Der Datenschutzbeauftragte kann bei der Vielzahl der verschiedenartigen DV-Anwendungen und den wachsenden Aufgabenvolumen in den Firmen unmöglich weiter als Einzelkämpfer die betriebliche Kontrolle realisieren. Die verzahnte Fremd- und Selbstkontrolle im privaten Bereich ist daher im novellierten BDSG insgesamt erweitert und verstärkt worden.
Ein erheblicher Kompetenzzuwachs der Überwachungsbehörden ergibt sich unter anderem aus dem Recht der Aufsichtsbehörden, DV-Verfahren zur Sicherstellung des betrieblichen Datenschutzes zu verbieten.
Dezentrale DV, Einsatz neuer Speichertechniken und die Veränderung der herkömmlichen Arbeitsmittel veranlaßten den Bundesgesetzgeber, das vorhandene mehrstufige Kontrollsystem im privaten Bereich auszubauen und zu intensivieren. Die Institution des betrieblichen Datenschutzbeauftragten (bDSB) wird beispielsweise dadurch verstärkt, daß die Firma
- ihm soweit erforderlich sachkundige Mitarbeiter und Räume zur Verfügung stellen muß (° 36, Absatz 2 BDSG),
- ihn über neue DV-Verfahren rechtzeitig unterrichten muß (° 37, Absatz 1 BDSG),
- ihm detaillierte Übersichten über DV-Anlagen und Verfahren einschließlich der Angabe von zugriffsberechtigten Personen oder Gruppen zur Verfügung stellen muß (° 37, Absatz 2 BDSG).
Neue Berichtspflicht des Bundesbeauftragten (BfD)
Durch die Vorschrift über die rechtzeitige Einbeziehung des bDSB bei der Anschaffung von DV-Systemen werden die Weichen gestellt, daß Firmenleitungen den Kauf von DV-Systemen unter dem Blickwinkel ihrer datenschutzgerechten Einsatzmöglichkeiten prüfen. Mit der letztgenannten Regelung wird sichergestellt, daß datenschutzrelevante DV-Aktivitäten durch die Firma registriert und die Kontrolldaten dem bDSB zur Verfügung gestellt werden. Der bDSB kann auf dieser Basis die Vollständigkeit und Logik der Berechtigungen prüfen und verhindern, daß auf Datenbestände insgesamt oder auf Teile von ihnen unbefugt zugegriffen wird (Anlage zu ° 9, Satz 2). Um diese Kontrollen wirksam durchführen zu können, muß er allerdings über die notwendige Fachkunde verfügen.
Im Rahmen der BDSG-Novellierung wurden auch die Pflichten und Kompetenzen der Überwachungsbehörden für die DV durch Private erweitert. Hier ist vor allem zu nennen die Berichtspflicht des Bundesbeauftragten für den Datenschutz (BfD) über die Entwicklung des Datenschutzes im nicht-öffentlichen Bereich (° 26, Absatz 1 BDSG). Schon seit langem forderten Datenschutzexperten eine regelmäßige Berichterstattung der Aufsichtsbehörden gegenüber den Landesparlamenten über ihre Kontrollen in Wirtschaft und Industrie.
In Hessen ist dies bereits durch das dortige LDSG seit 1987 vorgeschrieben, in anderen Bundesländern sind entsprechende Tätigkeitsberichte aufgrund von Landtagsbeschlüssen erstellt worden.
Nunmehr soll der BfD bundesweit die Vielfalt und Vielschichtigkeit der Datenschutzprobleme in der Privatwirtschaft nicht nur kenntlich machen, sondern auch auf Abhilfe in Zusammenarbeit mit den Datenschutz-Aufsichtsbehörden hinarbeiten.
Es wird also keine berichtsfreien Landesoasen mehr geben. Auch machen solche Berichte die Tätigkeit der Überwachungsbehörden publik, so daß Betroffene ermutigt werden, sich mit Beschwerden an die Aufsichtsbehörden zu wenden, was bislang in den seltensten Fällen geschah. Dieser Gesichtspunkt ist insoweit von Bedeutung, als auch weiterhin die Aufsichtsbehörden bei den datenverarbeitenden Stellen für eigene Zwecke vornehmlich nach begründeten Hinweisen durch Betroffene tätig werden sollen (° 38, Absatz 1 BDSG).
Kontrollrechte der Aufsichtsbehörden
Bei hinreichendem Verdacht einer Datenschutzverletzung hat die Aufsichtsbehörde das Recht, nicht nur den einzelnen DV-Vorgang zu überprüfen (Anlaßaufsicht), sondern auch eine systematische Kontrolle gleichartig geführter Akten bei den für eigene Zwecke speichernden Stellen vorzunehmen (° 38, Absatz 1 BDSG). Problematisch dürfte die Begründung des hinreichenden Verdachts sein, sofern nicht Betroffener, bDSB oder Betriebsrat substantiierte Anhaltspunkte liefern. Handelt es sich hier um eine Regelung, die möglicherweise Verdächtigungen und Mißtrauen Vorschub leistet? Demgegenüber können die Aufsichtsbehörden bei Kreditinformationsdiensten unter anderem dem Adreßhandel, bei EDV-Service-Unternehmen sowie Markt- und Meinungsforschungs-Instituten auch in Zukunft Regelprüfungen durchführen, die sich auch auf aus Dateien stammende Aktendaten beziehen können (° 38, Absatz 2 BDSG). Darüber hinaus unterliegen sämtliche Aktendaten von Informationsdiensten, auch soweit sie nicht aus Dateien stammen, einer Anlaßaufsicht, wenn der Betroffene begründet darlegt, daß eine ihm zustehende Auskunft nicht oder nicht richtig erteilt worden ist (° 34, Absatz 2, Seite 3 BDSG).
