Bernhard C. Witt. Datenschutz kompakt und verständlich

Transkript

1 Bernhard C. Witt Datenschutz kompakt und verständlich

2 Bernhard C. Witt Datenschutz kompakt und verständlich Eine praxisorientierte Einführung 2. Auflage STUDIUM

3 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über < abrufbar. Das in diesem Werk enthaltene Programm-Material ist mit keiner Verpflichtung oder Garantie irgend - einer Art verbunden. Der Autor übernimmt infolgedessen keine Verantwortung und wird keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Programm-Materials oder Teilen davon entsteht. Höchste inhaltliche und technische Qualität unserer Produkte ist unser Ziel. Bei der Produktion und Auslieferung unserer Bücher wollen wir die Umwelt schonen: Dieses Buch ist auf säure freiem und chlorfrei gebleichtem Papier gedruckt. Die Einschweißfolie besteht aus Polyäthylen und damit aus organischen Grundstoffen, die weder bei der Herstellung noch bei der Ver brennung Schadstoffe freisetzen. DIN-Normen wiedergegeben mit Erlaubnis des DIN Deutsches Institut für Normung e. V. Maßgebend für das Anwenden der DIN-Norm ist deren Fassung mit dem neuesten Ausgabedatum, die bei der Beuth Verlag GmbH, Burggrafenstr. 6, Berlin, erhältlich ist. 1. Auflage , aktualisierte und ergänzte Auflage 2010 Alle Rechte vorbehalten Vieweg+Teubner Verlag Springer Fachmedien Wiesbaden GmbH 2010 Lektorat: Christel Roß Maren Mithöfer Vieweg+Teubner Verlag ist eine Marke von Springer Fachmedien. Springer Fachmedien ist Teil der Fachverlagsgruppe Springer Science+Business Media.. Das Werk einschließlich aller seiner Teile ist urheberrechtlich ge schützt. Jede Verwertung außerhalb der engen Grenzen des Ur heber rechts ge set zes ist ohne Zustimmung des Verlags unzuläs sig und straf bar. Das gilt ins be sondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Umschlaggestaltung: KünkelLopka Medienentwicklung, Heidelberg Druck und buchbinderische Verarbeitung: MercedesDruck, Berlin Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier. Printed in Germany ISBN

4 Vorwort Das vorliegende Buch "Datenschutz kompakt und verständlich" basiert wie auch schon das bereits im Dezember 2006 erschiene Lehrbuch "IT-Sicherheit kompakt und verständlich" auf meiner Lehrveranstaltung zu den "Grundlagen des Datenschutzes und der IT-Sicherheit" im Hauptstudium der Informatik-Studiengänge bzw. dem dazugehörigen Masterprogramm an der Universität Ulm. Meine Lehrveranstaltung wie auch dieses Buch sollen dazu befähigen, tägliche Anforderungen der Berufspraxis im Bereich des Datenschutzes meistern zu können. Dabei fließen vielschichtige Aspekte aus dem technischen, rechtlichen und organisatorischen Bereich in das behandelte Thema ein. Um den aktuellen Herausforderungen begegnen zu können, wird die Fähigkeit benötigt, grundlegende Methoden auf neue Probleme übertragen zu können. Das Buch gibt den aktuellen Stand wieder, berücksichtigt etliche konkrete Erfahrungen aus der beruflichen Praxis vor allem in den Bereichen der Informationstechnik, Personaldatenverwaltung, Kundendatenverwaltung sowie Sozialdatenverwaltung und gewährt so einen tieferen Einblick in den Alltag eines Beraters für Datenschutz und IT-Sicherheit, der zugleich als externer Datenschutzbeauftragter bei verschiedenen Stellen in den aufgezählten Bereichen tätig ist. Der Online-Service zum Buch mit ergänzenden Informationen ist unter zu finden. An dieser Stelle möchte ich mich für die Unterstützung bedanken, die ich bei der Erstellung dieses Buches erhalten habe. Mein besonderer Dank geht dabei auch in diesem Lehrbuch an Holger Heimann, dem Geschäftsführer der it.sec GmbH & Co. KG, mit dem ich zahlreiche, anregende Fachgespräche zu Datenschutzthemen geführt habe. Meinen Fachkundenachweis zum Datenschutzbeauftragten habe ich bei der Ulmer Akademie für Datenschutz und IT-Sicherheit (udis) erworben. Dort habe ich einen tieferen und sehr differenzierten Einblick in datenschutzrechtliche Fragestellungen erhal- V

