Datenschutzmerkblatt

Transkript

1 Datenschutzmerkblatt Informationen für Mitarbeiter Datenschutz betrifft uns alle! KIT Universität des Landes Baden-Württemberg und nationales Forschungszentrum in der Helmholtz-Gemeinschaft

2 Datenschutzmerkblatt Informationen für Mitarbeiter Sehr geehrte Mitarbeiterin, sehr geehrter Mitarbeiter An Ihrem Arbeitsplatz werden Sie sehr wahrscheinlich einen PC oder andere Geräte mit moderner Informationstechnik vorfinden und benutzen. Verschiedene Software-Pakete stehen Ihnen zur Verfügung und zahlreiche Werkzeuge werden Ihnen zentral von Ihrem Systemadministrator zugänglich gemacht (Betriebssystem, Textverarbeitung, Datenbank, elektronische Post, Ablagesysteme u. a. m.). Andere Werkzeuge werden Sie vielleicht selbst entwickeln oder beschaffen. Damit haben Sie technisch die Möglichkeit, personenbezogene Daten zu speichern, zu verwalten, zu verarbeiten und zu nutzen. Möglicherweise arbeiten Sie auch mit den DV-Systemen der Verwaltung (z. B. SAP oder SVA). Für diese Aufgaben sind Ihnen die Werkzeuge vorgegeben. Aber wie bei Ihren eigenen Daten ist es auch hier in besonderem Maße Ihre Pflicht, zum Schutz und zur Sicherheit unserer informationstechnischen Ressourcen (Hardware, Software, Daten) beizutragen. Bei jeder Verwendung personenbezogener Daten von Kollegen, Studierenden, Partnern im geschäftlichen oder wissenschaftlichen Umfeld oder anderen Personen sind datenschutzrechtliche Vorschriften zu beachten, wie z. B. das Landesdatenschutzgesetz (LDSG), das Landeshochschulgesetz Baden-Württemberg (LHG-BW) oder das Telekommunikationsund Telemediengesetz (TKG und TMG).

3 Ziel des Datenschutzes ist es, das Recht auf informationelle Selbstbestimmung jedes Menschen zu schützen. Das bedeutet: Immer, wenn Sie Daten über Menschen erheben, verarbeiten, nutzen oder verbreiten, sollen die Betroffenen darüber informiert sein nicht nur über diese Tatsache allein, sondern auch zu welchem Zweck dies geschieht. Dies gilt auch für das Recht am eigenen Bild. Dieses verfassungsmäßige Recht jedes Menschen legt auch fest, dass jeglicher Umgang mit personenbezogenen Daten einer rechtlichen Erlaubnis bedarf. Dies wird durch die gesetzlich niedergelegte Pflicht zur Wahrung des Datengeheimnisses (LDSG 6) noch unterstrichen. Was nicht heißt, dass der Datenschutz die Verarbeitung personenbezogener Daten generell verhindern will. Die bestehenden Rechtsvorschriften sollen Klarheit schaffen: Klarheit für den Datenverarbeiter, was er darf und welche Pflichten er hat. Klarheit für den Betroffenen, was er hinnehmen muss und welche Rechte er hat. Es ist unmöglich, an dieser Stelle alle Gesetze und Rechtsverordnungen darzustellen. Es ist die Aufgabe des Datenschutzteams des KIT und insbesondere des Datenschutzbeauftragten, Ihnen beim Einhalten der Vorgaben aus dem Datenschutzrecht zu helfen. Wann immer Sie hinsichtlich Erhebung, Speicherung, Verarbeitung oder Weitergabe personenbezogener Daten Fragen haben: Wenden Sie sich an Ihren Datenschutzbeauftragten oder das Datenschutzteam. Nützliche Hinweise finden Sie auch im Internet unter

