Titel: Merkblatt | Datengeheimnis Beratungsstellenleiter:innen V25-2
Beschreibung:
Schlagwörter: Seite 1 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Sie werden heute auf das Datengeheimnis verpflichtet. Dabei erhalten Sie eine Belehrung über die Pflichten, die sich für Sie aus dem Datengeheimnis ergeben. Dieses Merkblatt gibt Ihnen die Möglichkeit, das Wichtigste noch einmal nachzulesen. Datenschutz schützt das Persönlichkeitsrecht. Das Datengeheimnis dient – wie das gesamte Datenschutzrecht – dem Schutz des Persönlichkeitsrechts derjenigen Menschen, auf die sich die Daten beziehen. Diese Menschen nennt das Gesetz „betroffene Person“. Das können unsere Kunden sein, Ihre Kollegen – oder auch Sie als unser Mitarbeiter. Das Persönlichkeitsrecht gibt jedem Menschen das Recht, grundsätzlich selbst darüber zu entscheiden, wer was über ihn wissen darf. Beispielsweise darf jeder Kunde selbst entscheiden, wer seinen Wohnort erfahren soll, und Sie dürfen entscheiden, wer Ihren Gesundheitszustand kennen darf. Es ist Ihre Entscheidung, ob das geheim bleibt oder Sie es bei Facebook posten. Ausnahmen, in denen nicht nur der Wille des Betroffenen gilt, muss es natürlich geben – aber jede Ausnahme braucht nach dem Gesetz eine Rechtfertigung. Das kann nach der Regelung in Art. 6 Abs. 1 lit. a, c DSGVO entweder ein Gesetz sein oder die (freiwillige) Einwilligung des Betroffenen. Die wichtigste gesetzliche Erlaubnis gilt für diejenigen Daten, die unbedingt benötigt werden, um einen Vertrag mit der betroffenen Person zu erfüllen. Deshalb darf Ihr Vermieter beispielsweise Ihren Namen speichern, ohne dass Sie einwilligen müssten. Das Datengeheimnis. Das Datengeheimnis verpflichtet Sie nicht nur, personenbezogene Daten geheim zu halten, sie zum Beispiel nicht an Dritte weiterzugeben oder offen herumliegen zu lassen. Es verpflichtet Sie vielmehr dazu, nur dann mit personenbezogenen Daten zu arbeiten, wenn dies auch erlaubt ist – unabhängig davon, ob Sie diese Daten beispielsweise lesen, notieren, löschen (auch das Löschen ist eine Datenverarbeitung) oder weitergeben. Diese Erlaubnis müssen einerseits wir als Unternehmen haben, andererseits aber auch Sie persönlich nach unserer unternehmensinternen Aufgabenverteilung. Das Datengeheimnis einzuhalten, ist also auch Ihre ganz persönliche Verpflichtung. Diese Pflicht ergibt sich übrigens bereits aus der Datenschutzgrundverordnung (Art. 24 Abs. 1 DSGVO). Ihre heutige förmliche Verpflichtung auf das Datengeheimnis dient nur dazu, Ihnen deutlich zu machen, wie wichtig diese Pflicht ist. Bitte beachten Sie: Das Datengeheimnis gilt zeitlich unbefristet und zwar auch dann, wenn Sie nicht mehr für uns tätig sind. Es gilt gegenüber allen Personen, die nicht dienstlich für die jeweilige Sache zuständig sind – also auch gegenüber allen anderen Kollegen, Ihrer Familie und der Presse. Seite 2 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Der Begriff „personenbezogene Daten“. Das Datengeheimnis gilt für alle „personenbezogenen Daten“. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Das kann die Angabe sein, dass jemand Mitglied in einem Verein ist, wo er wohnt oder wie viel Geld er auf dem Konto hat. Ein personenbezogenes Datum kann aber auch die Angabe sein, dass die Kontonummer 123456 ihren Dispokredit überzogen hat. Denn obwohl hier kein Name genannt wird, ist einfach zu ermitteln, wer Inhaber dieses Kontos ist: Es handelt sich um Angaben zu einer „identifizierbaren“ Person. Eine Person ist identifizierbar, wenn man – eigene und fremde – Informationen kombinieren kann und dadurch erfährt, um wem es sich handelt. Das geht sehr viel einfacher als man denkt: So konnten Forscher jeden einzelnen von 1,5 Millionen Menschen eindeutig identifizieren, wenn sie nur wussten, wo er sich zu elf beliebigen Zeitpunkten aufhielt. Auch genügen