Foren-Archiv von www.recht.de

[Karokästchen]

Verein V betreibt einen Web-Server im Internet, über den man über ein Web-Formular dem Verein beitreten kann. Dabei werden die personenbezogenen Daten des neuen Mitglieds (Name, Adresse, Geburtsdatum, E-Mail und evtl. Kontonummer) auf dem Server gespeichert. Es gibt mehr als 4 Admins, die prinzipiell Zugang zu diesen Daten haben, aber in der Regel nicht darauf zugreifen. Braucht der Verein V einen Datenschutzbeauftragten?

[Michael A. Schaffrath]

§36 I BDSG:

"Die nicht-öffentlichen Stellen, die personenbezogene Daten automatisiert verarbeiten und damit in der Regel mindestens fünf Arbeitnehmer ständig beschäftigen, haben spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit einen Beauftragten für den Datenschutz schriftlich zu bestellen. Das gleiche gilt, wenn personenbezogene Daten auf andere Weise verarbeitet werden und damit in der Regel mindestens zwanzig Arbeitnehmer ständig beschäftigt sind."
_________________
DefPimp: Mein Gott
Biber: Nö, war nur M.A.S. Aber hier im Forum ist das schon ziemlich dicht dran.

War mein Beitrag hilfreich? Bewerten Sie ihn durch Klick auf die grünen Punkte links unter meinem Namen.

[Karokästchen]

Vielen Dank. Mir ist jetzt aber nicht klar, wie das fett gedruckte in diesem Fall zu verstehen ist. Ich konkretisiere meine Frage:

1. Gelten Personen mit Server-Root-Rechten oder andere, die prinzipiell auf die Daten zugreifen könnten, als mit der Datanverarbeitung "beschäftigt"? Oder sind damit nur Personen gemeint, die wirklich mit den Daten arbeiten?

2. Was heißt "damit in der Regel mindestens fünf Arbeitnehmer ständig beschäftigen"? Heißt das, dass es insgesamt mind. 5 Personen gibt, die sich u.U. abwechselnd mit der Verarbeitung beschäftigen oder ist gemeint, dass sich ständig mind. 5 Personen gleichzeitg damit beschäftigen?

[Michael A. Schaffrath]

ad 1.

Ich würde ersteres vermuten. Der Sinn des Datenschutzbeauftragten ist ja gerade, ab einer gewissen Anzahl von Mitarbeitern, die auf die Daten Zugriff haben, für die Einhaltung der Datenschutzbestimmungen zu sorgen.

ad 2.

Ich würde ersteres vermuten, solange mit "abwechselnd" gemeint ist, daß die Verarbeitung trotzdem reguläre Aufgabe der Betreffenden ist und sie sich nicht nur turnusmäßig die Aufgabe teilen ("heute macht Frau Wachter den Admin, morgen Herr Geppel und Frau Schlüter macht die Vertretung").
_________________
DefPimp: Mein Gott
Biber: Nö, war nur M.A.S. Aber hier im Forum ist das schon ziemlich dicht dran.

War mein Beitrag hilfreich? Bewerten Sie ihn durch Klick auf die grünen Punkte links unter meinem Namen.

[Karokästchen]

Danke für Ihre Einschätzung. Um möglichst viele Aspekte des Sachverhalts auszuloten, hier noch einige Gedanken zu Frage 1:

zu 1. Wenn ich das auf Daten, die in Papierform in Aktenordnern lagern, anwende, müsste man auch die Beschäftigten der Putzkolonne zu den 20 Personen zählen, die Zugriff auf die Daten haben. Sebstversändlich ist es ihnen untersagt, an die Aktenschränke zu gehen und Ordner zu öffnen, aber prinzipiell könnten sie es. So sehe ich es auch mit Admins, die Server-Root-Rechte haben. Ihre Aufgabe besteht darin, für einen reibungslosen technischen Ablauf des Serverbetriebs zu sorgen, nicht jedoch darin, auf die Migliederdatenbank zuzugreifen. Dennoch könnten sie aus serverseitig abgelegten PHP-Skripten das Zugangspasswort für die Mitgliederdatenbank auslesen und sich dadurch Zugang zur Datenbank verschaffen.

