Merkblatt Datenschutz

Transkript

1 Merkblatt Datenschutz Informationen für Mitarbeiterinnen und Mitarbeiter Inhalt in Schwarz/Weiß Euro/Ex. ab 10 Expl. 4,00 ab 20 Expl. 3,85 ab 50 Expl. 3,15 ab 100 Expl. 2,65 ab 200 Expl. 2,20 ab 500 Expl. 1,90 ab 1000 Expl.* 1,75 Inhalt in Farbe Euro/Ex. ab 10 Expl. 4,40 ab 20 Expl. 4,25 ab 50 Expl. 3,50 ab 100 Expl. 2,95 ab 200 Expl. 2,45 ab 500 Expl. 2,10 ab 1000 Expl.* 1,95 * größere Mengen auf Anfrage Auch als firmenindividueller Sonderdruck und als Digitalversion erhältlich! Preise und weitere Informationen unter Tel.: 02234/ GDD Gesellschaft für Datenschutz und Datensicherheit e. V.

2 Bibliographische Informationen der Deutschen Bibliothek Die Deutsche Bibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliographie; detaillierte bibliographische Daten sind im Internet unter abrufbar. Merkblatt Datenschutz Informationen für die Mitarbeiterinnen und Mitarbeiter ISBN (schwarz/weiß) ISBN (farbig) GDD Gesellschaft für Datenschutz und Datensicherheit e.v. 27. überarbeitete Auflage 2010 Nachdruck 2012 DATAKONTEXT eine Marke der Verlagsgruppe Hüthig Jehle Rehm GmbH Heidelberg München Landsberg Frechen Hamburg Unsere Homepage: Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Lizenzausgaben sind nach Vereinbarung möglich. Herausgeber: Gesellschaft für Datenschutz und Datensicherheit e.v., Bonn Gestaltung und Satz: Thomas Kappel, Berlin Printed in Germany Für dieses Merkblatt werden Staffelpreise angeboten. Informationen unter: 02234/ Hinweis: Aus Gründen der Lesbarkeit wird auf die Aneinanderreihung von männlichen und weiblichen Personenbezeichnungen verzichtet und stattdessen jeweils nur eine Form verwendet. Selbstverständlich richten sich alle Ausführungen gleichermaßen an Mitarbeiterinnen und Mitarbeiter.

3 Zur Einführung Liebe Kollegin, lieber Kollege! Das Thema Datenschutz betrifft Sie als Kunde oder Mitarbeiter, dessen Daten verarbeitet werden, oder weil Ihnen personenbezogene Daten Dritter bei Ihrer Tätigkeit zur Kenntnis gelangen. Durch das Datenschutzrecht, insbesondere das Bundesdatenschutzgesetz (BDSG), ist es Ihnen nur erlaubt, personenbezogene Daten von Mitarbeitern, Kunden, Lieferanten oder sonstigen Dritten auf Grundlage gesetzlicher Vorschriften und entsprechender interner Anweisungen zu erheben, zu verarbeiten und zu nutzen. Für alle Mitarbeiter gilt die gesetzliche Verpflichtung zur Wahrung des Datengeheimnisses. Diese Verpflichtung dauert auch nach dem Ausscheiden aus dem Unternehmen fort. Der Zweck des Datenschutzes, den Einzelnen davor zu schützen, dass er im Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird, erfordert ein verantwortliches Handeln beim Umgang mit personenbezogenen Daten, aber auch eine risikobewusste Nutzung von IT-Systemen und -Anwendungen. Das Merkblatt soll Ihnen einen Überblick über die Grundlagen des Datenschutzes geben und Sie über Ihre Rechte und Pflichten aufklären. In meiner Funktion als Datenschutzbeauftragte/r stehe ich Ihnen selbstverständlich in allen Zweifelsfragen zur Verfügung. Bitte wenden Sie sich vertrauensvoll an mich. Ihr/e Datenschutzbeauftragte/r 1

