Recht und Organisation des Datenschutzes W Kruth Recht

Recht und Organisation des Datenschutzes W. Kruth / Recht und Organisation des Datenschutzes 1

Verbesserungsvorschläge werden gerne angenommen: Mail-Adresse: wkruth@t-online. de Danke. W. Kruth / Recht und Organisation des Datenschutzes 2

Modulstruktur • 1 Zielsetzungen des Datenschutzes, Begriffsbestimmungen • 2 Rechtsvorschriften des Datenschutzes • 3 Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten • 4 Zulässigkeit der Datenerhebung, Verarbeitung und -nutzung W. Kruth / Recht und Organisation des Datenschutzes 3

Modulstruktur • • • 5 Auftragsdatenverarbeitung 6 Rechte des Betroffenen 7 Besonderer Datenschutz 8 Bereichsspezifischer Datenschutz 9 Datenschutz beim Einsatz neuer Technologien • 10 Interner Datenschutzbeauftragter W. Kruth / Recht und Organisation des Datenschutzes 4

Recht und Organisation des Datenschutzes Modul 1 Zielsetzungen des Datenschutzes Begriffsbestimmungen W. Kruth / Recht und Organisation des Datenschutzes 5

Zielsetzungen des Datenschutzes • Zweck und Ziel des Datenschutzes ist es, die Persönlichkeitsrechte des Einzelnen vor Beeinträchtigungen durch öffentliche und nichtöffentliche Stellen zu schützen. • Jeder Mensch soll über Angaben, die seine Identität und sein persönliches Umfeld einschliesslich seiner Arbeitsverhältnisse beschreiben, frei bestimmen können, soweit er nicht aufgrund einer Rechtsvorschrift öffentlichen oder nicht-öffentlichen Stellen gegenüber zur Bekanntgabe verpflichtet werden kann bzw. verpflichtet ist (Informationelles Selbstbestimmungsrecht). W. Kruth / Recht und Organisation des Datenschutzes 6

Zielsetzungen des Datenschutzes • Die Landesverfassung NRW hat den personenbezogenen Datenschutz in Art. 4 als ein Grundrecht auf Datenschutz definiert: „Jeder hat Anspruch auf Schutz seiner personenbezogenen Daten. Eingriffe sind nur im überwiegendem Interesse der Allgemeinheit aufgrund eines Gesetzes zulässig. “ W. Kruth / Recht und Organisation des Datenschutzes 7

Begriffsbestimmungen des Datenschutzes Personenbezogene Daten (1) • Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. – Die Einzelangaben müssen sich entweder direkt auf eine bestimmte oder bestimmbare Person beziehen oder geeignet sein, einen Bezug zu ihr herzustellen. – Persönliche Verhältnisse sind Angaben über den Betroffenen selbst, seine Identifizierung und Charakterisierung. Auch Werturteile können Angaben über persönliche Verhältnisse sein. – Sachliche Verhältnisse werden beschrieben durch Angaben über einen auf den Betroffenen beziehbaren Sachverhalt. W. Kruth / Recht und Organisation des Datenschutzes 8

Begriffsbestimmungen des Datenschutzes Personenbezogene Daten (2) • Personenbezogene Daten weisen in Abhängigkeit vom Inhalt und den Möglichkeiten des Veränderns ibs. bei automatisierter Datenverarbeitung eine unterschiedliche Empfindlichkeit auf, die für den Schutzwert der Daten im Hinblick auf die Gefahr einer missbräuchlichen Nutzung von Bedeutung auf. • Die Empfindlichkeit der Daten stellt zunächst auf das einzelne Datum ab, da innerhalb eines Geschäftsfalles Daten mit unterschiedlicher Sensivität gespeichert und verarbeitet werden können. W. Kruth / Recht und Organisation des Datenschutzes 9

Begriffsbestimmungen des Datenschutzes Personenbezogene Daten (3) • Besondere Arten personenbezogener Daten sind Angaben über rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben. Diese Daten unterliegen besonderen Beschränkungen bei der Erhebung, Verarbeitung oder Nutzung. W. Kruth / Recht und Organisation des Datenschutzes 10

Begriffsbestimmungen des Datenschutzes Betroffener • Der Betroffene ist derjenige, dessen Schutz das Gesetz zum Ziel hat und dem Rechte aus dem Gesetz - ggfls. unabdingbar - eingeräumt sind. • Die verantwortliche Stelle muss in verschiedenen Disziplinen der Datenverarbeitung die Rechte des Betroffenen in eine Güterabwägung zu den berechtigten Eigeninteressen oder den Interessen Dritter stellen. W. Kruth / Recht und Organisation des Datenschutzes 11

Begriffsbestimmungen des Datenschutzes Verantwortliche Stelle (1) • Verantwortliche Stelle für den Datenschutz ist jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt (erweiterte Definition der ehem. „speichernden Stelle“). • Verantwortliche Stelle im i. S. der öffentlichen Behördenorganisation ist zunächst die Organisationseinheit in einer bestimmten Behörde, die Daten für ihre Zwecke erhebt, speichert, verarbeitet, übermittelt. W. Kruth / Recht und Organisation des Datenschutzes 12

Begriffsbestimmungen des Datenschutzes Verantwortliche Stelle (2) • Im weiteren Sinne ist verantwortliche Stelle auch die Behörde oder die juristische Person, der die bezogene Stelle angehört, einschließlich aller Untergliederungen. • Der Datenfluss innerhalb einer Behörde zwischen Organisationseinheiten ist keine Übermittlung i. S. des Gesetzes. Dies gilt auch für die Zusammenarbeit von Behörden zur Bearbeitung eines Geschäftsfalles im sog. Fachstrang zwischen Ministerien und nachgeordneten Stellen. W. Kruth / Recht und Organisation des Datenschutzes 13

Begriffsbestimmungen des Datenschutzes Verantwortliche Stelle (3) • Die Personalvertretung ist Bestandteil der verantwortlichen Stelle i. S. der Behörde oder juristischen Person. • Die verantwortliche Stelle trägt die volle und uneingeschränkte Verantwortlichkeit für die Zulässigkeit und Rechtmäßigkeit der von ihr vorgenommen oder in ihrem Auftrag durchgeführten Erhebung, Verarbeitung oder Nutzung von personenbezogenen Informationen in automatisierten und nicht-automatisierten Verfahren. W. Kruth / Recht und Organisation des Datenschutzes 14

Begriffsbestimmungen des Datenschutzes Empfänger • Empfänger ist jede Person oder Stelle, die Daten erhält. W. Kruth / Recht und Organisation des Datenschutzes 15

Begriffsbestimmungen des Datenschutzes Dritter • Dritter ist jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht die betroffene Person sowie diejenigen Personen oder Stellen, die im Inland oder im Geltungsbereich der Rechtsvorschriften zum Schutz personenbezogener Daten der Mitgliedstaaten der EU personenbezogene Daten im Auftrag erheben, verarbeiten oder speichern. W. Kruth / Recht und Organisation des Datenschutzes 16

Begriffsbestimmungen des Datenschutzes Automatisierte Verarbeitung (1) • Automatisierte Verarbeitung ist dann gegeben, wenn die Erhebung, Verarbeitung oder Nutzung von Daten unter Einsatz von Informationstechnik (eines gesteuerten technischen Verfahrens) erfolgt. • Die automatisierte Verarbeitung muss für jede Phase der technikunterstützten Informationsverarbeitung gegenüber nicht-automatisierter Datenverarbeitung im Hinblick auf den Dateibegriff und die Definition der Sicherheitsziele abgegrenzt werden. W. Kruth / Recht und Organisation des Datenschutzes 17

Begriffsbestimmungen des Datenschutzes Automatisierte Verarbeitung (2) • Entscheidungen, die für den Betroffenen eine rechtliche Folge nach sich ziehen oder ihn erheblich beeinträchtigen, dürfen nicht ausschließlich auf eine automatisierte Verarbeitung personenbezogener Daten gestützt werden, die der Bewertung einzelner Persönlichkeitsmerkmale dienen. • Diese Regelung gilt nicht bei Vertragsverhältnissen oder ähnlichen Rechtsgeschäften oder wenn die Wahrung der berechtigten Interessen des Betroffenen durch geeignete Maßnahmen garantiert wird. W. Kruth / Recht und Organisation des Datenschutzes 18

Begriffsbestimmungen des Datenschutzes Automatisierte Verarbeitung (3) • Wird von der betroffenen Person ein besonderes schutzwürdiges Interesse schriftlich geltend gemacht, darf die Verarbeitung ihrer Daten nur erfolgen, wenn das Interesse der datenverarbeitenden Stelle überwiegt. Die betroffene Person ist über das Ergebnis zu informieren. W. Kruth / Recht und Organisation des Datenschutzes 19

Begriffsbestimmungen des Datenschutzes Akte • Eine Akte ist jede der Aufgabenerfüllung dienende Unterlage, die nicht Teil der automatisierten Datenverarbeitung ist. W. Kruth / Recht und Organisation des Datenschutzes 20

Begriffsbestimmungen des Datenschutzes Datenvermeidung und Datensparsamkeit • Gestaltung und Auswahl von Informationstechnik haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. • Insbesondere ist von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht. W. Kruth / Recht und Organisation des Datenschutzes 21

Begriffsbestimmungen des Datenschutzes Zweckbindungsprinzip • Personenbezogene Daten dürfen nur erhoben, verarbeitet oder genutzt werden, wenn dies für die Erfüllung der definierten Aufgaben unabdingbar ist. • Eine Verarbeitung oder Nutzung von Daten, die im Rahmen der automatisierten Verarbeitung in Kontrolldateien gespeichert werden oder im Rahmen von Maßnahmen zur Verbesserung der Organisation oder zur Kontrolle des Datenschutzes anfallen für andere Zwecke ist unzulässig. W. Kruth / Recht und Organisation des Datenschutzes 22

Begriffsbestimmungen des Datenschutzes Verbunddateien (1) • Die Einrichtung gemeinsamer oder verbundener automatisierter Verfahren, in und aus denen mehrere öffentliche Stellen personenbezogene Daten verarbeiten sollen, ist nur zulässig, wenn dies unter Berücksichtigung der schutzwürdigen Belange der betroffenen Personen und der Aufgaben der beteiligten Stellen angemessen ist. • Innerhalb einer öffentlichen Stelle bedarf eine derartige Einrichtung der Zustellung des Dienststellenleiters. W. Kruth / Recht und Organisation des Datenschutzes 23

Begriffsbestimmungen des Datenschutzes Verbunddateien (2) • Erfolgt die Einrichtung für mehrere Stellen, müssen diese die Datenart, die Aufgaben der beteiligten Stellen, Zweck und Umfang der jeweiligen Befugnis und die Gesamtverantwortlichkeit bestimmen. • Der Landesbeauftragte für den Datenschutz ist vorab zu informieren. W. Kruth / Recht und Organisation des Datenschutzes 24

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Erheben • Erheben ist das Beschaffen von Daten über den Betroffenen. • Die Art der Erhebung ist unerheblich. Sie muss jedoch zielorientiert erfolgen. Der Betroffene ist über den Umfang der Erhebung und ggfls. die weitere Speicherung usw. zu informieren, soweit dies durch das Datenschutzrecht bestimmt ist. • Ein Erheben ist dann nicht gegeben, wenn die Daten aus vorliegenden Unterlagen zusammengestellt werden. W. Kruth / Recht und Organisation des Datenschutzes 25

Begriffsbestimmungen des Datenschutzes Verarbeitung und Nutzung • Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten. • Nutzen ist ´jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt. W. Kruth / Recht und Organisation des Datenschutzes 26

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Speichern • Speichern ist das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke der weiteren Verarbeitung oder Nutzung. • Datenträger ist jedes Medium, das zur Aufnahme personenbezogener Daten geeignet ist. • Erfassen ist als Dateneingabe unter Vornahme von Plausibilitätsprüfung zur Gewährleistung der Integrität und Konsistenz der Daten zu verstehen. W. Kruth / Recht und Organisation des Datenschutzes 27

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Verändern • Verändern ist das inhaltliche Umgestalten gespeicherter personenbezogener Daten. • Verändern umfasst jegliche Transformation und Verknüpfung von Daten. • Soweit durch das Verändern von Daten diese ihren bisherigen Kontext verlieren oder ein neues Informationsbild mit geänderter Qualität geschaffen wird, muss das Ergebnis im Hinblick auf die Zulässigkeit und Rechtmäßigkeit der Datenverarbeitung ggfls. neu bewertet werden. W. Kruth / Recht und Organisation des Datenschutzes 28

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Übermitteln • Übermitteln ist das Bekannt geben gespeicherter oder durch Datenverarbeitung gewonnener Daten an einen Dritten in der Weise, dass – die Daten an den Dritten weitergegeben werden oder – der Dritte zur Einsicht oder zum Abruf bereitgehaltene Daten einsieht oder abruft. • Übermitteln von Daten liegt auch dann vor, wenn nicht einzelne Daten, sondern Datenbestände weitergegeben werden. W. Kruth / Recht und Organisation des Datenschutzes 29

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Sperren • Sperren ist das Kennzeichnen gespeicherter personenbezogener Daten, um ihre weitere Verarbeitung oder Nutzung einzuschränken. W. Kruth / Recht und Organisation des Datenschutzes 30

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Löschen • Löschen ist das Unkenntlichmachen gespeicherter personenbezogener Daten. • Die Wirksamkeit des Löschens wird durch die anwendbaren Möglichkeiten der Wiedergewinnung mit allgemein oder speziell verfügbaren Methoden und Techniken bestimmt. • Sind die zu löschenden Daten auch in Bestandssicherungen enthalten, gilt das Löschen als erfüllt, wenn die Sicherungsbestände überschrieben oder in anderer Weise dem Zugriff entzogen werden. W. Kruth / Recht und Organisation des Datenschutzes 31

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Anonymisieren • Anonymisieren ist das Verändern personenbezogener Daten derart, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig grossen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. • Eine Reanonymisierung muss ausgeschlossen werden können. Maßgebend ist dabei, ob die Reanonymisierung durch die verantwortliche Stelle möglich ist. W. Kruth / Recht und Organisation des Datenschutzes 32

Begriffsbestimmungen des Datenschutzes Funktionsbegriff Pseudonymisieren • Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren. • Das Pseudonymisieren von Daten für statistische Zwecke ist nicht zulässig. Zielaspekt ist die Verwendung von verfremdeten Daten für Testzwecke und Präsentationen, die ohne Bezug zur Realwelt nicht operabel sind. W. Kruth / Recht und Organisation des Datenschutzes 33

Recht und Organisation des Datenschutzes Modul 2 Rechtsvorschriften des Datenschutzes W. Kruth / Recht und Organisation des Datenschutzes 34

Rechtsvorschriften des Datenschutzes Anwendungsbereich (1) • Das Landesdatenschutzgesetz gilt für die Behörden, Einrichtungen und sonstigen öffentlichen Stellen des Landes, die Gemeinden und Gemeindeverbände sowie für die sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts und deren Vereinigungen. W. Kruth / Recht und Organisation des Datenschutzes 35

Rechtsvorschriften des Datenschutzes Anwendungsbereich (2) • Für wirtschaftliche Unternehmen der Gemeinden und Gemeindeverbände ohne eigene Rechtspersönlichkeit, für öffentliche Einrichtungen, die entsprechend den Vorschriften über die Eigenbetriebe geführt werden, sowie für die der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts, die am Wettbewerb teilnehmen, finden die Vorschriften über die Rechtsgrundlagen der Datenverarbeitung Anwendung. W. Kruth / Recht und Organisation des Datenschutzes 36

Rechtsvorschriften des Datenschutzes Anwendungsbereich (3) • Für den Landtag, die Gerichte und die Behörden der Staatsanwaltschaft gilt, soweit diese Verwaltungsaufgaben wahrnehmen, das LDSG eingeschränkt (Rechtsgrundlagen der Datenverarbeitung). W. Kruth / Recht und Organisation des Datenschutzes 37

Rechtsvorschriften des Datenschutzes Lex specialis vor lex generalis • Soweit besondere Rechtsvorschriften des Bundes oder Landes auf die Verarbeitung personenbezogener Daten anzuwenden sind, haben sie als lex specialis Anwendungsvorrang. BDSG und LDSG haben den Charakter eines Auffanggesetzes. • Bei konkurrierenden bereichsspezifischen Rechtsvorschriften gilt der Grundsatz „Bundesrecht bricht Landesrecht“. W. Kruth / Recht und Organisation des Datenschutzes 38

Rechtsvorschriften des Datenschutzes LDSG im Verhältnis zum Verwaltungsverfahrensgesetz • Für das Verhältnis zum LDSG enthält das Verwaltungsverfahrensrecht Regelungen, dass die Normadressaten des LDSG - auch im Verwaltungsverfahren - den vorrangigen Bestimmungen des LDSG unterworfen sind, soweit sie bei der Sachverhaltsermittlung personenbezogene Daten verarbeiten oder nutzen. W. Kruth / Recht und Organisation des Datenschutzes 39

Rechtsvorschriften des Datenschutzes Datenübermittlung im grenzüberschreitenden Datenverkehr • Für die Datenübermittlung im grenzüberschreitenden Datenverkehr finden die Rechtsvorschriften der EU Anwendung. Grundsätzlich gilt für alle Mitglieder EU, die durch innerstaatliches Recht die Grundsätze und Leitlinien der EU, ibs. die Konvention 108 für den personenbezogenen Datenschutz ratifiziert haben oder gesetzliche Bestimmungen erlassen haben, die im Einklang mit dieser Konvention stehen, der Grundsatz, dass dem grenzüberschreitenden Datenverkehr keine Beschränkungen auferlegt werden sollten. W. Kruth / Recht und Organisation des Datenschutzes 40

Recht und Organisation des Datenschutzes Modul 3 Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten W. Kruth / Recht und Organisation des Datenschutzes 41

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Erheben (1) • Das Erheben personenbezogener Daten ist zulässig, wenn ihre Kenntnis zur rechtmäßigen Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist. • Personenbezogene Daten sind beim Betroffenen mit seiner Kenntnis zu erheben, er ist über den Verwendungszweck aufzuklären. • Erforderlich ist die Erhebung, wenn ihre Kenntnis zur Erreichung des angestrebten Zweckes objektiv geeignet und im Verhältnis zum angestrebten Zweck auch notwendig ist. W. Kruth / Recht und Organisation des Datenschutzes 42

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Erheben (2) • Die Verpflichtung zur Datenerhebung beim Betroffenen kann jedoch nicht lückenlos durchgeführt werden. Die Beschaffung von anderen Stellen ohne Kenntnis ist unter bestimmten Voraussetzungen zulässig, nämlich dann, wenn die Daten bereits bei anderen Stellen innerhalb der gleichen Behörde vorliegen. Dabei ist auch das Zweckbindungsprinzip zu beachten. W. Kruth / Recht und Organisation des Datenschutzes 43

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Zweckbindung bei Speicherung, Veränderung, Nutzung (1) • Das Speichern, Verändern und Nutzen personenbezogener Daten ist zulässig, wenn es zu rechtmäßigen Erfüllung der Aufgaben der verantwortlichen Stelle erforderlich ist. • Die Weitverarbeitung von Daten zu anderen Zwecken ist u. a. nur zulässig, wenn – dies durch Rechtsvorschriften bestimmt ist, – der Betroffene eingewilligt hat, – sie aus allgemein zugänglichen Quellen entnommen werden können. W. Kruth / Recht und Organisation des Datenschutzes 44

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Zweckbindung bei Speicherung, Veränderung, Nutzung (2) • Eine Verarbeitung zu anderen Zwecken liegt nicht vor, wenn sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder Durchführung von Organisationsuntersuchungen dient. W. Kruth / Recht und Organisation des Datenschutzes 45

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Datenübermittlung im öffentlichen Bereich (1) • Die Übermittlung an öffentliche Stellen ist zulässig, wenn dies zur rechtmäßigen Erfüllung der Aufgaben der übermittelnden Stelle oder des Empfängers erforderlich ist. • Die Übermittlung ist auch dann zulässig, wenn eine Entscheidung in einem Verwaltungsverfahren der Beteiligung mehrerer öffentlicher Stellen bedarf. W. Kruth / Recht und Organisation des Datenschutzes 46

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Datenübermittlung im öffentlichen Bereich (2) • Können die zu übermittelnden Daten nicht von anderen Informationen, mit denen sie verbunden sind, ohne vertretbaren Aufwand getrennt werden, so ist die Übermittlung auch dieser Daten zulässig, soweit berechtigte Belange des Betroffenen nicht entgegenstehen; eine Nutzung dieser Daten durch den Empfänger ist nicht zulässig. W. Kruth / Recht und Organisation des Datenschutzes 47

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Datenübermittlung im öffentlichen Bereich (3) • Die Verantwortung für die Übermittlung trägt die übermittelnde Stelle. Sie prüft das Übermittlungsersuchen des Empfängers. • Erfolgt die Übermittlung in automatisierten Abrufverfahren, so trägt die Verantwortung für die Rechtmäßigkeit des Abrufs der Empfänger. • Für die Weitverarbeitung der Daten beim Empfänger gilt das Zweckbindungsprinzip. W. Kruth / Recht und Organisation des Datenschutzes 48

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Automatisierte Abrufverfahren und regelmässige Datenübermittlung (1) • Die Einrichtung automatisierter Abrufverfahren ist nur zulässig, soweit dies durch Bundes- oder Landesrecht bestimmt ist. • Die am Abrufverfahren beteiligten Stellen haben alle erforderlichen Maßnahmen für die Gewährleistung der IT-Sicherheitsziele im Abrufverfahren zu treffen. • Automatisierte Abrufverfahren für Stellen ausserhalb des öffentlichen Bereichs sind nicht zulässig. W. Kruth / Recht und Organisation des Datenschutzes 49

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Automatisierte Abrufverfahren und regelmäßige Datenübermittlung (2) • Den Verfahren zur automatisierten Direktabfrage personenbezogener Daten kommt besondere Bedeutung zu, weil die abrufende Stelle je nach Einrichtung eines solchen Anschlusses über den gesamten Umfang oder wesentliche Teile des Bestandes verfügen kann. • Den automatisierten Abrufverfahren sind Verfahren zur regelmäßigen Datenübermittlung gleichgestellt. W. Kruth / Recht und Organisation des Datenschutzes 50

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Automatisierte Abrufverfahren (3) • Die verantwortliche Stelle hat durch Stichprobenverfahren die Ordnungsmäßigkeit des automatisierten Abrufverfahrens zu überprüfen. W. Kruth / Recht und Organisation des Datenschutzes 51

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Übermittlung an nicht-öffentliche Stellen • Die Übermittlung an nicht-öffentliche Stellen ist u. a zulässig, wenn – sie zur rechtmäßigen Erfüllung der in der Zuständigkeit der übermittelnden Stelle liegenden Aufgaben erforderlich ist, – sie im öffentlichen Interesse liegt und hierfür ein berechtigtes Interesse geltend gemacht hat und kein Widerspruch des Betroffenen vorliegt, – vom Empfänger ein rechtliches Interesse geltend gemacht wird und schutzwürdige Belange des Betroffenen nicht entgegenstehen. W. Kruth / Recht und Organisation des Datenschutzes 52

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Übermittlung an ausländische Stellen (1) • Die Übermittlung an nicht-öffentliche Stellen außerhalb des Geltungsbereiches des GG richtet sich nach den Vorschriften Bestimmungen über die Datenübermittlung an öffentliche und nicht-öffentliche Stellen. • Die Übermittlung an Stellen außerhalb der EUMitgliedstaaten ist nur zulässig, wenn dort ein angemessenes Datenschutzniveau gewährleistet ist, hierzu ist vor der Entscheidung der Landesbeauftragte für den Datenschutz zu hören. W. Kruth / Recht und Organisation des Datenschutzes 53

Rechtsgrundlagen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten Übermittlung an ausländische Stellen (2) • Fehlt es an einem angemessenen Datenschutzniveau, so ist die Übermittlung nur zulässig, wenn u. a. – die betroffene Person eingewilligt hat, – die Übermittlung zur Wahrung des überwiegenden öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung eines rechtlichen Interesses erforderlich ist. • Die empfangende Stelle ist auf das Zweckbindungsprinzip hinzuweisen. W. Kruth / Recht und Organisation des Datenschutzes 54

Recht und Organisation des Datenschutzes Modul 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung W. Kruth / Recht und Organisation des Datenschutzes 55

Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung • Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, wenn dies durch das Gesetz oder eine andere Rechtsvorschrift erlaubt oder angeordnet ist oder Betroffene eingewilligt hat. W. Kruth / Recht und Organisation des Datenschutzes 56

Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung • Werden personenbezogene Daten beim Betroffenen aufgrund einer Rechtsvorschrift erhoben, die zur Auskunft verpflichtet, oder ist die Erteilung der Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen, so ist der Betroffene hierauf, sonst auf die Freiwilligkeit seiner Angaben und die evtl. Folgen einer Verweigerung hinzuweisen. W. Kruth / Recht und Organisation des Datenschutzes 57

Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung Einwilligung des Betroffenen (1) • Wird die Einwilligung bei dem Betroffenen eingeholt, ist er, sofern er nicht auf andere Weise Kenntnis erlangt hat, von der verantwortlichen Stelle – über deren Identität, – die Zweckbestimmung der Erhebung, Verarbeitung oder Nutzung und – die Kategorien von Empfängern, soweit der Betroffene nach den Umständen des Einzelfalls nicht mit der Übermittlung an diese rechnen muss, zu unterrichten. W. Kruth / Recht und Organisation des Datenschutzes 58

Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung Einwilligung des Betroffenen (2) • Die Einwilligung des Betroffenen ist nur wirksam, wenn sie auf dessen freier Entscheidung beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, auf die Folgen der Verweigerung hinzuweisen. • Die Einwilligung bedarf der Schriftform. Sie muss, soweit sie im Zusammenhang mit anderen Erklärungen abgegeben wird, deutlich hervorzuheben. W. Kruth / Recht und Organisation des Datenschutzes 59

Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung Einwilligung des Betroffenen (3) • Die Einwilligung des Betroffenen kann auch elektronisch erklärt werden, wenn sichergestellt ist, dass – sie nur durch eine eindeutige und bewusste Handlung der handelnden Person erfolgen kann, – sie nicht unerkennbar verändert werden kann, – ihr Urheber erkannt werden kann, – die Einwilligung bei der betroffenen Stelle protokolliert wird – der betroffenen Person jederzeit Auskunft über den Inhalt ihrer Einwilligung gegeben werden kann. W. Kruth / Recht und Organisation des Datenschutzes 60

Recht und Organisation des Datenschutzes Modul 5 Auftragsdatenverarbeitung W. Kruth / Recht und Organisation des Datenschutzes 61

Auftragsdatenverarbeitung • Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der anzuwendenden Rechtsvorschriften zum Datenschutz verantwortlich. • Der Auftragnehmer darf die Daten nur im Rahmen von Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. • Der Auftragnehmer ist funktionaler Bestandteil der verantwortlichen Stelle. W. Kruth / Recht und Organisation des Datenschutzes 62

Auftragsdatenverarbeitung Auftragsverhältnis (1) • Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen organisatorischen und technischen Maßnahmen zur Gewährleistung der IT-Sicherheit sorgfältig auszuwählen. • Der Auftrag ist schriftlich zu erteilen. Dabei können verschiedene Auftragsformen vom Rahmenvertrag mit Einzelaufträgen bis zur ausschließlichen, allgemein oder für den Einzelfall geltenden Regelung in Betracht kommen. W. Kruth / Recht und Organisation des Datenschutzes 63

Auftragsdatenverarbeitung Auftragsverhältnis (2) • Im Rahmen des Auftragsverhältnisses sind die Datenerhebung, -verarbeitung oder -nutzung, die technischen und organisatorischen Sicherheitsmassnahmen und etwaige Unterauftragsverhältnisse festzulegen. • Der Auftraggeber hat die Pflicht, sich von der Einhaltung der getroffenen Vereinbarungen zu überzeugen. W. Kruth / Recht und Organisation des Datenschutzes 64

Auftragsdatenverarbeitung Auftragsverhältnis (3) • Der Auftragnehmer hat den Auftraggeber über von ihm erkannte oder vermutete Verstöße gegen datenschutzrechtliche Bestimmungen oder Regelungen des Auftragsverhältnisses unverzüglich zu informieren. Dies gilt auch dann, wenn der Auftragnehmer das vorhandene Sicherheitssystem ändert und hierdurch getroffene Vereinbarungen inhaltlich berührt werden. W. Kruth / Recht und Organisation des Datenschutzes 65

Auftragsdatenverarbeitung Anwendungsbereiche • Anwendungsbereiche der Auftragsdatenverarbeitung sind – die Datenerfassung, – die Entwicklung von Individualsoftware, – die Erbringung von Wartungsarbeiten (lokale Wartung oder Fernwartung) für Netze, Systeme und Dienste, – die Durchführung von Verarbeitungen automatisierter Verfahren, – die Durchführung von Datenübermittlung sowie die Einrichtung von automatisierten Abrufverfahren. W. Kruth / Recht und Organisation des Datenschutzes 66

Auftragsdatenverarbeitung Wartung und Systembetreuung durch externe Stellen • Externe Stellen und Personen, die mit der Wartung und Systembetreuung von IT-Systemen oder deren Komponenten beauftragt sind, müssen die notwendige fachliche Qualifikation und Zuverlässigkeit aufweisen. • Der Auftraggeber hat vor Beginn der Arbeiten sicherzustellen, dass der Auftragnehmer personenbezogene Daten nur zur Kenntnis nehmen kann, wenn dies unvermeidlich ist; in diesen Fällen hat der Auftragnehmer die Daten unverzüglich nach Erledigung des Auftrags zu löschen. Die Nachweise hierzu sind drei Jahre aufzubewahren. W. Kruth / Recht und Organisation des Datenschutzes 67

Auftragsdatenverarbeitung Datenverarbeitung durch eigene Stellen (1) • Bei der Erhebung, Verarbeitung oder Nutzung von personenbezogene Daten durch eigene Stellen im Organisationsbereich der verantwortlichen Behörde ist Auftragsdatenverarbeitung nicht gegeben. • Im Interesse einer ordnungsgemäßen und kontrollierbaren automatisierten Datenverarbeitung wird die Anwendung der Rechtsvorschriften für die Auftragsdatenverarbeitung empfohlen. W. Kruth / Recht und Organisation des Datenschutzes 68

Auftragsdatenverarbeitung Datenverarbeitung durch eigene Stellen (2) • Soweit die IT-Zentralen des Landes personenbezogene Daten im Auftrag öffentlicher Stellen verarbeiten, haben sie die Vorschriften - über das Datengeheimnis, - Technische und organisatorische Maßnahmen - Kontrolle durch den Landesbeauftragten für den Datenschutz für ihren Bereich anzuwenden. W. Kruth / Recht und Organisation des Datenschutzes 69

Recht und Organisation des Datenschutzes Modul 6 Rechte des Betroffenen und Korrespondenzpflichten der verantwortlichen Stelle W. Kruth / Recht und Organisation des Datenschutzes 70

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Unabdingbare Rechte des Betroffenen • Die Rechte des Betroffenen auf Auskunft, Berichtigung, Sperrung oder Löschung können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden. • Sind die Daten des Betroffen automatisiert bei mehreren Stellen gespeichert, kann er sich an jede dieser Stellen wenden, wenn er die für die Speicherung verantwortliche Stelle nicht selbst ermitteln kann. Die Stelle, bei der Betroffene seine Rechte reklamiert, ist zur Information der bezogenen Stelle verpflichtet. W. Kruth / Recht und Organisation des Datenschutzes 71

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Korrespondenzpflichten der verantwortlichen Stelle • Den Rechten des Betroffenen auf Berichtigung, Sperrung und Löschung entsprechen die Pflichten der verantwortlichen Stelle zur Vornahme korrigierender Handlungen, ohne dass es dabei zwingend eines Einspruches des Betroffenen bedarf. W. Kruth / Recht und Organisation des Datenschutzes 72

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Recht auf Auskunft (1) • Dem Betroffenen ist auf Antrag Auskunft zu erteilen über – die zu seiner Person gespeicherten Daten, – den Zweck und die Rechtsgrundlage der Speicherung, – die Herkunft der Daten, soweit sie von anderen Stellen zur Verfügung gestellt oder aus allgemein zugänglichen Quellen gewonnen wurden, und die Empfänger von Übermittlungen, – Die allgemeinen technischen Bedingungen der automatisierten Verarbeitung der zur eigenen Person verarbeiteten Daten. • Die Auskunft darf nur verweigert werden, wenn dies durch eine Rechtsvorschrift ausdrücklich bestimmt ist. W. Kruth / Recht und Organisation des Datenschutzes 73

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Recht auf Auskunft (2) • Die Form des Auskunftsverfahrens bestimmt die verantwortliche Stelle. Grundsätzlich wird die Auskunft – schriftlich und – unentgeltlich erteilt. W. Kruth / Recht und Organisation des Datenschutzes 74

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Recht auf Berichtigung, Sperrung, Löschung (1) • Personenbezogene Daten sind zu berichtigen, wenn sie unrichtig sind. • Personenbezogene Daten sind zu sperren, wenn – ihre Richtigkeit vom Betroffenen bestritten wird, – der Betroffene anstelle der Löschung die Sperrung verlangt, – die weitere Speicherung im Interesse des Betroffenen geboten ist, – ie nur zu Zwecken der Datensicherung und der Datenschutzkontrolle gespeichert sind. W. Kruth / Recht und Organisation des Datenschutzes 75

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Recht auf Berichtigung, Sperrung, Löschung (2) • Bei automatisierten Dateien ist die Sperrung grundsätzlich durch technische Maßnahmen sicherzustellen; im übrigen ist ein entsprechender Vermerk anzubringen. W. Kruth / Recht und Organisation des Datenschutzes 76

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Recht auf Berichtigung, Sperrung, Löschung (3) • Personenbezogene Daten sind zu löschen, wenn ihre Speicherung – unzulässig ist, – ihre Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist. • Über die Berichtigung von Daten, die Sperrung und Löschung sind unverzüglich die betroffene Person und die Stellen zu informieren, an die Datenübermittlung erfolgt; es sei denn, dass die Benachrichtigung einen erheblichen Aufwand erfordert und nachteilige Folgen für die betroffene Person nicht zu befürchten sind. W. Kruth / Recht und Organisation des Datenschutzes 77

Rechte des Betroffenen / Pflichten der verantwortlichen Stelle Benachrichtigung des Betroffenen • Der Betroffene ist zu benachrichtigen, wenn erstmals personenbezogene Daten für eigene Zwecke ohne seine Kenntnis gespeichert werden. Die Benachrichtigung entspricht nach Form und Inhalt der Auskunft. • Eine Pflicht zur Benachrichtigung besteht nicht, wenn der Betroffene auf andere Weise Kenntnis von der Speicherung, Verarbeitung oder Nutzung erlangt hat, oder die Benachrichtigung durch Rechtsvorschrift ausgeschlossen ist. W. Kruth / Recht und Organisation des Datenschutzes 78

Recht und Organisation des Datenschutzes Modul 7 Besonderer Datenschutz W. Kruth / Recht und Organisation des Datenschutzes 79

Besondere Regelungen Sicherstellung des Datenschutzes • Die obersten Landesbehörden, die Gemeinden und Gemeindeverbände sowie die sonstigen der Aufsicht des Landes unterstehenden juristischen Personen des öffentlichen Rechts und ihre Vereinigungen haben für ihren Bereich jeweils die Ausführung der Rechtsvorschriften über den Datenschutz sicherzustellen. W. Kruth / Recht und Organisation des Datenschutzes 80

Besondere Regelungen Datengeheimnis • Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. • Die infrage kommenden Personen sind auf das Datengeheimnis zu verpflichten. Dies gilt auch für Personen, die bei der Auftragsdatenvearbeitung für den Auftraggeber als Erfüllungsgehilfen tätig werden. W. Kruth / Recht und Organisation des Datenschutzes 81

Besondere Regelungen Technische und organisatorische Massnahmen (1) • Öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften der anzuwendenden Rechtsvorschriften zum Datenschutz sicherzustellen. • Erforderlich sind Maßahmen nur, wenn ihr Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht. W. Kruth / Recht und Organisation des Datenschutzes 82

Besondere Regelungen Technische und organisatorische Maßnahmen (2) • Dabei sind Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass die Sicherheitsziele der – Vertraulichkeit, – Integrität, – Verfügbarkeit, – Authentizität, – Revisionsfähigkeit und – Transparenz erreicht werden. W. Kruth / Recht und Organisation des Datenschutzes 83

Besondere Regelungen Technische und organisatorische Maßnahmen (3) • Die Maßnahmen sind auf der Grundlage eines revisionsfähigen Sicherheitskonzeptes zu ermitteln und zu realisieren. • Die Anpassung an den technischen Entwicklungsstand ist jeweils durchzuführen. W. Kruth / Recht und Organisation des Datenschutzes 84

Besondere Regelungen Datenschutzaudit • Zur Verbesserung des Datenschutzes und der Datensicherheit können Anbieter von Informationstechnik und datenverarbeitende Stellen ihr Datenschutzkonzept sowie ihre technischen Einrichtungen durch unabhängige und zugelassene Gutachter prüfen und bewerten lassen. W. Kruth / Recht und Organisation des Datenschutzes 85

Besondere Regelungen Datenschutz bei Videoüberwachung • Videoüberwachung ist nur zulässig, soweit dies zur Aufgabenerfüllung oder zur Wahrnehmung des Hausrechts erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der betroffenen Personen überwiegen. • Auf die Videoüberwachung ist hinzuweisen. • Die Daten sind zu löschen, wenn sie zur Erreichung des Zweckes nicht mehr erforderlich sind oder schutzwürdige Belange der Betroffenen entgegenstehen. W. Kruth / Recht und Organisation des Datenschutzes 86

Besondere Regelungen Mobile personenbezogene Datenverarbeitungssysteme (1) • Informationstechnische Systeme zum Einsatz in automatisierten Verfahren, die an die Betroffenen ausgegeben werden und die über eine von der ausgebenden Stelle oder Dritten bereit gestellte Schnittstelle Daten automatisiert austauschen können, dürfen nur mit Einwilligung der betroffenen Person nach ihrer vorherigen umfassenden Aufklärung eingesetzt werden. W. Kruth / Recht und Organisation des Datenschutzes 87

Besondere Regelungen Mobile personenbezogene Datenverarbeitungssysteme (2) • Für die Betroffenen muss jederzeit erkennbar sein, - ob und durch wen Datenverarbeitungsvorgänge auf dem mobilen Datenverarbeitungssystem oder dieses veranlasst stattfinden, - welche personenbezogenen Daten der betroffenen Person verarbeitet werden, welcher Veränderungsvorgang im Einzelnen abläuft oder angestoßen wird. • Die Betroffenen sind über ihre Rechte auf Auskunft usw. bei der Ausgabe der Geräte aufzuklären. W. Kruth / Recht und Organisation des Datenschutzes 88

Recht und Organisation des Datenschutzes Modul 8 Bereichsspezifischer Datenschutz W. Kruth / Recht und Organisation des Datenschutzes 89

Recht und Organisation des Datenschutzes Bereichsspezifischer Datenschutz Teil 1: Personaldatenschutz W. Kruth / Recht und Organisation des Datenschutzes 90

Bereichsspezifischer Datenschutz Personaldatenschutz (1) Allgemeine Rechtsgrundsätze • Daten von Bewerbern und Beschäftigten dürfen nur erhoben, gespeichert und verarbeitet werden, wenn dies – zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder – zur Durchführung dienstlicher, organisatorischer, personeller und sozialer Maßnahmen, ibs. auch zu Zwecken der Personalplanung und des Personaleinsatzes erforderlich ist. • Anzuwendende Rechtsvorschriften sind ibs. auch Tarifverträge und Dienstvereinbarungen. W. Kruth / Recht und Organisation des Datenschutzes 91

Bereichsspezifischer Datenschutz Personaldatenschutz (2) Datenerhebung beim Bewerber (1) • Bei der Datenerhebung vom Bewerber sind zu beachten – Der Grundsatz der Zweckbestimmung des angestrebten Beschäftigungsverhältnisses, – Die Interessenabwägung im Rahmen der Zweckbestimmung nach dem Grundsatz der Verhältnismässigkeit. • Problemfelder: – Psychologische Wirkungs- und Erkenntnisgrössen können beim Bewerber die Abwehr von unzulässigen Fragen beeinträchtigen, – Sachgerechte und objektive Ermessensentscheidungen sind wg. Fehlender Sensibilität im Umgang mit personenbezogenen Daten bei den Entscheidungsträgern nicht durchgängig zu erwarten. W. Kruth / Recht und Organisation des Datenschutzes 92

Bereichsspezifischer Datenschutz Personaldatenschutz (3) Datenerhebung beim Bewerber (2) • Medizinische und psychologische Untersuchungen sind zulässig, soweit dadurch ergänzend zu den allgemeinen Erhebungen die Eignung des Bewerbers unter dem Aspekt der Anforderungen der angestrebten Stelle festgestellt wird. • Der Personalstelle darf nur das Ergebnis der Eignungsuntersuchung mitgeteilt werden. W. Kruth / Recht und Organisation des Datenschutzes 93

Bereichsspezifischer Datenschutz Personaldatenschutz (4) Datenerhebung beim Bewerber (3) • Bewerberdaten sind zu löschen, wenn die Bewerbung keinen Erfolg hatte. • Eine Aufbewahrung für künftige Personalauswahlverfahren ist nur mit Zustimmung des Bewerbers zulässig. W. Kruth / Recht und Organisation des Datenschutzes 94

Bereichsspezifischer Datenschutz Personaldatenschutz (5) Personalaktenführung (§§ 90 a ff BBG) • Die allgemeine Personalakte (PA) ist gesondert zu führen und vor unbefugter Einsichtnahme zu schützen. • Bestandteil der PA sind nur Unterlagen, die mit dem Dienst- oder Arbeitsverhältnis in unmittelbarem, inneren Zusammenhang stehen. • Kindergeldakten und Beihilfeakten sind getrennt von der allgemeinen Personalakte zu führen. W. Kruth / Recht und Organisation des Datenschutzes 95

Bereichsspezifischer Datenschutz Personaldatenschutz (6) Automatisierte Dateien • Bei automatisierter Speicherung von Dateien sind besondere Maßnahmen zur Zugangs- und Zugriffskontrolle erforderlich. • Ergebnisse medizinischer und psychologischer Untersuchungen dürfen nur gespeichert werden, wenn dies dem Schutz des Beschäftigten dient. W. Kruth / Recht und Organisation des Datenschutzes 96

Bereichsspezifischer Datenschutz Personaldatenschutz (7) Speicherung und Verarbeitung von Telefondaten • Daten über privat geführte Telefongespräche dürfen nur zum Zwecke der Abrechnung gespeichert und verarbeitet werden. Die Verarbeitung oder Nutzung für andere Zwecke ist unzulässig. Die Abrechnung ist verschlossen zu übermitteln. • Daten über dienstlich geführte Telefongespräche dürfen zur Bewertung der Arbeitsergebnisse und zum Zwecke von Organisationsänderungen ausgewertet werden. W. Kruth / Recht und Organisation des Datenschutzes 97

Bereichsspezifischer Datenschutz Personaldatenschutz (8) Personalvertretung (1) • Die Personalvertretung ist Teil der „speichernden Stelle“. • Die Datenverarbeitung der Personalvertretung unterliegt der Kontrolle durch den behördlichen Datenschutzbeauftragten. • Personaldaten dürfen der Personalvertretung nur im gesetzlich begründeten Fall der Mitwirkung oder Zustimmung zur Kenntnis gegeben werden. Der allgemeine Zugriff auf die Personaldaten ist unzulässig. W. Kruth / Recht und Organisation des Datenschutzes 98

Bereichsspezifischer Datenschutz Personaldatenschutz (9) Personalvertretung (2) • Das Datenschutzrecht ist ein zugunsten der Beschäftigten geltendes Recht i. S. des Personalvertretungsrechtes. Daraus ergeben sich – die Verpflichtung des Arbeitgebers, die Personalvertretung umfassend über alle Formen der Verarbeitung von Personaldaten zu unterrichten, – die Verpflichtung der Personalvertretung, den Schutzauftrag zum Persönlichkeitsschutz der Beschäftigten umfassend und kontinuierlich wahrzunehmen. W. Kruth / Recht und Organisation des Datenschutzes 99

Recht und Organisation des Datenschutzes Bereichsspezifischer Datenschutz Teil 2: Sozialdatenschutz W. Kruth / Recht und Organisation des Datenschutzes 100

Bereichsspezifischer Datenschutz Sozialdatenschutz (1) Sozialdaten • Sozialdaten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person, die im Hinblick auf die Aufgaben nach dem SGB erhoben, verarbeitet oder genutzt werden. Betriebs- und Geschäftsgeheimnisse stehen den personenbezogenen Daten gleich. W. Kruth / Recht und Organisation des Datenschutzes 101

Bereichsspezifischer Datenschutz Sozialdatenschutz (2) Sozialgeheimnis • Jeder hat Anspruch darauf, dass ihn betreffende Sozialdaten von den Leistungsträgern als Normadressaten als Sozialgeheimnis gewahrt werden. • Die Erhebung, Verarbeitung, Übermittlung oder Nutzung von Sozialdaten ist nur unter den besonderen Voraussetzungen des SGB zulässig. W. Kruth / Recht und Organisation des Datenschutzes 102

Bereichsspezifischer Datenschutz Sozialdatenschutz (3) Normadressaten des Sozialgeheimnisses • Zur Beachtung des Sozialgeheimnisses verpflichtet ist – jede Stelle eines Trägers der öffentlichen Verwaltung, soweit sie durch Leistung oder Eingriff eine Aufgabe erfüllt, die im SGB oder einer abgeleiteten Rechtsvorschrift geregelt ist, – Verbände und Arbeitsgemeinschaften der Leistungsträger als gleichgestellte Normadressaten, – nach dem SGB abgeleitete Normadressaten. W. Kruth / Recht und Organisation des Datenschutzes 103

Bereichsspezifischer Datenschutz Sozialdatenschutz (4) Erhebung von Sozialdaten • Sozialdaten sind grundsätzlich beim Betroffenen zu erheben. • Eine Erhebung ohne Mitwirkung des Betroffenen ist nur innerhalb des sog. „Sozialdatenpools“ unter bestimmten Voraussetzungen zulässig. • Die Erhebung bei anderen Personen oder Stellen ist nur dann zulässig, wenn dies eine Rechtsvorschrift ausdrücklich erlaubt oder dies aufgrund der Art der Erhebung bedingt ist. W. Kruth / Recht und Organisation des Datenschutzes 104

Bereichsspezifischer Datenschutz Sozialdatenschutz (5) Übermittlung von Sozialdaten (1) • Die Übermittlung von Sozialdaten ist nur zulässig, wenn – der Betroffene schriftlich eingewilligt hat oder – soweit eine gesetzliche Übermittlungspflicht nach den Vorschriften des SGB oder einer anderen, aus dem SGB abgeleiteten Rechtsvorschrift besteht. W. Kruth / Recht und Organisation des Datenschutzes 105

Bereichsspezifischer Datenschutz Sozialdatenschutz (6) Übermittlung von Sozialdaten (2) • Zulässige Verfahren zur Übermittlung von Sozialhilfe: – – – allgemeine Amtshilfe, Datenübermittlung in Zusammenhang mit Arbeitsunfähigkeit, Datenübermittlung für die Erfüllung sozialer Aufgaben, Datenübermittlung an Prüfinstanzen, Datenübermittlung für die Durchführung eines Strafverfahrens, – Anschriftenübermittlung bei Verletzung der Unterhaltspflicht und beim Versorgungsausgleich. W. Kruth / Recht und Organisation des Datenschutzes 106

Bereichsspezifischer Datenschutz Sozialdatenschutz (7) Automatisierte Abrufverfahren • Automatisierte Abrufverfahren sind nur innerhalb des Sozialdatenpools zulässig, wenn dies durch das SGB oder eine abgeleitete Rechtsvorschrift ausdrücklich erlaubt ist und durch die Aufsichtsbehörden der beteiligten Stellen genehmigt ist. W. Kruth / Recht und Organisation des Datenschutzes 107

Bereichsspezifischer Datenschutz Sozialdatenschutz (8) Auftragsdatenverarbeitung • Bei der Auftragsdatenverarbeitung werden an die Zuverlässigkeit des Auftragnehmers besonders hohe Anforderungen gestellt. • Die Auftragserteilung ist nur zulässig, wenn der Datenschutz beim Auftragnehmer den Anforderungen entspricht, die für den Auftraggeber bei eigener Datenverarbeitung gelten würden. • Vor Auftragserteilung ist eine schriftliche Anzeige bei der Aufsichtsbehörde über den Auftragnehmer sowie Art und Umfang der Inanspruchnahme erforderlich. W. Kruth / Recht und Organisation des Datenschutzes 108

Recht und Organisation des Datenschutzes Modul 9 Datenschutz beim Einsatz neuer Technologien W. Kruth / Recht und Organisation des Datenschutzes 109

Recht und Organisation des Datenschutz beim Einsatz neuer Technologien Teil 1: Internet / Intranet und Datenschutz W. Kruth / Recht und Organisation des Datenschutzes 110

Datenschutz beim Einsatz neuer Technologien Internet / Intranet und Datenschutz (1) World Wide Web-Dienst (WWW) (1) • Ein WWW-Server stellt eine allgemein zugängliche Quelle dar und schafft damit den Erlaubnistatbestand für eine freie Nutzung der Daten. • Soweit öffentliche Stellen Informationsangebote im WWW bereitstellen, die u. a. Daten über Beschäftigte beinhalten sollen, bedarf es einer Einwilligung der Betroffenen. W. Kruth / Recht und Organisation des Datenschutzes 111

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (2) World Wide Web-Dienst (WWW) (2) • Soweit öffentliche Stellen das WWW für Teleantragsverarbeitung nutzen, muss eine gesicherte Übertragung mit Einsatz kryptografischer Verfahren und Digitaler Signatur erfolgen. W. Kruth / Recht und Organisation des Datenschutzes 112

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (3) World Wide Web-Dienst (WWW) (3) • Die öffentlichen Stellen regeln die Zugangs- und Voraussetzungen für Teleantragsverarbeitung: – Festlegung der Verfahren und anzuwendenden Krypto. Methoden für die gesicherte Übertragung, – eindeutige und einmalige Referenzierung der Übermittlungsvorgänge, – gesicherte Ende-zu-Ende-Übertragung mit Verschlüsselung und digitaler Signatur, – Erzeugung nicht manipulierbarer Kopien der übermittelten Daten beim Absender und Empfänger. W. Kruth / Recht und Organisation des Datenschutzes 113

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (4) E-Mail (1) • Mailboxen sind rechtlich zunächst als Massenmedien zu betrachten, da sie insgesamt oder in Teilabereichen adressierbar sind. • Die Anwendung der Rundfunkgesetze auf den Betrieb von Mailboxen ist zu verneinen, da bei Mailboxen immer nur eine begrenzte Zahl von Benutzern in Betracht kommt. W. Kruth / Recht und Organisation des Datenschutzes 114

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (5) E-Mail (2) • Für den Betreiber von Mailboxsystemen ergeben sich aus rechtlicher Sicht bestimmte Anforderungen: – Jedes Angebot muss den Anbieter erkenntlich machen und Teilnehmern den Abruf von Namen und Anschrift ermöglichen, – Der Anbieter hat eine besondere Sorgfaltspflicht im Hinblick auf wahrheitsgetreue und sachliche Nachrichten, – Die Verbindungsdaten sind unmittelbar nach Beendigung der Verbindung zu löschen, soweit sie nicht für Abrechnungszwecke benötigt werden. W. Kruth / Recht und Organisation des Datenschutzes 115

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (6) E-Mail (3) • Beim Versand personenbezogener Daten mittels E-Mail werden diese u. Ust. in Kommunikationssystemen, die Gateway- und Router-Funktionen übernehmen, zwischengespeichert. • Der Versand von E-Mails unterliegt dem Fernmeldegeheimnis. • Das Briefgeheimnis findet auf private E-Mails Anwendung, soweit diese ausdrücklich zugelassen sind. W. Kruth / Recht und Organisation des Datenschutzes 116

Datenschutz beim Einsatz neuer Technologien Internet und Datenschutz (7) E-Mail (4) • Personenbezogene Daten dürfen mittels E-Mail nur in verschlüsselter Form und mit digitaler Signatur übermittelt werden. • Grundsätzlich ist eine Ende-zu-Ende-Verschlüsselung mit entsprechenden Signaturverfahren anzustreben, soweit hierdurch übergeordnete Sicherheitsbedürfnisse der öffentlichen Stelle nicht beeinträchtigt werden. W. Kruth / Recht und Organisation des Datenschutzes 117

Recht und Organisation des Datenschutz beim Einsatz neuer Technologien Teil 2: Datenschutz bei Telearbeit W. Kruth / Recht und Organisation des Datenschutzes 118

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (1) Definition Telearbeit • Telearbeit ist dezentrale, informations- und kommunikationsgestützte Arbeit, die üblicherweise in einem Büro erbracht wird. W. Kruth / Recht und Organisation des Datenschutzes 119

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (2) Formen der Telearbeit • • • Tele-Heimarbeit Alternierende Telearbeit Satellitenbüro Nachbarschafts-Büro Tele-Haus W. Kruth / Recht und Organisation des Datenschutzes 120

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (3) Problemfelder Telearbeit • • • Verarbeitung von Kundendaten Verarbeitung von Personaldaten Rechnersysteme in privaten Räumlichkeiten Daten im Zugriffsbereich Dritter Gefahr des unberechtigten Netzzugangs W. Kruth / Recht und Organisation des Datenschutzes 121

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (4) Datenschutzrechtliche Rahmenbedingungen (1) • Allgemeines Datenschutzrecht: – Die Zulässigkeit der Telearbeit ist in Abhängigkeit von der Empfindlichkeit der personenbezogenen Daten zu bewerten, i. d. R. bedarf es der Einwilligung des Betroffenen, – es sind angemessene, technische und organisatorische Maßnahmen zur Sicherstellung des Datenschutzes zu treffen, ibs. Zur Zugangs- und Zugriffssicherung. Der Grundsatz der Zweck-Mittel-Relation muss den besonderen Anforderungen entsprechend angewendet werden. W. Kruth / Recht und Organisation des Datenschutzes 122

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (5) Datenschutzrechtliche Rahmenbedingungen (2) • Aus datenschutzrechtlicher Sicht sind ibs. Maßnahmen zur Gewährleistung der – Vertraulichkeit (Gefahr der unbefugten Einsichtnahme / Erschließung von Daten am Telearbeitsplatz) und – Gefährdung der Integrität (Gefahr der unbefugten, unbemerkten Veränderung von Daten am Telearbeitsplatz) zu treffen. W. Kruth / Recht und Organisation des Datenschutzes 123

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (6) Datenschutzrechtliche Rahmenbedingungen (3) • Kontrollfunktion des behördlichen Datenschutzbeauftragten bei häuslicher Teleheimarbeit eingeschränkt, da die Räumlichkeiten des Teleheimbüros unter den Schutzbereich Art. 13 GG fallen. • Bei mobiler Teleheimarbeit (Fahrzeug, Hotelzimmer) muss zwischen Geschäftsraum und Privatbereich unterschieden werden. W. Kruth / Recht und Organisation des Datenschutzes 124

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (7) Datenschutzrechtliche Rahmenbedingungen (4) • Mitwirkung / Mitbestimmung der Personalvertretung: – Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, dies gilt ibs. bei der Teleheimarbeit. • Bei Telearbeit ist eine Betriebsvereinbarung, die auch die datenschutzrechtlichen Probleme abdeckt, erforderlich. W. Kruth / Recht und Organisation des Datenschutzes 125

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (8) Datenschutzrechtliche Rahmenbedingungen (5) • Zugangskontrolle: – Eignung der privaten Räumlichkeiten durch Begehung / Kontrolle anhand Anforderungskatalog überprüfen, – nachweisliche Belehrung des Telearbeiters mit Hinweis auf Verantwortung für den Zugangsschutz, – bei Arbeitsunterbrechungen Beendigung des Systemdialages bzw. der Kommunikationsverbindung zum entfernten Rechner. W. Kruth / Recht und Organisation des Datenschutzes 126

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (9) Datenschutzrechtliche Rahmenbedingungen (6) • Zugriffskontrolle: – Entfernte Administration des Telesystems mit Überprüfung der Datenbestände auf Vollständigkeit und Integrität, – lokaler Zugriff auf verschlüsselte Datenbestände, – entfernter Zugriff auf Protokolldateien und das System bei Störungen. W. Kruth / Recht und Organisation des Datenschutzes 127

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Telearbeit (10) Datenschutzrechtliche Rahmenbedingungen (7) • Übermittlungskontrolle: – Übermittlung der Daten ausschließlich in verschlüsselter Form, ggfls. mit zusätzlicher Absicherung durch digitale Signatur. W. Kruth / Recht und Organisation des Datenschutzes 128

Recht und Organisation des Datenschutz beim Einsatz neuer Technologien Teil 3: Datenschutz beim Betrieb von Telekommunikationsanlagen W. Kruth / Recht und Organisation des Datenschutzes 129

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Einsatz von Telekommunikationsanlagen (1) • Der Betrieb von Telekommunikationsanlagen unterliegt den Schutzvorschriften des Telekommunikationsgesetzes, soweit diese für private Zwecke ausdrücklich verfügbar gemacht werden. • Bei privater Nutzung unterliegen alle Beschäftigten, die für den Betrieb der Telekommunikationsanlagen verantwortlich sind, dem Fernmeldegeheimnis. W. Kruth / Recht und Organisation des Datenschutzes 130

