Zum Inhalt springen

Bundesdatenschutzgesetz

Aus­kunft ertei­len — aber richtig

Jeder hat nach § 34 BDSG ein sog. Aus­kunfts­recht gegen­über Unter­neh­men und Behör­den, wel­che Daten über einen gespei­chert sind. Nimmt ein Betrof­fe­ner die­ses wahr, muss eine Aus­kunft voll­stän­dig, kor­rekt und zeit­nah an den Anfra­gen­den erge­hen. Es dro­hen sonst Buß­gel­der bis zu 50.000 EUR nach § 43 BDSG.

Seit eini­ger Zeit wird das Recht auf Aus­kunft immer häu­fi­ger ein­ge­klagt. Und die durch die Gerich­te fest­ge­setz­ten Streit­wer­te zie­hen mit. Fol­ge: höhe­re Kos­ten für das beklag­te Unternehmen.

Das Aus­kunfts­ver­lan­gen

§ 34 Bun­des­da­ten­schutz­ge­setz hat es für die ange­frag­te Stel­le in sich. Jeder Betrof­fe­ne hat das Recht auf voll­stän­di­ge, rich­ti­ge und zeit­na­he Aus­kunft, wel­che per­so­nen­be­zo­ge­nen Daten über ihn in Ihrem Unter­neh­men gespei­chert sind.

Anfra­gen neh­men zu

Sicher haben Sie es selbst schon fest­ge­stellt: die Aus­kunfts­ver­lan­gen sind im Auf­wärts­trend. Die Ursa­chen sind viel­fäl­tig. Ver­brau­cher wer­den auf­grund zuneh­men­der Bericht­erstat­tun­gen kri­ti­scher. Unzu­frie­de­ne Kun­den nut­zen ihr Recht auf Aus­kunft als Art „Retour­kut­sche“. Manch­mal ist es ein­fach nur Neugier.

Aus­kunfts­recht einklagbar?

Wie ande­re gesetz­lich ver­brief­te Rech­te ist der Aus­kunfts­an­spruch aus § 34 BDSG ein­klag­bar. Igno­riert das ange­frag­te Unter­neh­men den Aus­kunfts­wunsch, so steht dem Betrof­fe­nen der Weg zum Kadi offen.

Und wenn gar kei­ne Daten über den Anfra­gen­den vorliegen?

Das ist voll­kom­men uner­heb­lich. In die­sem Fall steht dem Betrof­fe­nen eine Infor­ma­ti­on über genau die­sen Sach­ver­halt zu.

Was besagt der Streitwert?

Der durch das Gericht fest­ge­setz­te Streit­wert ist Grund­la­ge für die Kos­ten­er­mitt­lung. Da Sie als Unter­neh­mer /​ Unter­neh­men im Streit­fall bei Nicht­er­tei­len einer Aus­kunft unter­lie­gen wer­den, ist der Streit­wert von gro­ßem Inter­es­se im Hin­blick auf die zu zah­len­den Gerichts– und Anwaltskosten.

Stei­gen die Streitwerte?

Von einem rich­ti­gen Trend kann zur Zeit noch nicht gespro­chen wer­den. Waren jedoch in der Ver­gan­gen­heit meist Streit­wer­te zwi­schen 500 und 700 EUR üblich, sind es mitt­ler­wei­le beim AG Köln 1.500 EUR (AG Köln v. 08.03.2012, 139 C 283/​1 ). Doch schon frü­her kam es durch­aus zu Streit­wer­ten von bis zu 4.000 EUR.

Noch steckt die gericht­li­che Auf­ar­bei­tung von Daten­schutz­an­ge­le­gen­hei­ten in den Kin­der­schu­hen — jedoch nimmt die Zahl zu.

Wie also auf ein Aus­kunfts­ver­lan­gen reagieren?

Am ein­fachs­ten ist es, die Anfra­ge direkt an Ihren Daten­schutz­be­auf­trag­ten wei­ter­zu­lei­ten. Die­ser weiß, was zu tun ist. Ver­su­chen Sie kei­ne eigen­stän­di­ge Beant­wor­tung. Feh­ler­haf­te, nicht voll­stän­di­ge und nicht zeit­nah erteil­te Aus­künf­te sind teu­er. Sie haben noch kei­nen Datenschutzbeauftragten?

Und wenn der Anfra­gen­de direkt vor mir steht?

Ver­ge­wis­sern Sie sich von der Iden­ti­tät der Per­son. Erläu­tern Sie die Ihnen vor­lie­gen­den Daten in einem ruhi­gen Gespräch. Oft­mals ist die Ange­le­gen­heit damit bereits erle­digt. Geben Sie dabei jedoch kei­ne Internas preis.

Wenn das nicht ausreicht?

Dann wird es Zeit für die Ein­schal­tung Ihres Daten­schutz­be­auf­trag­ten, alter­na­tiv der Geschäftsleitung.

Neh­men Sie das The­ma bit­te nicht auf die leich­te Schulter.

Nächs­te Über­gangs­frist läuft aus, Buß­geld­ri­si­ko für Werbetreibende

Zum 31.08.2012 läuft die Über­gangs­re­ge­lung für § 28 BDSG für Wer­be­zwe­cke aus. Ab dem 01.09.2012 heißt es dann, per­so­nen­be­zo­ge­ne Daten und die soge­nann­ten “Lis­ten­da­ten” aus­schließ­lich noch mit wirk­sa­mer Ein­wil­li­gung für Wer­be­zwe­cke zu nut­zen. Laut dem Buß­geld­ka­ta­log des Bun­des­da­ten­schutz­ge­set­zes kön­nen durch­aus Beträ­ge bis 300.000 Euro bei Nicht­ein­hal­tung fäl­lig wer­den. Grund genug für alle Wer­be­trei­ben­den, sich mit den aktu­el­len Rege­lun­gen auseinanderzusetzen.

Was sind Listendaten?

Die Defi­ni­ti­on lie­fert § 28 Absatz 3 BDSG: ” Dar­über hin­aus ist die Ver­ar­bei­tung oder Nut­zung per­so­nen­be­zo­ge­ner Daten zuläs­sig, soweit es sich um lis­ten­mä­ßig oder sonst zusam­men­ge­fass­te Daten über Ange­hö­ri­ge einer Per­so­nen­grup­pe han­delt, die sich auf die Zuge­hö­rig­keit des Betrof­fe­nen zu die­ser Per­so­nen­grup­pe, sei­ne Berufs‑, Bran­chen- oder Geschäfts­be­zeich­nung, sei­nen Namen, Titel, aka­de­mi­schen Grad, sei­ne Anschrift und sein Geburts­jahr beschrän­ken, und die Ver­ar­bei­tung oder Nut­zung erfor­der­lich ist”

Hier soll­te gleich beach­tet wer­den, dass wei­te­re Anga­ben wie Tele­fon- und Fax­num­mern, Email-Adres­se oder das voll­stän­di­ge Geburts­da­tum nicht unter die­se Defi­ni­ti­on fallen!

Betrof­fen sind eben­falls Lis­ten­da­ten, die noch vor der BDSG Novel­le vom 01.09.2009 erho­ben wurden.

Was bedeu­tet das nun konkret?

