Source: https://vonderhorst.de/publikationen-blog/134-200701-vom-datenschutz-und-der-datensicherheit-zur-datenschutzkulturq-update-2007.html
Timestamp: 2019-10-14 13:34:26
Document Index: 226781295

Matched Legal Cases: ['§ 4', '§ 4', '§ 4', '§ 28', '§ 29', '§ 4', '§ 4', '§ 4', '§ 28', '§ 28', '§ 33', '§ 33', '§ 28', '§ 28', '§ 3', '§ 7']

Die Grundregel des Datenschutzrechts lautet: Die Datenerhebung, -verarbeitung und/oder -nutzung ist zulässig, wenn die Daten vom Betroffenen selbst zur Verfügung gestellt werden, d. h., er eingewilligt hat.
­- wenn diese in einer Rechtsvorschrift erteilt wird;
­- für den Geschäftszweck erforderlich ist
­- oder ansonsten ein unverhältnismäßiger Aufwand entsteht
­- und keine Anhaltspunkte vorliegen, dass überwiegende schutzwürdige Inte-ressen des Betroffenen beeinträchtigt werden könnten, siehe § 4 Absatz 1 und 2 BDSG.
Die Einwilligung des Betroffenen ist nicht nur datenschutzrechtlich eine wichtige Form der Rechtfertigung, sondern auch aus der Sicht des datenerhebenden Unter-nehmens eine „wertvolle" Datengenerierung: Erstens stammen sie vom Betroffe-nen selbst (die Wahrscheinlichkeit, dass die Daten/Angaben zutreffend und aktuell sind, ist damit sehr hoch) und zweitens stellt der Akt der Datenerhebung an sich bereits einen (ersten) Kundenkontakt her.
Gerade bei einem ersten Kundenkontakt kann die Behandlung des Themas Da-tenschutz, sprich die Umsetzung der gesetzlichen Anforderungen, entscheidende Punkte bei der Bildung eines „Vertrauensvorschusses" bringen.
Damit eine wirksame Einwilligung vorliegt, muss sie auf der freien Entschei-dung des Betroffenen beruhen. Das setzt zunächst voraus, dass der Betroffene die Tragweite seiner Entscheidung überblicken kann. Hier nun eröffnen sich aus Unternehmersicht reichhaltige Möglichkeiten, Datenschutz proaktiv zu betreiben und dies zusätzlich als Marketingmittel einzusetzen.
Die Tragweite einer Entscheidung kann der Einwilligende (Kunde) nur über-schauen, wenn er zuvor hinreichend informiert wird. Eine Vertragsklausel, die Sie als (Kultur-)Unternehmen zu einer Datenverarbeitung berechtigen soll, muss deshalb klar den Zweck der Erhebung, der Verarbeitung oder der Nutzung be-schreiben (= Transparenzprinzip). Darüber hinaus muss im Falle einer Daten-übermittlung eine Einwilligungsklausel auch beschreiben, an wen Daten übermit-telt werden. Der Kunde muss dabei immer zumindest eine ungefähre Vorstellung haben, in welchem Umfang personenbezogene Daten über ihn, wo und von wem verarbeitet werden. Auch auf die Folgen der Verweigerung der Einwilligung ist er hinzuweisen. Dabei bedarf die Einwilligung der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.
Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt wer-den, ist sie besonders hervorzuheben, § 4a Absatz 1 BDSG. Werden Leistungen im Falle der Auskunftserteilung versprochen (= Gewährung von Rechtsvorteilen), dann ist der Kunde auf die Freiwilligkeit seiner Angaben hinzuweisen, § 4a Ab-satz 3 BDSG.
Allgemeine Geschäftsbedingungen und Kundenbindungsprogramme
Das vorstehende gilt insbesondere für das Verfassen von Allgemeinen Geschäfts-bedingungen und Kundenbindungsprogrammen wie Rabatt- und/oder Kunden-karten, etwa auch beim Theaterabo. So muss etwa eine im Zusammenhang mit dem Vertragsschluss beabsichtigte Prüfung der Kreditwürdigkeit Ihres Neukun-den als solches wie auch Name und Adresse desjenigen mitgeteilt werden, der die Prüfung durchführt (z. B. Schufa).
Gleiches gilt für den Forderungseinzug durch dritte Stellen. Auch hierüber ist der Kunde (vorab) zu informieren. Zum Beispiel werden damit Inkassounternehmen und manchmal sogar Banken/Sparkassen (Kreditinstitute) beauftragt. Solange der Kunde als Verbraucher damit rechnen muss (bei Inkassounternehmen), kann das rechtmäßig sein. Soweit er jedoch nicht damit rechnen muss (bei Kreditinstitu-ten), ist die Datenbeschaffung durch den Beauftragten unzulässig, wenn der Kunde nicht vor seiner Einwilligung darüber informiert worden ist.
