Kapitel der Vorlesung Datenschutz und Informationelle Selbstbestimmung Datenschutzgesetze Digitale Identifikation und Authentifizierung Privatheit und Privacy Enhancing Technologies Datenschutz im E-Commerce Identitätsmanagement Ubiquitous Computing und RFIDs

Die Drei-Säulen des Datenschutz Datenschutzgesetz(e) Selbstregulierung Selbstschutz Selbstregulierung und Selbstschutz vor allem im Internet Gesetze sind hier teilweise inhaltlich nicht passend / anwendbar (hinken der Realität hinterher) Problem der Gültigkeit der Gesetze (Gesetze sind länderspezifisch, Internet ist global)

Meilensteine der Entwicklung des Datenschutzes 16.7.1969 Mikrozensusbeschluß BVerfG (E 27,1) „Das Grundgesetz gewährt dem einzelnen Bürger einen unantastbaren Bereich privater Lebensgestaltung, der der Einwirkung der öffentlichen Gewalt entzogen ist.“ 27.1.1977 Bundesdatenschutzgesetzes 77 15.12.1983 Volkszählungsurteil BVerfG (E 65, 1) „Recht auf informationelle Selbstbestimmung über Preisgabe und Verwendung d. Daten“ 20.12.1990 Bundesdatenschutzgesetz 90 24.10.1995 EU-Richtlinie zum Schutz natürlicher Personen bei d. Verarbeitung personenbezogener Daten und zum freien Datenverkehr 95/46/EG 18.05.2001 Bundesdatenschutzgesetz 01 12.06.2002 EU-Richtlinie 2002/58/EC über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation Spezifische Regelungen u.a. zu Cookies, Spam – noch nicht vollständig umgesetzt

Gesetzliche Grundlagen Grundgesetz Art. 1 & Art. 2 EU Daten schutzrichtlinie Bundesdatenschutzgesetz (BDSG) Landesdatenschutzgesetze Telekommuni- kationsgesetz Teledienstdaten schutzgesetz Betriebsverfass- ungsgesetz … Quelle: eigene Darstellung

Datenschutz - Gesetze Datenschutzgesetze EU Datenschutzrichtlinie Basis: Grundgesetz, EU Datenschutzrichtlinie Inhaltsebene / Eben der Anwendung: Bundesdatenschutzgesetz (BDSG) und Landesgesetze Diensteebene: Teledienstedatenschutzgesetz (TDDSG), Mediendienstestaatsvertrag (MDStV) Telekommunikationsebene / Ebene der Netze: Telekommunikationsgesetz (TKG) EU Datenschutzrichtlinie Richtlinien der Vereinten Nationen Zum Vergleich in USA hauptsächlich Fokus auf Selbstregulierung

Grundbegriffe und Prinzipien des gesetzlichen Datenschutzes (im BDSG) Grundsatz Verbot mit Erlaubnisvorbehalt der Datenverarbeitung Grundsätzlich ist verboten, was nicht ausdrücklich erlaubt ist Für Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten Erlaubnis durch BDSG oder andere Rechtsvorschrift Einwilligung des Betroffenen Zweckbindungsgrundsatz Zuständigkeit der erhebenden Stelle Zwecke der Erhebung oder Speicherung Ausnahmen: Rechtsvorschrift, Einwilligung, offensichtliches Interesse des Betroffenen, Gefahrenabwehr, wissenschaftliche Forschung Transparenzgebot (Informationspflichten) Korrekturrechte (Berichtigung, Sperrung, Löschung, Widerspruch) Datenschutzkontrolle (betrieblicher Datenschutzbeauftragter, Betriebsrat, Aufsichtsbehörde)

Umgang mit personenbezogenen Daten Verwenden Nutzen verarbeiten speichern übermitteln sperren löschen verändern Erheben x

Gültigkeit Öffentliche Stellen (grundsätzlich) Nicht öffentliche Stellen Natürliche Personen Juristische Personen des Privatrechts Personenvereinigungen des Privatrechts Nicht öffentliche Stellen nur, soweit Verarbeitung, Nutzung oder Erhebung von Daten mit Datenverarbeitungsanlagen, oder Verarbeitung, Nutzung oder Erhebung von Daten aus nicht automatisierten Dateien Ausnahme für Erhebung, Verarbeitung oder Nutzung ausschließlich für persönliche oder familiäre Tätigkeiten Ausnahme für Übermittlung einer einfachen Liste (Namen, Anschrift, Geburtsjahr, EIN freies Merkmal)

Geschäftsmäßige und gewerbliche Verarbeitung A) geschäftsmäßig  nach außen gerichtete Datenverarbeitung, die nicht ausschließlich privaten Zwecken folgt. UND auf Wiederholung gerichtet (also nicht gelegentlich) B) gewerblich, beruflich als Gegensatz zum privaten Bereich Wiederholungsabsicht ist belanglos  BDSG findet in beiden Fällen Anwendung!

