4d BDSG a.F. Kommentar Absatz 5-6: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
K (fehlendes Wort ergänzt) |
(Erläuterung zu Abs.5 Satz 2 Nr.1 und 2) |
||
| Zeile 15: | Zeile 15: | ||
===Voraussetzungen und besondere Risiken (Abs. 5)=== | ===Voraussetzungen und besondere Risiken (Abs. 5)=== | ||
Voraussetzung für eine Vorabkontrolle ist die beabsichtigte automatisierte Verarbeitung von [[personenbezogene Daten|personenbezogenen Daten]], deren Durchführung besondere Risiken für den Betroffenen erwarten lassen. Besondere Risiken müssen nicht von vornherein offensichtlich sein, sie können sich auch erst durch die Art und Zweckbestimmung der Verarbeitung, ihren Umfang oder ihrer Tragweite ergeben. Die EU-Richtlinie erwähnt aus diesem Grund bestimmte Verarbeitungen, die dazu geeignet sind, [[Betroffener|Betroffene]] von der ''„Inanspruchnahme eines Rechts, einer Leistung oder eines Vertrags auszuschließen“'' (z.B. durch Scoringverfahren). Gleichermaßen risikoträchtig wird die ''„Verwendung einer neuen Technologie“'', welche ''„besondere Risiken im Hinblick auf die Rechte und Freiheiten“'' für Betroffene aufweisen kann, in Erwägungsgrund 53 erwähnt. | Voraussetzung für eine Vorabkontrolle ist die beabsichtigte automatisierte Verarbeitung von [[personenbezogene Daten|personenbezogenen Daten]], deren Durchführung besondere Risiken für den Betroffenen erwarten lassen. Besondere Risiken müssen nicht von vornherein offensichtlich sein, sie können sich auch erst durch die Art und Zweckbestimmung der Verarbeitung, ihren Umfang oder ihrer Tragweite ergeben. Die EU-Richtlinie erwähnt aus diesem Grund bestimmte Verarbeitungen, die dazu geeignet sind, [[Betroffener|Betroffene]] von der ''„Inanspruchnahme eines Rechts, einer Leistung oder eines Vertrags auszuschließen“'' (z.B. durch Scoringverfahren). Gleichermaßen risikoträchtig wird die ''„Verwendung einer neuen Technologie“'', welche ''„besondere Risiken im Hinblick auf die Rechte und Freiheiten“'' für Betroffene aufweisen kann, in Erwägungsgrund 53 erwähnt. Eine solche Technologie, die besondere Risiken für die Rechte und Freiheiten der Betroffenen aufweist, kann z.B. die biometrische Zeiterfassung (sog. Fingerprint-Zeiterfassungssysteme) für Beschäftigte sein. | ||
| Zeile 30: | Zeile 30: | ||
# die Verarbeitung aus einer gesetzlichen Verpflichtung der verantwortlichen Stelle erforderlich ist, die eine Verarbeitung i.S.v. § 4 Abs. 1 anordnet (eine Erlaubnis zur Verarbeitung genügt nicht) | # die Verarbeitung aus einer gesetzlichen Verpflichtung der verantwortlichen Stelle erforderlich ist, die eine Verarbeitung i.S.v. § 4 Abs. 1 anordnet (eine Erlaubnis zur Verarbeitung genügt nicht) | ||
# die Einwilligung des Betroffenen gem. § 4a vorliegt | # die Einwilligung des Betroffenen gem. § 4a vorliegt | ||
# die Verarbeitung zur Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses erforderlich ist ({{bdsg|28|1|1|1}}) | # die Verarbeitung zur Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses erforderlich ist ({{bdsg|28|1|1|1}}, {{bdsgl|32}}) | ||
In der Praxis dürften | In der Praxis dürften die Fälle überwiegen, bei denen diese Voraussetzungen zwar grundsätzlich vorliegen, aber nicht alle Elemente oder Funktionen des Verfahrens abdecken; dies ist jeweils genau zu prüfen. | ||
