Datenschutz und Datensicherung (BDSG) Inhaltsübersicht

Transkript

1 Datenschutz und Datensicherung (BDSG) Inhaltsübersicht Datenschutzziel Datenschutz und Datensicherung Personenbezogene Daten Datenverarbeitung Zulässigkeit personenbezogener Datenverarbeitung Zulässigkeit der Speicherung Zulässigkeit der Übermittlung Datenlöschen Datengeheimnis-Verpflichtung Rechte des Betroffenen Maßnahmen zur Datensicherung Unterlagensicherung Datenverarbeitung im Auftrag

2 Datenschutz Gesetzliche Grundlage: 1978: Gesetz zum Schutz vor Mißbrauch personenbezogener Daten bei der Datenverarbeitung 1990: Bundesdatenschutzgesetz (BDSG) 2003: Neufassung des BDSG Zweck des Gesetzes: Schutz des Einzelnen vor der Beeinträchtigung in seinem Persönlichkeitsrecht durch den Umgang mit seinen personenbezogenen Daten ( 1 (1)) Personenbezogene Daten: Einzelangaben über persönliche oder sachliche Verhältnisse einer Person ( 3)

3 Gültigkeit des Gesetzes ( 1 (2) ): Öffentliche Stellen des Bundes und der Länder Nicht-öffentliche Stellen (z.b. Betriebe), soweit sie die Daten unter Einsatz von DV-Anlagen oder nicht automatisierten Dateien verarbeiten, erheben oder dafür erheben. Jedoch nicht gültig für den Gebrauch von Daten ausschließlich für persönliche oder familiäre Tätigkeiten Zielgruppe des Gesetzes sind also neben der öffentlichen Verwaltung auch alle Betriebe: Natürliche oder juristische Personen Gesellschaften Personenvereinigungen des Privatrechts

4 Unterscheidung der Betriebe hinsichtlich der Datenverarbeitung für eigene Zwecke für fremde Zwecke Für den betriebliche Datenschutz nach dem BDSG sind von besonderer Bedeutung: Datenschutz Datenschutzmaßnahmen 9 Datenschutzbeauftragter 4f

5 BDGS 9 Technische und organisatorische Maßnahmen Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck sind. Innerbetriebliche Organisation: Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Getrennte Verarbeitung

6 Zutrittskontrolle Unbefugten den Zutritt zu DV-Anlagen verwehren Zugangskontrolle Unbefugten die Nutzung von DV-Anlagen verwehren Zugriffskontrolle Berechtige haben nur Zugriff auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten; Personenbezogene Daten können während Verarbeitung, Nutzung oder nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden. Getrennte Verarbeitung von zu unterschiedlichen Zwecken erhobene Daten

7 Weitergabekontrolle Sichere elektronische Übertragung von personenbezogenen Daten; Überprüfbarkeit/Feststellbarkeit der eingerichteten Empfangsstellen Eingabekontrolle Nachträgliche Überprüfbarkeit/Feststellbarkeit der Bearbeiter von personenbezogenen Daten an einer DV- Anlage Auftragskontrolle Verarbeitung im Auftrag nur entsprechend den Weisungen des Auftragsgebers Verfügbarkeitskontrolle Schutz personenbezogener Daten gegen zufällige Zerstörung oder Verlust

8 Datenschutz Gesetzliche Grundlage: 1978: Gesetz zum Schutz vor Mißbrauch personenbezogener Daten bei der Datenverarbeitung 1990: Bundesdatenschutzgesetz (BDSG) 2003: Neufassung des BDSG Zweck des Gesetzes: Schutz des Einzelnen vor der Beeinträchtigung in seinem Persönlichkeitsrecht durch den Umgang mit seinen personenbezogenen Daten ( 1 (1)) Personenbezogene Daten: Einzelangaben über persönliche oder sachliche Verhältnisse einer Person ( 3)

9 Gültigkeit des Gesetzes ( 1 (2) ): Öffentliche Stellen des Bundes und der Länder Nicht-öffentliche Stellen (z.b. Betriebe), soweit sie die Daten unter Einsatz von DV-Anlagen oder nicht automatisierten Dateien verarbeiten, erheben oder dafür erheben. Jedoch nicht gültig für den Gebrauch von Daten ausschließlich für persönliche oder familiäre Tätigkeiten Zielgruppe des Gesetzes sind also neben der öffentlichen Verwaltung auch alle Betriebe: Natürliche oder juristische Personen Gesellschaften Personenvereinigungen des Privatrechts

10 Unterscheidung der Betriebe hinsichtlich der Datenverarbeitung für eigene Zwecke für fremde Zwecke Für den betriebliche Datenschutz nach dem BDSG sind von besonderer Bedeutung: Datenschutz Datenschutzmaßnahmen 9 Datenschutzbeauftragter 4f

11 BDGS 9 Technische und organisatorische Maßnahmen Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten. Erforderlich sind Maßnahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck sind. Innerbetriebliche Organisation: Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Getrennte Verarbeitung

12 Zutrittskontrolle Unbefugten den Zutritt zu DV-Anlagen verwehren Zugangskontrolle Unbefugten die Nutzung von DV-Anlagen verwehren Zugriffskontrolle Berechtige haben nur Zugriff auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten; Personenbezogene Daten können während Verarbeitung, Nutzung oder nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden. Getrennte Verarbeitung von zu unterschiedlichen Zwecken erhobene Daten

13 Weitergabekontrolle Sichere elektronische Übertragung von personenbezogenen Daten; Überprüfbarkeit/Feststellbarkeit der eingerichteten Empfangsstellen Eingabekontrolle Nachträgliche Überprüfbarkeit/Feststellbarkeit der Bearbeiter von personenbezogenen Daten an einer DV- Anlage Auftragskontrolle Verarbeitung im Auftrag nur entsprechend den Weisungen des Auftragsgebers Verfügbarkeitskontrolle Schutz personenbezogener Daten gegen zufällige Zerstörung oder Verlust