2 Praktische Vorgehensweise zur Umsetzung im Handwerksbetrieb

Transkript

1 2.1 Bestellung des betrieblichen Datenschutzbeauftragten 31 2 Praktische Vorgehensweise zur Umsetzung im Handwerksbetrieb Auch wenn nicht alle Handwerksbetriebe einen betrieblichen Datenschutzbeauftragten bestellen müssen, so muss sich jeder Handwerksbetrieb selbst der Ein-Mann-Betrieb um die Umsetzung der datenschutzrechtlichen Verpflichtungen kümmern! Die zu ergreifenden Maßnahmen hängen dabei unter anderem von der Größe des Betriebs ab. Zu den datenschutzrechtlichen Anforderungen, die von allen Betrieben umzusetzen sind, gehören insbesondere die Sicherstellung der rechtlichen Zulässigkeit der automatisierten Verarbeitung der personenbezogenen Daten, die Verpflichtung der Mitarbeiter auf das Datengeheimnis, die Umsetzung der Rechte der Betroffenen auf Benachrichtigung, Auskunft, Berichtigung, Löschung und Sperrung, das Erstellen der Verfahrensbeschreibungen und Führen des Verfahrensverzeichnisses, Auskunft aus dem Verfahrensverzeichnis an Jedermann, die Umsetzung der technischen und organisatorischen Maßnahmen zur Datensicherheit und die Einhaltung der datenschutzrechtlichen Vorschriften bei der Gestaltung der Homepage des Handwerksbetriebes. In den folgenden Abschnitten und Kapiteln wird dargestellt, wie die Umsetzung dieser Anforderungen erfolgen kann. 2.1 Bestellung des betrieblichen Datenschutzbeauftragten Zu den Aufgaben der betrieblichen Datenschutzbeauftragten gehört es, die Inhaber oder die Geschäftsführung der Betriebe bei der Umsetzung des Datenschutzes im Handwerksbetrieb zu unterstützen. Durch die Bestellung eines betrieblichen Datenschutzbeauftragten entledigt sich der Inhaber oder die Geschäftsführung zwar nicht der Verantwortung für den Datenschutz im Betrieb. Aber ein kompetenter Da-

2 32 2 Praktische Vorgehensweise zur Umsetzung im Handwerksbetrieb tenschutzbeauftragter weist die Betriebsleitung auf Problembereiche hin und gibt Verbesserungsvorschläge Wann ist ein betrieblicher Datenschutzbeauftragter zu bestellen? Wenn eine der nachfolgenden Bedingungen erfüllt ist, müssen Betriebe gemäß 4f BDSG einen betrieblichen Datenschutzbeauftragten bestellen: Im Betrieb werden Verfahren vorgenommen, die der Vorabkontrolle unterliegen. Hierzu gehören Verfahren, die eine Leistungsoder Verhaltenskontrolle, z.b. der Mitarbeiter möglich. Personenbezogene Daten werden geschäftsmäßig zum Zweck der Übermittlung oder anonymisierten Übermittlung erhoben, verarbeitet oder genutzt. Dies ist z.b. bei Unternehmen aus den Bereichen Adresshandel, Markt- und Meinungsforschung aber auch bei Wirtschaftsauskunfteien und Internetbranchenverzeichnissen der Fall. Es sind mehr als vier Arbeitnehmer mit der automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt. Es sind in der Regel mindestens 20 Personen mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unabhängig von der Art der Verarbeitung (automatisiert oder manuell) beschäftigt. Für Handwerksbetriebe werden die ersten beiden Gründe normalerweise nicht zutreffen. Es kommt also in erster Linie auf die Art des Umgangs mit personenbezogenen Daten (wie Kunden- und Mitarbeiterdaten) und auf Anzahl der Mitarbeiter an. Wer ist dabei alles mitzuzählen? Spätestens an dieser Stelle stellt sich die Frage, was alles unter die Nutzung automatisiert verarbeiteter personenbezogener Daten fällt. Der Begriff der Nutzung ist sehr weit gefasst. Daher sind nicht nur die Mitarbeiter im Büro, die mit Kunden- oder Mitarbeiterdaten auf Karteikarten oder per PC verarbeiten, mitzuzählen. Ein Mitarbeiter, der Anhand einer mit dem PC erstellten und ausgedruckten Liste, Kundenaufträge abarbeitet, nutzt diese automatisiert verarbeiteten Daten. Da es

