- Anzeigen -

Sie sind hier: Home » Recht » Datenschutz und Compliance

Keine Abstriche beim Datenschutz


Schaar äußert sich zum ELENA-Nachfolgeverfahren: Eine Datenspeicherung auf Vorrat darf es nicht geben
Im Sinne der Datensparsamkeit sollte der Umfang der personenbezogenen Daten so gering wie möglich bleiben


(10.10.11) - Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Peter Schaar, nimmt Stellung zur Löschungspflicht aller Daten, die im Zusammenhang mit der Durchsetzung des ELENA-Gesetzes (ELENA = Verfahren über den elektronischen Entgeltnachweis) entstanden sind und setzt bereits Kriterien für ein ELENA-Nachfolgeverfahren.

Schaar sagte:
"Ich begrüße, dass das Gesetz die unverzügliche Löschung aller im Zusammenhang mit dem ELENA-Verfahren entstandenen Daten vorsieht und die Meldepflicht der Arbeitgeber aufhebt. In der Datenbank sind bereits mehr als 700 Millionen Datensätze gespeichert. Den Löschprozess werde ich begleiten und den von mir treuhänderisch verwalteten Datenbank-Hauptschlüssel, mit dem bislang die Verschlüsselung der ELENA-Datenbank sichergestellt wurde, unverzüglich nach Inkrafttreten des Gesetzes löschen."

Das ELENA-Verfahren, bei dem Arbeitgeber seit Januar 2010 Entgeltdaten ihrer Mitarbeiter an die bei der Deutschen Rentenversicherung Bund eingerichtete Zentrale Speicherstelle übermittelt hatten, war von der Bundesregierung im Juli dieses Jahres wegen der nicht ausreichenden Verbreitung der qualifizierten elektronischen Signatur gestoppt worden.

Zur Ankündigung der Bundesregierung, ein einfacheres und unbürokratisches Meldeverfahren in der Sozialversicherung zu entwickeln, erklärte Schaar:
"Auch bei einem etwaigen neuen Verfahren muss der Datenschutz gewährleistet sein. Hier darf es keine Abstriche geben. Wichtig ist mir insbesondere, den Umfang der personenbezogenen Daten so gering wie möglich zu halten. Eine Datenspeicherung auf Vorrat darf es nicht geben. Schon durch die Vereinheitlichung der vielen im Sozialrecht verwendeten Einkommensbegriffe lassen sich hier Fortschritte erzielen. Von zentraler Bedeutung ist auch, dass die Betroffenen soweit wie möglich die Kontrolle über ihre Daten behalten und dass Auskunfts- und Berichtigungsansprüche von Anfang an gewährleistet werden."

Die datenschutzrechtlichen Anforderungen für ein Nachfolgeverfahren sind den nachfolgenden Eckpunkten zu entnehmen:

Datenschutzrechtliche Anforderungen an ein ELENA-Nachfolgeverfahren
Auf Basis der Erfahrungen mit dem ELENA-Verfahren sollten bei dem beabsichtigten Nachfolgeprojekt die folgenden Grundsätze berücksichtigt werden:

1) Erforderlichkeit und Datensparsamkeit
Im Sinne der Datensparsamkeit sollte der Umfang der personenbezogenen Daten so gering wie möglich bleiben. Das Verfahren sollte so gestaltet werden, dass nur die für den konkreten Zweck erforderlichen Daten erhoben und anlassbezogen verarbeitet werden. Zu vermeiden ist auch, dass Daten von Personen gesammelt werden, die das System mit an Sicherheit grenzender Wahrscheinlichkeit nicht nutzen werden (keine Vorratsspeicherung).

2) Einkommensbegriff vereinheitlichen – Daten reduzieren
Die Vielfalt der im Sozialrecht verwendeten Einkommensbegriffe hat eine hohe Komplexität der Verfahrensanforderungen zur Folge und macht umfangreiche einkommensrelevante Angaben erforderlich. Im Interesse des Bürokratieabbaus und der Datensparsamkeit sollten diese Einkommensbegriffe mit dem Ziel ihrer Reduzierung und Vereinheitlichung überprüft werden.

