Orientierungsplan betriebliche Datenschutzbeauftragte

Transkript

1 Einleitung Orientierungsplan betriebliche Datenschutzbeauftragte Datenschutzrecht Dr. Axel Gutenkunst Datenschutzbeauftragter für die Evangelische Landeskirche Württemberg und das Diakonische Werk Württemberg 29. Juni 2011 Strg-Taste + L-Taste (gleichzeitig!) wechselt in den Vollbildmodus, dann mit den Pfeil-nach-oben-Tasten/Pfeil-nach-unten-Tasten weiterschalten; die ESC-Taste beendet den Vollbildmodus. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

2 Einleitung Informationsmaterialien Informationsmaterialien dort die Link-Liste. Die Tätigkeitsberichte des Bundesdatenschutzbeauftragten und der Landesdatenschutzbeauftragten. Kommentierungen zum BDSG (z.b. Simitis/Dammann/Mallmann/Reh BDSG-Dokumentation) Herbert Claessen: Datenschutz in der Evangelischen Kirche (Praxiskommentar) Siegfried Fachet: Datenschutz in der katholischen Kirche Udo Maas: Soziale Arbeit als Verwaltungshandeln BvD e.v.: Datenschutz - Eine Vorschriftensammlung c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

3 Einleitung Informationsmaterialien Gliederung Was ist Datenschutz? (Wer bestimmt? - Volkszählungsurteil - Persönlichkeitsrechte - Allgemeininteresse - Drittwirkung) Durchsetzung des Datenschutzes (Datenschutzgesetze - Aufsichtsbehörden - betriebliche Datenschutzbeauftragte - Pflichten der Stelle - Rechte der Betroffenen - Sondervorschriften). Wesentliche Begriffsbestimmungen und Grundsätze des Datenschutzes. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

4 Einleitung Wer bestimmt? Was meinen Sie, was ist Datenschutz? Selbstbestimmungsrecht der Person: Meine Daten gehören mir! Bitte lassen Sie diesen Satz in sich wirken! Empfinden Sie sich als sein Leben selbst bestimmender und selbst gestaltender Bürger? Sind die Personen, mit denen Sie zu tun haben, solche Bürger? c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

5 Einleitung Wer bestimmt? Aber: Vitales Interesse der Allgemeinheit: Unsere Gesellschaft würde nicht funktionieren, wenn jeder Umgang mit Daten auf völliger Freiwilligkeit beruhen müsste. Beispiel: Alkoholkontrolle durch die Polizei im Straßenverkehr! Beispiel:Elena! c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

6 Einleitung Volkszählungsurteil Volkszählungsurteil 15. Dezember 1983 Geplant war 1983 eine Totalerhebung, um die staatlichen Register auf einen aktuellen und richtigen Stand zu bringen. Bundes- und Landesregierungen (außer Hamburg) hielten das entsprechende Volkszählungsgesetz für verfassungsgemäß! Beauftragte der Verwaltung sollten von Tür zu Tür gehen und die Daten erheben, um eine vollständige Kopfzählung zu erhalten. Die Durchführung wurde nach einer Anhörung umgehend durch eine einstweilige Anordnung des BVerfGE gestoppt. In der Hauptverhandlung stellte das BVerfGE erhebliche nicht zu rechtfertigende Grundrechtseingriffe fest. Diese Vorschriften wurden für nichtig und das ganze Bundesgesetz als verfassungswidrig erklärt. Anmerkung: Verglichen mit heute war die Volkszählung 1983 harmlos. Der erhebliche Widerstand ist nur mit dem damaligen Zeitgeist erklärbar (Georg Orwell 1984, erste Rechenzentren). c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

7 Einleitung Volkszählungsurteil Kernaussagen des Volkszählungsurteils Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß. Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. Dies würde nicht nur die individuellen Entfaltungschancen des Einzelnen beeinträchtigen, sondern auch das Gemeinwohl, weil Selbstbestimmung eine elementare Funktionsbedingung eines auf Handlungsfähigkeit und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens ist. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

8 Einleitung Volkszählungsurteil Kernaussagen des Volkszählungsurteils Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus. Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Ferner stellte das Bundesverfassungsgericht fest, dass es kein belangloses Datum gebe. Jedes personenbezogene Datum bedürfe einer besonderen Rechtfertigung. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

