Datenschutz-Projekt: Rechtliche Bestimmungen zum Datenschutz

R E C H T L I C H E B E S T I M M U N G E N Z U M D A T E N S C H U T Z

Es gibt zahlreiche nationale und internationale Regelungen und Verträge zum Thema Datenschutz und Umgang mit personenbezogenen Daten. Eine der ersten Vereinbarungen in diese Richtung waren die „OECD Guidlines on the Protection of Privacy and Transborder Data Flows of Personal Data“. Diese sollten internationale Datenschutzbestimmungen harmonisieren, den freien Informationsaustausch fördern und Handelshemmnisse verringern.
In Europa
Die Europäische Datenschutzrichtlinie 95/46/EG vom 24. Oktober 1995 sollte den Schutz der Privatsphäre von natürlichen Personen bei der Verarbeitung personenbezogener Daten verbessern. In dieser Richtlinie wurden Mindeststandards für den Datenschutz festgelegt, die jedes Mitgliedsland in nationale Gesetze umsetzen musste. Dabei wurden die Außen- und Sicherheitspolitik sowie die Zusammenarbeit in Strafsachen ausdrücklich ausgenommen. Deutschland hat diese Richtlinie am 23. Mai 2001 in das Bundesdatenschutzgesetz umgesetzt, allerdings erst nach einem eingeleiteten Vertragsverletzungsverfahren, da man die 3-Jahres-Frist für die Umsetzung nicht eingehalten hatte. Auch die mangelnde Unabhängigkeit der Datenschutzbeauftragten, die teilweise den Landesregierungen unterstehen, wurde beanstandet. Später wurde diese Richtlinie durch die Datenschutzrichtlinie für elektronische Kommunikation erweitert. Darin wurden telekommunikationsspezifische Regelungen getroffen, die sich z.B. mit dem Mithören von Telefongesprächen, dem Abfangen von E-Mails, dem Einzelgebührennachweis, und dem Unterdrücken von Telefonnummern beschätigen. Auch wurde in dieser Richtlinie ein Mindestspeicherzeitraum für Telefon-(1 Jahr) und Internetdaten(6 Monate) festgelegt. Wieder wurde gegen Deutschland ein Vertragsverletzungsverfahren eingeleitet, bevor 2004 das Telekommunikationsgesetz entsprechend geändert wurde.
In Deutschland
Das Bundesdatenschutzgesetz ist die Umsetzung der Europäischen Datenschutzrichtlinie in nationales Recht. §1 Absatz1 sagt dazu: Daten sind personenbezogen, wenn sie persönliche oder sachliche Verhältnisse einer natürlichen Person beschreiben. Im Gegenzug dazu stehen anonyme Daten und Daten juristischer Personen, die nicht geschützt sind. Besonders geschützt sind dagegen besondere Daten wie die rassische oder ethnische Herkunft, die politische Meinung, die religiöse oder philosophische Überzeugung, die Gewerkschaftszugehörigkeit, die Gesundheit sowie das Sexualleben der Betroffenen. Die in diesem Gesetz geregelten Tätigkeiten sind die Erhebung, Verarbeitung und Nutzung von Daten sowie die Rechte und Pflichten der Aufsichtsbehörden. Hierbei gilt das sogenannte Sitzprinzip. Wenn die verarbeitende Stelle keinen Sitz in Deutschland hat, wird das jeweilige nationale Recht „importiert“. Auch wird hier eine Unterscheidung zwischen staatlichen Stellen(öffentlicher Bereich) und privaten Stellen(nicht-öffentlicher Bereich) getroffen. Öffentlich-rechtliche Unternehmen werden wie private Stellen behandelt. Jede Stelle mit mehr als 10 Angestellten benötigt einen eigenen Datenschutzbeauftragten. Im Bundesdatenschutzgesetz gilt das Verbotsprinzip mit Erlaubnisvorbehalt, d.h. Datenerhebung und -verarbeitung sind im Prinzip verboten, wenn keine Rechtsgrundlage oder Erlaubnis des Betroffenen vorliegt. Auch gelten die Prinzipien der Datenvermeidung und Datensparsamkeit, d.h. so wenig personenbezogene Daten wie möglich sollten verwendet werden. Anonymisierungen und Pseudonymisierungen sind so oft wie möglich vorzunehmen. Auch werden im Bundesdatenschutzgesetz die Fürsorgepflichten der verarbeitenden Stelle beschrieben, was die Gewährung der Betroffenenrechte und die Transparenz und den Schutz der EDV(Verfahrensverzeichnis, Zugriffsverzeichnis) angeht. Sonderregelungen gelten für die großen Kirchen, die sich eigene Datenschutzregelungen gegeben haben, sowie für die Sozialgesetzgebung.
In Sachsen
Das Sächsische Datenschutzgesetz regelt den Umgang mit personenbezogenen Daten in sächsischen Behörden und im nicht-öffentlichen Bereich.