Bundesdatenschutzgesetz (BDSG) „Zweck dieses Gesetzes ist es, den Einzelnen davor zu schützen, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird.“ Allgemeine Grundsätze Verbot mit Erlaubnisvorbehalt Zweckbindung Regelungen für Erhebung, Speicherung, Verarbeitung und Nutzung, Übermittlung, Berichtigung, Löschung, Sperrung, … Recht auf Auskunft Rechte auf Berichtigung, Sperrung oder Löschung Recht auf Anrufung des Bundesbeauftragten für Datenschutz und anderer Kontrollinstitutionen Recht auf Schadenersatz

BDSG – Dateibegriff (§3) Eine Datei ist eine Sammlung personenbezogener Daten, die durch automatisierte Verfahren nach bestimmten Merkmalen ausgewertet werden kann (automatisierte Datei), oder jede sonstige Sammlung personenbezogener Daten, die gleichartig aufgebaut ist und nach bestimmten Merkmalen geordnet, umgeordnet und ausgewertet werden kann (nicht-automatisierte Datei). Nicht hierzu gehören Akten [...], es sei denn, dass sie durch automatisierte Verfahren umgeordnet und ausgewertet werden können. EG - Datenschutz Richtlinie: jede strukturierte Sammlung wird als Datei angesehen.

BDSG – Der Begriff der Akte Akte: jede sonstige amtlichen oder dienstlichen Zwecken dienende Unterlage Z.B. auch Bild- & Tonträger nicht aber Vorentwürfe und Notizen, die nicht Bestandteil eines Vorganges werden sollen. Nicht öffentliche Unterlagen für geschäftsmäßige, berufliche oder gewerbliche Zwecke

BDSG - Dateibegriff automatisches Erschließen Akte Automat. umordnen auswerten Bearbeiten Ordnen Umwandeln Auswerten nicht-autom. Datei zugreifen EG Struktur- merkmal Merkmal Datei Automatisierte Datei

Dateien aus verarbeitungstechnische Gründen Zwischen- oder Hilfsdateien, die intern bleiben, fallen nicht unter das BDSG Bedingungen: EDV-steuerbar Verwendungszweck ist ausschließlich verarbeitungstechnischer Natur vorübergehend erstellt automatische Löschung z.B.: Zwischenkopien

Einwilligung Über die gesetzlich erlaubten Möglichkeiten hinweg nur bei ausdrücklicher Einwilligung Einwilligung ist nur wirksam, bei vorheriger, umfassender Unterrichtung Einwilligung grds. nur schriftlich, Ausnahme: bei Tele-/Mediendiensten auch elektronisch Auch elektronisch möglich, wenn sichergestellt, dass Eindeutige und bewusste Handlung des Nutzers Einwilligung protokolliert Jederzeit vom Nutzer abrufbar Anwendung der digitalen Signatur nicht (mehr) erforderlich

Erheben Direkterhebung beim Betroffenen (mit deren Wissen) (z.B. schriftliche oder mündliche Befragung) Beschaffung von Daten, die Dritte bereits erhoben haben (-> Datenübermittlung …) Ausnahmen von der Direkterhebung Rechtsvorschrift Aufwands- / Interessenabschätzungen Benachrichtigung des Betroffenen erforderlich "offene" oder heimliche Observation? durch Aufzeichnung von Bild und Ton Analyse von Spuren (Körpergewebe, etc.)

Speichern Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf Datenträgern zum Zwecke ihrer weiteren Verarbeitung oder Nutzung. Es muß eine bedingte Verwendungsabsicht vorliegen Keine Speicherung: Kurzfristiges Aufnehmen und anschließendes Löschen

Verändern vs. Nutzen Verändern: inhaltliches Umgestalten Der Informationsgehalt wird geändert, so dass ein neuer Aussagewert entsteht Berichtigung oder Verfälschung (inkl. Hinzufügen von Daten) Herausnehmen aus dem Zusammenhang Einfügen in einen Zusammenhang Alles andere ist Nutzung Also Entscheiden mittels Daten, statistisches Auswerten

Übermitteln Drei Bestimmungselemente Tatsache der Bekanntgabe Gegenstand der Bekanntgabe Adressat der Bekanntgabe Bekanntgabe ist zweckgerichtetes Handeln Die Form ist unerheblich Eingeschlossen ist die Befähigung Dritter, sich Daten bekannt zu machen  Übersendung einer Diskette  Ermöglichung von Online-Zugriff