3 2.1 Bestellung des betrieblichen Datenschutzbeauftragten 33 sich bei Kundendaten meist um personenbezogene Daten handelt (bei Firmenkunden ist häufig der Ansprechpartner mit seinen Kontaktdaten, wie z.b. Telefon- und oder Handynummer namentlich erwähnt), ist auch dieser Mitarbeiter, der selbst vielleicht gar nicht am PC arbeitet, mitzuzählen! Handwerksbetriebe, in denen EDV im Bereich der Auftragsverwaltung, der Buchhaltung oder der Lohnabrechnung zum Einsatz kommt, müssen dann einen betrieblichen Datenschutzbeauftragten bestellen, wenn mehr als vier Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung beschäftigt sind. Dabei ist es unerheblich, ob es sich um Auszubildende, Praktikanten, Teil- oder Vollzeitbeschäftigte handelt. Bei Mitarbeitern, die im Büro am PC arbeiten, ist davon auszugehen, dass sie auch personenbezogene Daten erheben, verarbeiten oder nutzen. Diese Mitarbeiter sind daher alle mitzuzählen. Darüber hinaus sind ebenso all diejenigen Mitarbeiter mitzuzählen, die mit Ausdrucken per PC verarbeiteter Daten ihre Arbeit erledigen. Ein Handwerksbetrieb beschäftigt zwei Mitarbeiter im Büro, die sich einen Arbeitsplatz teilen. Einer von ihnen arbeitet vormittags, der andere nachmittags. Sie sind für die Terminvergabe, aber auch für die Buchhaltung zuständig und arbeiten hierzu am PC. Neben dem Inhaber sind noch drei weitere Mitarbeiter beschäftigt, die Kundenaufträge abzuarbeiten. Hierzu erhalten sie jeden Morgen eine Liste, die am Abend zuvor ausgedruckt wurde. Auf dieser Liste stehen Namen und Anschrift der Kunden sowie deren Telefonnummer und der jeweilige Auftrag, der zu erledigen ist. Dieser Handwerksbetrieb muss einen betrieblichen Datenschutzbeauftragten bestellen. Denn es sind fünf Arbeitnehmer mit der Erhebung, Verarbeitung oder Nutzung automatisiert verarbeiteter personenbezogener Daten beschäftigt: Die zwei Mitarbeiter im Büro zählen beide dazu auch wenn sie sich einen Arbeitsplatz teilen. Hinzu kommen die drei angestellten Mitarbeiter, die mit der Erledigung der Kundenaufträge beschäftigt sind. Der Inhaber selbst zählt nicht, da er nicht Arbeitnehmer ist.

