Source: https://drkpi.com/dsgvo/page/3/
Timestamp: 2020-07-06 18:21:04+00:00

Document:
Datenschutz Wiki: Beste Umsetzung? Risiko Analyse, Audit
“Immer häufiger werden sensible Gesundheits- und Kundendaten durch Datenlecks öffentlich.”
Zitat von Urs E. Gattiker, CEO drkpi, CyTRAP Labs GmbH (Juli 2019)
Hochwertiges Wissen rund um das spannende Thema Datenschutz.
Wir unterstützen Kunden bei der optimalen Einhaltung der EU Datenschutzgrundverordnung (DSGVO) und E-Privacy-Verordnung (EPVO). Weitere Informationen und einen ersten kurzen DSGVO-Check bieten wir Ihnen in einem persönlichen Gespräch. Kontaktieren Sie uns, wir helfen gerne.
Wie wichtig ist uns Datenschutz?
Wenn wir jemanden fragen, wird er bestätigen, dass er Datenschutz wichtig findet. Was heisst das in der Praxis?
Der Datenschutzbeauftragte (DSB) vom Kanton Zürich beaufsichtigt die Datenbearbeitungen der kantonalen Verwaltung und Gemeinden sowie der öffentlichen Einrichtungen. Er überprüft mittels Kontrollen (Datenschutzreviews), ob die Anforderungen des Datenschutzes in rechtlicher, organisatorischer und sicherheitstechnischer Hinsicht eingehalten werden.
Seine Organisation hilft in Sachen Datenschutz:
Sie kann den rund 1‘516‘800 Einwohnerinnen und Einwohnern im Kanton Zürich (Ende 2018) Fragen zum Datenschutz in der öffentlichen Verwaltung beantworten,
und sie überwacht die Datenverarbeitung von rund 26,000 Mitarbeitern, die Vollzeit in der Verwaltung des Kantons arbeiten. In dieser Zahl sind die Daten der Mitarbeiter der Gemeinden inklusive der Spitäler oder Kliniken noch nicht enthalten. Auch Patientendaten der Kliniken müssen vom Datenschützer überprüft werden.
All diese Arbeit schafft er oder sie mit rund 12 Mitarbeitern – ab 2020 mit 3 zusätzlichen Stellen, welche im November 2019 vom Kantonsrat wegen der Digitalisierung der Verwaltung zusätzlich bewilligt wurden.
Wie wichtig Datenschutz ist, wird sicherlich keiner von uns bezweifeln. In der Wirklichkeit kann es jedoch anders aussehen. Ein Beispiel:
Eine der zehn grössten Kliniken/Spitäler in der Schweiz beschäftigt 4.5 Vollzeitstellen für Kommunikation und Corporate Communication (z.B. PR, Mitarbeiterzeitung, Online Content, usw.),
gleichzeitig hat sie nur einen Datenschutzbeauftragten, der es schaffen muss, sicher zu stellen, dass
die Daten von knapp 3000 Mitarbeitern und
die jährlichen Gesundheitsdaten von 260,000 Patienten dateschutzkonform bearbeitet werden.
Die Praxis zeigt, dass Datenschutz und Datensicherheit wichtig sind. Doch Organisationen stellen weit mehr Ressourcen für Kommunikationsaktivitäten bereit als für den Datenschutz.
Die Einhaltung der DSGVO ist eine fortlaufende Aufgabe. Sie brauchen einen Aktionsplan für die DSGVO und ebenfalls Dokumentation was, wie gemacht wurde um die Risiken zu minimieren und den Datenschutz zu verbessern.
Vorteile: Konsumenten haben ein Recht auf ihre Daten und deren Löschung.
Nachteile: Administrativer Aufwand ist teuer für kleinere Firmen.
To-do: Unbedingt die interaktive Infografik der EU-Kommission zur DSGVO anschauen. Danach ist jeder schlauer!
DSGVO Geldstrafen bei Verstoss
Die Datenschutz-Grundverordnung sieht bei einem Verstoss gegen den Datenschutz Bussgelder bis zu 20 Millionen Euro oder aber bis 4 Prozent des weltweiten Jahresumsatzes eines Unternehmens vor (mehr Infos zu Bussgelder hier).
