Gesetzliche Grundlagen des Datenschutzes

Transkript

1 Gesetzliche Grundlagen des Datenschutzes

2 Informationelle Selbstbestimmung Bundesdatenschutzgesetz Grundgesetz Gesetzliche Grundlagen des Datenschutzes allg. Persönlichkeitsrecht (Art. 1, 2 GG) Grundrecht auf Datenschutz (BVerfG 1983) Schutz personenbezogener Daten (BDSG) Hoheit des Einzelnen über Preisgabe und Verwendung seiner persönlichen Daten Vertraulichkeit und Sicherheit von IT-Systemen (insbesondere bei automatisierten Verfahren) Einwilligung des Betroffenen (oder gesetzliche Erlaubnis) zur Erhebung, Verarbeitung oder Nutzung 1

3 Persönliche oder sachliche Verhältnisse Was sind personenbezogene Daten Definition von personenbezogenen Daten gemäß BDSG Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener) Normale personenbezogene Daten, 3 Abs. 1 Besondere Arten personenbezogener Daten, 3 Abs. 9 Name Geburtsdatum Telefonnummer Personalnummer Benutzerkennung Einkommen Rassische und ethnische Herkunft Politische Meinung Religiöse und philosophische Überzeugungen Gewerkschaftszugehörigkeit Gesundheit oder Sexualleben 2

4 Formen des Umgangs mit personenbezogenen Daten Erheben Verarbeiten Nutzen Speichern Verändern Übermitteln Sperren Löschen pseudonymisieren anonymisieren 3

5 Kein Konzernprivileg Das BDSG kennt kein Konzernprivileg Zentralbereiche Geschäftsbereiche Unternehmen Standortservices Servicebereiche Rechtseinheiten 4

6 Gesetzliche Pflichten für Unternehmen Meldepflichten und Erstellung eines Verfahrensverzeichnisses ( 4d, 4e BDSG) Durchführung einer Vorabkontrolle ( 4 d BDSG) Verpflichtung der Mitarbeiter auf das Datengeheimnis ( 5 BDSG) Pflichten bei der Auftragsdatenverarbeitung ( 11 BDSG) Pflicht zur Benachrichtigung und Auskunft gegenüber dem Betroffenen ( 33,34 BDSG) Pflicht zur Berichtigung, Löschung oder Sperrung ( 35 BDSG) Informationspflicht gegenüber der Aufsichtsbehörde und dem Betroffenen ( 42a BDSG) Schadensersatz ( 7 BDSG) Pflicht zur Bestellung eines Datenschutzbeauftragten ( 4f, 4g BDSG) 5

7 Die 8 Gebote der Datensicherung Verfügbarkeitskontrolle Zugangskontrolle Auftragskontrolle Zugriffskontrolle 9 BDSG Weitergabekontrolle Eingabekontrolle Gebot der Datentrennung Zutrittskontolle 6

8 Aufgaben des Datenschutzbeauftragten Schaffung von Transparenz bzgl. der Verarbeitung personenbezogener DatenWahrung von Rechten Betroffener Durchführung von Zulässigkeitsprüfungen Aufgaben Mitwirkung an der Überwachung, sowie Prüfung von Datenverarbeitung im Auftrag Prüfung der erforderlichen technischen und organisatorischen Maßnahmen Sicherstellung, dass auf das Datengeheimnis verpflichtet wird Durchführung von Datenschutz-Schulungen Erarbeitung von Richtlinien und Anweisungen zum Datenschutz Beratung des Managements in Datenschutzfragen 7

9 Interner oder externer Datenschutzbeauftragter? Interner oder externer Datenschutzbeauftragter Vorteil: kennt Unternehmen, Strukturen und Mitarbeiter, ist in Betriebsablauf eingebunden Intern Nachteil: Zeitaufwand zu Lasten eigentlicher Tätigkeit, betriebsblind, Interessenkollision möglich, Kostenaufwand für regelmäßige Schulung und Weiterbildung, besonderer Kündigungsschutz Extern Vorteil: neutrale Stellung, Unabhängigkeit, Vermeidung von Interessenkonflikten, Spezialkenntnisse bereits vorhanden, d.h. keine Fortbildungsmaßnahmen, Haftungsauslagerung Nachteil: kennt Unternehmen, Strukturen und Mitarbeiter am Anfang nicht, ist nicht ohne weiteres in den Betriebsablauf eingebunden 8

10 Internationaler Datentransfer Innerhalb der EU (+EWR): Datenübermittlung ist gemäß 4b,4c BDSG zulässig unter Berücksichtigung weiterer Normen Datentransfer ins Ausland (Drittland) Außerhalb der EU in Länder mit angemessenem Datenschutzniveau: Datenübermittlung ist gem. 4b,4c BDSG unter Beachtung von 11 BDSG (Auftragsdatenverarbeitung - ADV) und 28-30a, 32 BDSG zulässig. Außerhalb der EU in Länder ohne angemessenes Schutzniveau (bspw. USA): Aufsichtsbehördlich genehmigte Binding Corporate Rules? Zertifizierung zum Safe-Harbor-Programm? EU-Standardvertragsklauseln? Einwilligung des Betroffenen / gesetzliche Grundlage? Datenübermittlung ist gemäß 4b,4c BDSG unter Beachtung von 11 BDSG und 28-30a, 32 BDSG zulässig 9