no risk - no fun Datenschutz for everyone

DSGVO - Was muss ich wirklich tun?

Jürgen Recha

• Verlag: tredition
• Jahr: 2018
• ISBN:
  9783748203810
• Thema: Technik & Maschinenbau
• Thema: Maschinenbau Allgemein

Datenschutz mit Begeisterung. Das kann nur funktionieren, wenn hohes Fachwissen, viele positive Emotionen und eine echte Überzeugung für richtiges Vorgehen in einer Person vereint ist. Bei Jürgen Recha ist das so. Seit fast 20 Jahren lebt er einen Datenschutz mit Begeisterung.Das Datenschutz der angemessene Umgang mit den anvertrauten Daten ist, was ein Unternehmer wirklich, wirklich tuen muss und warum er keine Angst schüren sollte, erfahren die Leser auf sehr angenehme und einfache Weise.Mache Datenschutz würdevoll und aus Überzeugung, dann wird man begeistert sein, von dem was man macht.

1. Meine Datenschutzstory

1998 begann ich nach meinem Studium zum Diplom-Betriebswirt eine Anstellung in einer externen Revision. Als klassischer Jahresabschlussprüfer reiste ich durch die Lande und prüfte bei den Mandanten den Jahresabschluss. Ausgestattet mit einem Laptop, der seinerzeit noch riesig war und dem Begriff Laptop nicht wirklich gerecht wurde. Es war die Zeit, als man noch viel selber unternahm, damit die Software lief. In einem Prüferteam von insgesamt 10 Kollegen hatte jeder seine informelle Position. Der eine war der Experte für Steuerrecht, der andere für öffentliches Haushaltsrecht. Man konnte sogar Experte für einfache und pragmatische Lösungen sein. Der wurde immer dann von den Kollegen kontaktiert, wenn zügig und kurzfristig eine Lösung her musste.

Durch meine vorherige Ausbildung zum Radio- und Fernsehtechniker war ich recht schnell zuständig für die Technik. Manchmal fühlte ich mich wie der Hausmeister im Anzug mit Krawatte und hochgekrempelten Hemdsärmeln. Lief ein Laptop nicht mehr, wurde ich angerufen, egal wo ich in Deutschland war. Mussten neue bestellt werden, durfte ich dies tun und dann konfigurieren. Dies ging soweit, dass ich sogar zusammen mit echten IT-Experten im ganzen Büro in Münster ein neues Netzwerk verlegt habe. Ich fühlte mich in dieser Position tatsächlich wohl. Es war eine Positionierung, die kein anderer innehatte, und da war ich recht gut drin. Zumindest besser als die anderen Kollegen, die sich um Handels- und Steuerrecht kümmerten.

Seit meinem Beginn in der Revision nutzten wir zur Abrechnung unserer Reisetätigkeit ein Abrechnungsprogramm, das irgendwo zwischen DOS und Windows hängen geblieben war. Die Möglichkeit des Kopierens, Einfügens bzw. Löschens war in dem Programm noch nicht angekommen. Und wie es so ist bei Menschen, die unzufrieden sind und sehr pragmatisch arbeiten: Sie finden selbständig Lösungen. Und so schlug ich meinem Chef vor, dass ich ein neues Reisekostenprogramm programmieren wollte. Damit war meine Verbindung zu IT-Systemen geboren. Nach anfänglichen Herausforderungen auf dem neuen Fachgebiet und dem Studium von einigen Access-Kompendien wuchs ein kleines und sehr individuelles Programm. Dabei hatte ich ganz nebenbei viel über das Zusammenspiel von Datenbanken, Redundanzen, Unveränderbarkeit und Konsistenz gelernt.

Als dann ein Mandant von uns einen Prüfer suchte, der bei der Einführung eines Enterprise-Resource-Planning (ERP) Systems sicherstellen sollte, dass das, was das Softwarehaus liefert, auch ordnungsgemäß ist, stieg ich mit voller Wucht in die IT-Revision ein. Seit diesem Tag beschäftige ich mich mit dem Thema. Heute ist das Thema bei uns so groß, dass sich mein Unternehmen interev GmbH und dessen Mitarbeiter tagtäglich die Frage stellen: Ist das System Y von Hersteller X ordnungsgemäß? Entspricht es den gesetzlichen Vorgaben, die für den Kunden gelten?

