Source: https://www.datenschutz-help.de/hinweis%2037.htm
Timestamp: 2017-09-20 07:19:27+00:00

Document:
Hinweise BDSG Nr. 37
Bekanntmachung des Innenministeriums (Nr. 37) über Hinweise zum Bundesdatenschutzgesetz für die private Wirtschaft vom 11.01.99, Az.: 2-0552.1/13. Die Veröffentlichung erfolgt im Anschluß an die Hinweise Nr. 36 im Staatsanzeiger für Baden-Württemberg Nr. 2 vom 19. Januar 1998, Seite 8.
Konzernunternehmen als Internetdienstleister
1.1 Vermittlung des Internetzugangs an Konzernmitarbeiter für betriebliche Zwecke
1.2 Vermittlung des Internetzugangs an Konzernmitarbeiter für private Zwecke
1.3 E-Mail-Service für die betriebliche Kommunikation
1.4 E-Mail-Service für die Privatkommunikation der Konzernmitarbeiter
1.5 Bereithalten von Informationsangeboten anderer Konzernunternehmen
1.6 Kostenverteilung unter den Konzernunternehmen
1.7 Informationsaustausch mit ausländischen Konzernunternehmen
Kundenbefragungen bei Kreditinstituten
Einzug von Forderungen gegenüber Einzelhandelskunden im Wege des elektronischen Lastschriftverfahrens durch externe Abrechnungsstellen
3.1 Sperrdatei
3.2 Anzeige einer Limitüberschreitung
3.3 Form der Einzugsermächtigung
Datenschutzgerechte Behandlung von gebrauchten Festplatten
1. Konzernunternehmen als Internetdienstleister
Konzerne gehen zunehmend dazu über, Internetdienstleistungen zentral durch ein Konzernunternehmen erbringen zu lassen. Dies können beispielsweise Dienste wie die Vermittlung des Zugangs zum Internet für Mitarbeiter, die Steuerung des E-Mail-Verkehrs oder das Bereithalten von Informationsangeboten sein. Damit stellt sich die Frage nach der datenschutzrechtlichen Verantwortlichkeit für die technische und inhaltliche Gestaltung der Dienste und für den Umgang mit personenbezogenen Daten, die bei der Nutzung der Dienste anfallen. Zu klären ist insbesondere, in welchem Umfang das dienstleistende Konzernunternehmen (das im folgenden Konzern-Serviceprovider - KSP - genannt wird) aus datenschutzrechtlicher Sicht verantwortlich ist, und welche Rechtsvorschriften bei dessen Geschäftstätigkeit zu beachten sind.
Die Aufsichtsbehörde vertritt dazu folgende Auffassung:
Der KSP betreibt einen Teledienst nach dem Teledienstegesetz (TDG) und dem Teledienstedatenschutzgesetz (TDDSG). Nutzer des Teledienstes sind nicht die Mitarbeiter, sondern das jeweilige Konzernunternehmen, für dessen betriebliche Zwecke der Internetzugang eröffnet wird (§ 3 Nr. 2 TDG).
Die Konzernmitarbeiter sind bei der betrieblichen Nutzung des Internetzugangs dem jeweiligen Unternehmen, bei dem sie beschäftigt sind (Beschäftigungsunternehmen) zuzurechnen; für den Umgang mit ihren Daten gelten TDG und TDDSG nicht. Die Verarbeitung ihrer bei der Internetnutzung entstehenden Daten richtet sich beim Beschäftigungsunternehmen nach § 28 Abs. 1 Nr. 1 und 2 des Bundesdatenschutzgesetzes (BDSG). Unbeschadet der Mitbestimmungsrechte des Betriebsrats nach dem Betriebsverfassungsrecht dürfen die Daten grundsätzlich auch zur Kontrolle des Verhaltens und der Leistung verwendet werden. Aus diesem Grund sollte das Beschäftigungsunternehmen klare Regelungen über die zugelassene Internetnutzung, die Speicherung und Verwendung von Mitarbeiterdaten sowie etwaige Kontrollverfahren treffen und den Mitarbeitern bekanntgeben.
