Websites und Shops für Beauty & Wellness.

Er kann die Leistungen beschreiben, die der Salon anbietet, und das Gespräch zu einer Person weiterleiten. Er kann das Verfahren nicht auf der Grundlage dessen auswählen, was der Kunde über seine Haut beschreibt, aus zwei Gründen, die sich addieren. Der erste: Die Beschreibung ist eine gesundheitsbezogene Angabe, und der Salon hat keine medizinische Ausnahme, also würde er eine zuvor eingeholte ausdrückliche Einwilligung brauchen, nicht ein Gespräch, das dorthin abrutscht. Der zweite: Die Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die sie erheblich beeinträchtigt, und Entscheidungen, die unter Ausnahmen fallen, dürfen sich nicht auf besondere Datenkategorien stützen, außer durch ausdrückliche Einwilligung oder ein erhebliches öffentliches Interesse, mit geeigneten Maßnahmen. Ein Assistent, der Termine vorschlägt, und ein Mensch, der die Eignung bestätigt, ist eine Architektur, die ins Gesetz passt.

Ja, aber die Frage muss konstruiert sein, nicht zufällig gestellt. Die Einwilligung für eine besondere Kategorie muss ausdrücklich sein und für einen bestimmten Zweck erteilt werden, und die Anfrage muss getrennt vom Rest in klarer Sprache dargestellt werden. Praktisch: Es wird gesagt, warum gefragt wird, die Frage wird auf die Stoffe im besprochenen Verfahren begrenzt, und das freie Feld, in dem der Kunde alle seine Krankheiten erzählt, wird vermieden. Die Alternative, die das Problem vollständig vermeidet, ist, nichts im Chat zu erheben: Der Assistent bucht den Termin, und die Frage zu den Kontraindikationen wird in der Praxis gestellt, wo die Antwort einen unmittelbaren Zweck und einen einzigen Empfänger hat.

Mit einer Einwilligung für den Zweck „Veröffentlichung“, getrennt von der Einwilligung, für die Dokumentation der Arbeit fotografiert zu werden. Die Veröffentlichung ist für die Erbringung der Dienstleistung nicht notwendig, daher kann die Dienstleistung nicht davon abhängig gemacht werden — eine so eingeholte Zustimmung ist anfechtbar. Wenn das Bild eine Erkrankung zeigt, handelt es sich um eine besondere Kategorie und die Einwilligung muss ausdrücklich sein. Und wenn das Verfahren eine medizinische Handlung in einer medizinisch-sanitären Einrichtung war, verlangt das sektorale Gesetz zusätzlich die Schriftform. Drei verschiedene Anforderungen für dasselbe Foto, je nachdem, was es zeigt und wer das Verfahren durchgeführt hat.

Wenn die Grundlage die Einwilligung war und diese widerrufen wird und es keine andere Grundlage gibt, ja — und ohne unangemessene Verzögerung. Mehr noch: Wenn die Bilder öffentlich gemacht wurden, ist der Verantwortliche verpflichtet, angemessene Maßnahmen zu ergreifen, wobei die verfügbare Technologie und die Kosten der Umsetzung zu berücksichtigen sind, um auch andere Verantwortliche, die sie verarbeiten, über den Antrag auf Löschung von Links, Kopien oder Reproduktionen zu informieren. Das ist der Teil, den Salons nicht erwarten: Das Foto wurde erneut gepostet, und die Verpflichtung endet nicht beim eigenen Konto. Die Antwortfrist auf den Antrag beträgt höchstens einen Monat, verlängerbar um zwei, wobei die Person innerhalb des ersten Monats informiert wird.

Ja, aber das ist Direktmarketing und unterliegt seinen Regeln, nicht den Regeln der Erinnerung. Die Person hat das Recht, der Verarbeitung zu diesem Zweck jederzeit zu widersprechen, einschließlich der Erstellung von Profilen, die damit verbunden sind, und bei Widerspruch wird die Verarbeitung zu diesem Zweck eingestellt — ohne Bewertung, ohne Abwägung. Das Recht muss der Person spätestens bei der ersten Kommunikation ausdrücklich zur Kenntnis gebracht werden, klar und getrennt von allen anderen Informationen dargestellt werden. In der Praxis bedeutet das, dass die Segmentierung „wer seit N Monaten nicht mehr gekommen ist“ eine Widerspruchsliste berücksichtigen muss, die vor dem Versand geprüft wird, nicht nach der ersten Beschwerde.

