Home

Tätigkeitsbericht 2011 - Unabhängiges Landeszentrum für

1. Beim registergest tzten Zensus werden haupts chlich vorhandene Verwaltungs register wie z B das Melderegister genutzt Nach dem Zensusstichtag dem 9 Mai 2011 werden die Daten aus den verschiedenen Registern und den Befragun T tigkeitsbericht 2011 des ULD SH gen mit einem statistischen Verfahren der sogenannten Haushaltsgenerierung zusammengef hrt Am Ende der Erhe bung und Aufbereitung liegen zuverl s sige Zensusdaten zu Personen Haus halten Wohnungen und Geb uden vor Das Statistikamt Nord wird von uns bei der Einrichtung der Datenverarbei tungsprozesse und der umzusetzenden organisatorischen und technischen Sicherheitsma nahmen unterst tzt Im Rahmen eines Audits wird die durch zuf hrende Verarbeitung dem Grund schutzstandard des Bundesamtes f r Sicherheit in der Informationstechnik BSD in den Schritten der Grund schutzmethode unterzogen Es wurden die f r die Durchf hrung des Zensus erforderlichen infrastrukturellen und technischen Bereiche geordnet der Schutzbedarf der Daten ermittelt die Sicherheitsma nahmen festgelegt und berpr ft sowie Restrisiken bewertet Das Statistikamt ist auf einem guten Weg alle erforderlichen Sicherheits anforderungen bis zum Stichtag im Mai 2011 zu erf llen Was ist zu tun Das Statistikamt Nord sollte seine strategische Ausrichtung den Daten schutz und die IT Sicherheit nach dem Grundschutzstandard f r die Zensusdatenverarbeitung _umzuset zen
2. Der Bundesgesetzgeber verpflichtete die Unternehmen mit Ablauf des Jahres 2010 zum Angebot tageszeitabh ngiger und lastvariabler Tarife Dies sind Tarife bei denen in Abh ngigkeit von der im Netz verf gbaren Energiemenge oder dem Zeitpunkt der Entnahme der Energie die Preise variabel gestaltet sind Der verpflichtende Einsatz intelligenter Z hler beschr nkt sich derzeit auf die Messung des Stromverbrauches Dabei wird es nicht bleiben Die Einf hrung dieser Technik ist in s mtlichen Versorgungssparten also auch Gas und Wasser geplant und wird in Pilotprojekten getestet Zweck der gesetzlichen Vorgaben ist die Verbesserung der Kontrolle und Steu erung des Verbrauchs Au erdem ist dies der erste Schritt zu sogenannten intelli genten Versorgungsnetzen Smart Grids Im Gegensatz zu den herk mmlichen Ferraris Z hlern sind die intelligenten Z hler in der Lage sekundengenau den Verbrauch zu erfassen Die gemessenen Daten k nnen f r feingranulare Last und Nutzungsprofile verwendet werden Die Auswertung erlaubt sogar die Fest stellung welches Ger t die Energie verbraucht hat Die moderne Gesellschaft ist durch eine hochtechnisierte Lebensweise gepr gt die den Verbrauch von Ressourcen mit sich bringt also von Strom Gas Wasser oder W rmeenergie Tagesabl ufe spiegeln sich in der Nutzung der Ressourcen wider Mit dem technischen Potenzial der zeitlich kleinteiligen und ger tegenauen Erfassung des Verbrauchs k nnen die Leben
3. Die weitere Entwicklung von Webcams muss kritisch beobachtet werden damit eingeschritten wird wenn die schutzw rdigen Interessen der Betroffenen gegen ber den Ver ffentlichungsinteressen berwiegen Unbeachtete Werbewiderspr che Ein ehemaliger Bankkunde erhielt wiederholt Werbung seiner fr heren Bank obwohl er der Nutzung seiner Daten f r Werbezwecke widersprochen hatte Wir mussten ein Bu geld verh ngen Nach dem BDSG hat jeder Betroffene das Recht gegen ber der verantwortlichen Stelle der Nutzung oder bermittlung seiner Daten f r Zwecke der Werbung oder Markt und Meinungsforschung zu widersprechen Der Widerspruch macht die Datennutzung f r diese Zwecke unzul ssig so auch im geschilderten Fall Die Reaktion der verantwortlichen Bank gab uns Grund zur Sorge denn sie lie schwerwiegende M ngel der innerbetrieblichen Organisation erkennen Es war technisch und organisatorisch nicht gew hrleistet dass der Widerspruch mit Werbedaten vollst ndig abgeglichen wurde bzw werden konnte Dies f hrte dazu dass der Widerspruch des Betroffenen nicht beachtet wurde Der Bu geld bescheid ist rechtskr ftig Was ist zu tun Gem dem BDSG muss eine Stelle sicherstellen dass Widerspr che beachtet werden Sie muss gew hrleisten dass bei der Datensperrung Datensatzabwei chungen erkannt und ber cksichtigt werden Behinderung der Aufsichtst tigkeit des ULD Das ULD ist zur Erf llung seiner Aufgaben auf die Mitwirkun
4. ber das gesetzlich notwendige Mindestma an Datenschutz hinauszugehen und besonders datenschutzf rdernde Technik zu entwickeln die den B rgerin nen und B rgern in Schleswig Holstein zugutekommt Auch im vergangenen Jahr ist das ULD an einer Reihe von Projekten und Studien beteiligt gewesen die durch Drittmittel finanziert wurden Tz 8 1 bis Tz 8 7 Koordiniert werden solche Projekte inner halb unseres Innovationszentrums Daten schutz amp Datensicherheit ULD i das interessierten schleswig holsteinischen Un ternehmen und Hochschulen f r die Imple mentierung von Datenschutz und Daten sicherheit in ihre Projekte und Produkte zur Verf gung steht Datenschutz innovativ http www uld i de Im Dezember 2010 wurde das Virtuelle Datenschutzb ro als gemeinsames Internetportal der Datenschutzaufsichtsbeh rden zehn Jahre alt Die Gesch fts leitung wird auch weiterhin beim ULD liegen Als Projekt gestartet ist es heute mit etwa 3 000 Beitr gen und Artikeln eine der wichtigsten Informationsquellen zum Datenschutz im deutschsprachigen Raum T glich besuchen das Portal inzwischen mehr als 3 400 Nutzerinnen und Nutzer https www datenschutz de PrimeLife Identit tsmanagement im Fokus X Identit tsmanagement Identit tsmanagement ist ein von den Menschen seit Jahrhunderten einge btes Handeln Man verh lt sich je Das von der EU gef rderte Projekt PrimeLife verfolgt das Ziel Men schen in ih
5. konnten sich nach erfolg reicher theoretischer und praktischer Pr fung als Systemadministrator mit Datenschutzzertifikat begl ck w nschen lassen Mit dem Erwerb des Zertifikats k nnen sie nachweisen dass sie Einsatz und Betrieb von IT Sys temen datenschutzrechtlich sicher be herrschen Die Systemadministratoren mit Daten schutzzertifikat k nnen nicht nur ihre pers nliche und berufliche Qualifika tion verbessern sie geben auch ihren Im Schulungsjahr 2010 fanden 27 Kur se statt in denen 541 Personen von zw lf Dozentinnen und Dozenten der DATENSCHUTZAKADEMIE in den verschiedensten Bereichen von Daten schutz Datensicherheit und Informa tionsfreiheit geschult wurden NEU NEU NEU NEU E Learning Die positiven Erfahrungen aus dem Power Lehrgang haben zur Konzep tion neuer E Learning Kurse gef hrt Eine E Learning Plattform sowie elektronische und multimediale Schu lungsbestandteile erm glichen berufs begleitendes zeit und ortsunabh n giges Lernen Vgl die Kurse PL LINUX und NET im Jahresprogramm 2011 NEU NEU NEU NEU Arbeitgebern und den Datenschutzbeauftragten die Sicherheit dass die vorge schriebenen technischen organisatorischen und datenschutzrechtlichen Vorschrif ten bei der Systemadministration ber cksichtigt werden Im Rahmen der DATENSCHUTZAKADEMIE vor Ort nahmen in 15 Sonder kursen weitere 225 Personen an Fortbildungen zu folgenden Themen teil e Gru
6. Zugriffsrechte im KIS des Universit tsklinikums Schleswig Holstein Daten ber die Gesundheit von Patienten sind besonders zu sch tzen Dazu geh rt es auch den Zugriff auf Informationen ber fr here Behandlungen in Krankenh usern auf solche Personen zu beschr nken die diese Informatio nen tats chlich ben tigen Die Verarbeitung personenbezogener Daten zum Zweck der Dokumentation der Behandlung der Abrechnung und der Archivierung erfolgt in Krankenh usern in der Regel mithilfe sogenannter Krankenhausinformationssysteme KIS Beim Universit tsklinikum Schleswig Holstein UK S H wird dazu das System ORBIS verwendet Bei der Administration solcher Systeme ist darauf zu achten dass Zugriffsrechte tats chlich nur im jeweils erforderlichen Umfang gew hrt werden Grunds tzlich ist der Zugriff auf die bei einer medizinischen Organisationseinheit z B einer Station besch ftigten Mitarbeiter zu beschr nken T tigkeitsbericht 2011 des ULD SH 57 58 Schutz des Patientengeheimnisses Das ULD hatte Hinweise erhalten dass im System ORBIS beim UK S H die Zugriffsrechte zu weitgehend sind Zwar waren Details der Krankengeschichte nur f r die jeweils behandelnde Organisationseinheit zug nglich Jedoch konnten s mtliche Mitarbeiter mit Zugangsberechtigung zum System ORBIS feststellen in welchen anderen Organisationseinheiten ein Patient bereits in der Vergangenheit behandelt wurde Aus diesen Informationen lassen sich bereits
7. ber die B rgerinnen und B rger ihre informationelle Selbstbestimmung wahrnehmen sollen Zudem ist die Verpixelung von Gesichern und Kfz Kennzeichen vorgesehen Richtig weiter f hrend ist aber auch dieser Vorschlag nicht Die Auflagen des D sseldorfer Kreises als Zusammenschluss der Aufsichtsbeh rden zum Dienst Google Street View gehen in ihren 13 Punkten in mancher Hinsicht weiter Es besteht bei Google vorab ein Widerspruchsrecht beanstandete Rohdaten m ssen gel scht werden Es erfolgte keine sanktionslose unverbindliche Festlegung vielmehr leiten sich die 13 Punkte nach dem Verst ndnis der Aufsichtsbeh rden zwingend aus der bisher geltenden Abw gungsregelung ab sodass s mtliche Sanktions mittel des BDSG genutzt werden k nnen Positiv zu bewerten ist beim BITKOM Kodex grunds tzlich der Ansatz der Selbstregulierung als flexibles Instrument f r einen praktikablen Pers nlichkeitsschutz Doch kommt allzu viel Wasser in die sen Wein weil ein Unternehmen sich von der freiwilligen Selbstverpflichtung einseitig entbinden kann keine Bezugnahme zum gesetzlichen Rahmen erfolgt und nicht einmal die im BDSG vorgesehene Genehmigung als Verhaltensregel angedacht wurde Insofern muss und kann nachgebessert werden So k nnte der Kodex zum Vorbild f r Verhaltensregeln in anderen Bereichen der Internetdaten verarbeitung werden z B bei Suchmaschinen sozialen Netzwerken Bewer tungsportalen oder f r Online Archive Was ist zu tun Der Bu
8. den Problemen und L sungen gewichen Diese Problem und L sungsorientie rung u erte sich in der Koalitionsvereinbarung auf Bundesebene in der Ein richtung einer Enquetekommission des Bundestages 32 TB Tz 2 2 in einem Gesetzentwurf zum Besch ftigtendatenschutz Tz 5 1 in Vorbereitungen f r eine Stiftung Datenschutz Tz 2 3 in 14 Thesen zu den Grundlagen einer gemeinsamen Netzpolitik der Zukunft des Bundesinnenministers in Gesetzes initiativen zu Ver ffentlichungen im Internet oder in ersten Versuchen der Selbst regulierung der Internetwirtschaft Tz 2 2 Nun l sst sich nicht behaupten dass s mtliche Versuche Anworten auf die neuen Herausforderungen zu geben ins Schwarze getroffen h tten Ein Beispiel hierf r sind die 14 Thesen des Bundesinnenministers Diese basieren darauf dass die Selbstregulierung Vorrang vor staatlicher Normierung haben soll So berechtigt die Kritik an den bisherigen detaillistischen Regulierungsversuchen der Informa tionstechnik ist so unbegr ndet ist die Hoffnung dass eine profitorientierte Wirt schaft von sich aus gemeinsame Werte verfolgen w rde die in den Thesen zutref fend benannt werden Freiheit Selbstbestimmung und Eigenverantwortung Gebot des gegenseitigen Respekts und der R cksichtnahme sowie der Chan cengleichheit und Solidarit t Es ist unrealistisch von der Wirtschaft zu erwarten so der Minister anl sslich des Spitzengespr chs Digitalisierung vo
9. systeme m ssen aber tats chlich so konfiguriert sein und d rfen zudem nicht zur Kontrolle der Leistung und des Verhaltens der Kassiererinnen genutzt werden Was ist zu tun Betroffene Superm rkte sollten zum Auslesen von PIN Eingaben geeignete Spiegel in den Kassenbereichen abbauen Auch eine Videokontrolle der Kassenbereiche muss z B durch Ausblenden der Tastatur der PIN Eingabe ger te datenschutzkonform gestaltet sein Die Kamera als Waffe gegen den Nachbarn Dem Ideenreichtum streitender Nachbarn sind keine Grenzen gesetzt Dabei bernimmt die Videokamera oft die Funktion einer bedrohlichen Waffe Das ULD erreichen weiterhin zahlreiche Beschwerden von B rgern die sich von ihren Nachbarn mittels Videotechnik verfolgt und bedroht f hlen Gegenseitige Vorw rfe etwa angebliche Verschmutzung von Vorg rten mit Hunde und Katzenkot absichtliches Einbringen von Unkrautsaat in Zierg rten oder Besch digung von Kraftfahrzeugen stehen zumeist im Hintergrund Der wahre Zweck der Kameras ist zumeist die Einsch chterung des ungeliebten Nachbarn Bei der Bearbeitung solcher Beschwerden unterscheidet das ULD zwei unter schiedliche Fallgruppen Sind bei den dargestellten Sachverhalten ffentliche Belange ber hrt z B durch Beobachtung von B rgersteigen und ffentlichem Stra enraum fordert das ULD die Kamerabetreiber auf die berwachung zu beenden und die Ger te abzubauen N tigenfalls werden Bu geldverfahren wegen
10. Der neue Kontakt f hrte zu einer Verkn pfung der Datens tze und zur Aufnahme der alten Interessentendaten in den aktuellen Datensatz Verantwortliche Stellen m ssen jederzeit Auskunft ber die Herkunft der bei ihnen gespeicherten Daten geben k nnen Daf r haben sie geeignete Ma nahmen der Eingabekontrolle zu treffen In einem Datenschutzmanagement ist ein geeignetes und effektives Verfahren der Auskunftserteilung vorzusehen Die im Unternehmen laufenden Verfahren m ssen st ndig pr sent und auf ihre Daten schutzkonformit t hin gepr ft sein Eine Datenbank darf nicht zw lf Jahre lang unbemerkt anwachsen Daten sind zu l schen sobald ihre Kenntnis f r die Erf llung des Zwecks der Speicherung nicht mehr erforderlich ist Die Speiche rung von Interessentendaten ist nur in unmittelbarer zeitlicher N he zur Anfrage des Interessenten erforderlich T tigkeitsbericht 2011 des ULD SH 5 8 5 5 8 6 Datenschutz in der Wirtschaft Was ist zu tun Ein umfassendes Datenschutzmanagement gew hrleistet dass jederzeit ber die gespeicherten Daten und deren Herkunft Auskunft gegeben werden kann Daten d rfen nur so lange gespeichert werden wie sie f r die Erreichung des Zwecks der Speicherung erforderlich sind Bank bittet um R ckruf Das Callcenter einer Bank rief wegen eines Problems im Datenbestand an und bat um R ckruf Der Angerufene war schon seit drei Jahren kein Kunde dieser Bank mehr Ein B rger teilte mit d
11. Einige Eigenschaften des Lehrerbewertungsportals lie en sich auf Arztbewer tungsportale aber nicht bertragen So war der Zugriff auf die Bewertungen im Grundsatz nur f r die Schul ffentlichkeit m glich Im Hinblick auf die freie Arztwahl in Deutschland kann es eine entsprechende Beschr nkung bei rzten nicht geben Beim Arztnavigator wurde jedoch f r einen im Ergebnis gleicharti gen Schutz der Pers nlichkeitsrechte der rzte gesorgt Ein Log in zur Bewertung wird nur an Versicherte der AOK vergeben eine Erweiterung auf andere Kran kenkassen in der Zukunft ist vorgesehen Auf pseudonymer Basis wird gepr ft ob eine Person die Bewertungen zu rzten abgeben will tats chlich bei der AOK versichert ist Nur dann kann sie eine Bewertung f r einen Arzt abgeben So wird verhindert dass Bewertungen durch Patienten oder die rzte selbst verf lscht werden z B indem von einer Person zu einem Arzt mehrere Bewertungen abge geben werden Weitere Schutzmechanismen sind der Verzicht auf Freitextfelder ein strukturierter Fragebogen der Extremaussagen ausschlie t und die Vorgabe T tigkeitsbericht 2011 des ULD SH 4 7 4 7 1 Wissenschaft und Bildung Bewertungen in aggregierter Form erst zu ver ffentlichen wenn mehr als zehn Bewertungen vorliegen Wir meinen dass damit ein ausgewogenes Bewertungs portal zustande kommt das die Rechte der bewerteten rzte in angemessener Form wahrt Was ist zu tun Bei datenschutzrechtlich kr
12. Fast ein Jahr lang bewegte sich beim Datenschutz im Fahrerlaubniswesen in Sachen Datenschutz fast nichts weil das zust ndige Ministerium meinte nicht zust ndig zu sein Nun besteht Hoffnung Im Januar 2010 wandte sich das ULD an das Ministerium f r Wissenschaft Wirt schaft und Verkehr mit einem umfangreichen Problemaufriss und einem Fragen katalog zum Datenschutz im Fahrerlaubnisbereich Hintergrund ist die Einf hrung des Zentralen Fahrerlaubnisregisters ZFER beim Kraftfahrt Bundesamt KBA und die sukzessive Abl sung der dezentralen Papieraktenhaltung durch die bundesweite elektronische Datenverarbeitung die erst im Jahr 2014 abgeschlos sen sein wird wenn die letzten Papier Lappen der Vergangenheit angeh ren sollen Wer berechtigt ein Kraftfahrzeug f hrt h ngt nicht nur vom Erwerb eines F hrerscheins ab sondern auch davon ob dieser nicht wieder entzogen wurde was beim KBA gesondert im Verkehrszentralregister gespeichert ist VZR Zwischen ZFER und VZR bestehen Querverweise Da jedoch viele f r die Fahr erlaubnis relevante Vorg nge noch aus der papierenen Zeit stammen sind die Fahrerlaubnisbeh rden verunsichert welche Daten sie noch aufbewahren d rfen und welche auch aus Datenschutzgr nden gel scht werden m ssen Aus Kontrollen ist uns bekannt dass hier im Land v llig unterschiedlich oft weder praktikabel noch datenschutzkonform verfahren wird Das ULD hatte die Hoffnung dass das Verkehrsmini
13. Privacy Open Space Audit und G tesiegel Datenschutz Audits BSI Zertifizierung f r die Kreisverwaltung Pl n Stadt Bad Schwartau ZIAF Audit Zensus 2011 Audits im Geleitzug K3 und BALVI Stadt L beck azv Pinneberg Stadt Pinneberg Dataport ISMS f r das DCS Inhalt 88 88 88 89 90 91 91 92 93 94 94 96 96 98 100 103 104 106 106 106 107 108 108 110 110 112 113 115 115 117 118 119 120 120 122 124 124 124 125 126 126 127 128 129 129 129 T tigkeitsbericht 2011 des ULD SH Inhalt 9 2 Datenschutz G tesiegel 131 9 2 1 Abgeschlossene G tesiegelverfahren 131 9 2 2 Sachverst ndige 133 9 2 3 Kriterienkatalog De Mail 134 9 3 EuroPriSe europ isches Datenschutz G tesiegel 135 9 3 1 Zertifizierungskriterien 136 9 3 2 Fachinformationen f r EuroPriSe Gutachter und Antragsteller 137 9 3 3 Zertifizierungsverfahren 138 9 3 4 Zulassung von Gutachtern 139 9 3 5 Abgeschlossene und laufende EuroPriSe Verfahren 141 9 3 6 Fachinformationen 142 9 3 7 Zusammenarbeit mit anderen Datenschutzbeh rden 143 9 4 D21 Initiative G tesiegel Board 143 10 Aus dem IT Labor 145 10 1 Google Analytics 145 10 2 Doodle 146 10 3 Mobile Endger te 147 10 4 Faxger te 148 11 Europa und Internationales 152 11 1 Safe Harbor weiter in der Kritik 152 11 2 Internationale Standardisierung von Datenschutz 153 12 Informationsfreiheit 155 12 1 Der schwierige Weg zu einem einheitlichen Informationszugan
14. Produktion Sor tierung Transport und Zustellung e Elster nline Client Server Architektur Stand Mai 2010 Client Server Architektur zum Austausch von steuerrelevanten Daten e Akten und Datenvernichtung Stand Oktober 2010 physikalische Daten tr gervernichtungsfunktionalit ten der Firma MAMMUT Dokumentenservice GmbH amp Co KG T tigkeitsbericht 2011 des ULD SH 131 132 Audit und G tesiegel Im Rezertifizierungsverfahren wurden folgende Produkte in einem vereinfach ten Verfahren 27 TB Tz 9 1 4 erneut berpr ft und zertifiziert e Verfahren der Akten und Datentr gervernichtung Stand Dezember 2009 Verfahren zur Vernichtung von Akten und Datentr gern durch die Lutz von Wildenradt GmbH im Auftrag f r ffentliche und nicht ffentliche Stellen e SQS Testsuite f r SAP HCM Version 2 0 Beratungsprodukt zur Qualit ts sicherung Test von SAP HCM Anwendungssystemen in der Praxis e c pacs Speicherdienst Version 3 0 elektronische externe Archivierung von R ntgenbildern und anderen patientenbezogenen medizinischen Daten e KOMMBOSS diverse Module Version 2 9 Unterst tzung von Kommunen und ffentlichen Stellen in den Bereichen Personalwesen Zentrale Verwaltung und Organisation e Elefant Profi im Security Mode Version 8 01 Verwaltungsprogramm f r psychotherapeutische und rztliche Praxen e Verfahren der Vernichtung von Akten und Mikroformen Stand Juni 2010 Vernichtung von Akt
15. andere anfragende Stellen beauskunftet Die Gesch ftszwecke des Auftraggebers k nnen nicht als Rechtsgrundlage f r eine Auftragsdatenverarbeitung und den Aufbau eines treuh nderisch verwalteten Datenpools herangezogen werden Auch das ber RISER bei einer Meldebeh rde anfragende Unternehmen darf die durch die Meldeauskunft aktualisierte Adresse nur dann f r Zwecke der Werbung Markt oder Meinungsforschung nutzen wenn diese Nutzung eben falls durch eine Rechtsgrundlage abgedeckt und insoweit nach dem Bundes datenschutzgesetz zul ssig ist T tigkeitsbericht 2011 des ULD SH 121 8 7 122 Modellprojekte und Studien Bei der einfachen Melderegisterauskunft die durch die deutschen Meldebeh rden an Anfragende nur bei Nennung von Namen und Adresse oder Geburtsdatum ber eine dadurch eindeutig zu identifizierende Person erteilt wird handelt es sich um eine nicht allgemein zug ngliche Quelle Die einfache Meldeauskunft wird nicht voraussetzungslos erteilt Der Anfragende muss im berechtigten Besitz eines Datensatzes sein mit dem die gesuchte Person eindeutig identifizierbar ist schutzw rdige Interessen der betroffenen Person d rfen der Auskunft nicht entge genstehen Im Mai 2010 fand die 5 Konferenz f r E Services im Meldewesen in Europa im Rathaus Sch neberg in Berlin statt 120 internationale Teilnehmer aus 21 L n dern diskutierten ber Melderecht und Datenschutz bei nationalen Melderegistern Auf der Konferenz stell
16. bei Bedarf den Anonymisierungsdienst an neue Regelungen anpassen Den B rgern ist auch k nftig im Rahmen der rechtlichen Vorgaben eine kostenlose M glichkeit zur anonymen Nutzung des Internets zur Verf gung zu stellen T tigkeitsbericht 2011 des ULD SH 119 8 5 8 6 120 Modellprojekte und Studien Studie zu Datenschutz in Online Spielen ver ffentlicht Das Projekt DOS Datenschutz in Online Spielen wurde Ende 2009 abge schlossen Das ULD hat nun die Studie und einen Leitfaden zur datenschutz gerechten Entwicklung von Online Spielen aktualisiert und ver ffentlicht Das DOS Projekt wurde von 2007 bis 2009 vom Bundesministerium f r Bildung und Forschung gef rdert 32 TB Tz 8 5 Hierbei haben wir Online Spiele f r PCs Konsolen Handhelds Handys Browser und soziale Netzwerke untersucht und die wichtigsten Datenschutzprobleme identifiziert Auf der Basis unserer Analyse haben wir einen Leitfaden f r Entwickler und Betreiber von Online Spielen zusammengestellt der Rechtsgrundlagen Problembereiche und prakti sche Tipps zur Umsetzung des Datenschutzes in solchen Spielen aufzeigt Die umfangreiche Studie und der Leitfaden k nnen kostenlos von unserer Webseite heruntergeladen werden https www datenschutzzentrum de dos Zahlreiche Anfragen von Spielern Jugendorganisationen Herstellern und Betrei bern von Online Spielen infolge der Ver ffentlichung zeigen das gro e Interesse an diesem aktuellen Thema Bei vi
17. e Christian Regnery Berlin Recht e Thilo M rtin N rnberg Recht e Dipl Inform FH Thomas Gutte Wiesbaden Technik e Oliver G nner Alfter Recht e Holger Filges Kalkar Technik e Dr Jan Koecher Hamburg Recht e Dipl Ing Doris Schernus Hamburg Technik Die Pr fstelle 2B Advice Bonn ist mit seinem zweiten Leiter Hans Joachim Bickenbach nunmehr f r Recht und Technik anerkannt Inzwischen sind 44 Einzelsachverst ndige registriert 20 Sachverst ndige sind f r den Bereich Recht und 18 f r den Bereich Technik anerkannt Sechs Sachver T tigkeitsbericht 2011 des ULD SH 133 9 2 3 134 Audit und G tesiegel st ndige haben die Anerkennung f r beide Bereiche Hinzu kommen neun Pr f stellen von denen eine f r Recht zwei f r Technik und sechs f r beides bei uns eingetragen sind Die Sachverst ndigen sind verpflichtet im Abstand von jeweils drei Jahren nach dem Datum der Anerkennung Nachweise ber den Besuch von Fortbildungen und von Foren zum Erfahrungsaustausch beizubringen Zahlreiche Sachverst ndige sind bereits seit mehr als drei Jahren anerkannt und haben die entsprechenden Nachweise vorgelegt Ende August 2010 fand der j hrliche Gutachterworkshop in Kiel statt 20 Sachverst ndige diskutierten ber aktuelle Erfahrungen mit Neu und Rezertifizierungen vorzeitige Rezertifizierungen Schutzziele als Leitmotiv f r die Pr fung aktuelle Gesetzgebung und Fragen des Marketings
18. nahme nur zul s sig wenn gewichtige Sch den zu erwarten sind e Die Video berwachung dient der Gefahrenabwehr Die M glichkeit Aufzeich nungen f r die Strafverfolgung zu nutzen ist nur ein zul ssiger Nebenzweck Die Video berwachung muss also in erster Linie zur Gefahrenabwehr geeignet sein Dies setzt voraus dass den betroffenen B rgerinnen und B rgern in einer tats chlichen Gefahrensituation durch die Ma nahme geholfen werden kann was eine Live bertragung der Bilder verlangt Mit dem blo en Aufzeichnen der Bilder kann zwar eine nachtr gliche Untersuchung von Vorf llen erfolgen nicht aber die Abwehr von Gefahren e Die bertragung der Bilder von der Kamera zu dem berwachungsmonitor erfolgt h ufig ber das Internet Es ist zu gew hrleisten dass die Daten auf dem bertragungsweg nicht von Unbefugten ausgelesen werden k nnen Hierf r ist eine Verschl sselung einzusetzen e Die Video berwachung muss offen erfolgen Sie ist durch erkennbare Hin weisschilder an dem berwachten Platz kenntlich zu machen e Die Aufzeichnungen d rfen h chstens einen Monat gespeichert werden Es ist zu pr fen ob auch eine k rzere Frist ausreichend ist Was ist zu tun Die Einrichtung einer Video berwachung ist wohl zu berlegen Die Methode ist kein Allheilmittel gegen Gefahren und Straftaten Will eine Kommune oder die Polizei diese f r die Kontrolle ffentlicher Pl tze nutzen sind die daten schutzrechtlichen Anforder
19. rokrati schem Mehraufwand Um sicherzustellen dass minderj hrige Sch lerinnen und Sch ler die allge meinbildende Schulen oder F rderzen 30 Abs 7 Schulgesetz tren verlassen ihrer Berufsschulpflicht Die Vorschrift verlangt von den all nachkommen bermitteln diese Schul gemeinbildenden Schulen und den arten die Daten der Abg nger an die in F r derzentren dass sie die Sch le ihrem Einzugsbereich befindlichen be rinnen und Sch ler die diese Schulen verlassen an die berufsbildenden rufsbildenden Schulen derzeit in nen papierener Form oder per unverschl s selter E Mail An Schulstandorten mit mehreren berufsbildenden Schulen erfolgt ein relativ aufwendiges Abgleichver fahren um festzustellen ob alle Sch lerinnen und Sch ler tats chlich bei den berufsbildenden Schulen ankommen Das IQSH hat beraten vom ULD eine technische L sung vorgeschlagen Dessen Umsetzung scheiterte bisher daran dass das Bildungsministerium noch keine Entscheidung getroffen hat Die L sung im Landesnetz Bildung Schleswig Holstein hat nicht nur verwaltungs konomische Vorteile sondern erh ht auch die Sicherheit der zu bermittelnden personenbezogenen Daten Was ist zu tun Das Bildungsministerium sollte zeitnah eine Entscheidung f r die vom IQSH angedachte technische L sung treffen Schulsozialarbeit eine prinzipiell gute Sache In der Schulsozialarbeit besteht oft Unsicherheit ob im Rahmen ihrer T tig ke
20. weil die Datenverarbeitung nur noch auf den zentralen Rechnern erfolgt Au erdem werden die E Mail Kommu nikation und die Nutzung des WWW vor unerw nschten Ereignissen durch den Einsatz mehrerer aufeinander aufbauender Sicherheitsmechanismen gesch tzt Was ist zu tun Bad Schwartau sollte seine Vorbildfunktion f r andere kommunale Verwaltun gen erhalten und deutlich machen welche Vorteile sich durch geregelte Daten schutz und IT Sicherheitsprozesse ergeben T tigkeitsbericht 2011 des ULD SH 125 126 Audit und G tesiegel ZIAF Audit Das Ministerium f r Landwirtschaft Umwelt und l ndliche R ume erhielt f r die sichere Konzeption und den sicheren Betrieb seiner Agrarf rde rungszahlstelle ein IT Sicherheitszertifikat Im April 2010 wurde das erste turnusm ige berwachungsaudit ohne Beanstandungen abgeschlossen Zur Erinnerung Die Europ ische Union EU hat f r Zahlstellen die EU F rder mittel f r die Agrarf rderung auszahlen sicherheitstechnische Vorgaben gemacht um Ausf llen der Informationstechnik und Manipulationen vorzubeugen Im Jahr 2007 wurde die Konzeption des IT Sicherheitsmanagements beim Ministerium f r Landwirtschaft Umwelt und l ndliche R ume MLUR und dem beteiligten Dienstleister Dataport in zwei Datenschutz Audits berpr ft 30 TB Tz 9 1 1 Grundlage war dabei die IT Sicherheitsnorm ISO 27001 auf der Basis von IT Grundschutz Tz 9 1 1 Nun hat das Bundesamt f r Sicherheit in
21. Analytics Das w rde schlicht durch ein Blockieren des Script Downloads m glich sein Viel mehr teilt Google artig mit die Erweiterung teile dem JavaScript ga js von Google Analytics mit dass keine Informationen ber den Website Besuch an Google Analytics bermittelt werden sollen rgerlich ist weiterhin der Umstand dass die Browsererweiterung nur das Script ga js behandelt Google nutzt mit Analytics ein zweites lteres Script namens urchin js Webangebote die dieses Script auf ihren Seiten einbinden senden flei ig weiter Daten an Google egal ob der Nutzer die Opt Out Erweiterung installiert hat oder nicht Google sollte die Funktionsweise der Erweiterung ber denken Die Filterung muss auf alle Analytics Scripte ausgedehnt werden Nut zer sollten auf die Google Erweiterungen verzichten und stattdessen in ihrem Browser den Zugriff auf die Analytics Scripte mithilfe bew hrter Filtererweite rungen einrichten Das ULD gibt hierzu Hilfestellungen T tigkeitsbericht 2011 des ULD SH 145 10 2 146 Aus dem IT Labor https www datenschutzzentrum de tracking F r die Google Analytics nutzenden Webseitenanbieter sind die nderungen ohnehin keine L sungen da das Opt Out nicht den Anforderungen des Teleme diengesetzes gen gt Es gilt also weiterhin die Aussage dass die Nutzung dieses Analysewerkzeugs unzul ssig ist Was ist zu tun Googles Opt Out L sung ist inkonsequent und technisch mange
22. Aus Sicht des ULD w re eine Ausweitung auf eine zweit gige Schu lungsveranstaltung gern auch vor Ort w nschenswert um das n tige Daten schutzr stzeug vermitteln zu k nnen T tigkeitsbericht 2011 des ULD SH 67 68 4 7 5 Wissenschaft und Bildung Was ist zu tun Das Bildungsministerium sollte es dem IQSH erm glichen in Kooperation mit dem ULD den Schulleitungen Zweitagesveranstaltungen als Datenschutzfortbil dungen anzubieten Schulen brauchen ein einheitliches und nachhaltiges Datenschutzkonzept Eine gro e Anzahl von Schulen ist bez glich des Datenschutzes schlecht auf gestellt Durch den Einsatz schulischer Datenschutzbeauftragter kann eine Verbesserung erreicht werden An die Arbeit von Schulverwaltungen kann realistischerweise nicht derselbe strenge Ma stab wie bei normalen Verwaltungen angelegt werden Gefordert bleibt aber die Beachtung der datenschutzrechtlichen Vorgaben Trotz verst rkter Schulungsma nahmen etwa von Schulr ten und auf Schulleiterdienstversamm lungen stellt das ULD in den Schulen oft stark voneinander abweichende Prak tiken fest bei denen Datenschutzvorschriften verletzt werden Das Problem l sst sich teilweise dadurch beheben dass vom Bildungsministerium f r das Daten schutzkonzept Vorgaben gemacht werden Wir haben hierf r konkrete Vorschl ge erarbeitet und Hilfe bei der Umsetzung angeboten Zwei berufsbildende Schulen die jeweils einen schulischen Datenschutzbeauf t
23. Benachrichtigung in der Zukunft mit an Sicherheit grenzender Wahrscheinlichkeit nicht eintreten werden T tigkeitsbericht 2011 des ULD SH 43 44 4 3 4 3 1 4 3 2 Justizverwaltung Justizverwaltung Telefonieren im Strafvollzug noch nicht die letzte Fortsetzung Die M ngel beim Betrieb der Gefangenentelefonanlage im Strafvollzug konn ten im Berichtszeitraum nicht abgestellt werden Das ULD beanstandete den Betrieb der Anlage in einer Justizvollzugsanstalt und die Zusammenarbeit mit dem privaten Anbieter Die M ngel bei dem Einsatz der Gefangenentelefonanlage sind lange bekannt 32 TB Tz 4 3 5 31 TB Tz 4 3 2 F r die Abwicklung und die Abrechnung der Gespr che die Gefangene ber die Telefonanlage f hren setzt die Justizvollzugsanstalt einen externen Dienstleister ein der bundesweit solche Anlagen betreibt Dort werden s mtliche personenbe zogenen Daten ber die Gefangenen die f r sie freigeschalteten Rufnum mern sowie die Daten ber gef hrte Telefonate ohne Rechtsgrundlage gespei chert Die Datenverarbeitung durch den Dienstleister ist nur unzureichend vertrag lich geregelt und dokumentiert Die Justizvollzugsanstalt verf gt zudem faktisch ber keine Kontrollm glichkeiten sodass die Datenverarbeitung durch den Dienstleister ingesamt nicht ausreichend transparent ist Die Datenverarbeitung durch den externen Dienstleister sollte daher ge ndert und so ausgestaltet werden dass dort keine perso
24. Datenschutz in der Wirtschaft Einzelf lle Auskunfteien und Gewerbedaten Zur Beschaffung von nicht allgemein zug nglichen Gewerbedaten m ssen Auskunfteien bei den Gewerbe mtern ein rechtliches Interesse an deren Kenntnisnahme darlegen Das Standardformular einer Auskunftei zur Begr ndung des Datenbedarfs bei Gewerbe mtern enthielt folgende Formulierung Wir ben tigen die Angaben f r die Beurteilung eines Kreditvertrages bzw wegen Forderungseinzug Diese Formulierung hat einen doppelten Inhalt Die Beurteilung eines Kreditantrages bezieht sich auf die Erteilung einer Bonit tsauskunft beim Forderungseinzug geht es um die Erlangung der Kontaktdaten eines Schuldners zur Realisierung einer Forderung Gesetzlich gefordert ist aber ein rechtliches Interesse Dieses setzt eine konkrete Rechtsbeziehung zwischen Antragsteller und dem Gewerbetreibenden voraus Eine solche Beziehung besteht jedoch nicht ohne Weiteres zwischen Auskunftei und einem Gewerbetreibenden Kreditvertr ge schlie t ein Gewerbetreibender mit einer Bank nicht mit der Auskunftei Aus dem Standardformular ergibt sich nicht ob ein konkreter Kreditantrag des Gewerbetreibenden vorliegt oder nur eine blo e Konditionenanfrage Bei einer Konditionenanfrage besteht noch keine konkrete Rechtsbeziehung W rde die Auskunftei im Auftrag einer Bank t tig der ein konkreter Kreditantrag eines Gewerbetreibenden vorliegt w re eine Auskunft m glich F r den Fo
25. Datenschutz und Datensicher heit Den Verfechtern der Vorratsdatenspeicherung stehen sich politisch deren Gegner ebenso wenig kompromissbereit gegen ber Sie ignorieren dass insbesondere hinsichtlich Straftaten im Internet die IP Adresse oft der einzige Ermittlungs ansatz ist um einen T ter zu identifizieren Die IP Adresse ist aber beileibe nicht das sensibelste Datum das von der Speicherpflicht erfasst wird Die Notwendig keit anderer Verkehrsdaten z B der Standortangaben ist wenig begr ndet Sowohl der geforderte Umfang der auf Vorrat zu speichernden Daten als auch die Mindestspeicherdauer von sechs Monaten wurden bisher nicht auf ihre Erforder lichkeit und Verh ltnism igkeit hin berpr ft Die Speicherpflicht von TK Daten ist nicht die erste Ma nahme einer anlasslosen Vorratsdatenverarbeitung f r Zwecke der Strafverfolgung ohne dass eine wissen schaftliche Evaluation vorgenommen wurde Ebenso verh lt es sich bei der pr ventiven Erfassung von Mobilfunkanschl ssen und der Bereitstellung und Auswertung von Fluggast oder Finanztransaktionsdaten durch US Sicherheits beh rden 30 TB Tz 11 1 32 TB Tz 11 3 Ohne Evaluation unter Ber ck sichtigung aller relevanten Parameter ist eine Optimierung zwischen den Zielen der Strafverfolgung und des Grundrechtsschutzes nicht m glich In einer offenen Gesellschaft f hrt das Streben nach hundertprozentiger Sicherheit zum Tod aller Freiheit und nicht zum Erfolg Der Bundesb
26. Dieser solle protokolliert und zusammen mit der Nieder schrift ber den Inhalt der Einwohnerfragestunde ins Internet eingestellt werden Das ULD musste darauf hinweisen dass es f r die Ver ffentlichung der Namen der Fragesteller keine Rechtsgrundlage gibt Die Einwohnerfragestunde ist Teil der ffentlichen Sitzung der Gemeindevertretung Die Gemeindeordnung sieht eine Niederschrift ber jede Sitzung der Gemeindevertretung vor bei der auch die Namen der Teilnehmerinnen und Teilnehmer aufzuf hren sind Dies betrifft jedoch lediglich die Gemeindevertreter nicht die B rger als Fragesteller Das Landesdatenschutzgesetz scheidet als Rechtsgrundlage f r die Ver ffent lichung aus es fehlt bereits an deren Erforderlichkeit Es geht lediglich darum sicherzustellen dass als anfragende Personen nur Einwohner der jeweiligen Kommune Geh r finden Um dies zu gew hrleisten gen gt z B die Feststellung des Wohnsitzes durch Vorlage des Personalausweises Nach einer solchen Verifi kation ist keine weitere Datenverarbeitung mehr erforderlich Es kommt insbe sondere nicht darauf an wer konkret welche Fragen stellt Eine Erhebung und Ver ffentlichung der Namen von Fragen stellenden B rgern oder gar der Wohn anschrift im Internet ist daher nur zul ssig wenn die Betroffenen sich hiermit einverstanden erkl rt haben Das ULD hat gemeinsam mit dem Innenministerium eine pragmatische L sung gefunden In der Praxis sind die meisten Fragesteller mit ei
27. In Der zweite Ansatz zur Risikoanalyse orientiert sich am Vorgehen anderer ver gleichbarer Organisationen Arbeitet man in hnlichen Ausgangssituationen mit hnlichen Ger ten und Programmen so sind wahrscheinlich die Risiken und die zu treffenden Ma nahmen auch hnlich Der aufwendige Prozess der Risiko analyse vorab kann abgek rzt werden Man macht einfach das was alle anderen in derselben Situation auch machen Diese Vorgehensweise betont die Wirksam keit Die Wahrscheinlichkeit dass bei diesem Ansatz wesentliche Risiken berse hen werden ist deutlich geringer Gleichzeitig steigt jedoch die Wahrscheinlich keit dass man aufgrund einer fehlenden spezifischen Analyse auch unangemes sene Ma nahmen umsetzt und deutliche personelle und finanzielle Mehraufw nde in Kauf nimmt Bei besonders schutzbed rftigen Daten oder in ungew hnlichen Einsatzszenarien ist eine zus tzliche spezialisierte Risikoanalyse notwendig Dieses Vorgehen findet man in seinen Grundz gen in der Grundschutz Vorge hensweise des BSI wieder Weiterer Pr fungspunkt ist die Angemessenheit F r jede technische und organi satorische Ma nahme muss die Wirksamkeit berpr ft und nachgewiesen werden In unseren Beratungsprojekten stehen wir gemeinsam mit den Daten verarbeiten den Stellen immer wieder vor Sachverhalten zu denen es bei Kontrollen hei t Eigentlich soll das aber funktionieren Nur durch regelm ige und anlassbezogene Kontrollen der Datenv
28. Informationstechnik ist nicht nur eine Herausforderung f r die Freiheitsrechte sondern auch Ausl ser neuer Vertei lungsk mpfe und damit eine Herausforderung zur Wahrung der Gleichheitsrechte und zur Verhinderung von Diskriminierungen Auch insofern ist die Politik zur Problemanalyse und Gestaltung aufgerufen http www landtag ltsh de infothek wahl17 umdrucke 1600 umdruck 17 1645 pdf T tigkeitsbericht 2011 des ULD SH 1 1 Datenschutz in Schleswig Holstein LDSG Fortschritte sind n tig und m glich Das Landesdatenschutzgesetz muss ge ndert werden nachdem der Europ ische Gerichtshof festgestellt hat dass die deutschen Regelungen zur Daten schutzaufsicht mit europ ischem Recht nicht vereinbar sind Dies sollte Anlass sein eine General berholung des in die Jahre gekommenen Gesetzes vorzunehmen Als das neue Landesdatenschutzgesetz LDSG vor elf Jahren in Kraft trat war es unbestritten eines der modernsten und fortschrittlichsten allgemeinen Daten schutzregelungen Die Technikentwicklung und die Datenverarbeitungspraxis machen aber eine regelm ige Revision n tig Nachdem im M rz 2010 der Euro p ische Gerichtshof EuGH die Bundesrepublik Deutschland verurteilt hatte weil ihre Datenschutzaufsicht in den L ndern europarechtswidrig ist weil sie nicht unabh ngig genug ist war klar dass das LDSG ge ndert werden muss Die Europ ische Datenschutzrichtlinie sieht vor dass die Kontrollstellen f r den Datenschu
29. Landtag kann als Vorbild f r andere ffentliche Einrichtungen dienen die Zutrittssysteme und Video berwachung einsetzen Die M glichkeit einer Auditierung sollte jeweils gepr ft werden T tigkeitsbericht 2011 des ULD SH 21 22 4 1 4 1 1 Allgemeine Verwaltung Datenschutz in der Verwaltung Allgemeine Verwaltung Der neue Personalausweis ein Erfolgsmodell Der nPA ist da Ob dessen elektronischer Identit tsnachweis im Alltag ange nommen wird muss sich noch zeigen Die Perspektiven sind vielverspre chend der Aufwand insbesondere f r potenzielle Empf nger des Nachwei ses ist allerdings betr chtlich Das Verfahren der PIN Vergabe durch die Meldebeh rden ist noch nicht ausreichend abgesichert Den neuen Personalausweis nPA kann man als Quantensprung bezeich nen Neben anderen Neuerungen wird erstmalig die M glichkeit geschaffen sich gegen ber privaten wie ffent lichen Stellen ber das Internet online auszuweisen Auf dem Ausweischip kann die qualifizierte digitale Signa tur des Ausweisinhabers gespeichert werden Selbst der Erwerb dieser Signatur ist durch die eID jetzt online m glich Echte technische Sicherheitsl cken haben sich beim elektronischen Identit tsnachweis eID bis heute nicht aufgetan Allerdings setzt dessen sichere Nutzung eine gewisse Kenntnis der zugrunde liegenden Architektur sowie der notwendigen technischen Rahmenbedingungen voraus So empfiehlt sich die Verwendung e
30. Regelungen der Datenschutzverordnung Schule zum Umfang und zur L schung der von den Lehrkr ften mit Genehmigung verarbeiteten perso nenbezogenen Daten eingehalten werden Was ist zu tun Das Bildungsministerium sollte eine solche technische L sung fl chendeckend in den Schulen des Landes einf hren Schulleiterfortbildungen im Datenschutz weiterhin erforderlich Schulleiterfortbildungen des IQSH in Kooperation mit dem ULD sind aus Zeitgr nden nur begrenzt attraktiv Den Schulleiterinnen und Schulleitern kann trotz steigender Anforderungen nur Grundwissen vermittelt werden Schulleiterinnen und Schulleiter sind nach der Datenschutzverordnung Schule f r die ordnungsgem e und datenschutzkonforme Verarbeitung der personenbezo genen Daten der Sch lerinnen Sch ler und Eltern verantwortlich Es gibt eindeu tige Rechtsvorschriften im Schulgesetz und in der Datenschutzverordnung Schule Eingaben von Eltern und Anfragen von Schulleitungen weisen aber auf Wissens und Umsetzungsdefizite hin Das ULD und das IQSH als Fortbildungsinstitut f r die Lehrkr fte versuchen dauernd diese L cken teilweise aufzuf llen Allerdings konnten nur Kurse an zwei Nachmittagen angeboten werden weil f r die Schul leiterinnen und Schulleiter jede Stunde z hlt Bei diesen bis in die sp ten Abendstunden hineingehenden Kursen kann den Schulleitungen nur ein begrenzt ausreichendes Basiswissen zum Datenschutz und dessen Umsetzung vermittelt werden
31. Schu len getroffen ob und wenn ja welche Angebote wie verwendet werden d rfen Das ULD wird zunehmend von Schulleitungen wegen der Einhaltung des Daten schutzes befragt zumeist aber erst wenn diese Plattformen bereits genutzt werden Wegen der Komplexit t und der Unterschiedlichkeit der Anwendun gen k nnen keine einheitlichen Aussagen getroffen werden Jedes Produkt muss separat auf den Datenschutz hin gepr ft werden Diese Pr fung erfolgt in der Regel nicht wie es n tig w re durch die Schulleitungen Datenschutzverst e sind so vorprogrammiert Was ist zu tun Das Bildungsministerium sollte zeitnah Regelungen f r den Einsatz solcher Plattformen treffen Das ULD ist bereit f r den Einsatz in Schulen vom Bildungsministerium freigegebene Anwendungen verbindlich zu pr fen LanBSH und geplanter USB Stick erh hen Datensicherheit Die Einf hrung des Landesnetzes Bildung Schleswig Holstein bringt durch eine standardisierte IT Konzeption Arbeitserleichterungen f r die Schulver waltungen und erh ht das Sicherheitsniveau Solche technischen Konzepte fehlen jedoch noch bei der Verarbeitung von Sch lerdaten durch die Lehr kr fte Die Lehrkr fte sind oft gezwungen personenbezogene Daten ihrer Sch lerinnen und Sch ler im h uslichen Bereich mithilfe privater Rechner zu verarbeiten Automatisierte Zeugniserstellungen setzen den Einsatz elektronischer Datenver arbeitung EDV voraus Lehrer EDV Arbeitspl tze in der Schule fehl
32. Sicherheit von Webanwendungen erg nzt worden die insoweit typische Themen wie SQL Injection und Cross Site Scripting XSS betreffen Was ist zu tun Der Kriterienkatalog ist kontinuierlich weiterzuentwickeln und an Rechts nde rungen sowie alle wesentlichen Neuerungen der Technik anzupassen Fachinformationen f r EuroPriSe Gutachter und Antragsteller Das ULD hat neue Dokumente f r EuroPriSe Gutachter und Antragsteller erstellt u a ein Positionspapier zur Zertifizierbarkeit von Online Diensten zur Einblendung verhaltensbasierter Werbung und eine Dokumentvorlage zu Anforderungen an die Dokumentation eines Zertifizierungsgegenstands Gro e Nachfrage nach EuroPriSe Zertifizierungen besteht im Bereich der verhal tensbasierten Werbung im Internet dem Behavioural Advertising Die nde rung der EU Datenschutzrichtlinie f r elektronische Kommunikation zur Ver wendung sogenannter Cookies Tz 9 3 1 hat f r die EuroPriSe Zertifizierung von Online Behavioural Advertising Diensten Bedeutung da diese solche Cookies verwenden ber die Auslegung der neuen Vorschrift besteht allerdings gro e Rechtsunsicherheit Deshalb hat das ULD f r EuroPriSe in einem umfas senden Positionspapier hierzu Stellung bezogen und die gegenw rtig geltenden T tigkeitsbericht 2011 des ULD SH 137 9 3 3 138 Audit und G tesiegel Voraussetzungen f r eine Zertifizierung solcher Dienste aufgelistet Eine deutsch sprachige Kurzfassung dieser
33. Staat oder das Hoffen auf die selbstheilenden Kr fte des ungeregelten Marktes Viel mehr ist die Ambivalenz der modernen Informationstechnik fest im ffentlichen und politischen Bewusstsein verankert einerseits als Tor zu neuen Freiheiten bei der Information der Kommunikation der Freizeitgestaltung dem politischen Engagement und der beruflichen und wirtschaftlichen Bet tigung andererseits als Abgrund f r neue Formen der Kriminalit t der Pers nlichkeitsverletzungen der Manipulation und Diskriminierung der Unterdr ckung und gar der Kriegsf h rung Diese Ambivalenz erlaubt keine einfachen und schnellen Antworten sondern verlangt nach qualifizierten L sungen Die Probleme der hoch technisier ten Informationsgesellschaft lassen sich nicht mit symbolischen Ma nahmen l sen sondern nur unter Mobilisierung der Technik selbst einer freiheitlichen Kultur organisatorischen Vorkehrungen und auch neuen rechtlichen Regelun gen Hier sehen der Datenschutz allgemein und das Unabh ngige Landeszentrum f r Datenschutz ULD ihre Aufgabe und Legitimation angesichts des rasanten tech nischen Fortschritts und der un bersichtlicher werdenden Informationswelt unter Wahrung der demokratischen und freiheitlichen Werte die Probleme zu analysie ren und technische organisatorische und rechtliche L sungen zu suchen zu finden und umzusetzen Dabei dringt einem t glich ins Bewusstsein dass bei allen technischen organisatorischen und recht
34. Trennung von Gemeinschaftspraxen ist eine Datenduplizierung zu vermeiden und fr hestm glich durch eine L schung oder Sperrung der Daten aufzuheben Idealerweise werden Akten schon mit Aufnahme der T tigkeit nach rzten getrennt gef hrt Gesichtsfoto von Patienten f r Patientenakte bedarf der Einwilligung Eine Arztpraxis fotografierte ohne wirksame Einwilligung der Patienten das Gesicht f r die Patientenakte Verheimlichungsversuche des Arztes gaben Ansto zu Spekulationen ber die Verwendung der Fotos Ein Patient ersp hte sein Gesichtsbild auf dem Bildschirm des Systems der Fach arztpraxis f r Urologie und Geschlechtskrankheiten Die Verheimlichungsstrate gie des Arztes sch rte offensichtlich das Misstrauen der Betroffenen und Speku T tigkeitsbericht 2011 des ULD SH 4 6 6 Schutz des Patientengeheimnisses lationen ber die Verwendung Wurden gar heimliche Fotos bei der Behandlung gemacht Die Betroffenen wurden nur teilweise auf die Anfertigung der Fotos hingewiesen Eine richtige Aufkl rung fehlte Der Arzt rechtfertigte die Bilder damit er k nne sich beispielsweise bei telefoni schen R ckfragen besser an die einzelnen F lle erinnern Dies ist nachvollziehbar liegt es doch auch im Interesse der Patienten dem Ged chtnis des Arztes auf die Spr nge zu helfen Die Einbindung von Fotos in die Behandlungsakte kann zudem den Umgang mit den Daten der Patienten verbessern die im Wartezimmer direkt und ohne Nennung
35. Valid 2010 08 T tigkeitsbericht 2011 des ULD SH 135 9 3 1 136 Audit und G tesiegel In dem durch die Europ ische Kommission gef rderten Projekt European Privacy Seal EuroPriSe wurden die Grundlagen f r das europ ische Daten schutz G tesiegel geschaffen 32 TB Tz 8 9 Seitdem wurde das EuroPriSe Angebot kontinuierlich weiterentwickelt Schwerpunkte lagen 2010 auf einer ver besserten Kontrolle der verliehenen Siegel durch die Einf hrung eines verbindli chen Monitorings von IT basierten Dienstleistungen und auf einer Verbesserung des Rezertifizierungsverfahrens durch eine kontinuierliche Betreuung durch das sogenannte Update Verfahren Tz 9 3 3 Die erfreulich hohe Nachfrage nach EuroPriSe Zertifizierungen von Unterneh men aus ganz Europa aber auch den USA und S damerika zeigt die Anerkennung unserer erarbeiteten datenschutzrechtlichen Grunds tze und Verfahren ber die Landesgrenze hinaus Europ ische Datenschutzstandards best tigt durch eine unabh ngige Zertifizierungsstelle sind internationales Qualit tsmerkmal und Wettbewerbsfaktor in der globalen Informationsgesellschaft Die Zertifizierung des E Mail Dienstes Certified Privnote der Firma Insophia mit Sitz in S dame rika macht dies anschaulich Die Zertifizierungen im Bereich der verhaltensbasierten Werbung Online Beha vioural Advertising OBA zeigen wie Zertifizierungen nachhaltig den internatio nalen Markt beeinflussen k nnen Das EuroP
36. Verf gung http www primelife eu results opensource Was ist zu tun PrimeLife stellt mit seinen Prototypen unter Beweis dass in heutigen Anwen dungen mehr Datenschutzfunktionalit t machbar ist Anbieter von Internet diensten sollten pr fen inwieweit sie mit PrimeLife Tools oder eigenen Ent wicklungen mehr Datenschutz in ihren Anwendungen realisieren k nnen T tigkeitsbericht 2011 des ULD SH 8 2 Modellprojekte und Studien ABC4Trust Pilot f r eine vertrauensw rdige digitale Identifikation Seit November 2010 l uft das von der Europ ischen Union f r vier Jahre gef rderte Projekt ABC4Trust Attribute Based Credentials for Trust Ziel ist die praktische Erprobung von datensparsamen Berechtigungsnach weisen in der digitalen Welt Das gesetzlich festgeschriebene Gebot zur Datensparsamkeit ist in der Praxis manchmal schwer umzusetzen wenn zugleich ein Mindestma an Sicherheit erforderlich ist Beispielsweise enthalten die zur Legitimation eines Kunden verwendeten Dokumente zumeist mehr Daten als f r den konkreten Zweck preis gegeben werden m ssten So erf hrt ein H ndler bei Vorlage einer Studien bescheinigung neben der Eigenschaft Person ist Student oft auch Name Adresse Geburtsdatum und Studienfach als quasi aufgedr ngte Informationen Besteht bei einem Ausweis in Papierform noch die M glichkeit einzelne Felder beim Kopieren zu schw rzen oder beim Vorzeigen abzudecken ist dies online mit v
37. Weitere Informationen f r Sachverst ndige befinden sich im Internet unter https www datenschutzzentrum de guetesiegel akkreditierung htm Was ist zu tun Die Sachverst ndigen stellen einen wichtigen Faktor dar um bei Herstellern Interesse f r das G tesiegel zu wecken Ihr Antrieb neue Produkte f r das G tesiegelverfahren zu gewinnen ist daher zu unterst tzen Kriterienkatalog De Mail Im Auftrag des Bundesministeriums des Innern hat das ULD einen Daten schutz Kriterienkatalog f r De Mail entwickelt Dabei konnten unsere Erfahrungen mit dem Anforderungs katalog f r Datenschutz G tesiegel genutzt werden Anbieter von De Mail Diensten m s sen den Nachweis erbringen dass sie bei Gestaltung und Betrieb der De Mail Dienste die datenschutzrecht lichen Anforderungen erf llen Der aktuelle Entwurf eines De Mail Geset zes macht Vorgaben f r die daten schutzgerechte Ausgestaltung der De Mail Dienste Diese betreffen u a Account Er ffnung Postfach und Ver sanddienst Identit tsbest tigungsdienst Verzeichnisdienst Dokumentenablage Ausk nfte Protollierung und L schung von Daten Daneben gelten erg nzend die allgemeinen Datenschutzvorgaben gt De Mail J wurde zun chst unter dem Begriff B rgerportale entwickelt und soll eine verbindliche Kommunikation ber das Internet erm glichen Sicherheit Vertraulichkeit und Nach weisbarkeit sollen gew hrleistet sein sodass insbesondere im Ges
38. aufgenommen Neben der ISO haben weitere Standardisierungsorganisationen das Potenzial der Datenschutzstandardisierung erkannt So gibt es u a im Internet Architec ture Board einer gemeinsamen Struktur des World Wide Web Consortiums W3C und der Internet Engineering Task Force IETF erste Versuche dem Datenschutz einen h heren Stellenwert einzur umen Auch in diesen Organisatio nen die sich durch hohe Relevanz f r die Entwicklung von Standards f r das Internet auszeichnen wirkt das ULD gelegentlich mit und l sst eigene Initiativen einflie en Ergebnisse der Forschungsarbeiten des ULD die im vergangenen Jahr diskutiert wurden sind ein Basisterminologiedokument zur Begriffswelt der Datenminimierung und der Vorschlag Privicons zu grafischen Symbolen Icons mit deren Hilfe ein Absender einer E Mail gegen ber den Empf ngern den gew nschten Umgang mit der Nachricht in Bezug auf Geheimhaltung Weitergabe oder hnliches ausdr cken kann Was ist zu tun Internationale Standards bieten ein hohes Potenzial f r einen Datenschutz durch Technik der Datenschutzrisiken schon bei der Entwicklung technischer Systeme minimiert Daher sollten Datenschutzexperten bei der Erarbeitung der Standards mitwirken Die Arbeit an diesen Standards sollte so organisiert werden dass eine effektive Beteiligung von Datenschutzexperten trotz knapper personeller Kapazit ten in den Beh rden m glich ist T tigkeitsbericht 2011 des ULD