Per­so­nen­be­zo­ge­ne Daten, unab­hän­gig ob Alt- oder Neu­be­stand, wie Tele­fon­num­mer und Email-Adres­se dür­fen ab dem 01.09.2012 nur noch mit gül­ti­ger Ein­wil­li­gung des Betrof­fe­nen zu Wer­be­zwe­cken genutzt werden.

Eine elek­tro­ni­sche Ein­wil­li­gung muss durch den Wer­be­trei­ben­den pro­to­kol­liert wer­den und auf Anfor­de­rung nach­weis­bar sein. Hier gilt es, aktu­el­le Ver­fah­rens­wei­sen sorg­fäl­tig zu prü­fen und anzupassen.

Gibt es Ausnahmen?

Der Gesetz­ge­ber hat eini­ge Aus­nah­men vor­ge­se­hen, den Rah­men jedoch recht eng gestellt:

  1. Für Wer­bung an Bestands­kun­den dür­fen Lis­ten­da­ten ohne Ein­wil­li­gung genutzt wer­den (Ach­tung: beach­ten Sie, was Lis­ten­da­ten kon­krekt sind, sie­he Defi­ni­ti­on wei­ter oben)
  2. Lis­ten­da­ten aus all­ge­mein zugäng­li­chen Adress- und Bran­chen­ver­zeich­nis­sen dür­fen eben­falls ohne Ein­wil­li­gung genutzt werden
  3. Für berufs­be­zo­ge­ne Wer­bung an eine beruf­li­che Anschrift wird eben­falls kei­ne Ein­wil­li­gung benö­tigt (pos­ta­lisch)
  4. Gemein­nüt­zi­ge Orga­ni­sa­tio­nen dür­fen für Spen­den­auf­ru­fe eben­falls Lis­ten­da­ten ohne Ein­wil­li­gung nutzen
Doch Ach­tung: die­se Aus­nah­men gel­ten nur für Brief­wer­bung. Für Tele­fon- und Email-Wer­bung wird die Ein­wil­li­gung zwin­gend benötigt.
Tipps zur Umsetzung
  1. Tren­nen Sie Alt­da­ten von Neu­da­ten, das erleich­tert das Hand­ling unge­mein. Für Neu­da­ten holen Sie selbst­ver­ständ­lich bereits heu­te die not­wen­di­ge Ein­wil­li­gung beim Betrof­fe­nen ein. Wol­len Sie Alt­da­ten nut­zen, kön­nen Sie auf die­se über­sicht­lich zurück­grei­fen und die feh­len­de Ein­wil­li­gung nachholen.
  2. Daten­sät­ze soll­ten gene­rell mit den fol­gen­den Merk­ma­len ver­se­hen wer­den: Datum des Zugangs, Daten­her­kunft und idea­ler­wei­se die dazu­ge­hö­ri­ge Zweckbindung
  3. Ver­mei­den Sie pau­scha­le Anga­ben in der Ein­wil­li­gung
  4. Fra­gen Sie doch ein­fach Ihren Daten­schutz­be­auf­trag­ten. Sie haben kei­nen? For­dern Sie Ihr Ange­bot kom­for­ta­bel online an.
 Wol­len Sie mehr über die in 2009 ange­stos­se­nen Ände­run­gen des Bun­des­da­ten­schutz­ge­set­zes erfah­ren? Dann fin­den Sie in unse­rem Part­ner­fach­blog daten​schutz​be​auf​trag​ter​-info​.de eine gute Übersicht.

 

IT-Sicher­heit in Unter­neh­men ver­bes­sern und für mehr Daten­schutz sorgen

Daten­schutz und Datensicherheit

Daten­schutz ist gesetz­li­che Vor­schrift für Unter­neh­men aller Grö­ßen in Deutsch­land. So gibt es zwar eini­ge Rege­lun­gen, wie z.B. die Bestell­pflicht für einen sog. Daten­schutz­be­auf­trag­ten, die erst ab einer gewis­sen Mit­ar­bei­ter­zahl grei­fen, doch das ent­bin­det nicht von der Ver­pflich­tung die übri­gen Vor­schrif­ten im Unter­neh­men umzu­set­zen. Auf­grund des ste­tig zuneh­men­den Ein­sat­zes von IT stei­gen sowohl die Ansprü­che an Unter­neh­men als auch die Zahl der zu tref­fen­den Schutz­maß­nah­men durch das Unter­neh­men. Ohne aus­rei­chen­de IT-Sicher­heit ist der gesetz­lich vor­ge­schrie­be­ne Daten­schutz heu­te kaum mehr zu gewährleisten.

Klas­si­sche Brennpunkte

Ganz oben auf der The­men­lis­te ste­hen nach wie vor Klas­si­ker wie Pass­wort-Sicher­heit oder auch die Back­up-Stra­te­gie. Im Rah­men unse­rer Daten­schutz-Audits sind immer wie­der noch Kom­bi­na­tio­nen für den Sys­tem-Log­in zu fin­den wie Benut­zer­na­me = Vor­na­me und Pass­wort = Nach­na­me, sogar für Zugän­ge mit Admi­nis­tra­tor-Rech­ten. Aber auch die Rech­te und Pflich­ten des Admi­nis­tra­tors wol­len genau defi­niert und fest­ge­schrie­ben sein. Ob der Leit­satz “Back­up ist nur für Feig­lin­ge” im Fal­le eines Daten­ver­lusts wirk­lich wei­ter­hilft? Ich wage es zu bezweifeln.

Neue Tech­no­lo­gien und Verfahrensweisen

Doch neben die­sen Dau­er­bren­nern gilt es mit aktu­el­len Ent­wick­lun­gen und Trends mit­zu­hal­ten. Nut­zen Ihre Mit­ar­bei­ter eige­ne elek­tro­ni­schen Gerä­te für das Unter­neh­men wie z.B. Smart­phones, Note­book oder Pads? Dann wer­den Sie nicht dar­um her­um­kom­men, sich mit dem Begriff BYOD (Bring Your Own Device) aus­ein­an­der­zu­set­zen. Denn so char­mant das Mit­brin­gen von eige­ner Hard­ware durch Mit­ar­bei­ter sein kann, z.B. durch den Kos­ten­ein­spa­rungs­ef­fekt, so ris­kant ist der Ein­satz von nicht in die Sicher­heits­me­cha­nis­men des Unter­neh­mens ein­ge­bun­de­nen Gerä­ten im Hin­blick auf Daten­si­cher­heit und Datenschutz.

Licht ins Dun­kel bringen

Das Bun­des­mi­nis­te­ri­um für Wirt­schaft hat zur Unter­stüt­zung den IT-Sicher­heits­na­vi­ga­tor im Web ins Leben geru­fen. Hier kön­nen Unter­neh­men und Unter­neh­mer ziel­ge­nau nach Bran­che und Fra­ge­stel­lung Hil­fe in Form von Anlei­tun­gen, For­mu­lie­rungs­vor­schlä­gen und Tipp­lis­ten finden.

Alter­na­tiv spre­chen Sie doch ein­fach mit Ihrem Daten­schutz­be­auf­trag­ten? Sie haben kei­nen? Dann prü­fen Sie, ob die gesetz­li­che Bestell­pflicht für Ihr Unter­neh­men vor­liegt. Der Gesetz­ge­ber hat mit dem exter­nen Daten­schutz­be­auf­trag­ten eine kos­ten­güns­ti­ge und trans­pa­ren­te Mög­lich­keit geschaf­fen, die­ser Ver­pflich­tung nach­zu­kom­men -> Ange­bot anfor­dern. Doch selbst ohne Bestell­pflicht ste­hen wir bera­tend zu den The­men Daten­si­cher­heit und Daten­schutz für Ihr Unter­neh­men zur Ver­fü­gung. Spre­chen Sie uns ein­fach an.

