Welche Rechtsgrundlagen kennt die Datenschutzgrundverordnung für die Verarbeitung von personenbezogenen Daten?

Durch die europäische Datenschutz-Grundverordnung und das deutsche Bundesdatenschutzgesetz werden die personenbezogenen Daten der Bürgerinnen und Bürger geschützt.

Der Datenschutz wurde 2018 auf ein neues Fundament gestellt. Seit dem 25. Mai 2018 gelten die Vorschriften der Datenschutz-Grundverordnung (DSGVO). Als europäische Verordnung gilt die DSGVO unmittelbar. Jeder Betroffene kann sich auf ihre Vorschriften berufen und die Verpflichteten (insbesondere Behörden und Unternehmen) müssen sich an die Vorgaben aus der DSGVO halten. Die DSGVO wird in Deutschland durch das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze ergänzt. Darüber hinaus sind die Vorschriften des BDSG für Behörden aus dem Sicherheitsbereich besonders relevant, für die die Vorschriften der DSGVO keine Anwendung finden.

EU-Grundrechtecharta

Die DSGVO dient dazu, den durch die Grundrechtecharta der Europäischen Union (EU) gewährleisteten Schutz personenbezogener Daten umzusetzen (Artikel 8 EU-Grundrechtecharta). Bereits in der EU-Grundrechtecharta ist festgelegt, dass personenbezogenen Daten nur nach Treu und Glauben für festgelegte Zwecke und mit der Einwilligung des Betroffenen oder auf gesetzlichen Grundlage verarbeitet werden dürfen. Nach Artikel 8 der Grundrechtecharta hat jede Person das Recht auf Schutz der sie betreffenden personenbezogenen Daten. Zudem sind das Recht auf Auskunft und das Recht auf Berichtigung geregelt. Auch die Kontrolle des Datenschutzes durch unabhängige Stellen wird garantiert.

Grundgesetz

Auf nationaler Ebene fußt der Datenschutz auf dem durch das Grundgesetz geschützten Recht auf informationelle Selbstbestimmung. Das Recht auf informationelle Selbstbestimmung wird aus dem allgemeinen Persönlichkeitsrecht und der Menschenwürde hergeleitet. Maßgeblich ist hierbei das Volkszählungsurteil des Bundesverfassungsgerichts aus dem Jahr 1983.

Inhalt der DSGVO

Zentraler Grundsatz der DSGVO und des gesamten Datenschutzrechts ist das sogenannte Verbotsprinzip. Dies bedeutet, dass die Verarbeitung personenbezogener Daten grundsätzlich verboten und ausnahmsweise nur dann gestattet ist, wenn die Voraussetzungen einer der Erlaubnisnormen der DSGVO greift (Artikel 6 Absatz 1 DSGVO).

Eine Verarbeitung durch öffentliche Stellen (insb. Behörden) ist dabei in erster Linie dann möglich, wenn sie für die Erfüllung der Aufgaben der Stelle erforderlich ist. Beispielsweise benötigt das Arbeitsamt zur Berechnung des Arbeitslosengeldes Angaben des Antragstellers zu seiner vorangegangenen Beschäftigung (z.B. Dauer der Beschäftigung, Höhe des Einkommens). Anders kann das Arbeitsamt seiner Aufgabe (Berechnung und Auszahlung des Arbeitslosengelds) nicht nachkommen.

Unternehmen sind zum Teil verpflichtet, bestimmte Daten zu verarbeiten, für sie sind aber insbesondere die Erlaubnistatbestände der Einwilligung und des überwiegenden berechtigten Interesses von Bedeutung.

Die DSGVO regelt zudem die Rechte der Betroffenen, die diese gegen die verarbeitende Stelle (Behörde oder Unternehmen) geltend machen können. sind beispielsweise die Rechte auf Auskunft, Berichtigung oder Löschung.

Kontaktfinder

Hier finden Sie in wenigen Klicks heraus, wer für Ihre Anfrage oder Beschwerde zum Datenschutz zuständig ist.

19. Juni 2019, 9:16 Uhr

Personenbezogene Daten werden mittlerweile Tag für Tag in unberechenbar großer Menge gesammelt und gespeichert. Die Europäische Datenschutzgrundverordnung (DSGVO), die im Mai 2018 in Kraft getreten ist, soll hierbei Schutz bieten. Doch was sind personenbezogene Daten im Sinne der DSGVO eigentlich genau? Und wie müssen Institutionen und Unternehmen mit ihnen umgehen? Auf diese Fragen erhältst du hier Antworten.

