Fast jeder Job hat mit Informationen über Menschen zu tun. Eine Empfangskraft notiert den Namen eines Gastes. Ein Verkäufer nimmt eine Lieferadresse entgegen. Eine Sachbearbeiterin liest eine Akte. Die Regeln zum Schutz personenbezogener Daten gelten deshalb für Sie und nicht nur für Ihre Chefin oder Ihren Chef. Zusammen heißen sie Datenschutzregeln, und oft sagt man einfach DSGVO.
Die Regeln in Dänemark
- Die Datenschutz-Grundverordnung (dän. „databeskyttelsesforordningen“) ist die EU-Verordnung 2016/679. Sie gilt in Dänemark unmittelbar.
- Das Datenschutzgesetz („databeskyttelsesloven“, Gesetz Nr. 502 vom 23. Mai 2018, später geändert) ergänzt die Verordnung um dänische Regeln, etwa zur CPR-Nummer, zu Beschäftigungsverhältnissen und zu Strafen.
- Die Datatilsynet ist die Behörde, die in Dänemark die Einhaltung der Regeln überwacht.
Die Verordnung gilt, wenn personenbezogene Daten ganz oder teilweise elektronisch verarbeitet werden. Sie gilt auch für Papierakten, wenn die Daten in einer Ablage geordnet sind, etwa in einem nach Namen sortierten Ordner. Rein private Angelegenheiten sind ausgenommen, zum Beispiel Ihr eigenes Telefonbuch zu Hause.
Was sind personenbezogene Daten?
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Artikel 4 Nr. 1 der Verordnung). Das können sein:
- Name, Adresse, E-Mail und Telefonnummer
- CPR-Nummer, Kundennummer und Personalnummer
- Bilder und Tonaufnahmen, auf denen man die Person erkennen kann
- IP-Adressen und Standortdaten
- Lohn, Noten, Krankenstand und Beschreibungen der Arbeit einer Mitarbeiterin oder eines Mitarbeiters
Die Information muss nicht geheim sein. Schon eine E-Mail-Adresse, die auf einer Website steht, ist ein personenbezogenes Datum. Informationen über eine Gesellschaft sind keine personenbezogenen Daten, Informationen über die Person hinter einem Einzelunternehmen dagegen schon. Anonyme Daten, bei denen niemand die Person ermitteln kann, fallen nicht unter die Regeln. Pseudonymisierte Daten sind weiterhin personenbezogene Daten.
Was ist Verarbeitung?
Verarbeitung ist alles, was man mit Daten tun kann: erheben, erfassen, speichern, lesen, suchen, versenden, ändern, weitergeben und löschen (Artikel 4 Nr. 2). Wenn Sie nur in ein System schauen, verarbeiten Sie bereits Daten.
Wer ist wer?
- Die betroffene Person ist die Person, um die es in den Daten geht: die Kundin, der Patient, die Schülerin oder der Kollege.
- Der Verantwortliche bestimmt, warum und wie die Daten verarbeitet werden (Artikel 4 Nr. 7). Das ist in der Regel Ihr Arbeitgeber, nicht Sie persönlich.
- Der Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen, etwa ein Lohnbüro oder ein Anbieter eines IT-Systems (Artikel 4 Nr. 8). Es muss einen schriftlichen Auftragsverarbeitungsvertrag geben (Artikel 28).
Als Beschäftigte dürfen Sie Daten nur auf Weisung Ihres Arbeitgebers verarbeiten (Artikel 29). Sie können nicht selbst entscheiden, die Kundenliste für einen neuen Zweck zu verwenden.
Warum das wichtig ist
Die Regeln schützen die Privatsphäre von Menschen. Gelangen Daten in die falschen Hände, kann eine Person Betrug, Mobbing oder Diskriminierung ausgesetzt sein. Fehler schaden auch dem Ruf des Unternehmens und können Sanktionen nach sich ziehen.
Merken Sie sich: Fragen Sie sich, bevor Sie Daten über eine Person verwenden: Brauche ich sie für meine Arbeit, und darf ich sie auf diese Weise verwenden?