Personenbezogene Daten

In der modernen Gesellschaft beziehen sich personenbezogene Daten auf alle Informationen, die eine natürliche Person direkt oder potenziell identifizieren. In Belarus klassifizieren rechtliche Vorschriften personenbezogene Daten so, dass sie nicht nur Standardkennungen wie vollständigen Namen, Geburtsdatum und Adresse umfassen, sondern auch biometrische Informationen (z. B. Fingerabdrücke, Iris-Scans) und genetische Daten.

Bis November 2021 war die Regulierung personenbezogener Daten in Belarus fragmentiert. Das zu diesem Zeitpunkt in Kraft getretene neue Gesetz führte einen umfassenden Rahmen ein: Es legte die Hauptakteure der Datenverarbeitungskette fest – betroffene Personen, Betreiber und beauftragte Personen – und definierte Verarbeitungsprinzipien, Sicherheitsanforderungen sowie Mechanismen zum Schutz der Rechte von Einzelpersonen.

Heute wenden Betreiber personenbezogener Daten (Unternehmen und Einzelunternehmer, die mit personenbezogenen Daten umgehen) einen risikobasierten Ansatz bei der Datenverarbeitung an. Sie bestimmen das angemessene Schutzniveau eigenständig und setzen rechtliche, technische und organisatorische Maßnahmen um, die in einem angemessenen Verhältnis zur Art und zum Umfang der Datenverarbeitung stehen. Sie sind außerdem verpflichtet, Datenschutzbeauftragte zu ernennen, interne Richtlinien zu entwickeln, Mitarbeiter zu schulen und kryptografische oder andere technische Schutzmaßnahmen zu implementieren.

Das Nationale Zentrum für den Schutz personenbezogener Daten (NZSPD) überwacht die Einhaltung der Datenschutzgesetze. Gemäß seinem Plan für 2025 unterliegen mindestens neun Betreiber geplanten Audits, darunter große IT-Unternehmen, Banken und Bildungseinrichtungen – wobei auch unangekündigte Vor-Ort-Inspektionen vorgesehen sind.

Die Hauptrechte der betroffenen Personen (d. h. von Einzelpersonen, deren Daten verarbeitet werden) umfassen den Zugang zu ihren Daten, Berichtigung, Löschung, Sperrung sowie das Recht auf Beschwerde und die Anfechtung von Betreibermaßnahmen. In vieler Hinsicht spiegelt die belarussische Gesetzgebung die europäische DSGVO wider, indem sie Transparenz, Risikominimierung und Überwachung bei der Verarbeitung personenbezogener Daten fördert.

Schlüsselbegriffe im Bereich der personenbezogenen Daten

Das Verständnis der grundlegenden Terminologie ist für den ordnungsgemäßen Umgang mit Daten unerlässlich. Nachfolgend sind die primären Rollen und Datentypen aufgeführt, die dem rechtlichen Schutz unterliegen.

Betroffene Person
Eine betroffene Person ist eine natürliche Person, deren personenbezogene Daten verarbeitet werden. Dazu gehört jeder, dessen Daten erhoben, gespeichert, verwendet oder anderweitig behandelt werden, wie etwa ein Kunde, Mitarbeiter, Auftragnehmer, Newsletter-Abonnent oder Website-Besucher. Das Hauptkriterium ist das Vorhandensein identifizierbarer Informationen: Name, Adresse, Telefonnummer, Passdaten usw.

Datenbetreiber (Operator)
Ein Datenbetreiber ist eine juristische Person oder ein Einzelunternehmer, der die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. Betreiber sind dafür verantwortlich sicherzustellen, dass die Datenverarbeitung den gesetzlichen Anforderungen entspricht und die Rechte der betroffenen Personen respektiert werden. Häufige Beispiele sind Arbeitgeber, Online-Händler, Banken, Versicherungsgesellschaften und Bildungseinrichtungen.
Betreiber können die Verarbeitung an andere delegieren, bleiben jedoch voll verantwortlich für die Einhaltung.

