data beskyttelse

Databeskyttelse er et begreb, der opstod i anden halvdel af det 20. århundrede, som undertiden defineres og fortolkes forskelligt. Afhængigt af synspunktet forstås databeskyttelse som beskyttelse mod forkert databehandling , beskyttelse af retten til informativ selvbestemmelse , beskyttelse af personlige rettigheder i databehandling og også beskyttelse af privatlivets fred . Databeskyttelse forstås ofte som en ret, som enhver person dybest set selv kan bestemme, hvem og hvornår, hvilke af deres personlige data der skal være tilgængelige. Essensen i en sådan databeskyttelseslov er, at magtbalancen mellem organisationer og enkeltpersoner kan gøres betinget af betingelser. Databeskyttelse har til formål at modvirke tendensen mod såkaldte gennemsigtige mennesker i det stadig mere digitale og netværksbaserede informationssamfund , spredning af statslige overvågningsforanstaltninger ( overvågningsstat ) og fremkomsten af ​​datamonopoler fra private virksomheder.

Vilkår og videnskabelige begrundelser

Databeskyttelse omfatter i første omgang organisatoriske og tekniske foranstaltninger mod misbrug af data i en organisation. Udtrykket it -sikkerhed vedrører de tekniske foranstaltninger mod uautoriseret brug ( fortrolighed ), sletning ( tilgængelighed ) og forfalskning (integritet ) af data. Den særlige vægt på offentlig sikkerhed opfylder ikke de primære interesser for privat databeskyttelse, men kun statens monopol modstridende interesser om magtanvendelse ^[1] .

Oprindeligt betød udtrykket databeskyttelse beskyttelsen af ​​selve dataene i betydningen data backup , f.eks. B. før tab, ændring eller tyveri forstået. Denne forståelse afspejlede sig for eksempel i den første hessiske databeskyttelseslov fra 1970. Samme år blev udtrykket databeskyttelse, som er almindeligt i dag, defineret af en artikel af Ulrich Seidel, “Problemer med personlige rettigheder i den elektroniske opbevaring af private data ”. ^[2] Samtidig blev opdelingen af ​​data fra den ikke-beskyttede sociale sfære og den beskyttede private og intime sfære opgivet og genfortolket i en ensartet beskyttelse af personoplysninger. I sin afhandling “Databaser og personlige rettigheder” fra 1972 forstod Seidel materiel databeskyttelseslovgivning som regulering af behandling af personoplysninger som helhed og adskilte den fra formel databeskyttelseslovgivning og sikkerhedskopiering af data. Med sit arbejde har han givet databeskyttelse den betydning, det har brugt generelt og uden for Tyskland siden. ^[3] Seidel blev tildelt Federal Cross of Merit i 1986 for den videnskabelige begrundelse for begrebet databeskyttelse.

I Schweiz og Liechtenstein er databeskyttelse defineret som "beskyttelse af personligheden og de grundlæggende rettigheder for personer, som behandles data om" (§ 1 føderal lov om databeskyttelse i Schweiz, art. 1 stk. 1, Liechtenstein -databeskyttelseslov). I Østrig beskrives databeskyttelse som retten til fortrolig behandling af personoplysninger, så længe der er en beskyttelsesværdig interesse (§ 1, stk. 1, paragraf 1 i databeskyttelsesloven 2000 ).

Den Europæiske Union forstår databeskyttelse som "især beskyttelsen af ​​fysiske personers privatliv ved behandling af personoplysninger" (artikel 1, stk. 1, i direktiv 95/46 / EF ). Europarådet definerer databeskyttelse som beskyttelse af "retten til et personlighedsområde [...] ved automatisk behandling af personoplysninger" (art. 1 europæisk databeskyttelseskonvention ). I den engelsktalende verden taler man om privatlivets fred (beskyttelse af fortrolige oplysninger) og om databeskyttelse eller fortrolighed af oplysninger (databeskyttelse i snævrere forstand). På det europæiske juridiske område bruges udtrykket databeskyttelse også i lovgivningen.

betyder

Betydningen af ​​databeskyttelse er steget støt siden udviklingen af ​​digital teknologi, fordi datalagring , databehandling , dataopsamling , dataoverførsel og dataanalyse bliver lettere og lettere. Teknisk udvikling som internettet , e-mail , mobiltelefoni , videoovervågning og elektroniske betalingsmetoder skaber nye muligheder for dataindsamling. Denne udvikling opvejes af en vis ligegyldighed fra store dele af befolkningen, i hvis øjne databeskyttelse er af ringe eller ingen praktisk betydning.

Både offentlige myndigheder og private virksomheder er interesseret i personlige oplysninger. F.eks. Ønsker sikkerhedsmyndighederne at forbedre bekæmpelsen af ​​kriminalitet ved hjælp af computersøgninger , telekommunikationsovervågning og lageroplysninger , mens skattemyndighederne er interesserede i banktransaktioner for at afdække skattelovgivninger.

