Datenschutz im Unternehmen. Was muss der Unternehmer wissen?

Transkript

1 Was muss der Unternehmer wissen?

2 Was ist Datenschutz nach BDSG? Basis: Recht auf informelle Selbstbestimmung Jeder Mensch kann selbst entscheiden, wem wann welche personenbezogene Daten zugänglich sein sollen.

3 Was sind personenbezogene Daten (pbd)? PbD sind Einzelangaben über persönliche oder sachliche Verhältnisse... Persönliche Verhältnisse: Sachliche Verhältnisse: - Name, Anschrift, Familienstand, - Geburtsdatum, Staatsangehörigkeit, - Beruf, Konfession, Krankheiten - Einkommen, Eigentumsverhältnisse, - KFZ-Typ, Steuern, Versicherungen

4 Was sind besondere personenbezogene Daten (bpbd)? Nach 3 Abs. 9 BDSG sind Angaben zu: - rassische und ethnische Herkunfti - politische Meinungen - religöse oder philosophische Überzeugungen - Gewerkschaftszugehörigkeit - Gesundheit oder Sexualleben besondere personenbezogene Angaben.

5 Grundsatz im deutschen Datenschutzrecht Verbotsprinzip mit Erlaubnisvorbehalt Nach 4 Abs. 1 BDSG ist die Erhebung, Verarbeitung und Nutzung

6 Wissen zahlt sich aus!

7 Beispiel Um nebenbei etwas Geld zu generieren, verkauft ein Metallwarenhandel seine ITGerätschaften nach der fristgemäßen Abschreibungszeit an einen örtlichen Second-Hand Anbieter von PCs und sonstigem IT-Geräten. Dabei werden Daten auf den Festplatten (ausschließlich von Servern, PCs und Laptops) sicher nach den Vorgaben des BSI gelöscht, also dreimal überschrieben und mit zufälligen Daten wiederbeschrieben. So findet auch das ausgediente Kopiergerät seinen Weg zum Second-Hand Shop.

8 Hinweis: Vertrag für die Auftragsdatenverarbeitung (ADV) geschlossen werden (Mustervertrag s. Bundesministerium des Innern). Der Auftragnehmer ist damit aufgrund 3 Abs. 8 BDSG nicht Dritter und somit ist keine Zustimmung der Betroffenen (Kunden, Mitarbeiter etc.) nötig. Das vorausgesetzt, handelt die Firma korrekt.

9 Externe Datenverarbeitung möglich durch a) Auftragsdatenverarbeitung (ADV) oder b) Funktionsübertragung

10 Externe Datenverarbeitung möglich durch a) Auftragsdatenverarbeitung (ADV) oder b) Funktionsübertragung

11 Meldepflicht gegenüber Datenaufsichtsbehörden nach 4d BDSG Der Meldepflicht unterliegen grundsätzlich alle Verfahren, die personenbezogene Daten automatisiert verarbeiten. Die Meldung hat bereits vor der Inbetriebnahme der meldepflichtigen Datenverarbeitung an die Aufsichtsbehörde zu erfolgen. Die Meldepflicht entfällt, sobald die verantwortlichen Stellen einen Datenschutzbeauftragten bestellt haben.

12 Verfahrensverzeichnis nach Meldepflicht ( 4e BDSG): Öffentlich: 1. Name oder Firma der verantwortlichen Stelle 2. Inhaber, Vorstände, Geschäftsführer 3. Anschrift der verantwortlichen Stelle, 4. Zweckbestimmungen der Datenerhebung, -verarbeitung oder -nutzung, 5. Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder Datenkategorien,

13 Vorabkontrolle nach 4d Abs. 5 BDSG Prüfung vor Beginn der automatisierten Verarbeitung (Vorabkontrolle) ist vorgeschrieben bei besonderen Risiken für Betroffene (Bsp. Videoüberwachung), insbesondere wenn - besondere pbd verarbeitet werden - die Verarbeitung zur Bewertung der Persönlichkeit des Betroffenen bestimmt ist Wer zur Vorabkontrolle verpflichtet ist, muss einen Datenschutzbeauftragten (DSB) bestellen unabhängig der Anzahl der Beschäftigten.

14 Checkliste zur Bestellung eines betrieblichen Datenschutzbeauftragten (bdsb) Automatisierte Datenverarbeitung

15 Fragen an den Landesdatenschutz Thüringen Einsatz Datenschutzbeauftragter Wann notwendig? - automatisierte DV + mind. 10 MA mit pbd beschäftigt - nicht automatisiert, aber mind. 20 MA mit pbd beschäftigt - pbd zum Zwecke der Übermittlung (Funktionsübertragung) - Vorabkontrolle für das Unternehmen vorgeschrieben Bsp: Videoüberwachung, besondere personenbezogene D. Voraussetzungen? - $4f Erforderliche Fachkunde und Zuverlässigkeit - Qualifikation ist derzeit nicht durch Zertifikat oder Seminare nachzuweisen

16 Beispiel Um größere Bekanntheit und eine erste Anlaufstelle für potentielle Kunden zu haben hat eine Holzhandelsfirma eine Webseite registriert. Dort werden die verschiedenen Produkte auf unterschiedlichen Seiten dargestellt. Um herauszufinden, welche Produkte besonders oft geklickt werden und woher die Besucher stammen verwendet die Firma Google-Analytics. Natürlich hat die Firma ein dem Telemediengesetz entsprechendes Impressum eingerichtet, auf den Hinweis der Verfolgung und Auswertung von Besuchern hat man jedoch verzichtet.

17 Hinweis: Das Tracken (sinngemäß Verfolgen) von Besuchern auf der Webseite ist generell sinnvoll, jedoch müssen auch hier die Besucher die Möglichkeit haben, sich davor zu schützen, wenn Sie es nicht wollen oder zumindest dem Tracking zustimmen. Der Besucher muss zwingend auf sein Widerspruchsrecht hingewiesen werden. Wichtig bei Nutzung von Google-Analytics ist: - der Abschluss eines Vertrages zur Auftragsdatenverarbeitung nach &11 BDSG - nur verkürzte IP-Adressen zu speichern (Funktion anonymizeip) - bisherige Google-Analytics-Daten löschen