Das Datenschutzrecht ist ähnlich beliebt wir das Steuerrecht und andere Rechtsbereiche: Oft schlicht unbekannt und wenig verständlich. Im Datenschutzrecht drohen aber heftige Bußgelder, sodass ein Unternehmen im eigenen Interesse prüfen sollte, ob und wie sehr es vom Datenschutzrecht betroffen ist und welche Pflichten sich für das Unternehmen ergeben.
Derzeit schreibt der „Bundesverband sichere Kunden- und Patientendaten e.V.“ (BVSKPD e.V.) offenbar Ärzte an und fordert diese auf, ein Verfahrensverzeichnis nach dem Datenschutzrecht vorzulegen – angeblich habe ein Mitglied eine Beschwerde über den Umgang mit Daten bei dem jeweiligen Arzt eingereicht.
Abgesehen davon, dass dieser Bundesverband nach Verlautbarungen verschiedener Stellen nicht gerade der Ausbund von Seriosität sein könnte (postalische Schreiben kommen bspw. als unzustellbar zurück), könnte dieses Vorgehen eine neue Welle von kostenpflichtigen Abmahnungen ankündigen: Jüngst hat auch das Oberlandesgericht Hamburg entschieden, dass fehlende oder fehlerhafte Datenschutzhinweise auf der Webseite von Wettbewerbern abgemahnt werden dürfen (allein hier droht eine Abmahnwelle).
Was hat es mit dem Verfahrensverzeichnis auf sich?
Wer personenbezogene Daten verarbeitet, muss den Umgang mit eben diesen Daten dokumentieren und anmelden.
Betroffen sind nicht alle Unternehmen, aber nach Mitteilung des Landesbeauftragten für den Datenschutz in NRW:
• „vor allem Auskunfteien, Markt- und Meinungsforschungsinstitute sowie Unternehmen im Adresshandel.
• aber auch andere Unternehmen, die geschäftsmäßig Daten für Dritte zur Verfügung stellen, können einer Meldepflicht unterliegen. Unter Umständen können zum Beispiel auch Detekteien oder Direktmarketingfirmen betroffen sein.
• außerdem kann eine Meldung erforderlich werden, wenn sehr kleine Unternehmen ohne eigene Datenschutzbeauftragte Daten nicht ausschließlich für eigene Zwecke“ nutzen.
Das Besondere: Jedermann kann beantragen, dass die Informationen des § 4e Satz 1 Nr. 1-8 BDSG „in geeigneter Weise“ zur Verfügung gestellt werden müssen. Der eingangs erwähnte Bundesverband fordert die Übersendung der Dokumentation. Allerdings schreibt das Bundesdatenschutzgesetz nicht vor, in welcher Art und Weise die Dokumentation zur Verfügung gestellt werden muss, sondern eben nur in „geeigneter Weise“.
Es ist daher empfehlenswert, den Antragsteller zu sich einzuladen, damit er vor Ort Einsicht in die Dokumentation nehmen kann. Damit kann übrigens auch sichergestellt werden, dass man mit einem echten Menschen zu tun hat, und nicht auf einen anonymen Abzocker reinfällt.
Thomas Waetke
Rechtsanwalt
Fachanwalt für Urheber- und Medienrecht
Autor eventfaq
Justitiar des Bundesverbandes Veranstaltungssicherheit (bvvs.org)
Derzeit schreibt der „Bundesverband sichere Kunden- und Patientendaten e.V.“ (BVSKPD e.V.) offenbar Ärzte an und fordert diese auf, ein Verfahrensverzeichnis nach dem Datenschutzrecht vorzulegen – angeblich habe ein Mitglied eine Beschwerde über den Umgang mit Daten bei dem jeweiligen Arzt eingereicht.
Abgesehen davon, dass dieser Bundesverband nach Verlautbarungen verschiedener Stellen nicht gerade der Ausbund von Seriosität sein könnte (postalische Schreiben kommen bspw. als unzustellbar zurück), könnte dieses Vorgehen eine neue Welle von kostenpflichtigen Abmahnungen ankündigen: Jüngst hat auch das Oberlandesgericht Hamburg entschieden, dass fehlende oder fehlerhafte Datenschutzhinweise auf der Webseite von Wettbewerbern abgemahnt werden dürfen (allein hier droht eine Abmahnwelle).
Was hat es mit dem Verfahrensverzeichnis auf sich?
Wer personenbezogene Daten verarbeitet, muss den Umgang mit eben diesen Daten dokumentieren und anmelden.
Betroffen sind nicht alle Unternehmen, aber nach Mitteilung des Landesbeauftragten für den Datenschutz in NRW:
• „vor allem Auskunfteien, Markt- und Meinungsforschungsinstitute sowie Unternehmen im Adresshandel.
• aber auch andere Unternehmen, die geschäftsmäßig Daten für Dritte zur Verfügung stellen, können einer Meldepflicht unterliegen. Unter Umständen können zum Beispiel auch Detekteien oder Direktmarketingfirmen betroffen sein.
• außerdem kann eine Meldung erforderlich werden, wenn sehr kleine Unternehmen ohne eigene Datenschutzbeauftragte Daten nicht ausschließlich für eigene Zwecke“ nutzen.
Das Besondere: Jedermann kann beantragen, dass die Informationen des § 4e Satz 1 Nr. 1-8 BDSG „in geeigneter Weise“ zur Verfügung gestellt werden müssen. Der eingangs erwähnte Bundesverband fordert die Übersendung der Dokumentation. Allerdings schreibt das Bundesdatenschutzgesetz nicht vor, in welcher Art und Weise die Dokumentation zur Verfügung gestellt werden muss, sondern eben nur in „geeigneter Weise“.
Es ist daher empfehlenswert, den Antragsteller zu sich einzuladen, damit er vor Ort Einsicht in die Dokumentation nehmen kann. Damit kann übrigens auch sichergestellt werden, dass man mit einem echten Menschen zu tun hat, und nicht auf einen anonymen Abzocker reinfällt.
Thomas Waetke
Rechtsanwalt
Fachanwalt für Urheber- und Medienrecht
Autor eventfaq
Justitiar des Bundesverbandes Veranstaltungssicherheit (bvvs.org)
