RINGVORLESUNG Softwareentwicklung in der industriellen Praxis Fakultt fr

RINGVORLESUNG Softwareentwicklung in der industriellen Praxis Fakultät für Informatik TU Dresden Wintersemester 2011/2012 ©DID 2011 1

Dr. Ralph Wagner LL. M. DID Dresdner Institut für Datenschutz ALLES VERBOTEN? Datenschutzaspekte bei Softwareentwicklung / Praxisbeispiel Beschäftigtendatenschutz ©DID 2011 2

Wenn persönliche Daten verarbeitet werden, muss Software zuerst dem Datenschutzrecht genügen; Nutzerkomfort, Effizienz etc. sind "von Gesetzes wegen" nachrangig. Datenschutzwidrige Anwendungen können von der Aufsichtsbehörde untersagt und mit Bußgeldern sanktioniert werden. Am Beispiel von Personaldaten wird gezeigt, welche Vorgaben beachtet werden müssen, damit die entwickelte Software auch tatsächlich angewendet werden darf. ©DID 2011 3

- Publikationen - Stellungnahmen in Gesetzgebungsverfahren - Vorträge, Lehraufträge • • • ©DID 2011 Externe Datenschutzbeauftragte Back-Office für interne Datenschutzbeauftragte Gutachten Audits Produkte Verfahren 4

Dr. Ralph Wagner LL. M. • • • ©DID 2011 Jurist und Rechtsanwalt Mitglied Datenschutzgruppe BRAK betrieblicher Datenschutzbeauftragter behördlicher Datenschutzbeauftragter Konzerndatenschutzbeauftragter Lehrbeauftragter für Datenschutzrecht an der TUD 5

§ 38 BDSG Aufsichtsbehörde (5) Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anordnen. Bei schwerwiegenden Verstößen oder Mängeln … kann sie … den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden. . . ©DID 2011 6

§ 43 BDSG Bußgeldvorschriften (2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig 1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet … 3) Die Ordnungswidrigkeit kann … in den Fällen des Absatzes 2 mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können sie überschritten werden. ©DID 2011 7

§ 44 BDSG Strafvorschriften (1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt … begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft. … ©DID 2011 8

1 x 1 des deutschen Datenschutzrechts – in 15 Minuten ©DID 2011 9

§ 4 Abs. 1 BDSG Zulässig keit der Datenerhebung, -verarbeitun g un d - nu tz un g „Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder Betroffene eingewilligt hat. “ ©DID 2011 Verbot mit Erlaubnisvorbehalt 10

Was ist erlaubt/verboten? Datenerhebung ist zulässig, wenn sie. . . durch das BDSG selbst. . . Beispiel: öffentlich zugängliche Daten oder durch eine andere Rechtsvorschrift. . . Beispiel: Steuern, Abgaben oder durch die Einwilligung des Betroffenen. . . Beispiel: Einverständniserklärung zur Datennutzung . . . erlaubt wird. ©DID 2011 11

Wie ist es erlaubt? § 9 BDSG: Technische und organisatorische Maßnahmen Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes [. . . ] zu gewährleisten. ©DID 2011 12

Wie ist es erlaubt? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Zugangskontrolle Eingabekontrolle Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Trennungsgebot Auftragskontrolle Weitergabekontrolle 13

Wie? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Zugangskontrolle Eingabekontrolle Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Verhinderung der unbefugten Nutzung von Datenverarbeitungsanlagen, also des Eindringens in das EDV-System Trennungsgebot seitens unbefugter (externer) Personen sowie geregelte Zugangskontrolle eines grundsätzlich Berechtigten. Auftragskontrolle Weitergabekontrolle 14

Wie? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Zugangskontrolle Eingabekontrolle Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Trennungsgebot Auftragskontrolle Gewährleistung, dass die zur Benutzung Berechtigten nur auf die für ihre jeweils rechtmäßige Weitergabekontrolle Aufgabenstellung benötigten Daten zugreifen können. 15

Wie? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Zugangskontrolle Eingabekontrolle Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Trennungsgebot Gewährleistung der nachträglichen Überprüfbarkeit, welche personenbezogenen Daten durch wen zu welcher Zeit in Auftragskontrolle Datenverarbeitungssysteme eingegeben bzw. dort verändert, gelöscht oder entfernt worden sind. Weitergabekontrolle 16

Wie? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Technische Sicherstellung der Zugangskontrolle zweckbestimmten Verarbeitung von persönlichen Daten. Gemeint ist damit zumindest eine logische Trennung Eingabekontrolle Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Trennungsgebot Auftragskontrolle Weitergabekontrolle 17

Wie? Kontrollmaßnahmen der Anlage zu § 9 BDSG: Zutrittskontrolle Die Weitergabekontrolle soll verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder Zugangskontrolle gelöscht werden können und gewährleisten, dass überprüft werden kann, an welche Stellen eine Übermittlung personenbezogener Eingabekontrolle Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. Zugriffskontrolle ©DID 2011 Verfügbarkeitskontrolle Trennungsgebot Auftragskontrolle Weitergabekontrolle 18

Rechte des Betroffenen Diejenige natürliche Person, deren Daten verarbeitet werden, bezeichnet das Gesetz als "Betroffener". Betroffene können beispielsweise der Mitarbeiter, der Kunde oder Ansprechpartner eines Firmenkunden sein. Den Betroffenen räumt das BDSG Rechte ein. ©DID 2011 19

RECHTE DES BETROFFENEN Information bei Erhebung oder Benachrichtigung bei erstmaliger Speicherung Betroffener Unternehmen Auskunftsrecht § über die zu seiner Person gespeicherten Daten § über die Herkunft der gespeicherten Daten § über die Empfänger, an die Daten weitergegeben werden ©DID 2011 20

