Einführung in den Datenschutz bei Woodward

Transkript

1 Einführung in den Datenschutz bei Woodward Der sensible und diskrete Umgang mit seinen persönlichen Daten ist für jeden Bürger in Deutschland ein gesetzlich geschütztes Recht. Um eine Wahrung der Rechte von Privatpersonen durchsetzen zu können gibt es in Deutschland bereits seit den 70er Jahren ein Bundesdatenschutzgesetz kurz BDSG. Woodward ist durch dieses Gesetz verpflichtet, alle Mitarbeiter/innen mit Zugang zu den personenbezogenen Daten, z.b. seiner Mitarbeiter/innen, auf das Datengeheimnis ( 5 BDSG) zu verpflichten. Im BDSG wurde festgelegt, welche grundlegenden Regeln beim Umgang mit den personenbezogenen Daten zu beachten sind. In vielen weiteren Gesetzen und Verordnungen (z.b. Sozialgesetzbuch, Telekommunikationsgesetz TKG) gibt es weitere Regelungen, die auch Ihre Arbeit betreffen. Diese Schulung soll eine kurze Zusammenfassung der gesetzlichen Vorschriften bieten. Vor allem aber soll das Thema Datenschutz als wichtiger und allgegenwärtiger Bestandteil Ihrer Arbeit bei Woodward geschildert werden. Wir können uns Fehler aus Unachtsamkeit oder Unwissenheit nicht leisten. Die Sensibilität der Informationen über unsere Mitarbeiter/innen zwingen uns den Datenschutz bei jedem Telefongespräch und jedem Briefwechsel zu beachten - bei der Arbeit genauso wie im Privatleben. Das Durcharbeiten dieser Seiten soll dabei helfen. Eine kurze Einführung in das Persönlichkeitsrecht Was bedeutet Datenschutz? In Deutschland verstehen wir unter Datenschutz das Abwägen zwischen unserem Recht auf informationelle Selbstbestimmung und dem Recht der Gesellschaft auf Information. Das Recht auf informationelle Selbstbestimmung gewährt jedem Bürger das Recht zu entscheiden: - Wer - Welche seiner Daten - Zu welchem Zweck nutzen darf. Der Schutz der Vertraulichkeit von Informationen sichert Anonymität und schützt so vor Diskriminierung und sozialer Benachteiligung in der Gesellschaft. Dieser umfassende Schutz funktioniert allerdings nicht in allen Bereichen. Er ist nur möglich, solange dabei das Gemeinwohl nicht beeinträchtigt wird. Die Strafverfolgung, die Verwaltungsaufgaben unseres Staates und vieler anderer G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 1 von 8

