Datenschutzrecht. für die Praxis. Beck-Rechtsberater. Grundlagen Datenschutzbeauftragte Audit Handbuch Haftung etc. Deutscher Taschenbuch Verlag

Transkript

1 Beck-Rechtsberater Datenschutzrecht für die Praxis Grundlagen Datenschutzbeauftragte Audit Handbuch Haftung etc. Von Dr. Georg F. Schröder, LL.M., Rechtsanwalt in München Deutscher Taschenbuch Verlag

2 Vorwort Am Datenschutz kommt heute kein Unternehmen mehr vorbei Kaum ein anderes Rechtsgebiet hat in den letzten Jahren mehr an Bedeutung gewonnen als das Datenschutzrecht. Während dieses Spezialgebiet früher ein gewisses Schattendasein geführt hat, kommt heute kein Unternehmen mehr ohne ein solides Fundament im Datenschutz aus. Hierfür gibt es im Wesentlichen drei Gründe: Ersten: Unsere Welt wird immer digitaler. Während früher noch klassische Papierakten und Karteikarten geführt wurden, kommt heute kaum ein Unternehmen mehr ohne Datenbanken und Customer Relationship Management Systeme aus. So hat das iphone und damit auch datengestützte Dienste Einzug in unseren Alltag gefunden und scheint unverzichtbar. Zweitens: Personenbezogene Daten stellen einen wesentlichen Unternehmenswert dar. Die Detailtiefe, mit der personenbezogene Kundendaten analysiert und ausgewertet werden können, hat ein bislang nie bekanntes Maß erreicht. Das gilt auch und gerade für personenbezogene Daten und lässt sich gut am Unternehmenswert von Facebook verstehen, der insbesondere wegen dieser Daten bei der Börseneinführung mit 115 Milliarden EURO bewertet wurde. Kunden von amazon wissen: Es ist fast beängstigend, wie anhand der Daten des Kaufverhaltens eines Kunden Produktempfehlungen für zukünftige Kaufempfehlungen ausgesprochen werden. Viele der empfohlenen Bücher und CD`s hat man in Echt schon längst im Schrank stehen! Drittens: In unserer digitalen Welt wird das Wirtschaftsgut Daten immer öfters mit krimineller Energie angegriffen und ausgespäht. Mittlerweile vergeht fast kein Tag, an dem nicht über einen neuen Datenschutzskandal berichtet wird. Der Gesetzgeber läuft dieser rasanten Entwicklung hinterher: Wer hätte noch vor wenigen Jahren gedacht, dass ein Gesetz zur Regelung des Einsatzes von Cookies erforderlich sein könnte. Und wer hätte sich jemals ernsthaft gefragt, welche Voraussetzungen aus datenschutzrechtlicher Sicht für den Einsatz von Google Analytics V

3 Vorwort erforderlich sind. Die letzte Reform des Datenschutzrechts trat Ende 2009 in Kraft und es ist aktuell noch ungeklärt, in welcher konkreten Ausgestaltung diese neue Reform des Datenschutzrechts tatsächlich erlassen wird. Fest steht aber schon heute, dass auch die aktuelle Novellierung nicht alle neuen Probleme und Konstellationen beim Umgang mit personenbezogenen Daten abdecken wird. Deshalb ist die Beurteilung vieler aktueller und gesetzlich nicht im Detail geregelter Fragen der Auslegung durch die Datenschutzbehörden überlassen. Kommt ein Unternehmen bei diesen Behörden zum Beispiel durch viele Kundenbeschwerden im Bereich Datenschutz in den Fokus, drohen mittlerweile empfindliche Bußgelder, die bei den bislang größten Verfahren in Deutschland Deutsche Bahn und Lidl bei jeweils mehr als einer Millionen Euro lagen. Um dies bei Ihrem Unternehmen zu vermeiden, soll Ihnen das vorliegende Werk helfen. Es wurde dabei bewusst eine praxisnahe Darstellung gewählt, die auch für den Nichtfachmann und Neuling im Datenschutz verständlich und nachvollziehbar ist. Konsequent angewandt werden Ihnen die Tipps und Empfehlungen dabei helfen, die schwersten Fehler im Datenschutz zu vermeiden und Ihr Unternehmen datenschutzkonform auszurichten. Dabei wünsche ich Ihnen und Ihrem Unternehmen viel Erfolg! München, im Juli 2012 Georg Schröder