Beauftragte Person (Auftragsverarbeiter)
Eine beauftragte Person ist ein Dritter, der vom Betreiber mit der Verarbeitung personenbezogener Daten beauftragt wurde. Sie handelt auf der Grundlage eines Vertrags oder Mandats und muss dieselben Sicherheitsmaßnahmen anwenden wie der Betreiber. Beispielsweise würde eine Wirtschaftsprüfungs- oder Buchhaltungsfirma, der Zugriff auf Mitarbeiterdaten gewährt wird, oder ein IT-Anbieter, der ein CRM-System verwaltet, als beauftragte Person gelten.

Was die Verarbeitung personenbezogener Daten ausmacht
Die Verarbeitung umfasst den gesamten Datenlebenszyklus, einschließlich:

• Erhebung und Registrierung
• Systematisierung und Ansammlung
• Speicherung und Verwendung
• Übertragung (einschließlich an Dritte und grenzüberschreitend)
• Anonymisierung
• Sperrung und Löschung

Selbst das Speichern personenbezogener Daten in der Firmen-E-Mail oder in einer Excel-Tabelle gilt als Verarbeitung.

Kategorien personenbezogener Daten

Personenbezogene Daten werden basierend auf ihrer Sensibilität in mehrere Kategorien eingeteilt:

1. Allgemeine Daten – umfassen Name, Geburtsdatum, Adresse, Telefonnummer, Beschäftigungsort und Ausbildung. Dies sind die am häufigsten verwendeten Datentypen in Unternehmen.
2. Besondere Kategorien von Daten – umfassen Informationen über die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, den Gesundheitszustand, Vorstrafen usw. Die Verarbeitung solcher Daten erfordert erhöhte Sorgfalt und Compliance.
3. Biometrische Daten – abgeleitet aus der Verarbeitung physischer Merkmale wie Fingerabdrücken, Gesichtsabbildungen, Stimme, Iris-Scans usw., die häufig zur Identitätsprüfung verwendet werden.
4. Genetische Daten – beziehen sich auf vererbte Merkmale auf DNA-Ebene. Diese werden typischerweise im medizinischen und wissenschaftlichen Kontext verwendet.

Ein klares Verständnis darüber, wer an der Datenverarbeitungskette beteiligt ist und welche Arten von Daten verarbeitet werden, versetzt Unternehmen in die Lage, effektive Schutzsysteme für personenbezogene Daten aufzubauen und rechtliche Risiken zu vermeiden.

Grundsätze der Verarbeitung personenbezogener Daten

Eine effektive und rechtmäßige Handhabung personenbezogener Daten ist nur möglich, wenn grundlegende Verarbeitungsprinzipien eingehalten werden. Diese Prinzipien spiegeln den allgemein anerkannten Ansatz zum Informationsschutz wider und bilden das Fundament für die internen Datenrichtlinien einer Organisation.

Rechtmäßigkeit und Fairness

Personenbezogene Daten müssen auf einer klaren, fairen und transparenten Grundlage verarbeitet werden. Dies bedeutet, dass die Organisation einen legitimen Zweck und eine Rechtsgrundlage für die Erhebung der persönlichen Informationen einer Person haben muss. Daten sollten nicht „für alle Fälle“ oder ohne Benachrichtigung der betroffenen Person erhoben werden. Fairness impliziert den Respekt vor den Interessen des Einzelnen und schließt Manipulation oder versteckte Praktiken aus.

Zweckbindung und Datenminimierung

Organisationen sollten nur die Daten erheben, die für einen bestimmten Zweck unbedingt erforderlich sind. Wenn der Zweck ohne bestimmte Datenkategorien erreicht werden kann, sollten diese weder erhoben noch gespeichert werden. Beispielsweise erfordert die Lieferung eines Produkts keine Passdaten oder Informationen über den Familienstand. Das Prinzip der Minimierung hilft, Risiken von Datenschutzverletzungen zu verringern, interne Prozesse zu straffern und das Kundenvertrauen zu stärken.