Es sind zwei Fragen mit unterschiedlichen Antworten. Das Verzeichnis: Die Ausnahme für unter 250 Beschäftigte entfällt, wenn die Verarbeitung besondere Kategorien umfasst oder nicht nur gelegentlich erfolgt, also schuldet ein Salon, der nach Allergien fragt und einen Terminkalender führt, es. Datenschutzbeauftragter: Er ist vorgeschrieben, wenn die Kerntätigkeiten in einer umfangreichen Verarbeitung besonderer Kategorien oder in einer regelmäßigen und systematischen Überwachung von Personen in großem Umfang bestehen. Die Kerntätigkeit eines Salons ist die Pflegeleistung, nicht die Datenverarbeitung, und „in großem Umfang“ ist die Anforderung, die gewöhnlich nicht erfüllt ist. Ein Salon kann freiwillig einen Datenschutzbeauftragten benennen; das ist nicht dasselbe wie verpflichtet zu sein.

Nicht an sich, aber es schafft zwei Pflichten, die der Salon unabhängig davon hat, wie gut der Anbieter ist. Erstens: Der Anbieter ist ein Beauftragter, und die Verarbeitung durch ihn muss durch einen Vertrag geregelt werden, der den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt, mit dokumentierten Anweisungen, übernommener Vertraulichkeit, dem Verbot, ohne schriftliche Genehmigung Unteraufträge zu vergeben, Unterstützung bei Anfragen der Kunden sowie Löschung oder Rückgabe am Ende. Zweitens: Wenn die Daten außerhalb des Europäischen Wirtschaftsraums gelangen, gilt das gesamte Kapitel über Übermittlungen; für Staaten des Europäischen Wirtschaftsraums sind keine besonderen Genehmigungen erforderlich. Die nützliche Frage an den Anbieter lautet nicht „sind Sie konform“, sondern „wo liegen die Daten und was unterschreiben Sie“.

Eine automatische Ablehnung, in ein Vertragsverhältnis einzutreten, ist die Art von Entscheidung, die die Person in erheblichem Maße betrifft, und die Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden. Selbst in Situationen, in denen eine solche Entscheidung zulässig ist, muss der Verantwortliche Maßnahmen umsetzen, die zumindest menschliches Eingreifen, die Äußerung des Standpunkts und die Anfechtung der Entscheidung gewährleisten. Die funktionierende Konstruktion ist eine andere und auch kommerziell besser: Das System signalisiert, verlangt eine Anzahlung statt abzulehnen, und ein Mensch entscheidet über Ausnahmen. Der Unterschied zwischen „eine Buchung ist nicht möglich“ und „für diese Buchung wird eine Anzahlung verlangt“ ist der Unterschied zwischen einer automatischen Entscheidung und einer geschäftlichen Regel.

Es ändert sich das Regime, nicht der Empfang. Sobald das Verfahren eine medizinische Intervention ist, die von einem Arzt oder einem anderen medizinischen Beschäftigten durchgeführt wird, kommt über die Datenschutzregeln das Gesetz über die Rechte des Patienten hinzu: die Vertraulichkeit von Informationen, die dem ärztlichen Geheimnis unterliegen, geschützt auch nach dem Tod der Person; die Weitergabe vertraulicher Informationen nur mit ausdrücklicher Einwilligung oder wenn das Gesetz es ausdrücklich verlangt; der uneingeschränkte Zugang der Person zu den eigenen Daten mit dem Recht, eine Kopie zu erhalten; und das Verbot, ohne schriftliche Einwilligung zu fotografieren oder zu filmen. Dafür wird die medizinische Ausnahme vom Verbot der Verarbeitung besonderer Kategorien verfügbar, unter der Bedingung des Berufsgeheimnisses. Praktisch dieselben Daten, andere Akte und andere Formulare — und das System, das sie verwaltet, muss wissen, welche Buchung welcher Art ist.