4 Inhaltsübersicht Vorwort... Inhaltsverzeichnis... V XI 1. Kapitel Einleitung Kapitel Datenschutzrechtliche Grundlagen Kapitel Datenschutz in der Personalabteilung/Arbeitnehmerdatenschutz Kapitel Marketing und Werbung Kapitel Datenverarbeitung im Auftrag Kapitel Technische Organisatorische Maßnahmen/Datensicherheit VII

5 Vorwort... Inhaltsübersicht... V VII 1. Kapitel Einleitung Datenschutz Historie und Ausblick... 1 a) Geburtstunde: Volkszählungsurteil... 1 b) Datenschutzskandale... 4 c) Ausblick Wie Ihnen dieses Buch hilft... 7 a) Aufbau... 7 b) Checklisten/Muster und Beispiele Kapitel Datenschutzrechtliche Grundlagen Was ist Datenschutz?... 9 a) Datensubjekt und Informationelle Selbstbestimmung... 9 b) Personenbezogene Daten waszähltdazu? c) Verarbeitungstatbestände d) Gesetzliche Grundlagen e) Datenschutzrechtliche Grundsätze aa) Verbot mit Erlaubnisvorbehalt bb) Auskunfts- und Korrekturrechte des Betroffenen cc) Datensicherheit dd) Rechtliche Risiken und Sanktionen ee) Datenvermeidung und Datensparsamkeit ff) Kontrolle/Der Datenschutzbeauftragte gg) Verfahrensverzeichnisse IX

6 2. Gesetzgeberische Aktivitäten a) Datenschutzreform aa) Informationspflichten gemäß 42 a BDSG: Datenschutzpranger bb) Datensparsamkeit und Anonymisierung cc) Datenschutzbeauftragter dd) Auftragsdatenverarbeitung ee) Direktmarketing ohne Einwilligung ff) Direktmarketing mit Einwilligung gg) Scoring und Auskunfteien hh) Stärkung der Position der Aufsichtsbehörden b) Arbeitnehmerdatenschutz Kapitel Datenschutz in der Personalabteilung/ Arbeitnehmerdatenschutz Bewerberdaten und Bewerbungsprozess a) Welche Daten dürfen erhoben werden? aa) Immer zulässig: Stammdaten bb) Schutzwürdige Daten cc) Vorstrafen dd) Schwerbehinderung und Krankheiten ee) Gewerkschaftszugehörigkeit ff) Religiöse Überzeugung gg) Soziale Netzwerke b) Medizinische Untersuchungen und Eignungstests aa) Medizinische Untersuchungen bb) Eignungstests c) Speicherdauer d) Weitergabe im Konzern e) Online-Bewerbungen f) Personalberater Arbeitsvertrag/Erforderliche Unterlagen a) Zwingend: Verpflichtung auf das Datengeheimnis b) Konzernprivileg c) Merkblatt Datenschutz X

7 3. Datenspeicherung im Arbeitsverhältnis a) Umfang der Verarbeitung aa) Grundsätze bb) Einzelfälle b) Übermittlung an Dritte c) Übermittlung ins Ausland d) Löschung und Sperrung e) Löschung nach Beendigung des Arbeitsverhältnisses Personalakte a) Gesetzliche Rahmenbedingungen b) Das ist datenschutzrechtlich zu beachten aa) Zugriff auf die Personalakte bb) Inhalte cc) Rechte des Arbeitnehmers Nutzung von Internet und a) Rechtslage bei Gestattung privater Internet und -Nutzung aa) Telekommunikationsgesetz bb) Bundesdatenschutzgesetz b) Rechtslage bei Verbot privater Internet- und - Nutzung c) Ansprüche des Arbeitnehmers d) Wichtig: Regeln der Internet und Nutzung aa) Regelung in Internet und Policy bb) Regelung in einer Betriebsvereinbarung cc) Checkliste: Internet- und Policy Nutzung von Telefondaten a) Allgemeine Grundsätze sowie Gespräche mit einer Interessenvertretung b) Call-Center und telefonische Kundenbetreuung Datenschutz und Betriebsrat a) Geltung des BDSG für den Betriebsrat b) Datenschutz im Betriebsrat XI

