Source: http://dr-mueck.de/HM_Kommunikation/Datenschutz-Lexikon.htm
Timestamp: 2017-05-23 06:55:38+00:00

Document:
Datenschutz-Lexikon Forum-Verlag
Die folgenden Ausführungen wurden mit freundlicher Genehmigung des Forum-Verlages der "PC-Dokumentenmappe Datenschutz II" entnommen. Weitere Informationen und Bestellmöglichkeiten unter http://www.forum-verlag.com/845
Anonymisieren ist das Verändern personenbezogener Da­ten derart, dass die Einzelangaben über persönliche oder sach­liche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. (§ 3 Abs. 6 BDSG)
Aufbewahrungsfristen ergeben sich vor allem aus dem Handelsgesetzbuch (HGB). Geschäftsunterlagen und Handels- und Geschäftsbriefe sowie Unterlagen, die für die Besteuerung wichtig sind, haben Aufbewahrungsfristen von sechs bzw. zehn Jahren. Dazu gehören auch als Dateien gespeicherten Dokumente und Emails. Enthalten die aufzubewahrenden Dokumente datenschutzrechtlich relevante Inhalte, so geht die Aufbewahrungspflicht der grundsätzlichen Pflicht zur sofortigen Löschung nicht mehr benötigter personenbezogener Daten vor.
Von Datenverarbeitung im Auftrag spricht man, wenn sich die verantwortliche Stelle einer Stelle bedient, die für diese im Auftrag pb-Daten erhebt, verarbeitet oder nutzt (z. B. Datenerfassungsbüros oder Direktmarketing, Lohn- oder Gehaltsabrechnungen).
Lässt ein Unternehmen personenbezogene Daten durch ein Dienstleistungs-unternehmen bearbeiten, bleibt die datenschutzrechtliche Verantwortung bei dem beauftragenden Unternehmen. Bei der Auswahl des Auftragnehmers sollte deshalb stets besonderes Augenmerk auf den dortigen Sicherheitsstandard gelegt werden. Die Auftragsvergabe muss schriftlich erfolgen und die Festlegung der Datenverarbeitung (Erhebung, Verarbeitung oder Nutzung), der technischen und organisatorischen Maßnahmen und etwaiger Auftragsverhältnisse umfassen. Dies gilt auch bei Konzerngesellschaften und für die Wartung automatisierter Verfahren und DV-Anlagen (Rechenzentrumsdienstleistungen).
Die Auskunft muss schriftlich und in der Regel unentgeltlich erteilt werden.
Automatisiert getroffene Entscheidungen, die für den Betroffenen rechtliche Folgen haben oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich aufgrund einer automatisierten Datenverarbeitung von personenbezogenen Daten getroffen werden, die zur Bewertung von Persönlichkeitsmerkmalen dient (z. B. berufliche Leistungsfähigkeit, Kreditwürdigkeit, Zuverlässigkeit, Verhalten). Solche Entscheidungen sind nur zulässig, wenn sie im Rahmen des Abschlusses oder der Erfüllung eines Rechtsverhältnisses ergehen und dem Begehren des Betroffenen stattgegeben wird, oder wenn die Wahrung berechtigter Interessen des Betroffenen durch geeignete technische Maßnahmen gewährleistet sind und der Betroffene hierüber informiert wurde, § 6a BDSG.
Eine automatisierte Verarbeitung liegt immer dann vor, wenn personenbezogene Daten unter Einsatz von DV-Anlagen erhoben, verarbeitet oder genutzt werden. (Beispiele: Personal-Datenbank, Bewerber-Daten, Adress-Daten, Lieferanten-Daten)
Betriebsrat Der betriebliche Datenschutzbeauftragte ist unabhängig in der Ausübung seiner Tätigkeit, deshalb unterliegt er nicht der Kontrolle durch den Betriebsrat. Der Betriebsrat hat allerdings die Aufgabe, die Umsetzung der datenschutzrechtlichen Vorgaben im Unternehmen zu überprüfen. Betriebsvereinbarungen
Bilder unterliegen bei ihrer Veröffentlichung, sowohl im Internet als auch in sonstigen Medien, dem Urheberschutz. Grundsätzlich ist die Einwilligung des Berechtigten vor deren Veröffentlichung einzuholen. Auch die Veröffentlichung von Personalfotos in Druckschriften oder im Internet bedarf der Einwilligung sämtlicher abgebildeten Mitarbeiter. Diese kann jederzeit wieder zurückgenommen werden.
