VORLESUNG DATENSCHUTZRECHT Fakultät Informatik TU Dresden Sommersemester 2012 Rechtsanwalt Daniel Schöneich

Grobgliederung 0. Organisatorisches Datenschutzrecht – Grundlagen Arbeitnehmer/Beschäftigtendatenschutz Kundendatenschutz, CRM, Werbung Sonstige spezielle Datenschutzregelungen Technischer und organisatorischer Datenschutz Datensicherheit betriebliche/behördliche Datenschutzbeauftragte Datenschutzaufsichtsbehörden Internationales ©DID 2012

Gängige Literatur (Auswahl) Kommentare Gola/Schomerus: 10. Auflage 2010, 616 Seiten, EUR 54,00 Simitis: 7. Auflage 2011, 1886 Seiten EUR 178,00 Taeger: (einschließlich TKG/TMG – Datenschutz) 2010, 1434 Seiten, EUR 218,00 Bergmann: Loseblatt-Sammlung (Kommentierung BDSG und Landesdatenschutzgesetze), Stand September 2011, 3280 Seiten, 3 Ordner, EUR 84,00 Giesen: Kommentar zum Sächsischen Datenschutzgesetz, 2011, 456 Seiten, EUR 78,00 ©DID 2012

Gängige Literatur (Auswahl) Lehrbücher/Handbücher Kühling: Datenschutzrecht, 2011, EUR 30,00 Kazemi: Datenschutzrecht in der anwaltlichen Beratung, 2011, EUR 59,00 Schröder: Datenschutzrecht für die Praxis, 2012 (angekündigt), EUR 20,00 Graf von Facultas: Datenschutzrecht im Überblick, 2010, EUR 16,00 Witt : Datenschutz kompakt und verständlich, 2010, EUR 25,00 Taeger: Einführung in das Datenschutzrecht, 2012 (angekündigt) EUR 49,00 Wybitol: Handbuch Datenschutz im Unternehmen, 2011, EUR 59,00 ©DID 2012

1. Geschichte des Datenschutzes Zeitalter „vor der EDV“ uralte Datenschutz-Bereiche: Priester, Ärzte, Anwälte Unverletzlichkeit der Wohnung (Schutz der Privatsphäre) Post- und Briefgeheimnis Fernmeldegeheimnis ©DID 2012

Zäsur: „EDV-Zeitalter“ 1979 Landesdatenschutzgesetz Hessen (als wohl weltweit erstes Datenschutzgesetz) 1977 Bundesdatenschutzgesetz Volkszählungsurteil des Bundesverfassungsgerichtes vom 15.12.1983 (gegen Statistikgesetz zur Volkszählung) zum „Grundrecht auf informationelle Selbstbestimmung“ BDSG Novellen 1991, 2001, 2006 und 2009 Allgemeine EG-Datenschutzrichtlinie vom 24.10.1995 Urteil des Bundesverfassungsgericht vom 27.02.2008 zum „Bundestrojaner“ (Onlinedurchsuchung) „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ (im Verfahren: Gutachten Prof. Dr. Andreas Pfitzmann, Fakultät Informatik der TU Dresden) Entwurf einer allgemeinen EU-Datenschutzverordnung (Stand 25.01.2012) ©DID 2012

Sachlicher Anwendungsbereich des Datenschutzrechtes Sachlicher Anwendungsbereich als „Flickenteppich“ Gemeinsamer Grundsatz: Datenschutzrecht befasst sich mit personenbezogenen Daten Definition: § 3 Abs. 1 BDSG: ©DID 2012

Vermögens- verhältnisse Grundlagen Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person. Beispiele: Geburtsjahr Telefon- nummer Wohn- verhältnisse Name Kreditkarten- nummer Vermögens- verhältnisse Gehalt Adresse Das Bundesdatenschutzgesetz schützt natürliche Personen (= Menschen) bei der Verwendung ihrer personenbezogenen Daten. Geschützt sind demnach bspw. Mitarbeiter von Unternehmen, Kunden, Lieferanten oder deren Ansprechpartner, Patienten etc. Alle Daten, die einen Menschen unmittelbar (also direkt  Jens hat am 05.09. Geburtstag) oder mittelbar, also durch Verwendung einer Gegenliste (Kraftfahrzeugkennzeichen, Sozialversicherungsnummer etc.) bestimmbar machen, sind Einzelangaben über diesen und somit personenbezogene Daten i.S.d. § 3 Absatz 1 BDSG. § 3 Absatz 1 BDSG: Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). 8 ©DID 2012 © 2009 Datakontext GmbH, Frechen Seite 8

