Newsletter Juni 2011 Der betriebliche Datenschutzbeauftragte

Transkript

1 Newsletter Juni 2011 Der betriebliche Datenschutzbeauftragte Das Thema Datenschutz rückt durch die Datenpannen in jüngster Vergangenheit und die damit verbundene mediale Aufmerksamkeit immer mehr in das Bewusstsein der Öffentlichkeit. Das erschreckende an den Vorfällen ist, dass viele Unternehmen noch immer sehr leichtfertig mit diesem Thema umgehen und es für Hacker offensichtlich ein Leichtes ist, sich in Unternehmensnetze einzuhacken und ganze Kundendatenbanken zu stehlen. Kleine und mittlere Unternehmen brauchen sich in der Regel sicherlich keine großen Sorgen zu machen, von einer internationalen Hackerbande infiltriert zu werden, wie dies jüngst der Firma SONY ergangen ist. Dies heißt aber nicht, dass es nicht auch hier zu Verletzungen von Datenschutzvorschriften kommen kann, die, wenn sie erst einmal das Licht der medialen Öffentlichkeit erblickt haben, für das betroffene Unternehmen durchaus wirtschaftlichen Verlust bedeuten können (z.b. durch Rufschädigung, Verlust des Kundenvertrauens, zu zahlende hohe Bußgelder). Wie schnell kann es beispielsweise passieren, dass ein USB-Stick mit personenbezogenen Daten in falsche Hände gerät, weil ein Mitarbeiter ihn irgendwo hat liegen lassen? Vielleicht wussten Sie gar nicht, dass man die Daten Ihres Unternehmens so einfach auf einen USB- Stick kopieren kann? Und wie ist dieser Mitarbeiter überhaupt an die Daten gekommen? Haben die Zugangsbeschränkungen zu den Datenverarbeitungsanlagen nicht funktioniert? Existieren überhaupt Zugangsbeschränkungen? Derartige Fragen sollte sich ein Unternehmen nicht erst stellen, wenn es zu einer Datenpanne gekommen ist. Um u.a. Datenpannen im Vorfeld zu vermeiden hat der Gesetzgeber vorgeschrieben, dass Unternehmen unter bestimmten Voraussetzungen einen betrieblichen Dantenschutzbeauftragten zu bestellen haben, dessen Aufgabe insbesondere darin besteht, auf die Einhaltung der Gesetze und anderer Vorschriften über den Datenschutz im Unternehmen hinzuwirken. Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 1 von 6

2 Wann muss ein Datenschutzbeauftragter bestellt werden? Das Bundesdatenschutzgesetz (BDSG) sieht vor, dass Unternehmen einen betrieblichen Datenschutzbeauftragten schriftlich bestellen müssen, wenn sie mindestens 10 Personen mit der automatisierten Datenverarbeitung von personenbezogenen Daten beschäftigen. Unter automatisierter Datenverarbeitung ist in der Regel die Verarbeitung mit dem Computer gemeint. Werden die personenbezogenen Daten im Unternehmen nicht automatisiert verarbeitet, so muss ein Datenschutzbeauftragter bestellt werden, wenn mindestens 20 Personen mit der Datenverarbeitung beschäftigt sind. Verarbeitet man aber überhaupt keine personenbezogenen Daten, so erübrigt sich auch die Frage nach der Bestellung eines betrieblichen Datenschutzbeauftragten. Dies dürfte aber bei den wenigsten Unternehmen der Fall sein. Denn auch bei der Verarbeitung firmeninterner Personaldaten wird in der Regel mit personenbezogene Daten gearbeitet. Bei den zu zählenden Personen muss es sich nicht um festangestellte Mitarbeiter handeln, sondern es sind auch Auszubildende, Teilzeitkräfte und freie Mitarbeiter mitzuzählen. Entscheidend ist jedoch, dass die Personen mit der automatisierten Datenverarbeitung beschäftigt sind. Arbeiten im Unternehmen Personen, die definitiv nichts mit der Datenverarbeitung zu tun haben, z.b. angestellte Reinigungskräfte, dann zählen diese nicht mit. Auch sind diejenigen Mitarbeiter nicht mitzuzählen, die nur gelegentlich personenbezogene Daten automatisiert verarbeiten. In den häufigsten Fällen dürften aber alle Mitarbeiter eines mittelständischen Unternehmens in irgendeiner Form mit der Datenverarbeitung in Berührung kommen. Und wenn es z.b. nur die Einsichtnahme in eine Mitarbeiterliste, Krankheitsliste oder Mitarbeiterdispositionsliste ist. Keine Regel ohne Ausnahmen: Ein betrieblicher Datenschutzbeauftragter muss unabhängig von der Anzahl der mit der automatisierten Datenverarbeitung beschäftigten Personen bestellt werden, wenn Ihr Unternehmen 1. besonders sensible Daten verarbeitet, die einer sog. Vorabkontrolle unterliegen oder Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 2 von 6