2 Institutionen unserer Gesellschaft sollen in Ihrer Funktion nicht eingeschränkt werden. Auch die Geschäftsbeziehungen unseres Wirtschaftssystems funktionieren nur unter Preisgabe eines Mindestmaßes an Informationen. In vielen Fällen hat der Gesetzgeber unseres Landes dieses Mindestmaß genau festgelegt, aber im beruflichen Alltag ist man häufig gezwungen selbst abzuwägen. Die Entscheidung, ob die Weitergabe einer bestimmten Information an eine andere Person notwendig, erlaubt oder verboten ist, erfordert Erfahrung. Häufig hilft es sich die Frage zu stellen: Würde ich diese Information weitergeben wenn es um mich ginge?. Wenn Sie sich unsicher sind, wenden Sie sich bitte an Ihre Führungskraft, die Personalabteilung oder den betrieblichen Datenschutzbeauftragten. Woodward hat für die deutschen Standorte einen gemeinsamen betrieblichen Datenschutzbeauftragten bestellt. Das Bundesdatenschutzgesetz In den 70er Jahren hatte die Entwicklung der Rechentechnik ein Niveau erreicht, dass es ermöglichte, Behörden mit Rechenzentren auszustatten und die verschiedenen Melderegister für Kfz-Halter, Sozialhilfeempfänger und so weiter in einer Datenbank zusammenzuführen. Als das Land Hessen als erstes Bundesland solche Überlegungen anstellte, machte die Reaktion der Bevölkerung deutlich, dass hier nicht willkürlich mit den Daten der Bürger verfahren werden konnte wurde in Hessen zeitgleich mit der Inbetriebnahme des ersten deutschen Behördenrechenzentrums auch das erste deutsche Datenschutzgesetz verabschiedet. Wesentlicher Inhalt damals: ein Abgleichen der Melderegister ist nicht statthaft, da es nicht im Interesse der Menschen liegt, deren Daten gespeichert sind. Über 30 Jahre später haben wir ein Bundesdatenschutzgesetz, das sowohl für Privatunternehmen als auch für Behörden gilt. Unser Bundesdatenschutzgesetz erfüllt seit dem 23. Mai 2001 zusätzlich die Anforderungen der EG an ein europaweit einheitliches Datenschutzrecht. Entsprechend allgemein klingt heute das Ziel dieses Gesetzes: Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Trotzdem lässt sich der Anwendungsbereich noch etwas konkretisieren: 1. Personenbezogene Daten sind alle Daten, die in Verbindung mit einer natürlichen Person stehen oder mit einer natürlichen Person in Verbindung gebracht werden können (Name, Hautfarbe, Kreditwürdigkeit, Zahl der Krankentage,...). 2. Geschützt ist die einzelne Privatperson, nicht der Fußballverein oder der Umweltschutz e.v. und auch nicht die Firma XY. 3. Der Bundesdatenschutz schützt den Einzelnen vor einer Schädigung durch unrechtmäßige Erhebung, Speicherung und Verarbeitung von Daten soweit es sich um eine EDV-gestützte Verarbeitung oder Papierakten handelt. G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 2 von 8

3 Besonders der dritte Punkt ist nicht immer ausreichend. Hierfür gibt es eine Vielzahl an zusätzlichen Bestimmungen und speziellen Gesetzen. In diesen ist genau geregelt, welche Daten in einer Telefonanlage gespeichert werden, welche Daten in der Personalakte abgelegt werden müssen, usw. Unser Bundesdatenschutzgesetz dient lediglich als Auffanggesetz für alle Situationen, in denen es keine Regelung in einem anderen Gesetz gibt. Dazu bedient es sich einer einfachen Formel: Das Verarbeiten oder Nutzen personenbezogener Daten ist verboten, es sei denn, es ist durch den Betroffenen selbst oder eine Rechtsnorm erlaubt. Wer also Daten von Privatpersonen erheben und nutzen will, muss in Deutschland ein gesetzlich verbrieftes Recht vorweisen können oder das Einverständnis des Betroffenen einholen. Hat er dies nicht, MUSS er die Daten löschen. Zusätzlich muss der Betroffene über die Verarbeitung oder Nutzung informiert sein. Ist dies nicht automatisch gegeben, muss er informiert werden. Dieses Rechts-Prinzip gilt auch in allen Mitgliedsstaaten der EU. In den USA gibt es kein Gesetz zum Datenschutz, aber einen Verhaltenskodex. Sie können sich in den USA gegen den Missbrauch der Daten genauso wehren. Die reine Speicherung der Daten ist aber nicht strafbar. Woodward ist dem Save Harbour beigetreten. Dies ist eine Initiative des US-Handelsministeriums, das amerikanische Unternehmen einem Regelwerk unterwirft, das dem Datenschutzrecht der EU weitgehend entspricht. Die deutschen Aufsichtsbehörden akzeptieren diese Vorgehensweise als gleichwertig zum Datenschutzrecht der EU. Deshalb darf Woodward personenbezogene Daten europäischer Mitarbeiter/innen in die USA übermitteln und dort verarbeiten und nutzen. Folgende Grundregeln ergeben sich für uns aus dem Bundesdatenschutzgesetz: - Zweckbindung: Daten, die wir erfassen, dienen einem bestimmten Zweck und nur für diesen Zweck dürfen sie verwendet werden. Bewerber senden Ihre Daten an ein Unternehmen, damit dieses beurteilen kann, ob dieser Bewerber für die freie Stelle geeignet ist. Wurde jemand für diese Stelle eingestellt, müssen die Daten zurückgegeben werden. Die Daten dürfen nicht an andere Unternehmen gegeben werden und schon gar nicht an ein Versicherungsunternehmen verkauft werden. Auch die Daten der Angestellten dürfen nicht an ein anderes Unternehmen oder eine unbefugte Person weitergegeben werden. - Transparenz: Informationen über seine gespeicherten Daten darf jeder einholen und Benachrichtigungen über erstmals gespeicherte Daten sind von Seiten des Unternehmens unaufgefordert durchzuführen. G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 3 von 8

