Lidl muss zahlen Millionen-Strafe für die Schnüffler Teure Bespitzelung: Der Discounter

Transkript

1 Einleitung Handel mit Millionen Melderegisterdaten aufgedeckt Der Skandal um den illegalen Adresshandel ist offenbar um ein dunkles Kapitel reicher. Laut einem Zeitungsbericht haben mindestens acht Unternehmen rechtswidrig mit Millionen von Daten aus kommunalen Melderegistern gehandelt. Spiegel online Wenn der Chef James Bond spielt Die heimliche Überwachung der Mitarbeiter bei Lidl hat einen Skandal ausgelöst dabei kontrollieren Vorgesetzte bereits bei mehr als jedem dritten Arbeitnehmer unbemerkt den Computer. Auch versteckte Minikameras im Großraumbüro sind keine Seltenheit mehr. Spiegel online Lidl muss zahlen Millionen-Strafe für die Schnüffler Teure Bespitzelung: Der Discounter Lidl muss für die unerlaubte Überwachung seiner Mitarbeiter ein Bußgeld in Höhe von fast 1,5 Millionen Euro zahlen. Süddeutsche.de Die aktuellen Datenschutzskandale des Jahres 2008 haben eine öffentliche Diskussion über eine stärkere staatliche Datenschutzkontrolle ausgelöst. Es ist damit zu rechnen, dass der Gesetzgeber die Sanktionen verschärft. Die Unternehmen müssen sich zudem vermehrt darauf einstellen, dass die Aufsichtsbehörden für den Datenschutz ihre Prüfungen intensivieren. Daher ist es für die Verantwortlichen unver- 11

2 zichtbar, sich mit einem guten Datenschutzmanagement 1 auf solche Prüfungen vorzubereiten. Zwei wesentliche Aufgaben prägen das Tätigkeitsfeld von Datenschutzaufsichtsbehörden: Informationen für Bürger, Unternehmen, betriebliche Datenschutzbeauftragte sowie Mitarbeitervertretungen Überprüfung datenschutzrechtlicher Vorgänge Vor 2001 konnten sie ihre eingeschränkte anlassunabhängige Kontrolle relativ leicht ausüben. Anhand des Registers der gemeldeten Unternehmen ließen sich jährlich Prüfpläne festlegen sowie Schwerpunkte setzen. Die Branchenauswahl war aufgrund bestimmter meldepflichtiger Tätigkeiten übersichtlich. Nachdem die vollständige anlassunabhängige Kontrolle gilt, stehen die Aufsichtsbehörden für den Datenschutz vor der Frage: Wie geht man mit der neuen Aufsichtsmöglichkeit um? Wie werden Schwerpunkte gebildet? Welche Unternehmen sollen geprüft werden? Auf welchem Weg sind Informationen über die Unternehmen zur Vorbereitung einer Prüfung zu erhalten? Die Ressourcen der Aufsichtsbehörden stehen in keinem Verhältnis zu der Zahl der Unternehmen, die personenbezogene Daten verarbeiten 2. Vor diesem Hintergrund können Kontrollen der Aufsichtsbehörden lediglich stichprobenartig und nicht flächendeckend erfolgen. Es gibt keine bundeseinheitlich vorgegebenen Richtlinien, wie, wann und ob eine Prüfung vorzunehmen ist. Jede Aufsichtsbehörde entscheidet selbst über die Art und Weise, Umfang und Gegenstand der Prüfung sowie welche Unternehmen sie prüfen will 3. Daher ist es für die nicht-öffentlichen Stellen kaum vorhersehbar, ob und wann eine Aufsichtsbehörde ihre Kontrollen durchführen wird. Ausnahmen bilden allerdings die Branchen Banken, Versicherungen, Auskunfteien sowie der Adress TB Mecklenburg-Vorpommern , Kapitel TB 2006 Regierung von Mittelfranken (Bayern), Kapitel

3 handel aufgrund ihrer Geschäftszwecke, die immer die Verarbeitung von personenbezogenen Daten nach sich zieht und somit Gegenstand vieler Beschwerden von Kunden und Betroffenen ist. Nicht immer gelingt es den Aufsichtsbehörden, nichtöffentliche Stellen von der Einhaltung datenschutzrechtlicher Vorschriften zu überzeugen. Der Gesetzgeber hat daher den Aufsichtsbehörden Sanktionsmöglichkeiten an die Hand gegeben. Das Bundesdatenschutzgesetz sieht die Verhängung von Bußgeldern vor und hat 2001 das Antragsrecht für Straftatbestände auch auf die Aufsichtsbehörden ausgedehnt. Daneben steht ihnen das Zwangsverfahren mittels Zwangsgeld und Erzwingungshaft zur Verfügung. 13

