- Anzeigen -

Sie sind hier: Home » Markt » Hintergrund

Datenschutzprüfung durch die Aufsichtsbehörden


Wehe, wenn die Aufsichtsbehörde für den Datenschutz anklopft: Zur Vorbereitung einer Vor-Ort-Prüfung werden im Vorfeld einige Informationen benötigt
Aufsichtsbehörden für den Datenschutz sagen: Einer der häufigsten Fälle für Sanktionen ist, der Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG nicht nachgekommen zu sein


(18.04.07) - Mit welchen Sanktionen muss ein Unternehmen rechnen, wenn der Aufsichtsbehörde für den Datenschutz der Zugang zu den Geschäftsräumen verweigert, auf ein Auskunftsverlangen nicht reagiert wird und unzulässigerweise personenbezogene Daten verarbeitet werden? Die durchaus nicht fiktiven Beispiele machen deutlich, dass es sich für ein Unternehmen lohnt, auf die datenschutzrechtlichen Anforderungen zu achten.

Unternehmen X erhält Besuch von drei Mitarbeitern der Aufsichtsbehörde für den Datenschutz. Sie werden von zwei Polizeibeamten begleitet. Der die Tür öffnende Mitarbeiter wird gebeten, die Geschäftsleitung zu informieren, der ein Durchsuchungsbeschluss eines Amtsgerichts vorgelegt wird. Alle Mitarbeiter müssen sofort ihren Arbeitsplatz verlassen. Sie sind irritiert, da sie nicht wissen, warum es zu dieser Maßnahme gekommen ist. Was war im Vorfeld geschehen? Mehrere Bürger hatten sich über dieses Unternehmen beschwert und vorgetragen, dass der Umgang mit ihren personenbezogenen Daten nicht datenschutzgerecht erfolgen würde.

Die Anhaltspunkte waren so konkret und so gravierend, dass sich die Aufsichtsbehörde für den Datenschutz genötigt sah, das Unternehmen zwecks Durchführung einer Prüfung ohne Ankündigung aufzusuchen. Vor Ort wurde den Mitarbeitern der Aufsichtsbehörde der Zutritt zu den Geschäftsräumen verweigert. Daraufhin erhielt das Unternehmen unter Fristsetzung die Aufforderung, zum Sachverhalt Stellung zu nehmen. Damit verbunden war der Hinweis auf die Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG und das Betretungsrecht zu Geschäftsräumen sowie Einsichtsrecht in Geschäftsunterlagen nach § 38 Abs. 4 Satz 1 + 2 BDSG. Auch nach einer weiteren Erinnerung erhielt die Aufsichtsbehörde keine Auskünfte. Da die mögliche Verletzung der datenschutzrechtlichen Vorschriften als schwerwiegend eingestuft wurde, beantragte die Aufsichtsbehörde beim zuständigen Amtsgericht einen Durchsuchungsbeschluss.

Dieses Vorgehen gehört sicher nicht zum Arbeitsalltag einer Aufsichtsbehörde. Es macht aber deutlich, dass sie manchmal auch zu solchen Mitteln greifen muss, um einen Sachverhalt aufzuklären und datenschutzrechtlich bewerten zu können. Nach einer bundesweiten Umfrage unter den Aufsichtsbehörden für den Datenschutz ist einer der häufigsten Fälle für Sanktionen, der Auskunftsverpflichtung nach § 38 Abs. 3 Satz 1 BDSG nicht nachgekommen zu sein. Im Zeitraum September 2005 bis August 2006 wurden insgesamt 44 Bußgeldbescheide erlassen. Davon betrafen 12 Verfahren einen Verstoß nach § 43 Abs. 1 Nr. 10 BDSG. Die Höhe des Bußgeldes betrug zwischen 100 und 3.000 Euro.