SCHUTZBEREICH Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. Beispiele: Vermögensverhältnisse ©DID 2011 Name Wohnverhältnisse Adresse Geburtsjahr Gehalt Telefon. Kreditkarten- nummer 21

SCHUTZBEREICH Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt. Name ©DID 2011 22

SCHUTZBEREICH Bestimmt ist eine Bestimmbar wird eine Person, wenn sich ihre wenn ihre Identität durch die Identität direkt aus Kombination des Datums mit dem Datum selbst einer anderen Information ergibt. feststellbar wird. ©DID 2011 IP-Adresse Abgleich mit Providerdaten 23

SCHUTZBEREICH Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten personenbezogener Daten, da diese besonders schützenswert sind. Gewerkschaftszugehörigkeit Politische Meinung ©DID 2011 Religiöse oder Rassische und philosophische Überzeugung ethnische Gesundheit Herkunft Sexualleben 24

ANWENDUNGSBEREICH Die Daten von juristischen Personen, Vereinen, Verbänden etc. sind hier nicht geschützt. Daten ohne Personenbezug sind nicht geschützt. Das BDSG regelt nicht die private, familiäre Verarbeitung personenbezogener Daten. Das BDSG regelt grundsätzlich nur die Verarbeitung von Daten in oder aus automatischen Systemen ©DID 2011 25

BEISPIEL: ANWENDUNG IM PERSONALBEREICH ©DID 2011 26

AUSGANGSSITUATION Im Unternehmen werden verschiedene, voneinander isolierte Anwendungen eingesetzt. Zusammenführung und Auswertung erfolgt manuell. Ø Kalenderführung für jeden Mitarbeiter einzeln, ohne Fremdzugriffe, von den Mitarbeitern auch zur Abstimmung dienstlicher und privater Termine genutzt Ø Arbeitszeiterfassung je Mitarbeiterplatz einzeln in Excelanwendung bei manueller Eingabe, anschließend Weiterleitung Papierausdruck zur Personalabteilung Ø Meldung von Fehlzeiten (z. B. Urlaub, Krankheit), Anwesenheits- und Dienstplanung in Papierform – Zusammenführung im Personalbereich manuell Ø Lohnbuchhaltung extern (bei Steuerberater) ©DID 2011 27

ZIELVORSTELLUNG Ver netz ung der Kalende r u nd Ermöglichung von Terminabstimmungen / eintr agungen mitarbeiter üb er greifend Eintr agung Anwesenhe its Krankhe itszeiten) in Kale nd er und Fehlzeiten (auch Urlaubs- und ( nach manuellen Vorga be n) elektronisch generierte Anwesenheits/ Diens tplanung aus Zusam men führung der einzeln erfassten (vergangenen und geplante n) Anwesenheits -/ Fe hlzeiten elektr onische Arbeitszeite rfas sung anhand der Verwalter oder Mitarbeiter in einz elne n EDV-Projekten , ku ndenbezogene Aufwandszuordnung elektr onisch generierte Ab re chnung gegenüber Kunden für die einzelnen Proje kte elektr onisch generierte A brechnungsgrundlagen für Lohn / Gehalt ( Anw es enheitszeiten / Überstundenkonto / Entge ltfortzahlungszeit / en tgeltlose Zeiten) – Schnittstelle zur Gehalts- und Lohnabr echnung ©DID 2011 28

Datenschutzrechtlich zwingend erforderliche Maßnahmen Ø für Vernetzung der zuvor individuell geführten Kalender erforderlich: datenschutzrechtliche Einwilligungserklärung der Mitarbeiter gemäß § 4 a Abs. 1, ggf. Abs. 3 BDSG Ø bei Nichtvorliegen der Einwilligung Beendigung der Privateintragungen und Löschung der Altdaten - keine Datenmigration zulässig (alternativ zulässig wäre gemäß § 28 Abs. 1 Satz 1 Nr. 2 BDSG „Blindkennzeichnung“ entsprechender Termine [z. B. „nicht verfügbar“]) ©DID 2011 29

dringend zu empfehlen: Protokollierung der schreibenden (auch löschenden) Anwender bei Vernetzung (Eingabekontrolle, Satz 1 Ziff. 5 der Anlage zu § 9 Satz 1 BDSG) ©DID 2011 30

zwingend: Rollenkonzept / gestufte Nutzerrechte (Verarbeitungsgrundlage jeweils § 28 Abs. 1 Satz 1 Nr. 1 bzw. Nr. 2 BDSG / keine Einwilligung): Ø Projektbearbeiter Ø Teamleiter Ø Personalbereich Ø Buchhaltung ©DID 2011 31

zwingend: Automatismen zur Löschung/Sperrung aufgenommener Daten und/oder zur Änderung der Zuordnung Daten/Nutzerrolle z. B. : - Einblick in Anwesenheitsdaten - Phase 1 – aktuell: alle Nutzer Phase 2 – bis Laufzeitende Stundenkonto: betroffener Mitarbeiter, Teamleiter (Letzterer nur Saldo) - Phase 3 – bis Ablauf der Verjährungsfristen: Personalbereich - Phase 4 – bis Ablauf der Aufbewahrungsfristen: Buchhaltung ©DID 2011 32

Mitbestimmung Betriebsrat / Personalvertretung nach § 87 Abs. 1 Ziff. 6 Betr. VG (bzw. entsprechenden Personalvertretungsgesetzen): „Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, in folgenden Angelegenheiten mitzubestimmen: … Ziff. 6 Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen …“ (zwingende Mitbestimmung, Einigungsstellen – Kompetenz) ©DID 2011 33

Sie haben keine Fragen? ©DID 2011 34