4 Kapitel I: Organisation der Datenschutzaufsicht 1. Staatliche Aufsicht Die Datenschutzaufsicht ist in Deutschland aufgrund der föderalen Struktur nicht ganz einfach zu überblicken. Für den nicht-öffentlichen Bereich bestimmen die Länder, wer die Aufgaben der Aufsichtsbehörde für den Datenschutz übernehmen soll ( 38 Abs. 6 BDSG). Derzeit befinden sich die Aufsichtsbehörden bei Innenministerien (Baden-Württemberg, Brandenburg), bei den Regierungspräsidien oder Landesverwaltungsämtern (Bayern, Hessen, Thüringen, Sachsen-Anhalt, Rheinland-Pfalz) oder bei den Landesdatenschutzbeauftragten. Das Vertragsverletzungsverfahren 4 der Europäischen Kommission zur Unabhängigkeit der Datenschutz-Aufsichtsbehörden ist noch nicht abgeschlossen. Auf die Einzelheiten soll hier nicht weiter eingegangen werden. 1.1 Zuständige Aufsichtsbehörde Die Aufsichtsbehörde für den Datenschutz kontrolliert die Ausführung der datenschutzrechtlichen Vorschriften durch nicht-öffentliche Stellen. Die Zuständigkeit richtet sich nach dem Sitz der nichtöffentlichen Stelle oder dem Ort der Datenverarbeitung. Ausnahmen gelten für Postund Telekommunikationsunternehmen: Für sie ist der Bundesbeauftragte für den Datenschutz zuständig ( 2 Abs. 1 Satz 2 BDSG, 115 Abs. 4 TKG). Nicht-öffentliche Stellen sind natürliche und juristische Personen (GmbH, AG, eingetragener Verein), Gesellschaften und andere Personenvereinigungen des privaten Rechts (BGB- Gesellschaften, KG, OHG), es sei denn, sie sind als öffentliche Stelle anzusehen ( 2 Abs. 4 BDSG). 4 DSB 2/2007, S. 5 14

5 Wo gibt es aktuelle Hinweise auf die zuständige Aufsichtsbehörde für den Datenschutz? Im Zeitalter des Internets verfügen heute alle Behörden und öffentlichen Stellen über eigene Seiten. Diese Suche ist jedoch mühselig. Die schnellsten Informationen mit allen Kontaktdaten bietet das virtuelle Datenschutzbüro unter 2. Betriebliche Selbstkontrolle Bereits vor 30 Jahren hat der Gesetzgeber mit dem betrieblichen Datenschutzbeauftragten eine innerbetriebliche Kontrollinstitution geschaffen, um den Unternehmen den Umgang mit den datenschutzrechtlichen Rahmenbedingungen zu erleichtern 5. Da keine Meldepflicht für betriebliche Datenschutzbeauftragte besteht, haben die Aufsichtsbehörden keine Übersicht über die nicht-öffentlichen Stellen, die einen bestellt haben. Die bisherigen Prüferfahrungen, gerade nach der Einführung der anlassunabhängigen Vollkontrolle, zeigen, dass viele Unternehmen über diese Verpflichtung nicht informiert waren. Bei einigen Prüfungen war zudem festzustellen, dass noch nicht einmal die wesentlichen Grundsätze des Bundesdatenschutzgesetzes bekannt waren. 2.1 Verantwortung des Unternehmens Unabhängig davon, ob eine Verpflichtung zur Bestellung eines betrieblichen Datenschutzbeauftragten besteht, hat eine nicht-öffentliche Stelle bei personenbezogener Datenverarbeitung die Vorgaben des Bundesdatenschutzgesetzes zu beachten. Der Leiter der nicht-öffentlichen Stelle muss sicherstellen, dass die dem betrieblichen Datenschutzbeauftragten obliegenden Aufgaben in anderer Weise erfüllt werden ( 4g Abs. 2a BDSG) TB Regierung von Mittelfranken (Bayern), Kapitel

6 Wurde ein betrieblicher Datenschutzbeauftragter bestellt, hat die nicht-öffentliche Stelle ihn bei der Erfüllung seiner Aufgaben zu unterstützen und ihm insbesondere, soweit dies zur Erfüllung seiner Aufgaben erforderlich ist, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen ( 4f Abs. 5 BDSG). Er ist über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten ( 4g Abs. 1 Nr. 1 BDSG). Ihm ist eine Übersicht über die in 4e Satz 1 BDSG genannten Angaben sowie über zugriffsberechtigte Personen zur Verfügung zu stellen ( 4g Abs. 2 BDSG). Die Bestellung zum betrieblichen Datenschutzbeauftragten bedeutet nicht, dass die nicht-öffentliche Stelle ihm die alleinige Korrespondenz mit der Aufsichtsbehörde überlässt. Die Übertragung der Vertreterfunktion und der alleinigen Zuständigkeit für die Bearbeitung aller mit dem Datenschutz zusammenhängenden Fragen auf den betrieblichen Datenschutzbeauftragten verstößt nicht nur gegen das Bundesdatenschutzgesetz, sondern bewirkt auch einen ebenso mit diesem Gesetz nicht zu vereinbarenden Rückzug des Unternehmens aus seiner Verantwortung für den Datenschutz. Diese Verfahrensweise behindert eine der Intention des Bundesdatenschutzgesetzes entsprechende Verwirklichung des Datenschutzes im Unternehmen, die von einer Aufgabenteilung ausgeht. So sind die Umsetzung der datenschutzrechtlichen Vorschriften und die Vertretung nach außen ureigene Aufgaben der Unternehmensleitung oder der Stellen, die damit beauftragt sind. Davon zu unterscheiden ist die dem betrieblichen Datenschutzbeauftragten obliegende Verantwortung für die Überwachung und für das Hinwirken auf den Datenschutz. 6 6 Dorn, DSB 10/2006, S. 9 ff. 16