Datenschutz schützt Menschen bei der Verarbeitung ihrer personenbezogenen Daten. Er fragt nicht nur, ob Daten technisch gegen unbefugten Zugriff geschützt sind, sondern vor allem: Dürfen diese Daten für diesen Zweck auf diese Weise verarbeitet werden, und bleiben die Rechte der betroffenen Menschen gewahrt?
Die Datenschutz-Grundverordnung (DSGVO) gilt unmittelbar in der Europäischen Union und wird in Deutschland unter anderem durch das Bundesdatenschutzgesetz ergänzt. Eine verständliche Einführung bietet die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit; der verbindliche Wortlaut steht in der DSGVO bei EUR-Lex.
Was sind personenbezogene Daten?
Personenbezogen sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Neben Namen und Kontaktdaten können dazu beispielsweise Kennungen, Standortdaten, Nutzungsverhalten, Aufzeichnungen aus Kommunikation oder Kombinationen mehrerer Angaben gehören.
Ob ein Datum personenbezogen ist, hängt deshalb nicht nur von seinem Feldnamen ab. Zu betrachten sind Kontext, Verknüpfungsmöglichkeiten und das Wissen, das der verantwortlichen Stelle oder anderen vernünftigerweise zur Verfügung steht.
Vollständig anonymisierte Daten fallen nicht mehr unter denselben Personenbezug. Pseudonymisierte Daten bleiben dagegen grundsätzlich personenbezogen, solange eine Zuordnung mit zusätzlichen Informationen möglich ist.
Was bedeutet „Verarbeitung“?
Verarbeitung umfasst praktisch jeden Umgang mit personenbezogenen Daten: erheben, erfassen, ordnen, speichern, verändern, abfragen, verwenden, übermitteln, abgleichen, einschränken oder löschen. Auch das bloße Bereithalten in einem System kann Teil einer Verarbeitung sein.
Datenschutz betrifft daher nicht nur Datenbanken oder Websites. Er reicht durch Vertriebsprozesse, Personalverwaltung, Support, Video- und Zutrittssysteme, Analysen, Kommunikationsdienste, Papierakten und externe Dienstleister.
Welche Grundsätze prägen die Gestaltung?
Artikel 5 DSGVO nennt zentrale Grundsätze. Für die Gestaltung eines Unternehmenssystems lassen sie sich so lesen:
Rechtmäßigkeit, faire Verarbeitung und Transparenz
Für jede Verarbeitung braucht es eine tragfähige rechtliche Grundlage. Betroffene müssen in nachvollziehbarer Weise erfahren, wer welche Daten zu welchem Zweck verarbeitet. Eine Einwilligung ist nur eine mögliche Grundlage und nicht automatisch die passendste.
Zweckbindung
Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben. Eine spätere Nutzung darf nicht stillschweigend beliebig erweitert werden. Der Zweck muss so konkret sein, dass sich Notwendigkeit, Zugriffe und Aufbewahrung daraus ableiten lassen.
Datenminimierung
Verarbeitet werden nur Daten, die für den vorgesehenen Zweck angemessen und erforderlich sind. „Könnte später nützlich sein“ ist keine belastbare Anforderung.
Richtigkeit
Personenbezogene Daten müssen sachlich richtig und, soweit erforderlich, aktuell sein. Prozesse brauchen Wege zur Korrektur und zur Vermeidung widersprüchlicher Kopien.
Speicherbegrenzung
Daten werden nicht unbegrenzt aufbewahrt. Lösch- und Aufbewahrungsregeln müssen fachliche Zwecke, gesetzliche Pflichten, Sperrgründe, Sicherungen und abhängige Systeme gemeinsam berücksichtigen.
Integrität und Vertraulichkeit
Personenbezogene Daten werden durch angemessene technische und organisatorische Maßnahmen geschützt. Dabei geht es unter anderem um unbefugte Verarbeitung, Verlust und Schädigung.
Rechenschaftspflicht
Das Unternehmen muss die Einhaltung der Grundsätze nicht nur behaupten, sondern nachweisen können. Entscheidungen, Zuständigkeiten, Prüfungen und wesentliche Maßnahmen brauchen deshalb eine angemessene Dokumentation.
Datenschutz ist Prozessgestaltung
Eine Datenschutzerklärung allein stellt keinen wirksamen Datenschutz her. Die Anforderungen müssen in den tatsächlichen Ablauf eingebaut werden:
- Zweck bestimmen: Welchen betrieblichen Beitrag erfüllt die Verarbeitung?
- Daten bestimmen: Welche Angaben sind dafür wirklich notwendig?
- Rechtsgrundlage klären: Auf welcher Grundlage ist die Verarbeitung zulässig?
- Rollen zuordnen: Wer entscheidet über Zwecke und Mittel, wer verarbeitet im Auftrag, wer empfängt Daten?