Grundlagen Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt. Name Einzelangaben sind Informationen, die sich auf eine bestimmte – einzelne – natürliche Person beziehen. (Gola/Schomerus, BDSG, 8. Aufl., § 3 Rdnr. 3) 9 ©DID 2012 © 2009 Datakontext GmbH, Frechen Seite 9

Grundlagen IP-Adresse Abgleich mit Providerdaten Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt. Bestimmbar wird eine Person, wenn ihre Identität durch die Kombination des Datums mit einer anderen Information feststellbar wird. IP-Adresse Abgleich mit Providerdaten Einzelangaben sind auch Informationen, die einen Bezug zu ihr herstellen, bspw. Ausweisnummer, Versicherungsnummer, Telefonnummer. (Gola/Schomerus, BDSG, 8. Aufl., § 3 Rdnr. 3) 10 ©DID 2012 © 2009 Datakontext GmbH, Frechen Seite 10

Grundlagen Religiöse oder philosophische Überzeugung Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten personenbezogener Daten, da diese besonders schützenswert sind. Religiöse oder philosophische Überzeugung Gewerkschafts- zugehörigkeit Rassische und ethnische Herkunft Sexual- leben Politische Meinung Gesundheit § 3 Abs. 9 BDSG: Besondere Arten personenbezogener Daten sind Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben. Besondere Arten personenbezogener Daten sind bestimmten Restriktionen bei deren Nutzung unterworfen, diese Daten werden als besonders sensitiv gewertet. Soll die Erhebung, Verarbeitung oder Nutzung dieser Daten per Einwilligung legitimiert werden, so verlangt § 4a Abs. 3 BDSG den ausdrücklichen Bezug auf diese Daten. § 4a Abs. 3 BDSG: Soweit besondere Arten personenbezogener Daten (§ 3 Abs. 9) erhoben, verarbeitet oder genutzt werden, muss sich die Einwilligung darüber hinaus ausdrücklich auf diese Daten beziehen. 11 ©DID 2012 © 2009 Datakontext GmbH, Frechen Seite 11

Datenschutzrecht deckt sich also nicht mit Geheimnisschutz/Informationsschutz. Der Regelungsbereich des geltenden Datenschutzrechtes ist enger.

Auf dieser Grundlage weitere Einschränkungen bereichsbezogen: Öffentliche Stellen des Bundes (Definition: § 2 Abs. 1 und Abs. 3 BDSG): § 1 Abs. 2 Satz 1 BDSG: keine weitere Einschränkung Öffentliche Stellen der Länder: § 1 Abs. 2 Nr. 2 BDSG ohne Anwendungsbereich (da in sämtlichen Bundesländern mittlerweile Landesdatenschutzgesetze erlassen) – für Sachsen: § 2 Abs. 1 SächsDSG: keine weitere Einschränkung Nicht-öffentliche Stellen § 1 Abs. 2 Nr. 3 BDSG: Datenschutzrecht nur anwendbar, soweit a) nicht ausschließlich persönliche/familiäre Tätigkeiten und b) automatisierte DV oder Verwendung von Daten in/aus „nicht- automatisierten Dateien“ (= z.B. Karteien, sortierte Papierakten) Wichtigste Rückausnahme zu b): § 32 Abs. 2 BDSG – Beschäftigtendaten umfassend (auch außerhalb automatisierter Verarbeitung) geschützt Einschränkung nach § 1 Abs. 3 Satz 1 BDSG und § 2 Abs. 4 SächsDSG: Vorrang datenschutzbezogener Spezialregelungen in sonstigen Gesetzen (im materiellen Sinn, also auch: Satzung, Verordnung – nicht: Tarifvertrag, Betriebsvereinbarung). Extreme Zersplitterung; Auflistung der Spezialregelungen z.B. bei Bergmann/Möhrle/Herb. Systematik Ziffer 4.2.2, Seiten 4 – 89 (!) von A wie §§ 13, 19 Abfall- und Reststoffüberwachungs-Verordnung bis Z wie § 2a Zweckent-fremdungsbeseitigungsgesetz

„Drei können ein Geheimnis bewahren, wenn zwei von ihnen tot sind.“ Benjamin Franklin 14

DID Dresdner Institut für Datenschutz FRAGEN? DID Dresdner Institut für Datenschutz Königstraße 9, 01097 Dresden Tel.: 0351/ 810 31 50 Fax.: 0351/ 810 31 52 Funk: 0175/ 564 40 48 zentrale@dids.de www.dids.de www.dids.de 15