ZVEI I MERKBLATT. Best Practice Datenschutzaspekte im Beratungsgespräch ansprechen 82016:

Transkript

1 ZVEI I MERKBLATT Best Practice Datenschutzaspekte im Beratungsgespräch ansprechen Allgemeine Hinweise für Planungsund Installationsunternehmen (Leitung + Mitarbeiter in Beratung und Vertrieb) 82016:

2 Inhalt Allgemeine Hinweise für Planungs- und Installationsunternehmen Praxistipps für das Beratungsgespräch Videoüberwachung Zutrittskontrolle Das Merkblatt entstand durch die Fachgruppe Vernetzte Sicherheit in der Arge Errichter und Planer sowie den Arbeitskreis Videosysteme im Fachverband Sicherheit. Für die besondere Unterstützung bei der Erstellung der Inhalte danken wir Andreas Würtz von Bosch Sicherheitssysteme GmbH. 2 ZVEI I MERKBLATT 82016:

3 1. (Leitung + Mitarbeiter in Beratung und Vertrieb) Allgemeine Hinweise für Planungs- und Installationsunternehmen Beim Einsatz moderner Sicherheitstechnik, beispielsweise im Bereich Videoüberwachung oder Zutrittskontrolle, werden unter Umständen auch persönliche Informationen erfasst. Persönliche Informationen, sprich personenbezogene oder personenbeziehbare Daten, sind schützenswert. Wer solche Daten erhebt, verarbeitet oder nutzt, muss sich in der Regel an einige gesetzliche Spielregeln halten. Als Planungs- oder Installationsunternehmen für Sicherheitstechnik liegt Ihnen auch eine gute Beratung Ihres Kunden am Herzen. Dabei können Sie sich schnell der Frage des Kunden ausgesetzt sehen, was dieser im Datenschutz alles beachten oder umsetzen muss. Hier befinden Sie sich in einem Dilemma: Einerseits wollen Sie umfassend beraten, andererseits wollen Sie sich nicht zu sehr aus dem Fenster lehnen. Schließlich ist Ihnen nicht daran gelegen, wegen unzulässiger Rechtsberatung oder einer angeblich juristischen Falschberatung in die Haftung genommen zu werden. In Verkaufs- oder Beratungsgesprächen sollten Sie darauf achten, dass sie allenfalls allgemeine Hinweise zu relevanten oder beachtenswerten rechtlichen Aspekten geben. Werden konkrete Rechtsthemen diskutiert, kann schnell die Schwelle zur Rechtsberatung überschritten sein. Die Erbringung solcher Rechtsdienstleistungen ist nach dem Rechtsdienstleistungsgesetz (RDG) nur einem kleinen Personenkreis vorbehalten, beispielsweise den Rechtsanwälten. Dabei kann ein Kunden- oder Vertriebsberater nicht nur gegen das RDG verstoßen und damit ein Bußgeld riskieren. Es kann sich auch um einen Verstoß gegen das Gesetz gegen den unlauteren Wettbewerb (UWG) handeln. Die Folge: Eine wettbewerbsrechtliche Abmahnung verbunden mit viel Ärger und Kosten für Mitarbeiter und Unternehmen. ZVEI I MERKBLATT 82016:

4 Grundsätzlich unproblematisch ist es, wenn im Verkaufs- oder Beratungsgespräch auf allgemeine Aspekte hingewiesen wird. Hierzu einige Beispiele: Sie können darauf hinweisen, dass Ihr Kunde datenschutzrechtliche Rahmenbedingungen zu beachten hat, die in für ihn geltenden gesetzlichen Datenschutzvorschriften enthalten sein können. Für Ihren Kunden können verschiedene Datenschutzgesetze anwendbar sein. Handelt es sich beispielsweise um öffentliche Stellen wie Städte oder Gemeinden sind in erster Linie die Regelungen des Landesdatenschutzgesetzes (LDSG) des Bundeslandes von Bedeutung. Handelt es sich um Bundesbehörden, privatrechtliche Unternehmen oder Vereine, spielen die Vorgaben des Bundesdatenschutzgesetzes (BDSG) eine Rolle. Bei kirchlichen Einrichtungen sind deren spezifische Datenschutzvorschriften zu beachten. Verantwortliche Stellen (z. B. Unternehmen, Behörden, Vereine) müssen unter Umständen einen Datenschutzbeauftragten bestellen, damit dieser sich um die Klärung und Prüfung datenschutzrechtlicher Fragestellungen kümmert, beispielsweise im Rahmen einer so genannten Vorabkontrolle ( 4d, 4f, 4g BDSG). Besteht ein Mitarbeitervertretung (z. B. Betriebsrat, Personalrat) im Unternehmen oder Betrieb, müssen gegebenenfalls Mitbestimmungsrechte (z. B. 87 Betriebsverfassungsgesetz - BetrVG) gewahrt werden. Es obliegt letztendlich dem Kunden, ob und wie er den für ihn einschlägigen Datenschutzbestimmungen gerecht wird. Vernachlässigt er das, was zwingend notwendig ist, muss er beispielsweise mit einem Bußgeld rechnen ( 43 BDSG). Ein Kunde ist stets gut beraten, wenn er zur Klärung (datenschutz-)rechtlicher Fragen seinen Datenschutzbeauftragten oder einen Rechtsanwalt seines Vertrauens hinzuzieht. Diese können nicht nur die Vereinbarkeit des Vorhabens mit rechtlichen Rahmenbedingungen unter den konkreten Umständen des Einzelfalls prüfen. Bei rechtzeitiger Einbindung können sie im Vorfeld Hinweise und Empfehlungen aussprechen, damit ein Vorhaben zum Erfolg auf ganzer Linie wird. Darüber hinaus können sich Unternehmen und Datenschutzbeauftragte auch an die zuständige Aufsichtsbehörde für den Datenschutz wenden. Diese hat nach 38 BDSG nicht nur einen gesetzlichen Kontrollauftrag. Sie berät und unterstützt verantwortliche Stellen und deren Datenschutzbeauftragte mit Rücksicht auf deren typische Bedürfnisse. 4 ZVEI I MERKBLATT 82016:

5 2. Praxistipps für das Beratungsgespräch Bei der Beratung von Kunden müssen Sie sich nicht aufs juristische Glatteis begeben. Beachten Sie einfach die folgenden Tipps: Erläutern Sie, dass Sie nur allgemeine Hinweise geben können Schon bei ersten Fragen danach, was (datenschutz-)rechtlich erlaubt ist und was nicht, sollten Sie klarstellen, dass Sie keine juristische Bewertung abgeben und den Kunden beraten können. Ihnen ist es allerdings erlaubt, einige allgemeine Hinweise zu geben, anhand derer sich der Kunde weiter informieren kann. Machen Sie deutlich, dass Ihre Sicht weder verbindlich noch vollständig ist Selbst wenn Sie in Ihren Äußerungen allgemein bleiben, sollten Sie gegebenenfalls auf Folgendes hinweisen: Ihre Hinweise sind weder verbindlich noch bilden sie alle denkbaren und zu beachtenden Aspekte ab. So vermeiden Sie, dass sich ein Kunde einfach mal so auf Ihre Hinweise verlässt und meint, alles bedacht zu haben. Lassen Sie sich nicht zu unhaltbaren Zusagen verleiten Seien Sie vorsichtig, wenn man von Ihnen ganz konkrete Zusagen fordert. Ob etwa eine Videoüberwachung in der konkreten Ausgestaltung zulässig und damit datenschutzkonform ist, hängt von vielen Faktoren ab. Diese sind ihnen gegebenenfalls überhaupt nicht bekannt, weil sie etwa unternehmensinterne Aspekte betreffen. Darüber hinaus sollten Sie immer darauf hinweisen: Der Kunde ist für das, was er tut, rechtlich verantwortlich. Dies gilt insbesondere für die Einhaltung datenschutzrechtlicher Rahmenbedingungen. Verweisen Sie für die Beantwortung rechtlicher Fragen an die Spezialisten Allgemeine und unverbindliche Hinweise geben das ist in Ordnung. Geht es jedoch um die Beantwortung konkreter rechtlicher Fragestellungen, sollten Sie empfehlen, dass man die zuständigen Spezialisten hinzuzieht. Dies kann neben Datenschutzbeauftragter und Datenschutzaufsichtsbehörde auch ein externer Datenschutzberater oder ein Rechtsanwalt sein. ZVEI I MERKBLATT 82016:

