datenschutz lsb

7/25/2019 Datenschutz LSB

1/7

1

Thema:Datenschutzsensibilisierung der Mitarbeiter/innen / LSB plus Tchter(Interne Informationsschrift des LSB von Wolfram Fhnrich, Betrieblicher Datenschutzbeauf-tragter [email protected])

Einleitung

Der Begriff "Datenschutz" ist zwar ein Wort unserer Zeit, aber die Vertraulichkeit der Informa-tionen ist seit jeher ein Bestandteil der menschlichen Umgangsformen. Man denke vor alleman das Schweigegelbde der rzte (nachweisbar seit ca. 800 vor Christi Geburt), das Beicht-geheimnis und besondere Berufsgeheimnisse bei Rechtsanwlten und Steuerberatern oder andie Vertraulichkeitsgrundstze, die die Rechtsprechung fr das Personalwesen entwickelt hat.

Mit den modernen informationstechnischen Mglichkeiten erkannte man in den siebziger Jah-ren die Notwendigkeit, die Verarbeitung von personenbezogenen Daten zu regeln. Der Gesetz-geber wollte den "glsernen Menschen" verhindern. Als Antwort auf die Risiken der modernenInformationstechnologien fr das Persnlichkeitsrecht wurden in Deutschland das Bundesda-tenschutzgesetz (BDSG) und andere Datenschutzvorschriften zu bereichsspezifischem Daten-

schutz geschaffen.

Jeder Brger hat ein Recht darauf zu wissen, wer welche Daten ber ihn zu welchem Zweck wospeichert, verarbeitet und nutzt. Diesen Grundsatz hat das Bundesverfassungsgericht 1983 als"Recht auf informationelle Selbstbestimmung" bezeichnet.

Datenschutz soll dem Brger dienen, es ist ein Persnlichkeitsrecht.

Verschiedene Gesetze reglementieren die Verarbeitung von Mitarbeiterdaten, Kundendaten,persnlichen Angaben ber Menschen der Zeitgeschichte, Bilder und (digitale) Tonaufnahmenmit dem Ziel, die Persnlichkeitsrechte der betroffenen Menschen zu schtzen. Rechtsvor-schriften, die ausdrcklich eine Datenverarbeitung verbieten, anordnen oder erlauben, gehen

dem Datenschutzgesetz vor.Insoweit ist das BDSG ein Auffanggesetz, es ist subsidir, alsountergeordnet.

In der betrieblichen Praxis stehen bestimmte Fragestellungen desDatenschutzrechts im Vordergrund, die im folgenden Text erlutertwerden. Auerdem stellen bestimmte Arbeitsbereiche, wiebeispielsweise das Call Center, die DV-Abteilung und das Personalwesenbesondere Anforderungen, ber die sie noch ausfhrlich informiertwerden.

Was wird geschtzt ?

(.... personenbezogene Angaben bei der automatisierten Verarbeitung und in strukturierten,manuellen Dateien.)

Alle Angaben zu einem Menschen, seien es Namen und Anschrift, Telefonnummern, Vertrags-beziehungen, Angaben zu Vermgensverhltnissen, Verhalten oder Zugehrigkeit zu Gruppenfallen unter die Regelungen des BDSG, wenn diese personenbezogenen Daten bei der automa-tisierten Verarbeitung oder in strukturierten, manuellen Dateien verarbeitet werden. Die fol-genden Datenschutzregelungen gelten fr die Erhebung, Verarbeitung und Nutzung dieser Da-ten.

Angaben ber Unternehmen fallen nicht unter den Anwendungsbereich des BDSG. Hufig ent-halten Kunden-, Lieferanten- und Marketingdateien aber Angaben zu Kontaktpersonen undderen Hobbys und Vorlieben (Vertriebsmitarbeiter, Kundendienst). Alle Daten ber diese Per-sonen sind natrlich vom BDSG geschtzt.


2/7

2

Wann drfen die Daten verarbeitet werden ?(.... nur wenn das BDSG oder eine andere Rechtsvorschrift die Verarbeitung erlaubt.)

