Reform des Bundesdatenschutzgesetzes IT, Deutschland

Transkript

1 IT, Deutschland Newsletter Juli 2009 Für weitere Fragen stehen Ihnen die folgenden Kollegen zur Verfügung: Frankfurt/Main: Dr. Matthias Scholz, Dr. Alexander Haines München: Dr. Christoph Rittweger Dr. Michael Schmidl Weiter Anwälte im Bereich Datenschutz in Deutschland: Dr. Ali Sahin Dr. Andreas Splittgerber Dr. Holger Lutz Daniel Krone Kristof Nenninger Manuel Velensek Julia Wendler Berlin Friedrichstraße Berlin Tel.: +49 (0) Fax: +49 (0) Düsseldorf Neuer Zollhof Düsseldorf Tel.: +49 (0) Fax: +49 (0) Frankfurt / Main Bethmannstraße Frankfurt/Main Tel.: +49 (0) Fax: +49 (0) München Theatinerstraße München Tel.: +49 (0) Fax: +49 (0) Die Reform des Bundesdatenschutzgesetzes Neue Anforderungen an die Wirtschaft Der deutsche Gesetzgeber hat Anfang Juli 2009 die zweite Novelle des Bundesdatenschutzgesetzes (BDSG) verabschiedet und damit seine vielfach angekündigten Maßnahmen zur Stärkung des Datenschutzes abgeschlossen. Neben den bereits Ende Mai beschlossenen Änderungen des BDSG, die sich auf Scoringverfahren und Auskunfteien beschränken ( Erste Novelle ), wurde das BDSG nun in vielfältiger Weise für sämtliche Wirtschaftsbereiche novelliert. Zweite Novelle (Juli 2009) Stärkung des Datenschutzes Ein Großteil der durch die zweite Novelle eingeführten Neuerungen betrifft sämtliche Wirtschaftszweige. Allerdings wurden auch Sonderregeln für die Werbebranche in das BDSG eingefügt. Vor allem folgende Änderungen wurden umgesetzt: Konkrete Anforderungen an Auftragsdatenverarbeitung. Neu eingeführt wurden zehn Anforderungen an Auftragsdatenverarbeitungsverträge (Verträge mit Dienstleistern, die Daten nach Weisung und im Auftrag eines Unternehmens verarbeiten). In ihnen müssen künftig festgelegt werden: 1. der Gegenstand und die Dauer der Auftrags, 2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, 3. die erforderlichen technischen und organisatorischen Maßnahmen (d.h. insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren), 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die gem. 11 Absatz 4 BDSG bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält und 10. die Rückgabe überlassener Datenträger und Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. Zusätzlich wird dem Auftraggeber die Pflicht auferlegt, den Auftragnehmer vor und während der Durchführung des Auftrages zu kontrollieren und das Ergebnis dieser Kontrollen zu dokumentieren. Lediglich mit Hilfe einer solchen Dokumentation, die den Handlungszeitpunkt nachzuweisen vermag, kann sich der Auftraggeber z.b. gegenüber der Aufsichtsbehörde entlasten. Diesen Anforderungen müssen Auftragsdatenverarbeitungen bereits ab dem 1. September 2009 entsprechen. Ein Verstoß gegen diese Pflichten ist bußgeldbewehrt.