Geburtsdatum, Postleitzahl und Geschlecht, um 87 Prozent der US-Amerikaner eindeutig zu identifizieren. Auch wenn Sie selbst denken, dass bestimmte Daten niemandem zuzuordnen sind, dürfen Sie diese deshalb nicht ohne Zustimmung Ihres Vorgesetzten und des Datenschutzbeauftragten an Dritte weitergeben oder veröffentlichen – abgesehen davon, dass es sich auch um Betriebsgeheimnisse handeln könnte, die Sie ebenfalls streng vertraulich behandeln müssen. Für welche Daten die DSGVO und das BDSG Geltung hat. Das BDSG und die DSGVO gelten einerseits für Computerdaten (wozu auch die Daten vieler technischer Geräte zählen), als auch für papierhafte Dokumente. Wichtig ist aber zu wissen, dass diese auch für „nicht automatisierte Dateien“ gelten – etwa eine Patientenkartei auf Papier oder eine Sammlung ausgefüllter Formulare. Das Datenschutzrecht gilt zudem auch dann, wenn die Daten später in eine Datei gespeichert werden sollen oder aus einer Datei stammen – etwa eine ausgedruckte Liste mit Kundendaten. Daten von Mitarbeitern oder Bewerbern werden in jeder Form durch die DSGVO und das BDSG geschützt. Die Telefonnummern Ihrer Kinder auf Ihrem Handy dürfen Sie übrigens weiterhin speichern, ohne dass Sie eine Rechtsgrundlage benötigen: solche rein persönlichen oder familiären Tätigkeiten sind von der Geltung der DSGVO und des BDSG ausgenommen (Art. 2 Abs. 2 lit. c DSGVO, § 1 Abs. 1 Nr. 2 BDSG). Unsere und Ihre Pflichten. Wir als Unternehmen und Sie als unser Mitarbeiter dürfen personenbezogene Daten nur dann erheben (Daten über jemanden beschaffen), verarbeiten (speichern – worunter auch aufschreiben oder aufbewahren fällt –, verändern, übermitteln – also an Dritte weitergeben oder ihnen einen Zugriff auf die Daten ermöglichen –, sperren – also den Zugriff auf die Daten einschränken –, löschen) und nutzen (jede andere Art, die Daten zu verwenden), wenn es dafür eine Rechtsgrundlage gibt. All diese Tätigkeiten zusammen nennt man auch Verwendung von Daten oder Umgang mit Daten. Als mögliche Rechtsgrundlage nennt Art. 6 Abs. 1 DSGVO: Erfüllung eines Vertrages Erfüllung einer rechtlichen Verpflichtung die Einwilligung der betroffenen Person Schutz lebenswichtiger Interessen Wahrung berechtigter Interessen Seite 3 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Für welche Daten es bei welchem Verfahren eine solche Rechtsgrundlage gibt, können Sie bei Ihrem Vorgesetzten erfragen. Bitte beachten Sie: Andere Daten dürfen Sie nicht verwenden. Personenbezogene Daten dürfen zudem nur zu dem jeweils bestimmt festgelegten Zweck verwendet werden. Eine Zweckänderung braucht eine eigene Rechtsgrundlage. Das bedeutet, dass zum Beispiel Kundendaten, die bisher nur für die Vertragsabwicklung verwendet wurden, nicht ohne Weiteres für Werbung genutzt werden dürfen. Auch hier sagt Ihnen Ihr Vorgesetzter, ob eine Zweckänderung erlaubt ist. Als wichtigste Regel sollten Sie sich hier merken, dass Sie personenbezogene Daten nie aus eigener Entscheidung heraus weitergeben oder für sich selbst nutzen dürfen (das heißt z.B. nicht außerhalb dienstlicher Notwendigkeit). Außerdem müssen personenbezogene Daten geschützt werden, so dass Unbefugte keine Kenntnis von ihnen nehmen und dass sie auch nicht versehentlich verloren gehen können. Deshalb verschlüsseln wir personenbezogene Daten, wenn wir sie über das Internet übertragen müssen und machen regelmäßig Sicherungskopien. Art. 32 DSGVO enthält Sicherheitsmaßnahmen, die für uns gelten. So dürfen z.B. Ausdrucke mit personenbezogenen Daten oder Datenträger wie Speicherkarten, USB-Sticks oder Festplatten keinesfalls einfach weggeworfen oder weggegeben werden, sondern müssen ordnungsgemäß vernichtet oder durch die IT-Abteilung sicher gelöscht werden. Dass Sie Ihr Passwort nicht an Kollegen oder Dritte weitergeben oder gar auf einem Zettel an den Computer kleben dürfen, sollte