Datenschutzrechtliche Probleme beim Outsourcing Inaugural-Dissertation

Transkript

1 Datenschutzrechtliche Probleme beim Outsourcing Inaugural-Dissertation zur Erlangung des akademischen Grades eines Doktors der Rechte durch die Rechtswissenschaftliche Fakultät der Westfälischen Wilhelms-Universität zu Münster vorgelegt von: aus: Astrid Wagner Münster 2009

2 Erster Berichterstatter: Prof. Dr. Thomas Hoeren Zweiter Berichterstatter: Prof. Dr. Hansjürgen Garstka Dekan: Prof. Dr. Heinz-Dietrich Steinmeyer Tag der mündlichen Prüfung: 5. Mai 2009

3 Berichte aus der Rechtswissenschaft Astrid Wagner Datenschutzrechtliche Probleme beim Outsourcing D 6 (Diss. Universität Münster (Westfalen)) Shaker Verlag Aachen 2009

4 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. Zugl.: Münster (Westfalen), Univ., Diss., 2009 Copyright Shaker Verlag 2009 Alle Rechte, auch das des auszugsweisen Nachdruckes, der auszugsweisen oder vollständigen Wiedergabe, der Speicherung in Datenverarbeitungsanlagen und der Übersetzung, vorbehalten. Printed in Germany. ISBN ISSN X Shaker Verlag GmbH Postfach Aachen Telefon: / Telefax: / Internet: info@shaker.de

5 Vorwort Besonders danken möchte ich meinen Eltern Gabriele und Karl Heinz Kersting und meinem Mann Thankmar für ihre Unterstützung bei der Erstellung dieser Arbeit. Herrn Prof. Dr. Hoeren danke ich für die Betreuung dieser Arbeit. Herrn Prof. Dr. Garstka danke ich für die Erstellung des Zweitgutachtens im Promotionsverfahren. Für die Veröffentlichung wurden Literatur und Rechtsprechung bis einschließlich August 2007 berücksichtigt.

6

7 Inhaltsübersicht Literaturverzeichnis...vi 1. Kapitel: Einleitung Kapitel: Outsourcing und Datenschutz Begriff und Bedeutung des Outsourcings von Datenverarbeitung Beispiele für Formen des DV- Outsourcings Geschichte und Begriff des Datenschutzrechts Kapitel: Grundlegende Regelungen zum Outsourcing Anwendungsbereich Personenbezogene Daten ( 3 Abs. 1 BDSG) Besondere Arten personenbezogener Daten gem. 3 Abs. 9 BDSG Betroffener, verantwortliche Stelle und Dritter Datenschutzrelevante Handlungen: Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten Verbot mit Erlaubnisvorbehalt ( 4 Abs. 1 BDSG) Grundsatz der Verhältnismäßigkeit Grundsatz der Datenvermeidung und Datensparsamkeit Grundsatz der Zweckbindung Rechte des Betroffenen Kapitel: Auftragsdatenverarbeitung und Funktionsübertragung Auftragsdatenverarbeitung ( 11 BDSG) Funktionsübertragung Online-Verbindungen ( 10 BDSG) Kapitel: Outsourcing im Konzern Kapitel: Outsourcing in der öffentlichen Verwaltung Vereinbarkeit des Outsourcings mit Art. 33 Abs. 4 GG Gesetzliche Regelungen Kapitel: Geheimhaltungspflichten und Outsourcing Vorschrift des 203 StGB Konsequenzen für die Vertragsgestaltung zwischen Outsourcinggeber und -nehmer Bedeutung von Geheimhaltungspflichten beim Outsourcing Kapitel: Outsourcing ins Ausland Europäisches Ausland 4 b Abs. 1 BDSG Nicht-europäisches Ausland Kapitel: Schlussbemerkung i

