1

Softwareentwicklung in der industriellen Praxis

Fakultät für Informatik

TU Dresden

Wintersemester 2011/2012

RINGVORLESUNG

©DID 2011

2

ALLES VERBOTEN?

Datenschutzaspekte bei Softwareentwicklung / Praxisbeispiel Beschäftigtendatenschutz

©DID 2011

Dr. Ralph Wagner LL.M.DID

Dresdner Institut für Datenschutz

3

Wenn persönliche Daten verarbeitet werden, muss Software zuerst dem Datenschutzrecht genügen; Nutzerkomfort, Effizienz etc. sind "von Gesetzes wegen" nachrangig.

Datenschutzwidrige Anwendungen können von der Aufsichtsbehörde untersagt und mit Bußgeldern sanktioniert werden. Am Beispiel von Personaldaten wird gezeigt, welche Vorgaben beachtet werden müssen, damit die entwickelte Software auch tatsächlich angewendet werden darf.

©DID 2011

4

- Publikationen

- Stellungnahmen in Gesetzgebungsverfahren

- Vorträge, Lehraufträge

• Externe Datenschutzbeauftragte• Back-Office für interne Datenschutzbeauftragte• Gutachten• Audits• Produkte• Verfahren

©DID 2011

5

Dr. Ralph Wagner LL.M.

• Jurist und Rechtsanwalt• Mitglied Datenschutzgruppe BRAK• betrieblicher Datenschutzbeauftragter• behördlicher Datenschutzbeauftragter • Konzerndatenschutzbeauftragter• Lehrbeauftragter für Datenschutzrecht an der TUD

©DID 2011

6

(5) Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anordnen.

§ 38 BDSGAufsichtsbehörde

©DID 2011

Bei schwerwiegenden Verstößen oder Mängeln … kann sie … den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden...

7

§ 43 BDSGBußgeldvorschriften

©DID 2011

(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet …

3) Die Ordnungswidrigkeit kann … in den Fällen des Absatzes 2 mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können sie überschritten werden.

8

(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt … begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.

…

§ 44 BDSGStrafvorschriften

©DID 2011

9

1 x 1 des deutschen Datenschutzrechts – in 15 Minuten

©DID 2011

10

„Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.“

Verbot mit Erlaubnisvorbehalt

§ 4 Abs. 1 BDSG Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung

©DID 2011

11

Was ist erlaubt/verboten?

durch das BDSG selbst ...Beispiel: öffentlich zugängliche Daten

oder durch eine andere Rechtsvorschrift ...Beispiel: Steuern, Abgaben

oder durch die Einwilligung des Betroffenen ...Beispiel: Einverständniserklärung zur Datennutzung

Datenerhebung ist zulässig, wenn sie ...

... erlaubt wird.

©DID 2011

12

Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes [...] zu gewährleisten.

§ 9 BDSG: Technische und organisatorische Maßnahmen

Wie ist es erlaubt?

©DID 2011

13

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Wie ist es erlaubt?

©DID 2011

14

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Verhinderung der unbefugten Nutzung von Datenverarbeitungsanlagen, also des Eindringens in das EDV-System seitens unbefugter (externer) Personen sowie geregelte Zugangskontrolle eines grundsätzlich Berechtigten.

Wie?

©DID 2011

15

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Gewährleistung, dass die zur Benutzung Berechtigten nur auf die für ihre jeweils rechtmäßige Aufgabenstellung benötigten Daten zugreifen können.

Wie?

©DID 2011

16

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Gewährleistung der nachträglichen Überprüfbarkeit, welche personenbezogenen Daten durch wen zu welcher Zeit in Datenverarbeitungssysteme eingegeben bzw. dort verändert, gelöscht oder entfernt worden sind.

Wie?

©DID 2011

17

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Technische Sicherstellung der zweckbestimmten Verarbeitung von persönlichen Daten. Gemeint ist damit zumindest eine logische Trennung

Wie?

©DID 2011

18

Zutrittskontrolle

Eingabekontrolle

Zugangskontrolle

Auftragskontrolle

Zugriffskontrolle

Verfügbarkeitskontrolle

Weitergabekontrolle

Trennungsgebot

Kontrollmaßnahmen der Anlage zu § 9 BDSG:

Die Weitergabekontrolle soll verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder gelöscht werden können und gewährleisten, dass überprüft werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

Wie?

©DID 2011

19

Rechte des Betroffenen

Diejenige natürliche Person, deren Daten verarbeitet werden, bezeichnet das Gesetz als "Betroffener".

Betroffene können beispielsweise der Mitarbeiter, der Kunde oder Ansprechpartner eines Firmenkunden sein. Den Betroffenen räumt das BDSG Rechte ein.

©DID 2011

20

RECHTE DES BETROFFENEN

Auskunftsrecht

Unternehmen

über die zu seiner Person gespeicherten Daten über die Herkunft der gespeicherten Daten über die Empfänger, an die Daten weitergegeben werden

Information bei Erhebung oder Benachrichtigung bei erstmaliger Speicherung

©DID 2011

Betroffener

21

SCHUTZBEREICH

Kreditkarten-nummer

Name

Adresse Gehalt

Geburtsjahr

Vermögens-verhältnisse

Telefon-nummer

Wohn-verhältnisse

Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person.

Beispiele:

©DID 2011

22

SCHUTZBEREICH

Name

Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt.

