpflichtet, die Daten einer betroffenen Person unverzüglich zu löschen, wenn einer der folgenden Punkte zutrifft:

• Die personenbezogenen Daten werden nicht mehr für den Erhebungszweck benötigt.
• Die betroffene Person widerruft ihre Einwilligung, die sie zuvor zur Verarbeitung der Daten gegeben hat.
• Die betroffene Person legt gegen die Verarbeitung Widerspruch ein, der sich als berechtigt herausstellt.
• Die personenbezogenen Daten wurden nicht datenschutzkonform erhoben.
• Die Löschung der Daten ist nach EU- oder Mitgliedsstaaten-Recht erforderlich.
• Die Daten wurden aufgrund der Einwilligung eines Kindes erhoben.

Viele Unternehmen müssen geschäftliche Unterlagen z. B. aufgrund von Nachweispflichten über einen bestimmten Zeitraum hinweg speichern. In der Regel unterscheidet man dabei zwischen sechs und zehn Jahren. Diese Frist ist vorrangig! Das bedeutet: auch wenn eine betroffene Person das Recht auf Löschung in Anspruch nehmen möchte, muss dies abgelehnt werden. In diesem Fall tritt das Recht auf Sperrung der personenbezogenen Daten in Kraft. Alle Ausnahmen sind in Art. 17 Abs. 3 DSGVO definiert. Liegt kein Ausnahmefall vor, müssen die Daten umgehend gelöscht werden.