Datenschutzprobleme in Stichworten:

Transkript

1 Datenschutzprobleme in Stichworten: Hier sind einige in jüngerer Zeit aufgetretene Probleme erörtert. Die Sammlung erhebt keinerlei Anspruch auf Vollständigkeit und wird laufend ergänzt. Eine sehr viel vollständigere Sammlung finden Sie an folgender Internetadresse: Arbeitsplatzcomputer Laptops Auswertung von Stundenplänen durch die Mitarbeitervertretung: Sachverhalt: In kirchlichen Schulen will die Mitarbeitervertretung die Stundenpläne durch ein Datenverarbeitungsprogramm auswerten, um festzustellen, ob die Mitarbeiter gleichmäßig belastet sind. Die Auswertung der Stundenpläne durch die Mitarbeitervertretung bzw. ihren Sprecherrat ist nicht externe Datenverarbeitung im Sinne des 8 KDO, weil die Daten nicht im Interesse des Dienstgebers verarbeitet werden. Sie ist auch nicht Weitergabe an Dritte im Sinne des 12 KDO (vgl. Fachet, Kommentar zur KDO, Teil 4 Stichwort Mitarbeitervertretung 2.9), sondern beschränkt auf die Ziele der MAV interne Datenverarbeitung. Nach dem verfassungsrechtlich abgeleiteten Grundsatz der informationellen Gewaltenteilung ist die Befugnis des Dienstgebers, Arbeitnehmerdaten an die MAV weiterzugeben, eingeschränkt. Sie besteht jedoch insoweit, als die MAV nach der MAVO ein Informations- bzw. Mitwirkungsrecht hat. Dieses ergibt sich hier aus 27 MAVO. Die MAV hat auf eine gleichmäßige Belastung aller durch die Dienstpläne hinzuwirken. Unter diesen Aspekten bestehen keine durchgreifenden Bedenken gegen die Überlassung der Stundenpläne an den Sprecherrat zum Zwecke der Auswertung. Bei Durchführung der Auswertung ist zu beachten: Die Mitglieder der MAV unterliegen zwar nach 20 MAVO einer besonderen Verschwiegenheitspflicht. Trotzdem sind sie nach 4 S.2 KDO gesondert zu verpflichten, wenn sie als interne Betriebsangehörige Daten verarbeiten. Die AusfVO zur KDO ist zu beachten: III. Zu 4 KDO: (1) Die schriftliche Verpflichtungserklärung der bei der Datenverarbeitung tätigen Personen gemäß 4 Satz 2 KDO hat zum Inhalt, 1. Angaben zur Identifizierung (Vor- und Zuname, Geburtsdatum und Anschrift sowie Beschäftigungsdienststelle), 2. die Bestätigung, a. dass auf die für den Aufgabenbereich des Mitarbeiters wesentlichen Grundsätze und im übrigen auf die Texte in der jeweils gültigen Fassung sowie b. auf die Möglichkeit der Einsichtnahme und etwaigen kurzfristigen Ausleihe dieser Texte hingewiesen wurde, 3. die Verpflichtung, die KDO und andere für ihre Tätigkeit geltende Datenschutzvorschriften in der jeweils gültigen Fassung sorgfältig einzuhalten, 4. die Bestätigung, dass sie über disziplinarrechtliche bzw. arbeitsrechtliche/rechtliche Folgen eines Verstoßes gegen die KDO belehrt wurden. (2) Die schriftliche Verpflichtungserklärung ist von der bei der Datenverarbeitung tätigen Person unter Angabe des Ortes und des Datums der Unterschriftsleistung zu unterzeichnen. (3) Für die schriftliche Verpflichtungserklärung ist das Muster gemäß der Anlage zu verwenden.

2 IV. Anlage zu 6 KDO: Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle). Bilder im Internet Sachverhalt: In einer kirchlichen Einrichtung (z.b. Kindergarten, Jugendgruppe, Schule) sollen Bilder der Schutzbefohlenen aus besonderem Anlass in der Internetseite gezeigt werden. Die Bilder unterliegen zum einen dem Kunst-Urheber-Gesetz. Dieses bestimmt in 22, dass Bilder nur mit Zustimmung des Abgebildeten veröffentlicht werden dürfen; eine Zuwiderhandlung wäre sogar strafbar. Es handelt sich insoweit um eine rechtsgeschäftliche Erklärung; d.h. Minderjährige bedürfen der Zustimmung ihrer gesetzlichen Vertreter. Da es sich bei dem Recht am Bild aber auch um ein höchstpersönliches handelt, darf die Zustimmung der gesetzlichen Vertreter nicht gegen den Willen des Vertretenen (des Kindes oder des Jugendlichen) erteilt werden, wenn dieser schon in der Lage ist, die Tragweite der Erklärung abzusehen. Davon kann man i. d. R. bei einem 14jährigen ausgehen, der dann auch selbst unterschreiben kann. Zum anderen sind Bilder personenbezogene Angaben im Sinne des 2 der Kirchlichen Datenschutzordnung (Text: ). Ihre Veröffentlichung ist nach 12 Abs.1 Nr. 1 i. V. m. 10 Abs. 2 Nr. 1 KDO nur mit Einwilligung des Betroffenen möglich. Für die Einwilligung gilt im Prinzip das vorher Gesagte. Ein Formblatt gibt es dafür nicht. Nach 3 Abs. 2 KDO ist lediglich die Einverständniserklärung schriftlich zu erteilen; der Betroffene auf den Zweck der Nutzung hinzuweisen sowie (in Ihrem Fall) darauf, dass die Verweigerung der Einwilligung keinerlei nachteilige Folgen hätte. DSL-Provider Sachverhalt: Eine kirchliche Einrichtung, z.b. eine Pfarrei, will zur Senkung der Telefonkosten ein Kombiangebot für Telefon und DSL nutzen. Die folgenden Ausführungen beziehen sich darauf, dass bei diesen Angeboten ausgehende Telefongespräche über das Internet (VoIP) geführt werden. Nur diese Telefongespräche sind i. d. R. von Einzelverbindungsgebühren befreit. Es ist unumstritten, dass die Telefonie über das Internet deutlich weniger Sicherheit bietet als über das Festnetz. Unter diesem Gesichtspunkt dürfte eigentlich von einem solchen Angebot kein Gebrauch gemacht werden. Auf der anderen Seite kann nicht verlangt werden, dass jede kirchliche Einrichtung immer die bestmögliche Sicherheit für Telefongespräche ohne Rücksicht auf die entstehenden Kosten anstrebt. Es ist vielmehr eine Abwägung zwischen dem wahrscheinlichen Angriffspotenzial und der Belastungen durch die entstehenden Kosten zu treffen. Im Hinblick auf diese Abwägung kann es nicht

3 vertreten werden, die Annahme solcher Angebote grundsätzlich zu untersagen. Es bleibt daher der Einzelfallentscheidung der jeweiligen kirchlichen Stelle überlassen, nach Abschätzung des Risikos unbefugten Mithörens sich doch für ein günstiges Kombiangebot zu entscheiden. Friedhofsbilder im Internet Sachverhalt: Ein Dritter stellt Bilder von Grabsteinen eines kirchlichen Friedhofs in das Internet. Dies ist datenschutzrechtlich unerheblich. Verstorbene genießen zwar Ansehens-, nicht jedoch Datenschutz. Impressum von Internetseiten kirchlicher Einrichtungen Sachverhalt: Eine kirchliche Einrichtung gestaltet einen Internetauftritt. Im Text haben die farblichen Kennzeichnungen folgende Bedeutung: Mussinhalt Sinnvolle Ergänzung Nicht zwingend notwendige Erweiterungen Impressum gemäß 5 Telemediengesetz (TMG) Pfarrkirchenstiftung Patrozinium Ort Straße Hausnummer PLZ Ort Telefon: Internet: Die Pfarrkirchenstiftung XX ist eine Stiftung des Öffentlichen Rechts und wird durch den Kirchenverwaltungsvorstand vertreten. Vorsitzender: (Anschrift). Inhaltlich verantwortlich für diesen Internet-Auftritt: (Anschrift) Diese Webseite wird entwickelt und verwaltet von (oder: Webmaster:) Haftungshinweis: Trotz sorgfältiger inhaltlicher Kontrolle übernehmen wir keine Haftung für die Inhalte externer Links. Für den Inhalt der verlinkten Seiten sind ausschließlich deren Betreiber verantwortlich. Hinweise zum Datenschutz Bei der Anforderung von Inhalten aus diesem Internetangebot werden Zugriffsdaten gespeichert. Das sind Daten über die Seite, von der aus die Datei angefordert wurde, der Name der angeforderten Datei, das Datum, Uhrzeit und Dauer der Anforderung, die übertragene Datenmenge sowie der Zugriffsstatus (z.b. Datei übertragen, Datei nicht gefunden). Diese gespeicherten Daten werden ausschließlich zu statistischen Zwecken

4 ausgewertet und gegebenenfalls anonymisiert veröffentlicht. Unter Umständen werden einige Informationen in Form von Merkeinträgen (Cookies) auf Ihrem PC gespeichert, damit die Website nach Ihren Präferenzen optimiert werden kann. Darüber hinausgehende personenbezogene Daten wie Name, Anschrift, Telefonnummer oder -Adresse werden nicht erfasst, es sei denn, diese Angaben werden von Ihnen freiwillig gemacht, z.b. im Rahmen einer Online-Bestellung für ein Produkt oder eine Dienstleistung, einer Umfrage, eines Wettbewerbs, einer Informationsanfrage oder eines Gästebuch- oder Forums-Eintrages. Die Erhebung, Speicherung, Übermittlung und Nutzung von personengebundenen Daten erfolgt dabei stets unter Beachtung der Kirchlichen Datenschutzordnung (KDO) und der gesetzlichen Vorschriften des deutschen Rechts. Die Daten werden gegenüber staatlichen Stellen dann offen gelegt, wenn dies gesetzlich vorgeschrieben ist. Erweitert: (bei Kontaktaufnahme oder Bestellung) 1. Erhebung und Verarbeitung von Daten: Jeder Zugriff auf unsere Homepage und jeder Abruf einer auf der Homepage hinterlegten Datei werden protokolliert. Die Speicherung dient internen systembezogenen und statistischen Zwecken. Protokolliert werden: Name der abgerufenen Datei, Datum und Uhrzeit des Abrufs, übertragene Datenmenge, Meldung über erfolgreichen Abruf, Webbrowser und anfragende Domain. Zusätzlich werden die IP Adressen der anfragenden Rechner protokolliert. Weitergehende personenbezogene Daten werden nur erfasst, wenn Sie diese Angaben freiwillig, etwa im Rahmen einer Anfrage oder Registrierung, machen. 2. Nutzung und Weitergabe personenbezogener Daten: Soweit Sie uns personenbezogene Daten zur Verfügung gestellt haben, verwenden wir diese nur zur Beantwortung Ihrer Anfragen, zur Abwicklung mit Ihnen geschlossener Verträge und für die technische Administration. Ihre personenbezogenen Daten werden an Dritte nur weitergegeben oder sonst übermittelt, wenn dies zum Zwecke der Vertragsabwicklung - insbesondere Weitergabe von Bestelldaten an Lieferanten - erforderlich ist, dies zu Abrechnungszwecken erforderlich ist oder Sie zuvor eingewilligt haben. Sie haben das Recht, eine erteilte Einwilligung mit Wirkung für die Zukunft jederzeit zu widerrufen. Die Löschung der gespeicherten personenbezogenen Daten erfolgt, wenn Sie Ihre Einwilligung zur Speicherung widerrufen, wenn ihre Kenntnis zur Erfüllung des mit der Speicherung verfolgten Zwecks nicht mehr erforderlich ist oder wenn ihre Speicherung aus sonstigen gesetzlichen Gründen unzulässig ist. 3. Auskunftsrecht: Auf schriftliche Anfrage werden wir Sie gern über die zu Ihrer Person gespeicherten Daten informieren. Sicherheitshinweis: Wir sind bemüht, Ihre personenbezogenen Daten durch Ergreifung aller technischen und organisatorischen Möglichkeiten so zu speichern, dass sie für Dritte nicht zugänglich sind. Bei der Kommunikation per E Mail kann die vollständige Datensicherheit von uns nicht gewährleistet werden, so dass wir Ihnen bei vertraulichen Informationen den Postweg empfehlen. Krankenhaus: Verarbeitung der Patientendaten Sachverhalt: Drei kirchliche Krankenhäuser in Bayern führen gemeinsam ein digitales Archivsystem zur Archivierung von Patientenakten ein. Hierbei ist die Digitalisierung der Patientenakten durch einen externen Dienstleister geplant. Das digitale Archivsystem soll zentral in einem Krankenhaus für alle

