BfDI: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (§§ 8 – 21)

Der Bundesbeauftragte ist zuständig für die Aufsicht über die öffentlichen Stellen des Bundes. Ebenso beaufsichtigt er Unternehmen, die geschäftsmäßig Telekommunikations- oder Postdienstleistungen erbringen. Er erstellt jährlich einen Bericht, der eine Liste der Arten gemeldeter Verstöße und der Arten getroffener Maßnahmen und der verhängten Sanktionen enthält. Er vertritt Deutschland im Europäischen Datenschutzausschuss, sein Stellvertreter ist der Leiter der Aufsichtsbehörde eines Bundeslandes.

Kapitel 1: Rechtsgrundlagen der Verarbeitung personenbezogener Daten (§§ 22 – 31)

Besondere Kategorien personenbezogener Daten und Zweckänderungen (§§ 22 – 25)

Die DS-GVO sieht in Art. 9 (4) ergänzende nationale Bestimmungen zur Verarbeitung besonders sensibler Daten wie z. B. Gesundheitsdaten vor. In § 22 präzisiert das BDSG die Voraussetzungen und die technischen und organisatorischen Schutzmaßnahmen, wie zum Beispiel Verfahren zur regelmäßigen Bewertung ihrer Wirksamkeit oder die Benennung eines Datenschutzbeauftragten. Personenbezogene Daten dürfen nur unter bestimmten Voraussetzungen zu einem anderen Zweck verarbeitet werden als demjenigen, zu dem sie erhoben wurden (siehe auch Erwägungsgrund 50 DS-GVO). Dazu gehört zum Beispiel die Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit, die Verfolgung von Straftaten und Ordnungswidrigkeiten oder die Prüfung von Angaben gegenüber einer Behörde, wenn es Anhaltspunkte für deren Unrichtigkeit gibt.

Besondere Verarbeitungssituationen (§§ 26 – 31)

Die DS-GVO delegiert die Datenschutzregelung für die Datenverarbeitung im Beschäftigungskontext an die Mitgliedsstaaten (Art. 88 (1) DS-GVO). Dies erfolgt in § 26 des BDSG. Hier wird insbesondere der Personenkreis der Beschäftigten definiert, z. B. Arbeitnehmer, Auszubildende, BuFDis, Bundesbeamte, Soldaten und auch Bewerber. An die Freiwilligkeit von Einwilligungen stellt das BDSG im Beschäftigungskontext hohe Anforderungen. Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.

Für Zwecke von Wissenschaft, historischer Forschung oder Statistik dürfen besondere Kategorien personenbezogener Daten auch ohne Einwilligung verarbeitet werden. Dabei dürfen entgegenstehende Interessen der betroffenen Person aber nicht erheblich überwiegen. Wenn besondere Kategorien personenbezogener Daten im öffentlichen Interesse archiviert werden, müssen angemessene und spezifische Schutzmaßnahmen getroffen werden. Insbesondere muss dokumentiert werden, wer Daten eingegeben, verändert oder entfernt hat. Datenschutzrechtliche Auskunft braucht nur erteilt zu werden, wenn das Archivgut namentlich erschlossen ist und die Daten mit vertretbarem Verwaltungsaufwand aufzufinden sind.

Datenschutzrechtliche Auskunft braucht nicht erteilt zu werden, wenn Geheimhaltungspflichten entgegenstehen. Dies betrifft insbesondere Daten, die unter der Verantwortung von Berufsgeheimnis- oder Amtsgeheimnisträgern verarbeitet werden.

Wenn ein Verbraucherkredit wegen einer Bonitätsauskunft abgelehnt wird, muss der Verbraucher unverzüglich über die Ablehnung und über die erhaltene Auskunft unterrichtet werden. Zur Berechnung von Scoring-Werten dürfen nur Daten verwendet werden, die nachweisbar für die Berechnung erheblich sind. Sollen Adressdaten in die Berechnung einfließen, muss der Betroffene informiert werden, die Berechnung darf aber nicht ausschließlich auf Adressdaten beruhen.

Kapitel 2: Rechte der betroffenen Person (§§ 32 – 37)

Wenn personenbezogene Daten erhoben werden, muss die betroffene Person gemäß DS-GVO umfassend informiert werden, es sei denn sie verfügt schon über die Informationen. Das BDSG legt weitere Ausnahmen von dieser Pflicht fest: zum Beispiel wenn Daten nur analog verwendet werden (wie beispielsweise Visitenkarten), oder wenn öffentliche Sicherheit oder Ordnung, Steuererhebung, öffentliche Gesundheit oder rechtliche Ansprüche des Verantwortlichen gefährdet würden. In diesen Fällen hat die betroffene Person auch kein Recht auf Auskunft. Die Gründe der Auskunftsverweigerung sind zu dokumentieren. Die Ablehnung ist gegenüber der betroffenen Person in der Regel zu begründen. Bei Versicherungsverträgen hat der Versicherte nur dann das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, wenn eine Leistung verweigert wird.

Kapitel 3: Pflichten der Verantwortlichen und Auftragsverarbeiter (§§ 5, 38, 39)

Jede öffentliche Stelle muss einen Datenschutzbeauftragten benennen, eine nichtöffentliche Stelle jedoch nur, wenn sie mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Sie braucht auf jeden Fall aber einen Datenschutzbeauftragten, wenn sie wegen hohen Risikos für die Rechte und Freiheiten natürlicher Personen Datenschutz-Folgenabschätzungen durchführen muss, oder wenn sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet.

Kapitel 4: Aufsichtsbehörde für die Datenverarbeitung durch nichtöffentliche Stellen (§ 40)

Die datenschutzrechtliche Überwachung der nichtöffentlichen Stellen liegt in der Hoheit der Bundesländer. Deren Aufsichtsbehörden können bei Verstößen die betroffenen Personen unterrichten, den Verstoß anderen für die Verfolgung oder Ahndung zuständigen Stellen anzeigen sowie bei schwerwiegenden Verstößen die Gewerbeaufsichtsbehörde zur Durchführung gewerberechtlicher Maßnahmen unterrichten. Ihre Mitarbeiter dürfen zur Erfüllung ihrer Aufgaben Grundstücke und Geschäftsräume der nichtöffentlichen Stelle betreten und Zugang zu allen Datenverarbeitungsanlagen erhalten. Die Aufsichtsbehörden beraten und unterstützen die Datenschutzbeauftragten.

Kapitel 5 und 6: Sanktionen und Rechtsbehelfe (§§ 41 – 44)

Die DS-GVO legt den Rahmen für die Höhe der Sanktionen bei Verstößen fest (Geldbuße bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes). Die Durchführung der Ahndung von Verstößen erfolgt nach dem Gesetz über Ordnungswidrigkeiten. Wenn eine Geldbuße 100.000 Euro übersteigt, entscheidet das Landgericht. Es gelten dann die Strafprozessordnung und das Gerichtsverfassungsgesetz. Über eine eventuelle Einstellung kann die Staatsanwaltschaft nur mit Zustimmung der Aufsichtsbehörde entscheiden. Datenschutzverletzungen können auch mit Freiheitsstrafe bis zu drei Jahren bestraft werden, wenn Daten gewerbsmäßig Dritten zugänglich gemacht werden oder wenn Daten durch unrichtige Angaben erschlichen werden.

Kapitel 1: Anwendungsbereich, Begriffsbestimmungen und allgemeine Grundsätze für die Verarbeitung personenbezogener Daten (§§ 45 – 47)

Der dritte Teil des BDSG gilt für die Verarbeitung personenbezogener Daten durch die Polizei- und Justizbehörden, soweit sie Daten zum Zweck der Erfüllung ihrer Aufgaben verarbeiten. Die Begriffsbestimmungen sind ebenso wie die allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten weitgehend denjenigen der DS-GVO ähnlich.

Kapitel 2: Rechtsgrundlagen der Verarbeitung personenbezogener Daten (§§ 48 – 54)

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur zulässig, wenn sie zur Aufgabenerfüllung unbedingt erforderlich ist. Es sind geeignete Schutzmaßnahmen vorzusehen. Die Beispielliste enthält acht Maßnahmen, darunter die Festlegung besonderer Aussonderungsprüffristen, die Sensibilisierung der Beteiligten oder die Beschränkung des Zugangs zu den Daten innerhalb der verantwortlichen Stelle. Die konkrete Ausgestaltung der Maßnahmen kann von Einzelfall zu Einzelfall variieren. In diesem Kapitel werden auch die Bedingungen für die Einwilligung, für Zweckänderungen, für die Weisungsbindung und die Verpflichtung auf das Datengeheimnis sowie für automatisierte Einzelentscheidungen festgelegt.

Kapitel 3: Betroffenenrechte (§§ 55 – 61)

Der Verantwortliche stellt Informationen zu den Verarbeitungszwecken, zur Wahrnehmung der Betroffenenrechte, zu seinen Kontaktdaten und zum Recht auf Anrufung des Bundesbeauftragten für den Datenschutz in allgemeiner Form für jedermann zugänglich zur Verfügung. Für individuelle Auskünfte, Berichtigungs- oder Löschverlangen werden in diesem Kapitel die Voraussetzungen, Inhalte und Verfahren definiert. Zudem wird hier das Recht auf Beschwerde beim Bundesbeauftragten für den Datenschutz geregelt.

Kapitel 4: Pflichten der Verantwortlichen und Auftragsverarbeiter (§§ 62 – 77)

Auftragsverarbeitung (§ 62)

Lässt der Verantwortliche personenbezogene Daten durch einen Dienstleister verarbeiten, bleibt er in der datenschutzrechtlichen Verantwortung. Insbesondere ist er in der Pflicht, dass die Betroffenenrechte erfüllt werden. Die Verarbeitung durch einen Auftragsverarbeiter darf nur auf der Grundlage eines Vertrags erfolgen, der festgelegte Inhalte aufweisen muss, zum Beispiel die strikte Bindung an dokumentierte Weisungen oder die Verpflichtung, alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zurückzugeben, zu löschen und eventuelle Kopien zu vernichten.

Sicherheit der Datenverarbeitung (§ 64)

Der Verantwortliche und der Auftragsverarbeiter müssen die erforderlichen technischen und organisatorischen Maßnahmen treffen, um bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierbei sind die einschlägigen Technischen Richtlinien und Empfehlungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zu berücksichtigen. Es werden 14 Schutzzwecke aufgelistet, darunter Zugangskontrolle, Datenträgerkontrolle, Benutzerkontrolle, Zugriffskontrolle, Eingabekontrolle, Datenintegrität oder Verfügbarkeitskontrolle. Die Maßnahmen sollen dazu führen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sichergestellt werden und die Verfügbarkeit der personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden können. Die Maßnahmen können unter anderem die Pseudonymisierung und Verschlüsselung umfassen.

Datenschutzverletzungen (§§ 65, 66)

Datenschutzverletzungen sind unverzüglich, möglichst innerhalb von 72 Stunden nach Bekanntwerden, dem Bundesbeauftragten zu melden. Betroffene Personen sind unverzüglich über den Vorfall zu benachrichtigen, wenn eine erhebliche Gefahr für ihre Rechtsgüter nicht ausgeschlossen werden kann.

Datenschutz-Folgenabschätzung, Verzeichnis von Verarbeitungstätigkeiten, Technikgestaltung und Voreinstellungen (§§ 67 – 71)

Der Verantwortliche muss eine Datenschutz-Folgenabschätzung durchführen, wenn von der Form der Verarbeitung eine erhebliche Gefahr für die Rechtsgüter betroffener Personen ausgeht. Er hat ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten zu führen. Er hat dafür zu sorgen, dass für seine Verarbeitungstätigkeiten der Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umgesetzt wird.

Unterscheidung zwischen verschiedenen Kategorien betroffener Personen (§ 72) und zwischen Tatsachen und persönlichen Einschätzungen (§ 73)

Er muss bei der Verarbeitung zwischen den verschiedenen Kategorien betroffener Personen unterscheiden: Personen unter Verdacht einer begangenen Straftat, Personen unter Verdacht einer geplanten Straftat, verurteilte Straftäter, tatsächliche oder vermutliche Opfer einer Straftat und andere Personen wie Zeugen, Hinweisgeber oder Kontaktpersonen von Tätern oder Opfern. Zudem muss er zwischen Tatsachen und persönlichen Einschätzungen unterscheiden.

Übermittlungen, Berichtigung und Löschung, Protokollierung (§§ 74 – 76)

Bei Übermittlungen an andere Stellen muss der Verantwortliche gewährleisten, dass keine falschen oder veralteten Daten übermittelt werden. Er muss sicherstellen, dass gespeicherte Daten spätestens nach Ablauf ihrer gesetzlichen Höchstspeicherfrist gelöscht werden. Er muss Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlung, Kombination und Löschung protokollieren und die Protokolldaten am Ende des darauffolgenden Jahres löschen.

Vertrauliche Meldung von Verstößen (§ 77)

Der Verantwortliche muss ermöglichen, dass ihm Datenschutzverstöße vertraulich gemeldet werden können.

Kapitel 5: Datenübermittlungen an Drittstaaten und an internationale Organisationen (§§ 78 – 81)

Datenübermittlungen an Stellen außerhalb der Europäischen Union und an internationale Organisationen sind nur unter bestimmten Voraussetzungen zulässig. Die europäische Kommission muss einen Angemessenheitsbeschluss für den betreffenden Staat gemäß der JI-Richtlinie getroffen haben. Andernfalls kann der Verantwortliche selbst einschätzen, ob geeignete Garantien für den Schutz personenbezogener Daten bestehen. Bei schwerwiegenden Gründen können Daten auch übermittelt werden, wenn keine geeigneten Garantien vorliegen.

Kapitel 6: Zusammenarbeit der Aufsichtsbehörden (§ 82)

Der Bundesbeauftragte leistet den Aufsichtsbehörden anderer EU-Mitgliedsstaaten Amtshilfe, insbesondere bei Auskunftsersuchen oder aufsichtsbezogenen Maßnahmen.

Kapitel 7: Haftung und Sanktionen (§§ 83, 84)

Wird jemandem durch rechtswidrige Verarbeitung ein Schaden zugefügt, ist der Verantwortliche schadensersatzpflichtig. Für die Verjährung gelten die Verjährungsvorschriften des BGB entsprechend. Datenschutzverletzungen können auch mit Freiheitsstrafe bis zu drei Jahren bestraft werden, wenn Daten gewerbsmäßig Dritten zugänglich gemacht werden oder wenn Daten durch unrichtige Angaben erschlichen werden.