Richtigkeit und Aktualität

Personenbezogene Daten müssen korrekt und auf dem neuesten Stand sein. Der Datenverantwortliche ist verpflichtet, angemessene Schritte zu unternehmen, um ungenaue oder veraltete Informationen zu korrigieren. Ändert beispielsweise ein Mitarbeiter seine Wohnanschrift oder Telefonnummer, sollten die Daten umgehend aktualisiert werden. Ungenaue Informationen können zu finanziellen Verlusten, Lieferfehlern, Fehlberechnungen und anderen negativen Ergebnissen führen.

Speicherbegrenzung und Löschung

Daten dürfen nicht unbegrenzt gespeichert werden. Die Aufbewahrungsfrist sollte auf das für den Verarbeitungszweck erforderliche Maß beschränkt werden. Sobald der Zweck erfüllt ist, sollten die Daten gelöscht oder anonymisiert werden. Nach dem Ausscheiden eines Mitarbeiters sollten seine personenbezogenen Daten beispielsweise nur für die gesetzlich vorgeschriebenen Fristen im Zusammenhang mit Archivierung, Gehaltsabrechnung oder Prüfungen gespeichert und danach sicher gelöscht werden.

Sicherheit und Vertraulichkeit

Die Datenverarbeitung muss Maßnahmen zum Schutz von Informationen vor unbefugtem Zugriff, Verlust, Veränderung oder Offenlegung beinhalten. Dies gilt sowohl für technische Maßnahmen (Verschlüsselung, Zugriffskontrolle, Backups) als auch für organisatorische Ansätze (Mitarbeiterschulung, interne Vorschriften, Auftragnehmerüberwachung). Nur Mitarbeitern, deren Aufgaben den Zugriff auf personenbezogene Daten erfordern, sollte dieser gewährt werden.

Pflichten eines Verantwortlichen für personenbezogene Daten (Controllers)

Der Verantwortliche für personenbezogene Daten ist die zentrale Figur im Datenverarbeitungslebenszyklus. Er ist verantwortlich für die Sicherstellung der Einhaltung gesetzlicher Prinzipien und Anforderungen. Unabhängig von der Größe der Organisation muss der Verantwortliche ein Datenschutzsystem einrichten, dessen Leistung überwachen und die Ausübung der Rechte der betroffenen Personen ermöglichen.

Ernennung eines Datenschutzbeauftragten (DSB)

Der erste Schritt bei der Organisation der Verarbeitung personenbezogener Daten ist die Ernennung eines beauftragten Mitarbeiters oder einer Abteilung, die für die Verwaltung von Datenschutz und -sicherheit verantwortlich ist. Diese Person koordiniert interne Richtlinien, kommuniziert mit Aufsichtsbehörden und berät das Management in Datenschutzfragen. Diese Rolle ist besonders wichtig für Organisationen, die große Datenmengen verarbeiten oder in Sektoren wie Gesundheitswesen, Bildung oder Onlinediensten tätig sind.

Entwicklung interner Dokumentation

Aktivitäten im Zusammenhang mit personenbezogenen Daten müssen durch interne Richtlinien und Verfahren geregelt werden. Der Verantwortliche ist verpflichtet, interne regulatorische Dokumente zu entwickeln und zu implementieren, die Folgendes definieren:

• Die Zwecke und Methoden der Datenverarbeitung.
• Regeln für den internen Datenzugriff.
• Verfahren im Falle einer Datenpanne oder eines unbefugten Zugriffs.
• Aufbewahrungs- und Löschfristen.
• Formate für Einwilligungen und Benachrichtigungen der betroffenen Personen.

Diese Dokumente müssen reale Geschäftsprozesse widerspiegeln und bei auftretenden Änderungen regelmäßig aktualisiert werden.

Mitarbeiterschulung
Mitarbeiter, die Zugriff auf personenbezogene Daten haben, müssen mit den Regeln für deren Verarbeitung vertraut sein. Diese Mitarbeiter sind verpflichtet, Schutzmaßnahmen zu befolgen. Schulungen können Erstunterweisungen, regelmäßige Wissensüberprüfungen, Workshops und die Verteilung von Aktualisierungen umfassen. Mangelndes Bewusstsein der Mitarbeiter ist eine der Hauptursachen für Vorfälle im Zusammenhang mit Datenlecks oder unbefugter Offenlegung.