5 Vorwort ten, von denen ich im Berufsalltag stets zehren kann. Mein spezieller Dank gilt daher auch dem udis-geschäftsführer, Prof. Dr. Gerhard Kongehl. Für die gute Zusammenarbeit beim Anwendungsfach Medienrecht bedanke ich mich bei Rechtsanwalt Prof. Dr. Wolfram Gass. Dem Vieweg Verlag danke ich für die unkomplizierte und vor allem jederzeit zuvorkommende Zusammenarbeit. Auch wenn in dieses Buch weniger Zahlenmaterial aus den <kes>-sicherheitsstudien eingeflossen ist, möchte ich mich für die Bereitstellung bei der <kes>-redaktion bedanken. Dies gilt auch für die GDD, die die Ergebnisse ihrer Umfrage zur Datenschutzpraxis und zur Stellung des Datenschutzbeauftragten zur Verfügung gestellt hat. Für die konstruktiven Diskussionen der an meiner Vorlesung teilnehmenden Studierenden danke ich ebenso. Mein größter Dank gebührt aber meiner Frau, die mir den Rücken frei gehalten hat, die Arbeit mit konstruktiver Kritik begleitet und erneut die Grafiken bearbeitet hat. Ohne sie wäre dieses Buch nicht möglich gewesen. Möge Ihnen dieses Lehrbuch einen Überblick über die grundlegenden Prinzipien des Datenschutzes bieten und bei der Bewältigung konkreter Alltagsprobleme helfen. Neu-Ulm, im August 2007 Bernhard C. Witt Vorwort zur zweiten Auflage Die zahlreichen Änderungen des Gesetzgebers vor allem am Bundesdatenschutzgesetz mit Wirkung zum 1. September 2009 infolge der publik gewordenen Datenschutzskandale der beiden vergangenen Jahre sind ein guter Grund für eine Aktualisierung des bisherigen Manuskripts, zumal ich dies in der begleitenden Vorlesung sowieso anpassen muss. Bei dieser Gelegenheit habe ich in mein Lehrbuch das vom Bundesverfassungsgericht erst 2008 bestimmte Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme sowie das für IT-Sicherheitsbeauftragte wegweisende Urteil des Bun- VI

6 desgerichtshofs zur Garantenstellung von Sonderverantwortlichen neu aufgenommen. Die bewährte Struktur wurde aber beibehalten. Es war mir eine Freude, Anregungen aus dem Kreis der Leser und Kommentatoren sowie meiner Studierenden einzuarbeiten. Vielen Dank dafür! Außerdem schätze ich sehr die ausnehmend gute Kooperation mit dem Lektorat des Vieweg+Teubner Verlages. Insofern bin ich gerne Ihrem Wunsch gefolgt, eine zweite Auflage zu erstellen. Was unter IT-Sicherheit im Sinne eines Managements von Informationssicherheit bzw. eines IT Governance, Risk & Compliance Managements zu verstehen ist und welchen Prinzipien technische Systeme genügen, beantwortet weiterhin im Detail mein Lehrbuch "IT-Sicherheit kompakt und verständlich". Da die rechtlichen Aspekte im vorliegenden Lehrbuch aktuell sind, ergänzen sich beide Werke und liefern so ein tieferes Verständnis für die komplexe Materie. Möge Ihnen auch die zweite Auflage ein guter Ratgeber und eine praktische Hilfestellung sein! Neu-Ulm, im Januar 2010 Bernhard C. Witt VII

7 Inhaltsverzeichnis 1 Grundlagen des Datenschutzes Übersicht Herangehensweise Zentrale Begriffe Schutz der Daten oder Schutz vor Daten? Personenbezug beim Datenschutz Gewährleistung der Compliance Einflussfaktoren auf den Datenschutz Entwicklung der Informations- und Kommunikationstechnik Ethische und normenrechtliche Anforderungen Effektivität und Effizienz Europäische Dimension des Datenschutzes Weitere rechtliche Rahmenbedingungen Entwicklungslinien des Datenschutzes Überblick zur Entwicklung des Datenschutzes Datenschutz als Abwehrrecht Datenschutz als Gestaltungsaufgabe Verwandte Gebiete zum Datenschutz Schutz des Fernmeldegeheimnisses Recht am eigenen Bild Recht auf Vertraulichkeit und Integrität von IT-Systemen Geheimhaltungsverpflichtungen Zusammenfassung Zusammenfassung: Zentrale Begriffe Zusammenfassung: Einflussfaktoren auf den Datenschutz Zusammenfassung: Entwicklungslinien des Datenschutzes Zusammenfassung: Verwandte Gebiete zum Datenschutz IX

