Berliner Beauftragte für Datenschutz und Informationsfreiheit

Transkript

1 Berliner Beauftragte für Datenschutz und Informationsfreiheit Datenschutz und Medienkompetenz 5. Fachtagung Medienkompetenz verbindet Dr. Claudia Federrath Leiterin Referat II A (Recht) 17. April 2018 im SFBB, Berlin

2 Aufgaben der Berliner Beau/ragten für Datenschutz und Informa:onsfreiheit Die Berliner Beau/ragte für Datenschutz und Informa:onsfreiheit geht Beschwerden von Bürgerinnen und Bürgern nach, die der Auffassung sind, durch eine Behörde oder ein privates Unternehmen mit Sitz in Berlin in ihren Datenschutzrechten verletzt worden zu sein berät in Fragen des Datenschutzes führt ohne besonderen Anlass Kontrollen durch gibt Empfehlungen zur Verbesserung des Datenschutzes beanstandet gravierende Verstöße bei öffentlichen Stellen ahndet schwerwiegende Verstöße bei privaten Stellen mit einem Bußgeld 2

3 Aufgaben der Datenschutzaufsichtsbehörden Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur AuMebung der Richtlinie 95/46/EG (Europäische Datenschutz- Grundverordnung - DSGVO) Art. 57 Abs. 1 DSGVO:»Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet [...] b) die Öffentlichkeit für die Risiken, VorschriZen, Garan[en und Rechte im Zusammenhang mit der Verarbeitung sensibilisieren und sie darüber au]lären. Besondere Beachtung finden dabei spezifische Maßnahmen für Kinder. [...]«3

4 Besonderer Schutz von Kindern nach der DSGVO Erwägungsgrund 38 (zu Artikel 8 DSGVO):»Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Ein solcher besonderer Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeitsoder Nutzerprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden, betreffen. [...]«4

5 KIM-Studie 2016 Kindheit, Internet und Medien Basisuntersuchung zum Medienumgang 6- bis 13-Jähriger 5

8 JIM-Studie 2017 Jugend, Information, (Multi-) Media Basisuntersuchung zum Medienumgang 12- bis 19-Jähriger 8

9 Unser Anliegen: Datenschutzkompetenz so früh wie möglich Kinder im Grundschulalter gehen regelmäßig Online. hinterlassen Spuren, ohne sich dessen bewusst zu sein Alltag von Kindern/Jugendlichen durch digitale Medien geprägt Eltern sind Vorbild. viele MüKer und Väter fühlen sich überfordert von den rasanten Entwicklungen der Medienwelt Unsicherheit, wie sie ihrem Kind OrienLerungshilfe im digitalen Alltag geben sollen, ohne Ängste zu schüren Lehrerinnen und Lehrer sind wichlge Begleitpersonen. Medienerziehung aus der Schule nicht mehr wegzudenken muss sinnvoll in den Unterricht eingebunden werden Kinder müssen in ihrer digitalen Welt abgeholt und pädagogisch begleitet werden. 9

10 Schni&menge zwischen Medienkompetenz und Datenschutz Sensibilisierung für den Umgang mit den eigenen Daten Was sind personenbezogene Daten? Welchen Einfluss habe ich selbst darauf, was mit meinen Daten geschieht? Wer hat Zugang zu meinen Daten? Wie lange sind sie im weltweiten Netz verfügbar? Es ist wichtig, ein Grundverständnis für die Bedeutung von Persönlichkeitsrechten zu vermitteln. Datenschutz Medienkompetenz 10

11 Was bedeutet»datenschutz«? Der Begriff»Datenschutz«ist irreführend. Datenschutz bezieht sich auf den Schutz des Einzelnen, nicht auf den Schutz der Daten. Datenschutz schützt die Persönlichkeitsrechte. Mit dem Begriff Datenschutz wird das Recht des Einzelnen auf»informafonelle SelbstbesFmmung«umschrieben. Was schützen die Datenschutzgesetze? Zweck dieses Gesetzes ist es, den einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. 1 Abs. 1 Bundesdatenschutzgesetz (BDSG) 11