Das Beschäftigungsunternehmen kann den KSP mit der Verarbeitung von Mitarbeiterdaten beauftragen. Das gilt insbesondere für die Protokollierung des Nutzungsverhaltens der Mitarbeiter zum Zweck der Verhaltens- und Leistungskontrolle oder für die Einrichtung sonstiger Kontrollsysteme. Für die Rechtmäßigkeit der Erhebung und Verarbeitung von Beschäftigtendaten ist das Beschäftigungsunternehmen verantwortlich; dieses hat auch die Auskunfts- und Benachrichtigungspflichten nach dem Bundesdatenschutzgesetz gegenüber seinen Beschäftigten zu erfüllen. Der KSP wird in diesem Fall nicht als Telediensteanbieter für die Mitarbeiter, sondern als Auftragsdatenverarbeiter für das Beschäftigungsunternehmen i.S.d. § 11 BDSG tätig.
Der KSP ist für die Gewährleistung der technischen Systemsicherheit, insbesondere der sicheren Abschottung der Datenverarbeitungsanlagen gegenüber unberechtigten Zugriffen aus dem Internet verantwortlich. Seine Verantwortlichkeit gründet sich auf § 9 BDSG.
In diesem Fall sind die Mitarbeiter von Konzernunternehmen Nutzer i.S.d. TDDSG, soweit ihnen der KSP eine Einwählmöglichkeit in das Internet für private Zwecke zur Verfügung stellt. In diesem Fall hat der KSP als Telediensteanbieter seine Datenverarbeitungssysteme so zu gestalten, daß er seine Pflichten nach § 4 TDDSG erfüllen kann. Er hat insbesondere dafür zu sorgen, daß die private Nutzung eindeutig von der betrieblichen Nutzung zu trennen ist (z.B. durch die Bereitstellung differenzierter Accounts).
Der KSP hat die Daten der Konzernmitarbeiter über die Nutzung des Internetzugangs frühestmöglich zu löschen (§ 6 Abs. 2 TDDSG). Rechnet der KSP die Kosten für die Privatnutzung des Internetzugangs (z.B. Fernsprechgebühren und kalkulatorische Kosten) unmittelbar mit den Konzernmitarbeitern ab, hat er dafür zu sorgen, daß lediglich die für die Abrechnung erforderlichen Daten gespeichert und verwendet werden; das sind regelmäßig nur Zeitpunkt und Dauer der Inanspruchnahme des Internetzugangs. Das gleiche gilt, wenn der KSP die Kosten über das Beschäftigungsunternehmen abrechnet. Trägt das Beschäftigungsunternehmen die Kosten für die Privatnutzung des Internetzugangs durch seine Mitarbeiter, dürfen diesem nur anonymisierte und aggregierte Daten für Abrechnungszwecke weitergegeben werden.
Ist die private Nutzung des Internetzugangs durch Mitarbeiter vom Beschäftigungsunternehmen nur mit zeitlichem Limit zugelassen, kann der KSP im Auftrag des Beschäftigungsunternehmens die Nutzungsdauer aufzeichnen und diesem zu Kontrollzwecken zugänglich machen; für die Verarbeitung gilt insoweit § 28 Abs. 1 Nr. 2 BDSG. Die für diesen Zweck gespeicherten personenbezogenen Daten sind jedoch in angemessener Zeit zu löschen. Die Zulässigkeit der Privatnutzung sollte mit allen Rahmenbedingungen, insbesondere auch den vorgesehenen Kontrollmöglichkeiten, in den Konzernunternehmen geregelt und den Mitarbeitern bekanntgegeben werden; da sich die bei der Privatnutzung des Internetzugangs anfallenden Daten auch zur Verhaltens- und Leistungskontrolle eignen, sind die Mitbestimmungsrechte des Betriebsrats nach dem Betriebsverfassungsgesetz zu beachten.
