Datenschutz

Rechtsfolgen von Datenschutzverstößen🔗

• Verstöße gegen die Bestimmungen des Datenschutzgesetzes werden i.d.R. als Ordnungswidrigkeiten geahndet.

• In einigen Fällen werden diese Verstöße als Straftat behandelt und strafrechtlich verfolgt.

Beispiel für eine Straftat:

§ 201 StGB Verletzung der Vertraulichkeit des Wortes

1. Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer unbefugt

   1. das nichtöffentlich gesprochene Wort eines anderen auf einen Tonträger aufnimmt oder

   2. eine so hergestellte Aufnahme gebraucht oder einem Dritten zugänglich macht.

2. Ebenso wird bestraft, wer unbefugt

   1. das nicht zu seiner Kenntnis bestimmte nichtöffentlich gesprochene Wort eines anderen mit einem Abhörgerät abhört oder

   2. das nach Absatz 1 Nr. 1 aufgenommene oder nach Absatz 2 Nr. 1 abgehörte nichtöffentlich gesprochene Wort eines anderen im Wortlaut oder seinem wesentlichen Inhalt nach öffentlich mitteilt.

   Die Tat nach Satz 1 Nr. 2 ist nur strafbar, wenn die öffentliche Mitteilung geeignet ist, berechtigte Interessen eines anderen zu beeinträchtigen. Sie ist nicht rechtswidrig, wenn die öffentliche Mitteilung zur Wahrnehmung überragender öffentlicher Interessen gemacht wird.

3. Mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe wird bestraft, wer als Amtsträger oder als für den öffentlichen Dienst besonders Verpflichteter die Vertraulichkeit des Wortes verletzt (Absätze 1 und 2).

4. Der Versuch ist strafbar.

5. Die Tonträger und Abhörgeräte, die der Täter oder Teilnehmer verwendet hat, können eingezogen werden. § 74a ist anzuwenden.

Rechte der Betroffenen🔗

• Jede Person hat das Recht auf die informationelle Selbstbestimmung. Das bedeutet, dass jeder das Recht hat, zu wissen, welche Daten mit persönlichem Bezug verarbeitet, erhoben oder genutzt werden.

• Dieser Datenschutz ist aber nicht grenzenlos. Im Bezug auf Verbrechensbekämpfung, die zum Beispiel durch ein erhöhtes terroristisches Gefahrenpotential gekennzeichnet ist, wird dieses Recht auf informationelle Selbstbestimmung in Bezug auf mögliche Täter eingeschränkt.

• Betroffene müssen bei erstmaliger Speicherung benachrichtigt werden.

Videoüberwachung🔗

• Eine Videoüberwachung privatrechtlicher Räumlichkeiten ist nur zur Wahrnehmung des Hausrechts zulässig.

• Als wichtigster Grundsatz der Videoüberwachung gilt:

• Das schutzwürdige Interesse muss gegenüber den damit einhergehenden datenschutzbezogenen Beeinträchtigungen deutlich überwiegen.

• Die Daten müssen unverzüglich gelöscht werden, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind.

• Zudem müssen ausreichend und gut sichtbare Hinweisschilder an den Eingängen zu den Räumlichkeiten oder am Gebäude selbst platziert werden.

Erhebung, Speicherung, Nutzung personenbezogener Daten für eigene Zwecke🔗

Zulässig wenn:

• ein vertragliches Verhältnis gegründet, durchgeführt oder beendet werden soll.

• die Daten zur Wahrung berechtigter Interessen der verantwortlichen Stelle aufgenommen werden.

• die Daten allgemein zugänglich sind. (z. B. Telefonbuch, Internet etc.)

Personenbezogene Daten🔗

• Alle Daten, die verwendet werden können, um eine Person zu identifizieren, sind personenbezogene Daten.

  Beispiel:

  • Name, Adresse und Telefonnummer

  • E-Mail-Adresse und IP-Adresse

• Verschiedene Teilinformationen, die gemeinsam zur Identifizierung einer bestimmten Person führen können, stellen ebenfalls personenbezogene Daten dar.

• Auch Daten, die pseudonymisiert wurden, können personenbezogene Daten sein, wenn die Pseudonymisierung rückgängig gemacht werden kann.

• Personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann, gelten nicht mehr als personenbezogene Daten. Damit die Daten wirklich anonymisiert sind, muss die Anonymisierung unumkehrbar sein.