Im BDSG gilt das so genannte Verbotsprinzip. Jede Verarbeitung personenbezogener Daten istverboten, solange sie nicht per Gesetz erlaubt ist. Im BDSG und in anderen (vorrangigen)Rechtsvorschriften finden sich deshalb Regelungen, die eine Verarbeitung anordnen oder recht-

fertigen. Vorrangige Rechtsvorschriften werden meist durch Behrden angewandt, die be-stimmte Aussagen vom Brger oder vom Arbeitgeber ber die Arbeitnehmer einfordern (Mel-derecht, Sozialrecht, Steuerrecht).Das BDSG erlaubt privaten Stellen (also uns) eine nicht ausschlielich private Nutzung zur Er-fllung eigener Geschftszwecke, wenn:

es dem Zweck des Vertrages oder der Vertragsanbahnung mit dem Betroffenen dient. eine Einwilligung des Betroffenen vorliegt oder aufgrund seines Verhaltens angenommen

werden kann. wenn die berechtigten Interessen der verantwortlichen Stelle die schutzwrdigen Interes-

sen des Betroffenen am Ausschluss der Verarbeitung oder Nutzung berwiegen. die Daten allgemein zugnglich sind oder aufgrund ihres Charakters verffentlicht werden

drften.

Bei der Erhebung der Daten ist der Zweck, fr den die Daten verarbeitet werden sollen, kon-kret festzulegen.

Welche Pflichten hat das Unternehmen ?

Prfung der Zulssigkeit, Erforderlichkeit und Zweckbindung Sicherstellung der Rechte der Betroffenen und Datensicherungsmanahmen

Das Unternehmen hat fr jede Verarbeitung personenbezogener Daten zuprfen, ob eine ausreichende Rechtsgrundlage vorliegt. Wie bereitserlutert, bieten sich als Rechtsgrundlagen eine vorrangige

Rechtsvorschrift, die Vertragsanbahnung oder -beziehung mit einemBetroffenen, eine Gterabwgung (berechtigtes Interesse gegen dieschutzwrdigen Belange des Einzelnen) oder seine Einwilligung an. Dieerhobenen und gespeicherten Daten mssen fr die Erfllung derArbeitsaufgabe erforderlich sein. Das ist nur der Fall, wenn ohne ihreKenntnis das berechtigte Ziel der Datenverarbeitung nicht erreichbar wre.

Weiterhin drfen die Daten nur fr solche Zwecke verwendet werden, zu denen sie auch erho-ben und gespeichert wurden (Zweckbindung), oder wo eine Vertrglichkeit zwischen dem ur-sprnglichen Zweck der Erhebung und dem neuen Zweck bejaht werden kann. Wenn beste-hende Datenbanken mit personenbezogenen Daten fr vllig neue Zwecke verwendet werdensollen, ist die Planung rechtzeitig mit dem betrieblichen Datenschutzbeauftragten abzustim-men.

Der Betroffene ist nach 33 BDSG ber die erstmalige Speicherung seiner Daten zu benach-richtigen. Von der Informationspflicht gelten aber zahlreiche Ausnahmen. Beispielsweise kannauf die Benachrichtigung verzichtet werden, wenn der Betroffene auf andere Weise Kenntnisvon der Speicherung erhlt. Dem Betroffenen sind die Rechte auf Auskunft, Berichtigung,Sperrung und Lschung ( 34,35 BDSG) seiner personenbezogenen Daten zu gewhrleisten.Erfahrungsgem sind solche Anfragen von Betroffenen sehr selten. Mit geeigneten und ange-messenen Datensicherungsmanahmen hat das Unternehmen sicherzustellen, dass die Persn-lichkeitsrechte der Betroffenen nicht durch Verlust, Verflschung oder unbefugte Kenntnisnah-me durch Dritte verletzt werden ( 9 BDSG).Auch unser Unternehmen (Red.: hier LSB) ist verpflichtet einen betrieblichen Datenschutzbe-auftragten zu bestellen. Dazu wurde Herr Wolfram Fhnrich berufen. Er hat unter anderem die

gesetzliche Aufgabe, auf die Beachtung und Einhaltung des Datenschutzes hinzuwirken. FrMitarbeiter, Kunden und Lieferanten steht er jederzeit fr Rckfragen und Informationen zurVerfgung.


3/7

3

Welche Pflichten haben die Mitarbeiter ?