Unter­neh­men sicher machen, För­der­mit­tel nutzen

Übri­gens kön­nen Tei­le unse­rer Bera­tungs­leis­tun­gen mit För­der­mit­teln aus dem ESF bezu­schusst wer­den — nut­zen Sie doch die­se Gele­gen­heit, Ihr Unter­neh­men über­prü­fen zu las­sen und siche­rer zu machen.

Mit Ein­wil­li­gung wäre das wohl nicht passiert

Sicher haben Sie es in der Pres­se der letz­ten Wochen ver­folgt: ein bekann­ter Auto­ver­mie­ter mit Sitz in Ham­burg wur­de zur Zah­lung eines Buß­gelds in Höhe von 54.000 Euro ver­pflich­tet. Die zustän­di­ge Daten­schutz­be­hör­de nahm Anstoß an der Art und Wei­se der Umset­zung einer in der Bran­che übli­chen Siche­rungs­maß­nah­me hoch­wer­ti­ger Miet­fahr­zeu­ge mit­tels GPS Ortung. Erschwe­rend kam eine feh­len­de Rege­lung zur sog. Auf­trags­da­ten­ver­ar­bei­tung nach § 11 BDSG mit dem ein­ge­setz­ten Dienst­leis­ter hinzu.

Der ham­bur­gi­sche Lan­des­da­ten­schutz­be­auf­trag­te Johan­nes Cas­par äußer­te sich dahingehend:

“Grund­sätz­lich ist die Moti­va­ti­on von Europ­car nach­voll­zieh­bar. Die heim­li­che Ortung von Miet­fahr­zeu­gen und die heim­li­che Kon­trol­le der Mie­ter stel­len jedoch einen schwe­ren Ein­griff  in deren Per­sön­lich­keits­recht dar. Der Auto­ver­mie­ter hat es dadurch in der Hand, Bewe­gungs­pro­fi­le sei­ner Kun­den zu erstel­len. Mit Hil­fe der Ortungs­tech­nik lässt sich nicht nur rekon­stru­ie­ren, wer sich wann wo auf­ge­hal­ten hat, son­dern auch, wer zu wel­chem Zeit­punkt mit wel­cher Geschwin­dig­keit gefah­ren ist. Ins­be­son­de­re durch die anlass­lo­se Ortung wer­den die Mie­ter regel­mä­ßig unter einen Gene­ral­ver­dacht gestellt.”

In der Pres­se­mit­tei­lung vom 17.07.2012 heißt es weiterhin:

“Da die Über­mitt­lung der Ortungs­da­ten ohne Wis­sen und ohne Ein­wil­li­gung der Mie­ter erfolg­te, war sie ord­nungs­wid­rig. Dane­ben gab es zwi­schen der Europ­car GmbH und der aus­füh­ren­den Fir­ma kei­nen Ver­trag zur Auf­trags­da­ten­ver­ar­bei­tung nach dem Bun­des­da­ten­schutz­ge­setz.  Die Höhe des Buß­gel­des wur­de zudem maß­geb­lich davon beein­flusst, dass die Europ­car GmbH dem Daten­schutz­be­auf­trag­ten anfäng­lich kei­ne voll­stän­di­gen Aus­künf­te erteilt und trotz Auf­for­de­rung das unzu­läs­si­ge Ver­hal­ten zunächst nicht been­det hatte.”

§4a BDSG defi­niert Form und Inhalt einer rechts­wirk­sa­men Einwilligungserklärung:

  • Erfor­der­nis der Schrift­form (Aus­nah­me: elek­tro­ni­sche Ein­wil­li­gung, an die genaue Vor­ga­ben geknüpft sind)
  • Frei­wil­lig­keit der Einwilligung
  • Genaue Zweck­be­schrei­bung
  • Fol­gen der Nichterteilung
  • Opti­sche Her­vor­he­bung der Einwilligung

Pau­scha­le Ein­wil­li­gun­gen in der Form “Ich wil­li­ge in die Nut­zung mei­ner Daten zu jedem erdenk­li­chen Zweck im Sin­ne des Unter­neh­mens ein” soll­ten sich dem­nach mitt­ler­wei­le über­holt haben.

Das OLG Köln hat in sei­ner Ent­schei­dung vom 17.06.2011, AZ: 6 U 8/​11 eine durch eine Ver­brau­cher­schutz­be­hör­de bean­stan­de­te Ein­wil­li­gungs­er­klä­rung inhalt­lich und der Form nach geprüft und deren Wirk­sam­keit bestä­tigt. Es emp­fiehlt sich durch­aus, die Begrün­dung und Bewer­tung des OLG vor dem Erar­bei­ten einer eige­nen Ein­wil­li­gungs­er­klä­rung zu prüfen.

Hilf­reich ist eben­falls, sich in die Posi­ti­on des Ein­wil­li­gen­den zu ver­set­zen. Die­ser muss klar erkennen:

  • Han­delt es sich um eine Einwilligung?
  • War­um soll ich einwilligen?
  • Wel­che mei­ner per­so­nen­be­zo­ge­nen Daten sind kon­kret betroffen?
  • Für wel­chen kon­kre­ten Ver­wen­dungs­zweck soll ich einwilligen?
  • Wel­che Kon­se­quen­zen hat es für mich, wenn ich nicht einwillige?
  • An wen gibt das Unter­neh­men mei­ne Daten wei­ter und warum?

Ver­mei­den Sie dabei auf jeden Fall all­ge­mei­ne For­mu­lie­run­gen! In eine Ein­wil­li­gung soll­te aus­rei­chend Zeit und Pla­nung inves­tiert wer­den. Sind die kon­kre­ten Zwe­cke nicht aus­rei­chend und umfäng­lich defi­niert, so ent­fällt auf­grund der im BDSG fest­ge­schrie­be­nen Zweck­bin­dung jeg­li­che wei­te­re Verwendungsmöglichkeit.

Übri­gens: Ihr Daten­schutz­be­auf­trag­ter kennt sich mit die­sem The­ma bes­tens aus. Spre­chen Sie ihn doch ein­fach recht­zei­tig an. Sie haben kei­nen? Dann for­dern Sie noch heu­te Ihr Ange­bot an. Er unter­stützt Sie auch bei der Umset­zung einer daten­schutz­kon­for­men Auf­trags­da­ten­ver­ar­bei­tung.

Neben dem Bun­des­da­ten­schutz­ge­setz spie­len je nach Fall wei­te­re Geset­ze bei der Erstel­lung und Umset­zung einer (elek­tro­ni­schen oder schrift­li­chen) Ein­wil­li­gung eine Rol­le. Mehr erfah­ren Sie in unse­rem Part­ner­blog.

Irr­tü­mer im Daten­schutz (Teil 3): Wir haben kei­ne schüt­zens­wer­ten Daten im Unternehmen

“Wir haben kei­ne per­so­nen­be­zo­ge­nen Daten im Unter­neh­men, daher betrifft uns das Bun­des­da­ten­schutz­ge­setz gar nicht” — die­se Aus­sa­ge trifft man immer wie­der z.B. im Rah­men von Infor­ma­ti­ons­ver­an­stal­tun­gen oder Kun­den­ge­sprä­chen. Im ers­ten Moment ist man gera­de bei rei­nen B2B-Unter­neh­men geneigt, zuzu­stim­men. Doch schnell regen sich Zwei­fel, denn nur weni­ge Unter­neh­men kom­men ohne Mit­ar­bei­ter aus.