8 Inhaltsverzeichnis Literaturverzeichnis...vi 1. Kapitel: Einleitung Kapitel: Outsourcing und Datenschutz Begriff und Bedeutung des Outsourcings von Datenverarbeitung Beispiele für Formen des DV- Outsourcings Geschichte und Begriff des Datenschutzrechts Kapitel: Grundlegende Regelungen zum Outsourcing Anwendungsbereich Personenbezogene Daten ( 3 Abs. 1 BDSG) Besondere Arten personenbezogener Daten gem. 3 Abs. 9 BDSG Betroffener, verantwortliche Stelle und Dritter Datenschutzrelevante Handlungen: Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten Verbot mit Erlaubnisvorbehalt ( 4 Abs. 1 BDSG) Grundsatz der Verhältnismäßigkeit Grundsatz der Datenvermeidung und Datensparsamkeit Grundsatz der Zweckbindung Rechte des Betroffenen Kapitel: Auftragsdatenverarbeitung und Funktionsübertragung Auftragsdatenverarbeitung ( 11 BDSG)...40 (a) Wesen der Auftragsdatenverarbeitung (aa) Theorie der Funktionsübertragung...43 (bb) Vertragstheorie (cc) Stellungnahme (b) Anforderungen im Rahmen der Auftragsdatenverarbeitung nach dem BDSG...57 (aa) Pflichten des Auftragnehmers...57 (i) 11 Abs. 3 S. 1 BDSG Weisungsbindung (ii) 11 Abs. 3 S. 2 BDSG Hinweispflicht bei Rechtsverstößen (iii) 11 Abs. 4 i.v.m. 5 BDSG Verpflichtung der Mitarbeiter auf das Datengeheimnis (iv) 9 BDSG Datensicherungspflichten (v) 4 d BDSG Meldepflicht (vi) 4 f BDSG Bestellung eines Datenschutzbeauftragten (bb) Pflichten des Auftraggebers...75 (i) 11 Abs. 1 S. 1, 2 BDSG Verantwortlichkeit für die Rechtmäßigkeit und gegenüber dem Betroffenen (ii) 11 Abs. 1 S. 1 BDSG Auswahl des Auftragnehmers (iii) 11 Abs. 2 S. 4 BDSG Überwachung des Auftragnehmers (iv) 4 d BDSG Meldepflicht ii

9 (v) 4 f BDSG Bestellung eines Datenschutzbeauftragten (vi) 5 BDSG Verpflichtung der Mitarbeiter auf das Datengeheimnis (vii) 9 BDSG Treffen der erforderlichen technischen und organisatorischen Maßnahmen (viii) 4 Abs. 2 S. 1 Nr. 3 BDSG Hinweispflicht gegenüber Betroffenem (c) Konsequenzen für die Vertragsgestaltung zwischen Outsourcinggeber und - nehmer (aa) Form des Vertrags...81 (bb) Inhalt des Vertrags...84 (i) Umfang der Datenerhebung, -verarbeitung und -nutzung (ii) Technische und organisatorische Maßnahmen (iii) Unterauftragsverhältnisse (iv) Weitere sinnvolle Regelungen (d) Wartung und Fernwartung ( 11 Abs. 5 BDSG) Funktionsübertragung...87 (a) Wesen der Funktionsübertragung (b) Voraussetzungen der Funktionsübertragung nach dem BDSG (aa) Gesetzliche Gestattung gemäß 28 BDSG (i) 28 Abs. 1 S. 1 Nr. 1 BDSG (ii) 28 Abs. 1 S. 1 Nr. 2 BDSG (iii) 28 Abs. 1 S. 1 Nr. 3 BDSG (bb) Sonderfall: Besondere Daten gemäß 3 Abs. 9 BDSG (cc) Einwilligung des Betroffenen ( 4 a BDSG) (i) Freiwilligkeit (ii) Schriftform (iii) Hinweispflichten (c) Pflichten des Outsourcingnehmers und Outsourcinggebers (d) Konsequenzen für die Vertragsgestaltung zwischen Outsourcinggeber und Outsourcingnehmer (e) Typische Outsourcingangebote Online-Verbindungen ( 10 BDSG) (a) Verhältnis zur Auftragsdatenverarbeitung (b) Verhältnis zur Funktionsübertragung (c) Voraussetzungen für das Outsourcing unter Nutzung von Online-Verbindungen Kapitel: Outsourcing im Konzern Kapitel: Outsourcing in der öffentlichen Verwaltung Vereinbarkeit des Outsourcings mit Art. 33 Abs. 4 GG (a) Hoheitliches Handeln Funktionsvorbehalt (b) Nicht hoheitliches Handeln Gesetzliche Regelungen (a) BDSG iii