4 Datenschutz im Überblick Der Betroffene übt seine Rechte aus Der Betroffene kann Auskunft über gespeicherte Daten beantragen und ggf. Berichtigung, Löschung oder Sperrung erwirken. AB SEITE 14 Der Staat kontrolliert die Einhaltung Die Datenschutz-Aufsichtsbehörde kann unzulässige Verfahren beanstanden, Bußgelder verhängen und Strafanträge stellen. AB SEITE 4 Das Unternehmen hat die Verantwortung Das Unternehmen darf personenbezogene Daten nur dem Datenschutzrecht entsprechend erheben, verarbeiten und nutzen.... organisiert den Datenschutz Das Unternehmen macht die Vorgaben, wie und unter welchen Voraussetzungen personenbezogene Daten erhoben und verarbeitet werden dürfen.... sichert die Daten Personenbezogene Daten müssen vor unbefugtem Zugriff, Verlust und Zerstörung ausreichend geschützt werden. AB SEITE 6 AB SEITE 10 AB SEITE 12 3

5 Die Verantwortung des Unternehmens 5 BDSG: Datengeheimnis Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nichtöffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht auch nach Beendigung ihrer Tätigkeit fort. Das Unternehmen hat die Verantwortung für die Rechtmäßigkeit der Datenverarbeitung. Das BDSG spricht deshalb von der verantwortlichen Stelle. Dienstleister, die lediglich Datenverarbeitung im Auftrag betreiben (z.b. Service-Rechenzentren, Entsorger) werden der verantwortlichen Stelle zugeordnet. Das Unternehmen handelt über seine Leitung, also den Vorstand oder die Geschäftsführung. Adressat des BDSG sind aber auch die einzelnen Mitarbeiter. Sie dürfen nicht unbefugt Daten erheben, verarbeiten oder nutzen. Deshalb ist das Unternehmen verpflichtet, die mit der Datenverarbeitung betrauten Personen mit den Vorschriften des BDSG und gegebenenfalls mit weiteren relevanten Datenschutzvorschriften vertraut zu machen. Darüber hinaus sind sie vor Beginn ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Wann müssen Unternehmen das BDSG beachten? Das BDSG greift überall dort, wo personenbezogene Daten verarbeitet werden sowohl auf EDV- Anlagen als auch in strukturierten Datensammlungen wie z.b. Karteikarten oder Akten. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Personenbezogene Daten z.b. Adresse, Telefonnummer, Geburtsdatum, Foto, Arbeitgeber, Gehalt, Vermögen, Besitz, Arbeitsverhalten, Arbeitsergebnisse, Personalnummer, PC- Benutzerkennung, maschinenbezogene Nutzungszeiten Besonders sensitive Daten z.b. rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit und Sexualleben 6 UNTERNEHMEN Das betrifft die Daten von Mitarbeitern und Kollegen genauso wie die von Kunden oder Lieferanten. Auch Daten ohne direkten Personenbezug (z.b. ohne Namensangabe) können personenbezogene Daten sein, wenn aus ihnen auf die zugehörigen Personen geschlossen werden kann (z.b. Personalnummer, KFZ-Kennzeichen). Der Schutzbedarf von Daten hängt von ihrem Verwendungszusammenhang ab. Dennoch gibt es nach dem BDSG besonders sensitive Daten. Ihre Verarbeitung ist nur unter strengen Regeln erlaubt, ihre Verwendung für Marketingzwecke in der Regel unzulässig.

