Maßnahmen sind im Verzeichnis von Verarbeitungstätigkeiten Verantwortlicher zu dokumentieren.
-
Standard-Datenschutzmodell
Leitlinien und Orientierungshilfen der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder und der Artikel-29-Arbeitsgruppe
bestehende nationale und internationale Standards (BSI-Grundschutz, ISO-Standards…)
Ist bei der Verarbeitung ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zu erwarten, hat die Bestimmung der Maßnahmen bereits im Rahmen einer Datenschutz-Folgenabschätzung gemäß Art.
35 DS-GVO zu erfolgen.
Ohne weitere über die Rechtsgrundlage für die Übermittlung von pbD hinausgehende Rechtsgrundlage ist die Übermittlung in Länder der EU und Länder des EWR gem. Art. 1 Abs. 3 DSGVO zulässig.
Eine Übermittlung von pbD in Drittländer erfordert neben der Rechtmäßigkeit der Verarbeitung (nach Art. 6 Abs. 1 und Art. 9 Abs. 2 DSGVO) eine zusätzliche Legitimation (Art. 44 ff. DSGVO):
Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO)
geeignete Garantien und den betroffenen Personen zustehende durchsetzbare Rechte und wirksame Rechtsbehelfe (Art. 46 DSGVO)
Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules (BCR)) (Art. 47 DSGVO)
Standarddatenschutzklauseln
genehmigte Verhaltensregeln (Art. 40 DSGVO)
genehmigter Zertifizierungsmechanismus (Art. 42 DSGVO)
genehmigte Vertragsklauseln
Ausnahmen in bestimmten Fällen (Art. 49 DSGVO)
ausdrückliche Einwilligung der betroffenen Person, nach Info über mögliche Risiken (Art. 49 Abs. 1 lit. a DSGVO)
Abschluss oder Erfüllung eines Vertrages mit der betroffenen Person bzw. vorvertragliche Maßnahmen auf Antrag der betroffenen Person (Art. 49 Abs. 1 lit. b DSGVO)
Abschluss oder Erfüllung eines Vertrages im Interesse der betroffenen Person (Art. 49 Abs. 1 lit. c DSGVO)
wichtige Gründe des öffentlichen Interesses, die im Unionsrecht oder dem Recht des Mitgliedstaates anerkannt sind (Art. 49 Abs. 1 lit. d i.V.m. Art. 49 Abs. 4 DSGVO)
die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 49 Abs. 1 lit.e DSGVO)
der Schutz lebenswichtiger Interessen, sofern die betroffene Person außerstande ist ihre Einwilligung zu geben (Art. 49 Abs. 1 lit. f DSGVO)
die Übermittlung aus einem Register, das zur Information der Öffentlichkeit bestimmt ist (Art. 49 Abs. 1 lit. g DSGVO)
Einmalige Übermittlung gem. Art. 49 Abs. 1 S. 2 DSGVO
Der Angemessenheitsbeschluss für die USA bzw. den
EU-US-Privacy-Shield, eine Form der freiwillgigen Selbstzertifizierung für Organisationen wurde zum 16.7.2020 für ungültig erklärt. Der EU-Privacy-Shield stellt somit keine Legitimation für Übermittlungen pbD in die USA mehr dar! Gemäß einer
repräsentativen Umfrage des Digitalverbandes Bitkom stützen sich 91 % der befragten Organisationen auf Standardvertragsklauseln