Die EU-Datenschutz- Grundverordnung und ihre Auswirkungen auf die Kirche. Jupp Joachimski Datenschutzbeauftragter der bayerischen (Erz-) Diözesen

Transkript

1 Die EU-Datenschutz- Grundverordnung und ihre Auswirkungen auf die Kirche Jupp Joachimski Datenschutzbeauftragter der bayerischen (Erz-) Diözesen

2 Wie sieht es bisher im Datenschutz rechtlich aus? Es gibt (noch bis 2018) mehrere Regelungsebenen: Europäische Union Bundesrepublik Deutschland Bundesländer Religionsgesellschaften = öffentlich-rechtlich organisierte Glaubensgemeinschaften Alle Regelungen sind inhaltlich durchaus vergleichbar und z.t. wortgleich, weil der Datenschutz in Deutschland sehr weit entwickelt ( Deutschland hat den Datenschutz erfunden ) ist und daher auch für die EU richtungsweisend war Datenschutz 2

3 Datenschutzebenen bis 20. Mai 2018 Richtlinie BDSG Bundes- und teilweise Landesbehörden sowie nicht-öffentliche Stellen Landesdatenschutzgesetze Landes- und Kommunalbehörden Art. 137 WRV Kirchen Datenschutz 3

4 Europäische Union Die Europäische Union hat noch eine Datenschutzrichtlinie von Sie ist nicht unmittelbar geltendes Recht, sondern verpflichtet nur die Mitgliedsstaaten, richtlinienkonformes Recht zu erlassen. Die EU hat aber eine Datenschutzgrundverordnung in Vorbereitung, die am 20. Mai 2018 in Kraft treten wird. Sie wird dann unmittelbar geltendes Recht in allen Mitgliedsstaaten. Download: In ihren Regelungen geht sie teilweise über das deutsche Recht hinaus, teilweise bleibt sie zurück. Im Folgenden zeige ich das (jetzige) deutsche Recht und die Änderungen durch die EU-DS-Grundverordnung Datenschutz 4

5 Warum EU-Datenschutz-Grundverordnung? Die verschiedenen EU-Mitgliedsstaaten haben der Datenschutz-Richtlinie unterschiedliche Dringlichkeit beigemessen. In einigen wurde sie strikt eingehalten, in anderen weniger strikt, in einigen nicht. Eine laxe Handhabung der Richtlinienumsetzung in nationale Gesetze zum Gegenstand eines Vertragsverletzungsverfahrens zu machen, erschien nicht als sinnvoll. So wurde vor allem für die sozialen Netzwerke der (fehlende) nationale Datenschutz neben steuerlichen Gesichtspunkten zur Standortfrage. Ein Rolle spielt sicher auch, dass immer mehr Unternehmen an die Daten der Bürger wollen: Datenschutz 5

6 Facebook (What s App), Twitter, Google (Youtube) Payback- Systeme oder Kundenkarten -Betreiber Legale Angreifer wie z.b. Preisausschreiben oder Antwort auf Werbebriefe Schon vorhandene Vertragspartner des Kunden wie z.b. Kabelversorger, Telefonanbieter, Energieversorger Illegale Angreifer (Adresshandel, Phishing) Datenschutz 6

7 Die Rechtslage nach Inkrafttreten der VO BDSG nur, soweit in der VO vorbehalten Verordnung Art. 137 WRV, 140 GG Behörden und nicht-öffentliche Stellen Kirchen Datenschutz 7

8 Bundesrepublik Deutschland - Systematik Das Bundesdatenschutzgesetz gilt unmittelbar für öffentliche Stellen des Bundes und nichtöffentliche Stellen, z.b. gewerbliche Unternehmen. Der Datenschutz ist aber auch noch in anderen Bundesgesetzen geregelt, z.b. der Sozialdatenschutz ( 35 SGB I, 62 ff. SGB VIII) die beruflichen Geheimhaltungspflichten des 203 StGB 22 ff KunstUrhG (Recht am eigenen Bild) In Zukunft gilt das BDSG nur noch insoweit, als in der VO Regelungen dem nationalen Gesetzgeber vorbehalten sind Datenschutz 8