Virksomheder forventer højere effektivitet fra medarbejder overvågning (se ansat databeskyttelse ), kundeprofiler skal hjælpe med at markedsføre herunder prisdifferentiering og kredit agenturer sikrer solvens kunder (se forbrugernes data beskyttelse , Schufa , Creditreform ).

historie

Udgangspunktet for den verdensomspændende debat i it -alderen om databeskyttelse er den amerikanske regerings planer under John F. Kennedy i begyndelsen af ​​1960'erne om at oprette et nationalt datacenter for at forbedre statslige oplysninger. Data om alle amerikanske borgere bør registreres der. På baggrund af, at der ikke er noget landsdækkende folkeregister eller registreringssystem i USA og heller ikke landsdækkende gyldige ID -kort , blev denne planlægning i de efterfølgende debatter betragtet som en indblanding i den forfatningsmæssigt postulerede "ret til at være alene". "Retten til privatliv ", som blev udviklet i 1890 af Samuel D. Warren og den senere forbundsdommer Louis D. Brandeis , ^[4] ifølge hvilken ethvert individ har ret til selv at bestemme i hvilket omfang hans "tanker, meninger , "spillede også en vigtig rolle og følelser", dvs. personlige oplysninger, bør formidles til andre. Artiklen henviste igen til den franske presselov fra 1868, som allerede indeholdt en bøde for rapporter fra privatlivet. ^[5] planen mislykkedes i kongressen, med det resultat at der har været indkaldelser af retsgrundlag til behandling af personoplysninger. Resultatet var vedtagelsen af ​​loven om beskyttelse af personlige oplysninger - omend ikke før i 1974 - som indførte regler for føderale myndigheder, der allerede indeholdt de grundlæggende principper for databeskyttelse: nødvendighed, sikkerhed, gennemsigtighed. Overvejelser om at udvide loven til den private sektor generelt førte ikke til succes på grund af en ekspertudtalelse, der kom til det fatale resultat, at konkurrence ville regulere dette.

Den amerikanske debat blev også rapporteret i Europa. I slutningen af ​​1960'erne ledte Tyskland efter et begreb, der ville undgå den direkte oversættelse af udtrykket "privatliv" - (generelle) personlige rettigheder - på grund af den kontroversielle debat siden 1800 -tallet og dens omfangsrige. Baseret på udtrykket "maskinbeskyttelse" (lovgivning om sikkerheden ved arbejdsudstyr) blev det videnskabelige ord "databeskyttelse" skabt, som oprindeligt blev kritiseret på grund af dets tvetydighed (ikke data er beskyttet, men mennesker), men er nu brugt internationalt (databeskyttelse, beskyttelse des données, protección de datos, zaschtschyta danych, προστασία δεδομένων προσωπικού χαρακτήρα osv.).

I 1970 vedtog Hessen verdens første databeskyttelseslov ; Den tyske føderale databeskyttelseslov (BDSG 1977) fulgte i 1977, fokus var på at fastlægge forudsætningerne for indførelse af databeskyttelsesofficerer og prioriteten til beskyttelse af personoplysninger. Statslige databeskyttelseslove blev vedtaget i 1981 for alle føderale stater. BDSG 1977 så det som en databeskyttelses opgave "at modvirke de registreredes legitime interesser ved at beskytte personoplysninger mod misbrug under deres lagring, transmission, ændring og sletning (databehandling)" (§ 1, stk. 1, BDSG 1977 ). Enhver databehandling, der ikke blev udført på et juridisk grundlag, var krænkende. På det tidspunkt blev databeskyttelse betragtet som beskyttelse af personoplysninger mod databehandling, der ikke var lovligt legitimeret. I 1983 gjorde Forbundsforfatningsdomstolen det klart i den såkaldte folketællingsafgørelse, at databehandling på et juridisk grundlag utilsigtet kan forstyrre de berørte grundlæggende rettigheder . Retten udledte en "ret til informativ selvbestemmelse" fra den almindelige personlige ret. Folketællingsdommen formede forståelsen af ​​databeskyttelse i Tyskland og var en milepæl i historien om tysk databeskyttelse. Siden da er databeskyttelse blevet forstået som beskyttelsen af ​​retten til informativ selvbestemmelse (f.eks. § 1 statslige databeskyttelseslov Schleswig -Holstein) eller - mere generelt - som beskyttelse af den personlige ret ved behandling af personoplysninger (§ 1 BDSG ).

I 1995 blev det europæiske databeskyttelsesdirektiv 1995/46 / EF vedtaget. I 2001 og 2006 fulgte ændringer til BDSG. Yderligere noveller blev dateret 29. maj 2009, 2. og 3. juli 2009. ^[6]

Med øjeblikkelig anvendelse af den højere rangerede europæiske generelle databeskyttelsesforordning den 25. maj 2018 blev det meste af det tidligere BDSG afløst, og samme dag ^trådte den komplette nye version af 30. juni 2017 ^[7] i kraft.

Forordninger

Sammenligning af flere lande i fortrolighedsrangeringen 2007 for organisationen Privacy International .
(jo lysere farve, jo højere beskyttelsesniveau)

Internationale regler

Med OECD's retningslinjer for beskyttelse af privatlivets fred og grænseoverskridende dataforløb af personoplysninger har der eksisteret internationalt gyldige retningslinjer siden 1980, der har til formål i vid udstrækning at harmonisere databeskyttelsesreglerne i medlemsstaterne, at fremme en fri udveksling af oplysninger og undgå uberettiget handelsbarrierer og især at skabe en kløft mellem at forhindre europæisk og amerikansk udvikling.

I 1981 vedtog Europarådet den europæiske databeskyttelseskonvention, en af ​​de første internationale databeskyttelsesaftaler. ^[8] Den europæiske databeskyttelseskonvention er stadig gældende i dag og er bindende i henhold til folkeretten for alle 46 stater (pr. 30. juli 2013), der har ratificeret den. ^[9] Konventet er åbent for stater verden over. Det første tiltrædelsesland uden for Europa er Uruguay, for hvilket konventionen trådte i kraft den 1. august 2013. (Derimod er Den Europæiske Unions databeskyttelsesdirektiver kun bindende for EU -landene og derfor kun implementeret af dem i national lovgivning.)

