- Anzeigen -

Sie sind hier: Home » Markt » Hintergrund

Datenschutzprüfung durch die Aufsichtsbehörden


Wehe, wenn die Aufsichtsbehörde für den Datenschutz anklopft: Zur Vorbereitung einer Vor-Ort-Prüfung werden im Vorfeld einige Informationen benötigt
Aufsichtsbehörden für den Datenschutz sagen: Einer der häufigsten Fälle für Sanktionen ist, der Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG nicht nachgekommen zu sein


(18.04.07) - Mit welchen Sanktionen muss ein Unternehmen rechnen, wenn der Aufsichtsbehörde für den Datenschutz der Zugang zu den Geschäftsräumen verweigert, auf ein Auskunftsverlangen nicht reagiert wird und unzulässigerweise personenbezogene Daten verarbeitet werden? Die durchaus nicht fiktiven Beispiele machen deutlich, dass es sich für ein Unternehmen lohnt, auf die datenschutzrechtlichen Anforderungen zu achten.

Unternehmen X erhält Besuch von drei Mitarbeitern der Aufsichtsbehörde für den Datenschutz. Sie werden von zwei Polizeibeamten begleitet. Der die Tür öffnende Mitarbeiter wird gebeten, die Geschäftsleitung zu informieren, der ein Durchsuchungsbeschluss eines Amtsgerichts vorgelegt wird. Alle Mitarbeiter müssen sofort ihren Arbeitsplatz verlassen. Sie sind irritiert, da sie nicht wissen, warum es zu dieser Maßnahme gekommen ist. Was war im Vorfeld geschehen? Mehrere Bürger hatten sich über dieses Unternehmen beschwert und vorgetragen, dass der Umgang mit ihren personenbezogenen Daten nicht datenschutzgerecht erfolgen würde.

Die Anhaltspunkte waren so konkret und so gravierend, dass sich die Aufsichtsbehörde für den Datenschutz genötigt sah, das Unternehmen zwecks Durchführung einer Prüfung ohne Ankündigung aufzusuchen. Vor Ort wurde den Mitarbeitern der Aufsichtsbehörde der Zutritt zu den Geschäftsräumen verweigert. Daraufhin erhielt das Unternehmen unter Fristsetzung die Aufforderung, zum Sachverhalt Stellung zu nehmen. Damit verbunden war der Hinweis auf die Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG und das Betretungsrecht zu Geschäftsräumen sowie Einsichtsrecht in Geschäftsunterlagen nach § 38 Abs. 4 Satz 1 + 2 BDSG. Auch nach einer weiteren Erinnerung erhielt die Aufsichtsbehörde keine Auskünfte. Da die mögliche Verletzung der datenschutzrechtlichen Vorschriften als schwerwiegend eingestuft wurde, beantragte die Aufsichtsbehörde beim zuständigen Amtsgericht einen Durchsuchungsbeschluss.

Dieses Vorgehen gehört sicher nicht zum Arbeitsalltag einer Aufsichtsbehörde. Es macht aber deutlich, dass sie manchmal auch zu solchen Mitteln greifen muss, um einen Sachverhalt aufzuklären und datenschutzrechtlich bewerten zu können. Nach einer bundesweiten Umfrage unter den Aufsichtsbehörden für den Datenschutz ist einer der häufigsten Fälle für Sanktionen, der Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG nicht nachgekommen zu sein. Im Zeitraum September 2005 bis August 2006 wurden insgesamt 44 Bußgeldbescheide erlassen. Davon betrafen 12 Verfahren einen Verstoß nach § 43 Abs. 1 Nr. 10 BDSG. Die Höhe des Bußgeldes betrug zwischen 100 und 3.000 Euro.