Datenschutz-Information und Verpflichtung auf das Datengeheimnis

Einhaltung der angeordneten Manahmen

Die Mitarbeiter/innen, die personenbezogene Daten erheben, verarbeiten und nutzen haben

sich mit den Datenschutzvorschriften vertraut zu machen (siehe Dienstanweisung Datenschutz,die ihnen bereits zugestellt wurde, die Mitarbeiter/innen der Auenstellen werden dieseDienstanweisung noch erhalten) und sind vom Unternehmen auf die Einhaltung des Datenge-heimnisses nach 5 BDSG zu verpflichten. Diese Manahme ( 5) ist beim LandesSportBundNRW e.V. abgeschlossen und konzentriert sich nun auf unser Personal bei den Tchtern (BW -lsb/ JFW - lsb), sowie auf jede Neueinstellung.

Diese Mitarbeiterinformation dient der Mitarbeiteraufklrung, wie sie vom Gesetz im Rahmender Verpflichtung auf das Datengeheimnis vorgeschrieben wird. Darber hinaus knnen sich

alle Mitarbeiter fr weitergehende Informationen direkt an denbetrieblichen Datenschutzbeauftragten wenden. Datenschutz versteheich nicht als Massenabfertigung, sondern als Einzelberatung, da jeder

Arbeitsplatz eines jeden Einzelnen individuell gestaltet ist.

Durch ihre Ttigkeit und die Einhaltung der betrieblichenDatensicherungsmanahmen haben die Mitarbeiter/innensicherzustellen, dass die ihnen anvertrauten personenbezogenen Datenunberechtigten Dritten nicht zur Kenntnis gelangen und die Daten nichtverflscht oder vernichtet werden.

Das zugeteilte oder selbst gewhlte Passwort muss unbedingt vertraulich verwandt werden undist Dritten nicht mndlich, durch ungeschickte Aufbewahrung (unter der Tastatur, im Schreib-tisch) oder auf andere Weise zur Kenntnis zu geben. Die angeordneten Datensicherungsma-nahmen (Verschluss; Sicherheitskopien; Verbot des Einsatzes ungenehmigter Datentrger,

Hard- und Software; sorgfltiger Umgang mit Gerten, vor allem im mobilen Einsatz (Note-books)) sind strikt einzuhalten.

Welche Rechte hat der Betroffene ( 33 bis 35 BDSG)?

Benachrichtigung, Auskunft, Berichtigung, Sperrung, Lschung Anrufung der Aufsichtsbehrde fr den Datenschutz, Schadenersatz

Durch das Unternehmen ist dem Betroffenen die erstmalige Speicherung seiner personenbezo-genen Daten mitzuteilen, sofern er nicht auf andere Art und Weise Kenntnis ber die Daten-speicherung erlangt. Das ist der Fall, wenn offensichtlich datenverarbeitende Prozesse ein Ver-tragsverhltnis (Arbeitsvertrag, Kaufvertrag, Liefervertrag) begleiten oder wenn er selbst seineDaten zur Speicherung bekannt gibt (Bewerbung, Couponeinsendung, Anmeldung zu Lehrgn-gen etc.). Auerdem besteht keine Benachrichtigungspflicht, wenn Daten aus allgemein zu-gnglichen Quellen (Telefonbuch) entnommen werden knnen. Sollten Fragen ber die Gestal-tung der Information an einen Betroffenen bestehen, knnen nhere Informationen beim be-trieblichen Datenschutzbeauftragten angefragt werden.

Der Betroffene kann jederzeit unentgeltlich Auskunft von der verantwortlichen Stelle ber allezu seiner Person in Dateien gespeicherten Daten verlangen. Nur bestimmte Unternehmen, wiebeispielsweise Kreditschutzorganisationen und Handels- und Wirtschaftsauskunfteien, knnenein Entgelt verlangen. Der Betroffene kann verlangen, dass falsche Daten berichtigt, unberech-tigt gespeicherte oder unrichtige Daten gesperrt (der weiteren Verarbeitung entzogen) oderganz gelscht werden. Die Sperrung von Daten ist vor allem dann angezeigt, wenn rechtlicheAufbewahrungsvorschriften einer sonst erforderlichen Lschung entgegenstehen. Zuletzt kann

sich der Betroffene auch mit einer Beschwerde an die Datenschutzaufsichtsbehrde wendenoder fr unzulssige oder falsche Datenverarbeitung Schadenersatz verlangen.


