CPR-Nummer und andere Daten mit zusätzlichen Anforderungen

Manche Daten sind nach Artikel 9 nicht „sensibel“, müssen aber trotzdem mit besonderer Sorgfalt behandelt werden. Die wichtigsten sind die CPR-Nummer (die dänische Personenkennzahl) und Daten über strafbare Handlungen. Hier hat Dänemark eigene Regeln im Datenschutzgesetz.

CPR-Nummer (§ 11)

Die CPR-Nummer ist der Schlüssel zu einer Person in vielen öffentlichen und privaten Registern. Gelangt sie nach außen, kann sie für Identitätsdiebstahl genutzt werden. Deshalb sind die Regeln strenger.

• Öffentliche Behörden dürfen die CPR-Nummer zur eindeutigen Identifizierung und als Aktenzeichen verarbeiten (§ 11 Abs. 1).
• Private, also die meisten Unternehmen, dürfen die CPR-Nummer nur verarbeiten, wenn eine dieser Bedingungen erfüllt ist (§ 11 Abs. 2):
  1. Es ergibt sich aus Rechtsvorschriften. Arbeitgeber müssen die CPR-Nummer zum Beispiel für die Meldung von Löhnen an die Steuerbehörden verwenden.
  2. Die Person hat nach Artikel 7 eingewilligt.
  3. Es geschieht ausschließlich zu wissenschaftlichen oder statistischen Zwecken, oder es handelt sich um eine Weitergabe, die ein natürlicher Teil des normalen Betriebs und für die sichere Identifizierung entscheidend ist oder die eine Behörde verlangt.
  4. Die Bedingungen des § 7 für sensible Daten sind erfüllt.
• Die CPR-Nummer darf nicht veröffentlicht werden, es sei denn, die Person hat nach Artikel 7 eingewilligt (§ 11 Abs. 3).

In der Praxis heißt das: Fragen Sie nicht nach der CPR-Nummer, wenn Sie keine klare Grundlage haben. Ein Geschäft darf die CPR-Nummer nicht als Kundennummer verwenden. Man sollte sie auch nicht in der Betreffzeile einer E-Mail oder in einem Dateinamen haben.

Wenn Sie die CPR-Nummer brauchen

• Fragen Sie sich, ob die Angabe notwendig ist. Oft reichen Geburtsdatum und Name.
• Senden Sie die CPR-Nummer nie in einer normalen, unverschlüsselten E-Mail. Nutzen Sie die sichere Lösung des Unternehmens.
• Schreiben Sie sie nicht in Dokumente, die breit geteilt werden, etwa in eine gemeinsame Tabelle oder an eine Pinnwand.
• Geben Sie sie nur an diejenigen weiter, die einen rechtmäßigen Bedarf haben.

Daten über strafbare Handlungen

Daten über Verurteilungen und Straftaten fallen unter Artikel 10 und § 8 des Datenschutzgesetzes. Für Private gilt (§ 8 Abs. 3):

• Die Verarbeitung kann mit der ausdrücklichen Einwilligung der betroffenen Person erfolgen, oder
• wenn sie erforderlich ist, um ein berechtigtes Interesse zu wahren, das eindeutig das Interesse der Person überwiegt.

Diese Daten dürfen ohne ausdrückliche Einwilligung nicht weitergegeben werden, es sei denn, es geschieht, um Interessen zu wahren, die das Geheimhaltungsinteresse eindeutig überwiegen (§ 8 Abs. 4). Ein Gerücht, dass ein Kollege verurteilt wurde, dürfen Sie deshalb weder verbreiten noch aufschreiben.

Bilder und Videos

Ein Bild, auf dem man eine Person erkennen kann, ist ein personenbezogenes Datum. Das gilt auch für Bilder im Intranet, auf der Website oder in sozialen Medien. Das Unternehmen muss eine Grundlage haben. Ist es die Einwilligung, kann die Person sie widerrufen. Fragen Sie, bevor Sie ein Bild von Kolleginnen, Kunden oder Kindern veröffentlichen. Für die Videoüberwachung gibt es außerdem ein besonderes Gesetz, das Videoüberwachungsgesetz („tv-overvågningsloven“).

Beschäftigte und ihre Daten

Auch die Daten von Beschäftigten sind personenbezogene Daten. Der Arbeitgeber darf sie verarbeiten, wenn es erforderlich ist, um arbeitsrechtliche Pflichten zu erfüllen, etwa bei Lohn, Urlaub und Krankheit (§ 12 Abs. 1). Das heißt nicht, dass alle Kollegen sie sehen dürfen. Nur wer sie für die Arbeit braucht, sollte Zugang haben.

Merken Sie sich: Bevor Sie die CPR-Nummer oder Daten über Strafen verwenden, müssen Sie wissen, welche Anforderung des Gesetzes das abdeckt.