39. berwachung ffentlicher Pl tze Zur Reduzierung von Gefahren und Straftaten an Kriminalit tsbrennpunk ten setzen immer mehr St dte und Gemeinden auf Video berwachung Das Landesverwaltungsgesetz erlaubt die Video berwachung ffentlicher Pl tze wenn es sich um Kriminalit ts oder Gefahrenschwerpunkte handelt und Tatsachen die Annahme rechtferti gen dass auch in Zukunft dort Sch den Im Wortlaut 184 Abs 2 LVwG Allgemein zug ngliche Fl chen und R ume d rfen mittels Bild bertra gung beobachtet werden soweit dies zur Aufgabenerf llung nach 162 f r Leib Leben oder Freiheit oder gleichgewichtige Sch den f r andere Rechtsg ter zu erwarten sind Die Ma nahme ist auf sechs Monate zu befristen Angefertigte Aufnahmen sind nach sp testens einem Monat zu l schen Von dieser Regelung wird in Schleswig Holstein im Einzelfall Ge brauch gemacht einige Kommunen erw gen den Einsatz von Video ber wachung und baten das ULD um Bera tung Sie arbeiten dabei oftmals eng mit der Polizei zusammen Verant wortlich f r die Beschaffung die Ein richtung und den Betrieb der Anlage ist zumeist die kommunale Ordnungsbe h rde Die Bilder der Kamera werden regelm ig an die Polizei bertragen erforderlich ist Der offene Einsatz technischer Mittel zur Anfertigung von Bildaufnahmen oder Bildauf zeichnungen in und an allgemein zu g nglichen Fl chen und R umen die Kriminalit ts oder Gefahrenschwer punkte
40. burg 2008 Berlin und Wien beide 2009 mit regem internationalem Zuspruch 32 TB Tz 8 8 fand die letzte im Rahmen des gef rderten Projektes abgehaltene Veranstaltung in Oxford mit 61 Teilnehmern aus 15 L ndern statt Vertreten waren die Organisa tionen W3C der Europ ische Verbraucherverband beuc die Universit ten Frankfurt und Leipzig Nokia Siemens HP die Datenschutzbeh rde aus Litauen sowie Teilnehmer aus den Vereinigten Staaten und Japan Schwerpunkte bei den 30 Vortr gen in Oxford waren die Erh hung des Datenschutzbewusstseins und M glichkeiten der besseren Sichtbarmachung von datenschutzrelevanten Aspek ten bei der Online Nutzung ber Datenschutzsymbole sogenannte Privicons die berwachung und Verfolgung also das Tracking von Online Aktivit ten durch den Staat oder private Unternehmen z B beim digitalen Fernsehen durch Google Street View in sozialen Netzwerken und die Steuerung im h uslichen Bereich z B durch RFID Als Resultat der Konferenzreihe wurde ein Open Space Leitfaden erstellt der die in dem Projekt gesammelten Erfahrungen f r die Organisation zuk nftiger Konferenzen zur Verf gung stellen soll Die Konferenzen erwiesen sich als Motor f r die Zusammenarbeit der Akteure bei der Weiterentwicklung des technischen und rechtlichen Datenschutzes Es wird angestrebt die aufgebauten Kontakte ber eine projektbezogene Zusammenarbeit fortzuf hren und den Open Space Ansatz bei zuk nftigen Veranstalt
41. dass keine echte Datenverarbeitung im Auftrag vorliegt Bei einer solchen bleiben n mlich die letzte Verantwortung und die Einflussm glichkeiten auf die Verarbeitung bei den Auftraggebern hier also bei den Haus rzten Diese m ssten die M glichkeit haben zu bestimmen in welcher Art und Weise ihre sensiblen Arztgeheimnisse verarbeitet werden Dies ist aber im Vertrag nicht vorgesehen Am augenf lligsten ist dabei eine technische Besonderheit der Einsatz des sogenannten gekapselten Kerns Dieser nach der Herstellerfirma Inter Component Ware auch als ICW Kern bezeichnet ist ein Softwaremodul welches die Hersteller der Praxisverwaltungssysteme in ihre Software einbauen m ssen Dabei kann der Arzt selbst nicht feststellen welche Funktionen genau der gekapselte Kern wie erf llt Dieser hat keine eigene Oberfl che zur Interaktion mit dem Arzt Die Hersteller der Praxisverwaltungs systeme sind vertraglich zum Stillschweigen dar ber verpflichtet wie die Schnitt stelle zwischen Praxisverwaltungssystem und gekapseltem Kern genau ausgestal tet ist Die Hersteller der Praxisverwaltungssysteme m ssen sich sogar verpflich ten es zu unterlassen den gekapselten Kern im Wege des Reverse Engineering zu untersuchen um seine Funktionsweise zu ergr nden Aus Informatiksicht handelt es sich um eine Blackbox lediglich die Personen die das Softwaremodul programmiert haben kennen seine genaue Funktionsweise Die zur Abrechnung verwendeten Daten werden v
42. datenschutzgerechte Cloud Computing Infrastruk tur entwickelt werden soll Das Projekt startete im Oktober 2010 und wird f r die Dauer von drei Jahren von der Europ ischen Union gef rdert Cloud Computing l sst sich berset zen mit Datenverarbeitung in der Wolke Diese Wolke beschreibt eine f r die Anwender fremde zumeist uneinsehbare informationstechnische Infrastruktur in die sie eigene Daten verarbeitungsprozesse ber das Internet auslagern k nnen Die Nutzung dieser fremden Ressourcen erlaubt es nach der tats chlichen Nutzung von Rechen leistung und zeit abzurechnen und somit Kosten f r das Bereithalten und die Pflege einer eigenen technischen Infrastruktur einzusparen Cloud Computing wird bereits von zahlreichen Firmen genutzt um ganze Arbeitsprozesse in die Cloud auszula gern oder um Bedarfsspitzen abzu 2 Cloud Computing Cloud Computing Infrastrukturen sind ein Angebot von bedarfsgerechten informationstechnischen Dienstleistun gen die ber das Internet in Form von Speicher oder Rechenleistung Entwicklungsumgebungen Anwen dungssoftware oder sogar vollst ndi gen Arbeitsumgebungen bereitgestellt werden Die Daten der Anwender werden hierbei nicht lokal im eigenen Verf gungsbereich gespeichert und verarbeitet sondern in einer soge nannten Datenwolke auf die die Anwender ber das Internet zugreifen F r die Anwender bleibt dabei unklar was genau mit ihren Daten geschie
43. den Tracking Dienst unter bindet Die von Google pr sentierte L sung stellt sich bei n herer Betrach tung allerdings als h chstens halbher zig heraus Google beschr nkt seine Erweiterung Funktionsweise von e Google Analytics Webseitenbetreiber k nnen den Pro grammcode von Google Analytics einfach in ihre Webseite integrieren Wird die Seite aufgerufen wird der Browser des Besuchers von der Seite angewiesen zus tzlich ein Programm ein sogenanntes Script vom Google Server herunterzuladen und auszuf h ren Dieses Programm f hrt auf dem Rechner des Nutzers eine kurze Ana lyse durch und schickt die gewonne nen Informationen an Google zur ck auf die Browser Firefox Chrome und Internet Explorer Damit ist zwar der gr te Teil des Marktes abgedeckt Wenig verbreitete Browser wie Opera oder Safari werden jedoch ausgespart ebenso die Vielzahl mobiler Browser auf Smartphones Die Installation der Erweiterung gestaltet sich einfach ohne Einstellungen oder Aktivierungen Einmal installiert verhindert die Erweiterung dass das Analytics Script Daten an Google sendet rgerlich ist dass das Script selbst von Googles Servern heruntergeladen wird sodass doch zumindest die Information dass eine Seite besucht wurde an Google bermittelt wird Die aufmerksame Lekt re der Download Seite der Erweiterung macht klar wie feinsinnig Google seine Form von Opt Out definiert Es geht nicht um ein Opt Out aus Google
44. der Informationstechnik BSI die Umsetzung dieser Konzeption zertifiziert 32 TB Tz 9 2 4 Damit ist das MLUR zu j hrlichen berpr fungen durch einen anerkannten BSI Auditor im Rahmen von sogenannten berwachungsaudits verpflichtet um einen hohen IT Sicherheitsstandard innerhalb der dreij hrigen G ltigkeitsdauer des Zertifikats nachzuweisen Dabei wird berpr ft ob das IT Sicherheitsmanagement weiterhin wirksam ist und ob nderungen an den IT Systemen oder der Organisation so erfolgen dass die IT Sicherheit weiterhin gew hrleistet ist Das erste berwa chungsaudit wurde erfolgreich abgeschlossen Was ist zu tun Das MLUR plant das IT Sicherheitsmanagement auf weitere Bereiche auszu dehnen Die Weiterverwendung von Konzepten erlaubt das Heben des Sicher heitsniveaus auf rationelle Art Ausreichende Ressourcen sind n tig um den erreichten Sicherheitsstandard dauerhaft zu gew hrleisten Zensus 2011 Das Statistikamt Nord beauftragte das ULD mit einer kritischen Analyse der IT Sicherheit f r die Datenverarbeitung des Zensus 2011 und mit der bera tenden Unterst tzung bei der Festlegung von organisatorischen und techni schen Sicherheitsma nahmen Die Europ ische Union EU hat f r das Jahr 2011 eine gemeinschaftsweite Volks Geb ude und Wohnungsz hlung den Zensus 2011 angeordnet Dabei wird in Deutschland ein neues Verfahren eingef hrt das sich grundlegend von traditionellen Volksz hlungen unterscheidet
45. die aktive Zertifizierungsarbeit an Dazu wurde ein Trainingsworkshop mit einer nationalen Datenschutzbeh rde durchgef hrt In einigen L ndern steht eine fehlende explizite gesetzliche Erlaub nis einer aktiven Einbindung der Datenschutzbeh rden als Zertifizierungsstellen entgegen Auch auf europ ischer Ebene w re eine ausdr ckliche Nennung der Aufgabe freiwillige Pr fungen durchzuf hren f rderlich Wir haben die Europ ische Kommission darauf hingewiesen dass eine solche Regelung im Rahmen der derzeit erfolgenden berarbeitung der Europ ischen Datenschutzrichtlinie geschaffen werden k nnte EuroPriSe ist von Anbeginn als Basis f r eine Baukastenzertifizierung und als Initiative europ ischer Datenschutzbeh rden konzipiert Die berpr fung eines Produktes oder einer Dienstleistung auf der Grundlage der harmonisierenden EU Regelungen durch eine unabh ngige Datenschutzbeh rde sichert weitgehend auch die Vereinbarkeit mit nationalem Datenschutzrecht das insbesondere in sektorspezifischen Bereichen wie z B dem Schul oder dem Medizinrecht erg nzende Regelungen vorsehen kann Eine auf EuroPriSe aufbauende Zertifi zierung mit nationalen Siegeln wie z B dem schleswig holsteinischen G te siegel Tz 9 2 kann als sogenanntes Add on ohne gro en Mehraufwand realisiert werden Da EuroPriSe als Vorbild f r andere nationale Zertifizierungs systeme z B in Frankreich 32 TB Tz 9 4 6 und aktuell in Spanien dient sind w
46. er Aah m glicht es den Nutzern unter ra ihren Profilen mehrere Teiliden tit ten anzulegen und jeweils zu b W bestimmen wer auf die Daten Zugriff hat seien es Freunde a Z Familie Arbeitskollegen oder fs Gesch ftskontakte Da aller der Betreiber des sozialen Netz werks in seiner zentralen Sicht den sozialen Graphen d h wer mit wem in welcher Beziehung steht ermitteln kann wird zus tzlich an dezentralen L sungen gearbeitet bkd Bereits jetzt einsetzbar ist die Browsererweiterung Scramble mit der sich Inhalte in sozialen Netzwerken ver und entschl sseln lassen Nur wer im Besitz des passenden Schl ssels ist sieht dann Klartext in den Profilfeldern einer Person Ebenso k nnen Nachrichten verschl sselt und digital signiert werden N tzlich f r jedes Surfen im Internet ist das ebenfalls als Browsererweiterung realisierte Privacy Dashboard von PrimeLife Damit k nnen Nutzer nachvoll ziehen welche ihrer Nutzungsdaten vom Webseitenanbieter oder Dritten gesam melt werden z B ber verschiedene Arten von Cookies und den Umgang mit Cookies oder das Ausf hren von Scripts auf einfache Weise konfigurieren Auf diese Weise kann der Nutzer ungewollter Profilbildung oder Aufzeichnung des Nutzungsverhaltens entgegenwirken und zugleich die M glichkeiten der Verkett barkeit verringern Diese und weitere PrimeLife Tools stehen als Open Source Software zum Download auf der Webseite des Projekts zur
47. erhalb von Wohnungen F r die Online Durchsuchung sowie die Tele kommunikations berwachung sind die Schutzvorkehrungen unzureichend da berwachungsma nahmen nur dann unterbleiben m ssen wenn durch sie voraussichtlich allein Inhalte aus dem Kernbereich erlangt werden Bei der Wohnraum berwachung werden in Zweifelsf llen automatische Aufzeichnun gen zugelassen das sogenannte Richterband Dies gen gt unseres Erachtens nicht den verfassungsgerichtlichen Anforderungen zum Kernbereichsschutz bei Wohnraum berwachungen e Das Gesetz r umt dem BKA umfangreiche Befugnisse im Vorfeld von Gefah ren ein ohne die Kriterien f r ein Einschreiten in diesem Bereich mit der gebotenen Genauigkeit zu benennen e Das Gesetz bezieht in zu weitem Umfang sogenannte Kontakt und Begleit personen ein gegen die Ma nahmen ergriffen werden d rfen Die Kriterien hierf r sind nicht immer ausreichend bestimmt e F r einige schwerwiegende Eingriffe fehlt der gebotene Richtervorbehalt so z B f r l ngerfristige Observationen oder akustische und optische berwa chungen au erhalb von Wohnungen e Die Benachrichtigungspflichten gen gen nicht den verfassungsrechtlichen Anforderungen soweit Benachrichtigungen zur ckgestellt werden k nnen um den weiteren Einsatz eines verdeckten Ermittlers oder einer Vertrauensperson nicht zu gef hrden Gleiches gilt f r die M glichkeit von einer Benachrichti gung ganz abzusehen wenn die Voraussetzungen f r eine
48. erste Vorstellungen zur Stiftung formuliert und unsere Unterst tzung angeboten Die R ckmeldung der Justizministerin war grunds tzlich positiv Sie stimmte damit berein dass die Stiftung unabh ngig sein m sse signalisierte aber ebenso wie der Innenminister dass die berlegun gen noch in einem fr hen Stadium stecken 32 TB Tz 9 1 Die Grundidee der Stiftung Datenschutz ist bestechend Statt wie bei Daten schutzkontrollen Datenschutzverst en repressiv hinterherzulaufen soll Daten schutz pr ventiv implementiert und zu einem Wettbewerbsfaktor gemacht werden Hierf r bedarf es Transparenz Kompetenz und Unabh ngigkeit Dass dies rechtlich nicht gew hrleistet wurde war der Grund f r das Scheitern des ersten Entwurfes eines Auditgesetzes der alten Bundesregierung 31 TB Tz 9 1 Der Bedarf insbesondere an einer unabh ngigen qualifizierten Zertifizierung erweist sich derzeit an allen Ecken und Enden personenbezogener Datenverar beitung bei den De Mail Diensten Tz 9 2 3 ebenso wie bei sensiblen Internet angeboten wie Bewertungsportalen Tz 4 6 9 sozialen Netzwerken oder Auswertern f r Zwecke der zielgerichteten Internetwerbung bei komplexen Forschungsdatenbanken ebenso wie bei Angeboten des E Government Die tech nischen und rechtlichen Datenschutzanforderungen an vertrauensw rdige Infor mationstechnik sind derart hoch und komplex dass weder die B rgerinnen und B rger als Nutzende oder Betroffene noch viele A
49. es nach wie vor allen relevanten Zertifizierungskriterien gen gt Werden solche soge T tigkeitsbericht 2011 des ULD SH 9 3 4 Audit und G tesiegel nannten Update Checks durchgef hrt ersetzen diese sowohl das f r IT basierte Dienstleistungen obligatorische Monitoring als auch die Durchf hrung eines ver einfachten Rezertifizierungsverfahrens Im Anschluss an die Zertifizierung sind alle sechs Monate von den Gutachtern angefertigte sogenannte Update Check Reports bei der Zertifizierungsstelle einzureichen Bescheinigen die Gutachter dem IT Produkt bzw der Dienstleistung fortdauernde Compliance mit den Euro PriSe Zertifizierungskriterien und hat die Zertifizierungsstelle insoweit keine Einw nde so stellt sie nach berpr fung des letzten nach 24 Monaten einzurei chenden Reports eine Rezertifizierungsurkunde aus Die G ltigkeit des Euro PriSe Zertifikats verl ngert sich dann um weitere zwei Jahre Zulassung von Gutachtern Als EuroPriSe Gutachter d rfen nur Datenschutzexperten t tig werden die das strenge EuroPriSe Akkreditierungsverfahren erfolgreich durchlaufen haben Zugelassen sind inzwischen mehr als 110 Sachverst ndige aus vier zehn L ndern Die Evaluierung der zu zertifizierenden IT Produkte und Dienstleistungen wird bei EuroPriSe durch akkreditierte Gutachter vorgenommen Gutachter k nnen f r den Bereich Recht und den Bereich Technik akkreditiert werden Bei Nachweis der n tigen Fachkunde ist eine Doppelzula
50. gleicherma en Kundinnen und Kunden sowie die Angestellten erfassten Letztere waren so einer dauerhaften Kontrolle ausgesetzt Der Inhaber einer Friseurkette installierte Videokameras Damit sollten Einbr che und Diebst hle verhindert werden Die Video berwachung wurde zudem zur Kontrolle des Verhaltens der Mitarbeiter in den verschiedenen Filialen genutzt So konnte per Anruf aus der Zentrale die Anweisung erteilt werden freundlicher zu l cheln oder sparsamer zu shampoonieren Die Mitarbeiter konnten sich w hrend der Arbeitszeit der Erfassung praktisch nicht entziehen Die Rundum kameras erfassten den ganzen Salon Eine l ckenlose Dauer berwachung stellt einen absolut unzul ssigen schweren Eingriff in das Pers nlichkeitsrecht der Mitarbeiter dar Das ULD beanstandete diese dauerhafte Mitarbeiter ber wachung und verlangte den Abbau der Kameras Betroffen waren auch die Kunden Diese unterlagen zwar keiner Dauer ber wachung aber es bestand auch insofern keine Erforderlichkeit Zur Verhinderung von Diebstahl waren mildere Mittel denkbar So konnten teure Produkte in abschlie baren Vitrinen aufbewahrt werden auf die nur ein ausgew hlter Mitar beiter Zugriff hat Die Friseurkette baute die Videokameras ab Was ist zu tun Video berwachung ist insbesondere im Besch ftigtenbereich kritisch zu hinter fragen Mitarbeiter d rfen keiner Dauer berwachung ausgesetzt werden T tigkeitsbericht 2011 des ULD SH Datenschutz in der
51. holsteinische Unternehmen m ssen gegen ber dem ULD genaue Ausk nfte zu den von ihnen durchgef hrten Datenverarbeitungsverfahren geben k nnen Bedienen sich Unternehmen Verfahren anderer Stellen m ssen sie auch dar ber genaue Ausk nfte erteilen k nnen ELV unwirksame Kassenbon Einwilligungen Die langen Kassenzettel beim Zahlen im Elektronischen Lastschriftverfahren in Superm rkten und Tankstellen gerieten ins Visier der Datenschutzbeh r den Es wurde nachgefragt was mit den Zahlungsdaten der Kunden passiert Handelsunternehmen in Schleswig Holstein setzen das sogenannte Elektronische Lastschriftverfahren ELV ein wenn Kunden an der Kasse per EC Karte zahlen Dabei unterschreibt der Kunde auf dem Kassenbon mit einer Einzugs erm chtigung dass der Betrag von seinem Konto abgebucht werden darf Zudem befreit er seine Bank vom Bankgeheimnis falls die Lastschrift platzt dann ist von einer R cklastschrift die Rede Dies passiert z B wenn das Konto nicht aus reichend gedeckt war Die Bank darf dann die Adresse des Kunden an den Supermarkt weitergeben damit dieser die offene Forderung eintreiben kann T tigkeitsbericht 2011 des ULD SH 81 82 Datenschutz in der Wirtschaft Mit der Zeit wurden die Klauseln auf den Kassenzetteln immer l nger was Verbraucher und Datensch tzer veranlasste sie genauer unter die Lupe zu nehmen Schon l nger ist bekannt dass einzelne H ndler eigene schlechte Zah lungserfahrungen
52. ist Dies ber cksichtigt das von den rztekammern entwickelte und von den Datenschutzaufsichtsbeh r den akzeptierte 2 Schrank Modell Dabei bernimmt der Erwerber Kunden daten zwar ohne deren Einwilligung verwahrt diese jedoch getrennt von seinem eigenen Datenbestand in einem zweiten Schrank Wenn ein Kunde tats chlich bei ihm vorspricht k nnen dessen Daten genutzt werden Die Daten jener Kun den die in einer zu bestimmenden Frist nicht beim Erwerber vorsprechen werden gel scht ohne dass sie der Erwerber zur Kenntnis nimmt Wir haben den Optiker der die Daten erworben hat aufgefordert entsprechend zu verfahren und darauf hingewiesen dass eine Nutzung der gesperrten Daten ohne die Einwilligung der Betroffenen eine Ordnungswidrigkeit darstellt T tigkeitsbericht 2011 des ULD SH 63 64 4 6 9 Schutz des Patientengeheimnisses Was ist zu tun Die Ver u erung von Kundendaten eines Augenoptikers bedarf der Einwilli gung der Betroffenen Fehlt diese so ist bei der bergabe der Kundendaten das 2 Schrank Modell zu praktizieren Eine Verarbeitung dieser Daten des Alt kundenschranks ist erst m glich wenn der Kunde beim Erwerber vorspricht und hierdurch seine Einwilligung erkl rt AOK Arztnavigator Teufelswerk oder vorbildliches Bewertungsportal Internetportale zur Bewertung beruflicher Leistungen bergen erhebliche Risiken f r den Datenschutz Sie sind aber nicht grunds tzlich verboten Es kommt d
53. kein direktes Log in mit dem anonymen Administrationskonto e regelm iger Wechsel des Passwortes des anonymen Administrationskontos e das Verwenden eines komplexen und langen mehr als 12stelligen Passwortes sowie e die restriktive Vergabe der sudo bzw Ausf hren als Berechtigung ber eine Protokollierung muss feststellbar sein wer zu welchem Zeitpunkt das anonyme Administrationskonto genutzt hat und welche Programme bzw T tig keiten ausgef hrt wurden Nur unter dieser Ma gabe ist von einer pseudonymi sierten Wahrnehmung der administrativen Rechte auszugehen da die admi nistrativen T tigkeiten im Nachgang dem personalisierten Benutzerkonto des Administrators zugeordnet werden k nnen Grunds tzlich darf nach der Grund konfiguration eines Systems das direkte Anmelden mit einem anonymen Stan dardadministrationskonto nicht mehr m glich sein Dies ist durch das L schen oder das Deaktivieren der anonymen Standardkonten m glich oder indem diesen Konten die administrativen Berechtigungen entzogen werden Was ist zu tun Anonyme Administration ist nicht mit den Vorgaben des LDSG vereinbar Ist die Nutzung personalisierter Administrationskonten in Einzelf llen nicht m g lich so sind durch automatisierte Protokollierung und regelm ige Auswertung zus tzlich technische und organisatorische Ma nahmen zu treffen T tigkeitsbericht 2011 des ULD SH 99 6 3 100 Systemdatenschutz AAL altersgerech
54. konsequent fortentwickeln Audits im Geleitzug K3 und BALVI Audit und G tesiegel 7 Zensus 2011 J Im Jahr 2011 findet in Deutschland nach ber 20 Jahren eine Z hlung der Bev lkerung und der Wohnungen statt Die aktuellen Bev lkerungs und Wohnungszahlen basierten auf Fort schreibungen der jeweils letzten Volksz hlung die in der Bundesrepu blik Deutschland 1987 und in der ehemaligen DDR 1981 stattfand Der Zensus 2011 erhebt Basisdaten zu Bev lkerung Erwerbst tigkeit und Wohnsituation in Deutschland Die Daten werden ausgewertet um m g lichst genaue Angaben zu erhalten die als Grundlage f r das politische Handeln und die Verwaltung von Bund L ndern und Gemeinden ge nutzt werden k nnen Finanzaus gleichszahlungen an St dte und L n der werden von der Anzahl der Ein wohner dieser Gebiete abh ngig gemacht Planungen f r Kinderg r ten Stra en Versorgungsleitungen usw und auch die Zuschnitte von Wahlkreisen h ngen davon ab wie die Bev lkerung verteilt ist Mit dem Zensus 2011 findet ein grundlegender Methodenwechsel im Vergleich zu den bisher in Deutsch land durchgef hrten Volksz hlungen statt Die traditionelle Vollbefragung der Bev lkerung wird u a aus Akzep tanz und Kostengr nden durch ein registerbasiertes Verfahren ersetzt Die Auditverfahren K3 und BALVI sind Langl ufer im ULD Komplexe Sachverhalte und eine angespannte Personalsituation im MLUR haben die Audits l
55. oder der beh rdlichen Daten schutzbeauftragten Wird die Fehleranalyse mit Echtdaten in einer vom Hersteller bereitgestellten Umgebung durchgef hrt so ist auf eine strikte Trennung der verwendeten Systeme zu Systemen anderer Kunden zu achten Der Hersteller muss ange messene Sicherheitsma nahmen zur Kontrolle des Zugriffs zur Durchsetzung der Datentrennung und zur Dokumentation der Sicherheitsma nahmen umsetzen Die Angemessenheit und Wirksamkeit dieser vertraglich vereinbarten Ma nah men sind durch Kontrollen vorab w hrend und nach jeder Datenverarbeitung durch die verantwortliche Stelle zu berpr fen Ist eine Software so anf llig und komplex dass Fehler nur mit m glichst realistischen und gro en Datenvolumen rekonstruiert werden k nnen empfiehlt sich dringend das Erstellen und Pflegen eines anonymisierten Testdatenbestandes auf Basis der Echtdaten beim Auftrag nehmer Was ist zu tun Tests mit Echtdaten sind datenschutzrechtlich von hoher Relevanz Auftrag geber und Auftragnehmer m ssen spezielle Sicherheitsma nahmen treffen um solche Tests im Einzelfall durchf hren zu k nnen Dauerhafte Tests mit Echt daten sind mit den Vorgaben des LDSG nicht vereinbar und werden vom ULD beanstandet Data Warehouses in der ffentlichen Verwaltung Die Grunds tze der Zweckbindung und der Datensparsamkeit verbieten den Einsatz von Data Warehouses in der ffentlichen Verwaltung in aller Regel In Ausnahmef llen sind sie jedoc
56. sche Anfragen an Einwohnermeldebeh rden in zehn europ ische L nder weiter Bis zu 200 000 Anfragen an Meldebeh rden werden bei RISER monatlich zentral angefragt und abgeholt Slowenien und Finnland werden in K rze hinzukommen Die Reichweite f r elektronische Anfragen in Deutschland erreichte 80 im Jahr 2010 In Europa werden 246 Millionen Einwohner erreicht das sind 52 der Einwohner Der Dienst bietet seinen Kunden einen einheitlichen Zugang zu einer sehr heterogenen und un bersichtlichen Melderegisterlandschaft in Europa ber das Serviceportal werden Meldeanfragen als Datei oder Einzelanfrage ber das Internet an die zust ndige Meldebeh rde weitergeleitet RISER bernimmt die Funktion eines Zustellers Als Auftragsdatenverarbeiter verwendet der Dienst die personenbezogenen Daten ausnahmslos zu den vertraglich festgelegten Zwecken und verarbeitet sie nach den vertraglich festgelegten datenschutz konformen Verfahren Ausk nfte werden ausschlie lich fallbezogen f r den jeweiligen Kunden verarbeitet und die Ergebnisse ausschlie lich f r diesen bereit gehalten RISER speichert keine Ergebnisse aus Melderegisterausk nften f r eigene Zwecke und macht sie weder Dritten zug nglich noch berf hrt Adressen in einen sogenannten Treuhandpool Damit sch tzt RISER Einwohnermeldedaten strenger als dies in einigen anderen Bundesl ndern der Fall ist Diese L nder erlauben die Weiterverwendung von Einwohnermeldeausk nften die durch Anfr
57. sichergestellt werden dass Mitarbeiter eines Krankenhauses nur auf die Daten Zugriff haben die sie f r ihre Aufgabe ben tigen Es gilt das Prinzip des Need to know Es darf nicht sein dass z B im Universit tsklinikum Schleswig Holstein 5 500 Mitarbeiter einen unbeschr nkten Zugriff auf s mtliche Patientendaten hatten Tz 4 6 2 Im Teil I der Orientierungshilfe den Normativen Eckpunkten zur Zul s sigkeit von Zugriffen auf elektronische Patientendaten im Krankenhaus wer den klare Aussagen getroffen welche Mitarbeiter eines Krankenhauses wann Zugriff auf welche Daten eines Patien ten haben d rfen Die Datenverarbei tung in der Aufnahme w hrend der Behandlung in der Abrechnung oder im Archiv wird detailliert dargestellt Es finden sich Aussagen zu Konsiliar und Chef rzten zu Administrationskr ften und zum Medizincontrolling Im Teil I den Technischen Anforderungen an die Gestaltung und den Betrieb von Krankenhausinformationssystemen werden Ma nahmen zur technischen Umsetzung dieser Anforderungen beschrieben Durch Beschluss der Konferenz der Datenschutzbeauftragten des Bundes und der L nder soll sichergestellt werden dass diese Orientierungshilfe KIS bundes weit zu beachten ist Was ist zu tun Betreiber von Krankenh usern und die Hersteller von Krankenhausinforma tionssystemen m ssen die in der Orientierungshilfe KIS aufgestellten daten schutzrechtlichen Anforderungen beachten
58. und uns eine vollst ndige und richtige Auskunft zu erteilen Die Nichterteilung sowie die nicht rich tige nicht vollst ndige und nicht rechtzeitige Erteilung der Auskunft stellen eine Ordnungswidrigkeit dar wenn die verantwortliche Stelle sich nicht auf ein ihr zustehendes Aus kunftsverweigerungsrecht beruft In F llen in denen die Auskunft uns gegen ber nicht oder nicht vollst n dig richtig oder rechtzeitig erteilt wurde werden vom ULD in der Regel Bu geldverfahren eingeleitet Das Amts gericht Kiel best tigte die Bu geldbescheide sofern dagegen Einspruch eingelegt wurde dem Grunde nach T tigkeitsbericht 2011 des ULD SH 95 96 6 1 Systemdatenschutz Systemdatenschutz Erforderlichkeit und Angemessenheit Das LDSG fordert dass bei der Verarbeitung personenbezogener Daten die erforderlichen und angemessenen Sicherheitsma nahmen getroffen werden m ssen Das ULD hat in vielen Projekten bei der Risikoanalyse Beurteilung und Ma nahmenauswall eine beratende Funktion Viele Daten verarbeitende Stellen haben Probleme die Erforderlichkeit von tech nischen und organisatorischen Ma nahmen nachvollziehbar herzuleiten und die Angemessenheit der getroffenen Ma nahmen zu beurteilen Kaum ein Satz des Landesdatenschutzgesetzes LDSG formt die Datenverarbeitung so stark wie die Regelung zur Datensicherheit Darin sind Anforderungen an die Datenverar beitung gestellt die sich in den aktuellen Sicherheitsstandard
59. unzul ssiger Erhebung personenbezogener Daten eingeleitet Wird nur das Nachbargrundst ck beobachtet verweist das ULD die B rger vor dem Hintergrund dass das ULD keine Betretungsrechte hinsichtlich privater Wohnungen und Grundst cke hat in der Regel auf den Privatrechtsweg Das Bundesdatenschutzgesetz ist bei der Datenverarbeitung zu pers nlichen bzw famili ren Zwecken nicht anwendbar Die Schlichtung privater Streitigkeiten ist nicht Aufgabe der Datenschutzaufsichtsbeh rden T tigkeitsbericht 2011 des ULD SH 5 8 8 Datenschutz in der Wirtschaft Was ist zu tun F r die Beilegung von Nachbarschaftsstreitigkeiten sind grunds tzlich die Gerichte zust ndig Soweit keine ffentlichen Belange ber hrt sind m ssen die Beteiligten daher den Privatrechtsweg einschlagen Webcams schie en wie Pilze aus dem Boden Immer h ufiger erreichen das ULD Beschwerden von aufmerksamen B r gern ber Webcams mit deren Hilfe Bilder von Landschaften oder von ffentlichen Pl tzen im Internet dargestellt werden Das ULD pr ft regelm ig im Internet abrufbare Webcambilder ob mit der Ver ffentlichung der Aufnahmen gegen geltendes Datenschutzrecht versto en wird Im Ergebnis war der Betrieb der berpr ften Webcams zumeist manchmal nach Ver nderung der Einstellungen zul ssig Vor dem Hintergrund der Diskussion um eine Webcam in einem schleswig holsteinischen Ostseebad hat das ULD seine Rechtsauffassung zum Einsatz von Web
60. von AAL Systemen zum Einsatz in Wohnungen oder Zimmern von Pflegeeinrichtungen sind Bewegungssensoren Sturzmelder F llstandmelder z B Aquastop Systeme die berwachung von Vitaldaten zu Atmung Puls K rpertemperatur Blutdruck Gewicht Blutzucker telemedizinische Dienste Abschaltsysteme etwa f r Herd oder Licht elektronisches Schlie en und ffnen von Fenstern und T ren Notrufsysteme in Koppelung mit Dienstleistungen Telefone oder Video berwachung in jedem Raum In einem gef rderten Projekt wurde eine Plattform entwickelt ber die AAL gest tzte Betreuungsdienstleistungen zusammengestellt und beauftragt werden k nnen In einem anderen Projekt wurden Sensoren konzipiert die anhand der Nutzung von Licht Strom Gas und Wasser der Dusche und des Fernsehens schleichende Ver nderungen des Gesundheitszustands und Notf lle z B St rze erfassen sollen Ein System erfasst mit u a im Bett installierten Sensoren konti nuierlich den Gesundheitszustand der Betroffenen Die jeweils erzeugten Daten werden von einem Rechnersystem zusammengefasst und interpretiert ber das Internet werden aktuelle Lageberichte dann an einen Notruf und an ein Sicher heitssystem weitergeleitet das Angeh rige Pflegedienste Haus rzte und Klini ken einbezieht In einem weiteren Projekt werden Techniken zur berwachung sportlicher Bet tigungen von Personen entwickelt Die wesentliche Funktion all dieser AAL Systeme besteht darin ein Normalit t
61. vor Folgende Punkte f hrten zur Beanstandung e Es wurde keine Stellvertretung f r den Administrator ausgebildet e Der Administrator protokolliert seine administrativen T tigkeiten nicht e Es erfolgt keine Kontrolle der T tigkeiten des Administrators durch die Ver waltungsleitung e Es existieren keine vertraglichen Regelungen mit dem externen Dienstleister e Es wurde keine Verfahrensdokumentation erstellt e Ebenso fehlen die Dokumentationen der Sicherheitsma nahmen der Tests und der Freigaben e Es wurden keine Arbeitsanweisungen IT Dienstanweisungen f r die Admi nistration erstellt e Auf den zentralen Druckern die auch f r Unbefugte jederzeit erreichbar sind wurden keine zus tzlichen Sicherheitsma nahmen getroffen e Auf den Notebooks war keine Verschl sselungssoftware installiert e Die Aktenvernichtungscontainer waren nicht verschlossen und f r Unbefugte leicht erreichbar e Die Archivr ume wurden unverschlossen vorgefunden Was ist zu tun Die datenschutzrechtlichen M ngel sind umgehend zu beheben Das ULD hat der Amtsverwaltung seine Beratung angeboten Die M ngelbehebung wird von uns durch mehrere Nachkontrollen sichergestellt Nachpr fung bei der Stadtverwaltung Ratzeburg Das ULD schlie t Pr fungen erst ab wenn alle erkannten M ngel nachvoll ziehbar behoben wurden Die M ngelbehebung wurde in der Stadtverwal tung Ratzeburg durch eine Nachkontrolle begleitet In der Stadtverwaltu
62. wenn sie ein berechtigtes Interesse hierf r darlegen Die Entscheidung hier ber trifft das Grundbuchamt Eine solche Ausnahme bedeutet f r das Versorgungsunternehmen dass es bei Abrufen im automatisierten Verfah ren keinen Grund mehr angeben muss aus dem sich das berechtigte Interesse ergibt Nachdem ein Grundbuchamt einen Antrag eines Versorgungsunternehmens abge lehnt hatte bat dieses uns um eine Stellungnahme Wir best tigten dessen Rechts auffassung Die Ausnahmevorschrift in der Grundbuchverf gung erlaubt eine Ausnahmegenehmigung nur wenn f r jedes einzelne Grundst ck im Grund buchbezirk ein berechtigtes Interesse dargelegt wird Besteht das berechtigte Interesse f r alle Grundst cke nicht kann die Ausnahmegenehmigung be schr nkt erteilt werden wenn eine sinnvolle Eingrenzung m glich ist Wird das berechtigte Interesse nicht f r alle Grundbucheintr ge im Bezirk dargelegt und ist eine Beschr nkung nicht m glich kann die Genehmigung nicht erteilt werden Die Unm glichkeit einer Beschr nkung kann nicht dazu f hren dass f r s mt liche Grundst cke vollumf nglich ein berechtigtes Interesse angenommen wird Im vom Grundbuchamt zur ckgewiesenen Antrag des Versorgungsunternehmens wurde das berechtigte Interesse damit begr ndet dass das Unternehmen berpr fen m sse ob und inwieweit tats chlich Rechte an den von ihm genutzten Grundst cken bestehen Au erdem m sse f r k nftig zu nutzende Grundst cke gekl r
63. zwischen der Europ ischen Union und den USA er ffnet steht weiterhin unter Beschuss Die Kritik des ULD an Safe Harbor 32 TB Tz 11 4 wird vom Zusammen schluss der deutschen Datenschutzaufsichtsbeh rden dem D sseldorfer Kreis geteilt Dieser beschloss dass in die USA Daten exportierende Unternehmen die ber Safe Harbor erfolgte Selbstzertifizierung jeweils berpr fen m ssen Die im Internet hierzu verf gbaren Informationen sind h ufig falsch und inaktuell und entsprechen oft nicht den rechtlichen Anforderungen https www datenschutzzentrum de internationaler datenverkehr Beschluss_ 28 29 04 _10neu pdf Ein Austausch mit einer australischen Forschungseinrichtung ergab dass sich gegen ber einer Untersuchung im Jahr 2008 keine praktischen Verbesserungen ergeben haben Danach behaupten 2 170 US Unternehmen gem Safe Harbor privilegiert zu sein wovon aber 388 beim US Handelsministerium berhaupt nicht registriert waren Von den dort aufgef hrten Unternehmen waren 181 Zerti fikate schon wegen ihres Zeitablaufs nicht mehr g ltig Bei berpr fung allein des Safe Harbor Grundsatzes der Durchsetzung ergab sich dass von den 2 170 US Unternehmen 940 f r Betroffene keine Informationen bereitstellen wie diese ihre Rechte durchsetzen k nnen Bei 314 weiteren Unternehmen ist ein Verfahren vorgesehen das die Betroffenen zwischen 2 000 und 4 000 Dollar T tigkeitsbericht 2011 des ULD SH 11 2 Europa und Internationa
64. 2011 ver ffentlicht T tigkeitsbericht 2011 des ULD SH 33 34 4 2 2 Polizei und Verfassungsschutz Das Verfahren rtus Bei dem vor mehr als f nf Jahren als Vorgangsbearbeitungssystem der Poli zei des Landes gestarteten System rtus VBS ist es Zeit f r einen ersten Blick auf die Qualit t der gespeicherten Daten des Verfahrens insgesamt zumal neue IT Verfahren entwickelt werden die auf dem Bestand des Vor gangsbearbeitungssystems beruhen Die Datenqualit t von rtus VBS rtus ist ein komplexes Verfahren zur Unterst tzung der Polizei bei deren t gli cher Arbeit In rtus werden z B Anzeigen oder sonstiger Schriftverkehr der im Laufe der Bearbeitung eines Vorgangs anf llt erfasst rtus so eine Zielvorgabe soll das Tor in eine papierlose Welt er ffnen Bei einem Verfahren das k nftig ohne Akten auskommen soll kommt es besonders auf die Validit t der gespei cherten Daten an In Akten werden neben den Ma nahmen der Polizei weitere Informationen zum Nachweis der Rechtm igkeit des polizeilichen Handelns festgehalten Der Verl sslichkeit und Richtigkeit der Daten kommt enorme Bedeutung zu die Polizei hat hieran ein fachliches Eigeninteresse und muss hier auf ein besonderes Augenmerk legen Der Betroffene kann nur im Ausnahmefall n mlich wenn er Kenntnis von den gespeicherten Daten hat unrichtige Daten speicherungen berichtigen lassen Gesetzeskonforme Datenverarbeitung bedingt eine hohe gesicherte Datenqual
65. 3 Bundeskriminalamtgesetz BKAG 43 Bundesverfassungsgericht 19 32 43 Bu geld 94 Index C Cloud Computing 118 Codex digitalis 161 D Data Warehouse 36 39 104 105 Dataport 28 29 126 129 DATENSCHUTZAKADEMIE Schleswig Holstein 160 Datenschutz Audit 124 azv Pinneberg 129 Dataport 129 K3 und BALVI 127 Kreisverwaltung Pl n 124 Stadt Bad Schwartau 125 Stadt L beck 128 Stadt Pinneberg 129 Zensus 2011 126 ZIAF 126 Datenschutzbeauftragter beh rdlicher 104 betrieblicher 56 Datenschutzgremium 21 Datenschutz G tesiegel 131 Anerkennung von Sachverst ndigen 133 Rezertifizierung 132 Datenschutz in Online Spielen DOS 120 Datenschutzmanagement 21 90 Datenschutzverordnung DSVO 67 68 Datensicherheit 66 96 125 Datensparsamkeit 104 117 Datenspeicherung 48 De Mail 134 Dokumentation 37 103 137 Doodle 146 E EC Cash Verfahren 82 E Government 17 120 Einwilligung 53 60 61 63 83 84 101 elektronische Signatur 29 Elektronischer Einkommensnachweis ELENA 48 elektronischer Identit tsnachweis eID 22 Elektronisches Lastschriftverfahren ELV 81 T tigkeitsbericht 2011 des ULD SH Energieversorgungsunternehmen 86 EU Datenschutzrichtlinie 137 Europa 122 152 Europ ische Kommission 136 152 Europ ische Union EU 126 European Privacy Seal EuroPriSe 135 136 141 EuroPriSe Gutachter 137 139 F Faxger te 148 Fernwartung 104 Finanzamt 71 Finanzministerium 26 G Geb hreneinzugszen
66. 5 4 Aus der AOK Schleswig Holstein wurde die AOK NordWest 53 4 5 5 TK rztezentrum Nicht berall wo TK draufsteht ist auch die TK drin 53 4 5 6 Forschungsprojekt Family Roots 54 T tigkeitsbericht 2011 des ULD SH 4 5 7 4 5 8 4 6 4 6 1 4 6 2 4 6 3 4 6 4 4 6 5 4 6 6 4 6 7 4 6 8 4 6 9 4 7 4 7 1 4 7 2 4 7 3 4 7 4 4 7 5 4 7 6 4 71 1 4 8 4 8 1 4 8 2 4 9 4 9 1 4 9 2 4 9 3 5 1 5 1 1 31 2 5 1 3 5 1 4 5 2 5 2 1 2 2 5 3 5 4 5 5 5 6 5 7 Modellvorhaben Fachberater f r Menschen mit Behinderungen Vorbildliche Schulungen die M rwiker Werkst tten Schutz des Patientengeheimnisses Die neue Orientierungshilfe f r Krankenhausinformationssysteme KIS Zugriffsrechte im KIS des Universit tsklinikums Schleswig Holstein Keine Infos ber HIV und Hepatitis f r den Rettungsdienst Die wundersame Datenmehrung bei der Trennung von Gemeinschaftspraxen Gesichtsfoto von Patienten f r Patientenakte bedarf der Einwilligung Wenn einem Arzt der Laptop gestohlen wird Missgl ckte Befundversendung beim Mammografie Screening Wenn ein Augenoptiker seine Kundendaten verkaufen will AOK Arztnavigator Teufelswerk oder vorbildliches Bewertungsportal Wissenschaft und Bildung Vermittlung von Medienkompetenz mit dem ULD Elektronische Lernplattformen und der Datenschutz LanBSH und geplanter USB Stick erh hen Datensicherheit Schulleiterfortbildungen im Datenschutz weiterhin erforderlich
67. Administrationsumgebung m glich Der administrative Zugang zu den einzelnen Komponenten und Programmen des Data Center Steuern wird ber Terminalserver kanalisiert um eine revisionssichere Protokollierung und durch g ngige Nachvollziehbarkeit administrativer T tigkeiten sicherzustellen Der Zugriff auf die Administrationsumgebung wird durch eine 2 Faktor Authentifizie rung abgesichert Diese umfasst den username passwortgesch tzten Anmelde zugriff auf das System und eine hardwarebasierte L sung Besitz und Wissen Die Administration der Administrationsplattform erfolgt aufseiten Dataports durch eine eigene Organisationseinheit die keinen administrativen Zugriff auf die Systeme und Verfahren des Data Center Steuern erh lt Dieses soll verhindern dass die Administratoren der Steuerverfahren sich selbst oder anderen zus tzliche administrative Zugriffsm glichkeiten unter Umgehung der revisionssicheren Pro tokollierung erm glichen k nnen Das Datenschutz und Sicherheitsmanagement orientiert sich an internationalen Standards Das ISMS folgt den Vorgaben des Standards 100 1 des Bundesamtes f r Sicherheit in der Informationstechnik BSI Auf Ebene der technischen und organisatorischen Ma nahmen gelten die Vorgaben der IT Grundschutz Vorge hensweise gem Standard 100 2 des BSI und den IT Grundschutzkatalogen Bei der Durchf hrung des Audits wurden die folgenden Aspekte festgestellt die im Sinne einer datenschutzfreundlichen Ge
68. BITKOM Beides ist gut gemeint die Gesetzesinitiative erweist sich jedoch als wenig tauglicher Versuch Die Auseinandersetzung um die Ver ffentlichung von Stra enbildern durch Google im Internet f hrte zu einem Gesetzentwurf des Bundesrates mit einer Spezialregelung im Bundesdatenschutzgesetz BDSG zur gesch ftsm igen Datenerhebung und speicherung im Zusammenhang mit der georeferenzierten gro r umigen Erfassung von Geodaten zum Zweck der Bereithaltung fotografi scher oder filmischer Panoramaaufnahmen im Internet zum Abruf f r jedermann oder zur bermittlung an jedermann So sperrig der Titel dieses Entwurfes daherkommt so sperrig ist auch dessen Regelungsinhalt Der Gesetzesvorschlag f llt eine ganze eng beschriebene DIN A4 Seite So unpraktikabel der konkrete Vorschlag ist so richtig ist ein darin enthaltener Gedanke die Aufnahme eines rechtlich verpflichtenden Widerspruchsrechts gegen Bilddarstellungen Zu kurz gegriffen ist die Beschr nkung der Regelung auf georeferenzierte Panorama dienste im Internet T tigkeitsbericht 2011 des ULD SH Datenschutz bundesweit Dies konnte und durfte nicht das letzte Wort des Gesetzgebers sein Mit dieser Erkenntnis lud die Bundesregierung im September 2010 zu einem Datenschutz gipfel ein und forderte dort von der Internetwirtschaft sich durch Selbstregulie rung in Form eines Datenschutzkodexes selbst Grenzen zu setzen Weiterhin wurde ein eine rote Linie ziehender Gesetze
69. Center Steuern DCS ein Audit siegel verliehen Das Data Center Steuern ist das gemeinsame Steuerrechenzentrum von Bremen Hamburg Mecklenburg Vorpommern und Schleswig Holstein Hier werden die Daten von rund 13 000 Arbeitspl tzen in den 58 Finanz mtern der vier Bundes l nder verarbeitet und j hrlich rund 12 Millionen Steuerbescheide produziert Als f nftes Tr gerland ist noch 2010 Niedersachsen dem norddeutschen Steuerver bund beigetreten Damit kommen ca 12 500 Arbeitspl tze in 69 Finanz mtern von Niedersachsen hinzu die Anzahl der im DCS zu erstellenden Steuerbescheide wird sich verdoppeln T tigkeitsbericht 2011 des ULD SH 129 130 Audit und G tesiegel Die L nder Bremen Hamburg Mecklenburg Vorpommern und Schleswig Holstein haben mit Dataport als Anstalt ffentlichen Rechts Vertr ge ber die Erbringung von IT Dienstleistungen f r die Steuerverwaltung des jeweiligen Landes im Zusammenhang mit dem Betrieb des Data Center Steuern geschlossen Das Konzept f r das ISMS umfasst eine umfangreiche Generaldokumentation In ihr sind alle Vorgaben und Regelungen zum Themenkreis Datenschutz und Datensicherheit f r den Betrieb und die Weiterentwicklung des DCS zusammen gefasst Dataport hat f r den sensiblen Bereich der Steuerdatenverarbeitung spezielle Sicherheitsma nahmen vorgesehen So sind administrative nderungen an den Datenverarbeitungssystemen des Data Center Steuern nur ber eine hierf r bereit gestellte
70. Das LDSG sollte noch in dieser abgek rzten Legislaturperiode modernisiert werden sodass es seinen innovativen und zukunftsgerichteten Charakter bewahrt T tigkeitsbericht 2011 des ULD SH 1 2 Datenschutz in Schleswig Holstein Die Dienststelle Nicht nur das LDSG ist in die Jahre gekommen auch die Dienststelle des ULD bedarf einer kritischen Bestandsaufnahme und einer Zukunftsausrich tung Dieses Ziel wird mit der Erstellung eines ULD Konzepts verfolgt Die Arbeit einer Datenschutzbeh rde bewegt sich immer in einem Spannungsver h ltnis von Anspruch und Wirklichkeit Nicht nur dass die gesetzlichen Anspr che mit der Realit t der Datenverarbeitung in Einklang zu bringen sind was Gesetzes nderungen oder eine nderung der Praxis n tig macht auch die Erwartungen der gesellschaftlich relevanten Gruppen Bev lkerung Politik Wirtschaft Medien Informatik andere Beh rden werden durch die Verwal tungspraxis oft nicht erf llt Eine zentrale Restriktion der eigenen Arbeit sind bei zunehmenden Aufgaben die begrenzten Finanzen die das Land f r den Daten schutz zur Verf gung stellen kann Die Krise des Landeshaushaltes hat latent eine Krise des Datenschutzes zur Folge Angesichts dessen hat das ULD ein Konzept f r die eigene T tigkeit erstellt das nach einer Bestandsaufnahme des Datenschutzes und seiner Rahmenbedingungen die strategischen Ziele und die zu deren Erreichung n tigen Ma nahmen benennt Das Konzept dient so
71. Einwohner nach dem Melderecht nicht eindeutig identifi ziert werden konnte In Betracht kamen vier Personen die mit gleichem Vor und Familiennamen gemeldet waren Eine weiter gehende Listenanfrage hinsicht lich dieser Personen wurde ohne eine weitere Pr fung mit der gleichen Begr n dung abgelehnt Nachforschungen ber die Polizei und andere Stellen blieben erfolglos Schlie lich wandte sich das Jugendamt an uns mit der Bitte um Bera tung ob aus unserer Sicht noch M glichkeiten f r Erfolg versprechende Nachfor schungen bestehen Unsere Pr fung ergab dass die melderechtliche Listenauskunft zu den vier in Betracht kommenden Personen f lschlicherweise verweigert wurde Vorausset zung f r eine solche Daten bermittlung ist dass sie zur rechtm igen Aufgaben erf llung der Beh rde erforderlich ist Da nur eine Person der Vater gewesen sein konnte w ren in drei F llen Daten Nichtbetroffener bermittelt worden Aller dings w re der Eingriff in die Rechte dieser Nichtbetroffenen unter Verh ltnis m igkeitsgesichtspunkten deutlich geringer zu bewerten gewesen als die Gefahr den Vater eines nicht ehelichen Kindes nicht ermitteln zu k nnen Das Personalausweisgesetz er ffnete aber eine bessere datenschutzkonforme L sung Danach darf u a das gespeicherte Lichtbild aus der Personalausweis datei bermittelt werden wenn die ersuchende Beh rde aufgrund von Rechtsvor schriften diese Daten erhalten darf sie ohne Kenntn
72. Einzelf lle Auskunfteien und Gewerbedaten Traueranzeigen als Quelle f r Werbedaten Was der Finanzberater alles wei Auskunfts und L schpflichten der Banken Bank bittet um R ckruf Spieglein Spieglein an der Kasse Die Kamera als Waffe gegen den Nachbarn Webcams schie en wie Pilze aus dem Boden Unbeachtete Werbewiderspr che Behinderung der Aufsichtst tigkeit des ULD Systemdatenschutz Erforderlichkeit und Angemessenheit Der allm chtige anonyme Administrator AAL altersgerechte Assistenzsysteme Tests und Fehlerbehebung mit Echtdaten Data Warehouses in der ffentlichen Verwaltung Ergebnisse aus berpr fungen und Kontrollen vor Ort Kooperative Regionalleitstelle Nord in Harrislee Pr fung beim Wasser und Bodenverband Ostholstein Pr fung im Amt Horst Herzhorn Pr fung bei der KLG Heider Umland Nachpr fung bei der Stadtverwaltung Ratzeburg Neue Medien Eine neue datenschutzkonforme Rundfunkfinanzierung braucht das Land Street View visueller 3 D und Funk Blick ber den Gartenzaun Stalking im Internet Modellprojekte und Studien PrimeLife Identit tsmanagement im Fokus ABC4Trust Pilot f r eine vertrauensw rdige digitale Identifikation TClouds auf dem Weg zum vertrauensw rdigen Cloud Computing AN ON Anonymit t Online Studie zu Datenschutz in Online Spielen ver ffentlicht RISERid Registry Information Service on European Residents Initial Deployment Datenschutzdiskurse im
73. Einzelheiten zu dem Zustandekommen dieser Werte konnte aber keine Auskunft gegeben werden weil die Schufa diese Informationen seinen Gesch ftspartnern unter Verweis auf Gesch ftsgeheimnisse vorenthielt Dies ist nat rlich kein Argument zur Zur ckweisung der datenschutzrechtlichen Kontrollbefugnis des ULD Da die Schufa Unternehmen in allen Bundesl ndern mit Scorewerten beliefert war eine berpr fung und Abstimmung im D ssel dorfer Kreis dem Zusammenschluss der deutschen Aufsichtsbeh rden in dessen Arbeitsgruppe AG Auskunfteien geplant Kurz vor der anberaumten Sitzung der AG Auskunfteien strengte die Schufa ein gerichtliches Eilverfahren gegen die f r die Schufa zust ndige hessische Datenschutzaufsichtsbeh rde an Ziel war es die Offenbarung der Details zu den Scoring Verfahren der Schufa an andere Auf sichtsbeh rden zu verhindern Die Schufa berief sich auf Betriebs und Gesch fts geheimnisse T tigkeitsbericht 2011 des ULD SH 5 3 Datenschutz in der Wirtschaft Das ULD forderte daraufhin direkt von der Schufa die Bereitstellung der Infor mationen zum Scoring das von schleswig holsteinischen Unternehmen genutzt wird Wir wollten wissen weshalb diese Informationen die zur Wahrnehmung der Datenschutzpflichten n tig sind nicht an die schleswig holsteinischen Ver tragspartner weitergegeben werden Die Schufa verweigerte die Bereitstellung und lud stattdessen das ULD wie auch andere Aufsichtsbeh rden zur m ndlic
74. Gesch ftsgeheimnis offen bart w rde und die schutzw rdigen Belange des Betroffenen das Offenbarungs interesse der Allgemeinheit berwiegen Gesch ftsgeheimnisse sind alle auf ein Unternehmen bezogene Tatsachen Umst nde und Vorg nge die nicht offenkun dig sondern nur einem begrenzten Personenkreis zug nglich sind und an deren Nichtverbreitung der Rechtstr ger ein berechtigtes Interesse hat Gesch fts geheimnisse betreffen in erster Linie kaufm nnisches Wissen Auch Bieterunterlagen erf llen in der Regel die Anforderung an ein Gesch fts geheimnis Dies gilt aber nicht f r alle Bestandteile eines Angebots oder eines Vertrages Die Angabe zum Gesamtangebotspreis enth lt blicherweise keine Informationen zur betrieblichen Situation des Bieters anders als Kostenkalkula tionen Aussagen zum Umfang der Besch ftigung von Fremdkr ften oder zu den durch die Aufgabenerledigung entstandenen Kosten machen Wenn Informationen aufgrund von Gesch ftsgeheimnissen nicht zug nglich gemacht werden d rfen besteht jedoch trotzdem ein Anspruch auf Zugang zu den brigen Informationen Die generelle Verweigerung des Informationszuganges aufgrund von vorliegen den Betriebs und Gesch ftsgeheimnissen ist nicht zul ssig Was ist zu tun Beh rden m ssen bei einem Einsichtsersuchen in Vertr ge pr fen ob diesem Gesch fts und Betriebsgeheimnisse entgegenstehen Dazu geh ren in der Regel kalkulatorische Angaben Die Beh rde hat dann einen be
75. NADIS neu informiert wird Diese Information der Landesdatenschutzbeauftragten erfolgte bisher aber nur auf den zweimal j hrlich stattfindenden Sitzungen des Arbeitskreises Sicherheit wo der BfDI lediglich in sehr allgemeiner Form ber das Projekt unterrichten kann da das BMI bzw das BfV einer konkreten Weitergabe der Informationen bzw Unterlagen an die Landesdatenschutzbeauftragten nicht zugestimmt hat Der T tigkeitsbericht 2011 des ULD SH 4 2 9 Polizei und Verfassungsschutz Leiter der Verfassungsschutzbeh rde des Landes hat sich auf Bitten des ULD bereit erkl rt auf Bundesebene auf eine bessere Einbindung der Landesdaten schutzbeauftragten zu dr ngen Bisher erfolgt keine angemessene Information ber NADIS neu Es geht um ein kostspieliges Projekt zur Verarbeitung hochsen sibler Daten Gesetzes und datenschutzwidrige Fehlplanungen sollten dringend vermieden werden Das Verfassungsschutzgesetz Schleswig Holstein enth lt abweichende Rege lungen zu den Verfassungsschutzgesetzen des Bundes und anderer L nder Bei der technischen Einbindung des Landes in die IT Landschaft des Verfassungs schutzes muss dem Rechnung getragen werden Was ist zu tun Das Bundesinnenministerium l sst bisher keine Bereitschaft zu einem konstruk tiven Dialog erkennen BMI und die Verfassungsschutzbeh rden sollten ihre Verweigerungshaltung aufgeben Eine Beteiligung der Datenschutzbeh rden der L nder br chte auch ihnen einen Gewinn Video