6 3. Videoüberwachung Will ein Kunde eine Videoüberwachungsanlage anschaffen und einsetzen, spielen dabei auch zahlreiche rechtliche Fragestellungen eine Rolle. In Verkaufs- oder Beratungsgesprächen sollten Sie darauf achten, dass sie allenfalls allgemeine Hinweise zu relevanten oder beachtenswerten rechtlichen Aspekten geben. Im Verkaufs- und Beratungsgespräch kann auf allgemeine Aspekte hingewiesen wird. Hierzu einige Beispiele: Bei Bilddaten handelt es sich in der Regel um Daten, die einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können; sie können damit datenschutzrechtlichen Bestimmungen unterliegen. Für jedes Erheben, Verarbeiten oder Nutzen personenbezogener Daten durch eine verantwortliche Stelle bedarf es einer Rechtsgrundlage. Nach 4 Abs. 1 Bundesdatenschutzgesetz (BDSG) kann sich eine Pflicht oder Erlaubnis zur Erhebung, Verarbeitung und Nutzung personenbezogener Daten aus gesetzlichen Bestimmungen, anderen Rechtsvorschriften (z. B. betriebliche Regelungen in Form von Betriebsvereinbarungen) oder der Einwilligung der betroffenen Person ergeben. Wichtige rechtliche Aspekte zur Videoüberwachung im öffentlich zugänglichen Raum (z. B. Tankstellen, Supermärkte, Parkhäuser) enthält 6b BDSG. Bei nicht-öffentlich zugänglichen Räumen (z. B. Firmengelände, Lagerhallen) kommen insbesondere 28 BDSG oder 32 BDSG in Betracht. Neben diesen Regelungen, welche vor allem für dem Bundesdatenschutzgesetz unterliegende Stellen gelten, können beispielsweise auch Landesdatenschutzgesetze Vorgaben enthalten. Manche Datenschutzaufsichtsbehörden halten beim Einsatz von Videoüberwachung eine Vorabkontrolle grundsätzlich für erforderlich. Diese darf nur von einem Datenschutzbeauftragten durchgeführt werden. Unter Umständen muss diese Funktion intern oder extern besetzt werden. Wichtig ist auch die Einhaltung datenschutzrechtlicher Grundprinzipien. So beispielsweise die Umsetzung angemessener technischer und organisatorischer Schutzmaßnahmen ( 9 und Anlage zu 9 Satz 1 BDSG), die Wahrung der Rechte der Betroffenen ( 6 BDSG) oder die Einhaltung des Grundsatzes der Datenvermeidung und Datensparsamkeit ( 3a BDSG). Soweit Videoüberwachung im Unternehmen eingesetzt wird und eine Mitarbeitervertretung (z. B. Betriebsrat) in Unternehmen oder Betrieb besteht, müssen gegebenenfalls Mitbestimmungsrechte (z. B. 87 Betriebsverfassungsgesetz - BetrVG) gewahrt werden. Wird Videoüberwachung von Privatpersonen eingesetzt, sprich für private Zwecke beispielsweise auf dem eigenen Grundstück, sind die Bestimmungen der Datenschutzgesetze zwar meist nicht verbindlich. Allerdings ist damit nicht jegliche Überwachung erlaubt. Auch hier müssen grundsätzliche Dinge beachtet werden, wie etwa, dass die Videoüberwachung auf das eigene Grundstück beschränkt wird. Wird die Grenze des Zulässigen überschritten, können beispielsweise Nachbarn zivilrechtliche Unterlassungs- oder Beseitigungsansprüche geltend machen. 6 ZVEI I MERKBLATT 82016:

7 4. Zutrittskontrolle Auch beim Einsatz von Zutrittskontrolleinrichtungen kann es notwendig sein, persönliche Informationen zu verarbeiten. Denken Sie beispielsweise an die auf einem Mitarbeiterausweis gespeicherten Informationen, wie Name und Foto. Soweit notwendig können Sie im Beratungsgespräch beispielsweise auf die folgenden allgemeinen datenschutzrechtlichen Aspekte hinweisen: Jedes Erheben, Verarbeiten oder Nutzen personenbezogener Daten durch eine verantwortliche Stelle bedarf einer Rechtsgrundlage ( 4 Abs. 1 BDSG). Beinhaltet eine Zutrittskontrolleinrichtung entsprechende Informationen, muss dieser Anforderung entsprochen werden. Spezielle datenschutzrechtliche Vorgaben, wie es sie etwa zur Videoüberwachung gibt, bestehen für das Thema Zutrittskontrolle nicht. In Betracht kommen insbesondere die allgemeinen Zulässigkeitsvorschriften des 28 BDSG, 32 BDSG oder 4a BDSG. Kommen in Zusammenhang mit der Zutrittskontrolle spezielle Chipoder Speicherkarten zum Einsatz können auch die Vorgaben des 6c BDSG eine Rolle spielen. Werden zur Steuerung des Zutritts biometrische Merkmale verwendet, können besondere Risiken bestehen, so dass eine Vorabkontrolle, sprich eine datenschutzrechtliche Vereinbarkeitsprüfung, notwendig ist ( 4d Abs. 5 BDSG). Diese muss von einem internen oder externen Datenschutzbeauftragten durchgeführt werden. Auch in anderen Fällen ist die Beratung durch einen Fachmann, sprich den Datenschutzbeauftragten oder Rechtsanwalt, sinnvoll. Wichtig ist auch die Einhaltung datenschutzrechtlicher Grundprinzipien. So beispielsweise die Umsetzung angemessener technischer und organisatorischer Schutzmaßnahmen ( 9 und Anlage zu 9 Satz 1 BDSG), die Wahrung der Rechte der Betroffenen ( 6 BDSG) oder die Einhaltung des Grundsatzes der Datenvermeidung und Datensparsamkeit ( 3a BDSG). Mit einer Zutrittskontrolleinrichtung kann auch eine Verhaltenskontrolle einhergehen. Weil schon die bloße Möglichkeit ausreicht, sind die Mitbestimmungsrechte (z. B. 87 Abs. 1 Nr. 6 BetrVG) einer Mitarbeitervertretung zu wahren, sofern diese im Unternehmen oder Betrieb besteht. Sollen moderne Zutrittskontrolleinrichtungen im privaten Umfeld, beispielsweise zur Absicherung von Haus und Wohnung eingesetzt werden, müssen für den Kunden die gesetzlichen Datenschutzbestimmungen zwar nicht verbindlich sein. Auf ein gewisses Maß an Datenschutz und Datensicherheit sollte dieser aber dennoch bedacht sein. Code- und Zutrittsberechtigungskarten sollte er beispielsweise sicher verwahren. Passwörter sollte er so wählen, dass diese nicht zu erraten sind. ZVEI I MERKBLATT 82016:

8 Impressum Merkblatt Best Practice Datenschutzaspekte im Beratungsgespräch ansprechen Allgemeine Hinweise für Planungs- und Installationsunternehmen (Leitung + Mitarbeiter in Beratung und Vertrieb) Herausgeber: ZVEI - Zentralverband Elektrotechnikund Elektronikindustrie e. V. Arbeitsgemeinshaft Errichter und Planer Lyoner Straße Frankfurt am Main Telefon: Fax: krapp@zvei.org Verantwortlich: Peter Krapp Geschäftsführer Fachverband Sicherheit und Arge Errichter und Planer Mai 2014 Trotz größtmöglicher Sorgfalt übernimmt der ZVEI keine Haftung für den Inhalt. Alle Rechte, insbesondere die zur Speicherung, Vervielfältigung und Verbreitung sowie der Übersetzung sind vorbehalten.