Transcript Folien ()

RINGVORLESUNG
Softwareentwicklung in der industriellen Praxis
Fakultät für Informatik
TU Dresden
Wintersemester 2011/2012
©DID 2011
1
Dr. Ralph Wagner LL.M .
DID
Dresdner Institut für Datenschutz
ALLES VERBOTEN?
Datenschutzaspekte bei Softwareentwicklung /
Praxisbeispiel Beschäftigtendatenschutz
©DID 2011
2
 Wenn persönliche Daten verarbeitet werden, muss
Software zuerst dem Datenschutzrecht genügen;
Nutzerkomfort, Effizienz etc. sind "von Gesetzes
wegen" nachrangig.
 Datenschutzwidrige Anwendungen können von der
Aufsichtsbehörde untersagt und mit Bußgeldern
sanktioniert werden. Am Beispiel von Personaldaten
wird gezeigt, welche Vorgaben beachtet werden
müssen, damit die entwickelte Software auch
tatsächlich angewendet werden darf.
©DID 2011
3
- Publikationen
- Stellungnahmen in
Gesetzgebungsverfahren
- Vorträge, Lehraufträge
•
•
•
•
•
•
©DID 2011
Externe Datenschutzbeauftragte
Back-Office für interne Datenschutzbeauftragte
Gutachten
Audits
Produkte
Verfahren
4
Dr. Ralph Wagner LL.M.
•
•
•
•
•
•
©DID 2011
Jurist und Rechtsanwalt
Mitglied Datenschutzgruppe BRAK
betrieblicher Datenschutzbeauftragter
behördlicher Datenschutzbeauftragter
Konzerndatenschutzbeauftragter
Lehrbeauftragter für Datenschutzrecht an der TUD
5
§ 38 BDSG
Aufsichtsbehörde
(5) Zur Gewährleistung der Einhaltung dieses Gesetzes und anderer Vorschriften
über den Datenschutz kann die Aufsichtsbehörde Maßnahmen zur Beseitigung
festgestellter Verstöße bei der Erhebung, Verarbeitung oder Nutzung
personenbezogener Daten oder technischer oder organisatorischer Mängel
anordnen.
Bei schwerwiegenden Verstößen oder Mängeln … kann sie … den Einsatz
einzelner Verfahren untersagen, wenn die Verstöße oder Mängel entgegen der
Anordnung nach Satz 1 und trotz der Verhängung eines Zwangsgeldes nicht in
angemessener Zeit beseitigt werden...
©DID 2011
6
§ 43 BDSG
Bußgeldvorschriften
(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
1. unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt
oder verarbeitet …
3) Die Ordnungswidrigkeit kann … in den Fällen des Absatzes 2 mit einer Geldbuße
bis zu dreihunderttausend Euro geahndet werden. Die Geldbuße soll den
wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat,
übersteigen. Reichen die in Satz 1 genannten Beträge hierfür nicht aus, so können
sie überschritten werden.
©DID 2011
7
§ 44 BDSG
Strafvorschriften
 (1) Wer eine in § 43 Abs. 2 bezeichnete vorsätzliche
Handlung gegen Entgelt … begeht, wird mit
Freiheitsstrafe bis zu zwei Jahren oder mit
Geldstrafe bestraft.
…
©DID 2011
8
1 x 1 des deutschen Datenschutzrechts –
in 15 Minuten
©DID 2011
9
§ 4 Abs. 1 BDSG
Zu lä s s igkeit d er D a t e ne rh eb ung, - v e r ar be itu ng u n d - n u tzu n g
 „Die
Erhebung,
Verarbeitung
und
Nutzung
personenbezogener Daten sind nur zulässig, soweit
dieses Gesetz oder eine andere Rechtsvorschrift dies
erlaubt oder anordnet oder der Betroffene
eingewilligt hat.“

©DID 2011
Verbot mit Erlaubnisvorbehalt
10
Was ist erlaubt/verboten?
Datenerhebung ist zulässig, wenn sie ...
durch das BDSG selbst ...
Beispiel: öffentlich zugängliche Daten
oder durch eine andere Rechtsvorschrift ...
Beispiel: Steuern, Abgaben
oder durch die Einwilligung des Betroffenen ...
Beispiel: Einverständniserklärung zur Datennutzung
... erlaubt wird.
©DID 2011
11
Wie ist es erlaubt?
§ 9 BDSG: Technische und organisatorische Maßnahmen
Öffentliche und nicht-öffentliche Stellen, die selbst oder im
Auftrag personenbezogene Daten erheben, verarbeiten oder
nutzen, haben die technischen und organisatorischen
Maßnahmen zu treffen, die erforderlich sind, um die
Ausführung der Vorschriften dieses Gesetzes [...] zu
gewährleisten.