Der KSP, der den E-Mail-Service für die anderen Konzernunternehmen betreibt (z.B. Mail-Server, Router), ist Diensteanbieter i.S.d. TDG. Er ist für die technische Sicherheit der Kommunikationseinrichtungen verantwortlich. Nutzer ist das jeweilige Konzernunternehmen, für dessen Geschäftsbetrieb E-Mails versandt oder empfangen werden. Daten aus dem geschäftlichen E-Mail-Verkehr stehen dem jeweiligen Konzernunternehmen zu; dies gilt sowohl für die Inhalte empfangener und versandter E-Mails als auch für die näheren Umstände der E-Mail-Kommunikation. In Bezug auf die beim Transport von E-Mail anfallenden Telekommunikationsdaten unterliegt der KSP den einschlägigen Vorschriften des Telekommunikationsgesetzes (TKG). Gegenüber Dritten, die nicht an einem Kommunikationsvorgang beteiligt sind (so z. B. der Konzernmutter), hat der KSP das Fernmeldegeheimnis zu wahren (§ 85 TKG). Er darf deshalb weder über die näheren Umstände von E-Mail-Kommunikation (Mail-Adressen, Verbindungszeit und -dauer, Umfang übertragener Mails oder Dateien) noch über deren Inhalt Auskunft geben.
Der E-Mail-Service unterliegt als Teledienst den Vorschriften des TDDSG und, soweit bei dessen Durchführung auch Telekommunikationsdaten (insbesondere Verbindungs- und Inhaltsdaten) anfallen, den Vorschriften des TKG über das Fernmeldegeheimnis (§ 85 TKG). Der KSP ist als Diensteanbieter für die datenschutzgerechte Gestaltung des E-Mail-Systems und die Gewährleistung des Fernmeldegeheimnisses gegenüber Dritten, auch gegenüber dem Beschäftigungsunternehmen, verantwortlich. Er hat dafür zu sorgen, daß eine eindeutige private Adressierung von E-Mails als Unterscheidungsmerkmal zur betrieblichen E-Mail eingerichtet ist.
Wenn eine Kennzeichnung privater E-Mails systemtechnisch nicht vorgesehen ist, erstreckt sich seine Geheimhaltungspflicht nach dem TKG auch auf den betrieblichen E-Mail-Verkehr. Wenn die Privatnutzung des E-Mail-Systems betriebsintern mengenmäßig oder zeitlich limitiert und diese Regelung den Beschäftigten bekanntgegeben worden ist, sind Mißbrauchskontrollen durch das Beschäftigungsunternehmen zulässig; der KSP kann dem Beschäftigungsunternehmen zur Durchführung solcher Mißbrauchskontrollen die erforderlichen Daten der Beschäftigten zur Verfügung stellen oder im Auftrag des Unternehmens Auswertungen vornehmen. Vom Inhalt der E-Mail-Kommunikation darf der KSP nach dem derzeit geltenden Telekommunikationsrecht sich oder dem Beschäftigungsunternehmen keine Kenntnis verschaffen (§ 85 Abs. 3 TKG); ob die noch zu erlassende Datenschutzverordnung (§ 89 TKG) hier für Sonderfälle Änderungen bringt, bleibt abzuwarten.
Inhaltsdaten der versandten und empfangenen E-Mails sind unverzüglich nach dem Abruf bzw. dem Versand zu löschen Verbindungsdaten kann der KSP speichern, soweit diese notwendig sind, um die Inanspruchnahme des E-Mail-Dienstes gegenüber Konzernmitarbeitern unmittelbar abzurechnen oder zur Abrechnung an Dritte weiterzugeben (§ 6 TDDSG). Wegen der Modalitäten der Abrechnung und der Notwendigkeit betriebsinterner Regelungen sowie der Beteiligung des Betriebsrats wird auf Nr. 1.2 verwiesen.
