Datenschutz im Unternehmen - Handbuch

Cover

Titel

Impressum

Vorwort zur zweiten Auflage

Vorwort zur ersten Auflage

Inhaltsverzeichnis

Teil 1: Grundzüge des BDSG

Kapitel 1: Einführung

I. Einleitung

II. Was sollte man zur Entwicklung des BDSG von 1977 – 2014 wissen?

1. Verkündung 1977

2. Volkszählungsurteil von 1983

3. Erste Neufassung 1990

4. BDSG-Reform von 2001

5. BDSG-Novelle von 2009

6. Entwurf eines „Gesetzes zur Regelung des Beschäftigtendatenschutzes“

III. Welche europäischen Entwicklungen haben Auswirkungen auf die Anwendung des BDSG?

1. Relevante EuGH-Rechtsprechung zum BDSG

a) Entscheidung vom 6.3.2003 (Rs. C-101 / 01)

b) Urteil vom 20.5.2003 (Rs. T-179 / 02)

c) Urteil vom 8.11.2007 (Rs. T-194 / 04)

d) Urteil vom 16.12.2008 (C-524 / 06)

e) Entscheidung vom 9.3.2010 (Rs. C-518 / 07)

f) Entscheidung vom 24.11.2011 (verb. Rs. C-468 / 10, C-469 / 10)

2. Die EU-Datenschutz-Grundverordnung

IV. Mit welchen Problemen muss man beim Umgang mit dem BDSG in der Praxis rechnen?

1. Sprachliche Schwächen des BDSG

2. Verwendung unbestimmter Rechtsbegriffe

3. Fehlende Vorgaben von Gerichten und Aufsichtsbehörden

4. Verschachtelter Aufbau des BDSG

V. Warum sollten Unternehmen das BDSG beachten?

Kapitel 2: Welche Grundprinzipien des BDSG sollte man kennen?

I. Was bedeuten Begriffe wie Verhältnismäßigkeitsgrundsatz, Datenvermeidung oder Datensparsamkeit?

1. Recht auf informationelle Selbstbestimmung

2. Interessenabwägung

3. Datenvermeidung und Datensparsamkeit, § 3a BDSG

4. Prüfung der Verhältnismäßigkeit einer konkreten Maßnahme

a) Geeignetheit

b) Erforderlichkeit

c) Angemessenheit

II. Was hat es mit dem Verbot mit Erlaubnisvorbehalt auf sich?

III. Was besagt der Grundsatz der Zweckbindung bei der Verarbeitung personenbezogener Daten?

IV. Was bedeutet Transparenz gegenüber dem Betroffenen im deutschen Datenschutzrecht?

Kapitel 3: Was gehört zum Basiswissen bei der praktischen Anwendung des BDSG?

I. Wer ist für die Einhaltung der Regeln des BDSG verantwortlich?

II. Für welche Formen der Datenverarbeitung gilt das BDSG?

1. Einsatz von Datenverarbeitungsanlagen oder dateimäßige Verarbeitung

2. Keine Anwendung des BDSG für ausschließlich persönliche oder familiäre Tätigkeiten

3. Keine Anwendung des BDSG, wenn es durch Spezialgesetze verdrängt wird

III. Was sind personenbezogene Daten?

1. Einzelangaben

2. Persönliche oder sachliche Angaben

3. Bestimmbarkeit einer natürlichen Person durch die fraglichen Daten

IV. Was sind besondere Arten personenbezogener Daten?

V. Was bedeutet das Erheben personenbezogener Daten?

1. Bedeutung des Begriffs „Erheben“

2. Grundsatz der Direkterhebung

3. Ausnahmen vom Grundsatz der Direkterhebung

4. Information des Betroffenen bei der Direkterhebung

VI. Was ist das Verarbeiten personenbezogener Daten?

1. Bedeutung des Begriffs „Speichern“

2. Bedeutung des Begriffs „Verändern“

a) Anonymisieren von Daten

b) Pseudonymisieren von Daten

3. Bedeutung des Begriffs „Übermitteln“

4. Bedeutung des Begriffs „Löschen“

5. Bedeutung des Begriffs „Sperren“

VII. Was versteht man unter dem Nutzen von personenbezogenen Daten?

VIII. Was ist eine Auftragsdatenverarbeitung?

1. Anwendungsbereich von § 11 BDSG

2. Wesentliche Voraussetzung einer Auftragsdatenverarbeitung: Weisungsgebundenheit des Auftragnehmers

3. Auftragsdatenverarbeitung nur innerhalb der EU oder EWR

4. Auswahl und Überwachung des Auftragnehmers

5. Sonderfall: Cloud Computing

Kapitel 4: Was muss man zur Verwendung von Einwilligungen wissen?