©DID 2011
12
Wie ist es erlaubt?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Zugangskontrolle
Eingabekontrolle
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Trennungsgebot
Auftragskontrolle
Weitergabekontrolle
13
Wie?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Zugangskontrolle
Eingabekontrolle
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Verhinderung der unbefugten Nutzung
von Datenverarbeitungsanlagen, also
des Eindringens in das EDV-System
Trennungsgebot
seitens unbefugter (externer) Personen
sowie geregelte Zugangskontrolle eines
grundsätzlich Berechtigten.
Auftragskontrolle
Weitergabekontrolle
14
Wie?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Zugangskontrolle
Eingabekontrolle
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Trennungsgebot
Auftragskontrolle
Gewährleistung, dass die zur
Benutzung Berechtigten nur auf die
für ihre jeweils rechtmäßige
Weitergabekontrolle
Aufgabenstellung
benötigten Daten
zugreifen können.
15
Wie?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Zugangskontrolle
Eingabekontrolle
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Trennungsgebot
Gewährleistung der nachträglichen
Überprüfbarkeit, welche
personenbezogenen Daten durch wen zu
welcher Zeit in
Auftragskontrolle
Datenverarbeitungssysteme eingegeben
bzw. dort verändert, gelöscht oder
entfernt worden sind.
Weitergabekontrolle
16
Wie?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Technische Sicherstellung der
Zugangskontrolle
zweckbestimmten Verarbeitung von
persönlichen Daten. Gemeint ist damit
zumindest eine logische Trennung
Eingabekontrolle
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Trennungsgebot
Auftragskontrolle
Weitergabekontrolle
17
Wie?
Kontrollmaßnahmen der Anlage zu § 9 BDSG:
Zutrittskontrolle
Die Weitergabekontrolle soll
verhindern, dass Datenträger
unbefugt
gelesen, kopiert, verändert
Zugangskontrolle
oder gelöscht werden können und
gewährleisten, dass überprüft werden
kann, an welche Stellen eine
Übermittlung personenbezogener
Eingabekontrolle
Daten durch Einrichtungen zur
Datenübertragung vorgesehen ist.
Zugriffskontrolle
©DID 2011
Verfügbarkeitskontrolle
Trennungsgebot
Auftragskontrolle
Weitergabekontrolle
18
Rechte des Betroffenen
Diejenige
natürliche
Person,
deren
Daten
verarbeitet
werden,
bezeichnet
das Gesetz als "Betroffener".
Betroffene
können
beispielsweise
der
Mitarbeiter, der Kunde oder Ansprechpartner
eines Firmenkunden sein. Den Betroffenen
räumt das BDSG Rechte ein.
©DID 2011
19
RECHTE DES BETROFFENEN
Information bei Erhebung oder Benachrichtigung bei
erstmaliger Speicherung
Betroffener
Unternehmen
Auskunftsrecht
 über die zu seiner Person gespeicherten Daten
 über die Herkunft der gespeicherten Daten
 über die Empfänger, an die Daten weitergegeben werden
©DID 2011
20
SCHUTZBEREICH
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche
Verhältnisse einer bestimmten oder bestimmbaren Person.
Beispiele:
Geburtsjahr
Vermögensverhältnisse
©DID 2011
Name
Wohnverhältnisse
Adresse
Gehalt
TelefonKreditkarten- nummer
nummer
21
SCHUTZBEREICH
Bestimmt ist eine
Person, wenn sich
ihre Identität direkt
aus dem Datum
selbst ergibt.
Name
©DID 2011
22
SCHUTZBEREICH
Bestimmt ist eine
Bestimmbar wird eine Person,
Person, wenn sich ihre wenn ihre Identität durch die
Identität direkt aus
Kombination des Datums mit
dem Datum selbst
einer anderen Information
ergibt.
feststellbar wird.
©DID 2011
IP-Adresse
Abgleich mit
Providerdaten
23
SCHUTZBEREICH
Weitaus strengere Regeln gibt es für den Umgang mit sogenannten besonderen Arten
personenbezogener Daten, da diese besonders schützenswert sind.
Gewerkschaftszugehörigkeit
Politische
Meinung
©DID 2011
Religiöse oder
Rassische und philosophische
Überzeugung
ethnische
Gesundheit
Herkunft
Sexualleben
24
ANWENDUNGSBEREICH
Die Daten von juristischen Personen, Vereinen,
Verbänden etc. sind hier nicht geschützt.
Daten ohne Personenbezug sind nicht
geschützt.
Das BDSG regelt nicht die private, familiäre
Verarbeitung personenbezogener Daten.