Für den Inhalt von Informationsangeboten, die der KSP im Auftrag anderer Konzernunternehmen auf seinen Datenverarbeitungsanlagen zum Abruf bereithält, ist der KSP grundsätzlich nicht verantwortlich (§ 5 Abs. 2 TDG). Der KSP hat jedoch für die datenschutzgerechte Gestaltung der technischen Systeme zu sorgen (§ 4 TDDSG). So hat er insbesondere für die Protokollierung von Einwilligungen und die Bereithaltung der Einwilligungen zum Abruf durch den Nutzer (§ 3 Abs. 7 TDDSG), die getrennte Verarbeitung der Inanspruchnahme von Informationsangeboten verschiedener Konzernunternehmen (§ 4 Abs. 2 Nr. 4 TDDSG) und die Anzeige der Weitervermittlung des Nutzers bei der Inanspruchnahme von Hyperlinks (§ 4 Abs. 3 TDDSG) sicherzustellen.
Personenbezogene Daten von Nutzern darf er an Konzernunternehmen, für die er Angebote betreut, nur weitergeben, wenn er sich vergewissert hat, daß die Nutzer ausreichend unterrichtet sind (§ 3 Abs. 5 TDDSG) oder in den Verwendungszweck eingewilligt haben (§ 3 Abs. 2 TDDSG). Personenbezogene Daten, die der Nutzer beispielsweise durch Ausfüllen eines Bestellformulars zum Zwecke der Vertragsanbahnung oder des Vertragsabschlusses über sich offen legt, dienen nicht der Durchführung des Teledienstes (§ 3 Abs. 1 TDDSG); sie sind vom KSP dem (künftigen) Vertragsunternehmen zur Verfügung zu stellen und können von diesem im Rahmen des § 28 BDSG vearbeitet werden. I.ü. ist das jeweilige Konzernunternehmen, in dessen Auftrag der KSP Informationsangebote zum Abruf über das Internet bereithält, ebenfalls Diensteanbieter i.S.d. TDG. Dieses ist für den Inhalt der Angebote und die Erfüllung der Impressumspflicht (§ 6 TDG) verantwortlich.
Der KSP darf für die Abrechnung seiner Dienstleistungen mit den auftraggebenden Konzernunternehmen personenbezogene Daten nur verarbeiten, soweit dies für die Abrechnung seiner Kosten mit den Auftraggebern oder der Zuordnung der Kosten zu Kostenstellen innerhalb der auftraggebenen Unternehmen erforderlich ist. Personenbezogene Daten von Nutzern außerhalb des jeweiligen Konzernunternehmens oder von Konzernmitarbeitern, welche die Systeme privat nutzen, werden dazu im Regelfall nicht erforderlich sein; eine Zusammenstellung über den Umfang der Nutzung der Dienstleistungen ggf. gegliedert nach Organisationseinheiten der Unternehmen wird sowohl für die Abrechnung des KSP mit den Unternehmen als auch für die Zuordnung der Kosten in den Unternehmen ausreichen.
Die Ausführungen unter Nrn. 1.1 bis 1.6 gelten auch für Internetdienstleistungen des in Deutschland ansässigen KSP für ausländische Konzernunternehmen mit der Einschränkung, daß der KSP personenbezogene Daten von Mitarbeitern, deren Daten aus der dienstlichen Nutzung herrühren, nur an das ausländische Beschäftigungsunternehmen weitergeben darf, wenn die Übermittlungsvoraussetzungen des BDSG vorliegen; dabei ist insbesondere dafür zu sorgen, daß die Daten beim Empfänger angemessen geschützt werden. Der deutsche KSP hat gegenüber ausländischen Konzernunternehmen - auch gegenüber der Konzernmutter - die Rechtsstellung eines Dritten und kann die Vorrechte als Auftragsdatenverarbeiter nach § 11 BDSG nicht in Anspruch nehmen.