Wir schützen dich vor Identitätsmissbrauch im Netz – und helfen im Ernstfall.

Warum ist der Schutz per­so­nen­be­zo­ge­ner Daten so wichtig?

Die digitale Verknüpfung der Welt durch das Internet macht es für den Einzelnen immer schwerer, die Kontrolle über sein digitales Ich zu behalten. Onlinehändler und Social-Media-Plattformen sammeln Daten ihrer Nutzer. Diese werden dann wiederum mit anderen Sammeldaten verknüpft, um kommerziell genutzt zu werden – zum Beispiel für individualisierte Werbung.

Gleichzeitig gehen viele Internetnutzer leichtfertig mit ihren persönlichen Daten um, was das Risiko des Datenmissbrauchs erhöht. Viele Nutzer werden Opfer von Datenkriminalität, zum Beispiel durch Identitätsdiebstahl, Phishing oder Schadsoftware.

Vor diesem Hintergrund ist es wichtig, die personenbezogenen Daten der Bürger im Netz zu schützen. Die europäische Datenschutzgrundverordnung soll hierzu einen wesentlichen Beitrag leisten.

Was sind eigent­lich „per­so­nen­be­zo­ge­ne Daten“?

Eine Antwort auf diese Frage findet sich im Artikel 4 der DSGVO: Personenbezogene Daten „sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (…) beziehen.“

• Eine Person gilt als iden­ti­fi­ziert, wenn ihr Daten ohne Umwege zuge­ord­net werden können und so ein direkter Bezug möglich ist.
• Als iden­ti­fi­zier­bar gilt eine Person, wenn dieser Bezug nicht direkt, aber mit ein wenig Zusatz­wis­sen her­stell­bar ist.
• Auch das Bun­des­da­ten­schutz­ge­setz (BDSG) liefert eine Defi­ni­ti­on. In § 3 Absatz 1 heißt es dort: „Per­so­nen­be­zo­ge­ne Daten sind Ein­zel­an­ga­ben über per­sön­li­che oder sachliche Ver­hält­nis­se einer bestimm­ba­ren natür­li­chen Person (Betrof­fe­ner).“

Daten sind also nur dann personenbezogen, wenn sie sich auf eine natürliche Person beziehen. „Natürlich“ bedeutet hier: Eine lebende Person, unabhängig von ihrer Herkunft. „Juristische“ Personen wie Stiftungen, Gesellschaften oder Vereine sind also nicht von der DSGVO geschützt.

Um welche Daten handelt es sich genau?

Personenbezogene Daten beziehungsweise Daten, die sich auf eine natürliche Person beziehen, sind zum Beispiel:

• Per­sön­li­che Daten wie Alter, Anschrift, Geburts­da­tum und -ort, Name, aber auch die Tele­fon­num­mer und die E-Mail-Adresse
• Physische Merkmale: Geschlecht, Hautfarbe, Farbe der Augen, Größe
• Kenn­num­mern wie zum Beispiel die Per­so­nal­aus­weis- oder Sozialversicherungsnummer
• Bankdaten: Kon­to­num­mern, Auszüge
• Im Internet: IP-Adresse, Stand­ort­da­ten, Kun­den­da­ten von Online-Bestellungen
  Arbeits­zeug­nis­se, Schulzeugnisse

Bestimmte personenbezogene Daten gelten als besonders schützenswert. Dazu gehören zum Beispiel biometrische und genetische Daten sowie Gesundheitsdaten. Für das Sammeln und Verarbeiten dieser Daten gelten besonders strenge Richtlinien.

Wie müssen Unter­neh­men jetzt mit Daten umgehen?

Wenn Unternehmen oder öffentliche Stellen Daten sammeln, dürfen sie das nur unter bestimmten Voraussetzungen tun – sie müssen laut Artikel 32 der DSGVO den Datenschutz gewährleisten.