9 Einleitung Persönlichkeitsrecht Volkszählungsurteil 15. Dezember 1983 Im Volkszählungsurteil etabliert das Bundesverfassungsgericht somit die Herrschaft des Betroffenen über alle seine Daten und deren Verwendung (Geburtsstunde des Datenschutzes). Hergeleitet wurde dieses Recht aus dem Persönlichkeitsrecht Das Persönlichkeitsrecht gehört zu den höchsten vom Grundgesetz geschützten Werten. Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist die Verpflichtung aller staatlichen Gewalt. (Artikel 1 Abs. 1 Grundgesetz) Jeder hat das Recht auf freie Entfaltung seiner Persönlichkeit, soweit er nicht die Rechte anderer verletzt und nicht gegen die verfassungsmäßige Ordnung oder das Sittengesetz verstößt. (Artikel 2 Abs. 1 GG) c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

10 Einleitung Persönlichkeitsrecht Recht am eigenen Wort, Recht am eigenen Bild Eine weiteres Recht, das auf das Persönlichkeitsrecht zurückgeführt wird, ist das Recht am gesprochenen Wort. Das Selbstbestimmungsrecht eines jeden Menschen hinsichtlich der eigenen Darstellung der Person in der Kommunikation mit anderen findet seinen Ausdruck in der Befugnis des Menschen, selbst und allein zu entscheiden, ob sein Wort auf einen Tonträger aufgenommen und damit möglicherweise Dritten zugänglich werden soll. Weiterhin besteht Schutz davor, dass ein Kommunikationspartner ohne Kenntnis des anderen eine dritte Person als Zuhörer in das Gespräch mit einbezieht oder die unmittelbare Kommunikationsteilhabe durch den Dritten gestattet. (BVerG NJW 2002, S. 3619; Greger in Zöller, ZPO-Kommentar, 27. Aufl., 286 Rn. 15b) Eine weitere Ausprägung des Allgemeines Persönlichkeitsrechts ist das Recht am eigenen Bild. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

11 Einleitung 1 DSG-EKD, BDSG, LDSG s,... Persönlichkeitsrecht Was also schützt der Datenschutz? Datenschutzgesetz der Evangelischen Kirche in Deutschland (DSG-EKD) 1 Zweck und Anwendungsbereich (1) Zweck dieses Kirchengesetzes ist es, den einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

12 Einleitung Allgemeininteresse Gesetze brechen Selbstbestimmungsrecht Unser Staat würde nicht funktionieren, wären seine Verwaltungsorgane völlig auf eine freiwillige Mitwirkung aller angewiesen (Steuererklärung, Alkoholkontrolle). Deshalb: Das Recht auf informationelle Selbstbestimmung kann durch Gesetze eingeschränkt werden. Aber: Gesetze! und eben nicht wirtschaftliche Macht, Behördeninteressen, Vorgesetztenfunktionen,... c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

13 Einleitung Allgemeininteresse Anforderungen an Gesetze In den parlamentarisch beschlossenen Gesetzen kommt das Interesse der Allgemeinheit zum tragen. Die staatlichen Gesetze müssen der Verfassung genügen: Grundsatz der Normenklarheit Grundsatz der Erforderlichkeit Grundsatz der Verhältnismäßigkeit Grundsatz der informationellen Gewaltenteilung Grundsatz der Durchschaubarkeit der Datenverarbeitung Gesetze, die diesem Maßstab nicht genügen, werden vom Bundesverfassungsgericht kassiert! c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

14 Einleitung Vertragsverhältnisse Gesetz oder Einwilligung oder Vertrag Konkret bedeuted dies für Sie dreierlei: Soweit Sie personenbezogene Daten anderer erheben, verarbeiten oder nutzen, brauchen Sie dafür eine Rechtsgrundlage (auch wenn Sie diese oftmals nicht kennen werden). Soweit irgend eine andere Stelle Ihre Daten verwendet, braucht auch diese eine Rechtsgrundlage. Erste Ausnahme: Verträge (z.b. Arbeits-, Patienten-, Klienten-, Miet-). Zweite Ausnahme: Die Betroffenen haben, in der Regel schriftlich, ihre Einwilligung gegeben. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

