Datenschutz. Nutzen oder Hemmschuh?

Transkript

1 Datenschutz Nutzen oder Hemmschuh? Impulsveranstaltung im Rahmen der Qualifizierungsoffensive Mittelhessen Weiterbildungsforum Europaviertel Gießen, 10. März 2006 Ilse Römer Datenschutz-Auditorin (TÜV)

2 Ilse Römer Datenschutzauditorin (TÜV) seit 1984 in der EDV tätig in 1990 fachlich geprüfte Datenschutzbeauftragte in 2004 Datenschutzauditorin (TÜV) Programmiererin, Systemanalytikerin, Unternehmensberaterin, EDV-Managerin, Datenschutzberaterin

3 Die häufigsten Mängel (festgestellt von den Aufsichtsbehörden) unvollständige oder fehlende Dokumentation der EDV völlig unzureichende oder keine Schulung der Mitarbeiter desolate Organisation von Benutzer- und Zugriffsrechten Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten nicht erfüllt oder keine sichtbare Tätigkeit desjenigen

4 Begriffserklärung Datenschutz Geschützt: Natürliche Personen (Kunden, Mitarbeiter) Datensicherheit Geschützt: Hard-, Software, Daten Gefahr: Verletzung von Persönlichkeitsrechten Gefahr: Verlust, Zerstörung, Missbrauch

5 Notwendigkeit Wussten Sie schon, dass die meisten Verstöße gegen den Datenschutz und die Datensicherheit durch Mitarbeiter verursacht werden? Vor- Vor- satz satz Fahrlässigkeit Unwissenheit Neugier

6 Notwendigkeit Fehler Auch bei bewährter Hard- und Software liegt die Fehlerwahrscheinlichkeit nie bei 0%. 0% Zeit

7 Notwendigkeit Daten können gefährdet werden durch äußere Einflüsse wie z. B. Feuer Wasser Vandalismus Diebstahl etc. Was passiert mit Ihrem Unternehmen, wenn...?

8 Gesetzliche Anforderungen für die Datensicherheit Datenschutzrecht ( 9 BDSG) Wirtschaftsverwaltungsrecht Interne Kontrollsysteme (IKS) - Steuerrecht - GoB - KonTraG - Sarbanes Oxley Act Basel II (dokumentierte Risikovorsorge) Strafgesetzbuch etc.

9 Gesetzliche Anforderungen für den Datenschutz Bundesdatenschutzgesetz (BDSG) Datenschutzgesetze der Bundesländer Betriebsverfassungsgesetz Bereichsspezifische Regelungen (z.b. EStG, SGB, Schulgesetze...) Teledienstedatenschutzgesetz Telekommunikationsgesetz

10 Gesetzliche Anforderungen - Persönlichkeitsrechte - Das Grundgesetz der BRD garantiert das Recht auf informationelle Selbstbestimmung d. h. jede natürliche Person soll selbst bestimmen können, was andere über sie erfahren sollen. Gilt nicht für juristische Personen!

11 Die 7 Säulen des Datenschutzes Datenschutz Zulässigkeit Zweckbindung/ Datensparsamkeit Transparenz Korrekturrechte Datensicherung Kontrolle (intern/extern) Sanktionen (Bußgelder bis 250T ) Datenschutzgesetze u. datenschutzrelevante Regelungen

12 Gesetzliche Anforderungen - Zulässigkeit - Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur zulässig, soweit - ein Gesetz oder - eine andere Rechtsvorschrift dies erlaubt oder anordnet oder - der Betroffene eingewilligt hat.

13 Gesetzliche Anforderungen - Zweckbindung Personenbezogene Daten dürfen grundsätzlich nur zu dem Zweck verarbeitet werden, für die sie erhoben beziehungsweise gespeichert worden sind. Es dürfen nur die Daten erhoben werden, die wirklich gebraucht werden.

14 Gesetzliche Anforderungen - Transparenz für den Betroffenen Aufklärung über - die verantwortliche Stelle - den Zweck der Datenerhebung - Folgen der Nichteinwilligung - mögliche weitere Datenempfänger für jedermann - öffentliches Verfahrensverzeichnis für Banken, Finanzamt - internes Verfahrensverzeichnis - Datensicherheitskonzept (= dokumentierte Risikovorsorge)

15 Gesetzliche Anforderungen - Rechte der Betroffenen Auskunft (jederzeit nur an den Betroffenen) Berichtigung (jederzeit nach Anforderung durch den B.) Sperrung (wenn Richtigkeit der Daten umstritten) Löschung (nach Wegfall des Geschäftszwecks oder Ablauf der gesetzlichen Aufbewahrungsfrist) Benachrichtigung (wenn Aufwand nicht unverhältnismäßig ist) Widerspruch Prüfung bei automatisierten Einzelentscheidungen

16 Gesetzliche Anforderungen - Datensicherung - 9 BDSG fordert technische und organisatorische Maßnahmen zur Kontrolle - des Zutritts - des Zugangs - des Zugriffs - der Weitergabe - der Eingabe - des Auftrags - der Verfügbarkeit mit angemessenem Aufwand

17 Gesetzliche Anforderungen - Kontrolle - Intern (Selbstkontrolle): evtl. Datenschutzbeauftragter (intern oder extern bestellt) Extern: Bundesbeauftragter für Datenschutz Landesbeauftragter für Datenschutz Aufsichtsbehörde (für privatrechtliche juristische Personen in Hessen: Regierungspräsidium Darmstadt)

18 Sanktionen _ Geldbußen nach 43 BDSG bis Anordnung von Maßnahmen zur Beseitigung der Mängel in der Datenverarbeitung nach 38 Abs. 5 S. 2 BDSG Schadensersatz nach 7 u. 8 BDSG