I. Kann man Einwilligungen der Betroffenen auch neben gesetzlichen Erlaubnistatbeständen einsetzen?

II. Welche praktischen Probleme müssen bei der Verwendung von Einwilligungen berücksichtigt werden?

1. Zeitpunkt

2. Widerrufbarkeit

3. Inhaltliche und formelle Anforderungen an eine Einwilligung des Betroffenen

a) Transparenz der Einwilligung

b) Freiwilligkeit der Einwilligung

c) Informierte Einwilligung

d) Formelle Anforderungen an Einwilligungserklärungen

Kapitel 5: Gesetzliche Erlaubnisnormen des BDSG

I. Datenverarbeitung aufgrund gesetzlicher Anordnung

1. Beispiele für anordnende Gesetzesnormen

2. Inhaltliche Anforderungen an derartige Spezialnormen

3. Reichweite derartiger Spezialvorschriften

II. Datenverarbeitung aufgrund gesetzlicher Erlaubnis(§ 28 BDSG)

1. Datenverarbeitung zur Begründung, Durchführung oder Beendigung von Schuldverhältnissen, § 28 Abs. 1 Satz 1 Nr. 1 BDSG

a) Das Schuldverhältnis im Sinne von § 28 Abs. 1 Satz 1 Nr. 1 BDSG

b) Erforderlichkeit im Sinne von § 28 Abs. 1 Satz 1 Nr. 1 BDSG

c) Angemessene Berücksichtigung der schutzwürdigen Interessen des Betroffenen

2. Datenverarbeitung zur Wahrung berechtigter Interessen der verantwortlichen Stelle, § 28 Abs. 1 Satz 1 Nr. 2 BDSG

a) Erfüllung eigener Geschäftszwecke

b) Wahrung berechtigter Interessen

c) Überwiegende schutzwürdige Interessen des Betroffenen

3. Datenverarbeiten für Zwecke des Adresshandels oder der Werbung, § 28 Abs. 3 BDSG

4. Verarbeitung sensibler Daten, § 28 Abs. 6-9 BDSG

III. Datenverarbeitung im Rahmen des Beschäftigungsverhältnisses (§ 32 BDSG)

1. Umgang mit Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses, § 32 Abs. 1 Satz 1 BDSG

a) Geeignet für Zwecke des Beschäftigungsverhältnisses

b) Erforderlich für Zwecke des Beschäftigungsverhältnisses

c) Berücksichtigung schutzwürdiger Interessen des Betroffenen (Angemessenheit)

d) Sonderfall: „Whistleblowing“ (Hinweisgebersysteme) und § 32 Abs. 1 Satz 1 BDSG

e) Sonderfall: Kontrolle der E-Mails von Beschäftigten

aa) Bei verbotener Privatnutzung der E-Mail-Systeme

bb) Bei erlaubter Privatnutzung der E-Mail-Systeme

cc) Regelungen zur Nutzung betrieblicher IT-Systeme

dd) Durchführung von E-Mail-Kontrollen

2. Aufdeckung von Straftaten im Beschäftigungsverhältnis, § 32 Abs. 1 Satz 2 BDSG

a) Anwendungsbereich von § 32 Abs. 1 Satz 2 BDSG

b) Anforderungen an den Umgang mit Beschäftigtendaten zur Aufdeckung von Straftaten