Entgegen anderslautenden Meldungen enthält die Neuregelung Interventionsmöglichkeiten der Aufsichtsbehörde (° 38, Absatz 5 BDSG). Sie kann nicht nur - wie bereits intensiv in dieser Zeitschrift erörtert - die Abberufung des bDSB verlangen.
Diese Behörde kann darüber hinaus anordnen, "daß im Rahmen der Anforderung nach ° 9 Maßnahmen zur Beseitigung festgestellter technischer oder organisatorischer Mängel getroffen werden müssen". Wenn schwerwiegende Mängel dieser Art das Persönlichkeitsrecht besonders gefährden, kann die Aufsichtsbehörde der Firma auch den Einsatz einzelner Verfahren untersagen, wenn die Mängel
- nach einer Anordnung ihrer Beseitigung und
- nach Verhängung eines Zwangsgeldes
nicht in angemessener Zeit beseitigt worden sind. Dieses Recht der Aufsichtsbehörde kann einschneidende Wirkungen haben. Die nachfolgenden Erörterungen einer Informatikerin werden näher belegen, daß die Behörde durch eine solche Anordnung im Extremfall ein ganzes System lahmlegen kann.
Was unter "Verfahren" zu verstehen ist
Im folgenden wird unter einem Verfahren nach °9, Satz 1, Anlage des BDSG, die Art und Weise verstanden, in der personenbezogene Daten verarbeitet oder genutzt werden, also die EDV-Anwendung. Diese hängt wiederum von der verwendeten Hardware, dem Betriebssystem, den Programmen und dem organisatorischen Umfeld ab.
Bei der Beurteilung, welche Konsequenzen das Verbot eines Verfahrens haben kann, muß zwischen zwei Konfigurationen unterschieden werden:
Liegt dem Verfahren ein einziger Rechner zugrunde, so kommt ein Verbot des Verfahrens dem Verbot gleich, diesen Rechner dafür zu nutzen. Werden beispielsweise sensible personenbezogene Daten auf einem ungeschützten PC verarbeitet, so könnte die Aufsichtsbehörde verlangen, daß zusätzliche Sicherungsverfahren binnen einer angemessenen Frist auf dem PC implementiert werden. Das Unternehmen ist dann dazu verpflichtet, die festgestellten Mängel (hier das Fehlen von Sicherheitsmaßnahmen) zu beseitigen.
Kommt es dieser Aufforderung nicht nach, so kann die Aufsichtsbehörde die Speicherung und sonstige Verarbeitung der Daten auf dem PC verbieten. Unbenommen bleibt es dem Unternehmen, wenn es die Möglichkeit dazu hat, die Daten auf ein anderes (sicheres) System zu portieren oder auf die aktenmäßige Datenverarbeitung zurückzugreifen.
Handelt es sich bei dem Verfahren um eines, dem ein Mehrplatzsystem zugrundeliegt, so sind die Folgen durch das Verbot schwerer abzuschätzen, insbesondere dann, wenn es sich dabei um ein vernetztes System handelt, oder, wenn ein Verfahrensteil eine Datenfernverarbeitungsstrecke beinhaltet.
Entsprechen einzelne Rechner nicht den datenschutzrechtlichen Anforderungen, weil zum Beispiel für Komponenten eines Netzwerkes, beispielsweise für die in Krankenstationen aufgestellten Datenendgeräte, kein Zugangsschutz gewährleistet ist, so lassen sich diese meist abkoppeln, ohne dabei die Funktionsfähigkeit des Gesamtsystems zu beeinträchtigen (wohl aber die Funktionalität). Handelt es sich aber bei der beanstandeten Komponente um den einzigen zentralen Server des Systems, auf dem die Patientendaten gespeichert sind, so entspricht ein Nutzungsverbot desselben faktisch einem Ausschalten des Gesamtsystems.
Ist das Gesamtsystem, sei es das Betriebssystem oder das Anwendungsprogramm, mit gravierenden Sicherheitslücken behaftet, so daß eine Gewährleistung der Datenschutzanforderungen nicht gegeben ist, zum Beispiel durch fehlende Zugriffsschutz- und Protokollierungsmöglichkeiten, so kann die Aufsichtsbehörde im Zweifel auch dann ein Nutzungsverbot für das Gesamtsystem aussprechen. Hierzu zählt auch der Schutz der Daten, die über Leitungen vermittelt werden.
Unweigerlich Stillstand der Datenverarbeitung
Wird in einem vernetzten System, beispielsweise in einem lokalen Netzwerk, die Datenübermittlung verboten, so führt das unweigerlich zu einem Stillstand der Datenverarbeitung.
Da die Aufsichtsbehörde an das Prinzip der Verhältnismäßigkeit gebunden ist, darf sie jedoch nur dann, wenn ihr kein milderes Mittel zur Verfügung steht, ein Nutzungsverbot aussprechen.