Teil 1: Grundzüge des BDSG

Transkript

1 Vorwort... V Teil 1: Grundzüge des BDSG Kapitel 1: Einführung I. Einleitung... 1 II. Entwicklung des BDSG von Verkündung Volkszählungsurteil von Erste Neufassung BDSG-Reform von BDSG-Novelle von Entwurf eines Gesetzes zur Regelung des Beschäftigtendatenschutzes... 5 III. Umgang mit dem BDSG in der Praxis Sprachliche Schwächen des BDSG Verwendung unbestimmter Rechtsbegriffe Fehlende Vorgaben von Gerichten und Aufsichtsbehörden.. 7 IV. Warum müssen Unternehmen das BDSG beachten?... 9 V. Wie ist das BDSG aufgebaut? Kapitel 2: Welche Grundregeln des BDSG sollte man kennen?.. 13 I. Verhältnismäßigkeitsgrundsatz, Datenvermeidung, Datensparsamkeit Recht auf informationelle Selbstbestimmung Interessenabwägung Datenvermeidung und Datensparsamkeit, 3a BDSG Prüfung der Verhältnismäßigkeit einer konkreten Maßnahme 16 a) Geeignetheit b) Erforderlichkeit c) Angemessenheit II. Verbot des Umgangs mit personenbezogenen Daten III. Zweckbindung personenbezogener Daten IX 1524_handbuch_datenschutz.indb 9

2 IV. Transparenz gegenüber dem Betroffenen Kapitel 3: Grundbegriffe des BDSG I. Wer ist für die Einhaltung der Regeln des BDSG verantwortlich? II. Für welche Formen des Umgangs mit Daten gilt das BDSG? Einsatz von Datenverarbeitungsanlagen oder dateimäßige Verarbeitung Keine Anwendung des BDSG für ausschließlich persönliche oder familiäre Tätigkeiten Keine Anwendung des BDSG, wenn es durch Spezialgesetze verdrängt wird III. Was sind personenbezogene Daten? Einzelangaben Persönliche oder sachliche Angaben Bestimmbarkeit einer natürlichen Person durch die fraglichen Daten IV. Was sind besondere Arten personenbezogener Daten? Kapitel 4: Was ist das Erheben, Verarbeiten oder Nutzen personenbezogener Daten? I. Was ist das Erheben personenbezogener Daten? Grundsatz der Direkterhebung Ausnahmen vom Grundsatz der Direkterhebung Information des Betroffenen bei der Direkterhebung II. Was ist das Verarbeiten personenbezogener Daten? Speichern Verändern a) Anonymisieren von Daten b) Pseudonymisieren von Daten Übermitteln Löschen Sperren III. Nutzen IV. Sonderfall Auftragsdatenverarbeitung nach 11 BDSG Anwendungsbereich von 11 BDSG X 1524_handbuch_datenschutz.indb 10

3 2. Wesentliche Voraussetzung einer Auftrags daten verarbeitung: Weisungsgebundenheit des Auftragnehmers Auftragsdatenverarbeitung nur innerhalb der EU oder EWR Auswahl und Überwachung des Auftragnehmers Kapitel 5: Erlaubnis zum Umgang mit Daten I. Einwilligung des Betroffenen, 4a BDSG Nebeneinander von gesetzlicher Erlaubnis zur Datenverarbeitung und einer Einwilligung des Betroffenen.. 59 a) Praktische Probleme bei der Verwendung von Einwilligungen b) Zulässigkeit von Einwilligungen auch beim Vorliegen gesetzlicher Erlaubnistatbestände Zeitpunkt der Einwilligung Widerruf der Einwilligung Inhaltliche und formelle Anforderungen an eine Einwilligung des Betroffenen a) Freiwilligkeit der Einwilligung b) Informierte Einwilligung c) Formelle Anforderungen an Einwilligungserklärungen d) Checkliste Einwilligungserklärung nach 4a BDSG II. Erlaubnis durch gesetzliche Aufgabenzuweisung oder Erlaubnis Umgang mit personenbezogenen Daten zur Erfüllung gesetzlicher Pflichten a) Welche Vorschriften können den Umgang mit personenbezogenen Daten zur Erfüllung gesetzlicher Vorschriften erlauben? b) Reichweite von Spezialvorschriften zur Verarbeitung, Erhebung oder Nutzung personenbezogener Daten Umgang mit personenbezogenen Daten aufgrund einer Erlaubnisnorm des BDSG III. Umgang mit personenbezogenen Daten zur Begründung, Durchführung oder Beendigung von Schuldverhältnissen, 28 Abs. 1 Satz 1 Nr. 1 BDSG Voraussetzungen von 28 Abs. 1 Satz 1 Nr. 1 BDSG a) Anbahnung, Vorliegen oder Beendigung eines Schuldverhältnisses b) Für das Schuldverhältnis erforderlich XI 1524_handbuch_datenschutz.indb 11