Vorteile: Bei Verstoss hat es finanzielle Konsequenzen für das Unternehmen.
Nachteile: Nachforschungen sind aufwendig für das Unternehmen und die Busse kompensiert den Konsumenten für den Schaden nicht.
Die CCPA gibt den kalifornischen Verbrauchern das Recht, Informationen zu sehen, die ein Unternehmen über sie besitzt, und fordert, dass sie gelöscht oder nicht weiterverkauft werden.
Vorteile: Konsumenten haben ein Recht auf ihre Daten, Reputationsschaden bei Verstoss für Firmen
CCPA Geldstrafen bei Verstoss
Der kalifornische Generalstaatsanwalt kann bis zu 7.500 Dollar pro Person für jeden allgemeinen Verstoß gegen die Regeln verlangen, wenn vorsätzlich gehandelt wurde. Aber im Falle eines Hacks können Einzelpersonen für bis zu 750 $ pro Person klagen, auch wenn kein Schaden verursacht wird, oder für tatsächliche Schäden, je nachdem, welcher Betrag höher ist.
Nachteile: Die Klagesumme pro geschädigten Konsument ist mit USD 75 relativ bescheiden. Nachforschungen nach einem Hack sind aufwendig für das Unternehmen und die Busse bis 7.500 pro Person je Verstoss hilft Konsumenten nur indirekt aber entschädigt sie nicht für den erlittenen Schaden. USD 75 sind da eine niedrige Summe.
Ob DSGO oder CCPA, Verantwortliche und Auftragsverarbeiter (z.B. Cloud Provider und externer Lohnbuchhalter) stehen in der Pflicht, im Zweifel die Rechtmässigkeit der Datenverarbeitung nachzuweisen (sog. „Rechenschaftspflicht“). Dies bedingt der Führung von Verarbeitungsverzeichnissen nach Art. 30 DSGVO.
Klar ist, dass grosser Ehrgeiz bei der Dokumentation aller datenschutzrelevanten Vorgänge auch zu einem hohen Dokumentations- bzw. Verwaltungsaufwand führt. Dieser ist mit Kosten verbunden. Wichtig sind ebenfalls die notwendigen Ressourcen wie externes oder internes Fachpersonal bereit zu stellen, was wiederum Kosten verursacht.
USA Clarifying Lawful Overseas Use of Data Act (Cloud Computing Act)
Seit März 2018 ist der Cloud Computing Act in den USA in Kraft. Er stärkt die Befugnisse der US-Regierung, im Ausland gespeicherte Daten zu erhalten. Der Cloud Act regelt den Zugriff von US-Behörden auf Daten, die bei Cloud-Service-Providern mit US-Bezug liegen (z.B. US Firmen wie Amazon oder EU Firma mit z.B. Niederlassung / Tochtergesellschaft in den USA).
Dies Regulierung gilt unabhängig ob der Server in den USA, Deutschland oder der Schweiz liegt. Nur die UK hat bis heute ein “executive agreement” (bilaterales Rechtshilfeabkommen). Ohne dieses muss sich ein Cloud-Service-Provider vor einem US-Gericht verantworten. Die Vergangenheit hat gezeigt, dass die USA den US-Bezug sehr grosszügig auslegen, wenn es darum geht, an die gewünschten Daten zu kommen.
Digitalisierung von Prozessen und Abläufen wird immer wichtiger. Zum Beispiel kann es darum gehen wie Steuerdaten in der Cloud gespeichert werden. Auch die Polizei nutzt Daten z.B. für die automatische Erkennung von Nummernschildern bei Autos und Motorrädern.
Überall bei solchen Applikationen aber auch privaten Firmen müssen Datenschutzfragen abgeklärt werden. Hinter dem Begriff “Datenschutz by Design” steht “Datenschutz durch Gestaltung der Prozesse und Technik”.
Wir müssen also bei der Analyse der Prozesse und der Erarbeitung neuer technisch integrierter Prozesse oder der Überprüfung bereits bestehender Prozesse sicher stellen, dass dem Datenschutz und der Datensicherheit genüge geleistet wird.
