Gesetzliche Neuerungen im Datenschutz Der richtige Umgang mit personenbezogenen Daten im Unternehmen

Transkript

1 Gesetzliche Neuerungen im Datenschutz Der richtige Umgang mit personenbezogenen Daten im Unternehmen Donnerstag, 2. Februar 2008 Mürwik (Soldatenheim) Flensburg Dr. Thilo Weichert Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD) Inhalt Allgemeine Aufgaben des ULD Besondere Aufgaben des ULD Tätigkeiten des Referats Wirtschaft Inhaltliche Schwerpunkte Vorgehen bei Eingaben Vorgehen bei Kontrollen Kurze Geschichte des Datenschutzes Bundesdatenschutzgesetz (BDSG) I-IV Schwerpunkt: Verbraucherdatenschutz Schwerpunkt: Arbeitnehmerdatenschutz 2

2 Allgemeine Aufgaben des ULD - Datenschutzkontrollen im öffentlichen und im nichtöffentlichen Bereich ( 39 I, II LDSG) - Beratung von öffentlichen Stellen, Regierung und Landtag ( 39 III, IV) - Beratung und Unterstützung von Bürgerinnen und Bürgern ( 43 I LDSG) - Ausbildung in Datenschutz u. Datensicherheit (DATENSCHUTZAKADEMIE, 43 III LDSG) - entgeltl. Beratung v. nichtöffentlichen Stellen ( 43 III LDSG) - Durchführung von Datenschutzaudits ( 43 II LDSG) und Verleihung von Produkt-Gütesiegeln ( 4 II LDSG) - Beschwerdenbearbeitung Informationsfreiheit ( 6 IFG) 3 Besondere Aufgaben des ULD - Geschäftsführung des Virtuellen Datenschutzbüros (virdsb) - Erstellung von Gutachten, z.b. zu Kundenbindungssysteme, Scoring in der Kreditwirtschaft, Digital Rights Management (DRM), Radio Frequency Identification (RFID), Biometrie, Verbraucherdatenschutz, Geodaten - Nationale Forschungsprojekte z.b. zu Anonymisierungsdiensten (ANON) Biobanken (bdc-audit), Spam-Abwehr (SPITAL) - Internationale Forschungs- und Diskursprojekte z.b. zu Identitätsmanagement (FIDIS, PRIME), Sicherheitstechnik (PRISE), Meldeauskunftsverfahren (RISER), E-Government (IM Enabled) - Teilnahme an EU-Twinning-Projekten (Lit., Malta) - Internationalisierung Gütesiegel (EuroPriSe) 4

3 Tätigkeiten des Referats Wirtschaft des ULD - Bearbeitung von Eingaben - Vorsitz AG Versicherungswirtschaft im Düsseldorfer Kreis (DK) - Mitarbeit im DK und seinen AGs - Beratung von Bürgerinnen und Bürgern - Unterstützung von betrieblichen Datenschutzbeauftragten - Öffentlichkeitsarbeit im Bereich DS in der Wirtschaft - Kurse in der DATENSCHUTZAKADEMIE, Fachhochschulen u.ä. - Beratung von Unternehmen, der Politik und von Verbänden, incl. Beratung zum Datenschutzmanagement (Audit-ähnlich) - Erstellung von Gutachten (z.b. Geodaten, Kfz-Einzelhändlerverband) - Mediation (z.b. Überwachungskonflikte ArbN-ArbG) - ad-hoc-prüfungen (rechtl. u./o. techn.) nach 38 BDSG - systematische Kontrollen nach 38 BDSG - Durchführung von Bußgeldverfahren nach 43 BDSG - selten: Genehmigung von Auslandsübermittlungen ( 4 Abs. 2 S. BDSG) - wenig: formelle Prüfungen nach 38 BDSG - bisher nicht: bdsb-entbindg. u. TOM-Anordnung - bisher nicht: Zertifizierung von Codes of Conduct ( 38a BDSG) 5 Inhaltliche Schwerpunkte Videoüberwachung Banken und Finanzdienstleister (Scoring, SWIFT) Versicherungen Internet-Wirtschaft (E-Commerce, Spam, Pranger) Telemediendienste Arbeitnehmer-Überwachung Wohnungswirtschaft Handel (E-Cash, Kundenbindung, Werbung) Auskunfteien Inkasso Vereine ambulante und stationäre Medizin (Ref. 2) Datensicherheit (Ref. 3) Audit Gütesiegel (Ref. 7) Betroffenenrechte (in allen Bereichen) 6