4/7

4

Wer kontrolliert den Datenschutz ?

betriebliche Selbstkontrolle durch den Datenschutzbeauftragten

Fremdkontrolle durch Aufsichtsbehrden fr den Datenschutz

Der Betroffene muss in der Regel selbst entscheiden, welche seiner Daten er den Vertrags-

partnern oder der Werbewirtschaft zur Verfgung stellt. Dabei sollte er immer prfen, ob dieangegebenen Daten fr die Erfllung des Vertragszwecks erforderlich sind. Wnscht er keineWerbesendungen, so muss er allen Versuchungen widerstehen, die von Preisausschreiben,Glcksspielen und kostenlosen Probesendungen ausgehen. Zustzlich kann er sich auch in die"Robinson-Liste" des Deutschen Direktmarketing-Verbandes eintragen lassen, dessen Mitglie-der dann Werbe-Mailings an ihn unterlassen.

Der betriebliche Datenschutzbeauftragte des Unternehmens prft imRahmen seiner Ttigkeit, ob die in Frage stehenden personenbezogenenDaten zulssig erhoben, fr den Vertragszweck erforderlich sind,zweckgebunden eingesetzt und unter angemessenenSicherheitsvorkehrungen verarbeitet werden, wenn er hierber

rechtzeitig informiert wird.

Der betriebliche Datenschutzbeauftragte bert die Geschftsfhrung unddie Mitarbeiter/innen und steht bei Fragen zum datenschutzgerechtenUmgang mit personenbezogenen Daten zur Verfgung. Er ist eine

Einrichtung der "Selbstkontrolle", durch die der Gesetzgeber einer "Datenschutz-Brokratie"durch staatliche Aufsicht entgegenwirken wollte.

Bei Zweifeln an der Rechtmigkeit der Datenverarbeitung in einem Unternehmen kann sichder Betroffene an den betrieblichen Datenschutzbeauftragten oder an die zustndige Auf-sichtsbehrde fr den Datenschutz wenden. Die Datenschutzaufsichtsbehrden sind, je nachBundesland, den Innenministerien, Regierungsprsidien oder Staatsministerien des Innern an-

gegliedert. Diese prfen die Datenverarbeitung in allen privaten Einrichtungen.Wenn sich die zustndige Aufsichtsbehrde mit einer Anfrage an das Unternehmen wendet,dann ist diese unbedingt an die Geschftsfhrung mit einem Antwortentwurf weiterzuleiten.Die Geschftsfhrung informiert dann ihrerseits den betrieblichen Datenschutzbeauftragten umdie Form und den Inhalt der Antwort datenschutzkonform abzustimmen.

Welche Konsequenzen haben Datenschutzverletzungen?

Imageverlust fr Unternehmen und Mitarbeiter / innen Straf- und Bugelder nach 43, 44 BDSG arbeitsrechtliche Konsequenzen

Schadenersatzpflichten

Die Beachtung der Datenschutzvorschriften kennzeichnet eine ordnungsgeme Datenverar-beitung und wurde in den letzten Jahren in der Wirtschaft zum Qualittsmerkmal. UnzulssigeVerffentlichungen von sensiblen Kunden- und Mitarbeiterdaten fhren in der Regel zu Image-verlusten. Werden personenbezogene Daten vorstzlich oder fahrlssig entgegen den Bestim-mungen des Datenschutzgesetzes erhoben, verarbeitet, genutzt, Dritten bermittelt, unbe-rechtigterweise verndert oder gelscht, kann dies eine Geldstrafe bis Euro 250.000,00 oderbis zu zwei Jahren Freiheitsstrafe zur Folge haben.

Werden Auflagen des Datenschutzgesetzes, wie die Benachrichtigung der Betroffenen, dierechtzeitige Bestellung eines Datenschutzbeauftragten und vorgeschriebene Meldungen an dieAufsichtsbehrde nicht, nicht richtig oder nicht rechtzeitig erfllt, so hat das Unternehmen we-

gen Ordnungswidrigkeiten mit Bugeldern von Euro 25.000,00 zu rechnen.