15 Einleitung Vertragsverhältnisse Datenschutz bei Vertragsverhältnissen Privatautonomie: Jeder hat die Freiheit, mit anderen in eine Rechtsbeziehung zu treten oder dies auch zu lassen. Diese Freiheit kann eingeschränkt sein (Monopol, geringe finanzielle Leistungsfähigkeit eines Partners). Der Gesetzgeber achtet darauf, dass dadurch nicht Grundrechte (z.b. Iinformationelle Selbstbestimmung) ausgehölt werden. - BDSG umfasst auch Rechtsträger des privaten Rechts ( nicht öffentliche Stellen ). - bereichsspezifischer Bestimmungen,z.B. 95 Telekommunikationsgesetz. Unkritisch sind direkt aus dem Vertragszweck als erforderlich ableitbare Datenverwendungen. Dazu gibt es eine diskutable Grauzone. Alles andere ist rechtswidrig (z.b. Namensangabe als Pflichtfeld bei Newslettern). c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

16 Einleitung Vertragsverhältnisse Einwilligungen Generalklauselhafte Einwilligungen sind rechtsunwirksam. Einwilligungen immer nur dort, wo auch ein Nein akzeptiert werden kann! Unabdingbare Erfordernisse gehören in den Vertrag (oder die AGB), aber mit Informationsblatt. Man kann sich die Kenntnisnahme des Informationsblattes schriftlich bestätigen lassen. Beispiel: Eine Einwilligung dafür, dass man Daten elektronisch verarbeitet, macht nur Sinn, wenn man bei einem Nein tatsächlich bereit wäre, den Vorgang vollständig in Papierform abzuwickeln. Anmerkung: Einwilligungen dienen typischerweise dazu, in Einzelfällen rechtssicher agieren zu können. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

17 Einleitung Vertragsverhältnisse Einwilligungen Eine wirksame Einwilligung muss Formerfordernisse erfüllen, insbesondere: Es muss eine freie Entscheidung der betroffenen Person sein. Die Folgen einer Verweigerung müssen genannt werden (d.h. diese müssen vorher geklärt sein). Art der Daten, um die es geht und ggf. Empfänger oder Lieferanten müssen konkret benannt werden. Der Zweck der Datenverwendung muss genannt werden. Grundsätzlich Schriftform (kann in der Praxis, etwa auf psychologischen Beratungsstellen, schwierig sein). Äußere Hervorhebung, wenn die Einwilligung zusammen mit anderen Erklärungen abgegeben werden soll. Besondere ausdrückliche Einwilligung bei sensiblen Daten nach 2 Abs. 11 DSG-EKD. Bei Kindern und Jugendlichen ist auf die Einsichtsfähigkeit abzustellen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

18 Durchsetzung des Datenschutzes Das Bundesverfassungsgericht hat nicht nur das Grundrecht auf Informationelle Selbstbestimmung postuliert, sondern auch Maßnahmen verlangt, die dem Grundrecht Geltung verschaffen. 1 Datenschutzgesetze 2 Aufsichtsbehörden 3 betriebliche Datenschutzbeauftragte (Deutscher Sonderweg; statt zentraler Behörde) c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

19 Rechte der Betroffenen Datenschutzgesetze c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

20 Rechte der Betroffenen Ordnung der Datenschutzgesetze Maßgebend in Europa European Data Protection Supervisor (EDPS, Richtlinie95/46) Zuständigkeiten in der Bundesrepublik: Bundesbehörden, Privatwirtschaft: BDSG, aber: Aufsicht über die Privatwirtschaft bei den Ländern! Behörden der Länder: LDSG Kirchen, Diakonie, Caritas: DSG-EKD, KDO Zusätzlich unterliegen vielen Stellen weiteren Datenschutzbestimmungen: Sozialgesetzbuch, dort z.b. Jugendhilfe (Jugendgerichtshilfe, Amtsbeistandschaft,...) Datenschutzteil im Telemediengesetz Dienstvereinbarungen... c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

21 Rechte der Betroffenen Kirchliches Selbstbestimmungsrecht Die Kirchen haben nach der Verfassung das Recht, ihre eigenen Angelegenheiten, also auch Datenschutz, selbst zu regeln. Die Kirchen können auch bestimmen, was Kirche ist (Kompetenz-Kompetenz). Sofern die Mitgliedseinrichtungen eines Diakonischen Werks zugestimmt haben und die betreffende Landeskirche einverstanden ist, gilt dort das DSG-EKD. Aber: Das Selbstbestimmungsrecht bezieht sich nur auf die Art der Regelung (z.b. betrdsb oder Zentralstelle), nicht darauf, ob überhaupt. Ferner: In dem über das engere kirchliche Proprium hinausgehenden Bereich muss die Kirche ein vergleichbares Datenschutzniveau vorweisen. Soweit die Diakonie Aufgaben für staatliche Stellen wahrnimmt, sind die 35 SGB I und 67-85a SGB X ggf. doch zu beachten. Mitarbeiterinnen und Mitarbeiter der Diakonie müssen die staatliche Schweigepflicht nach 203 StGB berücksichtigen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