Die meisten Bußgelder in dem oben genannten Zeitraum wurden für den Tatbestand nach § 43 Abs. 2 Nr. 1 BDSG verhängt. 20 Verfahren wurden mit einer Bußgeldhöhe zwischen 100 und 3.000 Euro durchgeführt. Beispielhaft werden nachstehend zwei Fälle geschildert: "Aufgrund der Eingabe eines Steuerberatungsbüros, in der angegeben wurde, dass von einem Konkurrenten unbefugt Mandantendatensätze kopiert worden seien, wurde der Beschuldigte unangemeldet in seinem Büro aufgesucht. Die Prüfung bestätigte diesen Sachverhalt und der Beschuldigte räumte ein, dass dieser Tatvorwurf der Wahrheit entsprach. Da es sich um eine unbefugte Verarbeitung nach § 43 Abs. 2 Nr. 1 BDSG handelte und der Steuerberater sowohl gegen die Verpflichtung auf das Datengeheimnis nach § 5 BDSG als auch gegen seine Geheimhaltungspflicht nach dem Steuerberatungsgesetz verstoßen hatte, wurde eine Geldbuße in Höhe von 3.000 Euro festgesetzt. Der Bußgeldbescheid ist rechtskräftig."

"Ein anonymer Anrufer teilte mit, dass in einem gelben Sack vor einer Arztpraxis Schriftstücke mit personenbezogenen Daten erkennbar seien. Bei einer unangemeldeten Prüfung vor Ort fanden Behördenvertreter in den Abfallcontainern der Praxis zahlreiche Rezepte, Befunde, Protokolle und weitere Unterlagen über Patienten, die entweder gar nicht oder nur grob auseinander gerissen waren. Bei einem ähnlichen Sachverhalt hatte die Polizei eine blaue Papiertonne einer Arztpraxis beschlagnahmt, die etwa 650 große, mit Namen und Geburtsdatum versehene Briefumschläge, die EEG-Untersuchungsergebnisse in teilweise kommentierter Form enthielten. Für das unberechtigte "Übermitteln" personenbezogene Daten an eine unbekannte Anzahl Dritter wurden Bußgelder in Höhe von 1.500 Euro verhängt."

Für die Aufsichtsbehörden für den Datenschutz steht nicht im Vordergrund, Bußgelder zu verhängen. Vielmehr beraten sie in datenschutzrechtlichen Fragen und geben Tipps bei der Umsetzung von technischen und organisatorischen Maßnahmen. Mit Prüfungen vor Ort nehmen die Aufsichtsbehörden durch die im Jahr 2001 eingeführte anlassunabhängige Datenschutzkontrolle ihre Möglichkeit wahr, automatisierte Verfahren personenbezogener Datenverarbeitungen branchenübergreifend zu prüfen.

Die Unternehmen zeigen in der Regel Entgegenkommen und Verständnis für Forderungen, Hinweise und Ratschläge der Aufsichtsbehörden. Unangemeldete Prüfungen vor Ort sind nicht der Regelfall. Üblicherweise werden die Prüfungen angekündigt. Viele Unternehmen sind dennoch von einer solchen Prüfankündigung überrascht, da ihnen vielfach die gesetzlichen Regelungen nicht bekannt und daher auf eine Prüfung nicht vorbereitet sind. Aber auch bei einer schriftlichen Prüfung, die meistens auf Beschwerden von Betroffenen erfolgt und zunächst der Sachverhaltsaufklärung dient, tun sich viele Unternehmen schwer. Diese Einzelfallprüfungen bestehen aus der Aufforderung unter Hinweis auf § 38 BDSG, zu einem bestimmten Sachverhalt Stellung zu nehmen oder bestimmte Fragen zu beantworten. Anschließend wird eine datenschutzrechtliche Bewertung vorgenommen und das Ergebnis den Betroffenen mitgeteilt, sofern diese Prüfung auf der Eingabe eines Petenten beruhte. Ergeben sich datenschutzrechtliche Defizite, wird die verantwortliche Stelle darauf hingewiesen und aufgefordert, Vorkehrungen zur besseren Einhaltung der datenschutzrechtlichen Vorschriften zu treffen.

Zur Vorbereitung einer Vor-Ort-Prüfung werden im Vorfeld einige Informationen benötigt:
>> Hat das Unternehmen einen betrieblichen Datenschutzbeauftragten bestellt? Wenn ja, wird die schriftliche Bestellung erbeten.
>> Welche Technik wird für das geprüfte Verfahren eingesetzt?
>> Gibt es Mustertexte, beispielsweise für die Verpflichtungserklärung nach § 5 BDSG oder Auftragsdatenverarbeitung nach § 11 BDSG?