4 c) Angemessene Berücksichtigung der schutzwürdigen Interessen des Betroffenen IV. Umgang mit personenbezogenen Daten zur Wahrung berechtigter Interessen der verantwortlichen Stelle, 28 Abs. 1 Satz 1 Nr. 2 BDSG Voraussetzungen von 28 Abs. 1 Satz 1 Nr. 2 BDSG a) Zweck der Erfüllung eigener Geschäftszwecke (Geeignetheit) b) Zur Wahrung berechtigter Interessen (Erforderlichkeit).. 82 c) Überwiegende schutzwürdige Interessen des Betroffenen (Angemessenheit) e) Anwendung von 28 Abs. 3 BDSG, Verarbeiten oder Nutzen für Zwecke des Adresshandels oder der Werbung 87 V. Umgang mit sensiblen Daten, 28 Abs. 6 9 BDSG VI. Umgang mit Daten im Rahmen des Beschäftigungsverhältnisses, 32 BDSG Umgang mit Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses, 32 Abs. 1 Satz 1 BDSG a) Geeignet für Zwecke des Beschäftigungsverhältnisses.. 96 b) Erforderlich für Zwecke des Beschäftigungsverhältnisses 98 c) Berücksichtigung schutzwürdiger Interessen des Betroffenen (Angemessenheit) d) Sonderfall: Whistleblowing (Hinweisgebersysteme) und 32 Abs. 1 Satz 1 BDSG e) Sonderfall: Kontrolle der s von Beschäftigten aa) Bei verbotener Privatnutzung der -Systeme bb) Bei erlaubter Privatnutzung der -Systeme cc) Reichweite des Fernmeldegeheimnisses Umgang mit Beschäftigtendaten zur Aufdeckung von Straftaten im Beschäfti gungs verhältnis, 32 Abs. 1 Satz 2 BDSG 109 a) Anwendungsbereich von 32 Abs. 1 Satz 2 BDSG b) Anforderungen an den Umgang mit Beschäftigtendaten zur Aufdeckung von Straftaten aa) Geeignet für Zwecke der Aufdeckung von Straftaten 112 bb) Erforderlich zum Zweck der Aufdeckung von Straftaten cc) Angemessene Berücksichtigung schutzwürdiger Interessen des Betroffenen c) Empfehlungen zum Umgang mit Beschäftigtendaten XII 1524_handbuch_datenschutz.indb 12

