I. Datenschutz, rechtliche Grundlagen und Gesetzeszweck
Zweck des Datenschutzes ist es, das Grundrecht auf informationelle Selbstbestimmung der Bürger zu gewährleisten. Damit begrenzt der Datenschutz die wirtschaftliche Betätigung im Bereich der Datenverarbeitung auf das erforderliche Maß und so auf einen gesellschaftlich verträglichen Umfang. Der Datenschutz ist als Rahmenbedingung des Wettbewerbs von allen Marktteilnehmern gleichermaßen zu beachten. Die verantwortungsvolle Verwendung von Daten kann im Marketing kommuniziert werden und sich als Wettbewerbsvorteil erweisen.
Maßgeblich für den Datenschutz in Unternehmen sind die Regelungen des Bundesdatenschutzgesetzes (BDSG). Daneben existieren Landesdatenschutzgesetze, die jedoch nicht für Wirtschaftsunternehmen gelten, da sie lediglich auf öffentlich-rechtliche Einrichtungen anwendbar sind. Bereichsspezifische Sondergesetze, etwa Telemediengesetz (TMG), Sozialgesetzbuch (SGB) oder das Gesetz über die Datenverarbeitung bei der Polizei (PolDatG) enthalten weitere Datenschutzbestimmungen. Diese Sondervorschriften sind auf die Anforderungen der jeweiligen Bereiche angepasst und gehen unter Umständen den allgemeineren Regeln des BDSG vor. Schließlich gelten die besonderen Verschwiegenheitspflichten der sogenannten Berufsgeheimnisträger, wie etwa die ärztliche oder anwaltliche Schweigepflicht und vertragliche Datenschutzregelungen wie etwa das Bankgeheimnis.
II. Personenbezogene Daten
Der Datenschutz erfasst nur personenbezogene Daten. Daten sind Einzelangaben. Personenbezug entsteht, wenn die Daten Rückschlüsse auf persönliche, sachliche und / oder tatsächliche Verhältnisse einer natürlichen Person zulassen. Dies gilt unabhängig davon, welcher Aspekt der betroffenen Person angesprochen wird. Klassische Beispiele dafür sind Name, Geburtsdatum und Anschrift. Allerdings stellt auch die Video-Aufzeichnung in einem Ladenlokal oder in der U-Bahn eine Datenerhebung dar. Mit solchen Aufzeichnungen könnte nämlich nachvollzogen werden, wer sich wann und wie lange in dem kameraüberwachten Bereich aufgehalten hat.
Unternehmensdaten oder Daten juristischer Personen werden hingegen grundsätzlich nicht vom Regelungsgehalt des Gesetzes erfasst. Dafür gibt es andere Vorschriften, etwa zum Betriebsgeheimnis. Der Bereich datenschutzrechtlicher Relevanz beginnt damit bei Informationen, zu denen ein Personenbezug besteht oder hergestellt werden kann. Fragen des Datenschutzes stellen sich im Unternehmen also vor allem im Hinblick auf Daten von Kunden, anderen Geschäftspartnern und Mitarbeitern. Beispielsweise wären hier Anschrift und andere Kontaktdaten, Fotos, etc. zu benennen. Ausnahmsweise können auch Unternehmensdaten dem Datenschutz unterliegen, wenn beispielsweise Kleingewerbetreibende betroffen sind.
Dabei gilt die Faustformel: Alle Daten, die für die Durchführung eines Vertrages erforderlich sind, dürfen erhoben werden, alles was darüber hinaus geht, darf nicht ohne weiteres erhoben werden. Beispiel: Kundenname und –anschrift, eine Telefon-Nummer für Rückfragen dürfen bei einem Lieferungsvertrag immer erfragt werden. Die Abfrage des Lebensalters und zusätzlich zur Telefonnummer einer eMail-Adresse wären hingegen problematisch. Deren Erhebung würde eine förmliche datenschutzrechtliche Belehrung des Betroffenen voraussetzen, siehe unten.
