Informationen und Handlungshilfen zum grenzüberschreitenden ...

Merkmale einer guten Regelung zum Datenschutz
1. Beschränkung der Zweckbestimmung - Die Daten dürfen nur für einen
bestimmten Zweck verwendet werden. Dieser ist festgelegt und darüber hinaus ist
jede Datenanwendung untersagt.
2. Qualität und Verhältnismäßigkeit - Die Daten müssen aktuell sein und sie
müssen den Zweck, für den sie bestimmt sind, auch erfüllen können. Eine umfangreiche
Übermittlung von Daten, die nichts mit dem angegebenen Zweck zu tun
hat, ist verboten.
3. Weitergabe an Dritte beschränken - Die Daten dürfen nicht an Dritte weitergegeben
werden, außer diese sind mittels Vertrag eindeutig verpflichtet dasselbe
Datenschutzniveau zu bieten, wie im Ausgangsland.
4. Speicherzeit - Es muss festgelegt werden, wie lange welche Daten gespeichert
werden sollen. Das gilt insbesondere für Verträge mit Dritten oder Dienstleistern
zur Datenverarbeitung.
5. Transparenz - Die betroffenen Personen haben das Recht, informiert zu werden.
Sie kennen ihre AnsprechpartnerInnen und sie wissen, welche Sanktionen das
handeln gegen die Vereinbarung mit sich bringt.
6. Verständlichkeit - Die Vereinbarung muss so verfasst sein, dass sie allgemein
verständlich ist, was z.B. durch Praxisbeispiele erleichtert wird.
7. Zugriff, Berichtigung, Widerspruch - Die Betroffenen haben das Recht, ihre
Daten zu sehen und im Falle des Falles richtig zu stellen.
8. Sicherheit - Technische und organisatorische Maßnahmen müssen getroffen
werden. Die Datenverarbeitenden dürfen nur auf Anweisung der Verantwortlichen
arbeiten.
9. Unterstützung - Die Vereinbarung enthält Unterstützung und Hilfestellung für die
Betroffenen, was u.a. mittels eines klaren Instanzenweges bei Missständen und
Beschwerden gewährleistet werden kann. Die Institutionen (z.B. eine interne
Schlichtungsstelle) müssen neutral sein (d.h. nicht abhängig von den handelnden
Personen bzw. paritätisch besetzt), Kontrollbefugnisse haben und leicht zugänglich
sein (d.h. möglichst nicht auf Kosten derjenigen arbeiten, die eine Beschwerde
einreichen).
10. Entschädigung - Bei nachgewiesenen Missbrauch werden die Betroffenen entschädigt,
was auch in finanzieller Hinsicht geregelt sein kann. Eine Schädigung
ist nicht allein bei materiellem Schaden oder Verlust gegeben sondern betrifft
auch psychische und moralische Schäden.
11. Befolgungsrate - Diese muss hoch sein. Die Vereinbarung wird auch von den
handelnden Personen eingehalten, was durch regelmäßige externe Überprüfung
(z.B. Audits, Zertifizierungs-Gremien, etc.) erfolgen kann und auch mittels klarer
Sanktionsmechanismen gefördert wird (z.B. über die gesetzlichen Verbindlichkeiten
hinausgehender Schadensersatz für Betroffene bei Nicht-Einhaltung der
Vereinbarung). Eine rein auf freiwilliger Basis eingeführte Vereinbarung hat aller
Voraussicht nach wenig Aussicht auf Erfolg. Die Konsequenzen für Fehlverhalten
müssen bekannt gemacht werden. Wird ein Datenmissbrauch bekannt, sollte er
auch tatsächlich sanktioniert werden.
12. Bewusstsein und Überprüfung - Voraussetzung für eine hohe Befolgungsrate
ist, dass die Betroffenen von der Vereinbarung wissen und sie auch inhaltlich
kennen. Das kann z.B. über regelmäßige Schulungen, Wissensabfragen u.ä.
gefördert werden.
13. Nachhaltigkeit und Überprüfung - Die Wirksamkeit der Maßnahmen zur
Datensicherheit muss regelmäßig einer Überprüfung unterzogen werden (z.B.
Audit). Die Verhaltensvereinbarung kann als kontinuierlicher Prozess gesehen
werden, der immer wieder der Aktualisierung bedarf.
14. Sensiblen Daten - Bei sensiblen Daten müssen die Betroffenen persönlich der
Verwendung zustimmen.
15. Direktmarketing - Beim Direktmarketing muss der/die Betroffene jederzeit die
Zustimmung widerrufen können.
45