§4 beschreibt die Zulässigkeit der Datenverarbeitung. Sie ist nur dann erlaubt, wenn

das Sächsische Datenschutzgesetz oder eine andere Rechtsvorschrift sie erlaubt oder

der Betroffene eingewilligt hat.

Außerdem werden diejenigen personenbezogenen Daten besonders geschützt, die bereits im Bundesdatenschutzgesetz besonders privilegiert sind. Einschränkungen werden dort gemacht, wo ein lebenswichtiges Interesse des Betroffenen besteht oder wo der Betroffene seine Daten offensichtlich freiwillig zur Verfügung gestellt hat. Auf jeden Fall hat vor der Datenerhebung eine detaillierte Information darüber stattzufinden, wofür die gesammelten Daten verwendet werden sollen und darüber, dass der Bürger auch das Recht hat die Datenweitergabe zu verweigern. Die Einwilligung des Betroffenen hat in der Regel in schriftlicher Form zu erfolgen.

§5 Hier werden die Rechte der Bürger festgeschrieben.

§6 Das sogenannte Datengeheimnis:

"Den für eine öffentliche Stelle tätigen Personen ist es untersagt, per-sonenbezogene Daten unbefugt zu verarbeiten (Datengeheimnis). Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort."

§7 regelt die Datenverarbeitung im Auftrag. D.h. auch wenn z.B. eine öffentliche Stelle den Autrag zur Datenverarbeitung an eine private Stelle vergibt, ist die öffentliche Stelle immernoch für die Gewährleistung der Datenschutzgesetze zuständig. Dies geschieht zum Beispiel durch Sicherheitsüberprüfungen bei der beauftragten Stelle.

§8 legt Standards für automatisierte Abrufverfahren fest. Dies ist vor allem für die Wartung der Datenverarbeitungssysteme wichtig. Auch hier liegt die Fürsorgepflicht bei der jeweilig zuständigen Stelle.

§9 Die verarbeitenden Stellen sind dazu verpflichtet, alle Maßnahmen zu treffen, um die Einhaltung der Grundsätze des Datenschutzes zu gewährleisten:

nur Befugte personenbezogene Daten zur Kenntnis nehmen können (Vertraulichkeit),

personenbezogene Daten während der Verarbeitung unversehrt, vollständig und aktuell bleiben (Integrität),

personenbezogene Daten zeitgerecht zur Verfügung stehen und ordnungsgemäß verarbeitet werden können (Verfügbarkeit),

jederzeit personenbezogene Daten ihrem Ursprung zugeordnet werden können (Authentizi-tät),

festgestellt werden kann, wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat (Revisionsfähigkeit),

die Verfahrensweisen bei der Verarbeitung personenbezogener Daten vollständig, aktuell und in einer Weise dokumentiert sind, dass sie in zumutbarer Zeit nachvollzogen werden können (Transparenz).

In den Paragraphen 25 bis 30a wird über die Rechte und Pflichten des Sächsischen Datenschutzbeauftragten berichtet. Der SDSB ist ein Beamter auf Zeit, der gegenüber politischen Weisungen unabhängig ist. Er ist direkt dem Landtagspräsidenten unterstellt. In Fragen des Datenschutzes ist der SDSB während und nach dem Gesetzgebungsverfahren durch den Landtag anzuhören Der Sächsische Datenschutzbeauftragte ist die oberste Kontrollinstanz für die öffentlichen Stellen im Freistaat Sachsen. Dabei besteht für die Stellen eine Pflicht, den Datenschutzbeauftragten bei seiner Arbeit zu unterstützen. Diese umfasst:

Auskunft

Einsicht in Akten

Zutritt zu Diensträumen

Der Sächsische Datenschutzbeauftragte ist ebenfalls eine Kontrollinstanz für den nicht-öffentlichen Bereich. Dabei unterliegt er jedoch der Rechtsaufsicht durch die Staatsregierung.