sich von selbst verstehen – es ist Ihr persönliches Passwort, und wenn es jemand missbraucht, sind Sie persönlich dafür verantwortlich (siehe „Folgen von Verstößen“). Rechte der Betroffenen. Eins der wichtigsten Persönlichkeitsrechte ist es, zu wissen, was andere über einen wissen. Wenn ein Unternehmen heimlich Daten über jemanden sammelt, muss es daher fast immer den Betroffenen informieren. Jeder Mensch kann zudem verlangen, dass ihm jedes Unternehmen mitteilt, welche Daten es über ihn gespeichert hat (Art. 15 DSGVO). Dies bedeutet, dass alles, was Sie beispielsweise über einen Kunden notieren, auch schriftlich zu diesem Kunden gelangen kann. Achten Sie deshalb bitte darauf, dass Sie nur Angaben notieren, für die wir auch eine Erlaubnis zum Speichern haben – Ihr Vorgesetzter sagt Ihnen, welche Daten das in Ihrem konkreten Fall sind. Und achten Sie bitte auch darauf, wie Sie es aufschreiben: knapp, neutral und niemals beleidigend o. ä. Das Auskunftsrecht ist ein spezielles Recht des Betroffenen: An andere Personen und Stellen dürfen wir normalerweise keine Auskünfte geben – das wäre eine Übermittlung, für die wir eine Erlaubnis bräuchten. Benötigen wir bestimmte Daten nicht mehr, müssen wir sie löschen; falsche Daten müssen wir berichtigen (Art. 16, 17 DSGVO). Wenn Sie feststellen, dass nicht mehr benötigte Daten weiterhin gespeichert bleiben, sprechen Sie bitte Ihren Vorgesetzten darauf an. Denn die Speicherung von Daten, die eigentlich zu löschen wären, kann mit sehr hohen Bußgeldern bestraft werden. Jeder Betroffene kann uns zudem verbieten, seine Daten für Marketing- oder Marktforschungszwecke zu benutzen (Art. 21 Abs. 2, 3, 4 DSGVO). Sollte ein Auskunftsersuchen, ein Widerspruch oder ein anderer Wunsch oder Hinweis mit Datenschutzbezug bei Ihnen eingehen, leiten Sie ihn bitte sofort an den Vorstand weiter. Selbstständig dürfen Sie solche Dinge nur bearbeiten, wenn wir Ihnen diese Aufgabe ausdrücklich zugewiesen haben. Beachten Sie bitte, dass auch Behörden oder die Polizei nicht ohne weiteres Daten von uns erhalten können. Wir benötigen hierfür einen förmlichen Beschlagnahmebeschluss bzw. ein förmliches Auskunftsersuchen. Wenn Sie von der Polizei oder einer anderen Behörde kontaktiert werden, informieren Sie bitte sofort Ihren Vorstand. Seite 4 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Folgen von Verstößen. Verstöße gegen die DSGVO können für uns schwerwiegende Folgen haben – aber auch für Sie persönlich. Viele Verstöße gegen die DSGVO können mit Bußgeld bestraft werden (Art. 83, 84 DSGVO). Dieses Bußgeld kann bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Bußgelder werden zwar meist gegen Unternehmen verhängt, aber durchaus auch gegen einzelne Mitarbeiter, wenn ein Gesetzesverstoß – etwa durch die Nutzung eines bestimmten Passworts oder das Versenden einer E-Mail an alle Kunden mit sämtlichen E-Mail Adressen des Kundenstammes im Cc statt im Bcc – bestimmten Mitarbeitern zuzurechnen ist. Zudem sind bestimmte Verstöße gegen die DSGVO und das BDSG Straftaten, die mit Gefängnis bestraft werden können (§ 42 BDSG): Beispiel: Jemand verkauft weisungswidrig eine Festplatte mit personenbezogenen Daten anstatt sie zu zerstören. Verstöße gegen die DSGVO und das BDSG können zudem auch nach anderen Gesetzen strafbar sein, z.B. Verrat von Geschäfts- und Betriebsgeheimnissen, Ausspähen von Daten oder Computerbetrug. Jeder Betroffene kann Schadensersatz für eine unzulässige oder unrichtige Verwendung seiner Daten verlangen. Unter Umständen müssen Sie persönlich diesen Schadensersatz ganz oder teilweise bezahlen, wenn Sie mittlere oder schwere Verstöße begangen haben. Fragen Sie daher lieber einmal zu viel als zu wenig. Schwere Schäden für uns kann es verursachen, wenn eine so genannte Datenpanne öffentlich bekannt wird. Kunden verlieren das Vertrauen und