Gesetze der IT
Wir sehen Transparenz als einen wichtigen Baustein unserer Arbeit an. In diesem Blog bringen wir daher gerne mit der Erläuterung verschiedener Gesetze Licht ins Dunkel.
Themen
Das Elektro- und Elektronikgerätegesetz (ElektroG)
Das Gesetz über das Inverkehrbringen, die Rücknahme und die umweltverträgliche Entsorgung von Elektro- und Elektronikgeräten
Was ist das ElektroG?
Das Gesetz über das Inverkehrbringen, die Rücknahme und die umweltverträgliche Entsorgung von Elektro- und Elektronikgeräten (Elektro- und Elektronikgerätegesetz, abgekürzt: ElektroG) regelt die Entsorgung von Elektro- und Elektronik-Altgeräten in Deutschland. Es setzt die europäische Richtlinie 2012/19/EU über Elektro- und Elektronik-Altgeräte (sog. WEEE-Richtlinie) in nationales Recht um.
Das ElektroG trifft für den speziellen Bereich der Elektro- und Elektronikgeräte gesonderte Regelungen. Solche Abfälle betreffend ist es vorrangig. Dennoch müssen auch andere nationale und supranationale Normen berücksichtigt werden. Besonders die ergänzende Geltung des Kreislaufwirtschaftsgesetztes (§ 2 Abs. 3 ElektroG). Rechtsvorschriften, die besondere Anforderungen an den Umgang mit Elektro- und Elektronikgeräten oder an die Produktkonzeption enthalten sowie solche zur Sicherheit bei der Beförderung gefährlicher Güter bleiben unberührt.
Politisch zuständig ist das Bundesministerium für Umwelt (BMUB). Die Rechts- und Fachaufsicht sowie die Marktüberwachung unterliegt dem Umweltbundesamt (UBA).
Was sind die Ziele des ElektroG?
Zu den Zielen des ElektroG gehört der Schutz von Umwelt und Gesundheit vor schädlichen Substanzen aus Elektro- und Elektronikgeräten. Grundlegende Voraussetzung dafür ist, Abfälle aus Elektro- und Elektronik-Altgeräten zu vermeiden.
Vermeidung
Als Vermeidung im Sinne des Gesetzes sind alle Maßnahmen zur Verringerung der Abfallmenge und der Umweltschädlichkeit von Altgeräten zu verstehen. Die Vermeidung von Abfällen von Elektro- und Elektronikgeräten soll insbesondere dadurch erreicht werden, dass die Produkte bzw. Erzeugnisse so gestaltet werden, dass sie mehrfach verwendbar und technisch langlebig sind. Das ElektroG ist mit dieser Priorität an die Grundsätze des allgemeinen Kreislaufwirtschafts- und Abfallrechts angelehnt.
Wiederverwendung
Des Weiteren sollen die Abfallmengen durch Wiederverwendung oder Verwertung verringert werden. Nach der Vermeidung soll der Wiederverwendung – auch Remarketing genannt – Priorität zukommen. Unter Wiederverwendung sind nach dem ElektroG Maßnahmen zu verstehen, bei denen die Altgeräte oder deren Bauteile zu dem gleichen Zweck verwendet werden, für den sie hergestellt oder in den Verkehr gebracht wurden.
Verwertung
Als nachrangig zur Vermeidung angestrebtes Ziel wird die Verwertung genannt. Die Regelung unterscheidet dabei zwischen der „stofflichen Verwertung“ und „anderen Formen der Verwertung“. Als stoffliche Verwertung wird die in einem Produktionsprozess erfolgende Wiederaufbereitung der Abfallmaterialien für den ursprünglichen oder für einen neu hinzutretenden Zweck gesehen. Unter einer „anderer Form der Verwertung“ wird die energetische Verwertung verstanden. Eine solche Kreislaufführung von Elektro- und Elektronikgeräten soll langfristig zu einer Steigerung der Ressourceneffizienz führen.
Die von uns angebotene Auditierung, Funktionsprüfung, Reparatur und abschließende Datenlöschung Ihrer gebrauchten IT-Altgeräte als Zuführung zum ursprünglichen Nutzungszweck ist daher als Abfallvermeidungsmaßnahme im Sinne des ElektroG anzusehen.
Welche Produkte sind betroffen?
Elektro- und Elektronikgeräte
Elektro- und Elektronikgeräte sind Geräte, die zu ihrem ordnungsgemäßen Betrieb elektrische Ströme bzw. elektromagnetische Felder erzeugen, verbrauchen, übertragen oder messen und für den Betrieb mit Wechselspannungen von höchstens 1000 Volt oder Gleichspannung von höchstens 1500 Volt ausgelegt sind (§ 3 Nr. 1 ElektroG).
Diese Elektro- und Elektronikgeräte werden in § 2 Abs. 1 ElektroG in 10 Produktkategorien, die hinsichtlich der Art ihrer Nutzung oder ihrer Funktionen vergleichbare Merkmale aufweisen, in einer Geräteart zusammengefasst. Die Liste dieser Kategorien ist abschließend, das bedeutet, dass lediglich den Produktverantwortlichen solcher Gerätekategorien Pflichten aus dem ElektroG erwachsen. Dabei ist der Begriff des Geräts weit zu verstehen. Lässt sich ein Gerät zwei unterschiedlichen Kategorien zuordnen, so muss eine konkrete Gerätekategorie unter Bestimmung der Gerätehauptfunktion gewählt werden, da den Hersteller je nach Zuordnung unterschiedliche Pflichten treffen. Auch Bauteile bzw. Baugruppen können unter das ElektroG fallen, soweit sie eine eigenständige Funktion erfüllen, welche durch einfache Handhabung auch einem Endverbraucher ohne weiteres zur Verfügung steht und daher auch vom Hersteller im Einzelhandel angeboten wird (z.B. Steckkarten für Computersysteme, Diskettenlaufwerke, Festplatten oder CPUs).
Altgeräte
Die Entsorgung betreffend muss es sich bei solchen Elektro- und Elektronikgeräten um Altgeräte handeln. Altgeräte definiert § 3 Nr. 3 ElektroG als Geräte, die Abfall im Sinne des § 3 Abs. 1 S. 1 des Kreislaufwirtschaftsgesetztes sind, einschließlich aller Bauteile, Unterbaugruppe und Verbrauchsmaterialien, die zum Zeitpunkt des Eintritts der Abfalleigenschaft Teil des Altgeräts sind.
Abfall und damit ein Altgerät liegt nur dann vor, wenn der Besitzer sich des Gerätes entledigt, entledigen will oder entledigen muss. Eine Entledigungspflicht trifft den Besitzer, wenn das Gerät nicht mehr seiner ursprünglichen Zweckbestimmung entsprechend verwendet werden darf, es aufgrund seines konkreten Zustandes geeignet ist das Wohl der Allgemeinheit, insbesondere die Umwelt zu gefährden, und die Gefährdung nur durch eine Beseitigung des Gerätes ausgeschlossen werden kann (§ 3 Abs. 4 KrWG).
Änderung des Anwendungsbereichs ab dem 15. August 2018
Ab dem 15. August 2018 wird eine Änderung des ElektroG erfolgen. Dabei wird ein offener, alle Elektro- und Elektronikgeräte umfassender Anwendungsbereich eingeführt. Im Übergangszeitraum bis zum 15. August 2018 wird der kategorienbasierte Anwendungsbereich beibehalten.
An wen wendet sich das ElektroG?
Das Gesetz wendet sich in erster Linie an Hersteller und Importeure von Elektro- und Elektronikgeräten der oben genannten zehn Kategorien. Für sie ergeben sich Pflichten aus der WEEE-Richtlinie (Rücknahme, Verwertung, Finanzierung etc.) als auch aus der RoHS-Richtlinie (Verwendungsverbote für bestimmte Stoffe).
Ebenfalls betroffen sind Lieferanten, sofern sie elektrische oder elektronische Bauteile für Geräte der Kategorien Nr. 1 bis Nr. 7 oder Nr. 10 produzieren oder importieren. Auch für diese Unternehmen gelten die Verwendungsverbote gemäß RoHS.
Handelsunternehmen sind vom ElektroG betroffen, sofern sie Geräte der zehn Kategorien importieren oder Geräte in einen anderen EU-Mitgliedsstaat liefern und dort unmittelbar an Nutzer abgeben. Die Importeure unterliegen den gleichen Pflichten wie die Hersteller.
Auch gewerbliche Gerätenutzer sind betroffen. Besonders relevant ist die im ElektroG geregelte Entsorgung von Altgeräten.
Wer muss gewerblich genutzte Altgeräte entsorgen?
Das ElektroG legt konkrete Pflichten für die Entsorgung von gewerblich genutzten Altgeräten fest (B2B-Geräte). Als B2B-Geräte werden solche Elektro- und Elektronikgeräte bezeichnet, für die der Hersteller (§ 3 Nr. 9 ElektroG) oder Bevollmächtigter (§ 3 Nr. 10 ElektroG) gemäß § 7 Abs. 3 S. 1 ElektroG glaubhaft machen kann, dass diese ausschließlich in anderen als privaten Haushalten genutzt werden oder gewöhnlich nicht in privaten Haushalten genutzt werden. Dabei spielen vor allem der Einsatzort, der Verwendungszweck sowie die Installation bzw. Bedienung durch Fachpersonal eine Rolle.