aa) Geeignet für Zwecke der Aufdeckung von Straftaten

bb) Erforderlich zum Zweck der Aufdeckung von Straftaten

cc) Angemessene Berücksichtigung schutzwürdiger Interessen des Betroffenen

c) Vorgaben der Rechtsprechung

d) Allgemeine Empfehlungen zum Umgang mit Beschäftigtendaten

e) Mitbestimmungsrechte des Betriebsrats

aa) Gesetzliche Aufgaben des Betriebsrats

bb) Information des Betriebsrats

cc) Mitbestimmungsrechte des Betriebsrats

f) Betriebsvereinbarungen als Rechtsgrundlage für Datenumgang

aa) Regelungsrahmen von Betriebsvereinbarungen

bb) Beispielsfall: Betriebsvereinbarung zur Videoüberwachung

Kapitel 6: Der Datenschutzbeauftragte im Unternehmen

I. Wann müssen Unternehmen einen betrieblichen Datenschutzbeauftragten bestellen?

1. Unternehmen, die 10 oder mehr Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen

2. Unternehmen, die 20 oder mehr Personen mit der nicht-automatisierten Verarbeitung personenbezogener Daten beschäftigen

3. Unternehmen, die besondere Voraussetzungen erfüllen

a) Geschäftsmäßige Datenverarbeitung zum Zweck der Übermittlung oder der Markt- oder Meinungsforschung

b) Verarbeitungen, die einer Vorabkontrolle unterliegen

II. Welche Stellung und Rechte muss der Datenschutzbeauftragte im Unternehmen haben?

1. Erforderliche Fachkunde

2. Erforderliche Zuverlässigkeit

III. Welche Aufgaben hat der Datenschutzbeauftragte?

1. Hinwirken auf die Befolgung der Vorschriften über den Datenschutz

2. Überwachung der ordnungsgemäßen Anwendung von Datenverarbeitungsprogrammen

3. Schulung der bei der Verarbeitung personenbezogener Daten tätigen Personen

4. Bekanntmachung des Verfahrensverzeichnisses

5. Durchführung einer Vorabkontrolle

a) Besonders riskante automatisierte Verfahren

b) Durchführung der Vorabkontrolle durch den Datenschutzbeauftragten

c) Umfang der Vorabkontrolle

IV. Welche Stellung und Befugnisse hat der betriebliche Datenschutzbeauftragte?

1. Direkte Berichtslinie zur Unternehmensleitung

2. Kündigungsschutz, Widerruf der Bestellung und Benachteiligungsverbot

3. Unterstützung, Kontrollbefugnisse und Fortbildung

a) Unterstützung bei Kontrollaufgaben des Datenschutzbeauftragten

b) Kontrollbefugnisse des betrieblichen Datenschutzbeauftragten

c) Fort- und Weiterbildung des Datenschutzbeauftragten

4. Verschwiegenheitspflichten des betrieblichen Datenschutzbeauftragten

Kapitel 7: Anforderungen an den grenzüberschreitenden Datenverkehr

I. Wie prüft man in der ersten Stufe die Zulässigkeit der Übermittlung an sich?

II. Wie wird in der zweiten Stufe die Zulässigkeit der grenzüberschreitenden Datenübermittlung geprüft?

1. Der Sitz des Datenempfängers als Ausgangspunkt

2. Entgegenstehende schutzwürdige Interessen

a) Drittstaaten mit anerkanntem angemessenen Schutzniveau

b) Sonderregelung für Datenempfänger in den USA: Safe Harbor-Abkommen

c) Ausnahmen vom Verbot der Übermittlung an Stellen ohne angemessenes Schutzniveau

aa) Einwilligungen

bb) Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen

d) Sonderfälle: Standardvertragsklauseln oder verbindliche Unternehmensregelungen („Binding Corporate Rules“)

aa) Verwendung der EU-Standard-Vertragsklauseln

bb) Verbindliche Unternehmensregelungen („Binding Corporate Rules“)

cc) Verbindliche Unternehmensregelungen für Auftragsverarbeiter („Binding Corporate Rules for Processors“)

Kapitel 8: Umgang mit Datenpannen nach § 42a BDSG

I. Wozu dient § 42a BDSG?

II. Welche Voraussetzungen hat § 42a Satz 1 BDSG?

1. Unrechtmäßige Kenntniserlangung durch Dritte

2. Feststellung der Datenpanne

3. Relevante Datenarten nach § 42a Satz 1 Nr. 1– 4 BDSG

a) Besondere Arten personenbezogener Daten nach § 3 Abs. 9 BDSG

b) Personenbezogene Daten, die einem Berufsgeheimnis unterliegen

c) Personenbezogene Daten, die im Zusammenhang mit Straftaten oder Ordnungswidrigkeiten stehen

d) Personenbezogene Daten zu Bank- oder Kreditkartenkonten

4. Drohende schwerwiegende Beeinträchtigungen

a) Schwere der drohenden Beeinträchtigungen

b) Beurteilungsspielraum des Unternehmens

III. Was sind die Rechtsfolgen von § 42a Satz 1 BDSG?

1. Information der Aufsichtsbehörde

2. Information der Betroffenen

Kapitel 9: Organisatorische und technische Maßnahmen zum Schutz personenbezogener Daten