12 Recht auf informationelle Selbstbestimmung Als Grundrecht vom Bundesverfassungsgericht (BVerfG) hergeleitet im»volkszählungsurteil«vom 15. Dezember Verankert im Allgemeinen Persönlichkeitsrecht nach Art. 2 Abs. 1 Grundgesetz (GG) und der Menschenwürde in Art. 1 Abs. 1 GG. BVerfG:»Das Grundrecht gewährleistet [...] die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen.«jeder Bürger hat das Recht, zu wissen»wer was wann und bei welcher Gelegenheit über ihn weiß.«12

13 Datenschutz spielt z.b. eine Rolle bei... der Anmeldung in einem sozialen Netzwerk dem Abschluss eines Handyvertrages der Bewerbung auf eine Stelle der Beantragung von staatlichen Leistungen (z.b. Hartz IV) einem Wohnungswechsel (Umzug) der Teilnahme an einem Gewinnspiel dem Hochladen eines Fotos im Internet etc. In nahezu allen Lebensbereichen werden personenbezogene Daten verarbeitet. 13

14 Personenbezogene Daten Defini&on nach Art. 4 Nr. 1 der Europäischen Datenschutz- Grundverordnung (DS-GVO) Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden»betroffene Person«) beziehen. Beispiele: Name, Vorname, Geburtsdatum, Telefonnummer, Wohnort, Religionszugehörigkeit, Steuernummer, Autokennzeichen, Krankenversicherungsnummer, Kontonummer, -Adresse 14

15 Die Grundprinzipien des Datenschutzrechts Verbot mit Erlaubnisvorbehalt Erforderlichkeit Zweckbindung Direkterhebung Datenvermeidung und Datensparsamkeit bzw. Datenminimierung Transparenz 15

16 1. Verbot mit Erlaubnisvorbehalt Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist grundsätzlich verboten! Es sei denn: diese ist durch ein Gesetz oder eine andere Rechtsvorschrift erlaubt oder der Betroffene hat eingewilligt. Gesetzliche Befugnis oder Einwilligung 16

17 Gesetzliche Befugnis Berliner Datenschutzgesetz (BlnDSG) gilt für Behörden und öffentliche Stellen des Landes Berlin Bundesdatenschutzgesetz (BDSG) gilt für Behörden und öffentliche Stellen des Bundes und private Datenverarbeiter (z.b. Unternehmen oder Vereine) Bereichsspezifische Vorschriften z.b. Schulgesetze, Polizeigesetze, Sozialgesetzbuch etc. Europäische Datenschutz-Grundverordnung (DSGVO) wird nach einer Übergangszeit von zwei Jahren am 25. Mai 2018 wirksam und gilt in allen europäischen Mitgliedsstaaten unmittelbar 17

18 Einwilligung in die Datenverarbeitung Anforderungen: Einwilligung ist i.d.r. schri6lich einzuholen. Muss auf der freiwilligen Entscheidung des Betroffenen beruhen. Betroffener muss über die Möglichkeit des Widerrufs für die Zukun6 informiert werden. Bei schri6licher Erklärung möglichst konkrete Bezeichnung der zu übermidelnden Daten, des Zwecks der DatenübermiDlung, des Empfängers, der Geltungsdauer der Erklärung, Unterschri6 des Betroffenen. ab 25. Mai 2018 ergeben sich die Bedingungen für die Einwilligung aus Art. 7 DSGVO (zu beachten auch 51 BDSG-neu) 18

19 Einwilligung von Kindern nach der DSGVO Art. 8 DSGVO regelt die Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft.»Dienst der Informationsgesellschaft«i.S.d. Art. 4 Nr. 25 DSGVO betrifft jede in der Regel elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung (z.b. soziale Netzwerke, Online-Spiele) Voraussetzungen: Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird. Einwilligung des Kindes möglich, wenn 16. Lebensjahr erreicht ist ansonsten Einwilligung der Personensorgeberechtigten notwendig Ausnahme im Zusammenhang mit Präventions- und Beratungsdiensten, die unmittelbar einem Kind angeboten werden 19

