Datenschutz und Whistleblowing Formen, Regeln und Fallen

Präsentation zum Thema: "Datenschutz und Whistleblowing Formen, Regeln und Fallen"—  Präsentation transkript:

1 Datenschutz und Whistleblowing Formen, Regeln und Fallen
Hans G. Zeger, ARGE DATEN Wien, xxxx, 31. März 2012 ARGE DATEN - Österreichische Gesellschaft für Datenschutz A-1160 Wien, Redtenbachergasse 20 Tel.: 0676 / Fax.: 01 / Mail Verein: Mail persönlich: WWW-Verein: Zertifizierung: e-commerce: WWW-DSG2000: DSG-Volltext: ftp://ftp.freenet.at/privacy/ds-at/dsg2000-aktuell.pdf DSG-StMV: ftp://ftp.freenet.at/privacy/ds-at/stmv-2004.pdf diverse Muster: elektronische Kopie der Veranstaltungsunterlagen: ARGE DATEN

2 Aktivitäten der ARGE DATEN
Die ARGE DATEN als PRIVACY-Organisation Aktivitäten der ARGE DATEN Öffentlichkeitsarbeit, Informationsdienst: - Web-Service: Besucher/Monat - Newsletter: rund Abonnenten - 2011: rund 500 Medienanfragen/-berichte Mitgliederbetreuung Datenschutzfragen - 2011: ca. 600 Datenschutz-Anfragen Rechtsschutz, PRIVACY-Services - 2011: in ca. 200 Fällen Mitglieder in Verfahren vertreten Zahl der betreuten Mitglieder - aktuell: ca Personen Studien- und Beratungsprojekte A-CERT - Zertifizierungsdienstleister gem. SigG Diese Datenschutzthemen bewegen die Österreicher: - Finanzdienstleister und Privatversicherungen/ Wirtschaftsauskunftsdienste: 28%  - Beruf: 11%  - Persönliches und Privatleben: 10%  - Behörden und Verwaltung: 10%  - Konsumentendaten/Adressenverlage: 8%  - Gesundheit und Soziales: 7%  - Internet und Telekombetreiber: 7%  - Bildung und Ausbildung: 5%  - sonstige Themen, wie Statistik, Politik, Herkunft, öffentliche und private Sicherheit: 15%  Ausgewertet wurden rund 600 Datenschutzfälle der letzten fünf Jahre ,,,,: Tendenzangaben, Entwicklungen gegenüber Vorjahre (Statistik F-6a, Stand Dezember 2011)‏ ARGE DATEN 2

3 Datenschutz ist nicht der Schutz von Daten vor Menschen, sondern die Sicherung des Grundrechts auf Privatsphäre - ARGE DATEN

4 Whistleblowing Zusammenfassung ARGE DATEN Definition / Grundlagen
Formen Szenarien Datenschutzrechte Zusammenfassung - ARGE DATEN

5 "bekannt geben" als Verallgemeinerung
Whistleblowing - Grundlagen Whistleblowing - "verpfeifen" - Hinweisgeber "Ein Whistleblower (vom Englischen to blow the whistle; auf Deutsch wörtlich: „die Pfeife blasen“) ist ein Hinweisgeber oder ein Informant, der Missstände wie illegales Handeln (z.B. Korruption, Insiderhandel und Menschenrechtsverletzungen) oder allgemeine Gefahren, von denen er an seinem Arbeitsplatz oder in anderen Zusammenhängen erfährt, wie beispielsweise als Patient bei einer medizinischen Behandlung, an die Öffentlichkeit bringt." (aus Wikipedia.org) Whistleblowing - "verpfeifen" - Hinweisgeber "Ein Whistleblower (vom Englischen to blow the whistle; auf Deutsch wörtlich: „die Pfeife blasen“) ist ein Hinweisgeber oder ein Informant, der Missstände wie illegales Handeln (z.B. Korruption, Insiderhandel und Menschenrechtsverletzungen) oder allgemeine Gefahren, von denen er an seinem Arbeitsplatz oder in anderen Zusammenhängen erfährt, wie beispielsweise als Patient bei einer medizinischen Behandlung, an die Öffentlichkeit bringt." (aus Wikipedia.org) bekannt gibt." "bekannt geben" als Verallgemeinerung - ARGE DATEN

