Compliance. Markus Böttcher

Чтение книги онлайн.

СКАЧАТЬ oder aus den überwiegenden Interessen Anderer ergeben.

      187

      

      Die Verpflichtung zur Geheimhaltung schutzwürdiger personenbezogener Daten besteht unabhängig von der Form ihrer Verarbeitung, betrifft also z.B. auch „manuelle“ Daten (Notizen auf einem Zettel, Aktenteile und dergleichen) im herkömmlichen Sinn.

      188

      Das Grundrecht steht jedermann zu, wobei Betroffener sowohl eine natürliche als auch eine juristische Person oder Personengemeinschaft sein kann. Als höchstpersönliches Recht steht dieses Grundrecht nur lebenden Personen zu.

2. Allgemeine Grundsätze und die Zulässigkeit der Verwendung von Daten

      189

      § 6 DSG definiert die allgemeinen Grundsätze für die Verwendung von Daten. Demnach dürfen Daten nur nach Treu und Glauben und auf rechtmäßige Weise verwendet werden. Weitere Grundsätze sind etwa die Zweckbindung und die Verpflichtung für den Auftraggeber, für die Richtigkeit, allenfalls auch die Aktualisierung der Daten, zu sorgen. Daten dürfen nur solange aufbewahrt werden, wie dies für die Zwecke, für die sie ermittelt wurden, erforderlich ist.

      190

      

      Die allgemeine Zulässigkeit der Datenverwendung ist an zwei Bedingungen geknüpft: Einerseits muss eine rechtliche Befugnis des Auftraggebers zur Verwendung dieser Daten (die etwa durch Gewerbeschein, Eintragung in die Ärzteliste und dergleichen dokumentiert sein kann) gegeben sein. Andererseits dürfen die schutzwürdigen Geheimhaltungsinteressen des Betroffenen nicht verletzt werden, wobei die §§ 8 und 9 DSG 2000 für sensible und nicht-sensible Daten näher präzisieren, in welchen Fällen dies gewährleistet ist.

3. Die Übermittlung von Daten

      191

      Im Alltagsleben von großer Bedeutung ist die Übermittlung von personenbezogenen Daten an Dritte oder deren Zugänglichmachung gegenüber Dritten. Voraussetzung für die Zulässigkeit der Übermittlung von Daten ist, dass diese aus einer zulässigen Datenanwendung stammen, der Empfänger seine ausreichende rechtliche Befugnis im Hinblick auf den Übermittlungszweck glaubhaft macht und die schutzwürdigen Geheimhaltungsinteressen des Betroffenen durch den Zweck und den Inhalt der Übermittlung nicht verletzt werden (§ 7 DSG 2000).

      192

In international tätigen Konzernen stellt sich häufig die Frage, ob die Übermittlung von personenbezogenen Daten (z.B. Mitarbeiterdaten) an die Konzernmutter zulässig ist oder nicht. Was die Übermittlung dieser Daten an eine Konzernmutter in einem anderen EU-Mitgliedsstaat anbelangt, so anerkennt die Datenschutzbehörde den Konzern als zulässige Organisationsstruktur, so dass jene Datenflüsse, die sich aus der Über- bzw. Unterordnung der einzelnen Konzernfirmen notwendig ergeben, zur Rechtfertigung der Übermittlung geeignet sein können.[4] Was die Übermittlung von personenbezogenen Daten an eine Konzernmutter in einem Drittland betrifft, so ist zu beachten, dass derartige Datenübermittlungen der Genehmigung durch die Datenschutzbehörde bedürfen. In diesem Verfahren wird geprüft, ob im Drittstaat ein angemessener Datenschutz sichergestellt ist und ob die Geheimhaltungsinteressen der Betroffenen auch im Ausland ausreichend gewahrt sind (§ 13 DSG 2000).

