Welche Pflichten hat der/die Verantwortliche?
Neben den Informationspflichten hat der/die Verantwortliche weitere Pflichten. Sie finden sich unter den §§ 31 bis 35 KDG.
- So ist beispielsweise unter bestimmten Voraussetzungen ein Verzeichnis von Verarbeitungstätigkeiten zu führen (s. § 31 KDG), welches die konkreten Verarbeitungsprozesse einschließlich Verarbeitungsablauf, Verarbeitungszweck, Kreis der Betroffenen, Hard- und Software etc. beschreibt.
- Des Weiteren sind Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden (!) der zuständigen Datenschutzaufsicht zu melden(§ 33 KDG) und sind betroffene Personen über diese Verletzung zu informieren (§ 34 KDG).
- Bringt eine bestimmte Form der Verarbeitung (insbesondere bei Verwendung neuer Technologien) ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich, so ist nach Maßgabe des § 35 KDG eine Datenschutz-Folgenabschätzung vorzunehmen.