Chancen (und Risiken) des Datenschutzes für Unternehmen

Transkript

1 Chancen (und Risiken) des Datenschutzes für Unternehmen Dr. Lutz Hasse Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit 1

2 Aktuelle Situation in Thüringen 2

3 Wer ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit? Er kontrolliert die Einhaltung datenschutzrechtlicher Vorschriften bei allen öffentlichen Stellen Seit : Aufsichtsbehörde nach 38 Abs. 1 BDSG Kontrolle der datenschutzrechtlicher Vorschriften bei allen nichtöffentlichen Stellen zuständige Behörde für die Verfolgung von Ordnungswidrigkeiten nach 42 BDSG 3

4 Dienstsitz in Erfurt im Thüringer Landtag, 4. und 5. Etage des Verwaltungshochhauses 4

5 TLfDI Herr Dr. Lutz Hasse Jürgen-Fuchs-Straße Erfurt Tel: Geschäftszimmer Frau Rühlemann Tel: Fax: Referat 1 Informationsfreiheit, Grundsatzfragen, Europa, Personaldatenschutz, Justiz, Polizei, Auskunfteien, Schufa, Adresshandel, Rechtsanwälte Referat 2 Kommunen, Gesundheit und Soziales, Finanzen, Industrie und Handwerk, Handel, Dienstleistungsunternehmen, Versicherungswesen Referatsleiterin: Frau Pöllmann Tel: Referat 3 Techn. und org. Datenschutz, Grundsatzfragen der IuK, IT-Konzepte, egovernment, Medien/ Telekommunikation 5

6 Gesetzliche Rahmenbedingungen 6

7 Wann ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit im nicht-öffentlichen Bereich zuständig? Wenn nicht-öffentliche Stellen in Thüringen Daten unter Einsatz von Datenverarbeitungsanlagen verarbeiten, nutzen oder dafür erheben oder die Daten in oder aus nicht automatisierten Dateien verarbeiten, nutzen oder dafür erheben, es sei denn, die Erhebung, Verarbeitung oder Nutzung der Daten erfolgt ausschließlich für persönliche oder familiäre Tätigkeiten, 1 Abs. 2 Nr. 3 BDSG. Damit besteht für den wirtschaftlichen Bereich nahezu immer eine Zuständigkeit. 7

8 Welche Anforderungen stell das Bundesdatenschutzgesetzes (BDSG) an den betrieblichen Datenschutz? Grundsatz der Datenvermeidung und Datensparsamkeit, 3a BDSG Datenerhebung, -verarbeitung und nutzung nur zulässig, wenn eine gesetzliche Regelung sie erlaubt, 4 BDSG Wahrung der Betroffenenrechte auf Auskunft ( 34 BDSG), Berichtigung, Löschung oder Sperrung ( 35 BDSG) 8

9 Wann ist die Bestellung eines betrieblichen Datenschutzbeauftragten (bdsb) erforderlich? Unabhängig von der Zahl der Beschäftigten: eine automatisierte Verarbeitung unterliegt der Vorabkontrolle personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeitet werden, 4f Abs. 1 Satz 4 BDSG. 9

10 Wann ist eine Vorabkontrolle notwendig? 4d Abs. 5 BDSG: Vorabkontrolle ist erforderlich, wenn automatisierte Verarbeitungen besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweisen. Dies ist immer bei einer Videoüberwachung der Fall. Sofern ein Unternehmen Videoaufzeichnungen macht ist immer ein bdsb erforderlich! Ansonsten insbesondere, wenn besondere Arten personenbezogener Daten ( 3 Abs. 9) verarbeitet werden oder die Verarbeitung personenbezogener Daten dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens, es sei denn, dass eine gesetzliche Verpflichtung oder eine Einwilligung des Betroffenen vorliegt oder die Erhebung, Verarbeitung oder Nutzung für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist. 10

11 Wann ist die Bestellung eines betrieblichen Datenschutzbeauftragten (bdsb) erforderlich? Abhängig von der Zahl der Beschäftigten, wenn in der Regel mehr als neun Personen ständig mit der automatisierten Verarbeitung ( 3 Abs. 2) personenbezogener Daten ( 3 Abs. 1) beschäftigt sind, 4f Abs. 1 Satz 3 BDSG, oder personenbezogenen Daten auf andere Weise durch in der Regel mindestens 20 Personen verarbeitet werden 11

12 Was ist, wenn kein bdsb zu bestellen ist? Der Leiter des Betriebs hat sicherzustellen, dass die datenschutzrechtlichen Bestimmungen eingehalten werden, 4g Abs. 2a BDSG. 12

13 Welche Anforderungen muss der bdsb erfüllen? Fachkunde und Zuverlässigkeit Das Maß der erforderlichen Fachkunde bestimmt sich insbesondere nach dem Umfang der Datenverarbeitung der verantwortlichen Stelle und dem Schutzbedarf der personenbezogenen Daten. Zum Beauftragten für den Datenschutz kann auch eine Person außerhalb der verantwortlichen Stelle bestellt werden. 13