Zusätzlich erfolgt ein Hinweis, dass bestimmte Unterlagen zur Einsicht bereitgehalten werden sollen. Zur Vereinfachung wird dem Unternehmen oftmals vorab ein Fragenkatalog übersandt, aus dem auch der Gegenstand und Umfang der Prüfung hervorgehen.
Neben einer materiell rechtlichen Kontrolle, d.h. werden personenbezogene Daten zulässigerweise verarbeitet, kommen folgende Bereiche für eine Prüfung in Betracht:
>> Fachkunde des betrieblichen Datenschutzbeauftragten
>> Aufgabenwahrnehmung – Interessenkollision
>> Verfahrensverzeichnis nach § 4 g Abs. 2 BDSG
>> Verpflichtung der Mitarbeiter nach § 5 BDSG
>> Meldepflicht nach § 4 d BDSG
>> Auftragsdatenverarbeitung nach § 11 BDSG
>> Technische und organisatorische Maßnahmen nach § 9 BDSG

Über die Prüfung wird ein Protokoll erstellt, das dem Unternehmen zur Stellungnahme übersandt wird. Erst danach erfolgt die abschließende datenschutzrechtliche Bewertung. Oft ist das Ergebnis mit Forderungen verbunden, die eine Nachprüfung erforderlich machen.

Wie kann ein Unternehmen sich am besten auf Prüfungen vorbereiten?
Die Bestellung eines betrieblichen Datenschutzbeauftragten, der auf die Einhaltung der datenschutzrechtlichen Vorschriften hinwirkt (§ 4 g Abs. 1 BDSG), kann nur ein erster Schritt sein. Aber auch wenn für ein Unternehmen diese Verpflichtung nicht besteht (§ 4 f Abs. 1 BDSG), obliegt ihm die Einhaltung der datenschutzrechtlichen Vorgaben. Hilfe bieten Checklisten mit Tipps, wie eine Prüfung vorbereitet wird. Mustertexte und Prüflisten/Fragebogen geben Hinweise auf den Ablauf einer Prüfung.

Zu diesem Thema ist der Leitfaden
"Datenschutzrechtliche Prüfung durch die Aufsichtsbehörde" von Evelyn Seiffert
erschienen,
ISBN 978-3-89577-470-6,
Preis: 29 Euro,
Datenkontext-Fachverlag
(Datenkontext: ra)

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hintergrund

  • 2017 für Blockchain ein entscheidendes Jahr

    Die Blockchain ist eine Querschnittstechnologie mit hohem disruptiven Potenzial für viele Wirtschaftsbereiche. Damit neue Geschäftsideen mittelfristig umgesetzt werden können, gilt es im Jahr 2017 die technischen und rechtlichen Grundlagen zu schaffen. "Wissenschaft und Privatwirtschaft stellen 2017 mehr Ressourcen denn je für die Erforschung der Blockchain zur Verfügung", sagt Stephan Zimprich, Leiter der Kompetenzgruppe (KG) Blockchain im eco - Verband der Internetwirtschaft e. V.

  • Zollbestimmungen & Compliance-Anforderungen

    Nichts ist so sicher wie der Tod - und die Steuer. Aber es gibt noch eine weitere unumstößliche Gewissheit des Lebens: Zollvorschriften und Compliance-Anforderungen werden nicht einfacher. In dem Maße, wie sich Märkte globalisieren und kleinere Länder ihre wirtschaftlichen Muskeln spielen lassen, werden die Vorschriften zum grenzüberschreitenden Warenverkehr immer komplexer. Dies scheint in vielerlei Hinsicht unmöglich zu sein. Es gibt bereits hunderte von Ländern mit ihren eigenen Zollbestimmungen und Compliance-Anforderungen, dutzende internationale Handelsabkommen und eine Fülle neuer Vereinbarungen, die bald online verfügbar sein werden. Zu nennen ist hier CETA, das Freihandelsabkommen zwischen Kanada und der EU, das im Oktober 2016 unterzeichnet wurde, aber auch die geplanten Abkommen TPP (Trans-Pacific Partnership) und TTIP (Transatlantic Trade and Investment Partnership).