Die meisten Bußgelder in dem oben genannten Zeitraum wurden für den Tatbestand nach § 43 Abs. 2 Nr. 1 BDSG verhängt. 20 Verfahren wurden mit einer Bußgeldhöhe zwischen 100 und 3.000 Euro durchgeführt. Beispielhaft werden nachstehend zwei Fälle geschildert: "Aufgrund der Eingabe eines Steuerberatungsbüros, in der angegeben wurde, dass von einem Konkurrenten unbefugt Mandantendatensätze kopiert worden seien, wurde der Beschuldigte unangemeldet in seinem Büro aufgesucht. Die Prüfung bestätigte diesen Sachverhalt und der Beschuldigte räumte ein, dass dieser Tatvorwurf der Wahrheit entsprach. Da es sich um eine unbefugte Verarbeitung nach § 43 Abs. 2 Nr. 1 BDSG handelte und der Steuerberater sowohl gegen die Verpflichtung auf das Datengeheimnis nach § 5 BDSG als auch gegen seine Geheimhaltungspflicht nach dem Steuerberatungsgesetz verstoßen hatte, wurde eine Geldbuße in Höhe von 3.000 Euro festgesetzt. Der Bußgeldbescheid ist rechtskräftig."

"Ein anonymer Anrufer teilte mit, dass in einem gelben Sack vor einer Arztpraxis Schriftstücke mit personenbezogenen Daten erkennbar seien. Bei einer unangemeldeten Prüfung vor Ort fanden Behördenvertreter in den Abfallcontainern der Praxis zahlreiche Rezepte, Befunde, Protokolle und weitere Unterlagen über Patienten, die entweder gar nicht oder nur grob auseinander gerissen waren. Bei einem ähnlichen Sachverhalt hatte die Polizei eine blaue Papiertonne einer Arztpraxis beschlagnahmt, die etwa 650 große, mit Namen und Geburtsdatum versehene Briefumschläge, die EEG-Untersuchungsergebnisse in teilweise kommentierter Form enthielten. Für das unberechtigte "Übermitteln" personenbezogene Daten an eine unbekannte Anzahl Dritter wurden Bußgelder in Höhe von 1.500 Euro verhängt."

Für die Aufsichtsbehörden für den Datenschutz steht nicht im Vordergrund, Bußgelder zu verhängen. Vielmehr beraten sie in datenschutzrechtlichen Fragen und geben Tipps bei der Umsetzung von technischen und organisatorischen Maßnahmen. Mit Prüfungen vor Ort nehmen die Aufsichtsbehörden durch die im Jahr 2001 eingeführte anlassunabhängige Datenschutzkontrolle ihre Möglichkeit wahr, automatisierte Verfahren personenbezogener Datenverarbeitungen branchenübergreifend zu prüfen.

Die Unternehmen zeigen in der Regel Entgegenkommen und Verständnis für Forderungen, Hinweise und Ratschläge der Aufsichtsbehörden. Unangemeldete Prüfungen vor Ort sind nicht der Regelfall. Üblicherweise werden die Prüfungen angekündigt. Viele Unternehmen sind dennoch von einer solchen Prüfankündigung überrascht, da ihnen vielfach die gesetzlichen Regelungen nicht bekannt und daher auf eine Prüfung nicht vorbereitet sind. Aber auch bei einer schriftlichen Prüfung, die meistens auf Beschwerden von Betroffenen erfolgt und zunächst der Sachverhaltsaufklärung dient, tun sich viele Unternehmen schwer. Diese Einzelfallprüfungen bestehen aus der Aufforderung unter Hinweis auf § 38 BDSG, zu einem bestimmten Sachverhalt Stellung zu nehmen oder bestimmte Fragen zu beantworten. Anschließend wird eine datenschutzrechtliche Bewertung vorgenommen und das Ergebnis den Betroffenen mitgeteilt, sofern diese Prüfung auf der Eingabe eines Petenten beruhte. Ergeben sich datenschutzrechtliche Defizite, wird die verantwortliche Stelle darauf hingewiesen und aufgefordert, Vorkehrungen zur besseren Einhaltung der datenschutzrechtlichen Vorschriften zu treffen.