19 Sanktionen _ Beispiele: Grund unbefugte Verarbeitung Nichterteilung von Auskünften Kein DSB fehlender Hinweis auf Widerspruchsrecht fehlende Meldung von EDV- Verfahren an die Aufsichts-behörde Bußgelder

20 @ Internet und Private Nutzung Dulden oder erlauben Sie die private Internet- und -Nutzung in Ihrem Unternehmen? Ja: Ihr Unternehmen wird gemäß TDDSG zum Telediensteanbieter Nein: Keine Anwendung des TDDSG in Ihrem Unternehmen Aber immer: Berücksichtigung des TKG (Wahrung des Fernmeldegeheimnisses nach Artikel 10 des GG)

21 @ Internet und TDDSG Wichtige Regelungen im Teledienstedatenschutzgesetz: Nutzungsdaten sind frühestmöglich zu löschen Nutzungsdaten dürfen nicht ausgewertet werden die inhaltliche Kontrolle des verkehrs ist grundsätzlich nicht zulässig (d.h. auch Spam-Filter dürfen nicht angewendet werden) bei Ordnungswidrigkeit Geldbußen bis Ilse Römer 2005

22 Praktische Umsetzung Voraussetzung Die Unternehmensleitung will ein Datenschutzkonzept kein Datenmüll wissende Mitarbeiter ein seriöses Unternehmensimage

23 Praktische Umsetzung Schritt für Schritt Der Aufbau und die Pflege einer Datenschutzorganisation erfolgt in folgenden Schritten: 1. (Bestellung eines Datenschutzbeauftragten) 2. Bestandsaufnahme 3. Entwicklung/Umsetzung und Pflege des Datenschutzkonzepts

24 Praktische Umsetzung Der Datenschutzbeauftragte Voraussetzungen - Nachweis der Fachkunde - schriftliche Bestellung Aufgaben: - Beratung der Geschäftsführung - Schulung der Mitarbeiter - Kontrolle der Datenschutzorganisation - Erstellung des öffentlichen Verfahrensverzeichnises - etc. Stellung im Unternehmen: - Stabsfunktion - weisungsfrei - darf keine Ilse Römer Weisung 2005 erteilen

25 Praktische Umsetzung Datenschutzbestandsaufnahme Ziel: Transparenz Vorgehensweise: - Aufnahme der aktuellen Situation - Soll-Ist-Vergleich - Erfassung der (noch) notwendigen Maßnahmen zur Gewährleistung der Datensicherheit und des Datenschutzes

26 Praktische Umsetzung Datenschutzkonzept Folgende Bereiche sind zu betrachten: Infrastruktur Organisation Personal Hardware/Software Kommunikation Notfallvorsorge

27 Praktische Umsetzung Datenschutzkonzept - Entwicklung - Anzuwendende Standards und Normen festlegen Verantwortlichkeiten festlegen Maßnahmen in Arbeitsanweisungen und betriebsinternen Richtlinien festlegen Betriebsrat einbeziehen (Maßnahmen bzgl. Personaldaten)

28 Praktische Umsetzung Datenschutzkonzept - Umsetzung - Mitarbeiter schulen Dokumente u. Verträge datenschutzkonform gestalten technische Maßnahmen einführen/ anpassen organisatorische Maßnahmen einführen/anpassen

29 Praktische Umsetzung Datenschutzkonzept - Pflege - Ein Datenschutzkonzept muss leben! Anpassung an aktuelle gesetzliche und betriebliche Gegebenheiten Dies ist eine Aufgabe des Datenschutzbeauftragten

30 Praktische Umsetzung Datenschutzorganisation Bestandsaufnahme Konzeptentwicklung praktische Umsetzung Prüfung u. Kontrolle

31 Aufwand und Kosten Phasen 1. Datenschutzbestandsaufnahme Aufwand: einmalig Umfang: ca. 4-6 Arbeitstag 2. Initiierung des Datenschutzes Aufwand: einmalig Umfang:... (nächste Folie) 3. Pflege des Datenschutzkonzeptes durch den Datenschutzbeauftragten Aufwand: permanent Umfang: mindestens 1 Tag/Monat (abhängig von der Unternehmensgröße)

32 Aufwand und Kosten Faktoren Der Aufwand hängt ab von der: Geschäftsführung (Unterstützung) aktuellen Datenschutzsituation Anzahl Mitarbeiter Anzahl Stellen, mit denen Daten ausgetauscht werden Konzeption der EDV-Umgebung

33 Vorteile Vertraulichkeit vertrauliche Informationen verlassen nur kontrolliert das Unternehmen Integrität Datenverfälschungen werden vermieden Verfügbarkeit Verfügbarkeitsblockaden werden vermieden Prüfbarkeit die Daten sind revisionssicher

34 Nutzen Rechtssicherheit durch eine rechtlich zulässige Verarbeitung personenbezogener Daten Datensicherheit aller Daten durch die richtigen organisatorischen und technischen Maßnahmen Transparenz u. Klarheit für die Unternehmensleitung, die Mitarbeiter und die Geschäftspartner Kostenreduzierung durch effektivere Arbeitsabläufe Imagegewinn durch Vertrauen in das Unternehmen

35 Vielen Dank für Ihre Aufmerksamkeit Datenschutz darf kein Hemmschuh sein! Als Spezialistin für Datenschutz beantworte ich gerne Ihre Fragen. Sprechen Sie mich einfach an! Ilse Römer, Datenschutz-Auditorin (TÜV) Königsteiner Str. 19, Steinbach/Taunus Tel: ( )