DATENSCHUTZ. Prof. Dr. Andreas Westfeld. Dresden, Sommersemester 2015 HOCHSCHULE FÜR TECHNIK UND WIRTSCHAFT DRESDEN UNIVERSITY OF APPLIED SCIENCES

Transkript

1 Fakultät Informatik/Mathematik Datenschutzbeauftragter der Hochschule für Technik und Wirtschaft DATENSCHUTZ Prof. Dr. Andreas Westfeld Dresden, Sommersemester 2015

2 Gesetze frei im Internet bundesrecht.juris.de (Bundesgesetze, PDF, EPUB, XML, Volltext) dejure.org (online mit Rechtsprechung) buzer.de (online mit Gesetzeshistorie, Entwürfen, Begründungen, Verweisen anderer Gesetze und noch nicht vollzogenen Änderungen) revosax.sachsen.de (Gesetze des Freistaats Sachsen) Gesetze und Kommentare mit Hochschul-IP-Adresse beck-online.de Westfeld, Sommersemester 2015 Datenschutzrecht Folie 2 von 27

3 Steuersünder? Brückengegner? Erbkrankheiten? vorbestraft? Raubkopierer? süchtig? Foto: Deutsches Bundesarchiv

4 Vielfältiges Datenschutzgrundrecht Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich. (Art. 10 Abs. 1 GG) Die Wohnung ist unverletzlich. (Art. 13 Abs. 1 GG) Alle Deutschen haben das Recht, sich ohne Anmeldung oder Erlaubnis friedlich und ohne Waffen zu versammeln. (Art. 8 Abs. 1 GG, schützt auch vor Videoaufzeichnungen von Versammlungen) als Bestandteil des allgemeinen Persönlichkeitsrechts (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG) folgendes Recht auf informationelle Selbstbestimmung als eigene Ausprägung des allgemeinen Persönlichkeitsrechts das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme Westfeld, Sommersemester 2015 Datenschutzrecht Folie 4 von 27

5 Personenbezogene Daten Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). ( 3 Abs. 1 BDSG) bestimmbare natürliche Person: kann direkt oder indirekt identifiziert werden, insbesondere durch Zuordnung... zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind (Art. 2 Buchst. a der Richtlinie 95/46/EG). Personenbezug auch dann, wenn nicht ohne Rechtsverletzung herstellbar Westfeld, Sommersemester 2015 Datenschutzrecht Folie 5 von 27

6 Personenbezogene Daten Beispiele Sandra Fischer (impliziert weibliches Geschlecht) persönliche Christian Plinius besitzt ein ipad. und sachliche Verhältnisse Karl Albrecht ist nicht kreditwürdig. unrichtige Aussagen hat die Prüfungsvorleistung erbracht. bestimmbare Person ist nicht zur Prüfung angemeldet. Aussage, ein Sachverhalt treffe nicht zu hat sich Datei jre-6u17-linux-i586.bin heruntergeladen. zugewiesene IP-Adressen (nach einhelliger Meinung der Aufsichtsbehörden) den Schreiber identifizierende Formulierungen (Plagiatstest) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 6 von 27

7 Operationen mit personenbezogenen Daten historisch bedingte Dreiteilung: Erheben (Beschaffen), Verarbeiten ist Speichern (Erfassen, Aufnehmen oder Aufbewahren auf einem Datenträger), Verändern (inhaltliches Umgestalten), Anonymisieren (so verändern, dass sie nicht mehr einem Betroffenen zugeordnet werden können), Übermitteln (Bekanntgeben an einen Dritten, Bereitstellen für Dritte zum Abruf), Sperren (Einschränkung der weiteren Verarbeitung) und Löschen (Unkenntlichmachen), Nutzen (sonstige Verwendung, Auffangbegriff), ( 3 Abs. 3, 4 und 5 BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 7 von 27

8 Überblick Bundesdatenschutzgesetz 1. Allgemeine und gemeinsame Bestimmungen ( 1 11) 2. Datenverarbeitung der öffentlichen Stellen des Bundes ( 12 26) 2.1 Rechtsgrundlagen der Datenverarbeitung ( 12 18) 2.2 Rechte des Betroffenen ( 19 21) 2.3 Bundesbeauftragter für Datenschutz und Informationsfreiheit ( 22 26) 3. Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen ( 27 38a) 3.1 Rechtsgrundlagen der Datenverarbeitung ( 27 32) 3.2 Rechte des Betroffenen ( 33 35) 3.3 Aufsichtsbehörde ( 36 38a) 4. Sondervorschriften ( 39 42a) Informationspflicht 42a 5. Schlussvorschriften ( 43 44) Ordnungswidrigkeiten, Straftaten 6. Übergangsvorschriften ( 45 48) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 8 von 27

9 BDSG als Auffanggesetz BDSG dem Landesrecht nachgeordnet für öffentliche Stellen der Länder gilt das jeweilige Landesdatenschutzgesetz ( 1 Abs. 2 Nr. 2 BDSG) BDSG anderen Bundesgesetzen nachgeordnet ( 1 Abs. 3 BDSG) ähnliche Formulierung in den Landesdatenschutzgesetzen Soweit besondere Rechtsvorschriften des Freistaates Sachsen oder des Bundes den Schutz personenbezogener Daten regeln, gehen sie den Vorschriften dieses Gesetzes vor. ( 2 Abs. 4 SächsDSG) BDSG ist Auffangbecken für fehlende Bereichsregelungen keine gilt Bereichsregelungen LDSG anwenden fehlen existieren LDSG Urteile anwenden existieren Bereichsregelung anwenden Detailregelungen BDSG anwenden relevante Urteile bis Datenschutzproblem gelöst

10 Datenschutzgesetzgebung auf Landesebene 1. Baden-Württemberg: Landesdatenschutzgesetz LDSG 2. Bayern: Bayerisches Datenschutzgesetz BayDSG, Datenschutzverordnung DSchV 3. Berlin: Berliner Datenschutzgesetz BlnDSG 4. Brandenburg: Brandenburgisches Datenschutzgesetz BbgDSG 5. Bremen: Bremisches Datenschutzgesetz BremDSG 6. Hamburg: Hamburgisches Datenschutzgesetz HmbDSG 7. Hessen: Hessisches Datenschutzgesetz HDSG 8. Mecklenburg-Vorpommern: Landesdatenschutzgesetz DSG M-V 9. Niedersachsen: Niedersächsisches Datenschutzgesetz NDSG 10. Nordrhein-Westfalen: Datenschutzgesetz Nordrhein-Westfalen DSG NRW 11. Rheinland-Pfalz: Landesdatenschutzgesetz LDSG 12. Saarland: Saarländisches Datenschutzgesetz SDSG 13. Sachsen: Sächsisches Datenschutzgesetz SächsDSG 14. Sachsen-Anhalt: Gesetz zum Schutz personenbezogener Daten der Bürger DSG-LSA 15. Schleswig-Holstein: Landesdatenschutzgesetz LDSG 16. Thüringen: Thüringer Datenschutzgesetz ThürDSG

11 Verbot mit Erlaubnisvorbehalt Grundrecht Jeder Mensch hat das Recht, über die Erhebung, Verwendung und Weitergabe seiner personenbezogenen Daten selbst zu bestimmen. Sie dürfen ohne freiwillige und ausdrückliche Zustimmung der berechtigten Person nicht erhoben, gespeichert, verwendet oder weitergegeben werden. In dieses Recht darf nur durch Gesetz oder auf Grund eines Gesetzes eingegriffen werden. (Art. 33 der Verfassung des Freistaates Sachsen) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 11 von 27

12 Verbot mit Erlaubnisvorbehalt Zulässigkeitsalternative Die Verarbeitung personenbezogener Daten ist nur zulässig, 1. wenn das BDSG oder eine andere Rechtsvorschrift sie erlaubt oder 2. soweit der Betroffene eingewilligt hat. ( 4 Abs. 1 BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 12 von 27

13 Zulässigkeit der Verarbeitung Verarbeitung personenbezogener Daten? nein ja Durch Rechtsvorschrift erlaubt? Daten öffentlich zugänglich? Einwilligung liegt vor? nichtöffentliche Stelle? für Aufgabenerfüllung erforderlich?

14 Einwilligung nur wirksam, wenn Betroffener frei entscheiden konnte ( 4a Abs. 1 BDSG) ihm muss der Zweck der Verarbeitung mitgeteilt werden er soll über Rechte sowie die Folgen einer Ablehnung aufgeklärt werden Einwilligung soll schriftlich erfolgen Hervorhebung, falls Einwilligung zusammen mit anderen Erklärungen erteilt werden soll soweit besondere Arten personenbezogener Daten verarbeitet werden (z. B. rassische und ethnische Herkunft, siehe 3 Abs. 9 BDSG), muss sich Einwilligung ausdrücklich darauf beziehen Koppelungsverbot (Kundenbindungsprogramme, 28 Abs. 3b BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 14 von 27

15 Elektronische Einwilligung zum Beispiel bei Telemedien möglich ( 13 Abs. 2 TMG), wenn Diensteanbieter sicherstellt, dass der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat, die Einwilligung protokolliert wird, der Nutzer den Inhalt der Einwilligung jederzeit abrufen kann und der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann und auf dieses Recht vor Erklärung der Einwilligung hingewiesen wird. Westfeld, Sommersemester 2015 Datenschutzrecht Folie 15 von 27

16 Erlaubnis durch Rechtsvorschrift Regelfall: bereichsspezifische Bestimmungen (z. B. 11ff. TMG, 91ff. TKG) 28 BDSG für nichtöffentliche Stellen 13ff. BDSG für öffentliche Stellen des Bundes Landesdatenschutzgesetz für öffentliche Stellen der Länder, im Freistaat Sachsen z. B. 12ff. SächsDSG Einwilligung des Betroffenen ( 4a BDSG), Bedingung bei öffentlichen Stellen: für Aufgabenerfüllung erforderlich (Gesetzesvorbehalt aus Art. 20 Abs. 3 GG beachten) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 16 von 27

17 Prinzip der Zweckbindung Zweck muss bereits bei Erhebung festgelegt sein grundsätzlich keine Vorratsdatenspeicherung Zweck abhängig von geplanter Verwendung Verfahren muss Abfolge von zweckbezogen verknüpften, zweckgebundenen Verarbeitungsschritten sein Zweckänderung nur als Ausnahme bei Abwägung mit schutzwürdigem Interesse des Betroffenen (z. B. 14 Abs. 2 und 5, 28 Abs. 2 BDSG) besondere Zweckbindung (Datenschutzkontrolle, Datensicherung, Sicherstellung eines ordnungsgemäßen Betriebs) schließt Zweckänderung aus ( 31 BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 17 von 27

18 Prinzip der Transparenz Betroffener muss ihn betreffende Verfahren kennen Verfahrensmitteilung ( 4e BDSG), Verfahrensverzeichnis Nachvollziehbarkeit durchgeführter Verfahren Information des Betroffenen vor Einwilligung Rechte des Betroffenen (Auskunft, Berichtigung etc., 19ff. und 33ff. BDSG) Benachrichtigungspflicht bei fehlender Direkterhebung ( 19a und 31 BDSG) besondere Informationspflichten bei Videoüberwachung ( 6b Abs. 2 BDSG), Datenlecks (z. B. Bank- und Kreditkartenkonten, 42a BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 18 von 27

19 Verfahrensverzeichnis jedes Verarbeitungsverfahren aufführen inhaltliche Anforderungen 4e BDSG Inhalt für jedermann zugänglich 4g Abs. 2, 38 Abs. 2 BDSG (Ausnahme: sicherheitsrelevanter Teil nach 4e Nr. 9 BDSG) für öffentliche Stellen des Freistaats Sachsen: 10 SächsDSG für Vorabkontrolle besonders riskanter Verfahren ( 4d Abs. 5 BDSG) detailliertere Angaben als für Verzeichnis nötig Westfeld, Sommersemester 2015 Datenschutzrecht Folie 19 von 27

20 Anlass und Inhalt der Meldung Anlass vor Inbetriebnahme ( 4d Abs. 1 BDSG) bei Änderung der Angaben ( 4e Satz 2 BDSG) sowie Aufnahme und Beendigung der meldepflichtigen Tätigkeit (ebd.) Inhalt ( 4e Nr. 1 bis 9 BDSG), z. B. Zweckbestimmung der Verarbeitung (Nr. 4) Regelfristen für die Löschung (Nr. 7) Beschreibung der technischen und organisatorischen Schutzmaßnahmen (Nr. 9, vgl. Anlage zu 9 BDSG: Wie werden Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrolle sowie Zweckunterstützung gewährleistet?) Meldung nicht, nicht richtig, nicht vollständig, nicht rechtzeitig gemacht? Ordnungswidrigkeit ( 43 Abs. 1 Nr. 1 BDSG), kann mit bis zu Euro Geldbuße geahndet werden (Abs. 3) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 20 von 27

21 Vorrang der Direkterhebung für mehr Transparenz ( 4 Abs. 2 BDSG) Betroffener soll selbst bestimmen, welche Daten er wem preisgibt Ausnahmen nur, wenn Daten bereits öffentlich oder Zweckänderung zulässig (z. B. 14 Abs. 2 BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 21 von 27

22 Outsourcing Auftragsdatenverarbeitung ( 11 BDSG) auch Wartung von Systemen (Abs. 5) verantwortliche Stelle ist Auftraggeber ( 3 Abs. 7 BDSG) schriftliche Vereinbarung klare Beschreibung der Tätigkeiten Festlegung der organisatorisch technischen Maßnahmen Durchsetzung der Rechte des Betroffenen mitzuteilende Verstöße des Auftragnehmers Weisungsrecht des Auftraggebers Westfeld, Sommersemester 2015 Datenschutzrecht Folie 22 von 27