5/7

5

Schadenersatzpflichten entstehen, wenn Rechte des Betroffenen durch unzulssige oder un-richtige Datenverarbeitung verletzt werden. Dabei liegt die Beweislast, dass kein Verschuldendes Unternehmens vorliegt, immer beim Unternehmen. Hierbei handelt es sich um die so ge-nannte Beweislastumkehr.

Wenn Mitarbeiter gegen datenschutzrechtlich begrndete betriebliche Anweisungen handeln,

knnen auch arbeitsrechtliche Manahmen abgeleitet werden.

Beim Bundesdatenschutzgesetz handelt es sich um ein Schutzgesetz und immer dann, wennSchutzgesetze verletzt werden besteht Anspruch auf Schadenersatz.

Auskunftsersuchen

Ausknfte an Betroffene ber die ber sie selbst gespeicherten Daten mssen vollstndig,umfassend und richtig sein. Grundstzlich haben alle Betroffenen das Recht auf Auskunftber die von ihnen gespeicherten personenbezogenen Daten, sei es in automatisierten Ver-arbeitungen (DV-mig) oder in strukturierten manuellen Dateien (systematische Akten-sammlungen). Das BDSG nennt einige Ausnahmetatbestnde; deshalb sind Auskunftsersu-

chen von Betroffenen ber die Geschftsfhrung dem betrieblichen Datenschutzbeauftrag-ten zuzuleiten, mit dem Hinweis, in welchem Bereich welche Daten verarbeitet und in wel-cher Weise genutzt wurden.

Ausknfte an ffentliche Stellen sind dann zulssig, wenn die Anfragen aufgrund einerRechtsvorschrift erfolgen. Die Anfrage von Behrden und ffentlichen Stellen muss unterAngabe der Rechtsgrundlage (Paragraph und Gesetz) und der Nennung des Zwecks desAuskunftsersuchens erfolgen. Alle nicht routinemigen Anfragen ffentlicher Stellen, imTelekommunikationsbereich insbesondere der Polizei, sind zur Prfung an die Geschftsfh-rung weiterzuleiten.

Auslndische ffentliche Stellen haben keinen Anspruch auf Auskunft! Die Anfragen sind zurPrfung an die Geschftsfhrung weiterzuleiten.

Auskunftsanfragen der Presse sind an die Geschftsfhrung weiterzuleiten. Eine gute Zu-sammenarbeit mit der Presse ist fr das Unternehmen sehr wichtig. Trotzdem darf nicht je-der Mitarbeiter Auskunft erteilen.

Ausknfte an sonstige Dritte sind sehr genau zu prfen; es besteht i.d.R. kein Rechtsan-

spruch auf Auskunft! Nur in wenigen Ausnahmen drfen auch Dritte Ausknfte ber Perso-nen erhalten. Die Auskunftserteilung sollte restriktiv, also eingeschrnkt, gehandhabt undmit der Geschftsfhrung abgestimmt werden.

Telefonische Auskunftsersuchen: Telefonisch drfen nur dann Ausknfte ber personenbe-

zogene Daten erteilt werden, wenn sich zweifelsfrei feststellen lsst, ob der Anrufer auchwirklich derjenige ist, fr den er sich ausgibt und ob eine entsprechende Vorschrift die Aus-kunftserteilung erzwingt oder zulsst. Zweckmig ist, wenn bei einer zulssigen Auskunft

die anfragende Stelle nach vorheriger Prfung der mitgeteilten Telefonnummer ber ihreTelefonzentrale zurckgerufen wird.

Archivierung / Entsorgung

Die Aufbewahrung personenbezogener Daten ist nur so lange zulssig, wie es Aufbewah-

rungsvorschriften zulassen.

Die nach gesetzlichen (hier sind vor allem HGB und Abgabenordnung zu nennen), satzungs-gemen oder vertraglichen Vorschriften aufzubewahrenden Daten sind entsprechend ihrerFristen und der notwendigen Sicherheitsstufe zu lagern.