Ein Prüfungsmerkmal bei der Sichtung der IT-Anwendung ist auch der Bereich des Datenschutzes. Damals hatte er noch eine kleine Bedeutung. Vielleicht maximal einen Absatz, aber noch nicht ein Kapitel im Buch der IT-Revision. Es war auch noch nicht wirklich klar, was eigentlich Datenschutz genau ist. Wenigstens mir nicht. Vielmehr beschäftigte ich mich zu dieser Zeit mit der Plausibilitätsprüfung von Eingaben in Programmen und ob diese richtig rechnen. Bis 2006 mein Chef meinte, dass die Prüfungsgesellschaft einen Datenschutzbeauftragten brauche. Und wen sollte man da nehmen? Natürlich den, der sich mit IT am besten auskennt. Seit meinem Lehrgang zum betrieblichen Datenschutzbeauftragten im Februar 2006 beschäftige ich mich mit dem Thema. Es lässt mich nicht mehr los. Doch warum tut es das? Warum beschäftige ich mich mit einem Thema, das kaum ein anderer mag? Was ist mir wirklich, wirklich wichtig?

Das liegt unter anderem an meinem Charakter. Dazu eine kleine Vorstellung meiner Ausprägung. Nach Hippokrates ist meine höchste Ausprägung der Sanguiniker. Das ist der Entertainer, der gelb dargestellt wird. Es ist der, der auf die Bühne möchte, der Spaß hat, der reden möchte und kann. In dem Koordinatensystem von Gereon Jörn ist es der emotionale, extrovertierte Mensch. Der Begriff Sanguiniker ist bei uns in Deutschland nicht weit verbreitet. Bei den Italienern dagegen sehr. Meine zweithöchste Ausprägung ist die des Melancholikers. Der liegt diagonal von dem Sanguiniker entfernt. Das bedeutet, dass man Spaß an Zahlen, Daten und Fakten hat. Und somit steht es in extremem Widerspruch zum Sanguiniker. Melancholiker sind eher introvertiert und rational orientiert und werden in der Farbenwelt blau dargestellt. Diese besondere Kombination bei mir bedeutet im Alltag, dass ich ein gutes Gefühl für Zahlen, Gesetze, Verordnungen und Richtigkeit habe und ich diese Neigung gerne mit Spaß und Freude und „laut“ verpacke. Dies ist in der Revision nicht immer gut angekommen.

Ein Revisor verhält sich unnahbar, ist zurückhaltend und eher eine Maschine. Die ungeschriebene Berufsordnung begründet dies damit, dass ein Prüfer/Revisor ganz eng am Gesetz arbeitet und dessen Hardfacts anwendet. Die Nutzung von Softfacts bedeutet Schwäche, Individualität zum Mandanten und Gefahr der Manipulation durch diesen. Ein Prüfer ist freundlich, aber nicht nett. Er interessiert sich für alles, redet nicht über Privates. Wer lacht, arbeitet nicht. Interessant ist, dass ich durch meine eher lustige Art häufig an Informationen herangekommen bin, die meine Kollegen, wenn überhaupt, nur durch falsche Buchungssätze entdeckt haben. Das Mittagessen mit der Buchhaltung brachte immer interessante Gespräche über menschliche Befindlichkeiten, die sich dann auch in dem zu prüfenden Abschluss widerspiegelten. Dabei ist es wichtig, dass man bei dem persönlichen Kontakt niemals den Auftrag, das Prüfen des Mandanten, aus den Augen verlieren durfte. Bleib Profi.

