Vorlesung Datenschutzrecht. Datenschutzkontrolle

Transkript

1 Vorlesung Datenschutzrecht Datenschutzkontrolle

2 Wiederholungsfall Die X AG betreibt ein Webportal, das sich an Schülerinnen und Schüler richtet. Unter anderem können die Nutzerinnen und Nutzer des Portals ihre Lehrerinnen und Lehrer anhand von Kategorien wie sexy, Drogenerfahrung oder säuft bei Klassenfahrten mit bewerten. Die Y AG betreibt ebenfalls ein Webportal für Schülerinnen und Schüler, das jedoch wegen datenschutzrechtlicher Skrupel keine Bewertungsseiten enthält. Kann die Y AG die X AG auf Unterlassung der Veröffentlichung der Bewertungsseiten in Anspruch nehmen?

3 Vorüberlegung: Bewertungsseite verstößt mit diesen Kategorien gegen 29 Abs. 1 Satz 1 Nr. 1 BDSG Unterlassungsanspruch aus 3 Abs. 1, 4 Nr. 11, 8 Abs. 1 und 3 UWG? Voraussetzung: 29 Abs. 1 Satz 1 Nr. 1 BDSG als Marktverhaltensregel i.s.v. 4 Nr. 11 BDSG wettbewerbsschützende Funktion? Dagegen: Datenschutz als Persönlichkeitsschutz Dafür: Datenschutzrecht reguliert typischerweise wirtschaftliche Tätigkeit; gerade 29 BDSG zielt auf geschäftsmäßiges (wenngleich nicht notwendig kommerzielles) Verhalten

4 Themen heute Eigenkontrolle durch verantwortliche Stellen Fremdkontrolle durch Datenschutzbehörden

5 Funktion der Datenschutzkontrolle Datenschutzkontrolle als Grundrechtsschutz durch Verfahren und Organisation Hierzu Einrichtung von Aufsichts- und Kontrollorganen Zweispaltung der Kontrolle Eigenkontrolle durch die verantwortliche Stelle Fremdkontrolle durch Datenschutzbehörden

6 Eigenkontrolle (1) Gemeinsame Regelungen für den öffentlichen und den nichtöffentlichen Bereich Kontrollmechanismen Behördlicher bzw. betrieblicher Datenschutzbeauftragter, 4f, 4g BDSG Meldepflicht und Vorabkontrolle, 4d, 4e BDSG

7 Eigenkontrolle (2) Behördlicher bzw. betrieblicher Datenschutzbeauftragter, 4f, 4g BDSG Pflicht zur Bestellung Bei öffentlichen Stellen immer nach Maßgabe von 4f Abs. 1 Satz 1 und 3 BDSG Bei nicht-öffentlichen Stellen Bagatellgrenze in 4f Abs. 1 Satz 4 BDSG, Ausnahme hiervon in Satz 6 Anforderungen an den Bestellten aus 4f Abs. 2 BDSG Rechtsstellung Unmittelbare Zuordnung zum Leiter der Stelle, 4f Abs. 3 Satz 1 BDSG Weisungsfreiheit und Benachteiligungsverbot, 4f Abs. 3 Sätze 2 3 BDSG Kündigungsschutz, 4f Abs. 3 Sätze 5 6 BDSG Aufgaben Allg. Hinwirken auf Einhaltung des Datenschutzrechts, 4g Abs. 1 Satz 1 BDSG; keine Weisungsbefugnisse, sondern nur Einschaltung der Datenschutzbehörde, 4g Abs. 1 Satz 2 BDSG Überwachung der Datenverarbeitungsprogramme, 4g Abs. 1 Satz 4 Nr. 1 BDSG Durchführung der Vorabkontrolle, 4d Abs. 6 Satz 1 BDSG

8 Eigenkontrolle (3) Meldepflicht, 4d, 4e BDSG Gegenstand: Verfahren automatisierter Verarbeitungen (kann mehrere Einzelverfahren umfassen) Inhalt nach 4e BDSG Ausnahmen Bestellung eines internen Datenschutzbeauftragten, 4d Abs. 2 BDSG Bagatelltatbestand in 4d Abs. 3 BDSG Rückausnahme für Datenspeicherungen zur Übermittlung, 4d Abs. 4 BDSG Konsequenz: Meldepflicht ist de facto seltene Ausnahme

9 Eigenkontrolle (4) Vorabkontrolle, 4d Abs. 5 BDSG Durchführung eines präventiven internen Prüfverfahrens Voraussetzungen: automatisierte Datenverarbeitungen mit besonderen Risiken, Regelbeispiele in 4d Abs. 5 Satz 2 BDSG mit Rückausnahmen