• Dazu müssen Mit­ar­bei­ter, die per­so­nen­be­zo­ge­ne Daten verwalten, daten­schutz­recht­lich geschult und über das Daten­ge­heim­nis belehrt werden.
• Das Daten­ge­heim­nis untersagt gemäß § 5 BDSG den Mit­ar­bei­tern die unbefugte Erhebung, Nutzung und Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten.
• Die Mit­ar­bei­ter müssen sich schrift­lich auf das Daten­ge­heim­nis ver­pflich­ten. Verstoßen sie gegen die Vorgaben des Daten­ge­heim­nis­ses, können hohe Bußgelder erhoben werden. In Ein­zel­fäl­len drohen sogar  straf­recht­li­che Konsequenzen.

Die Weitergabe personenbezogener Daten an Dritte ist grundsätzlich ohne Zustimmung der betroffenen Personen nicht zulässig. Wird sie in Ausnahmefällen gestattet, darf die Datenübermittlung nur verschlüsselt und in abgetrennter Form erfolgen. So soll ein illegales Abgreifen der Daten verhindert werden, ebenso wie zu viel Information über eine Person in einer Datensammlung.

Die Verarbeitung von personenbezogenen Daten darf laut Artikel 5b der DSGVO nur zweckgebunden erfolgen, nach der Verarbeitung müssen die Daten entweder gelöscht oder sicher vor dem Zugriff Dritter geschützt werden. Beidem müssen betroffene Personen eindeutig zustimmen.

Generell müssen die Daten gelöscht werden, wenn sie obsolet geworden sind oder die Zweckgebundenheit nicht mehr gegeben ist.

Das Thema Datensicherheit wird ebenfalls großgeschrieben: Die Speicherung von personenbezogenen Daten darf nur unter erhöhten Sicherheitsmaßnahmen stattfinden. Dazu gehören passwortgeschützte Arbeitsplätze ebenso wie Verschlüsselungsprogramme, Antivirenprogramme und eine Firewall. Auch das Anonymisieren personenbezogener Daten ist eine Option. Sie muss so erfolgen, dass der Bezug zu einer bestimmten Person nicht mehr gegeben ist.

Welche Rechte haben betrof­fe­ne Personen?

Im Wesentlichen gibt es drei Rechte, die Bürger in Bezug auf Ihre personenbezogenen Daten besitzen:

• das Recht auf infor­ma­tio­nel­le Selbstbestimmung,
• das Aus­kunfts­recht
• und das Recht auf Berich­ti­gung, Löschung und Sperrung von Daten.

Das Recht auf informationelle Selbstbestimmung ist Teil der allgemeinen Persönlichkeitsrechte, und diese sind durch den Artikel 1 des Grundgesetzes (GG) geschützt. Personenbezogene Daten sind demzufolge das Eigentum natürlicher Personen.

Dahinter verbirgt sich die wohl wichtigste Neuerung nach Inkrafttreten der DSGVO: Jede betroffene Person muss der Speicherung und Verarbeitung ihrer oder seiner Daten aktiv zustimmen. Als Einwilligung genügt nicht nur ein stillschweigendes Anerkennen der Datenschutzerklärung. Diese Regelung sorgt zusätzlich dafür, dass Betroffene für das Thema sensibilisiert werden – und so häufig bewusster und vorsichtiger mit der Weitergabe ihrer personenbezogenen Daten umgehen.

Das Auskunftsrecht erlaubt es betroffenen Personen, ihre bei Unternehmen und Behörden gespeicherten Daten einzusehen. Im Gegenzug sind diese dazu verpflichtet, die Daten dafür zur Verfügung zu stellen. Die Regelung gilt auch für Wirtschaftsauskunfteien.

Die Berichtigung, Löschung und Sperrung von Daten ist ebenfalls wichtiger Bestandteil der DSGVO. Diese Maßnahmen greifen dann, wenn bei personenbezogene Daten ein Verstoß gegen den Datenschutz festgestellt wird, etwa wenn sie widerrechtlich gespeichert oder weitergegeben worden sind. In diesem Fall sind Unternehmen oder Behörden gegenüber den betroffenen Personen verpflichtet, die betreffenden Daten zu sperren, zu korrigieren oder ganz zu löschen.

Welche gesetzliche Grundlage gilt in Deutschland in Bezug auf den Datenschutz?

In welchen Gesetzen ist Datenschutz und Datensicherheit unter anderem in Deutschland verankert?

Welche Gesetze regeln den Datenschutz in Deutschland 34a?

Was bedeutet die Verarbeitung von personenbezogenen Daten?