Welche Schutzmaßnahmen das genau sind, lässt die DSGVO weitestgehend offen. Ein Beispiel das genannt wird ist die Pseudonymisierung. Konkretisierungen werden wenn überhaupt sehr vague gehalten. Trotzdem dürften aber die an anderer Stelle im Gesetz genannte Verschlüsselung sowie die Anonymisierung der Daten zu den möglichen Schutzvorkehrungen zählen. Ebenfalls ist die Nutzerauthentifizierung und die technische Umsetzung des Widerspruchsrechts Pflichtprogramm. Natürlich muss dabeu darauf geachtet werden, dass die Implementierungskosten im voraus kalkuliert und budgetiert werden.
Datenschutzreview / Datenschutz Audit
Der Datenschutzbeauftragt kontrolliert die Anwendung der rechtlichen, technischen und organisatorischen Vorschriften über
den Datenschutz und die Informationssicherheit durch das Unternehmen oder ein öffentliches Organ.
Dazu führt er Datenschutzreviews, Kontrollen auf Anlass sowie technische Kontrollen durch.
Darknet - Gestohlene Daten zu Schnäppchenpreisen
Im Darknet verkaufen Kriminelle Informationen und Hacker-Dienstleistungen schon ab USD 4.
USD 15-20 für für gestohlene Kreditkarteninformationen
USD 225 und aufwärts für Ransomware zur Durchführung erpresserischer Hacker Angriffe
USD 60 pro Stunde für DDoS-Attacken zur Lahmlegung von Websites und Servern
USD 4-6 für komplette personenbezogene Datensätze mit Namen, Geburtsdatum und Adresse welche für den Deibstahl von Identitäten genutzt werden können
USD 65 zusätzliche Kosten wenn zu personenbezogenen Daten auch noch Bank und Finanzinformationen geliefert werden
USD 175 dazu wenn Zugangsdaten für ein Girokonto mit einem Verfügungsrahmen von Euro 7,000 benötigt werden
USD 25 kostet es wenn es sich um ein Bankkonto in den USA handelt mit einem VErfügungsrahmen von USD 10.000
USD 13 kostet es um Social Media Konten Information zu bekommen
USD 8 kostet ein Netflix login
Mehr Informationen unter Ressourcen unten (siehe Butler)
Greta Thunberg und Deutsche Bahn
Auf Social Media gilt es aufzupassen, sodass nicht versehentlich Kundendaten preisgegeben werden, welche laut DSGVO nicht an die Öffentlichkeit gelangen dürfen.
Beispiel: DB macht Greta Thunberg’s personengebundende Fahrgastdaten (“Erste Klasse”!) öffentlich nachdem sie über ihre Zugfahrt getwittert hat (siehe Images unten).
Nebenbei verletzte die Bahn noch die Greta persönlich, indem die DB insinuierte sie sei eine Blenderin und Heuchlerin. Was nicht stimmte, sie ist von Basel SBB (nachdem ein Zug ausgefallen ist) bis Göttingen in 2 DB Zügen auf dem Boden gesessen. Erst danach hatte sie einen Sitzplatz in der 1. Klasse.
2 x #bigfail für die Bahn und ein PR disaster.
Greta Thunberg macht unbezahlte PR als Umweltaktivistin für die DB.
Erste DB Antwort auf Greta Thunberg’s Tweet – Zug überfüllt – gute PR Antwort
Greta Thunberg muss falsche Infos der DB zu Ihrer selbst im Zug richtig stellen: DB nutzt PR Möglichkeit nicht = #bigfail
#DB macht Greta’s personengebundende Fahrgastdaten (“Erste Klasse”!) öffentlich und insinuiert sie sei eine Blenderin und Heuchlerin. #bigfail
Wie erkläre ich das meiner Chefin?
Vorgesetzte oder Inhaber eines mittelständischen Unternehmens, Freelancer oder Handwerksbetrieb erklären wir die Sache so:
Wenn wir Daten von Mitarbeitern oder Kunden erfassen, speichern und bearbeiten (z.B. Lohndaten) betrifft uns die DSGVO.
Wenn wir einen Newsletter versenden oder aber Nutzer-Tracking auf der Webseite betreiben, betrifft uns die DSGVO
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bietet einen Online-Test an, mit dem Unternehmen herausfinden können, ob sie von der DSGVO betroffen sind oder nicht. Sehr interessantes Tool.