III. Der Umgang mit personenbezogenen Daten
Zum Umgang mit Daten findet sich im Text des BDSG der Begriff „Verarbeitung”. Das Verarbeiten ist - mit Ausnahme der „automatisierten Verarbeitung” - ein Sammelbegriff, der fünf Formen des Datenumgangs umfasst. Diese fünf Phasen sind das Speichern, Verändern, Übermitteln, Sperren und Löschen von Daten. Dem vorgeschaltet ist (notwendiger Weise) die „Erhebung” der Daten, also die Datenbeschaffung. Nicht zur Erhebung oder Verarbeitung gehört die „Nutzung von Daten”. Nutzung ist jeder Umgang mit Daten außerhalb der Erhebung oder Verarbeitung. Die korrekte Handhabung der Daten bei Datenerhebung, -verarbeitung und –nutzung wird durch die Normen des BDSG bestimmt.
Grundsätzlich gilt, dass Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten immer dann zulässig sind, wenn ein Gesetz dies erlaubt (für Unternehmen vor allem § 28 BDSG) oder wenn der Betroffene eingewilligt hat, § 4 Abs. 1 BDSG.
Ferner gilt das sogenannte „Transparenz-Gebot”. Das bedeutet: Jeder Betroffene muss erkennen können, welche seiner personenbezogenen Daten wann, von wem, zu welchem Zweck und in welchem Umfang erhoben oder in sonst einer Weise verwendet wurden.
Zur Vereinfachung wird in den nachfolgenden Ausführungen für die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten der Begriff „Verwendung” benutzt.
1. Erlaubnis der Datenverwendung durch das Gesetz
a.) Vertragliche und vertragsähnliche Zwecke ( § 28 Absatz 1 Satz 1 Ziffer 1 BDSG)
Diese Norm erlaubt die Datenverwendung zu vertraglichen oder vertragsähnlichen Zwecken. Zwischen Datenverarbeitung und dem Vertragszweck muss ein unmittelbarer Zusammenhang bestehen. Sie muss erfolgen, um vertragliche Pflichten zu erfüllen. Gleiches gilt für die Verwendung zu vertragsähnlichen Zwecken.
Beispiel: Die Anlieferung eines Fernsehgerätes an einen Kunden ist ohne Kenntnis seines Namens und seiner Wohnanschrift nicht möglich ( § 28 Absatz 1, Satz 1, Ziffer 1 BDSG).
Ebenso verhält es sich mit der Übermittlung von Daten – zur Erfüllung des Vertragszweckes - an Dritte.
Beispiel: Ein Kunde bucht in einem Reisbüro eine Reise. Seine Daten dürfen dann, auch wenn sich im Reisevertrag dazu keine ausdrückliche Regelung findet, entsprechend dem Umfang des Vertrages für die Buchung des Fluges, des Hotels usw. verwendet werden. Das heißt, das Reisebüro darf die Daten des Kunden, soweit dies für die Durchführung des Reisevertrages nötig ist, erheben, speichern und übermitteln. Andernfalls könnte das Reisebüro den Vertrag mit dem Kunden nicht erfüllen. Das Reisebüro muss allerdings z.B. die Fluggesellschaft darauf hinweisen, dass sie die Kundendaten nur zur Buchung eines bestimmten Fluges verwenden darf und insbesondere die Daten ihrerseits nicht ( ohne vorherige schriftliche Einwilligung) außerhalb des Vertrageszweckes weitergeben darf. Hintergrund ist wieder die Transparenzidee: Der Kunde muss wissen, wo seine Daten überall verwendet werden. Eine „Datenspeicherung auf Vorrat” ist nicht zulässig, da auch in einem solchen Fall der Betroffene nicht erkennen kann, in welchem Umfang Daten von ihm zu welchem Zweck gespeichert oder sonst wie verwendet werden.
b.) Daten von Arbeitnehmern
Ob Unternehmen Daten von Arbeitnehmern verwenden dürfen, richtet sich ebenfalls nach § 28 Absatz 1 Ziffer 1 BDSG.