Forenede Stater

I USA er databeskyttelse sjældent reguleret ved lov eller forskrifter. I mange tilfælde er adgang til private data socialt acceptabel, f. B. et kreditcheck, inden du aftaler et ansættelsesforhold eller før du lejer en lejlighed. Der er regler for enkelte delområder, f.eks. B. Children's Online Privacy Protection Act (COPPA, tysk: "Lov om beskyttelse af børns privatliv på Internettet") og inden for sundhedsforsikring Health Insurance Portability and Accountability Act (HIPAA), men ingen omfattende regulering for håndtering af personoplysninger.

En mulig grund til dette er, at den amerikanske regering har ringe tillid til at beskytte personlige oplysninger. Det hævdes, at databeskyttelse i mange tilfælde kolliderer med kravene i 1. ændring til USA's forfatning (første ændring), som regulerer ytringsfriheden . I mange lande rundt om i verden er databeskyttelse også blevet brugt som et instrument til at undertrykke ytringsfriheden.

Mens USA's højesteret afsagde dom i Griswold v. Connecticut 1965 fortolkede forfatningen som at give enkeltpersoner ret til privatliv . Alligevel anerkender meget få amerikanske stater en persons ret til privatliv. En af de få undtagelser er Californien . I artikel 1, afsnit 1, i Californiens forfatning er der etableret en umistelig ret til privatliv, og californisk lov har i det mindste delvist implementeret dette princip i nogle lovbestemmelser. F.eks. Kræver California Online Privacy Protection Act (OPPA) fra 2003 operatører af kommercielle websteder eller onlinetjenester, der indsamler personlige oplysninger om statsborgere i staten Californien via deres websteder, for at placere en iøjnefaldende note på de samme sider om, hvordan de håndterer data og til at overholde disse selvpålagte retningslinjer for databeskyttelse - selvom deres indhold ikke er specificeret mere detaljeret.

Det amerikanske handelsministerium udviklede den (frivillige) Safe Harbour -procedure mellem 1998 og 2000, hvormed amerikanske virksomheder lettere kan påvise overholdelse af EU -kommissionens databeskyttelsesdirektiv (95/46 / EF), når de beskæftiger sig med europæiske forretningspartnere.

Der er ingen omfattende uafhængig databeskyttelse i USA, kun Federal Trade Commission (FTC), der opererer inden for handel, og som lejlighedsvis også behandler spørgsmål om databeskyttelse. FTC griber imidlertid kun ind, hvis en virksomhed ikke overholder sine selvpålagte retningslinjer for databeskyttelse; Der er imidlertid ingen minimumskrav til eksistensen eller formen af ​​en sådan frivillig forpligtelse. Så hvis en virksomhed ikke frivilligt forpligter sig til databeskyttelse, griber FTC ikke ind, da der ikke er overtrædelse af nogen regler.

I modsætning til europæiske regler er der ingen lovkrav i USA vedrørende opbevaringsperioden for indsamlede personoplysninger. Endvidere er der ikke ret til oplysninger fra myndigheder eller virksomheder, som personoplysninger gemmes om (med undtagelse af loven om informationsfrihed ), og ingen ret til at rette forkerte data. Alle eksisterende databeskyttelsesregler gælder kun for borgere i USA og dem, der opholder sig i USA i lang tid, ikke for data, der kommer fra udlandet.

Den daværende forbundskommissær for databeskyttelse, Peter Schaar , har derfor kritiseret udvidelsen af ​​den intra-europæiske automatiserede dataudveksling reguleret i Prüm-traktaten til USA, som blev aftalt i marts 2008 mellem Forbundsrepublikken Tyskland og USA.

I marts 2017 suspenderede senatet og repræsentanthuset store dele af databeskyttelse for amerikanerne for at give telekommunikationsudbydere mulighed for, selv uden udtrykkeligt samtykke fra deres kunder og brugere, at indsamle geospatiale data, oplysninger om økonomi, sundhed, børn og bevægelse mønstre på Internettet for deres brugere For at kunne bruge reklameformål. Endvidere har virksomhederne nu lov til at sælge deres brugeres oplysninger direkte til tredjemand. ^[10]

europæiske Union

Beskyttelse af personoplysninger er en grundlæggende rettighed i EU. ^[11] Med direktiv 95/46 / EF (databeskyttelsesdirektiv) fastlagde Europa -Parlamentet og Det Europæiske Råd minimumsstandarder for databeskyttelse i medlemslandene i 1995. Direktivet fandt imidlertid ikke anvendelse på området retligt og politisamarbejde , den såkaldte tredje søjle i Unionen. I Tyskland blev direktivet implementeret i national lov i 2001 med loven om ændring af den føderale databeskyttelseslov og andre love . Overførsel af personoplysninger til tredjelande, der ikke er medlemmer af EU, eller som er part i aftalen om Det Europæiske Økonomiske Samarbejdsområde, blev også reguleret: Ifølge artikel 25 var overførsel kun tilladt, hvis tredjelandet garanterede et "passende niveau af beskyttelse ". Beslutningen om, hvilke lande der garanterer dette beskyttelsesniveau, blev truffet af Kommissionen, som blev underrettet af den såkaldte artikel 29-databeskyttelsesgruppe . I 2015 blev der i henhold til Kommissionens beslutning garanteret et passende beskyttelsesniveau af følgende tredjelande: Andorra , Argentina , Færøerne , Guernsey , Isle of Man , Israel , Jersey , Canada , New Zealand , Schweiz , Uruguay og ved anvendelse af principperne om " Safe Harbour " og ved indsendelse af passagernavnsrekord til den amerikanske told- og grænsebeskyttelse (CBP) . ^[12]

