„Jeder Videobeweis ist ein Beweis dafür, dass

Überwachungskameras keine Verbrechen verhindern.“

Alexander Lehmann

§6b BDSG – Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen

Einrichtungen

2

(1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit sie1. zur Aufgabenerfüllung öffentlicher Stellen,2. zur Wahrnehmung des Hausrechts oder3. zur Wahrnehmung berechtigter Interessen für konkret festgelegte

Zweckeerforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen.

(2) Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnahmen erkennbar zu machen.

(3) Die Verarbeitung oder Nutzung von nach Absatz 1 erhobenen Daten ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet oder genutzt werden, soweit dies zur Abwehr von Gefahren für die staatliche und öffentliche Sicherheit sowie zur Verfolgung von Straftaten erforderlich ist.

(4) Werden durch Videoüberwachung erhobene Daten einer bestimmten Person zugeordnet, ist diese über eine Verarbeitung oder Nutzung entsprechend den §§ 19a und 33 zu benachrichtigen.

(5) Die Daten sind unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen.

Was sind öffentlich zugängliche Räume?

4

• Öffentlich zugängliche Räume sind Bereiche, die von einem unbestimmten oder nur nach allgemeinen Merkmalen bestimmten Personenkreis betreten und genutzt werden können und ihrem Zweck nach dazu auch bestimmt sind

• Eigentumsverhältnisse sind irrelevant

• ebenso irrelevant ist der Umstand, ob der Ort umschlossen oder überdacht ist oder eine Zugangs- bzw. Nutzungsberechtigung z.B. in Form eines Tickets erworben werden muss

Was sind öffentlich zugängliche Räume?

5

• Umfasst die Anwendung von Videoeinsätzen auf Parkplätzen, an Haltestellen und Tankstellen, auf öffentlichen Gehwegen und Straßen, in Parks, Fußgängerzonen, Ladengalerien, Geschäften, Bibliotheken, Bahnhöfen, öffentlichen Verkehrsmitteln, Fußballstadien, Museen, Banken, Spielhallen, auch in gemischt genutzten Wohn- und Geschäftshäusern - begrenzt auf die Öffnungszeiten bzw. Sprechstunden

• Ebenfalls erfasst sind Eingangsbereiche vor der Haustür, sofern sie sich auf bzw. an einem öffentlich zugänglichen Weg und nicht innerhalb einer abgegrenzten Anlage befinden

• Keine öffentlich zugänglichen Räume i.S.d. § 6b Abs. 1 BDSG sind grundsätzlich Wohnungen, Hausflure, geschlossene Wohnanlagen, Vorgärten, Firmengelände, Büros, Werkhallen, Lager- und Personalräume oder sonstige interne, besonders geschützte, nicht für Publikumsverkehr vorgesehene Bereiche

Was sind optisch-elektronische Einrichtungen?

6

• Videokameras/Webcams mit Aufzeichnungsfunktion

strittig: Kameras ohne Aufzeichnung? („verlängertes Auge“)

Kamera-Dummy?

elektronisch gesteuerte Fotoapparate, Ferngläser, Nachtsichtgeräte?

Videoüberwachung im Geltungsbereich BDSG - Formales und Inhaltliches -

- Vorabkontrolle (§ 4d Abs. 5 BDSG) durch bDSB- Meldepflicht/Verfahrensverzeichnis (§§ 4d Abs. 1, 4e BDSG)

1. Beobachtung

- Beobachtungszweck- Erforderlichkeit- Abwägung- Kennzeichnung- Technische Ausgestaltung:

- Blickbereich, Schwenkbarkeit, Zoom, Bild-Erkennung, Audio-Funktion?- Übertragung/Speicherung (Leitung, Funk, Verschlüsselung, Sicherung der

Speicher-Medien)

7

Videoüberwachung im Geltungsbereich BDSG - Formales und Inhaltliches -

• 2. Verarbeitung/Nutzung

• - z.B. auch Übermittlung an Dritte• - grdsl. Zweckbindung (§ 6b Abs. 3 Satz 1 BDSG) bei nochmaliger

Abwägung• - Zweckänderung nur „zur Abwehr von Gefahren für die staatliche und

öffentliche Sicherheit sowie zur Verfolgung von Straftaten“ (§ 6b Abs. 3 Satz 2 BDSG)