Datenschutz beim Einsatz neuer Technologien Datenschutz bei Einsatz von Telekommunikationsanlagen (2) • Die bei der Nutzung von Telekommunikationsanlagen (Fernsprechen, Faxen) entstehenden Verbindungsdaten – dürfen Nur für Abrechnungszwecke verwendet werden, – dürfen von den Zugriffsberechtigten nicht für andere Zwecke verwendet werden, – sind anderen Beschäftigten oder Stellen nicht zugänglich zu machen, – sind sofort nach Abrechnung, spätestens jedoch nach bestimmten Verfallsfristen zu löschen. • Voraussetzungen und Rahmenbedingungen der privaten Nutzung sind in einer Betriebsvereinbarung zu regeln. W. Kruth / Recht und Organisation des Datenschutzes 131

Recht und Organisation des Datenschutzes Modul 10 Interner Datenschutzbeauftragter W. Kruth / Recht und Organisation des Datenschutzes 132

Datenschutzbeauftragter Bestellung • Öffentliche Stellen, die personenbezogene Daten verarbeiten, haben einen internen Beauftragten für den Datenschutz sowie einen Vertreter zu bestellen. • Mehrere Stellen können gemeinsam einen Beauftragten für den Datenschutz bestellen, wenn hierdurch die Erfüllung seiner Aufgabe nicht beeinträchtigt wird. W. Kruth / Recht und Organisation des Datenschutzes 133

Datenschutzbeauftragter Qualifikation • Sachkunde • Zuverlässigkeit W. Kruth / Recht und Organisation des Datenschutzes 134

Datenschutzbeauftragter Anforderungsprofil • • Juristische Kenntnisse Unternehmenskenntnisse Betriebswirtschaftliche Kenntnisse IT-Kenntnisse W. Kruth / Recht und Organisation des Datenschutzes 135

Datenschutzbeauftragter Anforderungsprofil: Unternehmenskenntnisse • Formale Strukturen • Informale Strukturen • Institutionstypische Gegebenheiten W. Kruth / Recht und Organisation des Datenschutzes 136

Datenschutzbeauftragter Anforderungsprofil: Betriebswirtschaftliche Kenntnisse • Allgemeine Betriebswirtschaftslehre – Organisationslehre – Unternehmensführung • Spezielle Betriebswirtschaftslehre – Planung und Kontrolle – Personalwesen W. Kruth / Recht und Organisation des Datenschutzes 137

Datenschutzbeauftragter Anforderungsprofil: IT-Kenntnisse • Allgemeine technische Kenntnisse – Basisarchitekturen von IT-Systemen und Netzwerken – Methoden und Techniken der Ein- / Ausgabe, Speicherung und Verarbeitung • Kenntnisse Systemsoftware – Betriebsarten, Bedieneroberflächen – Prinzipien und Modelle der Softwareentwicklung • Kenntnisse Anwendungssoftware – Strukturen Standard- / Individualsoftware – Datenbankanwendungen W. Kruth / Recht und Organisation des Datenschutzes 138

Datenschutzbeauftragter Rechtsstellung • • Direktunterstellung Behördenleitung Keinen Weisungen unterworfen Benachteilungsverbot Widerruf der Bestellung bei Bestellungspflicht nur nach § 626 BGB • Schweigerecht (-pflicht) über die Identität Betroffener (kein Zeugnisverweigerungsrecht) W. Kruth / Recht und Organisation des Datenschutzes 139

Datenschutzbeauftragter Unterstützung durch die speichernde Stelle (1) • Allgemeine Unterstützung • Bereitstellung von Hilfspersonal, Einrichtungen, Geräten und Mitteln W. Kruth / Recht und Organisation des Datenschutzes 140

Datenschutzbeauftragter Unterstützung durch die speichernde Stelle (2) • Bereitstellung von Übersichten: – IT-Infrastruktur – Verfahrensverzeichnis W. Kruth / Recht und Organisation des Datenschutzes 141

Datenschutzbeauftragter Unterstützung durch die speichernde Stelle (3) • Das Verfahrensverzeichnis beinhaltet – Name und Anschrift der datenverarbeitenden Stelle, – die Zweckbestimmung und Rechtsgrundlage der Datenverarbeitung, – die Art der gespeicherten Daten und den Kreis der Betroffenen, – die zugriffsberechtigten Personen oder Personengruppen, – die Beschreibung der eingesetzten IT-Infrastruktur sowie der technischen und organisatorischen Massnahmen, – die Adressaten und Verfahren der Datenübermittlung. W. Kruth / Recht und Organisation des Datenschutzes 142

Datenschutzbeauftragter Aufgaben des Datenschutzbeauftragten (1) • Das LDSG verpflichtet die öffentliche Stellen, den internen Datenschutzbeauftragten bei der Planung bzw. Änderung von Verfahren zur Verarbeitung personenbezogener Daten sowie bei der Erarbeitung interner Regelungen zum Datenschutz frühzeitig zu beteiligen. W. Kruth / Recht und Organisation des Datenschutzes 143

Datenschutzbeauftragter Aufgaben des Datenschutzbeauftragten (2) • Planung und Aufbau der Datenschutzorganisation • Überprüfung der Einhaltung von Rechtsvorschriften zum Datenschutz und Organisationsregelungen • Schulung und Information von Führungskräften und Mitarbeitern W. Kruth / Recht und Organisation des Datenschutzes 144

Datenschutzbeauftragter Aufgaben des Datenschutzbeauftragten (3) • • Prüfung von Zulässigkeitsvoraussetzungen Sicherstellung der Rechte des Betroffenen Beratung bei der Erstellung von Verträgen Beratung bei Planung und Realisierung von technischen und organisatorischen Maßnahmen zur Herstellung der IT-Sicherheit W. Kruth / Recht und Organisation des Datenschutzes 145

Datenschutzbeauftragter Aufgaben des Datenschutzbeauftragten (4) • Beratung bei der Einstellung von Mitarbeitern, die in Bereichen der Informationstechnik eingesetzt werden • Beratung von Betroffenen, die sich unmittelbar an ihn wenden W. Kruth / Recht und Organisation des Datenschutzes 146

Datenschutzbeauftragter Datenschutzzielsystem • Kriterien für eine Datenschutzpolitik und – zielsetzungen – – Datenschutzbewusstsein Datenschutz als Bestandteil der Unternehmenspolitik Fortentwicklung der Fachkunde des Datenschutzbeauftragten Zeit- und Kostenbudget für den Datenschutzbeauftragten W. Kruth / Recht und Organisation des Datenschutzes 147

Datenschutzbeauftragter Mindestanforderungen an ein Regelungssystem • Allgemeine Datenschutzrichtlinie • Datenschutzspezifische Inhalte der Richtlinien für die Beschaffung von Informationstechnik, Wartungsarbeiten, IT-Outsourcing • Organisation der Zutritts-, Zugangs- und Zugriffsrechte mit Bewertung von geeigneten Kontrollmechanismen und –funktionn • Besondere Richtlinien für Internet- und E-Mail-Zugang und -nutzung W. Kruth / Recht und Organisation des Datenschutzes 148

Datenschutzbeauftragter Ziele Datenschutzrichtlinie • Zusammenfassung der datenschutzbezogenen organisatorischen Regelungen • Einarbeitungshilfe für neue Mitarbeiter • Entscheidungsgrundlage und –hilfe in Datenschutzfragen W. Kruth / Recht und Organisation des Datenschutzes 149

Datenschutzbeauftragter Struktur der Datenschutzrichtlinie • • • Übergeordnete Regelungen Aufbauorganisatorische Regelungen Ablauforganisatorische Regelungen Bereichsspezifische Regelungen Formale Regelungen W. Kruth / Recht und Organisation des Datenschutzes 150

Datenschutzbeauftragter • Zusammenarbeit mit Personalvertretung • Datenschutzrecht ist ein sog. Schutzrecht, dessen Einhaltung von der Personalvertretung i. S. des Personaldatenschutzes zu kontrollieren ist • Offene und vertrauensvolle Zusammenarbeit zwischen Datenschutzbeauftragtem und Personalvertretung ist Voraussetzung für wirksamen Personaldatenschutz W. Kruth / Recht und Organisation des Datenschutzes 151