I. Was umfassen Zutritts-, Zugangs- und Zugriffskontrollen?

II. Worum geht es bei Weitergabe-, Eingabe-, Auftrags und Verfügbarkeitskontrollen?

III. Was verlangt das Trennungsgebot?

Kapitel 10: Die Unterrichtung des Betroffenen

I. Wann muss man den Betroffenen nach § 33 BDSG informieren?

1. Voraussetzungen der Benachrichtigungspflicht

2. Umfang der Benachrichtigungspflicht

3. Ausnahmen von der Benachrichtigungspflicht

4. Folgen einer Nichtbeachtung der Benachrichtigungspflicht

II. Wann muss dem Betroffenen Auskunft erteilt werden?

1. Voraussetzungen der Auskunftspflicht nach § 34 BDSG

2. Umfang der Auskunftspflicht

3. Ausnahmen von der Auskunftspflicht

4. Folgen bei Nichtbeachtung der Auskunftspflicht

Kapitel 11: Folgen von Verstößen gegen das BDSG

I. Wen trifft die Verantwortung für Datenschutzverstöße im Unternehmen?

II. Welche strafrechtlichen Risiken drohen bei Datenschutzverstößen?

1. Anforderungen an eine Strafbarkeit nach § 44 BDSG

a) Begehung einer vorsätzlichen Ordnungswidrigkeit nach § 43 Abs. 2 BDSG

b) Handeln gegen Entgelt

c) Handeln in (Selbst- oder Fremd-)Bereicherungsabsicht

d) Handeln mit Schädigungsabsicht

e) Strafantrag nach § 44 Abs. 2 BDSG

2. Kritik an dem geltenden § 44 BDSG

3. Weitere Strafnormen zur Verletzung des persönlichen Lebens- und Geheimbereichs

4. Von Strafbarkeitsrisiken bedrohte Betroffene im Unternehmen

a) Strafbarkeit des Datenschutzbeauftragten

b) Strafbarkeit der Unternehmensleitung

III. Welche ordnungsrechtlichen Sanktionen drohen bei Datenschutzverstößen?

IV. Welche zivilrechtlichen Risiken drohen beiDatenschutzverstößen?

1. Ansprüche nach § 7 BDSG

a) Vermögensschaden

b) Kausalität

c) Verschulden

2. Sonstige zivilrechtliche Ansprüche wegen Verstößen gegen das BDSG

Kapitel 12: Welche Aufgaben und Rechte die Aufsichtsbehörden für den Datenschutz?

I. Wie ist die Datenschutzaufsicht in Deutschland organisiert?

II. Wie kontrollieren die Aufsichtsbehörden die Einhaltung des Datenschutzes in Unternehmen?

1. Anlässe für die Durchführung von Datenschutz-Kontrollen

2. Ablauf einer Datenschutz-Kontrolle

III. Was passiert, wenn die Aufsichtsbehörde anlässlich der Kontrolle tatsächlich Mängel feststellt?

1. Anordnung von Maßnahmen zur Beseitigung festgestellter Verstöße

2. Untersagung schwerwiegender Verstöße

a) Schwerwiegende Verstöße oder Mängel

b) Erfolglose Anordnung zur Beseitigung

3. Zuständigkeit für die Ahndung von Ordnungswidrigkeiten

IV. Wann kann die Aufsicht den betrieblichen Datenschutzbeauftragten abberufen?

V. Welche weiteren Aufgaben haben Aufsichtsbehörden?

1. Veröffentlichen von Tätigkeitsberichten

2. Beratung und Unterstützung der Unternehmen

Teil 2: Abdruck und Kurzkommentierung der wichtigsten Vorschriften des BDSG

Einleitung

Erster Abschnitt: Allgemeine und gemeinsame Bestimmungen

§ 1 Zweck und Anwendungsbereich des Gesetzes

§ 2 Öffentliche und nicht-öffentliche Stellen

§ 3 Weitere Begriffsbestimmungen

§ 3a Datenvermeidung und Datensparsamkeit

§ 4 Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung

§ 4a Einwilligung

§ 4b Übermittlung personenbezogener Daten ins Ausland sowie an über- oder zwischenstaatliche Stellen