22 Rechte der Betroffenen Andere Gesetze haben Vorfahrt! Datenschutzgesetze sind als sog. Auffanggesetze konzipiert, d.h. wenn es anderweitige Gesetze gibt, gehen diese vor (Verbot mit Erlaubnisvorbehalt). Naturgemäß gehen diese anderweitigen Gesetze auf Kosten der informationellen Selbstbestimmung (sie erlauben und regeln). Eine Dienstvereinbarung kann unter Umständen Datenschutzbestimmungen aushebeln! Anderweitige Regelungen können einer Stelle bestimmte Datenverwendungen erlauben, für die sie sonst Einwilligungen einholen müsste (z.b. Veröffentlichung von Taufen im Gemeindebrief). Seltener: Anderweitige Regelungen können den Schutz der Daten verschärfen ( 203 StGB). Ferner: Mindestens genauso wichtig wie die Gesetze sind ergangene Urteile, insbesondere des BVerfG (Richterrecht). c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

23 Rechte der Betroffenen Aufsichtsbehörden c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

24 Rechte der Betroffenen Aufsichtsbehörden Europäischer Datenschutzbeauftragter Bundesdatenschutzbeauftragter und Landesdatenschutzbeauftragte für die öffentlichen Stellen von Bund und Ländern Aufsichtsbehörden einzelner Bundesländer für nicht-öffentliche Stellen der Bundesländer Datenschutzbeauftragte der Landeskirchen (und der Bistümer) Datenschutzbeauftragte der Diakonischen Werk und des Diakonischen Werks Deutschland Datenschutzbeauftragter der EKD für landeskirchen-übergreifende Werke und Einrichtungen Hinweis: Petenten wenden sich meist zunächst an die Landesdatenschutzbeauftragten oder Aufsichtsbehörden! c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

25 Rechte der Betroffenen Befugnisse landeskirchlicher Datenschutzbeauftragter in der EKD (Datenschutzaufsicht) Weisungsunabhängig Ausstattung mit Sach- und Personalmitteln Anhörungsrecht bei der Bestellung von Vertretern und Vertreterinnen Das Recht, Erhebung, Verarbeitung und Nutzung von Daten zu überprüfen Recht auf Auskunft und Einsicht in alle Unterlagen und Akten und alle gespeicherten Daten Beanstandungsrecht Das Recht, Empfehlungen geben und beraten Jede Person kann sich an den Beauftragten für den Datenschutz wenden. Aber auch: Verschwiegenheitspflicht in amtlich bekannt gewordenen Angelegenheiten c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

26 Rechte der Betroffenen Betriebliche Datenschutzbeauftragte Hinweis: Nach einem Urteil des Landgerichts Ulm ist Datenschutzbeauftragter ein Beruf. Nach dem DSG-EKD sind Datenschutzbeauftrage zur Zusammenarbeit verpflichtet. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

27 Rechte der Betroffenen Sinn und Zweck betrieblicher Datenschutzbeauftragter Der Gesetzgeber wollte keine Kontrollbürokratie. Gesellschaftlich ist eine hinreichende Zahl fachkundiger Personen unabdingbar, wenn sich Datenschutz durchsetzen soll. Vorteil: Jemand, der auf einer Stelle arbeitet, kennt die stelleninternen Organisations- und Verfahrensabläufe. Etwas im Widerspruch dazu: Eine Bestellung externer Datenschutzbeauftragter ist möglich. Probleme: Wer will es sich mit seinen Kolleginnen und Kollegen verderben? Datenschutz kann Kosten verursachen. Wer will dies dem Chef beibringen? Datenschutz ist ein Querschnittsmaterie aus IT, Recht und Verwaltung/Organisation. Wer genügt diesem Anspruch? Man kann im eigenen Umgang mit Daten in Interessenskonflikte kommen. Großes Problem: Einschaltung des landeskirchlichen DSB im Konfliktfall? c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

