Datenschutz www.datenschutz-roemer.de Nutzen oder Hemmschuh? Impulsveranstaltung im Rahmen der Qualifizierungsoffensive Mittelhessen Weiterbildungsforum Europaviertel Gießen, 10. März 2006 Ilse Römer Datenschutz-Auditorin (TÜV)
Ilse Römer Datenschutzauditorin (TÜV) seit 1984 in der EDV tätig in 1990 fachlich geprüfte Datenschutzbeauftragte in 2004 Datenschutzauditorin (TÜV) Programmiererin, Systemanalytikerin, Unternehmensberaterin, EDV-Managerin, Datenschutzberaterin
Die häufigsten Mängel (festgestellt von den Aufsichtsbehörden) unvollständige oder fehlende Dokumentation der EDV völlig unzureichende oder keine Schulung der Mitarbeiter desolate Organisation von Benutzer- und Zugriffsrechten Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten nicht erfüllt oder keine sichtbare Tätigkeit desjenigen
Begriffserklärung www.datenschutz-roemer.de Datenschutz Geschützt: Natürliche Personen (Kunden, Mitarbeiter) Datensicherheit Geschützt: Hard-, Software, Daten Gefahr: Verletzung von Persönlichkeitsrechten Gefahr: Verlust, Zerstörung, Missbrauch
Notwendigkeit www.datenschutz-roemer.de Wussten Sie schon, dass die meisten Verstöße gegen den Datenschutz und die Datensicherheit durch Mitarbeiter verursacht werden? Vor- Vor- satz satz Fahrlässigkeit Unwissenheit Neugier
Notwendigkeit www.datenschutz-roemer.de Fehler Auch bei bewährter Hard- und Software liegt die Fehlerwahrscheinlichkeit nie bei 0%. 0% Zeit
Notwendigkeit www.datenschutz-roemer.de Daten können gefährdet werden durch äußere Einflüsse wie z. B. Feuer Wasser Vandalismus Diebstahl etc. Was passiert mit Ihrem Unternehmen, wenn...?
Gesetzliche Anforderungen für die Datensicherheit Datenschutzrecht ( 9 BDSG) Wirtschaftsverwaltungsrecht Interne Kontrollsysteme (IKS) - Steuerrecht - GoB - KonTraG - Sarbanes Oxley Act Basel II (dokumentierte Risikovorsorge) Strafgesetzbuch etc.
Gesetzliche Anforderungen für den Datenschutz Bundesdatenschutzgesetz (BDSG) Datenschutzgesetze der Bundesländer Betriebsverfassungsgesetz Bereichsspezifische Regelungen (z.b. EStG, SGB, Schulgesetze...) Teledienstedatenschutzgesetz Telekommunikationsgesetz
Gesetzliche Anforderungen - Persönlichkeitsrechte - Das Grundgesetz der BRD garantiert das Recht auf informationelle Selbstbestimmung d. h. jede natürliche Person soll selbst bestimmen können, was andere über sie erfahren sollen. Gilt nicht für juristische Personen!
Die 7 Säulen des Datenschutzes www.datenschutz-roemer.de Datenschutz Zulässigkeit Zweckbindung/ Datensparsamkeit Transparenz Korrekturrechte Datensicherung Kontrolle (intern/extern) Sanktionen (Bußgelder bis 250T ) Datenschutzgesetze u. datenschutzrelevante Regelungen
Gesetzliche Anforderungen - Zulässigkeit - Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur zulässig, soweit - ein Gesetz oder - eine andere Rechtsvorschrift dies erlaubt oder anordnet oder - der Betroffene eingewilligt hat.
Gesetzliche Anforderungen - Zweckbindung Personenbezogene Daten dürfen grundsätzlich nur zu dem Zweck verarbeitet werden, für die sie erhoben beziehungsweise gespeichert worden sind. Es dürfen nur die Daten erhoben werden, die wirklich gebraucht werden.