3 2. personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeitet werden. Aber der Reihe nach. Zunächst zu 1.: Das Gesetz sieht vor, dass die sog. Vorabkontrolle u.a. dann durch den betrieblichen Datenschutzbeauftragten durchzuführen ist, wenn besondere Arten personenbezogener Daten verarbeitet werden. Darunter versteht das Gesetz Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeiten, Gesundheit oder Sexualleben. Vorabkontrolle bedeutet hierbei, dass der betriebliche Datenschutzbeauftragte vor der automatisierten Verarbeitung besonders sensibler personenbezogener Daten die hierfür einzusetzenden neuen Technologien und Verfahrensabläufe (z.b. Hard- und Software, Kommunikationsgeräte / -verfahren etc.) u.a. prüft und beschreibt, Risiken und Gefahren analysiert und mit Hilfe der IT-Verantwortlichen im Unternehmen ein Datensicherungskonzept entwickelt. Wenn also die Voraussetzungen für eine Vorabkontrolle vorliegen, dann muss es einen betrieblichen Datenschutzbeauftragten geben, der diese auch durchführen kann. Es gibt auch hier wiederum eine Ausnahme von der Ausnahme: So ist die Vorabkontrolle nicht erforderlich, wenn eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder kurz gesagt die Datenverarbeitung für die Abwicklung eines Geschäftsverhältnisses mit dem Betroffenen erforderlich ist. Und nun noch zu 2.: Dies betrifft insbesondere Unternehmen, die bspw. ihr Geld mit dem Verkauf von Adressdaten verdienen, sowie Auskunfteien und Markt- und Meinungsforschungsinstitute. Solche Unternehmen müssen unabhängig von der mit der Datenbearbeitung betrauten Personen einen Datenschutzbeauftragten bestellen. Hinzu kommt bei solchen Unternehme noch, dass sie einer strengeren Meldepflicht unterliegen und ihre automatisierte Datenverarbeitung vor Inbetriebnahme bei der jeweils zuständigen Aufsichtsbehörde melden müssen. Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 3 von 6

4 Bestellung des Datenschutzbeauftragten Das Gesetz sieht vor, dass die Bestellung des betrieblichen Datenschutzbeauftragten innerhalb eines Monats nach der Aufnahme der datenverarbeitenden Tätigkeit schriftlich erfolgen muss. Unterlässt ein verpflichtetes Unternehmen die Bestellung eines Datenschutzbeauftragten, so stellt dies eine Ordnungswidrigkeit dar, die mit einem Bußgeld von bis zu ,-- Euro geahndet werden kann. Wer kann Datenschutzbeauftragter werden? Grundsätzlich hat das Unternehmen die Möglichkeit, einen eigenen Mitarbeiter zum Datenschutzbeauftragten zu bestellen, sofern er die gesetzlich geforderte Fachkunde und Zuverlässigkeit mit bringt. Hierbei bedeutet Fachkunde in der Regel nicht nur fundierte Kenntnis über die einschlägigen datenschutzrechlichen Normen, sondern es sind zudem Kenntnisse über die Organisation des Unternehmens, die eingesetzte Datenverarbeitungstechnik sowie allgemeine IT-Kenntnisse erforderlich. Doch auch hier sind wieder Besonderheiten zu berücksichtigen. So können Inhaber bestimmter Positionen innerhalb des Unternehmens aufgrund möglicher Interessenskonflikte nicht zum Datenschutzbeauftragten bestellt werden. Hierzu zählt bspw. der Geschäftsführer des Unternehmens oder andere Führungskräfte. Auch scheiden Mitarbeiter aus Personal-, Marketing-, Vertriebs- oder IT-Abteilungen aus. Ebenso sind auch diejenigen Mitarbeiter des Unternehmens nicht geeignet, die ständig mit der Verarbeitung besonders sensibler Daten zu tun haben. Bestellt man einen Mitarbeiter aus den o.g. beispielhaft aufgeführten Bereichen zum Datenschutzbeauftragten, riskiert man, dass die Aufsichtsbehörde dies als nicht erfolgte Bestellung wertet und das mit einem Bußgeld von bis zu ,-- Euro ahndet. Daneben sind auch die arbeitsrechtlichen Implikationen zu beachten. Denn der betriebliche Datenschutzbeauftragte ist der Geschäftsführung direkt unterstellt und in Ausübung seiner Tätigkeit als Datenschutzbeauftragter weisungsfrei. Des weiteren genießt der betriebliche Datenschutzbeauftragte einen besonderen Kündigungsschutz, der sogar noch ein Jahr nach der Beendigung der Bestellung wirkt. Schliesslich hat das Unternehmen die Teilnahme des betrieblichen Datenschutzbeauftragten an Fort- und Weiterbildungsmaßnahmen zu ermöglichen und die Kosten hierfür zu übernehmen. Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 4 von 6