10 Beispielsfall Die G GmbH möchte ein Webportal erstellen, das sich an Schülerinnen und Schüler richtet. Die Nutzerinnen und Nutzer sollen unter anderem ihre Lehrerinnen und Lehrer anhand vorgegebener Kategorien (etwa intelligent und kompetent, schön oder Drogenerfahrung ) mit Schulnoten bewerten können. Am Betrieb des Portals sollen insgesamt acht Personen beteiligt sein. Zu welchen Maßnahmen der Eigenkontrolle ist die G GmbH verpflichtet?

11 Bestellung eines betrieblichen Datenschutzbeauftragten gem. 4f Abs. 1 Satz 1 BDSG Keine Ausnahme nach 4f Abs. 1 Satz 4 BDSG, da G personenbezogene Daten geschäftsmäßig zur Übermittlung automatisiert verarbeitet, 4f Abs. 1 Satz 6 BDSG Meldepflicht gem. 4d Abs. 1 BDSG Kein Entfallen bei Bestellung eines betrieblichen Datenschutzbeauftragten, da hins. der Bewertungen Datenspeicherung zur Übermittlung, 4d Abs. 4 BDSG Pflicht zur Vorabkontrolle gem. 4d Abs. 5 Satz 1, Satz 2 Nr. 2 BDSG

12 Fremdkontrolle (1) Systematik Öffentlicher Bereich Öffentliche Stellen des Bundes: BfDI, 22 ff. BDSG Öffentliche Stellen der Länder: LfD nach Maßgabe des jeweiligen LDSG Nicht-öffentlicher Bereich Grundsatz: Landes-Aufsichtsbehörde, 38 BDSG Nach Landesrecht zt LfD (Beispiel: Baden-Württemberg), zt eigene Behörde (Beispiel: Bayern) Ausnahme: Besondere Zuweisungen im bereichsspezifischen Datenschutzrecht (etwa im TKG an BfDI und BNetzA)

13 Fremdkontrolle (2) Öffentlicher Bereich BfDI Wahl und Stellung nach 22, 23 BDSG Unabhängigkeit, insb. ab auch keine Rechtsaufsicht mehr, 22 Abs. 4 BDSG Zeugnisverweigerungsrecht und Verschwiegenheitspflicht, 23 Abs. 4 und 5 BDSG Kontrollgegenstände und Kontrollbefugnisse nach 24 BDSG Bei Datenschutzverstößen Beanstandungsbefugnis nach 25 BDSG, keine Kassations- oder Weisungsbefugnisse Tätigkeitsbericht nach 26 Abs. 1 Satz 1 BDSG

14 Fremdkontrolle (3) Nicht-öffentlicher Bereich Aufsichtsbehörden i.s.v. 38 BDSG Art 28 Abs. 1 Satz 2 DSRL verlangt Unabhängigkeit auch für Aufsichtsbehörde im nicht-öffentlichen Bereich (soll laut EuGH wiederum sogar Rechtsaufsicht ausschließen) Konflikt mit dem Demokratieprinzip? Gegenstand der Kontrolle nach 38 Abs. 1 Satz 1 BDSG, Kontrollbefugnisse nach 38 Abs. 3 4 BDSG Anordnungs- und Untersagungsbefugnisse nach 38 Abs. 5 BDSG; Mitteilung des Verstoßes nach 38 Abs. 1 Satz 6 BDSG Sanktionen Nach Maßgabe des Landesrechts Verhängung von Bußgeldern nach 43 BDSG (so etwa 34 Abs. 3 nwldsg; 13 sächsowizuvo; anders etwa 4 Abs. 2 Nr. 4 bwowizuvo Zuständigkeit des RP Karlsruhe) Strafantragsrecht nach 44 Abs. 2 Satz 2 BDSG Tätigkeitsbericht nach 38 Abs. 1 Satz 7 BDSG

15 Lehren des Tages Instrumente der Eigenkontrolle Systematik der behördlichen Datenschutzaufsicht Befugnisse der Datenschutzbehörden bei Datenschutzverstößen im öffentlichen und im nicht-öffentlichen Bereich

16 Nacharbeit Taeger, Abschnitt III 8 und 9 Kühling u.a., 2. Kap., Abschnitt M Vertiefung EuGH, Urteil vom 9. März 2010, Rs. C-518/07 Kommission gegen Deutschland (Unabhängigkeit der Aufsichtsbehörde)