4 Der Inhalt des Begriffes personenbezogen ist weit zu fassen: Natürlich fallen Angaben über Einkommens- oder Vermögensverhältnisse, Gesundheitsdaten, Daten über die Zugehörigkeit zu politischen, kirchlichen oder anderen gesellschaftlichen Institutionen darunter, aber auch Wohnungs- oder -Adressen, Telefonnummern, Veröffentlichungslisten usw. Und auch wenn die Namensan-gabe fehlt und stattdessen eine Identifizierungsnummer (z. B. die Personalnummer oder eine IP-Adresse) verwendet wird, gelten die zugehörigen Angaben als personenbezo gen oder -beziehbar. Wann immer personenbezogen Daten von Ihnen bearbeitet werden, sind die genannten Rechtsvorschriften einzuhalten unabhängig davon, ob es sich bei den Daten aus Ihrer Sicht um sensible Daten handelt oder nicht. Erst wenn es darum geht, technische und/oder organisatorische Maßnahmen zum Schutz der Daten zu realisieren, gilt das Angemessenheitsprinzip, nach dem Schutzzweck und erforderlicher Aufwand zueinander in einem vernünftigen Verhältnis stehen sollen. Auszüge aus dem Landesdatenschutzgesetz 1 Aufgabe des Gesetzes Aufgabe dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch die Verarbeitung seiner personenbezogenen Daten durch öffentliche Stellen in seinem Persönlichkeitsrecht beeinträchtigt wird. 5 Rechte des Betroffenen (1) Der Betroffene hat nach Maßgabe dieses Gesetzes ein Recht auf 1. Auskunft über die zu seiner Person gespeicherten Daten ( 21), 2. Berichtigung, Löschung und Sperrung der zu seiner Person gespeicherten Daten ( 22 bis 24), 3. Auskunft aus dem Verfahrensverzeichnis ( 11 Abs. 4).

5 4. Einwendung eines schutzwürdigen, in seiner persönlichen Situation begründeten Interesses gegenüber der Verarbeitung seiner Daten ( 4 Abs. 6), 5. Schadensersatz ( 25), 6. Anrufung des Landesbeauftragten für den Datenschutz ( 27). Diese Rechte können nicht durch Rechtsgeschäfte ausgeschlossen oder beschränkt werden. 6 Datengeheimnis Den bei öffentlichen Stellen beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu verarbeiten oder sonst zu verwenden (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung Ihrer Tätigkeit fort. 9 Technische und organisatorische Maßnahmen (1) Die Gestaltung und Auswahl der technischen Einrichtungen und der Verfahren zur automatisierten Verarbeitung personenbezogener Daten hat sich an dem Grundsatz auszurichten, keine oder so wenige personenbezogene Daten wie möglich zu verarbeiten. (2) Öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten verarbeiten, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um eine den Vorschriften dieses Gesetzes entsprechende Datenverarbeitung zu gewährleisten...