Kurzum, ich interessiere mich für Datenschutz, weil sich in diesem Thema neben den Hardfacts ganz viele Softfacts befinden. Es ist die Verbindung zum wichtigsten Buch in Deutschland. Dem Grundgesetz, geschrieben von sehr intelligenten Menschen und im Jahre 1949 erlassen. Auf diesem einen Buch steht Deutschland. Es funktioniert so, so wie es heute funktioniert, weil es das Grundgesetz gibt. Und in diesem wichtigen Statut haben die Autoren das Wichtigste an den Anfang gesetzt. Im Artikel 1 steht geschrieben: „Die Würde des Menschen ist unantastbar“.

Diese Aussage ist für mich Datenschutz. Nichts anderes. Es ist für mich fast unwichtig, was in den Gesetzen und Ordnungen der heutigen Zeit über Datenschutz steht. Ich prüfe immer, ob die Würde eines Menschen durch ein bestimmtes Verhalten einen Schaden nimmt oder nicht. In diesem einen Satz ist alles drin. „Der Mensch“, so steht es geschrieben, und somit hat nur eine natürliche Person Recht auf Datenschutz. Die Würde bedeutet, dass er keinen Schaden haben darf bei dem, was ich da mache. Die Würde bedeutet dabei sehr viel. Von dem Risiko für Leib und Leben bis hin zur Rufschädigung oder einer ungewollten Öffentlichstellung. Und die Aufforderung der Unantastbarkeit sichert zu, dass eben diese ungewollte Darstellung meiner Person nicht erfolgt. Da bekommt der Satz „Gehe angemessen mit meinen Daten um“ eine sehr starke Bedeutung. Man ist Herrscher über seine eigenen Daten.

Und damit das so bleibt, steht im Satz 2 zu Artikel 1 die klare Aufforderung: „Sie zu achten und zu schützen ist Verpflichtung aller staatlicher Gewalt.“ Damit bekommt die Regierung die Verpflichtung zugesprochen, Regelungen zu finden, die eben diese Würde sicherstellen. Die derzeit fast 160 Gesetze und Ordnungen, die sich in irgendeiner Art und Weise mit dem Thema Datenschutz beschäftigen und ihn regeln, sind das Ergebnis des Satzes 2.

Ich glaube, dass im Jahre 1949 den Autoren und auch den Alliierten, die dem Grundgesetz zugesprochen haben, der Begriff Datenschutz und die Verbindung des Artikels 1 noch nicht bewusst war, doch das Ziel des Artikels 1 lebt im Datenschutz weiter. Welche Mächte gibt es heute? Was ist das größte Gut vieler Unternehmer? Womit lässt sich wirklich Geld verdienen? Mit Daten von anderen! Somit sehe ich eine Transformation des Artikels 1 in die Neuzeit als richtig und angemessen an.

Wenn man in diesem Grundsatz den Datenschutz sieht, also dass man würdevoll und angemessen mit den Daten anderer umgeht, dann ist Datenschutz ganz plötzlich einfach, nachvollziehbar und unendlich wichtig. Es muss so sein. In der täglichen Arbeit der interev nutzen wir genau diese Grundeinstellung. Wir prüfen, ob bei einem Verfahren unseres Kunden ein Mitarbeiter, ein Kunde oder ein Lieferant einen Schaden dadurch hat oder nicht. Und erst wenn ein Ja vorliegt, gehen wir in das entsprechende Gesetz. Es ist damit viel einfacher, eine Bewertung abzugeben, und es fühlt sich richtig an.