4 - Wahrung der Rechte der Betroffenen: Den betroffenen Privatpersonen räumt das Bundesdatenschutzgesetz Korrekturrechte wie Berichtigung, Sperrung, Löschung und Widerspruch ein, wenn diese feststellen sollten, dass die gespeicherten Daten nicht korrekt sind. - Datensparsamkeit: Es dürfen nur die Daten gespeichert werden, die auch benötigt werden. - Zugriffsminimierung (Prinzip Need to know ): Häufig sind die Daten mehrerer Personen zusammen in einer Datensammlung abgelegt. Es ist selbstverständlich, dass man nur in die Akte sieht, die auch benötigt wird und nicht, dass man den Datenbestand durchstöbert, weil ein Name bekannt vorkommt. Keine Einsichtnahme aus reiner Neugier oder Weitergabe aus Gefälligkeit! - Beachtung organisatorischer Regeln: Die Art und Weise, in der die Daten in unserem Unternehmen abgelegt werden, ist häufig mit den Erfordernissen des Datenschutzes abgestimmt. Dadurch sind die Gründe für die organisatorischen Regelungen nicht immer sofort erkennbar. Trotzdem müssen diese Regeln befolgt werden. Die Organisation des Datenschutzes Das Bundesdatenschutzgesetz enthält sowohl Regelungen für die Organisation auf staatlicher Seite als auch für die Organisation in den Unternehmen. Zur Überwachung der Einhaltung des Datenschutzes gibt es in Deutschland: - einen Bundesdatenschutzbeauftragten. Dieser kann von den Bürgern angerufen werden und beantwortet Fragen zum Datenschutz in Betrieben und Behörden. Die Ergebnisse seiner Arbeit werden regelmäßig in einem Datenschutzbericht veröffentlicht. Der Bundesdatenschutzbeauftragte ist auch für die Kontrolle des Datenschutzes in den Bundesbehörden zuständig. - einen Landesdatenschutzbeauftragten in jedem Bundesland (In unserem Fall Die Landesbeauftragte für Datenschutz Nordrhein-Westfalen und Beauftragte für das Recht auf Information mit Sitz in Düsseldorf), der für die Einhaltung des Datenschutzes in den Landesbehörden und in den Privatunternehmen mit personenbezogener Datenverarbeitung im jeweiligen Bundesland zuständig ist. Der Landesdatenschutzbeauftragte darf Privatunternehmen ohne konkreten Anlass überprüfen. - einen betrieblichen Datenschutzbeauftragten. In jedem Unternehmen, das regelmäßig mehr als 20 Angestellte mit personenbezogener Datenverarbeitung beschäftigt. G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 4 von 8