Speziell bei Rabatt-/Kundenkarten sollten folgende Angaben gemacht werden:
­- Zu welchen Zwecken werden Daten verarbeitet?
­- Nennung der Vertragspartner der Rabatt- / Kundenkarte
­- In welcher Form und welchem Inhalt erhalten diese Vertragspartner die Daten - nur anonymisierte Auswertungen?
­- Welche Daten werden vom Kartenbetreiber verarbeitet?
Die entsprechende Klausel muss optisch hervorgehoben werden. Wer seine „Da-tenschutzklausel" (d. h. Klausel zur Einwilligung der Datenverarbeitung) z. B. fett, kursiv und mit Rahmen versieht und vom übrigen Text absetzt sowie dazu zusätzlich vom Kunden noch mal eigens unterschreiben lässt - womit dessen Kenntnisnahme dokumentiert wird -, der ist auf jeden Fall auf der datenschutz-rechtlich sicheren Seite.
Gerade letzteres wird oftmals vergessen, wenn auf dem Kassenbon und/oder in Allgemeinen Geschäftsbedingungen Lastschriftermächtigungen aufgenommen werden. Häufig werden einfach mehrere Erklärungen - inklusive einer Einwilli-gung in eine Datenverarbeitung - zusammengefasst, ohne dass die Einwilligung hervorgehoben ist. Fatale Folge: Die Einwilligungserklärung ist nicht wirksam erteilt worden. Sie kann daher auch nicht Grundlage für die Verarbeitung von Kundendaten sein.
Neben der Einwilligung ist die Datenverarbeitung auch noch rechtmäßig, wenn sie durch Rechtsvorschriften, insbesondere das BDSG, erlaubt wird. Das BDSG unterscheidet dabei zwischen der Verarbeitung zu eigenen Geschäftszwecken (§ 28 BDSG) und der geschäftsmäßigen Verarbeitung zum Zwecke der Übermitt-lung (§ 29 BDSG).
Immer dann, wenn eine Verarbeitung (auch) eigenen Belangen dient, liegt eine Verarbeitung zu eigenen Geschäftszwecken vor. Nur wenn ein Unternehmen Daten sammelt, um sie ausschließlich Dritten zur Verfügung zu stellen, liegt eine geschäftsmäßige Verarbeitung zum Zweck der Übermittlung vor. Je nach Verarbeitungszweck ändern sich die datenschutzrechtlichen Anforderungen. Daher kann es schon zu Beweiszwecken empfehlenswert sein, Verarbeitungs-zwecke schriftlich festzulegen (siehe auch nachfolgend). Werden in Ihrem Unternehmen eine Vielzahl von gleich gearteten Datenkategorien verarbeiten, kann dies auch in der Verfahrensmeldung nach § 4d BDSG oder in der Verfahrensüber-sicht nach § 4e (§ 4g Absatz 2) BDSG geschehen. Voraussetzung hierfür ist aller-dings, dass diese hinreichend konkret ausgestaltet ist. Das ist der Fall, wenn anhand Ihrer Angaben eine Rechtmäßigkeitsprüfung möglich ist.
Nicht notwendig sind (im Offline-Bereich) in der Regel: Telefonnummer, Tele-faxnummer und E-Mail-Adresse. Letzteres ist im Online-Bereich allerdings wie-derum unbedingt erforderlich, wenn eine elektronische (Daten-)Lieferung erfol-gen soll, z. B. Musik-, Bild- oder Textdaten, deren Freigabe erst durch Eingabe eines zuvor an den Kunden versandten individuellen Passwortes erfolgt; anders wiederum, wenn per Kreditkarten online gezahlt wird und die Online-Lieferung bzw. der Online-Zugriff anschließend mittels freigegebenen Downloads möglich ist. Hier sind nur die Angabe von Name, Vorname, Kreditkartennummer, Konto und Bankleitzahl und allenfalls noch die Gültigkeitsdauer der Kreditkarte und eventuell die zusätzliche Eingabe der (dreistelligen) Sicherheitszahl (siehe Kre-ditkartenrückseite) erforderlich.
