14. Personenbezogene Daten

DATEN

14.1. Rechtsgrundlage

Der Digitale Kodex der KR ist ein umfassendes Rechtsdokument, das die Beziehungen im digitalen Umfeld regelt, einschließlich der Verarbeitung personenbezogener Daten, digitaler Dienste, digitaler Plattformen, digitaler Ökosysteme und des grenzüberschreitenden Datenaustauschs. Im Bereich des Schutzes personenbezogener Daten legt der Kodex die Rechte der Betroffenen, die Pflichten der datenverarbeitenden Organisationen sowie die Anforderungen an die Sicherheit und die grenzüberschreitende Datenübermittlung fest.

Personenbezogene Daten sind digitale Daten, die personenbezogene Informationen enthalten. Dies sind alle Informationen, die eine Person direkt oder indirekt identifizieren können. Zum Beispiel Name, biometrische Daten, persönliche Identifikationsnummer, Familienstand, E-Mail-Adresse, Telefonnummer, Bankdaten, Gesundheitszustand, Nationalität

Als Betroffener personenbezogener Daten gilt die natürliche Person, auf die sich die personenbezogenen Daten beziehen. Unternehmen, die personenbezogene Daten von Mitarbeitern, Kunden und anderen natürlichen Personen erheben und verwenden, gelten in der Regel als Inhaber der personenbezogenen Datensätze und tragen die Hauptverantwortung für die Einhaltung der gesetzlichen Anforderungen im Bereich des Schutzes personenbezogener Daten.

Solche Unternehmen sind verpflichtet, ein umfassendes Paket organisatorischer und technischer Maßnahmen umzusetzen:

• die datenschutzgerechte Gestaltung zu implementieren, das heißt die Interessen der Nutzer und den Lebenszyklus der Daten bereits in der Entwurfsphase digitaler Systeme zu berücksichtigen;

• die Erfassung von Vorgängen mit personenbezogenen Datensätzen gemäß den Empfehlungen der Aufsichtsbehörde zu führen;

• für Organisationen mit mehr als zehn Mitarbeitern eine verantwortliche Person für die Verarbeitung personenbezogener Daten zu benennen;

• Schulungen der Mitarbeiter zu den Regeln im Umgang mit Daten zu organisieren.

Der Digitale Kodex legt eine abschließende Liste der rechtmäßigen Gründe für die Verarbeitung personenbezogener Daten fest. Die Verarbeitung ist zulässig, wenn sie für mindestens einen der folgenden Zwecke erforderlich ist:

Erfüllung eines Vertrags, dessen Partei der Betroffene ist, oder Vorbereitung des Vertragsabschlusses auf Initiative des Betroffenen

Erfüllung der gesetzlich oder durch normative Rechtsakte auferlegten Pflichten des Inhabers der Datensätze

Schutz lebenswichtiger Interessen des Betroffenen oder einer anderen natürlichen Person; Durchführung öffentlicher oder gemeinnütziger Aufgaben (Schutz des menschlichen Lebens, humanitäre, ökologische Ziele)

Wahrung berechtigter Interessen des Inhabers der Datensätze oder eines Dritten, sofern dabei nicht die Rechte und Freiheiten des Betroffenen verletzt werden

Fehlen die genannten Gründe, ist die Verarbeitung nur auf Grundlage der Einwilligung des Betroffenen zulässig, und zwar ausschließlich für die Zwecke, für die die Einwilligung erteilt wurde. Die Gesetzgebung stellt strenge Anforderungen an die Einwilligung. Sie muss freiwillig, konkret, informiert und bewusst erfolgen.

Betroffene personenbezogene Daten sind mit schutzwürdigen Rechten ausgestattet, darunter:

• das Recht auf Auskunft über die Verarbeitung;

• das Recht auf Zugang zu den eigenen personenbezogenen Daten;

• das Recht auf Berichtigung und Ergänzung der Daten;

• das Recht auf Datenübertragbarkeit;

• das Recht auf Löschung der Daten;

• das Recht auf Widerspruch gegen die Verarbeitung;

• das Recht auf Einschränkung der Verarbeitung.

Der Digitale Kodex regelt auch die grenzüberschreitende Übermittlung personenbezogener Daten. Die Übermittlung von Daten in ausländische Staaten ist unter Einhaltung der Anforderungen der Gesetzgebung der KR zulässig, einschließlich der Einwilligung der betroffenen Person, eines internationalen Vertrags oder anderer gesetzlich vorgesehener Gründe.