4. Exkurs: Videoüberwachung

      193

Mit der DSG Novelle 2010[5] wurde im Gesetz mit den §§ 50a ff. ein eigener Abschn. 9a zur Videoüberwachung aufgenommen. Eine entsprechende Regelung war insofern erforderlich, als der Einsatz von Videoüberwachungsanlagen in Betriebsräumlichkeiten sehr häufig stattfindet. Immer wenn bei einer Videoüberwachung Personen zu erkennen sind, handelt es sich dabei um personenbezogene Daten i.S.d. DSG 2000, womit ein Eingriff in das Recht auf Geheimhaltung vorliegt.[6]

      194

      Geregelt werden im DSG 2000 nunmehr die Voraussetzungen für den zulässigen Einsatz der Videoüberwachung. Demnach muss der Zweck und Inhalt der Datenanwendung von den rechtlichen Befugnissen des Auftraggebers gedeckt sein (§ 7 Abs. 1 DSG), die Grundrechtseinschränkung verhältnismäßig sein (§ 7 Abs. 2 und 3 DSG), die schutzwürdigen Geheimhaltungsinteressen des Betroffenen gewahrt werden (§ 7 Abs. 1 i.V.m. 8 und 9 DSG) und die allgemeinen Datenschutzgrundsätze eingehalten werden (§ 7 Abs. 3 i.V.m. § 6 DSG). Der Auftraggeber hat die Videoüberwachung bei der Datenschutzbehörde vorab nach §§ 17 ff. DSG zu melden. Wurde die Videoüberwachung nicht im Vorhinein von der Datenschutzbehörde genehmigt, droht der Geschäftsleitung eine Verwaltungsstrafe aufgrund der Verletzung des Datenschutzrechts.

5. Heranziehen von Dienstleistern

      195

      Dem Auftraggeber steht es frei, sich eines Dienstleisters zu bedienen, wenn dieser ausreichend Gewähr für eine rechtmäßige und sichere Datenverwendung bietet. Der Auftraggeber hat mit dem Dienstleister die notwendigen Vereinbarungen zu treffen und sich von ihrer Einhaltung durch Einholung der erforderlichen Informationen über die vom Dienstleister tatsächlich getroffenen Maßnahmen zu überzeugen.

      196

      

      Die Mindestpflichten des Dienstleisters sind in § 11 DSG 2000 ausgeführt und umfassen etwa das Treffen von Datensicherheitsmaßnahmen sowie die Verpflichtung, weitere Dienstleister nur mit Billigung des Auftraggebers heranzuziehen und die Daten nach Beendigung des Dienstverhältnisses wieder an den Auftraggeber zurückzugeben oder in dessen Auftrag für ihn weiter aufzubewahren oder zu vernichten. Der Dienstleister hat auch technisch und organisatorisch zu gewährleisten, dass die Rechte des Betroffenen (Auskunftserteilung, Richtigstellung und Löschung) erfüllt werden können. Vereinbarungen zwischen dem Auftraggeber und Dienstleister über die nähere Ausgestaltung dieser Pflichten sind zum Zweck der Beweissicherung schriftlich festzuhalten.

6. Whistleblower-Hotlines

      197

Eine Whistleblower-Hotline ermöglicht einem Mitarbeiter in einem Unternehmen über eine Telefon- oder webbasierte Hotline Missstände und Malversationen im Unternehmen unmittelbar der Geschäftsleitung bekannt zu geben. Da diese Meldungen im Normalfall personenbezogene Daten betreffen, ist die Zulässigkeit der Ermittlung, Sammlung und Verarbeitung von Whistleblower-Daten nach dem DSG 2000 zu beurteilen. Whistleblower-Hotlines sind daher genehmigungspflichtig. Bisher hat die Datenschutzbehörde einige Whistleblowing-Systeme genehmigt. In einer ersten wichtigen (Einzelfall-)Entscheidung[7] hat die Datenschutzbehörde auf Antrag eines Unternehmens folgende Auflagen für unternehmensinterne Whistleblowing Verfahren festgelegt:

СКАЧАТЬ

---

a)	Das Unternehmen lässt anonyme Meldungen zwar zu, fördert sie aber nicht, sondern sichert vielmehr den Meldern volle Vertraulichkeit hinsichtlich ihrer Identität zu, wenn sie diese angeben.
b)	Die mit der Bearbeitung von Meldungen betrauten Stellen sind von den anderen Konzernstellen strikt getrennt und haben nur Personen als Mitarbeiter, die besonders geschult und ausdrücklich für die Vertraulichkeit der gemeldeten Daten verantwortlich sind.
c)	Die Beschuldigten haben grundsätzlich Zugang zu Anschuldigungen.