Neues Datenschutzrecht seit 1. September 2009

Die Neuerungen gewährleisten mehr Transparenz und Kontrolle, stärken die Datenschutzaufsicht und ermöglichen mehr Rechtssicherheit. 

Verwendung personenbezogener Daten zum Zwecke der Werbung

Belästigungen durch unerwünschte Werbung mit dem Ziel eines Vertragsschlusses sollen zukünftig verhindert werden. Diese sind nämlich häufig Folge der unkontrollierten Weitergabe von Kundendaten.

Die Verwendung personenbezogener Daten für Zwecke der Werbung bedarf nun grundsätzlich der Einwilligung des Betroffenen. Hiervon bestehen verschiedene Ausnahmen, u. a. für Eigenwerbung und berufsbezogene Werbung sowie für Spendenwerbung, insbesondere gemeinnütziger Organisationen. Keiner Einwilligung bedarf es ferner, wenn bei einer Datennutzung der Nutzende und bei Datenübermittlungen die erstmalig erhebende Stelle für den Betroffenen eindeutig aus der Werbung erkennbar sind. Bei Datenübermittlungen für Zwecke der Werbung erhält der Betroffene einen Auskunftsanspruch, um die Herkunft und Empfänger seiner Daten konkret zu erfahren. Das Gesetz sieht zur Anpassung an die Änderungen eine Übergangsfrist bis zum 31. August 2012 vor. 

Das Kopplungsverbot

Ein so genanntes Kopplungsverbot, d.h. das Verbot, den Abschluss eines Vertrages von der Einwilligung des Betroffenen in die Verwendung seiner Daten für Zwecke der Werbung abhängig zu machen, stärkt die Position des Betroffenen. Eine solchermaßen erzwungene Einwilligung ist unwirksam, wenn für den Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen ohne Einwilligung nicht zumutbar ist. 

Markt- oder Meinungsforschung

Bei der Markt- oder Meinungsforschung wird die seriöse Forschung gestärkt und der Missbrauch von Daten durch unseriöse Praktiken erschwert. Die Daten dürfen nur für Zwecke der Markt- oder Meinungsforschung verwendet werden, und müssen so früh wie möglich anonymisiert oder pseudonymisiert werden. Sie verlieren damit z. B. ihre Bedeutung für individuelle Werbemaßnahmen. Dies verbessert die Vertrauensbasis gegenüber den Betroffenen, auf deren Mitwirkung Markt- und Meinungsforschung angewiesen ist. Das Gesetz sieht hier zur Umstellung eine Übergangsfrist bis zum 31. August 2010 vor. 

Schutz bei Verlust sensibler Daten

Bei Verlust sensibler Daten – z. B. von Kreditkartendaten – sind Unternehmen zur schnellen Information der Kunden verpflichtet, um diese vor Schäden zu schützen. Hiervon sind u. a. Daten zu Bank- und Kreditkartenkonten sowie aus der Telefon- und Internetnutzung umfasst. 

Mehr Eingriffsbefugnisse für Aufsichtsbehörden

Die Eingriffsbefugnisse der Aufsichtsbehörden für den Datenschutz der Länder sind erweitert worden. Sie können nun bei unzulässigen Datenverarbeitungen Anordnungen erlassen und diese als letztes Mittel sogar untersagen. Bislang konnten die Aufsichtsbehörden nur ein Bußgeld verhängen, nicht jedoch den rechtswidrigen Zustand beseitigen. 

Hohe Bußgelder

Bußgelder schrecken nur ab, wenn sie so bemessen sind, dass sie den Zahlungspflichtigen empfindlich treffen. Der Regelverstoß darf sich nicht lohnen.

Der Bußgeldrahmen ist für Verstöße gegen formelle Pflichten auf bis zu 50.000 EUR verdoppelt und für materielle Verstöße von 250.000 EUR auf bis zu 300.000 EUR ausgeweitet worden. Es besteht nun die Möglichkeit, einen wirtschaftlichen Vorteil des Täters aus der Ordnungswidrigkeit abzuschöpfen und hierfür den Bußgeldrahmen zu übersteigen. 

Der betriebliche Beauftragte für den Datenschutz

Die Stellung des internen betrieblichen Beauftragten für den Datenschutz wird gestärkt. Dessen Kündigung ist grundsätzlich nicht mehr möglich. Dieser Kündigungsschutz gilt noch bis zu einem Jahr nach dem Ende seiner Tätigkeit als Datenschutzbeauftragter. Auch besitzt er nun zum Erhalt seiner Fachkunde einen Anspruch auf Fortbildung. 

Pflichten des Auftraggebers bei der Auftragsdatenverarbeitung

Die Anforderungen bei der Auftragsdatenverarbeitung sind präzisiert und die Kontrollpflichten des Auftraggebers ergänzt worden. Es wird nun genauer vorgegeben, welchen Mindestinhalt der Auftrag enthalten muss. Zudem ist der Zeitpunkt konkretisiert worden, zu dem der Auftraggeber sich von der Einhaltung der Datensicherheit beim Auftragnehmer zu überzeugen hat. Dies hat erstmals vor Beginn der Datenverarbeitung zu erfolgen und anschließend - je nach Ausgestaltung und Dauer – regelmäßig und ist zu dokumentieren. 

Arbeitnehmerdatenschutz

Die Grundsatzregelung zum Arbeitnehmerdatenschutz gestaltet die geltende Rechtslage zum Datenschutz der Arbeitnehmer transparenter als die bisher für das Arbeitsverhältnis angewandten allgemeinen Regelungen des Bundesdatenschutzgesetzes. Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Begründung, Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten im Beschäftigungsverhältnis, dürfen personenbezogene Daten eines Beschäftigten nur verwendet werden, wenn tatsächliche, dokumentierte Anhaltspunkte auf eine Straftat vorhanden sind. Die Rechtmäßigkeit von Maßnahmen zur Verhütung von Straftaten und sonstigen Rechtsverstößen ist danach zu beurteilen, ob sie „zur Durchführung des Beschäftigungsverhältnisses erforderlich“ sind.