§ 3  BDSG defi­niert den Begriff der per­so­nen­be­zo­ge­nen Daten:

“(1) Per­so­nen­be­zo­ge­ne Daten sind Ein­zel­an­ga­ben über per­sön­li­che oder sach­li­che Ver­hält­nis­se einer bestimm­ten oder bestimm­ba­ren natür­li­chen Per­son (Betrof­fe­ner).”

Damit wäre bereits fest­ge­stellt, das per­so­nen­be­zo­ge­ne Daten im Unter­neh­men allei­ne schon durch die Beschäf­ti­gung von Mit­ar­bei­tern vor­lie­gen. Zieht man jetzt noch die Daten zu Kun­den, Lie­fe­ran­ten, Dienst­leis­tern und Inter­es­sen­ten hin­zu, wird schnell klar: Es gibt eigent­lich immer per­so­nen­be­zo­ge­ne Daten im Unternehmen.

Blei­ben wir jedoch bei den Mit­ar­bei­ter­da­ten unse­res Bei­spiels und in § 3 BDSG:

“(9) Beson­de­re Arten per­so­nen­be­zo­ge­ner Daten sind Anga­ben über die ras­si­sche und eth­ni­sche Her­kunft, poli­ti­sche Mei­nun­gen, reli­giö­se oder phi­lo­so­phi­sche Über­zeu­gun­gen, Gewerk­schafts­zu­ge­hö­rig­keit, Gesund­heit oder Sexualleben.”

Mit­ar­bei­ter­da­ten sind dem­nach nicht nur rei­ne per­so­nen­be­zo­ge­ne Daten, son­dern nach die­ser Defi­ni­ti­on sogar eine beson­de­re Art per­so­nen­be­zo­ge­ner Daten (ent­hal­ten sie doch eini­ge der og. Merkmale).

§ 3 BDSG defi­niert im wei­te­ren Ver­lauf den Begriff “Beschäf­tig­te” detailliert:

“(11) Beschäf­tig­te sind:

  1. Arbeit­neh­me­rin­nen und Arbeitnehmer,
  2. zu ihrer Berufs­bil­dung Beschäftigte,
  3. Teil­neh­me­rin­nen und Teil­neh­mer an Leis­tun­gen zur Teil­ha­be am Arbeits­le­ben sowie an Abklä­run­gen der beruf­li­chen Eig­nung oder Arbeits­er­pro­bung (Reha­bi­li­tan­din­nen und Rehabilitanden),
  4. in aner­kann­ten Werk­stät­ten für behin­der­te Men­schen Beschäftigte,
  5. nach dem Jugend­frei­wil­li­gen­dien­ste­ge­setz Beschäftigte,
  6. Per­so­nen, die wegen ihrer wirt­schaft­li­chen Unselb­stän­dig­keit als arbeit­neh­mer­ähn­li­che Per­so­nen anzu­se­hen sind; zu die­sen gehö­ren auch die in Heim­ar­beit Beschäf­tig­ten und die ihnen Gleichgestellten,
  7. Bewer­be­rin­nen und Bewer­ber für ein Beschäf­ti­gungs­ver­hält­nis sowie Per­so­nen, deren Beschäf­ti­gungs­ver­hält­nis been­det ist,
  8. Beam­tin­nen, Beam­te, Rich­te­rin­nen und Rich­ter des Bun­des, Sol­da­tin­nen und Sol­da­ten sowie Zivildienstleistende.”

Das Bun­des­da­ten­schutz­ge­setz spen­diert in sei­ner aktu­el­len Fas­sung den Beschäf­tig­ten sogar einen eige­nen Paragraphen:

§ 32 Daten­er­he­bung, ‑ver­ar­bei­tung und ‑nut­zung für Zwe­cke des Beschäftigungsverhältnisses

“(1) Per­so­nen­be­zo­ge­ne Daten eines Beschäf­tig­ten dür­fen für Zwe­cke des Beschäf­ti­gungs­ver­hält­nis­ses erho­ben, ver­ar­bei­tet oder genutzt wer­den, wenn dies für die Ent­schei­dung über die Begrün­dung eines Beschäf­ti­gungs­ver­hält­nis­ses oder nach Begrün­dung des Beschäf­ti­gungs­ver­hält­nis­ses für des­sen Durch­füh­rung oder Been­di­gung erfor­der­lich ist. Zur Auf­de­ckung von Straf­ta­ten dür­fen per­so­nen­be­zo­ge­ne Daten eines Beschäf­tig­ten nur dann erho­ben, ver­ar­bei­tet oder genutzt wer­den, wenn zu doku­men­tie­ren­de tat­säch­li­che Anhalts­punk­te den Ver­dacht begrün­den, dass der Betrof­fe­ne im Beschäf­ti­gungs­ver­hält­nis eine Straf­tat began­gen hat, die Erhe­bung, Ver­ar­bei­tung oder Nut­zung zur Auf­de­ckung erfor­der­lich ist und das schutz­wür­di­ge Inter­es­se des Beschäf­tig­ten an dem Aus­schluss der Erhe­bung, Ver­ar­bei­tung oder Nut­zung nicht über­wiegt, ins­be­son­de­re Art und Aus­maß im Hin­blick auf den Anlass nicht unver­hält­nis­mä­ßig sind.
(2) Absatz 1 ist auch anzu­wen­den, wenn per­so­nen­be­zo­ge­ne Daten erho­ben, ver­ar­bei­tet oder genutzt wer­den, ohne dass sie auto­ma­ti­siert ver­ar­bei­tet oder in oder aus einer nicht auto­ma­ti­sier­ten Datei ver­ar­bei­tet, genutzt oder für die Ver­ar­bei­tung oder Nut­zung in einer sol­chen Datei erho­ben werden.
(3) Die Betei­li­gungs­rech­te der Inter­es­sen­ver­tre­tun­gen der Beschäf­tig­ten blei­ben unberührt.”
Womit fest­steht:
  1. Beschäf­tigt ein Unter­neh­men Mit­ar­bei­ter, lie­gen per­so­nen­be­zo­ge­ne Daten vor.
  2. Auf­grund der vor­lie­gen­den Daten eines Mit­ar­bei­ters han­delt es sich dabei sogar um beson­de­re Arten per­so­nen­be­zo­ge­ner Daten, die einen erhöh­ten Schutz­sta­tus besitzen.
  3. Das Bun­des­da­ten­schutz­ge­setz legi­ti­miert das Erhe­ben, Ver­ar­bei­ten und Nut­zen der Mit­ar­bei­ter­da­ten zum Zwe­cke des Beschäftigungsverhältnisses.
  4. Das Bun­des­da­ten­schutz­ge­setz fin­det auf Unter­neh­men mit Mit­ar­bei­tern Anwendung.
  5. Es bleibt zu prü­fen, ob die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten zusätz­lich vorliegt.

 

Unsi­cher in Bezug auf die wei­te­re Vor­ge­hens­wei­se? Dann spre­chen Sie uns ein­fach an. Wir hel­fen schnell, unbü­ro­kra­tisch und unkompliziert.

Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

Irr­tü­mer im Daten­schutz (Teil 1): Daten­schutz betrifft mein Unter­neh­men nicht

Irr­tü­mer im Datenschutz

Will­kom­men zum ers­ten Teil unse­rer Serie “Irr­tü­mer im Daten­schutz”. Daten­schutz ist in aller Mun­de, doch kaum jemand kennt das dahin­ter­ste­hen­de Bun­des­da­ten­schutz­ge­setz (BDSG). Dabei ist das Daten­schutz­ge­setz auf Bun­des­ebe­ne nicht mehr das Jüngs­te, exis­tiert es doch bereits seit 1977.

Erstaun­li­cher­wei­se herrscht über das The­ma Daten­schutz in der Pra­xis meist ein risi­ko­rei­ches Halb­wis­sen. Die Exis­tenz oder die Inhal­te des BDSG sind sel­ten kon­kret bekannt, Auf­klä­rung sei­tens des Gesetz­ge­bers zu die­sem The­ma erfolgt bedau­er­li­cher­wei­se eben­falls kei­ne. Unter­neh­men und Unter­neh­mer sind auf sich allei­ne gestellt, wenn es um die recht­li­che Aus­ein­an­der­set­zung mit dem The­ma Daten­schutz und des­sen kon­kre­te (vor­ge­schrie­be­nen) Maß­nah­men im Betrieb geht. Was Wun­der, wenn Daten­schutz im Tages­ge­schäft einen gerin­gen Stel­len­wert einnimmt.

Es kann teu­er werden

Im Jahr 2009  hat der Gesetz­ge­ber die Stra­fen und Sank­tio­nen für Nicht­ein­hal­tung der gesetz­li­chen Daten­schutz­vor­schrif­ten durch Unter­neh­men ver­schärft. Kon­kret wer­den die­se in § 43 BDSG Buß­geld­vor­schrif­ten und § 44 BDSG Straf­vor­schrif­ten ähn­lich dem aus der Stra­ßen­ver­kehrs­ord­nung bekann­ten Buß­geld­ka­ta­log auf­ge­lis­tet. Neben Auf­la­gen durch die Lan­des­da­ten­schutz­be­hör­den kön­nen Unter­neh­mer und Unter­neh­men schnell einem Buß­geld­ri­si­ko von bis zu 300.000 Euro aus­ge­setzt sein — und das sogar ganz ohne Daten­pan­ne. Unwis­sen­heit schützt auch hier vor Stra­fe nicht.

“Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht”

Weit gefehlt, denn in jedem Unter­neh­men wird für gewöhn­lich mit per­so­nen­be­zo­ge­ne Daten han­tiert (der Gesetz­ge­ber spricht von Erhe­ben, Ver­ar­bei­ten und Nut­zen). Sind es nicht die Daten von Kun­den und Geschäfts­part­nern, so exis­tie­ren doch zumeist noch Mit­ar­bei­ter­da­ten im Unter­neh­men — und die­se gel­ten recht­lich als “sen­si­tiv” und damit beson­ders schüt­zens­wert. Doch schau­en wir auf das Bundesdatenschutzgesetz:

Bereits § 1 BDSG Zweck und Anwen­dungs­be­reich des Geset­zes macht klar, was das Daten­schutz­ge­setz schützt und wen es betrifft.

(1) Zweck die­ses Geset­zes ist es, den Ein­zel­nen davor zu schüt­zen, dass er durch den Umgang mit sei­nen per­so­nen­be­zo­ge­nen Daten in sei­nem Per­sön­lich­keits­recht beein­träch­tigt wird.

(2) Die­ses Gesetz gilt für die Erhe­bung, Ver­ar­bei­tung und Nut­zung per­so­nen­be­zo­ge­ner Daten durch

3. nicht-öffent­li­che Stel­len, soweit sie die Daten unter Ein­satz von Daten­ver­ar­bei­tungs­an­la­gen ver­ar­bei­ten, nut­zen oder dafür erhe­ben oder die Daten in oder aus nicht auto­ma­ti­sier­ten Datei­en ver­ar­bei­ten, nut­zen oder dafür erhe­ben, es sei denn, die Erhe­bung, Ver­ar­bei­tung oder Nut­zung der Daten erfolgt aus­schließ­lich für per­sön­li­che oder fami­liä­re Tätigkeiten.

Betrach­ten wir die Defi­ni­ti­on nicht-öffent­li­cher Stellen:

§ 2 Öffent­li­che und nicht-öffent­li­che Stellen

(4) Nicht-öffent­li­che Stel­len sind natür­li­che und juris­ti­sche Per­so­nen, Gesell­schaf­ten und ande­re Per­so­nen­ver­ei­ni­gun­gen des pri­va­ten Rechts, soweit sie nicht unter die Absät­ze 1 bis 3 fal­len. Nimmt eine nicht-öffent­li­che Stel­le hoheit­li­che Auf­ga­ben der öffent­li­chen Ver­wal­tung wahr, ist sie inso­weit öffent­li­che Stel­le im Sin­ne die­ses Gesetzes.

Somit ist klar, die Annah­me “Daten­schutz und Daten­schutz­ge­setz betref­fen mein Unter­neh­men über­haupt nicht” gehört ins Reich der Mythen und Irr­tü­mer! Soll­ten Sie bis­her mit Ihrem Unter­neh­men (auch als Ein-Mann-Betrieb) nach die­ser Fehl­ein­schät­zung agiert haben, lohnt ein Blick in § 43 ff BDSG zwecks Iden­ti­fi­ka­ti­on der Buß­geld­ri­si­ken, denen Sie sich und Ihrem Unter­neh­men aus­ge­setzt haben.

Licht am Horizont

Bevor Sie sich nun selbst in die juris­ti­schen Untie­fen des Bun­des­da­ten­schutz­ge­set­zes stür­zen und Akti­vi­tä­ten ent­wi­ckeln, fra­gen Sie ein­fach den Fach­mann — a.s.k. Daten­schutz. Mit­tels stan­dar­di­sier­ter Prüf- und Audi­tie­rungs­ver­fah­ren iden­ti­fi­zie­ren wir gemein­sam mit Ihnen schnell, unbü­ro­kra­tisch und zuver­läs­sig die not­wen­di­gen Maß­nah­men, die für eine geset­zes­kon­for­me Umset­zung des Daten­schut­zes in Ihrem Unter­neh­men sor­gen. Selbst­ver­ständ­lich unter­stüt­zen wir Sie eben­falls aktiv bei der inter­nen Umset­zung und betreu­en Sie im Anschluß als sog. exter­ner Daten­schutz­be­auf­trag­ter, wenn die Über­prü­fung das Vor­lie­gen einer Bestell­pflicht ergibt.

Ver­trau­en Sie lang­jäh­ri­ger Erfah­rung aus der bun­des­wei­ten Bera­tung und Betreu­ung klei­ner und gro­ßer Unter­neh­men aus den unter­schied­lichs­ten Bran­chen und pro­fi­tie­ren Sie von die­sem über­grei­fen­den Know-How.

Nut­zen Sie ein­fach unse­ren Rück­ruf-Ser­vice, wir mel­den uns garan­tiert! Oder for­dern Sie doch gleich Ihr unver­bind­li­ches Ange­bot für einen exter­nen Daten­schutz­be­auf­trag­ten an.


Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

 

 

Bild­nach­weis: about​pi​xel​.de /​ Dead End © Nacht­schreck

SCHUFA-Plan ruft Poli­tik auf den Plan: Stopp der Face­book-Schnüf­fe­lei gefordert

Ungläu­bi­ges Augenreiben

Ob die­ser Mel­dung reibt man sich unwill­kür­lich die Augen und staunt: Die wohl bekann­tes­te Aus­kunf­tei in Deutsch­land — SCHUFA — plant, Nut­zer in den sozia­len Netz­wer­ken wie Face­book, Twit­ter und Xing aus­zu­spio­nie­ren und die Schnüf­fel-Ergeb­nis­se in die Bewer­tung der Kre­dit­wür­dig­keit des Ein­zel­nen mit ein­flie­ßen zu las­sen. Dies ver­mel­de­te heu­te Nacht NDR Info. Soge­nann­te “Pro­jekt­ideen” gehen sogar noch wei­ter (Aus­zug NDR Info):

  • Wel­che Infor­ma­tio­nen kön­nen aus “nicht-öffent­li­chen Quel­len” (dark web) gezo­gen werden?
  • Gene­rie­rung von elek­tro­ni­schen Iden­ti­fi­zie­rungs­da­ten (e‑mail-Adres­sen, e‑Postbriefadresse, facebook-ID …)
  • Rela­ti­onship Extra­c­tion, um Bezie­hun­gen zwi­schen Enti­tä­ten zu gewin­nen (Person/​Person; Person/​Unternehmen; Unternehmen/​Unternehmen). Mög­li­che Quel­len: Nach­rich­ten, Blogs, Wiki­pe­dia, sozia­le Netzwerke …
  • VIP-Iden­ti­fi­ka­ti­on: Auto­ma­ti­sier­te Iden­ti­fi­ka­ti­on von Per­so­nen öffent­li­chen Inter­es­ses, Ver­brau­cher­schüt­zern und Journalisten
  • Ad-hoc-Sen­ti­ment Ana­ly­se für Per­so­nen: Spe­zia­li­sier­te Per­so­nen­su­che, die neben struk­tu­rier­ten Infor­ma­tio­nen auch zuvor gesam­mel­ten Text­da­ten sowie ad-hoc-ange­frag­te Text­da­ten nutz, um ein aktu­el­les Mei­nungs­bild zu der Per­son zu ermit­teln. Mög­li­che Quel­len: Blogs, Twit­ter, Nach­rich­ten­sei­ten, Unter­neh­mens­home­page, Aktienkurs …
  • Jeweils Kor­re­la­tio­nen zur Boni­tät untersuchen

Zei­ge mir Dein sozia­les Umfeld und ich ent­schei­de über Dei­ne Kreditwürdigkeit

Bei Daten­schüt­zern und Poli­ti­kern stößt das Pro­jekt der SCHUFA auf hef­ti­ge Kri­tik. So äußert Jus­tiz­mi­nis­te­rin Sabi­ne Leu­theus­ser-Schnar­ren­ber­ger gegen­über SPIEGEL Online “Es darf nicht sein, dass Face­book-Freun­de und Vor­lie­ben dazu füh­ren, dass man zum Bei­spiel kei­nen Han­dy-Ver­trag abschlie­ßen kann.” FDP-Frak­ti­ons­chef Rai­ner Brü­der­le wird gegen­über SPIEGEL Online sogar noch deut­li­cher: “Die Plä­ne der Schufa gehen zu weit. Sozia­le Netz­wer­ke gehö­ren wie der Freun­des­kreis zur Pri­vat­sphä­re und dür­fen daher nicht von der Schufa ange­zapft werden.”

Die FAZ berich­tet, der schles­wig-hol­stei­ni­sche Daten­schutz­be­auf­trag­te Thi­lo Wei­chert nahm in einem Tele­fo­nat mit NDR Info wie folgt Stel­lung: “Hin­ter einem sol­chen For­schungs­pro­jekt steckt immer eine Absicht. Soll­te die Schufa die gewon­ne­nen Daten tat­säch­lich ein­set­zen, wäre das eine völ­lig neue Dimen­si­on.” Wei­ter­hin äußer­te er gro­ße Zwei­fel, ob eine sol­che Umset­zung der Pro­jekt­ideen recht­lich über­haupt halt­bar sei.

Theo­rie und Wirklichkeit

Aktu­ell rühmt sich die SCHUFA auf ihrer eige­nen Web­sei­te (Punkt 4.8), kei­ne Regio- oder Geo­da­ten (also das sozia­le Wohn­um­feld) des Ver­brau­chers zur Bewer­tung und Berech­nung des Score­werts her­an­zu­zie­hen. Wird aus der Pro­jekt­idee Wirk­lich­keit, wür­de die SCHUFA damit sehr viel wei­ter gehen, als sie ihren Wett­be­wer­bern heu­te selbst vor­wirft. Edda Cas­tel­ló von der Ver­brau­cher­zen­tra­le Ham­burg nutzt gegen­über der FAZ bewußt den Begriff “Grenz­über­schrei­tung” für ein sol­ches Vorhaben.

Reak­tio­nen im Netz

Die Netz­welt reagiert sehr unter­schied­lich. Kom­men­ta­re von “Na und?” über “Geschieht den Face­book-Nut­zern ganz recht” bis hin zu “Der Unter­gang der Demo­kra­tie” fin­den sich zuhauf. Fin­di­ge Nut­zer bie­ten der­weil ein­kom­mens­star­ke Face­book-Freund­schaf­ten zum Ver­kauf an zwecks Ver­bes­se­rung des zukünf­ti­gen Score-Werts.

Schutz­mög­lich­kei­ten

SPIEGEL Online gibt aktu­ell Tipps, wie das eige­ne Face­book-Pro­fil wei­test­ge­hend abge­schot­tet wer­den kann, um nicht all­zu frei­zü­gi­ge Ein­bli­cke zu gewäh­ren. Das mehr zufäl­lig bekannt­ge­wor­de­ne Bei­spiel der SCHUFA, auch wenn es sich nur um eine Pro­jekt­idee han­deln soll, zeigt die Bedeu­tung des sorg­fäl­ti­gen Umgangs mit den eige­nen per­so­nen­be­zo­ge­nen Daten bei der Nut­zung des Web 2.0. Es bleibt spannend.

Wie daten​schutz​be​auf​trag​ter​-info​.de so tref­fend anmerkt, ver­gibt die SCHUFA ein eige­nes Daten­schutz-Sie­gel. Wird hier der Bock zum Gärt­ner gemacht? 🙂

 

Umset­zung der Zutritts­kon­trol­le im Datenschutz

Wie sieht die Zutritts­kon­trol­le in Ihrem Unter­neh­men aus?

In der Anla­ge zu § 9 Bun­des­da­ten­schutz­ge­setz (BDSG) steht die lapi­da­re Vorschrift:

“Wer­den per­so­nen­be­zo­ge­ne Daten auto­ma­ti­siert ver­ar­bei­tet oder genutzt, ist die inner­be­hörd­li­che oder inner­be­trieb­li­che Orga­ni­sa­ti­on so zu gestal­ten, dass sie den beson­de­ren Anfor­de­run­gen des Daten­schut­zes gerecht wird. Dabei sind ins­be­son­de­re Maß­nah­men zu tref­fen, die je nach der Art der zu schüt­zen­den per­so­nen­be­zo­ge­nen Daten oder Daten­ka­te­go­rien geeig­net sind,

1. Unbe­fug­ten den Zutritt zu Daten­ver­ar­bei­tungs­an­la­gen, mit denen per­so­nen­be­zo­ge­ne Daten ver­ar­bei­tet oder genutzt wer­den, zu ver­weh­ren (Zutritts­kon­trol­le)”

Was heisst das genau?