76. Orientierungshilfe f r Krankenhausinformationssysteme KIS Die neue Orientierungshilfe KIS formuliert aus den datenschutzrecht lichen Regelungen und den Vorgaben zur rztlichen Schweigepflicht kon krete Forderungen f r den Krankenhausbetrieb und die Anwendung von Informationssystemen in Krankenh usern Adressaten dieser Orientierungshilfe sind neben den Krankenh usern die Systemhersteller von Verarbeitungsprogrammen Viele Kranken h user haben die Tendenz zu schwarzen L chern Unmengen sensibelster Patienten daten verschwinden in der als Krankenhaus informationssystem KIS bezeichneten EDV Die Orientierungshilfe KIS wurde unter der Federf hrung des Berliner Beauf tragten f r Datenschutz und Informations freiheit durch eine Unterarbeitsgruppe der Arbeitskreise Gesundheit und Soziales AG und Technik der Konferenz der Daten schutzbeauftragten des Bundes und der L nder erarbeitet Ausgangspunkt war ein vom Hamburgischen Datenschutzbeauftragten erstelltes Eckpunktepapier Eine Einbindung der Hersteller von KIS z B von T tigkeitsbericht 2011 des ULD SH 4 6 2 Schutz des Patientengeheimnisses Siemens Healthcare Nexus und AGFA erfolgte ebenso wie eine Expertenbefra gung u a in Krankenh usern und bei Verb nden Die Verarbeitung der Patientendaten wird sowohl f r die medizinische Behandlung f r die Pflege und f r die Verwaltung vorgenommen Durch die Orientierungshilfe soll
77. Plattform nutzen Gerade wegen des hohen Schadens den eine Profilf lschung in sozialen Netz werken anrichten kann fordert das ULD von den Betreibern eine deutlich bessere Authentifizierung der Nutzerinnen und Nutzer Zumindest sollten von solchen Angriffen betroffene Personen technische und organisatorische Hilfen zum Selbstschutz erhalten Schnelle Abhilfe br chten Pr flisten bei den Anbietern die beim Anlegen eines neuen Profils unter demselben Namen eine manuelle Pr fung durch den Anbieter erfordern Das ULD unterst tzt in den vorliegenden F llen die zust ndigen Strafverfol gungsbeh rden und arbeitet auf einen regelm igen Erfahrungsaustausch hin Wir werden die Anbieter von Diensten mit erh htem Gefahrenpotenzial des digi talen Stalkings mit den Vorf llen konfrontieren und zur Umsetzung besserer Sicherheitsma nahmen auffordern Was ist zu tun Anbieter von sozialen Netzwerken m ssen ihre Nutzer vor Profildiebstahl und Profilf lschung besser als bisher sch tzen Ein einfaches L schen reicht nicht Das ULD unterst tzt die Strafverfolgungsbeh rden durch Beratung und wird versuchen zusammen mit den Anbietern bessere Schutzma nahmen f r die Nutzer zu finden T tigkeitsbericht 2011 des ULD SH 8 1 Modellprojekte und Studien Modellprojekte und Studien Neben seiner Pr f und Beratungst tigkeit beteiligt sich das ULD an drittmittel finanzierten Projekten und Studien mit besonderem Datenschutzbezug Ziel ist es
78. Pr senztermin 2 i b d i unter Beachtung der Datenschutzvor angeboten werden Der weitere gaben erarbeitet Arbeitsaufwand von vier bis f nf Tagen pro Kurs kann von den Teil Vgl im Jahresprogramm 2011 S 35 a zeit und ortsvariabel erle NEU NEU NEU NEU igt werden Die bew hrten IT Sicherheitskurse unter Ber cksichtigung der BSI Grund schutztools werden weiter ausgebaut Dazu geh ren IT Sicherheitsmanage ment ITS D Sicherheitsmanagement auf Basis von IT Grundschutz ITS I Mit dem BSI Grundschutztool zum IT Sicherheitskonzept BSI GST Die Kurse bef higen die Absolventen die Sicherheit von Verfahren oder Gesch fts prozessen und die Verwaltung von IT Verb nden von Organisationen mithilfe der IT Grundschutzmethode umzusetzen 2011 wird der neu konzipierte Kurs BSI IT Grundschutz Praktische Umsetzung in einer Organisation BSI Praxis dieses Themenspektrum erweitern Die seit jeher gut eingef hrten und besuchten Grundlagenkurse der DATENSCHUTZAKA DEMIE werden weiterhin gut angenommen seien dies Datenschutzrecht Datensicherheits recht f r beh rdliche Datenschutzbeauftragte DR DT Einf hrung Datenschutz im Schul sekretariat ES oder F hrung von Personal akten PA Im kommenden Jahr wird der Kurs Rechtsfragen des Landesdatenschutz gesetzes LDSG R neu aufgelegt Weitere Schwerpunkte der Akademiearbeit bilden traditionell die Kurse zum betriebli
79. SH 12 12 1 Informationsfreiheit Informationsfreiheit Der schwierige Weg zu einem einheitlichen Informationszugangsrecht Die Vereinbarung im Vertrag der Koalitionsparteien zur Zusammenfassung des Informationsfreiheitsrechts versprach eine schnelle L sung mit entb ro kratisierender Wirkung Das Ergebnis liegt auf der langen Bank der B ro kratie Die Zusammenfassung von Umweltinformationsgesetz UIG und Informations freiheitsgesetz IFG zielt auf Verwaltungsvereinfachung ab Durch einheitliche Verfahren entfallen aufwendige Abgrenzungspr fungen Zugleich k nnen Syner gien genutzt und den B rgerinnen und B rgern eine transparente Vorgehensweise geboten werden Auf der Basis der Koalitionsvereinbarung formulierte das ULD umgehend einen Gesetzesvorschlag der im Ergebnis UIG und IFG zusammen f hrt und Bereinigungen des Verfahrens vornimmt Statt der 15 Paragrafen des UIG und den 18 des IFG sollte das neue Informationszugangsgesetz IZG 19 Paragrafen enthalten die Doppelungen systematisch vermeiden Das ULD stellte den Entwurf den Regierungsfraktionen zur Verf gung eigentlich eine einfache und klare Sache RG T 2 N ee a Doch dann wurden wir von einem Kabinettsvorschlag zur nderung des UIG berrascht der eine angeblich n tige Anpassung an Richtlinien der Euro ischen Union EU vorsah ohne die Koalitionsvereinbarung zu ber cksichtigen Nach dem dies erkannt wurde schmort der eingebrachte Gesetzentwurf un
80. Schulen brauchen ein einheitliches und nachhaltiges Datenschutzkonzept Fehlende Umsetzung einer Meldevorschrift Schulsozialarbeit eine prinzipiell gute Sache Steuerverwaltung Grunderwerbssteuer Verwendung eines Fragebogens Mitgliedsdaten eines Vereins Ausl nderverwaltung EU B rger im Ausl nderzentralregister Protokollierung der Abrufe aus dem Ausl nderzentralregister Keine Antwort von der Kreisverwaltung Datenschutz in der Wirtschaft Besch ftigtendatenschutz im BDSG Die Krux mit den Mitarbeiterlisten Weitergabe von Mitarbeiterdaten an Krankenkassen GPS im Firmenfahrzeug Was tun ohne Betriebsrat Friseure unter Kontrolle Besch ftigtenkontrolle per Video beim Discounter Scoring Neue Transparenzpflichten f r Auskunfteien Keine Extrawurst f r die Schufa ELV unwirksame Kassenbon Einwilligungen Bonit tsabfragen durch die Wohnungswirtschaft Datenschutz in der Versicherungswirtschaft Datenschutz bei Vereinen Smart Meter Inhalt 55 56 56 56 57 59 60 60 61 62 63 64 65 65 66 66 67 68 69 69 70 70 71 71 71 73 73 75 75 77 77 78 79 80 80 80 81 83 84 85 86 T tigkeitsbericht 2011 des ULD SH 5 8 5 8 1 5 8 2 5 8 3 5 8 4 5 8 5 5 8 6 5 8 7 5 8 8 5 8 9 5 8 10 6 1 6 2 6 3 6 4 6 5 6 6 6 6 1 6 6 2 6 6 3 6 6 4 6 6 5 7 1 72 71 3 8 1 8 2 8 3 8 4 8 5 8 6 8 7 9 1 9 1 1 9 1 2 9 1 3 9 1 4 9 1 5 9 1 6 9 1 7 9 1 8 9 1 9
81. Stellungnahme ist im Internet abrufbar unter https www european privacy seal eu results fact sheets Ein wichtiger Bestandteil jedes EuroPriSe Zertifizierungsverfahrens ist die ber pr fung der Dokumentation des jeweiligen IT Produkts bzw IT basierten Diens tes Dabei geht es z B um die Bewertung von Benutzerhandbuch Datenschutz erkl rung IT Sicherheitsrichtlinie oder Auftragsdatenverarbeitungsvertrag Diese erfolgt in erster Linie durch die mit dem jeweiligen Verfahren befassten Euro PriSe Gutachter Um diesen eine Hilfestellung f r ihre Pr fungst tigkeit zu geben wurde eine Vorlage zu den Anforderungen an die Dokumentation eines IT Produkts bzw IT basierten Dienstes erstellt Darin werden grundlegende Hinweise zur berpr fung der Dokumentation gegeben und alle Dokumente aufgelistet deren Bewertung im Rahmen eines EuroPriSe Verfahrens obligato risch ist Zertifizierungsverfahren Das EuroPriSe Zertifizierungsverfahren besteht aus zwei Abschnitten 31 TB Tz 9 4 2 Zun chst wird das IT Produkt oder die IT basierte Dienstleistung von akkreditierten Sachverst ndigen evaluiert In einem zweiten Schritt berpr ft eine unabh ngige Zertifizierungsstelle das von den Sachverst ndigen eingereichte Gutachten auf Vollst ndigkeit und Nachvollziehbarkeit Sind alle Zertifizierungs kriterien erf llt verleiht die Zertifizierungsstelle das EuroPriSe Zertifikat Dieses ist zwei Jahre lang g ltig Nach Ablauf dieser Zeitspanne od
82. T tigkeitsbericht 2011 des Unabh ngigen Landeszentrums f r Datenschutz Schleswig Holstein Berichtszeitraum 2010 Redaktionsschluss 15 02 2011 Landtagsdrucksache 17 1220 33 T tigkeitsbericht des Landesbeauftragten f r den Datenschutz Dr Thilo Weichert Leiter des Unabh ngigen Landeszentrums f r Datenschutz Schleswig Holstein Kiel Impressum Unabh ngiges Landeszentrum f r Datenschutz Schleswig Holstein ULD Holstenstra e 98 24103 Kiel Mail mail datenschutzzentrum de Web www datenschutzzentrum de Satz und Lektorat Gunna Westphal Kiel Illustrationen Reinhard Alff Dortmund Umschlaggestaltung Martin Papp Eyekey Design Kiel Druck Schmidt amp Klaunig Kiel Inhalt Inhaltsverzeichnis Datenschutz in Schleswig Holstein 7 LDSG Fortschritte sind n tig und m glich 9 1 2 Die Dienststelle 11 2 Datenschutz bundesweit 13 2 1 Ein modernes Datenschutzrecht f r das 21 Jahrhundert 13 2 2 Eine rote Linie und ein Kodex 14 2 3 Stiftung Datenschutz 17 2 4 Vorratsdatenspeicherung light 19 3 Reauditierung Schleswig Holsteinischer Landtag 21 4 Datenschutz in der Verwaltung 22 4 1 Allgemeine Verwaltung 22 4 1 1 Der neue Personalausweis ein Erfolgsmodell 22 4 1 2 Umgang mit ausgesonderten Datentr gern 23 4 1 3 Datenschutzrechtliche Unterst tzung bei der Ermittlung des Kindesvaters 24 4 1 4 Namentliche Nennung von Einwohnern in der Einwohnerfragestunde 25 4 1 5 Zentrale Stellenb rse f r
83. Verwendung eines neuen Umschlages unter Revisionsgesichts punkten nicht v llig auszuschlie en Das praktizierte Verfahren hat bei der Mitar beiterin und allgemein zu erheblichem Misstrauen und einem Vertrauensverlust gegen ber den Mitarbeitern der Schule gef hrt Vom Finanzverwaltungsamt erfuhren wir dass Gehaltsmitteilungen ber das Druckzentrum von Dataport als Dienstleister versandt werden Briefe die ber dieses Druckzentrum verschickt werden sind daran zu erkennen dass sie im sogenannten Nassklebeverfahren verschlossen werden weil nur so eine maschi nelle Verarbeitung m glich ist blich sind sonst heute nur noch Briefumschl ge mit Selbstklebefolie als Verschluss Bei der gepr ften Schule waren nur noch Umschl ge mit Selbstklebefolie im Einsatz Da der vorgelegte Umschlag im Nassklebeverfahren verschlossen war konnten wir eine ffnung durch die Schule mit hoher Wahrscheinlichkeit ausschlie en Was ist zu tun Um k nftig hnliche F lle zu vermeiden sollten Schulen bei l ngerer Erkran kung den Versand von Bescheiden durch das Finanzverwaltungsamt unmittelbar an die Privatanschrift der Betroffenen veranlassen Ist dies nicht m glich sollte der Originalbrief des Finanzverwaltungsamtes in einem zweiten Umschlag an die Betroffenen weitergeleitet werden um Missverst ndnisse von vornherein zu vermeiden T tigkeitsbericht 2011 des ULD SH Allgemeine Verwaltung Einf hrung neuer elektronisch gef hrter Personenstands
84. Wirtschaft Besch ftigtenkontrolle per Video beim Discounter Die verdeckte Arbeitsplatzvideo berwachung ist grunds tzlich unzul ssig Ma nahmen zur Verhaltenskontrolle von Besch ftigten sind nur im absolu ten Ausnahmefall als letztes Mittel erlaubt Vorrang haben Ma nahmen der offenen Video berwachung Wir erhielten Hinweise dass in mehreren Filialen der Kr met Handelsgesell schaft einer Discount Kette Besch ftigte unzul ssig verdeckt per Video ber wacht werden Die heimlich und verdeckt installierten Kameras waren auf ffent lich nicht zug ngliche B ro und Pausenr ume ausgerichtet Das Verhalten der Besch ftigten wurde unter Zeitangabe bildlich erfasst Die mindestens ber mehrere Wochen vorgenommenen Aufzeichnungen wurden schwerpunktm ig unter dem Aspekt der individuellen Leistungserbringung ausgewertet und die stichwortartige Beurteilung in schriftlichen Protokollen festgehalten Mehrmali ges Nachschminken im Pausenraum Unterhaltungen der Besch ftigten usw wurden dem jeweiligen Personal zugeordnet und beispielsweise als unproduk tiv bewertet Die Installation der Videotechnik sowie die Auswertung der Videoaufnahmen wurden durch den Sicherheitsdienstleister VISAKO vorgenommen Das ULD f hrte bei beiden Unternehmen Pr fungen durch und nahm vorhandene Unterla gen in Augenschein Mit den verdeckten Videoaufzeichnungen sollten so die Aussagen Diebstahlsdelikte verhindert bzw aufgedeckt werden Aufgrund d
85. Zugang Zugriff Faxverteilung Versorgung mit und Entsorgung von Verbrauchsg tern Regelungen bei Wartungen Weiterhin sollten Regelungen zur Verwendung des Faxger tes getroffen wer den beispielsweise folgende Festlegungen e welche Daten mit dem Faxger t versendet werden d rfen e wo das Faxger t steht und wer wann Zugang zum Faxger t hat e ob ein Faxger t 24 Stunden an 7 Tagen erreichbar sein muss e wie ankommende Faxsendungen verteilt werden e dass erwartete Faxsendungen sofort am Faxger t abgeholt werden T tigkeitsbericht 2011 des ULD SH 149 150 Aus dem IT Labor e wenn das Ger t diese Funktion unterst tzt dass zum Ausdrucken am Ger t zun chst eine PIN Nummer eingegeben werden muss e wie Verbrauchsg ter entsorgt werden e wie Wartungspersonal beaufsichtigt wird Es kann sinnvoll sein ein Faxvorblatt zu erstellen das f r jede Faxsendung verwendet wird Dieses Vorblatt enth lt Informationen ber den Sender z B Faxnummer Ansprechpartner Name Telefonnummer E Mail Anzahl der folgenden Seiten und eventuell eine Unterschrift Damit kann der Empf nger nachvollziehen ob die Faxsendung vollst ndig bei ihm eingegangen ist Wurde die Faxsendung nicht vollst ndig oder fehlerhaft empfangen dann kann sich der Empf nger an den genannten Ansprechpartner wenden Um zu kontrollieren ob die organisatorischen Ma nahmen den gew nschten Sicherheitsgewinn bringen sollte ein Prozess zur Protokollierun
86. acht haben Das notwendige Verwaltungsverfahren erfordert eine schnelle Anpassung der beamtenrechtlichen Beihilfevorschriften Ende 2010 wurde das Gesetz zur Neuordnung des Arzneimittelmarktes in der gesetzlichen Krankenversicherung AMNOG verk ndet Darin wird der Kreis der berechtigten Stellen f r Arzneimittelrabatte auf Unternehmen der privaten Krankenversicherung sowie die Tr ger der beamtenrechtlichen Beihilfe erweitert Dieser Teil des Gesetzes wurde erst sehr sp t in die parlamentarische Beratung eingebracht Um kein Geld zu verschenken ist bei den notwendigen Umset zungsma nahmen Eile geboten Mit dem f r das Beamtenrecht zust ndigen Finanzministerium und dem Finanz verwaltungsamt bestand schnell Einvernehmen dass f r die zur Rabattierung notwendige Speicherung von Rezepten eine Anpassung der Beihilfevorschriften im Landesbeamtengesetz n tig ist Noch zwischen den Feiertagen konnte ein Entwurf abgestimmt und auf den Weg gebracht werden der hinsichtlich des Datenschutzes keine W nsche offenl sst Kernpunkte sind e Rezepte werden ohne Verkn pfung zum jeweiligen Beihilfevorgang aus schlie lich zu Revisionszwecken h chstens ein Jahr lang elektronisch gespei chert e Eine Daten bermittlung an die sogenannte Zentrale Stelle bzw den Treuh n der findet erst nach vollst ndiger Anonymisierung der Daten statt T tigkeitsbericht 2011 des ULD SH Allgemeine Verwaltung Was ist zu tun Nach z giger Verabschie
87. agen f r Auftraggeber im Rahmen der Auftragsdatenverarbeitung erlangt wurden Dies ist aus Datenschutzsicht heikel insbesondere wenn der Auftrag geber z B eine Bundesanstalt ist Allein ber die Tatsache der Anfrage durch diesen Auftraggeber besteht eine Zusatzinformation die wird sie dem Melde datensatz angef gt zu negativen Auswirkungen f r den betroffenen B rger f hren kann Das Angebot von RISER unterscheidet sich positiv durch die strikte Zweck bindung im Rahmen der Auftragsdatenverarbeitung von dem Angebot vieler Adressh ndler und Auskunfteien Insbesondere das Sammeln von Adressen in sogenannten Adressen oder Treuhandpools 32 TB Tz 8 7 zur Weiter verwendung ist datenschutzrechtlich problematisch und allenfalls zul ssig wenn der Addresssammler oder Treuhandpool sich seinerseits auf eine eigene Rechts grundlage f r die Datenverarbeitung berufen kann Eine Datenverarbeitung im Auftrag liegt in diesen F llen in der Regel nicht vor denn der Treuh nder spei chert die Daten f r eigene Zwecke Die Einstellung der im Rahmen einer einfa chen Melderegisterauskunft erlangten Adressdaten in den Pool erf llt nicht mehr den vom Auftraggeber verfolgten Gesch ftszweck Der Auftraggeber hat die gew nschte Auskunft erhalten und der Vorgang ist abgeschlossen Die weitere Vorhaltung der Daten ist f r diesen Auftrag nicht mehr erforderlich und dient ausschlie lich dem Dienstleister der aus dem Pool der gespeicherten Adressen
88. ange verz gert Jetzt befinden sich die Audits jedoch auf einem guten Weg Der Abschluss beider Verfahren ist f r den kommenden Berichtszeit raum geplant Um eine z gige Bearbeitung beider Auditverfahren auch bei personellen Engp s sen sicherzustellen haben das Umweltministerium und das ULD die Auditverfah ren stark aufeinander abgestimmt Im Auditverfahren K3 werden prim r die T tigkeitsbericht 2011 des ULD SH 127 128 Audit und G tesiegel sicherheitstechnischen und formalen Anforderungen an die Dokumentation das Sicherheitskonzept und die Test und Freigabeverfahren erarbeitet Im Auditver fahren BALVI konzentriert sich das Umweltministerium auf das Erstellen einer nachvollziehbaren Vertragsstruktur f r ein zentral betriebenes Verfahren Beide Verfahren stellen die Arbeitsergebnisse dem jeweils anderen Auditverfahren zur Verf gung Durch diese Arbeitsteilung und Wiederverwertung kann f r die Auditverfahren jetzt eine z gige Bearbeitung sichergestellt werden Was ist zu tun Alle Auditbeteiligten m ssen sich an die vereinbarten Terminpl ne halten um die gegenseitige Wiederverwendung von Arbeitsergebnissen zu erm glichen Stadt L beck Das ULD hat mit der Hansestadt L beck ein Auditverfahren f r das neu eingef hrte stadtweite Finanzfachverfahren MACH begonnen Im Kontext des Umstrukturierens der IT und des Fortlaufens der Verfahrenseinf hrung stellt sich das Audit als sehr ehrgeiziges Vorhaben dar das sp rb
89. anisatorische Ma nahmen der Datensicherheit e 4 Komplex Betroffenenrechte Der englischsprachige Anforderungskatalog liegt gegenw rtig in der Version vom November 2010 vor und kann im Internet abgerufen werden unter https www european privacy seal eu criteria 2010 wurde der Anforderungskatalog an die durch das Telekom Reformpaket der EU erfolgten nderungen der Datenschutzrichtlinie f r elektronische Kommunikation angepasst Das Ende 2009 verabschiedete Reformpaket das umfassende nderungen des Rechtsrahmens f r Telekommunikationsnetze und dienste vorsieht brachte aus Datenschutzsicht die Einf hrung einer Benachrichti gungspflicht f r Telekommunikationsanbieter falls personenbezogene Daten ihrer Kunden oder anderer Personen kompromittiert werden security breach notifica tion und die Versch rfung der Anforderungen an eine rechtm ige Verwen dung von Browser Cookies und hnlichen technischen Hilfsmitteln die eine Speicherung von Informationen im Endger t eines Nutzers zur Folge haben Dementsprechend ist der EuroPriSe Anforderungskatalog um zwei neue Kriterien erg nzt worden Kriterium 2 1 4 1 betrifft das neue Einwilligungserfordernis f r die Verwendung von Cookies Kriterium 4 2 1 setzt das Recht der von einer Kompromittierung personenbezogener Daten betroffenen Personen auf Benach richtigung durch den betreffenden Telekommunikationsanbieter um Der Anforderungskatalog ist dar ber hinaus auch um Fragen zur
90. ar unter Ressourcenmangel leidet Mit 210 000 Einwohnern ist die Hansestadt L beck die zweitgr te Stadt Schleswig Holsteins Zwei zentrale aktuelle Projekte sind das Umstellen des IT Betriebes von einer dezentralen zu einer zentralen Struktur sowie das Einf h ren eines neuen stadtweiten Finanzfachverfahrens Die Ergebnisse beider Projekte flie en in das begonnene Auditverfahren ein Von Anfang an hatte der bestehende Ressourcenmangel Folgen e Die Aufnahme und Analyse des eigentlichen Finanzfachverfahrens konnte bislang nicht erfolgen e Bereits das Durchf hren der IT Strukturanalyse bedeutete einen zeitintensiven Kraftakt Es zeigt sich dass der Zeitpunkt eines Audits mit Bedacht gew hlt werden sollte Gerade gro e Infrastruktur und Einf hrungsprojekte in der IT ben tigen stets eine gewisse Zeit zur Nachbereitung und Vervollst ndigung der Dokumen tation bis sie zum endg ltigen Abschluss kommen k nnen Was ist zu tun Die Hansestadt L beck sollte den begonnenen Auditprozess konsequent fortf h ren und hinreichend priorisieren T tigkeitsbericht 2011 des ULD SH Audit und G tesiegel azv Pinneberg Das Auditverfahren beim Abwasser Zweckverband Pinneberg wurde konti nuierlich vorangetrieben und steht kurz vor dem Abschluss Der Abwasser Zweckverband azv war durch seine umfangreichen Auditerfah rungen im Bereich der Qualit tsmanagement und Umweltmanagementsysteme ideal auf das Datenschutz Beh rdenaudit vorb
91. arauf an solche Portale datenschutzkonform auszugestalten Zur Bewertung von niedergelassenen rzten gibt es eine Reihe von Bewertungs portalen im Internet Alle zeichnen sich wie eine Studie nachgewiesen hat durch M ngel aus Im Zusammenhang mit der Initiative der Bertelsmann Stiftung f r mehr Transparenz im Gesundheitswesen zu sorgen der sogenannten Weissen Liste hat die Stiftung zusammen mit der AOK ein Arztbewertungsportal aufge baut das die Fehler der anderen vermeiden soll Das ULD wurde gegen Entgelt zu einzelnen datenschutzrechtlichen Fragen um Beratung gebeten Damit sollte nicht der rechtlichen Beurteilung durch die rtlich zust ndigen Datenschutzaufsichts beh rden vorgegriffen werden Den Portalbetreibern ging es darum bereits im Vorwege m glichst datenschutzkonforme L sungen zu finden Nach Meinung des ULD ist dies gelungen Das Konzept zielte von Anfang an darauf ab die Rechte der bewerteten rzte so wenig wie m glich zu beeintr chti gen Den Patientinnen und Patienten die die rzte bewerten wollen wird erm g licht ihre Bewertungen ohne Aufdeckung ihres Personenbezugs also praktisch anonym abzugeben Rechtliche Leitschnur zur Gestaltung von Bewertungsporta len ist das Urteil des Bundesgerichtshofes BGH zum Lehrerbewertungsportal Spick mich Der BGH stellte fest dass Spick mich in der vom Gericht unter suchten Ausgestaltung zul ssig war und keine Verletzung des Datenschutzrechts darstellte
92. as Callcenter einer Bank habe ihn angerufen und ihm mit geteilt etwas sei mit seinem Datenbestand nicht in Ordnung Er solle unbedingt einen bestimmten Kundenberater zur ckrufen Der Angerufene war erstaunt denn er hatte schon seit drei Jahren kein Konto mehr bei dieser Bank Er vermutete dass es sich um eine Werbemasche handelte Derartige Vorg nge werden uns immer h ufiger mitgeteilt Das Verbot der Cold Calls also von Werbeanrufen wenn keine Einwilligung des Angerufenen vorliegt hat sich mittlerweile herumgesprochen Unternehmen verschiedener Branchen bitten unter der Angabe fadenscheiniger Gr nde um einen R ckruf Der Abonnentin einer Zeitschrift wurde nach K ndigung des Abos z B postalisch mitgeteilt etwas sei mit der Abbuchung schiefgelaufen Sie solle deshalb zur ckrufen Beim R ckruf stellte sich heraus dass man ihr die Verl nge rung des Abos anbieten wollte Dabei handelt es sich um eine unzul ssige Umge hung des Cold Call Verbots Kundendaten d rfen von Unternehmen nur verwendet werden wenn es f r die Vertragsabwicklung erforderlich ist Das Nutzen von Kundendaten zur Umgehung des Cold Call Verbots ist nicht erfor derlich und deshalb unzul ssig Was ist zu tun Die telefonische Kontaktaufnahme zu Werbezwecken ist nur mit Einwilligung des Betroffenen zul ssig Spieglein Spieglein an der Kasse Mehrere besorgte B rger wandten sich an das ULD und beschwerten sich ber Spiegel d
93. ata Ware house ist deshalb bereits zu Beginn des Projektes auf eine intensive Vorbereitung Unterrichtung und Schulung der beh rdlichen Datenschutzbeauftragten und der Leitung zu achten Der Betrieb eines Data Warehouse ohne einen beh rdli chen Datenschutzbeauftragten mit spezieller Weiterbildung ist nicht datenschutz konform Das ULD empfiehlt zus tzlich die Rolle eines Data Warehouse Controllers einzuf hren der die notwendigen Kontroll und Freigabeprozesse koordiniert und revisionssicher dokumentiert Jede Anforderung einer Auswertung muss durch den Data Warehouse Controller in einen konkreten Auftrag berf hrt werden Der Auftrag zur Auswertung muss gepr ft und freigegeben werden Liegen die Ergeb nisse der Auswertung vor so sind diese wiederum zumindest auf die Vereinbar keit mit den datenschutzrechtlichen Vorgaben zu pr fen bevor sie an die anfor dernde Organisationseinheit weitergegeben werden Nur durch enge Einbeziehung der beh rdlichen Datenschutzbeauftragten und stetige Befassung der Leitung der Daten verarbeitenden Stelle kann das Risiko des permanenten Rechtsversto es angemessen behandelt werden Noch stehen Data Warehouses in der ffentlichen Verwaltung in Schleswig Holstein am Anfang ihrer Entwicklung Das ULD erh lt aber zunehmend Anfra gen In einem erfolgreichen Beratungsprojekt mit der Landespolizei Tz 4 2 2 wurden gemeinsam erste Grunds tze f r den Einsatz eines Data Warehouse fest gelegt Was ist z
94. aufgefordert Unterlagen zu ihren Scoring Verfahren vorzulegen Unser Vorgehen war abge stimmt mit dem anderer Aufsichtsbeh rden Es soll kontrolliert werden ob die Auskunfteien die neuen gesetzlichen Vorgaben zum Scoring einhalten So muss anhand eines Gutachtens belegt werden dass eingesetzte Scoring Verfahren eine wissenschaftliche Grundlage haben Die Einhaltung der neuen Transparenzvorschriften ist zur Wahrung der Betrof fenenrechte relevant weshalb wir Musterschreiben zur Auskunftserteilung anfor derten Schon eine erste Sichtung der umfangreichen Unterlagen ergab dass die Informationen ber die beim Scoring verwendeten Datenarten bei allen Unter nehmen so allgemein gehalten sind dass die Betroffenen keine wirksame Plausi bilit tspr fung durchf hren k nnen Die berpr fung ist noch nicht abgeschlos sen Was ist zu tun Auskunfteien m ssen ihre Verfahren vollst ndig mit den neuen gesetzlichen Vorgaben zum Scoring und zur Transparenz in Einklang bringen Keine Extrawurst f r die Schufa Die Schufa beliefert viele Unternehmen in Schleswig Holstein insbesondere Banken mit Scorewerten Trotzdem wollte sie dem ULD zun chst keine Informationen ber ihr Scoring Verfahren erteilen Das ULD nahm das Inkrafttreten insbesondere der neuen Scoring und Transpa renzvorschriften zum Anlass Pr fungen bei schleswig holsteinischen Banken durchzuf hren Einige Banken teilten uns mit dass sie Scorewerte der Schufa nutzen ber
95. auscht werden Die Inhalte auf dieser Zwischenfolie k nnen wiederhergestellt und ausgelesen werden unberechtigtes Auslesen von Restinformationen auf Verbrauchsmaterial Beim Einsatz von Faxservern bestehen spezifische organisatorische Gef hrdun gen In Adressb chern oder Verteilergruppen k nnen falsche bzw zu viele Empf ngeradressen gespeichert werden Das kann dazu f hren dass Faxsendun gen an falsche bzw an zu viele Empf nger verschickt werden Wenn der Drucker des Faxservers in einem ffentlichen Bereich steht k nnen unberechtigte Perso nen Kenntnisse von den ausgedruckten Faxsendungen erhalten Auch bei der automatischen Verteilung der Faxsendungen durch den Faxserver an die Empf n ger k nnen aufgrund von Zuordnungsfehlern unberechtigte Personen Kenntnis von Faxsendungen erhalten die nicht f r sie bestimmt sind Als Ergebnis bleibt Die Faxsendung erreicht nicht den Empf nger den sie erreichen sollte und der Sender geht davon aus dass die Faxsendung fehlerfrei den richtigen Empf nger erreicht hat Mit einfachen Ma nahmen k nnen diese organisatorischen M ngel gezielt mini miert werden F r das Faxger t sollte ein Systemverantwortlicher festgelegt werden der in Zusammenarbeit mit der Leitung den Fachbereichs bzw Abtei lungsleitern dem beh rdlichen bzw betrieblichen Datenschutzbeauftragten und der Administration alle technisch organisatorischen Fragen regelt und im laufen den Betrieb koordiniert z B
96. b rokratisch mit den Mitarbeitern in den ARGEn gekl rt werden Nun m ssen die Betroffenen ihre Anliegen in Bonn vortragen Auch wenn die Kollegen beim Bundesbeauftragten hervorragende Arbeit leisten so sind sie doch von den Betroffenen wie den mtern r umlich weit entfernt Die B rger des Landes k nnen sich k nftig nicht mehr an ihren Landesbeauftragten wenden um schnell und effektiv Hilfe zu bekommen Wer in Schleswig Holstein ALG II von einer ARGE bzw einem Jobcenter erh lt muss und kann sich hierzu seit dem 1 Januar 2011 an den Bundesbeauftragten f r den Datenschutz und die Informationsfreiheit in Bonn wenden F r die Kreise Schleswig Flensburg und Nordfriesland den Optionskommunen in denen die Sozialzentren das Arbeitslosengeld II gew hren bleibt das ULD jedoch weiterhin zust ndig ELENA erfasste Millionen bald wohl wieder gel scht Das ELENA Verfahren hat in jeder Hinsicht Fortschritte gemacht Die Rechtsgrundlagen wurden nachgebessert der Katalog der zu bermittelnden Daten wurde reduziert Im Praxisbetrieb sind inzwischen Millionen Daten s tze gespeichert Es bleibt aber das grunds tzliche Problem Stellt ELENA eine verbotene Daten speicherung auf Vorrat dar Die Bundesregierung beschloss im November 2010 dass ELENA wenn berhaupt erst im Jahr 2014 in den Wirkbetrieb gehen soll Im letzten Jahr hat sich einiges getan 32 TB Tz 4 5 15 Ende Februar 2010 ist die ELENA Datensatzverordnung in Kra
97. bericht 2011 des ULD SH 55 4 5 8 4 6 4 6 1 Schutz des Patientengeheimnisses Vorbildliche Schulungen die M rwiker Werkst tten Eine qualifizierte engagierte betriebliche Datenschutzbeauftragte kann vieles bewegen Ihre Arbeit h ngt aber von ihren Kolleginnen und Kollegen ab Will ein Unternehmen einen hohen Datenschutzstandard erreichen muss die gesamte Belegschaft mit dem Datenschutz vertraut sein Die Bem hungen der M rwiker Werkst tten sind insofern vorbildlich Seit 2006 erm glicht die Gesch ftsf hrung nahezu allen Mitarbeiterinnen und Mitarbei tern an Schulungen der DATENSCHUTZAKADEMIE Schleswig Holstein teilzunehmen Der Erfolg kann sich sehen lassen Werkstatt und Heimvertr ge wurden datenschutzgerecht gestaltet Schweigepflichtentbindungserkl rungen er arbeitet und das Verst ndnis der Kollegen daf r wer welche Daten der Klienten ben tigt und welche Anfragen von welchen Stellen beantwortet werden d rfen erh ht Besonders hervorzuheben ist die durchgef hrte Schulung von den zu betreuenden Besch ftigten die in einzelnen Werkstatt oder Arbeitsbereichen in Ber hrung mit personenbezogenen Daten kommen k nnen Was ist zu tun Um ein hohes Datenschutzniveau zu erreichen ist es erforderlich jeden Mitar beiter der Beh rde bzw des Wirtschaftsunternehmens mit den Vorschriften zum Datenschutz vertraut zu machen Ein Schulungskonzept ist hierf r Gold wert Schutz des Patientengeheimnisses Die neue
98. besondere zum Problem wenn in einer bestimmten Systemversion Sicherheitsm ngel entdeckt werden Bei lteren Ger ten lohnt es sich f r die Hersteller anscheinend wirtschaftlich nicht mehr ihre Produkte zu pflegen und Aktualisierungen anzubieten Findet man im Netz von der Open Source Community erstellte Updates f r so ein Ger t kann man sie nicht einspielen ohne zun chst den Herstellerschutz zu durchbrechen Letzteres ist dabei rechtlich nicht unproblematisch Im Fokus der Datensch tzer stehen weiterhin die Anwendungen Bei der Instal lation bekommt man zwar meist mitgeteilt auf welche Funktionen des Ger tes ein Programm zugreifen will Doch lassen sich die Berechtigungen nicht einzeln selektieren Man kann so nicht steuern dass ein Programm beispielsweise vom Zugriff auf Netzwerkverbindungen ausgeschlossen ist wenn man es nicht daf r T tigkeitsbericht 2011 des ULD SH 147 10 4 148 Aus dem IT Labor verwenden will Die von Anwendungen ausgehenden Risiken lassen sich so durch die Nutzer nicht einschr nken Dazu kommt dass viele Anwendungen flei ig Daten ber die Nutzer sammeln und an Server im Netz bertragen Nutzt man alle M glichkeiten eines Smart phones ist man nicht der Einzige der Nutzen daraus zieht Werden etwa GPS und WLAN aktiviert werden h ufig die eigenen Positionsdaten sowie die gefundener WLAN Access Points an Navigationsdienstleister bertragen die damit die Ergebnisse ihrer Dienste verbessern
99. bestehenden Gesetze realisierbar Die Arbeitsgruppe legt ihren Abschlussbericht nach Fertig stellung dem Innenministerium dem Landeskriminalamt und dem Landespolizei amt vor Ziele der Arbeitsgruppe sind es e die funktionalen Anforderungen an den Einsatz eines Data Warehouse bei der Polizei des Landes Schleswig Holstein zusammenzufassen e die Bedarfstr ger zu benennen e einzelne Nutzungsszenarien darzustellen e in zwei konkret benannten Lageszenarien die Anforderungen zu formulieren und e einen Ausblick auf kommende Anforderungen zu wagen Das ULD will mit diesen Ergebnissen eine Diskussion mit den Datenschutz beauftragten des Bundes und der L nder starten Auch bei den anderen Polizei beh rden in Deutschland werden zunehmend Data Warehouse Verfahren einge setzt Was ist zu tun Die Polizei ist gut beraten auf gesicherte und richtige Daten in rtus zu achten und selbstkritisch kontinuierliche Kontrollen durchzuf hren T tigkeitsbericht 2011 des ULD SH 4 2 3 4 2 4 Polizei und Verfassungsschutz Dokumentation von Daten bermittlungen Daten bermittlungen der Polizei sind nach dem Willen des Gesetzgebers in den Akten zu dokumentieren Ein Petent beschwerte sich beim ULD dass eine Kopie des Protokolls der von der Polizei vorgenommenen Durchsuchung seiner Wohnung bei einer ARGE gelandet sei Dies sei nicht zul ssig da er Rente beziehe und keine Leistungen der ARGE Das Verfahren der Polizei richtete sich ge
100. binars teilnimmt In einem Infoblatt werden die Voraussetzungen f r eine Verl ngerung der Akkreditierung explizit aufgelistet T tigkeitsbericht 2011 des ULD SH 9 3 5 Audit und G tesiegel Was ist zu tun Nach wie vor besteht bei Datenschutzexperten gro es Interesse an einer Akkre ditierung als EuroPriSe Experte Das ULD wird 2011 weitere Ausbildungs workshops f r Gutachter anbieten Abgeschlossene und laufende EuroPriSe Verfahren Eine gr ere Zahl von Erst und Rezertifizierungsverfahren sind derzeit im Gange 2010 konnten drei Erstzertifizierungen erfolgreich abgeschlossen werden Folgende IT Produkte und Dienstleistungen wurden neu zertifiziert e VALid POS Standard Edition Version 2 Bei der mit dem EuroPriSe Siegel ausgezeichneten Software VALid POS handelt es sich um eine daten sparsame L sung zur Betrugsbek mpfung beim Vor Ort Einsatz von EC und Kreditkarten an Geldautomaten und Kassenterminals wie sie z B in Super m rkten Einzelhandelsgesch ften und Restaurants zum Einsatz kommen Mit der Hilfe von VALid POS kann festgestellt werden ob sich ein zuvor regis triertes Mobiltelefon des Karteninhabers in der N he des Geldautomaten oder Kartenterminals befindet an dem die Karte eingesetzt wird Ist dies der Fall so ist es wahrscheinlich dass die betreffende Karte von der hierzu berechtigten Person und nicht von einem in betr gerischer Absicht handelnden Dritten ein gesetzt wird Mit dem Einsatz v
101. bst 2009 zur ck Wir setzen uns f r eine Verbesserung des Arbeitnehmerdatenschutzes ein und wollen Mitarbeiterinnen und Mitarbeiter vor Bespitzelungen an ihrem Arbeitsplatz wirksam sch tzen Hierf r soll das Bundesdatenschutzgesetz BDSG um einen Abschnitt zum Schutz von Besch ftigtendaten erg nzt werden So begr enswert die Entscheidung der Bundesregierung ist diese Materie end lich zu regeln so bedenklich ist der Umsetzungsversuch Der Entwurf weist handwerkliche Fehler wie auch massive inhaltliche Defizite auf Die M ngel sind derart gravierend dass die Intention des Schutzes der Besch ftigten vor dauer hafter berwachung und Kontrolle ins Gegenteil verkehrt wird Die vorgeschla genen Regeln f r eine Erg nzung des Bundesdatenschutzgesetzes versto en teil weise gegen europarechtliche und verfassungsrechtliche Vorgaben und m ssen dringend revidiert werden Ein Besch ftigtendatenschutzgesetz darf nicht mit dem Makel der Verfassungs und Europarechtswidrigkeit verabschiedet werden Der Entwurf erm chtigt Arbeitgeber zu umfangreichen Eingriffen in die Pers n lichkeits und Freiheitsrechte der Besch ftigten Bisher unzul ssige Screening Ma nahmen w rden bei Inkrafttreten dieses Entwurfs legalisiert werden In der Vergangenheit als Skandale bekannt gewordene Praktiken w rden teilweise zul ssig Bisher eindeutig rechtswidrige und von der ffentlichen Meinung abge lehnte Kontrollma nahmen durch Arbeitgeber k
102. cams ausf hrlich dargelegt und ver ffentlicht Im konkreten Fall war das ULD insbesondere von den Zoomm glichkeiten auf einen bestimmten Strand abschnitt nicht unbedingt begeistert Die Identifizierbarkeit von Menschen war aber so eingeschr nkt dass die Bilder akzeptiert werden konnten Beim Betrieb von Webcams m ssen auch die Anforderungen des Kunsturhebergesetzes KUG erf llt sein Danach d rfen Bildnisse auf denen die Personen nur als Beiwerk neben einer Landschaft oder einer sonstigen rtlichkeit erscheinen auch ohne Einwilli gung der Betroffenen ver ffentlicht werden es sei denn schutzw rdige Interessen der Abgebildeten stehen einer Ver ffentlichung entgegen Zeigen Webcams Orts oder Land schaftsaufnahmen und lassen sich einzelne Personen nur mit besonderem Zusatzwissen identifizieren so besteht f r das ULD kein Anlass zum Eingreifen Durch vorhandene Zoomfunktionen bzw Vergr erungsm glichkeiten der einzelnen Bilder k nnen durchaus schutzw rdige Interessen von Betroffenen einer Ver ffentlichung entgegenstehen wenn etwa hochaufl sende Bilder darge stellt und bestimmte r umliche Bereiche wie z B Kinderg rten Spielpl tze Toilettenanlagen Eing nge zu Justizvollzugsanstalten von der Webcam erfasst werden Derartiges fanden wir aber in Bezug auf Webcams in Schleswig Holstein nicht vor T tigkeitsbericht 2011 des ULD SH 93 94 5 8 9 5 8 10 Datenschutz in der Wirtschaft Was ist zu tun
103. ch ftsver kehr und bei der Kommunikation mit Beh rden auf die Schriftlichkeit ver zichtet werden kann Hierbei wird auch auf die Technik der elektroni schen Signatur zur ckgegriffen Identit tsbest tigungsdienste und Ver zeichnisdienste sollen das Vertrauen in die Identit t des Kommunikations partners st rken Die Nutzung von Pseudonymen soll zul ssig sein deren Aufdeckung unter bestimmten Bedingungen m glich ist T tigkeitsbericht 2011 des ULD SH 9 3 Audit und G tesiegel insbesondere des Bundesdatenschutzgesetzes des Telemediengesetzes und des Telekommunikationsgesetzes Die die Gesetze konkretisierenden Kriterien wur den mit dem Bundesbeauftragten f r den Datenschutz und die Informations freiheit abgestimmt Neben den rechtlichen Vorgaben haben diese die technisch organisatorischen Ma nahmen und die Rechte der Betroffenen im Blick F r 2011 sind Workshops mit den Anbietern von De Mail Diensten geplant um ihnen die Kriterien n herzubringen Was ist zu tun Die Diskussion um die De Mail Dienste und gegebenenfalls erfolgende nde rungen an dem Entwurf des De Mail Gesetzes sind zu beobachten Die Kriterien sind entsprechend anzupassen EuroPriSe europ isches Datenschutz G tesiegel Das im Jahr 2009 eingef hrte europ ische Datenschutz G tesiegel EuroPriSe findet europaweit Interesse und positive Resonanz Die Nachfrage steigt stetig Das ULD entwickelt diese Initiative federf hrend weite
104. ch sogleich die nach der technischen Sicherung von Staatsgeheimnissen von Betriebs und Gesch ftsgeheimnissen und der Privatsph re auf Zu diesen Fragen Antworten zu geben ist Aufgabe der Datenschutz und Informations freiheitsbeauftragten also auch des ULD Erstaunlich ist dass die gefundenen Antworten sich nur noch begrenzt in das klassische politische Spektrum von links ber die Mitte bis nach rechts einordnen lassen Dies darf nicht zur Folge haben dass nun statt der Ideologen die Techno kraten das Schicksal unserer Gesellschaft bestimmen Technik und deren Beherr schung m ssen weiterhin instrumentellen Charakter bewahren und d rfen keine ungez gelte sich selbst gestaltende Eigendynamik entwickeln Hier ber zu wachen ist nicht nur Aufgabe der kritischen ffentlichkeit und der Politik nicht nur die der Datenschutz und Informationsfreiheitsbeauftragten sondern von allen Betroffenen und Beteiligten Schleswig Holstein hat sich in der Vergangenheit dieser politischen Herausforderungen in vorbildlicher Weise angenommen Dies zeigte sich z B im engagierten Aufgreifen des Konfliktes um die Geodaten dienste von Google bei dem der Innen und Rechtsausschuss des Landtages lange bevor das Thema in der Bundespolitik angekommen war intervenierte https www datenschutzzentrum de geodaten google landtag html Weiterhin wurde dies j ngst deutlich durch die Thematisierung der Netzneutra lit t durch den Europaausschuss Die
105. chen Datenschutz Im Grundkurs Bundesdaten schutzgesetz BDSG I werden betrieblichen Datenschutzbeauftragten die Grundz ge des f r die Wirtschaft geltenden Datenschutzrechts vermittelt Anhand der sieben goldenen Regeln des Datenschutzrechts Rechtm igkeit Einwilligung Zweck bindung Erforderlichkeit Transparenz Datensicherheit und Kontrolle erhalten die Teilnehmer erste Wegweiser durch die F lle gesetzlicher Regelungen Betriebliches Datenschutzmanagement nach dem Bundesdatenschutzgesetz BDSG I und Technischer Datenschutz Systemdatenschutz nach dem BDSG SIB vertiefen diese Grundlage Gro en Zuspruch erfuhr erstmals der neu T tigkeitsbericht 2011 des ULD SH DATENSCHUTZAKADEMIE Schleswig Holstein eingerichtete dreit gige Lehrgang Betrieblicher Datenschutz Kompakt BDK der die Inhalte der drei vorgenannten Kurse in handlungsoptimierter und praxis bezogener Form zusammenfasst und so den Absolventen einen guten Start in ihre T tigkeit als betriebliche Datenschutzbeauftragte gibt Zunehmende Sensibilisierung im medizinischen Bereich in Bezug auf st ndige Neuerungen im Gesundheitswesen f hrten auch bei den Kursen Datenschutz im Krankenhaus DK und Datenschutz in der Arztpraxis AR zu reger Nach frage Der neue Kurs Gesundheitsdaten in Betrieb und Verwaltung GDB richtet sich an Personalverantwortliche in Betrieben und ffentlicher Verwaltung sowie an die betriebs rzt
106. cht offensichtlich dass hier auf politischer wie auf admi nistrativer Ebene schnell und grunds tzlich gehandelt werden muss wenn die Erosion der informationellen Selbstbestimmung im weltweiten Netz gestoppt werden soll Dabei spielt die Europ ische Union mit ihren Regulierungsm glich keiten eine zunehmende Rolle Tz 11 1 Eine neue datenschutzkonforme Rundfunkfinanzierung braucht das Land Die grundlegende Reform des Systems der Erhebung der Rundfunkgeb hren sieht vor die bisherige ger tebezogene Geb hr durch einen Beitrag f r jede Wohnung bzw Betriebsst tte zu ersetzen Der Regelungsvorschlag ist gekennzeichnet durch die Schaffung umfassender Erhebungsbefugnisse und die Verletzung fundamentaler Prinzipien des Datenschutzrechts Ziel des Systemwechsels ist die Wahrung der Finanzsicherheit f r die ffentlich rechtlichen Rundfunkanstalten Ausl ser hierf r war nicht die Ausforschung der Geb hrenpflichtigen sondern dass Rundfunkger te von sonstigen IT Ger ten nicht mehr eindeutig unterschieden werden k nnen und so jeder Computer die Geb hrenpflicht ausl ste Das neue Beitragsmodell sollte auch eine h here Bei tragsgerechtigkeit und eine datenschutzgerechtere Beitragserhebung gew hr leisten Ankn pfungspunkt des neuen Beitrags wird die Wohnung bzw die Betriebsst tte sein S mtliche Bewohnerinnen und Bewohner einer Wohnung werden als Gesamtschuldner f r die Zahlung des Rundfunkbeitrags haften Die Beitragssc
107. d Materialien abgerufen werden k nnen Wir meinen dass sich der personelle und zeitliche Aufwand lohnt Die Jugendlichen werden zum Nachdenken veranlasst und gehen vorsichtiger mit pers nlichen Daten im Internet um Was ist zu tun Wir werden das Netzwerk Medienkompetenz weiter tatkr ftig unterst tzen T tigkeitsbericht 2011 des ULD SH 65 66 4 7 2 4 7 3 Wissenschaft und Bildung Elektronische Lernplattformen und der Datenschutz Die Schulen setzen zunehmend f r organisatorische Zwecke f r die Kom munikation zwischen Lehrern und Sch lern und f r die Verteilung von Unterrichtsmaterial verschiedene elektronische Verfahren ein Diese als Lernplattformen oder digitale Lehrerzimmer bezeichneten Verfahren m ssen mit dem Datenschutz in Einklang stehen Lernplattformen wie InfoMentor lo net Fronter oder Moodle sollen f r eine breitere und schnellere Kommunikation zwischen Sch lerinnen und Sch lern Eltern Lehrkr ften und Schulleitungen sorgen Diese sind nicht nur f r die Kommunikation und die schulische Organisation n tzlich sondern auch f r den Austausch schulischer Aufgaben von Lehrkr ften mit Sch lerinnen und Sch lern Dabei werden personenbezogene Daten verarbeitet Einige dieser Plattformen werden von privaten Anbietern kostenfrei auf deren Servern angeboten Infrage steht somit auch dort die sichere Speicherung der Daten Das Bildungsministerium hat bisher keine regelnden Empfehlungen f r die
108. d ist der Einsatz des Dienstes datenschutz rechtlich nicht zu beanstanden http www datenschutzzentrum de geodaten Nach Angaben des Unternehmens hatte die Google Inc bereits im Fr hjahr 2010 90 Deutschlands erfasst Das systematische Fotografieren der Stra enz ge und die Ver ffentlichung im Internet ist eine Erhebung und Verarbeitung perso T tigkeitsbericht 2011 des ULD SH 7 3 Neue Medien nenbeziehbarer Daten denn die von der Erfassung betroffenen Immobilien geben Auskunft ber die Lebenssituation der dort Wohnenden Die mit den Aufnahmen verkn pften Angaben zur Georeferenzierung k nnen als Ankn pfungspunkt f r weitere Informationen dienen und haben das Potenzial zur Profilbildung Im Zuge der Diskussionen um die Zul ssigkeit der Erstellung und Ver f gt Tara fentlichung der Bildaufnahmen teilte die Google Inc mit nicht nur Fotos Bei einem Laserscan werden Ober erstellt zu haben Per Laserscan wurde fl chen zeilen oder rasterartig durch ein dreidimensionales Abbild der foto einen Laserstrahl abgetastet Das grafierten H user und der Umgebung erstellt Mit dieser Vermessung sollen die Bilder in ein grafisches Modell vermessenen Objekte u a virtuell als eingebunden werden Die erfassten Bild oder 3 D Grafik dargestellt wer Stra enz ge k nnen so dreidimensio den nal dargestellt werden Das ULD meint dass f r diese personenbeziehbaren Messdaten ebenfalls die genannten Datenschutzanforderun
109. datenschutzrechtlichen Vorgaben beachtet werden Ziel des Modellvorhabens ist es Unternehmen durch einen externen Fachberater bei der Suche nach Besch ftigungen f r Menschen mit Behinderungen bei Beset zung und Sicherung solcher Arbeitspl tze zu unterst tzen Zwangsl ufig ben tigt der Fachberater hierf r nicht nur Informationen ber den jeweiligen Betrieb sondern auch ber die Betroffenen und deren gesundheitliche Einschr nkungen Zudem muss sich der Fachberater mit verschiedenen Betrieben und Beh rden ber diese Informationen austauschen Sowohl das Erheben als auch das bermitteln von Daten ist nur mit der aus dr cklichen Einwilligung der Betriebe und der Menschen mit Behinderungen zul ssig F r eine wirksame Einwilligung ist die Transparenz der beabsichtigten Datenerhebung und bermittlung entscheidend Gemeinsam mit dem Ministe rium wurden detaillierte Informationstexte und datenschutzgerechte Einwilli gungserkl rungen erarbeitet Hierbei wurde auf die im Jahr 2009 mit dem damals zust ndigen Ministerium entwickelten Mustererkl rungen und Hinweistexte f r einen Datenaustausch zwischen Jugendgerichtshilfen und Arbeits mtern bzw Jobcentern zur ckgegriffen 32 TB Tz 4 5 13 Was ist zu tun Damit ein Fachberater Daten von Betrieben und Menschen mit Behinderun gen erheben speichern und mit anderen Stellen oder Beh rden austauschen darf bedarf es der wirksamen Einwilligung der Betroffenen T tigkeits
110. de 2008 ein Vorabentscheidungs ersuchen des Oberverwaltungsgerichts Nordrhein Westfalen zur Zul ssigkeit der Speicherung von Daten ber Unionsb rger im Ausl nderzentralregister AZR dahin gehend beantwortet dass der Gebrauch eines solchen zentralen Registers T tigkeitsbericht 2011 des ULD SH 71 72 Ausl nderverwaltung f r Unionsb rger nur legitim und mit dem Verbot der Diskriminierung aus Gr n den der Staatsangeh rigkeit vereinbar ist wenn das Register zur Unterst tzung der mit der Anwendung aufenthaltsrechtlicher Vorschriften betrauten Beh r den genutzt wird Die Speicherung von Daten ber Unionsb rger zum Zweck der allgemeinen von der Staatsangeh rigkeit unabh ngigen Kriminalit tsbek mpfung hat der EuGH dagegen als eine unzul ssige Diskriminierung angesehen Diese Vorgaben m ssen gesetzlich und in der Praxis umgesetzt werden Das Bundesministerium des Innern legte den Referentenentwurf eines AZR Geset zes vor zu dem das ULD Stellung genommen hat www datenschutzzentrum de polizei 20100813 stellungnahme auslaenderzentralgesetz html In der Praxis m ssen die einschr nkenden Vorgaben des EuGH schon heute beachtet werden Dies gilt f r die Beantwortung von beh rdlichen Auskunftsersu chen an das AZR Beziehen sich diese auf Unionsb rger dann darf eine Auskunft nur erteilt werden wenn sie f r spezifische ausl nderrechtliche Zwecke ben tigt und verwendet wird in keinem Fall aber f r Zwecke der Strafver
111. des Namens angesprochen werden k nnen Bildaufnahmen sind personenbezogene Daten deren Verarbeitung einer Rechts grundlage bedarf F r eine rztliche Behandlung sind Fotos au erhalb der Behandlungsdokumentation nicht erforderlich Mangels gesetzlicher oder vertrag licher Grundlage bedarf es f r ein Fotografieren der Patienten und Speichern der Bilder der Einwilligung der Patienten die eine Unterrichtung ber die Verwen dungszwecke voraussetzt Angesichts der nachvollziehbaren Gr nde f r die Foto aufnahme werden Patienten eine Einwilligung in der Regel nicht verweigern Umso unverst ndlicher war die unterlassene Unterrichtung der Patienten vor der Aufnahme und ber deren Zweck Ohne Einwilligung angefertigte Bildaufnahmen sind zu l schen Bei den zur Wiedererkennung angefertigten Bildern handelte es sich nicht um handlungsrelevante Daten die als Teil der Patientenakte zu verwahren waren Die Praxissoftware muss die L schung der Bilder technisch vorsehen Was ist zu tun Wer von Kunden oder Patienten zus tzliche Daten wie ein Gesichtsbild erheben will ben tigt eine Einwilligung der Betroffenen Diese sind zuvor ber die Art der Daten und deren Verwendungszweck zu unterrichten Wenn einem Arzt der Laptop gestohlen wird rzte sind gut beraten wenn sie ihre elektronischen Patientendaten ver schl sselt speichern Nur so ist auszuschlie en dass bei Verlust eines Rech ners oder eines Laptops der Finder Kenntnis von Pat
112. die Landesverwaltung 26 4 1 6 Kosten und Leistungsrechnung f r EU Projekte 27 4 1 7 Versand von Besoldungs und Beihilfebescheiden im Bereich der Schulen 28 4 1 8 Einf hrung neuer elektronisch gef hrter Personenstandsregister 29 4 1 9 Rabatte f r Arzneimittel auch f r Beihilfestellen 30 4 1 10 Solardachkataster sind datenschutzkonform m glich 31 4 2 Polizei und Verfassungsschutz 32 4 2 1 Jugend Taskforce zur Bek mpfung von Jugendkriminalit t 33 4 2 2 Das Verfahren rtus 34 4 2 3 Dokumentation von Daten bermittlungen 37 4 2 4 Protokollierung ein offenbar unl sbares Problem 37 4 2 5 Falsch verbunden Mobilfunknotrufe 112 und die Polizei 38 4 2 6 INPOL Arbeitsgruppe der Datensch tzer ohne Chancen 39 4 2 7 Volltextrecherche bei Sicherheitsbeh rden ein Paradigmenwechsel 39 4 2 8 NADIS neu Datensch tzer auch hier nicht erw nscht 40 4 2 9 Video berwachung ffentlicher Pl tze 41 4 2 10 Verfassungsbeschwerden gegen das Bundeskriminalamtgesetz 43 4 3 Justizverwaltung 44 4 3 1 Telefonieren im Strafvollzug noch nicht die letzte Fortsetzung 44 4 3 2 Grundbucheinsicht f r Versorgungsunternehmen 44 4 3 3 Vorabkontrolle einer neuen MESTA Schnittstelle 46 4 4 Verkehrsangelegenheiten Fahrerlaubnisse au er Kontrolle 46 4 5 Soziales 47 4 5 1 Ab2011 ist das ULD nicht mehr f r die ARGEn zust ndig 47 4 5 2 ELENA erfasste Millionen bald wohl wieder gel scht 48 4 5 3 Datenschutz bei der hausarztzentrierten Versorgung 50 4
113. die Suchanfrage den Veranlasser der Abfrage anzugeben oder diesen in einem Nachweis zu protokollieren Mittlerweile wies das BAMF alle Nutzer des automatisierten Abrufverfahrens darauf hin dass ein Abruf von Daten ber Unionsb rger nur noch mit der Angabe eines Verwendungszwecks zur Anwendung aufenthaltsrechtlicher Vorschriften statthaft ist Der Verwendungszweck ist nach einer Dienstanweisung des LKA in der Suchmaske in dem daf r urspr nglich nicht vorgesehenen Feld Veranlasser eingetragen Durch die Verwendung von Abk rzungen wird sichergestellt dass auch die Angaben zum Veranlasser noch in das Feld passen T tigkeitsbericht 2011 des ULD SH 4 9 2 4 9 3 Ausl nderverwaltung Was ist zu tun Das Ausl nderzentralregistergesetz und die Gestaltung des automatisierten Abrufverfahrens m ssen z gig ge ndert werden damit eine europarechtskon forme Nutzung des Ausl nderzentralregisters erfolgt Protokollierung der Abrufe aus dem Ausl nderzentralregister Bei der Kontrolle des Abrufverfahrens aus dem AZR sind gravierende L cken in der Protokollierung der Abrufe deutlich geworden Nach dem AZR Gesetz hat die Registerbeh rde bei Abrufen anderer Stellen Auf zeichnungen zu fertigen aus denen u a der Zweck des Abrufs und die f r den Abruf verantwortliche Person hervorgehen Die Angabe des Zwecks ist von grundlegender Bedeutung f r eine Kontrolle der Zul ssigkeit der Abrufe nicht nur zur Verhinderung der oben dargestel
