1
Softwareentwicklung in der industriellen Praxis
Fakultät für Informatik
TU Dresden
Wintersemester 2011/2012
RINGVORLESUNG
©DID 2011
2
ALLES VERBOTEN?
Datenschutzaspekte bei Softwareentwicklung / Praxisbeispiel Beschäftigtendatenschutz
©DID 2011
Dr. Ralph Wagner LL.M.DID
Dresdner Institut für Datenschutz
3
Wenn persönliche Daten verarbeitet werden, muss Software zuerst dem Datenschutzrecht genügen; Nutzerkomfort, Effizienz etc. sind "von Gesetzes wegen" nachrangig.
Datenschutzwidrige Anwendungen können von der Aufsichtsbehörde untersagt und mit Bußgeldern sanktioniert werden. Am Beispiel von Personaldaten wird gezeigt, welche Vorgaben beachtet werden müssen, damit die entwickelte Software auch tatsächlich angewendet werden darf.
©DID 2011
4
- Publikationen
- Stellungnahmen in Gesetzgebungsverfahren
- Vorträge, Lehraufträge
• Externe Datenschutzbeauftragte• Back-Office für interne Datenschutzbeauftragte• Gutachten• Audits• Produkte• Verfahren
©DID 2011
5
Dr. Ralph Wagner LL.M.
• Jurist und Rechtsanwalt• Mitglied Datenschutzgruppe BRAK• betrieblicher Datenschutzbeauftragter• behördlicher Datenschutzbeauftragter • Konzerndatenschutzbeauftragter• Lehrbeauftragter für Datenschutzrecht an der TUD
©DID 2011
6
(5) Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten oder technischer oder organisatorischer Mängel anordnen.
§ 38 BDSGAufsichtsbehörde
©DID 2011
Bei schwerwiegenden Verstößen oder Mängeln … kann sie … den Einsatz einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in angemessener Zeit beseitigt werden...
7
§ 43 BDSGBußgeldvorschriften
©DID 2011
(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet …
3) Die Ordnungswidrigkeit kann … in den Fällen des Absatzes 2 mit einer Geldbuße bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können sie überschritten werden.
8
(1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche Handlung gegen Entgelt … begeht, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.
…
§ 44 BDSGStrafvorschriften
©DID 2011
9
1 x 1 des deutschen Datenschutzrechts – in 15 Minuten
©DID 2011
10
„Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.“
Verbot mit Erlaubnisvorbehalt
§ 4 Abs. 1 BDSG Zulässigkeit der Datenerhebung, -verarbeitung und -nutzung
©DID 2011
11
Was ist erlaubt/verboten?
durch das BDSG selbst ...Beispiel: öffentlich zugängliche Daten
oder durch eine andere Rechtsvorschrift ...Beispiel: Steuern, Abgaben
oder durch die Einwilligung des Betroffenen ...Beispiel: Einverständniserklärung zur Datennutzung
Datenerhebung ist zulässig, wenn sie ...
... erlaubt wird.
©DID 2011
12
Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes [...] zu gewährleisten.
§ 9 BDSG: Technische und organisatorische Maßnahmen
Wie ist es erlaubt?
©DID 2011
13
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Wie ist es erlaubt?
©DID 2011
14
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Verhinderung der unbefugten Nutzung von Datenverarbeitungsanlagen, also des Eindringens in das EDV-System seitens unbefugter (externer) Personen sowie geregelte Zugangskontrolle eines grundsätzlich Berechtigten.
Wie?
©DID 2011
15
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Gewährleistung, dass die zur Benutzung Berechtigten nur auf die für ihre jeweils rechtmäßige Aufgabenstellung benötigten Daten zugreifen können.
Wie?
©DID 2011
16
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Gewährleistung der nachträglichen Überprüfbarkeit, welche personenbezogenen Daten durch wen zu welcher Zeit in Datenverarbeitungssysteme eingegeben bzw. dort verändert, gelöscht oder entfernt worden sind.
Wie?
©DID 2011
17
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Technische Sicherstellung der zweckbestimmten Verarbeitung von persönlichen Daten. Gemeint ist damit zumindest eine logische Trennung
Wie?
©DID 2011
18
Zutrittskontrolle
Eingabekontrolle
Zugangskontrolle
Auftragskontrolle
Zugriffskontrolle
Verfügbarkeitskontrolle
Weitergabekontrolle
Trennungsgebot
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Die Weitergabekontrolle soll verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder gelöscht werden können und gewährleisten, dass überprüft werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
Wie?
©DID 2011
19
Rechte des Betroffenen
Diejenige natürliche Person, deren Daten verarbeitet werden, bezeichnet das Gesetz als "Betroffener".
Betroffene können beispielsweise der Mitarbeiter, der Kunde oder Ansprechpartner eines Firmenkunden sein. Den Betroffenen räumt das BDSG Rechte ein.
©DID 2011
20
RECHTE DES BETROFFENEN
Auskunftsrecht
Unternehmen
über die zu seiner Person gespeicherten Daten über die Herkunft der gespeicherten Daten über die Empfänger, an die Daten weitergegeben werden
Information bei Erhebung oder Benachrichtigung bei erstmaliger Speicherung
©DID 2011
Betroffener
21
SCHUTZBEREICH
Kreditkarten-nummer
Name
Adresse Gehalt
Geburtsjahr
Vermögens-verhältnisse
Telefon-nummer
Wohn-verhältnisse
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person.