2 Stärkung des Datenschutzbeauftragten. Der Datenschutzbeauftragte genießt nunmehr einen besonderen Kündigungsschutz, vergleichbar mit dem eines Betriebsrates. Ferner ist ihm die Teilnahme an entsprechenden Fortund Weiterbildungsveranstaltungen zu ermöglichen; deren Kosten sind zu übernehmen. Beschäftigtendatenschutz und unternehmensinterne Untersuchungen. Mit 32 BDSG enthält das BDSG nun erstmals einen Paragrafen, der sich ausschließlich dem Beschäftigtendatenschutz widmet. Die Regelung fasst die derzeitige Rechtsprechung des Bundesarbeitsgerichts in ihren Grundzügen zusammen und verdrängt in ihrem Anwendungsbereich 28 Abs. 1 Satz 1 Nr. 1 BDSG. Eine Legaldefinition des Begriffs des Beschäftigten wurde mit 3 Absatz 11 BDSG eingefügt, der über Arbeitsnehmer im engeren Sinne hinaus auch die zur Berufsbildung Beschäftigten sowie Personen in arbeitnehmerähnlicher Stellung umfasst. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet und genutzt werden, wenn tatsächliche Anhaltspunkte bestehen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Maßnahmen zur Aufdeckung erforderlich sind und das schutzwürdige Interesse des Betroffenen nicht überwiegt. Dieser Zusatz wird weitreichende Konsequenzen für unternehmensinterne Untersuchungen haben. Datenvermeidung und -sparsamkeit. Der Grundsatz der Datenvermeidung und -sparsamkeit, der sich bislang nur auf die Auswahl und Gestaltung von Datenverarbeitungssystemen erstreckte, wird durch die Novelle generell auf die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ausgeweitet. Sein Rechtscharakter als Zielvorgabe bleibt erhalten. Der Vorbehalt des technisch Möglichen im Kontext der Zielvorgabe der Anonymisierung und Pseudonymisierung wird durch die Bezugnahme auf den Verwendungszweck und die Verhältnismäßigkeit von Aufwand und angestrebtem Schutzzweck weiter präzisiert. Informationspflichten bei Datenverstößen. Von der Diskussion um das Gesetzesvorhaben fast gänzlich unbeachtet wurde eine dem deutschen Datenschutzrecht bisher fremde Informationspflicht eingeführt. Nach der entsprechenden Regelung, die dem US-amerikanischen Vorbild zur Security Breach Notification" ähnelt, müssen Unternehmen die unrechtmäßige Übermittlung bestimmter Datenkategorien oder deren unrechtmäßige Kenntnisnahme durch Dritte der zuständigen Aufsichtsbehörde und den Betroffenen melden, sofern schwerwiegende Beeinträchtigungen drohen. Bei einer zu großen Anzahl von Betroffenen kann dieser Informationspflicht durch andere öffentlichkeitswirksame Maßnahmen nachgekommen werden, z.b. durch Anzeigen in zwei bundesweiten Zeitungen. Ein Verstoß gegen diese Pflicht ist bußgeldbewehrt. Keine Abschaffung des Listenprivilegs. Zentraler Diskussionspunkt der zweiten Novelle waren die Anforderungen an die Werbewirtschaft und den Adresshandel. Wie von Datenschützern gefordert, normiert das Gesetz nunmehr, dass eine Verarbeitung oder Nutzung personenbezogener Daten für Zwecke des Adresshandels oder der Werbung nur mit Einwilligung des Be- 2

3 troffenen, die prinzipiell nicht an den Vertragsschluss geknüpft werden darf, zulässig ist. Allerdings wurde dieser generelle Einwilligungsvorbehalt durch die Einführung von fünf Ausnahmetatbeständen erheblich abgemildert. Wie bisher können auch ohne Einwilligung Name, Titel, akademischer Grad, Anschrift, Geburtsjahr sowie ein Merkmal über die Zugehörigkeit zu einer bestimmten Personengruppe für Eigenwerbung, Werbung an Gewerbetreibende, Spendenwerbung und sogar Fremdwerbung (bei eindeutiger Erkennbarkeit der verantwortlichen Stelle) genutzt werden. Die Übermittlung derartiger Listendaten für Werbezwecke Dritter ist möglich, wenn die übermittelnde Stelle die Herkunft der Daten und den Empfänger für die Dauer von zwei Jahren speichert. Entsprechendes gilt für den Empfänger. In diesem Fall muss aus der Werbung eindeutig hervorgehen, wer die Daten erstmalig beim Betroffenen erhoben hat. Ein Verstoß