Nach Ablauf der gesetzlich vorgeschriebenen Aufbewahrungsfristen sind zu vernichtende Pa-pier-Datentrger entweder mittels Aktenvernichter zu vernichten oder gesammelt einem Un-ternehmen zu bergeben, das als zuverlssiger Auftragsdatenverarbeiter fr die Aktenvernich-tung gilt.


6/7

6

Das gilt auch fr defekte Disketten, Datenbnder odereinmal beschreibbare Karbonbnder. Keinesfalls drfenpersonenbezogene (oder auch sonstige sensiblefirmeninterne) Daten dem Hausmll zugefhrt werden!

Ein softwaremiges Lschen von Datentrgern der PC-

Technik (Festplatten, Disketten, Bnder) oder die Abgabevon Festplatten zur Reparatur/Gewhrleistung ist in derRegel nicht ausreichend, wenn die Daten mit Hilfe vonTools oder anderen Verfahren wieder lesbar gemachtwerden knnen!

Datensicherheit ( 9 und Anlage zu 9 BDSG)

Schutz vor Verlust, Verflschung, Verfgbarkeitseinschrnkung, und Kenntnisnahme durchunberechtigte Dritte.

Sicherstellung von Vertraulichkeit, Integritt, Verfgbarkeit der Daten und Prfbarkeit derVerfahren.

Jede verantwortliche Stelle hat die bei ihr gespeicherten Daten vorVerlust, Verflschung oder unberechtigtem Zugriff gesichertaufzubewahren. Das erfordert von den Mitarbeitern eine erhhteAufmerksamkeit beim Transport von Daten, beim Umgang mit demPasswort, dem Verschluss der Unterlagen gegen unberechtigte Einsichtund bei der Kontrolle von Dienstleistern (Reinigungsunternehmen,Datenentsorgung, DV-Wartung).

Die durch die DV-Abteilung in Zusammenarbeit mit den Fachabteilungenvorgesehenen Zugriffsschutz- und Datensicherungsfunktionen sind auch aus datenschutzrecht-licher Sicht mit Sorgfalt umzusetzen. Insbesondere sind die Zugriffsrechte restriktiv (einge-

schrnkt) zu handhaben, die Passworte vertraulich zu behandeln und die vorgeschriebenenDatensicherungsmanahmen der jeweiligen Anwendung angemessen einzuhalten.

Dabei sind die bekannten betrieblichen Regelungen durch die jeweils damit Beschftigten striktzu beachten.

Aufgaben des betrieblichen Datenschutzbeauftragten

Hinwirken auf die Einhaltung des Datenschutzes im Unternehmen

Der betriebliche Datenschutzbeauftragte wird in vertrauensvollem Zusammenwirken mit allenMitarbeiterebenen datenschutzrechtliche Probleme erkennen und den Verantwortlichen Emp-fehlungen zur betrieblichen Umsetzung geben.

Er ist bei der Durchfhrung der Manahmen von den Fachbereichen zu untersttzen und berVorhaben der automatisierten Verarbeitung personenbezogener Daten rechtzeitig zu informie-ren. Bei der Verarbeitung sensibler Daten oder bei der DV-gesttzten Erstellung von Persn-lichkeitsprofilen hat er eine Vorabkontrolle durchzufhren.

Die notwendigen Angaben fr das Verfahrensverzeichnis sind dem Datenschutzbeauftragtenmitzuteilen. Der Datenschutzbeauftragte hat es zur Einsicht fr jedermann bereitzuhalten, wo-bei das Unternehmen zum Schutz von Betriebs- und Geschftsgeheimnissen eine auf die zwin-gend erforderlichen Angaben komprimierte Version des Verfahrensverzeichnisses zur "Auskunftan Jedermann" bereithlt.


7/7

7

Der betriebliche Datenschutzbeauftragte unterliegt einer besonderen Verschwiegenheitspflichtund hat ein Zeugnisverweigerungsrecht, von dem er nur vom Betroffenen entbunden werdenkann. Er steht allen Mitarbeitern fr ihre Fragen und Anregungen zur Verfgung und ist insbe-sondere auf ihre Akzeptanz und Untersttzung angewiesen.

Mit freundlichen Gren

i.A.Wolfram FhnrichBetrieblicher Datenschutzbeauftragter [email protected]

datenschutz lsb

Documents