Vorabkontrolle im Datenschutz-Alltag / 5.4 Schritt 4: Grundangaben – Verfahrensbeschreibung des zu beurteilenden Verfahrens

Inhaltliche Grundlage für eine Vorabkontrolle ist stets eine ausführliche Verfahrensbeschreibung, aus der unter anderem hervorgehen sollte, wie die Abläufe der automatisierten Verarbeitung der personenbezogenen Daten im Einzelnen vonstatten gehen. Im Übrigen sind die Mindestinhalte der hier vorzunehmenden Beschreibung in § 4e BDSG aufgeführt. Zu prüfen ist in jedem Fall, ob mit der dort vorgesehenen Auflistung die in der Vorabkontrolle vorzunehmende rechtliche und technische und organisatorische Beurteilung hinreichend vorgenommen werden kann. In der Regel werden diese spärlichen Angaben hierfür jedoch nicht ausreichen.

Um das Schutzstufenkonzept der Datenschutzbeauftragten des Bundes und der Länder im Zusammenhang mit dem BSI Grundschutz anwenden zu können, muss die in diesem Schritt vorzunehmende Verfahrensbeschreibung entsprechende Hinweise enthalten.

Der Einfachheit halber wird in der Folge dieser Schritt direkt am Praxisbeispiel VoIP vorgenommen. Für andere Verfahren wären die einzelnen Beschreibungen sinngemäß anzupassen.

• Daten verarbeitende Stelle:

Eintragung entsprechend den Gegebenheiten mit Firmenname und Firmenanschrift.

• Zweckbestimmung:

Die Zweckbestimmung für die Erhebung, Verarbeitung oder Nutzung der personenbezogenen Daten im Zusammenhang mit dem Betrieb des VoIP-Systems ist die Aufrechterhaltung und Sicherung des VoIP-Systems und damit die Kommunikation innerhalb und außerhalb des Unternehmens mittels Telefon. Dabei handelt es sich um berechtigte betriebliche Interessen gemäß § 28 Abs. 1 Nr. 2 BDSG. Unter anderem ist es Gegenstand der Vorabkontrolle, ob schutzwürdige Interessen der Betroffenen an dem Ausschluss dieser Erhebung, Verarbeitung oder Nutzung überwiegen.

• Rechtsgrundlage:

Die Rechtsgrundlage für die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten im Zusammenhang mit dem Betrieb der VoIP-Anlage ist im Wesentlichen § 28 Abs. 1 Nr. 2 BDSG (berechtigte betriebliche Interessen). In der heutigen Zeit ist eine funktionierende Anbindung an das weltweite Telefonnetz unabdingbare Voraussetzung für eine wirtschaftlich vernünftige Betriebs- und Unternehmensführung.

Im Zusammenhang mit dem Betrieb der VoIP-Anlage ist jedoch auch zu prüfen, ob das Unternehmen, das VoIP einführen möchte, als die Daten verarbeitende Stelle auch Diensteanbieter im Sinne des § 3 Nr. 6 TKG ist. Wenn dies der Fall ist, weil Telekommunikationsdienste z. B. gegenüber Dritten in Form von Mitarbeitern, die die VoIP-Einrichtung auch für private Zwecke nutzen dürfen, erbracht werden, dann sind hinsichtlich des Datenschutzes die Bestimmungen des Teil 7 Abschnitt 2 TKG (§§ 91 bis 107 TKG) einschlägig. Für die dort behandelten Bereiche des Datenschutzes ist das Bundesdatenschutzgesetz (BDSG) nur ergänzend heranzuziehen, in erster Linie jedoch das TKG mit den entsprechenden Paragrafen. Das BDSG gilt dann ausschließlich in den Bereichen, die durch diese Regelungen des TKG nicht erfasst sind.

→Ergänzungen zum Praxisbeispiel VoIP: Im vorliegenden Praxisbeispiel wird unterstellt, dass es aktuell keine Einschränkungen hinsichtlich der Nutzung der Telefonanlage gibt. Damit ist eine private Nutzung derzeit nicht untersagt. Das bedeutet, dass das Unternehmen auch schon im alten Verfahren Diensteanbieter im Sinne des § 3 Nr. 6 TKG war und dies auch künftig sein wird, wenn hier keine Änderung erfolgt. Auf die Bestimmungen des TKG hinsichtlich des Datenschutzes kann an dieser Stelle nicht näher eingegangen werden, weil dies den Rahmen des Beitrags sprengen würde. Zu prüfen wäre im vorliegenden Fall jedoch, ob sich die Geschäftsleitung über die Tatsache der Einschlägigkeit des TKG bewusst ist und ob das gewollt ist. Die Alternative könnte ja darin bestehen, die private Nutzung der Telefonanlage per Arbeitsanweisung oder per Betriebsvereinbarung (falls ein Betriebsrat eingerichtet ist) zu untersagen und die Einhaltung des Verbots wirksam zu kontrollieren. Da jedoch im vorliegenden Praxisbeispiel noch keine Vorabkontrolle und offenbar auch noch keine Verfahrensbeschreibung durchgeführt wurde, sollte dies unabhängig von der Vorabkontrolle so rasch als möglich nachgeholt werden.

• Art der zu verarbeitenden Daten:

Bei den zu verarbeitenden Daten handelt es sich mindestens um folgende Daten bzw. Datengruppen: Vorname und Name des VoIP-Teilnehmers, die Kostenstelle, der der Teilnehmer zugeordnet ist, seine Anschlussnummer (Durchwahl), die von ihm angewählten Gesprächsnummern, die Zeit der Telefonate sowie die Anrufernummern der angenommenen und der nicht angenommenen Gespräche (Letztere für mögliche Rückrufe). Außerdem entstehen während des Kommunikationsvorgangs Datenpakete, die getrennt voneinander über das Telefonnetz oder über das Internet ver­sendet werden. Diese Datenpakete enthalten das gesprochene Wort und die aufgezeichnete Stimme der Telefonpartner.

→ Ergänzungen zum Praxisbeispiel VoIP: Auch hier sind keine neuen oder erweiterten Informationen gegenüber dem alten Verfahren zu erwarten; es ist davon auszugehen, dass diese Daten schon...