6 Whistleblowing - (Rechts-)Grundlagen
Whistleblowing - Grundlagen Whistleblowing - (Rechts-)Grundlagen - intenationale Vorgaben, etwa für an US-Börsen notierte Unternehmen („False Claim Act 1986“, den „US Whistleblower Protection Act 1989“, den „Sarbanes-Oxley Act 2002“, SOX) - generelle Sorfaltspflichten eines Unternehmens - spezifische gesetzliche Bestimmungen, in Österreich derzeit für Behörden bzw. für im öffentlichen Einfluss stehende Betriebe in Diskussion - moralisches Gerechtigkeitsgefühl der Hinweisgeber - ??? - ARGE DATEN

7 Whistleblowing - Formen I
Whistleblowing - Erscheinungsformen Whistleblowing - Formen I "bekannt geben" kann bedeuten: - innerbetrieblich melden - im Auftrag des Betriebs an eine neutrale Ombudsstelle melden - an den Gesellschafter (z.B. Konzernzentrale, ...) melden - an Strafverfolgungsbehörden melden ("Anzeige") - an die Öffentlichkeit bringen Jede dieser Formen ist datenschutzrechtlich unterschiedlich zu behandeln! - ARGE DATEN

8 Whistleblowing - Formen II
Whistleblowing - Erscheinungsformen Whistleblowing - Formen II "Meldung / Melder": - Meldung erfolgt anonym: meist nur Einmalhinweis möglich - Meldung erfolgt pseudonymisiert: erlaubt Rückfragen, Rückmeldungen - Meldung erfolgt personenbezogen Jede dieser Formen ist datenschutzrechtlich unterschiedlich zu behandeln! - ARGE DATEN

9 Whistleblowing - Formen III
Whistleblowing - Erscheinungsformen Whistleblowing - Formen III Methode wie Hinweise gegeben werden können: - Angabe einer Postadresse - Angabe einer Telefonnummer / Hotline - Online-Service (Webformular) Jede dieser Formen ist datenschutzrechtlich unterschiedlich zu behandeln! - ARGE DATEN

10 Whistleblowing - datenschutzrelevanz
Whistleblowing - Erscheinungsformen Whistleblowing - datenschutzrelevanz - Hinweise behandeln im Regelfall nicht allgemein bekannte Tatsachen - es besteht ein Personenbezug a) es werden konkrete Personen bezichtigt und/oder b) Hinweisgeber kann identifiziert werden und/oder c) Daten beziehen sich auf Unternehmen - es kann eine Datenanwendung im Sinne des DSG vorliegen - Hinweise können strafrechtlich relevante Sachverhalte betreffen - für Betroffene können sich subjektive Rechte ergeben  Anspruch auf Geheimhaltung  Registrierungs-, Genehmigungspflichten  Vorabkontrollpflicht -  Auskunftsrechte, Richtigstellungs- und Löschungsrechte ARGE DATEN

11 Whistleblowing - Szenario I
Whistleblowing - Szenarien Whistleblowing - Szenario I Es existiert nur ein innerbetriebliches Postfach, eine innerbetriebliche Hotline ohne EDV-Unterstützung, der Hinweisgeber muss seine Identität nicht bekannt geben, die Hinweise werden sachbezogen abgelegt.  Geheimhaltungspflicht  Personenbezug bezüglich bezichtigter Person, möglicherweise auch des Hinweisgeber, wenn er identifiziert werden kann  keine Datenanwendung, da ausschließlich manuelle Verarbeitung und keine personenbezogene Sortierung  keine spezifischen Melde- und Genehmigungs-pflichten  keine Auskunfts- und Richtigstellungspflichten - ARGE DATEN

12 Whistleblowing - Szenario II
Whistleblowing - Szenarien Whistleblowing - Szenario II Innerbetriebliches Online-Meldeportal, Hinweisgeber muss seine Identität nicht bekannt geben, Hinweise können nach allen Begriffen durchsucht werden.  Geheimhaltungspflicht, Personenbezug wie I  Datenanwendung liegt vor  Meldepflicht der Datenanwendung, Auftraggeber ist der Betrieb  Vorabkontrollpflichtig!, da auch strafrechtlich relevante Sachverhalte betroffen sein können. Genehmigung der DSK muss vor Betriebsbeginn vorliegen!  Auskunfts- und Richtigstellungspflichten gegenüber bezichtigter Personen, jedoch mit Ausnahmen - ARGE DATEN