2. Kundenbefragungen bei Kreditinstituten
Kreditinstitute haben ein Interesse daran, die Qualität ihrer Dienstleistungen zu überprüfen. Es kommt vor, daß sie zu diesem Zweck ein Markt- und Meinungsforschungsinstitut mit einer Kundenbefragung beauftragen. Wenn dem Markt- und Meinungsforschungsinstitut in diesem Zusammenhang personenbezogene Daten der Kunden zur Verfügung gestellt werden, stellt sich die Frage, ob dies datenschutzrechtlich zulässig ist.
In der Praxis hat sich gezeigt, daß es bei der Beurteilung dieser Frage maßgeblich darauf ankommt, wie die Zusammenarbeit zwischen dem Kreditinstitut und dem Markt- und Meinungsforschungsinstitut ausgestaltet ist.
Erhält das Forschungsinstitut nur einen allgemein gehaltenen Auftrag, bei dem es den Umfang und die Art der Fragen sowie den Ablauf der Untersuchung selbständig bestimmen kann, kann die Verarbeitung der personenbezogenen Daten der Kunden nicht mehr als "Datenverarbeitung im Auftrag" im Sinne von § 11 BDSG bewertet werden. Die Datenverarbeitung im Auftrag ist durch die Beschränkung auf eine ausführende Tätigkeit gekennzeichnet. Es ist bei dieser Fallgestaltung vielmehr von einer Datenübermittlung auszugehen. Für eine Übermittlung stellt § 28 BDSG keine ausreichende Grundlage dar. Zum einen liegt die Kundenbefragung nicht mehr im Rahmen der konkreten Vertragsbeziehung mit dem Kunden, da sie für die ihm gegenüber konkret zu erbringenden Finanzdienstleistung nicht erforderlich ist. Die Anwendung des
§ 28 Abs. 1 Nr. 1 BDSG scheidet daher aus. Auch § 28 Abs. 1 Nr. 2 BDSG kommt als Rechtsgrundlage nicht in Frage, da die personenbezogenen Daten regelmäßig so sensibel sein werden, daß überwiegende schutzwürdige Interessen der Kunden berührt sind. Daher ist die Einwilligung des Kunden einzuholen. Eine bloße Unterrichtung wäre nicht ausreichend.
Es sind jedoch auch andere Verfahrensgestaltungen denkbar. Beispielsweise ist es auch möglich, daß das Markt- und Meinungsforschungsinstitut einen Fragebogen entwickelt, der vom Kreditinstitut unmittelbar selbst an die Kunden versandt wird. Wenn die Kunden die Möglichkeit haben, den ausgefüllten Fragebogen anonym an das Forschungsinstitut zur Auswertung zurückzuleiten, ist dies datenschutzrechtlich nicht zu beanstanden.
Denkbar ist auch, daß Art und Umfang der Fragen sowie der Ablauf der Untersuchung zuvor von dem Kreditinstitut und dem Markt- und Meinungsforschungsinstitut gemeinsam festgelegt werden. In diesem Fall kann von einer "Datenverarbeitung im Auftrag" im Sinne von § 11 BDSG ausgegangen werden, wenn dem Markt- und Meinungsforschungsinstitut personenbezogene Daten nur in dem unverzichtbaren Umfang zur Verfügung gestellt und konkrete Vorgaben für eine möglichst frühzeitige Anonymisierung gemacht werden.
Um auszuschließen, daß bei der Datenverarbeitung im Auftrag schutzwürdige Interessen des Kunden berührt werden, sind die Kunden über die beabsichtigte Befragung zu informieren. Dabei ist konkret anzugeben, welche personenbezogenen Daten zu diesem Zweck an welche Stelle weitergegeben werden sollen. Insbesondere ist offenzulegen, ob die Angaben des Kunden dem auftraggebenden Kreditinstitut zur Beschwerdebearbeitung unter Nennung des Kunden zurückgemeldet werden sollen. Dem Kunden wird auf diese Weise Gelegenheit gegeben, schutzwürdige Interessen geltend zu machen und der Weitergabe seiner Daten zu widersprechen. Zweckmäßig wird dabei auch darüber informiert, innerhalb welcher Frist bei welcher Stelle der Widerspruch einzulegen ist. Eine Information der Kunden erscheint auch deshalb geboten, weil der Kunde von einer unbefugten Übermittlung ausgehen wird, wenn er von einem Markt- und Meinungsforschungsinstitut unvermittelt auf seine Kundenbeziehung zu seinem Kreditinstitut angesprochen wird.