6 Hinweise zur Sicherheit in der Informationstechnik und zum Datenschutz 1. Oberster Grundsatz für sicherheitsbewusstes Verhalten bei der Nutzung der Informationstechnik muss es sein, den eigenen Rechner und die darauf zugänglichen Daten vor Zugriffen anderer Personen zu schützen. Um dies zu gewährleisten, ist Ihr Rechner mit einer Passwort-Sicherung ausgerüstet. Das Passwort ( legen Sie selbst fest; es wirkt wie ein Schlüssel zu Ihrem Rechner und zu Ihren Daten; wer ihn hat, kann diese unter Ihrem Namen gebrauchen aber auch missbrauchen! Halten Sie deshalb das Passwort geheim, auch gegenüber Vorgesetzten, Kolleginnen und Kollegen! Im Notfall kann meistens ein Administrator einem Berechtigten Zugriff auf Ihre Daten verschaffen. Lediglich falls dies nicht möglich ist, sollten Sie Ihr Passwort im verschlossenen Umschlag an allgemein bekannter, aber gegen unbefugten Zugriff geschützter Stelle (z. B. Sekretariat Ihrer Organisations-einheit) hinterlegen. 2. Daten müssen gegenüber unberechtigten Zugriffen gesichert werden, unabhängig davon, in welcher technischen Weise sie verarbeitet werden: auf Rechnern, im Netzwerk, auf Karteikarten oder gedruckt auf Papier. Gegen Verlust der Daten unbeabsichtigt oder unbefugt herbeigeführt schützt die Sicherung auf externe Datenträger. Die gesicherte Aufbewahrung und kontrollierte Entsorgung von Papierausdrucken, Disketten oder anderen Datenträgern muss gewährleistet sein (mit angemessenem Aufwand im Verhältnis zum angestrebten Schutzzweck). Zuständig für die Entsorgung ist die Abfallwirtschaftszentrale (Tel ). 3. Ein besonders nützliches Hilfsmittel ist die elektronische Post ( ). Unverschlüsselte elektronische Post ist wie eine Postkarte. Sie kann auf dem Weg vom Absender zum Empfänger von beliebig vielen Personen gelesen und sogar verändert werden. Personenbezogene Daten oder andere schutzwürdige Informationen dürfen auf diesem Weg nicht

7 unverschlüsselt versandt werden. In Outlook gibt es die Möglichkeit der Zertifizierung und der Verschlüsselung von Mails, Infos dazu unter Vertrauensstellungen bei Postfächern (z. B.: Chef Sekretariat) berechtigt keinen von beiden unbefugt Anderen Einblick zu gewähren. Verwenden Sie zum Versand von s an mehrere Empfänger die BCC-Funktion Ihres Mailprogramms, damit nicht alle Empfänger die Adressen aller anderen sehen. Antworten Sie nie auf Phishing Mails und öffnen Sie keine neuen dubiosen Nachrichten, von denen Sie die Absender nicht kennen. 4. Geben Sie den Viren keine Chance! Dazu und auch zur Abwehr von Trojaner stellt das KIT Schutzprogramme zur Verfügung. Das Viren-Schutzprogramm ist verpflichtend und die Virendaten müssen aktuell sein. Dies gilt auch dann, wenn Sie außerhalb des KIT arbeiten. Die Schadenswirkung von Viren ist unvorhersehbar. Im günstigsten Fall verlieren Sie nur einige Stunden Arbeitszeit, um den Virus wieder zu entfernen, im ungünstigsten Fall gehen wichtige Daten und wertvolle Arbeitszeit im ganzen KIT verloren. 5. Mitarbeiterdaten, die geeignet sind, zu Verhaltens- oder Leistungskontrollen genutzt zu werden, dürfen nur nach Zustimmung des Personalrates automatisiert verarbeitet werden. Ohne zwingende Gründe ist auf derartige Anwendungen zu verzichten. 6. Veröffentlichen Sie keine Matrikelnummern im Internet, also auch keine Gruppeneinteilungen oder Prüfungstermine und vor allem: keine Notenlisten mit Matrikelnummern. Veröffentlichen Sie Daten von Studierenden wie z. B. das Thema der Abschlussarbeit im Internet nur mit deren Einwilligung.

8 Kontakt Datenschutzbeauftragter (DSB) des KIT Dipl.-Phys. B. Kneifel Tel.: oder Das Datenschutzteam (DST) des KIT besteht aus Mitarbeitern der ZENDAS (Zentrale Datenschutzstelle der baden-württembergischen Universitäten, und dem Datenschutzbeauftragten. Das Datenschutzteam erreichen Sie unter Herausgeber Karlsruher Institut für Technologie (KIT) Kaiserstraße 12, Karlsruhe Karlsruhe KIT 2011

9 Datenschutzmerkblatt Informationen für Mitarbeiter Datenschutz betrifft uns alle! KIT Universität des Landes Baden-Württemberg und nationales Forschungszentrum in der Helmholtz-Gemeinschaft