Cookies sind Informationen, die von einem entsprechend programmierten Web-Server bei dessen Besuch in eine (von der Browser-Software definierte) Datei auf die Festplatte des Besuchers geschrieben und auch wieder ausgelesen werden können. So erhält der Web-Server Informationen über das Navigationsverhalten und damit Informationen über die Interessen des Internetnutzers.
Unter Data Warehouse versteht man eine Konzeption zur zentralisierten Datenhaltung und integrierten betriebswirtschaftlichen Auswertung. Die Nutzung erfolgt durch Zusammenführung verschiedener Datensätze. Umfangreiche Datenbestände werden mit dem Ziel analysiert, Führungsinformationen zur Verfügung zu stellen (z. B. Auskunft über profitable Kunden zu geben, einen verbesserten Kundendienst zu ermöglichen, ein Frühwarnsystem für Geschäftsprozesse zu etablieren oder Produkteinführungen optimal vorzubereiten).
Verstöße gegen das Datengeheimnis können neben personellen Konsequenzen auch die Verfolgung als Ordnungswidrigkeit oder gar als Straftat zur Folge haben! Datennutzung
Datennutzung ist jede sonstige Verwendung von Daten außer Verarbeitung (z. B: Verwendung bereits bedruckter Adressaufkleber).
Datenschutzaufsichtsbehörden, Aufgaben und Befugnisse der
- anlassunabhängige Kontrolle
Die Pflicht zur Bestellung von Datenschutzbeauftragten gilt sowohl für Stellen der öffentlichen Verwaltung als auch für privatwirtschaftliche Unternehmungen. Datenschutzbeauftragte müssen bestellt werden, wenn mehr als vier Arbeitnehmer mit der automatisierten oder mindestens zwanzig Mitarbeiter mit der nicht automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind oder die Verarbeitung der Vorabkontrolle unterliegt.
Der Datenschutzbeauftragte wird von der Geschäftsleitung bestellt und ist ihr unmittelbar unterstellt. Er ist weisungsfrei bei der Ausübung seiner Tätigkeit. Das Unternehmen hat die Pflicht, ihn zu unterstützen (z. B. durch Hilfsmittel wie Räume, Einrichtungen, Geräte und Mittel). Der Datenschutzbeauftragte darf wegen seiner Tätigkeit nicht benachteiligt werden. Er hat das Recht zur Anrufung der Aufsichtsbehörde. Betroffene können sich jederzeit an ihn wenden. Datenübermittlung
Die Bekanntgabe personenbezogener Daten durch die verantwortliche Stelle an einen Dritten wird als Datenübermittlung bezeichnet. Eine Übermittlung von Daten erfolgt dann, wenn die verarbeitende Stelle personenbezogene Daten durch Weitergabe, Einsichtnahme oder Abruf Dritten zukommen lässt. Die Übermittlung oder Nutzung personenbezogener Daten ist zulässig zur Wahrung berechtigter Interessen eines Dritten oder öffentlicher Interessen, zur Abwehr von Gefahren für die öffentliche Sicherheit/Verfolgung von Straftaten, bei Gruppendaten in Listenform für Zwecke der Werbung und der Markt- und Meinungsforschung unter Berücksichtigung der schutzwürdigen Interessen des Betroffenen, zur wissenschaftlichen Forschung. Der Betroffene kann der Nutzung oder Übermittlung für Zwecke der Werbung, Markt- oder Meinungsforschung widersprechen. Die Übermittlung sensitiver Daten unterliegt weiteren Voraussetzungen.
Datenübermittlung durch automatisierte Abrufverfahren
Das Verfahren muss angemessen sein, d. h. die schutzwürdigen Interessen der Betroffenen und die Aufgaben oder Geschäftszwecke der beteiligten Stellen müssen berücksichtigt werden.
Für das Abrufverfahrens sind schriftliche Regelungen zu treffen über Anlass und Zweck, Angaben zum Dritten, an den übermittelt wird und zur Art der zu übermittelnden Daten.
Datensicherheitsmaßnahmen (acht Gebote des Datenschutzes)
§ 9 BDSG und seine Anlagen fordern eine datenschutzkonforme Organisation des Unternehmens bzw. der Behörde. Dabei sind insbesondere acht technische und organisatorische Datenschutz- und Datensicherungsmaßnahmen zu treffen.
Das BDSG stellt an die kommerzielle Datenverarbeitung zum Zwecke der Übermittlung durch Auskunfteien, Adresshändler oder Markt- und Meinungsforschungsinstitute besondere Anforderungen. Dabei ist grundsätzlich zwischen der Erhebung der Daten zum Zwecke ihrer Weitergabe und der Weitergabe als solcher zu unterscheiden.