§ 4c Ausnahmen

§ 4d Meldepflicht

§ 4e Inhalt der Meldepflicht

§ 4f Beauftragter für den Datenschutz

§ 4g Aufgaben des Beauftragten für den Datenschutz

§ 5 Datengeheimnis

§ 6 Rechte des Betroffenen

§ 6a Automatisierte Einzelentscheidung

§ 6b Beobachtung öffentlich zugänglicher Räume mit optischel ektronischen Einrichtungen

§ 6c Mobile personenbezogene Speicher- und Verarbeitungsmedien

§ 7 Schadensersatz

§ 8 Schadensersatz bei automatisierter Datenverarbeitung durch öffentliche Stellen

§ 9 Technische und organisatorische Maßnahmen

§ 9a Datenschutzaudit

§ 10 Einrichtung automatisierter Abrufverfahren

§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag

Zweiter Abschnitt: Datenverarbeitung der öffentlichen Stellen

§ 12 Anwendungsbereich

§ 13 Datenerhebung

§ 14 Datenspeicherung, -veränderung und -nutzung

§ 15 Datenübermittlung an öffentliche Stellen

§ 16 Datenübermittlung an nicht-öffentliche Stellen

§ 17 (weggefallen)

§ 18 Durchführung des Datenschutzes in der Bundesverwaltung

§ 19 Auskunft an den Betroffenen

§ 19a Benachrichtigung

§ 20 Berichtigung, Löschung und Sperrung von Daten; Widerspruchsrecht

§ 21 Anrufung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

§ 22 Wahl des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

§ 23 Rechtsstellung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

§ 24 Kontrolle durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

§ 25 Beanstandungen durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

§ 26 Weitere Aufgaben des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit

Dritter Abschnitt: Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen

§ 27 Anwendungsbereich

§ 28 Datenerhebung und -speicherung für eigene Geschäftszwecke

§ 28a Datenübermittlung an Auskunfteien

§ 28b Scoring

§ 29 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung

§ 30 Geschäftsmäßige Datenerhebung und -speicherung zum Zweck der Übermittlung in anonymisierter Form

§ 30a Geschäftsmäßige Datenerhebung und -speicherung für Zwecke der Markt- oder Meinungsforschung

§ 31 Besondere Zweckbindung

§ 32 Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses

§ 33 Benachrichtigung des Betroffenen

§ 34 Auskunft an den Betroffenen

§ 35 Berichtigung, Löschung und Sperrung von Daten

§§ 36 und 37 (weggefallen)

§ 38 Aufsichtsbehörde

§ 38a Verhaltensregeln zur Förderung der Durchführung datenschutzrechtlicher Regelungen

Vierter Abschnitt: Sondervorschriften

§ 39 Zweckbindung bei personenbezogenen Daten, die einem Berufs- oder besonderen Amtsgeheimnis unterliegen

§ 40 Verarbeitung und Nutzung personenbezogener Daten durch Forschungseinrichtungen

§ 41 Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch die Medien

§ 42 Datenschutzbeauftragter der Deutschen Welle

§ 42a Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten

Fünfter Abschnitt: Schlussvorschriften

§ 43 Bußgeldvorschriften

§ 44 Strafvorschriften

Sechster Abschnitt: Übergangsvorschriften

§ 45 Laufende Verwendungen

§ 46 Weitergeltung von Begriffsbestimmungen

§ 47 Übergangsregelung

§ 48 Bericht der Bundesregierung

Anhang

1. German Federal Data Protection Act (BDSG)

2. Praktiker-Glossar

3. Ausgewählte Beschlüsse des Düsseldorfer Kreises von 2006 bis 2014

4. Ausgewählte Stellungnahmen und Entscheidungen der Artikel 29 Datenschutzgruppe von 2008 – 2014

Sachregister