Der Arbeitgeber darf Arbeitnehmerdaten, die für das Arbeitsverhältnis von grundlegender Bedeutung sind (sogenannter Zweckzusammenhang), verwenden. Dazu gehören u.a. Name, Alter, Beruf, sonstige Qualifikationen und Einsatzfähigkeit. Dazu gehören auch Arbeitnehmerdaten, die zwar zur Zeit noch nicht von Bedeutung sind, die es aber werden könnten. Nicht verwendet werden dürfen Daten über die rassische oder ethnische Herkunft, politische Meinungen, religiöse ( Ausnahme: Konfession für die Abführung von Kirchensteuern aufgrund gesetzlicher Regelungen) oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit und Sexualleben.
Bitte beachten Sie: Auch Bewerbungsmappen enthalten personenbezogene Daten. Falls Sie Bewerber in einem Einstellungsverfahren nicht berücksichtigen konnten, sind diese Daten zu löschen. Die Zweckbindung entfällt nach Beendigung des Einstellungsverfahrens. Liegen die Daten in Papierform vor, geben Sie diese zurück oder vernichten Sie die Unterlagen.
c.) Berechtigtes Interesse ( § 28 Abs.1 S. 1 Ziff 2 BDSG)
Bei Vorliegen eines berechtigten Interesses dürfen Unternehmen Daten dann verwenden, wenn davon ausgegangen werden kann, dass keine schutzwürdigen Belange des Betroffenen entgegenstehen. Das praktischste Beispiel ist das sogenannte „Outsourcing”, beispielsweise des Rechenzentrums. Dabei werden Daten, die bereits beim Betroffenen erhoben wurden, an eine Stelle außerhalb des Unternehmens übermittelt und dort gespeichert oder für Zwecke des Unternehmens genutzt. Entscheidend ist dabei, dass die Gesamtverantwortung für die Datenverarbeitung bei dem Unternehmen verbleibt.
d.) Allgemein zugängliche Quellen ( § 28 Abs.1 S. 1 Ziff. 3 BDSG)
Unternehmen dürfen auch Daten verwenden, die sie aus allgemein zugänglichen Quellen haben. Allgemein zugängliche Quellen sind u. a. Rundfunk- und Fernsehsendungen, Internet, Zeitschriften, Zeitungen und sonstige Publikationen, die von jedem gekauft werden können. Es ist also zum Beispiel erlaubt, die Anschrift eines Vertragspartners aus dem Telefonbuch heraus zu suchen und der eigenen Adresskartei beizufügen. Aufgrund der Öffentlichkeit von Verzeichnissen wie etwa dem Handelsregister, gilt dort Ähnliches.
Nicht zu diesen Quellen zählen u. a. Grundbuch und Schuldnerverzeichnis. Denn derjenige, der in diese Register Einsicht nehmen will, muss ein berechtigtes Interesse daran haben.
e.) Der Erforderlichkeits-Maßstab
Maßstab für den Umgang mit Daten im Sinne von § 28 BDSG ist immer die Erforderlichkeit der Datenverwendung. Diese ergibt sich aus einer Abwägung zwischen dem Interesse des Betroffenen an der Geheimhaltung und dem Interesse des Unternehmers an der Verwendung. Überwiegt das Interesse an der Datenverwendung gegenüber dem Interesse am Geheimnisschutz, kann der Anspruch auf Datenschutz eingeschränkt sein. Es gilt das Gebot der Datensparsamkeit. Danach dürfen nur so viele Daten wie unbedingt nötig verwendet werden.
Beispiel: Bei einer Gewinnspielkarte werden als Teilnehmerdaten Name, Vorname und die Anschrift erhoben. Diese Daten sind erforderlich, um den Gewinner zu ermitteln und ihm den Gewinn zu übersenden. Häufig wird auch die Angabe des Geburtsdatums verlangt, um festzustellen, ob der Teilnehmer geschäftsfähig ist. Auf die Freiwilligkeit und den Zweck dieser Datenerhebung ist hinzuweisen. Zur Erhebung zusätzlicher Daten mit Einwilligung des Betroffenen s.u., Ziffer 3.