5 d) Mitbestimmungsrechte des Betriebsrats aa) Gesetzliche Aufgaben des Betriebsrats bb) Information des Betriebsrats cc) Mitbestimmungsrechte des Betriebsrats e) Betriebsvereinbarungen als Rechtsgrundlage für Datenumgang aa) Regelungsrahmen von Betriebsvereinbarungen bb) Beispielsfall: Betriebsvereinbarung zur Videoüberwachung nach BAG Kapitel 6: Der Datenschutzbeauftragte im Unternehmen I. Welche Unternehmen müssen einen Datenschutzbeauftragten bestellen? Unternehmen, die 10 oder mehr Personen mit der automatisierten Verar beitung personenbezogener Daten beschäftigen Unternehmen, die 20 oder mehr Personen mit der nicht automatisierten Verar beitung personenbezogener Daten beschäftigen Unternehmen, die besondere Voraussetzungen erfüllen a) Geschäftsmäßige Datenverarbeitung zum Zweck der Übermittlung oder der Markt- oder Meinungsforschung. 139 b) Verarbeitungen, die einer Vorabkontrolle unterliegen II. Welche Stellung und Rechte muss der Datenschutzbeauftragte im Unternehmen haben? Erforderliche Fachkunde Erforderliche Zuverlässigkeit III. Welche Aufgaben hat der Datenschutzbeauftragte? Hinwirken auf die Befolgung der Vorschriften über den Datenschutz Überwachung der ordnungsgemäßen Anwendung von Datenverarbeitungspro grammen Schulung der bei der Verarbeitung personenbezogener Daten tätigen Personen Bekanntmachung des Verfahrensverzeichnisses Durchführung einer Vorabkontrolle a) Besonders riskante automatisierte Verfahren b) Durchführung der Vorabkontrolle durch den Datenschutzbeauftragten XIII 1524_handbuch_datenschutz.indb 13

6 c) Umfang der Vorabkontrolle IV. Welche Stellung und Befugnisse hat der betriebliche Datenschutzbeauftragte? Direkte Berichtslinie zur Unternehmensleitung Kündigungsschutz, Widerruf der Bestellung und Benachteiligungsverbot Unterstützung, Kontrollbefugnisse und Fortbildung a) Unterstützung bei Kontrollaufgaben des Datenschutzbeauftragten b) Kontrollbefugnisse des betrieblichen Datenschutzbeauftragten c) Fort- und Weiterbildung des Datenschutzbeauftragten Verschwiegenheitspflichten des betrieblichen Datenschutzbeauftragten Kapitel 7: Anforderungen an den grenzüberschreitenden Datenverkehr I. 1. Stufe: Zulässigkeit der Übermittlung an sich II. 2. Stufe: Zulässigkeit der grenzüberschreitenden Datenübermittlung Liegt der Sitz des Datenempfängers in einem EU- bzw. EWR-Staat oder in einem Drittstaat? Liegt ein entgegenstehendes schutzwürdiges Interesse vor, insbesondere Fehlen eines angemessenen Datenschutzniveaus? a) Drittstaaten mit angemessenem Schutzniveau b) Sonderregelung für Datenempfänger in den USA: Safe Harbor Abkommen c) Ausnahmen vom Verbot der Übermittlung an Stellen ohne angemessenes Schutzniveau aa) Einwilligungen bb) Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechts ansprüchen d) Sonderfälle: Standardvertragsklauseln oder verbindliche Unternehmens regelungen ( Binding Corporate Rules ) aa) Verwendung von Standard-Vertragsklauseln bb) Verbindliche Unternehmensregelungen ( Binding Corporate Rules ) XIV 1524_handbuch_datenschutz.indb 14