Gesetzliche Anforderungen - Transparenz für den Betroffenen Aufklärung über - die verantwortliche Stelle - den Zweck der Datenerhebung - Folgen der Nichteinwilligung - mögliche weitere Datenempfänger für jedermann - öffentliches Verfahrensverzeichnis für Banken, Finanzamt - internes Verfahrensverzeichnis - Datensicherheitskonzept (= dokumentierte Risikovorsorge)
Gesetzliche Anforderungen - Rechte der Betroffenen Auskunft (jederzeit nur an den Betroffenen) Berichtigung (jederzeit nach Anforderung durch den B.) Sperrung (wenn Richtigkeit der Daten umstritten) Löschung (nach Wegfall des Geschäftszwecks oder Ablauf der gesetzlichen Aufbewahrungsfrist) Benachrichtigung (wenn Aufwand nicht unverhältnismäßig ist) Widerspruch Prüfung bei automatisierten Einzelentscheidungen
Gesetzliche Anforderungen - Datensicherung - 9 BDSG fordert technische und organisatorische Maßnahmen zur Kontrolle - des Zutritts - des Zugangs - des Zugriffs - der Weitergabe - der Eingabe - des Auftrags - der Verfügbarkeit mit angemessenem Aufwand
Gesetzliche Anforderungen - Kontrolle - Intern (Selbstkontrolle): evtl. Datenschutzbeauftragter (intern oder extern bestellt) Extern: Bundesbeauftragter für Datenschutz Landesbeauftragter für Datenschutz Aufsichtsbehörde (für privatrechtliche juristische Personen in Hessen: Regierungspräsidium Darmstadt)
Sanktionen _ www.datenschutz-roemer.de Geldbußen nach 43 BDSG bis 250.000 Anordnung von Maßnahmen zur Beseitigung der Mängel in der Datenverarbeitung nach 38 Abs. 5 S. 2 BDSG Schadensersatz nach 7 u. 8 BDSG
Sanktionen _ www.datenschutz-roemer.de Beispiele: Grund unbefugte Verarbeitung Nichterteilung von Auskünften Kein DSB fehlender Hinweis auf Widerspruchsrecht fehlende Meldung von EDV- Verfahren an die Aufsichts-behörde Bußgelder 3.000 1.000 1.000 1.000 750
@ Internet und E-Mail Private Nutzung Dulden oder erlauben Sie die private Internet- und E-Mail-Nutzung in Ihrem Unternehmen? Ja: Ihr Unternehmen wird gemäß TDDSG zum Telediensteanbieter Nein: Keine Anwendung des TDDSG in Ihrem Unternehmen Aber immer: Berücksichtigung des TKG (Wahrung des Fernmeldegeheimnisses nach Artikel 10 des GG)
@ Internet und E-Mail TDDSG Wichtige Regelungen im Teledienstedatenschutzgesetz: Nutzungsdaten sind frühestmöglich zu löschen Nutzungsdaten dürfen nicht ausgewertet werden die inhaltliche Kontrolle des E-Mailverkehrs ist grundsätzlich nicht zulässig (d.h. auch Spam-Filter dürfen nicht angewendet werden) bei Ordnungswidrigkeit Geldbußen bis 50.000 Ilse Römer 2005
Praktische Umsetzung Voraussetzung Die Unternehmensleitung will ein Datenschutzkonzept kein Datenmüll wissende Mitarbeiter ein seriöses Unternehmensimage
Praktische Umsetzung Schritt für Schritt Der Aufbau und die Pflege einer Datenschutzorganisation erfolgt in folgenden Schritten: 1. (Bestellung eines Datenschutzbeauftragten) 2. Bestandsaufnahme 3. Entwicklung/Umsetzung und Pflege des Datenschutzkonzepts