Datengeheimnis🔗

• Mit Datenverarbeitung befasste Personen dürfen personenbezogene Daten nicht unbefugt verarbeiten (Datengeheimnis).

• Sie sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten.

• Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort.

Datenvermeidung und Datensparsamkeit (§ 3a BDSG)🔗

• Es sollen nur die Daten erhoben, verarbeitet oder genutzt werden, die für den entsprechenden Zweck notwendig sind

• Personenbezogene Daten sollen, wenn möglich, anonymisiert oder pseudonymisiert werden

Notwendigkeit eines Datenschutzbeauftragten bei nichtöffentlichen Stellen🔗

Nach BDSG:

• Es beschäftigen sich in der Regel mindestens 20 Personen ständig mit der automatisierten oder analogen Verarbeitung personenbezogener Daten

• Es werden Datenverarbeitungen vorgenommen, die einer Datenschutz-Folgenabschätzung nach Art. 35 der EU-Datenschutz-Grundverordnung (DSGVO) unterliegen

• Es werden geschäftsmäßig personenbezogene Daten zum Zwecke der Übermittlung verarbeitet (Das gilt auch für anonymisierte Daten)

• Es werden geschäftsmäßig personenbezogene Daten für Zwecke der Markt- oder Meinungsforschung verarbeitet

Nach DSGVO:

• Die Kerntätigkeit besteht in der Durchführung von Datenverarbeitungsvorgängen, die eine regelmäßige und systematische Überwachung von betroffenen Personen in großem Umfang erfordern (z. B. Überwachungskameras, intelligente Haushaltselektronik, Wearables)

• Die Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten (z. B. ethnische Herkunft, politische Meinungen, Gesundheitsdaten oder Daten zum Sexualleben)

• Die Kerntätigkeit besteht in der umfangreichen Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen oder Straftaten

Schutz von Datenverarbeitungsanlagen🔗

Technische und organisatorische Maßnahmen

• Der Verantwortliche muss geeignete technische und organisatorische Maßnahmen treffen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies kann z. B. die Verwendung von Firewalls, Virenscannern, Verschlüsselungssoftware und Zugangskontrollsystemen umfassen.

Schulung der Mitarbeiter

• Die Mitarbeiter, die mit personenbezogenen Daten umgehen, müssen in den Datenschutzbestimmungen geschult werden. Sie müssen wissen, wie sie mit personenbezogenen Daten umgehen müssen und welche Sicherheitsmaßnahmen zu beachten sind.

Dokumentation

• Der Verantwortliche muss die getroffenen Schutzmaßnahmen dokumentieren. Dies kann z. B. in einem IT-Sicherheitskonzept geschehen.

Bundesdatenschutzgesetz (BDSG)🔗

Das BDSG gilt für:

• Behörden

• Unternehmen (GmbHs, AGs, KGs, Einzelunternehmen, Freiberufler etc.)

• Vereine und Stiftungen (Z.B. Sportvereine, Karnevalsvereine, gemeinnützige Stiftungen etc.)

• Selbständige (Handwerker, Künstler, Journalisten etc.)

Das BDSG ist ergänzend zur Datenschutz-Grundverordnung (DSGVO) anzuwenden. Die DSGVO ist eine Verordnung der Europäischen Union, die unmittelbar in allen EU-Mitgliedsstaaten gilt.

• Das bedeutet, dass alle Unternehmen und Organisationen, die personenbezogene Daten verarbeiten, die DSGVO einhalten müssen.

• Das BDSG enthält jedoch einige nationale Regelungen, die die DSGVO ergänzen.

🔗

• Datenschutz-Grundverordnung (DSGVO):

  • EU-weite Verordnung.

  • Regelt den Schutz personenbezogener Daten.

• Bundesdatenschutzgesetz (BDSG):

  • Ergänzt die Vorschriften der DSGVO.

  • Regelt den Datenschutz speziell in Deutschland.

Art. 1 DSGVO - Gegenstand und Ziele🔗

• Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.

• Sie schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

• Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.

Datensicherungsschränke🔗

• Als Datensicherungsschränke werden Wertschutzschränke bezeichnet, die über ein Zertifikat gegen Einbruch, Diebstahl und Feuer verfügen. Wertschutzschränke (Datensicherungsschränke) sind nach Sicherheitsklassen, entsprechend den Regelungen des Verbandes Schadenverhütung (VdS), klassifiziert.