28 Rechte der Betroffenen Installation einer/eines betrdsb nach 22 DSG-EKD Wenn mehr als 6 Personen mit der Erhebung, Verarbeitung und Nutzung von Daten betraut sind, soll bestellt werden. Wer nicht bestellt, muss Verfahrensübersicht melden. Schulungspflicht (BDSG kennt hier Bußgelder!). betrdsb sind weisungsunabhängig und müssen direkten Zugang zum Chef haben. Ausreichender zeitlicher Rahmen und ausreichende Sachmittel sind zur Verfügung zu stellen Die Vertretung ist zu regeln (Ausbildung?, Chef?). IT-Leiter und Personalleiter sollen nicht bestellt werden. Dem/der zuständigen Aufsichts-DSB ist die Bestellung anzuzeigen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

29 Rechte der Betroffenen Verantwortung Verantwortlich gegenüber den Betroffenen ist die Stellenleitung: Die Verantwortung der betrieblichen Datenschutzbeauftragten liegt darin, die Stelle gut zu beraten, welche Pflichten sie hat, sie mit ihrer Sachkunde in der Umsetzung der Datenschutzbestimmungen zu unterstützen, die Mitarbeiter zu schulen, die IT-Verfahren zu überwachen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

30 Rechte der Betroffenen Aufgaben betrieblicher Datenschutzbeauftragter Sie wirken auf die Einhaltung der Datenschutzbestimmungen hin. Beispiel: Dafür sorgen, dass die Verpflichtungen auf das Datengeheimnis vollständig sind. Sie unterstützen ihre Stelle dabei, dass der Datenschutz sichergestellt ist, z.b. indem sie Fragen nachgehen, für die andere keine Zeit haben, z.b. zur Einhaltung von Löschfristen. Sie überwachen die DV-Programme, z.b. Berechtigungskonzept. Sie schulen Mitarbeiterinnen und Mitarbeiter: 1 Allgemein zum Datenschutz (z.b. Lernprogramm zum Datenschutz). 2 Bezogen auf die besonderen Aspekte eines Arbeitsplatzes. Sie schulen sich selbst (Teilnahme an Fort- und Weiterbildungsveranstaltungen). c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

31 Rechte der Betroffenen Hilfen und Pflichten betrieblicher Datenschutzbeauftragter Sie dürfen nicht benachteiligt werden. Sie haben Anspruch auf Unterstützung. Aber: Nur mit Einwilligung der Betroffenen Einblicknahmen in: Personalakten ärztliche Unterlagen (ggf. anonymisierte Akten verlangen) Verbindungsdaten, persönliche Briefe (Post- und Fernmeldegeheimnis) im Rahmen der Seelsorge verwendete Daten. Achtung: Das Seelsorgegeheimnis kann auf Personen erstreckt werden. Sie unterliegen einer amtszeitübergreifenden Verschwiegenheitspflicht ( 22 Abs. 3 i.v.m. 18 Abs. 7 DSG-EKD). Unterliegen ebenfalls 203 StGB, wenn sie für eine solche Stelle tätig waren/sind und haben damit auch ein Zeugnisverweigerungsrecht ( 53 StPO). c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

32 Rechte der Betroffenen externe betriebliche Datenschutzbeauftragte Vorteil: Sind in Datenschutzfragen kompetenter, wenn sie dies in Vollzeit machen. Nachteil: nur indirekte Kenntnis der stelleninternen Organisationsund Verfahrensabläufe. Oft beobachtet: Sie konzentrieren Sie auf die Sicherheitsaspekte der IT. Das ist nur ein kleiner Aspekt des Datenschutzes. Riskant: Ehrenamtliche externe betriebliche Datenschutzbeauftragte. Im Ernstfall können diese für eine unzureichende Beratung nicht verantwortlich gemacht werden. Jedes Gericht wird dies als Zeichen werten, dass Datenschutz nicht ernst genommen wurde. Wohl nur vertretbar, wenn es gute vorzeigbare Gründe gibt, die diese Nachteile überwiegen. Mittlerweile behoben: Auch externe DSB, die für Stellen tätig sind, die nach 203 StGB schweigepflichtig sind, haben denselben Stand wie die Gehilfen, d.h. der Schutz der Schweigepflicht umfasst auch diese. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