114. die bei vielen Anbietern von Internetdiensten eher schwachen Mechanismen zur Identit tspr fung H ufiges Ziel sind die Profile der Betroffenen in sozialen Netzwerken In mehreren F llen ver nderten die Angreifer bestehende Profile oder erstellten einfach konkurrierende oder neue Profile in Facebook studiVZ oder meinVZ Diese Profile wurden durch das Hintergrundwissen der Angreifer so gut mit Informationen gef llt dass Besu chern dieser Profile die F lschung nicht auffiel T tigkeitsbericht 2011 des ULD SH 113 114 Neue Medien Die Angreifer nutzten diese gef lschten Profile um Bekannte Freunde und Arbeitskollegen der Betroffenen zu kontaktieren und so das soziale Netzwerk der Person zu bernehmen Daraufhin wurden im Profil z B diffamierende u e rungen ber die angebliche sexuelle Freiz gigkeit der Betroffenen finanzielle Probleme laufende Strafverfahren oder hnliches verbreitet F r die Betroffenen haben diese Angriffe weitreichende Konsequenzen sie stellen oft eine unertr g liche Belastung der famili ren und beruflichen Beziehungen dar Zun chst raten wir allen Betroffenen bei der zust ndigen Polizeidienststelle Anzeige zu erstatten Die Anbieter von sozialen Netzwerken reagieren h ufig nach Kenntnisnahme solcher Angriffe mit dem simplen L schen der kompromit tierenden Inhalte Dies hilft oft aber nur kurzfristig weil die Angreifer schnell ein neues Profil unter gleichem Namen erstellen oder eine andere
115. diesem Motto wurde die Zust ndigkeit f r Datenschutzkontrollen beim Arbeitslosengeld auf den Bund bertragen Tz 4 5 1 und die Verfahren zur hausarztzentrierten Versorgung gestaltet Tz 4 5 3 Ab 2011 ist das ULD nicht mehr f r die ARGEn zust ndig Mit dem Gesetz zur Weiterentwicklung der Organisation der Grundsiche rung f r Arbeitssuchende wurde festgelegt dass ab Januar 2011 f r die Datenschutzkontrolle der ARGEn ausschlie lich der Bundesbeauftragte zust ndig ist Seit Einf hrung des Arbeitslosengeldes II ALG II im Jahr 2005 berwachten der Bundes und die Landesbeauftragten f r den Datenschutz gemeinsam die Ein haltung datenschutzrechtlicher Vorschriften bei den ARGEn bzw Jobcentern Zentrale Vorgaben der Bundesagentur f r Arbeit BA pr fte der Bundesbeauf tragte die Landesbeauftragten waren f r die Fragen der Betroffenen zum eigenen Fall zust ndig Damit ist nun Schluss Diese Gesetzes nderung ist aus Daten schutzsicht ein gewaltiger R ckschritt Es bestand keine Notwendigkeit die in sechs Jahren erprobte und bew hrte Zusammenarbeit zwischen dem Bundes und den Landesbeauftragten per Gesetz zu beenden und die Datenschutzaufsicht ins ferne Bonn zu verlagern https www datenschutzzentrum de presse 201005 10 jobcenter htm T tigkeitsbericht 2011 des ULD SH 47 48 4 5 2 Soziales Im Jahr 2010 waren Eingaben von ALG II Empf ngern wieder ein Schwerpunkt unserer Arbeit Viele Anliegen konnten un
116. dnungsgem abgeben Was ist zu tun M gliche Schwachstellen bei der Einhaltung der Datensicherheit sollten im Vorfeld erkannt und beseitigt werden Kommt es gleichwohl zu Zwischenf llen bei denen Dritte unrechtm ig Kenntnis von Daten erlangen so sind dar ber das ULD als Aufsichtsbeh rde sowie die Betroffenen zu informieren Wenn ein Augenoptiker seine Kundendaten verkaufen will Ein Augenoptiker unterliegt nicht der rztlichen Schweigepflicht darf aber Daten seiner Kunden nicht ohne deren Einwilligung ver u ern Bei einer Gesch fts bergabe ist auch das 2 Schrank Modell zu praktizieren Kundendaten eines Augenoptikers sind in gro em Umfang auch Angaben zur Gesundheit Der Verkauf dieser Daten stellt eine bermittlung dar f r die es einer ausreichenden Befugnis bedarf Mangels gesetzlicher bermittlungsbefug nis kommt ausschlie lich die wirksame Einwilligung der betroffenen Kunden in Betracht Ein Optiker hatte die Kundendaten eines Petenten verkauft ohne diesen zu fragen Der Optiker begr ndete dies damit dass der Erwerber seines Gesch ftes u a Garantie und Gew hrleistungsanspr che abdecken w rde Zudem sei es f r eine vollst ndige Versorgung hilfreich die augenoptische Vorgeschichte eines Kunden zu kennen So gut gemeint dies sein mag so ersetzt das nicht die Einwilligung der Kunden Sicher ist es nicht m glich jeden Kunden zu befragen ob dieser mit der Ver u erung seiner Daten einverstanden
117. dung des Gesetzes ist dieses ad quat umzusetzen 4 1 10 Solardachkataster sind datenschutzkonform m glich Die Landeshauptstadt Kiel soll ein Solardachkataster erhalten Nach ent sprechender Beratung durch das ULD wird auf schutzw rdige Betroffenen interessen geachtet Mit dem Ziel der F rderung CO neutraler Energieerzeugung beschloss die Rats versammlung der Landeshauptstadt die Einrichtung eines Solardachkatasters in Form eines Geoinformationssystems Darin sollte der Eignungsgrad der Dach fl chen in Kiel f r die solarenergetische Nutzung dargestellt werden auch als Entscheidungshilfe f r Hauseigent mer bez glich Investitionen in eine eigene Solaranlage Das Solarkataster basiert auf hochaufgel sten digitalen Oberfl chenmodellen und Orthofotos farbigen Luftbildern mit einer Bodenaufl sung von 5 cm pro Pixel sowie einer Stadtkarte in einem Ma stab von 1 10 000 Gr e Geometrie Ausrichtung Neigungswinkel und Verschattung der einzelnen Dachfl chen sowie das minimale maximale und mittlere Strahlungspotenzial werden erfasst berech net und dargestellt Die Daten sind georeferenziert also mit Raumkoordinaten verkn pft sodass sie einem bestimmten Ort auf der Erdoberfl che zugeordnet und mit anderen ebenfalls georeferenzierten Informationen verschnitten d h kombi niert werden k nnen Das individuelle Solarenergieerzeugungspotenzial jeder Dachfl che also die Menge nutzbarer Strahlung je Geb udedach wird in ei
118. e 116 147 T tigkeitsbericht 2011 des ULD SH 165 166 P Patientenakten 60 Patientendaten 52 56 61 Personalaktendaten 26 Personalausweis 22 Personaldaten 27 Personendaten 15 100 Personenstandsregister 29 PIN Verfahren 82 Polizei 32 34 37 38 39 PrimeLife 115 Privacy and Identity Management for Europe PRIME 115 Privacy Enhancing Technologies PET 102 Privacy Open Space PrivacyOS 122 Protokollierung 37 46 73 104 106 150 Pr fungen 106 107 108 Pseudonymisierung 27 58 R Radio Frequency Identification RFID 123 Rasterfahndung 43 Registry Information Service on European Residents RISER 120 Rundfunkgeb hren 110 S Safe Harbor 152 Schufa 80 Schule 28 68 Sch lerdaten 66 Schweigepflicht 51 53 56 63 Schweigepflichtentbindungserkl rung 55 84 Scoring 80 84 Sicherheitsbeh rden 32 39 Smart Meter 86 Smartphone 135 147 Solardachkataster 31 Sommerakademie 161 Staatsanwaltschaft 37 Steuerverwaltung 70 Stiftung Datenschutz 17 Strafvollzug 44 Systemdatenschutz 96 Index T TClouds 118 Techniker Krankenkasse TK 53 Telekommunikations berwachung 43 Telemediengesetz TMG 15 Tracking 145 Transparenz 26 64 87 102 U berwachung 106 ULD Innovationszentrum ULD i 115 Umweltinformationsgesetz UIG 155 Unabh ngiges Landeszentrum f r Datenschutz ULD 11 94 Vv Vereine 85 156 Verfahren 35 120 Verfassungsschutz 32 40 Verhaltenskontrolle 79 Verh l
119. e Bank zust ndige Datenschutz beauftragte Nordrhein Westfalens verh ngte gegen diese ein Bu geld wegen eines schweren Versto es gegen das Bankgeheimnis Was ist zu tun Daten ber Kontobewegungen sind besonders sensible Daten Sie d rfen weder von Handelsvertretern noch von der kontof hrenden Bank zu Werbezwecken verwendet werden Auskunfts und L schpflichten der Banken Ein unvollst ndig beantwortetes Auskunftsersuchen eines Bankkunden gegen ber seiner Bank offenbarte dass Kontaktdaten des Kunden seit ber zehn Jahren in einer Interessentendatei gespeichert waren Ein frischer Bankkunde hatte seine Bank um Auskunft gebeten wie seine seit Jahren veralteten E Mail Adressen und Faxnummern in seinen Datensatz bei der Bank gelangt waren Die Serviceabteilung der Bank meinte er m sse die Kontaktdaten selbst angegeben haben Eine detaillierte Herkunft der Daten k nne nicht nachvollzogen werden Der Kunde war sicher dass er die seit Jahren inakti ven Adressen nicht angegeben hatte und vermutete illegale Datenquellen Unser Nachhaken und eine gr ndliche Recherche brachten als Datenquelle eine seit mehr als zehn Jahren bestehende Interessentendatenbank hervor Der Bank kunde hatte sich schon vor zw lf Jahren als Interessent an die Bank gewandt und die inzwischen veralteten Daten angegeben Es kam damals nicht zu einem Vertragsschluss Trotzdem blieb er mit seinen Kontaktdaten bis ins Jahr 2010 im System der Bank gespeichert
120. e Techniker Krankenkasse TK zust ndigen Bundes beauftragten f r den Datenschutz und die Informationsfreiheit BfDI suchten wir das TK rztezentrum im Gut Nehmten bei Pl n auf Fast 100 rztinnen und rzte sind dort damit besch ftigt j hrlich ber 140 000 Anrufe entgegenzuneh men Der Vorstand des Zentrums der ife Gesundheits AG best tigte uns dass gespeichert wird wer wann und aus welchem Grund anruft Der TK werde u a eine t gliche Kontakthistorie bermittelt Diese enthalte neben der Versicher T tigkeitsbericht 2011 des ULD SH 53 54 4 5 6 Soziales tennummer auch den Anrufgrund Es bestand Konsens dass diese Daten der rzt lichen Schweigepflicht unterliegen Bei dem Dienstleister sah man jedoch keine Notwendigkeit die Anrufer ber die bermittlung der Daten zu informieren bzw diese um ihre Zustimmung zu bitten Gemeinsam mit unseren Kollegen vom BfDI mussten wir sowohl die TK sowie deren Dienstleister eines Besseren belehren Jeder Anrufer muss zu Beginn des Telefonates ausdr cklich darauf hingewiesen werden wer sich hinter dem TK rztezentrum verbirgt welche Daten gespeichert und welche Daten an die TK bermittelt werden Die Anrufer m ssen die M glichkeit erhalten einer Daten bermittlung zu widersprechen Der BfDI forderte die TK auf nach strengen Kriterien zu pr fen welche Daten bermittelt werden m ssen Gen gen nicht pseudonymisierte Daten Die der TK bermittelten Daten unter
121. earbeit und das in der Praxis an Bedeutung gewinnende Whistleblowing Der Entwurf ist gepr gt vom grunds tzlichen Argwohn der Arbeitgeber gegen ber ihren Besch ftigten Das f r eine nachhaltige Besch ftigungsbeziehung erforderliche Vertrauen zwischen den Beteiligten wird nicht gef rdert Unter Missachtung des Verh ltnism igkeitsgrundsatzes werden die berwachung und die Kontrolle von Besch ftigten durch Arbeitgeber legalisiert Dies sch rt eine Atmosph re des Misstrauens Bestehende Vertrauensbeziehungen zwischen Arbeitgebern und Arbeitnehmern drohen zugunsten eines Klimas der berwa chung und Bespitzelung verloren zu gehen Zweck des Besch ftigtendatenschutzgesetzes sollte sein innerhalb der Unter nehmen Vertrauen seitens der Besch ftigten daf r zu schaffen Der Schutz ihrer Pers nlichkeitsrechte dient zugleich der Umsetzung von Compliance Anforde rungen und der F rderung der Produktivit t Entgegen anderen Entw rfen sieht der aktuelle Regierungsentwurf eine Erg n zung des BDSG vor Ziel ist scheinbar eine enge Verbindung der allgemeinen datenschutzrechtlichen Regeln mit den Regeln zu Besch ftigungsverh ltnissen Dies wird erkauft mit einer Vielzahl von Nachteilen e Besch ftigten und Arbeitgebern w re ein separates Besch ftigtendatenschutz gesetz besser vermittelbar e Die Regulierung im BDSG erschwert die Vermittlung in der Praxis und die praktische Anwendung z B durch Aushang im Betrieb e Die Aufna
122. eauftragte f r den Datenschutz und die Informationsfreiheit BfDD und das ULD regten an die Pflicht zur Speicherung auf bestimmte Verkehrs daten und auf eine kurze Dauer zu beschr nken Zwar wurde dieses Eintreten f r eine Vorratsdatenspeicherung light von anderen Datensch tzern heftig kriti siert Doch ist auch von dieser Seite anzuerkennen dass der Polizei wirksame Strafverfolgung im Internet m glich sein muss Mit einem offenen Brief forderte das ULD den Pr sidenten des BKA und Polizeiverb nde auf hier ber im Detail zu diskutieren und so die aktuelle politische Blockade bei diesem Thema aufzul sen Diese Blockade kann in niemandes Interesse liegen Die Gespr chsangebote des ULD fielen auf fruchtbaren Boden In einem Vorschlag des Bundesjustiz ministeriums zur Vorratsdatenspeicherung sind unsere Anregungen ber cksich tigt https www datenschutzzentrum de presse 20101123 offener brief vorratsdatenspeicherung htm Was ist zu tun Alle Beteiligten m ssen sich gemeinsam an einen Tisch setzen um effektive grundrechtsvertr gliche Vorgehensweisen zur Bek mpfung der Kriminalit t im Internet zu entwickeln T tigkeitsbericht 2011 des ULD SH Reauditierung Schleswig Holsteinischer Landtag Reauditierung Schleswig Holsteinischer Landtag Ziel eines Konzeptes f r das Zutrittssystem und die Video berwachung des Landtages muss es sein im aus Sicherheitsgr nden u erst sensiblen Parla ment ein H chstma an Gefahre
123. echanismen in den Fokus gestellt Im vergangenen Jahr waren so durch Angebote der DATENSCHUTZAKADE MIE insgesamt 1 216 Personen auf ganz unterschiedlichen Ebenen mit Daten schutzfragen befasst Als sehr arbeitsintensiv und anspruchsvoll gestaltete sich der neu eingef hrte Power Lehrgang Datenschutz amp Datensicherheit 20 Teilnehmer trafen sich in acht 7 st ndigen Workshops im ULD um sich ein qualifiziertes Wissen zum technisch organisatorischen Datenschutz mit dem Schwerpunkt auf Client Server Umgebungen unter Windows 2003 2008 zu erwerben Eine externe Festplatte auf der sich mehrere bungsumgebungen VMware Images von Client Server Betriebssystemen befinden ging zum Kursende in den Besitz der Teilnehmer ber Im von den Dozenten f r die Kursdauer bereitgestellten E Learning Forum konnte untereinander diskutiert und Fragen zum Lehrinhalt gestellt werden T tigkeitsbericht 2011 des ULD SH 161 162 DATENSCHUTZAKADEMIE Schleswig Holstein Diese Erfahrungen mit E Learning Methoden gingen in die Vorbereitun NEU NEU NEU NEU gen f r neue Kurse in diesem Lern Workshop modus ein die 2011 erstmals einge Datenschutz in Online Spielen f hrt werden Linux als Serversystem DOS sicher einsetzen LINUX und Netz werksicherheit NET vgl Jahrespro Die Entwicklung und der Betrieb von gramm 2011 S 38 39 werden im u n Ra a kommenden Jahr als E Learning Ver ni me er ae anstaltung mit einem
124. egen Vorratsdatenspeicherung light Mit einem Urteil vom M rz 2010 hat das Bundesverfassungsgericht das Gesetz f r verfassungswidrig erkl rt wonach Telekommunikationsanbieter zu einer sechsmonatigen Vorratsspeicherung von Verkehrsdaten verpflichtet wurden Seitdem stehen sich Gegner und Bef rworter kompromisslos gegen ber Das Bundesverfassungsgericht hat eine Vorratsspeicherung von Verkehrsdaten aus der Telekommunikation TK nicht grunds tzlich verworfen wohl aber deren u erste verfassungsrechtlichen Grenzen aufgezeigt Auf EU Ebene soll im Jahr 2011 eine Evaluation der Speicherpflicht erfolgen wobei eine nderung der europ ischen Vorgaben nicht ausgeschlossen ist Zudem soll der Europ ische Gerichtshof berpr fen ob die Vorratsdatenspeicherpflicht mit der EU Grund rechtecharta in Einklang steht Es geh rt zu den politischen Gestaltungspflichten nicht das maximal M gliche an Grundrechtseinschr nkungen vorzusehen sondern das N tige und Sinnvolle Angesichts des Umstandes dass das Internet zum umfassenden Kommunikations netz der Zukunft wird sind rechtliche organisatorische und technische Rahmen bedingungen zu schaffen die einerseits eine wirksame Gefahrenabwehr und Strafverfolgung erm glichen andererseits aber hierbei einen effektiven Grund rechtsschutz insbesondere der unbescholtenen und nicht verd chtigen Masse der Bev lkerung zu sichern Die Diskussion zur Vorratsdatenspeicherung entwicke
125. eide Bereiche werden jeweils eigenst ndig von einem Leiter gef hrt Die in der Pr fung erkannten M ngel wurden bereits w hrend der Pr fungen vor Ort bewertet m gliche Ma nahmen zur M ngelbehebung wurden besprochen und in einigen F llen wurde die Behebung sofort gestartet Andere M ngel mussten mit den Herstellern der Leitstellensysteme der Betriebsmannschaft vor Ort und im Landespolizeiamt im Nachgang bewertet und in einen Plan zur M ngelbehe bung aufgenommen werden Die Pr fung zeigte dass eine unabh ngige Kontrolle bei Gro projekten wie der Kooperativen Leitstelle ein wichtiger Baustein der Qualit tssicherung sein kann Die Kontrollergebnisse von Harrislee werden in die vereinbarten Pr fungen der brigen Kooperativen Leitstellen in Schleswig Holstein einflie en Was ist zu tun Die Kooperative Leitstelle muss die durch das ULD aufgezeigten sicherheits technischen M ngel beheben Das Innenministerium muss sicherstellen dass die gew hlten Ma nahmen zur M ngelbehebung auch in den anderen Kooperativen Regionalleitstellen wirksam werden Pr fung beim Wasser und Bodenverband Ostholstein Eine Software die das private Surfen im Internet verhindern soll bietet gleichzeitig die M glichkeit automatisch zu protokollieren welche Program me wie lang auf den PCs von Mitarbeitern laufen Findet eine automatisierte verdeckte berwachung der Mitarbeiter PCs statt In einer Petenteneingabe wurde eine auf den Arbeits
126. einem effektiven Verfahren zur Unterst t zung der beabsichtigten Personaleinsparungen und den Pers nlichkeitsrechten der betroffenen Mitarbeiter T tigkeitsbericht 2011 des ULD SH Allgemeine Verwaltung Kosten und Leistungsrechnung f r EU Projekte Die finanzielle F rderung durch EU Forschungsmittel im Bereich der Uni versit ten erfordert einen detaillierten Zeit und Kostennachweis f r die beteiligten Mitarbeiter Da das Personalaktenrecht keine ausreichende Erm chtigung zur Weitergabe von Personaldaten an die EU enth lt kann die L cke nur durch eine Dienstvereinbarung mit dem Personalrat geschlos sen werden In der beabsichtigten Neuregelung des Besch ftigtendatenschutzes ist es aus dr cklich vorgesehen Andere Rechtsvorschriften im Sinne dieses Gesetzes sind auch Betriebs und Dienstvereinbarungen In diesem Sinne betrachten wir Dienstvereinbarungen mit dem Personalrat als ausreichende Erm chtigung zur Verarbeitung von Personaldaten zumal das Personalaktenrecht insoweit keine abschlie enden Regelungen enth lt Das Ministerium f r Wissenschaft Wirt schaft und Verkehr bat das ULD beim Entwurf einer Musterdienstvereinbarung f r eine Kosten und Leistungsrechnung zur Abrechnung von Drittmittelprojekten behilflich zu sein Unsere Aufgabe bestand darin die Anforderungen der EU und des Datenschutzes in Einklang zu bringen und gleichzeitig daf r zu sorgen dass die beabsichtigte Personaldatenverarbeitung hinreiche
127. eint bei dem Einsatz in einer Beh rde oder einem Unternehmen bestimmten Gef hrdungen ausgesetzt z B e Unbefugte Personen k nnen wenn sie Zugang zu dem Faxger t haben Faxe versenden Damit erscheint auf der Empf ngerseite die Faxnummer des Sen ders obwohl das Fax durch eine unberechtigte Person versendet wurde unbe fugte Benutzung von Faxger ten e Unbefugte Personen k nnen wenn sie Zugang zu dem Faxger t haben Faxe mit einer gef lschten abgehenden Nummer versenden Die abgehende Nummer kann hnlich wie eine MAC Adresse gef lscht werden gef lschte Faxsendun gen T tigkeitsbericht 2011 des ULD SH Aus dem IT Labor e Personen k nnen wenn sie Zugang zu dem Faxger t haben die Kurzwahl tasten eines Faxger tes umprogrammieren Damit werden alle Faxe die mit diesen Kurzwahltasten versendet werden den falschen Empf ngern zugestellt versehentliches oder vors tzliches Umprogrammieren der Kurzwahlnum mern e Unbefugte Personen k nnen wenn sie Zugang zu einem Faxger t in einem ffentlichen Bereich haben Faxsendungen zur Kenntnis nehmen die nicht f r sie bestimmt sind unbefugtes Lesen von Faxsendungen e Unbefugte Personen k nnen Kenntnis von Restinformationen auf Verbrauchs material von Faxger ten erhalten Bei Faxger ten mit Thermotransferfolie werden eingehende Faxsendungen auf eine Zwischenfolie geschrieben bevor sie ausgedruckt werden Diese Folie ist Verbrauchsmaterial und muss ausge t
128. einzelnen Erstattungsantr ge der Mitarbeiter und deren kollektive Weitergabe an die Krankenkasse verstie en aber auch gegen den Grundsatz der Erforderlichkeit Das Unternehmen begr ndete ihr Vorgehen mit der Reduzierung des eigenen Verwaltungsaufwands Der Charakter als Gesamtrechnung des Betriebsarztes sei bei dem Rechnungsdokument zu bewahren gewesen Ihm war gar nicht bewusst dass das Vorgehen zu einer unzul ssigen Daten bermittlung an den Leistungs tr ger f hrte Was ist zu tun Unternehmen sollten vor der bersendung kompletter Arbeitnehmerlisten an Dritte stets pr fen ob diese auch zum Empfang aller Daten berechtigt sind Anderenfalls m ssen die nicht relevanten mitarbeiterbezogenen Angaben auf der Liste geschw rzt oder anderweitig entfernt werden GPS im Firmenfahrzeug Was tun ohne Betriebsrat F r neu zugelassene Fahrzeuge zur G terbef rderung mit zul ssigem Gesamtgewicht von mehr als 3 5 Tonnen sowie Busse mit mehr als neun Sitzen einschlie lich des Fahrers ist der Einsatz digitaler Tachografen vorge schrieben Die Verwendung zus tzlicher GPS Ger te ist hiervon nicht er fasst In einem Unternehmen kommen elektronische Fahrtenschreiber zum Einsatz mit denen die gefahrene Strecke und die Fahrerdaten nach den gesetzlichen Bestimmungen aufgezeichnet werden Spezielle Vorschriften verpflichten den Arbeitgeber die Arbeitszeit der Arbeitnehmer aufzuzeichnen und diese Aufzeich nungen mindestens zwei Jahre lang a
129. eitere Synergien zu erwarten Was ist zu tun Die Kooperation mit den Institutionen der EU und den Datenschutzbeh rden in Europa ist fortzusetzen und weiter zu intensivieren D21 Initiative G tesiegel Board Das ULD unterst tzt im D21 G tesiegel Board die Erarbeitung von Quali t tskriterien f r kommerzielle Internetangebote und deren berpr fung durch private Zertifizierungsstellen Die Initiative D21 ist eine Partnerschaft aus Politik und Wirtschaft zur Gestaltung der Informationsgesellschaft In dem 1999 gegr ndeten branchen bergreifenden Netzwerk von privaten Mitgliedsunternehmen und Partnern aus dem ffentlichen Bereich in Bund L ndern und Kommunen besteht seit mehreren Jahren ein G te siegel Board Dessen Ziel ist es durch transparente Qualit tskriterien f r Inter netangebote das Vertrauen f r gepr fte E Commerce Seiten zu verbessern Diese Qualit tskriterien des Verbraucherschutzes schlie en den Datenschutz mit ein Die Einhaltung der Kriterien bei Webshopanbietern wird durch vier Unternehmen zertifiziert die Mitglied im Board sind Am Board sind u a auch das Bundes verbraucherministerium und die Verbraucherzentrale Bundesverband beteiligt T tigkeitsbericht 2011 des ULD SH 143 144 Audit und G tesiegel Das ULD wurde als Datenschutzbeh rde mit eigenen Zertifizierungserfahrungen eingeladen im Board mitzuarbeiten Das G tesiegel Board erf llt verschiedene Aufgaben Im Vordergrund steht der Erfahr
130. elen ist die Unsicherheit gro wie Daten schutz in Online Spielen umzusetzen ist Hier k nnen die Studie und der Leit faden eine Orientierung geben Was ist zu tun Das ULD wird die weiteren Entwicklungen im Bereich der Online Spiele beob achten Dies gilt insbesondere f r neue Techniken z B die Einbindung von Videobildern und das Zusammenspiel mit sozialen Netzwerken F r ein Fort schreiben des Leitfadens suchen wir Kooperationspartner RISERid Registry Information Service on European Residents Initial Deployment Das Projekt zur europ ischen Melderegisterauskunft RISER macht im sechsten und letzten Projektjahr vor wie Datenschutz in einem E Govern ment Verfahren erfolgreich umgesetzt werden kann Das seit M rz 2004 entwickelte und von der K Europ ischen Kommission im Rahmen des elektronischen Melderegisterauskunft hat sich als Innovationsmotor im Bereich der Vermittlung europ ischer Ebene etabliert Die EU F rderung l uft Anfang 2011 aus das Projekt ist aber l ngst wirtschaftlich etabliert und erfolgreich und zeigt dass R j S E R x eTEN Programms gef rderte Verfahren zur datenschutzgerechter Melderegisterausk nfte auf datenschutzfreundliche L sungen im Wettbewerb Bestand haben k nnen Die datenschutzgerechte Ausgestaltung des seit 2007 von der RISERid Services GmbH betriebenen Dienstes stand immer mit im Fokus RISER leitet elektroni T tigkeitsbericht 2011 des ULD SH Modellprojekte und Studien
131. ellung durch einen Klick auf den Best ti gungsbutton ab Daraufhin wird die Nachricht sowohl im Browser des Nutzers als auch auf dem Certified Privnote Server verschl sselt und dann dort abge T tigkeitsbericht 2011 des ULD SH 141 9 3 6 142 Audit und G tesiegel legt Der Nutzer erh lt eine aus den beiden Zufallsschl sseln generierte Inter netadresse URL Diese Adresse bermittelt er ber einen beliebigen Kommu nikationskanal wie z B Telefon oder SMS an den gew nschten Adressaten der Nachricht Der Empf nger f gt die URL in die Adresszeile seines Browsers ein und kann so die verschl sselte Nachricht abrufen entschl sseln und lesen Die Nachricht wird nach ihrem erstmaligen Abruf vom Server gel scht Die ffentlichen Kurzgutachten zu allen verliehenen EuroPriSe G tesiegeln sind in englischer Sprache im Internet abrufbar unter https www european privacy seal eu awarded seals Ende 2010 gab es mehr als 25 laufende Erst und Rezertifizierungsverfahren nach EuroPriSe Bei den Zertifizierungsgegenst nden handelt es sich berwiegend um IT basierte Dienste aber auch um IT Produkte insbesondere Software Sie sind f r unterschiedliche Einsatzbereiche bestimmt etwa f r den Gesundheits den Finanz oder den Werbesektor Viele Zertifizierungsgegenst nde sind dem Um feld des Web 2 0 zuzuordnen Nicht nur private Unternehmen sondern auch ffentliche Stellen zeigen Interesse an einer Zertifizierung nach EuroP
132. en Viele Lehrkr fte haben zudem immer noch Bedenken die Genehmigung zur h uslichen elektronischen Datenverarbeitung bei den Schulleitungen einzuholen In aus diesen Unsicherheiten entstandenen Konflikten zwischen Lehrkr ften und Schul T tigkeitsbericht 2011 des ULD SH 4 7 4 Wissenschaft und Bildung leitungen muss das ULD immer wieder vermitteln die Rechtsgrundlagen erkl ren und technische L sungen erl utern Das Institut f r Qualit tssicherung an Schulen Schleswig Holstein IQSH das mit dem ULD bei der Konzeptionserstellung und beim Aufbau des Landesnetzes Bildung Schleswig Holstein LanBSH eng zusammenarbeitet hat eine techni sche L sung entwickelt die die Datensicherheit der im h uslichen Bereich der Lehrkr fte verarbeiteten personenbezogenen Daten erh ht und den Lehrkr ften die Unsicherheit hinsichtlich des Datenschutzes nehmen kann Gedacht ist an eine ausschlie liche Nutzung wirksam verschl sselter USB Sticks die vom Schultr ger beschafft und von den Schulleitungen an jede Lehrkraft ausgegeben werden und die einheitlich konfiguriert sind Die mittlerweile hohen Speicherkapazit ten dieser USB Sticks erm glichen es dass die im h uslichen Bereich verarbeiteten Daten ausschlie lich darauf gespeichert werden Die Verschl sselung minimiert das Risiko dass Unbefugte Kenntnis von den personenbezogenen Daten nehmen Den Schulleitungen wird so zudem erm glicht im Rahmen der Fachaufsicht zu kontrollieren ob die
133. en Hauptsitz in Dortmund Zust ndig f r die berwachung der Einhaltung datenschutzrechtlicher Vorschriften bei der AOK NordWest ist der Landesbeauftragte f r Datenschutz und Informationsfreiheit Nordrhein Westfalen Die Zust ndigkeit f r eine gesetzliche Krankenkasse die Versicherte von zwei Bundesl ndern betreut h ngt ma geblich von ihrem Haupt sitz ab Die Erreichbarkeitsdaten des Landesbeauftragten in Nordrhein Westfalen finden sich im Internet https www datenschutz de institutionen adressen Was ist zu tun Versicherte der ADK NordWest m ssen nun ihre datenschutzrechtlichen Anlie gen an den Landesbeauftragten f r Datenschutz und Informationsfreiheit Nord rhein Westfalen richten TK rztezentrum Nicht berall wo TK draufsteht ist auch die TK drin Hinter einem TK rztezentrum verbirgt sich ein externer Dienstleister Die dort t tigen rzte unterliegen der rztlichen Schweigepflicht Personenbezo gene Daten der Anrufer d rfen nicht ohne deren Einwilligung der TK ber mittelt werden Ein Petent schilderte uns seine zun chst bestehende Begeisterung ber das Ange bot des TK rztezentrums An 365 Tagen erhalte man rund um die Uhr von quali fizierten Mitarbeitern Auskunft zu medizinischen Fragen Dann kamen ihm Zweifel Wird hier notiert wer wie oft und warum anruft Bei dem Gedanken was passieren kann wenn die falschen Stellen diese Informationen erhalten wurde ihm mulmig In Absprache mit dem f r di
134. en Register und die eingesetzten Datenverarbeitungsverfahren gestellt Das Innenministerium musste nun auf Landesebene f r eine ordnungsgem e Umsetzung der bundesrechtlichen Vorgaben sorgen Dies geschah durch den Erlass einer Landesverordnung zur Einrichtung und F hrung des zentralen elek tronischen Personenstands und Sicherungsregisters und durch Ma nahmen zur Organisation der zentralen Register bei Dataport als EDV Dienstleister des Landes und der Kommunen Ein neuer Weg wurde f r die auch in anderen Verfahren bereits aufgetretene Frage der Verantwortlichkeit f r die Datenverarbeitung bei Dataport beschritten Bisher waren die Kommunen als Daten verarbeitende Stellen ausschlie lich hier f r zust ndig Sie mussten im Rahmen der Auftragsdatenverarbeitung als Auf traggeber gegen ber Dataport daf r sorgen dass die Daten nur nach ihren Wei sungen verarbeitet wurden In einem landesweiten einheitlichen EDV Verfahren mit ber 160 beteiligten Kommunen hat aber eine einzelne Kommune nicht die M glichkeit eigenst ndige Anforderungen an die Organisation des Verfahrens bzw an die Software zu stellen Bei Dokumentation Test und Freigabe ist es andererseits nicht notwendig dass alle beteiligten Kommunen die gleichen umfangreichen Unterlagen vorhalten sowie dieselben Tests durchf hren In der Landesverordnung wurde die Verantwortung f r das bisher einheitliche Auftragsdatenverarbeitungsverh ltnis aufgeteilt Das Innenministerium als z
135. en und Mikroformen gem DIN 32 757 Sicherheits stufe V aus von der AVZ Kunden zur Verf gung gestellten verschlossenen Containern e Verfahrensregister Version 1 0 2010 Unterst tzung des betrieblichen Datenschutzbeauftragten bei der Erstellung und Verwaltung eines Verfahrens registers e PROSOZ 14plus Version 5 8 1 Software unterst tzte Bearbeitung der ffent lichen Jugendhilfe in den Bereichen Fallmanagement Leistungsgew hrung und Controlling e wunderloop Integrated Targeting Platform Stand Juli 2010 Verfahren zur gezielten Ansprache von Internetnutzern im Bereich der Online Werbung auf Basis deren Nutzerverhaltens unter Zwischenschaltung eines Anonymisie rungsdienstes e Easybooth Modell 37 Easybooth V3 Modell 36 Minicabine 3 Modell 38 und UPB Modell 3 digitale Fotokabine mit integrierter biometrischer Bildbearbei tung zur Nutzung in Meldebeh rden e Verfahren der Akten und Datentr gervernichtung Stand September 2010 Verfahren zur Vernichtung von Akten und Datentr gern durch die recall Deutschland GmbH im Auftrag e PKV Datenpool Version 1 0 Infrastrukturl sung f r den gesicherten Aus tausch von Abrechnungsdaten zwischen Leistungserbringern und Zahlungs stellen im Bereich der Krankenversicherungen e Verfahren zur Vernichtung von Datentr gern Stand November 2010 Vernichtung von Akten Datentr gern und Mikrofilmen durch die Firma Reisswolf Akten und Datenvernichtung GmbH amp Co KG Ha
136. en und der Erhebungsumfang werden nicht hinreichend konkretisiert Erkl rter Wille ist es ber diese Erm chtigung weiter hin Daten von privaten Adressh ndlern anzukaufen Ein solcher Ankauf f r Zwecke des Adressabgleichs ist nach Auffassung des ULD und anderer Auf sichtsbeh rden weder erforderlich noch angemessen Die Rundfunkanstalten haben bereits jetzt die M glichkeit des Zugriffs auf gepr fte und qualit tsgesi cherte Melderegisterdaten Die Nutzung ungepr fter Adressh ndlerdaten begr n T tigkeitsbericht 2011 des ULD SH 111 7 2 112 Neue Medien det eine gro e Gefahr der Nutzung fehlerhafter Daten Dieser Ankauf ist eine berpr fung ins Blaue hinein also keine zielgerichtete Datenerhebung Es bedarf dringend der Klarstellung dass Daten ausschlie lich beim Betroffenen zu erheben sind und nur in begr ndeten Ausnahmef llen ein R ckgriff auf ffentliche Quellen zul ssig ist Die spezialgesetzlichen Erhebungs und Verar beitungsbefugnisse d rfen durch die Rechtfertigungstatbest nde des Rundfunk beitragsstaatsvertrages nicht umgangen werden Die Grunds tze der Datenspar samkeit und Transparenz der Datenverarbeitung m ssen durchg ngig gewahrt werden Was ist zu tun Der Landtag Schleswig Holstein sollte auf eine datenschutzkonforme Ausge staltung des 15 Rundfunk nderungsstaatsvertrages dr ngen um die nachhaltige Finanzierung des ffentlichen Rundfunks nicht mit dem Makel der unverh lt nism ige
137. er vorliegenden Tatsachen wurde gegen die Kr met Handelsgesellschaft ein Bu geldverfahren eingeleitet Auch die T tigkeit der VISAKO ist Gegenstand unserer Ermittlungen Die verdeckte Video berwachung greift massiv in das Pers nlichkeitsrecht der Besch ftigten ein Zur Aufdeckung einer Straftat d rfen Aufnahmen nur dann erfolgen wenn zu dokumentierende tats chliche Anhaltspunkte den Verdacht einer solchen Tat begr nden die Datenerhebung zur Aufdeckung erforderlich ist keine schutzw rdigen Besch ftigteninteressen entgegenstehen und die Ma nahme nach Art Ausma und Anlass verh ltnism ig ist Dies ist nur sehr selten der Fall Eine Leistungskontrolle darf durch einen verdeckten Kameraeinsatz in der Regel nicht erfolgen Was ist zu tun Verdeckte Videoaufnahmen von Besch ftigten bed rfen einer besonderen datenschutzrechtlichen Rechtfertigung Sie m ssen den Ausnahmefall bilden und setzen vor allem voraus dass eine offene Video berwachung nicht zum gleichen Ziel f hren w rde Bereits an die Zul ssigkeit einer offenen Video berwachung sind jedoch hohe Anforderungen zu stellen T tigkeitsbericht 2011 des ULD SH 79 80 5 2 5 2 1 5 2 2 Datenschutz in der Wirtschaft Scoring Neue Transparenzpflichten f r Auskunfteien Seit April 2010 sind die Voraussetzungen des Scorings gesetzlich geregelt Vor allem Auskunfteien f hren Scoring durch Das ULD hat alle in Schleswig Holstein ans ssigen Auskunfteien
138. er bei wesentlichen nderungen kann ein vereinfachtes Rezertifizierungsverfahren durchgef hrt werden IT basierte Dienstleistungen und insbesondere webbasierte Dienste werden oft in kurzen zeitlichen Intervallen ge ndert ohne dass dies f r die Nutzer transparent ist Deshalb ist bei EuroPriSe das sogenannte Monitoring eingef hrt worden Wurde ein IT basierter Dienst zertifiziert so muss er w hrend der zweij hrigen G ltigkeitsdauer des Siegels von den in das Verfahren involvierten Gutachtern auf seine fortw hrende Vereinbarkeit mit den Zertifizierungskriterien berpr ft werden Aufgabe der Gutachter ist es zu verfolgen ob datenschutzrelevante nderungen an dem jeweiligen Dienst vorgenommen werden und falls ja zu pr fen ob der Dienst trotz der nderungen noch alle anwendbaren EuroPriSe Kriterien erf llt Die Anbieter von IT basierten Dienstleistungen sind verpflichtet acht Monate nach der Zertifizierung einen Monitoring Report bei der Zertifizie rungsstelle einzureichen der alle relevanten nderungen und deren Bewertung beinhaltet Ein weiterer Bericht ist nach 16 Monaten vorzulegen Das Monitoring ersetzt jedoch nicht das erfolgreiche Durchlaufen eines Rezertifizierungsverfah rens Hersteller bzw Anbieter k nnen sich nach erfolgter Zertifizierung freiwillig daf r entscheiden ihr Produkt bzw ihre Dienstleistung von akkreditierten EuroPriSe Gutachtern in regelm igen Abst nden daraufhin berpr fen zu lassen ob
139. erarbeitung durch Datenschutz und Sicherheitsbeauftragte kann festgestellt werden ob die gew hlten technischen und organisatorischen Ma nahmen wirken Auch hierbei muss das Ziel einer Sicherheitsma nahme im Blick sein Nur wenn die Sollvor gabe benannt ist kann die Zielerreichung gepr ft werden Erfolgreiche Organisa tionen arbeiten nach dem Prinzip F r jede Ma nahme muss es eine messbare Kennzahl geben Dieser an Kennzahlen orientierte Ansatz ist f r Sicherheits ma nahmen n tzlich und f hrt zu einer deutlichen Vereinfachung der Kontrollen T tigkeitsbericht 2011 des ULD SH 97 98 6 2 Systemdatenschutz Die Kontrollen werden automatisierbar Durch die automatisierte Pr fung der Wirksamkeit vor allem von technischen Ma nahmen werden Datenschutz und Sicherheitsbeauftragte von Routinet tigkeiten entlastet Was ist zu tun Das LDSG gibt mit den Grunds tzen der Erforderlichkeit und Angemessenheit die wirtschaftliche Umsetzung einer datenschutzkonformen Datenverarbeitung vor IT Projekte m ssen diesen Ma gaben folgen Es muss daf r gesorgt werden dass eine Risikoanalyse und Ma nahmenauswahl fr hzeitig im Projekt verlauf stattfinden Der allm chtige anonyme Administrator IT Systeme bringen in aller Regel im Auslieferungszustand ein administrati ves Standardbenutzerkonto mit das mit umfassenden Berechtigungen aus gestattet ist Diese Annehmlichkeiten wissen nicht nur ehrliche Administra toren zu sch
140. erden Daten Akteure sowie in die Form von Schutzzielen des Datenschutzes gebracht die technischen und organisatorischen Anforderungen an die Verarbeitung der Daten bzw Systeme durch die Akteure bzw Prozesse erfasst Datenschutz Schutzziele Intervenierbarkeit Nichtverkettbarkeit Transparenz nen Akteure lm Technik Dienstleister Vertraulichkeit I Krankenversicherung Integrit t Verf gbarkeit Vital Verhaltens rventions IT Infrastruktur Umgebungs Aggregierte Daten daten daten daten daten l daten f Daten l Fernmedika Blutdruck Bewegung Still Alive Pings Temperatur Abrechnungs mentgabe Blutzucker Liegedruck Protokoll Logs Licht daten ber Fernjustage Temperatur T r ffnungen Sensor Roh Lautst rke Kommunikation Raumzutritt Stuhlgang Video Audio daten Ss Energieverbrauch Sir EKG berwachung Alarmtrigger Sis Nutzung von Slaa Herd WC TV PC Schon beim Ausf llen dieser Matrix wird klar welche gesellschaftliche Gestal tungsaufgabe vor Datensch tzern aber auch vor den Anbietern und Nutzern von AAL Systemen liegt Hersteller und Betreiber von AAL Anwendungen m ssen immer wieder daran erinnert werden dass die Unantastbarkeit der W rde des Menschen mehr als eine ethische Forderung ist und gesetzlich zwingende prakti sche Konsequenzen hat Was ist zu tun In allen AAL Projekten ist darauf hinzuwir
141. ereitet 32 TB Tz 9 2 2 Die gemeinsame Arbeit am Auditgegenstand regelm ige Kontrollen durch den Auditor des ULD und die kontinuierliche Weiterentwicklung f hren dazu dass der Auditgegenstand bereits einen hohen Reifegrad erreicht hat Der azv plant jedoch f r das erste Halbjahr 2011 in einzelnen Teilen des Auditgegenstands noch umfangreiche nderungen die beim Audit ber cksichtigt werden sollen Das ULD und der azv gehen davon aus dass das Verfahren in der Jahresmitte 2011 erfolgreich abgeschlossen werden kann Was ist zu tun Der azv muss die geplanten nderungen und Erg nzungen umsetzen Das ULD wird nach den nderungen die abschlie ende Auditpr fung durchf hren Stadt Pinneberg Bei der Stadt Pinneberg steht die Reauditierung an Dem allgemeinen Trend folgend wurden in den letzten Jahren auch in Pinneberg Server virtualisiert Arbeitspl tze mit Thin Clients ausgestattet sowie Multifunk tionsdrucker aufgestellt Das 2006 im Audit hervorgehobene qualitativ hohe Niveau der Dokumentation wurde das ist bereits absehbar gehalten Diese gute Dokumentation die sich auch auf die Dienstvereinbarungen erstreckt machte sich nach Bekunden des leitenden IT Planers bei der technischen organisatori schen und betriebswirtschaftlichen Planung und Durchf hrung der Umstellungen bezahlt Dataport ISMS f r das DCS Das ULD hat Dataport f r das Konzept eines Informationssicherheits managementsystems ISMS f r das Data
142. erledigt in den Landtagsaussch ssen Der Entwurf des ULD wurde dem Umweltministerium von dem die UIG nderung stammt zur Stellungnahme gegeben Dieses meinte im M rz 2010 in einem Vermerk der ULD Entwurf sei gepr gt von unsystemati schen unpraktikablen und zum Teil unscharfen bzw umgangssprachlichen Regelungen und sei deshalb zu verwerfen An einer Stelle wird beklagt der ULD Entwurf berh he den Datenschutz als Schranke zu Unrecht an anderer Stelle beklagte das Ministerium der Datenschutz werde in nicht vertretbarem Ma e strapaziert Der Eindruck dass Ressortdenken vor Sachlichkeit gestellt wurde war nicht ganz zu vermeiden Im April 2010 ging das ULD auf diese Kritik im Detail ein und widerlegte jedes der vorgetragenen Argumente gegen ber den Fraktionen T tigkeitsbericht 2011 des ULD SH 155 12 2 12 3 156 Informationsfreiheit Was ist zu tun Der Landtag sollte sich nicht weiter von Tr gern unbegr ndeter b rokratischer Bedenken bremsen lassen und ein einheitliches Informationszugangsrecht f r Schleswig Holstein auf den Weg bringen Betriebs und Gesch ftsgeheimnisse Auskunft ber Vertragsgestaltungen Alle Jahre wieder stellt sich die Frage unter welchen Bedingungen sich Beh rden zur Abwehr von Informationsersuchen auf Betriebs und Gesch fts geheimnisse berufen k nnen Ein Antrag auf Zugang zu Informationen kann abgelehnt werden wenn durch die bermittlung der Informationen ein Betriebs oder
143. erungsgesch ft zur ckgestellt werden soll Auditierungen und Zertifizierungen sind nach Ansicht des ULD auf nationaler Ebene von gro er Wichtigkeit Dabei muss eine enge Kooperation mit den Daten schutzkontrollstellen erfolgen ohne dass aber deren Unabh ngigkeit beeintr ch tigt wird Dies kann in der Form geschehen dass die Stiftung einen beratenden Status bei den relevanten Aufsichtsgremien insbesondere dem bundesweiten Zusammenschluss des D sseldorfer Kreises erh lt Bei der Zertifizierung ist eine unverbindliche Anh rung der Kontrollstellen kurz vor Abschluss sinnvoll jeden falls dann wenn ein lokaler Bezug besteht So kann in einem fr hen Stadium vermieden werden dass Zertifizierung und Datenschutzkontrolle zu stark vonein ander abweichenden Ergebnissen kommen Ein wichtiger Aspekt ist die gemein same Entwicklung von Schutzprofilen bzw Standards f r spezifische Anwen dungen Hier ist denkbar dass gemeinsame Arbeitskreise der Kontrollstellen und der Stiftung Vorschl ge entwickeln die gemeinsam ver ffentlicht werden Die ngste vor Konkurrenz zu anderen Einrichtungen z B des Verbraucherschutzes m ssen ernst genommen und durch enge Kooperationen abgebaut werden Hinsichtlich der Zertifizierung durch die Stiftung kann weitgehend auf die zehnj hrigen Erfahrungen des ULD zur ckgegriffen werden Das Konzept der Begutachtung durch akkreditierte private technische und rechtliche Sachverst n dige hat sich sowohl beim G
144. erungsrelevanter Daten kann nur in anonymisierter Form zugelassen werden Eine bereichsspezifische Regel muss die Transparenz der Datenverarbeitung und die Wahrung der Betroffenenrechte sichern Durch angemessene technisch orga nisatorische Ma nahmen ist gem dem Stand der Technik sicherzustellen dass bei der bermittlung der Zugriff unberechtigter Dritter ausgeschlossen ist und Daten nicht durch Unbefugte ver ndert oder gel scht werden k nnen Intelligente Z hler und die geplanten intelligenten Verteil bzw Verarbeitungs netze sind Systeme zur automatisierten Verarbeitung personenbezogener Daten F r sie m ssen integrierte Datenschutz und Managementsysteme konzipiert und aufgebaut werden mit dem Ziel der Sicherstellung der Vertraulichkeit der Inte grit t der Verf gbarkeit der Transparenz der Nichtverkettbarkeit und der Inter venierbarkeit selbst in vernetzten heterogenen und komplexen Systemumgebun gen ber Risikoanalysen bewertungen und behandlungen k nnen national und international Standards und Vorgehensweisen erarbeitet werden Die 80 Konfe renz der Datenschutzbeauftragten hat Anfang November 2010 einen Beschluss zur intelligenten Messung des Energieverbrauchs gefasst der eine bereichsspezi fische Normierung fordert und daf r datenschutzrechtliche Eckpunkte festh lt http www baden wuerttemberg datenschutz de lfd konf 2010 11_04 2 htm T tigkeitsbericht 2011 des ULD SH 87 88 5 8 5 8 1 5 8 2
145. es f r Verfassungsschutz BfV vor einigen Jahren zur Aufgabe gemacht das tech nisch veraltete NADIS durch ein zeitgem es Verfahren zu ersetzen das auch k nftigen fachlichen Anpassungen z B nderung von rechtlichen Grundlagen ohne gr eren Aufwand gerecht werden kann 32 TB Tz 4 2 7 Vorgesehen sind neben der technischen Erneuerung des Verfahrens auch die Einbeziehung von Multimediadaten und Textdokumenten was zu einer massiven Erweite rung f hrt Die beliebige Recherche in Volltextdateien bei Sicherheitsbeh rden ist generell rechtlich problematisch insbesondere bei den Nachrichtendiensten Tz 4 2 7 In einer beim BfV angesiedelten Projektgruppe arbeiten alle Verfassungsschutz beh rden an der Neugestaltung von NADIS Die Datenschutzbeauftragten des Bundes und der L nder bieten in Fragen des Datenschutzes ihre begleitende Beratung an Der Staatssekret r im Bundesinnenministerium BMI meinte jedoch dass der Bundesbeauftragte f r den Datenschutz und die Informationsfrei heit BfDI vom BfV durch Bereitstellung von Dokumenten und gemeinsame Besprechungen gen gend eingebunden werde Die Kommunikation zwischen Landesverfassungsschutz und Landesdatenschutz solle auf L nderebene erfolgen bei einem bundesweiten Verbundprojekt Die Leitungen der Verfassungsschutzbeh rden bef rworteten einstimmig dass der Arbeitskreis Sicherheit der Datenschutzbeauftragten des Bundes und der L nder regelm ig durch die Projektgruppe
146. etzlich vorgesehener Nachberichtspflichten Protokollierung ein offenbar unl sbares Problem In der Privatwirtschaft wie bei anderen Polizeien etwa beim Bundeskrimi nalamt geht der Trend zur vollst ndigen Protokollierung der Transaktionen in IT Verfahren Die Polizei pocht dagegen weiter auf ihre l ckenhafte Protokollierung Das ULD bem ht sich seit geraumer Zeit die Polizei zu bewegen die Protokollie rung aller Abrufe aus ihren Dateien vorzusehen 32 TB Tz 4 2 5 Dies geh rt heutzutage zum allgemeinen Standard der Datensicherheit und liegt im ureigenen Interesse der verantwortlichen Stelle Doch eine solche Sicherheit ist f r die Poli zei in Schleswig Holstein offenbar tabu Wer die Protokollierung bei bestimmten Personengruppen ausschlie t weil immer ein berechtigter lesender Zugriff auf die Daten unterstellt wird l uft Gefahr dass F lle des Datenmissbrauchs nicht T tigkeitsbericht 2011 des ULD SH 37 38 Polizei und Verfassungsschutz aufgekl rt werden k nnen Alle Weiterentwicklungen des Verfahrens rtus lei den an diesem nicht hinnehmbaren Mangel Was ist zu tun Die Polizei des Landes sollte endlich anerkannte Standards der Datensicherheit akzeptieren und bei den eigenen Verfahren einsetzen Notfalls ist der Gesetz geber aufgerufen hier f r eine klare verpflichtende Regelung im Landesver waltungsgesetz zu sorgen 4 2 5 Falsch verbunden Mobilfunknotrufe 112 und die Polizei Notrufe von Mobiltele
147. euerverwaltung Grunderwerbssteuer Verwendung eines Fragebogens Steuerformulare sind so zu gestalten dass nicht mehr Daten als erforderlich erhoben werden Anderenfalls muss darauf hingewiesen werden wie weit die Auskunftspflicht geht Petenten beschwerten sich ber einen Fragebogen eines Finanzamtes zur Ermitt lung der Grunderwerbssteuerpflicht Darin wurde nach der Bebauung des Grund st cks nach Vereinbarungen mit dem Grundst cksver u erer nach der Art des Grundst cksangebots und nach der Baugenehmigung gefragt Mussten die angeschriebenen Personen die Fragen alle beantworten Die gesetzliche Aus kunftspflicht besteht nur f r Angaben die zur Feststellung eines f r die Besteu erung erheblichen Sachverhalts erforderlich sind Die Bemessung der Grunderwerbssteuer h ngt ma geblich davon ab ob bez g lich der Bebauung und des Grundst cks ein Vertrag oder getrennte Vertr ge geschlossen wurden Besteht ein einheitliches Vertragswerk so f llt Grund erwerbssteuer f r beide Leistungsgegenst nde an Zur Ermittlung der Steuer pflicht ist dabei von Bedeutung welche Personen auf der Ver u erungsseite stehen z B Bauunternehmer Makler Bevollm chtigte oder Treuh nder und inwiefern diese personell wirtschaftlich oder gesellschaftlich miteinander verbun den sind H ngen die Vorg nge voneinander ab indem etwa der K ufer das Grundst ck nur erh lt wenn er auch das zu errichtende Geb ude erwirbt so k nnen Anhaltsp
148. eweils ca zwei Stunden dauerten und vereinzelte Konzepte zu Dateien sind die Informationsbasis Eine ad quate Betrachtung des Gesamtvorhabens und der einzelnen Dateien ist so nicht zu leisten Die Datenschutzbeauftragten fordern weiterhin von der Projektgruppe INPOL im BKA die bersendung zahlreicher Unterlagen sowie Sachstandinformationen Den Datenschutzbeauftragten ist daran gelegen ihren gesetzlichen Beratungsauf trag bestm glich zu erf llen die beteiligten Sicherheitsbeh rden zeigen weiterhin ungen gendes Interesse am Datenschutz Dadurch drohen gewaltige Fehlinvesti tionen INPOL neu wird die Informationsverarbeitung der deutschen Polizei auf l ngere Zeit pr gen und dominieren Eine datenschutzkonforme Gestaltung m sste gemeinsames Anliegen von Polizei und Datenschutz sein Was im Land Schleswig Holstein m glich ist sollte auf Bundesebene f r die Kooperation mit der PG INPOL im BKA auch machbar sein Tz 4 2 2 Was ist zu tun Der Bundesinnenminister und die Projektgruppe INPOL im BKA m ssen sich f r eine konstruktive Zusammenarbeit mit den Datensch tzern entscheiden Volltextrecherche bei Sicherheitsbeh rden ein Paradigmenwechsel Moderne Datenbanken und Data Warehouse Verfahren erlauben es den Anwendern ohne gro en Mehraufwand Textdokumente zu Personen zu speichern und die Texte Wort f r Wort auszuwerten Die neue Qualit t der modernen Datenverarbeitung hinterl sst im Recht der Sicherheitsbeh rden tiefe Sp
149. fangreich beraten werden Die Bearbeitung selbst basiert auf komplexer Technik und setzt ein entsprechendes Know how der Mitarbeiter voraus Die Bearbeitungszeiten haben sich soweit bis heute erkennbar massiv erh ht Aus datenschutzrecht licher Sicht ist es unsere vordringliche Aufgabe durch Beratung und Hilfestellung zu einer Minimierung der Fehler beizutragen Was ist zu tun Die aufgezeigten Sicherheitsrisiken bei der PIN Vergabe sollten von den daf r verantwortlichen Stellen durch geeignete konzeptionelle nderungen beseitigt werden bevor es zu tats chlichen Missbr uchen der eID kommt Umgang mit ausgesonderten Datentr gern Die Verwaltung muss immer wieder Hardware erneuern und dem Stand der Technik nicht mehr entsprechende Rechner aussondern Was tun mit dem alten Kram Da hilft keine Flex kein Hammer oder rohe Gewalt Im Umgang mit alter Hard ware sind besondere Grunds tze zu ber cksichtigen Diese darf nicht mit gespei cherten personenbezogenen Daten frei zug nglich sein oder z B auf einem Flohmarkt oder Verkauf alter Gegenst nde an Technikliebhaber weitergegeben werden Genau dies war in Gl cksburg aber passiert sodass pl tzlich der Daten bestand der Kommune von mehreren Jahren f r einen unberechtigten Dritten unverschl sselt zur Verf gung stand Die Daten verarbeitende Stelle ist ber den Zeitpunkt des Gebrauchs der Hard ware hinaus f r die von ihr erhobenen verarbeiteten genutzten und gespeicher
150. folgung Richten Beh rden ihre Auskunftsersuchen schriftlich an die registerf hrende Stelle das Bundesamt f r Migration und Fl chtlinge BAMF so kann dort die Zul ssigkeit der Auskunftserteilung im konkreten Einzelfall gepr ft werden Anders ist die Situation im automatisierten Abrufverfahren Hier nimmt die registerf hrende Stelle keine berpr fung vor Die Verantwortung f r die Zul ssigkeit der Abrufe und die Einhaltung der Einschr nkungen aus der EuGH Entscheidung obliegt allein der abrufenden Stelle In Schleswig Holstein hat die Landespolizei Zugang zum AZR im automati sierten Verfahren zentral ber das Landeskriminalamt LKA Dort haben wir das Abrufverfahren gepr ft Ausreichende technische und organisatorische Vorkeh rungen die die Einhaltung der rechtlichen Anforderungen gew hrleisten waren nicht getroffen worden Anweisungen des BAMF zur Durchf hrung von Abfragen ber Unionsb rger sind zwar bekannt es fehlten aber Vorkehrungen um deren Einhaltung durch alle abrufberechtigten Mitarbeiter sicherzustellen und diese nachtr glich kontrollieren zu k nnen Insbesondere erwies sich die Protokollie rung von Abfragen als l ckenhaft Tz 4 9 2 Das LKA reagierte umgehend und erlie eine vorl ufige Handlungsanweisung zur Umsetzung der EuGH Entschei dung Darin werden die abrufberechtigten Mitarbeiter auf die zul ssigen Zwecke des Abrufs von Unionsb rgerdaten hingewiesen Sie werden angewiesen in der Eingabemaske f r