Især er afgørelsen om tilladelse til at overføre passagernavnejournaler til de amerikanske toldmyndigheder yderst kontroversiel. EU -Domstolen har annulleret disse beslutninger truffet af Kommissionen og Rådet på grundlag af en sag anlagt af Europa -Parlamentet.

Den generelle retningslinje for databeskyttelse blev suppleret med den områdespecifikke retningslinjer for databeskyttelse for elektronisk kommunikation .

Med kristdemokrater og socialdemokraters stemmer den 14. december 2005 godkendte EU -parlamentet et direktiv om obligatorisk datalagring af trafikdata fra telekommunikation og internettet. Dette direktiv forpligtede medlemsstaterne til at indføre minimum opbevaringsperioder på seks måneder (internet) eller et år (telefoni). Dette datalagringsdirektiv er blevet kritiseret af borgerrettighedsorganisationer og databeskyttelsesofficerer og har også været genstand for en klage for EU -domstolen. Den 8. april 2014 blev den erklæret ugyldig af EF -domstolen. ^[13] Ophævelse trådte i kraft, da direktivet trådte i kraft. ^[14]

Som en del af EU's databeskyttelsesreform offentliggjorde EU -Kommissionen udkastet til den europæiske generelle databeskyttelsesforordning i januar 2012, som erstatter det tidligere direktiv og er direkte juridisk bindende i alle medlemsstater. Udkastet gav anledning til klare erklæringer, især blandt tyske databeskyttelseseksperter ^[15] . ^[16] De tyske databeskyttelsesmyndigheder har også diskuteret dette udkast kontroversielt siden dets offentliggørelse, ^{[17] [18]} selvom stemmer kritiske over for databeskyttelse også offentligt har udtrykt kritik ("Ulm Resolution"). De følgende overvejelser i EU -parlamentet var præget af intensivt lobbyarbejde, især fra den amerikanske regering og amerikanske it -virksomheder, med i alt over 3.100 ændringsforslag. Ikke desto mindre lykkedes det Europa -Parlamentet med det grønne MEP Jan Philipp Albrecht som ordfører at udvikle en fælles forhandlingsposition, som blev vedtaget med et overvældende flertal i oktober 2013 i Indenrigs- og Retfærdskomitéen og i marts 2014 i plenum ^[19] og den 12. marts 2014 blev bekræftet af plenarforsamlingen. ^[20] Efter omfattende forhandlinger mellem EU-ministerrådet, Europa-Parlamentet og Europa-Kommissionen, den såkaldte trepart , vedtog Rådet den endelige version den 8. april 2016 og Parlamentet den 14. april. Den generelle databeskyttelsesforordning trådte i kraft den 25. april 2016. Det har været i kraft i alle EU -medlemsstater siden den 25. maj 2018.

I princippet må medlemslandene ikke svække eller styrke den databeskyttelse, som forordningen fastsætter gennem nationale bestemmelser. Forordningen indeholder imidlertid åbningsklausuler for national lovgivning for visse aspekter af databeskyttelse.

Tyskland

Ifølge forbundsforfatningsdomstolens retspraksis er databeskyttelse en grundlæggende rettighed ( ret til informativ selvbestemmelse ). Herefter kan den pågældende som udgangspunkt selv bestemme, hvem der skal give hvilke personlige oplysninger.

Denne grundlæggende rettighed er imidlertid ikke eksplicit omtalt i grundloven. I modsætning hertil er en databeskyttelsesforordning blevet inkluderet i de fleste statslige forfatninger , for eksempel i Berlin (art. 33), Brandenburg (art. 11), Bremen (art. 12), Mecklenburg-Vorpommern (art. 6, 1 og 2) og Nordrhein-Westfalen (artikel 4, stk. 2 samt garanti for oprettelse af databeskyttelsesansvarlig i artikel 77a), Rheinland-Pfalz (art. 4a), Saarland (art. 2, stk. 2), Sachsen (art. 33), Sachsen-Anhalt (art. 6, stk. 1) og Thüringen (art. 6).

På føderalt niveau regulerer Federal Data Protection Act (BDSG) databeskyttelse for de føderale myndigheder og den private sektor (dvs. for alle kommercielle virksomheder, institutioner, foreninger osv. Over for fysiske personer). Desuden regulerer forbundsstaternes databeskyttelseslove databeskyttelse i statslige og lokale myndigheder. Databeskyttelsesforordninger findes også i en række andre love, såsom teleloven og telemedieloven , der hver især indeholder mere specifikke databeskyttelsesregler for deres anvendelsesområde. Disse områdespecifikke regler har forrang frem for Federal Data Protection Act, BDSG gælder kun som et supplement.

