Auch in kleineren Unternehmen ist der Datenschutzbeauftragte Pflicht

Transkript

1 . Auch in kleineren Unternehmen ist der Datenschutzbeauftragte Pflicht Themenschwerpunkt 1. Wer braucht einen Datenschutzbeauftragter? Unternehmen, die personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, haben nach 4 f Bundesdatenschutzgesetz einen Beauftragten für den Datenschutz zu bestellen. Das Gesetz fasst dabei den Begriff der Erhebung, Verarbeitung oder Speicherung personenbezogener Daten sehr weit. Schon wer computergestützt Rechnungen oder Briefe schreibt oder Adressen, Telefonnummern oder Aufträge in den Computer eingibt, verwaltet, speichert oder verarbeitet, hantiert mit personenbezogenen Daten. Damit ist praktisch jedes Unternehmen betroffen. Ausgenommen von der Verpflichtung, einen Datenschutzbeauftragten zu ernennen, hat der Gesetzgeber lediglich Kleinstbetriebe, in denen weniger als fünf Mitarbeiter mit personenbezogenen Daten arbeiten. Wird im Betrieb keine EDV eingesetzt, liegt die Grenze bei zwanzig Personen. Teilzeitkräfte, Auszubildende und Leiharbeiter zählen dabei als vollwertige Mitarbeiter. Der Datenschutzbeauftragte ist auch zuständig für die Durchführung einer Vorabkontrolle bei automatisierten Verarbeitungen, die besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen, 4d Abs. 5 Bundesdatenschutzgesetz (BDSG). Die Vorabkontrolle ist nach dem Gesetz insbesondere durchzuführen, wenn besondere Arten personenbezogener Daten (Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit- oder Sexualleben) verarbeitet werden oder die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens zu bewerten. Die Vorabkontrolle ist nicht erforderlich, wenn für die Datenverarbeitung eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder sie der Zweckbestimmung eines Vertragsverhältnisses oder vertragsähnlichen Vertrauensverhältnisses mit dem Betroffenen dient. Bei der Verarbeitung sensibler Daten sollte daher im Zweifelsfall ein Datenschutzbeauftragter im Unternehmen vorhanden sein. Auf jeden Fall sollte der zuständige regionale Datenschutzbeauftragte oder ein spezialisierter Anwalt konsultiert werden, um zu überprüfen, ob ein Datenschutzbeauftragter nötig ist. Auch Unternehmen, die personenbezogene Daten sammeln, um diese an andere Organisationen oder Personen übermitteln, benötigen schon bei weniger als fünf Mitarbeitern einen Datenschutzbeauftragten. Dies unabhängig davon, ob diese Daten anonymisiert übermittelt werden oder nicht. 1

2 2. Die Aufgaben eines Datenschutzbeauftragten Die Aufgaben des Datenschutzbeauftragten lassen sich in zwei miteinander verbundene Kategorien einteilen: Schutz der Daten im Unternehmen und Transparenz der Datenverarbeitung. Zu den Aufgaben des Beauftragten für den Datenschutz gehören insbesondere: die Schulung der Mitarbeiter, die personenbezogene Daten verarbeiten, über die Erfordernisse des Datenschutzes; die Überwachung der ordnungsgemäßen Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden. Hierbei hat der Datenschutzbeauftragte technische und organisatorische Kontrollmaßnahmen einzurichten, z. B. Protokollierung der entsprechenden Arbeitschritte durch geeignete Programme. Der Datenschutzbeauftragte ist über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten, um Maßnahmen zur Vorabkontrolle durchführen zu können; die Beratung über technische und organisatorische Maßnahmen zu Datenschutz und Sicherheit; die Koordinierung und Überwachung der Maßnahmen für Datenschutz und Datensicherung, soweit diese ihre Grundlage im BDSG haben; die Funktion als Ansprechpartner für Betroffene innerhalb und gegebenenfalls außerhalb des Unternehmens für Fragen des Datenschutzes; die Vertretung und Beratung des Unternehmens in Fragen des Datenschutzes; die sachgerechte Durchführung der Vorabkontrolle, d. h. der Datenschutzbeauftragte muss prüfen, ob durch die Datenerhebung und verarbeitung die Rechte und Freiheiten der Betroffenen gemäß 4d, Abs. 5 BDSG berührt werden; die Verpflichtung der Mitarbeiter, die personenbezogene Daten verarbeiten, auf das Datengeheimnis nach 5 BDSG, das es den Mitarbeitern verbietet, Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen; die Mitwirkung bei der Beantwortung von Auskunftsersuchen von Betroffenen in datenschutzrechtlichen Angelegenheiten sowie bei der Benachrichtigung des Betroffenen im Falle der Datenerhebung; 2