• 3. Speicherung/Löschung

• - Löschung „unverzüglich“ bei Zweckerreichung oder Abwägungsänderung

8

entsprechende Regelungen in den Landesdatenschutzgesetzen

9

• z.B. § 33 des Sächsischen Datenschutzgesetzes (SächsDSG)

• großteils vergleichbare Regelungen, aber u.a.:

- abweichende Löschungsfristen (max. 2 Monate; HB: 24 h!; MV und SchlH: 7 Tage)

- „verlängertes Auge“ ausdrücklich erfasst

- Archiv-Anbietungspflicht (§ 33 Abs. 4 Satz 2 SächsDSG)

§33 SächsDSG

10

• (1) Die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) ist nur zulässig, soweit dies zur Aufgabenerfüllung, insbesondere zur Gewährleistung der öffentlichen Sicherheit und Ordnung, oder zur Wahrnehmung eines Hausrechts erforderlich ist und schutzwürdige Interessen Betroffener nicht überwiegen.

(2) Die Speicherung von nach Absatz 1 erhobenen Daten (Videoaufzeichnung) und deren weitere Verarbeitung ist zulässig, wenn sie zum Erreichen des verfolgten Zwecks erforderlich ist und keine Anhaltspunkte bestehen, dass schutzwürdige Interessen der Betroffenen überwiegen. Für einen anderen Zweck dürfen sie nur verarbeitet werden, soweit dies zur Abwehr von Gefahren für die öffentliche Sicherheit sowie zur Verfolgung von Straftaten und Ordnungswidrigkeiten erforderlich ist.

(3) Die Tatsache der Videoüberwachung und die verantwortliche Stelle sind, soweit nicht offenkundig, durch geeignete Maßnahmen erkennbar zu machen.

(4) Das nach Absatz 1 gewonnene Bildmaterial und daraus gefertigte Unterlagen sind spätestens nach zwei Monaten zu löschen oder zu vernichten, soweit diese nicht zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Geltendmachung von Rechtsansprüchen oder wegen entgegenstehender schutzwürdiger Interessen Betroffener, insbesondere zur Behebung einer bestehenden Beweisnot, erforderlich sind. § 20 Abs. 3 bleibt unberührt.

Beschäftigtendatenschutz

11

• §32f im Regierungsentwurf zum Beschäftigtendatenschutz regelt die Beobachtung nicht öffentlich zugänglicher Betriebsstätten mit optisch-elektronischen Einrichtungen

• danach wäre/ist die Beobachtung nicht öffentlich zugänglicher Betriebsgelände, Betriebsgebäude oder Betriebsräume (Betriebsstätten) mit optisch-elektronischen Einrichtungen, die „auch zur Erhebung von Beschäftigtendaten geeignet“ ist, ist nur zulässig1. zur Zutrittskontrolle,2. zur Wahrnehmung des Hausrechts,3. zum Schutz des Eigentums,4. zur Sicherheit des Beschäftigten5. zur Sicherung von Anlagen,6. zur Abwehr von Gefahren für die Sicherheit des Betriebes [oder]7. zur Qualitätskontrolle

12

Beschäftigtendatenschutz

• Beobachtung darf nur erfolgen, soweit sie zur Wahrung wichtiger betrieblicher Interessen erforderlich ist und wenn nach Art und Ausmaß der Videoüberwachung keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen der Betroffenen am Ausschluss der Datenerhebung überwiegen.

• unzulässig ist eine Videoüberwachung von Teilen von Betriebsstätten, die überwiegend der privaten Lebensgestaltung des Beschäftigten dienen (insbesondere Sanitär-, Umkleide- und Schlafräume)

• der Arbeitgeber hat den Umstand der Videoüberwachung durch geeignete Maßnahmen erkennbar machen

• § 6b Absatz 3 und 4 gelten entsprechend, ebenso §§ 4d, 4e, 4f

Beschäftigtendatenschutz

• - Regelungen derzeit nicht Gesetz, Anwendung jedoch geboten (Heranziehung im Rahmen von § 28 Abs. 1 Satz 1 Nr. 1 und 2, § 32 BDSG)

• - in jedem Fall: Beteiligungsrechte des Betriebsrats/Personalrats bzw. der Mitarbeitervertretung– - vorab– - erzwingbar– - bei Unterlassung sanktioniert durch arbeitsgerichtliches