23 Datenschutzbeauftragte 1. Bundesbeauftragter für Datenschutz und die Informationsfreiheit ( 22ff. BDSG) ist Aufsichtsbehörde für öffentliche Stellen des Bundes, wirkt auf Zusammenarbeit mit anderen Aufsichtsbehörden ( 26 Abs. 4 BDSG) 2. Aufsichtsbehörde für öffentliche Stellen der Länder, im Freistaat Sachsen lt. 25 SächsDSG der Sächsische Datenschutzbeauftragte) 3. Aufsichtsbehörde nichtöffentlicher Stellen ( 38 BDSG, im Freistaat Sachsen lt. 30a SächsDSG der Sächsische Datenschutzbeauftragte) 4. Verwaltungsbehörde im Sinne von 36 Abs. 1 Nr. 1 OWiG (im Freistaat Sachsen der Sächsische Datenschutzbeauftragte) 5. behördlicher Datenschutzbeauftragter einer öffentlichen Stelle der Länder (im Freistaat Sachsen z. B. lt. 11 SächsDSG) 6. betrieblicher Datenschutzbeauftragter einer nichtöffentlichen Stelle und behördlicher Datenschutzbeauftragter einer öffentlichen Stelle des Bundes ( 4f BDSG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 23 von 27

24 Beispiel Datenschutz in Telemedien Viktor betreibt einen Online-Versandhandel. Er möchte das Kundenverhalten auf seinen Internetseiten untersuchen, um seine Werbestrategie zu verbessern. Viktor schneidet das Nutzungsverhalten mit, verwendet dabei aber Pseudonyme, weil er keinen Ärger bezüglich Datenschutz will. Die protokollierten Seiten enthalten einen Hinweistext, dass das Nutzungsverhalten pseudonym ausgewertet werde. Ein Besucher der Seite beschwert sich, er habe nie eingewilligt, dass diese Daten erfasst werden. Braucht Viktor die Einwilligung der Nutzer in die Profilerstellung? Werden Rechte des Nutzers verletzt? Ein Freund rät Viktor, den Hinweis zu entfernen, damit es weniger Beschwerden gibt. Darf der Hinweis entfernt werden? Drohen Rechtsfolgen? Westfeld, Sommersemester 2015 Datenschutzrecht Folie 24 von 27

25 Diskussion des Beispiels (1) Viktor ist nicht-öffentliche Stelle, für die grundsätzlich das Bundesdatenschutzgesetz anwendbar ist. ( 2 Abs. 4 Satz 1 BDSG, 1 Abs. 2 Nr. 3 BDSG) Bezüglich des Online-Versandhandels ist Viktor Diensteanbieter eines Telemediums. Daher wird vorrangig das Telemediengesetz angewendet. ( 1 Abs. 1 TMG, 2 Nr. 1 TMG, 1 Abs. 3 BDSG) Es ist keine Einwilligung erforderlich, da das Telemediengesetz für Zwecke der Marktforschung eine Erlaubnisnorm enthält. ( 4 Abs. 1 BDSG, 15 Abs. 3 TMG) IP-Adressen sind kein geeignetes Pseudonym, Empfehlung: IP-Adresse vor Speicherung um zwei Bytes von rechts kürzen ( 3 Abs. 6a BDSG, einhellige Meinung der Aufsichtsbehörden) Die Erlaubnis erlischt bei Widerspruch des Nutzers. ( 15 Abs. 3 Satz 1 TMG) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 25 von 27

26 Diskussion des Beispiels (2) Die Erlaubnis erfordert Unterrichtung über das Widerspruchsrecht zu Beginn des Nutzungsvorgangs. ( 15 Abs. 3 Satz 2 TMG, 13 Abs. 1 TMG) Unterlassen der (rechtzeitigen) Information ist ordnungswidrig. Es droht eine Geldbuße bis Euro. ( 16 Abs. 2 Nr. 2, Abs. 3 TMG) Die Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms zusammengeführt werden. Es darf also nicht die Geolokalisierung der gekürzten IP-Adresse durchgeführt werden. ( 15 Abs. 3 Satz 3 TMG) Bei Outsourcing im Europäischen Wirtschaftsraum (z. B. etracker) ist zusätzlich ein Vertrag zur Auftragsdatenverarbeitung nötig. ( 11 BDSG) Rechtslage kompliziert bei Übermittlung an Stellen in Drittländern (also außerhalb des Anwendungsbereichs der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr) Westfeld, Sommersemester 2015 Datenschutzrecht Folie 26 von 27

27 Grundrecht auf informationelle Selbstbestimmung Volkszählungsurteil 1983 Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG umfasst. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Einschränkungen dieses Rechts auf informationelle Selbstbestimmung sind nur im überwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsgemäßen gesetzlichen Grundlage, die dem rechtsstaatlichen Gebot der Normenklarheit entsprechen muss. Bei seinen Regelungen hat der Gesetzgeber ferner den Grundsatz der Verhältnismäßigkeit zu beachten. Westfeld, Sommersemester 2015 Datenschutzrecht Folie 27 von 27