Wie viele Personen arbeiten in Ihrem Unternehmen regelmäßig unter Zuhilfenahme von IT mit personenbezogenen Daten? (Achtung: Jede Person, die eine eigene E-Mailadresse hat, tut das z. B.)

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Im Bundesdatenschutzgesetz (BDSG) werden bestimmte oder bestimmbare natürliche Person unter dem Begriff des „Betroffenen“ zusammengefasst.

Personenbezogene Daten sind somit z. B. sämtliche Daten zu den Mitarbeitern Ihres Unternehmens. Ebenso Namen, E-Mailadressen, Telefonnummern und weitere Informationen über Personen, die bei Zulieferern, Dienstleistern oder Kunden arbeiten oder die selbst Endkunden (Verbraucher, Patienten, Mandanten etc.) sind. Des Weiteren gehören dazu alle Daten, die sich auf Personen beziehen, zu denen Sie kein direktes geschäftliches Verhältnis pflegen, deren Daten Sie aber verarbeiten, wie z. B. die IP-Adresse der Besucher Ihres Internetauftritts oder Personen, die in Aufzeichnungen Ihrer Videoüberwachung gespeichert sind. Zu personenbezogenen Daten können auch GPS-Daten, Gesundheitsdaten, KFZ-Kennzeichen, Einzelverbindungsnachweise und vieles Weitere zählen.

Bei der Berechnung der Anzahl der Personen zählen Sie bitte die Anzahl der Köpfe, unabhängig vom Beschäftigungsverhältnis und unabhängig davon, ob sie voll- oder teilzeit beschäftigt sind. Jeder „Kopf“ ist eine Person.

Falls Sie nicht sicher sind, nehmen Sie gerne Kontakt zu uns auf und wir ermitteln die Bestellpflicht in einem kostenlosen Telefonat.

Sind Sie verpflichtet, eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen?

Sofern Sie hier unsicher sind: Eine Datenschutz-Folgenabschätzung muss immer dann durchgeführt werden, wenn

• eine bei Ihnen durchgeführte Verarbeitung, aufgrund der Art, des Umfangs, der Umstände und der Zwecke dieser Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat;
• Sie mithilfe von IT eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen durchführen, die als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen;
• von Ihnen umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO oder
• eine systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (bspw. durch eine Videoüberwachung) erfolgt.

Darüber hinaus hat die Datenschutzkonferenz (DSK) eine Liste bereitgestellt, aus der weitere Verarbeitungen zu ersehen sind, die eine DSFA verpflichtend machen. Diese finden Sie hier.

Verarbeiten Sie personenbezogene Daten zum Zwecke der geschäftsmäßigen Übermittlung an Dritte?

Mit Übermittlung an Dritte ist gemeint, dass die Daten an Stellen außerhalb des Unternehmens weiter gegeben werden. Wichtig: Damit sind auch andere Unternehmen innerhalb eines gemeinsamen Konzerns gemeint. Es existiert hierfür kein Konzernprivileg.

Übermittlung ist auch die Bereitstellung der Daten zum Abruf, wenn also die Initiative nicht von Ihrem Unternehmen aus geht, sondern Dritte von Extern auf Ihren Datenbestand zugreifen.

Verarbeiten Sie personenbezogene Daten zum Zwecke der Markt- oder Meinungsforschung?

Werden Daten für die Markt- oder Meinungsforschung verarbeitet, so muss in jedem Fall ein Datenschutzbeauftragter benannt werden, unabhängig davon wie viele Personen im Unternehmen mit personenbezogenen Daten umgehen.