Zur Vorbereitung einer Vor-Ort-Prüfung werden im Vorfeld einige Informationen benötigt:
>> Hat das Unternehmen einen betrieblichen Datenschutzbeauftragten bestellt? Wenn ja, wird die schriftliche Bestellung erbeten.
>> Welche Technik wird für das geprüfte Verfahren eingesetzt?
>> Gibt es Mustertexte, beispielsweise für die Verpflichtungserklärung nach § 5 BDSG oder Auftragsdatenverarbeitung nach § 11 BDSG?

Zusätzlich erfolgt ein Hinweis, dass bestimmte Unterlagen zur Einsicht bereitgehalten werden sollen. Zur Vereinfachung wird dem Unternehmen oftmals vorab ein Fragenkatalog übersandt, aus dem auch der Gegenstand und Umfang der Prüfung hervorgehen.
Neben einer materiell rechtlichen Kontrolle, d.h. werden personenbezogene Daten zulässigerweise verarbeitet, kommen folgende Bereiche für eine Prüfung in Betracht:
>> Fachkunde des betrieblichen Datenschutzbeauftragten
>> Aufgabenwahrnehmung – Interessenkollision
>> Verfahrensverzeichnis nach § 4 g Abs. 2 BDSG
>> Verpflichtung der Mitarbeiter nach § 5 BDSG
>> Meldepflicht nach § 4 d BDSG
>> Auftragsdatenverarbeitung nach § 11 BDSG
>> Technische und organisatorische Maßnahmen nach § 9 BDSG

Über die Prüfung wird ein Protokoll erstellt, das dem Unternehmen zur Stellungnahme übersandt wird. Erst danach erfolgt die abschließende datenschutzrechtliche Bewertung. Oft ist das Ergebnis mit Forderungen verbunden, die eine Nachprüfung erforderlich machen.

Wie kann ein Unternehmen sich am besten auf Prüfungen vorbereiten?
Die Bestellung eines betrieblichen Datenschutzbeauftragten, der auf die Einhaltung der datenschutzrechtlichen Vorschriften hinwirkt (§ 4 g Abs. 1 BDSG), kann nur ein erster Schritt sein. Aber auch wenn für ein Unternehmen diese Verpflichtung nicht besteht (§ 4 f Abs. 1 BDSG), obliegt ihm die Einhaltung der datenschutzrechtlichen Vorgaben. Hilfe bieten Checklisten mit Tipps, wie eine Prüfung vorbereitet wird. Mustertexte und Prüflisten/Fragebogen geben Hinweise auf den Ablauf einer Prüfung.

Zu diesem Thema ist der Leitfaden
"Datenschutzrechtliche Prüfung durch die Aufsichtsbehörde" von Evelyn Seiffert
erschienen,
ISBN 978-3-89577-470-6,
Preis: 29 Euro,
Datenkontext-Fachverlag
(Datenkontext: ra)

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • Frauenquote in IT-Abteilungen

    Frauen erobern die Hochschulen und arbeiten bereits in vielen Berufen Seite an Seite mit ihren männlichen Kollegen - in der IT hingegen gelten sie auch heute noch als Exoten. Gerade einmal 15 Prozent der Mitarbeiter in deutschen IT-Abteilungen sind weiblich. Dabei sucht die Branche unentwegt nach neuen Kräften. Trotz steigender Stellenanzahl bleibt der Ansturm neuer Fachkräfte auf den Markt jedoch aus. "Die Digitalisierung hält Einzug in alle Lebens- sowie Arbeitsbereiche und die IT wird abteilungsübergreifend immer gefragter. Entgegen diesen hervorragenden Zukunftsaussichten kämpft die IT häufig noch mit ihrem Image und verliert dadurch wertvolle Kräfte", warnt Dr. Consuela Utsch, Geschäftsführerin der Acuroc GmbH und Expertin für Human Resource Management. Dabei profitieren Unternehmen von einer höheren Frauenquote in IT-Abteilungen - denn mit jeder Person im Team steigt die Anzahl der verschiedenen Blickwinkel bei der Erstellung von Lösungsstrategien.

