Datenschutz und Datenschutzrecht in der unternehmerischen Praxis

Transkript

1 Datenschutz und Datenschutzrecht in der unternehmerischen Praxis von Christian Schultka Erstauflage Diplomica Verlag 2014 Verlag C.H. Beck im Internet: ISBN schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG

2 Leseprobe Textprobe: Kapitel III., Zweck des Bundesdatenschutzgesetzes: Der Zweck des Bundesdatenschutzgesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Damit enthält 1 Abs. 1 BDSG neben der Festlegung des Gesetzeszwecks zugleich eine Art Legaldefinition des Begriffs Datenschutz; wobei das Gesetz selbst den Begriff nicht nennt. Aufgrund dessen handelt es sich nicht um eine Legaldefinition im gesetzestechnischen Sinne; vielmehr wird lediglich der Zweck des Gesetzes festgelegt. Damit findet die Tatsache Berücksichtigung, dass sich der Datenschutz nicht in und mit diesem einen Gesetz verwirklicht, sondern dass dieser in zahlreichen weiteren speziellen Gesetzen und sonstigen Maßnahmen zum Ausdruck kommt. Der Einzelne soll durch Bestimmungen für den Umgang durch andere mit seinen personenbezogenen Daten vor der Beeinträchtigung von Persönlichkeitsrechten geschützt werden. Demnach ist das Bundesdatenschutzgesetz ein Schutzgesetz, dessen Normen auf den Schutz des Einzelnen abstellen. Der Schutzgegenstand des Bundesdatenschutzgesetzes ist das Persönlichkeits-recht. Der vom Bundesverfassungsgericht im Volkszählungsurteil geprägte Begriff des Rechts auf informationelle Selbstbestimmung wurde hingegen nicht übernommen. Ein materieller Unterschied ist darin jedoch in Bezug auf die Erwägungen des Bundesverfassungsgerichts nicht zu sehen, da der Datenschutz sich am allgemeinen Persönlichkeitsrecht in der Art und Weise ausrichtet, die dieses durch die Rechtsprechung des Bundesverfassungsgerichts erfahren hat. Auch wenn der Begriff des Persönlichkeitsrechts sich lediglich in einigen wenigen nachfolgenden Regelungen des Bundesdatenschutzgesetzes findet, geht aus dem Wortlaut des Gesetzes deutlich hervor, dass es Ziel und Zweck des Datenschutzes ist, den Einzelnen vor einer Beeinträchtigung in seinem Persönlichkeitsrecht zu schützen. Dies ist insoweit lediglich effektiv und effizient zu verwirklichen, als der tatsächliche Schutz auf einen frühestmöglichen Zeitpunkt verlegt wird, so dass es zu einer Beeinträchtigung des Persönlichkeitsrechts gar nicht erst kommen kann. Datenschutzrecht ist daher präventiv, d.h. Datenschutz dient dem Schutz von Rechten und Interessen im Vorfeld des sonstigen Rechtsgüterschutzes und schützt diese im Vorfeld materieller Schädigungen oder konkreter Gefahren. IV., Anwendungsbereich des Bundesdatenschutzgesetzes: Das Bundesdatenschutzgesetz gilt gemäß 1 Abs. 2 Nr. 3 BDSG für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch nicht-öffentliche Stellen, soweit diese die Daten unter Einsatz von Datenverarbeitungsanlagen (automatisiert) verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien (dateigebunden) verarbeiten, nutzen oder dafür erheben. Davon ausgenommen ist jedoch die Erhebung, Verarbeitung oder Nutzung der Daten ausschließlich für persönliche oder familiäre Tätigkeiten. Nicht-öffentliche Stellen (Private) sind gemäß 2 Abs. 4 S. 1 BDSG natürliche und juristische