9 Land Bayern Das Datenschutzgesetz Bayerns regelt bislang ausschließlich die Datenschutzverpflichtungen der Dienststellen Bayerns und zwar der Behörden und sonstigen öffentlichen Stellen des Freistaates Bayern, der Gemeinden, Gemeindeverbände und der sonstigen der Aufsicht des Freistaates Bayern unterstehenden juristischen Personen des öffentlichen Rechts. Es ist auch dann anwendbar, wenn sich das Land privatrechtlicher Formen (z. B. GmbH, AG) zur Erfüllung seiner Aufgaben bedient. Aber: Soweit ein dem BayDSG grundsätzlich unterliegendes öffentliches Unternehmen am Wettbewerb teilnimmt, gilt doch wieder das BDSG 3. Abschnitt - für die meisten Fragen. Erhalten bleibt aber die unbeschränkte Pflicht, einen behördlichen DSB zu bestellen. Nach Inkrafttreten der EU-VO: Situation noch völlig unklar! Datenschutz 9

10 Kirchliche Regelungen In der katholischen Kirche: KDO = Anordnung über den kirchlichen Datenschutz, mit KDO-DVO anwendbar auf alle kirchlichen Rechtsträger, unabhängig von ihrer Organisationsform, also Bistümer, Gemeinden, Caritas, Anstalten, Orden etc. weitgehend dem BDSG nachgebildet, große Teile wörtlich, wortgleich in jedem Bistum in Kraft gesetzt. Quelle: Webseite des jeweiligen Bistums oder Evangelische Kirche: Datenschutzgesetz der EKD vom 7. November 2012 (ABl.EKD S. 452),in Kraft seit Quelle: Art. 91 der neuen EU-Datenschutzverordnung: Wendet eine Kirche oder eine religiöse Vereinigung oder Gemeinschaft in einem Mitgliedstaat zum Zeitpunkt des Inkrafttretens dieser Verordnung umfassende Regeln zum Schutz natürlicher Personen bei der Verarbeitung an, so dürfen diese Regeln weiter angewandt werden, sofern sie mit dieser Verordnung in Einklang gebracht werden Datenschutz 10

11 Datenschutzrecht Wesentliche Regelungen der KDO bzw. des BDSG Anwendungsbereich 1 KDO Kirchliche Stellen vorbehaltlich der Kirchlichkeitsprüfung Gewerbliche Stellen der Kirche: Dafür gilt das BDSG Begriffe 3 bleiben überwiegend gleich in Art. 4 z.b. Personenbezogene Daten Datei automatisierte Verarbeitung neu: Profiling Art. 4 3aa Erheben, Speichern, Nutzen, Verändern, Übermitteln Verbot mit Ausnahmen 28 Art. 6 Umgang mit personenbezogenen Daten ist grundsätzlich verboten sofern nicht ein Erlaubnistatbestand vorliegt Die bisherige Ausnahme (Einwilligung) wird zur Regel Datenschutz 11

12 Umgang mit Daten Grundsatz: Daten dürfen nur dann erhoben, verarbeitet oder genutzt werden, wenn dies durch eine eigene Rechtsvorschrift erlaubt ist oder der Betroffene eingewilligt hat, 4 (Verbot mit Erlaubnisvorbehalt). EU-DS-GVO: Artikel 6 Lawfulness of processing Eine solche Rechtsvorschrift liegt auch in 28 Abs.1 BDSG. Demnach ist der beschriebene Umgang mit Daten immer dann erlaubt, wenn er notwendig ist, um die Aufgaben der verantwortlichen Stelle zu erfüllen (wichtigster Anwendungsfall). Der Einwilligungsfall ist bisher nach 4 BDSG sekundär! Er muss eigentlich erst geprüft werden, wenn keine Rechtsnorm die Datenverarbeitung erlaubt. In der EU- VO wird er zum Regelfall Datenschutz 12

13 Erforderlichkeit Die Erforderlichkeit im Sinne des 28 BDSG bzw. Art. 6 Abs. 1 EU-VO bestimmt sich nach objektiven Kriterien. Erforderlich sind demnach alle Daten, die sinnvollerweise benötigt werden, um den Anforderungen der jeweiligen Stelle gerecht zu werden. Nicht notwendig ist es, dass im konkreten Fall wirklich auch alle erhobenen Daten unerlässlich sind. Auch ein Irrtum über die Erforderlichkeit ist unschädlich. Das bleibt nach der EU-VO gleich Datenschutz 13

14 Einwilligungsgrundsatz Alle Rechtsnormen über den Datenschutz sehen vor, dass auch bei Fehlen einer gesetzlichen Grundlage die Datenverarbeitung jedenfalls dann zulässig ist, wenn der Betroffene einwilligt. Eine Einwilligung ist allerdings nur dann wirksam, wenn der Betroffene auf den Zweck der Speicherung und einer vorgesehenen Übermittlung sowie auf Verlangen auf die Folgen der Verweigerung der Einwilligung hingewiesen wird. Die Einwilligung bedarf i.d.r. der Schriftform und muss klar als solche erkennbar sein, 4b. Einwilligen können künftig nur Personen im Alter von 16 und mehr Jahren (bisher 13) ausreichend Platz für schriftliche Lügen und Absenkungsvorbehalt Datenschutz 14