Beispiele:
©DID 2011
22
SCHUTZBEREICH
Name
Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt.
©DID 2011
23
SCHUTZBEREICH
Bestimmbar wird eine Person, wenn ihre Identität durch die Kombination des Datums mit einer anderen Information feststellbar wird.
IP-Adresse
Abgleich mit Providerdaten
Bestimmt ist eine Person, wenn sich ihre Identität direkt aus dem Datum selbst ergibt.
©DID 2011
24
SCHUTZBEREICH
Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten personenbezogener Daten, da diese besonders schützenswert sind.
Gesundheit
Gewerkschafts-zugehörigkeit
Religiöse oder philosophischeÜberzeugung
PolitischeMeinung
Sexual-leben
Rassische und ethnischeHerkunft
©DID 2011
25
ANWENDUNGSBEREICH
Die Daten von juristischen Personen, Vereinen, Verbänden etc. sind hier nicht geschützt.
Daten ohne Personenbezug sind nicht geschützt.
Das BDSG regelt nicht die private, familiäre Verarbeitung personenbezogener Daten.
Das BDSG regelt grundsätzlich nur die Verarbeitung von Daten in oder aus
automatischen Systemen
©DID 2011
26
BEISPIEL:ANWENDUNG IM PERSONALBEREICH
©DID 2011
27
Im Unternehmen werden verschiedene, voneinander isolierte Anwendungen eingesetzt. Zusammenführung und Auswertung erfolgt manuell. Kalenderführung für jeden Mitarbeiter einzeln, ohne
Fremdzugriffe, von den Mitarbeitern auch zur Abstimmung dienstlicher und privater Termine genutzt
Arbeitszeiterfassung je Mitarbeiterplatz einzeln in Excelanwendung bei manueller Eingabe, anschließend Weiterleitung Papierausdruck zur Personalabteilung
Meldung von Fehlzeiten (z.B. Urlaub, Krankheit), Anwesenheits- und Dienstplanung in Papierform – Zusammenführung im Personalbereich manuell
Lohnbuchhaltung extern (bei Steuerberater)
AUSGANGSSITUATION
©DID 2011
28
Vernetzung der Kalender und Ermögl ichung von Terminabst immungen / -e intragungen mitarbeiterübergreifend
Eintragung Anwesenheits- und Fehlzei ten (auch Urlaubs- und Krankheitsze i ten) in Kalender
(nach manuel len Vorgaben) e lektronisch generierte Anwesenheits- / Dienstplanung aus Zusammenführung der e inzeln erfassten (vergangenen und geplanten) Anwesenheits - / Fehlzei ten
elektronische Arbeitszei terfassung anhand der Verwalter oder Mitarbeiter in e inzelnen EDV-Projekten, kundenbezogene Aufwandszuordnung
elektronisch generierte Abrechnung gegenüber Kunden für die e inzelnen Projekte
elektronisch generierte Abrechnungsgrundlagen für Lohn / Gehalt (Anwesenheitszei ten / Überstunden / Überstundenkonto / Entgel t fortzahlungszei t / entgel t lose Zeiten) – Schnit tste l le zur Gehalts- und Lohnabrechnung
ZIELVORSTELLUNG
©DID 2011
29
für Vernetzung der zuvor individuell geführten Kalender erforderlich: datenschutzrechtliche Einwilligungserklärung der Mitarbeiter gemäß § 4 a Abs. 1, ggf. Abs. 3 BDSG
bei Nichtvorliegen der Einwilligung Beendigung der Privateintragungen und Löschung der Altdaten - keine Datenmigration zulässig (alternativ zulässig wäre gemäß § 28 Abs. 1 Satz 1 Nr. 2 BDSG „Blindkennzeichnung“ entsprechender Termine [z.B. „nicht verfügbar“])
Datenschutzrechtlich zwingenderforderliche Maßnahmen
©DID 2011
30
dringend zu empfehlen:
Protokollierung der schreibenden (auch löschenden) Anwender bei Vernetzung (Eingabekontrolle, Satz 1 Ziff. 5 der Anlage zu § 9 Satz 1 BDSG)
©DID 2011
31
zwingend:
Rollenkonzept / gestufte Nutzerrechte (Verarbeitungsgrundlage jeweils § 28 Abs. 1 Satz 1 Nr. 1 bzw. Nr. 2 BDSG / keine Einwilligung):
ProjektbearbeiterTeamleiterPersonalbereichBuchhaltung
©DID 2011
32
zwingend:
Automatismen zur Löschung/Sperrung aufgenommener Daten und/oder zur Änderung der Zuordnung Daten/Nutzerrolle z.B.:
- Einblick in Anwesenheitsdaten- Phase 1 – aktuell: alle Nutzer
Phase 2 – bis Laufzeitende Stundenkonto: betroffener Mitarbeiter, Teamleiter (Letzterer nur Saldo)
- Phase 3 – bis Ablauf der Verjährungsfristen: Personalbereich- Phase 4 – bis Ablauf der Aufbewahrungsfristen: Buchhaltung
©DID 2011
33
Mitbestimmung Betriebsrat / Personalvertretung nach § 87 Abs. 1 Ziff. 6 BetrVG
(bzw. entsprechenden Personalvertretungsgesetzen):
„Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, in folgenden Angelegenheiten mitzubestimmen: … Ziff. 6 Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen …“
(zwingende Mitbestimmung, Einigungsstellen – Kompetenz)
©DID 2011
34
Sie haben keine Fragen?
©DID 2011