EU/US Safe Harbor Nach EU-Richtlinien ist die Übermittlung von personenbezogenen Daten an nicht-EU-Länder nur zulässig, wenn dort ein „angemessenes Schutzniveau“ gewährleistet ist. Trifft zu für Ungarn und die Schweiz, nicht aber für die USA, Kanada, Japan oder Australien Sonderregelung für USA, falls sich die Firma an die Regeln der sogenannten „Save Harbor“-Vereinbarung hält Selbstverpflichtung der Unternehmen Notice, Choice, Onward Transfer, Access, Security, Data Integrity, Enforcement In andere Länder können personenbezogene Daten nur übermittelt werden, wenn die Einwilligung dazu gegeben wurde oder zum Beispiel die Übermittlung zur Erfüllung des Vertrages zwischen Kunde und Anbieter notwendig ist.

Rechte der Bürgerinnen und Bürger Recht auf Auskunft Einsichtsrecht in das Verfahrensverzeichnis Verfahrensverzeichnis = Übersicht über automatisierte Verarbeitungen, in denen personenbezogene Daten gespeichert werden Recht auf Benachrichtigung, Berichtigung, Sperrung oder Löschung Benachrichtigung falls Daten ohne Kenntniss erhoben worden sind

Teledienstedatenschutzgesetz (TDDSG) Bereichsspezifische Datenschutzregelung für die Nutzung von Telediensten Grundsätze des Verbots mit Erlaubnisvorbehalts sowie der Datenvermeidung und Datensparsamkeit Unterteilung Personenbezogener Daten Bestandsdaten (Begründung, inhaltliche Ausgestaltung oder Änderung des Vertrags über die Inanspruchnahme des Teledienstes) – auch ohne Einwilligung des Benutzers (nur für diesen Zweck) Nutzungsdaten Abrechungsdaten Möglichkeit der pseudonymen oder anonymen Dienstwahrnehmung Klare Regelungen zur Zweckbindung, zur Einwilligung, zu Unterrichtspflichten, zu organisatorischen Rahmenbedingungen und Auskunftsrechten Erstmals konkrete Regelungen über die elektronische Einwilligung

Teledienstedatenschutzgesetz (TDDSG) Möglichkeit einer anonymen oder pseudonymen Nutzung falls technisch möglich und zumutbar ist Information des Nutzers über Art, Umfang und Zweck der Datenerhebung vor dem Erhebungsvorgang Einwilligung zur Datenerhebung darf nicht erzwungen werden (z.B. über Dienstverweigerung) Verwendung der Daten für andere Zwecke als die Diensterbringung (z.B. Werbung) nur mit Einwilligung zulässig

Rollen im Umfeld des Datenschutzes Umgang mit personenbezogenen Daten verantwort- liche Stelle Kontrollinstanzen Vertrag, Gesetz Be- trof- fener Betriebs- rat betriebl. DB Kon- trolle BfD/ LfD Bearbeiter beauftragen Auftrags- bearbeiter verwenden Em- pfän- ger übermitteln Daten Beteiligung Schulung/ Kontrolle Dritte mitteilen Träger von (Zusatz-) wissen

Relevanz der Datenschutzgesetze für Betriebe BetrVG geht BDSG als Spezialgesetz vor bei überbetrieblichen DV-Systemen ist BDSG relevant Betriebsrat muss die arbeitnehmerschützenden Normen (u.a. des BDSG) überwachen (§75, § 80 BetrVG) BR nicht zuständig für Kunden- und Lieferantendaten Betroffenenrechte (Benachrichtigung, Auskunft, Berichtigung, Löschen, Sperren) sind durch Verträge nicht ausschliessbar Auswertungen dürfen nicht die Kontrolldichte einer Totalüberwachung erreichen

Rechtliche Rahmenbedingungen Betriebsverfassungsgesetz BetrVG Maßnahmen und Beteiligungsformen bzgl. Arbeitnehmerdatenschutz Informations- und Beratungsrechte bei Planung und Durchführung von Maßnahmen (insbesondere Arbeitssystemgestaltung und Rationalisierung) Mitbestimmungsrechte bei der Einführung überwachungsfähiger Arbeitssysteme und bei der Personaldatenverarbeitung (§87 Abs.1,6; §94; §95) Beteiligungsrechte bei Qualifizierungsmaßnahmen EU-Richtlinie für Bildschirmarbeitsplätze: Überwachung per Computer muss dem Nutzer nachvollziehbar sein.

Systeme im Betrieb mit besonderer Relevanz für den Datenschutz Personalinformationssysteme (PIS) Betriebsdatenerfassung (BDE) Produktionssteuerung Workflowmanagementsysteme Zugangskontrollsysteme und/ oder Electronic Badges Groupware & Mediaspaces