Im Gegensatz zu privaten Besitzern, dürfen Elektro- und Elektronik-Altgeräte von Gewerbekunden nicht bei Sammelstellen der öffentlich-rechtlichen Entsorgungsträger angeliefert werden. Der Hersteller bzw. dessen Bevollmächtigte (§ 3 Nr. 10 ElektroG) sind für die Abholung und Entsorgung von Altgeräten aus dem rein gewerblichen Bereich verantwortlich (§ 19 ElektroG), soweit es sich um Elektro- oder Elektronikgeräte, die nach dem 13. August 2005 bzw. bei Leuchten aus privaten Haushalten und Photovoltaikmodule, die nach dem 24. Oktober 2015 in Verkehr gebracht wurden (§ 3 Nr. 3, 4 ElektroG), handelt. Hersteller bzw. dessen Bevollmächtigter ist verpflichtet eine zumutbare Möglichkeit zur Rückgabe zu schaffen und die Altgeräte auf eigene Kosten zu entsorgen. Allerdings besteht diesbezüglich das Recht, abweichende Vereinbarungen mit dem Nutzer zu treffen (§ 19 Abs. 2 ElektroG).
Historische Altgeräte
Anderes gilt für historische Altgeräte (§ 3 Nr. 4 ElektroG). Zur Entsorgung von historischen Altgeräten, die nicht aus privaten Haushalten stammen, ist der Letztbesitzer zu einer ordnungsgemäßen Entsorgung auf eigene Kosten verpflichtet.
Vertreiber mit einer Verkaufsfläche von mindesten 400 m2
Zudem besteht eine unentgeltliche Rücknahmepflicht für alle Vertreiber mit einer Verkaufsfläche von mindesten 400 m2. Die Rücknahme kann vor Ort oder in unmittelbarer Nähe der Abgabe geschehen. Die Pflicht gilt auch für Onlinehändler mit entsprechender Verkaufs- bzw. Versandfläche. Zurückgenommen werden müssen alle kleinen Elektrogeräte, die in keiner äußeren Abmessung größer als 25 cm sind. Dies gilt unabhängig davon, ob der Kunde ein neues Gerät kauft oder ein altes nur zurückbringt. Größere Geräte müssen nur zurückgenommen werden, wenn der Kunde im Gegenzug ein neues Großgerät anschafft, welches die gleiche Funktion erfüllt.
Kostentragung
Der jeweils Entsorgungspflichtige hat die Altgeräte oder deren Bauteile wiederzuverwenden, nach § 20 ElektroG zu behandeln oder nach § 22 ElektroG zu entsorgen, sowie die Kosten der Entsorgung zu tragen.
Fazit
Das ElektroG stellt hohe Anforderungen an die Entsorgung von Elektro- und Elektronik-Altgeräten zum Schutz von Umwelt und Gesundheit. Es nimmt die Hersteller deutlich stärker in die Verantwortung als das vorherige ElektroG. Diesen gebührt die Pflicht der Entsorgung von gewerblich genutzten Altgeräten, wie z.B. gebrauchte Computer und Smartphones.
Welche Hilfe bei einer gesetzeskonformen Umsetzung bieten wir?
Mit den Dienstleistungen der Remarketing Company werden Sie als Hersteller oder Nutzer von Elektro- und Elektronik-Altgeräten Ihrer Umweltverantwortung gerecht. Unsere innovativen Konzepte setzen die vom ElektroG geforderte Abfallvermeidung und Wiederverwendung von Elektro- und Elektronik-Altgeräten von Gewerbekunden, insbesondere gebrauchte Computer und Smartphones, in die Praxis um. Wir helfen Ihnen dabei eine nachhaltige, dauerhafte und gesetzeskonforme Umweltstrategie zu verwirklichen.
Das Kreislaufwirtschaftsgesetz
Gesetz zur Förderung der Kreislaufwirtschaft und Sicherung der umweltverträglichen Bewirtschaftung von Abfällen
Was ist das KrWG?
Seit 2012 beinhaltet das Gesetz zur Förderung der Kreislaufwirtschaft und Sicherung der umweltverträglichen Bewirtschaftung von Abfällen (Kreislaufwirtschaftsgesetz, abgekürzt KrWG) die Kernregelung abfallrechtlicher Vorschriften. Zuvor wurde das Abfallrecht durch das Gesetz über die Beseitigung von Abfall (Abfallbeseitigungsgesetz, abgekürzt AbfG) geregelt.
Das KrWG setzt die europäische Richtlinie 2008/98/EG über Abfälle (sog. Abfall-Rahmen-Richtlinie – AbfRRL) in nationales Recht um und entwickelt somit das nationale Abfallrecht fort. Zwar behält das KrWG die wesentlichen Strukturelemente des Abfallbeseitigungsgesetzes bei, beinhaltet aber eine Erweiterung der Abfallwirtschaft, eine Verstärkung der Kreislaufwirtschaft und eine Förderung der Schonung natürlicher Ressourcen und legt damit die Grundlage für eine durchgreifende Verbesserung des Ressourcenmanagements und der Ressourceneffizienz in Deutschland.
Das Kreislaufwirtschaftsgesetz des Bundes wird ergänzt und konkretisiert durch die Abfallgesetze der Länder. Landesrechtliche Vorschriften greifen nur in den Bereichen, die nicht schon durch Bundesrecht erfasst sind, hauptsächlich betreffend Fragen des Vollzugs.
Regelungen für spezifische Produktabfälle finden sich zudem in weiteren Verordnungen bzw. Gesetzen, wie zum Beispiel für Elektronikaltgeräte im Elektro- und Elektronikgerätegesetz (abgekürzt ElektroG).
Was sind die Ziele des KrWG?
Hauptziele sind die Förderung der Kreislaufwirtschaft, der Schutz von Mensch und Umwelt sowie die Ressourcenschonung (§ 1 KrWG). Dazu zählt die Vermeidung von Abfällen, die Verwertung von Abfällen, der Schutz von Mensch und Umwelt bei der Abfallerzeugung, der Schutz von Mensch und Umwelt in der Abfallwirtschaft sowie die Reduzierung und die effiziente Nutzung natürlicher Rohstoffe in Produktionsvorgängen. Eine nachhaltige Produktion und ein umweltgerechter Konsum soll dazu führen, dass möglichst wenig Abfälle entstehen, entstandene Abfälle ordnungsgemäß verwertet werden und nicht vermeidbare und verwertbare Abfälle umweltverträglich beseitigt werden können. Insofern spiegelt das KrWG die Erwägungsgründe der Richlinine 2008/98/EG (AbfRRL) wieder.
Welche Maßnahmen zur Abfallverringerung nennt das KrWG?
Aus dem heutigen KrWG ergibt sich erstmalig eine Legaldefinition des Begriffs Kreislaufwirtschaft. Nach § 3 Abs. 19 KrWG sind darunter alle Maßnahmen zur Vermeidung und Verwertung von Abfällen zu verstehen.
Somit gilt das KrWG für die Vermeidung, die Verwertung und die Beseitigung von Abfällen sowie für sonstige Maßnahmen der Abfallbewirtschaftung, nicht dagegen für die nach dem Lebensmittel- und Futtermittelgesetzbuch, Milch- und Margarinegesetz, dem Tierseuchengesetz und dem Pflanzenschutzgesetz zu beseitigende Stoffe, für Kernbrennstoffe und sonstige radioaktive Stoffe im Sinn des Atomgesetzes, bestimmte Abfälle aus Bergbaubetrieben, für in Gewässer oder Abwasseranlagen eingeleitete oder eingebrachte Stoffe sowie für das Aufsuchen, Bergen, Befördern, Lagern, Behandeln und Vernichten von Kampfmitteln (§ 2 Abs. 2 KrWG mit weiteren Ausnahmen).
Abfallbegriff
Das KrWG gleicht den Abfallbegriff an die europäische Abfall-Rahmen-Richtlinie an und erweitert ihn. Erfasst sind alle Stoffe oder Gegenstände, deren sich der Besitzer entledigt, entledigen will oder entledigen muss (§ 3 Abs. 1 KrWG). Eine Entledigung liegt vor, wenn der Besitzer Stoffe oder Gegenstände einer Verwertung iSd Anl. 2, einer Beseitigung iSd Anl. 1 zuführt oder die tatsächliche Sachherrschaft über sie unter Wegfall jeder weiteren Zweckbestimmung aufgibt (§ 3 Abs. 2 KrWG).
Vermeidung
Als Vermeidung im Sinne des Gesetzes ist jede ergriffene Maßnahme, bevor ein Stoff, Material oder Erzeugnis zu Abfall geworden ist, zu verstehen (§ 3 Abs. 20 KrWG). Dies soll durch eine anlageninterne Kreislaufführung von Stoffen, eine abfallarme Produktgestaltung, die Wiederverwendung von Erzeugnissen, ihre verlängerte Lebensdauer durch entsprechende Produktqualität sowie ein Konsumentenverhalten, das auf den Erwerb abfall- und schadstoffarmer Produkte ausgerichtet ist, erreicht werden.
Verwertung
Des Weiteren sollen die Abfallmengen durch Verwertung verringert werden. Als Abfallverwertung wird in § 3 Abs. 23 KrWG jedes Verfahren definiert, als dessen Hauptergebnis die Abfälle innerhalb der Anlage oder in der weiteren Wirtschaft einem sinnvollen Zweck zugeführt werden, indem sie entweder andere Materialien ersetzen, die sonst zur Erfüllung einer bestimmten Funktion verwendet worden wären, oder indem die Abfälle so vorbereitet werden, dass sie diese Funktion erfüllen.
Wiederverwendung
Wiederverwendung im Sinne des KrWG ist jedes Verfahren, bei dem Erzeugnisse oder Bestandteile, die keine Abfälle sind, wieder für denselben Zweck verwendet werden, für den sie ursprünglich bestimmt waren (§ 3 Abs. 21 KrWG).