Sie sind ver­pflich­tet, aus­rei­chen­de Schutz­maß­nah­men zu ergrei­fen, um unbe­fug­ten Zutritt zu Ihren Räum­lich­kei­ten zu ver­hin­dern. Die Zutritts­kon­trol­le bil­det qua­si die äußers­te Schutz­schicht von meh­re­ren Schich­ten (Zwie­bel­prin­zip), um die per­so­nen­be­zo­ge­nen Daten in Ihrem Unter­neh­men vor Ver­lust, Zer­stö­rung oder Miß­brauch zu schüt­zen. Dabei ist es voll­kom­men uner­heb­lich, ob es sich um Daten von Mit­ar­bei­tern, Kun­den oder Lie­fe­ran­ten handelt.

Wel­che Schutz­maß­nah­men kön­nen das sein?

Das fängt mit simp­len Din­gen an wie Sicher­heits­ver­gla­sung oder Sicher­heits­schließ­an­la­gen (selbst­ver­ständ­lich mit aktu­el­ler Über­sicht über Schlüs­sel-Aus­ga­be und Rück­nah­me). Tech­ni­sche Maß­nah­men kön­nen bei­spiels­wei­se sein:

  • Alarm­an­la­ge
  • Glas­bruch­mel­der
  • Zugangs­kon­troll­sys­te­me wie Chip­kar­ten oder bio­me­tri­sche Zugangs­sper­ren (je nach Schutz­stu­fe der Daten) oder
  • Video­über­wa­chung (wich­tig: Vor­ab­kon­trol­le nicht vergessen).

Es steht eine brei­te Palet­te an orga­ni­sa­to­ri­schen und tech­ni­schen Schutz­maß­nah­men zur Auswahl.

Müs­sen die­se alle umge­setzt sein?

Selbst­ver­ständ­lich machen nicht alle Maß­nah­men (ein­zeln oder in Kom­bi­na­ti­on) für jedes Unter­neh­men Sinn. In Abhän­gig­keit der Schutz­stu­fe der betrof­fe­nen per­so­nen­be­zo­ge­nen Daten sowie der vor­han­de­nen Gege­ben­hei­ten soll­ten die Maß­nah­men aus­ge­wählt und kom­bi­niert wer­den, die ein ange­mes­se­nes und mög­lichst hohes Schutz­ni­veau sicher­stel­len. Sind Ihre Räum­lich­kei­ten ledig­lich mit Ein­fach­ver­gla­sung und dün­nen Holz­tü­ren nach außen gesi­chert, wären Alarm­an­la­ge und Glas­bruch­mel­der sicher rat­sam. Ste­hen moder­ne Sicher­heits­ver­gla­sung und Schließ­an­la­gen zur Ver­fü­gung und wird das Gelän­de zusätz­lich durch einen Wach­dienst gesi­chert, kann eine Video­über­wa­chungs­maß­nah­me bereits wie­der unan­ge­mes­sen sein.

Was tun?

Fra­gen Sie doch ein­fach Ihren Daten­schutz­be­auf­trag­ten! Die­ser weiß übli­cher­wei­se, wel­che Maß­nah­men zum Schutz per­so­nen­be­zo­ge­ner Daten im Rah­men der sog. Zutritts­kon­trol­le zur Ver­fü­gung ste­hen und wel­che für das not­wen­di­ge Schutz­ni­veau in Ihrem Unter­neh­men not­wen­dig sind. Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Kein Pro­blem, fra­gen Sie uns — a.s.k. Datenschutz.

Im Rah­men einer Vor-Ort-Bege­hung über­prü­fen wir das benö­tig­te und das vor­han­de­ne Schutz­ni­veau. Sie erhal­ten eine Lis­te mit Emp­feh­lun­gen, wie Sie die recht­li­chen Vor­schrif­ten der Zutritts­kon­trol­le ange­mes­sen umset­zen kön­nen. Bei der Gele­gen­heit prü­fen wir für Sie gleich kos­ten­frei mit, ob Ihr Unter­neh­men mög­li­cher­wei­se der gesetz­li­chen Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten unter­liegt. Wenn ja, bie­ten wir Ihnen hier­für eben­falls ger­ne preis­wer­te Unter­stüt­zungs­mög­lich­kei­ten an.

Wel­chen Vor­teil hat mein Unter­neh­men von der Zutrittskontrolle?

Allen vor­an steht die Erfül­lung der gesetz­li­chen Vor­schrif­ten und Auf­la­gen, die per­so­nen­be­zo­ge­nen Daten in Ihrem Unter­neh­men aus­rei­chend zu schüt­zen. Eine die­ser Auf­la­gen haben Sie mit kor­rekt umge­setz­ter Zutritts­kon­trol­le erfüllt.

Aus ande­ren Maß­nah­men kön­nen zusätz­li­che Mehr­wer­te für Ihr Unter­neh­men ent­ste­hen. Moder­ne Zutritts­kon­troll­sys­te­me sind rich­ti­ge All­roun­der! Vor­aus­ge­setzt Sie wäh­len den pas­sen­den Anbie­ter, der auf Ihre Bedürf­nis­se ein­geht und even­tu­ell vor­han­de­ne Sys­te­me inte­grie­ren kann. So kön­nen elek­tro­ni­sche Zutritts­kon­troll­sys­te­me nicht nur die Berech­ti­gun­gen ver­wal­ten, wel­che Per­son wann zu wel­chen Unter­neh­mens­be­rei­chen Zutritt erhält. Elek­tro­ni­sche Zeit­er­fas­sung, Abgleich mit vor­han­de­nen Dienst­plä­nen, Rege­lung der Zufahrt zu Tief­ga­ra­gen /​ Park­plät­zen, Erfas­sung und Abrech­nung von Zusatz­leis­tun­gen wie Kan­ti­ne, Geträn­ke-Auto­ma­ten, Steue­rung elek­tro­ni­scher Tre­so­re (z.B. für beson­ders sen­si­ble Daten oder Daten­si­che­run­gen) stel­len eine Aus­wahl an zusätz­li­chen Leis­tungs­mög­lich­kei­ten eines moder­nen Zutritts­kon­troll­sys­tems dar.

Einen kom­pe­ten­ten Ansprech­part­ner für sol­che Lösun­gen fin­den Sie in der LNI Inge­nieur­ge­sell­schaft für Kom­mu­ni­ka­ti­ons­tech­nik mbH aus Wen­del­stein. Die LNI GmbH ist seit Jah­ren zuver­läs­si­ger Anbie­ter, der die sen­si­blen daten­schutz­recht­li­chen Aspek­te sol­cher tech­ni­schen Lösun­gen kennt und im Sin­ne Ihres Unter­neh­mens ernst nimmt.

Reicht nicht der Hund auf dem Arti­kel­bild als Zutrittskontrolle?

Als ein Bau­stein der Zutritts­kon­trol­le sicher­lich, als ein­zi­ge Maß­nah­me dann eher nicht 🙂

Auch eine Art von “Ziel­grup­pe” — Kun­den im Visier heim­li­cher Video­über­wa­chung bei ALDI Süd

Das Nach­rich­ten­ma­ga­zin DER SPIEGEL brach­te den Stein ins Rol­len, wei­te­re Bericht­erstat­tun­gen in TV, Radio, Print und Web folg­ten. Nach Infor­ma­tio­nen, die dem Maga­zin vor­lie­gen, gerie­ten bevor­zugt Frau­en in kur­zen Röcken oder mit tief Ein­blick gewäh­ren­den Tops ins Visier heim­li­cher Video­über­wa­chungs­maß­nah­men durch eini­ge Fili­al­lei­ter in Frank­furt /​ Main, Die­burg und wei­te­ren hes­si­schen Stand­or­ten. Doch damit nicht genug. In “loh­nens­wer­ten” Fäl­len wur­den die ahnungs­lo­sen Kun­din­nen und Kun­den her­an­ge­zoomt, Video­se­quen­zen auf CD gebrannt und unter­ein­an­der getauscht.

ALDI Süd schreibt lt. Spie­gel in einer Stel­lung­nah­me, dass

“das Fehl­ver­hal­ten eines ein­zel­nen Mit­ar­bei­ters nicht aus­ge­schlos­sen wer­den kön­ne. Soll­te ein miss­bräuch­li­cher Umgang den Vor­ge­setz­ten bekannt wer­den, wird ein sol­ches Vor­ge­hen umge­hend unter­sucht, unter­bun­den und zieht ent­spre­chen­de dis­zi­pli­na­ri­sche Kon­se­quen­zen nach sich.”

Trotz des Video­über­wa­chungs­skan­dals eines Wett­be­wer­bers im Jahr 2008 sol­len wei­ter­hin erneut Kas­sen­be­rei­che inkl. der Ein­ga­be­fel­der der EC-Ter­mi­nals auf Auf­nah­men zu sehen sein. Mobi­le Mini­ka­me­ra-Anla­gen auch in  Berei­chen ohne Kun­den­zu­tritt sowie feh­len­de Hin­weis­schil­der run­den den sorg­lo­sen Umgang des Dis­coun­ters mit die­ser zu Recht per Gesetz restrik­tiv zu hand­ha­ben­den Maß­nah­me ab.

Was sagt denn das Bun­des­da­ten­schutz­ge­setz (BDSG) dazu?

Das Bun­des­da­ten­schutz­ge­setz stellt hohe Anfor­de­run­gen an die Durch­füh­rung von Video­über­wa­chungs­maß­nah­men. Die­se sind zwar nicht ver­bo­ten, jedoch ist es mit Beru­fung auf das eige­ne Haus­recht nicht getan. Für wei­ter­füh­ren­de Infor­ma­tio­nen emp­feh­len wir die­se Beiträge

Pla­nen Sie die Ein­füh­rung von Video­über­wa­chung in Ihrem Unter­neh­men? Fra­gen Sie recht­zei­tig Ihren Daten­schutz­be­auf­trag­ten. Sie haben kei­nen? Dann spre­chen Sie uns an.

Daten­schutz in der Anwaltskanzlei

Update vom 03.05.2011

Mit Beschluss vom 20.08.2010 unter dem Akten­zei­chen 2 Ss 23/​07, 1 Ws (B) 51/​07 — 2 Ss 23/​07 hat das Kam­mer­ge­richt Ber­lin fest­ge­stellt, daß die Bestim­mun­gen der BRAO kei­ne “bereichs­spe­zi­fi­schen Son­der­re­ge­lun­gen” im Sin­ne des § 1 Absatz 3 Satz 1 BDSG dar­stel­len. Die BRAO ent­hal­te ledig­lich berufs­recht­li­che Bestim­mun­gen, deren Zweck nicht dar­in bestehe, die Daten von Pro­zess­geg­nern oder von außen­ste­hen­den Per­so­nen zu schüt­zen. Das sei viel­mehr Sache des BDSG.

Das BDSG berüh­re jedoch nicht die gesetz­li­chen Geheim­hal­tungs­pflich­ten. Zu die­sen Pflich­ten gehört nach Auf­fas­sung des Gerichts auch die Geheim­hal­tungs­pflicht des Rechtsanwalts.

Dies bedeu­tet, daß Rechts­an­wäl­te dem­nach den gesetz­li­chen Bestim­mun­gen des BDSG unter­wor­fen sind, wor­an die Kam­mer in ihrer aus­führ­li­chen Begrün­dung kei­nen Zwei­fel ließ. Es gilt nun für Anwäl­te, die für sie zutref­fen­den Punk­te des BDSG in ihrer Kanz­lei umzu­set­zen (sie­he unten)

Ori­gi­nal­ar­ti­kel vom 12.11.2010

In Gesprä­chen mit Anwäl­ten, aber auch mit Steu­er­be­ra­tern trifft  man häu­fig auf das Argu­ment, die Rege­lun­gen des Bun­des­da­ten­schutz­ge­setz (BDSG) wür­den die Kanz­lei oder den Anwalt nicht betref­fen, da es eige­ne Rege­lun­gen zur Ver­schwie­gen­heit und Ver­trau­lich­keit gäbe.

Das Bun­des­da­ten­schutz­ge­setz sieht hier klar vor, das für Sach­ver­hal­te, die durch kein bereich­spe­zi­fi­sches Recht expli­zit geregtl wer­den, die (all­ge­mei­ne­ren) Rege­lun­gen des Bun­des­da­ten­schutz­ge­set­zes zum Tra­gen kom­men. Dazu gehö­ren ins­be­son­de­re Punk­te wie

  • Ver­fah­rens­ver­zeich­nis­se
  • Daten­schutz­re­ge­lun­gen
  • Nut­zungs­richt­li­ni­en
  • IT Sicher­heit
  • Back­up- und Recovery-Strategien
  • Ver­schlüs­se­lung und Signatur
  • Bestell­pflicht eines Datenschutzbeauftragten
  • Auf­trags­da­ten­ver­ar­bei­tung exter­ne Dienst­leis­ter z.B. Fern­war­tung etc.

Die Bri­sanz des The­mas, u.a. die mit Ver­stö­ßen gegen das BDSG ver­bun­de­nen Buß­geld­ri­si­ken hat der Deut­sche Anwalt­ver­ein in sei­ner Depe­che 2010–42 auf­ge­grif­fen und zusätz­lich eine Check­lis­te mit Emp­feh­lun­gen zur Umset­zung in der Kanz­lei her­aus­ge­ge­ben. Hier­in ver­weist der DAV auf die Mög­lich­keit der Bestel­lung eines exter­nen Daten­schutz­be­auf­trag­ten (bei vor­lie­gen­der Bestell­pflicht), aber auch auf die Inan­spruch­nah­me eines exter­nen Daten­schutz­be­ra­ters für die Sicher­stel­lung der not­wen­di­gen Umset­zun­gen und Formulierungen.

Die­se Leis­tun­gen kön­nen Sie als Anwalt oder Kanz­lei jeder­zeit bei mir fach­ge­recht und kos­ten­güns­tig in Anspruch neh­men. Ger­ne unter­brei­te ich Ihnen hier­zu ein Ange­bot.

Hilf­rei­che Links

  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.
Die mobile Version verlassen