3) Strikte Zweckbindung
Die im Rahmen des Verfahrens erhobenen und verarbeiteten Daten müssen einer strikten Zweckbindung unterworfen werden. Ihre Verwendung ist durch eine spezialgesetzliche Regelung auf die Sozialbehörden zu beschränken. Die Zweckbindung ist technisch und organisatorisch abzusichern.

4) Datenverarbeitung unter Kontrolle der Betroffenen
Es sollte angestrebt werden, dass die Betroffenen soweit wie möglich die Kontrolle über ihre Daten behalten.

5) IT-Sicherheit
Die zur Absicherung der personenbezogenen Daten zu treffenden technischen und organisatorischen Maßnahmen müssen der hohen Sensibilität der Sozialdaten entsprechen und sich am Stand der Technik orientieren, insbesondere hinsichtlich der folgenden Anforderungen:
>> Eindeutige Identifizierung aller Verfahrensbeteiligten,
>> Verschlüsselung,
>> Protokollierung.

Soweit Daten an zentraler Stelle zusammengeführt werden sollten, müssen die Anforderungen berücksichtigt werden, die das Bundesverfassungsgericht für Telekommunikationsdaten entwickelt hat (vergleiche Bundesverfassungsgericht (BVerfG), Urteil vom 2. März 2010, BVerfGE 125, 260 folgende).

6) Verfahren bürgerfreundlich gestalten
Das Verfahren ist so bürgerfreundlich wie möglich zu gestalten. Dazu gehört, dass eine Antragstellung des Bürgers einfach, datenschutz-/-sicherheitsgerecht und zügig erfolgen kann. Dazu gehört auch, dass für den Bürger transparent ist, welche Daten über ihn gespeichert, übermittelt und genutzt werden und zu welchem Zweck dies geschieht.

7) Auskunftsanspruch der Bürger realisieren
Die Rechte der Betroffenen (insbesondere Auskunfts- und Berichtigungsansprüche) sind zu gewährleisten. Entsprechende Vorkehrungen müssen bereits in der Verfahrenskonzeption berücksichtigt werden. (BfDI: ra)

Lesen Sie auch:
Aus für ELENA beschlossen

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Datenschutz und Compliance

  • Facebook-Fanpages & Datenschutz-Verantwortung

    Der Gerichtshof der Europäischen Union (EuGH) hat mit einem Urteil bestätigt, dass der Betreiber einer Facebook-Fanpage - neben Facebook - datenschutzrechtlich dafür verantwortlich ist, dass Facebook Daten der Fanpagebesucher zur Erstellung von Besucherstatistiken erhebt. Ausgangspunkt der Entscheidung ist ein seit 2011 anhängiger Verwaltungsrechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein GmbH und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD). Das Unternehmen vertrat die Auffassung, es dürfe eine Facebook-Fanpage betreiben, ohne sich darum kümmern zu müssen, ob Facebook das Datenschutzrecht einhält.

  • Fanpage-Urteil & Online-Verantwortung

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. begrüßt im Grundsatz das Urteil des Europäischen Gerichtshof (EuGH), dass Betreiber von Facebook-Fanseiten datenschutzrechtlich gemeinsam mit Facebook für die von dem Sozialen Dienst auf ihren Seiten gesammelten Nutzer-Daten verantwortlich sind. "Das ist ein Meilenstein für die Klärung datenschutzrechtlicher Verantwortung generell bei Online-Sachverhalten", sagte der BvD-Vorstand Dr. Kai-Uwe Loser nach dem Urteil in Berlin. Allerdings entstünden dadurch für Webseiten-Betreiber neue Herausforderungen und Risiken, die sie nicht im Handumdrehen lösen könnten. "Wir setzen darauf, dass die Aufsichtsbehörden wie in der Vergangenheit mit Augenmaß reagieren und zunächst über die Auswirkungen aufklären", sagte Loser. Zwar leiste das Urteil einen Beitrag, Plattformen wie Facebook zum Einlenken beim Datenschutz zu bringen. "Gleichwohl sollte die Auseinandersetzung nicht auf dem Rücken der Nutzer ausgetragen werden, nur weil nicht in ausreichendem Maß gegen die Anbieter vorgegangen werden kann."

