Die letzte Lektion fasst die Fäden zusammen. Was riskiert man, wenn die Regeln verletzt werden? Und was muss Ihr Arbeitgeber selbst sicherstellen, ganz gleich, was Sie hier gelernt haben?
Die Befugnisse der Datatilsynet
Die Datatilsynet kann nach Artikel 58 Unternehmen untersuchen, Auskünfte verlangen und Zugang zu Räumen und Systemen erhalten. Sie kann außerdem:
- eine Warnung oder einen Verweis aussprechen
- eine Anordnung erteilen, dass ein Unternehmen ein Recht erfüllen oder die Verarbeitung in Ordnung bringen muss
- die Verarbeitung einschränken oder verbieten, vorübergehend oder endgültig
Jede Person kann sich bei der Datatilsynet beschweren (Artikel 77). Wer einen Schaden erlitten hat, kann vom Verantwortlichen oder vom Auftragsverarbeiter Schadensersatz erhalten (Artikel 82).
Bußgelder: In Dänemark entscheiden die Gerichte
Artikel 83 der Verordnung sieht Geldbußen von bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Jahresumsatzes und für die schwereren Verstöße bis zu 20 Mio. Euro oder 4 % vor, je nachdem, welcher Betrag höher ist. Das dänische Rechtssystem beruht nicht auf Verwaltungsbußgeldern. In Dänemark verhängen deshalb grundsätzlich die Gerichte das Bußgeld, nach § 41 des Datenschutzgesetzes:
- Verstöße gegen die wesentlichen Regeln der Verordnung werden mit Geldstrafe oder Freiheitsstrafe bis zu 6 Monaten bestraft (§ 41 Abs. 1 und 2).
- Bei der Bemessung muss das Gericht Artikel 83 Abs. 2 beachten, zum Beispiel Art, Schwere und Dauer des Verstoßes sowie ob er vorsätzlich oder fahrlässig war (§ 41 Abs. 3).
- Gesellschaften können nach Kapitel 5 des Strafgesetzbuchs bestraft werden (§ 41 Abs. 6).
- Strafverfahren verjähren nach 5 Jahren (§ 41 Abs. 7).
Die Datatilsynet kann selbst kein Bußgeld verhängen. Hält die Behörde ein Unternehmen für strafwürdig, übergibt sie den Fall an die Polizei. Die Staatsanwaltschaft entscheidet, ob Anklage erhoben wird, und ein Gericht setzt das Bußgeld fest. In einfachen Fällen kann die Datatilsynet jedoch ein „bødeforelæg“ (ein Angebot, das Bußgeld ohne Gerichtsverfahren anzunehmen) anbieten (§ 42). Erklärt sich der Verstoßende schuldig und nimmt das Bußgeld an, endet der Fall ohne Prozess. Andernfalls kann der Fall an die Polizei und das Gericht weitergehen. Die Bestimmung richtet sich gegen „den, der“ gegen die Regeln verstößt, sodass eine Strafe grundsätzlich Unternehmen wie Personen treffen kann. Schwere oder vorsätzliche Verstöße, zum Beispiel wenn Sie ohne dienstlichen Bedarf bekannte Personen in einem System nachschlagen, können außerdem arbeitsrechtliche Folgen haben.
Was können Sie selbst tun?
- Verarbeiten Sie Daten nur auf Weisung Ihres Arbeitgebers und für die Zwecke Ihrer Arbeit (Artikel 29).
- Befolgen Sie Richtlinien und Verfahren, und fragen Sie, wenn Sie unsicher sind.
- Melden Sie Verletzungen und Anträge sofort.
- Halten Sie die Verschwiegenheitspflicht ein. Viele Berufe haben außerdem eine eigene, gesetzliche Verschwiegenheitspflicht.
Was der Arbeitgeber selbst tun muss
Dieser Kurs ist eine allgemeine Einführung. Er ersetzt nicht die eigenen Pflichten des Unternehmens. Der Arbeitgeber muss als Verantwortlicher unter anderem:
- eigene Richtlinien und Anweisungen für Ihre Tätigkeit und Ihre Systeme haben, damit Sie wissen, was Sie dürfen
- ein Verzeichnis von Verarbeitungstätigkeiten führen (Artikel 30), wo es erforderlich ist. Die Ausnahme für kleine Unternehmen gilt nur in engen Fällen, sodass auch viele kleinere Unternehmen eines führen müssen
- Auftragsverarbeitungsverträge mit Lieferanten abschließen (Artikel 28)
- Risikobewertungen durchführen und geeignete technische und organisatorische Maßnahmen sicherstellen (Artikel 32), in bestimmten Fällen auch eine Datenschutz-Folgenabschätzung (Artikel 35)
- einen Datenschutzbeauftragten (DSB, engl. „DPO“) benennen, wo die Regeln es verlangen (Artikel 37), zum Beispiel in öffentlichen Behörden
- Verfahren für Verletzungen und für Anträge betroffener Personen haben
- eine Schulung bieten, die zu genau Ihrer Tätigkeit passt. Beschäftigte in Personal, Gesundheit, Sozialbereich oder Marketing brauchen mehr als eine allgemeine Einführung
Der Arbeitgeber entscheidet, ob dieser Kurs den Schulungsbedarf des Betriebs deckt.
Zusammenfassung: Verwenden Sie nur, was Sie brauchen. Schützen Sie, was Sie haben. Sagen Sie Bescheid, wenn etwas schiefgeht.