20 2. Erforderlichkeit Die Datenverarbeitung ist (nur dann) erforderlich, wenn sie notwendig ist, um einen bes9mmten gesetzlich definierten Zweck zu erfüllen, keine gleichermaßen wirksame Maßnahme mit geringerer Eingriffsintensität zur Verfügung steht (zumutbare Alterna9ve). Es genügt nicht, dass die Datenverarbeitung für den Zweck lediglich nützlich ist. 20

21 3. Zweckbindung Jede Datenverarbeitung muss zu einem bestimmten Zweck erfolgen. Der Zweck muss vor der Datenverarbeitung festgelegt (und dokumentiert) werden. Die (weitere) Datenverarbeitung darf nur zu diesem Zweck, nicht zu anderen Zwecken erfolgen. Zweckbindung wird in Art. 5 Abs. 1 lit. b) DSGVO definiert:»personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden [ ].«21

22 4. Direkterhebung Die Erhebung von Daten (Beschaffen von Daten) ist grundsätzlich nur beim Betroffenen und mit seiner Kenntnis zulässig. Ausnahmen nur, wenn diese gesetzlich geregelt sind. Beispiel: wenn Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür bestehen, dass überwiegende schutzwürdige Interessen des Betroffenen beeinträchtigt werden ( 4 Abs. 2 b Bundesdatenschutzgesetz). Art. 13 DSGVO sieht Informationspflichten bei der Erhebung von personenbezogenen Daten bei der betroffenen Person vor (z.b. Zweck und Dauer der Datenverarbeitung, Rechtsgrundlagen, Bestehen von Auskunfts- und Beschwerderechten) 22

23 5. Datenvermeidung und Datensparsamkeit bzw. Datenminimierung Die Verarbeitung von personenbezogenen Daten hat sich an dem Ziel auszurichten, so wenige Daten wie möglich zu verarbeiten. Keine Datenverarbeitung auf Vorrat! Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten und zu nutzen ( 3 a BDSG). ArIkel 5 Abs. 1 lit. c) DSGVO enthält den Grundsatz der Datenminimierung:»Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.«23

24 Technische und organisatorische Anforderungen Konkrete Anforderungen an die Entwicklung bzw. Implementierung von IT-Produkten Art. 25 Abs. 1 DSGVO enthält Vorgaben zum Datenschutz durch Technikgestaltung, um insbesondere das Prinzip der Datensparsamkeit umzusetzen (»Data protection by design«) Art. 25 Abs. 2 DSGVO legt fest, dass die Verantwortlichen bei ihren Produkten datenschutzfreundliche Voreinstellungen vorsehen (»Data protection by default«) 24

25 6. Transparenz BVerfG im Volkszählungsurteil: Jeder Bürger hat das Recht, zu wissen»wer was wann und bei welcher Gelegenheit über ihn weiß.«art. 5 Abs. 1 lit. a) DSGVO:»Personenbezogene Daten müssen auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz)«Der Grundsatz der Transparenz setzt voraus, dass alle InformaMonen und MiOeilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind (Erwägungsgrund 39 zu ArMkel 5 DSGVO). Transparente InformaMon insbesondere für Kinder, Art. 12 Abs. 1 Satz 1 DSGVO 25

26 Rechte der Betroffenen nach der DSGVO Recht auf Löschung,»Recht auf Vergessenwerden«, Art. 17 DSGVO Recht auf Einschränkung der Verarbeitung, Art. 18 DSGVO Recht auf Berichtigung, Art. 16 DSGVO Recht auf Datenübertragbarkeit, Art. 20 DSGVO Rechte der Betroffenen Auskun1srecht, Recht auf Kopie, Art. 15 DSGVO Widerspruchsrecht, Art. 21 DSGVO 26

27 Anliegen der Berliner Beau-ragten für Datenschutz und Informa9onsfreiheit Vermittlung von Medienkompetenz untrennbar mit der Vermittlung von Datenschutzkompetenz verbunden! Entwicklung von Materialien für Grundschulkinder, Lehrkräfte und Eltern Kinderwebseite»