Bayerisches Landesamt fürDatenschutzaufsicht

EU-Datenschutz-Grundverordnung (DS-GVO)
Das BayLDA auf dem Weg zur Umsetzung der Verordnung
Wichtiger Hinweis zu diesem Dokument:
Die DS-GVO wird nach der Übergangsphase von zwei Jahren am 25. Mai 2018 wirksam. Die Aufsichtsbehörden sindaktuell bemüht, durch intensive Abstimmungsrunden eine einheitliche Sichtweise der neu geregelten Grundlagen undAnforderungen an den Datenschutz auf europäischer Ebene zu erzielen. Das BayLDA beteiligt sich deshalb an verschiedenen Arbeitskreisen, die sich dieser Herausforderung auch in Deutschland stellen. In der Zwischenzeit möchte dasBayLDA Interessierten einen Einblick gewähren, welche Themenkomplexe der DS-GVO derzeit auch in der bayerischen
Aufsichtsbehörde intensiv diskutiert werden. Das BayLDA veröffentlicht deshalb in regelmäßigen Abständen (geplant:zweimal im Monat) ein kurzes Papier zu einem ausgewählten Schwerpunkt. Das BayLDA weist ausdrücklich darauf hin,dass es sich hierbei um keine verbindlichen Auffassungen handelt, sondern um gegenwärtige Interpretationen und Meinungen zur DS-GVO. Kommentare zum dargestellten gegenwärtigen Verständnis nimmt das BayLDA gerne entgegen.

XVBedingungen für die Einwilligung eines Kindes, Art. 8 DS-GVO

Verarbeitung personenbezogener Dateneines Kindes aufgrund einer Einwilligung
In der DS-GVO regelt Art. 8 DS-GVO neu, wasgenau zu beachten ist, wenn die Verarbeitung
personenbezogener Daten von Kindern auf
eine Einwilligung gestützt wird.
Tatbestandsvoraussetzungen:„Gilt Artikel 6 Absatz 1 Buchstabe a (…)“
Der Verweis zielt darauf ab, dass die Rechtmäßigkeit der Verarbeitung personenbezogener
Daten auf die Einwilligung der betroffenen
Person (d. h. des Kindes) gestützt wird. DieNeuregelung des Art. 8 DS-GVO führt nicht dazu, dass jegliche Verarbeitung von personenbezogenen Daten eines Kindes ausschließlich auf
der Grundlage einer Einwilligung zulässig ist –vielmehr dürfen auch in diesen Fällen grundsätzlich die anderen Rechtsgrundlagen aus
Art. 6 DS-GVO, wie z. B. die Erfüllung eines geschlossenen Vertrags, nicht außer Betracht
gelassen werden. Soll aber die Einwilligung
Stand: 20.01.2017

Rechtsgrundlage der Datenverarbeitung sein,sind die Neuregelungen des Art. 8 DS-GVO zubeachten.
„(…) bei einem Angebot von Diensten derInformationsgesellschaft (…)“
Die in Art. 4 Nr. 25 DS-GVO zu findende Begriffsbestimmung für einen „Dienst der Informationsgesellschaft“ verweist ihrerseits auf diediesbezügliche Definition in der Richtlinie (EU)2015/1535 des Europäischen Parlaments unddes Rates, wonach unter „Dienst“ jede „in derRegel gegen Entgelt elektronisch (…) erbrachte
Dienstleistung“ zu verstehen ist.
Da nach den Unterlagen zur DS-GVO aber gerade auch die (meist gerade nicht gegen Entgeltangebotenen) Sozialen Netzwerke von der Regelung umfasst sein sollen, dürfte beabsichtigt
sein, den Anwendungsbereich der Vorschrift
auf nahezu sämtliche Dienste zu erstrecken.

www.lda.bayern.de

Bayerisches Landesamt fürDatenschutzaufsicht„Angebot (…), das einem Kind direkt gemacht
wird (…)“
Viele Dienste wenden sich nicht ausschließlich
an die Zielgruppe der „Kinder“, sondern unbeschränkt an die Allgemeinheit. Es dürfte sichdaher in der Praxis empfehlen, den Adressatenkreis der Vorschrift besser auf Angebote zu
beziehen, die „auch“ einem Kind gemacht werden.
„Angebot (…), das einem Kind direkt gemacht
wird (…)“
In Erwägungsgrund 29 (jetzt 38) in der ursprünglichen Fassung vom 25.01.2012, der ininhaltlichem Zusammenhang mit Art. 8 DS-GVO
steht, wurde zur Definition, wann eine Person
als Kind gilt, noch auf die Definition der UNKonvention über die Rechte des Kindes verwiesen. Diese benennt als altersmäßigen Maßstab die Vollendung des achtzehnten Lebensjahres einer Person. Im weiteren Entwicklungsprozess der DS-GVO wurde dann aberzunächst eine Altersgrenze des vollendeten
dreizehnten Lebensjahres herangezogen, bevor
schließlich nun in der in Kraft getretenen Fassung das vollendete sechzehnte Lebensjahr
festgesetzt wurde. Sachliche Erwägungsgründe,die letztlich zu der Entscheidung für die Festsetzung dieser Altersgrenze geführt haben,sind – zumindest für uns – nicht ausfindig zumachen.
Zum jetzigen Zeitpunkt bestehen zudem keine
Anzeichen dafür, dass der nationale Gesetzgeber von der Öffnungsklausel in Art. 8 Abs. 1Satz 3 DS-GVO Gebrauch machen wird, die eine
niedrigere Altersgrenze möglich machen würde. Die Altersgrenze des vollendeten sechzehnten Lebensjahres gibt bereits Anlass für manche Kritik, die die Altersgrenze für zu hoch angesetzt und realitätsfremd ansieht.

Stand: 20.01.2017„Der Verantwortliche unternimmt unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen, um sich in solchen Fällen zu vergewissern, dass die Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen
Zustimmung erteilt wurde“
Diese Vorschrift lässt enormen Interpretationsspielraum (Wann unternimmt der Verantwortliche eigentlich „angemessene Anstrengungen“?) und stellt die Beteiligten vor dieFrage, wie in der Praxis ein solches Verfahren
konkret aussehen könnte, um sich von derEinwilligung eines (zumeist) Elternteils zu vergewissern. Es wird aus unser Sicht eine große
Herausforderung sowohl für die Diensteanbieter sein, derartige praktikable Verfahren zu
entwickeln, als auch für die Datenschutzaufsichtsbehörden, diese Verfahren dann letztendlich zu bewerten.
Ausblick zur Anwendungspraxis des Art. 8DS-GVO:
Es wird sich in der Praxis zeigen müssen, wiehäufig die Anwendungsfälle des Art. 8 DS-GVO
tatsächlich auftreten werden oder ob Diensteanbieter eine Verarbeitung personenbezogener
Daten von Kindern nicht auf andere Rechtsgrundlagen als die Einwilligung stützen werden.
Kommt es zur Anwendung des Art. 8 DS-GVO,
ist zu erwarten, dass sich in der Praxis nochviele Fragen stellen werden, insbesondere
wann ein Diensteanbieter „angemessene Anstrengungen“ unternommen hat und welches
Verfahren, sich der Einwilligung durch den
Träger der elterlichen Verantwortung zu vergewissern, den Anforderungen der DS-GVO
genügt und in der Praxis umsetzbar ist.

www.lda.bayern.de