2. Erlaubnisnorm für die Datenverarbeitung zur Übermittlung an Dritte
Die §§ 29 und 30 BDSG formulieren Voraussetzungen, unter denen personenbezogene Daten zum Zweck der Übermittlung an Dritte für deren Geschäftszwecke zur Verfügung gestellt werden können. Diese Regelungen wenden sich insbesondere an Auskunfteien, Adressverlage und Markforschungsunternehmen.
3. Einwilligung als Erlaubnistatbestand
Soweit eine Datenverwendung nicht unmittelbar durch das BDSG erlaubt ist, kann sie trotzdem gem. § 4 BDSG durch die Einwilligung des Betroffenen legitimiert sein. Um wirksam in die Datenverarbeitung einwilligen zu können, muss die betroffene Person über die Bedeutung ihrer Einwilligung aufgeklärt werden und deren Tragweite erkennen können. § 4a BDSG verlangt daher eine Information des Betroffenen über den Zweck der Verwendung. Allgemein gehaltene Erläuterungen wie solche, dass die Daten zu Werbezwecken verarbeitet werden, reichen dazu nicht aus. Der Betroffene muss - drucktechnisch hervorgehoben - darauf hingewiesen werden, welche Daten für diesen Zweck verwendet werden. Für die Einwilligung im Internet hat sich das sogenannte „Double-Opt-In-Verfahren” etabliert. Dabei soll durch zweifaches Bestätigen ereicht werden, dass die Einwilligung tatsächlich bewusst erklärt wurde.
Ist eine Übermittlung an Dritte vorgesehen, muss dem Betroffenen der Empfängerkreis nur genannt werden, soweit der Betroffene nach den Umständen des Einzelfalls nicht mit einer Übermittlung an diese rechnen muss Ein Konzernprivileg gibt es nicht. Deshalb sind auch bei der geplanten Übermittlung von Daten eines Unternehmens an andere konzernangehörige Unternehmen diese als Empfänger der Daten anzugeben.
Die Einwilligung muss vor der Verarbeitung erteilt werden. Eine nachträgliche Zustimmung genügt nicht. Ist eine Weitergabe der personenbezogenen Daten an Dritte geplant, muss dem Betroffenen außerdem zusätzlich die Möglichkeit eingeräumt werden, der Weitergabe zu widersprechen. Sollen Daten erhoben, verarbeitet und genutzt werden, die nicht für die Durchführung des Vertrages erforderlich sind, s.o., müssen Sie als freiwillige Angaben gekennzeichnet werden und von Pflichtangaben zu unterscheiden sein.
Für das Beispiel mit dem Gewinnspiel bedeutet dies:
4. Datenverarbeitung im Auftrag
§ 11 BDSG regelt die auftragsgebundene Verarbeitung von Daten durch einen externen Auftragnehmer.
Beispiel : Das rechtlich selbständige Rechenzentrum eines Unternehmens oder eine externe Postversand-agentur.
Gem. § 11 BDSG bleibt der Auftraggeber für die Datenverarbeitung verantwortlich. Er hat den Auftragnehmer sorgfältig auszuwählen. Der Vertrag zwischen Auftraggeber und Auftragnehmer ist schriftlich abzuschließen. Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers verarbeiten. Der Auftraggeber hat sich von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen beim Auftragnehmer zu überzeugen.
5. Datengeheimnis
Wenn Daten erhoben, verarbeitet oder genutzt werden, gilt das sogenannte Datengeheimnis des § 5 BDSG. Das bedeutet, dass die Personen, die mit der Datenverarbeitung beschäftigt sind, weder unbefugt personenbezogene Daten erheben, verarbeiten oder nutzen dürfen.
6. Rechte des Betroffenen: Benachrichtigung, Auskunft, Berichtigung, Löschung und Sperrung von Daten ( § 33 - 35 BDSG)
Der Betroffene hat gegenüber einem Unternehmen, das Daten über ihn verarbeitet hat, eine Reihe von Rechten. So muss er zum Beispiel bei erstmaliger Speicherung seiner Daten davon in Kenntnis gesetzt werden, sofern diese ohne sein Wissen erfolgt ist (Benachrichtigung) . Weiter kann er Auskunft darüber verlangen, welche Daten von Ihm gespeichert wurden, wo die Speicherung stattgefunden hat und zu welchem Zweck die Daten erhoben oder verarbeitet wurden. Benachrichtigung und Auskunft sind Ausprägung des Transparenzgedankens. Auf diese Rechte kann der Betroffene auch vertraglich nicht verzichten. Sind personenbezogene Daten unrichtig, sind sie gemäß § 35 BDSG zu berichtigen. Ferner müssen personenbezogene Daten auf Verlangen oder nach den Voraussetzungen des § 35 BDSG gelöscht werden.