4 34 2 Praktische Vorgehensweise zur Umsetzung im Handwerksbetrieb Aber auch ein Handwerksbetrieb, der ohne jegliche EDV-Unterstützung auskommt, muss dann einen betrieblichen Datenschutzbeauftragten bestellen, wenn mehr als 20 Personen personenbezogene Daten erheben, verarbeiten oder nutzen. Hierbei kommt es dann nicht mehr darauf an, ob es Arbeitnehmer sind oder nicht. Auch der Inhaber und mithelfende Familienangehörige sind mitzuzählen. Es ist auch nicht erforderlich, dass diese Personen täglich mit personenbezogenen Daten umgehen, eine gewisse Regelmäßigkeit reicht aus. Die Ehefrau, die einmal im Monat die Buchhaltung durchführt, ist ebenso mitzuzählen, wie z.b. die Tochter, die einmal im Jahr den Jahresabschluss durchführt. In der Praxis dürften allerdings Betriebe dieser Größenordnung, die ohne EDV arbeiten, die Ausnahme sein Wer kann zum betrieblichen Datenschutzbeauftragten bestellt werden An die Person des oder der betrieblichen Datenschutzbeauftragten werden gewisse Anforderungen gestellt: (2) Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. Mit dieser Aufgabe kann auch eine Person außerhalb der verantwortlichen Stelle betraut werden. ( ) (3) Der Beauftragte für den Datenschutz ist dem Leiter der öffentlichen oder nichtöffentlichen Stelle unmittelbar zu unterstellen. ( 4f BDSG) Da der betriebliche Datenschutzbeauftragte somit dem Inhaber oder der Geschäftsführung des Handwerksbetriebes unmittelbar zu unterstellen ist, kann es weder ein Mitglied der Geschäftsführung noch der Inhaber selbst sein. Es muss allerdings auch kein Mitarbeiter des Betriebes sein, da im Bundesdatenschutzgesetz ausdrücklich festgehalten ist, dass der betriebliche Datenschutzbeauftragte auch eine externe Person sein kann. Allerdings kann wie weiter unten erläutert wird nicht einfach der IT-Dienstleister des Handwerksbetriebes gleich mit zum Datenschutzbeauftragten bestellt werden.

5 2.1 Bestellung des betrieblichen Datenschutzbeauftragten Erforderliche Fachkunde und Zuverlässigkeit Zum Beauftragten für den Datenschutz darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt. ( 4f Abs. 2 Satz1 BDSG) FACHKUNDE Das Bundesdatenschutzgesetz verzichtet aus gutem Grund auf konkrete Angaben darüber, welche Fachkunde erforderlich ist. Dies liegt vor allem daran, dass die Anforderungen von Unternehmen zu Unternehmen sehr unterschiedlich sind und allgemein verbindliche Regelungen nicht möglich sind. Selbst zwischen verschiedenen Handwerksbetrieben können die Anforderungen an die Fachkunde sehr unterschiedlich sein. Zu den Anforderungen an die Fachkunde gehören insbesondere: Die Fähigkeit zu eigenverantwortlichem Arbeiten. Organisationstalent. Die Fähigkeit, komplexe Zusammenhänge einfach darzustellen. Kenntnisse über die im Handwerksbetrieb eingesetzte Hard- und Software wie Betriebssysteme, Standard- und anwendungsbezogene Software. Kenntnisse der datenschutzrechtlichen Regelungen, die für Handwerksbetriebe gelten. Neben dem Bundesdatenschutzgesetz kommt hier vor allem noch das Teledienstedatenschutzgesetz zum Tragen. Die Fähigkeit, abstraktes Wissen und abstrakte Texte auf die konkrete Situation im Handwerksbetrieb anzuwenden. Eine einmal erworbene Fachkunde wie sie dieses Buch vermittelt muss allerdings auf dem aktuellen Stand gehalten werden. Dies kann auf vielfältige Art geschehen. Im Internet stehen Mailinglisten, Foren und vor allem die Informationen des virtuellen Datenschutzbüros ( bereit, um sich über aktuelle Entwicklungen im Datenschutz zu informieren. Darüber hinaus helfen Fachzeitschriften wie Datenschutz und Datensicherheit oder Fachartikel, z.b. in der Deutschen HandwerksZeitung den Datenschutzbeauftragten in den Handwerksbetrieben, hier auf dem Laufenden zu bleiben.