[System]

Hallo,

Ein Datenschutzbeauftragter (DSB) ist für eine Behörde oder nicht-behördliche Organisation, für den Datenschutz verantwortlich. Die Person kann Mitarbeiter der Organisation sein oder als Externer Datenschutzbeauftragter bestellt sein.

Die Aufgaben und Tätigkeit eines Datenschutzbeauftragten wird in Deutschland in § 4f und § 4g des Bundesdatenschutzgesetzes (BDSG) sowie den entsprechenden landesrechtlichen Vorschriften geregelt.

Demnach sind öffentliche Stellen (beispielsweise Behörden) und nicht-öffentliche Stellen (beispielsweise Firmen, Vereine, Rechtsanwaltskanzleien, Arztpraxen, Steuerkanzleien) verpflichtet, einen Datenschutzbeauftragten zu bestellen, wenn sie personenbezogene Daten erheben, verarbeiten oder nutzen (z. B. Arbeitnehmerdaten in der Personalabteilung, Kunden- und Interessentendaten). Bei nicht-öffentlichen Stellen setzt diese Verpflichtung erst ein, wenn mindestens fünf Personen mit der Verarbeitung dieser Daten beschäftigt sind oder Zugriff auf diese Daten haben (bei einer nicht automatisierten Datenverarbeitung greift die Vorschrift erst ab 20 Beschäftigten).

Zu Ihrer Einschätzung Karokästchen diese kann man so nicht sehen, das die Admins sich darann zu schaffen machen. Wenn das nämlich so wäre dann hätten Sie aber schlechte Admins ein guter Admin macht sowas nicht bzw. plaudert sowas auch nicht aus. Gegen das gucken kann man nichts machen aber ich denke nicht das jemand mit den privaten Daten anderer was tun wird. Warum sollte er?
_________________
Mit freundlichen Grüßen

Die abgebene Antwort ist nur meine persönliche Meinung bzw. persönliches Wissen. Keine Rechtsberatung und nicht verbindlich. Sollte meine Meinung geholfen haben, so klicken Sie bitte auf den grünen Punkt unter meinem Namen.

[Michael A. Schaffrath]

[Karokästchen]

Es tut mir leid, wenn ich mich missverständlich ausgedrückt habe. Ich hatte gehofft, dass die Putzkolonne nicht zu den 20 Personen gezählt wird, was mir Herr Schaffrath erfreulicherweise auch bestätigt hat. Der Vergleich der Admins mit der Putzkolonne war als Gegendarstellung zu Herrn Schaffraths erster Einschätzung gedacht.

System, ich glaube, Sie haben mich missverstanden. Noch mal zur Klarstellung: Sie sagen, dass man davon ausgehen kann, dass ein guter Admin nicht in Datenbeständen herumschnüffelt, die ihn nichts angehen. Das sehe ich auch so. Ich gehe für den Rest meiner Ausführung davon aus.

Wenn nun, wie Herr Schaffrath erklärt hat, die Beschäftigten einer (seriösen) Putzkolonne nicht zum Personenkreis zählen, der mit der Datenverarbeitung "ständig beschäftigt" ist, würde ich die Server-Admins ebenso wenig zu diesem Personenkreis zählen. Sicherlich kann es in Einzelfällen vorkommen, dass sie im Rahmen ihrer Aufgabe probeweise auf die Mitgliederdatenbank zugreifen müssen (z.B. wenn es Probleme mit dem oben beschriebenen Web-Interface gibt), aber ich möchte sie nicht zum Personenkreis zählen, der *ständig* mit der Datenverarbeitung beschäftigt ist.

Habe ich hier zu kühne Schlüsse gezogen oder kann diese Sichtweise bestätigt werden? Ich bin dankbar für weitere Kommentare.

[Michael A. Schaffrath]

[Karokästchen]

Ich danke Ihnen nochmals herzilch für Ihre Hilfe. Auch wenn ich das Problem noch nicht für endgültig geklärt halte, habe ich zumindest eine Vorstellung der verschiedenen Sichtweisen bekommen.