Dr. Henning Scheu Datenschutzbeauftragter der BMW AG
Zum 1. Januar 1978 treten alle Vorschriften des BDSG zur Verarbeitung personenbezogener Daten in Kraft. Die Ernennung des Datenschutzbeauftragten war auf den 1. Juli 1977 vorgezogen, die Sicherheitsmaßnahmen nach Paragraph 6 auf den 1. Januar 1979 hinausgeschoben worden. Die Zeit von sechs Monaten scheint noch lang, der 1. Januar noch fern zu sein.
Eine kurze Überlegung aller prinzipiell notwendigen Einführungsmaßnahmen soll zeigen, wie wenig Zeit noch verbleibt, um sich auf das Gesetz vorzubereiten.
Das BDSG nennt nur die drei bereits erwähnten Termine, seine Überarbeitung in der Form einer Checkliste der Erlaubnisse und Verbote verdeutlicht hingegen Aufgabenkreise und Prioritäten.
Der DSB wird im gesamten Unternehmen tätig. Er muß sich daher Verbindungsstellen schaffen, nicht nur zu ausgegliederten unselbständigen Unternehmensteilen, sondern zu allen internen Unternehmensgliederungen. Er muß sicherstellen, bei allen gehört zu werden, aber auch von allen zu hören. Ein aus Mitgliedern der Unternehmensgliederungen zusammengesetzter Arbeitskreis kann dem DSB die Arbeit erheblich erleichtern.
Die wohl wichtigste Anfangsaufgabe ist die Erstellung eines vollständigen Dateienregisters aller, nicht nur der personenbezogenen Dateien. Nur so lassen sich Kosteneinsparungen durch Straffung des Bestandes erreichen. Bei der Ist - Aufnahme sollten nicht nur die Merkmale der Paragraphen 29, 39 beachtet sondern auch andere Gesetzesaufgaben vorbereitet werden. Im Hinblick auf Schulung und Geheimhaltungsverpflichtung sollen die mit den Dateien arbeitenden Personen identifizierbar, Auftragsverarbeitung und Service müssen namentlich feststellbar sein, um hier den Weisungsrahmen gemäß Paragraph 37 vereinbaren - zu können, Übermittlungswege müssen für das spätere Auskunftsverfahren ermittelt werden können. Selbstverständlich gehört ein Auswertungsprogramm zur Erhebung, sei es maschinell oder manuell. Dies muß mindestens sortieren nach Vollständigkeit, Gesamtübersicht, BDSG- Dateien, Paragraph - 6- Dateien, mit den Dateien arbeitendem Personal, Auftragsverhältnissen und Service- Listen.
Aus der Erhebung sind Geschäftszwecke und - ziele im Sinne des BDSG, zum Beispiel Paragraph 39 Absatz 2, Ziffer 4, zu definieren und zu typisieren, um Gruppen von Dateien zusammenfassen zu können. Es schließt sich an die Prüfung, ob und welche Erlaubnisse zur Verarbeitung jeder einzelnen Datei vorliegen, und zwar in der Folge der vorrangigen Rechtsvorschriften, der Verträge, vertragsähnlichen Vertrauensverhältnisse, der Einwilligung sowie der Wahrung berechtigter Interessen, wobei Sie hier, was oft vergessen wird, noch die Belange des Betroffenen in Ihre Überlegungen einbeziehen müssen. Vor allem im Personalbereich wird die Prüfung der vorrangigen Rechtsvorschriften mühsam und zeitraubend in einer Einzelprüfung je Datei vorzunehmen sein.
Neben diesen Maßnahmen laufen mehr interne Vorhaben wie Erarbeiten einer Geheimhaltungsverpflichtung und eines Auftrags- /Service Vertrages, Erstellen von
Richtlinien zur Verarbeitung personenbezogener Daten, Schulen der Mitarbeiter, Überprüfen aller Formulare, Verträge, Allgemeinen Geschäftsbedingungen. Sie müssen dann Ihre "Daten- Beziehungen" zu allen relevanten Personengruppen daraufhin
prüfen, ob Sie nach den Paragraphen 26 I, 43 benachrichtigen müssen oder ob die bloße
Kennanis einer Speicherung schon besteht. Hier sind eventuell Benachrichtigungsverfahren oder entsprechende Aufdrucke auf Formularen zu entwerfen.
Sehr wichtig ist noch das Auskunftsverfahren mit den Folgetätigkeiten- des Löschens, Sperrens, Berichtigens. Sie müssen ein hinreichend sicheres Identifizierungsverfahren einleiten, bevor Sie Auskunft geben. Die möglichen Auskunftsbereiche sollten entsprechend den Unterteilungen in den Stammsätzen und wiederum bezogen auf die für Ihr Unternehmen relevanten Personengruppen unterteilt und zur Auskunft angeboten werden, um kostenungünstige Totalauskünfte und zeitraubendes Suchen zu vermeiden.
Ich habe nur einige wichtige Themen genannt, mit denen Sie sich im Rahmen des
BDSG befassen müssen. Wenn Sie nur dies auf einen Termin- und Organisations- Ablaufplan übertragen, werden Sie feststellen, daß eine Zeit von sechs Monaten abzüglich
Ferienzeit eigentlich schon viel zu kurz ist, um bis zum 1. Januar 1978 die Anwendung des BDSG sicherstellen zu können. Und ab 1.1.1978 gelten auch die Strafvorschriften.
Ich will hier keine Öl- Gesellschaft zitieren, aber Sie sollten es schnellstens anpacken.