151. fonen an die Notrufnummer 112 wurden in der Ver gangenheit an die Leitstellen der Polizei geleitet dort angenommen und an die Rettungsleitstellen weitergeleitet Mit der Einf hrung der neuen Leitstel len in Schleswig Holstein findet diese Praxis endlich ein Ende Mit Inkrafttreten der Verordnung des Bundes ber Notrufverbindungen im Jahr 2009 wurde die Rufnummer 110 neben der bestehenden Notrufnummer 112 als zus tzliche nationale Notrufnummer festgelegt Zuvor waren Telefonanbieter nicht verpflichtet die 110 ebenso vorrangig zu behandeln wie die 112 Das f hrte f r Notrufe aus dem Mobilfunknetz dazu dass Notrufe an beide Nummern geb ndelt an die Polizeileitstellen geroutet wurden Damit erlangt die Polizei von Rettungsnotrufen und damit zusammenh ngenden Sachverhalten Kenntnis die nicht f r sie bestimmt und die f r ihre Aufgabenerf llung nicht erforderlich sind Ergeben sich aus einer Notfallsituation so Hinweise auf eine Straftat z B bei einer berdosierung von Rauschmitteln kann die Polizei durch die Entgegen nahme des Notrufs auch hiervon erfahren und aufgrund des Legalit tsprinzips zur Aufnahme von Ermittlungen verpflichtet sein obwohl der Anrufer dies weder erwartet noch gewollt hat Das Ministerium f r Arbeit Soziales und Gesundheit teilte nun mit dass das Routing f r Notrufe aus dem Mobilfunknetz im Zuge der Einf hrung der neuen Leitstellen in Schleswig Holstein ge ndert wird In den neuen Leitstellen N
152. forderung zur Stellungnahme an die sachbearbeitende Ausl nderbeh rde ergebnislos verstrichen waren erinnerten wir unter Fristsetzung und unter Androhung einer datenschutzrechtlichen Beanstan dung daran Auch dieses Schreiben blieb unbeantwortet Erst auf unsere Bean standung lange nach Fristablauf reagierte die Kreisverwaltung Was uns dabei mitgeteilt wurde war Anlass f r eine vertiefte Pr fung T tigkeitsbericht 2011 des ULD SH 73 74 Ausl nderverwaltung Was ist zu tun Nicht nur das ULD steht Petenten gegen ber in der Pflicht es ist Pflicht aller an einem Prozess beteiligten Beh rden in angemessener Zeit zu reagieren Ver weigerte Kooperation verursacht nicht nur rger sondern zus tzlichen Auf wand und eventuell Sanktionen T tigkeitsbericht 2011 des ULD SH 5 1 Datenschutz in der Wirtschaft Datenschutz in der Wirtschaft Besch ftigtendatenschutz im BDSG Wenig Licht und viel Schatten finden sich in einem berhastet erarbeiteten Regierungsentwurf Nach ber 30 Jahren Diskussion aae SS ber die Notwendigkeit und m g Dr ii yo liche Inhalte eines Arbeitnehmer a datenschutzgesetzes und im An gesicht der Vielzahl von Daten schutzskandalen im Besch ftig tenbereich in den Jahren 2008 und 2009 legte die Bundesregierung im August 2010 den Entwurf eines Besch ftigtendatenschutz gesetzes vor Dies geht auf die Absichtserkl rung des Koalitionsvertrages auf Bundesebene von CDU CSU und FDP vom Her
153. ft gesetzt waren Sie waren zwar mit Stand April 2009 aktualisiert von der Verwaltungsleitung aber noch nicht unterschrieben Der B rgermeister gab daf r personelle und organisatorische Gr nde an Die endg ltige Fertigstellung war f r Ende 2010 vorgesehen Das ULD wird die Umsetzung zeitnah abschlie end pr fen Wir hatten ferner festgestellt dass eine Stellvertretung f r den Admi nistrator nicht mehr vorhanden war Die Verwaltungsleitung berichtete uns von berlegungen administrative Aufgaben den Fachbereichen zu bertragen Dies wurde bis zum Zeitpunkt der Pr fung jedoch nicht durchgef hrt Somit obliegt einer Person die Administration der hochkomplexen IT der Stadtverwaltung Ein unzumutbarer Zustand den das ULD mit Nachdruck beanstandete Wir boten weiterhin unsere Beratung an Was ist zu tun Eine Stellvertretung f r die Administration muss umgehend ausgebildet werden Die Auslagerung administrativer Aufgaben in einzelne Fachabteilungen ist z gig umzusetzen Das ULD wird weitere Nachkontrollen durchf hren T tigkeitsbericht 2011 des ULD SH 109 71 110 Neue Medien Neue Medien Endlich hat die politische Diskussion ber die Regulierung des Datenschutzes im Internet begonnen Tz 2 2 Die Notwendigkeit hierf r besteht schon seit einigen Jahren Die aggressive Vorgehensweise von US amerikanischen Firmen auf dem deutschen bzw europ ischen Markt allen voran Facebook dicht gefolgt von Google Tz 7 2 ma
154. ft getreten als formale Rechtsgrundlage f r die bermittlung einer Anzahl von Daten von den Arbeitgebern an die Zentra le Speicherstelle ZSS Die in der Verordnung verwendeten pauschalen Formu lierungen sind immer noch nicht konkret genug und lassen zu viel Spielraum f r Festlegungen durch die Verwaltung So hei t es dass Daten zur Art der ausge f hrten T tigkeit sowie zu Beginn Ende Unterbrechung und Grund f r die Been digung des Besch ftigungsverh ltnisses zu bermitteln sind Pr zisiert wird dies durch den sogenannten multifunktionalen Verdienstdatensatz MVDS der mitt lerweile in der Version 0 2 von Juli 2010 vorliegt Das Problem dieses Daten katalogs ist dass er durch Festlegungen eines demokratisch nicht legitimierten Gremiums zustande kommt Positiv ist zu erw hnen dass eine Reihe der urspr nglich vorgesehenen problematischen Datenfelder inzwischen aus dem Katalog entfernt wurde Mittlerweile gibt es nur noch zwei Freitextfelder die in einem speziellen Zusammenhang mit der Heimarbeit stehen und daher nur bei relativ wenigen Personen zur Anwendung kommen Verfassungsrechtliche Bedenken vor allem im Hinblick auf eine unzul ssige Vorratsdatenspeicherung wurden in einer Sammelverfassungsbeschwerde von ber 20 000 Personen gegen ELENA und das zugrunde liegende Gesetz geltend gemacht Das Bundesverfassungsgericht hat in der Hauptsache noch nicht ent T tigkeitsbericht 2011 des ULD SH Soziales schiede
155. g der verant wortlichen Stellen angewiesen Diese m ssen Pr fungshandlungen in ihren Gesch ftsr umen dulden und dem ULD die f r dessen T tigkeit erforderli chen Ausk nfte erteilen In der Praxis wird dies nicht immer beachtet F r Datenschutzermittlungen hat das ULD das Recht Gesch ftsr ume von verantwortlichen Stellen zu betreten und vor Ort Pr fungen vorzunehmen 32 TB Tz 5 3 2 Nicht weniger wichtig f r die Aufgabenerf llung des ULD ist dessen Auskunfts recht Verantwortliche Stellen m ssen uns die f r die Erf llung unserer gesetzli chen Aufgaben erforderlichen Ausk nfte erteilen auch auf schriftliche Anfragen Eine Ausnahme gilt wenn sich der Auskunftspflichtige durch die Beantwortung der Fragen der Gefahr strafgerichtlicher Verfolgung oder eines Verfahrens nach dem Gesetz ber Ordnungswidrigkeiten aussetzen w rde Das ULD weist in seinen Auskunftsersuchen stets auf die Auskunftspflicht und auf das Recht zur Verweigerung der Auskunft hin Soll vom Auskunftsverweigerungsrecht Gebrauch gemacht werden ist dies dem ULD mitzuteilen T tigkeitsbericht 2011 des ULD SH i o t u 1 DUCTA gt ER 7 Datenschutz in der Wirtschaft Dessen ungeachtet unterlassen verant wortliche Stellen R ckmeldungen nicht selten sind die Ausk nfte l ckenhaft Oft bedarf es mehrfachen und nachdr cklichen Nachfragens die verantwortliche Stelle dazu zu brin gen den Sachverhalt umfassend auf zukl ren
156. g seiner eID nicht einmal bemerken F llt T tigkeitsbericht 2011 des ULD SH Allgemeine Verwaltung dieser Missbrauch beim Vertragspartner auf z B weil der Schuldner seine Forde rung nicht begleicht so w rde auch eine Melderegisterauskunft nicht weiterhel fen da durch die falsche Anschrift im Chip eine Ermittlung des Ausweisinhabers nicht m glich w re Nicht einmal die Sperrung des Ausweises w re realisierbar da das Sperrkennwort nicht ermittelt werden kann Weder die personalausweisrechtlichen Vorschriften noch die eingesetzte Technik sehen f r den dargestellten Fall ausreichende Sicherheitsma nahmen bzw eine ausreichende Revisionsf higkeit der Datenverarbeitung vor Bei mehr als 5 000 Personalausweisbeh rden in Deutschland mit ber 50 000 Mitarbeiterinnen und Mitarbeitern sehen wir hier dringenden Nachbesserungsbedarf Um zumindest eine unbefugte Neusetzung der PIN in der Personalausweisbeh rde zu verhindern ist z B daran zu denken zus tzlich zur Freischaltung die nur dem Betroffenen bekannte PUK mit einzugeben Ist dies nicht m glich muss im Zweifel die Sicherheit Vorrang haben und ein neuer Ausweis beantragt werden Bei den Meldebeh rden in Schleswig Holstein hat der nPA zu massiven nde rungen sowohl in qualitativer wie in quantitativer Hinsicht gef hrt Die Zeiten in denen lediglich Vordrucke ausgef llt und in die EDV eingegeben wurden sind endg ltig vorbei Der B rger muss jetzt in technischer Hinsicht um
157. g und Nutzung der durch intelligente Z hler erhobenen Verbrauchsinformationen Eine Spezialregelung muss sich am Zweck der Verarbeitung der erhobenen Verbrauchsdaten orientieren Dabei ist zwischen Bestandsdaten abrechnungsrele vanten Daten und steuerungsrelevanten Daten zu unterscheiden Bestandsdaten sind Daten die Auskunft ber die Identit t des Betroffenen und der Entnahme stelle geben Sie werden unabh ngig vom konkreten Verbrauch durch die Ener gieversorgungsunternehmen erhoben verarbeitet und genutzt Abrechnungsrele vante Daten sind sowohl einzelne als auch aggregierte Verbrauchsinformationen die Auskunft ber die Menge der verbrauchten Energie ber einen bestimmten Zeitraum geben Deren Verarbeitung ist erforderlich um die vereinbarte Versor gungsleistung abzurechnen Die L nge des Erfassungszeitraums wird ma geblich durch die Abrechnungsintervalle des Versorgungsvertrages bestimmt Steuerungs relevante Daten ergeben individuelle Verbrauchsprofile mit Angaben ber die Netznutzung durch die Betroffenen zu den die Energie nutzenden Ger ten zur Art des Verbrauchs und weitere f r die Abrechnung nicht relevante technische Informationen Steuerungsrelevante Daten d rfen nur f r die berwachung des ordnungsgem en Betriebs des Versorgungsnetzes und zur Sicherstellung der Versorgung der Verbraucher mit der Ressource durch Versorgungsunternehmen und Netzbetreiber verarbeitet werden Eine dar ber hinausgehende Verwendung steu
158. g und zur regel m igen berpr fung festgelegt werden So kann festgestellt werden wann welche Faxsendungen an wen versendet wurden welche Faxnummern in den Kurzwahltasten hinterlegt sind bzw welche Faxnummern bei einem Faxserver den verschiedenen Verteilern zugeordnet sind Alle getroffenen Ma nahmen sind in der Sicherheitsdokumentation entspre chend LDSG und DSVO zu dokumentieren In einer Dienst bzw Betriebsanwei sung werden die Mitarbeiter der Beh rde bzw des Unternehmens ber die Ma nahmen zum Gebrauch des Faxger tes informiert In dieser Anweisung sollten auch praktische Hinweise Was mache ich wenn zum Faxversand und empfang aufgenommen werden beispielsweise e Verwenden von Schreddern am Faxger t um Faxsendungen mit personenbezo genen Daten datenschutzkonform zu entsorgen e Informationen dar ber wann ein Fax verwendet werden darf und wann kein Fax sondern eine andere Kommunikationsart gew hlt werden muss z B bei Daten die einem besonderen Berufs und Amtsgeheimnis unterliegen e Festlegung dass Faxsendungen telefonisch angek ndigt werden sollen So kann der Empf nger das Fax am Ger t direkt entgegennehmen und Fehl sendungen werden gleich zur Kenntnis genommen Auch eine telefonische R ckversicherung ob der Empf nger eine Faxsendung vollst ndig und fehler frei erhalten hat ist denkbar e Festlegung dass es bei empfangenen eigenartigen Faxsendungen zu einer telefonischen R ckver
159. g zu halten ist T tigkeitsbericht 2011 des ULD SH Audit und G tesiegel Stadt Bad Schwartau Bad Schwartau ist die erste Kommune die sich einer fortlaufenden regelm Bigen Datenschutz berpr fung durch das ULD unterzieht Damit setzen die Verantwortlichen Ma st be und gew hrleisten Datenschutz und Daten sicherheit auf hohem Niveau Bereits zum dritten Mal hat das ULD der Stadtverwaltung Bad Schwartau das Datenschutzaudit zeichen f r eine vorbildliche und ordnungsgem e Datenverarbei tung verliehen Schon 2004 hatte sie ihr hohes Niveau an Daten sicherheit bei der Verarbeitung ihrer B rgerdaten auf EDV Systemen von uns auditieren lassen Im Jahr 2007 wurde die Aufrechterhaltung des Sicher heitsniveaus erfolgreich reaudi tiert Auf der Basis eines entspre chenden Auftrags kontrollierte das ULD die Datensicherheit in Bezug auf Wirkungsweise und Best ndigkeit erneut umfassend und bescheinigte der Stadtverwaltung dass sie das Datenschutzauditzeichen f r weitere drei Jahre f hren darf In einem Datenschutzkonzept sind f r die automatisierte Datenverarbeitung und den Anschluss des Verwaltungsnetzes an das Internet Sicherheitsma nahmen festgelegt die auf ihre Umsetzung und Wirkungsweise berpr ft wurden Die IT Koordinatoren haben auf der Basis von Windows Terminalservern eine zentra le Verwaltung der Fachanwendungen und der Daten realisiert Die Sicherheit an den Arbeitsplatzrechnern wird so deutlich erh ht
160. gemeinen Datenschutzgesetzen keinesfalls schlie en sie diese aus Jede und jeder Besch ftigte hat das Recht beim Arbeitgeber zu erfahren welche Daten dieser an ELENA bermittelt hat T tigkeitsbericht 2011 des ULD SH 49 50 4 5 3 Soziales Schon Mitte 2010 hatte der Bundeswirtschaftsminister vor allem aus Kostengr n den gefordert ELENA zu stoppen Im November 2010 verst ndigte sich dann die Bundesregierung darauf um zwei Jahre die Testphase zu verl ngern Erst 2014 soll der Datenabruf im Rahmen der Beantragung von Sozialleistungen beginnen Da die schon erhobenen Daten so lange nicht auf Vorrat gespeichert werden d rfen sind diese zumindest teilweise wieder zu l schen Was ist zu tun Die weitere Pr fung des Verfahrens sollte dazu f hren dass ELENA endg ltig abgeschaltet wird Wird an ELENA festgehalten so muss daf r Sorge getragen werden dass die Betroffenen z gig ihr Selbstauskunftsrecht wahrnehmen k nnen Datenschutz bei der hausarztzentrierten Versorgung Wegen drohender umfangreicher Datenschutzverst e hat das ULD erst malig eine Anordnung zur Regelung der Datenverarbeitung erlassen und diese f r sofort vollziehbar erkl rt In dem betroffenen Bereich der haus arztzentrierten Versorgung muss eine Methode der Abrechnung gefunden werden die den Datenschutzanforderungen entspricht Die Hausarztzentrierte Versorgung HzV ist eine besondere Versorgungsform im System der gesetzlichen Krankenversicheru
161. gen gelten Widerspr che gegen die Ver ffentlichung der Bilddaten schlie en die im Laserscanverfahren erhobenen Daten mit ein Verfahren wird eingesetzt um Ober fl chen oder K rper zu vermessen Mit den erhobenen Daten k nnen die So ganz nebenbei teilte Google mit anl sslich der Erfassung der Stra enz ge auch die Daten privater WLAN Funknetze erhoben und gespeichert zu haben Soweit uns bekannt ist wurden georeferenzierte Angaben zu den MAC Adressen der Access Points bzw Router BSSID die Namen der Funknetze SSID der Verschl sselungsstatus die MAC Adressen der in dem Funknetz angemeldeten Clients und sogenannte Payload Daten erfasst Zu letzteren geh ren s mtliche Daten die zum Zeitpunkt der Erfassung des Funknetzes in diesem technisch bermittelt wurden Ein Gro teil der gespeicherten Daten war verschl sselt Deren Inhalt kann daher durch Google nicht ausgewertet werden Doch wurden auch unverschl sselte Informationen auf den Festplatten des Unternehmens gefunden Die vom Hamburgischen Beauftragten f r den Datenschutz und Infor mationsfreiheit begonnene Untersuchung dauert an Stalking im Internet Verfolgung und Bel stigung betreffen auch die digitale Gesellschaft Das ULD wird verst rkt um Beratung in F llen gebeten in denen Personen ber das Internet bel stigt und verleumdet wurden In diesen F llen hatten die Angreifer detaillierte Kenntnisse ber die verfolgten Personen Die Angreifer nutzten
162. gen ihn wegen des Verdachts des Sozialleistungsbetruges Es wurde eingestellt Die teilweise aus der Durch suchung stammenden polizeilichen Erkenntnisse waren tats chlich an die ARGE weitergegeben worden Eine Daten bermittlung der Polizei an die ARGE war insoweit rechtens wie diese zur Begr ndung eines Anfangsverdachts der Erschleichung von Sozialleistungen durch die Lebensgef hrtin des Petenten erforderlich war Nur war im Rahmen unserer Kontrolle nicht mehr zu kl ren welche Daten konkret an die ARGE bermittelt wurden da sich hier ber kein Nachweis in den polizeilichen Unterlagen befand Die Weitergabe des Durch suchungsprotokolls an die ARGE war nicht erforderlich es enthielt keine Anga ben zur Begr ndung eines Anfangsverdachts Wir beanstandeten dass die Daten bermittlung nicht korrekt ausgewiesen wurde zudem r gten wir die bermitt lung des Protokolls der Wohnungsdurchsuchung Das Innenministerium nahm sich des Falles an und konnte feststellen dass der bermittlungsnachweis in der Akte der Staatsanwaltschaft enthalten war Doch h tte die Daten verarbeitende Stelle bei der Polizei den Nachweis zum Zeitpunkt der Kontrolle selbst erbringen m ssen Was ist zu tun Die Polizei muss ihre Datenverarbeitung in Akten oder Dateien so organisieren dass sie jederzeit erfolgte bermittlungen und m glichst auch deren Inhalt nachweisen kann Dies dient nicht nur datenschutzrechtlichen Kontrollen sondern auch zur Realisierung ges
163. gesetzte Verfahren MESTA ist um eine Schnittstelle zum SAP System des Landes erweitert worden ber die neue Schnittstelle sollen Rechnungsdaten aus dem Verfahren Mehrl n der Staatsanwaltschafts Automation MESTA in das SAP System bertragen werden Dort werden sie vom Finanzverwaltungsamt weiterverarbeitet das f r die Justizbeh rden in Schleswig Holstein die Kassengesch fte wahrnimmt Da bei den Staatsanwaltschaften keine Datenschutzbeauftragten nach dem Landesdaten schutzgesetz bestellt sind wurde das ULD mit der Durchf hrung der Vorab kontrolle beauftragt In rechtlicher Hinsicht sprechen gegen die Einrichtung der Schnittstelle keine Bedenken Wir haben aber empfohlen weitere Ma nahmen zur Gew hrleistung der Datensicherheit zu ergreifen Insbesondere ist eine Protokol lierung der ber die Schnittstelle erfolgenden bermittlungen einzurichten Glei ches gilt f r administrative Zugriffe mit denen nderungen am Programm bewirkt werden k nnen Der Generalstaatsanwalt zeigte sich diesen Anforderun gen gegen ber aufgeschlossen und signalisierte Bereitschaft zu deren Umsetzung Was ist zu tun Bei allen automatisierten Verfahren gilt Zugriffe von Administratoren sowie von Nutzern zwecks Speicherung Ver nderung und bermittlung der Daten sind zu protokollieren Auch die Protokollierung lesender Zugriffe der Nutzer entwickelt sich mehr und mehr zum Standard Verkehrsangelegenheiten Fahrerlaubnisse au er Kontrolle
164. griff auf die Vorbehandlungen und zudem auf die sogenannte zentrale Kran kengeschichte die Details ber die aktuelle und gegebenenfalls auch fr here Behandlungen enth lt Mit dem UK S H besteht Einigkeit dass es f r Patientinnen und Patienten die M glichkeit geben soll eine Pseudonymisierung ihrer Daten in der Weise zu erhalten dass bestimmte Vorbehandlungen komplett ausgeblendet werden Dies kann allerdings erst bei der Archivierung d h nach der Abrechnung der jeweili gen Behandlung erfolgen Dazu ist es erforderlich dass sich diejenigen die dies w nschen an den Datenschutzbeauftragten des UK S H mit folgenden Kontakt daten wenden http www uk sh de Patienten _ Besucher Fix_ Navigation Organisation Verwaltung Datenschutz p 19148 html Was ist zu tun Das UK S H muss wie alle Krankenh user in Schleswig Holstein anhand der in Tz 4 6 1 beschriebenen Anforderungsliste konkrete Anforderungen an die Hersteller von Krankenhausinformationssystemen stellen damit diese die zur Wahrung des Datenschutzes erforderlichen Eigenschaften in die Programme einbauen und dann die entsprechenden Einstellungen bei der Implementierung vornehmen T tigkeitsbericht 2011 des ULD SH 4 6 3 Schutz des Patientengeheimnisses Keine Infos ber HIV und Hepatitis f r den Rettungsdienst Informationen ber bestehende Infektionskrankheiten sind hochsensibel W nsche an solche Informationen zu kommen sind nicht immer stichhaltig begr nde
165. gsrecht 155 12 2 Betriebs und Gesch ftsgeheimnisse Auskunft ber Vertragsgestaltungen 156 12 3 Keine Informationskosten f r nicht rechtsf hige gemeinn tzige Vereine 156 12 4 Einzelf lle 157 12 4 1 Polizeibeamte und tote Hunde keine Preisgabe der Identit t der Beamten 157 12 4 2 Gef hrdungsbeurteilungen 158 12 5 _Agrarsubventionsempf nger im Internet Ende eines Konfliktes 158 13 DATENSCHUTZAKADEMIE Schleswig Holstein 160 Index 164 T tigkeitsbericht 2011 des ULD SH Datenschutz in Schleswig Holstein Datenschutz in Schleswig Holstein Nach den turbulenten Jahren 2008 und 2009 in denen sich Datenschutzskan dale und ffentliche Kontroversen zum Schutz der Privatsph re und der Pers n lichkeitsrechte im digitalen Raum l ckenlos und berlappend aneinan derreihten war das Jahr 2010 ein ver gleichsweise ruhiges Jahr f r den Datenschutz Dies hatte jedoch weniger seinen Grund darin dass die Verst e weniger geworden sind sondern es trat ein gewisser Gew hnungseffekt ein der nach dem Bekanntwerden jedes neuen Datenlecks aber nicht zu Desinteresse wegen Abstumpfung f hrte Vielmehr wurde das aufgeregte H pfen von einem Erstaunen zur n chsten Emp rung zumindest teilweise abgel st durch die Suche nach L sungen der ins Auge springenden Probleme Dabei ist erfreulicherweise festzustellen dass bei der Suche nach L sungen nicht auf alte Reaktionsmuster zur ckgegriffen wurde den Ruf nach dem starken
166. h datenschutzkonform m glich wenn die Prozesse zur Datenauswertung unter dauerhafter Kontrolle des beh rdlichen Datenschutzbeauftragten stehen In Data Warehouses werden Daten unterschiedlicher Quellsysteme zusammen gef hrt Kopien der Daten werden blicherweise in einem separaten Datenbank T tigkeitsbericht 2011 des ULD SH Systemdatenschutz system vorgehalten und dort ausgewertet Data Warehouses dienen dann als Aus gangsbasis f r das Data Mining also f r das Sch rfen von Informationen Ziel ist es bisher unerkannte Zusammenh nge in gro en Datenmengen zu finden In der ffentlichen Verwaltung sto en Data Warehouses mit personenbezogenen Daten an die engen Grenzen der Zweckbindung Personenbezogene Daten die zu einem bestimmten Zweck erhoben wurden d rfen nicht der wahlfreien Aus wertung zu anderen Zwecken zur Verf gung stehen Sollen personenbezogene Daten in einem Data Warehouse verarbeitet werden so ist jede Auswertung vorab auf die Einhaltung der Zweckbindung zu pr fen Eine wahlfreie Auswertung ist mit den Vorgaben des LDSG nicht vereinbar Jede Auswertung muss vorher durch den oder die beh rdliche Datenschutzbeauftragte kontrolliert und durch die Leitung der Daten verarbeitenden Stelle freigegeben werden Die Kontrollen und Freigaben sind zu dokumentieren Dies stellt hohe Anforderungen sowohl an die beh rdlichen Datenschutzbeauf tragten als auch an die Dienststellenleitung Bei der Einf hrung eines D
167. h eine Boni t tsanfrage legitimieren F r die Krankenvollversicherung im Basistarif wurde f r die F lle in denen eine gesetzliche Verpflichtung zur Gew hrung von Versiche rungsvertr gen besteht festgestellt dass kein berechtigtes Interesse besteht F r Krankenvollversicherungen au erhalb des Basistarifs wird ein berechtigtes Inte resse anerkannt soweit die abgefragten Daten nicht ber den Datenkatalog der Schuldner und Insolvenzverzeichnisdaten hinausgehen In Anbetracht der exis tenziellen Bedeutung von Krankenversicherungsvertr gen stehen jeder weiter gehenden Datenabfrage schutzw rdige Interessen des Betroffenen entgegen Die rechtliche Bewertung des Scorings bei Versicherungsunternehmen befindet sich in der AG noch in der Abstimmung e Einwilligungs und Schweigepflichtentbindungserkl rung Die Mustererkl rungen zur datenschutzrechtlichen Einwilligung und zur Schwei gepflichtentbindung wurden zwischen dem GDV und den Datenschutzaufsichts beh rden weitgehend abgestimmt 32 TB Tz 5 2 Einzelbereiche wie die Datenweitergabe an R ckversicherer sowie die Datenweitergabe an Vermittler T tigkeitsbericht 2011 des ULD SH 5 6 Datenschutz in der Wirtschaft bed rfen einer separaten Kl rung Es ist vorgesehen den abgestimmten Kern der Mustererkl rungen 2011 durch den D sseldorfer Kreis best tigen zu lassen e Hinweis und Informationssystem der Versicherungswirtschaft HIS Ein Unternehmen der informa Unterneh
168. hen Unterrichtung in Einzelterminen nach Wiesbaden ein und verlangte zugleich die Unterzeichnung einer Vertraulichkeitserkl rung durch die Teilnehmenden Dieser Vorschlag wurde nicht nur vom ULD abgelehnt Mit diesem Vorgehen lief die Schufa sehenden Auges Gefahr dass das ULD die Unternehmen im Land dar ber unterrichtete dass Schufa Scoring Verfahren nicht eingesetzt werden k nnten da f r diese die Datengrundlage nicht hinreichend transparent ist Eine ganze Reihe von Datenschutzaufsichtsbeh rden forderte nun von der Schufa die direkte Auskunftserteilung auch unter Hinweis auf die f r sie geltende gesetzliche Verschwiegenheitspflicht Die Schufa muss ebenso wie andere bundesweit agierende Unternehmen ein Interesse an einer Abstimmung der Aufsichtst tigkeit haben zumal aufsichtsbeh rdliche Mittel gegen die Ver tragspartner der Schufa im Raum stehen Zum Einsatz dieser Mittel kam es dann vorl ufig nicht Die Schufa stellte dem ULD wie auch anderen Aufsichtsbeh rden Unterlagen zu ihren Scoring Verfah ren zur Verf gung Sie teilte mit dass sie die Frage der Er rterung von Betriebs und Gesch ftsgeheimnissen im D sseldorfer Kreis in einem gerichtlichen Haupt sacheverfahren kl ren lassen wolle Zuletzt erfolgte in einer Sitzung der AG Auskunfteien des D sseldorfer Kreises im November 2010 eine Erl uterung der vorgelegten Unterlagen durch die Schufa gegen ber allen teilnehmenden Auf sichtsbeh rden Was ist zu tun Schleswig
169. hkeit sich einen langen Text vor der Unterschrift in Ruhe durchzulesen T tigkeitsbericht 2011 des ULD SH 5 4 Datenschutz in der Wirtschaft Die Hinweise auf den Kassenzetteln sind weiterhin sehr pauschal und f r den Kunden nicht verst ndlich Nach Ansicht des ULD kommt die Einwilligung mit der Unterschrift nach dem Auslesen der Karte und erfolgten Datenabgleich mit den Listen der EC Netzbetreiber auch zu sp t Die berpr fung und Bewertung der Vorg nge bei den EC Netzbetreibern ist noch nicht abgeschlossen Es gab Hinweise dass die Daten aus dem ELV f r andere Zwecke als nur f r die der Zahlungsabwicklung genutzt wurden Zwei Datenschutzaufsichtsbeh rden stellten Strafantr ge wegen des Verdachts der unzul ssigen Datenweitergabe zu Zwecken der Zahlungsverkehrsanalyse Was ist zu tun S mtliche Verfahren der EC Netzbetreiber geh ren auf den Pr fstand H ndler und EC Netzbetreiber m ssen ihre Kunden umfassend und verst ndlich dar ber informieren was mit den Zahlungsdaten passiert Bonit tsabfragen durch die Wohnungswirtschaft Vermieter holen vor der Vermietung von Wohnraum zu den Mietinteressen ten nicht selten Informationen ber Auskunfteien ein F r derartige Boni t tsabfragen bestehen datenschutzrechtliche Grenzen Das ULD hat bei 53 Unternehmen der Wohnungswirtschaftsbranche eine Befra gung zur Praxis der Bonit tsabfragen zu Mietinteressenten durchgef hrt Es wurde gebeten die verwendeten Formulare vorzu
170. hme von Spezialmaterien ins BDSG f rdert die bereits jetzt beste hende Un bersichtlichkeit und Unverst ndlichkeit des Gesamtgesetzes e Die Chance zur einheitlichen Regelung des Personalaktenrechts wird vertan Unklar bleibt bisher inwieweit der Entwurf Arbeitnehmer im ffentlichen Dienst von L ndern und Kommunen erfassen soll Das ULD legte eine ausf hrliche Stellungnahme zum Regierungsentwurf vor T tigkeitsbericht 2011 des ULD SH 5 1 2 Datenschutz in der Wirtschaft https www datenschutzzentrum de arbeitnehmer 20101012 stellungnahme html Die Krux mit den Mitarbeiterlisten Weitergabe von Mitarbeiterdaten an Krankenkassen Ein Unternehmen forderte von einer Krankenkasse die Erstattung der Kosten einer durch den Betriebsarzt durchgef hrten Grippeschutzimpfung bei deren Mitgliedern Es durfte aber nicht die Daten anderer Betriebsange h riger bermitteln Der Leistungskatalog der Krankenkasse sah eine Erstattung f r jedes Mitglied vor Dem Erstattungsantrag des Unternehmens war aber eine komplette Liste aller geimpften Mitarbeiter beigef gt auch wenn sie bei der angeschriebenen Kasse nicht versichert waren Es handelte sich um die zusammengefasste Rech nung des Betriebsarztes an die Firma f r die gesamte Impfaktion Die reklamie rende Krankenkasse bef rchtete zun chst unbegr ndet die Weitergabe der Liste an alle Mitarbeiter zur individuellen Geltendmachung der Erstattungs anspr che Die Sammlung der
171. ht decken mit denen die eigene technische Infrastruktur berfordert w re Auch Privatleute haben die M glichkeit Angebote aus der Cloud zu nutzen Aus Sicht der Anwender findet die eigentliche Datenverarbeitung in der Cloud intransparent statt Sie haben in der Regel keine Kenntnis davon wo genau sich ihre Daten in der Wolke befinden wer Zugriff auf diese hat wo sie physisch gespeichert werden und ob die Datenschutz und Datensicherheitsma nahmen des Cloud Anbieters den gesetzlichen und ihren eigenen organisationsinternen Anfor derungen entsprechen Da viele Anbieter von Cloud Computing international agierende Unternehmen mit Servern au erhalb Europas sind stellt dies insbeson T tigkeitsbericht 2011 des ULD SH 8 4 Modellprojekte und Studien dere f r europ ische Anwender ein Hindernis dar die ihrer Verantwortung f r die Datenverarbeitung gem dem EU Rechtsrahmen nachkommen m ssen TClouds will diese Probleme mithilfe einer transparenten und vertrauensw r digen Infrastruktur f r solche Angebote l sen Diese soll Anwendern eine grenz berschreitende und dennoch datenschutzgerechte und sichere Datenspei cherung und verarbeitung erm glichen und zugleich die wirtschaftlichen Vorteile der bisherigen Cloud Computing L sungen beibehalten Die TClouds Konzepte werden im Laufe des Projekts anhand von Szenarien im Gesundheitsbereich sowie im Energiesektor erprobt Beide Einsatzbereiche sind beispielhaft hinsich
172. huld tritt unabh ngig davon ein ob ein Ger t zum Empfang von Rund funksendungen vorgehalten wird oder nicht T tigkeitsbericht 2011 des ULD SH Neue Medien Im Interesse des Schutzes der Privatsph re kann die jahrelang umstrittene Kontrolle des Vorhaltens von Empfangsger ten durch die Rundfunkgeb hren beauftragten und Geb hreneinzugszentrale GEZ entfallen Die neue Beitrags pflicht macht andere Datenarten aus anderen Quellen erforderlich Die f r den Beitragseinzug verantwortlichen Stellen ben tigen nun ein Register der in Deutschland existierenden Wohnungen und der darin lebenden Personen Denn nur einmal pro Wohneinheit soll der Beitrag entrichtet werden m ssen Zugleich soll sichergestellt werden dass bei einem Auszug die Wohnung nicht aus der Beitragspflicht entschwindet Die Datenschutzaufsichtsbeh rden kritisierten die strenge Ankn pfung der Bei tragspflicht an die Wohnung Ein fl chendeckender Beitragseinzug soll nur durch minuti se Ausforschung der in einer Wohnung lebenden Personen realisierbar sein Die bei den Meldebeh rden bestehenden Melderegister geben keine Aus kunft welche Personen in einer Wohnung zusammenleben Derartige Erfassungen sollen nunmehr erfolgen Die Aufsichtsbeh rden schlugen deshalb andere Ankn pfungspunkte vor z B die Einkommenssteuerpflicht Mit dem Systemwechsel wird also die langj hrig kritisierte Praxis der umfangrei chen Ausforschung durch die Rundfunkanstalten nicht beende
173. hutzinteressen der betroffenen Mitarbeiter vor T tigkeitsbericht 2011 des ULD SH 27 28 Allgemeine Verwaltung Was ist zu tun Die Musterdienstvereinbarung ist auf andere Bereiche des ffentlichen Sektors bertragbar Versand von Besoldungs und Beihilfebescheiden im Bereich der Schulen Die Praxis beim Versand von Besoldungs und Beihilfebescheiden krank geschriebener Mitarbeiter kann zu Missverst ndnissen und Irritationen f hren Der Versandweg sollte f r die Betroffenen transparent und eindeutig nachvollziehbar sein Eine krankgeschriebene Lehrerin hatte mehrfach den Eindruck an sie adressierte Bescheide des Finanzverwaltungsamtes seien auf dem Dienstweg vor der Weiter leitung an ihre Privatanschrift von der Schule ge ffnet worden Als Nachweis hatte sie einen entsprechenden Fensterbriefumschlag im Beisein eines Zeugen ge ffnet und uns diesen anschlie end bersandt Der Umschlag war handschrift lich per Klebeetikett mit der Privatadresse der Betroffenen versehen worden und trug den Absenderstempel der Schule Der Schulleiter erkl rte die Bescheide vom Finanzverwaltungsamt w rden per Dienstpost an die Schule gesandt Sei der Betroffene erkrankt werde der Brief keinesfalls ge ffnet sondern lediglich wie dargestellt um die fehlenden Anga ben erg nzt und zur Post gegeben Es bestand kein Anlass f r Zweifel an den Aussagen des Schulleiters Andererseits waren ein ffnen des Briefes und die anschlie ende
174. icklung und die Anwendung von Datenschutzinfrastrukturen in Europa zu f rdern und zu unterst tzen Alle 15 Projektpartner aus 12 europ ischen L ndern und das ULD als Koordinator k nnen langj hrige Erfahrungen auf dem Gebiet des Daten schutzes aufweisen Der Datenschutzdiskurs auf den Konferenzen von PrivacyOS erfolgt nach der sogenannten Open Space Methode Die Teilnehmerinnen und Teilnehmer brin gen eigene Themen ein und gestalten dazu Vortr ge und Diskussionen Die T tigkeitsbericht 2011 des ULD SH Modellprojekte und Studien Agenda eines Open Space also eines offenen Raums wird erst zu Beginn einer Konferenz erstellt Jeder kann ein Datenschutzthema einbringen und bekommt in Abh ngigkeit des Interesses der anderen Teilnehmer einen Zeitblock und einen Raum zugeordnet Diese Dynamik erleichtert es neue und aktuelle Themen zu behandeln Ziel ist die Etablierung einer dauerhaften Zusammenarbeit und des Austausches innerhalb der Mitgliedstaaten und verschiedener EU Projekte zum Thema Datenschutz PrivacyOS ist ein Diskussionsforum f r Best Practices zu Themen wie Electro nic ID Cards eParticipation Datenschutz G tesiegel oder Kryptomechanismen ber einen Zeitraum von zwei Jahren wurden vier Open Space Konferenzen parallel zu Veranstaltungen mit datenschutzrechtlicher Relevanz f r Vertreter aus den Bereichen Wirtschaft Wissenschaft Regierung und Gesellschaft angeboten Nach den ersten drei PrivacyOS Konferenzen in Stra
175. ie ber den Kassen von Superm rkten aufgeh ngt waren Die im Kassenbereich vieler Superm rkte aufgeh ngten Spiegel sollen den Kassiererinnen in erster Linie einen Blick in die Einkaufswagen der Kunden erm glichen und dienen so dem Schutz vor Diebstahl Mehrere besorgte B rger brachten jedoch ihre Bef rchtung zum Ausdruck durch die aufgeh ngten Spiegel w re ein Aussp hen ihrer PIN Nummer beim Bezahlen mit EC Karte durch hinter ihnen in der Warteschlange stehende Kunden m glich T tigkeitsbericht 2011 des ULD SH 91 92 5 8 7 Datenschutz in der Wirtschaft Ein tats chlich erfolgtes Aussp hen der PIN Nummer wurde zwar in keinem Fall erwiesen doch konnte das ULD die Bef rchtungen im Grundsatz nachvollziehen Die betroffenen Superm rkte wurden ber die vorgetragenen Bedenken informiert und gebeten die Spiegel abzubauen Die M rke sind unserer Bitte ausnahmslos gefolgt und haben zeitnah die Spiegel abmontiert Die Spiegel werden nach unserem Eindruck in den Kassenbereichen ohnehin mehr und mehr durch moderne Videotechnik verdr ngt Der Vorteil dieser neuen Technik gegen ber den Spiegeln ist dass der Bereich der PIN Eingabetastatur f r die EC Ger te durch gezielte Konfiguration ausgeblendet bzw geschw rzt werden kann Damit wird sowohl dem Sicherheitsbed rfnis des Unternehmens hinsichtlich der Verhinderung von Diebst hlen als auch dem Bed rfnis der Kunden an der Geheimhaltung der PIN Nummer gen gt Derartige Kamera
176. iegen letzterer wird bei besonde ren Arten personenbezogener Daten also z B Gesundheitsdaten unterstellt Da an einer Abw gung kein Weg vorbeigeht hierf r aber keine spezifischen Abw gungskriterien festgelegt werden k nnen da die Fallkonstellationen so vielf ltig wie das Internet sind w hlt der Entwurf einen prozeduralen Weg der Konflikt l sung Widerspricht der Betroffene so muss der Impressumspflichtige nach dem Telemediengesetz TMG umgehend reagieren Tut er dies nicht so wendet sich die Rechtm igkeitsvermutung gegen die Ver ffentlichung Ist ein Widerspruch aus einer allgemein zug nglichen Quelle erkennbar so muss dieser beachtet werden Um zumindest bei Massenverarbeitungen la Google Street View den Betroffenen vorab ein Chance auf Widerspruch zu geben wird eine Benachrichti gung auf einer Internetseite Pflicht Zudem soll durch Verkn pfung des personen bezogenen Datums bei der urspr nglichen Ver ffentlichung im Internet mit einem Meta L schdatum die Chance zur Realisierung der Gnade des Vergessens erh ht werden An einer beh rdlichen Konfliktl sung durch die Datenschutzauf sicht die nat rlich in einem hohen Ma e Opportunit t walten lassen muss geht kein Weg vorbei Die Diskussion ber die Vorschl ge hat schon zu ersten Modifi kationen des ersten Entwurfs gef hrt Gefordert sind jetzt die Politik und die Datenschutz Community T tigkeitsbericht 2011 des ULD SH 15 16 Datenschutz bu
177. ielten den Namen Amt Horst Herzhorn Trotz der personellen und organisatorischen Problemstellungen wurde der Datenschutz nicht au er Acht gelassen Die Leitungsebene zeigte mit der Besetzung der Administratorenstelle Weitblick und bewies dass es sich lohnt die Aufgaben der IT eine engagierte Mitarbeiterin durchf hren zu lassen Unsere berpr fung zeigte den hohen Stellenwert des Datenschutzes in dieser Verwaltung Die in dem Datenschutzkonzept dokumentierten Sicherheitsma nahmen werden wirksam umgesetzt Dank effektivem IT Management und ber durchschnittlich guter Systemdokumentation wird auch bei Krankheit oder Urlaub der Administratorin die Verwaltung der IT Umgebung durch andere explizit berechtigte Personen gew hrleistet Die durch das LDSG und DSVO geforderte Dokumentation hebt die Verwaltung deutlich vom Durchschnitt der im Land vor gefundenen Gegebenheiten ab Es wurden keine M ngel festgestellt ein seltener erfreulicher Befund Was ist zu tun Die Amtsverwaltung sollte das gute Datenschutzniveau beibehalten T tigkeitsbericht 2011 des ULD SH 107 6 6 4 6 6 5 108 Systemdatenschutz Pr fung bei der KLG Heider Umland Die datenschutzrechtliche berpr fung der Kirchspielslandgemeinde Heider Umland f hrte zu einer u erst hohen Anzahl von Beanstandungen Bei einer routinem igen berpr fung des Amtes Kirchspielslandgemeinde Heider Umland fanden wir eine Vielfalt datenschutzrechtlicher M ngel
178. ientendaten erh lt Wir staunten nicht schlecht als uns ein gebrauchter Laptop bergeben wurde der auf diversen Umwegen in den Besitz des berbringers geraten war Darauf befanden sich neben Schmuddelgeschichten auch unverschl sselte Patienten daten einer Arztpraxis Auf dem Ger t war spezielle Software f r Arztpraxen installiert Problemlos konnten 342 Word Dokumente mit Patientendaten ge ffnet werden Es handelte sich berwiegend um rztliche Bescheinigungen und Arzt briefe einer Kinderarztpraxis Die Kinderarztpraxis erkl rte uns dass nicht nur dieser Laptop sondern weitere drei Laptops und zwei Rechner bei einem Einbruch gestohlen wurden Die Polizei best tigte dass die Einbrecher mit erheblicher Gewalt vorgegangen waren Wir konnten der Kinderarztpraxis zwar keinen Versto gegen datenschutzrechtliche T tigkeitsbericht 2011 des ULD SH 61 62 4 6 7 Schutz des Patientengeheimnisses Bestimmungen vorwerfen da so die Polizei ausreichende Schutzma nahmen gegen Einbruch getroffen worden waren Dennoch haben wir die Praxis aufge fordert Patientendaten k nftig verschl sselt zu speichern Schlimm genug wenn bei einem Einbruch der Laptop gestohlen wird Die Folgen f r die Patienten wenn deren Daten in unbefugte H nde gelangen k nnen jedoch noch wesentlich fataler sein Das ULD gibt gern Hinweise und Hilfen zur Verschl sselung von Daten rzte sollten die Anbieter ihrer Arztpraxissoftware auf Versch
179. ieser dagegen Beschwerde einge legt hatte entschied das Oberverwaltungsgericht Schleswig Holstein OVG zugunsten des ULD und stellte fest dass der HzV Vertrag gegen materielles Datenschutzrecht verst t Es ging dabei in seiner Begr ndung noch ber die Verf gung des ULD hinaus Es stellte fest dass dem Arzt der mit dem HzV Vertrag verpflichtet wird seine Patientendaten an die H VG weiterzugeben keine M glichkeit der Auswahl des Auftragnehmers gegeben wird Will also ein Arzt an der HzV teilnehmen bleiben ihm keine Alternativen Er ist gezwungen die sensiblen Daten an die H VG und deren Dienstleister weiterzugeben Entgegen den Vorgaben des Gesetzes best n den f r den teilnehmenden Arzt keine oder zumindest nur geringe Einflussm g lichkeiten Selbst eine Direkt bermittlung der Abrechnungsdaten an die Kranken kasse wird ihm untersagt Das OVG stellt klar dass wegen der Verantwortlichkeit des Auftraggebers diesem die vollst ndige Einsichts und Kontrollm glichkeit ber die Datenverarbeitung bewahrt bleiben muss was den Haus rzten gegen ber der H VG im Vertrag jedoch verwehrt wird Schlie lich betont das OVG den Interessenwiderspruch der im Fall eines Musterprozesses bei der Auftrags datenverarbeitung nach Abtretung einer rzteforderung entst nde Das OVG pr fte zus tzlich zu den allgemeinen Voraussetzungen die der sozial rechtlichen Auftragsdatenverarbeitung Es stellte fest dass deren Vorausset zungen nicht vo
180. igkeit abgestellt wird die in der Regel schon mit 16 Jahren besteht e Gem einer EuGH Entscheidung muss eine Daten bermittelnde Stelle Aus kunft ber die Empf nger geben weshalb diese zu dokumentieren sind e Durch Einf gung einer Regelung zur Ver ffentlichung personenbezogener Daten im Internet wird hierf r eine klare Rechtsgrundlage geschaffen e Die Regelung zur Video berwachung sollte an die des BDSG angeglichen werden e Die bestehende Vorschrift zum Fernmessen und Fernwirken hat keine prakti sche Bedeutung mehr und kann wegfallen ebenso wie die Regelung zur Dokumentation ber Sekten e Gem den Normen auf nationaler und europ ischer Ebene wird eine Infor mationspflicht gegen ber Datenschutzaufsicht bzw Betroffenen bei unrecht m iger bermittlung vorgeschlagen die sogenannte Breach Notification e Die v llige Unabh ngigkeit des ULD wird gem dem Urteil des EuGH recht lich sichergestellt e Die Regelung einer angeforderten Datenschutzpr fung ohne Abschluss mit einer Zertifizierung wird ausdr cklich vorgesehen e Die M glichkeiten zur Erhebung von Entgelten sind zu erweitern e Das ULD erh lt die umfassende Zust ndigkeit f r die Verfolgung von Ord nungswidrigkeiten nach dem Datenschutzrecht Kurz vor Redaktionsschluss hat uns das Innenministerium des Landes seine berlegungen zur LDSG Novellierung mitgeteilt die weitgehend mit unseren Vorschl gen bereinstimmen Was ist zu tun
181. ines Chipkartenlesers mit eigener Zifferntastatur Wer sich nicht gen gend mit der Datensicherheit auskennt und die eID nicht dringend ben tigt sollte die eID besser deaktivieren lassen Ein Sicherheitsrisiko bei der eID sehen wir in der M glichkeit die Daten im Ausweischip ber die Meldebeh rde zu ver ndern ohne dass ein Nachweis ber die nderung erfolgt In der Papierversion muss jede nderung von der Melde beh rde gesiegelt werden Sie haftet so f r die Richtigkeit der nderung Eine vergleichbare Dokumentation ist bisher in der elektronischen Form nicht vorgese hen obwohl hier zus tzliche hochsensible Daten insbesondere die PIN f r die Freischaltung der eID ver ndert werden k nnen Im Alltag kommt es immer wieder vor dass g ltige Personalausweise bei rtlich unzust ndigen Personalausweisbeh rden abgegeben werden sei es dass sie verlo ren gegangen bzw gestohlen und wiedergefunden wurden oder es sich um Aus weise Verstorbener handelt Aktiviert nun ein Mitarbeiter der Beh rde die eID und vergibt eine neue PIN so kann dies zu einem massiven Missbrauch der Funktion f hren Eine Sperrung des Ausweises w rde nicht stattfinden wenn die eID urspr nglich nicht eingeschaltet war Wird dann noch die Anschrift im Chip ge ndert k nnte bei einer unbefugten Nutzung der eID der potenzielle Vertrags partner unter Umst nden nicht einmal auf den falschen Betroffenen schlie en Dieser w rde die unbefugte Nutzun
182. inisterium erarbeiteten wir nderungsvorschl ge f r das LDSG die wir dem Ministerium im August 2010 zuleiteten Diese resultieren teilweise aus den bundesweiten Diskussionen ber die Eckpunkte zur Modernisierung der Daten schutzrechte Tz 2 1 U a haben wir folgende Punkte benannt e Durch Aufgabenauslagerung und Privatisierung im ffentlichen Bereich sowie die Anhebung des Datenschutzniveaus im nicht ffentlichen Bereich kann eine Einschr nkung des Anwendungsbereichs des LDSG vorgenommen werden T tigkeitsbericht 2011 des ULD SH 10 Datenschutz in Schleswig Holstein e Die bisherige Regelung zur Datensicherheit enth lt nicht mehr Einzelma nah men sondern Schutzziele Diese wurden inzwischen weiterentwickelt und sind entsprechend fortzuschreiben e Die zunehmende Automation und die damit verbundene Erh hung der Rele vanz elektronisch verarbeiteter Daten macht eine Pr zisierung der Protokoll pflichten n tig e Die Ver ffentlichung von Verfahrensverzeichnissen sollte gem den heute bestehenden M glichkeiten ber das Internet erfolgen e Beh rdliche Datenschutzbeauftragte haben sich bew hrt weshalb deren Be stellung obligatorisch werden muss Nach entsprechenden Rechts nderungen auf Bundesebene kann die Kontrollbefugnis auf besondere Amts und Berufs geheimnisse erstreckt werden e Die Unklarheiten zur Einwilligungsf higkeit von Jugendlichen wird dadurch beendet dass ausdr cklich auf die Einsichtsf h
183. is der Daten nicht in der Lage w re eine ihr obliegende Aufgabe zu erf llen und die Datenerhebung beim Betroffenen unverh ltnism ig w re Die bestehende Beistandschaft begr ndete T tigkeitsbericht 2011 des ULD SH Allgemeine Verwaltung f r das Jugendamt eine ausreichende Erm chtigung zur Datenerhebung Bei einer bermittlung der Meldedaten h tte eine pers nliche Gegen berstellung des Betroffenen mit der Mutter organisiert werden m ssen Wesentlich einfacher war es der Mutter die Lichtbilder zu zeigen ohne dabei weitere personenbezogene Daten der Kandidaten zu offenbaren Die Mutter h tte so den Kindesvater identi fizieren k nnen ohne dass die Betroffenen pers nlich in Anspruch genommen werden mussten Leider war der gesuchte Vater nicht unter den vorgelegten Kandidaten Er hatte seinerzeit offensichtlich falsche Angaben gegen ber der Mutter gemacht Das Verfahren hat dennoch zur Kl rung des Sachverhaltes ma geblich beigetragen und der Betroffenen zumindest die Gewissheit gebracht dass nichts unversucht gelassen wurde Namentliche Nennung von Einwohnern in der Einwohnerfragestunde Die ffentlichkeit von Einwohnerfragestunden bedeutet nicht dass Personen dort zwingend ihren Namen angeben m ssen Die Aufnahme in ein Protokoll das im Internet ver ffentlicht wird darf nicht erfolgen wenn der B rger dies nicht w nscht Eine Amtsverwaltung wollte dass bei Einwohnerfragestunden die Fragenden ihren Namen mitteilen
184. it t Das ULD pr fte anl sslich einer Eingabe die Datenspeicherungen von neun Personen in rtus Dabei ergaben sich Zweifel hin sichtlich Richtigkeit und Logik der Speicherungen Manches war selbst f r Polizeibeamte nicht ohne Weiteres nachvollziehbar Gute Datenverarbeitung muss selbstsprechend sein und jedem berechtigten polizeilichen Anwender richtige und verl ssliche Daten zur Auf gabenerf llung bereitstellen Ist dies nicht der Fall werden den gew nschten Workflow beeintr chtigende R ckfragen n tig Durch dauernde Qualit tssiche rung lassen sich solche M ngel vermeiden Diese geh rt nicht nur bei Unter nehmen der Wirtschaft sondern auch bei vielen Beh rden heute zum Standard Datenqualit t ist Gradmesser f r die Effektivit t und gibt Auskunft ber die Effizienz von Verfahren was mit Blick auf die Finanzlage des Landes immer mehr an Bedeutung gewinnt Die multifunktionale Datenbasis Die Daten aus rtus VBS sollen nach polizeilichen Planungen weitere Verwen dungen finden Wor ber w hrend der Konzeption und Realisierung des Vor gangsbearbeitungssystems nicht konkret gesprochen wurde ist inzwischen fast T tigkeitsbericht 2011 des ULD SH Polizei und Verfassungsschutz selbstverst ndlich geworden was die gesetzlich auferlegten Restriktionen bez g lich der zweckbestimmten Verarbeitung in einem neuen Licht erscheinen l sst Die Zwecke der Vorgangsbearbeitung und der Dokumentation wurden bislang
185. it erlangte personenbezogene Informationen weitergegeben werden d rfen In vielen Schulen Schleswig Holsteins sind Schulsozialarbeiterinnen und Schul sozialarbeiter t tig zumeist mit staatlicher Anerkennung als Sozialarbeiter oder Sozialp dagogen Deren Arbeit in den Schulen setzt einen vertrauensvollen Umgang mit den ihnen von Sch lerinnen und Sch lern anvertrauten Informatio nen voraus Oft ist im Interesse der Sch lerinnen und Sch ler aber auch ein Aus tausch mit den Lehrkr ften den Schulleitungen und anderen Stellen erforderlich Schulsozialarbeiter verrichten ihre Arbeit zwar in den Schulen geh ren diesen aber organisatorisch nicht an Sie sind bei den verschiedensten Stellen etwa beim Schultr ger beim ffentlichen Jugendhilfetr ger oder beim Kinderschutz bund besch ftigt Oftmals entstehen Unsicherheiten beim Umgang mit den vertraulichen Informationen was zu Reibungen bei der an sich notwendigen Kommunikation mit den Schulleitungen oder Lehrkr ften f hren kann Um dies T tigkeitsbericht 2011 des ULD SH 69 70 4 8 4 8 1 Steuerverwaltung bez glich Hilfestellungen zu geben werden derzeit in Zusammenarbeit mit dem Sozialministerium und dem Bildungsministerium Hinweise f r eine datenschutz gerechte Verarbeitung der von den Schulsozialarbeitern gespeicherten personen bezogenen Daten entwickelt Was ist zu tun Die Hinweise sollten fertiggestellt abgestimmt und in die Praxis umgesetzt werden St
186. itischen Vorhaben wie dem Aufsetzen von Bewer tungsportalen ist es wichtig die rechtlichen Vorgaben genau einzuhalten Eine Beratung durch das ULD oder andere Datenschutzaufsichtsbeh rden ist insofern hilfreich Wissenschaft und Bildung Vermittlung von Medienkompetenz mit dem ULD Wenn junge Menschen das Internet nutzen und sich in sozialen Netzwerken tummeln sind ihnen oft die damit verbundenen Gefahren f r ihre pers n lichen Daten nicht bewusst Das ULD versucht durch Vortr ge in Schulen und durch Brosch ren Sch lerinnen und Sch lern den sorgsamen Umgang mit ihren Daten zu vermitteln Als das Bildungsministerium vor zwei EA Jahren die Initiative Netzwerk Medien 7 l kompetenz startete um Sch lerinnen und uU Ie Sch ler Lehrkr fte und Eltern ber den A richtigen und sorgsamen Umgang mit LALI N elektronischen Kommunikationsmedien 4 Is tar _ aufzukl ren sind wir dieser Initiative so J 2 fort beigetreten Gemeinsam mit der Ver braucherzentrale Schleswig Holstein der Landespolizei dem Offenen Kanal und anderen Organisationen f hrt das ULD seither Veranstaltungen an Schulen in Schleswig Holstein durch Dabei kommt die vom ULD herausgegebene Jugendbrosch re Entscheide DU sonst tun es andere f r Dich zum Einsatz 32 TB Tz 4 7 1 Erg nzt wird dies zuk nftig durch einen gemeinsamen Internetauftritt ber den von Schulen oder auch von den Sch lerinnen und Sch lern Informationen un
187. itung der AAL Dienstleister stattfindet Der Konflikt zwischen zunehmender Freiheit und zugleich zunehmender Abh ngigkeit durch Technik ist typisch f r die arbeitsteilige Informationsgesellschaft Er kann nur aufgel st werden wenn die Organisationen die ihre Dienstleistungen der Pflege der medizinischen Versorgung der Beobachtung oder der Leistungsdokumenta tion technikunterst tzt erbringen ihre oft komplizierten technischen Systeme selbst beherrschen und sich zugleich einer externen Kontrolle unterwerfen Die Abh ngigkeit von der Technik darf nicht zu einer Abh ngigkeit von den die Technik einsetzenden Organisationen f hren die eine hohe Gestaltungsmacht ber den Alltag von Menschen innehaben Haben Menschen mit der Verallt glichung von AAL tats chlich die Wahl die Techniken selbstbestimmt und w rdig zu nutzen Wird es m glich sein nach einer Zeit der Nutzung von AAL Techniken der weiteren Nutzung zu widerspre chen Wird am Ende der voll vermessene Mensch stehen dessen privaten Eigen schaften und Handlungen erforscht und zu einem Profil des Normalmenschen zusammengestellt sind Tats chlich besteht die Tendenz Abweichungen von diesem Normalprofil zu erfassen Werden die Betroffenen gegen ber ihren Versicherungen Rechenschaft f r ihr Verhalten ablegen m ssen Freiheit und Selbstbestimmung bedeutet dass man nicht dem standardisierten Normalma entsprechen und sich f r Abweichungen rechtfertigen muss Die Studie zeigt die G