Für besondere personenbezogene Daten kann ein Schuldverhältnis i.S.d. {{bdsg|28|1|1|1}} nicht als dritter Befreiungstatbestand angewandt werden. Die rechtmäßige Verwendung dieser Daten wird vorrangig in {{bdsg|28|6}} bis 9 geregelt und ein Rückgriff auf {{bdsg|28|1}} ist somit ausgeschlossen. Ebenso wenig kann ein Schuldverhältnis gem. {{bdsg|32}} als Rechtfertigung für das Entfallen der Vorabkontrolle dienen, da der Gesetzgeber auch für besondere personenbezogene Daten im Beschäftigungsverhältnis die Berücksichtigung des {{bdsg|28|6}} bis 8 vorsieht: ''„Bei der Erhebung, Verarbeitung und Nutzung besonderer Arten personenbezogener Daten (§ 3 Absatz 9) sind - wie bisher auch - § 28 Absatz 6 bis 8 des Bundesdatenschutzgesetzes [...] zu berücksichtigen.“'' (siehe [http://dipbt.bundestag.de/dip21/btd/16/136/1613657.pdf BT-Drs. 16/13657]) | |||
Ein scheinbarer Widerspruch liegt in der Verbindung von {{bdsg|4d|5|2|2}} mit dem Beschäftigungsverhältnis gem. {{bdsg|32}} als dritten Befreiungstatbestand. Hier muss beachtet werden, dass {{bdsg|32}} vom Gesetzgeber als Sondervorschrift für Beschäftigtendaten vorgesehen wurde: ''„In einem neuen § 32 wird § 28 Absatz 1 Satz 1 Nummer 1 im Hinblick auf Beschäftigungsverhältnisse konkretisiert und insoweit verdrängt. [...] Werden personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt, findet § 28 Absatz 1 keine Anwendung mehr.“'' (siehe BT-Drs. 16/13657). | |||
Bei vorab zu kontrollierenden Verfahren im Rahmen von Beschäftigungsverhältnissen wird die Rechtmäßigkeit von {{bdsg|32}} als vorrangige Vorschrift bestimmt (näheres dazu im {{komm|32|1|1|Kommentar zu § 32}}); ein Rückgriff auf {{bdsg|28|1}} ist auch hier nicht möglich. Die konkreten [[Zweckbindung|Zwecke]], einzelne Verarbeitungsphasen sowie das Verfahren selbst müssen zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich sein. Die [[Erforderlichkeit]] des Verfahrens setzt voraus, dass die beabsichtigten Ziele, die eine Verwendung der Daten rechtfertigen, nicht ohne diese Daten erreicht werden können (vgl. BGH Urteil vom 22.05.1984, VI ZR 105/82). Das Beschäftigungsverhältnis kann also aufgrund der zwingenden Erforderlichkeit nicht ohne das Verfahren durchgeführt werden - es ist ein notwendiger Bestandteil des Schuldverhältnisses und bedarf somit der Vereinbarung zwischen den beteiligten Vertragspartnern (z.B. direkt im Arbeitsvertrag oder durch Verweise auf geltende Betriebs- bzw. Dienstvereinbarungen). Besteht eine solche Vereinbarung nicht, kann der dritte Befreiungstatbestand nicht auf ein Schuldverhältnis i.S.d. {{bdsg|32}} angewandt werden und die Vorabkontrolle ist durchzuführen. Des weiteren sind bei Verfahren, die zur Bewertung der Persönlichkeit, Fähigkeiten, Leistung oder des Verhaltens von Beschäftigten geeignet sind, die Mitbestimmungsrechte gem. {{p|juris|betrvg|87|§ 87 Abs.1 Nr.6 BetrVG}} zu beachten. | |||
| Zeile 90: | Zeile 98: | ||
==Weitere | ==Weitere Informationen== | ||
[[Checkliste Vorabkontrolle]] | [[Checkliste Vorabkontrolle]] | ||
| Zeile 96: | Zeile 104: | ||
[[Verfahrensverzeichnisse und Meldepflichten]] | [[Verfahrensverzeichnisse und Meldepflichten]] | ||
==Links== | |||
Hinweise des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI) zur [http://www.tlfdi.de/imperia/md/content/datenschutz/veroeffentlichungen/hinweis_biometrischen_datenerfassung_am_arbeitsplatz.pdf biometrischen Datenerfassung am Arbeitsplatz] (PDF) | |||
==[[:Kategorie:Online-Kommentare|Online-Kommentare]]== | ==[[:Kategorie:Online-Kommentare|Online-Kommentare]]== | ||
← [[4d_BDSG_Kommentar_Absatz_1-4|§ 4d BDSG Kommentar Absatz 1 bis 4]]<br/> | ← [[4d_BDSG_Kommentar_Absatz_1-4|§ 4d BDSG Kommentar Absatz 1 bis 4]]<br/> | ||
← [[4c_BDSG_Kommentar|§ 4c BDSG Kommentare]]   [[4e_BDSG_Kommentar|§ 4e BDSG Kommentar]] → | ← [[4c_BDSG_Kommentar|§ 4c BDSG Kommentare]]   [[4e_BDSG_Kommentar|§ 4e BDSG Kommentar]] → | ||
{{komm_footer|4d}} | {{komm_footer|4d}} | ||