33 Pflichten der Stellen Pflichten der Stellen c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

34 Pflichten der Stellen Übersicht Bestellung eines betrieblichen Datenschutzbeauftragten Verpflichtung der Mitarbeiterschaft auf die Wahrung des Datengeheimnisses. Erstellung bzw. Meldung einer Verfahrensübersicht Vertragliche Absicherung einer Datenverarbeitung im Auftrag Kontrollpflichten beim Betrieb automatisierter Abrufverfahren Aufklärungspflichten bei Datenerhebungen Benachrichtigungspflichten Löschpflichten Treffen technischer und organisatorischer Maßnahmen c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

35 Pflichten der Stellen Verpflichtung auf das Datengeheimnis nach 6 DSG-EKD alle Personen, die Umgang oder Zugang zu personenbezogenen Daten haben, sind vor Aufnahme der Tätigkeit zu verpflichten: Hauptamtliche und Teilzeitbeschäftigte Ehrenamtliche Praktikanten und Azubis Bei Zivis und FSJ-lern ist woh lder BfD zuständig Verpflichtung durch Stellenleitung oder Vorgesetzte, bzw. diese deligieren an den betrdsb. Allgemeiner Teil durch Verpflichtungserklärung mit Durchschlag, Besonderheiten mittels Anlage zum Merkblatt. ggf. Hinweise auf weitere Verschwiegenheitspflichten (Fernmeldegeheimnis, Postgeheimnis, Steuergeheimnis, 203 StGB) Tip: Datenschutzlernprogramm in ELK-WUE c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

36 Pflichten der Stellen Verfahrensübersicht Rechtlich selbstständige Stellen müssen Verfahrensverzeichnisse führen. Verfahren sind i.d.r. gekaufte Programme. Aber auch eine Excel-Tabelle kann ein Verfahren sein. Typischerweise wird dieses vom betrieblichen Datenschutzbeauftragten erstellt. Seine Stelle muss inn unterstützen. Verfahrensverzeichnisse haben einen hohen Aktualisierungsbedarf, insofern kommt wohl nur eine elektronische Speicherung in Frage. Aus der Verfahrensübersicht ist das Jedermannsverzeichnis zu generieren. Hauptarbeit: Löschfristen und Rechtsgrundlagen c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

37 Pflichten der Stellen Datenverarbeitung im Auftrag nach 11 DSG-EKD In aller Regel Genehmigungspflicht durch Datenschutzaufsicht. Es muss ein Vertrag geschlossen werden (z.b. Mustervertrag Datenschutzweb). Auch Wartungsverträge, insbesondere Fernwartungen, und Aktenvernichtungen fallen unter die DViA. Der Auftragnehmer ist Rechenknecht. Die einzige weisungsungebundene Handlung ist die Information des Auftraggebers über Datenschutzverletzungen. Unterauftragsverhältnisse nur mit Zustimmung des Auftraggebers. Kontrollrecht des zuständigen kirchlichen DSB muss vereinbart werden. Ggf. kann die Verarbeitung auf konkrete Beschäftigte des Auftragnehmers eingeschränkt werden. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

38 Pflichten der Stellen Automatische Abrufverfahren Der Gesetzgeber sieht in dem Automatismus eine besondere Gefährung der Betroffenen! Der zuständige Datenschutzbeauftragte muss unterrichtet werden. Ggf. sind landeskirchliche Genehmigungsvorschriften zu beachten (wie bei der Datenverarbeitung im Auftrag). Ggf. ist eine Programmfreigabe erforderlich. Der ordnungsmäße Ablauf des Abrufverfahrens ist zu überprüfen (Stichproben). Das Abrufverfahren ist zu dokumentieren: Zweck Empfänger Art der Daten getroffene technische und organisatorische Kontrollmaßnahmen c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

39 Pflichten der Stellen Benachrichtigungspflichten nach 15a DSG-EKD Wichtig: Der Gesetzgeber will, dass die Betroffenen jederzeit im Bilde sind, was mit ihren Daten geschieht (!?) Benachrichtigung beim Erheben ohne Kenntnis der betroffenen Person (Hinweis: Es gilt der Direkterhebungsgrundsatz), es sei denn: - die Rechtslage erfordert die Erhebung - die Kenntnis der betroffenen Person ist anderweitig gewährleistet - der Aufwand wäre nicht mehr verhältnismäßig. Mitteilung der Empfänger bei regelmäßigen Übermittlungen, wenn die Betroffenen nicht damit rechnen würden. In Einwilligungen ist auf regelmäßige Übermittlungen hinzuweisen. Bei unregelmäßigen Übermittlungen ist die Benachrichtigungspflicht nach 13 DSG-EKD an sonstige Stellen zu beachten. Anmerkung: Das Ganze ist ein Kompromiss zwischen der Information der Betroffenen und dem dadurch entstehenden Arbeitsaufwand bei den datenverarbeitenden Stellen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