Praktische Umsetzung Der Datenschutzbeauftragte Voraussetzungen - Nachweis der Fachkunde - schriftliche Bestellung Aufgaben: - Beratung der Geschäftsführung - Schulung der Mitarbeiter - Kontrolle der Datenschutzorganisation - Erstellung des öffentlichen Verfahrensverzeichnises - etc. Stellung im Unternehmen: - Stabsfunktion - weisungsfrei - darf keine Ilse Römer Weisung 2005 erteilen
Praktische Umsetzung Datenschutzbestandsaufnahme Ziel: Transparenz Vorgehensweise: - Aufnahme der aktuellen Situation - Soll-Ist-Vergleich - Erfassung der (noch) notwendigen Maßnahmen zur Gewährleistung der Datensicherheit und des Datenschutzes
Praktische Umsetzung Datenschutzkonzept Folgende Bereiche sind zu betrachten: Infrastruktur Organisation Personal Hardware/Software Kommunikation Notfallvorsorge
Praktische Umsetzung Datenschutzkonzept - Entwicklung - Anzuwendende Standards und Normen festlegen Verantwortlichkeiten festlegen Maßnahmen in Arbeitsanweisungen und betriebsinternen Richtlinien festlegen Betriebsrat einbeziehen (Maßnahmen bzgl. Personaldaten)
Praktische Umsetzung Datenschutzkonzept - Umsetzung - Mitarbeiter schulen Dokumente u. Verträge datenschutzkonform gestalten technische Maßnahmen einführen/ anpassen organisatorische Maßnahmen einführen/anpassen
Praktische Umsetzung Datenschutzkonzept - Pflege - Ein Datenschutzkonzept muss leben! Anpassung an aktuelle gesetzliche und betriebliche Gegebenheiten Dies ist eine Aufgabe des Datenschutzbeauftragten
Praktische Umsetzung Datenschutzorganisation Bestandsaufnahme Konzeptentwicklung praktische Umsetzung Prüfung u. Kontrolle
Aufwand und Kosten Phasen 1. Datenschutzbestandsaufnahme Aufwand: einmalig Umfang: ca. 4-6 Arbeitstag 2. Initiierung des Datenschutzes Aufwand: einmalig Umfang:... (nächste Folie) 3. Pflege des Datenschutzkonzeptes durch den Datenschutzbeauftragten Aufwand: permanent Umfang: mindestens 1 Tag/Monat (abhängig von der Unternehmensgröße)
Aufwand und Kosten Faktoren Der Aufwand hängt ab von der: Geschäftsführung (Unterstützung) aktuellen Datenschutzsituation Anzahl Mitarbeiter Anzahl Stellen, mit denen Daten ausgetauscht werden Konzeption der EDV-Umgebung
Vorteile www.datenschutz-roemer.de Vertraulichkeit vertrauliche Informationen verlassen nur kontrolliert das Unternehmen Integrität Datenverfälschungen werden vermieden Verfügbarkeit Verfügbarkeitsblockaden werden vermieden Prüfbarkeit die Daten sind revisionssicher
Nutzen www.datenschutz-roemer.de Rechtssicherheit durch eine rechtlich zulässige Verarbeitung personenbezogener Daten Datensicherheit aller Daten durch die richtigen organisatorischen und technischen Maßnahmen Transparenz u. Klarheit für die Unternehmensleitung, die Mitarbeiter und die Geschäftspartner Kostenreduzierung durch effektivere Arbeitsabläufe Imagegewinn durch Vertrauen in das Unternehmen
Vielen Dank für Ihre Aufmerksamkeit Datenschutz darf kein Hemmschuh sein! Als Spezialistin für Datenschutz beantworte ich gerne Ihre Fragen. Sprechen Sie mich einfach an! Ilse Römer, Datenschutz-Auditorin (TÜV) Königsteiner Str. 19, 61449 Steinbach/Taunus Tel: (0 61 71) 58 63 50 E-Mail: ilse.roemer@datenschutz-roemer.de