Bei der Erhebung der Daten muss bereits geprüft werden, ob beim Betroffenen kein Grund zur Annahme eines schutzwürdigen Interesses am Ausschluss der Erhebung, Speicherung oder Veränderung seiner personenbezogenen Daten besteht. Werden die Daten aus allgemein zugänglichen Quellen entnommen, ist zu prüfen, ob ein schutzwürdiges Interesse des Betroffenen besteht, das jenes an der Erhebung, Speicherung oder Veränderung der Daten überwiegt. In diesen Fällen ist bereits die Erhebung der Daten unzulässig. Ferner muss bereits jetzt der Verwendungszweck der zu erhebenden Daten verbindlich festgelegt werden. Eine Änderung dieses Zweckes ist zu einem späteren Zeitpunkt nicht möglich.
Personenbezogene Daten sind grundsätzlich unmittelbar beim Betroffenen •und mit seiner Kenntnis zu erheben.
Im Geschäftsverkehr ist die Email mit der normalen Briefpost vergleichbar. Sie gilt als zugegangen, wenn sie den Account des Empfängers erreicht und mit der Kenntnisnahme nach den gewöhnlichen Umständen gerechnet werden kann, also während der üblichen Geschäfts- bzw. Bürozeiten.
Gestattet ein Arbeitgeber seinen Arbeitnehmern die Nutzung des Unternehmens-Accounts für private Emails, so gilt er als Anbieter eines Teledienstes mit der Folge, dass er zur Wahrung des Fernmeldegeheimnisses gegenüber den Mitarbeitern verpflichtet ist. Private Emails der Mitarbeiter sollten von den geschäftlichen Emails strikt getrennt werden, da sie unter das Briefgeheimnisfallen, selbst wenn sie auf Speichermedien des Unternehmens verwahrt werden.
Email-Werbung ist ohne das vorherige Einverständnis des Beworbenen sowohl im privaten, als auch im gewerblichen Bereich unzulässig, Email-Werbung ohne Einwilligung verstößt nicht nur gegen die Grundsätze des Datenschutzes, sondern auch gegen die guten Sitten im Sinne des § 1 UWG. Ist der Empfänger ein Gewerbetreibender, kommt darüber hinaus auch ein unzulässiger Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb in Betracht.
Die Erfordernis zur Einwilligung ist in § 4 Abs. 1 BDSG geregelt und in ausgestaltet. Die Einwilligung des Betroffenen in die Erhebung personenbezogener Daten muss vor Beginn der Datenerhebung erfolgen (§ 4 Abs. 1 und § 4a BDSG). Dabei ist der Zweck der Erhebung zu nennen. Sie bedarf i. d. R. der Schriftform. Pauschalisierte Einwilligungen und solche ohne zeitliche und inhaltliche Begrenzung sind nicht zulässig.
Für die Erhebung sensitiver Daten (§ 3 Abs. 9 BDSG) muss sich die Einwilligung ausdrücklich auf diese beziehen.
Empfänger ist jede Person oder Stelle, die pb-Daten erhält (auch Organisationseinheiten innerhalb der verantwortlichen Stelle).
Der externe Datenschutzbeauftragte haftet, sofern nichts anderes vereinbart wurde, für Vorsatz und jede Form der Fahrlässigkeit. Die Haftung kann vertraglich eingeschränkt werden. Ein Haftungsausschluss für Vorsatz und grobe Fahrlässigkeit ist jedoch nicht möglich. In jedem Falle kommt lediglich eine Haftung gegenüber dem beauftragenden Unternehmen in Betracht. Eine unmittelbare Haftung gegenüber den Betroffenen besteht nicht.
Im Bereich der privaten Wirtschaft sind zunächst die Unternehmen als speichernde Stellen selbst für sie Einhaltung der Datenschutzstandards verantwortlich. Daneben bestehen Überwachungs- und Kontrollkompetenzen des jeweiligen Landesdatenschutzbeauftragten als Aufsichtsbehörde. Bei Fragen oder in Zweifelsfällen können sich die betrieblichen Datenschutzbeauftragten an die Aufsichtsbehörde wenden. Die Aufsichtsbehörde ist auch zuständig für die Vorabkontrolle bei meldepflichtigen Vorgängen.