kaufen nicht mehr bei uns, wenn sie nicht sicher sein können, dass ihre Daten bei uns in guten Händen sind. Hinzu kommt, dass wir nach Art. 33 DSGVO verpflichtet sein können, eine Datenpanne allen Betroffenen mitzuteilen oder gar halbseitige Anzeigen in zwei bundesweiten Tageszeitungen zu schalten. Bitte helfen Sie mit, dass es niemals dazu kommt. Nicht zuletzt können wir arbeitsrechtliche Konsequenzen ziehen, wenn Sie gegen das Datengeheimnis verstoßen. Denkbar sind je nach Schwere Ihres Fehlverhaltens insbesondere eine Abmahnung, eine fristgerechte Kündigung oder sogar eine fristlose Kündigung ohne vorherige Verwarnung. Neue Verfahren mit personenbezogenen Daten. Sie sind an einem Projekt beteiligt, bei dem personenbezogene Daten eine Rolle spielen? Dann sorgen Sie bitte dafür, dass der Datenschutzbeauftragte so früh wie möglich einbezogen wird. Er kann Ihnen sagen, ob es überhaupt rechtlich möglich ist, was Ihr Projektteam plant, und Tipps geben, was Sie verbessern könnten. Wenn Sie diese Fragen rechtzeitig mit dem Datenschutzbeauftragten klären, können Sie von Anfang an das richtige Verfahren entwickeln. Wenn Sie ihn erst kurz vor Schluss einbeziehen, kann es sein, dass Ihr Projekt komplett scheitert, weil es rechtlich nicht oder nur unter aufwendigen Änderungen umzusetzen ist. Seite 5 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Anlage zum Datengeheimnis Text der Art. 24, 83 DSGVO und § 42 BDSG Art. 24 Abs. 1 DSGVO Datengeheimnis Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. Art. 83 Abs. 2, 3, 4, 5 DSGVO Bußgeldvorschriften (2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt: a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens; b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes; c) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von Ihnen gemäß den Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen; d) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters; e) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern; f) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind; g) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat; h) Einhaltung der nach Art. 58 Abs. 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden; i) Einhaltung von genehmigten Verhaltensregeln nach Art. 40 oder genehmigten Zertifizierungsverfahren nach Art. 42 und j) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangten finanzielle Vorteile oder vermiedene Verluste. Seite 6 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis (3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß. (4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Abs. 2 Geldbußen von bis zu 10.000.000 € oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Art. 8, 11, 25 bis 39, 42 und 43; b) die Pflichten der Zertifizierungsstelle gemäß den Art. 42 und 43; c) die Pflichten der Überwachungsstelle gemäß Art. 41 Abs. 4. (5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Abs. 2 Geldbußen von bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Art. 5, 6, 7 und 9; b) die Rechte der betroffenen Person gemäß den Art. 12 bis 22; c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Art. 44 bis 49; d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden; e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Art. 58 Abs. 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Art. 58 Abs. 1. Seite 7 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis § 42 BDSG Strafvorschriften (1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein, 1. einem Dritten übermittelt oder 2. auf andere Art und Weise zugänglich macht und hierbei gewerbsmäßig handelt. (2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, 1. ohne hierzu berechtigt zu sein, verarbeitet oder 2. durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
Download
Beschreibung:
