Nur lästige Pflicht?
Die meisten Unternehmen betrachten die Einhaltung der datenschutzrechtlichen Vorschriften sicherlich als lästige Pflicht, Störung der Abläufe, Hemmnis.
Betrachten wir einmal die Vorteile und Chancen, insbesondere durch die EU-weite Einführung der Datenschutz-Grundverordnung (DSGVO).

Was kommt auf uns zu?
Zunächst neue, andere und umfassendere Regeln. Die Umstellung verursacht Kosten und bindet Ressourcen, allerdings EU-weit für alle Unternehmen in gleicher Weise.
Bislang galt für die Unternehmen innerhalb der EU ein z. T. unterschiedliches Datenschutzniveau und eine sehr unterschiedliche behördliche Praxis bei der Durchsetzung der Vorschriften.
Durch die nun einheitliche Regelung verschwinden Vorteile für Unternehmen in Ländern mit einer weniger strengen Gesetzgebung und Behördenpraxis. Dies ist insbesondere für deutsche Unternehmen von Vorteil.

Wer seine Hausaufgaben gemacht hat, gewinnt!
Die DSGVO ist in sehr vielen Punkten nah am bisherigen deutschen Datenschutzrecht. Die Unternehmen, die hier bislang gut aufgestellt waren, haben deutlich weniger Aufwand mit der Umsetzung als Ihre europäischen Marktbegleiter.

Vorteile?
Eine zentrale Forderung der DSGVO ist die Dokumentation aller Tätigkeiten des Unternehmens, bei denen personenbezogene Daten verarbeitet werden.
Dies führt dazu, dass die Prozesse und Abläufe, sowie hiermit verbundene Verantwortungen sichtbar werden und längst überfällige Verbesserungen stattfinden können.

Qualitätsmerkmal Datenschutz
Gut gemachter Datenschutz sowie eine gut dokumentierte IT-Sicherheit sind Merkmale, mit denen Unternehmen werben können und sollten!
Datenschutzskandale, Bußgelder etc. der Marktbegleiter können einen Wettbewerbsvorteil für Unternehmen mit einem funktionierenden Datenschutz- und IT-Sichehrheits-Management bedeuten.

Nutzen Sie die Einführung der DSGVO zur Qualitätsverbesserung in Ihrem Unternehmen!

Quellen:
VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 (Datenschutz-Grundverordnung)

Boris Koppenhöfer
27.12.2017

In den letzten Monaten häufen sich in unserer Beratungspraxis Anfragen nach möglichen Überwachungen der Beschäftigten in Räumen des Unternehmens, die nur von Personal betreten werden dürfen. Meist Aufenthaltsräume wie Kantinen etc. Die Motivationen sind meist ähnlicher Natur und betreffen im Wesentlichen den Schutz von Eigentum (Diebstahl, Vandalismus) und die Identifizierung der jeweiligen Täter.

Der Überwachung zu diesen Zwecken hat der Gesetzgeber enge Grenzen gesetzt. Da es sich bei dieser Form der Videoüberwachung um die Überwachung von nicht-öffentlich zugänglichen Räumen handelt, das bedeutet von Räumen, die nicht von jedermann betreten werden dürfen, ist diese Art der Datenverarbeitung nicht von § 6 b BDSG gedeckt, in dem die Beobachtung öffentlich zugänglicher Räume zu bestimmten Zwecken erlaubt wird.

Da hier im Wesentlichen die Mitarbeiter auf dem Bildmaterial zu sehen sind, handelt es sich um die Erhebung und Verarbeitung von Beschäftigtendaten zum Zweck der Aufklärung einer Straftat. Dies ist in § 32 BDSG geregelt. Hier werden jedoch strenge Maßstäbe für die mögliche Erhebung und Verarbeitung angelegt. Die Norm fordert hier tatsächliche Anhaltspunkte für einen dokumentierten konkreten Verdacht, dass vom Betroffenen eine Straftat begangen wurde. Meist besteht jedoch kein konkreter dokumentierter Verdacht gegen einen bestimmten Mitarbeiter. Dies führt regelmäßig dazu, dass viele Mitarbeiter unter Generalverdacht gestellt werden und ein unverhältnismäßiger Überwachungsdruck auf mehrheitlich unschuldige Personen ausgeübt wird.

Zudem stellt der in den meisten Fällen geringe Verlust (Geschirr, Speisen etc.) keine Rechtfertigung dar, die Videoüberwachung als Mittel der Abschreckung einzusetzen, da hier stets geprüft werden muss, ob ein milderes Mittel eingesetzt werden kann. Dies ist in den meisten Fällen jedoch durchaus möglich.

Der Sächsische Datenschutzbeauftragte hat in seinem Bericht vom 31. März diesen Jahres das Thema im Rahmen seiner Prüfaufgaben aufgegriffen und die Unzulässigkeit in einem Fall von "Videoüberwachung gegen Geschirrsdiebstahl" dargestellt.

Quellen:
Der Sächsische Datenschutzbeauftragte: Tätigkeitsbericht vom 31.03.2017
Gesetze im Internet (Projekt des Bundesministerium der Justiz und für Verbraucherschutz und der juris GmbH)

Boris Koppenhöfer
10.11.2017

Am 25. Mai 2018 entfaltet die Datenschutz-Grundverordnung (DSGVO) und das neue Bundesdatenschutzgesetz (BDSG (neu)) ihre Rechtswirkung.
Unternehmen müssen vieles anpassen, um den neuen Datenschutzgesetzen zu genügen. Datenschutzerklärungen auf der Unternehmens-Website gehören ebenfalls dazu.

Durch die stark steigenden Transparenz- und Informationspflichten gegenüber betroffenen Personen sind bisherige Datenschutzerklärungen meist nicht mehr ausreichend.

e-Privacy-Verordnung
Am 10. Januar 2017 hat die EU-Kommission einen Entwurf der neuen e-Privacy-Verordnung (Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation)¹ veröffentlicht. Dieser stellt eine Spezialisierung der DSGVO dar und geht in ihrem Regelungsbereich der DSGVO vor. Derzeit enthält die Verordnung jedoch keine Regelung zur Datenschutzerklärung.

Somit greifen hier die Artikel 12 und 13 der DSGVO zu Transparenz- und Informationspflichten gegenüber betroffenen Personen.
Zum Inhalt der Informationspflichten siehe auch unser Blogbeitrag "Neue Informationspflichten kommen mit der DSGVO" vom 22. September 2017.

Art. 12 DSGVO fordert, dass die Informationen "in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln" seien.
Dies trifft auf bisherige übliche Datenschutzerklärungen nicht zu und ist eine deutlich höhere Anforderung als bislang.

Klare Strukturen, übersichtliche Anordung und gute Lesbarkeit sollten im Vordergrund stehen, Fließtexte mit vielen Fachbegriffen genügen den neuen Anforderungen nicht. Weiterführende Informationen können jedoch verlinkt werden. In Absatz 7 und 8 des Artikels 12 der DSGVO sind auch standardisierte Bildsymbole zur Darstellung genannt, hier soll die Kommission durch delegierte Rechtsakte die Details regeln.

¹ EU-Kommission: Vorschlag für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation

Quellen:
VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 (Datenschutz-Grundverordnung)
Wikipedia

Boris Koppenhöfer
29.09.2017