gegen diese Pflicht zur Speicherung ist bußgeldbewehrt. Markt- und Meinungsforschung. Den Besonderheiten der Markt- und Meinungsforschung gegenüber der Werbung hat der Gesetzgeber ebenfalls mit der Einführung eines eigenen Paragrafen Rechnung getragen. Dieser enthält die Befugnis zur geschäftsmäßigen Erhebung, Verarbeitung oder Nutzung personenbezogener Daten für Zwecke der Markt- und Meinungsforschung, was jedoch bzgl. besonderer Arten personenbezogener Daten ( 3 Absatz 9 BDSG) auf bestimmte Vorhaben der Markt- oder Meinungsforschung eingeschränkt wird. Die Zweckbindung sowie die Pflicht zur Anonymisierung und Pseudonymisierung der erhobenen und gespeicherten Daten sind gesetzlich gestuft. Verstöße gegen die Pflicht zur Anonymisierung und Pseudonymisierung sind bußgeldbewehrt. Stärkung der Rechte der Aufsichtsbehörden. Die Aufsichtsbehörden für den Datenschutz sind nunmehr berechtigt, Maßnahmen zur Beseitigung festgestellter Verstöße gegen Datenschutzbestimmungen anzuordnen. Unter bestimmten Voraussetzungen können die Aufsichtsbehörden rechtswidrige Datenverarbeitungen sogar komplett untersagen. Sanktionen. Neben einer Erhöhung der Bußgelder von Euro auf Euro bzw. von Euro auf Euro und der Einführung mehrerer neuer Bußgeldtatbestände, enthält das neue BDSG nun auch die Möglichkeit einer Gewinnabschöpfung. Übergangsfristen. Für Teile der zweiten Novelle hat der Gesetzgeber Übergangsregelungen vorgesehen. Für die Verarbeitung und Nutzung bereits vor dem 1. September 2009 erhobener oder gespeicherter Daten gilt 28 BDSG in seiner bisherigen Fassung bis zum 31. August 2010 (für Zwecke der Markt- oder Meinungsforschung) bzw. bis zum 31. August 2012 (für Zwecke der Werbung). Die anderen Änderungen treten am 1. September 2009 in Kraft. Erste Novelle (Mai 2009) Auskunfteien und Scoringverfahren Mit der ersten" Novelle hatte der Gesetzgeber bereits im Mai 2009 erstmals ausdrückliche Regelungen zur Übermittlung personenbezogener Daten an Auskunfteien und zur Anwendung von Scoringverfahren in das BDSG aufgenommen. Mit dem Ziel, die Transparenz in diesem Bereich zu verbessern, wurden vor allem folgende Änderungen umgesetzt: 3

4 Übermittlung an Auskunfteien. Die Übermittlung personenbezogener Daten über eine Forderung an Auskunfteien ist nur noch unter bestimmten Voraussetzungen zulässig (u.a. bei rechtskräftig festgestellter oder anerkannter Forderung; nach zweimaliger Mahnung, wobei vier Wochen zwischen den Mahnungen liegen müssen; wenn der Gläubiger den Vertrag wegen Zahlungsverzugs fristlos kündigen dürfte). Sofern die entsprechenden Voraussetzungen vorliegen, ist nun keine Interessenabwägung mehr erforderlich, so dass die bisherigen Unsicherheiten bei der Datenübermittlung an Auskunfteien verringert werden. Demgegenüber ist die Übermittlung personenbezogener Daten über die Begründung, Durchführung und Beendigung von Kredit-, Garantieund Girogeschäften durch Kreditinstitute an Auskunfteien zulässig, es sei denn, das schutzwürdige Interesse des Betroffenen überwiegt das Interesse der Auskunftei an der Kenntnis der Daten offensichtlich. In Bezug auf diese Daten ist daher weiterhin eine Interessenabwägung erforderlich. Darüber hinaus ist der Betroffene vor Abschluss des Vertrages über diese Übermittlung zu unterrichten. Eine Verletzung dieser Informationspflicht ist bußgeldbewehrt. Nachberichtspflicht. Nachträgliche Änderungen, etwa die Bezahlung der angemahnten Forderung, sind der Auskunftei nun innerhalb eines Monats nach Kenntniserlangung mitzuteilen, solange die ursprünglich übermittelten Daten bei der Auskunftei gespeichert sind. Die Auskunftei hat die übermittelnde Stelle über die Löschung der ursprünglich übermittelten Daten zu informieren. Scoring. Für Scoringverfahren existieren nun besondere Voraussetzungen (z.b. muss das Scoring auf anerkannten mathematisch-statistischen Verfahren basieren). Zusätzlich darf das Scoring nicht ausschließlich