Beschlussverfahren und Außerbetriebnahme

13

EU-Datenschutzrichtlinie• Artikel 33 Nr. 2c) des Entwurfs der „Verordnung des Europäischen

Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr“ (Datenschutz-Grundverordnung)

• Datenschutz-Folgenabschätzung: „Bei Verarbeitungsvorgängen, die … konkrete Risiken für die Rechte und Freiheiten betroffener Personen bergen, führt der für die Verarbeitung Verantwortliche oder der in seinem Auftrag handelnde Auftragsverarbeiter vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Die … genannten Risiken bestehen insbesondere bei folgenden Verarbeitungsvorgängen: ….

weiträumige Überwachung öffentlich zugänglicher Bereiche, insbesondere mittels Videoüberwachung…“

14

„Vertrauen Sie der Cloud!“

Anbieterwerbung am Flughafen Frankfurt/Main

§ 11 BDSG§ 11 Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Auftrag

(1) Werden personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. Die in den §§ 6, 7 und 8 genannten Rechte sind ihm gegenüber geltend zu machen.

(2)Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind:

1. der Gegenstand und die Dauer des Auftrags,2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder

Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,3. die nach § 9 zu treffenden technischen und organisatorischen Maßnahmen,4.die Berichtigung, Löschung und Sperrung von Daten,5.die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,

6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

Er kann bei öffentlichen Stellen auch durch die Fachaufsichtsbehörde erteilt werden. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.

(3) Der Auftragnehmer darf die Daten nur im Rahmen der Weisungen des Auftraggebers erheben, verarbeiten oder nutzen. Ist er der Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

(4) Für den Auftragnehmer gelten neben den §§ 5, 9, 43 Abs. 1 Nr. 2, 10 und 11, Abs. 2 Nr. 1 bis 3 und Abs. 3 sowie § 44 nur die Vorschriften über die Datenschutzkontrolle oder die Aufsicht, und zwar für

1. a) öffentliche Stellen,b) nicht-öffentliche Stellen, bei denen der öffentlichen Hand die Mehrheit der Anteile gehört oder die Mehrheit der Stimmen zusteht und der Auftraggeber eine öffentliche Stelle ist,

die §§ 18, 24 bis 26 oder die entsprechenden Vorschriften der Datenschutzgesetze der Länder,

2. die übrigen nicht-öffentlichen Stellen, soweit sie personenbezogene Daten im Auftrag als Dienstleistungsunternehmen geschäftsmäßig erheben, verarbeiten oder nutzen, die §§ 4f, 4g und 38.

(5) Die Absätze 1 bis 4 gelten entsprechend, wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

§ 7 SächsDSGDatenverarbeitung im Auftrag, Datenschutz bei Wartungsarbeiten

(1) Eine öffentliche Stelle kann, soweit gesetzlich nichts anderes bestimmt ist, einen anderen mit der Verarbeitung personenbezogener Daten beauftragen (Datenverarbeitung im Auftrag). Für die Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz ist der Auftraggeber verantwortlich.

(2) Der Auftraggeber hat den Auftragnehmer unter besonderer Berücksichtigung der Eignung der von diesem getroffenen personellen, technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftrag ist schriftlich zu erteilen, wobei Gegenstand und Umfang der Datenverarbeitung, die notwendigen zusätzlichen personellen, technischen und organisatorischen Maßnahmen sowie etwaige Unterauftragsverhältnisse festzulegen sind. Der Auftraggeber ist verpflichtet, sich von der Einhaltung der getroffenen Festlegungen beim Auftragnehmer zu überzeugen. Der Auftraggeber hat dem Auftragnehmer die erforderlichen Weisungen zu erteilen. Die Datenverarbeitung ist nur im Rahmen des Auftrags und der Weisungen zulässig. Ist der Auftragnehmer der Ansicht, dass der Auftrag, eine einzelne Bestimmung des Auftrags oder eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über den Datenschutz verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen.

(3) Ist der Auftragnehmer keine öffentliche Stelle im Sinne dieses Gesetzes, hat der Auftraggeber die für den Auftragnehmer zuständige Kontrollbehörde über die Beauftragung zu unterrichten.

(1) Die Beauftragung eines Auftragnehmers, der seinen Sitz außerhalb der Europäischen Union hat, ist nur zulässig, wenn eine Übermittlung an ihn nach § 17 Abs. 1 zulässig wäre. § 17 Abs. 4 gilt entsprechend.

(2) Die Absätze 1 bis 4 gelten für Wartungs- und Fernwartungsaufträge sowie ähnliche Maßnahmen (Wartungsarbeiten) entsprechend.

MusterVereinbarung

zwischen*

- Auftraggeber - und *

- Auftragnehmer -

zur Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Auftrag nach § 11 Bundesdatenschutzgesetz (BDSG). 

§ 1 Gegenstand der Vereinbarung Der Auftragnehmer erhebt, verarbeitet und nutzt personenbezogene Daten im Auftrag des Auftraggebers. Der Auftrag umfasst folgende Arbeiten:* 

§ 2 Rechte und Pflichten des Auftraggebers Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.  Im Rahmen dieser Zweckbindung ist der Auftraggeber berechtigt, Einzelweisungen zu erteilen. Die Weisungen bedürfen der Schriftform, der elektronischen Form (Verwendung einer qualifiziert elektronischen Signatur) oder einer verschlüsselten Textform (vgl. §§ 126, 126a, 126b BGB). Soweit mit Durchführung derartiger Einzelweisungen zusätzlicher Aufwand verbunden ist, kann der Auftragnehmer entsprechende Kosten erheben. Er kann die Umsetzung der Weisung davon abhängig machen, dass eine Kostenvereinbarung für den Einzelfall vorab geschlossen und / oder der Kostenbedarf vorab beglichen wird. Die Vertragsparteien vereinbaren als Weisungsberechtigte und für die Annahme von Weisungen Berechtigte folgende Ansprechpartner: Weisungsberechtigte Personen des Auftraggebers sind:*

Weisungsempfänger beim Auftragnehmer sind: * Bei einem Wechsel oder einer längerfristigen Verhinderung des Ansprechpartners ist dem Vertragspartner unverzüglich schriftlich der Nachfolger bzw. der Vertreter mitzuteilen.

§ 3 Pflichten des AuftragnehmersDer Auftragnehmer erhebt, verarbeitet und nutzt personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers. Er verwendet die zur Datenverarbeitung überlassenen Daten für keine anderen Zwecke. Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt, es sei denn, diese sind für die Auftragsbearbeitung unbedingt erforderlich.  Der Auftragnehmer sichert im Bereich der auftragsgemäßen Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten die vertragsmäßige Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die verarbeiteten Daten von sonstigen Datenbeständen scharf getrennt werden.  Der Auftragnehmer erklärt sich damit einverstanden, dass der Auftraggeber jederzeit berechtigt ist, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen im erforderlichen Umfang zu kontrollieren, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme. Entsprechende Maßnahmen sind vorab zeitlich zwischen den Vertragsparteien abzustimmen. Hinsichtlich der Kosten gilt § 2 Abs. 2 Satz 3 und 4 entsprechend. Die Einsichtnahme für den Auftraggeber ist auf solche Personen beschränkt, die ihrerseits gegenüber Dritten schweigeverpflichtet und –berechtigt sind, insbesondere die / den Datenschutzbeauftragte/n des Auftraggebers.

Die Verarbeitung von Daten findet – vorbehaltlich Absatz 7 - nur in den Geschäftsräumen des Auftragnehmers statt. Nicht mehr benötigte Unterlagen mit personenbezogenen Daten und Dateien sind datenschutzgerecht zu vernichten.  Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen und erstellten Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen. Die Datenträger des Auftragnehmers sind danach physisch zu löschen. Test- und Ausschussmaterial ist unverzüglich zu vernichten oder dem Auftraggeber auszuhändigen.  Der Auftragnehmer hat bei Beauftragung von Subunternehmen vertraglich sicherzustellen, dass die vereinbarten Regelungen auch gegenüber Subunternehmern gelten. Er hat die Einhaltung dieser Pflichten regelmäßig zu überprüfen. Die Weiterleitung von Daten ist erst zulässig, wenn der Subunternehmer die Verpflichtung nach § 4 erfüllt hat.  Für die Sicherheit erhebliche Entscheidungen zur Organisation der Datenverarbeitung und zu den angewandten Verfahren sind nach dem Stand der Technik (SOP) zu treffen.

§ 4 Datengeheimnis

Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten des Auftraggebers das Datengeheimnis gemäß § 5 BDSG zu wahren.  Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Der Auftragnehmer sichert zu, dass die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut und nach § 5 BDSG verpflichtet sind. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.  Auskünfte darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.  

§ 5 Datensicherungsmaßnahmen Auftraggeber und Auftragnehmer verständigen sich auf folgende technische und organisatorische Maßnahmen beim Auftragnehmer: 

a) Zutrittskontrolle (Maßnahmen, damit Unbefugte keinen Zutritt zu Datenverarbeitungsanlagen bekommen können)

b)Zugangskontrolle Maßnahmen, damit Unbefugte an der Nutzung der Datenverarbeitungsanlage oder anderer Datenträger gehindert werden)

•Zugriffskontrolle Maßnahmen, damit die zur Benutzung der Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen können)

•Weitergabekontrolle (Maßnahmen, damit personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung durch Einrichtungen zur Datenübertragung vorgesehen ist)

e) Eingabekontrolle (Maßnahmen, damit nachträglich kontrolliert werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind)

f) Auftragskontrolle (Maßnahmen, damit personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können)

g) Verfügbarkeitskontrolle (Maßnahmen, damit personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind)

h) Trennungsgebot (Maßnahmen, um zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können)

Der Auftragnehmer beachtet die Grundsätze ordnungsmäßiger Datenverarbeitung. Er gewährleistet die vertraglich vereinbarten und gesetzlich vorgeschriebenen Datensicherheitsmaßnahmen.

 Die technischen und organisatorischen Maßnahmen können und sollen im Laufe des Auftragsverhältnisses der

technischen und organisatorischen Entwicklung angepasst werden.  Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn eine vom Auftraggeber erteilte Weisung nach

seiner Meinung zu einem Verstoß gegen gesetzliche Vorschriften führen kann. Die Weisung braucht nicht befolgt zu werden, solange sie nicht durch den Auftraggeber geändert oder ausdrücklich bestätigt wird.

§ 6 Vertragsdauer

Die Vertragsdauer der vorliegenden Vereinbarung folgt derjenigen des Hauptvertrages. Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die Bestimmungen des BDSG oder dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer den Zutritt des Auftraggebers oder der zuständigen Aufsichtsbehörde vertragswidrig verweigert.  

§ 7 Haftung Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung vorsätzlich oder grob fahrlässig verursachen.  Für den Ersatz von Schäden, die ein Betroffener wegen einer nach dem BDSG oder anderen Vorschriften für den Datenschutz unzulässigen oder unrichtigen Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Rahmen des Auftragsverhältnisses erleidet, ist der Auftraggeber gegenüber den Betroffenen verantwortlich. Soweit der Auftraggeber zum Schadensersatz gegenüber dem Betroffenen verpflichtet ist, bleibt ihm der Rückgriff beim Auftragnehmer vorbehalten.  

§ 8 Wirksamkeit der Vereinbarung Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Ort/Datum *

Auftragnehmer Auftraggeber

"Wir haben offene Grenzen, die Leute melden sich oft nicht an und nicht ab. Wir wissen wahrscheinlich genauer, wie viel Schweine und Rinder hier leben, weil es da auch kein Datenschutzproblem gibt."

Wolfgang Schäuble, Rheinische Post, 23. Dezember 2006

Wer prüft bei Fällen mit Auslandsbezug?

§ 38 Abs. 1 Satz 1 BDSG

Die Aufsichtsbehörde kontrolliert die Ausführung dieses Gesetzes sowie anderer Vorschriften über den Datenschutz, soweit diese die automatisierte Verarbeitung personenbezogener Daten oder die Verarbeitung oder Nutzung personenbezogener Daten in oder aus nicht automatisierten Dateien regeln einschließlich des Rechts der Mitgliedstaaten in den Fällen des § 1 Abs. 5. Sie berät und unterstützt die Beauftragten für den Datenschutz und die verantwortlichen Stellen mit Rücksicht auf deren typische Bedürfnisse.

Welches Recht ist anwendbar?

§ 1 Abs. 5 BDSG

Dieses Gesetz findet keine Anwendung, sofern eine in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dieses Gesetz findet Anwendung, sofern eine verantwortliche Stelle, die nicht in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen ist, personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt. Soweit die verantwortliche Stelle nach diesem Gesetz zu nennen ist, sind auch Angaben über im Inland ansässige Vertreter zu machen. Die Sätze 2 und 3 gelten nicht, sofern Datenträger nur zum Zweck des Transits durch das Inland eingesetzt werden. § 38 Abs. 1 Satz 1 bleibt unberührt.