7 Kapitel 8: Umgang mit Datenpannen nach 42a BDSG I. Überblick über 42a BDSG II. Welche Voraussetzungen hat 42a Satz 1 BDSG? Unrechtmäßige Kenntniserlangung durch Dritte Feststellung der Datenpanne Daten nach 42a Satz 1 Nr. 1 4 BDSG a) Besondere Arten personenbezogener Daten nach 3 Abs. 9 BDSG b) Personenbezogene Daten, die einem Berufsgeheimnis unterliegen c) Personenbezogene Daten, die im Zusammenhang mit Straftaten oder Ordnungswidrigkeiten stehen d) Personenbezogene Daten zu Bank- oder Kreditkartenkonten Drohende schwerwiegende Beeinträchtigungen a) Schwere der drohenden Beeinträchtigungen b) Beurteilungsspielraum des Unternehmens III. Rechtsfolgen von 42a Satz 1 BDSG Information der Aufsichtsbehörde Information der Betroffenen Kapitel 9: Organisatorische und technische Maßnahmen zum Schutz personen bezogener Daten I. Zutrittskontrolle, Zugangskontrolle und Zugriffskontrolle II. Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle und Verfüg bar keits kontrolle III. Trennungsgebot zur Zweckbindung Kapitel 10: Unterrichtung des Betroffenen I. Benachrichtigung des Betroffenen bei der Speicherung für eigene Zwecke ohne Kenntnis des Betroffenen, 33 BDSG Welche Voraussetzungen hat die Benachrichtigungspflicht nach 33 BDSG? Welchen Umfang hat die Benachrichtigungspflicht? Welche Ausnahmen gibt es von der Benachrichtigungspflicht? XV 1524_handbuch_datenschutz.indb 15

8 4. Welche Folgen sieht das BDSG bei Nichtbeachtung der Benachrichtigungspflicht vor? II. Auskunft an den Betroffenen auf dessen Verlangen, 34 BDSG Welche Voraussetzungen hat die Auskunftspflicht nach 34 BDSG? Welchen Umfang hat die Auskunftspflicht? Welche Ausnahmen gibt es von der Auskunftspflicht? Welche Folgen sieht das BDSG bei Nichtbeachtung der Auskunftspflicht vor? Kapitel 11: Welche Folgen haben Verstöße gegen das BDSG? I. Wen verpflichtet das BDSG? II. Welche strafrechtlichen Risiken drohen bei Datenschutzverstößen? Anforderungen an eine Strafbarkeit nach 44 BDSG a) Begehung einer vorsätzlichen Ordnungswidrigkeit nach 43 Abs. 2 BDSG b) Gegen Entgelt c) In Bereicherungsabsicht d) In Schädigungsabsicht e) Strafantrag nach 44 Abs. 2 BDSG Kritik an dem geltenden 44 BDSG Weitere Strafnormen zur Verletzung des persönlichen Lebens- und Geheimbereichs Welchen Personen im Unternehmen drohen Strafbarkeitsrisiken? a) Strafbarkeit des Datenschutzbeauftragten b) Strafbarkeit der Unternehmensleitung III. Welche ordnungsrechtlichen Risiken drohen nach 43 BDSG? IV. Welche zivilrechtlichen Risiken drohen? Ansprüche nach 7 BDSG a) Vermögensschaden b) Kausalität c) Verschulden Sonstige zivilrechtliche Ansprüche wegen Verstößen gegen das BDSG XVI 1524_handbuch_datenschutz.indb 16

9 Kapitel 12: Welche Aufgaben und Rechte haben die Aufsichtsbehörden für den Datenschutz? I. Kontrolle der Einhaltung des Datenschutzes in Unternehmen Anlässe für die Durchführung von Datenschutz-Kontrollen Beginn einer Datenschutz-Kontrolle Auskunftspflicht des Unternehmens gegenüber der Aufsichtsbehörde Kontrollen der Aufsichtsbehörden in Unternehmen II. Maßnahmen zur Beseitigung festgestellter Verstöße Anordnung von Maßnahmen zur Beseitigung festgestellter Verstöße Untersagung schwerwiegender Verstöße a) Schwerwiegende Verstöße oder Mängel b) Erfolglose Anordnung zur Beseitigung Anordnung der Abberufung des betrieblichen Datenschutzbeauftragten III. Tätigkeitsberichte IV. Beratung und Unterstützung V. Abstimmung einzelner Maßnahmen mit den Aufsichtsbehörden VI. Zuständigkeit für die Ahndung von Ordnungswidrigkeiten. 215 Teil 2: Abdruck und Kurzkommentierung der wichtigsten Vorschriften des BDSG Einleitung Erster Abschnitt: Allgemeine und gemeinsame Bestimmungen 1 Zweck und Anwendungsbereich des Gesetzes Öffentliche und nicht-öffentliche Stellen Weitere Begriffsbestimmungen a Datenvermeidung und Datensparsamkeit Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung a Einwilligung b Übermittlung personenbezogener Daten ins Ausland sowie an über- oder zwischenstaatliche Stellen XVII 1524_handbuch_datenschutz.indb 17