3 die Wahrung des Grundsatzes der Datenvermeidung und Datensparsamkeit im Betrieb. Die Datenerhebung, -speicherung, -nutzung und -verarbeitung haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen oder solche Daten, sofern sie nicht mehr gebraucht werden, unverzüglich zu löschen. Dies beinhaltet entsprechende Maßnahmen zur Anonymisierung der erhobenen Daten, z. B. indem online erhobene Daten nicht zusammen mit der Mail- oder IP- Adresse der erfassten Person gespeichert werden. Mit der Aufgabe des Datenschutzbeauftragten sind auch besondere Rechte verbunden: Initiativ- und Einspruchsrecht gegen Vorhaben, die dem Datenschutz widersprechen, verbunden mit einem direkten Kontrollrecht in allen Bereichen des Unternehmens zur Wahrnehmung seiner Aufgaben; Einsichtsrecht in datenschutzrelevante Unterlagen; soweit zur Aufgabenerfüllung erforderlich, sind dem Datenschutzbeauftragten Hilfspersonal, Räume, Einrichtungen, Geräte und Mittel zur Verfügung zu stellen; Weisungsfreiheit bei der Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes. (Im Unterschied dazu hat der Datenschutzbeauftragte aber grundsätzlich keine Weisungsbefugnis gegenüber anderen Stellen des Unternehmens bei Verstößen gegen Datenschutzvorschriften). Damit der Datenschutzbeauftragte seine Arbeit wahrnehmen kann, müssen die Verantwortlichen Stellen dem Datenschutzbeauftragten die notwendigen Angaben machen, z. B. durch die Bereitstellung des Verzeichnisses der Verarbeitungen nach 4g Abs. 2 BDSG. Den notwendigen Inhalt dieses Verzeichnisses beschreibt 4 e BDSG. Es umfasst unter anderem: Name oder Firma des datenerhebenden Unternehmens, sei es ein externer Dienstleister oder eine Abteilung innerhalb des eigenen Unternehmens; Inhaber, Vorstände, Geschäftsführer oder sonstige gesetzliche oder nach der Verfassung des Unternehmens berufene Leiter und die mit der Leitung der Datenverarbeitung beauftragten Personen; gegebenenfalls Anschrift des verantwortlichen Unternehmens; Zweckbestimmungen der Datenerhebung, -verarbeitung oder - nutzung; eine Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien; 3

4 Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können; Regelfristen für die Löschung der Daten; eine eventuell geplante Datenübermittlung in Drittstaaten; eine allgemeine Beschreibung, die es ermöglicht, vorläufig zu beurteilen, ob die Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung angemessen sind. 3. Wer kann Datenschutzbeauftragter werden? Zum Beauftragten für den Datenschutz kann jeder ernannt werden, der die entsprechende Sach- und Rechtskunde besitzt. Er untersteht dabei direkt der Geschäftsleitung, ist aber fachlich weisungsfrei und darf wegen seiner Tätigkeit nicht benachteiligt werden, so das Gesetz. Die Frist für die Bestellung eines Datenschutzbeauftragten beträgt einen Monat ab Aufnahme der Tätigkeit. Er muss über die folgenden Fähigkeiten verfügen, um seine Aufgabe erfüllen zu können: Rechtliche Kenntnisse: Der Datenschutzbeauftragte muss die Regelungen des BDSG, aber auch andere datenschutzrechtliche Regelungen kennen, da er sie anwenden und auslegen muss; Technische Kenntnisse: Der Datenschutzbeauftragte muss die Begriffe der Informationsverarbeitung kennen und mit ihnen umgehen können. Für erforderliche technische Maßnahmen, die in einem Betrieb zu treffen sind, kann er sich einen Spezialisten als Berater heranziehen; Organisatorische Kenntnisse: Der Datenschutzbeauftragte muss mit dem Ablauf der Arbeitsvorgänge im Unternehmen vertraut sein, um datenschutzrechtliche Probleme frühzeitig zu erkennen und geeignete Maßnahmen vorschlagen zu können; Pädagogische, didaktische und kommunikative Fähigkeiten: Der Datenschutzbeauftragte muss geeignet sein, den Mitarbeitern datenschutzrechtliche Regelungen vermitteln zu können; Organisatorische Fähigkeiten: Der Datenschutzbeauftragte muss Vorschläge für Maßnahmen erarbeiten können, die zum einen dem Datenschutz genügen, aber auch den Interessen des Unternehmens gerecht werden. 4

5 Das Gesetz sieht auch die Möglichkeit vor, die Stelle des Datenschutzbeauftragten an einen externen Berater zu vergeben. Um seine Unabhängigkeit zu sichern, ist der Widerruf seiner Bestellung sowie die Kündigung seines Arbeitsvertrages nur unter besonderen Umständen möglich. Hier sollte rechtzeitig sachkundiger Rat eingeholt werden. 4. Strafen bei Zuwiderhandlung: Wer trotz entsprechender Verpflichtung keinen Beauftragten für den Datenschutz ernennt, handelt ordnungswidrig und kann mit einem Bußgeld bis zu ,00 Euro belegt werden. Stand: September 2004 Autoren: Rechtsanwalt Dr. Klostermann (Zwickau) in Zusammenarbeit mit Sebastian David Schwarz (ecomm Berlin). Haftungsausschluss Dieses Dokument dient ausschließlich zu Informationszwecken. Alle Informationen und Daten in diesem Dokument stammen aus Quellen, die der Herausgeber zum Zeitpunkt der Erstellung dieses Dokuments für zuverlässig hält. Trotzdem kann keine Gewähr für deren Richtigkeit, Genauigkeit, Vollständigkeit und Angemessenheit übernommen werden - weder ausdrücklich noch stillschweigend. 5