Beim Geburtsdatum ist es oft fraglich, ob dessen Angabe wirklich erforderlich ist. Die Datenauswertung wird durch die Angabe des konkreten Geburtsdatums (= Tag, Monat, Jahr) wesentlich erleichtert. Denn es dient der eindeutigen Feststellung der Person. Ihre Datenverarbeitung kann so Ihren Kunden besser „nach-folgen", wenn diese umziehen. Daraus folgt zwar nicht zwingend, dass die In-formation „Geburtsdatum" generell datenschutzwidrig verlangt wird. In der in § 28 Absatz 3 BDSG aufgeführten Auflistung wird jedoch nur das „Geburtsjahr" genannt, welches für Zwecke der Werbung, der Markt- und Meinungsforschung verarbeitet werden darf.
Um datenschutzrechtlich beim Vertrauen Ihrer Kunden zu „punkten", sollten Sie deshalb alle Angaben, die nicht absolut unentbehrlich für eine Vertragsabwick-lung mit Ihren Kunden sind, als freiwillige Angaben kennzeichnen, z. B. „* freiwillige Angabe". Ihre Kunden - gerade im Online-Bereich - werden dies (unter-schwellig) mit einem erhöhten Vertrauensvorschuss honorieren.
Auch wenn kein „Vertragsverhältnis" vorliegt, kann die Datenverarbeitung rechtmäßig sein. So wird eine Mitgliedschaft in einem Verein (z. B. Theaterju-gendring) rechtlich meist nicht als „Vertragsverhältnis" bezeichnet, weil in der Regel kein vertragstypisches Leistungs-Gegenleistungsverhältnis besteht. Das Mitgliedschaftsverhältnis wird datenschutzrechtlich jedoch als „vertragsähnlich" behandelt, weil ähnlich wie bei einem Vertrag bestimmte Datenverarbeitungspro-zesse erforderlich sind, um den gemeinsamen Vereinszweck zu fördern.
Voraussetzung ist zunächst, dass die Verarbeitung für einen eigenen, berechtig-ten Zweck erforderlich ist. Das ist in der Regel der Fall bei einer Datenverarbei-tung, die zur Vorbeugung bestimmter Geschäftsrisiken erfolgt, z. B. Anlegen einer „Warn-/Negativliste", für „faule" Kunden, die entweder nur zögerlich (nach Mahnungen, Gerichtsverfahren, Zwangsvollstreckung) oder überhaupt nicht (Betrugsversuche) gezahlt haben. In beiden Fällen ist die Aufnahme der Kunden-daten in die Datei nicht zur Vertragsabwicklung erforderlich. Sie dient jedoch dem berechtigten (Eigenschutz-)Interesse Ihres Unternehmens.
Zweite Voraussetzung ist, dass kein Grund zur Annahme besteht, schutzwür-dige Belange des Betroffenen stünden der Verarbeitung entgegen. Gegentei-liges gilt insbesondere für Fälle, in denen die betreffende Dateninformation den Privat- und erst recht wenn sie den Intimbereich des Betroffenen berührt, so etwa u. U. auch, wenn die Informationsquelle nicht allgemein zugänglich ist (vgl. nachfolgend).
Verarbeitet Ihr Unternehmen Kundendaten zur Vertragsabwicklung oder, um damit eigene berechtigte Interessen zu verfolgen, müssen Sie prüfen, welche Daten Sie für diese Datenverarbeitung benötigen. Diese Prüfung entfällt, wenn Sie lediglich allgemein zugängliche Daten verwenden, § 28 Absatz 1 Nr. 3 BDSG. Allgemein zugänglich sind Informationen nur, wenn sie einem nicht be-stimmbaren Personenkreis zugänglich gemacht wurden, z. B. Telefon- oder Ad-ressbuch, öffentlich zugängliche Register (Grundbuch-, Handelsregister).
Handelt es sich ausschließlich um allgemein zugängliche Daten, dann müssen Sie für die Datenverarbeitung nur prüfen, ob möglicherweise überwiegende schutz-würdige Interessen der Betroffenen der Verarbeitung dieser Daten entgegenste-hen. Letzteres dürfte nur ausnahmsweise der Fall sein. (So wird etwa die so ge-nannte „Rückwärtssuche", bei der mittels Eingabe einer Telefonnummer der Anschlussteilnehmer ausfindig gemacht werden kann, z. T. datenschutzrechtlich als bedenklich betrachtet.)
Unabhängig davon, ob Sie für eigene Zwecke oder zur geschäftsmäßigen Über-mittlung an Dritte personenbezogene Daten erheben bzw. übermittelt, müssen Sie den Betroffenen beim ersten Mal benachrichtigen, § 33 BDSG. Diese Benach-richtigungspflicht entfällt nur in ganz bestimmten vom Gesetz aufgelisteten Aus-nahmefällen, z. B. wenn der Betroffene auf andere Weise Kenntnis von der Speicherung oder der Übermittlung erlangt hat (siehe dazu § 33 Absatz 2 Nr. 1 - 8 BDSG).