  • Kontrolle ist gut, Vertrauen ist besser

    Ob in der Führungsetage, im Projektteam oder in der Kaffeeküche: Vertrauen ist ein brisantes Thema. Denn wenn es mal richtig schwierig wird, vertraut doch jeder nur sich selbst. Getreu dem Motto: "Nur wenn ich es selbst mache, wird es richtig gemacht." Nach einer repräsentativen Studie von Ernst & Young setzen die Beschäftigten weltweit kein großes Vertrauen in die eigene Firma oder den direkten Vorgesetzten: 44 Prozent vertrauen hierzulande ihrem Unternehmen und 47 Prozent ihren Vorgesetzten. Im Umkehrschluss heißt das: Die Mehrheit aller Arbeitnehmer ist gegenüber ihrem Arbeitgeber skeptisch oder sogar misstrauisch eingestellt. Das kann fatale Folgen haben. Vertrauen ist eine zu wenig genutzte Ressource. Letztlich verschenktes Potenzial. Vertrauen ist das vielleicht wichtigste Schmiermittel der Wirtschaft. Ohne Vertrauen kann sich kein Unternehmenserfolg einstellen. Wenn jeder nur vor sich hin arbeitet und keinem vertraut, entsteht keine echte Zusammenarbeit. Führungskräfte und Mitarbeiter müssen den enormen Wert ‚Vertrauen' erkennen und endlich wertschätzen. Nur so lässt sich ein gutes Betriebsklima schaffen. Wenn Mitarbeiter und Führungskräfte sich gegenseitig vertrauen, ist die gemeinsame Zusammenarbeit von einer erhöhten Produktivität geprägt. Untersuchungen zeigen: Wer vertraut, ist motiviert und auch bereit, mehr zu leisten. Ein Mangel an Vertrauen bildet dagegen den idealen Nährboden für Angst.

  • Informationspflichten treffen fast alle Firmen

    Ab dem 1. Februar 2017 sind Unternehmen grundsätzlich verpflichtet, Verbraucher einfach und verständlich zu informieren, ob sie an einem Schlichtungsverfahren teilnehmen. Dies sieht das Verbraucherstreitbeilegungsgesetz vor. Bayerns Justizminister Prof. Dr. Winfried Bausback zu diesem Anlass: "Eine Schlichtung kann oft eine sinnvolle Alternative zu einem Gerichtsverfahren sein. Es bietet beiden Parteien, Verbrauchern wie Unternehmen, die Chance auf eine einfache, schnelle und kostengünstige Lösung ihres Konflikts. Deshalb ist es gut, dass Verbraucher künftig schon vor Vertragsabschluss auf einen Blick erkennen können, ob ein Unternehmen grundsätzlich an einem alternativen Streitschlichtungsverfahren teilnimmt und welche konkrete Verbraucherschlichtungsstelle im Fall der Fälle zuständig wäre. Das schafft Transparenz und fördert die außergerichtliche Streitbeilegung."

  • Langjährige bayerische Forderungen

    Das Bundeskabinett beriet im Dezember des letzten Jahres den Entwurf eines Gesetzes zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens. Bayerns Justizminister Prof. Dr. Winfried Bausback sagte zu diesem Anlass: "Endlich liegt ein Gesetzentwurf auf dem Tisch, der kein Etikettenschwindel mehr ist, sondern jetzt weitgehend das hält, was sein Titel verspricht - nämlich Regelungen für ein effizienteres, schnelleres und praktikableres Strafverfahren. Das ist ein großer Erfolg bayerischer Rechtspolitik und zeigt einmal mehr: Gute bayerische Argumente und bayerische Beharrlichkeit zahlen sich aus." Insgesamt begrüßte der bayerische Justizminister die geplante Reform in ihrer jetzigen Form. Der Gesetzentwurf enthalte etliche Regelungen, die dazu beitragen können, das Strafverfahren effektiver und praxistauglicher auszugestalten. Hierzu zähle etwa die Einführung einer Erscheinenspflicht von Zeugen vor der Polizei, die Verwertbarkeit von sog. Beinahetreffern bei Gentests, die Ermöglichung von Verfahrenseinstellungen gegen Auflage auch im Revisionsverfahren sowie die Aufnahme der einfachen Nötigung in den Katalog der Privatklagedelikte. "Das alles sind Ansatzpunkte, die die tägliche Arbeit unserer Gerichte und Staatsanwaltschaften tatsächlich erleichtern können. Gerade bei der Verwertung von Beinahetreffern wird damit gleichzeitig auch eine langjährige bayerische Forderungen umgesetzt", so Bausback.