Jedes einzelne Unternehmen eines Konzerns (Zusammenschluss mehrerer selbständiger juristischer Personen unter einer einheitlichen Führung), ist zur Bestellung eines Datenschutzbeauftragten verpflichtet, sofern die Anforderungen des § 4f BDSG erfüllt sind. Es kann ein Konzerndatenschutzbeauftragter bestellt werden. Dieser ist in der Firma, welche ihn als Arbeitnehmer beschäftigt, interner und in den anderen Unternehmen des Konzerns externer Datenschutzbeauftragter. Der Konzerndatenschutzbeauftragte muss in jedem einzelnen Unternehmen schriftlich ernannt werden.
Ein Konzernprivileg, wie es in anderen Rechtsgebieten vorhanden ist, kennt das BDSG nicht. Die Übermittlung personenbezogener Daten zwischen einzelnen juristischen Personen innerhalb eines Konzern unterfällt somit uneingeschränkt den Regelungen des BDSG.
Unter Löschung personenbezogener Daten versteht man deren unwiederbringliche Vernichtung. Personenbezogene Daten sind unverzüglich zu löschen beim Wegfall des Grundes ihrer Erhebung, bei unzulässigen Daten und bei. besonderen Datenarten oder Daten über Strafhandlungen oder Ordnungswidrigkeiten, deren Richtigkeit nicht bewiesen ist. Es ist nicht zulässig, Daten zur späteren Verwendung “auf Vorrat” zu speichern.
Für Adresshändler, Auskunfteien, Markt- und Meinungsforschungsinstitute gilt diese Ausnahmeregelung nicht.
Mobile personenbezogene Speicher- und Verarbeitungsmedien (Chipkarten)
Dies sind an den Betroffenen ausgegebene Datenträger, auf denen pb-Daten über die Speicherung hinaus durch die ausgebende Stelle automatisiert verarbeitet werden können und bei denen der Betroffene diese Verarbeitung nur durch den Gebrauch des Mediums beeinflussen kann. Der Betroffene ist über: den Herausgeber und seine Anschrift, die Funktionsweise und Art der zu verarbeitenden Daten, die Wahrung seiner Rechte und die zu treffenden Maßnahmen bei Verlust oder Zerstörung zu unterrichten. Geräte zur Auskunftserteilung sind unentgeltlich zur Verfügung zu stellen.
Der Versand von Newslettern per Email ist, auch wenn diese Werbung beinhalten, zulässig, soweit der Empfänger dem zuvor zugestimmt hat. Die Anfrage, ob zukünftig Newsletter übersandt werden dürfen, stellt jedoch eine unzulässige Email-Werbung dar.
Der Arbeitgeber muss bei der Personalaktenführung folgende Grundsätze berücksichtigen:
- Grundsatz der Zulässigkeit; die Erhebung der in den Personalakten befindlichen Daten muss zulässig sein
Nicht-automatisierte Dateien
Nicht-automatisierte Dateien sind nicht-automatisierte Sammlungen von pb-Daten, die gleichartig aufgebaut sind und nach bestimmten Merkmalen zugänglich sind und ausgewertet werden können. Personenbezogene Daten (pb-Daten)
Diese Daten unterliegen der Vorabkontrolle durch den DSB! Beispiele: Persönlichkeitsprofile, Lifestyle-Daten, Kunden-/Nutzungsprofile, personenbezogene Krankheitsstatistik ...
Die Robinsonliste wird vom Deutschen Direktmarketingverband geführt und enthält Einträge von Personen, die keine Zusendungen von Werbematerial erhalten wollen. Ihre Beachtung ist freiwillig. Schadensersatz
Der Datenschutzbeauftragte muss die im Unternehmen mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigten Mitarbeiter im Rahmen regelmäßiger Schulungen über neue Entwicklungen der gesetzlichen Bestimmungen zum Datenschutz sowie über die bereits getroffenen oder zu erwartenden innerbetrieblichen Maßnahmen unterrichten.
Hat ein Betroffener Widerspruch gegen die Nutzung seiner persönlichen Daten zum Zwecke der Werbung eingelegt, muss sichergestellt werden, dass dieser Widerspruch auch bei späteren Werbeaktionen. Hierzu ist es erforderlich, diesen Adressaten in eine Sperrdatei aufzunehmen. Sperrung von Daten
Wenn personenbezogene Daten eigentlich gelöscht werden müssten, dies aber aufgrund satzungsmäßiger oder gesetzlicher Aufbewahrungsfristen nicht möglich ist, eine Löschung die schutzwürdigen Interessen des Betroffenen beeinträchtigen würde oder die Löschung aufgrund der Art der Datenspeicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich wäre, dann müssen die Daten gesperrt werden. Personenbezogene Daten sind auch dann zu sperren, wenn ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt. Gesperrte Daten dürfen in der Regel nicht ohne Einwilligung des Betroffenen genutzt oder übermittelt werden.
Tragbarer PC (Laptop)
Die Speicherung personenbezogener Daten auf Laptops ist insbesondere dann problematisch, wenn sie unverschlüsselt erfolgt. Wird der Laptop gestohlen oder an einem privaten, nicht hinreichend gesicherten Anschluss mit dem Internet verbunden, ist der erforderliche Datenschutz nicht mehr gewährleistet. Sensible Daten sollten deshalb nach Möglichkeit nicht auf Laptops gespeichert werden. Ist dies unumgänglich, sollte die Speicherung stets in verschlüsselter Form erfolgen. Sensible Daten, insbesondere die in § 3 Abs. 9 BDSG genannten personenbezogenen Daten, dürfen auf tragbaren PC nur dann verarbeitet werden, wenn dies aufgrund der Aufgabenerfüllung unvermeidbar ist. Falls sensible bzw. personenbezogene Daten verarbeitet werden müssen, ist die Installation von Sicherheitssoftware erforderlich. Übermittlung von Daten
Eine Übermittlung von Daten erfolgt dann, wenn die verarbeitende Stelle personenbezogene Daten durch Weitergabe, Einsichtnahme oder Abruf Dritten zukommen lässt. Eine bloße Bereitstellung dieser Daten zum Abruf genügt hingegen nicht.
Eine automatisierte Verarbeitung personenbezogener Daten ist immer dann gegeben, wenn die Erhebung, Verarbeitung oder Nutzung unter dem Einsatz von Datenverarbeitungsanlagen erfolgt, § 3 Abs. 2 BDSG. Verarbeitung von Daten, nicht automatisierte
Nicht-automatisierte Dateien sind nicht-automatisierte Sammlungen von personenbezogenen Daten, die gleichartig aufgebaut sind und nach bestimmten Merkmalen zugänglich sind und ausgewertet werden können.
Hierfür genügt bereits eine alphabetische Ordnung, sofern personenbezogene Angaben als Suchkriterien für die Erhebung, Verarbeitung oder Nutzung fungieren. (Beispiele:
EDV-Listen, Mitarbeiterkartei, Buchausleihe, Schlüsselkartei, Personalfragebogen, Unfallberichte, Lohnsteuerkarten).
Jedermann hat das Recht auf Offenlegung des Unternehmens, welche personenbezogenen Daten zu welchem Zweck gespeichert und ggf. weitergegeben werden.
Das Unternehmen hat dem Datenschutzbeauftragten Verzeichnisse der meldepflichtigen Verfahren zur Verfügung zu stellen. Diese bilden die Grundlage des betrieblichen Datenschutzes. Ihr Inhalt richtet sich nach § 4e BDSG. Die Verfahrensübersicht muss eine hinreichende Aussagekraft haben und sich stets auf aktuellem Stand befinden. Das Verfahrensverzeichnis besteht aus einem öffentlichen und einem nicht öffentlichen Teil. Der öffentliche Teil muss auf Anfrage jedem Interessenten zugänglich gemacht werden. Es genügt, wenn er im Internet abrufbar ist.
Es besteht die Pflicht zur Information. Die betreffenden Bereiche müssen entsprechend gekennzeichnet sein. Es ist erkennbar zu machen, dass überwacht wird und wer dies tut Unmittelbar, wenn Zweck erreicht ist, müssen der erhobenen Daten gelöscht werden.
Strengere Anforderungen sind an die Verarbeitung personenbezogener Daten für fremde Zwecke geknüpft. Diese ist nur dann zulässig, wenn kein Grund zu der Annahme besteht, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Verarbeitung hat.
Zulässigkeit der Erhebung, Verarbeitung und Nutzung besonderer Arten von personenbezogenen Daten
Die Erhebung, Verarbeitung und Nutzung besonderer Arten personenbezogener Daten ist zulässig
- dies zur Durchführung wissensch. Forschung erforderlich ist
Über den Zweck muss der Betroffene informiert werden. Eine nur vage Definition der Zweckbestimmung genügt nicht. Sie muss so deutlich wie möglich formuliert werden. Eine vom ursprünglichen Zweck abweichende Bearbeitung oder Nutzung personenbezogener Daten ist ohne die erneute Einwilligung des Betroffenen nicht zulässig.

References: § 6

§ 9
 § 1
 § 4
 § 4
 § 4
 § 3
 § 3
 § 4