8 8. Videoüberwachung a) Videoüberwachung im öffentlichen Betriebsgelände b) Videoüberwachung im nicht-öffentlichen Betriebsgelände. 95 c) Videoüberwachung in Rückzugsflächen Ortungssysteme Biometrische Verfahren Datenerhebung bei Straftaten und Pflichtverletzungen. 101 a) Grundsatz: Erhebung von Daten nur mit Kenntnis b) Vorraussetzungen der Datenerhebung c) Zweckgebundenheit/Verhältnismäßigkeit d) Zeitliche und technische Einschränkungen Datenschutzrechtliche Haftung und Strafbarkeit Anonymisierter Abgleich von Daten a) Straftaten und Pflichtverletzungen b) Anonymisierte oder pseudonymisierte Nutzung Unterrichtungspflicht bei Datenpannen sowie Beschwerderecht Mitarbeiterschulungen Der Datenschutzbeauftragte a) Pflicht zur Bestellung b) Fachkunde und Zuverlässigkeit c) Datenschutzbeauftragter und Betriebsrat d) Bestellung des Datenschutzbeauftragten e) Aufgaben des Datenschutzbeauftragten f) Abberufung g) Haftung h) Interner und externer Datenschutzbeauftragter Datenschutz bei Unternehmensverkäufen Praxischeckliste XII

9 4. Kapitel Marketing und Werbung Kunden- und Interessentendaten a) Grundsätze b) Direkterhebung/Unterrichtungspflicht c) Möglichkeiten und Grenzen des CRM aa) Nutzungsprofile bb) CRM in der Praxis Online-Marketing a) Internetauftritt aa) Impressum bb) Datenschutzhinweis b) Leadgenerierung aa) Datenschutzrechtliche Einwilligung immer erforderlich 139 bb) Inhalt cc) Koppelungsverbot dd) Wettbewerbsrechtliche Einwilligung ee) Confirmed-Opt In c) Analyse des Nutzerverhalten im Internet aa) Online Nutzungsprofile/Düsseldorfer Kreis bb) Google Analytics Adressbroking a) Grundsätze b) Adressbroking business to business c) Adressbroking bei Verbrauchern d) Spendenwerbung e) Widerspruchsrecht/Hinweispflicht f) Verträge mit Adressbrokern Dienstleister und Agenturen a) Verpflichtung auf das Datengeheimnis b) Datenauftragsverarbeitung Web 2.0 und Social Media a) Datenschutzniveau der jeweiligen Netzwerke b) Datenschutzrechtliche Aspekte im Unternehmen XIII

10 c) Social Media Policy Praxischeckliste Kapitel Datenverarbeitung im Auftrag Überblick Definition/Vorliegen der Datenverarbeitung im Auftrag Rechtsfolgen a) Überprüfung der technischen organisatorischen Maßnahmen aa) Erstauswahl bb) Erstkontrolle/Vorabkontrolle cc) Regelmäßige Kontrolle b) Vertragsinhalte Auslandsbezug a) Systematik b) Kein Drittland (Beispiel Frankreich) c) Drittland mit angemessenem Datenschutzniveau (Beispiel Schweiz) d) Sonderfall USA e) Drittland ohne angemessenes Datenschutzniveau (Beispiel Russland) f) EU-Standardvertragsklausel g) Überblick: Cloud-Computing a) Technische Hintergründe und Begriffsdefinition b) Datenschutzrechtliche Bewertung Kapitel Technische Organisatorische Maßnahmen/ Datensicherheit Datenschutz und Datensicherheit a) Grundsätze b) Gesetzliche Rahmenbedingungen XIV

11 2. Auditierungen a) Alternativen b) Einzelne IT-Sicherheitskonzepte aa) IT-Grundschutzkatalog bb) CobiT cc) ISO dd) ISO/IEC und BS Umsetzung in der Praxis a) Dokumentation technisch-organisatorischer Maßnahmen. 193 b) IT-Security Policy Sachverzeichnis