14 Welche Stellung hat der bdsb? dem Leiter des Unternehmens unmittelbar unterstellt in Ausübung seiner Fachkunde auf dem Gebiet des Datenschutzes weisungsfrei zur Verschwiegenheit verpflichtet darf wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden Bestellung kann widerrufen werden, wenn die Voraussetzungen für eine fristlose Kündigung vorliegen Teilnahme an Fort- und Weiterbildungsveranstaltungen ist zu ermöglichen und Kosten sind zu übernehmen Unterstützung bei der Erfüllung seiner Aufgaben, soweit erforderlich, Hilfspersonal sowie Räume, Einrichtungen, Geräte und Mittel zur Verfügung stellen Betroffene können sich jederzeit an den Beauftragten für den Datenschutz wenden 14

15 Welche Aufgaben hat der bdsb? Er kann sich in Zweifelsfällen an den Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit wenden (Beratung nach 38 Abs. 1 Satz 2 BDSG). Er hat die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen; zu diesem Zweck ist er über Vorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu unterrichten. 15

16 Unter welchen Voraussetzungen darf ein Unternehmen Daten verarbeiten? Regelungen finden sich in den 27 ff. BDSG Häufigster Fall: für eigene Geschäftszwecke ( 28 BDSG) für Zwecke des Beschäftigtenverhältnisses ( 32 BDSG) für andere Zwecke nur sehr eingeschränkt ( 28 Abs. 2 bis 9 BDSG) 16

17 Welche Aufgaben und Befugnisse hat die Aufsichtsbehörde der TLfDI nach 38 BDSG? Kontrolle der ordnungsgemäßen automatisierten Verarbeitung personenbezogener Daten und der Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien, Absatz 1 Pflicht zur Auskunftserteilung; Auskunftsverweigerungsrecht bei Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeiten, Absatz 3 Befugnis, während der Betriebs- und Geschäftszeiten Grundstücke und Geschäftsräume der Stelle zu betreten und dort Prüfungen und Besichtigungen vorzunehmen, Einsichtsrecht in geschäftliche Unterlagen, Absatz 4 17

18 Welche Aufgaben und Befugnisse hat die Aufsichtsbehörde der TLfDI nach 38 BDSG? Möglichkeit der Anordnung von Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel, Absatz 5 Satz 1 Bei schwerwiegenden Verstößen oder Mängeln Untersagung der Erhebung, Verarbeitung oder Nutzung oder den Einsatz einzelner Verfahren, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden, Absatz 5 Satz 2 Forderung der Abberufung des Beauftragten für den Datenschutz, wenn er die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit nicht besitzt, Absatz 5 Satz 3 18

19 Welche Aufgaben und Befugnisse hat die Aufsichtsbehörde der TLfDI nach 38 BDSG? Anordnungen nach 38 BDSG können im Wege der Verwaltungsvollstreckung durchgesetzt werden; das bedeutet die Androhung und Festsetzung von Zwangsgeld oder die Ersatzvornahme sind möglich 19

20 Ordnungswidrigkeiten Die verschiedenen Ordnungswidrigkeitentatbestände finden sich in 43 BDSG. Die Geldbuße beträgt im Fall des Absatzes 1 bis zu , im Fall des Absatzes 2 bis zu Eine in 43 Abs. 2 BDSG bezeichnete vorsätzliche Handlung gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, ist eine Straftat, die nach 44 Abs. 2 BDSG nur auf Antrag verfolgt wird. Antragsberechtigt sind der Betroffene, die verantwortliche Stelle, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und die Aufsichtsbehörde. 20

21 Entwicklungen und Trends 21

22 1. Schaffung eines Rechtsrahmens auf europäischer Ebene - Datenschutzgrundverordnung Gilt unmittelbar für alle Stellen innerhalb der europäischen Union Teilweise ähnliche Regelungen wie im deutschen Datenschutzrecht: Verbot mit Erlaubnisvorbehalt Betroffenenrechte Geringere Anforderungen im Hinblick auf den bdsb erst ab 250 Mitarbeiter Einführung von datenschutzspezifischen Zertifizierungsverfahren Regelung des internationalen Datenverkehrs Aufsichtsbehörde hat weite Befugnisse 22

23 2. Maßnahmen durch den TLfDI Kontaktaufnahme mit Interessenvertretungen und Verbänden Initiative zur Information der Wirtschaft über datenschutzrechtliche Anforderungen Vorträge Veröffentlichungen (Flyer, Broschüre, Homepage) Einführung eines Datenschutzblogs Durchführung von anlassabhängigen Kontrollen auf Beschwerden hin Besuch in repräsentativen Wirtschaftsunternehmen um spezifische Probleme kennen zu lernen Perspektivisch anlassunabhängige Kontrollen in bestimmten Branchen 23

24 Haben Sie noch Fragen? Tel.-Nr.: Fax: