Source: http://docplayer.org/7741418-2-grundlagen-des-rechtsinstituts-des-datenschutzbeauftragten.html
Timestamp: 2018-05-25 19:44:50
Document Index: 33734203

Matched Legal Cases: ['Art. 28', 'Art. 18', 'Art. 83', 'EuG', 'Art. 28', 'Art 28', 'EuG', 'EuG', 'EuG', 'Art. 18', 'Art. 18']

2 Grundlagen des Rechtsinstituts des Datenschutzbeauftragten - PDF
Download "2 Grundlagen des Rechtsinstituts des Datenschutzbeauftragten"
2 2 Grundlagen des Rechtsinstituts des Datenschutzbeauftragten 2.1 Kontrollsystem des Datenschutzes im nichtöffentlichen Bereich Fremdkontrolle Fremdkontrolle im Bereich des Datenschutzes umfasst die Tätigkeit von staatlichen Behörden zum Zwecke der Einhaltung datenschutzrechtlicher Vorschriften. Nach Art. 28 Abs. 1 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr 19 (im Folgenden EG-Datenschutzrichtlinie) haben Mitgliedstaaten eine oder mehrere öffentliche Stellen (Aufsichtsbehörden, supervisory authority, autorité controlé) einzurichten, um den Datenschutz zu überwachen 20. Die Fremdkontrolle im nicht-öffentlichen Bereich basiert auf dem sog. Registrierungskonzept. Danach müssen die automatisierten Datenverarbeitungen durch nicht-öffentliche Stellen der zuständigen Behörde gemeldet werden 21. Diese kann die Einhaltung datenschutzrechtlicher Vorschriften prüfen und die Behebung festgestellter Missstände verlangen. Die Fremdkontrolle wird daher als Stück vorgezogenen Rechtsschutzes bezeichnet, die für die Einhaltung des Datenschutzes zu sorgen, insbesondere die betroffenen Personen bei der Durchsetzung ihrer Rechte zu unterstützen hat 22. Die oberste Kontrollinstanz in der Bundesrepublik Deutschland ist der Bundesbeauftragte für den Datenschutz. Dieser ist zwar grundsätzlich nur für den Datenschutz in öffentlichen Stellen des Bundes zuständig. Aufgrund spezieller gesetzlicher Regelungen wird die Kompetenz des Bundesbeauftragten für den Datenschutz auch auf den nicht-öffentlichen Bereich erstreckt. Nach 115 Abs. 4 TKG i. V. m. 21 und 24 bis 26 Abs. 1 bis 4 BDSG ist er für den Datenschutz in Telekommunikationsunternehmen und gemäß 42 Abs. 3 PostG i. V. m. 21 und 24 bis 26 Abs. 1 bis 4 BDSG bei der deutschen Post AG zuständig. 19 ABl. Nr. L 281 vom , S Vgl. auch Erwägungsgrund 62 der EG-Datenschutzrichtlinie. 21 Vgl. 4d Abs. 1 i. V. m. 38 Abs. 2 BDSG, Art. 18, 19, Erwägungsgrund 48 der EG- Datenschutzrichtlinie. 22 Tinnefeld/Ehmann/Gerling, Datenschutzrecht, S
3 Aufgrund der föderalen Struktur der Bundesrepublik Deutschland sind für die Fremdkontrolle im nicht-öffentlichen Bereich die Aufsichtsbehörden der Länder 23 nach Maßgabe des 38 BDSG i. V. m. Art. 83, 84 GG zuständig. Die organisatorische Ausgestaltung ist vom Bundesland zu Bundesland unterschiedlich. Die Gemeinsamkeit bestand allerdings zeitlang darin, dass alle Aufsichtsbehörden entweder einen Teil der staatlichen Verwaltung darstellten oder staatlicher Kontrolle unterworfen waren. Der EuGH hat in seinem Urteil vom festgestellt, dass das genannte System der Fremdkontrolle in der Bundesrepublik Deutschland gegen Art. 28 Abs. 1 Unterabs. 2 der EG-Datenschutzrichtlinie verstößt. Danach haben die öffentlichen Kontrollstellen die ihnen zugewiesenen Aufgaben in völliger Unabhängigkeit wahrzunehmen. Dies bedeutet, dass die staatlichen Kontrollstellen jeglicher unmittelbarer und mittelbarer Einflussnahme durch die Regierung, sonstige Behörden oder Stellen außerhalb der Staatsverwaltung entzogen sein müssen 25. Die für die Überwachung der Verarbeitung personenbezogener Daten durch nicht-öffentliche Stellen zuständigen Aufsichtsbehörden sind staatlicher Aufsicht unterstellt und können deshalb ihre Aufgaben nicht in völliger Unabhängigkeit i. S. v. Art 28. Abs. 1 Unterabs. 2 der EG-Datenschutzrichtlinie wahrnehmen 26. Als Reaktion auf das genannte Urteil des EuGH wurden in den Bundesländern dahingehende Änderungen vorgenommen, dass die Kontrolle der Aufsichtsbehörden auf die Landtage bzw. die Präsidenten der Landtage übertragen wurde 27. Da der Gegenstand dieser Arbeit im Bereich der innerbetrieblichen Selbstkontrolle liegt, wird auf diese Problematik nicht weiter eingegangen Innerbetriebliche Selbstkontrolle Die innerbetriebliche Selbstkontrolle stützt sich auf eine dezentralisierte Datenschutzkontrolle unter Einsatz von Datenschutzbeauftragten (auch Corporate Privacy Officer, Data Protection Delegate oder Personal Data Representative). Wird ein Datenschutzbeauftragter bestellt, so entfällt die Meldepflicht der automatisierten Datenverarbeitungen an die staatliche datenschutzrechtliche Kontrollbehörde (Aufsichtsbehörde) 28. Die Bestellung des Datenschutzbeauftragten 23 Zur Auflistung der Aufsichtsbehörden in den Bundesländer s. 24 NJW 2010, EuGH v , NJW 2010, EuGH v , NJW 2010, 1265, 1266 ff.. 27 z. B. 29 BayDSG, 26 BW LDSG, 22 BlnDSG, 22 HmbDSG, 25 BremDSG. 28 Vgl. 4d Abs. 2 BDSG, Art. 18 Abs. 2 der EG-Datenschutzrichtlinie. 8
4 kann als eine freiwillige Option, wie dies beispielsweise in Schweden und Niederlanden der Fall ist 29, oder als gesetzliche Pflicht nach deutschem Vorbild gemäß 4f Abs. 1 BDSG ausgestaltet sein. Die gesetzlich vorgeschriebene Pflicht zur Bestellung des Datenschutzbeauftragten greift zwar in die Organisation des Unternehmens ein 30. Der Eingriff ist allerdings durch den damit bezweckten Schutz des Persönlichkeitsrechts der Betroffenen gerechtfertigt. Das Modell der Selbstkontrolle ist im Vergleich zur behördlichen Kontrolle insoweit von Vorteil, weil der Datenschutzbeauftragte mit den spezifischen Problemen der Betriebe besser vertraut ist und schneller reagieren kann als es staatliche Behörden 31 vermögen. Auf diesem Wege entfalten sich auch weniger Behinderungen für technische Innovationen 32. Die innerbetriebliche Selbstkontrolle wird allerdings durch die Fremdkontrolle ergänzt, weil der Staat im Hinblick auf die Sicherung des Datenschutzes nicht ganz auf die eigenen Kontrollbefugnisse verzichten darf. Dies wird durch das jederzeitige Kontrollrecht der Aufsichtsbehörde nach 38 Abs. 1 BDSG, durch das Anordnungsrecht nach 38 Abs. 1 S. 1 BDSG 33 sowie durch das Recht der Abberufung des Datenschutzbeauftragten gemäß 4f Abs. 3 S. 4 i. V. m. 38 Abs. 5 S. 3 BDSG 34 besonders deutlich, worauf in späteren Kapiteln näher eingegangen wird Kontrolle durch den Betriebsrat Soweit es sich um den Schutz von Arbeitnehmerdaten handelt, stellt der Betriebsrat gegebenenfalls eine weitere Kontrollstelle im Bereich des Datenschutzes dar 35. Der Betriebsrat darf im Rahmen seines Überwachungsrechts nach 80 Abs. 1 Nr. 1 BetrVG kontrollieren, ob der Arbeitgeber den Verpflichtungen aus den Arbeitnehmerschutzgesetzen nachkommt 36. Nach allgemeiner Ansicht ist 29 GDD-Mitteilung v ; vgl. Art. 18 Abs. 2 der der EG-Datenschutzrichtlinie. 30 Hold, RDV 2006, 249, Stellungnahme des Arbeitskreises Datenschutz der Spitzenorganisationen der Wirtschaft, abgedruckt in DuD 1993, 54, Stellungnahme des Arbeitskreises Datenschutz der Spitzenorganisationen der Wirtschaft, abgedruckt in DuD 1993, 54, Zum Verhältnis zwischen dem Datenschutzbeauftragten und der Aufsichtsbehörde Zur Abberufung des Datenschutzbeauftragten auf Verlangen der Aufsichtsbehörde Ebenso Dzida/Kröpelin, NZA 2011, 1018 ( dritte Säule ); Tinnefeld/Ehmann/Gerling, Datenschutzrecht, S Vgl. Kontrollrecht des Datenschutzbeauftragten
5 das BDSG ein Gesetz i. S. v. 80 Abs. 1 Nr. 1 BetrVG, weil es Vorschriften zum Schutze der Arbeitnehmer enthält 37. Dementsprechend kann der Betriebsrat nicht nur die Arbeitnehmerdatenverarbeitungsvorgänge kontrollieren, sondern sogar überwachen, ob der Arbeitgeber einen Datenschutzbeauftragten bestellt hat. Der Betriebsrat hat darüber hinaus ein umfassendes Unterrichtungsrecht nach 80 Abs. 2 S. 1 BetrVG und das Recht auf Hinzuziehung eines Sachverständigen gem. 80 Abs. 3 BetrVG 38, die im Zusammenhang mit der Aufgabenerfüllung im Bereich des Datenschutzes relevant sein können. Des Weiteren kann der Betriebsrat vom Arbeitgeber nach 80 Abs. 1 S. 2 S. 2 Hs. 1 verlangen, die zur Durchführung seiner Aufgaben erforderlichen Unterlagen zur Verfügung zu stellen. Dazu zählen beispielsweise Unterlagen über die im Betrieb eingesetzten Datenverarbeitungssysteme, die zum Schutze der Arbeitnehmerdaten vorgenommenen Maßnahmen sowie das dem Datenschutzbeauftragten auszuhändigende Verzeichnis i. S. v. 4g Abs. 2 S. 1 BDSG 39. Ferner soll der Betriebsrat unzulässige Eingriffe in das Persönlichkeitsrecht der Arbeitnehmer verhindern. Dies geschieht beispielsweise durch die Ausübung gesetzlich vorgeschriebener Mitbestimmungsrechte im Zusammenhang mit der Einführung technischer Überwachungseinrichtungen gem. 87 Abs. 1 Nr. 6 BetrVG 40 sowie bei der Datenerhebung durch Personalfragebögen nach 94 BetrVG. Da auch der Datenschutzbeauftragte die bereits genannten Aufgaben im Rahmen der Ausübung seines Amtes wahrzunehmen hat, können sich zahlreiche Überschneidungen ergeben, worauf im Zusammenhang mit der Rechtsstellung des Datenschutzbeauftragten näher eingegangen wird Historische Entwicklung der Rechtsgrundlagen Nationalrechtliche Grundlagen Das Rechtsinstitut des Datenschutzbeauftragten wurde durch das BDSG vom eingeführt und zunächst in 28 und 29 BDSG geregelt. Nach 37 BAG v , NZA 1998, 385, 389; BAG v , NZA 1987, 747; 478; Richardi/Thüsing, 80 Rn. 8 BetrVG; HSWG/Nikolai, 80 BetrVG Rn. 5; Ehmann/Bösche/Grimberg, Datenschutzbeauftragte, S. 31, Fn. 19; Wagner, BB 1993, 1729, 1733; v. Hoyningen-Huene, NZA 1985, Beil. 1, S. 19 f.; 38 Vgl. Recht auf personelle und technische Unterstützung des Datenschutzbeauftragten Franzen, EAS 5300, S Franzen, EAS 5300, S. 55; Richardi, 87 BetrVG Rn Zu dem Verhältnis zwischen dem Datenschutzbeauftragten und der Betriebsrat In Kraft getreten am
6 28 Abs. 1 BDSG a. F. musste die verantwortliche Stelle, die personenbezogene Daten verarbeitet und in der Regel mindestens fünf Arbeitnehmer ständig beschäftigt, innerhalb eines Monats nach Aufnahme ihrer Tätigkeit einen Datenschutzbeauftragten bestellen. Bei Verarbeitung personenbezogener Daten auf anderer Weise entstand die Bestellpflicht im Falle einer ständigen Beschäftigung von 20 Arbeitnehmern. Der Datenschutzbeauftragte musste gemäß 29 Abs. 2 BDSG a. F. die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzen. Die wesentliche Aufgabe des Datenschutzbeauftragten war nach 29 S. 1 BDSG a. F die Sicherstellung der Ausführung des BDSG sowie anderer Vorschriften über den Datenschutz. Zu diesem Zweck kann er sich nach 29 S. 2 BDSG a. F. in Zweifelsfällen an die Aufsichtsbehörde wenden 43. Der Datenschutzbeauftragte war nach Maßgabe des 28 Abs. 3 BDSF a. F. der Geschäftsleitung unmittelbar zu unterstellen 44. Zudem hatte er bei der Anwendung seiner Fachkunde auf dem Gebiet des Datenschutzes Weisungsfreiheit 45. Er durfte weiter wegen der Erfüllung seiner Aufgaben nicht benachteiligt werden 46. Außerdem war die verantwortliche Stelle verpflichtet, den Datenschutzbeauftragten bei der Erfüllung seiner Aufgaben zu unterstützen 47. Seit dem Inkrafttreten des BDSG hat das Rechtsinstitut des Datenschutzbeauftragten nicht zuletzt wegen europarechtlicher Vorgaben 48 - zahlreiche Änderungen erfahren. Die Reformen haben sich teils unmittelbar, teils mittelbar auf die Rechtsstellung des Datenschutzbeauftragten ausgewirkt, wobei gewisse Tendenzen deutlich zu erkennen sind 49. Die wesentlichen Reformen lassen sich wie folgt zusammenfassen: Nach der grundlegenden Neufassung des BDSG durch das Gesetz zur Änderung des BDSG v haben die Regelungen zur Rechtsstellung des Datenschutzbeauftragten in 36 und 37 BDSG ihre systematische Stellung gefunden. Dabei wurden der Abberufungsschutz des Datenschutzbeauftragten 51 sowie seine Verschwiegenheitspflicht 52 eingeführt. Die verantwortliche Stelle traf zudem nach 37 Abs. 2 BDSG a. F. die Pflicht, dem Datenschutzbeauftrag- 43 Zu der Einschaltung der Aufsichtsbehörde durch den Datenschutzbeauftragten Zur unmittelbaren Unterstellung der Unternehmensleitung Zur Weisungsfreiheit Zum Benachteiligungsverbot Zur Unterstützungspflicht Zur europarechtlichen Grundlagen Zu den gesetzgeberischen Tendenzen BGBl. I, S Zu dem Abberufungsschutz Zur Verschwiegenheitspflicht
7 ten eine Übersicht bezüglich der Verarbeitung von personenbezogenen Daten zur Verfügung zu stellen 53. Eine weitere Änderung des BDSG durch das Gesetz zur Änderung des BDSG und anderer Gesetze vom verlagerte die genannten Regelungen in 4f und 4g BDSG. Die Neuregelungen reformierten die betrieblichen Voraussetzungen der Bestellung des Datenschutzbeauftragten in 4f Abs. 1 BDSG a. F. und legte die Zahl der mit der automatischen Datenverarbeitung beschäftigten Personen auf höchstens vier fest. Zudem erfolgte die Einführung der allgemeinen Bestellpflicht, wenn die verantwortliche Stelle automatisierte Verarbeitung der Vorabkontrolle unterliegenden Daten vornimmt oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der anonymisierten Übermittlung erhebt, verarbeitet oder nutzt 55. Des Weiteren sah die Regelung des 4f Abs. 2 S. 2 BDSG a. F. das Wahlrecht zwischen der Bestellung eines internen oder externen Datenschutzbeauftragten vor. Die neue Vorschrift des 4f Abs. 5 S. 2 BDSG ermöglicht zudem dem Betroffenen, sich jederzeit an den Datenschutzbeauftragten zu wenden. Auch die Aufgaben des Datenschutzbeauftragten wurden in 4g BDSG neu gefasst. Danach hat der Datenschutzbeauftragte auf die Einhaltung datenschutzrechtlicher Vorschriften hinzuwirken. Das Gesetz schrieb schließlich die Schulungen der mit der Verarbeitung personenbezogener Daten beschäftigten Personen als Aufgabe des Datenschutzbeauftragten ausdrücklich vor. Das jederzeitige Kontrollrecht der Aufsichtsbehörde nach 38 Abs. 1 S. 1 BDSG ersetzte die bisherige Anlasskontrolle. Das Erste Gesetz zum Abbau bürokratischer Hemmnisse insbesondere in der mittelständischen Wirtschaft vom brachte weitere Änderungen der Rechtsstellung des Datenschutzbeauftragten. Die betrieblichen Bestellvoraussetzungen wurden dahingehend geändert, dass die Zahl der mit der automatischen Verarbeitung personenbezogener Daten beschäftigten Personen auf höchstens neun angehoben wurde. Des Weiteren sah das Gesetz das Zeugnisverweigerungsrecht des Datenschutzbeauftragten bzw. ein damit zusammenhängendes Beschlagnahmeverbot an seinen Akten und Schriftstücken in 4f Abs. 4a BDSG vor. Die Neuregelung des 4f Abs. 2 S. 3 Hs. 2 BDSG erweiterte auch das Kontrollrecht des externen Datenschutzbeauftragten auf die einem Berufsgeheimnis unterliegenden personenbezogenen Daten. Schließlich kann der Da- 53 Vgl. 4g Abs. 2 S. 1 i. V. m. 4e S. 1 BDSG. 54 BGBl I, S Zu betrieblichen Voraussetzungen der Bestellung BGBl I, S
8 tenschutzbeauftragte nach Maßgabe der neuen 4g Abs. 1 S. 3 i. V. m. 38 Abs. 1 S. 2 BDSG die Beratung der Aufsichtsbehörde in Anspruch nehmen. Zuletzt wurde die Rechtsstellung des Datenschutzbeauftragten durch das Gesetz zur Änderung datenschutzrechtlicher Vorschriften vom reformiert. Die betrieblichen Voraussetzungen der Bestellungspflicht erfuhren dahingehende Änderungen, dass der Datenschutzbeauftragte nach Maßgabe des 4f Abs. 1 S. 6 BDSG unabhängig von der Zahl der mit der Datenverarbeitung beschäftigten Personen bestellt werden muss, wenn das Unternehmen Daten zum Zwecke der Markt- oder Meinungsforschung automatisiert verarbeitet 58. Eine weitere äußerst bedeutsame neue Regelung stellt der Sonderkündigungsschutz des Datenschutzbeauftragten nach 4f Abs. 3 S. 5 und 6 BDSG 59 dar, der nicht nur während des Bestehens des Amtsverhältnisses, sondern auch ein Jahr nach dessen Beendigung Geltung beansprucht 60. Außerdem fand ein Anspruch des Datenschutzbeauftragten auf Fort- und Weiterbildungen eine gesetzliche Grundlage in 4f Abs. 3 S. 7 BDSG 61. Schließlich erfolgte durch 38 Abs. 5 S. 1 BDSG eine dahingehende Erweiterung des Anordnungsrechts der Aufsichtsbehörde nach 38 Abs. 5 S. 1 BDSG, dass diese die Beseitigung jeglicher Verstöße gegen datenschutzrechtliche Vorschriften, und nicht wie zuvor - nur technischer oder organisatorischer Mängel verlangen kann Europarechtliche Grundlagen Das Rechtsinstitut des Datenschutzbeauftragten stammt aus dem deutschen Recht und war lange Zeit in Europa ohne Pendant 62. Es war weder in dem ersten Entwurf vom noch in dem Geändertem Vorschlag für eine Richtlinie des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, der der Kommission am vorgelegt wurde 64, vorgesehen. Es wurde zu damaliger Zeit in Deutschland befürchtet, dass das Rechtsinstitut des Datenschutzbeauftragten keine Zukunft mehr habe und kurz vor der Abschaffung stehe BGBl I, S Zu den betrieblichen Voraussetzungen der Bestellung Zum Sonderkündigungsschutz Zum nachwirkenden Sonderkündigungsschutz Zum Recht des Datenschutzbeauftragten auf Schulung Franzen, EAS 5300, Rn ABl. EG C 277 v , S. 3 ff.; BR-Drucks. 690/90 v ABl. EG C 311 v , S. 30 ff. 65 Ehmann/Ehmann, S. 22; Hören, WM 1994, 1, 8; Schneider CR 1993, 35, 38; Computer und Recht Aktuell, CR 1992,