13 Die sonstigen Beschränkungen des § 26 DSG 2000 bleiben aufrecht!
Whistleblowing - Datenschutzverpflichtungen Whistleblowing - Auskunftsrecht § 26 DSG 2000 Jeder Betroffene hat Auskunftsrecht, jedoch mit Einschränkungen. § 26 Auskunftsrecht kann beschränkt werden, wenn a) überwiegende Interessen Dritter werden gefährdet (z.B. Schutzinteressen des Hinweisgebers gegenüber einer bezichtigten Person) b) Interessen des Auftraggebers werden gefährdet (z.B. Aufklärungsinteressen bezüglich der Hinweise) Die sonstigen Beschränkungen des § 26 DSG bleiben aufrecht! - ARGE DATEN

14 Whistleblowing - Richtigstellungs- und Löschungsrecht § 27 DSG 2000
Whistleblowing - Datenschutzverpflichtungen Whistleblowing - Richtigstellungs- und Löschungsrecht § 27 DSG 2000 Jeder Betroffene hat Richtigstellungs- und Löschungsrecht, jedoch mit Einschränkungen. § 27 kann beschränkt werden, wenn a) mit einer Richtigstellung/Löschung der Zweck der Datenanwendung nicht mehr erfüllt werden kann (z.B. Dokumentationszweck), in der Regel ist jedoch ein Bestreitungsvermerk durch Betroffenen anzubringen b) eine Richtigstellung/Aktualisierung für die Datenanwendung unwesentlich ist - ARGE DATEN

15 Whistleblowing - Szenario III
Whistleblowing - Szenarien Whistleblowing - Szenario III Online-Meldeportal durch Ombudsstelle betrieben, Hinweisgeber muss seine Identität nicht bekannt geben, Hinweise können nach allen Begriffen durchsucht werden.  Geheimhaltungspflicht, Personenbezug, Datenanwendung wie II  Meldepflicht der Datenanwendung a) Auftraggeber ist Ombudsstelle, wenn sie selbst über weitere Verwendung der Daten entscheidet b) Auftraggeber ist Betrieb, wenn Ombudsstelle nur auf Weisung des Betriebs handelt, Ombudsstelle ist datenschutzrechtlicher Dienstleister  Vorabkontrollpflicht, Auskunfts- und Richtigstellungspflichten wie II - ARGE DATEN

16 Whistleblowing - Szenario IV
Whistleblowing - Szenarien Whistleblowing - Szenario IV Online-Meldeportal durch Konzernzentrale betrieben, Hinweisgeber muss seine Identität nicht bekannt geben, Hinweise können nach allen Begriffen durchsucht werden.  Geheimhaltungspflicht, Personenbezug, Datenanwendung wie II  Meldepflicht der Datenanwendung folgt grundsätzlich nach denselben Regeln wie III (Ombudsstelle)  Vorabkontrollpflicht, Auskunfts- und Richtigstellungspflichten wie II  Liegt die Konzernzentrale in einem Drittstaat ohne gleichwertigem Datenschutzrecht (z.B. in USA), ist in jedem Fall eine Genehmigung der DSK für Daten- Export erforderlich - ARGE DATEN

17 Whistleblowing - Szenario V
Whistleblowing - Szenarien Whistleblowing - Szenario V Anzeige bei Strafverfolgungsbehörde, Hinweisgeber muss seine Identität nicht bekannt geben.  Geheimhaltungspflicht durch Strafverfolgungsbehörde soweit gesetzlich bestimmt  Personenbezug ja, keine Datenanwendung wie I  keine Meldepflicht der Datenanwendung  Auskunfts- und Richtigstellungspflichten folgen den gesetzlichen Bestimmungen (Parteienstellung) - ARGE DATEN

18 Whistleblowing - Szenario VI
Whistleblowing - Szenarien Whistleblowing - Szenario VI Hinweis erfolgt bei Medienunternehmen, eventuell über ein vom Medienunternehmen eingerichtetes Portal, Hinweisgeber muss seine Identität nicht bekannt geben.  Entspricht III (Ombudsstelle)  Veröffentlichung und Verwendung der Informationen im Rahmen einer wahrheitsgetreuen Berichterstattung möglich, auch wenn Informationen unter Verletzung von Schutz- und Strafbestimmungen erhalten wurden - ARGE DATEN