Schlagwörter: Seite 1 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Sie werden heute auf das Datengeheimnis verpflichtet. Dabei erhalten Sie eine Belehrung über die Pflichten, die sich für Sie aus dem Datengeheimnis ergeben. Dieses Merkblatt gibt Ihnen die Möglichkeit, das Wichtigste noch einmal nachzulesen. Datenschutz schützt das Persönlichkeitsrecht. Das Datengeheimnis dient – wie das gesamte Datenschutzrecht – dem Schutz des Persönlichkeitsrechts derjenigen Menschen, auf die sich die Daten beziehen. Diese Menschen nennt das Gesetz „betroffene Person“. Das können unsere Kunden sein, Ihre Kollegen – oder auch Sie als unser Mitarbeiter. Das Persönlichkeitsrecht gibt jedem Menschen das Recht, grundsätzlich selbst darüber zu entscheiden, wer was über ihn wissen darf. Beispielsweise darf jeder Kunde selbst entscheiden, wer seinen Wohnort erfahren soll, und Sie dürfen entscheiden, wer Ihren Gesundheitszustand kennen darf. Es ist Ihre Entscheidung, ob das geheim bleibt oder Sie es bei Facebook posten. Ausnahmen, in denen nicht nur der Wille des Betroffenen gilt, muss es natürlich geben – aber jede Ausnahme braucht nach dem Gesetz eine Rechtfertigung. Das kann nach der Regelung in Art. 6 Abs. 1 lit. a, c DSGVO entweder ein Gesetz sein oder die (freiwillige) Einwilligung des Betroffenen. Die wichtigste gesetzliche Erlaubnis gilt für diejenigen Daten, die unbedingt benötigt werden, um einen Vertrag mit der betroffenen Person zu erfüllen. Deshalb darf Ihr Vermieter beispielsweise Ihren Namen speichern, ohne dass Sie einwilligen müssten. Das Datengeheimnis. Das Datengeheimnis verpflichtet Sie nicht nur, personenbezogene Daten geheim zu halten, sie zum Beispiel nicht an Dritte weiterzugeben oder offen herumliegen zu lassen. Es verpflichtet Sie vielmehr dazu, nur dann mit personenbezogenen Daten zu arbeiten, wenn dies auch erlaubt ist – unabhängig davon, ob Sie diese Daten beispielsweise lesen, notieren, löschen (auch das Löschen ist eine Datenverarbeitung) oder weitergeben. Diese Erlaubnis müssen einerseits wir als Unternehmen haben, andererseits aber auch Sie persönlich nach unserer unternehmensinternen Aufgabenverteilung. Das Datengeheimnis einzuhalten, ist also auch Ihre ganz persönliche Verpflichtung. Diese Pflicht ergibt sich übrigens bereits aus der Datenschutzgrundverordnung (Art. 24 Abs. 1 DSGVO). Ihre heutige förmliche Verpflichtung auf das Datengeheimnis dient nur dazu, Ihnen deutlich zu machen, wie wichtig diese Pflicht ist. Bitte beachten Sie: Das Datengeheimnis gilt zeitlich unbefristet und zwar auch dann, wenn Sie nicht mehr für uns tätig sind. Es gilt gegenüber allen Personen, die nicht dienstlich für die jeweilige Sache zuständig sind – also auch gegenüber allen anderen Kollegen, Ihrer Familie und der Presse. Seite 2 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Der Begriff „personenbezogene Daten“. Das Datengeheimnis gilt für alle „personenbezogenen Daten“. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Das kann die Angabe sein, dass jemand Mitglied in einem Verein ist, wo er wohnt oder wie viel Geld er auf dem Konto hat. Ein personenbezogenes Datum kann aber auch die Angabe sein, dass die Kontonummer 123456 ihren Dispokredit überzogen hat. Denn obwohl hier kein Name genannt wird, ist einfach zu ermitteln, wer Inhaber dieses Kontos ist: Es handelt sich um Angaben zu einer „identifizierbaren“ Person. Eine Person ist identifizierbar, wenn man – eigene und fremde – Informationen kombinieren kann und dadurch erfährt, um wem es sich handelt. Das geht sehr viel einfacher als man denkt: So konnten Forscher jeden einzelnen von 1,5 Millionen Menschen eindeutig identifizieren, wenn sie nur wussten, wo er sich zu elf beliebigen Zeitpunkten aufhielt. Auch genügen Geburtsdatum, Postleitzahl und Geschlecht, um 87 Prozent der US-Amerikaner eindeutig zu identifizieren. Auch wenn Sie