15 Sicherung der Datenspeicherung: Datengeheimnis 5 BDSG: Datengeheimnis 1 Den bei öffentlichen Stellen beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). 2 Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort. Der Artikel 5 EU-VO erstreckt sich über zwei volle Seiten! Von seiner Wiedergabe hier wird abgesehen Datenschutz 15

16 Der Schutz der Daten als Handlungsbeispiele der Anlage zu 9 BDSG Zutrittskontrolle Zugangskontrolle Zugriffskontrolle Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Einhaltung des Trennungsgebots Datenschutz 16

17 Löschung von Daten Sie ist nach 35 Abs. 2 BDSG 17 EU-VO notwendig, wenn sich herausstellt, dass die Speicherung der Daten unzulässig war. die Richtigkeit bei besonderen Daten nicht bewiesen werden kann. Die Daten müssen nach 35 Abs.2 Nrn. 3 und 4 BDSG auch dann gelöscht werden, wenn die speichernde Stelle sie zur Erfüllung ihrer Aufgaben nicht mehr benötigt. Die EU-DSVO sieht darüber hinaus erstmals ein Recht auf Vergessenwerden in Art. 17 und ein Widerspruchsrecht in Art. 19 ausdrücklich vor. Schon etwas kurios: Wie in der StPO stellt die Archivierung ein sog. Löschungssurrogat dar. Also: Ewige Aufbewahrung ersetzt die Löschung! Datenschutz 17

18 Benachrichtigung Speicherung bzw. Übermittlung ohne Kenntnis des Betroffenen; die Benachrichtigungspflicht wird durch die EU- DS-VO erheblich verschärft (Art. 14, 14a). Es gibt (im gewerblichen Bereich) eine ganze Reihe von Umständen, unter denen bisher die Benachrichtigungspflicht entfällt; dies bleibt im Prinzip so. Form: Auch wenn das Gesetz darüber nichts sagt, ist wegen Nr. 3 der Anlage zu 9 Abs. 1 BDSG eine zugriffssichere Form nötig, d.h. reicht nicht. Der Betroffene muss auch den Charakter der Benachrichtigung erkennen können. Die Benachrichtigung muss für den Betroffenen transparent sein. Der Betroffene ist auch über Datenschutzverletzungen zu unterrichten, 42a BDSG (Art. 31 EU-VO) Datenschutz 18

19 Auskunft 19ff., 34ff. Die speichernde Stelle muss auf Antrag hin dem Betroffenen Auskunft darüber geben, welche personenbezogenen Daten über ihn gespeichert sind und an wen die Daten gingen und warum dies erfolgt Nur unter ganz engen Umständen kann der Auskunftsantrag abgelehnt werden, 34 Abs. 1 S.4, Abs.3 S. 3 BDSG). In diesem Fall steht dem Betroffenen natürlich wie auch sonst das Recht zu, sich an den Bundesbeauftragten/das Landesamt für Datenschutzaufsicht zu wenden. Die EU-DS-VO sieht im Prinzip in Art. 15 eine identische Regelung vor keine wesentliche Änderung, abgesehen von der Information über die Dauer der Speicherung und der Verpflichtung zur Überlassung einer Kopie Datenschutz 19

20 Datenschutzbeauftragte Grundsätzlicher Unterschied: Bundes- ( 22ff. BDSG) bzw. Landesdatenschutzbeauftragte (Diktion der EU-VO: Aufsichtsbehörden) sind gewählt und fungieren als Aufsichtsinstanz Kontrollinstanz Beschwerdebehörde Betrieblicher Datenschutzbeauftragter ( 4f, g BDSG Art. 35). Er wird vom Betriebsleiter als innerbetriebliche Selbstkontrollinstanz bestimmt und zwar entweder als interner oder externer Der betriebliche Datenschutzbeauftragte kann den aufsichtsführenden anrufen und arbeitet ihm bei Bedarf zu. In allen Datenschutzbereichen gibt es beide Typen Datenschutz 20