Wenn man nun seit 12 Jahren in dem Thema Datenschutz steckt, kombiniert mit der festen Überzeugung des Artikels 1 des Grundgesetzes, und als Charakter ein Sanguiniker ist, bekommt man „Datenschutz mit Begeisterung“. Es macht mir Spaß, es macht mir Freude, es begeistert mich, dieses Thema so zu leben, wie ich es richtig finde. So wie ich es oben beschrieben habe. Dies ist keine Marketingidee gewesen, sondern es musste in der Kombination genau das herauskommen. Und die Anfänge waren sehr schwer. Selbst heute noch definieren bestimmte Personengruppen Begeisterung mit Schwäche und Ungenauigkeit. Interessanterweise sind es die Melancholiker, die immer wieder klar herausstellen, das nur ihre Zahlen, Daten und Fakten wichtig sind. Alles andere ist unprofessionell und damit schädlich. Man macht das nicht. Dass man aber genau so professionell ist und auch Recht und Gesetz achtet, nur mit einer anderen Brille, ist für diese Charaktere nicht nachvollziehbar. Dass man mit Freude und Spaß an eine Sache viel weiter kommt und dass diese Menschen dann auch Datenschutz leben, ist für Melancholiker nicht akzeptabel. Unser Datenschutz-Parcours, bei dem wir spielerisch die Mitarbeiter unserer Kunden für das Thema Datenschutz begeistern, wird genau aus diesem Grund manchmal anfangs belächelt. Die Mitarbeiter sollen durch Angst und Druck die geltenden Regeln eingebläut bekommen. Dass sie dann aber im Alltag nicht funktionieren, versteht sich für mich von selbst. Später dazu mehr.

Dieses Kapitel heißt „Meine Datenschutzstory“. Nun, es ist genau so, wie beschrieben, warum ich Datenschutz mache, ich ein Unternehmen führen darf, das sich darum kümmert, und wofür ich und ein jeder meiner Mitarbeiterinnen und Mitarbeiter steht: Gehe angemessen mit den Daten anderer um. Dann macht Datenschutz Spaß.

2.Was ist Datenschutz?

Datenschutz und Datensicherheit laufen thematisch immer wieder zusammen. Manchmal werden sie sogar synonym gesehen. Wenn man andere fragt, was eigentlich Datenschutz ist, bekommt man selten eine gute Antwort. Ganz lustig ist es, diese Frage an einem Abend zu stellen, der in der Einladung schon das Thema Datenschutz führt. Wenn dann die Antwort kommt, dass Datenschutz der Schutz von Daten sei, ergibt sich unmittelbar die Frage, warum die Teilnehmer anwesend sind, obwohl sie nicht wissen, was das Thema ist.

Datenschutz ist, wie eingangs oben beschrieben, die Sicherung der Würde einer natürlichen Person beim Umgang mit seinen Daten. Doch was sind das für Daten? Was sind personenbezogene Daten? Nun es sind all die Daten, die auf eine einzelne Person schließen können. So ist der Vorname und der Nachname alleine nur bedingt in diese Kategorie einzusetzen. Der Name Peter Müller führt nicht direkt zu einer einzelnen Person. Da müsste schon die genaue Adresse und evtl. sogar noch das Geburtsdatum beigefügt werden. Dann ist die Person zu identifizieren. Der Name Jürgen Recha dagegen ist bereits eindeutig. Da gibt es nicht so viele. Ich kenne keinen weiteren, der diesen Namen trägt. Ist dieses einzigartige Aushängeschild nun was Besonderes? Ja, aus Sicht des Datenschutzes. Wenn nun Peter Müller noch seinen Wohnort, die Straße und Hausnummer sowie vielleicht das Stockwerk angegeben hat, dann ist Peter Müller identifizierbar.

Aus dieser Erkenntnis heraus ist aus dem Zusammenführen von Informationen über eine eindeutige Nummer, wie z.B. der Personalnummer von Angestellten aus einer Tabelle mit Vor- sowie Nachnamen und weiteren Angaben wie der Adresse, plötzlich eine identifizierbare Person geworden.

Es gibt weitere Parameter, die eine Person ohne weitere Daten identifizieren. Dazu zählt die IP-Adresse oder auch die E-Mail-Adresse (wenn diese nicht allgemein geschrieben oder als Synonym [Maus72@] ist). Bei der IP-Adresse sagen dann die IT-Nerds gerne, das es Programme gebe, die die IP-Adresse verändern. Wer hat nicht schon einen Krimi gesehen, in dem sich die Strafverfolgungsbehörden krampfhaft die Zähne daran ausgebissen haben, einen Täter wegen wechselnder IP-Adressen dingfest zu machen. Doch ist das Realität? Nein, im Normalfall ist die IP-Adresse eindeutig.