8 Inhaltsverzeichnis 2 Informationelles Selbstbestimmungsrecht Volkszählungsurteil Rechtsgeschichtliche Bedeutung des Volkszählungsurteils Umfang des informationellen Selbstbestimmungsrechts Eingriffsschranken ins informationelle Selbstbestimmungsrecht Grenzen staatlicher Eingriffsbefugnisse Fernmeldeüberwachungsurteil Urteil zum Großen Lauschangriff Rasterfahndungsbeschluss Folgerungen aus den höchstrichterlichen Entscheidungen Verhältnis zu anderen Grundrechten Ausgleich kollidierender Grundrechte Ausstrahlungswirkung auf das Privatrecht Staffelung von Abwehrrechten Zusammenfassung Zusammenfassung: Volkszählungsurteil Zusammenfassung: Grenzen staatlicher Eingriffsbefugnisse Zusammenfassung: Verhältnis zu anderen Grundrechten Datenschutzrechtliche Konzepte Prinzipien des Datenschutzes Subsidiaritätsprinzip Verbot mit Erlaubnisvorbehalt Prinzip der Zweckbindung Prinzip der Transparenz Prinzip des Direkterhebungsvorrangs Verhältnismäßigkeitsprinzip Prinzip der Datensparsamkeit Kontrollprinzip versus Lizenzprinzip Allgemeine Datenschutzregelungen X

9 Inhaltsverzeichnis Betroffenenrechte Datenschutzkontrolle Datensicherheit Regelungen für Outsourcing und Konzerne Umgang mit besonders riskanten Verfahren Regelungen zum Mediendatenschutz Schichtenmodell Datenschutz im Internet Datenschutz im Intranet Zusammenfassung Zusammenfassung: Prinzipien des Datenschutzes Zusammenfassung: Allgemeine Datenschutzregelungen Zusammenfassung: Regelungen zum Mediendatenschutz Verhältnis zur IT-Sicherheit Abgleich von Datenschutz und IT-Sicherheit Technische und organisatorische Maßnahmen Kontrollbereiche versus Schutzziele Protokollierungsvorschriften Datenschutzbeauftragter und IT-Sicherheitsbeauftragter Datenschutzkonzept und Sicherheitskonzept Datenschutzfreundliche Techniken Prinzipien datenschutzfreundlicher Techniken Beispiele für datenschutzfreundliche Techniken Zusammenfassung Zusammenfassung: Abgleich von Datenschutz und IT-Sicherheit Zusammenfassung: Datenschutzfreundliche Techniken Datenschutz in ausgewählten Bereichen Mitarbeiterdatenschutz Grundsätze des Mitarbeiterdatenschutzes XI

10 Inhaltsverzeichnis Personaleinstellung Personalverwaltung Personalkontrolle Kundendatenschutz Grundsätze des Kundendatenschutzes Kundengewinnung Kundenbetreuung und Kundenbindung Kundendatenanalyse Sozialdatenschutz Grundsätze des Sozialdatenschutzes Sozialdatenverwaltung Outsourcing von Sozialdatenverarbeitung Zusammenfassung Zusammenfassung: Mitarbeiterdatenschutz Zusammenfassung: Kundendatenschutz Zusammenfassung: Sozialdatenschutz Aktuelle Entwicklungen Allgegenwärtige Datenverarbeitung Allgegenwärtige und durchdringende Informationstechnik Social Networking Vernetzte Datenwelt Telearbeit Terrorismusbekämpfung Zusammenfassung Zusammenfassung: Allgegenwärtige Datenverarbeitung Zusammenfassung: Vernetzte Datenwelt Literaturverzeichnis Urteilsverzeichnis Abbildungsverzeichnis Stichwortverzeichnis XII