21 Änderungen beim betrieblichen Datenschutzbeauftragten Behördliche und kirchliche Dienststellen brauchen wie bisher auch nach Art. 35ff. der EU-VO einen solchen. Gewerbebetriebe müssen nach 4f BDSG einen Datenschutzbeauftragten haben, wenn in ihnen mehr als 9 Personen mit der automatisierten Datenverarbeitung befasst sind. Nach der EU-VO gibt es eine derartige Verpflichtung nur noch, wenn in großem Umfang besondere personenbezogene Daten verarbeitet werden. Hier hat sich im Ergebnis die Wirtschaft durchgesetzt Datenschutz 21

22 Exkurs: Haftung des betrieblichen Datenschutzbeauftragten? Nach dem bisherigen und künftigen Recht wirkt der betriebliche Datenschutzbeauftragte auf die Einhaltung der KDO und anderer Vorschriften über den Datenschutz hin. Es kommt ihm also ganz ausdrücklich keine Garantenstellung zu. Aus dem Kommentar von Gola/Schomerus: Hat der DSB die ihm nach 4g BDSG obliegenden Aufgaben nicht oder nur unzulänglich erfüllt, werden jedoch sowohl die Ursächlichkeit wie auch die Vorwerfbarkeit sehr sorgfältig zu prüfen sein. Insoweit ist in der Tat relevant, dass der DSB jedenfalls von Gesetzes wegen keine Handhabe hat, seine Anregungen und Vorstellungen durchzusetzen und die primäre Verantwortung und auch die Letztentscheidung bei der Unternehmensleitung liegt. Selbst wenn der DSB also eine u. U. notwendige Maßnahme nicht getroffen hat oder trotz bestehender Hinweise auf Unregelmäßigkeiten Kontrollen nicht durchgeführt hat, so ist damit noch nicht gesagt, dass dadurch der Schaden mit Sicherheit vermieden worden wäre. Weder ist gesagt, ob die vorgeschlagene Maßnahme so von der Unternehmensleitung akzeptiert worden wäre, noch ob sie auch entsprechend angewendet worden wäre Datenschutz 22

23 Die Folgen von Datenschutzverstößen Strafrechtliche Konsequenzen: Einfache Verstöße gegen Datenschutzvorschriften sind Ordnungswidrigkeiten, 43 BDSG. Die EU-VO sieht eine Geldbuße bis 20 Mio. Euro vor, überlässt aber die weitere Ausgestaltung den Mitgliedsstaaten. Werden sie gegen Entgelt begangen, so stellen sie Straftaten dar, 44 BDSG. Darüber hinaus gibt es für bestimmte Berufsgruppen berufliche Schweigepflichten, deren Verletzung nach 203 StGB strafbar ist. Die Bundesrepublik (und die Kirchen) werden allerdings auf die Belangung von Dienststellen nach Art. 17 verzichten. Zivilrechtliche Konsequenzen Nach 7 BDSG besteht bisher eine Haftung für vermutetes Verschulden (EU-VO Gefährdungshaftung ohne Verschulden). Sonstige Schadensersatzansprüche, z.b. nach 823ff. BGB bleiben unberührt Datenschutz 23

24 Änderungen bei der Datenschutzaufsicht Hier ist der Änderungsumfang am größten. Die Datenschutzaufsicht (bisherige Bezeichnung der KDO: Diözesandatenschutzbeauftragter) ist künftig auch zuständig für die Einleitung eines Bußgeldverfahrens (noch fraglich) die Feststellung der Schadensersatzpflicht dem Grunde nach. Gegen die Entscheidung des DDB muss künftig ein (mindestens zweistufiger) Rechtsweg gegeben sein. Dafür ist ein Verfahren vor den Datenschutzkammern geplant Datenschutz 24

25 Und sonst? Die Wirtschaft hat Vorteile durch ein einheitliches Datenschutzniveau. Die Verbraucher werden künftig deutlich besser geschützt als bisher, auch weil ein Rückzug internationaler Unternehmen auf datenschutzarme Regionen abgeschnitten wird. Immerhin bringt die EU-DS-VO einer ganzen Reihe europäischer Staaten den Datenschutz erst einmal näher. Der Verzicht auf den betrieblichen Datenschutzbeauftragten im Gewerbe ist hinnehmbar. Nicht wirklich begeisternd ist, dass der Beschäftigtendatenschutz weiterhin nationales (Richter-) Recht bleibt Datenschutz 25

26 Weitere Themen Referentenbesprechung Rahmenvereinbarung für die Arbeitsgemeinschaft Notes Auftragsdatenverarbeitungsverträge - Erfahrungen und Vorgehensweisen in den bayerischen (Erz-)Diözesen bei der Umsetzung in die Praxis Datenschutz 26