- Informationsflüsse erfassen: Woher kommen Daten, wohin gehen sie, welche Kopien entstehen?
- Zugriffe begrenzen: Wer braucht welche Information für seine Aufgabe?
- Aufbewahrung und Löschung gestalten: Wann entfällt der Zweck, welche Pflichten stehen einer Löschung entgegen?
- Betroffenenrechte ermöglichen: Wie werden Auskunft, Berichtigung, Löschung, Einschränkung oder Widerspruch im betroffenen Prozess bearbeitet?
- Schutz und Vorfälle regeln: Welche Risiken bestehen und wie wird bei einer Verletzung reagiert?
Diese Fragen gehören bereits in die Anforderung und nicht erst in die rechtliche Abnahme einer fertigen Software.
Welche Rollen sind zu unterscheiden?
Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und innerhalb des vereinbarten Rahmens. Daneben können weitere Verantwortliche oder gemeinsam Verantwortliche beteiligt sein.
Die richtige Einordnung folgt aus der tatsächlichen Rolle, nicht allein aus der Vertragsüberschrift. Von ihr hängen Informationspflichten, Vereinbarungen, Weisungen und Verantwortlichkeiten ab.
Auch wenn ein externer Dienstleister eingesetzt wird, bleibt das Unternehmen für Auswahl, zulässigen Einsatz und angemessene Kontrolle verantwortlich. Datenstandorte, Unterauftragnehmer, Übermittlungen und Rückgabe oder Löschung bei Vertragsende müssen in den betrieblichen Zusammenhang passen.
Datenschutz durch Gestaltung
Datenschutzfreundliche Voreinstellungen und Datenschutz durch Technikgestaltung bedeuten beispielsweise:
- nur erforderliche Felder vorsehen,
- Zugriffe standardmäßig eng begrenzen,
- sensible Inhalte nicht unnötig in Freitexten oder Protokollen wiederholen,
- Trennung, Pseudonymisierung oder Aggregation nutzen, wo sie dem Zweck entsprechen,
- Löschfristen technisch ausführbar machen,
- Exporte und Auskünfte strukturiert unterstützen,
- Änderungen und kritische Zugriffe angemessen protokollieren.
Damit wird Datenschutz nicht als nachträgliche Einschränkung behandelt, sondern als Qualitätsanforderung des Systems.
Wann ist eine vertiefte Prüfung nötig?
Art, Umfang, Kontext und Zweck einer Verarbeitung können hohe Risiken für Rechte und Freiheiten von Menschen erzeugen. Dann können zusätzliche Bewertungen, insbesondere eine Datenschutz-Folgenabschätzung, erforderlich sein. Besondere Kategorien personenbezogener Daten, umfangreiche Beobachtung, neue Technologien oder weitreichende automatisierte Bewertungen sind typische Anlässe für eine sorgfältige Prüfung – die rechtliche Einordnung muss am konkreten Fall erfolgen.
Der Datenschutzbeauftragte sollte, soweit vorgesehen oder erforderlich, frühzeitig beteiligt werden. Für spezielle Branchen, Beschäftigtendaten, Telekommunikation oder internationale Übermittlungen können zusätzliche Regeln gelten.
Datenschutz und Datensicherheit sind nicht dasselbe
Datensicherheit schützt Informationen durch technische und organisatorische Maßnahmen. Datenschutz bestimmt bei personenbezogenen Daten zusätzlich die zulässigen Zwecke, Rechtsgrundlagen und Rechte der Menschen.
Eine perfekt verschlüsselte Sammlung unnötiger personenbezogener Daten kann sicher gespeichert und trotzdem datenschutzrechtlich unzulässig sein. Umgekehrt reicht ein zulässiger Zweck nicht aus, wenn Zugriffe, Sicherung oder Übertragung unzureichend geschützt sind. Beide Disziplinen müssen zusammenarbeiten.
Ein handhabbarer Regelkreis
Datenschutz bleibt wirksam, wenn das Unternehmen:
- Verarbeitungen und Verantwortliche kennt,
- Änderungen frühzeitig bewertet,
- Rechtsgrundlagen, Zwecke und Löschregeln pflegt,
- Dienstleister und Schutzmaßnahmen angemessen prüft,
- Anfragen und Vorfälle erprobt,
- Beschäftigte für ihre konkrete Rolle befähigt,
- festgestellte Abweichungen nachverfolgt.
Dieser Artikel bietet eine systemische Orientierung, keine rechtliche Beratung für einen Einzelfall. Die konkrete Bewertung sollte anhand der aktuellen Verarbeitung, der einschlägigen Vorschriften und gegebenenfalls mit fachkundiger Datenschutz- oder Rechtsberatung erfolgen.