Stärkung der betrieblichen Datenschutzkontrolle
GDD-Forderung: Vorabkontrolle mit entsprechender schriftlicher Freigabeerklärung durch die Datenschutzbeauftragten auch bei heimlicher Datenerhebung bzw. -nutzung
Überdies solle gesetzlich klargestellt werden, dass die Freigabe durch den Datenschutzbeauftragten eine Rechtmäßigkeitsvoraussetzung ist
(20.06.08) - Der unzulässigen Verwendung von Kunden- und Mitarbeiterdaten kann nach Auffassung der Gesellschaft für Datenschutz und Datensicherung e.V. (GDD) dadurch wirksam begegnet werden, dass die interne Kontrollinstanz der Unternehmen eine rechtliche und unternehmenspolitische Stärkung erhält. Die innerbetriebliche Selbstkontrolle in den Unternehmen wird vom betrieblichen Datenschutzbeauftragten wahrgenommen, den bereits Unternehmen zu bestellen haben, die zehn oder mehr Mitarbeiter mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Insbesondere bedarf es nach Auffassung der GDD einer Effektivierung der präventiven Arbeit des Datenschutzbeauftragten.
Naturgemäß können die Datenschutzbeauftragten ihrem gesetzlichen Auftrag zur Hinwirkung auf die Einhaltung der Datenschutzvorschriften nicht gerecht werden, wenn Sie über die Datenverarbeitungen nicht rechtzeitig informiert werden. Insofern weist die GDD ausdrücklich auf die bestehende Gesetzeslage hin, wonach der Datenschutzbeauftragte über Vorhaben der automatisierten Verarbeitung rechtzeitig zu unterrichten ist, damit er die ordnungsgemäße Anwendung von Datenverarbeitungsprogrammen überwachen kann.
In Ergänzung der Überwachung der ordnungsgemäßen Anwendung von Datenverarbeitungsprogrammen zählt die gesetzlich vorgeschriebene Vorabkontrolle im Fall von besonders risikobehafteten Datenverarbeitungen zu den Aufgaben des Datenschutzbeauftragten. Eine Pflicht zur Vorabkontrolle besteht derzeit insbesondere in Fällen der Verarbeitung sensitiver Daten bzw. im Rahmen der Erstellung von Persönlichkeitsprofilen. Umstritten ist, ob eine gesetzeswidrig unterbliebene Vorabkontrolle überhaupt spürbare Rechtsfolgen nach sich zieht.
Die aktuellen Ereignisse geben nach Auffassung der GDD Anlass dazu, explizit auch per heimlicher Datenerhebung bzw. -nutzung erfolgende Überwachungsmaßnahmen generell der Vorabkontrolle mit entsprechender schriftlicher Freigabeerklärung durch die Datenschutzbeauftragten zu unterziehen. Überdies solle gesetzlich klargestellt werden, dass die Freigabe durch den Datenschutzbeauftragten eine Rechtmäßigkeitsvoraussetzung ist. Dies hätte zur Folge, dass Verarbeitungen, die ohne das notwendige Vorabkontrollverfahren durchgeführt werden, als Ordnungswidrigkeiten oder Straftaten verfolgt werden könnten.
Durch eine solche Aufwertung der Kompetenzen des Datenschutzbeauftragten würde auch dessen Verantwortung im Unternehmen steigen. Deshalb empfiehlt die GDD im Interesse der Gewährleistung einer unabhängigen Überprüfung der Zulässigkeit der Verarbeitung und Weitergabe personenbezogener Daten auch die Rechtstellung des Datenschutzbeauftragten im Unternehmen zu stärken. Seiner unabhängigen Kontrollaufgabe könne er dann nachkommen, wenn der Bestand seines Arbeits- oder Dienstverhältnisses vom Ergebnis der Überprüfung nicht berührt werde. Insoweit rät die GDD die Schaffung eines Sonderkündigungsschutzes für den betrieblichen Datenschutzbeauftragten an. Zugleich erfordert eine Erweiterung des Aufgaben- und Kompetenzbereichs des Datenschutzbeauftragten eine Vergrößerung seiner zeitlichen und wirtschaftlichen Ressourcen für diese Tätigkeit.
Die GDD geht davon aus, dass durch eine entsprechende Stärkung der Kompetenzen des Datenschutzbeauftragten Datenschutzskandale, sofern diese nicht einen kriminellen Hintergrund haben, vermieden werden können und damit das Grundrecht auf informationelle Selbstbestimmung der Bürger in deren Eigenschaft als Kunden und Mitarbeiter erheblich gestärkt werden kann. Ferner appelliert der Verband an die Datenschutzverantwortung von Vorständen und Geschäftsführungen.
Diese seien dringend dazu aufgerufen, Datenschutzziele und -leitlinien - zusammen mit dem betrieblichen Datenschutzbeauftragten - zu definieren und die innerbetriebliche Datenschutzorganisation verstärkt zu unterstützen. Insofern ruft die GDD dazu auf, eine angemessene und durch die Unternehmensführung unterstützte Datenschutz- und Datensicherheitsorganisation als notwendigen Teilbereich einer ordnungsgemäßen Unternehmensführung in die entsprechenden Richtlinien, z.B. in den Deutschen Corporate Governance Kodex, aufzunehmen. (GDD: ra)