1.     Was versteht man unter Datenschutz, wer regelt das und wer ist davon betroffen?

1.1.  Schutzbedürftige Informationen jedes Menschen

Jeder von uns entscheidet selbst, welche privaten und persönlichen Informationen man seinem Gegenüber und seinem Umfeld mitteilt, wie z.B. seinen Alkoholkonsum, Gesundheitszustand, seine politische oder religiöse Ausrichtung, Geschlecht, Sexualität, Gewerkschaftszugehörigkeit, Beruf, Familienstand, Geburtsdatum, Name, Telefonnummer, Anschrift, E-Mail-Adresse, Familien- oder Mitarbeiter Fotos usw.

Diese aufgezählten Beispiele gehören zur Sozial-, Privat- oder Intimsphäre eines jeden einzelnen Menschen und sind somit schutzbedürftige persönliche Informationen (Daten).  Die Gesetzgebung spricht hier auch von personenbezogenen Daten, die nicht direkt für die Allgemeinheit bestimmt sind.

1.2.  Grundgesetz, Bundesdatenschutzgesetz und EU-Datenschutz-Grundverordnung regeln den Datenschutz jeder natürlichen Person

Aufgrund einer Volkszählung hat das Bundesverfassungsgericht am 15.12.1983 (BVerfGE 65,1) entschieden, dass jeder Einzelne in Deutschland das Grundrecht hat, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Datenschutz schützt somit das Persönlichkeitsrecht und auch das Grundrecht auf informationelle Selbstbestimmung (gemäß Art. 1 Abs.1 (Menschenwürde) und Art. 2 Abs.1 (Persönlichkeitsrecht) Grundgesetz der BRD).

Der Schutz personenbezogener Daten und die Achtung der Privatsphäre sind auch europäische Grundrechte.

Daher trat im Mai 2018 für alle EU-Mitgliedsstaaten eine neue Datenschutz-Grundverordnung (DSGVO) in Kraft, durch die die Rechte der Bürger gestärkt und die Vorschriften für Unternehmen im digitalen Zeitalter entsprechend angepasst und neu geregelt wurden. Die neue Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und das bei uns im Land weiterhin gültige Bundesdatenschutzgesetz (BDSG) haben die Aufgabe, schutzbedürftige Daten jeder einzelnen natürlichen Person entsprechend rechtlich zu schützen, wenn diese von anderer Person oder anderen Personengruppen wie z.B. Vereinen oder Gesellschaften genutzt und verarbeitet werden.

Nach Artikel 6 der europäischen Datenschutz-Grundverordnung (sogenanntes Verbot mit Erlaubnisvorbehalt) ist es allen EU-Mitgliedsstaaten erlaubt, sowohl im nicht-öffentlichen (gemeint sind z.B. Unternehmen, Betriebe, Praxen oder Vereine) als auch in den öffentlichen Bereichen personenbezogene Daten zu erheben, verarbeiten und in einem Dateisystem abzulegen oder zu speichern. Die nationalen Datenschutzgesetze der Mitgliedstaaten, wie z.B. unser Bundesdatenschutzgesetz (BDSG) sind auch weiterhin anzuwenden und dienen dazu, dass die Regelungsgebote der DSGVO auch im nationalen Recht umgesetzt und ergänzt werden. Gemäß diesen rechtlichen Voraussetzungen dürfen personenbezogenen Daten daher nur so lange gespeichert werden, wie es der Zweck, zu dem sie erhoben oder verarbeitet wurden, erfordert. Nicht mehr erforderliche Daten sind zu löschen und unrichtige Daten zu berichtigen. In gesetzlich bestimmten Fällen oder mit Einwilligung der betroffenen Person ist auch eine Verarbeitung zu anderen Zwecken zulässig. Eine Einwilligung der Betroffenen ist nur wirksam, wenn sie auf der freien Entscheidung der Betroffenen beruht. Die betroffene Person ist hierzu auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner Daten, sowie auf die Folgen einer Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf grundsätzlich der Schriftform.