6 Beispiele: Zulässig oder nicht? Ein Unternehmen speichert seine Kundendaten zur Abwicklung eines Kaufvertrages und zur Prüfung möglicher Gewährleistungsansprüche. weil die Datenverarbeitung auf Grund einer bestehenden Vertragsbeziehung erfolgt. Nutzung von Daten für eigene Werbezwecke, obwohl der Kunde erklärt hat, keine Werbung erhalten zu wollen. Unzulässig, weil bei einem Werbewiderspruch die Daten für diesen Zweck zu sperren sind. Ein Unternehmen verschickt Mailings per Post an seinen bestehenden Kundenstamm, um ein neu eingeführtes Produkt zu bewerben. Ein Unternehmen übermittelt die Lohn- und Einkommensdaten seiner Mitarbeiter an das Finanzamt und an die Sozialversicherungsträger. weil Kundendaten auch für Zwecke der Werbung für eigene Produkte genutzt werden dürfen. weil das Steuer- und Sozialversicherungsrecht das Unternehmen hierzu verpflichtet. Ein Arzt gibt die Adressdaten seiner Patienten an einen Arzneimittelhersteller weiter, damit dieser gezielt seine Medikamente bewerben kann. Unzulässig, weil das Arztgeheimnis im Strafgesetzbuch die Weitergabe verbietet. Ein Unternehmen regelt in einer Betriebsvereinbarung die Erfassung der Arbeitszeit und die Nutzung der anfallenden Daten zur Abrechnung von Gehalt, Urlaub und Überstunden. weil die Betriebsvereinbarung eine dem BDSG vorrangige Erlaubnisnorm ist. Ein Unternehmen veröffentlicht das Foto eines Vertriebsmitarbeiters auf seiner Internetseite. Ein Unternehmen beabsichtigt, seine Kunden (Verbraucher) telefonisch auf seine neuen Produkte hinzuweisen. wenn der Mitarbeiter zuvor in die Veröffentlichung eingewilligt hat. wenn der Kunde seine Einwilligung in die Telefonwerbung gegeben hat. UNTERNEHMEN 9

7 Das ganze Unternehmen ist verantwortlich! Einschaltung vor Einführung oder Änderung datenschutzrelevanter Geschäftsprozesse Geschäftsführung trägt die Verantwortung für den Datenschutz nach innen und nach außen Information bei Kenntnis von Missbrauch, Verlust oder Manipulation Führungskraft Umsetzung und Kontrolle der Einhaltung gesetzlicher und interner betrieblicher Regelungen Erteilung von Arbeitsanweisungen und Befugnissen, Unterstützung bei der Durchführung und Sensibilisierung für die Bedeutung des Datenschutzes 10 UNTERNEHMEN

8 Selbstkontrolle durch den Datenschutzbeauftragten Beratung Der betriebliche Datenschutzbeauftragte hat die Aufgabe, auf die Einhaltung des Datenschutzrechts hinzuwirken. Er berät die Geschäftsführung und die Mitarbeiter und steht bei Fragen zum datenschutzgerechten Umgang mit personenbezogenen Daten zur Verfügung. Er unterliegt der Verschwiegenheitspflicht und hat das Recht, sich in Zweifelsfällen an die Datenschutz-Aufsichtsbehörde zu wenden. Beratung Beratung Datenschutzbeauftragter In Unternehmen mit mehr als neun Personen, die personenbezogene Daten automatisiert verarbeiten, muss ein Datenschutzbeauftragter bestellt werden. Wenn kein Datenschutzbeauftragter zu bestellen ist, nimmt weitgehend die Geschäftsführung dessen Aufgaben wahr. Gibt es im Unternehmen eine Mitarbeitervertretung, kontrolliert auch diese die Einhaltung des Datenschutzes im Hinblick auf Mitarbeiterdaten. Bei Fragen zum Thema Datenschutz bzw. Datensicherheit oder in Zweifelsfällen wenden Sie sich bitte an Ihren betrieblichen Beauftragten für den Datenschutz. Mitarbeiter Schutz personenbezogener Daten vor unbefugtem Zugriff und unzulässiger Weitergabe UNTERNEHMEN 11

9 GDD Gesellschaft für Datenschutz und Datensicherheit e. V.