188. ken dass die verschiedenen Akteure die Systeme so konstruieren implementieren konfigurieren und betreiben dass diese den von den Schutzzielen formulierten Anforderungen gen gen T tigkeitsbericht 2011 des ULD SH 6 4 Systemdatenschutz Tests und Fehlerbehebung mit Echtdaten Die steigende Komplexit t vernetzter Rechnersysteme f hrt zu komplexeren Fehlerszenarien In Einzelf llen k nnen Fehler laut Aussagen der Hersteller nur mit Echtdaten nachvollzogen werden Der Schutz der personenbezoge nen Daten muss hierbei sichergestellt bleiben Mit der Vielschichtigkeit der einge setzten Software in Unternehmen und Verwaltungen steigt auch die Komple xit t und Vielzahl der m glichen Feh lerbilder Oft sind es nicht mehr die offensichtlichen sondern individuelle und schwer nachzustellende Fehler die Anwender und Hersteller besch f tigen Solche Fehler sind besonders schwer zu vermitteln sowohl nach innen als auch nach au en Muss die Nutzung der Software bis auf Weiteres komplett eingestellt werden oder nur f r ganz bestimmte Aktionen War es ein Bedienungsfehler oder ist die Software fehlerhaft Welche T tig keiten sind genau zum Zeitpunkt des Fehlers davor und danach durchge f hrt worden und von wem Diese Analysen erfordern von der Daten ver arbeitenden Stelle wie vom Software hersteller ein hohes Ma an exakter Dokumentation effizienter Kommu nikation und Kenntnis der Software Trotz solcher Bem hu
189. l sselungs m glichkeiten ansprechen Was ist zu tun Daten von Patienten die der rztlichen Schweigepflicht unterliegen sollten grunds tzlich nur verschl sselt gespeichert werden Missgl ckte Befundversendung beim Mammografie Screening Datensicherheitspannen haben rgerliche Folgen f r die Betroffenen Das Instrument der sogenannten Security Breach Notification soll diese Folgen mildern Es hat sich bereits kurz nach seiner Einf hrung ins Bundesdaten schutzgesetz bew hrt Das ULD befasst sich seit Jahren mit dem Datenschutz beim Mammografie Screening 32 TB Tz 4 5 11 Jetzt ereilte uns die Meldung ber einen Daten schutzversto bei dem Versenden von Befundmitteilungen Es war in einer der Screening Einheiten in Schleswig Holstein zu einer Fehlprogrammierung einer Kuvertiermaschine gekommen Dadurch wurden versehentlich bei ca 75 der von der Screening Einheit zur Befundmitteilung an die Teilnehmerinnen ver sandten Fensterbriefumschl ge nicht nur wie eigentlich vorgesehen ein Blatt sondern zwei Bl tter eingelegt Die Kuvertiermaschine verf gte ber zwei ein programmierte Routinen Die eine zur Versendung lediglich eines Blattes in einem Fensterbriefumschlag sollte f r Befundversendungen an die Teilnehmerin nen verwendet werden Die zweite f r die Kuvertierung von zwei Bl ttern sollte f r bestimmte Mitteilungen an rzte Verwendung finden Versehentlich wurde zur Versendung der Befundmitteilungen die f r rzte
190. legen und zu erl utern welche Ausk nfte bei Auskunfteien eingeholt werden Aus den Antworten ergibt sich dass Angaben zur Bonit t vorwiegend nur zum letztverbleibenden Mietinteres senten eingeholt werden Aus Datenschutzsicht darf eine Auskunft zu einem Mietinteressenten tats chlich erst dann eingeholt werden wenn der Abschluss des Mietvertrages mit diesem Bewerber nur noch vom positiven Ergebnis der Bonit tspr fung abh ngt Da der Vermieter mit dem Abschluss des Mietvertrages das Risiko eingeht dass ein Mieter wegen Zahlungsunf higkeit oder unwilligkeit den Mietzins nicht begleicht hat der Vermieter bei einem finanziellen Ausfallrisiko grunds tzlich ein berechtigtes Interesse an einer Bonit tsauskunft Dieses besteht noch nicht bei einer zeitgleichen Datenabfrage zu mehreren Wohnungsinteressenten Was ist zu tun Nur zum letztverbleibenden Bewerber darf eine Bonit tsauskunft eingeholt werden Erst wenn diese Auskunft zu einem negativen Ergebnis f hrt darf eine Auskunft zum Bewerber erfolgen der in der Rangliste folgt T tigkeitsbericht 2011 des ULD SH 83 84 5 5 Datenschutz in der Wirtschaft Datenschutz in der Versicherungswirtschaft Die Arbeitsgruppe Versicherungswirtschaft des D sseldorfer Kreises ver handelt mit dem Gesamtverband der Deutschen Versicherungswirtschaft unter Vorsitz des ULD ber einen gro en Strau von Datenschutzfragen der Branche Die Arbeitsgruppe AG erstellte eine Stellungnahme z
191. les kostet Es ist kein Wunder dass hier kein einziges Beschwerdeverfahren durchgef hrt wurde Trotz insgesamt j hrlich ber 2 000 Beschwerden wegen Verletzung der Safe Harbor Grunds tze hat die in den USA zust ndige Federal Trade Commission FTC nur sieben Unternehmen abgemahnt weil sie sich zu Unrecht auf Safe Harbor berufen haben Was ist zu tun Das Safe Harbor Abkommen sollte von der EU gek ndigt werden damit ber Neuverhandlungen eine reale Sicherung des Datenschutzes bei dem Datenaus tausch mit den USA erreicht wird Internationale Standardisierung von Datenschutz Privacy by Design bedeutet dass Datenschutz bei der Gestaltung von Technik und organisatorischen Abl ufen eingeplant und umgesetzt wird Damit lassen sich datenschutzrechtliche Probleme von vornherein vermei den Die internationale Standardisierung von Datenschutz soll an diesem Punkt ansetzen Bereits seit 2007 beteiligt sich das ULD an internationaler Datenschutznormung und wirkt in verschiedenen Standardisierungs organisationen im Rahmen von europ ischen Forschungsprojekten mit 32 TB Tz 2 3 2 Ein Schwerpunkt besteht in der Mitarbeit in der Arbeitsgruppe zu Datenschutz und Identit tsmanagement der Internationalen Standardisierungsorganisation ISO Innerhalb dieser Arbeits gruppe ist es gelungen andere Datenschutzbeh rden enger in die Mitarbeit einzubinden Seit vergangenem Jahr wirken auch Vertreter der franz sischen Datenschutzbeh
192. lhaft Nutzer die ein Tracking ihrer Internetaktivit ten vermeiden wollen sollten ihren Brow ser entsprechend einrichten Webseitenanbieter sollten weiterhin die Finger von Google Analytics lassen Doodle Doodle ist ein in der Schweiz beheimateter Online Dienst der Terminab sprachen und organisation vereinfachen soll Leider gibt es Datenschutz probleme Mit dem Dienst lassen sich ohne Anmeldung Einladungen erstellen in denen Terminvorschl ge enthalten sind Der Link zu dieser Einladung wird dann allen potenziellen Teilnehmern geschickt Auf der hinter dem Link stehenden Webseite k nnen die Teilnehmer ihre Terminpr ferenzen angeben und bei Bedarf Kom mentare hinterlassen Auf diese Weise lassen sich sehr einfach Termine abstim men auch in gr eren Gruppen So gut die Idee zun chst klingt so hat die Umsetzung trotzdem einige Haken Der Dienst verwendet das Werbenetzwerk Google AdSense zur Einblendung von Werbebannern Google Analytics kommt f r statistische Auswertungen zum Ein satz Tz 10 1 Nutzer von doodle com m ssen also davon ausgehen dass Infor mationen ber sie ungefragt in die USA gesandt werden Immerhin wendet doodle dabei die von Google angebotene IP K rzung an und deklariert die Nutzung von Analytics in der Datenschutzerkl rung Neben dem gratis verf g baren Basisdienst wird eine werbefreie Premiumvariante angeboten Nach Aus kunft der Betreiber werden dabei aber dieselben Daten an Google bermittel
193. lichen Dienste der Gesundheits mter Pflegedienste und Behinderteneinrichtungen buchen regelm ig f r ihre Mitarbeitenden Fortbil dungsveranstaltungen zu Themen des Sozialdatenschutzes vgl Jahresprogramm 2011 S 9 Das Jahresprogramm der DATENSCHUTZAKADEMIE finden Sie unter https www datenschutzzentrum de sommerakademie auf der Homepage des Unabh ngigen Landeszentrums f r Datenschutz ULD T tigkeitsbericht 2011 des ULD SH 163 164 Index A ABCA Trust 117 Administrator 98 altersgerechte Alterssysteme AAL 100 AN ON Anonymit t Online 119 Anonymisierung 30 54 AOK NordWest 53 AOK Schleswig Holstein 53 Arbeitsgemeinschaft ARGE 37 47 Arbeitslosengeld 47 rtus 34 Arzneimittel 30 Arztpraxis 60 Auftragsdatenverarbeitung 29 51 52 104 Auskunft 49 53 83 Auskunfteien 80 83 88 Ausl nderverwaltung 71 Ausl nderzentralregister AZR 71 73 Authentifizierung 114 Authentisierung 49 B Banken 80 81 89 90 91 94 Besch ftigtendatenschutz 75 Besoldungs Beihilfebescheid 28 Betriebsgeheimnis 156 Bilddaten 113 BITKOM 16 Bonit tsabfrage 83 84 Browser 145 BSI Zertifizierung Kreisverwaltung Pl n 124 Bundesagentur f r Arbeit BA 47 Bundesamt f r Sicherheit in der Informationstechnik BSI 126 Bundesbeauftragter f r den Datenschutz und die Informationsfreiheit BfDI 13 20 53 54 Bundesdatenschutzgesetz BDSG 14 51 75 Bundesinnenminister des Innern BMI 16 Bundeskriminalamt 37 4
194. lichen Rahmenbedingungen das Haupt problem und die Hauptl sung die Menschen selbst sind Diese Erkenntnis hat zur zwangsl ufigen Konsequenz gef hrt Medienkompetenz zu vermitteln Medienkompetenz ist aber nicht nur das mechanische Beherrschen von Informa tionstechnik Dazu geh rt auch ein neues informationsgesellschaftliches Bewusst T tigkeitsbericht 2011 des ULD SH Datenschutz in Schleswig Holstein sein mit neuen sozialen Verantwortlichkeiten neuen Pflichten und neuen Werten Dabei handelt es sich um nichts v llig Neues sondern um die alten Verantwort lichkeiten Pflichten und Werte in einem neuen digitalen Gewand Das ULD hat vor diesem Hintergrund die Sommerakademie 2010 mit dem Titel Codex digita lis durchgef hrt 32 TB Tz 2 1 Dieser Bedeutungswandel ist in der Wirtschaft l ngst angekommen Informa tionstechnik IT ist zum konomischen Motor geworden Die Lebenswirklichkeit von immer mehr Menschen wird davon gepr gt Die Medien greifen die neuen Konflikte und Herausforderungen mit neuen Akteuren begierig auf und suchen auf die neuen Fragen Antworten Symptomatisch hierf r war die das vergangene Jahr stark pr gende Diskussion um die Ver ffentlichung von Dokumenten durch WikiLeaks im Internet die sich um die zentrale Frage drehte welche legitimen Geheimnisse es in der globalen Informationsgesellschaft geben kann muss und darf im politischen wirtschaftlichen und privaten Raum Als weitere Frage dr ngte si
195. lichen Stellen vorhandenen oftmals sensiblen Informationen ber auff llige oder bereits straff llig gewordene Jugend liche sollen ausgetauscht werden um aufeinander abgestimmte Erfolg verspre chende Ma nahmen zu treffen Ist f r eine Zusammenarbeit und Abstimmung mehrerer Stellen die Nennung des betroffenen Jugendlichen nicht erforderlich so gen gt der Austausch anonymisierter Daten Sind R ckschl sse auf den betroffe nen Jugendlichen nicht m glich ist der Austausch datenschutzrechtlich kein Problem Dies gen gt in einigen F llen jedoch nicht z B wenn zwischen Stellen mit Kontakt zu dem betroffenen Jugendlichen konkrete L sungen f r den weite ren Umgang mit dem Heranwachsenden abgestimmt werden sollen Dies setzt Daten bermittlungen voraus die jeweils entweder durch eine gesetzliche Befug nis oder durch eine Einwilligung des betroffenen Jugendlichen erlaubt sein m ssen Ein erster Zwischenbericht der Arbeitsgruppe befasst sich auch mit einer vom ULD beigesteuerten ausf hrlichen Darstellung und Erl uterung der daten schutzrechtlichen Anforderungen beim Informationsaustausch Der Bericht LT Drs 17 665 ist abrufbar unter http www landtag ltsh de infothek wahl17 drucks 0600 html Die Arbeitsgruppe pr ft nun auch die Frage ob die bestehenden Befugnisse ausreichend sind um den notwendigen Informationsaustausch zwischen Beh r den abzudecken Die Ergebnisse werden in einem zweiten Berichtsteil voraus sichtlich Anfang
196. liegen dort einer strengen Zweckbindung Wir forderten von der ife Gesundheits AG dass ohne die Einwilligung der Anrufer nicht jeder Arzt der ife Gesundheits AG auf die Doku mentationen fr herer Anrufe zugreifen kann Was ist zu tun Sowohl die TK als auch die ife Gesundheits AG m ssen f r eine ausreichende Transparenz f r die Anrufer sorgen Jeder Anrufer muss wissen mit wem er telefoniert welche Daten gespeichert werden wer Zugang zu diesen Daten hat und welche Daten an die TK bermittelt werden F r eine Daten bermittlung bedarf es der Einwilligung der Betroffenen Forschungsprojekt Family Roots Das von dem Christlichen Jugenddorfwerk Deutschlands in Kreisen und kreisfreien St dten durchgef hrte europ ische Forschungsprojekt Family Roots konnte durch die fr hzeitige Datenschutzbegleitung datenschutz gerecht gestaltet werden Die Auswertung von Akten der Jugendgerichtshilfen und eine Befragung von Betroffenen sollte Aufschluss bringen inwiefern die Familien von jugendlichen Straft tern in die Abl ufe von Jugendstrafverfahren integriert werden Doch d rfen die Mitarbeiter des Christlichen Jugenddorfwerk Deutschlands CJD zu diesem Zweck die Akten einsehen sich Notizen machen bzw Namen und Anschriften von Betroffenen an den CJD bermitteln F r die Auswertung der Akten mussten die auf europ ischer Ebene entwickelten Auswertungsb gen dem deutschen Datenschutzrecht angepasst werden So wurden u a Datenfelde
197. lt derweil geradezu irratio nale Z ge Vertreter von Sicherheitsbeh rden und diese unterst tzende Politiker erwecken hnlich wie bei der Diskussion um die sogenannte Online Durch suchung den falschen Eindruck ohne eine maximale Regelung sei Strafverfol gung im Internet nicht mehr m glich Vorgetragene Zahlen und Argumente sind oft nicht nachvollzieh und berpr fbar Zu wenig ber cksichtigt wird dass Straf verfolgung im Internet nicht von einem einzigen Instrument abh ngt sondern von einem effektiv eingesetzten Mix von Ma nahmen wobei viele dieser Ma nah men grundrechtsneutral sein k nnen Vorschl ge zum schnellen Einfrieren von Verkehrsdaten das sogenannte Quick Freeze wird als unwirksam von vornherein verworfen Nicht hinreichend ber cksichtigt werden die zu geringe personelle Ausstattung mit qualifizierten Strafverfolgern die im Internet bzw IT Bereich t tig sind die bisher nicht opti mierten Meldewege von den Anzeigenden zur Polizei sowie zu privaten Internet dienstleistern und wieder zur ck zur Polizei zu aufwendige und zeittr chtige Verfahrensabl ufe auch bei f r den Grundrechtsschutz unerl sslichen verfah rensrechtlichen Sicherungen wie z B bei richterlichen Pr fungen fehlende T tigkeitsbericht 2011 des ULD SH 19 20 Datenschutz bundesweit Standards f r die Durchf hrung und Priorisierung von Strafverfolgungsma nah men und M ngel in der Internetstruktur bez glich
198. lt die Datenschutzzertifizierung eine wichtige Rolle Bei der Umsetzung des Konzeptes bedarf das ULD der externen Unterst tzung der kontrollierten Beh rden und Unternehmen der Politik sowie der kooperie renden Stellen im Bereich Datenschutz Verbraucherschutz und Medienkompe tenz Wir hoffen mit der Ver ffentlichung des ULD Konzeptes eine Grundlage f r den Austausch geschaffen und zugleich relevante Diskussionspunkte f r die T tigkeitsbericht 2011 des ULD SH 11 12 Datenschutz in Schleswig Holstein weitere gemeinsame Arbeit im Interesse des Datenschutzes und der Informations freiheit benannt zu haben https www datenschutzzentrum de ldsh konzept Was ist zu tun Das ULD wird das Konzept als Grundlage f r die weitere Arbeit verwenden Nach einem Zeitablauf von einigen Jahren ist zu pr fen welche Anderungen und Weiterentwicklungen m glich und n tig sind T tigkeitsbericht 2011 des ULD SH 2 1 Datenschutz bundesweit Datenschutz bundesweit Die Musik beim Datenschutz spielte im Jahr 2010 vor allem im nationalen Bereich Waren die Jahre 2008 und 2009 noch gepr gt von der ffentlichen ber raschung ber die M glichkeiten und Risiken der Informationstechnik und von der Emp rung ber deren gesellschafts sch dliche Nutzung etwa durch tele kommunikativ aktive Abzocker durch Vorst nde von Gro konzernen oder durch dubiose Sicherheitsfirmen so ist dies der Suche nach den dahinterstehen
199. lten unzul ssigen Abrufe ber Unions b rger Im LKA wird eine Eingabemaske f r Suchanfragen an das AZR verwen det die vom INPOL Land POLAS Competence Center IPCC stammt Ein Feld f r die Eingabe eines Verwendungszwecks fehlt dort Genutzt wird hierf r inzwischen ein anderes Feld Tz 4 9 1 Dies kann allenfalls eine bergangs l sung sein hnliches gilt f r die Angabe der verantwortlichen Person Das LKA f hrt die Abrufe blicherweise im Auftrag einzelner Polizeibeamter durch die Kennung der tats chlich abrufenden Person gibt also keinen Aufschluss ber die den Abruf veranlassende Person Die Suchmaske enth lt ein Feld f r die Eintragung der verantwortlichen Person das aber nicht als Pflichtfeld ausgestaltet ist Tech nisch ist nicht sichergestellt dass die verantwortliche Person immer angegeben wird Das LKA hat die abrufberechtigten Mitarbeiter mittlerweile angewiesen Angaben ber die verantwortliche Person zu dokumentieren Was ist zu tun Die Eingabemaske muss erg nzt werden um eine den gesetzlichen Anforderun gen entsprechende Protokollierung der Abrufe sicherzustellen Keine Antwort von der Kreisverwaltung Auch Ausl nderbeh rden haben als ffentliche Stellen das Datenschutzrecht zu respektieren und eine Datenschutzkontrolle zu erm glichen Dies scheint keine Selbstverst ndlichkeit zu sein Ein Rechtsanwalt wandte sich in einem ausl nderrechtlichen Verfahren an das ULD Als zwei Monate nach unserer Auf
200. m glichst ohne das Risiko von R cklastschriften Entwickelt wurden Instrumente zur Risikomessung steuerung und bernahme Die EC Netzbetreiber entwickelten das Instrument der sogenannten Zahlungs wegeempfehlung Wird aus Sicht der EC Netzbetreiber eine riskante EC Karte eingesetzt bei der aus bestimmten Gr nden ein R cklastschriftrisiko besteht wird nicht das ELV eingesetzt Vielmehr wechselt die Kasse zum teureren aber siche ren PIN Verfahren Um das Risiko einsch tzen zu k nnen sammeln die EC Netz betreiber zentral von verschiedenen H ndlern Informationen ber R cklast schriften Au erdem werden Datum Uhrzeit Ort und Betrag jeder Zahlung im Lastschriftverfahren gespeichert Anhand dieser Informationen werden u a soge nannte H ndlerlimits berechnet Mithilfe dieses Limits kann ein H ndler z B bestimmen dass das ELV nur eingesetzt wird wenn verschiedene Eink ufe mit einer EC Karte in einem Zeitraum von 30 Tagen einen Betrag von 400 Euro nicht bersteigen Die Datenschutzbeh rden bem ngeln dass die Kundinnen und Kunden nicht ausreichend informiert werden In vielen F llen erfolgt kein Hinweis was mit den Zahlungsdaten ber die herk mmliche Nutzung im ELV hinaus passiert Wenn ein Hinweis auf den Kassenzettel gedruckt war so oftmals nur auf dem Exemplar des H ndlers Dem Kunden wurde der Hinweis nicht zur eingehenden Information berreicht In der eiligen Kassensituation hat er auch faktisch keine M glic
201. m Beschwerdefall lagen zwischen dem Tod der Mutter und dem Zeitpunkt der Versendung der Werbepost 15 Tage Der Bundesgerichtshof hat im April 2010 entschieden dass Briefwerbung f r Grabsteine wettbewerbsrechtlich keine unzu mutbare Bel stigung der Hinterbliebenen darstellt wenn sie nach Ablauf einer Frist von zwei Wochen nach dem Todesfall erfolgt Das ULD schloss sich dem an und vertrat die Auffassung dass die schutzw rdigen Interessen der Betroffenen durch die Einhaltung einer Wartefrist von zwei Wochen zwischen Todesfall und Zusendung der Werbung ausreichend ber cksichtigt wurden Der fehlende Hinweis auf das Widerspruchsrecht der Betroffenen auf dem Werbeprospekt wurde vom ULD beanstandet Das Unternehmen zeigte sich zun chst bereit einen schriftlichen Hinweis auf das Widerspruchsrecht in seine Werbeprospekte aufzunehmen Inzwischen teilte es uns mit dass es den unmittel baren Versand von Werbung an Angeh rige nach einem Trauerfall v llig einge stellt habe Was ist zu tun Die Grabsteinbranche sollte die Trauergef hle der Angeh rigen beachten und eine Schonfrist von zwei Wochen zwischen dem Todesfall und der Zusendung von Werbematerial unbedingt einhalten Was der Finanzberater alles wei Ein selbstst ndiger Finanzberater in Schleswig Holstein erhielt von einer Bank detaillierte Kontoinformationen ber einen ihrer Kunden und sprach ihn mithilfe der Daten an um ihm ein Produkt zu verkaufen Ein Bankkunde war ersta
202. mburg im Auf trag T tigkeitsbericht 2011 des ULD SH Audit und G tesiegel Weitere Informationen f r Hersteller finden sich im Internet unter https www datenschutzzentrum de guetesiegel infos_hersteller htm Was ist zu tun Die Hersteller von Produkten sind auf die Vorz ge des G tesiegels hinzuwei sen Es erfolgt eine enge Zusammenarbeit mit dem Projekt EuroPriSe um Synergien zu nutzen und Hersteller zielgerichtet beraten zu k nnen 9 2 2 Sachverst ndige 2010 konnte das ULD deutlich mehr Sachverst ndige f r das G tesiegelver fahren anerkennen als im vorangegangenen Jahr Im Rahmen des G tesiegelverfahrens erfolgt die Begutachtung der zu zertifizie renden Produkte durch beim ULD anerkannte Datenschutzsachverst ndige Wer sich anerkennen lassen m chte kann dieses entweder f r den Bereich Recht oder Technik beantragen Bei entsprechender Qualifikation ist eine Doppelzulassung oder die Anerkennung einer ganzen Pr fstelle m glich Voraussetzungen f r eine Anerkennung ist stets neben der Zuverl ssigkeit und Unabh ngigkeit der Nach weis der erforderlichen Fachkunde Diese muss sich insbesondere auf den Daten schutzbereich erstrecken und auch jahrelange praktische Erfahrungen beinhalten Hinzugekommen als Sachverst ndige sind 2010 e Dipl Math Eva Saar Darmstadt Technik e Dipl Inform Dr Reinhard Linz Bonn Recht Technik e Dr Flemming Moos Hamburg Recht e Joerg Heidrich Hannover Technik
203. mensberatung soll ab April 2011 das neue HIS in Ausgestaltung einer Auskunftei betreiben 32 TB Tz 5 2 Daf r wurde eine eigene Gesellschaft die Informa Insurance Risk and Fraud Prevention GmbH IIRFP gegr ndet Es wurde gekl rt dass ber HIS keine Gesundheits daten ausgetauscht werden Weitere Themen der Abkl rung zwischen der AG Versicherungswirtschaft der IIRFP und dem GDV waren die Nutzung des HIS im Leistungsfall in der Lebensversicherung sowie Benachrichtigungs und Aus kunftspflichten insbesondere bei Sachdaten wie Kfz Daten Es besteht noch nicht ber s mtliche Fragen der Ausgestaltung des neuen HIS Einvernehmen Datenschutz bei Vereinen Bei der bermittlung von Mitgliederdaten an einzelne Vereinsmitglieder sind datenschutzrechtliche Vorgaben zu beachten Die Einschaltung eines Datentreuh nders erweist sich hierbei als suboptimal Ein Vereinsmitglied begehrte vom Verein die bersendung einer Mitglieder liste Ausnahmsweise d rfen Mitgliederdaten ohne die Einwilligung der Betroffe nen und bei Fehlen einer Satzungsregelung bermittelt werden wenn das Ver einsmitglied ein berechtigtes Interesse etwa ein konkretes Begehren im Rahmen der vereinsinternen Willensbildung wahrnimmt und keine schutzw rdigen Mitgliederinteressen entgegenstehen Schutzw rdige Belange stehen der Daten bermittlung bei einer Nutzung f r Werbezwecke entgegen In jedem Fall sind Widerspr che der Mitglieder gegen die Daten bermittlung
204. n beziehen und die notwendigen rechtlichen organisatorischen und technischen Ma nahmen ergreifen um die Verletzung der Pers nlichkeitsrechte auszu schlie en Polizei und Verfassungsschutz Im Spannungsverh ltnis zwischen den Zielen des Grundrechtsschutzes und der Gew hrleistung von Sicherheit steht derzeit die Auseinandersetzung um die Vor ratsspeicherung von Telekommunikationsverkehrsdaten zu Zwecken der Bek mp fung von Kriminalit t im Internet Tz 2 4 Dies ist aber beileibe nicht die einzige datenschutzrechtliche Baustelle an der gearbeitet wird Das Bundesverfassungs gericht befasst sich mit dem Bundeskriminalamtgesetz Tz 4 2 10 Auf europ ischer Ebene findet eine intensive Diskussion ber den Datenaustausch zwischen Sicherheitsbeh rden in der EU und den USA statt Neben Fragen der Regulierung befasst sich das ULD mit konkreten und allgemei nen Themen der Praxis Dabei bleibt die Erneuerung der Informationstechnik der Sicherheitsbeh rden auf Landes und auf Bundesebene ein Dauerbrenner W hrend im Land Datensch tzer und Polizisten gemeinsam nach L sungen suchen Tz 4 2 2 hat sich am Kommunikationsdefizit auf Bundesebene nichts ge ndert An den Datensch tzern liegt es dabei nicht Tz 4 2 6 und Tz 4 2 8 Ein Beispiel wie Belange des Pers nlichkeitsschutzes und der Sicherheit weit gehend in Einklang gebracht werden k nnen ist die Entwicklung moderner K rperscanner mit denen insbesondere bei Flughafenkon
205. n Im September 2010 wurde ein Eilantrag abgelehnt weil die Eilbed rf tigkeit nicht ausreichend dargelegt worden sei Deshalb wurden zun chst weiter Daten an die ZSS gemeldet Bei Aufnahme des Echtbetriebes Anfang 2010 gab es Widerst nde einiger Arbeitgeber und Arbeitnehmer gegen die erzwungenen Meldungen Vielen Arbeitgebern war die Abgabe der Meldungen an die ZSS noch nicht m glich weil die entsprechenden Schnittstellen und Routinen noch nicht in ihre Personal verwaltungssoftware implementiert waren Mittlerweile haben alle namhaften Anbieter von Personalverwaltungssystemen eine ELENA Schnittstelle eingebaut sodass die Arbeitgeber die diese Verfahren verwenden die Daten ihrer Mitarbei ter in ELENA einmelden Mitte Oktober 2010 lagen bei der ZSS bereits die Daten von ber 30 Millionen Arbeitnehmerinnen und Arbeitnehmern mit insgesamt ca 283 Millionen Datens tzen vor Von ca 180 000 m glichen Sendern also Stellen die Daten an die Zentrale Speicherstelle bermitteln k nnen sendeten zu diesem Zeitpunkt tats chlich etwa 150 500 Sender Daten was einer Quote von ca 83 entspricht Die 150 500 Sender stehen dabei f r ca 2 5 Millionen Arbeit geber da sich viele vor allem kleinere Arbeitgeber anderer Stellen zum Senden der Daten bedienen Urspr nglich war als n chster Schritt angepeilt die Daten f r acht Sozialleis tungsverfahren mit Beginn des Jahres 2012 zum Abruf bereitzustellen Zuvor waren noch einige Probleme zu l se
206. n u a die Art und Weise der Authentisie rung der Sachbearbeiter in den abrufberechtigten Stellen Ein wesentliches noch ungel stes Problem betrifft die M glichkeit f r die Betrof fenen eine Selbstauskunft ber die bei der ZSS erfassten Daten zu erhalten Die Auskunft soll grunds tzlich ber die abrufberechtigten Stellen erfolgen Da daf r noch keine Mechanismen zur Verf gung stehen ist es gegenw rtig unm glich das Auskunftsrecht umzusetzen Dies bedeutet dass der Einzelne nicht pr fen kann ob die in ELENA ber ihn gespeicherten Daten korrekt sind W re es ab 2012 zu einem Bezug von Sozialleistungen aufgrund der Daten in ELENA gekommen so w re nicht auszuschlie en gewesen dass falsche Daten gespeichert und Betroffenen deshalb nicht oder nicht sofort die Sozialleistungen zuteil geworden w ren die ihnen zustehen Eine M glichkeit gleichwohl den Inhalt der Speicherungen bei der ZSS zu erfah ren besteht in einem Auskunftsersuchen nach dem BDSG beim Arbeitgeber um zu erfahren welche Daten von dort an ELENA gemeldet wurden In Schles wig Holstein vertreten einzelne gro e Arbeitgeber die Auffassung das Auskunfts recht aus den allgemeinen Datenschutzgesetzen sei dadurch ausgeschlossen dass es spezielle Vorschriften zur Auskunft im Rahmen des ELENA Verfahrens im Sozialgesetzbuch gibt Diese Auffassung ist falsch Die speziellen Auskunfts anspr che aus dem ELENA Verfahren gelten neben den Auskunftsregelungen aus den all
207. n Datenverarbeitung zu belasten Street View visueller 3 D und Funk Blick ber den Gartenzaun Die Hoffnung Google h tte aus den Kontroversen des Jahres 2009 gelernt und w rde den Datenschutz bei der Implementierung von Street View gesetzlich beachten war tr gerisch Das Thema Google Street View be sch ftigt das ULD seit ber zwei gt ODE SUAN Jahren 32 TB Tz 7 2 Bereits im Jahr 2008 hatte sich der Landtag des Der von der Google Inc betriebene Dienstes angenommen Schleswig Internetdienst Google Street View Holstein diskutierte fr h ffentlich und Pildet Stra enpanoramen im Internet ab Der Nutzer hat die M glichkeit breit ber die damit verbundenen virtuell aufgenommene Stra en zu pers nlichkeitsrechtlichen Gefahren durchfahren Diese Bildaufnahmen Dies geschieht inzwischen bundes und wurden mittels Kameras erstellt die europaweit auf h chster Ebene In auf Fahrzeugen in 2 90 m H he enger Abstimmung mit dem ULD und installiert waren den anderen Aufsichtsbeh rden des Bundes und der L nder vertrat der Hamburgische Beauftragte f r den Daten schutz die Interessen gegen ber der Google Germany GmbH als Vertreterin der Google Inc USA Ergebnis der Diskussion um die Zul ssigkeit des Dienstes war ein 13 Punkte Katalog Dazu geh rt u a die Ber cksichtigung der Wider spr che von betroffenen B rgerinnen und B rgern Nur soweit die in dem Katalog enthaltenen Anforderungen erf llt sin
208. n Stadt und Land im September 2010 nicht danach zu streben den gesetzlichen Rahmen stets zugunsten ihres Gesch ftes auszusch pfen Zwar ist es richtig dass vor der Schaffung neuer Gesetze die Anwendung der bestehenden zur L sung neuer Probleme versucht werden sollte Gerade im Bereich des Datenschutzes hat sich aber gezeigt dass unser aus den 90er Jahren stammendes Recht keine ad quaten Antworten auf die brennenden Probleme geben kann Nur ein verbindlicher gesetzlicher Rahmen kann eine valide Grundlage f r Selbstregulierung sein Ein modernes Datenschutzrecht f r das 21 Jahrhundert Auf Initiative des Bundesbeauftragten f r den Datenschutz und die Informations freiheit BfDI formte sich Mitte 2009 eine Arbeitsgruppe zur Erarbeitung von T tigkeitsbericht 2011 des ULD SH 13 14 2 2 Datenschutz bundesweit Vorschl gen f r eine umfassende Modernisierung des Datenschutzrechts Im M rz 2010 wurde als Ergebnis das Eckpunktepapier Ein modernes Daten schutzrecht f r das 21 Jahrhundert vorgelegt Um das Datenschutzrecht an die technische Entwicklung anzupassen schlagen die Datenschutzbeauftragten des Bundes und der L nder eine Reihe von rechtlichen nderungen vor Gefordert werden z B eine verst rkte rechtliche Kontrolle von Profilbildungen oder eine effektive Regelung der Datenverarbeitung bei Cloud Computing Die technisch organisatorischen Ma nahmen sollen an dem Konzept von Schutzzielen a
209. n oder durch entsprechende Selbstschutz ma nahmen unterbunden werden Mobile Endger te Komplexe mobile Endger te sogenannte Smartphones erfreuen sich zuneh mender Beliebtheit und Marktdurchdringung Mit deren Funktionsvielfalt w chst auch die Zahl der Fragen nach Datensicherheit und dem Schutz personenbezogener Informationen Smartphones erlauben den Zugriff auf das World Wide Web E Mail und andere Dienste des Internets enthalten Kameras Navigationssignalempf nger und unz hlige andere Sensoren Die Telefoniefunktion r ckt in den Hintergrund die mobile Datenverarbeitung r ckt nach vorn Die verschiedenen am Markt vertrete nen Smartphone Angebote lassen sich kaum nutzen ohne pers nliche Daten preiszugeben Die Apple Produkte lassen sich nur in Betrieb nehmen wenn man einwilligt personenbezogene Daten an Apple zu bermitteln Bei anderen Anbietern sieht es hnlich aus Nutzt man ein Telefon mit dem sich derzeit schnell verbreitenden Linux Derivat Android kommt man kaum umhin sich ein Benutzerkonto bei Google anzulegen In beiden F llen werden personenbezogene Daten in die USA bermittelt Theoretisch k nnte man bei Android die Google Verdrahtung los werden Aufgrund seines Open Source Charakters ist es m glich das System nach eigenen W nschen anzupassen Doch versuchen die meisten Hersteller ein Einspielen modifizierter Versionen des Betriebssystems auf die Ger te mit technischen Mitteln zu verhindern Dies wird ins
210. nd pr zise und f r die Betroffenen transpa rent geregelt wird In konstruktiver Zusammenarbeit mit dem Ministerium und Dataport als beteiligtem Projektentwickler konnten alle Knackpunkte einvernehm lich gel st werden e Als Personal Istkosten sollen nur die monatlichen Bruttolohnsummen der Mitarbeiter verwendet werden Diese Betr ge lassen keine R ckschl sse auf einzelne Personalaktendaten der Mitarbeiter zu e Die Zeitabrechnung gegen ber dem Auftraggeber soll nur als Monatssumme je Mitarbeiter erfolgen Die der Abrechnung zugrunde liegende interne Zeitauf schreibung soll als Tagessumme der geleisteten Stunden in einer von der Personalverwaltung getrennten Organisationseinheit erfolgen Die Daten d r fen dort nur f r Revisionszwecke verarbeitet werden e In den Abrechnungsunterlagen gegen ber dem Auftraggeber soll so weit wie m glich eine Pseudonymisierung der Personaldaten erfolgen Den Personalr ten der Hochschulen blieb es nat rlich unbenommen den Entwurf der Musterdienstvereinbarung selbst zu bewerten und zus tzliche oder abwei chende Bedingungen oder Beschr nkungen aufzunehmen Im Rahmen ihrer Beratungen haben sie sich allerdings unseren Hinweisen und Empfehlungen weitestgehend angeschlossen Die notwendigen Dienstvereinbarungen wurden inzwischen abgeschlossen Sie sehen angemessenen Ausgleich zwischen dem finanziellen Interesse des Landes am Erhalt von Drittmitteln zur Finanzierung von Forschungsvorhaben und den Datensc
211. ndesgesetzgeber sollte kurzfristig eine umfassende Regelung zur Ver f fentlichung personenbezogener Daten im Internet in Angriff nehmen und kann hierbei auf den ULD Vorschlag zur ckgreifen Dies konkretisierend sollten zu spezifischen Fallgestaltungen verbindliche Verhaltensregeln der Branchenver b nde erarbeitet werden T tigkeitsbericht 2011 des ULD SH 2 3 Datenschutz bundesweit Stiftung Datenschutz Eine Stiftung Datenschutz soll k nftig Audit und G tesiegelverfahren durchf hren vergleichende Tests vornehmen Bildungsangebote bereitstellen und forschend den Datenschutz weiterentwickeln Im schwarz gelben Koalitionsvertrag verabreden die Regierungsparteien f r die laufende Legislaturperiode die Errichtung einer Stiftung Datenschutz mit dem Auftrag Produkte und Dienstleistungen auf Datenschutzfreundlichkeit zu pr fen Bildung im Bereich Datenschutz zu st rken den Selbstdatenschutz durch Aufkl rung zu verbessern ein Datenschutz Audit zu entwickeln und datenschutzfreund liche Technik zu f rdern die aus Deutschland mit gepr fter Qualit t weltweit vertrieben werden kann Wir im ULD waren elektrisiert Hier vereinbarten die Regierungsparteien genau das was das ULD seit vielen Jahren propagiert und erfolgreich praktiziert begrenzt durch die M glichkeiten einer Landesbeh rde Daher haben wir uns umgehend an die zust ndigen Kabinettsmitglieder im Bund gewandt die Justiz ministerin und den Innenminister
212. ndesweit https www datenschutzzentrum de presse 20101027 gesetzesvorschlag internet regulierung htm Anfang Dezember 2010 stellten dann der Bundesminister des Innern BMI und der Branchenverband BITKOM ihre Vorschl ge der ffentlichkeit vor Vom BMI ist auch ein zus tzlicher Paragraf im BDSG ber unzul ssige Ver ffentlichungen in Telemedien vorgesehen der ebenso wie der ULD Vorschlag eine umfassende Regelung anstrebt Materiell ist der BMI Vorschlag jedoch entt uschend Indem er nur eine absolut nicht zu berschreitende rote Linie markiert regelt er Selbst verst ndlichkeiten die schon heute gelten das Verbot besonders schwerer Ein griffe in das Pers nlichkeitsrecht insbesondere durch das gesch ftsm ige Zusammentragen von Daten zur Bildung von Pers nlichkeits oder Bewegungs profilen oder in Form von Ehrverletzungen Der Vorschlag provoziert mehr Fragen als er Antworten gibt wenn eine Datenverarbeitung die rote Linie nicht berschreitet aber dennoch unverh ltnism ig das Pers nlichkeitsrecht von Betroffenen verletzt Soll das zul ssig sein Wenn nein mit welcher Begr ndung bzw Rechtfertigung wenn ja nach welcher Regelung Der Vorschlag des BITKOM hat eine h here praktische Relevanz In einem Kodex als Instrument der Selbstverpflichtung gibt sich die Branche bei georefe renzierten Panoramadiensten im Internet bestimmte Regelungen Im Mittelpunkt steht eine zentrale Informations und Widerspruchsstelle
213. ndlagen der IT Sicherheit e Einf hrung in den Sozialdatenschutz e Einstieg in das Datenschutzrecht e Der gl serne Besch ftigte e Datenschutz in der Verkehrs berwachung e Das BSI Grundschutztool e Datenschutzrecht der Kranken und Pflegekassen T tigkeitsbericht 2011 des ULD SH DATENSCHUTZAKADEMIE Schleswig Holstein e Datenschutz f r JuK Administratoren e Technischer Datenschutz Systemdatenschutz e Arbeitnehmerdatenschutz e Einf hrung in den BSI Grundschutz Diese Inhouse Veranstaltungen wurden in Auftrag gegeben von e der Technischen Universit t Hamburg e dem Statistikamt Nord e der Landwirtschaftlichen Sozialversicherung e dem Jobcenter Kiel e dem Kreis Schleswig Flensburg e der Hansestadt L beck e den M rwiker Werkst tten e dem Hauptpersonalrat des Wirtschaftsministeriums e dem Schleswig Holsteinischen Landtag e dem Ministerium f r Landwirtschaft e der TNG AG e dem Allgemeinen Verband der Wirtschaft Norddeutschlands e V Zur Sommerakademie der DATENSCHUTZAKADEMIE Schleswig Holstein konnten 450 G ste aus allen gesellschaftlichen Bereichen begr t werden Thema der traditionell Ende August stattfindenden Veranstaltung war diesmal Codex digitalis Grundrechtsschutz durch k nftige Normen und Techniken Dabei wurde die Notwendigkeit einer umfassenden Modernisierung des gesamten Datenschutzrechts unter den Bedingungen einer digitalisierten globalen Welt mit unterschiedlichsten Regelungsm
214. nenbezogenen Daten ber die Gefangenen und deren Gespr chspartner mehr verarbeitet werden Dies lie sich allerdings ohne Einbu en an dem bisherigen Serviceumfang nicht realisieren Das ULD musste daher die erfolgende Datenverarbeitung beanstanden Was ist zu tun Unter Verzicht auf bestimmte angebotene Serviceleistungen ist die Verarbeitung auf pseudonymisierte Daten beim Dienstleister zu beschr nken Das Verfahren muss vollst ndig vertraglich geregelt und dokumentiert werden Der Justizvoll zugsanstalt m ssen umfassende Kontrollm glichkeiten einger umt werden Grundbucheinsicht f r Versorgungsunternehmen Einsicht in das Grundbuch K nnen nur diejenigen nehmen die ein berechtig tes Interesse darlegen was grunds tzlich auch im automatisierten Abruf verfahren gilt Ein Versorgungsunternehmen beantragte eine Ausnahme hiervon und wurde zu Recht vom zust ndigen Grundbuchamt zur ck gewiesen Die Grundbucheinsicht ist auch im automatisierten Verfahren grunds tzlich nur zul ssig wenn f r das konkrete Grundst ck ein berechtigtes Interesse dargelegt T tigkeitsbericht 2011 des ULD SH Justizverwaltung wird Hierf r ist beim Abruf ein bestimmter Grund anzugeben Die Grundbuch verf gung macht von dieser Darlegungspflicht eine Ausnahme Versorgungs unternehmen z B Betreibern von Telekommunikationsanlagen kann die Einsicht in allgemeiner Form f r s mtliche Grundst cke eines Grundbuchbezirks gestattet werden
215. ner Karte visualisiert Auf den Internetseiten der Stadt Kiel soll ber ein Webportal eine bersicht sowie eine stra en und hausnummergenaue digitale Karte mit Luftbildaufnahmen der Allgemeinheit zur Verf gung gestellt werden Die verarbeiteten Daten haben Personenbezug Luftbilder wie auch die Angaben zu den Dachfl chen lassen sich mit der Georeferenzierung ohne Weiteres den Eigent mern oder den an den jeweiligen Immobilien berechtigten Personen zuordnen Mitgeteilt werden damit nicht nur Einspareffekte zugunsten der Umwelt sondern auch das wirtschaftliche Potenzial des Einsatzes einer Solaran lage auf dem jeweiligen Dach und damit wirtschaftliche M glichkeiten f r die Betroffenen Nat rlich ist nicht auszuschlie en dass diese Daten z B f r Werbe zwecke genutzt werden Wegen Zweifeln an der Datenschutzkonformit t der urspr nglichen Planung der Stadt Kiel seitens einiger Ratsmitglieder wurde das ULD um eine Bewertung gebeten Wir mussten der Stadt mitteilen dass ein einfacher Beschluss der Rats versammlung als datenschutzrechtliche Rechtsgrundlage nicht ausreicht und praktische nderungen n tig sind Die Stadt Kiel erarbeitete beraten vom ULD als datenschutzrechtliche Rechtsgrundlage f r das Kataster eine Solardachkatas tersatzung Dabei sind zwei verschiedene Versionen des Katasters vorgesehen Eine interne Version basiert auf der Grundlage der im Einzelnen genannten Datenkategorien welche die konkreten detaillierten Poten
216. ner Ver ffentlichung einverstanden Zu Beginn der Sitzung weist der Vorsitzende der Gemeinde vertretung oder eine sonst autorisierte Person darauf hin dass Fragen die von Einwohnern im Rahmen der Einwohnerfragestunde gestellt werden namentlich protokolliert und die Protokolle im Internet ver ffentlicht werden Dabei ist ausdr cklich darauf hinzuweisen dass die Betroffenen sofort oder auch sp ter widersprechen k nnen Widerspr che sind umgehend zu ber cksichtigen Dies gilt auch bez glich bereits ver ffentlichter Protokolle Diese sind so zu ndern dass die Namen herausgenommen oder geschw rzt werden T tigkeitsbericht 2011 des ULD SH 25 26 Allgemeine Verwaltung Was ist zu tun Die Vorsitzenden der Gemeindevertretungen m ssen darauf achten dass die B rgerinnen und B rger dar ber aufgekl rt werden dass der Protokollierung und Ver ffentlichung ihrer Namen bei Einwohnerfragestunden widersprochen werden kann Zentrale Stellenb rse f r die Landesverwaltung Um den im Rahmen des Einsparkonzepts der Landesregierung beabsichtig ten Stellenabbau zu unterst tzen soll im Finanzministerium eine zentrale Stellenb rse eingerichtet werden Die notwendigen Befugnisgrundlagen f r die bermittlung sensibler Personalaktendaten durch die Ressorts konnten im Einvernehmen mit dem Finanzministerium datenschutzgerecht ausgestal tet werden Will man Personal einsparen gilt es Mitarbeiter deren Stellen wegfallen sollen res
217. ng Der Hausarzt soll mehr als bisher eine Lotsenfunktion bei der Zuweisung des Patienten zu einzelnen Fach rzten wahrnehmen Zudem werden dem Hausarzt konkrete Vorgaben im Hinblick auf die Qualit tssicherung seiner Arbeit die leitlinienorientierte Behandlung und die Verschreibung bestimmter Medikamente gemacht Ziel ist es die Qualit t der Behandlung zu verbessern Gleichzeitig erhofft man sich eine Kostensenkung z B weil nur bestimmte Medikamente f r die bei der jeweiligen Krankenkasse ein Rabattvertrag besteht verschrieben werden F r die rzte ist die Teilnahme an der HzV grunds tzlich freiwillig doch erhalten sie einen erh hten Verg tungs satz Auch die Teilnahme der Patienten ist freiwillig Diese sollen in erster Linie durch die u a finanziell motivierten rzte angeworben werden Die Krankenkas sen sehen die HzV berwiegend kritisch weil sie Mehrausgaben f rchten deren Effizienz umstritten ist Vertr ge zur HzV werden direkt zwischen den Krankenkassen und sogenannten Gemeinschaften von Leistungserbringern abgeschlossen die blicherweise t tige Kassen rztliche Vereinigung kommt hierbei nicht vor Seit 2008 haben die Gemeinschaften der Leistungserbringer dies sind zumeist die privatrechtlich organisierten Haus rzteverb nde der einzelnen Bundesl nder das Recht von den Krankenkassen den Abschluss eines entsprechenden Vertrages zu verlangen K nnen sich die Gemeinschaften und die Kassen nicht auf den Inhalt de
218. ng Ratzeburg erfolgte im November 2008 eine stichproben artige berpr fung der technischen und organisatorischen Sicherheitsma nah men Ihr Ziel war es zusammen mit den Mitarbeitern in der automatisierten Datenverarbeitung eventuelle Schwachstellen zu erkennen Die Er rterung der festgestellten Sachverhalte mit den Mitarbeitern und Verantwortlichen sollte dazu f hren dass sie die Notwendigkeit organisatorischer und technischer Sicherheits T tigkeitsbericht 2011 des ULD SH Systemdatenschutz ma nahmen erkennen und diese zuk nftig in die Organisation und Administration der automatisierten Datenverarbeitung einflie en lassen Die Stadtverwaltung erkannte im April 2009 unsere Beanstandungen sowie die Vorschl ge zur Behebung der M ngel an Verschiedene Ma nahmen seien schon umgesetzt Die umfassende Darstellung aller Handlungen wurde f r Mitte Mai angek ndigt Erst Ende Juli erhielten wir einen Bericht ber die Durchf h rung von Ma nahmen zur Beseitigung von M ngeln Beanstandungen in dem erl utert wurde dass der Dokumentationspflicht gem LDSG und DSVO nach gekommen wurde die notwendigen Regelungen jedoch aufgrund von personellen und organisatorischen Umstrukturierungsma nahmen noch nicht in Kraft gesetzt werden konnten Dies sei f r Ende September 2009 vorgesehen Die Nachpr fung sollte nun zeigen ob die M ngelbehebung erfolgreich war Wir stellten fest dass immer noch nicht alle dokumentierten Regeln in Kra
219. ngen ist es nicht immer gegeben dass der Fehler z gig gefunden und behoben werden kann In der Praxis k nnen u erst individuelle Sachverhalte auftreten Hierf r existiert nicht immer ein passender Testdaten satz beim Hersteller Der Fehler kann dann kaum mit vertretbarem Aufwand Im Wortlaut 17 Abs 1 3 LDSG Verarbeitung personenbezogener Daten im Auftrag Wartung I L sst eine Daten verarbeitende Stelle personenbezogene Daten in ihrem Auftrag verarbeiten bleibt sie f r die Einhaltung der Vorschriften dieses Gesetzes und anderer Vor schriften ber den Datenschutz verantwortlich Rechte der Betroffe nen sind ihr gegen ber geltend zu machen 2 Die Daten verarbeitende Stelle hat daf r Sorge zu tragen dass perso nenbezogene Daten nur im Rahmen ihrer Weisungen verarbeitet werden Sie hat die erforderlichen technischen und organisatorischen Ma nahmen zu treffen um dies sicherzustellen Auftr ge erg nzende Weisungen zu technischen und organisatorischen Ma nahmen und die etwaige Zul s sigkeit von Unterauftragsverh ltnis sen sind schriftlich festzulegen 3 Sofern die Vorschriften dieses Gesetzes auf Auftragnehmende keine Anwendung finden hat die Daten verarbeitende Stelle diese zu ver pflichten jederzeit von ihr veranlasste Kontrollen zu erm glichen nachgestellt werden Als Ausweg wird dann h ufig die bermittlung der Echt daten an den Softwarehersteller gepr ft um die mitunter kosts
220. nnten so fl chendeckend Ein gang in die Unternehmen finden Der Entwurf bleibt hinter den Anforderungen der Praxis an eine wirksame Regu lierung zur ck Die bermittlung von Besch ftigtendaten innerhalb eines Konzerns und im internationalen Kontext stellt eine datenschutzrechtliche Herausforderung dar nicht nur f r die Gro industrie Auch in mittelst ndischen T tigkeitsbericht 2011 des ULD SH 75 76 Datenschutz in der Wirtschaft Unternehmen gibt es legitime Interessen an einem Datenaustausch und ungen gende Datenschutzsicherungen Vielen Unternehmen fehlt der n tige eigene rechtliche und technische Sachverstand hinzu kommt eine gro e Rechtsunsicher heit die beseitigt werden sollte Befugnisse zur Daten bermittlung in Konzernen sollten nicht generell im Datenschutzrecht einger umt sondern spezifisch z B bez glich Besch ftigtendaten flankiert werden durch Beteiligungsrechte und die Schaffung ausreichender Transparenz Besch ftigtendatenschutz ist sowohl Datenschutz als auch Arbeitsrecht was vom aktuellen Entwurf weitgehend ignoriert wird In dieser Schnittmenge regelungsbed rftig sind ein arbeitsrechtliches Verwertungsverbot unzul ssig erhobener Informationen kollektivrechtliche Normierungsm glichkeiten ein kollektives Klagerecht die bermittlung von personenbezogenen Daten inner halb von Konzernen und im internationalen Verkehr der Rahmen f r den Einsatz elektronischer Personalakten die Heim und Tel
221. ntwurf angek ndigt In dieser Situation sah sich das ULD veranlasst einen eigenen Gesetzentwurf in die Diskussion einzubringen mit dem nicht nur die Ver ffentlichung von Geo daten sondern von Personendaten jeder Form im Netz einer rechtssicheren und zugleich entwicklungsoffenen Regulierung zugef hrt werden soll Im Zentrum des Vorschlags steht die Einf hrung eines neuen Paragrafen im BDSG der die elektronische Ver ffentlichung von personenbezogenen Daten von einer Abw gung zwischen dem Grundrecht auf Meinungsfreiheit und dem Datenschutz abh ngig macht Zwecks beschleunigter Konfliktregelung sind digitale Beschwer de und Pr fungsrechte vorgesehen Folgende weitere Punkte sind geplant e Verantwortlichkeit von inl ndischen Konzernunternehmen bei einem Sitz der Internetfirma au erhalb Europas e Abgrenzung von reinen Sachdaten zu personenbezogenen Daten e Anpassung der Definition der verantwortlichen Stelle an die Regelungen des Telemediengesetzes TMG e Einf hrung des Prinzips Privacy by Default also der Pflicht zu datenschutz freundlichen Grundeinstellungen f r Anbieter von Telemediendiensten e Regelung der elektronischen Einwilligung Die neue Regelung zur Ver ffentlichung verlangt von jedem Menschen wie jeder Stelle bei Bereitstellung personenbezogener Daten zum Abruf im Internet eine Abw gung zwischen Ver ffentlichungsinteresse und den schutzw rdigen Interessen des oder der Betroffenen Ein berw
222. nvorsorge zu realisieren ohne dass hierbei B rgern he und Grundrechtskonformit t leiden Die erstmalige Zertifizierung des Zutrittsberechtigungssystems erfolgte durch das ULD im Jahr 2004 27 TB Tz 3 1 die der Video berwachung im Jahr 2006 29 TB Tz 3 1 Die Dienst und Verfahrensanweisungen wurden seitdem ber arbeitet und der leicht ge nderten Hardwareausstattung angepasst Beim mit Funktechnologie arbeitenden Zutrittsberechtigungssystem wird weiterhin verhin dert dass durch die Nutzungsdaten der Zutrittsausweise Bewegungs und Kon taktprofile z B von Abgeordneten oder Journalisten erstellt werden k nnen Datenschutzfreundliche Merkmale der eingesetzten Video berwachung sind die Ausblendung der f r die Parlamentssicherheit nicht relevanten Verkehrsberei che ein differenziertes Zugangs und Nutzungskonzept zu den Daten und Bildern eine L schroutine und ffentliche Hinweise auf den Technikeinsatz Das Zutrittsberechtigungssystem und die Video berwachung des Landtages sind aus Datenschutzsicht vorbildlich Ein besonderes Qualit tsmerkmal ist das Datenschutzmanagement mit einem Datenschutzgremium ber das eine eigen st ndige unabh ngige Kontrolle erfolgt Bei der Rezertifizierung hat sich gezeigt dass dieses Datenschutzmanagement nachhaltig funktioniert Der Schleswig Holsteinische Landtag ist bundesweit das einzige Parlament mit einem solchen Datenschutzauditzeichen Was ist zu tun Der Schleswig Holsteinische
223. nwender die notwendigen Kompetenzen und Kapazit ten f r eine fundierte Bewertung haben Hier kann eine bundesweit agierende Stelle segensreich wirken vorausgesetzt sie genie t das Vertrauen der Beteiligten wie der ffentlichkeit Die weitere ffentliche Diskussion zeigte dass die Stiftungsidee alles andere als unumstritten ist Stellen die Markttests Bildungsma nahmen oder Zertifizierun gen durchf hren k nnen darin eine potenzielle Konkurrenz sehen Vor allem sind es die vielen offenen Fragen die Skeptikern Nahrung geben Soll es sich um eine ffentliche oder private Stiftung handeln Wie hoch soll das Stiftungskapital und T tigkeitsbericht 2011 des ULD SH 17 18 Datenschutz bundesweit der verf gbare finanzielle Rahmen sein Kann bei einer Wirtschaftsfinanzierung eine hinreichende Unabh ngigkeit gew hrleistet werden F r die Datenschutz kontrollstellen besonders wichtig ist die Frage wie das Verh ltnis zwischen Kontrolle und Auditierung bzw Zertifizierung ausgestaltet wird Inzwischen liegen die ersten Antworten vor Die Stiftung soll offensichtlich privatrechtlich unabh ngig und staatsfern organisiert sein Der Haushalts ausschuss des Deutschen Bundestages hat f r die Errichtung zehn Millionen Euro Kapital bereitgestellt Im Jahr 2011 soll die Stiftung nach dem Willen der Koali tionsfraktionen den Betrieb aufnehmen wobei aber zun chst das besonders heikle aber zugleich besonders wichtige Zertifizi
224. om Aussteller digital signierten Nachweisen also von Zertifikaten bisher nicht m glich Bei einmal vom Aussteller erteilten Zertifikaten kann der Inhalt nicht variiert werden denn herk mmliche digitale Signaturen verlieren ihre G ltigkeit sobald auch nur ein Teil der signierten Informationen entfernt oder ge ndert wird Anders ist dies bei attributbasierten Nachweisen den Attribute Based Creden tials die es erm glichen einzelne Attribute zu bescheinigen z B Name Studenteneigenschaft oder Geburtsdatum Nutzer k nnen dann die erforderlichen Angaben selbst in einem neuen Zertifikat zusammenstellen und dieses bermit teln Die Signatur und damit die Bescheinigung des Ausstellers dass die Angaben korrekt sind bleibt erhalten sogar f r durch Berechnungen abgeleitete Eigen schaften wie das aus dem aktuellen Datum und dem Geburtstag zu errechnende Alter einer Person Attribute Based Credentials erlauben es so datensparsam bestimmte Eigenschaften gegen ber Dritten nachzuweisen ohne die eigene Iden tit t zu offenbaren Das Projekt ABC4Trust wird die beiden bereits bestehenden Software Implemen tierungen von Attribute Based Credentials namentlich IBM Identity Mixer Idemix und Microsoft U Prove im Rahmen zweier Piloten erproben In einem Piloten werden Sch ler Eltern und Kollegium einer weiterf hrenden Schule in Schweden die Technologie verwenden um sich gegenseitig auf der schulinternen Kommunikationsplattform zu authen
225. on VALid POS reduziert sich folglich das Risiko daf r dass eine per Karte initiierte Transaktion aufgrund bankeigener Risikobewertungssysteme f lschlicherweise als verd chtig eingestuft und des halb verweigert wird SpeechMagic Solution Builder Version 2 0 SpeechMagic Solution Builder ist eine Workflow L sung die das digitale Diktieren und die Sprach erkennung in einer medizinischen Umgebung unterst tzt und in ein Kranken hausinformationssystem KIS integriert werden kann Die Software nimmt die Diktate von rzten auf und leitet sie an eine Spracherkennungssoftware oder an einen Schreibdienst zur manuellen Transkription weiter In ihrer schriftli chen Form k nnen die Dokumente der Patientenakte im Krankenhausinforma tionssystem hinzugef gt werden SpeechMagic Solution Builder unterst tzt externe Workflows bei denen Krankenh user mit Heimb ros oder den Anbie tern von Transkriptionsdiensten zusammenarbeiten Zu diesem Zweck erm g licht die Workflow L sung die Pseudonymisierung von Audiodateien und Transkriptionen Certified Privnote Stand September 2010 Certified Privnote ist ein web basierter Dienst der seinen Nutzern den einfachen Austausch verschl sselter Nachrichten ber das Internet erm glicht Unter https certified privnote com wird der Dienst angeboten und kann registrierungsfrei genutzt werden Der Nutzer gibt die auszutauschende Nachricht in ein Texteingabefeld ein und schlie t die Nachrichtenerst