Technische und organisatorische Maßnahmen
Der Datenverantwortliche ist verpflichtet, die Sicherheit personenbezogener Daten durch die Implementierung sowohl technischer als auch organisatorischer Maßnahmen zu gewährleisten. Dazu gehören:

• Installation von Antivirensoftware und Firewalls;
• Einschränkung des Zugriffs auf Informationssysteme;
• Schutz von Daten bei der Übertragung (z. B. durch Verschlüsselung);
• Datensicherung (Backups) und Überwachung der Verwendung externer Geräte;
• Nachverfolgung von Benutzeraktionen und Verhinderung unbefugten Zugriffs.

Organisatorische Maßnahmen beinhalten zudem die Überwachung von Auftragnehmern, Informationssicherheitsaudits und die Einführung von Regeln für den Umgang mit physischen (Papier-)Dokumenten.

Protokollierung und Aufzeichnung (Logging)
Der Verantwortliche muss Aufzeichnungen über Vorgänge im Zusammenhang mit personenbezogenen Daten führen. Dazu gehört:

• Aufzeichnung von Datenzugriffsereignissen;
• Dokumentation von Datenübertragungen an Dritte;
• Protokollierung von Sicherheitsvorfällen und entsprechenden Reaktionsmaßnahmen;
• Speicherung der Einwilligung der betroffenen Person und ihrer Widerrufshistorie.

Eine solche Dokumentation hilft, die Einhaltung der Gesetzgebung nachzuweisen, die Datenverarbeitung im Falle von Streitigkeiten oder Inspektionen zu rekonstruieren und die Transparenz der Prozesse sicherzustellen.

Ein umfassender Ansatz zur Erfüllung der Pflichten eines Datenverantwortlichen reduziert nicht nur rechtliche Risiken, sondern demonstriert auch die Reife der Organisation in Bezug auf digitale Verantwortung und Informationssteuerungskultur.

Rechte der betroffenen Personen

Eines der Hauptziele der Datenschutzgesetzgebung ist es, Einzelpersonen die Kontrolle über Informationen über sich selbst zu geben. Jede betroffene Person hat Anspruch auf eine Reihe von Rechten, die es ihr ermöglichen zu verstehen, zu beeinflussen und zu verwalten, wie ihre Daten verwendet werden. Der Verantwortliche muss diese Rechte nicht nur einhalten, sondern auch bequeme Mechanismen zu deren Ausübung bereitstellen.

Recht auf Auskunft über personenbezogene Daten
Einzelpersonen haben das Recht zu erfahren, wer ihre Daten verarbeitet, zu welchen Zwecken, auf welcher Rechtsgrundlage, welche Datenkategorien verwendet werden und wem die Daten offengelegt werden. Auf Anfrage muss die betroffene Person umfassende und klare Informationen erhalten, einschließlich Einzelheiten zu Speicherfristen und Sicherheitsmaßnahmen.

Es ist wichtig, dass der Verantwortliche unter dem Vorwand der „internen Richtlinie“ keine Informationen verbirgt und innerhalb einer angemessenen Frist Antworten liefert. Für solche Anfragen darf keine Gebühr erhoben werden, wenn es sich um eine Erst- oder Standardanfrage handelt.

Recht auf Zugang, Berichtigung, Sperrung oder Löschung von Daten
Eine betroffene Person kann sich an den Verantwortlichen wenden, um:

• Zugang zu ihren personenbezogenen Daten zu erhalten;
• Veraltete oder ungenaue Informationen zu korrigieren oder zu vervollständigen;
• Die Datenverarbeitung vorübergehend zu sperren;
• Daten zu löschen, wenn der Verarbeitungszweck nicht mehr besteht oder wenn die Einwilligung widerrufen wurde.