  • Risiken der Datenverarbeitung bei Facebook

    Neben der aktuellen Entschließung der 95. Datenschutzkonferenz aus der vergangenen Woche begrüßt die Bundesbeauftragte für den Datenschutz und Informationsfreiheit (BfDI), Andrea Voßhoff, dass der Deutsche Bundestag die aktuelle Diskussion über Facebook und Cambridge Analytica dazu nutzt, das Risiko der Datenverarbeitung im Internet grundlegend aufzuarbeiten. Andrea Voßhoff sagte: "Der aktuell diskutierte Vorfall hat die Risiken der Datenverarbeitung bei Facebook ans Licht geholt. Diese dürfen jetzt nicht wieder im Dunkeln versinken. So gravierend die Vorwürfe dabei sein mögen, dürfen sie nicht darüber hinwegtäuschen, dass sie vermutlich nur ein kleines Puzzlestück des datenschutzrechtlich problematischen Geschäftsmodells von entsprechenden Unternehmen sind. Auch wenn man vermeintlich die Spitze des Eisberges umschifft hat, lauert unter der Wasseroberfläche nach wie vor die Gefahr. Um diese in den Griff zu bekommen, muss man sich endlich ein detailliertes Bild der unteren sieben Achtel des Eisbergs verschaffen."

  • Datenübermittlungen in die USA

    Nach Aufhebung der Safe Harbor-Entscheidung der Europäischen Kommission 2000/520/EG durch den EuGH im sogenannten Schrems-Urteil (Rechtssache C-362/14) fehlte seit dem 6. Oktober 2015 eine wesentliche Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der Europäischen Union in die USA. Mit der Entscheidung der Europäischen Kommission (2016/1250) vom 12. Juli 2016 steht mit dem "EU-US-Privacy Shield" nunmehr eine neue Rechtsgrundlage für Datenübermittlungen in die USA in Form eines Angemessenheitsbeschlusses zur Verfügung. Aus Sicht der europäischen Datenschutzbehörden bestehen allerdings weiterhin gewichtige Kritikpunkte an diesem Angemessenheitsbeschluss, die im Vorfeld der Zweiten Jährlichen Gemeinsamen Überprüfung im September 2018 ausgeräumt werden sollten.

  • Unterstützung bei Rechtsunsicherheiten

    Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. sieht vor dem Start der europaweiten Datenschutz-Grundverordnung (DSGVO) für Unternehmen keinen Grund zur Panik. "Bei vielen Unternehmen dominiert gerade die Furcht vor Kontrollen und Sanktionen nach dem Stichtag 25. Mai", sagte BvD-Vorstand Thomas Spaeing zur Eröffnung der BvD-Verbandstage 2018 in Berlin. Zwar könne es vereinzelt vor allem bei Unternehmen, die sich noch nicht mit den neuen Anforderungen auseinandersetzten, zu Überprüfungen kommen. Das Gros der Betriebe könnten aber nach dem Wechsel ihre Datenschutz-Prozesse weiter ausbauen. Der BvD steht zur Vorbereitung der Umstellung mit Vertretern von Bundesministerien sowie den Aufsichtsbehörden von Bund und Ländern über den Stichtag 25. Mai hinaus in engem Austausch. Unter anderem nimmt der BvD-Vorstand im Juli an einem weiteren Treffen der Verbände auf Einladung des Bundesinnen- und Bundeswirtschaftsministeriums teil.