226. on den Praxisverwaltungssystemen an den gekap selten Kern weitergegeben und von dort verschl sselt an die H VG gesendet So k nnen die einzelnen rzte nicht kontrollieren welche Daten aus ihren Systemen abflie en Es spricht einiges daf r dass unter den derart abgezogenen Daten auch Informationen sind die zu Abrechnungszwecken nicht weitergegeben werden d rften Das ULD sah sich deshalb veranlasst gegen ber dem Haus rzteverband Schles wig Holstein im Juli 2010 eine Anordnung nach dem Bundesdatenschutzgesetz zu erlassen Dem Haus rzteverband wurde aufgegeben daf r zu sorgen dass keine von den Haus rzten im Zusammenhang mit der Durchf hrung des Vertrages erhobenen personenbezogenen Daten der Patienten an die H VG oder an andere in dem genannten Vertrag vorgesehene Unterauftragnehmer weitergegeben werden T tigkeitsbericht 2011 des ULD SH 51 52 Soziales https www datenschutzzentrum de medizin gkv 20100721 verfuegung hzv html Das ULD erkl rte die Anordnung f r sofort vollziehbar F r den Fall eines Ver sto es wurde ein Zwangsgeld in H he von 30 000 Euro angedroht Gegen die Anordnung legte der Haus rzteverband Schleswig Holstein Widerspruch ein und beantragte beim Verwaltungsgericht Schleswig die Wiederherstellung der auf schiebenden Wirkung Der Widerspruch wurde vom ULD zur ckgewiesen hiergegen wurde Klage eingereicht Nachdem das Verwaltungsgericht den Antrag des Haus rzteverbandes zur ckgewiesen und d
227. ord West und Mitte kommen die Notrufe aus dem Mobilfunknetz direkt bei der Rettungsleitstelle an Was ist zu tun Der Umstellungsprozess muss schleunigst fortgef hrt und abgeschlossen wer den damit Notrufe ohne Umweg den richtigen Adressaten erreichen T tigkeitsbericht 2011 des ULD SH 4 2 6 4 2 7 Polizei und Verfassungsschutz INPOL Arbeitsgruppe der Datensch tzer ohne Chancen Seit vielen Jahren bem hen sich die Datenschutzbeauftragten die Polizeien des Bundes und der L nder bei der Weiterentwicklung des Informations systems der Polizei INPOL in Datenschutzfragen zu beraten Die Zusammenarbeit gestaltet sich u erst schwierig weil die Datenschutzbeauf tragten nicht ausreichend informiert und beteiligt werden Der Vorsitzende der Konferenz der Datenschutzbeauftragten des Bundes und der L nder wandte sich deshalb an den Bundesminister des Innern und an die Konferenz der Innenminis ter AK II Die Antwort des Bundesinnenministers war desillusionierend und l sst nicht erkennen dass die bestehende Praxis ge ndert werden soll Der AK II zog es bisher vor nicht zu antworten Die T tigkeit der Datenschutzbeauftragten dient einer dauernden projektbeglei tenden Beratung und Diskussion der bei dem Projekt auftretenden Datenschutz fragen In den vergangenen Jahren drohte dieser Ansatz aufgrund der Minimal informationen durch das BKA zu einer Alibiveranstaltung zu degenerieren Ein bis zwei Treffen j hrlich die j
228. peicherung in zwei redundanten Serverr umen Im Oktober 2010 bescheinigte das BSI dem Kreis Pl n dass das IT Sicherheitsmanagement der Basisinfrastruktur den Vorgaben der ISO Norm 27001 auf der Basis von IT Grundschutz 32 TB Tz 9 2 1 entspricht Die Basis dieser Zertifizierung bildete eine Pr fung durch Auditoren des ULD die sich von der Funktionsf hig keit des IT Sicherheitsmanagements und der Sicherheitsma nahmen berzeugt haben Dazu wurde die Dokumentation des IT Sicherheitsmanagements analysiert und die im Sicherheitskonzept festgelegten Sicherheitsma nahmen auf Plausibi lit t gepr ft Im n chsten Schritt wurde vor Ort stichprobenartig kontrolliert ob die Sicherheitsma nahmen wie vorgesehen implementiert und wirksam waren Schlie lich berpr fte das BSI als Zertifizierungsstelle den von den Auditoren erstellten Pr fbericht auf Plausibilit t und Vollst ndigkeit Das Zertifizierungsverfahren hat ein dauerhaft hohes Sicherheitsniveau zum Ziel W hrend der dreij hrigen Laufzeit der Zertifizierung erfolgen im Jahres rhythmus zwei berwachungsaudits bei denen das IT Sicherheitsmanagement sowie die sichere Einbindung von neuen und ge nderten IT Systemen berpr ft wird Was ist zu tun Die IT Abteilung des Kreises Pl n sollte f r andere Kommunalverwaltungen Leitbild bei der Umsetzung von IT Sicherheit und Datenschutz werden Durch die Zertifizierung wurde ein hohes IT Sicherheitsniveau erreicht das auch zuk nfti
229. pielige Anreise eines Entwicklers zur Vorortanalyse zu vermeiden Das ULD bearbeitet viele Anfragen zu diesem Themenbereich H ufig handelt es sich um gr ere Projekte wie neue kommunale Kassenverfahren oder das Zusammenf hren von Daten nach einer Verwaltungsfusion Unter welchen Bedingungen ist eine solche Daten ber mittlung und Datenverarbeitung beim Softwarehersteller zul ssig T tigkeitsbericht 2011 des ULD SH 103 6 5 104 Systemdatenschutz Zun chst ist zu pr fen ob eine Auftragsdatenverarbeitung etwa im besonders sensiblen Bereich der Gesundheits und Sozialdaten berhaupt zul ssig ist Ist diese m glich so sind explizite vertragliche Regelungen zu treffen die die Anforderungen zur Auftragsdatenverarbeitung auf Systemen des Software herstellers oder zur Fernwartung auf organisationseigenen Systemen erf llen Das LDSG fordert konkrete schriftliche Vorgaben und Auftr ge insbesondere zu technischen und organisatorischen Sicherheitsma nahmen Gem der DSVO muss die Daten verarbeitende Stelle also der Auftraggeber die beim Auftrag nehmer getroffenen technischen und organisatorischen Sicherheitsma nahmen dokumentieren Wird die Fehleranalyse im Produktivsystem durchgef hrt so sind strikte Rege lungen zur Fernwartung zu treffen Das ULD forderte regelm ig eine Vollpro tokollierung aller T tigkeiten der externen Dienstleister verbunden mit einer regelm igen Auswertung unter Beteiligung des
230. platz PCs beim Wasser und Bodenverband Ostholstein installierte Software beschrieben die auch eine Proto kollierung der T tigkeiten auf dem PC des jeweiligen Mitarbeiters aufzeichnet Die Verwaltungsleitung hatte einen externen Dienstleister mit einer L sung T tigkeitsbericht 2011 des ULD SH 6 6 3 Systemdatenschutz beauftragt die das private Surfen im Internet der Mitarbeiter unterbindet Der Dienstleister installierte eine Software die weit mehr als das Sperren von Inter netseiten erm glichte So konnte eine automatische Protokollierung aller Aktivi t ten auf dem Arbeitsplatzrechner aktiviert werden Bedingt durch Probleme mit einem Buchhaltungsprogramm wurde die Software wieder deinstalliert Eine Durchsicht der Arbeitsplatz PCs best tigte dies Um sich nicht dem Verdacht der unzul ssigen automatisierten Leistungs und Verhaltenskontrolle auszusetzen will der Verband eine organisatorische Regelung schaffen die die private Nutzung des Internets verbietet Von der vor bergehenden Kontrolle erfasst wurden e die installierte Programmliste e die Programmverzeichnisse im Windows Explorer e die Systemsteuerung und e die Windows Registry Was ist zu tun Das Einhalten der Datenschutzvorgaben f r den Wasser und Bodenverband wird regelm ig berpr ft werden Pr fung im Amt Horst Herzhorn Eine gute Wahl Im Rahmen der Verwaltungsstrukturreform fusionierten Anfang 2008 die mter Herzhorn sowie Horst und erh
231. r gestrichen in denen nach dem Geburtsdatum gefragt wurde Nur so war die beab sichtigte anonyme Datenerfassung zu gew hrleisten Weiter war zu kl ren wer die Auswertung der Akten vornehmen sollte In den Jugendgerichtshilfen fehlten die Zeit und das Personal Das schleswig holsteinische Landesdatenschutzgesetz erlaubt die Erfassung und Anonymisierung der Daten durch die Forschenden wenn diese zuvor zur Verschwiegenheit verpflichtet wurden Das CJD reichte umgehend Verpflichtungserkl rungen ihrer Mitarbeiter nach T tigkeitsbericht 2011 des ULD SH 4 5 7 Soziales F r die beabsichtigte Interviewbefragung wurde gemeinsam eine wirksame Schweigepflichtentbindungserkl rung erarbeitet die es den Jugendgerichtshilfen erm glichte bei Vorliegen der Unterschrift Namen und Kontaktdaten der Betrof fenen an das CJD zu bermitteln Was ist zu tun Bei der Durchf hrung von Forschungsvorhaben sind datenschutzrechtliche Vor gaben zu beachten Soll mit Daten ffentlicher Stellen geforscht werden sind die forschenden Stellen gut beraten schon im Vorfeld den Rat der beh rdlichen Datenschutzbeauftragten bzw des ULD einzuholen Modellvorhaben Fachberater f r Menschen mit Behinderungen Gemeinsam mit dem Ministerium f r Arbeit Soziales und Gesundheit des Landes Schleswig Holstein wurde sichergestellt dass bei der Durchf hrung des Modellvorhabens Fachberater f r Menschen mit Behinderungen die Rechte der Betroffenen und die
232. r und ist als Zertifi zierungsstelle aktiv Euro European Privacy Seal Priva cy at its best Die rasante Entwicklung von Technologien und elektronischen Dienstleistungen vom Smartphone ber soziale Netzwerke bis zu elektronischen Ausweisen schafft neue M glichkeiten birgt aber ebenso neue und f r viele B rgerinnen und B rger un berschaubare Gefahren Im Dschungel der neuen Technologien und Angebote brauchen diese ebenso wie Unternehmen richtungweisende Hilfestellungen denen sie guten Gewissens vertrauen k nnen EuroPriSe stellt ein wirkungsvolles Instrument zur Herstellung von Vertrauen in Informationstechnologien und eine Messlatte f r die Datenschutzfreundlichkeit von Produkten und Dienstleistun gen im privaten und ffentlichen Sektor bereit Das europ ische Datenschutz G tesiegel wird nach einer eingehenden Pr fung an IT Produkte und IT Dienstleistungen ver European liehen die sich in puncto Datenschutz Privacy Seal vorbildlich an die Vorgaben des europ ischen Datenschutzrechts halten F r Ver braucherinnen und Verbraucher bietet das EuroPriSe Siegel eine informative und zuverl ssige Orientierungshilfe Unternehmen und Diensteanbieter k nnen mit dem von einer unabh ngigen kompetenten Stelle verliehenen Siegel ihren Kunden effektiv nachweisen dass ihre Produkte und Dienstleistungen dem europ ischen Datenschutzrecht entsprechen und eine faire und rechtskonforme Datenverarbeitung erm glichen DE 12301
233. ragten hatten fusionierten zu einem regionalen Bildungszentrum Anl sslich der Fusion entwickelten sie ein Datenschutzkonzept um die Regelungen des Schulgesetzes und der Datenschutzverordnung Schule in den schulischen Alltag praktikabel zu integrieren Das Konzept wird von der Leitung des regionalen Bildungszentrums in Kraft gesetzt und ist somit von allen Lehrkr ften zu beach ten Diese Initiative der schulischen Datenschutzbeauftragten zeigt den Mehrwert einer solchen Institution insbesondere f r die Schulleitungen die deren Arbeit ernst nehmen und ausreichend Zeit zur Verf gung stellen W hrend die berufsbil denden Schulen bereits seit einem Jahrzehnt schulische Datenschutzbeauftragte bestellen m ssen ist dies f r die allgemeinbildenden Schulen keine Verpflich tung Das ULD wirbt seit Jahren f r die Bestellung beh rdlicher bzw schulischer Datenschutzbeauftragter bei den allgemeinbildenden Schulen bisher aber nur mit begrenztem Erfolg Was ist zu tun Das Bildungsministerium sollte im Rahmen seiner M glichkeiten st rker f r die Bestellung schulischer Datenschutzbeauftragter bei den Schulleitungen werben und den Schulen konzeptionelle Vorgaben beim Datenschutz machen T tigkeitsbericht 2011 des ULD SH 4 7 6 4 7 7 Wissenschaft und Bildung Fehlende Umsetzung einer Meldevorschrift Die Umsetzung der Meldepflicht von allgemeinbildenden zu berufsbildenden Schulen f hrt wegen des Fehlens einer technischen L sung zu b
234. rde CNIL direkt an der Arbeit mit mit der Artikel 29 Daten schutzgruppe dem Koordinationskreis aller nationalen Datenschutzbeh rden in der EU besteht mittlerweile eine etablierte Zusammenarbeit die gemeinsam durch die CNIL und das ULD koordiniert wird Nach gut drei Jahren stehen die ersten internationalen ISO Standards zu Daten schutz und Identit tsmanagement vor der Ver ffentlichung Eine Finalisierung des Standards ISO 29100 eines Rahmenstandards zum Datenschutz zeichnet sich ab Hiermit werden wohl erstmalig grundlegende Begriffe und Prinzipien des Datenschutzes weltweit in einem technischen Standard bergreifend normiert Zeitgleich entstehen darauf aufbauende spezifische Standards z B ISO 29101 Privacy Reference Architecture Datenschutzreferenzarchitektur und ISO 24760 A Framework for Identity Management Rahmen f r Identit tsmanagement Letzterer bildet u a eine Basis f r datenschutzf rderndes Identit tsmanagement Es zeigt sich dass die Abdeckung der Vielzahl sektorspezifischer Standards f r die Datenschutzbeh rden personell nicht zu leisten ist obwohl diesbez glich ein hoher Bedarf besteht Initiativen die hier nach L sungen suchen haben sowohl auf nationaler Ebene innerhalb des DIN e V als auch auf der Ebene der ISO im T tigkeitsbericht 2011 des ULD SH 153 154 Europa und Internationales Rahmen eines eigens eingerichteten Steuerungskomitees Privacy Steering Committee ihre Arbeit
235. rderungseinzug besteht ein rechtliches Interesse einer Auskunftei nur bei Erwerb der Forderung Sie wird dann nicht als Auskunftei sondern als Inkassounternehmen t tig Der Forderungserwerb begr ndet eine konkrete Rechtsbeziehung Sollen fremde Forderungen realisiert werden so kommt es darauf an ob die Auskunftei vom Gl ubiger tats chlich zum Forderungseinzug und zur Vornahme einer erweiterten Gewerbeauskunft beauftragt wurde Was ist zu tun Die Auskunftei hat bei Einholung einer Gewerbeauskunft eine Vertragsbezie hung zum Gl ubiger glaubhaft darzulegen F r die Vorbereitung einer Bonit ts bewertung m ssen Anhaltspunkte f r einen konkreten Kreditantrag des Gewer betreibenden bestehen Traueranzeigen als Quelle f r Werbedaten Ein B rger bekam kurze Zeit nach dem Tod seiner Mutter unverlangt Werbung eines Steinmetzbetriebes mit konkreten Angeboten zum Kauf eines individuellen Grabsteins f r die Verstorbene Der B rger und seine Angeh rigen f hlten sich durch diese Werbung unmittelbar nach dem Trauerfall in ihren Gef hlen verletzt Das Grabsteinunternehmen hatte T tigkeitsbericht 2011 des ULD SH 5 8 3 Datenschutz in der Wirtschaft systematisch die Traueranzeigen der regionalen und berregionalen Tageszeitun gen ausgewertet die Adressen der Hinterbliebenen unter Zuhilfenahme des Tele fonbuches erg nzt und anschlie end seinen Grabsteinkatalog versandt Die Daten stammten aus allgemein zug nglichen Quellen I
236. rdungsbeurtei lung nach dem Arbeitsschutzgesetz sowie in eine Dokumentation zu den psychi schen Belastungen am Arbeitsplatz Gef hrdungsbeurteilungen f r Arbeitspl tze k nnen sehr umfangreiche Papiere sein die von der staatlichen Arbeitsschutz beh rde im Rahmen ihrer Aufsichts und berwachungst tigkeit eingesehen aber in den wenigsten F llen mitgenommen werden Soweit die staatliche Arbeitsschutzbeh rde bei der Unfallkasse Nord die entsprechenden Gef hrdungs beurteilungen nicht kopiert bzw mitgenommen hat gelten diese als nicht vorhan dene Informationen nach dem IFG Was ist zu tun Aus dem IFG ergibt sich keine Verpflichtung der Beh rden nicht vorhandene Informationen zu rekonstruieren oder zu beschaffen Agrarsubventionsempf nger im Internet Ende eines Konfliktes Mit dem Urteil des Europ ischen Gerichtshofes vom November 2010 ist die Auffassung des ULD zur Ver ffentlichung personenbezogener Daten von Empf ngern von Agrarsubventionen best tigt und ein langer Konflikt been det worden Seit 2009 ver ffentlichten alle EU Staaten jedes Jahr Informationen ber die Empf nger von Mitteln aus dem Europ ischen Garantiefonds f r die Landwirt schaft und dem Europ ischen Landwirtschaftsfonds f r die Entwicklung des l ndlichen Raums Dabei wurden f r jeden Beg nstigten die Beitr ge unter Nennung des Namens und des Wohnortes der Person oder Organisation welche die Subventionen erh lt genannt Diese Ver ffentlich
237. register Die Einf hrung elektronisch gef hrter Personenstandsregister setzt neue Ma st be f r die Verarbeitung personenbezogener Daten in einem landes weiten Verfahren Da ein Nachweis der Daten in Papierform entf llt sind h chste Sicherheitsstandards bei der Datenverarbeitung anzulegen Die Vorschriften f r die elektronische Registerf hrung legen in dieser Hinsicht pr zise die notwendigen Details f r die Sicherheit und Ordnungsm igkeit der Datenverarbeitung fest Mit Verabschiedung des Personenstandsreformgesetzes im Jahr 2007 ist es amt lich Die Personenstandsb cher haben ausgedient Die Zukunft in den Standes mtern geh rt den elektronischen Registern Durch die Umstellung auf das elek tronische Verfahren darf kein Qualit tsverlust im Hinblick auf die Integrit t und Vertraulichkeit der gespeicherten Daten im Vergleich zu den bisherigen Perso nenstandsb chern eintreten Bereits das Personenstandsgesetz trifft weitgehende Regelungen zur Datensicher heit Die Identit t der Person die Eintragungen vornimmt muss jederzeit erkenn bar sein Auswertungen des Registers m ssen auf der Grundlage der aufzuneh menden Daten m glich sein Die Sicherheitsanforderungen werden durch die Personenstandsverordnung pr zisiert die u a f r Registereintr ge eine dauerhaft berpr fbare qualifizierte elektronische Signatur des Standesbeamten vorschreibt Au erdem werden umfangreiche Anforderungen an den Betrieb der elektroni sch
238. rein in einem bestimmten Bereich oder in Bezug auf eine bestimmte Angelegenheit nach einem Rechtssatz des materiellen Rechts Rechtssubjekt sein Dies l sst sich auf unser IFG nach Sinn und Zweck bertragen Gr nde f r die Ungleichbehandlung von nicht rechtsf hi gen und rechtsf higen Vereinen sind nicht ersichtlich Nicht rechtsf hige Vereine soweit sie organisatorisch hinreichend verfestigt sind eine gewisse Kontinuit t und ein Mindestma an organisatorischer Struktur aufweisen sind daher nicht nur gem dem IFG antragsberechtigt Sie k nnen sich auch nach dem VwKostG SH auf ihre Geb hrenbefreiung berufen Was ist zu tun Generell ist der Antragsteller ber die anfallenden Geb hren vor dem Informa tionszugang zu informieren F r nicht rechtsf hige Vereine ist eine Geb hren befreiung im aufgef hrten Fall anzunehmen Einzelf lle Polizeibeamte und tote Hunde keine Preisgabe der Identit t der Beamten Will ein von einer Polizeima nahme Betroffener einen Schaden geltend machen und ben tigt er hierf r Informationen so kann das IFG dienlich sein Innerhalb des letzten Jahres kam es auf den Autobahnen Al und A2 bei Bad Oldesloe zu drei Vorf llen bei denen Hunde mit Streifenwagen absichtlich ber fahren wurden Die Halterin eines der berfahrenen Hunde begehrte nach dem IFG Informationen zur Identit t der an den Polizeieins tzen beteiligten Beamten Der Antrag auf Informationszugang ist im Falle der Bekanntgabe pe
239. renzen eines Datenschutzes auf der sich stark auf die frei willige und informierte Einwilligung der Betroffenen st tzt Die Herausforde rung liegt darin den Anforderungen des Datenschutzes nicht ber das Erteilen von Unmengen an rein formell bleibender Einwilligungen formal zu gen gen sondern materiell wirksam operativ zu sichern Einwilligungen so das Daten schutzrecht m ssen inhaltlich klar freiwillig und informiert erfolgen Doch gerade die von den Entwicklern der AAL Systeme vorgesehene Klientel verf gt typischerweise ber kein Wissen von komplexen informationstechnischen Syste men Es ist deshalb eine wichtige Aufgabe beim Aufbau von AAL Infrastruk T tigkeitsbericht 2011 des ULD SH 101 102 Systemdatenschutz turen ein betroffenengerechtes Niveau an Transparenz und Wahlm glichkeit herzustellen Ein Teil der L sung des Problems besteht darin Datenschutz in die Systeme von Anfang an einzubauen Die AAL Systeme m ssen so funktionieren dass sie dem Paradigma der Privacy Enhanceing Technologies PET folgend den grundrecht lich garantierten Datenschutz der Menschen unterst tzen Zudem sind die Herstel ler und Betreiber der Systeme aufgefordert Transparenz in hochaufl sender professioneller Qualit t insbesondere f r Pr finstanzen bereitzustellen In der Vorstudie wurde ein Modell entwickelt mit dem die Datenschutzproble matik des AAL bersichtlich erfasst werden kann In einer Matrix mit drei Dimensionen w
240. rer informationellen nach Situation oder Rolle verschieden Selbstbestimmung durch nutzerge und gibt unterschiedliche Informatio steuertes Identit tsmanagement zu nen von sich preis Im Internet ist ein unterst tzen Wie dies geht zeigen solches instinktives Management erste Prototypen seiner verschiedenen Teilidentit ten schwierig Hierbei k nnen Identit ts W hrend 2004 bis 2008 mit ULD managementsysteme unterst tzen die z B pseudonyme Kennungen f r ver E a um Ouzehestuhlien Yorzin schiedene Anbieter vorsehen Wichtig gerprojekt PRIME Privacy and ist dass die Nutzer die Kontrolle ber Identity Management for Europe an ihre Daten und deren Verwendung einem umfassenden Prototyp mit m g aus ben k nnen lichst viel Funktionalit t gearbeitet T tigkeitsbericht 2011 des ULD SH 115 116 Modellprojekte und Studien wurde konzentriert sich das PrimeLife Projekt auf einzelne Module und Tools die in Kombination mit existierenden Systemen und Anwendungen zum Einsatz kommen k nnen Unsere Rolle besteht in der datenschutzrechtlichen Analyse und Konzeption von rechtskonformen und gleichzeitig praktikablen sowie bedienfreundlichen L sungen 32 TB Tz 8 2 Ein Schwerpunkt von PrimeLife liegt im Bereich der sozialen Netzwerke Mit dem Prototyp g dings auch bei diesem System Clique wurde ein eigenes soziales Netzwerk mit beson derer Datenschutzfunktionalit t gt a entwickelt Insbesondere
241. restriktiv interpretiert Jetzt soll eine neue Sichtweise her In Gespr chen mit Poli zei und Innenministerium kam das ULD zu dem Ergebnis dass weitere Nutzun gen des rtus VBS Datenbestandes unter dem Aspekt der rechtlichen Erforder lichkeit zur Aufgabenerf llung m glich sind Dabei geht es z B um elektronische Zusammenstellungen und Auswertungen die bisher in m hevoller Kleinarbeit h ndisch erfolgten Die Vorteile des neuen Vorgehens liegen nicht nur kono misch in der Einsparung von Ressourcen und in besseren Arbeitsabl ufen sondern auch datenschutzrechtlich in einem verl sslichen Datenbestand und einem kontrollierten sicheren Verfahren Stellt sich jedoch heraus dass die Datenbasis nicht verl sslich ist so muss sich das ULD wegen der drohenden Datenschutzeinbu en gegen eine weitere Verwendung der Daten und somit gegen neue Anschlussprojekte von rtus aussprechen rtus Recherche ein neues Verfahren Das ULD wurde von der im Landeskriminalamt LKA eingerichteten Projekt gruppe rtus Auswertung fr hzeitig bei der Konzeptionierung des neuen Ver fahrens rtus Recherche beteiligt Dabei geht es um differenzierte Recher chem glichkeiten f r mit Ermittlungen beauftragte Polizeibeamte f r kriminolo gische Ph nomenbereiche bearbeitende LKA Experten und f r wenige LKA Super User die ausschlie lich spezielle tief gehende Recherchen bearbeiten Die Projektgruppe pr sentierte Konzepte die abh ngig
242. riSe In einigen F llen z hlt eine Zertifizierung bereits zu den Vergabekriterien f r Auftr ge ffentlicher Stellen Fachinformationen Mit Fachinformationen richtet sich EuroPriSe an interessierte B rgerinnen und B rger zu spezifischen Fragestellungen Auf der Basis der Erfahrung mit den EuroPriSe Zertifizierungen erarbeitet das ULD zu neuen technischen Entwicklungen in allgemein verst ndlicher Form Informationsbl tter Solche Fact Sheets wurden zun chst zu den Themen verhaltensbasierte Online Werbung altersgerechte Assistenzsysteme und Daten schutz Schutzziele ver ffentlicht Die Fachbl tter sind in englischer und deut scher Sprache im Internet abrufbar unter https www european privacy seal eu about privacy Das EuroPriSe Privacy Training wurde als Workshop erstmals 2010 f r Euro PriSe Gutachter und andere Interessierte angeboten Dabei wurden aktuelle Themen wie Cloud Computing das Telekom Reformpaket Auftragsdatenverar beitung und spezifische Neuerungen bei EuroPriSe in einem Kreis internationaler Teilnehmer vorgestellt und diskutiert EuroPriSe Gutachtern erm glicht die Teil nahme am Workshop die Verl ngerung ihrer Akkreditierung https www european privacy seal eu experts expert training index html T tigkeitsbericht 2011 des ULD SH 9 3 7 9 4 Audit und G tesiegel Zusammenarbeit mit anderen Datenschutzbeh rden EuroPriSe strebt die Einbindung weiterer europ ischer Datenschutzbeh r den in
243. riSe Positionspapier zu den sich aus der Umsetzung der nderungen aus dem Telekom Reformpaket Tz 9 3 1 ergebenden Anforderungen an Anbieter von OBA Systemen wurde von der Bran che aufgegriffen und wird mit Blick auf eine m gliche Selbstregulierung disku tiert Das Europ ische Parlament hat in einer Resolution im Dezember 2010 die Europ ische Kommission aufgefordert in Zusammenhang mit dem Internet und den neuen Technologien ein gemeinschaftliches System zur Kennzeichnung von Internetseiten nach dem Vorbild von EuroPriSe einzuf hren durch das ersichtlich wird ob auf einer Seite die Datenschutzbestimmungen eingehalten werden Zertifizierungskriterien EuroPriSe bescheinigt die Vereinbarkeit eines IT Produkts oder einer IT basierten Dienstleistung mit den Bestimmungen des EU Datenschutz rechts Die im Rahmen einer Zertifizierung zu pr fenden Kriterien sind aus den einschl gigen EU Richtlinien abgeleitet und in einem Anforderungs katalog aufgelistet Dieser Katalog benennt neben den Kriterien die Rechtsnormen aus denen diese jeweils abgeleitet werden Zudem listet er Fragen auf die im Hinblick auf ein Kriterium regelm ig von Relevanz sind Der Katalog setzt sich aus vier themati schen Komplexen zusammen 31 TB Tz 9 4 1 e 1 Komplex Grunds tzliche Fragestellungen e 2 Komplex Rechtm igkeit der Datenverarbeitung T tigkeitsbericht 2011 des ULD SH 9 3 2 Audit und G tesiegel e 3 Komplex Technische und org
244. riebsanweisung f r die Mitarbeiter Kontrollieren Sie die Einhaltung der getroffenen Sicherheitsma nahmen T tigkeitsbericht 2011 des ULD SH 151 11 152 Europa und Internationales Europa und Internationales Das Jahr 2010 brachte auf internationaler Ebene keine erkennbaren Fortschritte f r den Datenschutz Auf der 32 Internationalen Konferenz der Datenschutz beauftragten in Jerusalem Ende Oktober fand zwar ein reger Informations und Meinungsaustausch statt Bestrebungen in Richtung v lkerrechtlicher Absiche rung des Datenschutzes sind aber weiterhin nicht in Sicht Kurz danach legte die Europ ische Kommission ein Gesamtkonzept f r den Datenschutz in der Europ ischen Union vor Darin bekennt sich die Kommis sion zu einer grundrechtsorientierten Weiterentwicklung des Datenschutzes in der EU auf allen Ebenen insbesondere durch eine Fortschreibung der Europ ischen Datenschutzrichtlinie von 1995 und durch Einbeziehung der polizeilichen und justiziellen Zusammenarbeit in Strafsachen in das allgemeine Datenschutzrecht Sie sondiert die Einf hrung europ ischer Zertifizierungsregelungen und will sich f r die Festlegung hoher rechtlicher und technischer Datenschutzstandards auf internationaler Ebene einsetzen http eur lex europa ew LexUriServ LexUriServ do uri COM 2010 0609 FIN DE HTML Safe Harbor weiter in der Kritik Das Safe Harbor Abkommen das f r Wirtschaftsunternehmen einen verein fachten Datenaustausch
245. rliegen Insbesondere die Unterbeauftragung durch die H VG steht im diametralen Widerspruch zum Gesetz wonach der berwiegende Teil des Datenbestandes beim Auftraggeber verbleiben muss was auch im Verh ltnis Auftragnehmer zu Unterauftragnehmern gilt https www datenschutzzentrum de medizin gkv 20110112 beschluss ovg pdf Die gerichtliche Entscheidung ist von bundesweiter Bedeutung Die Frage steht im Raum ob die Haus rzteverb nde und die H VG mit ihrer auch in anderen Bundesl ndern praktizierten Abrechnungsmethode fortfahren k nnen Nach dem Verdikt des OVG darf dies nicht sein In Schleswig Holstein wirkt sich das Urteil auf vier weitere HzV Vertr ge aus In den anderen Bundesl ndern teilen die Datenschutzaufsichtsbeh rden die Rechtsauffassung des ULD und des OVG Bei der hausarztzentrierten Versorgung m ssen datenschutzkonforme Abrechnungs wege gefunden werden Das ULD hat hierzu Vorschl ge gemacht und steht zur weiteren Beratung gern zur Verf gung T tigkeitsbericht 2011 des ULD SH 4 5 4 4 5 5 Soziales Was ist zu tun Der Haus rzteverband Schleswig Holstein die Krankenkassen und die betei ligten Schiedspersonen m ssen die Abrechnung zur hausarztzentrierten Versor gung endlich datenschutzkonform regeln und ausgestalten Aus der AOK Schleswig Holstein wurde die AOK NordWest Die AOK Schleswig Holstein und die AOK Westfalen Lippe fusionierten im Oktober 2010 zur AOK NordWest Die neue Krankenkasse hat ihr
246. rsonenbezo gener Daten abzulehnen es sei denn der Antragsteller macht ein rechtliches Interesse an der Kenntnis der begehrten Informationen geltend und berwiegende schutzw rdige Belange der Betroffenen stehen dem nicht entgegen Das rechtliche Interesse setzt eine konkrete Rechtsbeziehung zwischen Antrag steller und Betroffenem voraus Von Bedeutung ist etwa dass der Antragsteller glaubhaft darlegt mit dem Betroffenen in einer vertraglichen Beziehung zu stehen oder dass zivilrechtliche Anspr che gegen den Betroffenen verfolgt werden Ein rechtliches Interesse an der Offenbarung der Daten setzt voraus dass eine konkrete Rechtsbeziehung zwischen Antragsteller und Betroffenem besteht Im konkreten Fall lag eine derartige Rechtsbeziehung zu den Beamten als Perso T tigkeitsbericht 2011 des ULD SH 157 12 4 2 12 5 158 Informationsfreiheit nen nicht vor sondern zur Polizei f r die die Beamten t tig wurden Die Petentin hatte also keinen Anspruch auf Kenntnis der Identit t der Polizeibeamten Was ist zu tun Besteht ein rechtliches Interesse des Antragstellers so kann nach dem IFG ein Zugangsersuchen zu dessen Durchsetzung nicht zur ckgewiesen werden Gef hrdungsbeurteilungen Ein IFG Antrag kann lediglich auf Zugang zu den vorhandenen Informatio nen gerichtet sein unabh ngig davon ob eine Beh rde zu einer Beurteilung gesetzlich verpflichtet war Eine Petentin forderte Einsicht in eine Dokumentation zur Gef h
247. s wie der ISO 27000er Normenwelt oder der Grundschutz Vorgehensweise des Bundesamtes f r Sicherheit in der Informationstechnik BSI wiederfinden Erster Grundsatz ist die Erforderlich keit Technische und organisatorische Ma nahmen m ssen einem konkret ausgewiesenen Risiko entgegenwirken Im Wortlaut 5 Abs 2 LDSG Es sind die technischen und organi satorischen Ma nahmen zu treffen Daten verarbeitende Stellen m ssen do marda EST ent darlegen warum eine konkrete Sicher der Schutzbed rftigkeit der Daten heitsma nahme getroffen wurde und erforderlich und angemessen sind nachweisen dass eine nachvollziehbare Automatisierte Verfahren sind vor und belastbare Analyse der Risiken ihrem erstmaligen Einsatz und nach stattgefunden hat Mit der Erforder nderungen durch die Leiterin oder lichkeitspr fung legen IT Planer dar den Leiter der Daten verarbeitenden dass sie Datenschutz Datensicherheit Stelle oder eine befugte Person frei und Wirtschaftlichkeit in Einklang en gebracht haben Es werden nur Sicher heitsma nahmen f r konkret benennbare Risiken getroffen und es werden alle konkreten Risiken mit Sicherheitsma nahmen bedacht In der Praxis kommt diese entscheidende Planungsphase oft zu kurz H ufig macht die Projektleitung den Fehler eine Analyse der Risiken und eine Ma nah menauswahl zu sp t im Projekt durchzuf hren In vielen F llen f hrt erst die drohende Vorabkontrolle durch beh rdliche Datenschu
248. s Vertra ges einigen so wird eine Schiedsperson eingesetzt die den Vertrag festlegt In Schleswig Holstein wurde per Schiedsspruch im September 2010 ein HzV Vertrag zwischen dem Haus rzteverband Schleswig Holstein sowie der rzte genossenschaft die ebenfalls Haus rzte repr sentiert einerseits und der AOK T tigkeitsbericht 2011 des ULD SH Soziales Schleswig Holstein jetzt AOK NordWest Tz 4 5 4 der IKK Landesverband Nord sowie der Landwirtschaftlichen Krankenkasse Schleswig Holstein und Hamburg andererseits abgeschlossen Neben Vorgaben zu den oben genannten Punkten enth lt dieser Vertrag Regelun gen zur Art und Weise der Datenverarbeitung im Rahmen der HzV Betroffen sind hiervon im Datenschutzrecht besonders gesch tzte Daten ber die Gesund heit die zudem der rztlichen Schweigepflicht unterliegen Nach den Vorgaben des Gesetzes darf eine andere Stelle in die Abrechnung nur einbezogen werden wenn dies im Wege einer Auftragsdatenverarbeitung nach den Vorgaben des Sozialgesetzbuches erfolgt Das ULD informierte die Schiedsperson umfassend ber die datenschutzrechtlichen Anforderungen Dessen ungeachtet sah der Ver trag vor dass die Datenverarbeitung zur Abrechnung bei der HzV ber die Haus rztliche Vertragsgemeinschaft H VG eine eingetragene Genossenschaft in K ln laufen soll Diese soll so die Fiktion des Vertrages als Auftragnehmerin f r die Haus rzte t tig werden Eine Analyse des Vertrages ergab
249. schaftspraxis t tigen rzten Trennt sich so eine Gemeinschaftspraxis f hlen sich nicht selten alle rzte berufen s mtliche Patien tenakten fortan zu verwahren Bei Papierakten war dies selten ein Problem weil diese schon aus Praktikabilit tsgr nden aufgeteilt wurden Dies hat sich mit der digitalen Aktenhaltung ge ndert Schnell ist der gesamte Datenbestand der Praxissoftware kopiert Diese wundersame Datenmehrung ist aus Datenschutzsicht h chst unwillkommen Das Risiko dass Daten in unbefugte H nde gelangen wird vervielfacht Richti gerweise sind auch im Digitalzeitalter die Patientenakten danach zu trennen welcher der rzte fortan die Behandlung f hrt Steht dies noch nicht fest verblei ben die Akten bei der Praxis die in den alten R umen bleibt Um festzustellen ob ein Patient bereits in der fr heren Gemeinschaftspraxis in Behandlung war d rfen alle scheidenden Praxispartner f r eine bergangszeit von der Gesamtheit der Patienten die Stammdaten nebst Aktenzeichen vorhalten rzte kritisieren dies sei zu aufwendig Einfacher und praktikabel w re es bereits beim Betrieb der Gemeinschaftspraxis die Daten sauber zu trennen wie dies Praxisgemeinschaften das sind Praxen in denen rzte sich lediglich die R ume teilen ohnehin tun m ssen F r die Dauer der gemeinsamen Praxisaus bung k nnen gegenseitige Zugriffsrechte einger umt werden die dann bei der Teilung aufgehoben w rden Was ist zu tun Bei der
250. schr nkten Zugang zu gew hren Keine Informationskosten f r nicht rechtsf hige gemeinn tzige Vereine Das Informationsfreiheitsgesetz sieht nicht ausdr cklich eine Antragsberech tigung f r nicht rechtsf hige Vereine vor Da dahinter immer eine nat rliche Person steht ergibt sich kein praktisches Problem au er bei den Kosten Nat rliche Personen sind nach dem Informationsfreiheitsgesetz IFG geb hren pflichtig Gemeinn tzige rechtsf hige Vereine hingegen sind nach dem Verwal tungskostengesetz VwKostG SH generell von der Geb hrenpflicht befreit Stellt sich also die Frage ob nicht rechtsf hige Vereine rechtsf higen Vereinen T tigkeitsbericht 2011 des ULD SH 12 4 12 4 1 Informationsfreiheit bei der Anwendung des IFG gleichgestellt werden k nnen und m ssen Der Gesetzesbegr ndung zum IFG l sst sich diesbez glich nichts entnehmen Wir halten es jedoch f r sachgerecht nicht rechtsf hige Vereine und rechtsf hige Vereine in Bezug auf die Antragsberechtigung gem dem IFG gleichzustellen Das Bundesverwaltungsgericht hat zum Umweltinformationsgesetz des Bundes festgestellt dass auch nicht rechtsf hige Vereine einen Anspruch auf Informa tionszugang haben soweit der Rechtskreis der Vereinigung durch die konkrete Ma nahme ber hrt wird und der Verein eine gewisse Kontinuit t und ein Mindestma an organisatorischer Struktur aufweist Hinsichtlich des geltend gemachten Rechts muss der nicht rechtsf hige Ve
251. sehr konkrete R ckschl sse ber die Art der Erkrankung ziehen Dies kann z B im Hinblick auf psychologische oder psychiatrische Behandlungen f r den Betroffenen stig matisierende Folgen haben Probleme bestehen zudem f r die zahlreichen Mitar beiterinnen und Mitarbeiter des UK S H die sich beim Arbeitgeber behandeln lassen Sie mussten damit rechnen dass ihre Kollegen einfach die Tatsache der Behandlung in bestimmten Einrichtungen feststellen konnten Unsere berpr fung ergab dass insgesamt ca 5 500 Mitarbeiter also etwa die H lfte des Perso nals des UK S H unbeschr nkten Zugriff auf diese Informationen hatte Es gen gte einen beliebigen Namen einzugeben War die Person behandelt worden so konnte der Abfrager erkennen in welchen Einrichtungen dies erfolgt war Diese Situation ist aus Datenschutzsicht nicht hinnehmbar Tz 4 6 1 Beim UK S H wurden organisatorische und technische Umstellungen vorgenommen Eine Nachschau des ULD im September 2010 ergab dass jetzt nur noch ca 300 Verwaltungsmitarbeiter den oben beschriebenen Zugriff haben Dabei handelt es sich um Personen die die Patienten aufnehmen um Mitarbeiterinnen und Mitarbeiter des Patientenmanagements und des Medizincontrollings Damit ist davon auszugehen dass nur noch die tats chlich zust ndigen Personen den beschriebenen Zugriff haben Wird eine Person in einer Einrichtung aufgenom men so haben die jeweiligen Mitarbeiter dieser medizinischen Einrichtung den Zu
252. sgewohnheiten Betroffener durch intelligente Z hler abgebildet werden Diese Z hlertechnologie birgt somit ein hohes Ausforschungspotenzial Der Eingriff in die Privatsph re der Betroffenen ist vergleichbar mit der akustischen Wohnraum berwachung Sie geht teilweise dar ber hinaus Der Einsatz intelligenter Z hler ber hrt nicht nur das Recht auf informationelle Selbstbestimmung Auch die verfassungsrechtlich garantierte Unverletzlichkeit der Wohnung kann dadurch verletzt werden 32 TB Tz 7 3 Der Gesetzgeber hat bei der Einf hrung der Z hler die potenzielle Gef hrdung f r die Pers nlichkeitsrechte der Betroffenen vollst ndig ignoriert obwohl der Bundesrat die Regelung dieses Aspektes im Gesetzgebungsverfahren angemahnt hatte Einziger Datenschutzma stab f r die Verarbeitung der Verbrauchsdaten bleibt daher das BDSG Eine Verwendung der durch intelligente Z hler erhobe nen Daten ist nur zul ssig wenn dies zur Erf llung bestehender Energielieferver tr ge unbedingt erforderlich ist oder die Betroffenen freiwillig und informiert in die Erhebung Verarbeitung und Nutzung der Daten eingewilligt haben Sie k nnen ihre Einwilligung jederzeit widerrufen T tigkeitsbericht 2011 des ULD SH Datenschutz in der Wirtschaft Das ULD fordert wegen des Gef hrdungspotenzials f r die Privatsph re der Betroffenen durch die Verwendung detaillierter Nutzungsprofile den Erlass einer spezialgesetzlichen Regelung f r die Erhebung Verarbeitun
253. sicherung kommt ob eine Faxsendung auch tats chlich vom Absender abgeschickt wurde So kann eine F lschung der Absender adresse ausgeschlossen werden e Verfahren zum Schutz vor Fehlzustellung und damit einer unbefugten Kennt nisnahme einer Faxsendung durch Falscheingabe der Faxnummer durch Vertippen Zun chst wird ein Dummy Fax z B nur das Deckblatt an den Empf nger versendet Best tigt dieser den erfolgreichen Empfang kann die eigentliche Faxsendung durch Bet tigen der Wahlwiederholung versendet werden Auch danach kann eine Best tigung des Empf ngers erfolgen T tigkeitsbericht 2011 des ULD SH Aus dem IT Labor Immer h ufiger wird die Faxfunktion im Zusammenhang mit modernen Multi funktionsger ten angeboten Bei deren Einsatz sollten zus tzlich zu den hier aufgef hrten Ma nahmen die Hinweise in der Ver ffentlichung Sicherheitsma nahmen bei modernen Multifunktionsger ten Drucker Kopierer Scanner FAX im Internet ber cksichtigt werden https www datenschutzzentrum de kopierer Was ist zu tun Analysieren Sie den Einsatz Ihrer Faxger te in Bezug auf Technik und Organi sation Benennen Sie einen Systemverantwortlichen f r das Faxger t der alle tech nisch organisatorischen Ma nahmen in diesem Zusammenhang koordiniert Legen Sie organisatorische Ma nahmen zur Verwendung der Faxfunktion fest und dokumentieren Sie diese in Ihrer Sicherheitsdokumentation Erstellen Sie eine Dienst bzw Bet
254. sind ist zul ssig soweit Tat sachen die Annahme rechtfertigen dass Sch den f r Leib Leben oder Freiheit oder gleichgewichtige Sch den f r andere Rechtsg ter zu erwar ten sind Die Ma nahme nach Satz 2 ist rtlich auf den erforderlichen Bereich zu beschr nken und auf sechs Monate zu befristen Eine Verl nge rung ist nur zul ssig sofern die Vor aussetzungen nach Satz 2 weiterhin vorliegen die im konkreten Gefahrenfall als Gefahrenabwehrbeh rde t tig wird Auch die Aufzeichnungen werden bei der Polizei gespeichert da diese im Regelfall nur f r T tigkeitsbericht 2011 des ULD SH 41 42 Polizei und Verfassungsschutz Zwecke der Strafverfolgung relevant sind Das ULD hat eine Checkliste als Hilfe f r die Entscheidung ber die Einrichtung einer Video berwachungsanlage ver ffentlicht unter https www datenschutzzentrum de video checkliste html Zu beachten sind insbesondere folgende Anforderungen e Bei dem zu berwachenden Platz muss es sich um einen Kriminalit ts oder Gefahrenschwerpunkt handeln Es muss dort zu einer signifikanten H ufung von Straftaten oder Gefahren kommen diese muss durch entsprechende Zahlen belegt sein Ein subjektives Empfinden der Bev lkerung gen gt nicht Es m ssen Sch den f r Leib Leben oder Freiheit oder gleichgewichtige Sch den f r andere Rechtsg ter zu erwarten sein Das Eigentum ist als Rechtsgut nicht ausdr cklich genannt Zum Schutz des Eigentums ist die Ma
255. sort bergreifend schnell auf frei werdende Stellen zu versetzen die wieder besetzt werden m ssen F r diese Aufgabe ist nach Auffassung der Landesregie rung ein zentrales Personalmanagement unabdingbar Daf r gen gt es nicht nur die Namen der in Betracht kommenden Mitarbeiter zu speichern Nur mit einem angemessenen Profil kann die Koordinierungsstelle eine hinreichende Voraus wahl im elektronischen Verfahren vornehmen Da diese Aufgabe neu ist war die f r den Betrieb der Datenbank erforderliche bermittlung von Personalaktendaten an die Koordinierungsstelle im Personal datenrecht bisher nicht vorgesehen Gemeinsam mit dem Finanzministerium haben wir eine Formulierung zur nderung des Landesbeamtengesetzes gefun den die die Daten bermittlung auf das tats chlich notwendige Ma beschr nkt und gleichzeitig eine umfassende Transparenz f r die betroffenen Mitarbeiter sicherstellt Da das Landesdatenschutzgesetz die Anwendung der beamtenrecht lichen Befugnisgrundlagen zur Datenverarbeitung auf alle Besch ftigten aus dehnt ist eine gesonderte tarifvertragliche Regelung nicht erforderlich Nach einer Erg nzung des Delegationserlasses des Ministerpr sidenten um die notwen dige Zust ndigkeitszuweisung f r das Personalmanagement an das Finanzministe rium steht einer Arbeitsaufnahme der Stellenb rse nichts mehr im Wege Aus unserer Sicht sichert die gefundene L sung einen angemessenen Ausgleich zwischen den Interessen des Landes an
256. speichern Wenn eine R cklastschrift bei einem H ndler ein ging erfolgte eine Speicherung in einer sogenannten Sperrdatei dieses H ndlers Dieses Vorgehen ist zul ssig solange die Forderung nicht beglichen ist Der H ndler hat ein berechtigtes Interesse daran den Kunden nicht noch mal im riskanten Lastschriftverfahren bezahlen zu lassen Denn die Gefahr ist hoch dass das Konto noch immer nicht gedeckt ist Au erdem d rfen H ndler auch Kartenverlustmeldungen aus einem polizeilichen Register der KUNO Datei verwenden Will ein H ndler das Lastschriftverfahren nicht einsetzen bleibt im Wesentlichen die M glichkeit der Barzahlung oder des EC Cash Verfahrens Bei letzterem wird ebenfalls die EC Karte eingesetzt allerdings in Kombination mit der PIN Dieses Verfahren ist f r den H ndler sicherer als das ELV da dieser bei erfolgrei cher Autorisierung der Zahlung von der Bank des Kunden eine Zahlungsgarantie erh lt Diese Zahlung kann also nicht mehr platzen Daf r berechnen die Banken den H ndlern allerdings Geb hren Die meisten H ndler bedienen sich sogenannter EC Netzbetreiber Diese stellten urspr nglich nur die Kartenleseger te zur Verf gung leiteten die Zahlungsdaten weiter und wickelten die Zahlung ab Das Leistungsangebot der EC Netzbetreiber wurde nun sukzessive erweitert Hintergrund war der Wunsch der H ndler das teure PIN Verfahren zu vermeiden und das zun chst unentgeltliche ELV zu nutzen allerdings
257. sprofil f r eine Person zu entwickeln um daran gemessen Unregelm igkeiten festzustellen und ad quat zu reagieren In Notf llen sollen Tonwarnungen f r den Betroffenen ausgegeben T tigkeitsbericht 2011 des ULD SH Systemdatenschutz oder eine Nachbarin ein Verwandter oder ein professioneller Warndienst infor miert werden Diese k nnen dann bei der Person anrufen eine Videoverbindung aufbauen eine Hilfsperson vor Ort beauftragen nachzuschauen oder einen Kran kenwagen anfordern AAL Systeme dienen so das Konzept der meisten Projekte der kosteng nstigen Betreuung von hilfebed rftigen Menschen H ufig sollen die M glichkeiten einer h uslichen Pflege technisch verl ngert werden was zumeist im Interesse sowohl der meisten Pflegebed rftigen als auch der Kostentr ger liegt AAL Systeme k nnen die Autonomie k rperlich eingeschr nkter Menschen l nger als bislang aufrechterhalten Die Menschen sollen w hlen k nnen wo sie sich aufhalten bzw wohin sie sich begeben wollen Dies ist ein wesentlicher Aspekt individueller Selbstbestimmung Durch Nutzung von Technik soll die informationelle k r perliche und soziale Autonomie von Menschen l nger erhalten bleiben Dies erfolgt zu dem Preis dass sie einer technisierten Kontrolle ihrer k rperlichen Verfassung und ihres Verhaltens unterworfen werden Selbstbestimmung ist aber nur dann wirklich gew hrleistet wenn die Betroffenen mitbestimmen k nnen wie die Informationsverarbe
258. ssung als rechtlicher und technischer EuroPriSe Gutachter m glich Seit 2010 k nnen technische und rechtliche Datenschutzexperten die die f r eine Akkreditierung als EuroPriSe Gutachter erforderliche Berufserfahrung noch nicht in vollem Umfang aufweisen k nnen aber alle sonstigen Voraussetzungen f r eine Zulassung als Gutachter erf llen sich als EuroPriSe Junior Expert akkreditieren lassen Junior Gutachter d rfen EuroPriSe Evaluierungst tigkeiten durchf hren wenn ein Gutachter sie beaufsichtigt und die Verantwortung f r ihre T tigkeit bernimmt Durch die Einf hrung einer Junior Expert Akkreditierung erhalten Datenschutzexperten die M glichkeit schon zu einem fr hen Zeitpunkt ihrer beruflichen Karriere an EuroPriSe Zertifizierungen mitzuwirken Datenschutzexperten mit Interesse an einer Akkreditierung m ssen nicht nur ihre Fachkunde und Zuverl ssigkeit nachweisen sondern auch an einem Ausbil dungsworkshop teilnehmen und ein Trainingsgutachten anfertigen das den hohen EuroPriSe Anforderungen entspricht Im Jahr 2010 wurden in Kiel zwei kostenpflichtige Ausbildungsworkshops durchgef hrt Ingesamt wurden vom ULD bislang sechs Workshops veranstaltet an denen nahezu 200 Datenschutz experten aus 14 L ndern teilgenommen haben 2010 wurden 29 neue EuroPriSe Gutachter und zwei Junior Gutachter akkre ditiert Insgesamt waren zum Ende des Jahres 109 Datenschutzexperten als Gutachter und zwei Datenschutzexperten als Junior Gu
259. staltung von Technik und Organisa tion besonders hervorzuheben sind e Das ISMS des Data Center Steuern gew hrleistet durch eine dauerhafte Befas sung mit den Themenkreisen Datenschutz und Datensicherheit ein hohes Gesamtsicherheitsniveau e Das ISMS und die Sicherheitskonzeption bieten den Auftraggebern des Data Center Steuern eine belastbare Grundlage f r eine eigene Sicherheitskonzep tion und eigene interne sowie externe Pr f und Auditverfahren e Die Datenverarbeitung wird unter den Aspekten der Verf gbarkeit Vertrau lichkeit Integrit t sowie der Ordnungsm igkeit in einer geregelten Aufbau und Ablauforganisation berwacht e Die Sicherheitsprozesse sind unter Ber cksichtigung eines national anerkann ten Sicherheitsstandards gestaltet T tigkeitsbericht 2011 des ULD SH 9 2 9 2 1 Audit und G tesiegel e Sicherheitsrelevante Ereignisse k nnen ber das IT Sicherheitsvorfallmanage ment rechtzeitig erkannt werden e Die technischen und organisatorischen Abl ufe des ISMS sind vollst ndig und nachvollziehbar beschrieben Was ist zu tun Dataport muss das hohe Sicherheitsniveau der beschriebenen technischen und organisatorischen Sicherheitsma nahmen halten und kontinuierlich verbessern Die Auftraggeber sollten durch eigene Audit und Kontrollverfahren in ihrem Zust ndigkeitsbereich das bestehende Audit erg nzen um eine vollst ndige Abdeckung der gesamten Steuerdatenverarbeitung zu erreichen Datenschu
260. sterium als Fachaufsicht den Beh rden hier Hilfen gibt und klare Vorgaben macht T tigkeitsbericht 2011 des ULD SH 4 5 4 5 1 Soziales Was dann folgte war ein langer unergiebiger Konflikt ber die Frage ob es zu den Aufgaben des Ministeriums geh rt solche Hilfen zu geben und Vorgaben im Bereich des Datenschutzes zu machen Wir wiesen darauf hin dass dies kein Ein griff in die kommunale Selbstverwaltung und in die Organisationshoheit der Kommunen ist und dass die Beh rden ein gro es Interesse an einer funktionieren den rechtskonformen Datenverarbeitung haben m ssten insbesondere wegen der Schnittstellen zum KBA und der Notwendigkeit der Beweissicherheit bei der Erteilung und dem Entzug von F hrerscheinen Es bedurfte schlie lich der Infor mation des zust ndigen Landtagsausschusses damit ein kl rendes Gespr ch zwischen ULD und Ministerium zustande kam Es wurde verabredet sich zeitnah zusammenzusetzen und gemeinsam eine L sung zu suchen Was ist zu tun Das Verkehrsministerium sollte in enger Kooperation mit den Fahrerlaubnis beh rden und dem ULD Standards f r einen datenschutzkonformen einheitli chen Umgang mit Fahrerlaubnisdaten erarbeiten Soziales Die Sozialgesetzb cher sind eine dauernde Baustelle Der darin vorgesehene Sozialdatenschutz wird bei nderungen aber nur selten verbessert Vielmehr scheint die Devise bei der Datenverarbeitung zu sein mehr komplizierter intransparenter riskanter Gem
261. t Darf ein Krankenhaus dem Personal eines Rettungsdienstes bei der bergabe eines Patienten Informationen zu bestehenden Infektionskrankheiten mitteilen Die Rettungsdienstleitung eines Kreises forderte die standardm ige Mitteilung von Infektionskrankheiten wie HIV oder Hepatitis B und C Die bertragung erfolgt ausschlie lich durch Kontakt von K rperfl ssigkeiten und ist durch die im Rettungsdienst blichen Schutzma nahmen wie das Tragen von Handschuhen vermeidbar Ein Restrisiko f r die Rettungsdienstmitarbeiter ist nicht zu leugnen muss aber gegen ber dem Interesse des Patienten an der vertraulichen Behand lung der besonders sensiblen Informationen abgewogen werden Bei hochansteckenden und gef hrlichen Infektionskrankheiten wie Tuberkulose Influenza oder SARS sind besondere Hygienema nahmen im Rettungsdienst erforderlich Dementsprechend muss auch die Rettungsdienstbesatzung dar ber informiert werden damit die Hygiene und Selbstschutzma nahmen erfolgreich getroffen werden k nnen Dann darf auch die konkrete Erkrankung benannt werden Bei ber Kontakt bertragenen Infektionskrankheiten die durch emp fohlene Hygienema nahmen vermeidbar sind kann mitgeteilt werden dass eine Infektionskrankheit vorliegt ohne diese genau zu benennen Ansonsten gen gen die Standardhygienema nahmen eine Mitteilung an den Rettungsdienst ist nicht statthaft Dies gilt f r Erkrankungen die ausschlie lich ber Blutkontakt oder Stichverlet
262. t sodass ein Premiumkonto in Sachen Datenschutz keinen Mehrwert bietet Das Anlegen von doodle Umfragen ist einfach und f r jedermann ohne weitere Registrierung m glich Ob und welche personenbezogenen Daten dort eingetra gen werden steht im Ermessen der Nutzer Wer die in den Umfragen eingetrage nen Informationen einsehen kann ist nicht vollst ndig steuerbar Da der Zugriff auf eine eingerichtete Umfrage durch Weitergabe des zugeh rigen Links erfolgt besteht kein effektiver Zugriffsschutz Doodle unternimmt Anstrengungen damit der Link nicht erraten werden kann Trotzdem kommen zwangsl ufig unbeteiligte Dritte in den Besitz der URL zuvorderst Router und Zugangsprovider sowie WLAN Nutzer die mit dem doodle Kunden dasselbe Funknetz teilen beispielsweise im Internetcafe Aber T tigkeitsbericht 2011 des ULD SH 10 3 Aus dem IT Labor auch andere Nutzer des lokalen PCs k nnen ber den Browserverlauf sehr einfach die bereits aufgerufenen Umfragen ffnen Dies ist ein konzeptionelles Problem das doodle auf seiner Webseite leider verschweigt Nutzer sollten sich im Klaren sein dass personenbezogene Daten wie Telefonnummern Adressen oder pers n liche Kommentare unter Umst nden in die H nde Unbeteiligter geraten k nnen Was ist zu tun Nutzer sind von doodle aufzukl ren dass es keinen effektiven Zugriffsschutz auf Umfragen gibt Die bermittlung von Daten an Google muss wenn man doodle nutzen m chte hingenomme
