1 Was ist Datenschutz?
Jeder kann selbst über seine Daten bestimmen und über deren Preisgabe. Dieser Grundsatz wird durch das Grundrecht auf informationelle Selbstbestimmung geschützt. Dieses Recht hat in Deutschland das Bundesverfassungsgericht im seinem Volkszählungsurteil vor ca. 50 Jahren aus dem allgemeinen Persönlichkeitsrecht des Art. 1 GG und Art. 2 Abs. 1 GG entwickelt. Auf europäischer Ebene ist seit dem 25.05.2018 mit der Datenschutzgrundverordnung ein EU weit gültiger Rechtsrahmen in Anwendung. Sie hat Vorrang vor allen anderen nationalen Rechtsnormen und findet in der Praxis unmittelbare Anwendung.
Datenschutz wird verstanden als Schutz vor der Beeinträchtigung von Persönlichkeitsrechten durch die Nutzung von Daten von oder mittelbaren Informationen zu einem Menschen.
2 Welchen Sinn und Zweck und welche Aufgaben erfüllt der Datenschutz?
Sinn und Zweck des Datenschutzes ist es, den einzelnen Menschen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Freiheiten und persönlichen Rechten beeinträchtigt wird (Art. 1 DSGVO). Insbesondere sollen die Entscheidungsfreiheit und die Meinungsfreiheit betroffener Menschen geschützt werden.
Datenschutz ist immer auf einen Einzelnen bezogen und gilt nur für lebende Menschen. Unternehmen und Behörden haben den Datenschutz zu beachten, jedoch können sie sich nicht darauf berufen zum eigenen Schutz. Dieses Recht steht nur lebenden Menschen (natürlichen Personen) zu. Die Anwendbarkeit endet mit dem Tod. Ein postmortales Recht auf Datenschutz gibt es in Deutschland nicht. In Österreich geht der Datenschutz über den Tod hinaus.
Datenschutz in der Praxis ist eine Kombination technischer und organisatorischer Maßnahmen (sog. TOM's) gegen Missbrauch von Daten sowie die Anwendung rechtlicher Vorschriften darüber. Im Gegensatz dazu steht die Datensicherung, die die technischen Maßnahmen gegen Verfälschen von Daten betrifft. Dies gilt für alle Arten der Verarbeitung personenbezogener Daten.
3 Welche Gesetze und Normen sind im Datenschutz einschlägig?
Geregelt wird der Datenschutz in der Datenschutzgrundverordnung. Diese wird durch das Bundesdatenschutzgesetz (BDSG) oder nach Landesrecht, wie z.B. im Landesdatenschutzgesetz M-V (DSG M-V) ergänzt, wobei dieses nur für Behörden und öffentlich-rechtliche Einrichtungen gilt. Die DSGVO regelt den Umgang mit personenbezogenen Daten, die manuell oder in IT-Systemen verarbeitet werden. Das Recht des Datenschutzes gilt daher auch für Papierakten.
Eine ganze Reihe weiterer Gesetze enthalten konkretisierende Vorschriften zum Datenschutz. Im Bereich des Sozialrechts (Krankenkasse oder ALG I/II) sind die Vorschriften im Sozialgesetzbuch oder in Vorschriften für Krankenhäuser enthalten. Für die Nutzung personenbezogener Daten in Kindergärten enthält beispielsweise das KiföG MV entsprechende Normen. Insgesamt sind ca 400 bereichsspezifische Vorschriften mit datenschutzrechtlichen Einschlag zu beachten.
4 Wer ist Aufsichtsbehörde?
Die Einhaltung des Datenschutzes öffentlicher Stellen und nicht öffentlicher Stellen wird durch Behörden überwacht. Diese gibt es auf Bundes- und Landesebene. Dies sind die Landesdatenschutzbeauftragten der Länder bzw. der Bundesdatenschutzbeauftragte. Für Mecklenburg-Vorpommern ist der Landesbeauftragte für Datenschutz und Informationsfreiheit (LfDI) der Ansprechpartner. Sitz der Behörde ist Schwerin. Vorrangig sieht der LfDI seine Aufgabe in der Beratung und Unterstützung von Unternehmen in Fragen des Datenschutzes.
Vor allem zählen hierzu folgende Aufgaben:
- Beratung der Betroffenen zu allen Fragen des Datenschutzes
- Beratung und Kontrolle von öffentlichen Stellen, wie z. B. Behörden, Schulen, Polizei, Justiz, Kommunen, Gesundheitswesen, Landwirtschaft
- Beratung, Kontrolle und Erfahrungsaustausch von und mit Unternehmen, wie z. B. Kredit- und Versicherungswirtschaft, freie Berufe, gewerbliche Dienstleistungen, Werbewirtschaft, Handel
- Beratung bei der Erarbeitung von Gesetzesentwürfen (Stellungnahmen) auf Landes-, Bundes- und EU-Ebene
- Sanktionierung bußgeldrelevanter Sachverhalte nach DSGVO
- Technischer Datenschutz: Beobachtung der Entwicklung von Informations- und Kommunikationstechnik z. B. Verschlüsselung, Verfahrensverzeichnisse
5 Welche Grundsätze gibt es im Datenschutz?
Die Grundsätze des Datenschutzes bestehen hauptsächlich Rechtsmäßigkeit der Verarbeitung nach Treu und Glauben, Datensparsamkeit und der Bindung an den Zweck, warum bestimmte Daten verarbeitet werden. Es gilt ein Verbot mit Erlaubnisvorbehalt.
Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu verarbeiten (Datensparsamkeit bzw. Datenminimierung), um den Zweck zu erreichern.
Die Zweckbindung der Nutzung von personenbezogenen Daten schränkt die Nutzbarkeit ein. Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Daten des Arbeitnehmers dürfen vom Arbeitgeber für die Lohnabrechnung und für die betriebsinternen Zwecke, die sich aus dem Arbeitsverhältnis und betrieblicher Notwendigkeiten ergeben, verwendet und genutzt werden. Jedoch ist es verboten, diese Daten für Werbezwecke an Dritte zu übermitteln. Dazu bedarf es einem anderen Zweck und Rechtsgrundlage.
Transparenz und Informationspflichten: Das Gebot der Transparenz ist einer der grundlegenden Pfeiler des Datenschutzes und beinhaltet die Pflicht eines Verantwortlichen bzw. Verarbeiter von persönlichen Daten darüber ausführlich und verständlich Auskunft zu erteilen. Der Betroffene hat einen umfassenden Anspruch auf Auskunft, was mit seinen persönlichen Daten passiert.
Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert.
Über die Erhebung, Verwendung und Löschung von Daten sind Dokumentationen zu erstellen, anhand derer nachvollziehbar ist, wofür die Daten durch wen und wann genutzt worden. In der Regel sind die Dokumentationen bereits im Arbeitsprozess enthalten, unter anderem bereits wegen der Abrechnungsfähigkeit von Druckaufträgen gegenüber Kunden.
Mitarbeiter sind auf die Vertraulichkeit der Verarbeitung zu verpflichten. Dazu werden Verpflichtungserklärungen auf das Datengeheimnis (Verarbeitung), Sozialdatengeheimnis und andere Schutzziele genutzt.
6 Mit welchen Sanktionen muss bei einem Verstoß gerechnet werden?
Bei Verstößen gegen die Richtlinien zur Einhaltung des Datenschutzes drohen Bußgelder je nach Verstoß in Höhe von bis zu 20 Mio Euro oder 4% des weltweiten Konzernumsatzes eines Unternehmens. Bußgelder sollen angemessen und abschreckend sein.
Der bayrische Landesdatenschutzbeauftragte hat für das Versenden eines elektronischen Newsletters an viele Empfänger, die für alle lesbar waren ein Bußgeld von 2.500 Euro gegen den Absender verhängt, nachdem die Behörde den Absender vorher mehrfach ermahnt hatte.
Werden bestimmt Vorgaben des Datenschutzes (z.B. Verfahrensverzeichnis führen) nicht erfüllt, so besteht auch die Möglichkeit, die Nutzung der Daten zu unterbinden. Die Datenschutzbehörden können die Datenverarbeitung verbieten.
7 Wer ist Anwender von Datenschutz?
Anzuwenden haben die Regeln die datenverarbeitenden Verantwortlichen. Als Verantwortliche werden öffentliche und nicht öffentliche Einrichtungen verstanden, die personenbezogene Daten verarbeiten. Der Begriff der Verarbeitung ist weitläufig und umfasst jede Art des Umgangs mit Daten vom erheben, nutzen, analysieren, sperren oder löschen.
Öffentliche Einrichtungen sind beispielsweise Behörden, Gerichte, Krankenkassen oder Finanzämter.
Unter die nicht-öffentlichen Stellen werden Unternehmen und privatrechtliche Einrichtungen zusammengefasst.
Die Verantwortlichen verarbeiten Daten unter Einsatz von Datenverarbeitungsanlagen oder Daten werden mit Hilfe von nicht automatisierten Dateien verarbeitet. Das bedeutet, dass der Datenschutz auch für reine Papierarchive gilt.
Erfolgt die Benutzung personenbezogener Daten ausschließlich für persönliche oder familiäre Tätigkeiten gelten die strengen Regeln nicht. Hier können unter Umständen andere Rechte, wie das Recht am eigenen Bild bei Fotos oder Urheberrechte Einschränkungen enthalten.
8 Welche Rechte haben Betroffene?
Wer personenbezogene Daten verarbeitet, hat auch die Rechte der Betroffenen zu beachten.
Jede betroffene Person hat gegenüber dem Verantwortlichen
- das Recht auf Auskunft nach Art. 15 DSGVO,
- das Recht auf Berichtigung nach Art. 16 DSGVO,
- das Recht auf Löschung nach Art. 17 DSGVO und
- das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, sowie
- Widerrufsrecht
- Widerspruchsrecht
Darüber hinaus besteht die Möglichkeit, sich an die für den Verantwortlichen zuständige Aufsichtsbehörde zu wenden. Das Recht aus Auskunft (Selbstauskunft) kann der Betroffene anhand des Folterfragebogens T5F ausüben.