GDD-Infotag 2001

 Leitthema „Moderne Datenschutzkontrolle“ 

Der GDD-Informationstag fand am 04.07.2001 im Schulungszentrum der Fraport AG unter dem Leitthema „Moderne Datenschutzkontrolle“ in Frankfurt statt. Traditionell dient der Informationstag dem Informations- und Meinungsaustausch zwischen Vertretern der Datenschutzaufsicht und Mitgliedern der GDD. Die Aufsichtsbehördenvertreter widmeten ihre Referate der Novellierung des BDSG, dem neuen Recht für das Internet sowie der neuen Datenschutzorganisation des Unabhängigen Landeszentrums für Datenschutz Schleswig-Hol­stein. Im Anschluss an die Begrüßung durch Wolfgang Strubel (GDD-Vor­stand) gab Andreas Jaspers (Geschäftsführer der GDD) einige grundlegende Informationen zu der von der Bundesregierung beabsichtigten zweistufigen Novellierung des deutschen Datenschutzrechts. Im Hinblick auf das in Kraft getretene Gesetz zur Änderung des BDSG stellte Jaspers fest, dass das Änderungsgesetz - offenbar auf Grund von Zeitdruck - Fehler enthalte. Diese müssten mit einer redaktionellen Überarbeitung noch ausgemerzt werden. Aktuell sei die GDD mit der Erarbeitung von Praxishilfen zum neuen BDSG befasst, die im Anschluss an ihre Fertigstellung den GDD-Mitgliedern zur Verfügung gestellt werden sollen.

Im Rahmen der Vorstellung des neu gegründeten ULD Schleswig-Holstein machte Dr. Thomas Petri deutlich, dass eine moderne Datenschutzkontrolle sowohl bürger- als auch wirtschaftsfreundlich sein muss. Die Aufsichtsbehörde müsse nicht nur rechtlichen sondern auch technischen Fragestellungen gewachsen sein. Das Unabhängige Landeszentrum stelle sich diesen Aufgaben. Hierzu gehörten die zügige Abwicklung von erforderlichen aufsichtsbehördlichen Maßnahmen, die Schaf­fung wirtschaftlicher bzw. wirtschaftsüblicher Anreize zu mehr Datenschutz bei den privaten und öffentlichen Stellen in Schleswig-Holstein, die Anleitung zu mehr Selbstdatenschutz im Rahmen von Projekten und die Entwicklung neuer Datenschutzstandards. Auch die Realisierung der Informationsfreiheit gegenüber Behörden habe das Landeszentrum als Aufgabe übernommen, denn das grundsätzliche Recht des Einzelnen auf einen freien Informationszugang sei wesensverwandt mit dem Grundrecht der Bürgerinnen und Bürger auf informationelle Selbstbestimmung. Nachfolgend stellte der Referent aktuelle Projekte des ULD Schleswig-Holstein vor. Im Vordergrund stand dabei die Schaffung von Voraussetzungen für Datenschutz-Gütesiegel. Des Weiteren würden die Voraussetzungen für ein Behördenaudit geschaffen, damit öffentliche Stellen ihr Datenschutzmanagement zukünftig zertifizieren lassen können. Die Erfahrungen mit Gütesiegel und Audit könnten unter Umständen wichtige Grundlagen für die Schaffung eines Bundesgesetzes zur Durchführung eines Datenschutz­auditverfahrens sein. Neben einer Selbstregulierung der Wirtschaft stehe auch der Aspekt des Selbstdatenschutzes im Vordergrund, was anhand des Projekts AN.ON zum anonymen Surfen im Internet verdeutlicht wurde.

Peter Schaar, Stellvertreter des Hamburgischen Da­tenschutzbeauftragten, berichtete über das neue Recht für das Internet, das sich u.a. aus Gesetzesnovellen (BDSG, TDDSG) ergibt. Zunächst gab der Re­ferent einen Überblick über die einzelnen Rechts­­grundlagen. Neben dem Telekommunikations-, dem Teledienste- und dem Mediendiensterecht kommt als Auffanggesetz das Bundesdatenschutzgesetz zur Anwendung. Daneben verwies der Referent auf die Änderung des Signaturgesetzes sowie auf die bevorstehende Änderung der gesetzlichen Formvorschriften des Privatrechts. Im Telekommunikationsrecht sei die Telekommunikations-Datenschutzverordnung (TDSV) im Jahr 2000 in Kraft getreten. Der Erlass einer Telekommunikationsüber­wachungsverordnung, die Provider zum Vorhalten technischer Möglichkeiten zur Telekommunikationsüberwachung verpflichten soll, stünde bevor. Auf EU-Ebene denke man über eine EG-Te­le­kom­mu­nikations-Datenschutzrichtlinie nach. Des Weiteren verwies Schaar auf eine Entscheidung der Regulierungsbehörde für Post und Telekommunikation vom Januar 2001, wonach E-Mail-Dienste als Telekommunikationsdienste und nicht als Teledienste einzustufen seien, mit der Folge, dass auch hier das Fernmeldegeheimnis gelte. Im Hinblick auf die bevorstehende Novellierung des Te­le­diens­te­da­tenschutzgesetzes im Rahmen des Erlasses eines Gesetzes über den elektronischen Geschäftsverkehr (EGG) wurde deutlich, dass das neue Gesetz keine Anwendung für Dienst- und Arbeitsverhältnisse finden wird, soweit lediglich eine dienstliche Nutzung im Raum stünde. Auch für den sog. B2B-Bereich des E-Commerce werde das neue Teledienstedatenschutzrecht nicht gelten. In Bezug auf das Verhältnis des Teledienste- bzw. Mediendiens­terechts zum BDSG verdeutlichte der Referent, dass sich ein Rückgriff auf das BDSG verbiete, sobald ein Anbieter/Nutzerverhältnis im Sinne der vorgenannten Regelwerke gegeben sei. Schaar führte die folgenden Internet-relevanten BDSG-Änderungen auf:

• Generelle Geltung für automatisierte Verarbeitung (§ 1 Abs. 2 Nr. 3)
• Neuregelung der Anwendbarkeit des nationalen Rechts (§ 1 Abs. 5)
• Gebot zur Datensparsamkeit (§ 3a)
• Videoregelung (§ 6b)
• Datenschutzaudit (§ 9a)
• Übermittlung an Drittstaaten (§§ 4b, 4c)
• Verzeichnisregelung (§ 29 Abs. 3)
• Anlassfreie Aufsicht (§ 38)
• Bußgeld- und Strafbestimmungen (§§ 43, 44)

Die Videoregelung des § 6b sei u.a. beim Einsatz sog. Web-Cams einschlägig. Ein Datenschutzaudit könne für Internet-Anbieter zu einem marktgängigen Instrument werden.

Wilfried Seiffert vom Landesbeauftragten für den Datenschutz Niedersachsen berichtete über den Stand der Umsetzung der EG-Datenschutzrichtlinie in den einzelnen Bundesländern und gab anschließend einen Überblick über die wesentlichen Neuerungen im BDSG. Auf Landesebene sei die Richtlinie inzwischen in Brandenburg, Baden-Würt­tem­berg, Bayern, Nordrhein-Westfalen, Hessen, Schles­wig-Holstein und Niedersachsen in nationales Recht umgesetzt worden. Mit Blick auf den neu in das BDSG aufgenommenen Grundsatz der Datenvermeidung und Datensparsamkeit nannte der Referent Pre-Paid-Karten, die Reduzierung des Aufnahmewinkels und den Verzicht auf Speicherungen bei der Videoüberwachung, anonyme Zahlungsverfahren bei E-Government sowie anonymes Surfen im Internet als Beispiele. Im Rahmen der Erläuterung des neuen Meldeverfahrens wies Seiffert auf die hierzu von den Aufsichtsbehörden bereits entwickelten Formulare und Orientierungshilfen hin. Der Referent ermutigte dazu, die automatisierten Verfahren einer gewissenhaften Bestandsaufnahme im Unternehmen zu unterziehen und die neue Aufgabe der Vorabkontrolle der materiellen Rechtmäßigkeit besonders sensibler automatisierter Verarbeitungen gewissenhaft durchzuführen. Das von der Hamburgische Electricitätswerke AG (HEW) entwickelte und auf der Unternehmens-Homepage einsehbare öffentliche Verfahrensverzeichnis hielt der Referent für eine vertretbare Lösung. Zusammenfassend stellte Seiffert fest, dass sich insb. auf Grund von folgenden BDSG-Neu­regelungen ein Handlungsbedarf in den Unternehmen ergäbe:

• Datenvermeidung und Datensparsamkeit
• Meldepflicht
• Vorabkontrolle
• Regelungen für den Datenschutzbeauftragten
• Automatisierte Einzelentscheidung
• Mobile Speichermedien
• Technische und organisatorische Maßnahmen
• Datenschutzaudit
• Kompetenzen der Aufsichtsbehörden

U.a. wurde die Empfehlung gegeben, ein Rundschreiben an alle Abteilungsleiter/IT-Ver­ant­wort­li­che mit dem Hinweis auf die neuen BDSG-Vor­schrif­ten zu verfassen. Eine Checkliste für eine Ist-Aufnahme technischer und organisatorischer Maßnahmen sei derzeit noch in Arbeit. Überdies gelte es, das Sicherheitskonzept des Unternehmens neu zu bewerten und hierbei möglichst das IT-Grund­schutz­hand­buch zu berücksichtigen. Auch müssten die Unternehmen eine Entscheidung darüber treffen, ob ggf. ein Datenschutzaudit durchgeführt werden soll. Insgesamt stellte Seiffert fest, dass mit der ersten Phase der BDSG-No­vel­lie­rung das Reformziel nicht ganz erreicht worden sei, nicht zuletzt, weil auch dem neuen BDSG  ein überholtes Technikkonzept zu Grunde liege. Vor diesem Hintergrund äußerte der Referent seine Hoffnung auf eine Verbesserung in der von der Bundesregierung angekündigten zweiten Phase der BDSG-No­vel­lie­rung