263. t sondern nur modifiziert Die bisherigen Datenerhebungstatbest nde wurden leicht ge ndert und sogar ausgeweitet Zus tzliche Rechtsgrundlagen f r die Datenverarbeitung wurden geschaffen Der Vorschlag ist durch berm ige und unverh ltnism ige Datenverarbeitungsbefugnisse der Rundfunkanstalten und ihrer Hilfsorgane durch fehlende Normklarheit und mangelnde Transparenz gepr gt Der Entwurf missachtet grundlegende Datenschutzprinzipien Er erm chtigt die Landesrundfunkanstalten zur Datenerhebung f r die Beitragsfestlegung ohne Kenntnis der Betroffenen bei ffentlichen und nicht ffentlichen Quellen Der Grundsatz der Direkterhebung von Daten wird dadurch entwertet Eine Erfas sung und Verarbeitung der Daten der Betroffenen erfolgt ohne ihre Kenntnis Die Abweichung vom Prinzip der Direkterhebung ist im Entwurf nicht bestimmt und klar genug geregelt Wohl sollen s mtliche Beitragspflichtige einer Meldepflicht unterliegen Sie sollen die im Staatsvertragsentwurf genannten Daten selbst anliefern Ist f r eine Wohnung kein Wohnungsinhaber bekannt so stehen den Rundfunkanstalten fast unbeschr nkte M glichkeiten offen die Nutzer der Wohnung oder Betriebsstelle zu ermitteln Ungeregelt bleiben das Verh ltnis zu den bereichsspezifischen Vor schriften der jeweiligen ffentlichen Quellen z B in Meldegesetzen oder in der Grundbuchordnung und die Art der zul ssigerweise zu erhebenden Daten Der Zugriff auf nicht ffentliche Quell
264. t werden wer Eigent mer des jeweiligen Grundst cks ist und welche Belastungen in der Abteilung II eingetragen sind Den Bedarf f r die Ausnahme genehmigung hat das Unternehmen damit begr ndet dass es nicht in jedem Einzelfall sicherstellen k nne dass die Berechtigung bez glich des Grundst cks dessen Grundbuchblatt es einsehe tats chlich entstanden oder vielleicht mittler weile gel scht worden ist Zudem bed rfe es der Einsicht zu Grundst cken die es erst noch f r die Errichtung von Versorgungsinfrastruktur in Anspruch nehmen wolle Offenbar ging das Unternehmen davon aus dass es nicht an jeder von ihm beabsichtigten Einsicht ein berechtigtes Interesse haben w rde Ihm ging es also darum eine Befreiung von der Voraussetzung des berechtigten Interesses als solchem und nicht nur von der Darlegung desselben zu erlangen Dieses Ziel kann mit der Ausnahmegenehmigung nicht erreicht werden Nach unserer Auffassung bestand brigens in den genannten F llen ein berechtigtes Interesse sodass die Bef rchtung des Antragstellers grundlos war Was ist zu tun Grundbuch mter sollten Antr ge auf Gestattung der Einsicht in das Grundbuch in allgemeiner Form sorgf ltig pr fen und ihnen nur so weit entsprechen wie der Antragsteller ein berechtigtes Interesse an der Einsicht darlegt T tigkeitsbericht 2011 des ULD SH 45 46 4 3 3 4 4 Verkehr Vorabkontrolle einer neuen MESTA Schnittstelle Das bei den Staatsanwaltschaften ein
265. tachter zugelassen 53 Sachverst ndige sind f r den Bereich Recht und 46 f r den Bereich Technik akkreditiert zw lf Sachverst ndige sind f r beide Bereiche anerkannt T tigkeitsbericht 2011 des ULD SH 139 140 Audit und G tesiegel Die Gutachter k nnen f r ihre T tigkeit als Sachverst ndige mit dem EuroPriSe Expertenlogo werben Euro Euro U European European LEGAL EXPERT TECHNICAL EXPERT Die akkreditierten Gutachter kommen aus folgenden EU Mitgliedstaaten Deutschland 49 Finnland 1 Frankreich 4 Gro britannien 4 Irland 1 Kroatien 2 Niederlande 3 sterreich 13 Schweden 3 Slowakei 1 Spanien 28 Zudem ist auch in Argentinien und den USA jeweils ein Daten schutzexperte als EuroPriSe Gutachter zugelassen worden Anzahl der Gutachter in unterschiedlichen L ndern i 2 Anzahl Gutachter Argentina Austria Croatia Finland France Germany Ireland Netherlands Slovakia Spain Sweden UK USA L nder Eine Liste aller zugelassenen EuroPriSe Gutachter ist abrufbar unter https www european privacy seal eu experts register experts Die Akkreditierung eines Gutachters ist drei Jahre lang g ltig Ihre G ltigkeit verl ngert sich wenn der Gutachter aktiv an einem EuroPriSe Verfahren mitwirkt und ein Langgutachten einreicht oder wenn er an vom ULD angebotenen Fortbil dungsveranstaltungen in Gestalt von Workshops Privacy Trainings oder We
266. te Assistenzsysteme Ambient Assisted Living soll Menschen im allt glichen Leben eine situa tionsabh ngige und unaufdringliche Unterst tzung erm glichen wobei ber Sensoren Personendaten automatisiert erfasst und ausgewertet werden die oft zum besonders gesch tzten privaten Kernbereich des Menschen z hlen Die Ausgestaltung des AAL h ngt vom Unterst tzungsbedarf der jeweiligen Nutzergruppe ab Bei j ngeren gesunden Menschen stehen Unterhaltung und Lifestyle Funktionen zur Steigerung der Lebensqualit t im Vordergrund Bei alten und insbesondere hilfebed rftigen Menschen geht es darum diesen ein sicheres selbstst ndiges Leben im h uslichen Umfeld zu erm glichen bzw die M glich keit einer h uslichen Pflege zu verl ngern Das ULD hat auf Initiative des Bundesministeriums f r Bildung und Forschung BMBF eine Vorstudie zu den Juristischen Fragen im Bereich altersgerechter Assistenzsysteme erstellt deren Ziel es ist im Kontext von 18 anwendungs orientierten Verbundprojekten die Technologie und Anwendungsentwicklung beim AAL zu unterst tzen Neben dem Entwickeln w nschenswerter L sungen sollten unerw nschte Wirkungen etwa im Bereich des Datenschutzes fr hzeitig erkannt und vermieden werden https www datenschutzzentrum de aal In den technisch orientierten Partnerprojekten wurden Techniken f r altersgerecht ausgestaltete Serviceleistungen entwickelt Typische Teile dieser Serviceleistun gen im Rahmen
267. te die Organization for Security and Cooperation in Europe OSCE ihren Leitfaden zum Melderecht vor Die Konferenz wird sich weiterhin als Forum f r Interessenvertreter aus dem Bereich Meldewesen mit lokalen nationalen europ ischen und insbesondere mit datenschutzrechtlichen Fragen befassen Mit einer Veranstaltung im Februar 2011 zum Thema Vorteil Datenschutz Wie Unternehmen und Beh rden Datenschutz zu ihrem Vorteil nutzen k nnen wurde das RISER Projekt abgeschlossen http www riserid eu Datenschutzdiskurse im Privacy Open Space Das Projekt Privacy Open Space kurz PrivacyOS wurde vom ULD initiiert um unterschiedliche Akteure aus den Bereichen IT Entwicklung und Datenschutz zusammenzubringen und L sungsvorschl ge f r dr ngende Probleme vorzustellen und zu diskutieren Die Erfahrungen von Entwicklern Nutzern und Datenschutzbeh rden zeigen dass die Anforderungen des Datenschutzes bei E Services bereits in einem fr hen Stadium ber cksichtigt umgesetzt und in Prozesse integriert werden m ssen Es fehlten Foren P R IVA C Y f r die Beteiligten zur Diskussion aktueller und richtungsweisender Entwicklungen Diese L cke wurde von PrivacyOS geschlossen Das ULD erhielt 2008 hierf r den Zuschlag im Rahmen des ICT Policy Support Programme der Europ ischen Kommission Das Projekt f hrte Vertreter aus den Bereichen Wirtschaft Wissenschaft Regierung und Gesellschaft zusammen um die Entw
268. ten personenbezogenen Daten verantwortlich Dies bedeutet dass die personenbezo T tigkeitsbericht 2011 des ULD SH 23 24 Allgemeine Verwaltung genen Daten dem Schutz des Landesdatenschutzgesetzes LDSG unterliegen und die Grunds tze der Datenschutzverordnung DSVO eingehalten werden m ssen Was ist zu tun Die Verwaltung hat ihre alte Hardware auszusondern und muss die personen bezogenen Daten wipen also nicht wiederherstellbar l schen Eine Speiche rung der personenbezogenen Daten ber den Zeitpunkt der Erforderlichkeit der Datenverf gbarkeit hinaus ist nicht zul ssig Datenschutzrechtliche Unterst tzung bei der Ermittlung des Kindesvaters Die Ermittlung des Vaters eines nicht ehelichen Kindes gestaltet sich f r Jugend mter mitunter schwierig Datenschutz darf solchen Ermittlungen grunds tzlich nicht im Wege stehen In einem Fall f hrte ein Abgleich von Lichtbildern aus der Personalausweisdatei zwar nicht zum gew nschten Erfolg aber immerhin zur Aufkl rung des Sachverhaltes ber zwei Jahre lang ermittelte ein Jugendamt im Rahmen einer Beistandschaft nach dem Vater eines nicht ehelichen Kindes Die Mutter hatte den Mann ber das Internet kennengelernt Nach einer kurzen Aff re riss der Kontakt ab Die Mutter kannte nur den Vor und Familiennamen den Wohnort und das ungef hre Alter ihres Geliebten Eine entsprechende Melderegisteranfrage bei der zust ndigen Stadt wurde abge lehnt da der gesuchte
269. tesiegel des ULD Tz 9 2 wie auch beim Europ ischen Datenschutz G tesiegel EuroPriSe Tz 9 3 als wirkungsvoll erwiesen Dringend n tig ist eine Qualit tspr fung und abschlie ende Zertifizierung durch eine unabh ngige Stelle und eine Ver ffentlichung der wesentlichen Ergebnisse des Verfahrens Die Zertifizierung durch eine Stiftung Datenschutz muss sich zugleich in den europ ischen Rahmen einf gen Das Europ ische G tesiegel befindet sich in einigen EU Mitgliedstaaten derzeit im Planungsstadium Es ist insofern von Vorteil dass ber das ULD als erster EuroPriSe Zertifizierungsstelle deutscher Sachverstand beim Aufbau der Stiftung Datenschutz genutzt werden kann Die Erfahrungen des ULD mit seinen Aktivit ten in den Bereichen Zertifizierung Bildung Beratung und Forschung sind dass diese sich finanziell selbst tragen k nnen Voraussetzung ist eine gute technische Infrastruktur und qualifiziertes Personal In jedem Fall ist bei einer Finanzierung ber private Geldgeber jede inhaltliche Einflussnahme zu verhindern Schon der Ruch der finanziellen Abh n gigkeit sch digt das Vertrauen der ffentlichkeit an der Unparteilichkeit der Stiftung T tigkeitsbericht 2011 des ULD SH 2 4 Datenschutz bundesweit Was ist zu tun Die Etablierung der Stiftung Datenschutz sollte z gig vorangebracht werden Dabei ist u erster Wert auf Transparenz Qualit t Unabh ngigkeit und Koope ration mit nahestehenden Einrichtungen zu l
270. tifizieren Im zweiten Piloten nutzen Studen ten der griechischen Universit t Patras die Technologie zur Bewertung der Lehre Als Teilnehmer von Veranstaltungen erhalten sie Credentials um sp ter nur die Vorlesungen bewerten zu k nnen an denen sie teilgenommen haben Da die bestehenden Credential Systeme Idemix und U Prove auf unterschied lichen kryptografischen Algorithmen beruhen kann man sie nicht einfach zusam menschalten Ziel des ABC4Trust Projekts ist die Entwicklung einer Architektur die es erm glicht Credentials interoperabel einzusetzen Wir legen dabei den Fokus auf die datenschutzrechtlichen Aspekte Das Projektkonsortium besteht neben dem ULD aus Partnern aus Industrie IBM Microsoft Nokia Siemens T tigkeitsbericht 2011 des ULD SH 117 8 3 118 Modellprojekte und Studien Networks Wissenschaft und Pilotanwendern ABC4Trust wird vom Lehrstuhl f r Mobile Business amp Multilateral Security an der Universit t Frankfurt geleitet http www abc4trust eu Was ist zu tun Innovative datenschutzf rdernde Technologien sch tzen die Privatsph re von Nutzern und Gesch ftspartnern wenn sie bestimmte Berechtigungen nachwei sen m ssen Bei der Planung und Inbetriebnahme neuer Verfahren sollten diese Techniken ber cksichtigt werden TClouds auf dem Weg zum vertrauensw rdigen Cloud Computing TClouds Trustworthy Clouds hei t ein Projekt in dem unter Beteiligung des ULD eine sichere und
271. tlich der unterschiedlichen Sensibilit t der zu verarbei tenden Daten und der Anforderungen an das Sicherheitsniveau der Cloud http www tclouds project eu Was ist zu tun Jeder der personenbezogene Daten in einer Cloud verarbeiten m chte oder eine Cloud Computing Infrastruktur aufbaut muss dabei die datenschutzrechtlichen Anforderungen einhalten Dies gilt insbesondere f r grenz berschreitende Datenfl sse sowohl innerhalb als auch au erhalb der Europ ischen Union AN ON Anonymit t Online Das ULD bietet weiterhin einen kostenlosen Anonymisierungsserver an der zusammen mit anderen Anbietern eine Grundversorgung an Anonymit t im Internet gew hrleistet Infolge des Urteils des Bundesverfassungsgerichts vom M rz 2010 zur Unzul s sigkeit der Regelungen zur Vorratsdatenspeicherung haben wir umgehend die Aufzeichnung von Verbindungsdaten auf unserem Anonymisierungsserver abge schaltet und die entsprechenden Protokolle gel scht Auch die brigen Betreiber sind nach unserem Wissen entsprechend verfahren Unser Server wird weiterhin gleichzeitig von ca 1 200 Nutzern im Rahmen von AN ON Anonymit t Online f r den anonymen Zugriff von Webseiten einge setzt 32 TB Tz 8 6 Die Anfragen von Strafverfolgungsbeh rden wegen Miss brauchs sind gegen ber den letzten Jahren deutlich zur ckgegangen http www anon online de Was ist zu tun Das ULD wird die Gesetzgebung zur Vorratsdatenspeicherung beobachten und
272. tnism igkeit 20 Verkehrsdaten 19 20 Verkehrszentralregister 46 Verschl sselung 62 67 Versicherungen 84 Verwaltung 22 104 105 Video berwachung 21 41 78 79 Vorabkontrolle 46 Vorratsdatenspeicherung 19 119 W Webcams 93 Werbedaten 88 94 Werbung 88 94 121 137 Wireless Local Area Networks WLAN 113 Wirtschaft 75 Z Zahlungsinformationssystem f r Agrarf rdermittel ZIAF 126 Zertifizierung 18 124 136 Zutrittsberechtigungssystem 21 Zweckbindung 54 105 T tigkeitsbericht 2011 des ULD SH
273. trale GEZ 111 Gemeinschaftspraxen 60 Gesch ftsgeheimnis 156 Gesundheitswesen 64 Gewerbedaten 88 Global Positioning System GPS 77 Google 14 112 Google Analytics 145 Google Street View 16 112 Grundbuch 44 G tesiegel Board 143 H Hausarztzentrierte Versorgung HzV 50 Hinweis und Informationssystem der Versicherungswirtschaft HIS 84 85 I Identit tsmanagement 115 153 IEC 153 Informationsfreiheitsgesetz IFG 155 INPOL 39 Internet Anonymit t im 119 Stalking im 113 IP Adresse 20 ISO 96 153 ISO 27001 124 126 IT Labor 145 IT Sicherheit 124 126 IT Verfahren 34 37 Index J Jugendamt 24 Jugendkriminalit t 33 Justizverwaltung 44 Justizvollzugsanstalten 44 K Konferenz der Datenschutzbeauftragten des Bundes und der L nder 40 56 57 Kontrollen 97 105 106 K rperscanner 32 Kraftfahrt Bundesamt KBA 46 Krankenh user 56 59 Krankenhausinformationssystem KIS 56 57 Krankenkassen 50 52 53 77 Krankenversicherung 50 Kundendaten 63 L Landesdatenschutzgesetz LDSG 9 25 Landeskriminalamt LKA 35 72 Landesnetzes Bildung Lan BSH 66 Landtag 21 Laserscan 113 M Mammografie Screening 62 Meldedaten 25 Meldewesen 122 MESTA 46 Ministerium f r Landwirtschaft Umwelt und l ndliche R ume MLUR 126 Mitarbeiterdaten 77 Mitgliederdaten 85 Mobilfunknotrufe 38 Monitoring 138 N NADIS neu 40 Nutzungsdaten 21 O Online Dienste 137 Online Spiele 120 Open Sourc
274. trollen gef hrliche Gegenst nde und Waffen erkannt werden sollen Mit Terahertzstrahlung die von der menschlichen Haut reflektiert wird werden dabei bekleidete Menschen T tigkeitsbericht 2011 des ULD SH 4 2 1 Polizei und Verfassungsschutz durchleuchtet Die dabei entstehenden Bilder stellen die Menschen nackt dar was heikle moralische und rechtliche Fragen ausl st Das ULD wurde vom Bundes bildungsministerrum um ein Gutachten gebeten wie die Personenkontrollen datenschutzkonform m glich gemacht werden k nnen Die Bundespolizei entwi ckelte daraufhin in L beck Ger te die die kontrollierten Personen nicht mehr nackt sondern nur abstrahiert darstellen aber auf m gliche Gefahrenquellen hin weisen Diese sind inzwischen auf dem Flughafen in Hamburg im Probebetrieb https www datenschutzzentrum de sicherheitstechnik 20100331 koerperscanner html Jugend Taskforce zur Bek mpfung von Jugendkriminalit t Die Landesregierung hat eine Arbeitsgruppe eingerichtet die im Auftrag des Landtages Vorschl ge erarbeitet wie der Entstehung und der Aus bung von Jugendkriminalit t entgegengewirkt werden kann Das ULD ist in der Arbeitsgruppe vertreten Die Arbeitsgruppe befasst sich mit der Pr ventionsarbeit f r Jugendliche sowie mit der Zusammenarbeit all der Stellen die Jugendliche betreuen oder sich mit Jugendkriminalit t besch ftigen z B Schule Jugendamt Polizei Staatsanwalt schaft oder Gericht Die bei den unterschied
275. tz G tesiegel Abgeschlossene G tesiegelverfahren Das ULD konnte 2010 wieder einigen Produkten ein Datenschutz G tesiegel verleihen F nf Produkte wurden erstmalig zertifiziert Dreizehn weitere Produkte wurden nach Fristablauf in einem vereinfachten Verfahren rezerti fiziert Die deutlich angestiegene Anzahl von Rezertifizierungen zeigt dass das Daten schutz G tesiegel einen wirklichen Mehrwert f r die Hersteller bringt Es ist zu beobachten dass Kunden in einigen Branchen wie etwa dem Behavioural Targe ting oder der Datenvernichtung in der Regel nach dem Datenschutz G tesiegel fragen Mehr und mehr Hersteller machen auch von einer Doppelzertifizierung zusam men mit EuroPriSe Tz 9 3 Gebrauch um so die Datenschutzfreundlichkeit f r den europ ischen wie f r den deutschen Markt zu dokumentieren Bei der Doppelzertifizierung k nnen sowohl bei den Gutachtern als auch bei uns als Zertifizierungsstelle Synergieeffekte genutzt und damit Kosten gespart werden Folgende Produkte wurden neu zertifiziert e People Attract Version 2 2 5 Werbewirkungskontrolle mittels videobasierter Blickkontaktmessung und analyse von der Vis a pix GmbH e targ ad Version 2 Zielgruppenzugeh rigkeitsprognose die es Werbeanbie tern und anderen Anbietern erm glicht ihre Werbemittel gezielt auszuliefern e Erbringung von Postzustelldienstleistungen Stand Juni 2010 von TNT Post erbrachte Bestandteile der Prozessschritte Datenmanagement
276. tz ihre Aufgaben in v lliger Unabh ngigkeit wahrnehmen Der EuGH stellte nun klar dass die Kontrollstellen als H ter der Grundrechte und Grundfreiheiten objektiv und unparteiisch handeln m ssen was voraussetzt dass sie vor jeglicher Einflussnahme von au en einschlie lich der unmittelbaren oder mittelbaren Einflussnahme des Bundes oder der L nder sicher sein m ssen Diese Unabh ngigkeit schlie t so der EuGH jede Anordnung und jede u ere Einflussnahme sei sie unmittelbar oder mittelbar aus Das Unabh ngige Landeszentrum f r Datenschutz ULD tr gt die Unabh n gigkeit schon im Namen Auch in der Praxis wurden einige offensichtliche Einflussnahmeversuche von Unternehmen durch die Landesregierung jeweils klar zur ckgewiesen Doch sieht das LDSG im nicht ffentlichen Bereich die Rechtsaufsicht des Innenministeriums vor Dies ist nach dem Urteil des EuGH nicht mehr m glich Allenfalls die Dienstaufsicht des Ministerpr sidenten soweit sie sich hnlich wie bei Richtern auf Formelles und auf schwere Dienstvergehen beschr nkt und nicht den Inhalt von Entscheidungen erfasst ist nach dem Urteil des EuGH hinnehmbar Die n tigen nderungen zur Anpassung des LDSG an die Rechtsprechung des EuGH sind gering ber zehn Jahre Erfahrung mit dem LDSG haben im ULD eine Liste von Punkten entstehen lassen bei denen Rechts nderungen dringend notwendig oder zumindest w nschenswert sind In Absprache mit dem Innen m
277. tzbeauftragte oder durch das ULD dazu dass die Projektleitung sich um die notwendigen Nachweise gem LDSG und Datenschutzverordnung DSVO k mmert Unn tige finan zielle und personelle Aufw nde entstehen so im Projekt Diese nacheilenden Risikoanalysen f hren in der Regel zu deutlichem Nachbesserungsbedarf und so zu unerw nschten Projektverz gerungen oder verteuerungen Die Risikoanalyse geh rt an den Anfang eines Projekts Nur hier k nnen fr hzeitig die notwen digen Ma nahmen identifiziert werden T tigkeitsbericht 2011 des ULD SH Systemdatenschutz je In den Projekten finden sich h ufig zwei unterschiedliche Ans tze zur Risikoanalyse Der erste Ansatz nes fordert von allen Projektmitarbei N p tern und den Auftraggebern eine 3 4 Br Analyse H ufig wird in einer oder mehreren Sitzungen eine gemein same Risikosicht erarbeitet Wel che Risiken bestehen f r die Datenverarbeitung Welche Risi Risiken muss etwas getan werden DD Z Dieses Vorgehen betont sehr stark den Aspekt der Erforderlichkeit Nur f r identifizierte Risiken werden Ma nahmen getroffen Dies f hrt in der Regel zu schlanken und wirtschaftlichen Sicherheitskonzepten Es kann aber auch dazu f hren dass in der Analyse wesentliche Risiken nicht als solche identifiziert wurden Die internationalen Standards der ISO 27000er Reihe orientieren sich beispielsweise an diesem Ansatz ken sind tragbar gegen welche
278. tzen sondern auch diverse externe und interne Angreifer Mal hei t dieses Benutzerkonto Administrator mal root mal admin mal so wie der Systemhersteller Es verf gt oft ber alle Berechtigungen im System was f r den Administrator das Arbeiten mit diesem Konto nicht nur bei der Erstkonfi guration sehr angenehm gestaltet Doch Vorsicht Schadprogramme nehmen die Allmacht und Anonymit t des administrativen Standardbenutzers ebenso gern in Anspruch wie manipulative Benutzer oder Cracker F r eine ordnungsgem e Datenverarbeitung nach aktuellem Stand der Technik ist es zwingend notwendig dass die administrativen T tigkeiten nachvollziehbar sind Das LDSG und die DSVO stellen hierf r konkrete Anforderungen Bei jeder administrativen T tigkeit muss stets der Ausf hrende ermittelt werden k nnen Kommt es zu Fehlern St rungen oder Sicherheitsproblemen in der Datenver arbeitung muss verl sslich nachpr fbar sein wer oder was die Fehler oder St rungen verursacht oder erm glicht Im Wortlaut 6 Abs 2 LDSG Zugriffe mit denen nderungen an automatisierten Verfahren bewirkt werden k nnen d rfen nur den dazu hat Dementsprechend ist das Arbeiten ausdr cklich berechtigten Personen mit personalisierten Administrations m glich sein Die Zugriffe dieser Per konten zum Schutz der personenbezo sonen sind zu protokollieren und zu genen Daten und gleichzeitig auch der kontrollieren Administratoren z
279. u Bonit tspr fungen in der Versicherungswirtschaft Die Verhandlungen zur Erstellung einer Schweige pflichtentbindungs und datenschutzrechtlichen Einwilligungserkl rung mit dem Gesamtverband der Deutschen Versicherungswirtschaft GDV sind weit fort geschritten Das neue Hinweis und Informationssystem der Versicherungswirt schaft HIS soll im April 2011 in Form einer Auskunftei in Betrieb gehen e Bonit tsabfrage und Scoring bei Versicherungen Die Datenschutzaufsichtsbeh rden in der AG Versicherungswirtschaft gaben zur Frage der Zul ssigkeit von Bonit tsabfragen durch Versicherungsunternehmen eine Stellungnahme gegen ber dem GDV ab Danach darf ein Versicherungs unternehmen Bonit tsausk nfte nur einholen wenn in dem konkreten Einzelfall ein berechtigtes Interesse an der Information dargelegt werden kann Schutzw r dige Interessen der betroffenen Person d rfen dem nicht entgegenstehen Ent scheidend ist ob der Vertrag f r das Unternehmen ein sogenanntes finanzielles Ausfallrisiko birgt Ein finanzielles Ausfallrisiko sieht die AG Versicherungswirtschaft nur bei ganz bestimmten Versicherungsarten f r gegeben Ein solcher Sonderfall sind Kreditversicherungen bei denen das Versicherungsunternehmen die Rolle eines B rgen einnimmt Bei Pflichtversicherungen bei denen aufgrund gesetzlicher Regelungen die Aufrechnung f lliger Pr mienforderungen gegen ber einem beg nstigten Dritten ausgeschlossen ist kann das Ausfallrisiko auc
280. u tun Plant eine ffentliche Stelle ein Data Warehouse so sind fr hzeitig der beh rd liche Datenschutzbeauftragte und das ULD zu beteiligen die darauf achten m ssen dass jederzeit und ausnahmslos die Vorgaben zur Datentrennung Datensparsamkeit und Zweckbindung beim Data Mining umgesetzt werden T tigkeitsbericht 2011 des ULD SH 105 6 6 6 6 1 6 6 2 106 Systemdatenschutz Ergebnisse aus berpr fungen und Kontrollen vor Ort Kooperative Regionalleitstelle Nord in Harrislee Das ULD pr fte in Zusammenarbeit mit dem Innenministerium die Koope rative Regionalleitstelle in Harrislee und stellte teilweise erhebliche M ngel fest Deren Behebung wird vom Innenministerium begleitet Es ist eher ungew hnlich dass eine Daten verarbeitende Stelle um eine daten schutzrechtliche und sicherheitstechnische Pr fung bittet Das Innenministerium ist diesen ungew hnlichen Weg gegangen um eine zus tzliche Kontrolle der sicherheitstechnischen Absicherung und der Datenschutzaspekte in der Leitstelle durchzuf hren Die Kooperative Regionalleitstelle KLRS Nord ist eine gemein same Einrichtung der Landespolizei und der Kreise Nordfriesland und Schles wig Flensburg sowie der Stadt Flensburg Darin wurden die polizeilichen und nicht polizeilichen Leitstellen zusammengefasst Polizeiliche und nicht polizeili che Aufgaben werden bei gemeinsamer Nutzung der baulichen und technischen Einrichtungen organisatorisch getrennt wahrgenommen B
281. ufzubewahren Ferner wird in dem Unter T tigkeitsbericht 2011 des ULD SH 77 78 Datenschutz in der Wirtschaft nehmen ein Global Positioning System GPS eingesetzt ber das die Standort daten f r die Empf nger der Lieferungen abrufbar waren um den jeweiligen Lieferstatus zu ermitteln Nach den Darlegungen des Unternehmens werden die Standortdaten nicht mit personenbezogenen Fahrerdaten verkn pft Es erfolge keine Nutzung des Systems zur Mitarbeiter berwachung Gleichwohl lassen sich die Standortdaten aus dem GPS mit den personenbezoge nen Fahrerdaten aus den Fahrtenschreibern verkn pfen Wir forderten das Unter nehmen auf eine Unternehmensregelung zu treffen die sicherstellt dass kein Personenbezug hergestellt wird und keine Verhaltens und Leistungskontrolle von Arbeitnehmern erfolgt Das Unternehmen kam dem nach Die Regelung erfolgte nicht als Betriebsvereinbarung da kein Betriebsrat vorhanden war und zu dessen Einsetzung auch keine gesetzliche Pflicht bestand 32 TB Tz 5 6 1 Was ist zu tun Mit GPS kann der Arbeitgeber Leistungskontrollen gegen ber seinen Besch f tigten vornehmen Die dabei erhobenen Standortdaten sind personenbeziehbar F r deren Verarbeitung bedarf es einer Rechtsgrundlage Hierf r kommen Betriebsvereinbarungen aber auch das allgemeine Gesetz mit einer Selbst bindung des Unternehmens in Betracht Friseure unter Kontrolle Eine Friseurkette stattete Gesch fte mit Videokameras aus die
282. ungen als Angebot aufzunehmen https www privacyos eu Was ist zu tun Die Vernetzung und Kommunikation unter den Akteuren ist weiter zu verbes sern um einen proaktiven Datenschutz in privaten und ffentlichen Organisa tionen zu unterst tzen und umzusetzen T tigkeitsbericht 2011 des ULD SH 123 9 1 9 1 1 124 Audit und G tesiegel Datenschutz Audits Audit und G tesiegel BSI Zertifizierung f r die Kreisverwaltung Pl n Der Kreis Pl n ist der erste Landkreis in Schleswig Holstein dessen IT Sicherheitsmanagement vom Bundesamt f r Sicherheit in der Informa tionstechnik zertifiziert wurde Die Kreisverwaltung Pl n ist unter den Kommunen des Landes schon lange ein Vorreiter im Bereich Datenschutz und IT Sicherheit Die Basisinfrastruktur der Kreisverwaltung ber die zentrali siert alle Fachverfahren und die Kom munikation mit anderen Netzen z B dem Internet und dem Kreisnetz abge wickelt werden wurde nach den IT Grundschutzstandards des Bundes amtes f r Sicherheit in der Informa Piso 27001 J Internationale Norm f r das Manage ment von IT Sicherheit gt ISO 27001 auf der Basis e von IT Grundschutz Kombination der Vorgaben der Norm ISO 27001 f r das Sicherheits management mit detaillierten mate riellen Sicherheitsma nahmen der tionstechnik BSI ausgerichtet Sie e runka ao umfasst den zentralen Betrieb aller Anwendungsprogramme auf Terminal servern und die Datens
283. ungen personenbezogener Daten wurden vom ULD kritisch gesehen 31 TB Tz 12 1 32 TB Tz 12 2 Der Europ ische Gerichtshof hat nun nach Vorlage durch ein deutsches Gericht entschieden dass die Rechtsvorschriften die eine Ver ffentlichung der Namen nat rlicher Personen die Empf nger derartiger Beihilfen sind vorschreiben teil weise ung ltig sind Diese Verpflichtung zur Ver ffentlichung verletzt das Recht auf den Schutz personenbezogener Daten Zuk nftig d rfen die Empf nger von EU Agrarsubventionen nicht mehr in der bisherigen Form ver ffentlicht werden T tigkeitsbericht 2011 des ULD SH Informationsfreiheit Eine Ver ffentlichung zu nat rlichen Personen darf lediglich in anonymisierter Form erfolgen Was ist zu tun Die Ver ffentlichung der Daten zu EU Subventionen sind inzwischen daten schutzkonform gestaltet An dieser normativ abzusichernden Praxis muss fest gehalten werden T tigkeitsbericht 2011 des ULD SH 159 13 160 DATENSCHUTZAKADEMIE Schleswig Holstein DATENSCHUTZAKADEMIE Schleswig Holstein Die Fortbildungsangebote der DATENSCHUTZAKADEMIE Schleswig Holstein bieten qualifizierte und kosteng nstig ma geschneiderte Unterst t zung f r optimale Datenverarbeitung und IT Sicherheit in Verwaltung und Betrieben in sozialen schulischen und medizinischen Einrichtungen DATENSCHUTZAKADEMIE Schleswig Holstein Elf Absolventen des neuen Power Lehrgangs Datenschutz amp Daten sicherheit
284. ungen zu beachten T tigkeitsbericht 2011 des ULD SH Polizei und Verfassungsschutz 4 2 10 Verfassungsbeschwerden gegen das Bundeskriminalamtgesetz Im Jahr 2008 sind neue Regelungen im Bundeskriminalamtgesetz BKAG in Kraft getreten Dem Bundeskriminalamt werden erstmals Aufgaben und Befugnisse zur Gefahrenabwehr zugewiesen Das ULD hat gemeinsam mit den Datenschutzbeauftragten der L nder zu zwei dagegen gerichteten Beschwerden vor dem Bundesverfassungsgericht Stellung genommen Mit der F deralismusreform I ist dem Bundeskriminalamt BKA im Grundgesetz die Zust ndigkeit f r die Abwehr von Gefahren des internationalen Terrorismus in bestimmten F llen bertragen worden Die neuen Vorschriften im BKAG regeln die Erf llung dieser Aufgabe und verleihen dem BKA die hierf r sehr weitreichenden Befugnisse Sie umfassen s mtliche im Polizeirecht bekannten verdeckten Ermittlungsma nahmen u a verdeckte akustische und optische Wohnraum berwachungen Telekommunikations berwachungen die Rasterfahn dung und die sogenannte Online Durchsuchung teilweise unter Missachtung der verfassungsrechtlichen Anforderungen Wir haben im verfassungsgerichtlichen Verfahren insbesondere folgende Kritikpunkte hervorgehoben e Der Schutz des Kernbereichs privater Lebensgestaltung ist nicht ausreichend gew hrleistet F r einige schwerwiegende Eingriffe sind keine Vorkehrungen zu dessen Schutz getroffen worden so z B bei der akustischen berwachung au
285. ungsaustausch und die Weiterentwicklung der Qualit tskriterien f r Webshops Es ist Beschwerdestelle bei Beschwerden ber durch die G tesiegel anbieter zertifizierte Shopbetreiber Daneben geht es um die Koordination und Durchf hrung von Projekten Veranstaltungen und Kampagnen zur F rderung von Internetg tesiegeln und die Stellungnahme zu politischen Initiativen wie z B zur von der Bundesregierung geplanten Stiftung Datenschutz Das ULD tr gt mit seinem Expertenwissen zur Verbreitung des Datenschutzes bei E Commerce Angeboten bei etwa beim Einsatz von Analysewerkzeugen der Shopanbieter oder bei der Auswertung der Profile von Internetnutzern f r Werbe zwecke Was ist zu tun Das G tesiegel Board sollte den Gedanken des Verbraucher und Datenschutzes und den der Zertifizierung bei Angeboten im Internet weiterentwickeln und praktisch begleiten T tigkeitsbericht 2011 des ULD SH 10 10 1 Aus dem IT Labor Google Analytics Nach anhaltenden Beschwerden ber das Tracking System Google Analy tics hatte Google im M rz 2010 die Entwicklung eines globalen browser Aus dem IT Labor basierten Plug ins angek ndigt Das Ergebnis bleibt ungen gend Im Mai 2010 war es so weit Google hob das Deaktivierungs Add on f r Browser von Google Analytics BETA aus der Taufe Nutzer k nnen sich diese Browsererweiterung herun terladen die automatisch und ohne weitere Konfiguration eine Daten ber mittlung an
286. ungspr f fristen im Rahmen einer dreij hrigen Evaluierung Die bisherige Frist nach der Errichtungsanordnung betr gt in der berwiegenden Zahl der F lle bis zu f nf T tigkeitsbericht 2011 des ULD SH 35 36 Polizei und Verfassungsschutz Jahren Zur Vermeidung von Frist berschreitungen sind wir mit dem Innenminis terium und der Polizei bereingekommen dass f r die Dauer der Evaluierung eine dreij hrige Aussonderungspr ffrist gelten soll Konstruktive Kooperation bei Entwicklung von Data Warehouse Konzepten Data Warehouse ist in der modernen Informationstechnik l ngst kein Zauberwort mehr So verwundert es nicht dass die Polizei bei neuen Verfahren diese Art der Informationsverarbeitung einsetzt Ein Datenbestand steht f r die Verarbeitung f r verschiedene Zwecke bereit und kann entsprechend den polizeilichen Bed rf nissen genutzt werden Die Projektgruppe rtus Auswertung erkannte fr hzei tig dass das Konzept eines Data Warehouse besondere Beeintr chtigungen des Rechts auf informationelle Selbstbestimmung mit sich bringen kann In einer kleinen Arbeitsgruppe unter Beteiligung des Innenministeriums und des ULD wird dies n her untersucht Beteiligt sind zudem Teilnehmer aus dem Projekt rtus Auswertung vom Dienstleister Dataport und f r die Polizei Schleswig Holstein t tige Softwareentwickler Aus Sicht der Arbeitsgruppe sind technische L sungen f r den Einsatz eines Data Warehouse auf der Basis der
287. unkte f r eine wirtschaftliche Verflechtung und damit f r ein einheitliches Vertragswerk vorliegen Der Fragebogen war nicht zu beanstanden da darin f r den Fall fehlender Bebauungsabsicht darauf hingewiesen wurde dass keine Auskunftspflicht besteht Die Fragen zur steuerlichen Ermittlung z B zu den Angeboten des bauausf hrenden Unternehmens oder des Grundst cksver u Berers erwiesen sich als geeignet und erforderlich Was ist zu tun Frageb gen sind so zu gestalten dass nur die zur steuerlichen Ermittlung erfor derlichen Ausk nfte eingeholt werden T tigkeitsbericht 2011 des ULD SH 4 8 2 4 9 4 9 1 Ausl nderverwaltung Mitgliedsdaten eines Vereins Bei einer Betriebspr fung eines gemeinn tzigen Vereins kann sich das Finanzamt zur Kontrolle der Mitgliedsbeitr ge die Namen und identifizie rende Angaben der Mitglieder vorlegen lassen nicht aber deren Telefon nummern Im Rahmen einer Betriebspr fung forderte ein Finanzamt von einem Verein die bersendung einer Mitgliederliste Die Liste enthielt neben den Daten der Mitglieder auch Angaben zu den Anschriften und den privaten Telefonnummern der Mitglieder Die Frage war inwieweit die Daten zur Erf llung der Pr fungs aufgaben erforderlich waren Die Betriebspr fung sollte insbesondere kl ren ob f r den Verein die Gemeinn tzigkeit erhalten bleibt Dabei muss die satzungs gem e Mittelverwendung gepr ft werden Eine K rperschaft verfolgt gemeinn tzige Z
288. unt als ihn ein selbstst ndiger Finanzberater anschrieb Der Brief enthielt kein allgemeines Werbeschreiben sondern das ausgef llte Formblatt K ndigung einer Spareinlage Alle Daten von Namen Anschrift und Geburtsdatum ber Kontonummer bis zur H he der Spareinlage waren schon eingetragen Wie konnte der Finanzberater an die Daten des Bank kontos gelangt sein Dieser war f r eine Finanzberatungsgesellschaft t tig welche ein Tochterunternehmen der kontof hrenden Bank war und die Aufgabe des Finanzvertriebs bernahm Die Finanzberatungsgesellschaft griff hierf r auf viele als selbstst ndige Handelsvertreter agierende Finanzberater zur ck Der selbstst ndige Finanzberater hatte die Kontodaten des Bankkunden von der Finanzberatungsgesellschaft erhalten Das ULD beanstandete die Nutzung der Kontodaten durch den selbstst ndigen Finanzberater zu Vertriebszwecken f r die es keine Rechtsgrundlage gab Angaben zu Kontobewegungen sind besonders sensible Daten Die Abbuchung des Partei oder Gewerkschaftsbeitrags einer Spende an den Verein zur F rderung von AIDS Pr vention und die Begleichung T tigkeitsbericht 2011 des ULD SH 89 90 5 8 4 Datenschutz in der Wirtschaft der Rechnung des Lungenspezialisten erlauben beispielsweise tiefe R ckschl sse auf den Privatbereich des Kontoinhabers Viele solche freiberuflichen Au endienstmitarbeiter hatten Zugriff auf Kunden datens tze mit Kontoinformationen Der f r di
289. uren Angaben ber Personen die eigentlich nicht im Visier der Verfassungsschutz oder Polizeibeh rde stehen werden gespeichert und sind zu recherchieren Der Kreis der rechtm ig Erfassten wird um eine T tigkeitsbericht 2011 des ULD SH 39 40 4 2 8 Polizei und Verfassungsschutz unbestimmte Zahl weiterer Personen erweitert die aus irgendeinem Anlass im Zusammenhang mit einer Zielperson in einem Dokument genannt sind Gesetz liche Regelungen die eine abschlie ende Aufz hlung der Kategorien von Daten zu bestimmten Personen vorsehen werden so unterlaufen Die Auswirkungen f r die Betroffenen k nnen in der Praxis erheblich sein und zu betr chtlichen Nach teilen f hren Die Konferenz der Datenschutzbeauftragten des Bundes und der L nder hat hierzu eine Entschlie ung gefasst die im Internet abrufbar ist unter http www bfdi bund de SharedDocs Publikationen Entschliessungs sammlung DSBundLaender 80DSK_ VolltextsucheSicherheitsbeh C3 B6rden pdf blob publicationFile NADIS neu Datensch tzer auch hier nicht erw nscht Das gemeinsame Informationssystem der Verfassungsschutzbeh rden des Bundes und der L nder NADIS wird mit hohem finanziellen und techni schen Aufwand neu gestaltet Es soll im n chsten Jahr in Wirkbetrieb gehen Die Umsetzung des Datenschutzes beim neuen Verfahren ist ein selbst vor Datensch tzern geh tetes Geheimnis Die Verfassungsschutzbeh rden haben sich unter Federf hrung des Bundesamt
290. usge richtet werden Die Betroffenenrechte sind zu st rken Die Einwilligung soll ihrem eigentlichen Sinn entsprechend eine freiwillige Willenserkl rung sein Insbesondere im Hinblick auf das Internet und die dadurch drohenden Gef hr dungen schl gt das Papier spezifische bestimmte Ma nahmen vor Dazu geh rt Privacy by Default d h Internetdienste m ssen in der Grundeinstellung standardm ig ein Optimum an Datenschutz bieten von dem nur durch Einzel entscheidung des Nutzers abgewichen werden kann Das ULD leistete zu dem Eckpunktepapier Beitr ge zur Verbesserung und Effek tivierung der Datenschutzkontrolle z B durch nderungen im Bundesdaten schutzgesetz BDSG welche die Aufsichtsbeh rden in die Lage versetzen eine wirksame Kontrolle der Datenverarbeitung durchzuf hren und gegebenenfalls angemessene Sanktionen zu verh ngen Auch nach den k rzlichen nderungen im BDSG gibt es weiterhin erheblichen Nachholbedarf Es ist zu hoffen dass das Papier die Datenschutzgesetzgebung der kommenden Jahre auf Bundes und Landesebene beeinflussen und pr gen wird http www baden wuerttemberg datenschutz de service gem materialien modernisierung pdf Eine rote Linie und ein Kodex Die Suche nach einem Datenschutzrecht f r das Internet erreichte kurz vor dem IT Gipfel der Bundesregierung Ende 2010 ihren H hepunkt in einem Gesetzesvorschlag des Bundesinnenministers und einem Selbstregulierungs vorschlag des Branchenverbandes
291. ust n dige oberste Fachaufsichtsbeh rde bernimmt danach die sogenannte Verfah rensverantwortung und ist damit zust ndig f r fachliche Vorgaben gegen ber T tigkeitsbericht 2011 des ULD SH 29 30 Allgemeine Verwaltung Dataport f r Test und Freigabe des Verfahrens sowie f r die Kontrolle des rechtm igen Betriebs der Personenstandsregister Bei den Kommunen verbleibt die sogenannte Datenverantwortung Sie sind verantwortlich dass die in den Registern gespeicherten Daten richtig und vollst ndig sind und im Rahmen der Konfiguration des Verfahrens vor Ort nur berechtigte Personen Zugang zu den Daten erhalten Damit wurde erstmals eine L sung f r ein zentral betriebenes Verfahren gefunden die die Verantwortlichkeit f r die Datenverarbeitung praxis gerecht verteilt Was ist zu tun Bei landesweiten zentralen Verfahren sollte die Landesregierung ebenso wie bei ausschlie lich elektronischer Datenverarbeitung z B bei der melderechtlichen Spiegeldatenbank oder bei der elektronischen Personalakte einheitliche Stan dards festlegen Die Regelungen im Personenstandswesen haben insofern Vorbildcharakter insbesondere bei der Organisation der Auftragsdatenverarbei tung Rabatte f r Arzneimittel auch f r Beihilfestellen Durch das Arzneimittelrabattierungsgesetz k nnen jetzt auch die Beihilfe stellen des ffentlichen Dienstes Rabatte auf Arzneimittel erstattet bekom men soweit sie entsprechende Beihilfeaufwendungen erbr
292. von der Art der Recherche und von der Gruppe der Nutzer modifizierte Leserechte auf den Datenbestand vorsehen Der normale Ermittlungsbeamte kann im Rahmen der ihm zugestan denen Recherche nur die Vorg nge seiner Dienststelle und die Vorgangsrumpf daten fremder Polizeidienststellen sehen Dem Super User im LKA der sehr spezielle Recherchen durchf hren kann stehen k nftig Auswertetools zur Verf gung die einen Blick auf den Gesamtdatenbestand erlauben Der LKA Experte erh lt einen Datenzugriff zwischen dem des Ermittlungsbeamten und dem des Super Users Unter dem Aspekt dass die Polizei im Rahmen der rechtlichen Grenzen ihren Datenbestand effektiv nutzen k nnen muss haben wir keine grundlegenden Bedenken erhoben Doch forderten wir neben einer umfassenden Protokollierung eine Qualit tspr fung der Daten aus rtus VBS die Grundlage der Recherchen sind hinsichtlich Geeignetheit und Erforderlichkeit F r diese Pr fung sollte die Polizei ein technisches Verfahren entwickeln das sich z B an den den jeweiligen Sachverhalt erfassenden Strafnormen orientiert und das ber einen Straftaten katalog pauschalierte Zuordnungen zul sst Die Relevanz der Datens tze f r den eigenen Recherchezweck muss vom Sachbearbeiter im Einzelfall beurteilt werden Der mit der Relevanzpr fung verbundene Aufwand ist vertretbar und auch im Interesse des Grundrechtsschutzes angemessen Wir forderten weiterhin die Festlegung gesetzeskonformer Aussonder
293. vorgesehene Routine einge schaltet Dadurch erhielt die H lfte der Frauen deren Befundmitteilung an einem bestimmten Tag verschickt wurde nicht nur ihren eigenen Befund sondern auf einem zweiten Blatt den Befund einer anderen Frau Die andere H lfte der betroffenen Frauen bekam gar keine Mitteilung Im Nachhinein lie sich nicht mehr kl ren welche Frauen jeweils betroffen waren Eine Neuregelung des Bundesdatenschutzgesetzes verpflichtet verantwortliche Stellen die Datenschutzaufsichtsbeh rde sowie die betroffenen Personen ber einen solchen Versto zu informieren wenn es hierbei zur unrechtm igen Kenntniserlangung von Daten durch Dritte gekommen ist und schwerwiegende Beeintr chtigungen f r die Rechte oder schutzw rdigen Interessen der Betroffe nen drohen Wie vorgesehen informierte die Screening Einheit das ULD und auch die betroffenen Frauen ber den Zwischenfall T tigkeitsbericht 2011 des ULD SH 4 6 8 Schutz des Patientengeheimnisses Als Reaktion wurde zur Vermeidung k nftiger gleichartiger Vorf lle die Programmierung so ge ndert dass nur noch die Routine zur Versendung von einem Blatt zur Verf gung steht Da die Daten verarbeitende Stelle wie gesetzlich vorgesehen eine Meldung ber den Vorfall an das ULD abgab kam eine weitere Sanktionierung z B durch ein Bu geld nicht mehr in Betracht Insoweit profitieren die verantwortlichen Stellen von der sogenannten Security Breach Notification wenn sie diese or
294. wecke wenn ihre T tigkeit darauf gerichtet ist die Allgemeinheit auf materiellem geistigem oder sittlichem Gebiet selbstlos zu f rdern Die praktizierte Gesch ftsf hrung der K rperschaft muss auf die ausschlie liche und unmittelbare Erf llung der steuerbeg nstigten Zwecke gerichtet sein und den Bestimmungen entsprechen die die Satzung ber die Voraussetzungen f r Steuerverg nstigungen enth lt In diesem Zusammenhang pr ft die Finanzverwaltung die vollst ndigen Namen von Mitgliedern eines Vereines und die satzungsgem e Mittelverwendung um die Voraussetzungen der Gemeinn tzigkeit zu untersuchen Die Vollst ndigkeit der Mitgliedsbeitr ge kann nur durch Pr fung der Mitglie derlisten erfolgen Erforderlich ist insoweit die Bekanntgabe von Vornamen und Familiennamen der Mitglieder Anschrift sowie Datum des Eintritts und gegebe nenfalls des Austritts aus dem Verein nicht jedoch von privaten Telefonnum mern Was ist zu tun Finanz mter m ssen bei ihren Pr fungen darauf achten dass sie nur die erfor derlichen Daten erheben Ausl nderverwaltung EU B rger im Ausl nderzentralregister Ungeachtet des Grundsatzes der Freiz gigkeit innerhalb der Europ ischen Union werden Daten ber B rgerinnen und B rger aus Mitgliedstaaten der Europ ischen Union im Ausl nderzentralregister entgegen einer Entschei dung des EuGH ebenso gespeichert wie Daten ber Drittstaatsangeh rige Der Europ ische Gerichtshof EuGH hat En
295. wingend erforderlich Das ULD fordert dass im Tagesgesch ft mit personalisierten Benutzerkonten ohne administrative Rechte gearbeitet wird Die administrativen Rechte sollen nur anlassbezogen und gezielt erteilt werden Wir empfehlen personalisierte und aufgabenbezogene Administrationskonten deren Rechteprofil restriktiv zusam mengesetzt ist Sprechen gewichtige Gr nde gegen die Nutzung personalisierter Administrations konten so ist die Verwendung eines anonymen Administrationskontos nur akzep T tigkeitsbericht 2011 des ULD SH Systemdatenschutz tabel wenn andere Ma nahmen die Zuordnung zu einer Person erm glichen Als Beispiel k nnen sich Administratoren h ufig fallweise administrative Rechte ber Befehle wie sudo bei Unix Systemen oder Ausf hren als bei Windows Systemen verschaffen Die Nutzung dieser Funktionen muss nachvoll ziehbar dokumentiert werden Das Anlegen eines lokalen anonymen Ei ae Administrationskontos muss dadurch Er gerechtfertigt sein dass Systeme im A r y Notfall administrierbar sein m ssen rer Die Gr nde und das Vorgehen zur Dokumentation sind in solchen F llen fy Ar A m e N No La i jeweils schriftlich im Administrations Er 1 bzw Sicherheitskonzept sowie in der NN Bes N gt T ECA Systemakte darzulegen i NS Die Vorgaben f r die Verwendung eines anonymen Administrationskon i tos sind 7 e cine hinreichende Protokollierung und Kontrolle e
296. wohl der internen Orientierung als auch der Kommunikation des Selbstverst ndnisses und der Vorgehensweise des ULD nach au en Das Konzept wurde im Rahmen eines dienststelleninternen mehrstufigen Diskur ses erstellt Eine berpr fung der einzelnen Bereiche des ULD erbrachte das erfreuliche Resultat dass die Grundausrichtung der bisherigen Arbeit den Anfor derungen und Bed rfnissen schon in weitem Ma e entspricht Dennoch sind weitere Justierungen angezeigt Dies gilt zun chst unzweifelhaft f r die Notwendigkeit einer Modernisierung des Rechtsrahmens auf Landes auf Bundes und auf internationaler Ebene Tz 1 1 Tz 2 1 bis Tz 2 3 Bei der Aufgabenwahrnehmung kann durch Standardisie rungen eine noch h here Effizienz erreicht werden Die M glichkeiten von Kooperationen und zur Arbeitsteilung sind noch nicht ausgesch pft Die inhalt liche Ausrichtung auf internationale Fragen und auf die Schnittmengen zum Verbraucherschutz muss vertieft werden Die Verschr nkung der IT Planung im Land und eines weiter zu etablierenden Datenschutzmanagements kann nicht nur zur Erh hung des Datenschutzniveaus sondern auch der Kosteneffizienz genutzt werden Die Potenziale der Informationstechnik IT im ULD selbst lassen sich besser nutzen Die Eigenfinanzierung des ULD sollte angesichts der prek ren Haushaltslage weiterentwickelt und auch zu einer verbesserten Absicherung der dadurch geschaffenen zus tzlichen Arbeitspl tze genutzt werden Dabei spie
297. wollen Positions und Verhaltensmuster der Anwender sind insbesondere f r Werbedienste interessant die auf die Vorlieben der Nutzer zugeschnittene Anzeigen ausliefern wollen Nur selten wird f r solche Auswertungen ein explizites Einverst ndnis eingeholt Was ist zu tun Smartphones m ssen sich auch aktivieren und nutzen lassen ohne dass perso nenbezogene Daten an die Hersteller bermittelt werden Hersteller von Smartphones und Applikationen m ssen die Sicherheitskonzepte f r ihre Architekturen offenlegen und auf gefundene Fehler schnell mit Updates reagieren Nutzer m ssen die M glichkeit haben installierten Anwendungen die Zugriffs rechte auf Netzwerk Kamera usw auch einzeln zuzuweisen oder zu entziehen Werden Smartphones von Beh rden und Unternehmen eingesetzt so m ssen f r die Datenspeicherung auf dem Ger t und die Daten bertragung per Netz offen gelegte und von unabh ngigen Stellen als sicher anerkannte Ende zu Ende Verschl sselungsmechanismen genutzt werden Ein Zugriff von Herstellern Diensteanbietern und Netzbetreibern auf die Daten ist auszuschlie en Faxger te Faxger te gelten aus technischer Sicht mit ihrer Punkt zu Punkt Verbin dung als hinreichend sicher F r eine sichere bertragung personenbezoge ner Daten sind jedoch zus tzliche organisatorische Ma nahmen notwendig Wie jedes andere technische Ger t ist das Faxger t damit ist zun chst das ein fache Stand alone Ger t gem
298. zialwerte f r jede T tigkeitsbericht 2011 des ULD SH 31 32 4 2 Polizei und Verfassungsschutz Dachfl che individuell und hochaufl send enth lt Eine zweite im Internet ver ffentlichte Version stellt auf einer Stadtkarte mit dem Ma stab 1 10 000 die Dachfl chen lediglich in Eignungsgraden eingestuft dar Damit soll dem ffent lichen Interesse an einer allgemeinen Einsch tzung des Potenzials f r die Erzeu gung von Solarenergie in Kiel Rechnung getragen werden ohne dass die Betrof fenen berm ig in ihren Rechten beeintr chtigt werden Das interne Kataster kann den Betroffenen Unterst tzung bei der Entscheidung f r die Installation einer Solaranlage bieten Um spezifischen Schutzbed rfnissen Einzelner und den Anforderungen des Landesdatenschutzgesetzes Rechnung zu tragen sieht die Satzung ein Wider spruchsrecht vor Eigent merinnen und Eigent mer oder anderweitige Rechte inhaber k nnen gegen die Ver ffentlichung Widerspruch erheben mit der Folge dass die Darstellung der jeweiligen Dachfl chen unterbleibt oder nachtr glich entfernt wird Um dieses Recht rechtzeitig wahrnehmen zu k nnen muss die Stadt die ffentlichkeit sechs Wochen vor der Webpr sentation ber das Solar dachkataster und das Widerspruchsrecht in der Lokalpresse informieren Was ist zu tun Bei der Entwicklung und dem Einsatz von Geoinformationssystemen m ssen die verantwortlichen Stellen Datenschutzbelange fr hzeitig in die Planung ei
299. zu ber cksichtigen Nicht zu empfehlen ist die Zwischenschaltung eines Treuh nders der etwaige Widerspr che der Vereinsmitglieder gegen eine bermittlung ihrer Daten entge gennehmen pr fen und bearbeiten soll Denn f r eine bermittlung der Mitglie derliste vom Verein an den Treuh nder besteht in der Regel keine Rechtsgrund lage Der Treuh nder w re zudem selbst f r die Datenverarbeitung verantwortlich und unterl ge einer Vielzahl von Pflichten auch im technischen und organisatori schen Bereich Der Verein sollte selbst eine Pr fung vornehmen inwiefern die Mitgliederdaten an ein Vereinsmitglied bermittelt werden d rfen Er sollte Verfahren einrichten mit denen eine vom Vorstand unbeeinflusste Willens bildung im Verein m glich ist Was ist zu tun Der Vereinsvorstand pr ft bei Verlangen eines Vereinsmitgliedes auf bersen dung einer Mitgliederliste ob hierf r Einwilligungen der Mitglieder vorliegen und ob ein konkretes mitgliedschaftliches Begehren dargelegt wurde Wider spr che der Mitglieder sind zu beachten Von der Einsetzung eines Treuh nders ist abzuraten T tigkeitsbericht 2011 des ULD SH 85 86 5 7 Datenschutz in der Wirtschaft Smart Meter Seit Januar 2010 verpflichtet das Energiewirtschaftsgesetz Energieversor gungsunternehmen bei Neubauten und Umbauten zur Verbesserung der Energiebilanz sogenannte intelligente Z hler zur Messung der verbrauchten Energiemenge einzubauen bzw anzubieten
300. zungen bertragen werden k nnen wie z B Hepatitis und HIV Gerade bei HIV und Hepatitis muss das Interesse des Patienten auf informatio nelle Selbstbestimmung besonders beachtet werden Auch der Gesetzgeber hat erkannt dass eine HIV Erkrankung zu einer besonderen Stigmatisierung des Betroffenen f hren kann und hat auf eine namentliche Meldepflicht im Informa tionsschutzgesetz verzichtet Das Interesse des Patienten berwiegt gegen ber dem bestehenden Restrisiko einer Infektion Wichtig ist die Beachtung der vorge schriebenen Schutzma nahmen durch das medizinische Personal Was ist zu tun Das den Patienten entlassende rztliche Personal muss entscheiden ob und inwieweit der Rettungsdienst ber eine Infektionskrankheit informiert wird Der konkrete Erreger ist nur bei hochinfekti sen und gef hrlichen Infektionskrank heiten zu benennen T tigkeitsbericht 2011 des ULD SH 59 60 4 6 4 4 6 5 Schutz des Patientengeheimnisses Die wundersame Datenmehrung bei der Trennung von Gemeinschaftspraxen Streit kann auch bei rzten entstehen die sich zur Berufsaus bung zusam mentun Die Trennung von Gemeinschaftspraxen wirft oft datenschutzrecht liche Probleme auf Patienten einer von mehreren rzten betriebenen Gemeinschaftspraxis haben den Vorteil in Urlaubszeiten einen leidlich bekannten medizinischen Ansprechpartner zu haben Der Behandlungsvertrag gilt rechtlich zwischen dem Patienten und s mtlichen in der Gemein

Tätigkeitsbericht 2011 - Unabhängiges Landeszentrum für

Contents

Download Pdf Manuals

Related Search

Related Contents

T&auml;tigkeitsbericht 2011 - Unabh&auml;ngiges Landeszentrum f&uuml;r

Contents

Download Pdf Manuals

Related Search

Related Contents

Tätigkeitsbericht 2011 - Unabhängiges Landeszentrum für