1.3.  Rechenschaftspflicht für alle Unternehmensformen und öffentliche Einrichtungen, wenn diese personenbezogene Daten verarbeiten

Die DSGVO enthält in Art. 5 die seit Jahrzehnten bekannten Grundprinzipien und entwickelt sie weiter. Die Verantwortlichen, die über Zweck und Mittel der Datenverarbeitung entscheiden, aus öffentlichen Stellen (z.B. Behörden) und nicht öffentlichen Stellen (z.B. Unternehmen, Betriebe, Kanzleien, Apotheken, medizinischen Praxen oder Vereinen), sind für die Beachtung dieser Grundbedingungen zuständig und müssen die Einhaltung nachweisen können (Rechenschaftspflicht).

1.4.  Im Einzelnen gelten u. a. die folgenden Grundsätze:



Rechtmäßigkeit, Verarbeitung nach Treu und Glauben

• Rechtmäßig ist die Verarbeitung von personenbezogenen Daten nur dann, wenn eine der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen zutrifft, z.B. durch Einwilligung der Betroffenen oder rechtliche Verpflichtungen der Verantwortlichen. Die Verarbeitung nach Treu und Glauben soll einen fairen Umgang der Verantwortlichen mit personenbezogenen Daten sicherstellen.

Transparenz

• Die Erhebung und Verarbeitung muss für die betroffene Person nachvollziehbar und somit transparent sein. Transparenzgebote sind beispielsweise die weitge­henden Informationspflichten der Verantwortlichen (Art. 13 und 14 DSGVO) und die Auskunftspflicht gegenüber dem Betroffenen (Art. 15 DSGVO). Die Information kann elektronisch, schriftlich oder auf Ver­langen der betroffenen Person auch mündlich erfolgen.

Datenminimierung

• Die Verarbeitung personenbezo­gener Daten muss dem Zweck angemessen sowie auf das für den Zweck der Datenverarbeitung notwendige Maß beschränkt sein. Es dürfen keine überflüssigen personenbezogenen Daten erhoben und verarbeitet werden.

Zweckbindung

• Personenbezogene Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden. Sie dürfen nur zu dem Zweck verarbeitet werden, zu dem sie erhoben worden sind. Die Weiterverarbeitung zu einem anderen (neuen) Zweck ist bei Vorliegen der Voraussetzungen des Art. 6 Abs. 4 DSGVO zulässig. Der Betroffen ist über den Zweck zu unterrichten (Art. 13, 14 ,15 DSGVO)

Richtigkeit

• Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Die Verarbeitung von unrichtigen personenbezogenen Daten sind unverzüglich zu korrigieren oder zu löschen.

Speicherbegrenzung

• Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Datensicherheit

• Als zentrales Prinzip des Datenschutzes wurde auch die Gewährleis­tung von Datensicherheit gesetzlich verankert (Art. 5 Abs. 1 lit. f und Art. 32 DSGVO). Die Verantwortlichen und ggf. die Auftragsverarbeiter („Auftragsverarbeiter“ ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet) haben geeignete technische und organisatorische Maßnahmen zu treffen, um einen Schutz etwa vor unbefugter oder unrechtmäßiger Verarbeitung oder dem unbeabsichtigten Verlust der Daten zu ge­währleisten (Integrität und Vertraulichkeit). Zu berücksichtigen sind dabei der Stand der Technik, die Implementierungskosten sowie die Art, die Umstände und der Zweck der Datenverarbeitung, aber auch die unterschiedliche Eintrittswahr­scheinlichkeit und Schwere des Risikos für die persönlichen Rechte und Freiheiten. Das Sicherheitslevel muss im Verhältnis zum Risiko angemessen sein. Danach kann u. a. eine Pseudonymisierung oder Verschlüsselung der Daten geboten sein.

Ohne Regulierungen und Gesetze war möglicherweise im Zeitalter des Neandertalers der Datenschutz vielleicht etwas pragmatisch und einfacher zu händeln?