Die Benachrichtigung muss folgende Punkte enthalten.
­- dass überhaupt eine Speicherung vorgenommen wurde,
­- die Art der Daten, die gespeichert werden
­- die Zweckbestimmung der Erhebung, der Verarbeitung oder der Nutzung
­- und die Identität der verantwortlichen Stelle (Adresse)
­- die Tatsache der Übermittlung
­- und der Art der übermittelten Daten.
Das Gesetz schreibt nun allerdings nicht vor, dass Sie in jeder Datenverarbei-tungsphase immer über alle Punkte informieren müssen. Möglich ist auch, dass Sie bereits im Vorfeld einer beabsichtigten, späteren Datenverarbeitung den Betroffenen klar und eindeutig auf die vorgenannten Punkte hinweisen. So reicht etwa hinsichtlich der Identität Ihres Unternehmens oftmals einfach der Briefkopf eines Schreibens aus.
Doch auch hier gilt: Teilen Sie Ihren Kunden die Zweckbestimmung einer (ge-planten) Datenverarbeitung auch dann mit, wenn eine Benachrichtigung - wie etwa im Fall der Vertragsabwicklung - nicht erforderlich ist:
„Wir verwenden Ihre Daten ausschließlich zur Vertragsabwicklung".
Ihre Kunden werden es Ihnen mit einem Vertrauensvorschuss bzw. einer Ver-trauensstärkung danken! Gleiches gilt im Falle der Mitteilung einer Datenüber-mittlung etwa an einen langjährigen Geschäftspartner: nennen Sie Ihren Ge-schäftspartner. Das schafft sogar doppeltes Vertrauen: beim Kunden und bei Ihrem Geschäftspartner!
Ändert, erweitert sich der Zweck Ihrer Datenverarbeitung, dann müssen Sie hierüber wiederum unterrichten. Unterbleibt diese Unterrichtung riskieren Sie ein Bußgeld bis zu 25.000,00 Euro.
Für den Fall, dass Sie lediglich Daten „aus allgemeinen Quellen entnommen" haben, um so der Benachrichtigungspflicht zu entgehen, gilt: Sammeln Sie Bele-ge! Denn Sie müssen in diesem Fall den Nachweis erbringen, dass die Daten tatsächlich „aus allgemeinen Quellen entnommen" worden sind. Der bloße Nachweis, dass die Daten aus derartigen Quellen entnommen werden können, reicht nicht aus!
 Welche personenbezogenen Daten werden tatsächlich für die Vertragsabwick-lung benötigt?
 „Listenprivileg"-Daten?
 Angabe über die Zugehörigkeit des Betroffenen zu einer (für Ihren Unter-nehmensbereich relevanten) Personengruppe,
 Berufs-, Branchen- oder Geschäftsbezeichnung,
 Name,
 Titel,
 akademische Grade,
 Anschrift,
 Geburtsjahr
(Solange Ihr Unternehmen „nur" den Namen, eine Gruppenzugehörigkeit, die Adressdaten und das Geburtsjahr zu Werbezwecken verwendet, dürfen grundsätz-lich ganze Listen personenbezogener Daten sogar beliebig an dritte Unternehmen verkauft werden (sogenanntes Listenprivileg der Adressdatenverarbeitung). Es darf allerdings kein Widerspruch (des Kunden) erfolgt sein und auch sonst „kein Anhaltspunkt vorliegen, dass der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung oder Nutzung hat", § 28 Absatz 3 Nr. 3, Absatz 4 BDSG. Wichtig: E-Mail-Adresse, Telefon- und/oder Telefaxnummer sowie das genaue Geburtsdatum unterliegen nicht dem Listenprivileg! Eine Gruppenzuge-hörigkeit liegt nicht vor, wenn Sie mehrere Eigenschaften in einen Sammelbegriff zu verknüpfen suchen und sich somit durch die Verknüpfung weitere Informatio-nen ableiten lassen.)
 Kennzeichnung anderer (nichtprivilegierter) Daten als „freiwillige Angaben"?
 Konkrete Festlegung des Zwecks der Datenverarbeitung in Bezug auf alle erhobenen personenbezogenen Daten (= Zweckbindung)?
 Einholung einer klar formulierten Einwilligung des Kunden hinsichtlich des konkret festgelegten Zwecks der Datenverarbeitung?
 Wenn nein, eigenes (nicht auf die Abwicklung eines Vertrages bezogenes) berechtigtes Interesse?
 Wenn ja, welche personenbezogenen Daten werden tatsächlich für die Er-füllung dieses Interesses benötigt?