  • Verbraucherrechte bei Smart Home sichern

    Der vzbv fordert, dass Verbraucherrechte bei Smart-Home-Produkten sichergestellt werden. Ob Kühlschrank, Beleuchtung oder Staubsauger - immer mehr Haushalts- und Elektrogeräte können per Smartphone gesteuert werden und sich untereinander vernetzen. Auf der Internationalen Funkausstellung (IFA) in Berlin werden solche Smart-Home-Geräte aktuell präsentiert. In einem Hintergrundpapier identifiziert der Verbraucherzentrale Bundesverband (vzbv) Handlungsbedarf im Bereich Haftung, bei der Kombinierbarkeit der technischen Systeme sowie bei IT-Sicherheit und Datenschutz.

  • Barzahlung mit Ausweis

    Für Goldhändler in ganz Deutschland war Montag, der 26. Juni 2017 ein wichtiger Stichtag. Hier trat das neue Geldwäschegesetz in Kraft: Der anonyme Kauf von Edelmetallen ist dann nur noch bis zu einem Wert von 10.000 Euro möglich, statt wie bisher 15.000 Euro. Berücksichtigt man den aktuellen Goldpreis, entspricht dies in etwa einem 250g Goldbarren. Bereits bei Käufen ab 10.000 Euro gelten dann erweiterte Auskunfts- und Dokumentationspflichten. So muss dann zum Beispiel die Rechnung auf Namen und Anschrift des Käufers ausgestellt werden.

  • Strafverfolgung im 21. Jahrhundert

    Der Bundesrat hat das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens beraten und beschlossen. Bayerns Justizminister Prof. Dr. Winfried Bausback am Rande des Bundesrates: "Jetzt haben wir ein Gesetz, das seinen Namen verdient. Denn anders als vom Bundesjustizminister ursprünglich vorgesehen, wird es im Ergebnis tatsächlich zu einer deutlich effektiveren Strafverfolgung führen. Das haben wir auch unserer konsequenten bayerischen Rechtspolitik zu verdanken. Mit Fug und Recht können wir hier und heute sagen: Was lange währt, wird endlich gut." Bayern habe sich mit vielen zentralen - teils seit Jahren erhobenen - Forderungen durchgesetzt. So seien nun künftig bei schweren Straftaten endlich auch die Überwachung verschlüsselter Kommunikation wie etwa über WhatsApp oder Skype und die sogenannte Online-Durchsuchung möglich. Bausback: "Damit Strafverfolgung im 21. Jahrhundert funktioniert, benötigen wir moderne Ermittlungsinstrumente. Hier müssen unsere Strafverfolger technisch Schritt halten - und das wird ihnen nun endlich in diesem wichtigen Bereich ermöglicht."

  • Stabilität für Datenübertragungen

    Der Brexit wird die rechtlichen Bedingungen für den Transfer personenbezogener Daten zwischen Großbritannien und den EU-Ländern verändern. Bislang gilt das Datenschutzniveau eines Mitgliedsstaats per se und ohne weitere Prüfungen als angemessen. Innerhalb der Europäischen Union sind Datenübermittlungen also rechtlich genauso zu behandeln wie Datenübermittlungen innerhalb Deutschlands. Weiterer Prüfungen oder gesonderter Vertragskonstrukte, wie sie beispielsweise mit den USA bestehen, bedarf es nicht. Nach dem Brexit wird Großbritannien zum Drittland, hierfür gilt datenschutzrechtlich zurzeit noch § 4 b BDSG und zukünftig Art. 44 ff. der europäischen Datenschutzgrundverordnung (DSGVO): Wer personenbezogene Daten in ein Drittland übermitteln möchte, der muss sicherstellen, dass der Zielstaat ein angemessenes Datenschutzniveau gewährleistet.