6 36 2 Praktische Vorgehensweise zur Umsetzung im Handwerksbetrieb ZUVERLÄSSIGKEIT Bei der Beurteilung der Zuverlässigkeit wird zwischen der persönlichen und der fachlichen Zuverlässigkeit unterschieden. Bei der persönlichen Zuverlässigkeit fallen in der Person des Datenschutzbeauftragten liegende Eigenschaften wie die verantwortliche Erledigung übertragener Aufgaben und Verschwiegenheit ins Gewicht. Die fachliche Zuverlässigkeit bezieht sich auf die Vermeidung von Interessenkollisionen zwischen der Tätigkeit im Bereich Datenschutz und den sonstigen Tätigkeiten für den Handwerksbetrieb. Interessenkollisionen werden vor allem gesehen bei: IT-/EDV-Leitung bzw. -verantwortlichen, Personalleitung bzw. -verantwortlichen, Vertriebs- und Marketingleitung bzw. -verantwortlichen. Da der Datenschutzbeauftragte nicht nur eine beratende, sondern auch eine kontrollierende Funktion hat, soll sichergestellt werden, dass der zu Kontrollierende sich nicht selbst kontrollieren muss. Aus diesem Grund ist es auch grundsätzlich nicht möglich, dass externe Dienstleister, die für die EDV im Handwerksbetrieb zuständig sind, gleichzeitig die Funktion als externer Datenschutzbeauftragter übernehmen. Etwas anderes gilt nur, wenn es beim externen Dienstleister strikt getrennte Abteilungen gibt, so dass die Abteilung, die für die Planung, Einrichtung und Verwaltung der EDV im Handwerksbetrieb zuständig ist, keinen Einfluss auf den externen Datenschutzbeauftragten aus der anderen Abteilung hat. Um die Unabhängigkeit des betrieblichen Datenschutzbeauftragten zu wahren, sollte auch davon abgesehen werden, Ehegatten sowie Sohn oder Tochter zum betrieblichen Datenschutzbeauftragten zu bestellen. Auch bei dieser Konstellation wäre eine Interessenkollision sehr wahrscheinlich.

7 2.1 Bestellung des betrieblichen Datenschutzbeauftragten Interner oder externer Datenschutzbeauftragter? Mancher Handwerksbetrieb steht vor der Frage, ob es sinnvoll ist, einen eigenen Mitarbeiter zum betrieblichen Datenschutzbeauftragten auszubilden. Der Aufwand zum Erwerb und Erhalt der erforderlichen Fachkunde ist nicht zu unterschätzen. Die Kosten für Seminare und Fachliteratur fallen für den Betrieb unabhängig davon an, wie hoch der Aufwand zur Umsetzung des Datenschutzes tatsächlich ist. Der zeitliche Aufwand für die Fortbildung kann dabei leicht die Zeit für die eigentliche Arbeit als Datenschutzbeauftragter übersteigen. In manchem Handwerksbetrieb findet sich vielleicht auch gar kein geeigneter Mitarbeiter, der alle bereits weiter oben aufgeführten Anforderungen erfüllt. Auch in diesem Fall kann die Bestellung eines externen Datenschutzbeauftragten in Betracht kommen. Die Beauftragung eines externen Datenschutzbeauftragten bringt weitere Vorteile: Der Handwerksbetrieb muss nur die Dienstleistung bezahlen, die tatsächlich in Anspruch genommen wird. Zusätzliche Kosten für Fort- und Weiterbildung entfallen ebenso wie Kosten für Fachliteratur. Allerdings gilt auch hier, dass Qualität ihren Preis hat. Bei Billigangeboten ist Vorsicht angesagt. Bei manchen dieser Billigangeboten verstecken sich weitere Kosten im Kleingedruckten, bei anderen Billiganbietern ist die erforderliche Fachkunde nicht gegeben. Bei der Auswahl eines geeigneten Dienstleisters ist daher darauf zu achten, dass dieser seine Qualifikation für die Tätigkeit durch entsprechende Ausbildungen wie auch durch praktische Erfahrungen nachweisen kann. Sollte der vorgeschlagene Vertrag nicht klar und eindeutig sein, so empfiehlt es sich, hier sachverständigen Rat über die Handwerkskammer oder eine Rechtsberatung hinzuzuziehen Bestellungsurkunde Der betriebliche Datenschutzbeauftragte ist schriftlich vom Handwerksbetrieb (bzw. der verantwortlichen Stelle) zu bestellen. Die Bestellung ist vom Inhaber bzw. der Geschäftsführung und dem Datenschutzbeauftragten zu unterschreiben. Ein Exemplar kommt in die Personalakte und ein zweites Exemplar erhält der Datenschutzbeauftragte.