selbst denken, dass bestimmte Daten niemandem zuzuordnen sind, dürfen Sie diese deshalb nicht ohne Zustimmung Ihres Vorgesetzten und des Datenschutzbeauftragten an Dritte weitergeben oder veröffentlichen – abgesehen davon, dass es sich auch um Betriebsgeheimnisse handeln könnte, die Sie ebenfalls streng vertraulich behandeln müssen. Für welche Daten die DSGVO und das BDSG Geltung hat. Das BDSG und die DSGVO gelten einerseits für Computerdaten (wozu auch die Daten vieler technischer Geräte zählen), als auch für papierhafte Dokumente. Wichtig ist aber zu wissen, dass diese auch für „nicht automatisierte Dateien“ gelten – etwa eine Patientenkartei auf Papier oder eine Sammlung ausgefüllter Formulare. Das Datenschutzrecht gilt zudem auch dann, wenn die Daten später in eine Datei gespeichert werden sollen oder aus einer Datei stammen – etwa eine ausgedruckte Liste mit Kundendaten. Daten von Mitarbeitern oder Bewerbern werden in jeder Form durch die DSGVO und das BDSG geschützt. Die Telefonnummern Ihrer Kinder auf Ihrem Handy dürfen Sie übrigens weiterhin speichern, ohne dass Sie eine Rechtsgrundlage benötigen: solche rein persönlichen oder familiären Tätigkeiten sind von der Geltung der DSGVO und des BDSG ausgenommen (Art. 2 Abs. 2 lit. c DSGVO, § 1 Abs. 1 Nr. 2 BDSG). Unsere und Ihre Pflichten. Wir als Unternehmen und Sie als unser Mitarbeiter dürfen personenbezogene Daten nur dann erheben (Daten über jemanden beschaffen), verarbeiten (speichern – worunter auch aufschreiben oder aufbewahren fällt –, verändern, übermitteln – also an Dritte weitergeben oder ihnen einen Zugriff auf die Daten ermöglichen –, sperren – also den Zugriff auf die Daten einschränken –, löschen) und nutzen (jede andere Art, die Daten zu verwenden), wenn es dafür eine Rechtsgrundlage gibt. All diese Tätigkeiten zusammen nennt man auch Verwendung von Daten oder Umgang mit Daten. Als mögliche Rechtsgrundlage nennt Art. 6 Abs. 1 DSGVO: Erfüllung eines Vertrages Erfüllung einer rechtlichen Verpflichtung die Einwilligung der betroffenen Person Schutz lebenswichtiger Interessen Wahrung berechtigter Interessen Seite 3 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Für welche Daten es bei welchem Verfahren eine solche Rechtsgrundlage gibt, können Sie bei Ihrem Vorgesetzten erfragen. Bitte beachten Sie: Andere Daten dürfen Sie nicht verwenden. Personenbezogene Daten dürfen zudem nur zu dem jeweils bestimmt festgelegten Zweck verwendet werden. Eine Zweckänderung braucht eine eigene Rechtsgrundlage. Das bedeutet, dass zum Beispiel Kundendaten, die bisher nur für die Vertragsabwicklung verwendet wurden, nicht ohne Weiteres für Werbung genutzt werden dürfen. Auch hier sagt Ihnen Ihr Vorgesetzter, ob eine Zweckänderung erlaubt ist. Als wichtigste Regel sollten Sie sich hier merken, dass Sie personenbezogene Daten nie aus eigener Entscheidung heraus weitergeben oder für sich selbst nutzen dürfen (das heißt z.B. nicht außerhalb dienstlicher Notwendigkeit). Außerdem müssen personenbezogene Daten geschützt werden, so dass Unbefugte keine Kenntnis von ihnen nehmen und dass sie auch nicht versehentlich verloren gehen können. Deshalb verschlüsseln wir personenbezogene Daten, wenn wir sie über das Internet übertragen müssen und machen regelmäßig Sicherungskopien. Art. 32 DSGVO enthält Sicherheitsmaßnahmen, die für uns gelten. So dürfen z.B. Ausdrucke mit personenbezogenen Daten oder Datenträger wie Speicherkarten, USB-Sticks oder Festplatten keinesfalls einfach weggeworfen oder weggegeben werden, sondern müssen ordnungsgemäß vernichtet oder durch die IT-Abteilung sicher gelöscht werden. Dass Sie Ihr Passwort nicht an Kollegen oder Dritte weitergeben oder gar auf einem Zettel an den Computer kleben dürfen, sollte sich von selbst verstehen – es ist Ihr persönliches Passwort, und wenn es jemand missbraucht, sind Sie