19 Whistleblowing - Szenario VII
Whistleblowing - Szenarien Whistleblowing - Szenario VII Hinweisgeber organisiert ein eigenes Online-Portal um Missstände aufzuzeigen, zu veröffentlichen.  Online-Portale, die öffentlich zugänglich sind (einem unbestimmten Personenkreis) sind als Medium anzusehen, Hinweisgeber übernimmt rolle eines Medienunternehmens  ansonsten entspricht es VI (Mediendienst) - ARGE DATEN

20 Whistleblowing - Resumee
- wird im Regelfall eine meldepflichtige Datenanwendung sein (auch wenn nicht direkt Personen anzugeben sind, werden sie im Regelfall identifiziert werden können) - wird der Vorabkontrolle unterliegen (strafrechtlich relevante Vorwürfe) - liegt die Verarbeitung in einem Drittland ohne gleichwertigen Datenschutzbestimmungen vor, dann muss zusätzlich eine Genehmigung für Datenexpert eingeholt werden - eine Betriebsvereinbarung wird erforderlich sein, wenn Whistleblowing-System von Unternehmen initiiert ist oder das Unternehmen aktiv beteiligt ist - ARGE DATEN

21 Whistleblowing - Resumee II
- Datenverwendung ist auf Aufklärung der gemeldeten Missstände zu beschränken - Daten sind zu löschen, wenn sie für die Aufklärung der gemeldeten Missstände nicht mehr erforderlich sind, z.B.: a) der aufgezeigte Missstand erweist sich als haltlos b) der aufgezeigte Missstand wird bereinigt c) der aufgezeigte Missstand führt zu einer Anzeige bzw. zu einem "offiziellen" Verfahren (straf-, zivil-, verwaltungsrechtlich) Allenfalls müssen aus Dokumentationszwecken zum Missstand anonymisierte Zusammenfassungen erstellt werden. - ARGE DATEN

22 Ich danke für Ihre Aufmerksamkeit
- ARGE DATEN

23 Anhang ARGE DATEN Verschwiegenheitspflichten Cybercrime DVR-Meldung
Standard- und Musteranwendungen - ARGE DATEN

24 Dr. Hans G. Zeger ARGE DATEN Kontakt e-commerce monitoring gmbh
A-1010 Wien, Vorlaufstrße 5/6 Tel.: Fax.: Mail persönlich: Zertifizierung: e-commerce: Web2.0: Personal Page: - ARGE DATEN

25 Dr. Hans G. Zeger ARGE DATEN Kontakt ARGE DATEN
A-1160 Wien, Redtenbachergasse 20 Tel.: / Fax.: / Mail persönlich: Verein: Web2.0: Personal Page: - ARGE DATEN

26 "Videoüberwachung war ein Fiasko"
Mike Neville, Chef der CCTV-Einheit bei Scotland Yard, 2008 Trotzdem: "Wir brauchen mehr Kameras, mehr Personal, bessere Software, ..." derselbe, 2008 - "Wir können beliebig viele Postkutschen aneinander reihen, niemals wird daraus eine Eisenbahn" Joseph Schumpeter, Nationalökonom, 1911 Dr. Hans G. Zeger ARGE DATEN © Hans G. Zeger 2009

27 Mehr zu unserer "Lust an totaler Kontrolle"
WIR WOLLEN SICHERHEIT, Überraschungen sind Bedrohungen. Aus dem Bedürfnis, alles planen zu können, erwächst die Notwendigkeit totaler Kontrolle: Wir werden identifizierbar, berechenbar, steuerbar; wir werden zu Objekten in totalen Institutionen. 364 Seiten, Format 125x205, Hardcover, EUR 22,-, ISBN: Residenz Verlag 2008 - ARGE DATEN

28 Dr. Hans G. Zeger ARGE DATEN Kontakt e-commerce monitoring gmbh
A-1010 Wien, Vorlaufstrße 5/6 Tel.: Fax.: Mail persönlich: Zertifizierung: e-commerce: Web2.0: Personal Page: - ARGE DATEN