Und dann gibt es noch Daten, die ein Merkmal einer Person angeben. So ist die Person, auf die man zeigt und dann sagt, der läuft dort vorne, eindeutig zu identifizieren. Diese natürlichen Personen werden im Datenschutzrecht Betroffene genannt. Den Begriff finde ich schrecklich, da er eine negative Assoziation suggeriert. Man ist betroffen. Dabei geht es doch nur um eine natürliche Person, über die man Daten hat. Damit erfährt der Datenschutz eine noch negativere Stellung in der Bevölkerung, als er eh schon hat.

Besondere Merkmale, die an einer Identifikation haften, sind besonders schützenswert. Der Gesetzgeber hat diese in Kategorien gepackt, die den Anspruch haben, besonders geschützt zu werden. Man spricht hier auch von sogenannten sensiblen Daten. Diese Daten sind deshalb besonders schützenswert, da sie unter Umständen zu einer Gefahr für Leib und Leben des Betroffenen führen können. Gefährlich sind dann auch noch Kombinationen dieser sensiblen Daten. Oder die Verbindung mit anderen Stamm- oder Merkmalsdaten. Zu den besonders schützenswerten Daten gehören Angaben

- zur Gesundheit

- zum Sexualleben

- zur ethnischen Herkunft, wie z.B. der Geburtsort

- zur Gewerkschaftszugehörigkeit

- zur politischen Ausrichtung

- zur Religion.

Und neu hinzugekommen sind biometrische Angaben.

Erläuterung der Begriffe

Datenschutz bedeutet nun, das diese wichtigen personenbezogenen Daten angemessen geschützt werden. Und diese besonders schützenswerten Daten eben besonders geschützt werden. Ich gehe einen Punkt weiter: Datenschutz bedeutet, dass ich selber entscheide, wer welche Daten zu welchem Zwecke für wie lange erhält, wie er diese verarbeiten darf und an wen er die Daten weiterleiten darf. Ich entscheide dann auch, dem anderen dieses Recht zu entziehen und von ihm verlangen zu dürfen, meine Daten zu löschen. Dies ist Datenschutz, mehr nicht. Das eigene Recht, zu entscheiden. Und wie im Vorwort dargestellt, ist dies ein Grundsatz und sichert die Würde des Menschen.

In einem Rechtsstaat, so wie Deutschland es ist, regelt dies eine entsprechend hohe Anzahl an Gesetzen. Doch die Freiheit ist auch bei uns eingeschränkt. Und das ist richtig so. Gewisse staatliche Aufgaben hebeln das Recht auf informationelle Selbstbestimmung aus. So hat ein Arbeitgeber die Pflicht, gewisse Daten von Mitarbeitern zu erfassen und zu verarbeiten, ansonsten darf er den neuen Beschäftigten nicht anstellen. Er muss z.B. den Vornamen, den Nachnamen, die Sozialversicherungsnummer und vieles mehr erfassen. Er hat auch die Pflicht, besonders schützenswerte Daten zu erheben. Wie mindestens die ethnische Herkunft (Geburtsort) und die Konfession. Und sobald eine erste Arbeitsunfähigkeitsbescheinigung vorliegt, auch die Angaben der Gesundheit. Sogar die Weitergabe an Dritte ist verpflichtend. Die Krankenkassen und die Finanzämter erhalten entsprechende Informationen. Dazu hat der Arbeitgeber die Pflicht. Dies ist im Einkommenssteuergesetz und den Sozialgesetzbüchern geregelt. Auch andere gesetzliche Regelungen greifen in das Datenschutzrecht und das Recht des Betroffenen ein. Strafverfolgungsbehörden, Einwohnermeldeämter, Finanzämter und viele andere benötigen zur Umsetzung ihrer staatlichen, hoheitlichen Aufgaben Daten von den Bürgern. Ansonsten könnten diese ihren Auftrag nicht durchführen. Die Rechte auf den Zugriff und dessen Verarbeitung ist immer in direkter Abhängigkeit zum hoheitlichen Auftrag oder der Legitimation aus einer rechtlichen Regelung. Wenn die Behörden darüber hinaus Daten haben möchten, unterliegen sie dem ganz normalen Datenschutzrecht. Das heißt, sie brauchen meine Einwilligung, die sogenannte aktive Zustimmung, meine Daten verarbeiten zu dürfen. Ansonsten handeln sie illegal.