Føderale offentlige myndigheder og virksomheder, der leverer telekommunikation eller posttjenester på forretningsbasis, er underlagt tilsyn af forbundskommissæren for databeskyttelse . Statens myndigheder kontrolleres af de statslige databeskyttelsesofficerer . De private virksomheder (med undtagelse af telekommunikation og post) er underlagt tilsyn af databeskyttelsesmyndighederne for det ikke-offentlige område, som er placeret hos den statslige databeskyttelsesofficer eller hos statslige myndigheder (f.eks. Indenrigsministeriet ). Efter overtrædelsesprocedurer ^{[21] fra} EU -Kommissionen mod Forbundsrepublikken Tyskland og en dom fra EF -domstolen ^[22] er forbundsstaternes databeskyttelsesmyndigheder uafhængige. De vælges af Landtag og udnævnes, afskediges og tilbagekaldes af præsidenten for Landtag ^[23] .

Østrig

Retsgrundlaget for databeskyttelse i Østrig er databeskyttelsesloven (DSG) . Overholdelse af databeskyttelse overvåges af databeskyttelsesmyndigheden , som har stået i spidsen for Andrea Jelinek siden 1. januar 2014.

Det er imidlertid også muligt at håndhæve databeskyttelse i henhold til civilret ved almindelige domstole (især sletning og korrektion af forkerte data).

Schweiz

Som i Tyskland, den tyske lov om databeskyttelse regulerer data beskyttelse til de føderale myndigheder og den private sektor; Den respektive kantonale databeskyttelseslov gælder for de kantonale myndigheder.

Overholdelse af Federal Data Protection Act overvåges af Federal Data Protection and Information Commissioner og hans sekretariat.

Kantonerne er ansvarlige for at overvåge overholdelse af kantonale databeskyttelseslove. Du er ikke underordnet Federal Data Protection Officer, men kontrollerer uafhængigt.

En bemærkelsesværdig forskel på reglerne i f.eks. Tyskland og Østrig er, at der i Schweiz ud over pligten til at give oplysninger også er en pligt til at give oplysninger (art. 14 og art. 18a): Er personlige data behandlet af føderale organer eller særligt følsomme personoplysninger eller personlighedsprofiler af private Personer behandles, så skal de registrerede aktivt informeres af ejeren af ​​dataindsamlingen. I lighed med hvad der er defineret i Tyskland og Østrig, behandles alle data i Schweiz som særligt følsomme data i Schweiz.

kirke

Personlighedsretten har en meget lang tradition i kirken som forløber for databeskyttelse. For eksempel allerede i 1215 e.Kr. var hemmeligholdelsen om pastoral pleje og bekendelse forankret i kanonisk lov. Læger i dag inden for den romersk -katolske kirke , den globalt gyldige Code of Canon Law Code of Canon Law (CIC) retten til beskyttelse af privatlivets fred i Canon 220. I Tyskland er databeskyttelseslovene for den føderale regering og statsregeringer i de offentlige kirker (herunder Caritas og diakoni ) dels fordi kirkerne har en selvbestemmelsesret i denne henseende. I den evangeliske kirke i Tyskland (EKD) finder EKD-databeskyttelsesloven (DSG-EKD) anvendelse, i den romersk-katolske kirke i Tyskland bekendtgørelsen om kirkelig databeskyttelse (KDO) og i den gamle katolske kirke bekendtgørelsen om beskyttelse af personlige oplysninger data ( databeskyttelsesforordning , DSO) i det katolske bispedømme i gamle katolikker i Tyskland. Dog gælder generel databeskyttelseslov, hvis kirkerne er aktive i privatretlige former uden for velgørende eller andet kirkeligt mandat. ^[24]

procedurer

Hovedprincipperne for databeskyttelse er

• Forbuddet med forbehold af tilladelse (art. 6 GDPR), hvorefter data ikke må behandles uden lovligt grundlag
• Dataøkonomi og undgåelse af data
• Nødvendighed ,
• Øremarkering .

Hvis data kan behandles på et juridisk grundlag, skal der træffes tekniske og organisatoriske foranstaltninger for at sikre operationel databeskyttelse i de tekniske processer og funktioner. Standard databeskyttelsesmodel (SDM) formulerer alle operationelle krav, som personlige procedurer skal opfylde.

Anvendelsesområde

Databeskyttelse vedrører behandling af personoplysninger.

Definition af "personoplysninger" (artikel 4, stk. 1, GDPR):

Alle oplysninger vedrørende en identificeret eller identificerbar fysisk person

Definition "Verarbeitung" (Art. 4 Abs. 2 DSGVO):

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Datenschutzkontrolle

Als Aufsicht für den öffentlichen Sektor gibt es:

• den Bundesbeauftragten für den Datenschutz , für den Bereich der Bundesbehörden
• die Landesbeauftragten für den Datenschutz , für den Bereich von Landesbehörden
• besondere Datenschutzbeauftragte bei Körperschaften, Anstalten und Stiftungen des öffentlichen Rechtes (z. B. Rundfunkdatenschutzbeauftragter )

Zusätzlich haben Behörden die Möglichkeit/Verpflichtung behördliche Datenschutzbeauftragte zu ernennen. Diese können einzelne Aufgaben (z. B. Führung des Datenschutzregisters) übernehmen, verhindern jedoch nicht die Kontrolle durch den übergeordneten Beauftragten.

Im nicht-öffentlichen Bereich ist die Datenschutzaufsicht landesrechtlich geregelt. Diese ist z. B. bei der Bezirksregierung, dem Innenministerium oder dem Landesbeauftragten für Datenschutz angesiedelt. Für Post- und Telekommunikationsunternehmen ist ebenfalls der Bundesbeauftragte für den Datenschutz zuständig.