Recycling
Recycling im Sinne des KrWG ist jedes Verwertungsverfahren, durch das Abfälle zu Erzeugnissen, Materialien oder Stoffen entweder für den ursprünglichen Zweck oder für andere Zwecke aufbereitet werden. Es schließt die Aufbereitung organischer Materialien ein, nicht aber die energetische Verwertung und die Aufbereitung zu Materialien, die für die Verwendung als Brennstoff oder zur Verfüllung bestimmt sind (§ 3 Abs. 25 KrWG).
Um das Ziel der Ressourcenschonung und der Wiedergewinnung von Rohstoffen aus Abfall zu verwirklichen, kauft die Remarketing Company Ihre gebrauchte Hardware an und führt diese durch die angebotene Auditierung, Funktionsprüfung, Reparatur und abschließende Datenlöschung zum ursprünglichen Nutzungszweck zurück und trägt damit zur Abfallwiederverwendung im Sinne des KrWGs bei.
Was sind die wichtigsten Regelungen des KrWG?
Der Anwendungsbereich (§ 2 KrWG) wurde erweitert und die Begriffsbestimmungen (§ 3 KrWG) EU-rechtlich harmonisiert um mehr Rechtssicherheit zu gewährleisten. Auch gibt es Regelungen zu den praxisrelevanten Fragen der Abgrenzung von Abfall und Nebenprodukt (§ 4 KrWG) sowie zum Ende der Abfalleigenschaft (§ 5 KrWG).
Kern des Kreislaufwirtschaftsgesetzes ist die fünfstufige Abfallhierarchie (§ 6 KrWG) und ihre Umsetzung im bisherigen Grundpflichtenmodell (§§ 6 bis 8 KrWG). Die neue Hierarchie legt die grundsätzliche Stufenfolge aus Abfallvermeidung, Wiederverwendung, Recycling und sonstiger, u.a. energetischer Verwertung von Abfällen und schließlich der Abfallbeseitigung fest. Die Grundpflichten der Kreislaufwirtschaft stellen die Vermeidung und Verwertung von Abfällen dar. Vorrang hat jeweils die Option, die den Schutz von Mensch und Umwelt am besten gewährleistet (§ 8 KrWG). Zu berücksichtigen sind dabei technische, wirtschaftliche und soziale Folgen.
Zudem gibt es strenge Vorgaben für das Recycling. Bis 2020 soll für Siedlungsabfälle insgesamt eine Recyclingquote von mindestens 65% sowie für Bau- und Abbruchabfälle eine stoffliche Verwertungsquote von mindestens 70% erreicht werden (§ 14 KrWG). Als rohstoffarmes Land ist Deutschland auf eine Erhöhung des Anteils an Sekundärrohstoffen aus Abfällen angewiesen.
An wen richtet sich das KrWG?
Die Grundpflichten des Kreislaufwirtschaftsgesetzes treffen in abgestufter Form jeden Besitzer oder Erzeuger von Abfällen. Sie sind zur Verwertung ihrer Abfälle verpflichtet. Die Verwertung von Abfällen hat Vorrang vor deren Beseitigung (§ 7 Abs. 2 KrWG).
Aber das Gesetz wendet sich auch an Entwickler, Hersteller, Be- und Verarbeiter von Erzeugnissen in Hinblick auf die Erfüllung der Ziele der Kreislaufwirtschaft. Für sie ergibt sich eine Produktverantwortungspflicht. Diese fordert die Erzeugnisse möglichst so zu gestalten, dass bei ihrer Herstellung und ihrem Gebrauch das Entstehen von Abfällen vermindert wird und sichergestellt ist, dass die nach ihrem Gebrauch entstandenen Abfälle umweltverträglich verwertet oder beseitigt werden (§§ 23 bis 27 KrWG).
Wer muss gewerblich Abfälle entsorgen?
Erzeuger oder Besitzer von Abfällen aus privaten Haushalten sind verpflichtet, ihre Abfälle dem öffentlich-rechtlichen Entsorgungsträger zu überlassen.
Für Abfälle zur Verwertung aus dem gewerblichen und industriellen Bereich gibt es keine Überlassungspflichten an den öffentlich-rechtlichen Entsorgungsträger. Erzeuger und Besitzer von Abfällen zur Verwertung aus Gewerbe und Industrie haben die Möglichkeit, diese Abfälle privaten Entsorgungsträgern zu überlassen. Für die Erfüllung ihrer vorrangigen Pflicht zu einer ordnungsgemäßen, schadlosen und hochwertigen Verwertung sind die Erzeuger und Besitzer dieser Abfälle selbst verantwortlich (§§ 17 und 18 KrWG).
Fazit
Das KrWG stellt hohe Anforderungen an die Entsorgung von Abfällen zum Schutz von Umwelt und Gesundheit. Durch Stärkung der Abfallvermeidung und des Recyclings von Abfällen trägt das KrWG zu einer nachhaltigen Verbesserung des Umwelt- und Klimaschutzes sowie der Ressourceneffizienz in der Abfallwirtschaft bei. Gewerblichen Erzeuger und Besitzer von Abfällen sind grundsätzlich selbst für die Entsorgung ihrer Abfälle verantwortlich, eine Andienungs- und Überlassungspflicht zur Sicherung der Auslastung kommunaler Entsorgungsbetriebe ist unzulässig.
Welche Hilfe bei einer gesetzeskonformen Umsetzung bieten wir?
Das Gesetzesziel des KrWG wird von der Remarketing Company in die Praxis umgesetzt. Wir sorgen für die Vermeidung von Abfällen und die Verwertung von ursprünglich entsorgungsbedürftigen IT-Altgeräten. Diese führen wir nach einer Auditierung, Funktionsprüfung und einer gegebenenfalls vorzunehmenden Reparatur wieder in die Kreislaufwirtschaft zurück. Auf diese Weise werden durch uns nicht nur Abfälle vermieden sondern auch die natürlichen Ressourcen unserer Erde geschont, da der hohe Energieaufwand für das Recycling der Rohstoffe wegfällt. Wir helfen Ihnen dabei eine nachhaltige, dauerhafte und gesetzeskonforme Umweltstrategie zu verwirklichen
Das Kreislaufwirtschaftsgesetz setzt die europäische Richtlinie 2008/98/EG über Abfälle auf nationaler Ebene um. Lesen Sie hier mehr zur Abfall-Rahmen-Richtlinie:
Die WEEE-Richtlinie
Richtlinie 2012/19/EU über Elektro- und Elektronik-Altgeräte
Was ist die WEEE-Richtlinie?
Die Richtlinie 2012/19/EU über Elektro- und Elektronik-Altgeräte (sog. WEEE-Richtlinie – aus dem Englischen: Waste of Electrical and Electronic Equipment, auf Deutsch: Elektro- und Elektronikgeräte-Abfall) regelt Maßnahmen bezüglich der Entsorgung von Elektro- und Elektronik-Altgeräten.
Die WEEE-Richtlinie ist 2003 in Europa in Kraft getreten und 2012 novelliert worden. Sie legt die Mindestnormen für die Behandlung von Elektro- und Elektronik-Altgeräten in der EU fest. Die EU-Mitgliedsstaaten sind verpflichtet sie in nationales Recht umzusetzen. In Deutschland ist dies durch das Gesetz über das Inverkehrbringen, die Rücknahme und die umweltverträgliche Entsorgung von Elektro- und Elektronikgeräten (Elektro- und Elektronikgerätegesetz – ElektroG) geschehen.
Was sind die Ziele der WEEE-Richtlinie?
Aus der Richtlinie 2012/19/EU über Elektro- und Elektronik-Altgeräte geht hervor, dass durch die anhaltende Marktexpansion und immer kürzere Innovationszyklen Geräte schneller ersetzt werden. Um dieser immer schneller wachsenden Abfallquelle entgegenzuwirken, setzt die WEEE-Richtlinie als vorrangiges Ziel die Vermeidung von Abfällen von Elektro- und Elektronik-Altgeräten und darüber hinaus die Wiederverwendung, das Recycling und andere Formen der Verwertung solcher Abfälle, um die zu beseitigende Abfallmengen zu reduzieren sowie Ressourcen nachhaltig und effizient zu nutzen (Art. 1 Richtlinie 2012/19/EU). Dies soll dem Schutz der Umwelt dienen, besonders soll der Eintrag von Schadstoffen aus Elektro- und Elektronikgeräten in Abfällen verringert werden.
Um den Umweltschutz so effektiv wie möglich durchzusetzen und deutlich mehr Altgeräte einer Verwertung zuführen zu können, gibt die WEEE-Richtlinie Sammelquoten vor (Art. 7 Richtlinie 2012/19/EU). Diese verpflichten Mitgliedsländer höhere Mengen von Elektro- und Elektronikaltgeräten zu sammeln und zu verwerten. So müssen ab 2016 EU-Mitgliedstaaten 45% des Durchschnittsgewichts der in den drei Vorjahren in Verkehr gebrachten Elektro- und Elektronikgeräte einsammeln und diese bis 2019 auf 65% der in Verkehr gebrachten Geräte oder alternativ auf 85 % der als Abfall anfallenden Altgeräte steigern. Folglich steigt in den einzelnen Ländern der Druck die Vorgaben zu erfüllen. Zukünftig kann daher mit strengeren Kontrollen und höheren Sanktionen gerechnet werden.
Die von uns angebotene Auditierung, Funktionsprüfung, Reparatur und abschließende Datenlöschung nach dem Ankauf Ihrer gebrauchter IT-Altgeräte als Zuführung zum ursprünglichen Nutzungszweck ist daher als Abfallvermeidungsmaßnahme im Sinne der WEEE-Richtlinie anzusehen, dient dem Umweltschutz und trägt zur Erreichung der vorgeschriebenen Sammelquote für Deutschland bei.
Welche Produkte sind betroffen?
Elektro- und Elektronikgeräte
Elektro- und Elektronikgeräte sind Geräte, die zu ihrem ordnungsgemäßen Betrieb elektrische Ströme bzw. elektromagnetische Felder erzeugen, verbrauchen, übertragen oder messen und für den Betrieb mit Wechselspannungen von höchstens 1000 Volt oder Gleichspannung von höchstens 1500 Volt ausgelegt sind (Art. 3 Nr. 1 Richtlinie 2008/98/EG).
Die WEEE-Richtlinie gilt für alle privat und gewerblich genutzten Elektro- und Elektronikgeräte, die unter die Kategorien der Haushaltsgeräte, der Geräte für Informations- und Telekommunikationstechnik sowie Unterhaltungstechnik, der Beleuchtungskörper, der elektrischen und elektronischen Werkzeuge (Ausnahme ortsfeste industrielle Großwerkzeuge), der Spielzeug und Fitnessgeräte, der Medizinprodukte (Ausnahme implantierte und infektiöse Produkte), der Überwachungs- und Kontrollinstrumente sowie der automatischen Ausgabegeräte fallen, mit Ausnahme von Geräten, die für militärische Zwecke bestimmt sind und Glühbirnen. Diese Geräte dürfen nicht Teil eines anderen Gerätes sein, welches nicht in den Anwendungsbereich der WEEE-Richtlinie fällt (Art. 2 Abs. 3 Richtlinie 2012/19/EU).
Altgeräte
Die Entsorgung betreffend muss es sich bei solchen Elektro- und Elektronikgeräten um Altgeräte handeln. Ein Altgerät liegt nur dann vor, wenn der Besitzer sich des Gerätes entledigt, entledigen will oder entledigen muss (Art. 3 Abs. 1 lit. e) Richtlinie 2012/19/EU, Art. 3 Absatz 1 Richtlinie 2008/98/EG). Auch Bauteile bzw. Baugruppen sind erfasst.
Änderung des Anwendungsbereichs ab dem 15. August 2018
Die WEEE-Richtlinie gilt bis zum 14. August 2018 für alle Elektro- und Elektronikgeräte, die unter eine der oben genannten 10 Kategorien fallen (siehe auch Anlage I der WEEE-Richtlinie). Diese Liste von Gerätekategorien ist deckungsgleich mit der entsprechenden Aufzählung in § 2 Abs. 1 Nr. 1-10 ElektroG, allerdings mit einer Ausnahme zu Photovoltaikmodulen.
Ab dem 15. August 2018 werden grundsätzlich alle Elektro- und Elektronikgeräte erfasst. Der Anwendungsbereich umfasst dann folgende 6 Gerätekategorien (siehe Anhang III der Richtlinie):
1. Wärmeüberträger
2. Bildschirme, Monitore und Geräte, die Bildschirme mit einer Oberfläche von mehr als 100 cm² enthalten
3. Lampen
4. Großgeräte, bei denen mindestens eine der äußeren Abmessungen mehr als 50 cm beträgt
5. Kleingeräte, bei denen keine der äußeren Abmessungen mehr als 50 cm beträgt
6. Kleine IT- und Telekommunikationsgeräte, bei denen keine der äußeren Abmessungen mehr als 50 cm beträgt.
Was sind die wichtigsten Regelungen der WEEE-Richtlinie?
Die novellierte WEEE-Richtlinie (Richtlinie 2012/19/EU) änderte die vorangegangene Richtlinie (Richtlinie 2008/98/EG) in wesentlichen Punkten. Der Herstellerbegriff wurde neu und weiter gefasst und konkretisiert. Die Definition von „Hersteller“ kann innerhalb des Lebenszyklus eines Produkts unter Umständen mehrere Glieder der Vertriebskette betreffen (z. B. Hersteller, Distributor, Fachhändler). Des Weiteren wurde die Registrierung für den Hersteller in einem anderen EU-Staat durch die Möglichkeit der Beauftragung eines Bevollmächtigten vereinfacht (Art. 17 Richtlinie 2012/19/EU). Neu ist auch, dass den Vertreiber eine unentgeltliche Rücknahmepflicht ab einer Verkaufsfläche von mindesten 400 m2 trifft. Zudem schreibt die aktuelle WEEE-Richtlinie vor, dass in jedem Mitgliedstaat nationale Register gegründet werden müssen. Vor Verkaufsbeginn sind Hersteller im entsprechenden Land dazu verpflichtet, sich bei diesen zuständigen Behörden zu registrieren und eine WEEE-Nummer zu beantragen. Auch schreibt die WEE-Richtlinie vor, wie gewerblich genutzte Elektro- und Elektronikaltgeräte zu entsorgen sind.
Wer muss gewerblich genutzte Altgeräte entsorgen?
Die WEEE-Richtlinie legt konkrete Pflichten für die Entsorgung von gewerblich genutzten Altgeräten in Art. 13 fest (B2B-Geräte). Als B2B-Geräte werden solche Elektro- und Elektronikgeräte bezeichnet, die ausschließlich in anderen als privaten Haushalten genutzt werden oder gewöhnlich nicht in privaten Haushalten genutzt werden.
Im Gegensatz zu privaten Besitzern, dürfen Elektro- und Elektronik-Altgeräte von Gewerbekunden nicht bei Sammelstellen der öffentlich-rechtlichen Entsorgungsträger angeliefert werden. Hersteller bzw. dessen Bevollmächtigte (Art. 17 Richtlinie 2012/19/EU) sind für die Abholung und Entsorgung von Altgeräten aus dem rein gewerblichen Bereich verantwortlich, soweit es sich um Produkte von den oben genannten Kategorien handelt, die nach dem 13. August 2005 in Verkehr gebracht wurden (Art. 13 Abs. 1 Richtlinie 2012/19/EU). Der Hersteller bzw. dessen Bevollmächtigter ist verpflichtet eine zumutbare Möglichkeit zur Rückgabe zu schaffen und die Altgeräte auf eigene Kosten zu entsorgen. Allerdings besteht diesbezüglich das Recht, abweichende Vereinbarungen mit dem Nutzer zu treffen (Art. 13 Abs. 2 Richtlinie 2012/19/EU).
Historische Altgeräte
Anderes gilt für historische Altgeräte. Zur Entsorgung von historischen Altgeräten, die nicht aus privaten Haushalten stammen, ist der Letztbesitzer zu einer ordnungsgemäßen Entsorgung auf eigene Kosten verpflichtet (Art. 13 Abs. 1 Richtlinie 2012/19/EU).
Vertreiber mit einer Verkaufsfläche von mindesten 400 m2
Zudem besteht eine unentgeltliche Rücknahmepflicht für Vertreiber (Art. 5 Abs. 2 Richtlinie 2012/19/EU). Bei privaten Kauf eines neuen Produkts muss der Vertreiber sicherstellen, dass die Altgeräte an ihn kostenlos zurückgegeben werden können, sofern das zurückgegebene Gerät gleichwertiger Art ist und dieselben Funktionen wie das abgegebene Gerät hat. Mitgliedsstaaten können von dieser Regelung abweichen. Zurückgenommen werden müssen jedoch alle kleinen Elektrogeräte, die in keiner äußeren Abmessung größer als 25 cm sind, von Vertreibern in Einzelhandelsgeschäften mit Verkaufsfläche für Elektro- und Elektronikgeräte von mindestens 400m2 oder in unmittelbarer Nähe (Art. 5 Abs. 2 lit. c) Richtlinie 2012/19/EU). Dies gilt unabhängig davon, ob der Endnutzer ein neues Gerät kauft oder ein altes nur zurückbringt.
Fazit
Die WEEE-Richtlinie stellt hohe Anforderungen an die Entsorgung von Elektro- und Elektronik-Altgeräten zum Schutz von Umwelt und Gesundheit. Sie nimmt die Hersteller deutlich stärker in die Verantwortung und schreibt den Mitgliedsstaaten einzuhaltenden Sammelquoten vor.
Welche Hilfe bei einer richtlinienkonformen Umsetzung bieten wir?
Die Remarketing Company kauft Ihre gebrauchten Elektro- und Elektronikaltgeräte, insbesondere Computer und Smatphones, an und führt entsprechende Recyclingdienstleistungen durch. Anschließend verkaufen wir die gebrauchten Hardwareprodukte für Sie weiter. Wir setzen für Ihr Unternehmen die Abfallvermeidung und Wiederverwendung von Elektro- und Elektronik-Altgeräten richtlinienkonform um. Durch die Involvierung der Remarketing Company implementieren Sie die vom europäischen Richtliniengeber definierten umweltrechtlichen Anforderungen in die bestehenden Prozesse Ihres Unternehmens und verwirklichen so eine nachhaltige und dauerhafte Entsorgungsstrategie.
Die Datenschutz-Grundverordnung (DS-GVO)
Die EU-Datenschutz-Grundverordnung 2016/679 trat am 25. Mai 2018 in Kraft
Was ist die DS-GVO?
Die EU-Datenschutz-Grundverordnung 2016/679 (abgekürzt DS-GVO) ist eine Verordnung der Europäischen Union, die den Umgang mit personenbezogenen Daten durch private Unternehmen und öffentliche Stellen in der EU regelt.
Die Datenschutz-Grundverordnung ersetzt die Datenschutzrichtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Am 25. Mai 2016 ist die neue EU-Datenschutz-Grundverordnung in Kraft getreten. Zwingend anzuwenden ist sie seit dem 25. Mai 2018.