3. Einzug von Forderungen gegenüber Einzelhandelskunden im Wege des elektronischen Lastschriftverfahrens durch externe Abrechnungsstellen
Im Einzelhandel hat der Kunde zunehmend die Möglichkeit, mit seiner EC-Karte bargeldlos zu bezahlen. Neben der Geldkarte und dem bankenabhängigen EC-Lastschriftverfahren gibt es auch elektronisch unterstützte Lastschrifteinzugsverfahren des Handels, hier mit "ELV" bezeichnet. Bei diesen Verfahren wird an dem Kassenterminal des Händlers beim Bezahlen die Bankleitzahl und die Kontonummer aus der EC-Karte des Kunden ausgelesen und zusammen mit den Daten des Kaufes ein Datensatz erzeugt. Zugleich wird eine vom Kunden zu unterschreibende Abbuchungsermächtigung ausgedruckt, mit der der Kunde seine Bank ermächtigt, ihr auf Anforderung der Abrechnungsstelle seine Anschrift mitzuteilen. Die externe Abrechnungsstelle ist ein selbständiges Unternehmen, das für eine Vielzahl von Händlern das Lastschriftinkasso unbestrittener Forderungen vornimmt. Zwischen dem Kunden und Abrechnungsstelle gibt es keine vertraglichen Beziehungen. Der Datensatz wird auf elektronischem Wege an die Abrechnungsstelle übermittelt. Die Abbuchungsermächtigung verbleibt beim Händler, der sie erst im Falle der Nichteinlösung der Lastschrift an die Abrechnungsstelle weitergibt.
Es handelt sich bei der Tätigkeit der Abrechnungsstelle datenschutzrechtlich betrachtet um keine Auftragsdatenverarbeitung, sondern um eine eigene Tätigkeit der Abrechnungsstelle. Der vom Händler übermittelte Datensatz enthält keine personenbezogene Daten, da die Abrechnungsstelle die Kontonummer und Bankleitzahl keiner Person zuordnen kann. Erst im Falle der Nichteinlösung kommt die Abrechnungsstelle in den Besitz personenbezoger Kundendaten, indem sie die Abbuchungs- und Adreßweitergabeemächtigung vom Händler erhält und darauf von der Bank des Kunden dessen Name und Anschrift bekommt.
Kunden, bei denen die Lastschrift nicht eingelöst wird, kommen in eine Sperrdatei bei der Abrechnungsstelle und sind bis zur Begleichung der Forderung für die weitere Teilnahme am ELV gesperrt.
Datenschutzrechtlich zulässig ist die eigene Sperrdatei für jeden Händler, sofern es sich um eine unbestrittene Forderung handelt. Führt die Abrechnungsstelle jedoch eine gemeinsame Sperrdatei für alle mit ihr vertraglich verbundenen Händler, so betreibt sie damit eine geschäftsmäßige Datenspeicherung zum Zwecke der Übermittlung nach § 29 BDSG. Die Speicherung und Übermittlung ist nach § 29 Abs. 1 Nr. 1 und Abs. 2 Nr. 2 BDSG zulässig. Durch den Ausschluss vom ELV wird kein schutzwürdiges Interesse des Kunden er kann jederzeit bar oder mit Euroscheck bezahlen - verletzt. Jeder Händler hat ein berechtigtes Interesse daran zu wissen, ob der Kunde solvent genug ist, um auf die Barzahlung verzichten zu können.
Nach § 32 Abs. 1 Ziff. 1 BDSG ist die geschäftsmäßige Speicherung von Daten zum Zwecke der Übermittlung der Aufsichtsbehörde zum Datenschutzregister zu melden.