An Stelle einer Löschung tritt jedoch die Sperrung, soweit
Gleiches gilt, wenn die Richtigkeit der Daten vom Betroffenen bestritten wird. Sperrung bedeutet, dass die Daten in der entsprechenden Datei des verarbeitenden Unternehmens verbleiben, jedoch durch einen sogenannten Sperrvermerk gekennzeichnet werden und somit für die weitere Verarbeitung unzugänglich werden.
IV. Datenschutzbeauftragter
Unter dem Begriff Datenschutzbeauftragter sind zwei verschiedene Personen / Institute zu unterscheiden, nämlich der Landesdatenschutzbeauftragte und der betriebliche Datenschutzbeauftragte.
1. Der Landesdatenschutzbeauftragte
Dem Hamburgischen Datenschutzbeauftragten (HmbDSB) ist neben der Überwachung der öffentlichen Stellen auch die Datenschutzkontrolle der Wirtschaft nach dem Bundesdatenschutzgesetz und damit die Funktion der Datenschutzaufsichtsbehörde übertragen worden.
Außerdem übt die Aufsichtsbehörde die Kontrolle über das Verhalten von Behörden und Unternehmen im Umgang mit personenbezogenen Daten aus.
Der HmbDSB wird in diesen Bereichen aktiv, wenn er selber oder durch sog. „Eingaben” von Bürgern Kenntnis von etwaigen Verstößen gegen das Datenschutzrecht erlangt. Bei Verstößen ist der HmbDSB berechtigt, Bußgelder bis zu einer Höhe von 25.000,-- Euro zu verhängen ( § 43 BDSG).
Zum Tätigkeitsfeld des HmbDSB gehören außerdem rechtspolitische Stellungnahmen und Veröffentlichungen.
2. Der betriebliche Datenschutzbeauftragte (§ 4 f Absatz 1 Satz 2 BDSG)
2.1 Aufgaben des betrieblichen Datenschutzbeauftragten (bDSB)
Der bDSB wirkt im Unternehmen auf die Einhaltung des BDSG und anderer Vorschriften über den Datenschutz hin. Er hat insbesondere die ordnungsgemäße Anwendung der Hard – und Software, mit deren Hilfe personenbezogene Daten verarbeitet werden sollen, zu überwachen. Zudem hat er die bei der Verarbeitung personenbezogener Daten tätigen Personen mit den datenschutzrechtlichen Vorschriften und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut zu machen. Dies kann durch Schulungen, Merkblätter oder ähnliches erfolgen.
Der bDSB hat also vor allem die Aufgabe, Transparenz in der betrieblichen Datenverarbeitung zu schaffen.
Der bDSB ist weiter Anlaufstelle für Arbeitnehmer, die Verletzungen oder Beeinträchtigungen ihrer Datenschutzrechte fürchten. Hier ist er zur Verschwiegenheit über ihm bekannt gewordene Umstände verpflichtet. Außerdem ist er bei der Umsetzung von Angelegenheiten mit datenschutzrechtlichem Bezug hinzuzuziehen.
Dem bDSB wird von den Unternehmen vielfach die Aufgabe übertragen, die Mitarbeiter auf das Datengeheimnis zu verpflichten.
Schließlich muss der bDSB Informationen für die Öffentlichkeit bereithalten, die abschließend in § 4 e Abs. 1 Satz 1 Ziffern 1 – 8 aufgezählt sind.
Der bDSB wird der Unternehmensleitung direkt unterstellt, ist jedoch in Bezug auf Datenschutzbelange von Weisungen des Arbeitgebers unabhängig. Er ist der Mittler zwischen Unternehmen und der Aufsichtsbehörde.