 Wenn nein, werden von Ihnen lediglich allgemein zugängliche Daten des/der (potentiellen) Kunden verwendet?
 Wollen Sie darüber hinaus Ihre Kunden zu Werbezwecken kontaktieren? Wenn ja, dann kennzeichnen Sie dies gesondert und geben Sie Ihrem Kunden die Möglichkeit, sich (datenschutzrechtlich) für Ihr Unternehmen (durch Anklicken/Ankreuzen eines Kästchens) zu entscheiden:
 „Ja, bitte informieren Sie mich über Produktneuheiten"
Geben Sie darüber hinaus Ihrem (potentiellen) Kunden, die Möglichkeit zum Widerspruch (siehe dazu auch unten) gegen Werbung:
 „Bitte übermitteln oder nutzen Sie meine Daten nicht zu Werbezwecken!"
Die erste Variante ist dabei datenschutzfreundlicher. Denn hier muss der Kunde aktiv werden, wenn er Werbung erhalten will, während in der zweiten Variante der Kunde aktiv werden muss, um gerade keine Werbung zu erhalten. Doch auch die zweite Variante ist noch datenschutzkonform. Auf jeden Fall schlagen Sie mit beiden Varianten „drei Fliegen mit einer Klappe": Zum einen ermöglichen Sie Ihren Kunden die Ausübung ihres gesetzlichen Widerspruchsrechts (§ 28 Absatz 4 Satz 2 BDSG), zum anderen erhalten Sie eine Rückmeldung hinsichtlich der von Ihrem Unternehmen eingesetzten Werbeschreiben und Sie vermei-den/minimieren obendrein auch noch Streuverluste.
 Effektive Unterrichtung über Widerspruchsrecht?
Sie müssen dem Betroffenen zumindest eine Adresse benennen. Die Benennung eines Ansprechpartners nebst Kontaktdaten (Adresse, Telefonnummer und E-Mail-Adresse) ist zwar gesetzlich nicht vorgeschrieben, empfiehlt sich jedoch aus Marketinggründen. (Außerdem bietet sich auch hier wieder die Möglichkeit eines Kundenkontakts.)
„Die X-Musical-Entertainment-GmbH ist berechtigt, Ihre Adressangaben zu nut-zen, um Sie über ihre weiteren Produktionen zu informieren. Sie haben jederzeit das Recht, der Nutzung Ihrer Daten zu Zwecken der Werbung, der Markt- und Meinungsforschung zu widersprechen. Falls Sie von diesem Recht Gebrauch ma-chen wollen, kreuzen Sie bitte den nachfolgenden Kasten an ٱ oder wenden Sie sich bitte an X-Musical-Entertainment-GmbH, z. H. Herrn/Frau Muster, Theaterstraße 25, 12345 Musikhausen, Tel.: 0000/007 Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!"
 Wenn ja, kein Widerspruch?
Dabei kann der Widerspruch des Kunden z. B. im Rahmen der Vertragsanbahnung, des Vertragsschlusses oder im Laufe der Vertragsabwicklung im konkreten Einzelfall geäußert worden sein. Er kann jedoch auch generell erfolgt sein, z. B. durch Eintrag in eine so genannte „Robinson-Liste". Der Verbraucher kann sich in derartige Listen eintragen, um einer Werbezusendung zu widersprechen. In Deutschland werden je nach Werbemedium entsprechende Listen geführt:
Für E-Mail, sms und Telefon
Doch nicht nur aus datenschutzrechtlichen Gründen sollten Sie als datenverarbei-tendes Unternehmen regelmäßig diese Robinson-Listen durchgehen. Auch wett-bewerbsrechtlich kann im Falle unverlangter Werbung ein Verstoß gegen § 3 in Verbindung mit § 7 Absatz 2 Nr. 3 UWG (Gesetz gegen den unlauteren Wettbe-werb) vorliegen. Danach ist es untersagt, Telefonwerbung, Werbeschreiben per Fax, E-Mail oder SMS an Betroffene zu versenden, ohne dass diese um Zusen-dung zuvor gebeten hätten oder dass ein anderweitiger geschäftlicher oder sonsti-ger vorheriger Kontakt besteht und ohne dass hierzu eine Einwilligung seitens des Betroffenen vorliegt.
Der Streitwert einer anschließenden Abmahnung und eventuell einem gerichtli-chen Nachspiel liegt dabei regelmäßig bei ca. 7.000,00 Euro, so dass pro Verstoß schnell 1.000,00 Euro Kosten zusammenkommen zuzüglich eines eventuell noch zu zahlenden Schadensersatzes.