4 Vorgehen bei Eingaben Beschwerde einer Petentin bzw. eines Petenten Aufforderung der verantwortlichen Stelle um Stellungnahme - Sachverhaltsdarstellung und präzise Fragen - Hinweis auf Zuständigkeit und Zeugnisverweigerungrecht Akteneinsicht in Petition nur nach Zustimmung (Petentengeh.) evtl. Mahnung mit Fristsetzung und Bußgeldandrohung mit ZU evtl. Prüfung vor Ort rechtliche Bewertung des Sachverhaltes > evtl. Beanstandung Mitteilung des Ergebnisses an Petentin bzw. Petenten selten: Bußgeldverfahren wegen materiellem Verstoß sehr selten: Nennung in Presseerklärung oder Tätigkeitsbericht 7 Vorgehen bei Kontrollen regelmäßig Ankündigung regelmäßig Vieraugenprinzip (rechtlich technisch) formelle Prüfung - betrieblicher Datenschutzbeauftragter - Verfahrensverzeichnis - Vorabkontrollen materiell-rechtliche Prüfung (Schwerpunkt) - Erhebung, Speicherung, Auswertung, Nutzung, Übermittlung technische Prüfung (TOM 9 BDSG) evtl. Beanstandung bei Uneinsichtigkeit i.d.r. Bußgeld bei großen Fällen öffentliche Bekanntgabe 8

5 Kurze Geschichte des Datenschutzes 978 Erstes Bundesdatenschutzgesetz (BDSG) 983 Volkszählungsurteil des Bundesverfassungsgerichts Gesetzesvorbehalt, Zweckbindung 990 Zweites BDSG: erweiterter Dateibegriff, Regelung der Erhebung, umfassende Verarbeitungsregeln 995 Europäische Datenschutzrichtlinie 200 Kleine dritte BDSG-Novellierung (EU-Anpassung, Videoüberwachung, Chipkarten) 2006 BürokratieabbauG 2008 Gesetz zu Scoring und Bonitätskontrolle? Bundesdatenschutzauditgesetz? Wann? Modernisierung des BDSG (Internetfähigkeit) 9 Bundesdatenschutzgesetz BDSG I Zulässigkeit der Datenverarbeitung - Durchführung eines Vertrages ( 28 I Nr. ) - Einwilligung des Betroffenen (freiwillig, schriftlich) ( 4a) - Spezialgesetzliche Regelungen (AO, HGB, SGB V (Kranken), SGB VI (Renten), SGB VII (Unfall) - Allgemeine Verarbeitungsbefugnis ( 28 I Nr. 2: Abwägung berechtigtes Interesse schutzwürdiges Interesse) - Spezialproblem: Übermittlung ins Ausland ( 4b, 4c) Allgemeine Grundsätze - Erforderlichkeitsgrundsatz - Datensparsamkeit (Pseudonymisierung-Anonymisierung) - Zweckbindung 0

6 Bundesdatenschutzgesetz BDSG II Technisch-organisatorische Maßnahmen der Datensicherheit intern und im offenen Netz ( 9) - Vertraulichkeit (z.b. Verschlüsselung) - Integrität (Backup) - Verfügbarkeit (ausfallsichere Stromversorgung, Datenmanagement) - Authentizität (Aktenführung, digitale Signatur) - Revisionsfähigkeit (Protokollierung, Kontrolle der SysAdmin) - Transparenz (Dokumentation, Anwenderhandbücher, Information bei Erhebung, Benachrichtigung bei Bearbeitung) Bundesdatenschutzgesetz BDSG III Datenschutzmanagement - verpflichtend - Betrieblicher Datenschutzbeauftragter ( 4f, 4g) - Vorabkontrolle ( 4d V) - Verfahrensverzeichnis ( 4d, 4e) - Verpflichtung auf das Datengeheimnis ( 5) Datenschutzmanagement sinnvoll - Datenschutzkonzept - IT-Sicherheitskonzept - Konzept bei IT-Einführungen (incl. Betriebsrat) - Ausbildungskonzept - Durchführung von Audits 2

7 Bundesdatenschutzgesetz BDSG IV Betroffenenrechte - Auskunftsanspruch ( 34) - Benachrichtigung ( 4 Abs. 3, 33) - Berichtigung, Löschung, Sperrung ( 35) - Widerspruch ( 28 III, 35 V) - Schadenersatz ( 7) - Anrufung der Aufsichtbehörde ( 38) - Strafanzeige ( 44 II) - Verbraucherrechtlicher Schutz - Zivilrechtlicher (arbeitsrechtlicher) Schutz 3 Schwerpunkt: Verbraucherdatenschutz Kooperation mit VZ SH und vzbv rechtlicher Schutz - Betroffenenrechte (incl. Auskunft, Widerspruch) - materielle Zulässigkeit - Datensparsamkeit (Anonymisierung, Pseudonymisieurng) - Koppelungsverbot - Formular- u. AGB-Kontrolle technischer Schutz: - Virenschutz -Firewall - Verschlüsselung -Spam-Abwehr - Anonymisierungsdienste 4

8 Schwerpunkt: Arbeitnehmerdatenschutz Einstellung Personalaktenführung Gesundheitskontrolle Arbeitskontrolle - Zugangskontrolle (Ausweise, Biometrie) - - und Internetüberwachung am Büroarbeitsplatz - Technische Überwachung in der Produktion (RFID, Fraud- Prevention) - Videoüberwachung - GSM-Ortung 5 Gesetzliche Neuerungen im Datenschutz Der richtige Umgang mit personenbezogenen Daten im Unternehmen Dr. Thilo Weichert Wo? Unabhängiges Landeszentrum für Datenschutz 2403 Kiel, Holstenstraße 98 Telefon? 043/ Telefax? 043/ ? weichert@datenschutzzentrum.de Internet? (ULD) 6