Der bDSB darf sich im Übrigen für seine Tätigkeit auch durch den HmbDSB beraten lassen.
Der bDSB muss nicht zwingend Mitarbeiter des Unternehmens sein. Vielmehr ist es möglich, eine Person außerhalb des Unternehmens zum bSDB zu bestellen, die über die erforderliche Sachkunde verfügt ( § 4 f Abs. 2 S 2 BDSG).
2.2. Pflichten des Unternehmens gegenüber dem bDSB
Dem bDSB dürfen aus seiner Tätigkeit, selbst wenn er für das Unternehmen kostenträchtige datenschutzrechtliche Maßnahmen vorschlägt, keinerlei Nachteile erwachsen.
Das Unternehmen muss dem bDSB Angaben für ein sogenanntes Verfahrensverzeichnis zur Verfügung stellen, damit er über die Organisation des Unternehmens, sowie Ziele, Struktur und Ablauf der Datenverwendung informiert ist. Dafür ist weiter erforderlich, dass eine Liste derjenigen Personen beigefügt wird, die Zugriffsberechtigung auf Daten haben.
2.3. Wann muss der bDSB bestellt werden?
2.3.1 Der bDSB in Abhängigkeit von der Mitarbeiterzahl
Jedes Unternehmen muss einen bDSB bestellen, wenn der Betrieb „automatisiert”, also unter Zuhilfenahme moderner EDV- und Kommunikationsmittel, personenbezogene Daten verwendet. Eine Ausnahme gilt nur, wenn der Betrieb nicht mehr als neun (bis zum 25. August 2006 waren es vier) Arbeitnehmer beschäftigt, die mit der EDV betraut sind. Diese Mitarbeiter müssen nicht ständig mit der EDV betraut sein, es genügt, wenn die Verwendung von Daten gelegentlich anfällt. Ein Beispiel ist die Sekretärin, die unter anderem mit Kundendateien umgeht.
Eine weitere Ausnahme gilt, wenn ein Unternehmen Daten ausschließlich auf andere Weise verwendet, etwa auf Papier, Karteikarten etc. Dann müssen mindestens 20 Personen mit der Verwendung personenbezogener Daten beschäftigt sein. Die Personenzahl richtet sich nach Köpfen. Daher zählen auch Teilzeitkräfte, Auszubildende und Leihpersonal zu diesem Personenkreis. Bei Leiharbeitnehmern ist gleichgültig, für welchen Zeitraum diese bei dem Unternehmen beschäftigt sind. Abzustellen ist nur darauf, ob sie mit der EDV personenbezogene Daten verwenden oder nicht.
2.3.2. Weitere Besonderheiten
Unabhängig von der Beschäftigtenzahl ist stets ein bDSB zu bestellen, wenn automatisierte Verarbeitungen vorgenommen werden, die unter den Tatbestand des § 4 d Abs. 5 BDSG fallen. Das sind vor allem besondere Arten personenbezogener Daten über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit und Sexualleben.
Die Mitarbeiterzahl hat auch keine Bedeutung, wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung verwendet werden, wie z.B. bei Auskunfteien und Meinungsforschungsinstituten.
2.3.3. Zeitpunkt der Bestellung des bDSB
Nach dem BDSG ist spätestens innerhalb eines Monats nach Aufnahme der Tätigkeit des Unternehmens ein bDSB zu bestellen, wenn die oben genannte Voraussetzungen vorliegen.
VI. Der Hamburgische Datenschutzbeauftragte
Den Hamburgischen Datenschutzbeauftragten erreichen Sie unter folgender Adresse
Der Hamburgisch Datenschutzbeauftragte
Klosterwall 6, 20097 Hamburg
Tel.: 040/428854-4040, Fax: 040/428854-4000
EMail: mailbox@datenschutz.hamburg.de
© Handelskammer Hamburg.
Für die Richtigkeit der in dieser Website enthaltenen Angaben können wir trotz sorgfältiger Prüfung keine Gewähr übernehmen