Ab einer bestimmten Firmengröße muss nach dem Bundesdatenschutzgesetz ein betrieblicher Datenschutzbeauftragter bestellt werden. Diese sind teilweise im Berufsverband der Datenschutzbeauftragten Deutschlands organisiert.

Auch verschiedene Vereine beschäftigen sich mit der Stärkung des Datenschutzes, etwa die Deutsche Vereinigung für Datenschutz , die Gesellschaft für Datenschutz und Datensicherheit , das FIfF , digitalcourage (vormals FoeBuD), oder in Österreich die ARGE Daten und der Arbeitskreis Vorratsdaten Österreich .

Konflikte

Datenschutz kollidiert in verschiedenen Bereichen mit anderen Zielen. Diese Zielkonflikte müssen durch ein Abwägen des Datenschutzes mit anderen Zielen gelöst werden. Ein übertriebener Datenschutz oder Datenschutz am falschen Ort kann auch schädlich sein.

Datenschutz und Informationsfreiheit

Datenschutz steht grundsätzlich im Konflikt mit der Forderung nach Informationsfreiheit . Informationsfreiheit bedeutet, dass Informationen der öffentlichen Verwaltung ( Verwaltungstransparenz ) und Politik dem Bürger öffentlich gemacht werden ( Öffentlichkeitsprinzip ). Diese Informationen unterliegen jedoch auch dem Datenschutz und sollten daher vertraulich behandelt werden. Dieser Zielkonflikt wird sehr unterschiedlich gelöst. In Schweden wird das Öffentlichkeitsprinzip traditionell weitaus höher bewertet als der Datenschutz. Selbst hochprivate Daten wie die Einkommensteuererklärung sind öffentlich. In Deutschland bestand traditionell eine geringe Bereitschaft öffentlicher Verwaltungen zur Veröffentlichung von Informationen. Erst 2006 wurde diese Haltung durch das Informationsfreiheitsgesetz gelockert. Die Abwägung zwischen den Belangen von Informationsfreiheit und Datenschutz wurde in § 5 Informationsfreiheitsgesetz weitgehend zu Gunsten des Datenschutzes vorgenommen:

Ähnliche Konflikte ergeben sich auch auf Unternehmensebene. Hier kollidiert ein eventueller Auskunftsanspruch von Kunden oder Dritten mit dem Datenschutz. So hatte etwa der Mobilfunkbetreiber T-Mobile den Wunsch eines Kunden, den Absender von Werbe-SMS zu erfahren, mit dem Hinweis auf Datenschutz abgewiesen – und wurde erst durch ein Urteil des Bundesgerichtshof (Az. I ZR 191/04) dazu gezwungen. ^[25]

Kosten des Datenschutzes

Datenschutz verursacht Kosten und steht damit im Konflikt zu dem Ziel von Unternehmen und Verwaltungen, kosteneffizient zu arbeiten. ^[26] Datenschutz kann (wenn auch in geringerem Umfang) zu Kostenersparnissen beitragen.

Ihnen entstehen unter anderem Kosten:

• für den Datenschutzbeauftragten und seine Organisation (z. B. Sachmittel, Mitarbeiterschulungen)
• dadurch, dass die betriebliche Datenverarbeitung durch den Datenschutz komplizierter und damit teurer wird (z. B. Zugriffsrechtverwaltung, Lösch-, Archivierungs- und Sperrfunktionen)
• durch die Bearbeitung der Anfragen von Dritten über gespeicherte Daten und Korrektur- oder Löschforderungen
• durch die Dokumentation und Prüfung der vorgenommenen Maßnahmen des Datenschutzes

Dazu kommen indirekte Kosten, zum Beispiel in Form von Mehrfacheingaben von Daten, wenn eine automatisierte Datenübernahme unzulässig ist (z. B. darf das Finanzamt nicht automatisiert Adressänderungen der Steuerpflichtigen vom Einwohnermeldeamt übernehmen). Auch sind Nutzungen von Daten, die zu Geschäftschancen führen, aufgrund des Datenschutzes teilweise nicht zulässig. So dürfen z. B. Banken nicht den Zahlungsverkehr ihrer Kunden daraufhin auswerten, ob diese Geschäftsverbindungen zu Wettbewerbern haben, und ihnen daraufhin Produktangebote unterbreiten.

Von noch größerer Bedeutung sind volkswirtschaftliche Kosten, welche daraus entstehen, dass bei Nichtexistenz von perfekter Information eine wesentliche Abweichung von den Annahmen eines vollkommenen Marktes vorliegt. Datenschutz, der (sonst wäre er inhaltsleer) den Fluss an Informationen mindert, verringert automatisch die volkswirtschaftliche Effizienz (hierzu und zu weiteren Literaturhinweisen vgl. Maennig 2006). Im Extremfall wird das Verbergen von Informationen mit Hinweis auf den Datenschutz als Versuch interpretiert, sich oder sein Unternehmen zum Schaden Anderer bzw. der Gesellschaft falsch oder unvollständig darzustellen, indem beispielsweise unangenehme Informationen unterdrückt werden. Als typisches Beispiel werden Gesetze genannt, die finanzielle Informationen schützen. Diese machen es beispielsweise Personen und Unternehmen mit Insolvenzhistorie möglich, sich ebenso positiv darzustellen wie andere Personen und Unternehmen. Wenn sie daraufhin Kredite, Kreditkarten etc. erhalten, besteht die Gefahr, dass die Zahl der zukünftigen „defaults“ und somit das Kreditrisiko steigt – mit der Folge von höheren Risikomargen für alle, auch die Unbescholtenen.