Wenn ein Kunde beispielsweise nicht mehr möchte, dass seine Telefonnummer für Marketingnachrichten verwendet wird, kann er deren Löschung aus der Datenbank des Verantwortlichen verlangen. Der Verantwortliche muss entweder nachkommen oder eine rechtmäßige Rechtfertigung für die Verweigerung vorlegen (z. B. wenn die Daten zur Erfüllung vertraglicher Verpflichtungen oder gesetzlicher Anforderungen benötigt werden).

Recht auf Widerruf der Einwilligung
Wenn personenbezogene Daten auf der Grundlage der Einwilligung der betroffenen Person verarbeitet werden, kann die betroffene Person diese Einwilligung jederzeit ohne Angabe von Gründen widerrufen. Sobald die Einwilligung widerrufen ist, muss der Verantwortliche die Verarbeitung der Daten einstellen, es sei denn, es besteht eine andere Rechtsgrundlage (wie etwa arbeits- oder steuerrechtliche Anforderungen).

Der Verantwortliche muss eine einfache und klare Methode zum Widerruf der Einwilligung über ein Online-Formular, ein Benutzerkonto, einen schriftlichen Antrag usw. bereitstellen. Die Erschwerung des Widerrufsprozesses oder das Ignorieren solcher Anfragen verstößt gegen die Rechte der betroffenen Person.

Einreichung von Beschwerden und Anfechtung von Handlungen des Verantwortlichen
Wenn eine betroffene Person der Ansicht ist, dass ihre Rechte verletzt wurden – z. B. wenn ihre Daten ohne Einwilligung weitergegeben wurden oder der Verantwortliche sich geweigert hat, sie zu löschen –, kann sie eine Beschwerde einreichen. Diese kann direkt beim Unternehmen (Verantwortlichen) oder bei der zuständigen Regierungsbehörde für den Datenschutz eingereicht werden. In Belarus ist dies das Nationale Zentrum für den Schutz personenbezogener Daten (NZSPD).

Zusätzlich kann die betroffene Person rechtliche Schritte einleiten, einschließlich der Geltendmachung von Schadensersatzansprüchen für immaterielle Schäden (Schmerzensgeld).

Die Durchsetzung der Rechte betroffener Personen ist keine bloße Formalität, sondern ein kritischer Aspekt der Rechtssicherheit und des öffentlichen Vertrauens. Für Verantwortliche ist die Achtung dieser Rechte nicht nur eine gesetzliche Anforderung, sondern auch ein Zeichen unternehmerischer Reife, Kundenorientierung und operativer Transparenz.

Datenschutzbehörde: Die Rolle des NZSPD

Das System zum Schutz personenbezogener Daten in Belarus basiert auf dem Prinzip der staatlichen Aufsicht. Die wichtigste Aufsichtsbehörde in diesem Bereich ist das Nationale Zentrum für den Schutz personenbezogener Daten (NZSPD). Neben der Überwachung der Gesetzeskonformität spielt das Zentrum auch eine wichtige beratende und präventive Rolle.

Befugnisse des NZSPD

Dem NZSPD sind weitreichende Befugnisse übertragen, die darauf abzielen, die rechtmäßige und sichere Verarbeitung personenbezogener Daten sicherzustellen. Das Zentrum:

• überwacht, wie Organisationen personenbezogene Daten verarbeiten;
• bearbeitet Beschwerden von Einzelpersonen und juristischen Personen;
• erlässt Anordnungen zur Beseitigung von Verstößen;
• führt das Register der Datenverantwortlichen;
• beteiligt sich an der Entwicklung von Leitlinien und informiert die Öffentlichkeit.

Das Zentrum hat das Recht, Dokumente anzufordern, Informationssysteme zu analysieren und Mitarbeiter von Organisationen zu befragen. Seine Anordnungen sind rechtlich verbindlich.