auf Anschriftdaten beruhen (Geoscoring). Werden Anschriftdaten neben anderen Daten genutzt, ist der Betroffene zuvor darüber zu informieren. Erweiterte Auskunftsrechte. Die für die Entscheidung im Rahmen des Scorings verantwortliche Stelle muss dem Betroffenen auf Verlangen verschiedene Auskünfte erteilen. Insbesondere sind das Zustandekommen und die Bedeutung der Scorewerte einzelfallbezogen und nachvollziehbar in allgemein verständlicher Form darzulegen. Ähnliche Auskunftsrechte werden dem Betroffenen gegenüber Auskunfteien eingeräumt. Zusätzlich sind die in den letzten 12 Monaten übermittelten Scorewerte sowie die Namen und Anschriften der Dritten, denen die Scorewerte übermittelt wurden, enthalten. Darüber hinaus kann der Betroffene von Auskunfteien künftig einmal jährlich eine kostenlose Selbstauskunft in Textform verlangen. Ein Verstoß gegen die Auskunftspflichten ist bußgeldbewehrt. Pflege des Datenbestands. Geschätzte Daten sind fortan als solche deutlich zu kennzeichnen. Ferner sind an Auskunfteien übermittelte personenbezogene Daten auf Verlangen des Betroffenen nach Beendigung des Vertrages zu löschen. Sind personenbezogene Daten gesperrt, so darf die Tatsache ihrer Sperrung nicht übermittelt werden. Übergangsfrist. Diese Änderungen gelten ab dem 1. April

5 Fazit: Neben den in der Öffentlichkeit breit diskutierten Neuerungen, die vor allem die Werbebranche oder Auskunfteien betreffen, haben die Änderungen des BDSG erheblichen Einfluss auf sämtliche in Deutschland tätigen Unternehmen. Da wesentliche Teile der Reform bereits ab 1. September dieses Jahres gelten, sollten Unternehmen ihre bestehenden Datenverarbeitungsprozesse und unternehmensinternen Regelungen baldmöglichst überprüfen und den neuen Anforderungen des BDSG anpassen. Dabei müssen alle Unternehmen insbesondere: - ihre Unternehmensprozesse so aufsetzen, dass den Informationspflichten bei Datenverstößen Folge geleistet werden kann, - ihre Dienstleisterverträge nachverhandeln, um die höheren Anforderungen an die Auftragsdatenverarbeitung zu beachten, - ihre IT-Sicherheitsbestimmungen überprüfen, um gesteigerten Anforderungen Rechnung zu tragen, - ihre Praktiken bei internen Untersuchungen von Mitarbeiter und im Bereich des IT-Monitoring auf den Prüfstand stellen, um dem gestärkten Mitarbeiterdatenschutz Rechnung zu tragen, und - ihre Marketingstrategien auf Übereinstimmung mit den neuen Regelungen ü- berprüfen. Der Datenschutz muss dabei im Unternehmen als Kern des Compliance- und Risikomanagements verstanden werden, um durch ordentlich aufgesetzte Prozesse und Richtlinien Bußgelder, Schadensersatzforderungen sowie Schäden für den guten Ruf des Unternehmens abzuwenden. Dieses Mandantenrundschreiben dient ausschließlich der Information. Sein Inhalt sollte daher nicht als Entscheidungsgrundlage im Einzelfall oder als Ersatz für einen einzelfallbezogenen Rechtsrat genutzt werden. Hierfür sollte stets der Rat eines qualifizierten Rechtsanwalts eingeholt werden. Mit der Herausgabe dieses Mandantenrundschreibens übernehmen wir keine Haftung im Einzelfall. Die Baker & McKenzie - Partnerschaft von Rechtsanwälten, Wirtschaftsprüfern, Steuerberatern und Solicitors ist eine im Partnerschaftsregister des Amtsgerichts Frankfurt/Main unter PR-Nr eingetragene Partnerschaftsgesellschaft nach deutschem Recht mit Sitz in Frankfurt/Main. Sie ist assoziiert mit Baker & McKenzie International, einem Verein nach Schweizer Recht. Mitglieder von Baker & McKenzie International sind die weltweiten Baker & McKenzie- Anwaltsgesellschaften. Der allgemeinen Übung von Beratungsunternehmen folgend, bezeichnen wir als "Partner" einen Freiberufler, der als Gesellschafter oder in vergleichbarer Funktion für uns oder ein Mitglied von Baker & Mc- Kenzie International tätig ist. Als "Büros" bezeichnen wir unsere Büros und die Kanzleistandorte der Mitglieder von Baker & McKenzie International. 5