Sie wird unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union und bedarf somit nicht eines nationalen Umsetzungsaktes. Die meisten Datenschutzgesetze der Mitgliedsstaaten traten daher ab Mai 2018 außer Kraft. Dadurch soll ein gleichwertiges Datenschutzniveau in der EU geschaffen werden. Dem steht jedoch entgegen, dass die DS-GVO ca. 50 bis 60 Öffnungsklauseln enthält, in denen die Verordnung nur Mindeststandards setzt und es den Mitgliedsstaaten überlässt, hierzu detailliertere Regelungen zu treffen. Dies gilt etwa bei den Anforderungen an die Bestellung eines Datenschutzbeauftragten und beim Mitarbeiterdatenschutz.
Um das deutsche Recht an die Verordnung anzupassen und diesen Mindeststandards umzusetzen, wurde das Bundesdatenschutzgesetz neu verfasst (abgekürzt BDSG neu).
Was wird durch die DS-GVO geschützt?
Ziel der Verordnung ist ein gleichwertiges Schutzniveau für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung von Daten in allen Mitgliedstaaten. Dadurch wird Bürgerinnen und Bürgern mehr Kontrolle über personenbezogene Daten gewährt. Zum einen sollen die den Datenschutz betreffenden Grundrechte und Grundfreiheiten des Einzelnen geschützt werden, andererseits muss vermiedenen werden, dass der Grundrechtschutz den freien Verkehr solcher Daten in der Europäischen Union einschränkt oder unterbindet. So enthält die Verordnung Normen zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten sowie solche zum freien Verkehr dieser Daten innerhalb des Europäischen Binnenmarktes. Die DS-GVO trägt damit zum wirtschaftlichen und sozialen Fortschritt innerhalb der Europäischen Union sowie zum Wohlergehen natürlicher Personen bei.
Grundrecht auf Datenschutz
Die Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen, insbesondere das Recht auf Schutz personenbezogener Daten. Denn Datenschutz soll jedem Menschen das Recht geben grundsätzlich selber darüber zu entscheiden, wem wann welche seiner persönlichen Daten zugänglich sein sollen. Der Schutz personenbezogener Daten ist Menschenrecht. Was der Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten umfasst, ergibt sich somit aus Art. 8 GRC sowie Art. 16 Abs. 1 AEUV. Der durch die DS-GVO gewährte Schutz betrifft demnach die Verarbeitung personenbezogener Daten natürlicher Personen ungeachtet ihrer Staatsangehörigkeit oder ihres Aufenthaltsortes. Der Schutz richtet sich sowohl gegen den Staat als auch gegen private Datenverarbeiter, insbesondere auch gegen Marktgiganten, die diese Daten zum Gegenstand ihres Geschäftsmodells machen. Die Verordnung gilt nicht für die Verarbeitung personenbezogener Daten juristischer Personen und insbesondere als juristische Person gegründeter Unternehmen.
Freier Datenverkehr innerhalb der EU
Auch wird der freie Datenverkehr innerhalb der Union geschützt. Der freie Verkehr personenbezogener Daten darf aus Gründen des Schutzes der Betroffenen weder eingeschränkt noch verboten werden. Der Datenschutz darf keine Grundlage für innereuropäische Verkehrsbeschränkungen sein. Es gilt sicherzustellen, dass der Austausch auch von personenbezogenen Daten europaweit frei bleibt. Übermittlung aus der EU in Drittstaaten ist geregelt durch die Vorschriften zur Drittstaatenübermittlung (Art. 44 ff. DS-GVO).
Schutz vor Verarbeitung personenbezogener Daten
Geschützt werden personenbezogene Daten. Darunter sind alle Daten zu verstehen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 4 Nr. 1 DS-GVO). Nicht erfasst sind damit Daten, die keinen Personenbezug aufweisen.
Die Datenschutz-Grundverordnung soll den Einzelnen vor der Verarbeitung personenbezogener Daten schützen, wenn diese automatisiert oder für ein Dateisystem erfolgt (Art. 2 Abs. 1 DS-GVO). Verarbeitung umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DS-GVO). Letztlich ist jeglicher Umgang mit personenbezogenen Daten umfasst. Wer die Daten verarbeitet, ist grundsätzlich irrelevant. Insbesondere kommt es nicht darauf an, ob ein hoheitlich Tätiger oder ein privater Verantwortlicher handelt.
Art. 2 Abs. 2 DS-GVO enthält Ausnahmen vom Anwendungsbereich. Abs. 2 lit. a beschränkt den Anwendungsbereich der Verordnung auf Tätigkeiten, die in den Anwendungsbereich des Unionsrechts fallen. Abs. 2 lit. b nimmt Datenverarbeitungen der Mitgliedstaaten im Rahmen der gemeinsamen Außen- und Sicherheitspolitik vom Anwendungsbereich der Verordnung aus. Abs. 2 lit. c schließt die Anwendung der DS-GVO auf die Verarbeitung personenbezogener Daten durch natürliche Personen zur Ausübung ausschließlicher persönlicher oder familiärer Tätigkeiten aus. Nach Abs. 2 lit. d fallen Datenverarbeitungen zur Bekämpfung von Straftaten nicht unter die Verordnung.
An wen richtet sich die DS-GVO?
Die Verordnung findet Anwendung auf die Verarbeitung personenbezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, unabhängig davon, ob die Verarbeitung in der Union stattfindet (Art. 3 Abs. 1 DS-GVO). Doch gilt die Datenschutz-Grundverordnung nicht nur für Unternehmen mit Sitz innerhalb der EU, sondern auch für Anbieter mit Sitz außerhalb der EU, soweit sie ihre Produkte und Dienstleistungen in der EU anbieten und dabei personenbezogene Daten über die in der EU ansässigen Personen erheben, verarbeiten und nutzen (Art. 3 Abs. 2 DS-GVO). Der Ort der Datenverarbeitung spielt somit keine Rolle.
Als Verantwortlicher gilt nach der Definition des Art. 4 Nr. 7 DS-GVO jede natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Verantwortlichen haften nach der DS-GVO dafür, dass bei jedem Verarbeitungsvorgang die Vorschriften der Verordnung eingehalten werden.
Was sind die wichtigsten Regelungen der DS-GVO?
Grundsätze für die Datenverarbeitung
Art. 5 Abs. 1 DS-GVO regelt eine Vielzahl von Grundsätzen für die Verarbeitung personenbezogener Daten:
- Nach lit. a muss eine Verarbeitung auf rechtmäßige Weise und nach dem Grundsatz von Treu und Glauben vorgenommen werden und für die betroffene Person nachvollziehbar sein.
- Eine Verarbeitung erfolgt nur für festgelegte, eindeutige und legitime Zwecke (Art. 5 Abs. 1 lit. b DS-GVO). Legitim ist der Zweck, wenn einer der Erlaubnistatbestände aus Art. 6 DS-GVO erfüllt ist, aber auch, wenn der Zweck gesetzlich vorgesehen ist.
- Nach lit. c muss eine Verarbeitung dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein (Datenminimierung). Die Daten müssen also qualitativ und quantitativ begrenzt werden.
- Personenbezogene Daten müssen richtig sein, um als Repräsentation der Realität gelten zu können. Daher sind alle angemessenen Maßnahmen zu treffen, damit unrichtige personenbezogene Daten unverzüglich gelöscht oder berichtigt werden (Art. 5 Abs. 1 lit. d DS-GVO).
- Daten müssen in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es erforderlich ist (Art. 5 Abs. 1 lit. e DS-GVO).
- Die personenbezogenen Daten sollen vor Beeinträchtigungen geschützt werden. Es soll eine angemessene Sicherheit sowie Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung gewährleistet werden (Art. 5 Abs. 1 lit. f DS-GVO).
Der Verantwortliche trägt die Rechenschaftspflicht, d.h. er ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (Art. 5 Abs. 2 DS-GVO).
Rechtmäßigkeit der Datenverarbeitung
Der Umgang mit personenbezogenen Daten bleibt auch weiterhin verboten, wenn er nicht durch einen Erlaubnistatbestand der DS-GVO oder durch eine sonstige zulässige Rechtsgrundlage, die sich aus Unionsrecht oder dem Recht der Mitgliedstaaten ergibt, vorgesehen ist. Die Erlaubnistatbestände aus Art. 6 DS-GVO sind:
- Es liegt eine Einwilligung des Betroffenen vor. Eine Einwilligung soll durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Detaillierte Anforderungen finden sich in Art. 7 und Art. 8 DS-GVO .
- Die Verarbeitung ist für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich.
- Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
- Die Verarbeitung ist erforderlich, um lebenswichtige Interessen zu schützen.
- Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt.
- Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, wenn keine schutzwürdigen Interessen des Betroffenen überwiegen. Hier ist eine Interessensabwägung vorzunehmen.
Für Erhebung und Verarbeitung personenbezogener Daten gilt der Grundsatz der Zweckbindung. Daten dürfen ausschließlich für den Zweck erhoben werden, der im Vorfeld festgelegt wurde. In Art. 6 Abs. 4 DS-GVO ist aber auch eine Regelung enthalten, nach der Daten später auch zu Zwecken verarbeitet werden dürfen, die nicht dem ursprünglichen Zweck der Erhebung entsprechen. Dies ist aber nur dann zulässig, wenn die Verarbeitung mit dem ursprünglichen Erhebungszweck vereinbar ist. In diesem Fall ist dann keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Ersterhebung der personenbezogenen Daten.