Um der Frage vorzugreifen: Wann darf ein anderer meine Daten verarbeiten? Es gibt drei Gründe. Diese drei Erlaubnisse gelten für jeden, egal ob Privatperson, Unternehmen oder staatliche Einrichtung. Für besondere Behörden, wie z.B. Strafverfolgungsbehörden, gelten noch weitere Erlaubnisse.

- Ein Gesetz verlangt, dass die Daten verarbeitet werden. Wie eben beschrieben, verlangt der Gesetzgeber vom Arbeitgeber, dass gewisse Daten vom Arbeitnehmer erhoben werden.

- Zur Erfüllung eines Vertrages benötige ich die Daten von meinem Vertragspartner. Um eine Lebensversicherung vertragskonform anzulegen, braucht der Versicherungsgeber vom Versicherungsnehmer einige Daten. Ansonsten kann das Leben einer natürlichen und zu identifizierbaren Person nicht versichert werden. Zur Umsetzung einer Bestellung beim Pizzaboten braucht der Kurier die Lieferadresse und den Namen des Hungrigen. Sonst kann er nicht liefern. Es geht sogar so weit, dass ein Verein gewisse Daten benötigt, um satzungsgemäß den Vereinszweck umzusetzen. Das Mitglied geht mit dem Aufnahmeantrag einen Vertrag ein. Es möchte einen gewissen Nutzen von seiner Mitgliedschaft haben. Um z.B. einen Angelschein für ein Gewässer zu erhalten, braucht der Angelverein entsprechende Daten von einem.

- Die aktive Zustimmung zur Datenverarbeitung wird erteilt. Dies muss immer dann erfolgen, wenn einer der ersten beiden Punkte nicht greifen. Ja, ich möchte, dass ich den Newsletter des Unternehmens X erhalte, obwohl wir keine Vertragsbeziehung haben. Ja, ich möchte Einladungen zu einem Event erhalten, obwohl ich dem Verein nicht angehöre. Ja, ich erlaube meinem Chef Fotos von meiner Tätigkeit zu machen, obwohl diese Daten nicht Pflichtbestandteil zu meiner Anstellung sind.

Nur wenn eine dieser drei Erlaubnisse vorliegen, darf ein anderer meine personenbezogenen Daten verarbeiten. Das ist recht einfach, denn man kann diese Voraussetzung einmal umdrehen und dann ergibt sich eine einfache und klar zu beantwortende Frage: Wer hat Ihnen erlaubt, meine Daten zu erfassen? Darauf sollte nur einer der drei Antworten kommen. Ich bin aus gesetzlichen Gründen dazu verpflichtet. Ich brauche es zur Erfüllung unseres Vertrages. Oder: Sie haben mir die Erlaubnis dazu gegeben. Wenn nicht einer dieser Antworten kommt, handelt es sich um ein Vergehen. Dann nutzt einer meine Daten illegal. Er beschädigt meine Würde und mein Recht der informationellen Selbstbestimmung.

Auf die Rechte des Betroffenen, wie Auskunft, Löschen, Widerspruch und Berichtigung, gehe ich später noch sehr detailliert ein. Wichtig ist nur, dass diese Rechte grundsätzlich bei allen Erlaubnissen bes...

Inhaltsverzeichnis

• Cover
• Titelblatt
• Urheberrecht
• Inhaltsverzeichnis
• Vorwort
• 1. Meine Datenschutzstory
• 2. Was ist Datenschutz?
• 3. Geschichte des Datenschutzes
• 4. Die 4 Säulen des Datenschutzes
• 5. Kluges Vorgehen
• 6. Das Beste kommt zum Schluss