5 Findet sich im Unternehmen kein geeigneter Mitarbeiter oder scheut man die Kosten und Risiken, so besteht auch die Möglichkeit, die Aufgaben in die Hände eines sog. externen Datenschutzbeauftragten zu legen. Dies kann Vorteilhaft sein, da ein externer Datenschutzbeauftragter von Anfang an aufgrund seiner Erfahrungen die erforderliche Fachkunde und auch das technische Know-how mit bringt. Kostenintensive Schulungs- und Fortbildungsmaßnahmen fallen nicht an. Er ist darüber hinaus neutral und unabhängig und kann sich dem Datenschutzthema frei vom betrieblichen Tagesgeschäft widmen. Und schliesslich kann die Zusammenarbeit mit dem externen Datenschutzbeauftragten durch Kündigung des Dienstleistungsvertrages ohne Rücksicht auf einen besonderen Kündigungsschutz beendet werden. Es gibt am Markt inzwischen eine Vielzahl von Dienstleistern, die sich dieser Aufgabe mit unterschiedlichen Leistungsangeboten widmen. So werden neben der reinen Bestellung zum externen Datenschutzbeauftragten und den damit verbundenen Aufgaben bspw. auch Risikoanalysen und Schulungen für die Mitarbeiter angeboten. Da sich bei kleinen und mittleren Unternehmen in der Regel kein Mitarbeiter finden wird, der von Anfang an alle Voraussetzungen für eine Bestellung zum Datenschutzbeauftragten mit bringt, kann der Rückgriff auf einen externen Dienstleister eine Alternative darstellen. Hierdurch können zeitintensive Schulungsmaßnahmen und die Konflikte, die sich aufgrund der besonderen Stellung des betrieblichen Datenschutzbeauftragten ergeben können (z.b. Weisungsfreiheit, Kündigungsschutz), vermieden werden. Fazit Wenn Sie in Ihrem Unternehmen personenbezogene Daten verarbeiten, was in der Regel der Fall sein dürfte, dann prüfen Sie unbedingt, ob die Voraussetzungen für die Bestellung eines betrieblichen Datenschutzbeauftragten vorliegen. Überlegen Sie sich dann, ob es für Ihr Unternehmen wirtschaftlich sinnvoll ist, einen externen Datenschutzbeauftragten zu bestellen, oder auf einen Mitarbeiter aus den eigenen Reihen zurück zu greifen. Bedenken Sie, dass bei einer fehlerhaften Bestellung des Datenschutzbeauftragten die Aufsichtsbehörde ein Bußgeld von bis zu ,-- Euro verhängen kann. Schließlich ist zu berücksichtigen, dass Sie von Ihrer Pflicht, aktiven Datenschutz und Vorkehrungen für die Datensicherheit zu betreiben auch dann nicht entbunden sind, wenn Ihr Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 5 von 6

6 Unternehmen keinen betrieblichen Datenschutzbeauftragten bestellen muss. Denn auch allgemeine Verstöße gegen Datenschutzvorschriften können empfindliche Geldbußen von bis zu ,-- Euro nach sich ziehen. Schließlich ergibt sich auch aus dem Gesetz, dass der Leiter der nichtöffentlichen Stelle die Erfüllung der Aufgaben des Datenschutzbeauftragten sicherzustellen hat, wenn keine Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht (vgl. 4 Abs. 2a BDSG). Mit freundlichen Grüßen Michael Vaeth Rechtsanwalt Für Mitglieder des I.G.U.D. e.v. bereitgestellt von Rechtsanwalt Michael Vaeth, Hildesheimer Straße 208, Hannover, Telefon 0511/ , Fax 0511/ Falls Sie diesen Newsletter direkt über newsletter@mvlaw.de beziehen und ihn zukünftig nicht mehr haben möchten, schicken Sie bitte einfach eine Mail mit dem Betreff Newsletter abbestellen an newsletter@mvlaw.de. Newsletter Juni 2011 Ver. 2 Autor: RA Michael Vaeth Blatt 6 von 6