Aufgrund der mit Datenschutz einhergehenden volkswirtschaftlichen Kosten lautet die ökonomische Antwort auf die Frage nach dem Datenschutz nicht ja oder nein; vielmehr wird nach einer optimalen Menge und Ausgestaltung des Datenschutzes gesucht.

Zu Kostenersparnissen können z. B. beitragen:

• Geringere Datenmengen aufgrund des Prinzips der Datensparsamkeit
• Effizientere EDV-Systeme aufgrund systematischerer DV-Organisation und -Dokumentation

Der Kostenaspekt wird seit den Anfängen des Datenschutzes thematisiert. ^[27] Eine Studie von 1985 wies für die Zeit von 1977 bis 1985 datenschutzinduzierte Kosten von

• bis 0,3 Millionen Mark bei fast allen kleinen und einigen mittleren Unternehmen,
• 0,3 bis 0,6 Millionen Mark bei dem überwiegenden Teil der mittleren Unternehmen und
• 1 bis 3 Millionen Mark bei den meisten Großunternehmen auf.

Einige wenige Großunternehmen wiesen Kosten von mehr als 20 Millionen Mark auf. ^[28] Aufgrund immer weiter verschärfter Datenschutzregelungen sind die Kosten heute um ein Vielfaches höher.

Auch fehlender Datenschutz verursacht Kosten in teils erheblicher Höhe bei den Organisationen. Als direkte Kosten sind hier z. B. Bußgelder für die Nichteinhaltung von Datenschutzbestimmungen zu nennen. Verstöße gegen Datenschutz sind potentiell geeignet, das Image der Organisation zu beschädigen und damit das Geschäft zu schädigen.

Datenschutz und Kriminalitätsbekämpfung

In der Öffentlichkeit vielfach diskutiert ist der Konflikt zwischen Datenschutz und Kriminalitätsbekämpfung. Ein weitgehender Zugriff der Strafverfolgungsbehörden auf personenbezogene Daten (auch von Unschuldigen/Unverdächtigen) erleichtert diesen die Arbeit. Ein Datenschutz ist hier jedoch besonders wichtig, da ein Überwachungsstaat mit dem Prinzip eines Rechtsstaates unvereinbar ist. Der Schutz der Grundrechte der Einwohner bedarf der gesetzlichen Regelung der Zugriffs- und Speichermöglichkeiten der Strafverfolgungsbehörden auf persönliche Daten. Der Umfang dieser Möglichkeiten und damit verbunden das Verhältnis zwischen Nutzen ( Sicherheit ) und Schaden (Eingriff in die Freiheits- und Bürgerrechte ) ist politisch hoch umstritten. Während die einen auch bei kleineren Eingriffen das Bild eines Überwachungsstaates bemühen, lautet ein pauschales Schlagwort der Gegenseite „Datenschutz ist Täterschutz“.

Für die Abwägung der Interessen des Datenschutzes und der Kriminalitätsbekämpfung muss die konkrete Maßnahme betrachtet werden. Ansatzpunkte für eine Bewertung sind:

• Schwere der Eingriffe in den Datenschutz
• Grad der Eignung der Maßnahme zur Verbesserung der Kriminalitätsbekämpfung

Die Themen, an denen sich die Diskussion um Datenschutzes und Kriminalitätsbekämpfung festmacht, wechselte im Laufe der Zeit. In den 1970ern wurde die Rasterfahndung und ab den 1990er Jahren die Videoüberwachung intensiv diskutiert. Heute macht sich die Diskussion z. B. an DNA-Reihenuntersuchungen , der Einführung von biometrischen Daten ( Fingerabdruck , Gesichtsmaße , zukünftig eventuell Irisscan ) und RFID -Chips in den Reisepass ( Biometrischer Reisepass ) fest.

Am 24. Februar 2012 entschied das Bundesverfassungsgericht in Karlsruhe, dass Polizei und Nachrichtendienste bei ihren Ermittlungen nicht auf Passwörter und PIN-Codes zugreifen dürfen. ^[29]

Zurzeit stehen auch die infolge eines Abkommens zwischen der EU und den USA bei Flugreisen übermittelten Passenger Name Records in der Kritik, bei der vor Flugantritt personenbezogene Daten des Passagiers an die USA übermittelt und dort für mindestens 15 Jahre gespeichert werden. Ein ähnliches Abkommen wurde bereits 2006 vom EuGH gekippt, allerdings kurz darauf wenig verändert wieder auf den Weg gebracht.

Datenschutz und Wissenschaft

Auch wissenschaftliche Datensammlungen unterliegen dem Datenschutz. Hier kann ein Konflikt zwischen der Forschungsfreiheit und Datenschutz entstehen. Unproblematisch ist aus Datenschutzsicht die Verwendung pseudonymisierter oder gar anonymisierter Daten. Vielfach werden in der Wissenschaft jedoch auch personenbezogene Daten genutzt. In diesen Fällen wäre eine konsequente Anwendung der datenschutzrechtlichen Vorschriften manchmal ein Verbot der wissenschaftlichen Forschungen. Um dies zu vermeiden, bestehen Sonderregelungen für wissenschaftliche Forschungen. Auf internationaler Ebene bestehen die Europarat -Empfehlung zum Schutz personenbezogener Daten für Zwecke der wissenschaftlichen Forschung und Statistik (Nr. R [83] 10), auf nationaler Ebene gibt es Ausnahmetatbestände im BDSG für wissenschaftliche Forschung. So z. B. in Bezug auf die Einwilligung der Betroffenen ( § 4a (2)), der Datenerhebung ( § 13 (2) Ziffer 8), der Datenspeicherung, -veränderung und -nutzung ( § 14 (2) Ziffer 9 bzw. (5) Ziffer 2) oder der Löschung und Sperrung ( § 20 (7) Ziffer 1).