Geplante und unangekündigte Inspektionen

Das NZSPD führt sowohl geplante als auch unangekündigte Inspektionen durch:

• Geplante Inspektionen werden gemäß einem genehmigten Plan durchgeführt. Sie zielen typischerweise auf große Unternehmen, Regierungsbehörden und Betreiber ab, die mit sensiblen Daten arbeiten.
• Unangekündigte Inspektionen werden auf der Grundlage von Beschwerden, Berichten über mögliche Verstöße oder Risikobewertungen eingeleitet. Beispielsweise kann ein in den Medien gemeldetes massives Datenleck eine unangekündigte Inspektion auslösen.

Während einer Inspektion kann das Zentrum Dokumente analysieren, verantwortliches Personal befragen, IT-Systeme untersuchen und interne Richtlinien überprüfen. Organisationen sind verpflichtet, mit den Vertretern des Zentrums zu kooperieren.

Konsequenzen festgestellter Verstöße

Werden während einer Inspektion Verstöße festgestellt, kann das NZSPD:

• eine Anordnung erlassen, die Verstöße innerhalb einer bestimmten Frist zu beheben;
• die Verarbeitung personenbezogener Daten aussetzen oder einschränken;
• Materialien an andere Aufsichtsbehörden oder an das Gericht übergeben;
• Verwaltungsverfahren gegen verantwortliche Personen einleiten.

Unbeabsichtigte Verstöße führen in der Regel zu einer Verwarnung und einer Compliance-Anordnung. Wiederholte oder schwerwiegende Verstöße, insbesondere solche im Zusammenhang mit Datenschutzverletzungen oder der Missachtung der Rechte betroffener Personen, können jedoch schwerwiegendere Folgen wie Geldbußen, vorübergehende Betriebseinstellung und Reputationsschäden nach sich ziehen.

Leitlinien und Klarstellungen des NZSPD

Das NZSPD veröffentlicht aktiv Anleitungsmaterialien, Antworten auf häufig gestellte Fragen, Vorlagen, Einwilligungserklärungen und Anweisungen zum sicheren Umgang mit Daten. Diese Ressourcen sind wertvoll für Juristen, Führungskräfte, IT-Spezialisten und Mitarbeiter, die mit personenbezogenen Daten umgehen.

Organisationen können sich zwecks Beratung an das NZSPD wenden, Anfragen zur Einhaltung gesetzlicher Vorschriften einreichen und Unterstützung bei der Umsetzung von Datenschutzmaßnahmen anfordern. Dieser Dialog mit der Aufsichtsbehörde hilft, Risiken zu mindern und fördert eine Kultur des verantwortungsvollen Datenmanagements.

Fazit

Personenbezogene Daten sind nicht nur Informationen über eine Person. Es ist ein sensibles Gut, mit dem äußerst verantwortungsvoll umgegangen werden muss. Unternehmen, die als Datenverantwortliche agieren, müssen nicht nur die Regeln der Datenverarbeitung verstehen, sondern auch ein belastbares Schutzsystem aufbauen, das die Grundsätze der Rechtmäßigkeit, Transparenz und Achtung der Rechte betroffener Personen wahrt.

Staatliche Anforderungen im Bereich des Schutzes personenbezogener Daten entwickeln sich ständig weiter. Die Vernachlässigung dieser Themen kann sowohl rechtliche als auch reputationsbezogene Konsequenzen nach sich ziehen. Gleichzeitig fördert ein gut strukturierter Ansatz bei der Verarbeitung personenbezogener Daten das Vertrauen von Kunden, Partnern und Mitarbeitern und verringert geschäftliche Risiken.

Wenn Ihre Organisation ein Audit laufender Prozesse, Unterstützung bei der Ausarbeitung interner Richtlinien, Mitarbeiterschulungen oder rechtliche Unterstützung bei der Interaktion mit dem NZSPD benötigt, sind die Experten von AMBY Legal bereit, praktische Lösungen und umfassende Unterstützung in jeder Phase anzubieten.

Kontaktieren Sie uns

Wenn Sie Fragen zu personenbezogenen Daten in Belarus haben, helfen wir Ihnen gerne weiter! Unsere langjährige Erfahrung hilft Ihnen dabei, einen Anwalt auszuwählen, der Ihre Interessen vertritt.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.