Rechtlich-regulatorische Anforderungen in Bezug auf Informations-, Melde- und Benachrichtigungspflichten

Informationspflicht des Verantwortlichen (OBL-01)

Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, bei der Erhebung von personenbezogenen Daten seine Informationspflicht gegenüber den betroffenen Personen aus Art. 13 DSGVO zu erfüllen. Diese Informationspflicht umfasst u. a.: Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls des Datenschutzbeauftragten, durchgeführte Verarbeitungen, Verarbeitungszwecke und mögliche Zweckänderungen, Rechtsgrundlage der Verarbeitung, mögliche Übermittlungen von Daten einschließlich Drittlandübermittlungen, Rechte der betroffenen Personen, Widerrufs- und Beschwerderecht. Die Informationen sind in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. (Vgl. Art. 13 DSGVO, Art. 12 Abs. 1 DSGVO, Art. 5 Abs. 1 lit. a DSGVO)

Aufklärung der betroffenen Person bei Datenvermittlungsdiensten (OBL-02)

Falls der Anbieter einen Datenvermittlungsdienst für betroffene Personen anbietet, muss die DREAM-Lösung dem Anbieter die Möglichkeit bieten, die betroffenen Personen, bevor sie ihre Einwilligung erteilen, in prägnanter, transparenter, verständlicher und leicht zugänglicher Weise über die beabsichtigte Nutzung der Daten durch Datennutzer und die üblichen Geschäftsbedingungen für solche Nutzungen zu informieren und – soweit erforderlich – zu beraten. (Vgl. Art. 12 lit. m DGA)

Zugriff auf Kundendaten (OBL-03)

Die DREAM-Lösung muss es dem Anbieter ermöglichen, seine Kunden über Ereignisse zu informieren, bei denen Personal des Anbieters ohne Einwilligung des Kunden lesend oder schreibend auf die in der DREAM-Lösung verarbeiteten, gespeicherten oder übertragenen Daten zugreifen werden oder zugegriffen haben. (Vgl. BSI C5:2026 IAM-07)

Informationspflicht bei einem Cloud-Wechsel (OBL-04)

Die DREAM-Lösung sollte den Anbieter dabei unterstützen, seiner Informationspflicht nach Art. 26 DA nachzukommen. Diese Informationspflicht umfasst: verfügbare Wechsel- und Übertragungsverfahren, -methoden und -formate einschließlich Einschränkungen und technische Beschränkungen, Verweis auf ein aktuelles Online-Register der Anbieter von Datenverarbeitungsdiensten. (Vgl. Art. 26 DA)

Meldepflicht (OBL-05)

Falls es zu einer unbefugten Übertragung, unbefugtem Zugriff oder unbefugter Nutzung von nicht-personenbezogenen Daten kommt, muss die DREAM-Lösung den Anbieter des Datenvermittlungsdienstes dabei unterstützen, den Dateninhaber unverzüglich zu unterrichten. (Vgl. Art. 12 lit. k DGA)

Meldung bei Datenschutzverletzungen (OBL-06)

Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, bei Datenschutzverletzungen, die voraussichtlich ein Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge haben, die Informationen in Erfahrung zu bringen, die zur Erfüllung der Meldepflicht gegenüber der zuständigen Aufsichtsbehörde benötigt werden. Diese Meldung muss u. a. zumindest folgende Informationen enthalten: Art der Datenschutzverletzung, Kategorien der betroffenen Personen, Kategorien der betroffenen personenbezogenen Daten, Beschreibung der wahrscheinlichen Folgen, Beschreibung der ergriffenen bzw. vorgeschlagenen Maßnahmen zur Behebung. (Vgl. Art. 33 Abs. 1 und Abs. 3 DSGVO)

Benachrichtigung der betroffenen Personen bei Datenschutzverletzungen (OBL-07)

Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, bei Datenschutzverletzungen, die voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge haben, die Informationen in Erfahrung zu bringen, die zur Benachrichtigung der betroffenen Person benötigt werden. Diese Benachrichtigung muss u. a. zumindest folgende Informationen enthalten: Beschreibung der Art der Datenschutzverletzung in klarer und einfacher Sprache, Beschreibung der wahrscheinlichen Folgen, Beschreibung der ergriffenen bzw. vorgeschlagenen Maßnahmen zur Behebung. (Vgl. Art. 34 Abs. 1 DSGVO)