10 (b) Landesdatenschutzgesetze (c) Ausgewählte bereichsspezifische Regelungen (aa) Outsourcing von Sozialdaten ( 80 Abs. 5 SGB X) (bb) Outsourcing von Patientendaten (Landeskrankenhausgesetze) (i) Schleswig-Holstein, Sachsen-Anhalt, Bayern, Berlin und Hessen (ii) Nordrhein-Westfalen, Mecklenburg-Vorpommern, Saarland, Thüringen und Brandenburg (iii) Bremen, Hamburg, Sachsen und Rheinland-Pfalz (cc) Outsourcingverbote Kapitel: Geheimhaltungspflichten und Outsourcing Vorschrift des 203 StGB (a) Tatobjekt (aa) Tatsache (bb) Beschränkter Personenkreis (cc) Geheimhaltungswille (dd) Geheimhaltungsinteresse (b) Tathandlung (aa) "Offenbaren" im Rahmen einer Auftragsdatenverarbeitung (bb) Outsourcingnehmer als berufsmäßig tätiger Gehilfe (c) Subjektiver Tatbestand (d) Rechtswidrigkeit (aa) Rechtfertigender Notstand ( 34 StGB) (bb) Einwilligung (i) Einwilligungsfähigkeit (ii) Form der Einwilligung (cc) Mutmaßliche Einwilligung (dd) Wahrnehmung berechtigter Interessen (e) Gesetzliche Offenbarungspflichten (f) Qualifikation ( 203 Abs. 5 StGB) (g) Konkurrenzen Konsequenzen für die Vertragsgestaltung zwischen Outsourcinggeber und -nehmer Bedeutung von Geheimhaltungspflichten beim Outsourcing (a) Die Regelung des 1 Abs. 3 S. 2 BDSG (b) Berufsgeheimnisse am Beispiel der anwaltlichen Schweigepflicht (c) Bankgeheimnis Kapitel: Outsourcing ins Ausland Europäisches Ausland 4 b Abs. 1 BDSG (a) Auftragsdatenverarbeitung (b) Funktionsübertragung Nicht-europäisches Ausland (a) Angemessenes Schutzniveau gem. 4 b Abs. 2 BDSG iv

11 (b) Datenübermittlung in Drittstaaten ohne angemessenes Schutzniveau (aa) Datenübermittlung zur Erfüllung eines Vertrages gem. 4 c Abs. 1 Nr. 2 BDSG (bb) Einwilligung gem. 4 c Abs. 1 Satz 2 Nr. 1 BDSG (i) "In Kenntnis der Sachlage" (ii) "Ohne Zwang" und "im konkreten Fall ohne jeden Zweifel" (cc) Vertragslösung gem. 4 c Abs. 2 BDSG (i) Vertragsklauseln (ii) Standardvertragsklauseln (dd) Verbindliche Unternehmensregelungen (Code of Conduct) gem. 4 c Abs. 2 BDSG (c) Sonderfall: Outsourcing in die USA Safe Harbor Principles (aa) Inhalt der Safe Harbor Privacy Principles und der FAQ (bb) Durchsetzungsmechanismen (FAQ 7 und 11) (cc) Besonderheiten bei der Übermittlung von Personaldaten (FAQ 9) (dd) Auftragsdatenverarbeitung in die USA (FAQ 10) (ee) Stellungnahme zu den Safe Harbor Principles Kapitel: Schlussbemerkung v