§ 38 Abs. 1 Satz 5 BDSG

Sie leistet den Aufsichtsbehörden anderer Mitgliedstaaten der Europäischen Union auf Ersuchen ergänzende Hilfe (Amtshilfe).

Auslandübermittlungen(§§ 4b, 4c BDSG und z.B. § 17 SächsDSG)

• EU-Privilegierungen• Erstreckung auch auf europäischen

Wirtschaftsraum: Island, Lichtenstein, Norwegen

• Gleichgestellte: Entscheidungen EU-Kommission Stand 01.06.2013 zugunsten Andorra, Argentinien, Australien, Färöer-Inseln, Guernsey, Israel, Isle of Man, Jersey, Kanada, Neuseeland, Schweiz, Uruguay

§ 4b BDSGÜbermittlung personenbezogener Daten ins Ausland sowie an über-

oder zwischenstaatliche Stellen

(3) Die Angemessenheit des Schutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und das Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmaßnahmen herangezogen werden.

(4) In den Fällen des § 16 Abs. 1 Nr. 2 unterrichtet die übermittelnde Stelle den Betroffenen von der Übermittlung seiner Daten. Dies gilt nicht, wenn damit zu rechnen ist, dass er davon auf andere Weise Kenntnis erlangt, oder wenn die Unterrichtung die öffentliche Sicherheit gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde.

(5) Die Verantwortung für die Zulässigkeit der Übermittlung trägt die übermittelnde Stelle.

(6) Die Stelle, an die die Daten übermittelt werden, ist auf den Zweck hinzuweisen, zu dessen Erfüllung die Daten übermittelt werden.

• Safe Harbor Regeln

• www.safeharbor.export.gov/list.aspx

• Vereinbarung zwischen EU und USA gemäß Art. 25 und 26 EG-Datenschutzrichtlinie; Entscheidung der Kommission vom 26.10.2000 unter Bezugnahme auf „7 Prinzipien und 15 FAQ“ des US-Handelsministeriums vom 21.07.2000

7 Prinzipien1. Informationspflicht: die Unternehmen müssen die Betroffenen darüber unterrichten, welche Daten sie für welche Zwecke erheben und

welche Rechte die Betroffenen haben.

2. Wahlmöglichkeit: die Unternehmen müssen den Betroffenen die Möglichkeit geben, der Weitergabe ihrer Daten an Dritte oder der Nutzung für andere Zwecke zu widersprechen.

3. Weitergabe: wenn ein Unternehmen Daten an Dritte weitergibt, muß es die Betroffenen darüber und die unter 2. aufgeführte Wahlmöglichkeit informieren.

4. Zugangsrecht: die Betroffenen müssen die Möglichkeit haben, die über sie gespeicherten Daten einzusehen und sie ggfs. berichtigen, ergänzen oder löschen können.

5. Sicherheit: die Unternehmen müssen angemessene Sicherheitsvorkehrungen treffen, um die Daten vor unbefugtem Zugang oder vor Zerstörung und Missbrauch zu schützen.

• Datenintegrität: die Unternehmen müssen sicherstellen, dass die von ihnen erhobenen Daten korrekt, vollständig und zweckdienlich sind.

7. Durchsetzung: die dem Safe Harbor beigetretenen Unternehmen verpflichten sich zudem, Streitschlichtungsmechanismen beizutreten, so dass die Betroffenen ihre Beschwerden und Klagen untersuchen lassen können und ihnen im gegebenen Fall Schadensersatz zukommt.

Zusätzlich sieht die Vereinbarung vor, dass die Unternehmen fünfzehn häufig gestellte Fragen zu beachten haben. In den Antworten zu diesen Fragen werden die Prinzipien näher erläutert.

 

Standardvertragsklauseln

• Allgemein: Beschluss 2001/497/EG mit Änderung durch Beschluss 2004/915/EG vom 27.12.2004 (Standardverträge I und II mit Unterschieden insbesondere im Haftungsreglement)

• Auftragsdatenverarbeiter: Beschluss der Kommission vom 05.02.2010, Az. K (2010) 593, 2010/87/EU, ersetzt den Beschluss 2002/16/EG