5 Häuser aufgesetzt werden. Es gibt außerdem einen Kontakt zu kirchlichen Krankenhäusern in Österreich, die eine Lösung zur Langzeitarchivierung einsetzen wollen und evtl. Kapazitäten frei hätten. Für die kirchlichen Krankenhäuser und diejenigen der Orden bischöflichen Rechts ist im Hinblick auf den Datenschutz nur die kirchliche Datenschutzordnung (KDO) und nicht das BayDSG anwendbar, wohl aber das Bayerische Krankenhausgesetz. Auf die allgemeinen Datenschutzgesetze wird nur zurückgegriffen, soweit eine Regelungslücke in der KDO besteht. Dies ergibt sich aus dem Selbstverwaltungsrecht der Kirchen. Die Zulässigkeit einer Auftragsdatenverwaltung bestimmt sich nach 8 KDO (Text s. ). Sie ist unter den dort und in Art.27 Abs.4 S.5 und 6 KrankenhausG (Text: ) genannten Voraussetzungen zulässig. Damit ist auch klargestellt, dass sich ein Krankenhaus wieder nur eines anderen Krankenhauses zur Verarbeitung bedienen darf. Dieses muss m. E. aber weder in Bayern noch in Deutschland stehen, weil weder die KDO noch das Krankenhausgesetz eine derartige Einschränkung machen. Im Sinne des Bundesdatenschutzgesetzes wäre zwar eine öffentliche Stelle in Österreich keine inländische, doch ist hier nur auf die Begrifflichkeit des Bayerischen Krankenhausgesetzes abzustellen. Dessen Datenschutzvorschrift orientiert sich naturgemäß an Art. 21 BayDSG; dieser wiederum stellt die Mitgliedstaaten der EU dem Inland gleich. Im Sinne der KDO ist "kirchliche Stelle" eigentlich nur jede des jeweiligen Bistums. 11 Abs.4 KDO erweitert dies jedoch dahingehend, dass die Datenübermittlung an andere kirchliche (und öffentliche) Stellen außerhalb des Bistums zulässig ist, wenn dort ausreichende Datenschutzvorkehrungen getroffen sind. Wegen der EU-Richtlinie zum Datenschutz trifft dies auf den gesamten EU-Raum zu. Weder die zentrale Speicherung der Daten Krankenhaus noch die angedachte Langzeitspeicherung in einem Krankenhaus in Österreich noch das Scannen in einem anderen Krankenhaus sind unzulässig. Es sind vor allem bei der Übermittlung z.b. durch Anwendung eines Verschlüsselungsverfahrens oder durch Übermittlung auf körperlichem Datenträger besondere Vorkehrungen gegen Datenverluste zu treffen. Die sonstigen Einschränkungen ergeben sich aus der AusfVO zu 6 KDO: IV. Anlage zu 6 KDO: Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, 1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle), 5. zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle),

6 6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle), 7. zu gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle), 8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. Laptops in kirchlichen Einrichtungen: Sachverhalt: In kirchlichen Einrichtungen sollen Laptops beschafft werden, die von den Mitarbeitern zu dienstlichen Zwecken unter Verarbeitung personenbezogener Daten auch in deren Privatwohnungen genutzt werden können. Eine solche Nutzung ist nach Nr. 4 der Richtlinien für Arbeitsplatzcomputer grundsätzlich nur in Ausnahmefällen und in sehr engen Grenzen zulässig. Auf den Laptops dürfen besonders schutzwürdige Daten, die der echten Geheimhaltung unterliegen, nicht gespeichert oder verarbeitet werden. Außerdem muss durch Vereinbarungen mit den betroffenen Mitarbeitern ein Höchstmaß von Datensicherheit erzielt werden. Dieses Regelwerk muss sicherstellen, dass jedenfalls nur in Anwesenheit der berechtigten Person auf den Rechner zugegriffen werden kann, die dienstlichen Daten nicht unbefugt verändert werden können, der Dienstgeber jederzeit Zugang zu dem Laptop hat und zwar auch dann, wenn diese sich in den privaten Räumen befindet, der Mitarbeiter sich über die allgemeine Verpflichtungserklärung hinaus umfassend zu seinen Pflichten erklärt. Folgende Regelungen werden empfohlen, bei deren Beachtung der Einsatz von Laptops im Einzelfall genehmigt werden kann: A. Genehmigungsfähig sind nur Laptops mit Fingerabdrucksicherung. B. Der Rechner darf nur solange in Betrieb sein, als auf ihm eine aktuelle Virenschutzsoftware installiert und aktiv ist. Die Software sollte mindestens einmal monatlich zusätzlich zur Schutzfunktion zu einem Suchlauf gestartet werden. C. Die berechtigten Benutzer müssen sich verpflichten, 1. den Rechner außerhalb der Diensträume gegen Entwendung und unbefugte Nutzung in angemessener Weise zu sichern. 2. jeden Zugang von Dritten insbesondere Ehegatten, Kinder, Lebenspartner oder sonstige Hausangehörige - zum Rechner zu unterbinden. 3. den Rechner nicht für einen Zugang zum Internet oder zu privaten Zwecken zu nutzen. 4. die dienstlichen Daten nicht unbefugt zu verändern oder zu kopieren. 5. dem Träger der Einrichtung beziehungsweise dem betrieblichen Datenschutzbeauftragten den Zugang zu den Räumen zu gestatten, in denen sich der Rechner gegenwärtig befindet. 6. vor Beendigung der Tätigkeit für den Dienstherrn den Rechner an die Einrichtung zurückzugeben. 7. die technischen und organisatorischen Schutzbestimmungen durchzuführen und insoweit den Anweisungen des Trägers der Einrichtung nachzukommen. VoIP DSL-Anbieter