Verarbeitung von sensiblen Daten
Personenbezogene Daten, die hinsichtlich der Grundrechte und Grundfreiheiten besonders sensibel sind, verdienen einen besonderen Schutz, da im Zusammenhang mit ihrer Verarbeitung erhebliche Risiken für die Grundrechte und Grundfreiheiten auftreten können. Sensible Daten sind solche, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgeht, sowie die Verarbeitung von genetischen Daten, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person (Art. 9 Abs. 1 DS-GVO). Eine Verarbeitung solcher personenbezogenen Daten ist nur unter speziellen Umständen erlaubt, z.B. durch Einwilligung oder wenn sie im Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen ist und eine Verarbeitung durch das öffentliche Interesse gerechtfertigt ist (weitere Erlaubnistatbestände in Art. 9 Abs. 2 DS-GVO).
Informationspflichten
Die Rechte der Nutzer werden durch neue Transparenz- und Informationspflichten der datenverarbeitenden Unternehmen gestärkt, damit Betroffene leichter Zugang zu ihren Daten und der Information über deren Nutzung haben.
Art. 13 DS-GVO regelt Art und Umfang der Informationspflicht des Verantwortlichen bei Erhebung von personenbezogenen Daten gegenüber der betroffenen Person. Eine solche Information muss sofort bei Erhebung der Daten erfolgen. Dabei legt Abs. 1 diejenigen Informationen fest, die der Verantwortliche mitzuteilen hat, wenn personenbezogene Daten bei der betroffenen Person erhoben werden:
- Name und Kontaktdaten des Verantwortlichen,
- Kontaktdaten des Datenschutzbeauftragten,
- Zwecke und Rechtsgrundlage der Datenverarbeitung,
- Darlegung der berechtigten Interessen, wenn die Datenverarbeitung auf dem Tatbestand der berechtigten Interessen aus Art.6 1 lit. f DS-GVO beruht,
- Empfänger oder Kategorien von Empfängern der Daten,
- Informationen zu den Empfängern der Datenübermittlung,
- Informationen zu den empfangenden Drittländern.
Abs. 2 erweitert die Informationspflicht um weitere Informationen, die zur Gewährleistung einer fairen und transparenten Verarbeitung notwendig sind:
- Dauer der Datenspeicherung,
- Belehrung über Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht, Datenübertragbarkeit und das Beschwerderecht bei einer Aufsichtsbehörde,
- Bereitstellung der Daten auf gesetzlicher oder vertraglicher Basis und mögliche Folgen der Nichtbereitstellung,
- Bestehen einer automatisierten Einzelfallentscheidung einschließlich Profiling.
Dass betreffende personenbezogene Daten verarbeitet werden, sollte der betroffenen Person zum Zeitpunkt der Erhebung mitgeteilt werden. Falls der Verantwortliche erhobene personenbezogene Daten für einen anderen als den ursprünglichen Zweck zu verarbeiten beabsichtigt, sind vor der Weiterverarbeitung ebenso (neue und erweiterte) Informationen der betroffenen Person zur Verfügung zu stellen (Abs. 3). Diese Pflichten bestehen nicht, wenn und soweit die betroffene Person bereits über die Informationen verfügt (Abs. 4). Der Anspruch ist auch dann ausgeschlossen, wenn die Informationserteilung einen unverhältnismäßig hohen Aufwand erfordert oder gar unmöglich ist. Dann ist allerdings eine öffentliche Bekanntmachung dieser Information, z.B. auf einer Webseite, von Nöten.
Art. 14 DS-GVO regelt die Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden. Der Verantwortliche muss der betroffenen Person die selben Informationen wie in Art. 13 DS-GVO mitteilen. Falls der Verantwortliche erhobene personenbezogene Daten für einen anderen als den ursprünglichen Zweck zu verarbeiten beabsichtigt, sind vor der Weiterverarbeitung ebenso Informationen der betroffenen Person zur Verfügung zu stellen (Abs. 4). Die Informationspflichten bestehen nach Abs. 5 nicht, wenn die betroffene Person bereits über die Informationen verfügt (lit. a), sich die Erteilung der Information als unmöglich erweist (lit. b), die Maßnahme bereits im Unionsrecht ausdrücklich geregelt ist (lit. c) oder vom Schutz des Berufsgeheimnisses umfasst ist (lit. d).
Transparenzpflichten
Die Informationen nach Art. 13 und 14 DS-GVO müssen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden, dies gilt insbesondere für Informationen, die sich speziell an Kinder richten (Art. 12 Abs. 1 DS-GVO). Die Übermittlung der Informationen kann schriftlich, elektronisch oder in anderer Form erfolgen. Für natürliche Personen bedeutet Transparenz, dass sie betreffende personenbezogenen Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden. Auch soll sie Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung erhalten.
Weitere Rechte der Nutzer
Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob, wie und zu welchem Zweck die sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie nach Art. 15 DS-GVO ein Recht auf Auskunft über diese personenbezogenen Daten. Zudem hat die betroffene Person nach Art. 16 DS-GVO das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Auch steht der betroffenen Person das Recht zu, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen („Recht auf Vergessenwerden“, Art. 17 DS-GVO.
Auftragsdatenverarbeitung
Die Auftragsdatenverarbeitung ist nach Art. 28 und 29 DS-GVO erlaubt. Darunter versteht man die Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten durch einen Auftragsverarbeiter, der hinreichend Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Schutz der Rechte der betroffenen Person gewährleistet. Die Verarbeitung erfolgt gemäß den Weisungen des für die Verarbeitung Verantwortlichen auf Grundlage eines schriftlichen Vertrags. Darunter fallen z.B. Unternehmen, die ihre Daten bei einem externen Rechenzentrum speichern oder die externe Stellen zur Buchhaltung beauftragen.
Durchführung von Datenschutz-Folgenabschätzungen
Außerdem stellt die DS-GVO auch eine neue Anforderung an den Datenschutz in Unternehmen durch die Pflicht zur Datenschutz-Folgenabschätzung. Eine Datenschutz-Folgenabschätzung ist notwendig, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 DS-GVO). Sie ist beispielsweise bei umfangreichen Verarbeitungsvorgängen durchzuführen, die dazu dienen, große Mengen personenbezogener Daten auf regionaler, nationaler oder supranationaler Ebene zu verarbeiten, eine große Zahl von Personen betreffen und wahrscheinlich ein hohes Risiko mit sich bringen und bei denen eine neue Technologie eingesetzt wird, sowie für andere Verarbeitungsvorgänge, die ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringen, insbesondere dann, wenn diese Verarbeitungsvorgänge den betroffenen Personen die Ausübung ihrer Rechte erschweren.
Datenschutzbeauftragter
Nach Art. 37 DS-GVO besteht nun eine europaweite Pflicht einen Datenschutzbeauftragten zu bestellen. Diese besteht für Behörden, öffentliche Stellen und Unternehmen. Sie besteht, wenn die Verarbeitung personenbezogener Daten als Kerntätigkeit einzustufen ist, welche aufgrund ihrer Art, ihres Umfangs oder Zwecks eine umfangreiche, regelmäßige und systemische Überwachung erfordert. Ebenso besteht die Verpflichtung zur Bestellung, sofern besondere Kategorien von Daten in der Verarbeitung betroffen sind und auch hier eine Kerntätigkeit vorliegt.
Der Verantwortliche oder der Auftragsverarbeiter soll bei der Überwachung der internen Einhaltung der DS-GVO von einer weiteren Person, die über Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzverfahren verfügt, unterstützt werden, dem Datenschutzbeauftragten. Jedes Unternehmen unterliegt der Verpflichtung, eigenständig zu prüfen, zu dokumentieren und nachzuweisen, ob das Erfordernis besteht, einen Datenschutzbeauftragten zu bestellen.
Der Datenschutzbeauftragte unterrichtet und berät den Verantwortlichen und deren Beschäftigte, sorgt für eine Einhaltung der Datenschutz-Grundverordnung, nationaler Gesetze und die Sicherstellung des Datenschutzes. Auf Anfrage des Verantwortlichen hat der Datenschutzbeauftragte mit der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO zu beraten. Schließlich obliegt es dem Datenschutzbeauftragten mit der Aufsichtsbehörde zusammenzuarbeiten und für diese eine Anlaufstelle darzustellen. Dabei muss dieser völlig unabhängig handeln.
Übermittlung personenbezogener Daten in Drittländer
Die Übermittlung personenbezogener Daten an Unternehmen in Drittländern oder an internationale Organisationen ist für die Ausweitung des internationalen Handels und der internationalen Zusammenarbeit notwendig. Eine solche Übermittlung ist allerdings nur unter strikter Einhaltung der DS-GVO zulässig (Art. 44 DS-GVO). Wichtig ist, dass die Gesetzgebung des jeweiligen Landes ein angemessenes Datenschutzniveau gewährleistet. Wie bisher wird auch weiterhin von der EU Kommission festgelegt, welche Drittländer die Voraussetzungen erfüllen.
Datenschutzaufsichtsbehörden
Art. 51 DS-GVO verpflichtet die Mitgliedstaaten eine oder mehrere unabhängige Aufsichtsbehörden zu errichten. Die Aufsichtsbehörden sind wichtig, damit Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird.
Art. 52 DS-GVO regelt vorrangig die Unabhängigkeit der einzelnen mitgliedstaatlichen Aufsichtsbehörden. Zudem verpflichtet Abs. 4 die Mitgliedstaaten zu einer hinreichenden Ausstattung ihrer jeweiligen Behörden, sodass diesen eine effektive Aufgabenwahrnehmung möglich ist, d.h. jede Aufsichtsbehörde sollte mit Finanzmitteln, Personal, Räumlichkeiten und einer Infrastruktur ausgestattet werden.
Die Aufsichtsbehörden sollen die Anwendung der DS-GVO überwachen und zu ihrer einheitlichen Anwendung in der gesamten Union beitragen. Außerdem gehört zu den Aufgaben der Aufsichtsbehörden die Aufklärung der Öffentlichkeit über die Rechte der Datenverarbeitung und die Beschwerdezuständigkeit. Die Behörden müssen sich untereinander abstimmen und zusammenarbeiten.