Nach § 33 Abs. 1 Satz 2 i.V.m. Abs. 2 Ziff. 1 BDSG muß der Kunde vor der erstmaligen Übermittlung des Eintrags an Dritte informiert werden. Diese Information kann durch einen entsprechenden Hinweis auf der Einzugsermächtigung gegeben werden. Der Hinweis muß enthalten, welche Daten welchem Personenkreis zur Verfügung gestellt werden.
"Wird eine Lastschrift von der Bank nicht eingelöst, so ist eine weitere Teilnahme am Lastschriftverfahren bis zur Bezahlung der offenen Forderung nicht möglich. Kontonummer und Bankleitzahl werden solange in eine Sperrdatei aufgenommen und allen angeschlossenen Händlern zum Abgleich zur Verfügung gestellt."
Bei den ELV besteht i.d.R ein Limit, das einen Höchstbetrag noch nicht bezahlter Einkäufe festlegt, da i.d.R. die Abrechnungsstellen bis zum Limit eine Einlösegarantie übernehmen. Dies wird i.d.R. dadurch realisiert, daß am Händlerterminal signalisiert wird, daß das Limit überschritten ist.
Bei Abrechnungsstellen, die für mehrere Händler arbeiten, wird oftmals ein systemweites Limit gebildet, das für die Summe der Einkäufe des Kunden bei allen angeschlossenen Händlern gilt.
Die Anzeige der Limitüberschreitung beim Händlerterminal ist die Bekanntgabe eines personenbezogenen Datums des Kunden. Dies ist nur mit seiner Einwilligung zulässig. Da die Limitüberschreitung voraussetzt, daß das Kaufverhalten des Betroffenen beobachtet und aufgezeichnet wird, können dadurch auch schutzwürdige Belange verletzt werden. Im Regelfall weiß der Kunde nichts von dem Limit, und inwieweit es gerade ausgeschöpft ist, im Unterschied zur Sperrdatei, wo ihm bekannt sein muß, daß eine Lastschrift nicht eingelöst wurde. Es ist ihm oft auch nicht bekannt, welche Händler bei einer bestimmten Abrechnungsstelle angeschlossen sind. Der Kunde ist daher in der Einzugsermächtigung darauf hinzuweisen, daß eine Limitüberschreitung an jedem Kassenterminal angezeigt wird, an dem der Kunde darüber hinausgehend bargeldlos bezahlen will.
"Überschreiten Ihre Einkäufe, die noch nicht abgebucht wurden, das Limit von <Limitbetrag> DM, so wird dies am Kassenterminal angezeigt, wenn Sie darüber hinaus bargeldlos bezahlen möchten."
Da die interne Abwicklung des ELV dem Kunden unbekannt ist, kommt der Einzugsermächtigung eine besondere Bedeutung im Hinblick auf die Information des Kunden zu. Die oben angeführte Einwilligung ist im äußeren Erscheinungsbild der Erklärung hervorzuheben (§ 4 Abs. 2 BDSG).
4. Datenschutzgerechte Behandlung von gebrauchten Festplatten
Die Festplatten gehörten als Datenspeicher zu den wichtigsten Bestandteilen eines Computersystems. Da im Regelfall die Daten auf ihnen jedoch unverschlüsselt abgspeichert werden, kann jeder, der in den Besitz einer Festplatte gelangt, von den Daten Kenntnis erlangen.
Einfaches Löschen der betreffenden Datei mit den zur Verfügung stehenden Funktionen des Betriebssystems oder des Anwendungsprogramms entfernt die Daten nicht tatsächlich, sondern macht sie nur "unsichtbar" und gibt den Speicherplatz zum Überschreiben wieder frei. Solange dieser Speicherplatz jedoch nicht mit anderen Daten überschrieben ist, kann die vermeintlich gelöschte Datei mit entsprechender Systemkenntnis und mit Hilfsmitteln weiterhin gelesen werden. Diesen Umstand machen sich z.B. Software-Tools mit "Undelate-Funktion" zu Nutze, mit der man ver- sehentlich gelöschte Dateien wieder reaktivieren kann.