persönlich dafür verantwortlich (siehe „Folgen von Verstößen“). Rechte der Betroffenen. Eins der wichtigsten Persönlichkeitsrechte ist es, zu wissen, was andere über einen wissen. Wenn ein Unternehmen heimlich Daten über jemanden sammelt, muss es daher fast immer den Betroffenen informieren. Jeder Mensch kann zudem verlangen, dass ihm jedes Unternehmen mitteilt, welche Daten es über ihn gespeichert hat (Art. 15 DSGVO). Dies bedeutet, dass alles, was Sie beispielsweise über einen Kunden notieren, auch schriftlich zu diesem Kunden gelangen kann. Achten Sie deshalb bitte darauf, dass Sie nur Angaben notieren, für die wir auch eine Erlaubnis zum Speichern haben – Ihr Vorgesetzter sagt Ihnen, welche Daten das in Ihrem konkreten Fall sind. Und achten Sie bitte auch darauf, wie Sie es aufschreiben: knapp, neutral und niemals beleidigend o. ä. Das Auskunftsrecht ist ein spezielles Recht des Betroffenen: An andere Personen und Stellen dürfen wir normalerweise keine Auskünfte geben – das wäre eine Übermittlung, für die wir eine Erlaubnis bräuchten. Benötigen wir bestimmte Daten nicht mehr, müssen wir sie löschen; falsche Daten müssen wir berichtigen (Art. 16, 17 DSGVO). Wenn Sie feststellen, dass nicht mehr benötigte Daten weiterhin gespeichert bleiben, sprechen Sie bitte Ihren Vorgesetzten darauf an. Denn die Speicherung von Daten, die eigentlich zu löschen wären, kann mit sehr hohen Bußgeldern bestraft werden. Jeder Betroffene kann uns zudem verbieten, seine Daten für Marketing- oder Marktforschungszwecke zu benutzen (Art. 21 Abs. 2, 3, 4 DSGVO). Sollte ein Auskunftsersuchen, ein Widerspruch oder ein anderer Wunsch oder Hinweis mit Datenschutzbezug bei Ihnen eingehen, leiten Sie ihn bitte sofort an den Vorstand weiter. Selbstständig dürfen Sie solche Dinge nur bearbeiten, wenn wir Ihnen diese Aufgabe ausdrücklich zugewiesen haben. Beachten Sie bitte, dass auch Behörden oder die Polizei nicht ohne weiteres Daten von uns erhalten können. Wir benötigen hierfür einen förmlichen Beschlagnahmebeschluss bzw. ein förmliches Auskunftsersuchen. Wenn Sie von der Polizei oder einer anderen Behörde kontaktiert werden, informieren Sie bitte sofort Ihren Vorstand. Seite 4 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Folgen von Verstößen. Verstöße gegen die DSGVO können für uns schwerwiegende Folgen haben – aber auch für Sie persönlich. Viele Verstöße gegen die DSGVO können mit Bußgeld bestraft werden (Art. 83, 84 DSGVO). Dieses Bußgeld kann bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres betragen. Bußgelder werden zwar meist gegen Unternehmen verhängt, aber durchaus auch gegen einzelne Mitarbeiter, wenn ein Gesetzesverstoß – etwa durch die Nutzung eines bestimmten Passworts oder das Versenden einer E-Mail an alle Kunden mit sämtlichen E-Mail Adressen des Kundenstammes im Cc statt im Bcc – bestimmten Mitarbeitern zuzurechnen ist. Zudem sind bestimmte Verstöße gegen die DSGVO und das BDSG Straftaten, die mit Gefängnis bestraft werden können (§ 42 BDSG): Beispiel: Jemand verkauft weisungswidrig eine Festplatte mit personenbezogenen Daten anstatt sie zu zerstören. Verstöße gegen die DSGVO und das BDSG können zudem auch nach anderen Gesetzen strafbar sein, z.B. Verrat von Geschäfts- und Betriebsgeheimnissen, Ausspähen von Daten oder Computerbetrug. Jeder Betroffene kann Schadensersatz für eine unzulässige oder unrichtige Verwendung seiner Daten verlangen. Unter Umständen müssen Sie persönlich diesen Schadensersatz ganz oder teilweise bezahlen, wenn Sie mittlere oder schwere Verstöße begangen haben. Fragen Sie daher lieber einmal zu viel als zu wenig. Schwere Schäden für uns kann es verursachen, wenn eine so genannte Datenpanne öffentlich bekannt wird. Kunden verlieren das Vertrauen und kaufen nicht mehr bei uns, wenn sie nicht sicher sein können, dass ihre Daten bei uns in guten