Haftungsansprüche
Haftungsansprüche sind in Art. 82 DS-GVO geregelt. Betroffene können Haftungsansprüche auf materielle oder immaterielle Schäden (moralische Schäden) geltend machen. Die betroffenen Personen sollten einen vollständigen und wirksamen Schadenersatz für den erlittenen Schaden erhalten. Somit haftet jeder an einer Verarbeitung beteiligte Verantwortliche für den Schaden, der durch eine nicht der DS-GVO entsprechende Verarbeitung verursacht wurde. Dafür wird geprüft, ob die Datenverarbeitung so erfolgt ist, wie es für den Betroffenen zu erwarten war. Der Verantwortliche kann von seiner Haftung befreit werden, wenn er nachweist, dass er in keiner Weise für den Schaden verantwortlich ist. Für Unternehmen bedeutet dies trotzdem, dass sie nun einem deutlich höheren Haftungsrisiko ausgesetzt sind und ihre Prozesse daher kritischer betrachten müssen.
Sanktionen bei Verstößen gegen die DS-GVO
Fast jeder Verstoß gegen die DS-GVO kann geahndet werden. Die Höhe von Bußgeldern wird nach den jeweiligen Umständen bestimmt (Art. 83 DS-GVO). Hier werden zwei Unterscheidungen getroffen:
- Bei Verstößen gegen die Pflichten der Verantwortlichen und der Auftragsverarbeiter (gem. Art. 8, 11, 25 bis 39, 42 und 43 DS-GVO), die Pflichten der Zertifizierungsstelle (gem. Art. 42 und 43 DS-GVO) und die Pflichten der Überwachungsstelle (gem. 41 Abs. 4 DS-GVO) werden Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
- Bei Verstößen gegen die Grundsätze für die Verarbeitung und der Bedingungen für die Einwilligung (gem. Art. 5, 6, 7 und 9 DS-GVO), die Rechte der betroffenen Person (gem. 12 bis 22 DS-GVO) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den (gem. Art. 44 bis 49 DS-GVO), alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde (gem. Art. 58 DS-GVO) werden Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Jede Aufsichtsbehörde ist befugt, Geldbußen zu verhängen. Diese sind in jedem Einzelfall unter Berücksichtigung aller besonderen Umstände und insbesondere der Art, Schwere und Dauer des Verstoßes und seiner Folgen sowie der Maßnahmen, die ergriffen worden sind, um die Einhaltung der aus dieser Verordnung erwachsenden Verpflichtungen zu gewährleisten und die Folgen des Verstoßes abzuwenden oder abzumildern, festzusetzen.
Fazit
Durch die fortschreitende technologische Entwicklung und die Globalisierung ist es möglich, dass private Unternehmen und Behörden im Rahmen ihrer Tätigkeiten umfassend auf personenbezogene Daten zurückgreifen sowie auch natürliche Personen persönliche Informationen öffentlich weltweit zugänglich machen können. Um einen sicheren unionsweiten Austausch personenbezogener Daten zwischen öffentlichen und privaten Akteuren sowie natürlichen Personen, Vereinigungen und Unternehmen zu gewährleisten, wurde mit dem 25. Mai 2018 die Datenschutz-Grundverordnung unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union. Sie ist als Rechtsrahmen im Bereich des Datenschutzes in der EU zu sehen und schafft Sicherheit und Transparenz für die Verarbeitung personenbezogener Daten. Durch die DS-GVO soll ein gleichmäßiges und hohes Schutzniveau personenbezogener Daten in allen Mitgliedstaaten der Europäischen Union sichergestellt sowie der freie Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleistet Hemmnisse für den Verkehr personenbezogener Daten beseitigt werden.
Welche datenschutzkonforme Umsetzung bieten wir?
Um dem unionsweiten Datenschutz gerecht zu werden, ist eine Löschung von personenbezogenen Daten auf allen ausgemusterten gewerblich genutzten IT-Altgeräten, insbesondere auf gebrauchten Computern und Smartphones, von Nöten, um eine Beeinträchtigung der Grundrechte anderer zu verhindern und Vertrauen zu Ihrem Unternehmen zu schaffen. Eine unzureichende Datenvernichtung kann daher als Verstoß gegen das BDSG neu und die DS-GVO gesehen Die Remarketing Company nimmt eine revisionssichere Datenlöschung auf den Datenträgern der von Ihnen ausgemusterten Informationstechnologie-Produkten vor und setzt die Vorgaben der Datenschutz-Grundverordnung gewissenhaft um.
DoD 5220.22-M
Standard des amerikanischen Verteidigungsministeriums DoD 5220.22-M
Der Standard des amerikanischen Verteidigungsministeriums DoD 5220.22-M ist eine international anerkannte Datenbereinigungsmethode, die in zahlreichen Akten- und Datenvernichtungsprogrammen verwendet wird. Duch die dreifach Überschreibung der Datenträger, ist diese Löschmethode als sehr sicher anzusehen. Sie gilt als einer der häufigsten verwendeten Methoden der Datenvernichtung. Publiziert wurde der DoD 5220.22-M Standard von dem US National Industrial Security Programm im Jahre 1995. Heute benutzt das US-Verteidigungsministerium dieses Verfahren zum sicheren Löschen von Festplatten allerdings nicht mehr sondern den NIST 800-88 Standard.
Wie funktioniert die Datenlöschmethode?
Die DoD 5220.22-M Datenlöschmethode besteht aus drei Durchgängen. Im ersten Durchlauf werden die Daten mit einer Null überschrieben und der Schreibvorgang überprüft. Im zweiten Durchgang werden die Daten mit einer Eins überschrieben und der Schreibvorgang ebenfalls anschließend überprüft. Im dritten Durchgang werden die Daten mit einem zufälligen Zeichen überschrieben. Auch hier erfolgt eine abschließende Überprüfung des Schreibvorgangs.
Der Überschreibvorgang kann insgesamt mehrere Stunden dauern, je nachdem, wie viel Durchgänge gewählt werden und wie groß die Festplatte ist. Für sensible Daten ist zu raten diese immer sofort endgültig und sicher zu löschen. Für Festplatten mit streng geheimen Daten wird eine physische Vernichtung oder Endmagnetisierung empfohlen, sodass die Festplatte gebrauchsunfähig wird.
Nach dem einer Festplatte mit der DoD 5220.22-M Datenlöschmethode ist in der Regel eine softwarebasierte und hardwarebasierte Wiederherstellung oder eine Extrahierung von Daten ausgeschlossen. Dadurch können Sie sichergehen, dass ihre Daten auch tatsächlich gelöscht sind.
Sichere Datenlöschung nach Art. 17 Abs. 1 DS-GVO
Eine sichere Datenlöschung ist nach Art. 17 Abs. 1 DS-GVO erforderlich, um das Recht des Einzelnen auf Kontrolle über die seine Person betreffenden Daten zu wahren.
Art. 17 Abs. 1 DS-GVO regelt unter welchen Voraussetzungen der Betroffene einen Anspruch auf Löschung über seine personenbezogenen Daten hat. Die Löschrechte bestehen, wenn die vom Verantwortlichen verarbeiteten personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 lit. a DS-GVO). Weiterhin besteht nach Art. 17 Abs. 1 lit. b DS-GVO ein Löschrecht, sofern die betroffene Person ihre Einwilligung widerrufen hat und es darüber hinaus an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt. Art. 17 Abs. 1 lit. c DS-GVO begründet ein Löschungsrecht, sofern die betroffene Person gemäß Art. 21 Abs. 1 DS-GVO Widerspruch gegen die Verarbeitung personenbezogener Daten eingelegt hat und keine vorrangigen berechtigten Gründe für die Verarbeitung bestehen, oder sofern die betroffene Person gemäß Art. 21 Abs. 2 DS-GVO Widerspruch gegen den Fall der Direktwerbung eingelegt hat. Nach Art. 17 Abs. 1 lit. d DS-GVO bestehen Löschrechte auch, sofern die personenbezogenen Daten unrechtmäßig verarbeitet wurden. Art. 17 Abs. 1 lit. e DS-GVO normiert ein Löschrecht, wenn es aufgrund einer rechtlichen Verpflichtung des Unionsrechts oder einem Recht des Mitgliedstaates, dessen Recht der Verantwortliche unterliegt, begründet werden kann. Nach Art. 17 Abs. 1 lit. f DS-GVO soll Erwachsenen ein Recht zur Löschung von personenbezogenen Daten, die im Kindesalter mit der Einwilligung erhoben wurden, zustehen.
Wenn die in Art. 17 Abs. 1 DS-GVO geregelten Löschgründe vorliegen, ist der Verantwortliche zur unverzüglichen Löschung der personenbezogenen Daten des Betroffenen verpflichtet, d.h. spätestens innerhalb eines Monats (so Nolte und Werkmeister in: Gola – DS-GVO, Kommentar, C.H. Beck, 2017). Löschen wird definiert als die Unkenntlichmachung gespeicherter personenbezogener Daten. Dies kann durch mehrfaches Überschreiben, unleserlich machen, Löschen von Verknüpfungen oder Decodierungsschlüsseln geschehen. Die Daten müssen für den Verantwortlichen und Dritte unlesbar geworden sein bzw. nicht mehr zur Verfügung stehen.
Kommt der Verantwortliche seiner Löschpflicht nicht nach, kann die betroffene Person nach Art. 77 DS-GVO Beschwerde bei der zuständigen Aufsichtsbehörde einlegen. Zusätzlich können gemäß Art. 83 Abs. 5 lit. b DS-GVO eine Geldbuße von bis zu 20.000.000€ bzw. 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs drohen.
