Hamburgisches - Hamburgische Beauftragte für Datenschutz und

Zu § 5b Mobile Datenverarbeitungsmedien
In Anlehnung an § 3 Abs. 10 Bundesdatenschutzgesetz sind Datenträger
dann mobile Datenverarbeitungsmedien, wenn die ausgebende oder eine
andere Stelle auf diesen Datenträgern Daten über die Speicherung hinaus
automatisiert verarbeiten kann. Die Verarbeitung kann dabei durch den Betroffenen
nicht wie etwa bei einem tragbaren Computer gesteuert werden.
Zu mobilen Datenverarbeitungsmedien zählen u.a. Prozessor-Chipkarten,
wie z.B. die elektronische Gesundheitskarte, Geldkarten, SIM-Karten für
Mobiltelefone oder auch RFID (Radio Frequency Identification)-Tags
(Transponder) in Kombination mit Prozessor-Chip in RFID-Systemen.
§ 5b „regelt Pflichten, die die ausgebenden Stellen im Zusammenhang mit
der Herausgabe von Chipkarten und vergleichbaren mobilen Datenverarbeitungsmedien
treffen. Die Datenverarbeitungsvorgänge, die mit Hilfe solcher
Datenverarbeitungsmedien ablaufen, lassen sich zwar mit den geltenden
Vorschriften über die Zulässigkeit der Verarbeitung personenbezogener
Daten und die Modalitäten der zulässigen Datenverarbeitung bewältigen.
Die Herausgabe mobiler Datenverarbeitungsmedien ist aber mit dem besonderen
Risiko verbunden, dass sie einerseits, insbesondere auch im Falle
kontaktloser Chipkarten, für die Betroffenen nicht ohne weiteres erkennbare
Datenverarbeitungsvorgänge ermöglichen und den Betroffenen andererseits
oftmals nicht deutlich ist, wo und in welcher Weise sie die ihnen auch in
Bezug auf die Datenverarbeitungsmedien zustehenden datenschutzrechtlichen
Rechte geltend machen können. Die Vorschrift beugt diesen Gefahren
vor, indem sie die ausgebende Stelle verpflichtet sicherzustellen, dass die
Betroffenen Datenverarbeitungsvorgänge erkennen und ihre datenschutzrechtlichen
Rechte geltend machen können. Für die Erkennbarkeit des Datenaustauschs
genügt es, wenn jeweils erkannt werden kann, dass überhaupt
ein Datenaustausch stattfindet. Die Sicherstellungspflicht überlässt
es der ausgebenden Stelle, inwieweit sie selbst für die Verwirklichung der
Betroffenenrechte sorgt oder sicherstellt, dass andere Stellen dies übernehmen.
Die Betroffenen sind bei der Ausgabe der Datenverarbeitungsmedien
entsprechend aufzuklären“ (Bü-Drs. 16/3995 zu § 5b).
Weiterführende Hinweise vermittelt zum einen die Orientierungshilfe „Datenschutzgerechter
Einsatz von RFID“ (http://www.datenschutz-hamburg.de/uploads/media/Orientierungshilfe_Einsatz_RFID.pdf).
Zum anderen
liefern der Rahmen für die Datenschutzfolgeabschätzung (Privacy
Impact Assessment (PIA) Framework) sowie die Technische Richtlinie
BSI TR-03126 wichtige Hinweise, die berücksichtigt werden sollten
(https://www.bsi.bund.de/DE/Themen/ElektronischeAusweise/RadioFrequencyIdentification/PIA/pia_node.html).
76