Händen sind. Hinzu kommt, dass wir nach Art. 33 DSGVO verpflichtet sein können, eine Datenpanne allen Betroffenen mitzuteilen oder gar halbseitige Anzeigen in zwei bundesweiten Tageszeitungen zu schalten. Bitte helfen Sie mit, dass es niemals dazu kommt. Nicht zuletzt können wir arbeitsrechtliche Konsequenzen ziehen, wenn Sie gegen das Datengeheimnis verstoßen. Denkbar sind je nach Schwere Ihres Fehlverhaltens insbesondere eine Abmahnung, eine fristgerechte Kündigung oder sogar eine fristlose Kündigung ohne vorherige Verwarnung. Neue Verfahren mit personenbezogenen Daten. Sie sind an einem Projekt beteiligt, bei dem personenbezogene Daten eine Rolle spielen? Dann sorgen Sie bitte dafür, dass der Datenschutzbeauftragte so früh wie möglich einbezogen wird. Er kann Ihnen sagen, ob es überhaupt rechtlich möglich ist, was Ihr Projektteam plant, und Tipps geben, was Sie verbessern könnten. Wenn Sie diese Fragen rechtzeitig mit dem Datenschutzbeauftragten klären, können Sie von Anfang an das richtige Verfahren entwickeln. Wenn Sie ihn erst kurz vor Schluss einbeziehen, kann es sein, dass Ihr Projekt komplett scheitert, weil es rechtlich nicht oder nur unter aufwendigen Änderungen umzusetzen ist. Seite 5 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis Anlage zum Datengeheimnis Text der Art. 24, 83 DSGVO und § 42 BDSG Art. 24 Abs. 1 DSGVO Datengeheimnis Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. Art. 83 Abs. 2, 3, 4, 5 DSGVO Bußgeldvorschriften (2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Art. 58 Abs. 2a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt: a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens; b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes; c) Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von Ihnen gemäß den Art. 25 und 32 getroffenen technischen und organisatorischen Maßnahmen; d) etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters; e) Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern; f) Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind; g) Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat; h) Einhaltung der nach Art. 58 Abs. 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden; i) Einhaltung von genehmigten Verhaltensregeln nach Art. 40 oder genehmigten Zertifizierungsverfahren nach Art. 42 und j) jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangten finanzielle Vorteile oder vermiedene Verluste. Seite 6 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis (3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß. (4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Abs. 2 Geldbußen von bis zu 10.000.000 € oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Art. 8, 11, 25 bis 39, 42 und 43; b) die Pflichten der Zertifizierungsstelle gemäß den Art. 42 und 43; c) die Pflichten der Überwachungsstelle gemäß Art. 41 Abs. 4. (5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Abs. 2 Geldbußen von bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Art. 5, 6, 7 und 9; b) die Rechte der betroffenen Person gemäß den Art. 12 bis 22; c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Art. 44 bis 49; d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden; e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Art. 58 Abs. 2 oder Nichtgewährung des Zugangs unter Verstoß gegen Art. 58 Abs. 1. Seite 7 von 7 | Rechtsstand: 03/2025 Merkblatt zum Datengeheimnis § 42 BDSG Strafvorschriften (1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein, 1. einem Dritten übermittelt oder 2. auf andere Art und Weise zugänglich macht und hierbei gewerbsmäßig handelt. (2) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind, 1. ohne hierzu berechtigt zu sein, verarbeitet oder 2. durch unrichtige Angaben erschleicht und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.
Download