5 Wir haben zu diesem Zweck einen externen Datenschutzbeauftragten bestellt: Herrn Rainer von zur Mühlen von zur Mühlen sche Unternehmensberatung GmbH Alte Heerstraße 1, Bonn Tel Fax WWW: Zu den Pflichten unseres Datenschutzbeauftragten gehören: - die Schulung der Mitarbeiter/innen und Verpflichtung auf das Datengeheimnis nach 5 Bundesdatenschutzgesetz - die Beantwortung der Fragen von Angestellten zum Datenschutz - die Prüfung der Einhaltung des Datenschutzes und der Datensicherheit in unserem Unternehmen (Revision) - das Führen eines Verzeichnisses mit den Verfahren zur personenbezogenen Datenverarbeitung in unserem Unternehmen Zu den Pflichten des Mitarbeiters / der Mitarbeiterin gehören: Um den gesetzlichen Anforderungen und unseren eigenen hohen Ansprüchen gerecht zu werden, muss bei uns jede/r Mitarbeiter/in mit seinem/ ihrem eigenen Verhalten dazu beitragen. Denn durch Technik allein lässt sich Datenschutz nicht realisieren. Viele Fragen werden Ihnen durch Ihre Vorgesetzten abgenommen. Bei den Anleitungen und Arbeitsaufträgen, die Sie bekommen, dürfen Sie davon ausgehen, dass diese nicht gegen den Datenschutz verstoßen. Trotzdem sollten Sie nicht zögern Ihre Kollegen oder Vorgesetzten auf Mängel hinzuweisen und Fragen zu stellen wenn Sie unsicher sind. Wir erwarten nicht, dass Sie ab sofort den Datenschutz sicher beherrschen und in jeder Lage eine Lösung parat haben. Wir erwarten aber von Ihnen einen sensiblen und vertraulichen Umgang mit allen Informationen, die Sie in unserem Hause erhalten, insbesondere über unsere Mitarbeiter/ -innen und Kunden. Dies gilt am Arbeitsplatz für den Umgang mit dem PC, dem Telefon, für alle schriftlichen Informationen, sowie das Verhalten in der Öffentlichkeit. Um Ihnen ein Gefühl für den Datenschutz bei Ihrer täglichen Arbeit zu vermitteln, bitten wir Sie die folgenden kurzen Fragen schriftlich zu beantworten. Dies soll keine Leistungskontrolle sein. Deshalb stehen die Antworten auf der Folgeseite. G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 5 von 8

6 Testfragen: Frage1: Eine Versicherung meldet sich am Telefon und bittet um die Mitteilung von Namen und Anschriften der Auszubildenden. Sie teilt mit dass bei pauschaler Bearbeitung ein Firmenrabatt von 10% eingeräumt werden könnte. Sind Sie bereit dem Wunsch nachzukommen? Frage 2: Die Berufsgenossenschaft meldet sich per Telefon in der Personalabteilung und bittet um nähere Angaben des Mitarbeiter/innens Y. Nach Angabe der Berufsgenossenschaft ist Mitarbeiter/in Y auf dem Weg zur Arbeit von einem Auto angefahren worden. Mitarbeiter/in Y hatte sich nur kommentarlos krank gemeldet. Geben Sie die Information an die Berufsgenossenschaft weiter? G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 6 von 8

7 Antwort 1: Nein. Die Daten der Auszubildenden dürfen nur zu den Zwecken verwendet werden die der Ausbildungsvertrag zulässt. Es besteht aber die Möglichkeit die Auszubildenden zu fragen ob Sie daran Interesse haben. Mit dem Einverständnis der Betroffenen können die Daten weitergegeben werden. Eine Weitergabe am Telefon ist jedoch unsicher da Sie nicht prüfen können ob der Anrufer die Wahrheit sagt. Bitten Sie um die Faxnummer oder Postanschrift und achten Sie darauf, dass es sich um eine dienstliche Adresse handelt. Formulieren Sie dann einen Text für die Übergabe der den Zweck der Datenweitergabe klar herausstellt. Damit verpflichten Sie auch den Empfänger zu einer ausschließlich Zweckgebundenen Verwendung der Daten. Antwort 2: Die Berufsgenossenschaft hat ein Recht auf Informationen über die Versicherten, soweit Sie diese zu Abrechnungszwecken oder zur Schadensregulierung benötigt. Die Informationen sollten Sie jedoch auch hier nicht einfach am Telefon weitergeben. Ziehen Sie die Kollegen zu rate die die gewünschten Informationen aufgenommen haben. G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 7 von 8

8 Ja, ich habe die Kurzschulung zum Datenschutz gelesen und bin bereit mich an diese Regeln zu halten. Somit habe ich meine Verpflichtung auf das Datengeheimnis nach 5 BDSG ich zur Kenntnis genommen. NAME: VORNAME: (Datum, Unterschrift). G:\group\ZP\Datenschutz\Verpflichtungserklärung_Kurzschulung.docx Seite 8 von 8