Wie helfen wir Ihnen dabei?
Die Remarketing Company nimmt für Sie eine revisionssichere Datenlöschung auf Ihren ausgemusterten Datenträgern vor, um dem unionsweiten Datenschutz gerecht zu werden. Denn eine vollständige und sichere Datenlöschung personenbezogener Daten auf allen ausgemusterten gewerblich genutzten IT-Altgeräten, insbesondere auf gebrauchten Computern und Handys, ist von Nöten, um eine Beeinträchtigung der Grundrechte anderer zu verhindern und Vertrauen zu Ihrem Unternehmen zu schaffen. Das vollständige Überschreiben mit der DoD 5220.22-M Methode führt zu einer Vernichtung der ursprünglichen Daten und lässt eine Wiederherstellung unmöglich werden. So wird verhindert, dass Geschäftsgeheimnisse, Passwörter und weitere wichtige personenbezogenen Daten auf gebrauchten IT-Altgeräten nach deren Löschung ausgespäht werden können.
NIST 800-88
National Institute of Standards and Technology – NIST 800-88
NIST 800-88 ist eine Richtlinie mit Anleitungen und Standards zum Umgang und zur Datenlöschung vertraulicher Informationen des National Institute of Standards and Technology (NIST). Das NIST ist in den USA für die Entwicklung von Normenrichtlinien zuständig. Darunter fallen auch solche, die Mindestanforderungen für eine Informationssicherheit festsetzen. Die Richtlinie NIST 800-88 stellt sicher, dass sensible Daten auf IT-Geräten nicht in falsche Hände gelangen, sondern ordnungsgemäß vernichtet werden.
Welche Datenlöschmethoden gibt es?
Die Richtlinie beschreibt vier verschiedenen Methoden um Festplatten und externe Speichermedien zu bereinigen. Die Art der Bereinigung kommt jeweils auf den Medientyp an. Bei der Auswahl der geeigneten Bereinigungsmethode sollten Kosten, Umweltauswirkungen und das Risiko einer unbefugten Weitergabe von vertraulichen Informationen berücksichtigt werden.
Zunächst wird die Entsorgung genannt. Eine Entsorgung bedeutet, dass Medien einfach weggeworfen werden. Einige Medien können entsorgt werden, wenn die Offenlegung von Informationen keinen Einfluss auf unternehmerische Sorgfaltspflichten hat. Dies geschieht meist bei Papier, welches keine vertraulichen Informationen enthält.
Eine weitere Methode ist das Löschen. Das Überschreiben von sensiblen Daten und allen vom Benutzer adressierbaren Speicherorten ist eine anerkannte Methode zum Löschen von Festplatten und anderen Speichermedien. Das Ziel des Überschreibens besteht darin, geschriebene Daten durch zufällige Daten zu ersetzen und dadurch unlesbar zu machen. Das vollständige Überschreiben führt zu einer Vernichtung der ursprünglichen Daten und schützt die Vertraulichkeit der Informationen vor einer Wiederherstellung. Auch kann eine Blocklöschung und kryptographische Löschung durch Verwendung standardisierter Bereinigungsbefehle stattfinden. Bei einem Löschvorgang wird dieser durch das ausführende Programm zur späteren Einsicht dokumentiert.
Als drittes wird das Bereinigen genannt. Darunter fällt das Endmagnetisieren der Festplatte mit einem Elektromagneten. Das Medium wird einem starken Magnetfeld ausgesetzt, damit die aufgezeichneten magnetischen Domänen unterbrochen werden. Dies erfolgt meist mit einem Degausser.
Die letzte Methode ist das physische Zerstören von Festplatten oder extern Speichermedien. Es gibt viele verschiedene Arten, Techniken und Verfahren zur physischen Medienzerstörung. Eine solche kann durch Auflösen, Polarisieren, Schmelzen und Einäschern in einer ausgelagerten Metallzertrümmerungsanlage oder Verbrennungsanlage vorgenommen werden. Um flexible oder kleinere Speichermedien zu zerstören, genügt das Schreddern im Aktenvernichter. Massenspeichermedien müssen durch Polarisieren, Zerschneiden oder Verbrennen zerstört werden. NIST 800-88 hält das physische Vernichten als die sicherste Methode der Datenvernichtung und rät diese Methode für die Entsorgung vertraulicher Informationen zu verwenden.
Ob eine Festplatte gelöscht wird oder physisch zerstört werden soll, hat nach den Vorschriften über die Datensicherheit des jeweiligen Unternehmens zu erfolgen. Jedenfalls erfordert die Einhaltung der Richtlinie NIST 800-88 eine ordnungsgemäße Dokumentation der Datenzerstörung, das sogenannte Vernichtungszertifikat.
Nach den Datenvernichtungsstandards ist es unmöglich nach der Anwendung einer der Methoden noch auf die Daten zuzugreifen. Die Methoden der NIST 800-88 Standards verhindern eine softwarebasierte und hardwarebasierte Datenwiederherstellung. Dadurch können Sie sichergehen, dass ihre Daten auch wirklich gelöscht sind.
Sichere Datenlöschung nach Art. 17 Abs. 1 DS-GVO
Eine sichere Datenlöschung ist nach Art. 17 Abs. 1 DS-GVO erforderlich, um das Recht des Einzelnen auf Schutz seiner personenbezogenen Daten zu wahren. Art. 17 Abs. 1 DS-GVO sieht vor, dass die betreffende Person das Recht hat, eine unverzügliche Löschung der sie betreffenden personenbezogenen Daten zu verlangen.
Das Recht auf Löschung bzw. die Verpflichtung zur Löschung personenbezogener Daten ist als Ausdruck des Grundsatzes der Datenminimierung zu verstehen. So müssen personenbezogene Daten ihrem Umfang nach auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Das Recht auf Löschung bzw. die Verpflichtung zur Löschung dient somit der fairen und transparenten Datenverarbeitung. Somit wird ein effektives Datenschutzniveau gewährleistet. Daher kann bei einem Verstoß gemäß Art. 83 Abs. 5 lit. b DS-GVO eine Geldbuße verhängt werden.
Abs. 1 listet die Gründe auf, bei deren Vorliegen der Betroffene eine Löschung seiner Daten verlangen kann bzw. wann den Verantwortlichen die Pflicht zur Löschung der Daten trifft. Der Verantwortliche hat die personenbezogenen Daten von sich aus zu löschen und diese Löschungsverpflichtung selbstständig und laufend zu überprüfen. Gemäß Art. 17 Abs. 1 lit. a DS-GVO haben betroffene Personen einen Anspruch, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben bzw. verarbeitet wurden, nicht mehr bestehen oder die Verarbeitung der Daten für diese Zwecke nicht mehr erforderlich ist. Dies ist besonders im Mitarbeiterverhältnis, etwa bei ausgeschiedenen Mitarbeitern, relevant. Des Weiteren hat der Verantwortliche die Daten zu löschen, wenn die betroffene Person ihre Einwilligung widerruft oder ein Widerspruch gegen die Verarbeitung einlegt (Art. 17 Abs. 1 lit. b und c DS-GVO). Auch hat eine Löschung zu erfolgen, wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden (Art. 17 Abs. 1 lit. d DS-GVO). Die Rechtmäßigkeit bestimmt sich am Maßstab des Art. 6 DS-GVO. Gemäß Art. 17 Abs. 1 lit. e DS-GVO hat eine Löschung zu erfolgen, wenn und soweit die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht eines Mitgliedstaates, dem der Verantwortliche unterliegt, erforderlich ist. Art. 17 Abs. 1 lit. f DS-GVO regelt die Löschung personenbezogener Daten von Kindern.
Soweit eine der oben genannten Gründe vorliegt, ist eine unverzügliche Löschung durch den Verantwortlichen vorzunehmen, d.h. innerhalb von zwei Wochen (so Paal in: Paal/Pauly, Datenschutz-Grundverordnung Bundesdatenschutzgesetz, Kommentar, C.H. Beck, 2017). Der Verantwortliche hat dafür entsprechende Verfahren durchzuführen. Als Löschung wird zum einen die physische Vernichtung bzw. Unbrauchbarmachung der personenbezogenen Daten sowie die technische Löschung von elektronischen Daten gesehen. Eine Löschung im technischen Sinn meint einen Vorgang, nach dessen Ende auf die Daten bzw. deren Inhalt nicht mehr zurückgegriffen werden kann, da der Datenträger überschrieben wurde. Entscheidend ist also, dass auf die Daten nicht mehr zugegriffen werden kann und diese somit nicht mehr verarbeitet bzw. ohne übermäßig hohen Aufwand wiederhergestellt werden können.
Wie helfen wir Ihnen dabei?
Mit den NIST 800-88 Standards wird verhindert, dass Geschäftsgeheimnisse, Passwörter und weitere wichtige Dokumente und personenbezogenen Daten der gebrauchten IT-Altgeräte ausgespäht werden können. Um dem unionsweiten Datenschutz gerecht zu werden, ist eine Löschung von diesen Daten auf allen ausgemusterten gewerblich genutzten IT-Altgeräten, insbesondere auf gebrauchten Computern und Handys, bzw. eine komplette physische Zerstörung dieser Geräte von Nöten, um eine Beeinträchtigung der Grundrechte anderer zu verhindern und Vertrauen zu Ihrem Unternehmen zu schaffen. Die Remarketing Company nimmt dafür eine revisionssichere Datenlöschung auf den Datenträgern der von Ihnen ausgemusterten Informationstechnologie-Produkte vor bereitet diese zur Wiederverwendung auf.