SWLästig
Auskunft nach Artikel 15 DSGVO gestellt – und dann Funkstille
Artikel 12 Absatz 3 DSGVO nennt einen Monat, Artikel 15 den Umfang. Was ein Unternehmen herausgeben muss und was bei Schweigen gilt.
// Symptom
Datenschutz-Beschwerde oder Auskunft läuft ins Leere
Es gibt zwei Gründe dafür, und sie brauchen verschiedene Antworten. Der eine ist die Adresse: Wer die wichtigste Behörde sucht statt der zuständigen, landet beim BfDI – zuständig ist der oder die Bundesbeauftragte nach § 9 Absatz 1 BDSG aber für öffentliche Stellen des Bundes und einen schmalen Telekommunikationsstreifen, während für nichtöffentliche Stellen die Landesbehörden zuständig sind. Bei Kirchen und öffentlich-rechtlichem Rundfunk greift beides nicht: Sie haben eigene Datenschutzbeauftragte, für die Kirchen auf Grundlage von Artikel 91 DSGVO. Der andere Grund ist der Anspruch selbst – Auskunft und Datenübertragbarkeit klingen ähnlich und reichen unterschiedlich weit.
Mögliche Ursachen (8)
Sortiert nach Schadenspotenzial: Was Daten oder Hardware kosten kann, steht oben. Nicht, weil es am wahrscheinlichsten ist – sondern weil es am teuersten wird, wenn man es übersieht.
SWLästig
Betriebsrats-Daten: verantwortlich bleibt der Arbeitgeber
§ 79a BetrVG: Verarbeitet der Betriebsrat personenbezogene Daten, ist der Arbeitgeber Verantwortlicher. Den Datenschutz einhalten müssen beide.
SWLästig
Daten mitnehmen: Was Artikel 20 DSGVO wirklich hergibt
Datenübertragbarkeit gilt nur bei Einwilligung oder Vertrag, nur automatisiert und nur für selbst bereitgestellte Daten. Das ist weniger als Artikel 15.
SWLästig
Datenschutz-Beschwerde beim BfDI statt bei der Landesbehörde
Der BfDI beaufsichtigt Bundesstellen, Telekommunikation und Post. Für Onlineshop, Arbeitgeber oder Verein ist die Landesdatenschutzbehörde zuständig.
SWLästig
Dienstpost: das Fernmeldegeheimnis nennt den Arbeitgeber nicht
§ 3 TDDDG nennt vier Gruppen Verpflichteter, den Arbeitgeber nicht; das Wort fehlt im ganzen Gesetz. Maßstab für Dienstpost bleibt § 26 BDSG.
SWLästig
ePA-Zugriff: nicht jede Praxis, nicht ewig, nicht unbemerkt
§ 339 SGB V: ePA-Zugriff nur im zeitlichen Zusammenhang mit der Behandlung, Nachweis per Karte. § 342: 90 Tage voreingestellt, Apotheke drei.
SWLästig
ePA: Kasse liest nicht mit, Arbeitgeber darf nicht fragen
§ 335 SGB V: Zugriff auf die ePA darf von Versicherten nicht verlangt werden. § 344 Absatz 2a: Kasse und Anbieter dürfen nicht hineinsehen.
SWLästig
Kirche oder Rundfunk: Beschwerde bei der falschen Aufsicht
Kirchen und öffentlich-rechtlicher Rundfunk haben eigene Datenschutzaufsicht. Warum BfDI und Landesbehörde dort keine Zuständigkeit haben.