3 Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts. Entscheidend dafür, dass eine datenverarbeitende Stelle dem nicht-öffentlichen Bereich zuzuordnen ist, ist allein die privatrechtliche Organisationsform. Hierzu zählen natürliche Personen, unabhängig davon, ob diese als Privatpersonen auftreten oder eine selbständige Tätigkeit ausüben (Einzelunternehmen, Freie Berufe) sowie alle privatrechtlich organisierten Unternehmungen und Vereinigungen (OHG, KG, PartG, GmbH, UG, AG, KGaA, eg, Verein, Stiftung des bürgerlichen Rechts). Dahin gehend können auch Gesellschaften oder andere Personenvereinigungen des privaten Rechts ohne eigene Rechtspersönlichkeit Normadressaten des Bundesdatenschutzgesetzes sein, so dass auch Gesellschaften bürgerlichen Rechts oder nicht rechtsfähige Vereine (Parteien, Gewerkschaften) hierunter fallen. Privatpersonen oder privatrechtliche Unternehmen, die hoheitliche Aufgaben wahrnehmen (beliehene Unternehmen), zählen mit den Bereichen ihrer Tätigkeit, die der Wahrnehmung der hoheitlichen Aufgaben dienen oder zu der vorbereitenden Durchführung dieser Tätigkeiten erforderlich sind, gemäß 2 Abs. 4 S. 2 BDSG zu den öffentlichen Stellen im Sinne des Bundesdatenschutzgesetzes. V., Wesentliche Begriffsbestimmungen: Im Folgenden soll ein Überblick über weitere grundlegende Begriffsbestimmungen des Bundesdatenschutzgesetzes, die für das Verständnis der nachfolgenden Ausführungen von entscheidender Bedeutung sind, gegeben werden. 1., Personenbezogene Daten: Personenbezogene Daten sind gemäß 3 Abs. 1 BDSG Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Einzelangaben sind Informationen, die sich auf eine bestimmte einzelne natürliche Person beziehen oder geeignet sind, einen Bezug zu dieser herzustellen. Die Einzelangaben müssen Auskunft über persönliche und sachliche Verhältnisse der natürlichen Person geben, d.h. es muss sich um Daten handeln, die Informationen über die Person selbst oder über einen auf diese beziehbaren Sachverhalt enthalten. Damit ist der Begriff nicht lediglich auf Daten beschränkt, die ihrer Natur nach personenbezogen sind, d.h. auf Daten, die auf menschliche Eigenschaften bezogen sind. Dahin gehend können auch Daten, die auf eine Sache bezogen sind, personenbezogen sein. Es muss jedoch ein unmittelbarer Bezug zu der natürlichen Person herstellbar sein. Als persönliche Verhältnisse sind Angaben über die natürliche Person selbst, deren Identifizierung und Charakterisierung (z.b. Name, Adresse, Familienstand, Staatsangehörigkeit, Konfession, Beruf, Eigenschaften, Gesundheitszustand, Überzeugungen) anzusehen. Sachliche Verhältnisse dagegen sind Angaben über einen auf die natürliche Person beziehbaren Sachverhalt, z.b. Einkommens- und Vermögensverhältnisse, vertragliche oder sonstige Beziehungen zu Dritten. Personenbezogen sind lediglich die Daten, die sich auf eine bestimmte oder be-stimmbare natürliche Person beziehen. Ersteres ist der Fall, wenn die entspre-chenden Daten mit dem Namen der Person verbunden sind oder sich aus dem Inhalt bzw. dem Zusammenhang der Bezug

4 unmittelbar herstellen lässt. Ist dies nicht der Fall, sind die Daten lediglich dann personenbezogen, wenn die entspre-chende Person bestimmbar ist. Hinsichtlich der Bestimmbarkeit kommt es auf die Kenntnisse, Mittel und Möglichkeiten an, mit denen ohne unverhältnismäßigen Aufwand der Bezug hergestellt werden kann. Darüber hinaus enthält die Begriffsbestimmung die grundlegende Regelung, dass lediglich natürliche Personen dem Schutz des Bundesdatenschutzgesetzes unterliegen. Damit führt diese Beschränkung zur Bedeutung des deutschen Da-tenschutzes als ein Individualschutzrecht. Neben dem Begriff der personenbezogenen Daten wird zugleich der Begriff des Betroffenen als derjenige, dessen Schutz das Bundesdatenschutzgesetz zum Ziel hat und dem die Rechte aus diesem Gesetz eingeräumt werden, inhaltlich bestimmt. 2., Automatisierte Verarbeitung: Automatisierte Verarbeitung ist gemäß 3 Abs. 2 S. 1 BDSG die Erhebung, Ver-arbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenver-arbeitungsanlagen. Dies setzt voraus, dass neben der durch technische Anlagen erfolgenden Erhebung und Speicherung auch eine automatisierte Nutzung der Daten ermöglicht wird, d.h. es der Möglichkeit der technischen Auswertung der erhobenen und gespeicherten Daten bedarf. 3., Nicht automatisierte Datei: Eine nicht automatisierte Datei ist gemäß 3 Abs. 2 S. 2 BDSG jede nicht auto-matisierte Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann. Eine Sammlung von Daten liegt vor, wenn Daten, die zueinander in einem direkten Zusammenhang stehen, auf einem oder auf mehreren zusammengehörenden Datenträgern gespeichert sind. Das Erfordernis der gleichartig aufgebauten Sammlung beschreibt die äußere Form der Datei, d.h. dass die einzelnen Auf-bauelemente (Karteikarten, Formulare usw.) einheitlich gestaltet sind. Darüber hinaus muss die Datensammlung nach bestimmten personenbezogenen Merkmalen zugänglich sein, d.h. nach den gesammelten Daten gemeinsamen, einen sinnvollen Zusammenhang ergebenden Kriterien ausgewertet werden können. Dahin gehend lassen sich entsprechende Merkmale nicht allgemein, sondern lediglich nach dem Aufbau und der Zweckbestimmung der jeweiligen Datei festlegen. 4., Erhebung: Erheben ist gemäß 3 Abs. 3 BDSG das Beschaffen von Daten über den Betrof-fenen. Das Bundesdatenschutzgesetz ordnet die Erhebung der Daten nicht der Verar-beitung der Daten zu. Das Beschaffen wird i.s.v. 1 Abs. 2 S. 3 BDSG als Vorphase, d.h. Voraussetzung für die nachfolgende Verarbeitung angesehen. Unerheblich ist, ob die Daten mündlich oder schriftlich beschafft werden, ob der Betroffene befragt wird oder die Daten mitteilen soll oder ob Dritte befragt oder Unterlagen eingesehen werden. Erforderlich ist jedoch ein zielgerichtetes Beschaffen der Daten durch die nicht-öffentliche Stelle. 5., Verarbeitung:

5 Verarbeiten ist gemäß 3 Abs. 4 BDSG das Speichern, Verändern, Übermitteln, Sperren und Löschen von personenbezogenen Daten. Aus dem Wortlaut des Bundesdatenschutzgesetzes geht eindeutig hervor, dass weder die Phase der Erhebung noch die Phase der Nutzung der Datenverarbeitung zugeordnet wird. Der entsprechend alle gesetzlich geregelten Phasen umfassende Oberbegriff ist der in 1 Abs. 1 BDSG verwendete Begriff des Umgangs mit Daten. Darüber hinaus wird in 3 Abs. 5 BDSG noch der Begriff des Verwendens von Daten genannt, der die Verarbeitung und Nutzung zusammenfasst. Im Folgenden werden die einzelnen Phasen der Datenverarbeitung inhaltlich bestimmt. a), Speicherung: Speichern ist gemäß 3 Abs. 4 Nr. 1 BDSG das Erfassen, Aufnehmen oder Auf-bewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung. Erfassen ist das schriftliche Fixieren der Daten. Aufnehmen bezeichnet hauptsächlich das Fixieren der Daten mit Aufnahmetechniken, d.h. mittels Audio-Video-Technik usw. Auch bloßes Aufbewahren anderweitig fixierter Daten erfüllt den Tatbestand des Speicherns. Erforderlich ist, dass personenbezogene Daten unter einem dieser Kennzeichen auf einem Datenträger gespeichert sind, wobei jedoch der Begriff des Datenträgers inhaltlich nicht näher bestimmt wird. Nach dem Sinn der Norm ist darunter jedes Medium zu verstehen, das zum Aufnehmen personenbezogener Daten geeignet ist, d.h. auf dem Informationen für eine spätere Wahrnehmung festgehalten werden können. Eine Ausnahme ergibt sich für nicht-öffentliche Stellen insoweit, als gemäß 1 Abs. 2 Nr. 3 BDSG lediglich automatisierte oder dateigebundene Datenspeicherungen erfasst werden und daher lediglich solche nichtautomatisierten Datenträger erheblich sind, die Bestandteil einer Datei sind oder die Datei selbst aufnehmen. Der Tatbestand des Speicherns ist auch dann erfüllt, wenn z.b. von dem Betroffenen oder einem Dritten, der die Daten übermittelt hat, die Daten bereits auf einem Datenträger zur Verfügung gestellt wurden und nunmehr von der nicht-öffentlichen Stelle zum Zweck der weiteren Verarbeitung oder Nutzung vorrätig gehalten werden. Sofern der Zweck der Speicherung entfallen ist und die Daten gelöscht werden sollen, bleiben diese bis zur endgültigen Löschung gespeichert, da auch das Löschen einen Fall weiterer Verarbeitung darstellt. Auch gesperrte Daten bleiben gespeicherte Daten. Daher sind als gespeicherte Daten auch solche Daten anzusehen, die gewöhnlich nicht mehr verwendet werden sollen, d.h. die z.b. als Sicherungskopien dienen, um im Falle von Störungen oder Katastrophen die Wiederaufnahme des Betriebs zu ermöglichen oder Archivbestände zu bilden, die aufgrund von Rechtsvorschriften (Revisionszwecke) geführt werden.