Das BDSG regelt grundsätzlich nur die
Verarbeitung von Daten in oder aus
automatischen Systemen
©DID 2011
25
BEISPIEL:
ANWENDUNG IM PERSONALBEREICH
©DID 2011
26
AUSGANGSSITUATION
Im Unternehmen werden verschiedene, voneinander isolierte
Anwendungen eingesetzt. Zusammenführung und Auswertung
erfolgt manuell.
 Kalenderführung für jeden Mitarbeiter einzeln, ohne
Fremdzugriffe, von den Mitarbeitern auch zur Abstimmung
dienstlicher und privater Termine genutzt
 Arbeitszeiterfassung
je
Mitarbeiterplatz
einzeln
in
Excelanwendung bei manueller Eingabe, anschließend
Weiterleitung Papierausdruck zur Personalabteilung
 Meldung
von
Fehlzeiten
(z.B.
Urlaub,
Krankheit),
Anwesenheitsund
Dienstplanung
in
Papierform
–
Zusammenführung im Personalbereich manuell
 Lohnbuchhaltung extern (bei Steuerberater)
©DID 2011
27
ZIELVORSTELLUNG
 Vernetzung der Ka lender und Er mö g lichung von Ter mi nabsti mmung en / eintragungen mitarbeiterübergreifend
 Eintragung
Anw esenheits und
Krankheitszeiten) in Kalender
Fehlzeiten
(a uch
Urlaubs -
und
 (na ch manuellen Vo rga ben) elektronisch g enerierte Anw esenheits /
Dienstpla nung aus Zusa mmenführung der einzeln erfa ssten (v erga ng enen
und geplanten) Anw esenheits -/ Fehlzeiten
 elektro nische Arbeitszeiterf assung a nha nd der Verw alter o der M itarbeiter
in einzelnen EDV-Projekten, kundenbezog ene Aufw andszuordnung
 elektro nisch g enerierte Abrechnung g eg enüber Kunden für die einze lnen
Projekte
 elektro nisch generierte Abrechnungsg rundlag en für Lohn / G eha lt
(Anw esenheitszeiten
/
Überstunden
/
Überstundenko nto
/
Entg eltfort zahlung szeit / entg eltlose Zeite n) – Schnittstelle zur Geha lts und Lohnabrechnung
©DID 2011
28
Datenschutzrechtlich zwingend
erforderliche Maßnahmen
für Vernetzung der zuvor individuell geführten
Kalender erforderlich: datenschutzrechtliche
Einwilligungserklärung der Mitarbeiter gemäß §
4 a Abs. 1, ggf. Abs. 3 BDSG
bei Nichtvorliegen der Einwilligung Beendigung
der Privateintragungen und Löschung der
Altdaten - keine Datenmigration zulässig
(alternativ zulässig wäre gemäß § 28 Abs. 1 Satz
1
Nr.
2
BDSG
„Blindkennzeichnung“
entsprechender Termine [z.B. „nicht verfügbar“])
©DID 2011
29
 dringend zu empfehlen:
 Protokollierung
der
schreibenden
(auch
löschenden)
Anwender bei Vernetzung (Eingabekontrolle, Satz 1 Ziff. 5 der
Anlage zu § 9 Satz 1 BDSG)
©DID 2011
30
zwingend:
Rollenkonzept / gestufte Nutzerrechte (Verarbeitungsgrundlage
jeweils § 28 Abs. 1 Satz 1 Nr. 1 bzw. Nr. 2 BDSG / keine
Einwilligung):
 Projektbearbeiter
 Teamleiter
 Personalbereich
 Buchhaltung
©DID 2011
31
zwingend:
Automatismen zur Löschung/Sperrung aufgenommener Daten
und/oder zur Änderung der Zuordnung Daten/Nutzerrolle z.B.:
- Einblick in Anwesenheitsdaten
- Phase 1 – aktuell: alle Nutzer
Phase 2 – bis
Laufzeitende
Stundenkonto:
betroffener
Mitarbeiter, Teamleiter (Letzterer nur Saldo)
- Phase 3 – bis Ablauf der Verjährungsfristen: Personalbereich
- Phase 4 – bis Ablauf der Aufbewahrungsfristen: Buchhaltung
©DID 2011
32
Mitbestimmung Betriebsrat / Personalvertretung nach § 87 Abs.
1 Ziff. 6 BetrVG
(bzw. entsprechenden Personalvertretungsgesetzen):
„Der Betriebsrat hat, soweit eine gesetzliche oder tarifliche
Regelung nicht besteht, in folgenden Angelegenheiten
mitzubestimmen: … Ziff. 6 Einführung und Anwendung von
technischen Einrichtungen, die dazu bestimmt sind, das
Verhalten oder die Leistung der Arbeitnehmer zu
überwachen …“
(zwingende Mitbestimmung, Einigungsstellen – Kompetenz)
©DID 2011
33
Sie haben keine Fragen?
©DID 2011
34