Rechte der Betroffenen🔗

• Grundsätzlich hat jede Person das Recht auf die informationelle Selbstbestimmung. Das bedeutet, dass jeder das Recht hat, zu entscheiden, welche Daten mit persönlichem Bezug verarbeitet, erhoben oder genutzt werden.

• Im Bezug auf die Verbrechensbekämpfung kann das Recht auf informationelle Selbstbestimmung eingeschränkt werden.

§ 2 Absatz 2 Punkt 4 - DSGVO

Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten [...] durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit.

Recht auf informationelle Selbstbestimmung🔗

Das Recht auf informationelle Selbstbestimmung, also das Recht jeder Person, selbst über die Preisgabe und Verwendung ihrer personenbezogenen Daten zu bestimmen, ist Teil des Allgemeinen Persönlichkeitsrechts aus Artikel 2 Absatz 1 in Verbindung mit Artikel 1 Absatz 1 Grundgesetz.

Grundgesetz Artikel 1 Absatz 1

1. Die Würde des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung aller staatlichen Gewalt.

Grundgesetz Artikel 2 Absatz 1

1. Jeder hat das Recht auf die freie Entfaltung seiner Persönlichkeit, soweit er nicht die Rechte anderer verletzt und nicht gegen die verfassungsmäßige Ordnung oder das Sittengesetz verstößt.

Artikel 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) 🔗

Artikel 9 nennt als entsprechende personenbezogene Daten solche,

• aus denen die rassische und ethnische Herkunft,

• politische Meinungen,

• religiöse oder weltanschauliche Überzeugungen oder

• die Gewerkschaftszugehörigkeit hervorgehen, sowie

• genetische Daten,

• biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person,

• Gesundheitsdaten oder

• Daten zum Sexualleben oder der sexuellen Orientierung

...hervorgehen.

Geltungsbereich der DSGVO🔗

• Die DSGVO ist eine Verordnung der Europäischen Union, die den Schutz personenbezogener Daten in der EU regelt.

• Sie gilt für alle EU-Länder und auch für Unternehmen außerhalb der EU, die Dienstleistungen in der EU anbieten oder Daten von EU-Bürgern verarbeiten.

Datenschutzbeauftragter🔗

• Ein Datenschutzbeauftragter ist eine Person, die dafür sorgt, dass ein Unternehmen oder eine Organisation die Datenschutzgesetze einhält.

• Dies kann ein interner Mitarbeiter oder ein externer Berater sein, aber seine Hauptaufgabe ist es, sicherzustellen, dass die Datenverarbeitung rechtskonform ist.

Datenschutz🔗

• Datenschutz bezieht sich auf den Schutz personenbezogener Daten vor unerlaubter Verarbeitung und Missbrauch.

Öffentliche und Nicht-öffentliche Stellen🔗

Öffentliche Stellen sind Organisationen und Institutionen des öffentlichen Sektors. Dazu gehören:

• Behörden und Ämter auf kommunaler, Landes- und Bundesebene, wie zum Beispiel Stadtverwaltungen, Ministerien, und Polizei.

• Gerichte und andere Rechtsprechungsorgane.

• Andere Institutionen des öffentlichen Rechts, die staatliche Aufgaben wahrnehmen, wie Universitäten und öffentliche Schulen.

Nicht-öffentliche Stellen sind dagegen Organisationen und Personen des privaten Sektors. Dazu gehören:

• Unternehmen und private Betriebe aller Größen und Branchen, wie beispielsweise Einzelhandelsgeschäfte, Online-Händler und Dienstleistungsunternehmen.

• Vereine und Stiftungen.

• Freiberufler und Selbstständige.

Voraussetzungen gemäß BDSG🔗

1. Erlaubnis durch das Bundesdatenschutzgesetz (BDSG)

• Die Verarbeitung ist zur Erfüllung eines Vertrages mit der betroffenen Person erforderlich.

• Die Verarbeitung ist gesetzlich vorgeschrieben.

• Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern diese Interessen nicht gegenüber den schutzwürdigen Interessen der betroffenen Person überwiegen.

• Die Verarbeitung erfolgt im Rahmen der Aufgabenerfüllung einer öffentlichen Stelle oder eines Trägers der Aufgaben der öffentlichen Hand.

2. Einwilligung des Betroffenen

• Liegt keiner der im BDSG genannten Erlaubnistatbestände vor, ist die Verarbeitung personenbezogener Daten nur mit der Einwilligung des Betroffenen zulässig. Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich erteilt werden. Sie kann jederzeit widerrufen werden.