Einen wirksamen Schutz gibt es nur, wenn die zu löschenden Dateien mit einem speziellen Löschprogramm überschrieben werden. Problematisch ist die Sache dann, wenn die Festplatte wegen eines Defekts nicht mehr überschrieben werden kann. Wird die Festplatte im PC ausgetauscht und vom Servicebetrieb später repariert, so besteht die Gefahr, daß ein Dritter in ihren Besitz kommt.
Wird eine Festplatte während der Garantiezeit defekt, so hat der Kunde i. d. R. einen vertragsrechtlichen Anspruch auf den Austausch des defekten Datenträgers. Der Händler bzw. der Reparaturbetrieb tauscht die Festplatte aus und gibt sie an seinen Lieferanten weiter, um selbst wieder Ersatz zu erhalten. Da Festplatten in gewissem Umfange repariert werden können, kann es nun vorkommen, daß die ehemals defekte Festplatte nach der Reparatur wieder zurück zu einem Händler kommt, der sie wieder in ein Kundengerät einbaut, ohne daß die ursprünglichen Daten gelöscht sind.
Wir bewerten diese Angelegenheit unter datenschutzrechtlichen Gesichtspunkten wie folgt:
Wenn ein Kunde seinen PC zur Reparatur abgibt, muß er grundsätzlich selbst für die Sicherung der Daten sorgen (Anlegen von Sicherungskopien, Löschen einzelner Dateien oder der gesamten Festplatte). Dies ist insbesondere dann von Bedeutung, wenn personenbezogene Daten Dritter auf der Festplatte gespeichert sind.
Ist dem Kunden die o.a. Sicherung aufgrund des Defekts nicht möglich, so muß er die Servicestelle darauf hinweisen, daß auf der Festplatte personenbezogene Daten gespeichert sind. In diesem Falle muß die Servicestelle, wenn die Festplatte ausgetauscht wird, dafür sorgen, daß die Daten auf der alten Festplatte gelöscht werden, bevor sie nach eventueller Reparatur weiterverwendet wird.
Nimmt die Servicestelle den PC lediglich zur Reparatur an, ohne die Reparatur selbst durchzuführen, muß sie gegenüber dem Betroffenen angeben, welcher Subunternehmer eingeschaltet wird. Es ist dann Sache des Betroffenen, ob er unter diesen Voraussetzungen den Reparaturauftrag erteilt.
Die Servicestelle, die den PC zur Reparatur weitergibt, muß den Subunternehmer darauf aufmerksam machen, daß die Festplatte persönliche Daten des betroffenen Kunden enthält, und ihm die Verpflichtung auferlegen, die alte Festplatte im Falle eines Austauschs der Festplatten zu löschen, wenn nicht auszuschließen ist, daß die Festplatte weiterverwendet wird.
Sind auf der Festplatte Daten gespeichert, die einer besonderen Schweigepflicht i. S. § 203 StGB wie z.B. der ärztlichen Schweigepflicht unterliegen, so darf der PC bzw. die Festplatte nur dann zur Reparatur außer Haus gegeben werden, wenn die betreffenden Daten zuvor sicher gelöscht sind. Ist dies nicht möglich, so ist die Festplatte unter Aufsicht mit einem Gerät, das ein Magnetfeld erzeugt, zu löschen. Steht so ein solches Gerät dem Händler nicht zur Verfügung, so darf die Festplatte nur mechanisch zerstört weitergegeben werden, auch auf die Gefahr hin, daß der Hersteller dann die Garantieleistung verweigert.
Die Aufsichtsbehörde weist darauf hin, daß eine durch ein Magnetfeld gelöschte Festplatte unter Umständen nicht mehr reparabel sein kann.

References: § 28
 § 11
 § 9
 § 4
 § 28
 § 28
 § 11
 § 11
 § 28

§ 28
 § 28
 § 11
 § 29
 § 29
 § 32
 § 33
 § 203