10 4c Ausnahmen d Meldepflicht e Inhalt der Meldepflicht f Beauftragter für den Datenschutz g Aufgaben des Beauftragten für den Datenschutz Datengeheimnis Rechte des Betroffenen a Automatisierte Einzelentscheidung b Beobachtung öffentlich zugänglicher Räume mit optisch elektronischen Einrichtungen (nicht kommentiert) c Mobile personenbezogene Speicher- und Verarbeitungsmedien (nicht kommentiert) Schadensersatz Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen (nicht kommentiert) Technische und organisatorische Maßnahmen a Datenschutzaudit (nicht kommentiert) Einrichtung automatisierter Abrufverfahren (nicht kommentiert) Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag Zweiter Abschnitt: Datenverarbeitung der öffentlichen Stellen Erster Unterabschnitt: Rechtsgrundlagen der Datenverarbeitung 12 Anwendungsbereich (nicht kommentiert) Datenerhebung (nicht kommentiert) Datenspeicherung, -veränderung und -nutzung (nicht kommentiert) Datenübermittlung an öffentliche Stellen (nicht kommentiert) Datenübermittlung an nicht-öffentliche Stellen (nicht kommentiert) (weggefallen) Durchführung des Datenschutzes in der Bundesverwaltung (nicht kommentiert) Zweiter Unterabschnitt: Rechte des Betroffenen 19 Auskunft an den Betroffenen (nicht kommentiert) a Benachrichtigung (nicht kommentiert) Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht (nicht kommentiert) XVIII 1524_handbuch_datenschutz.indb 18

11 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) Dritter Unterabschnitt: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (nicht kommentiert) 292 Dritter Abschnitt: Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen Erster Unterabschnitt: Rechtsgrundlagen der Datenverarbeitung 27 Anwendungsbereich Datenerhebung und -speicherung für eigene Geschäftszwecke a Datenübermittlung an Auskunfteien (nicht kommentiert) b Scoring (nicht kommentiert) Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung (nicht kommentiert) Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form (nicht kommentiert) a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder Meinungsforschung (nicht kommentiert) Besondere Zweckbindung (nicht kommentiert) Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses Zweiter Unterabschnitt: Rechte des Betroffenen 33 Benachrichtigung des Betroffenen Auskunft an den Betroffenen Berichtigung, Löschung und Sperrung von Daten XIX 1524_handbuch_datenschutz.indb 19

12 Dritter Unterabschnitt: Aufsichtsbehörde 36 und 37 (weggefallen) Aufsichtsbehörde a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen (nicht kommentiert) Vierter Abschnitt: Sondervorschriften 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen (nicht kommentiert) Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen (nicht kommentiert) Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien (nicht kommentiert) Datenschutzbeauftragter der Deutschen Welle (nicht kommentiert) a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten Fünfter Abschnitt: Schlussvorschriften 43 Bußgeldvorschriften Strafvorschriften Sechster Abschnitt: Übergangsvorschriften 45 Laufende Verwendungen (nicht kommentiert) Weitergeltung von Begriffsbestimmungen (nicht kommentiert) Übergangsregelung (nicht kommentiert) Bericht der Bundesregierung (nicht kommentiert) Anhang 1. German Federal Data Protection Act (BDSG) Glossar Datenschutz Deutsch / Englisch Regierungsentwurf zur Neuregelung des Beschäftigtendatenschutzes Literaturverzeichnis Sachregister XX 1524_handbuch_datenschutz.indb 20