Dennoch stellt die Einhaltung des Datenschutzes in vielen wissenschaftlichen Forschungen einen Kostenfaktor und eine Einschränkung bei der Erhebung und Nutzung von Daten dar.

Datenschutz und Medizin

In der Medizin besteht ein besonderes Maß an Vertraulichkeit (siehe Ärztliche Schweigepflicht ). Es handelt sich bei Gesundheitsdaten nach Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) um „besondere Kategorien von personenbezogenen Daten “. Ob die Datenschutzvorschriften einen ausreichenden Schutz bieten, ist strittig.

Konfliktfelder sind hier der Datenaustausch zwischen Ärzten, Krankenkassen, Krankenhäusern und anderen Dienstleistern im Gesundheitswesen. Eine wirksame und kostengünstige Behandlung (z. B. die Vermeidung von Doppeluntersuchungen) setzt Wissen über Vorerkrankungen, bisherige Diagnose und Behandlung und Medikamentennutzung voraus. Für die diesbezüglich kritische Diskussion siehe: Elektronische Gesundheitskarte .

Während der COVID-19-Pandemie in Deutschland wurde ein Jahr lang nicht erkannt, dass es eine Korrelation gibt zwischen dem Einkommen eines Menschen und seinem Risiko, an Covid-19 zu erkranken und daran zu sterben. Am 20. April 2021 veröffentlichte das Robert Koch-Institut , dass in der Hochphase der zweiten Welle die Sterblichkeit in benachteiligten Gebieten um bis zu siebzig Prozent höher war als anderswo. ^[30] In den USA und in Großbritannien wurde diese Korrelation früher diskutiert. Der wissenschaftliche Dienst des Bundestages schrieb 2021 in einem Bericht für die Grünen, das Thema werde in Deutschland „eher zurückhaltend behandelt“. Laut Datenreport 2021 des Statistischen Bundesamtes ist die gesundheitliche Ungleichheit in Deutschland „nur selten untersucht worden“. ^{[31] [32]}

Genetik

Im Zuge immer weiter fortschreitender, leichterer und perfekter auch persönlicher Genanalysen mit der Erstellung sogenannter genetischer Fingerabdrücke wird auch hier der Datenschutz der „genetischen Privatsphäre“ immer wichtiger. ^[33]

Internet

Vor allem durch die weltweite Vernetzung , insbesondere durch das Internet, nehmen die Gefahren hinsichtlich des Schutzes personenbezogener Daten laufend zu ( „Das Internet vergisst nicht.“ ). Die Verlagerung (z. B. Outsourcing , Offshoring ) von IT-Aufgaben in Regionen, in denen deutsche und europäische Gesetze nicht durchsetzbar sind und ausländische Regierungen Zugang zu nicht für sie bestimmte Daten suchen, macht Datenschutz praktisch oft wirkungslos. Datenschützer müssen sich deshalb zunehmend nicht nur mit den grundlegenden Fragen des technischen Datenschutzes ( Datensicherheit ), sondern besonders mit der effektiven Durchsetzbarkeit von Datenschutz auseinandersetzen, wenn sie Erfolg haben wollen.

Siehe auch

• EU-Datenschutzreform zur Vereinheitlichung der bestehenden europäischen und nationalen Datenschutzvorschriften
• INDECT – umstrittenes EU-Projekt zur „Erkennung verdächtigen Verhaltens“ im öffentlichen Raum mittels der Verknüpfung von automatisierter Auswertung von Überwachungskamera-Bildern mit einer Vielzahl von Informationsquellen, auch aus sozialen Netzwerken wie Facebook

Literatur

• Bergmann, Möhrle, Herb: Kommentar zum Datenschutzrecht. Boorberg-Verlag, Stuttgart, ISBN 3-415-00616-6 . Stand: 54. Lieferung Februar 2018 mit neuem BDSG und EU- DSGVO .
• Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e. V. (Hrsg.): Datenschutz – Eine Vorschriftensammlung. 5. Auflage. TÜV Media, Köln 2018, ISBN 978-3-7406-0340-3 .
• Adrian Lobe: Speichern und Strafen. Die Gesellschaft im Datengefängnis . Verlag CH Beck, München 2019, ISBN 978-3-406-74179-1 .

Weblinks

Weitere Inhalte in den Schwesterprojekten der Wikipedia:
	Wiktionary	– Wörterbucheinträge
	Wikinews	– Nachrichten
	Wikibooks	– Lehr- und Sachbücher

• Virtuelles Datenschutzbüro
• Deutscher Datenschutz- und Informationsfreiheitsbeauftragter
• Datenschutz-Wiki des BfDI
• Österreichische Datenschutzbehörde
• Schweizerische Datenschutzbehörden

Einzelnachweise

Bitte den Hinweis zu Rechtsthemen beachten!