©DID 2011

23

SCHUTZBEREICH

Bestimmbar wird eine Person, wenn ihre Identität durch die Kombination des Datums mit einer anderen Information feststellbar wird.

IP-Adresse

Abgleich mit Providerdaten

Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt.

©DID 2011

24

SCHUTZBEREICH

Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten personenbezogener Daten, da diese besonders schützenswert sind.

Gesundheit

Gewerkschafts-zugehörigkeit

Religiöse oder philosophischeÜberzeugung

PolitischeMeinung

Sexual-leben

Rassische und ethnischeHerkunft

©DID 2011

25

ANWENDUNGSBEREICH

Die Daten von juristischen Personen, Vereinen, Verbänden etc. sind hier nicht geschützt.

Daten ohne Personenbezug sind nicht geschützt.

Das BDSG regelt nicht die private, familiäre Verarbeitung personenbezogener Daten.

Das BDSG regelt grundsätzlich nur die Verarbeitung von Daten in oder aus

automatischen Systemen

©DID 2011

26

BEISPIEL:ANWENDUNG IM PERSONALBEREICH

©DID 2011

27

Im Unternehmen werden verschiedene, voneinander isolierte Anwendungen eingesetzt. Zusammenführung und Auswertung erfolgt manuell. Kalenderführung für jeden Mitarbeiter einzeln, ohne

Fremdzugriffe, von den Mitarbeitern auch zur Abstimmung dienstlicher und privater Termine genutzt

Arbeitszeiterfassung je Mitarbeiterplatz einzeln in Excelanwendung bei manueller Eingabe, anschließend Weiterleitung Papierausdruck zur Personalabteilung

Meldung von Fehlzeiten (z.B. Urlaub, Krankheit), Anwesenheits- und Dienstplanung in Papierform – Zusammenführung im Personalbereich manuell

Lohnbuchhaltung extern (bei Steuerberater)

AUSGANGSSITUATION

©DID 2011

28

Vernetzung der Kalender und Ermögl ichung von Terminabst immungen / -e intragungen mitarbeiterübergreifend

Eintragung Anwesenheits- und Fehlzei ten (auch Urlaubs- und Krankheitsze i ten) in Kalender

(nach manuel len Vorgaben) e lektronisch generierte Anwesenheits- / Dienstplanung aus Zusammenführung der e inzeln erfassten (vergangenen und geplanten) Anwesenheits - / Fehlzei ten

elektronische Arbeitszei terfassung anhand der Verwalter oder Mitarbeiter in e inzelnen EDV-Projekten, kundenbezogene Aufwandszuordnung

elektronisch generierte Abrechnung gegenüber Kunden für die e inzelnen Projekte

elektronisch generierte Abrechnungsgrundlagen für Lohn / Gehalt (Anwesenheitszei ten / Überstunden / Überstundenkonto / Entgel t fortzahlungszei t / entgel t lose Zeiten) – Schnit tste l le zur Gehalts- und Lohnabrechnung

ZIELVORSTELLUNG

©DID 2011

29

für Vernetzung der zuvor individuell geführten Kalender erforderlich: datenschutzrechtliche Einwilligungserklärung der Mitarbeiter gemäß § 4 a Abs. 1, ggf. Abs. 3 BDSG

bei Nichtvorliegen der Einwilligung Beendigung der Privateintragungen und Löschung der Altdaten - keine Datenmigration zulässig (alternativ zulässig wäre gemäß § 28 Abs. 1 Satz 1 Nr. 2 BDSG „Blindkennzeichnung“ entsprechender Termine [z.B. „nicht verfügbar“])

Datenschutzrechtlich zwingenderforderliche Maßnahmen

©DID 2011

30

dringend zu empfehlen:

Protokollierung der schreibenden (auch löschenden) Anwender bei Vernetzung (Eingabekontrolle, Satz 1 Ziff. 5 der Anlage zu § 9 Satz 1 BDSG)

©DID 2011

31

zwingend:

Rollenkonzept / gestufte Nutzerrechte (Verarbeitungsgrundlage jeweils § 28 Abs. 1 Satz 1 Nr. 1 bzw. Nr. 2 BDSG / keine Einwilligung):

ProjektbearbeiterTeamleiterPersonalbereichBuchhaltung

©DID 2011

32

zwingend:

Automatismen zur Löschung/Sperrung aufgenommener Daten und/oder zur Änderung der Zuordnung Daten/Nutzerrolle z.B.:

- Einblick in Anwesenheitsdaten- Phase 1 – aktuell: alle Nutzer

Phase 2 – bis Laufzeitende Stundenkonto: betroffener Mitarbeiter, Teamleiter (Letzterer nur Saldo)

- Phase 3 – bis Ablauf der Verjährungsfristen: Personalbereich- Phase 4 – bis Ablauf der Aufbewahrungsfristen: Buchhaltung

©DID 2011

33

Mitbestimmung Betriebsrat / Personalvertretung nach § 87 Abs. 1 Ziff. 6 BetrVG

(bzw. entsprechenden Personalvertretungsgesetzen):

„Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, in folgenden Angelegenheiten mitzubestimmen: … Ziff. 6 Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen …“

(zwingende Mitbestimmung, Einigungsstellen – Kompetenz)

©DID 2011

34

Sie haben keine Fragen?

©DID 2011