40 Pflichten der Stellen Aufklärungspflichten Bei einer Erhebung beim Betroffenen ist (auf Verlangen) mitzuteilen: der Zweck die Rechtsvorschrift, die zur Auskunft verpflichtet bzw. die Freiwilligkeit die Folgen der Verweigerung der Angaben Bei einer Erhebung bei anderen Stellen ist die Rechtsgrundlage oder die Freiwilligkeit der Angaben mitzuteilen. Hinweis: Ist im Zusammenhang damit zu sehen, dass das DSG-EKD kircheninterne Übermittlungen privilegiert. Hinweis auf Videobeobachtungen ( 7a Abs. 2 DSG-EKD), z.b. bei Vandalismus in Kirchen. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

41 Pflichten der Stellen Unterrichtungspflicht beim Chipkarteneinsatz ( 7b Abs. 1 DSG-EKD) Unterrichten muss die ausgebende Stelle, zusammen mit Informationen über sich selbst (Kontaktadresse). Erforderliche Angaben sind: Daten der Chipkarte Funktion der Chipkarte (technisch, organisatorisch) Wie die Rechte nach dem Datenschutzgesetz wahrgenommen werden können. Wie sich Betroffenen beim Verlust der Chipkarte verhalten müssen. Hinweis: Es gibt keinen Grund, Chipkarten nicht wie normale Computer zu behandeln, mit deren Hilfe ein bestimmtes Verfahren (Verfahrensübersicht!) praktiziert wird. Lediglich sonst zu treffende Schutzmaßnahmen können entfallen, etwa weil die Betroffenen darauf keine Daten speichern können. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

42 Pflichten der Stellen Technische und organisatorische Maßnahmen nach 9 DSG-EKD Schnittstelle zwischen Datenschutz und Datensicherheit: Integrität (Keine unbefugte Veränderung der Daten oder der sie enthaltenden Struktur.) Verfügbarkeit Vertraulichkeit Authentizität ggf. Revisionssicherheit Die Stelle muss sicherstellen, dass sie Herr der Daten ist, sonst kann sie keinen Datenschutz gewährleisten. c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

43 Pflichten der Stellen Die 8 Gebote des Datenschutzes Pflichten der Stellenleitung beim Betrieb von EDV-Anlagen Für Schäden infolge fehlerhafter EDV-Verfahren hafte die datenverarbeitende Stelle bis Euro. Folgende technische Anforderungen müssen umgesetzt sein ( 9 DSG-EKD Anhang): 1 Zutrittskontrolle 2 Zugangskontrolle 3 Zugriffskontrolle (Berechtigungswesen) 4 Weitergabekontrolle (siehe VerschlüsselungsVO) 5 Eingabekontrolle (Protokollierung) 6 Auftragskontrolle (DviA, Privat-PC) 7 Verfügbarkeitskontrolle (Datensicherheit!) 8 Zweckseparierung c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1

44 Vorsicht: Technische Kontrollmaßnahmen können in die Mitarbeiterüberwachung gehen! Wichtig: Gute Kennworte durchsetzen! Ein oft überzeugendes Argument: Das System protokolliert unter den Anmeldedaten alles mit! Zugriffskontrolle: Aufträge zur Einrichtung von Berechtigungen sollten der IT schriftlich gegeben werden (Formblatt). Eingabekontrolle: Die Verwendete Datenbank muss das können! Frühzeitige Beteiligung des betrdsb. Die getroffenen Maßnahmen sind ggf. Bestandteil der Verfahrensbeschreibung bzw. werden in Verträgen zur DViA vom Auftragnehmer verlangt. Bei besonders geschützten Daten und automatisierten Abrufverfahren kommt ihrer Dokumentation eine erhebliche Bedeutung zu. Kann sehr schwierig werden: Wahrung der Schweigepflicht nach 203 c 2010 Dr. A. Gutenkunst (ELK-WUE) Orientierungsplan betriebliche Datenschutzbeauftragte 29. Juni / 1 Durchsetzung des Datenschutzes Pflichten der Stellen Technische und organisatorische Maßnahmen nach 9 DSG-EKD