Erfahren Sie mehr über die DSGVO und die optimale Anwendung im B2C sowie B2B Bereich wie z.B. im Marketing, Direct Marketing und für E-Shops.
Die E-Privacy-Verordnung (EPVO) – wir auch als verschärfte Datenschutz-Gesetzgebung beschrieben – lässt weiterhin auf sich warten. Ein Ende November eingereichter Entwurf der finnischen Ratspräsidentschaft haben die ständigen Vertreter der Mitgliedstaaten (d.h. die Botschafter der EU-Länder bei der Kommission in Brüssel) abgelehnt.
Doch eine nochmals abgeschwächte EPVO geht möglicherweise gar nicht mehr viel weiter als die DSGVO. Auch das Cookie Zeitalter scheint sich langsam seinem Ende zu nähern.
Der Firefox Browser (in DE mit 36% Marktanteil auf dem Desktop) blockiert Third Party Cookies (z.B. ein Cookie von Google auf der drkpi Seite). Von Google ist mit seinem Chrome Browser wenig zu befürchten. Als Dominator im Online-Werbegeschäft – rund 94% der Einnahmen kommen von daher – wäre dies auch gar nicht im Interesse von Google.
Ein weitreichendes Tracking is ohne Third Party Cookies nur möglich, wenn es eine gemeinsame Advertising-ID gibt. Dies bieten NetID, The Trade Desk, das Advertising ID Consortium und Digitrust, ein Projekt des Interactive Advertising Bureau (IAB). Doch Firefox wird schon bald auch die Digitrust-ID (ein Cookie) des IAB blockieren.
Auf Anfrage des DE Bundesgerichtshofs hat der Curopäische Gerichtshof entschieden, dass man die Einwilligung zur Cookie-Verwendung nicht über ein vorangekreuztes Auswahlkästchen einholen Kann. Vilmehr muss der Webseitenbetreiber aktiv die Einstimmung vom Nutzer einholen. Ob die Einwilligung überhaupt notwendig ist, wurde vom EuGH nicht behandelt!
Wie bei der DSGVO wird es auch bei der EPVO eine Übergangsfrist geben. Das sollte reichen um die notwendigen Änderungen rechtzeitig vornehmen zu können.
PS. Für Mai 2020 ist eine Evaluation der DSGVO durch die EU Kommssion geplant.
Seit dem 1. Januar 2020 gilt im US Staat Kalifornien ein ähnliches Datenschutz-Gesetz wie das DSGVO. Es nennt sich California Consumer Privacy Act (CCPA).
In der föderal organisierten USA fällt der Bereich des Datenschutzes bis heute primär in den Aufgaben- und Zuständigkeitsbereich der Bundesstaaten. Zur Zeit existiert auf Bundesebene kein mit der Datenschutz-Grundverordnung (DSGVO) vergleichbares Gesetz zur umfassenden Regelung des Datenschutzes.
Der Bundesstaat Kalifornien nimmt hier eine Vorreiterrolle ein. Der California Consumer Protection Act (CCPA) gibt den Verbrauchern ein bis dato für die USA unbekanntes Datenschutzniveau. In Kraft trat dieses Gesetz zum 1. Januar 2020.
DSGVO wie auch CCPA haben zum Ziel, den Datenschutz von Privatpersonen zu schützen und die Datensicherheit zu verbessern. Zentrales Ziel der CCPA ist die Herstellung von Transparenz im Bereich der Datenverarbeitung zu erhöhen. Interessant ist, dass das Gesetz von einer Bürgerinitiative ausging.
Nach dem CCPA hat der Verbraucher das Recht auf einen Widerruf (Opt-out). Gemäss Section 1798.135 (a) (1) muss das Unternehmen einen deutlich sichtbaren Link auf ihrer Webseite mit dem Titel “Do Not Sell My Personal Information” (Verkaufen Sie meine personenbezogenen Daten nicht) anbieten, der den Verkauf der personenbezogenen Daten untersagt.
Auch Cookies (First-Party und Third-Party-Cookies) sind laut CCPA personenbezogene Daten. Durch die gesetzlich vorgeschriebene Opt-out-Möglichkeit kann der Verbraucher verhindern, dass Werbetreibende mithilfe von Tracking passende Produktplatzierungen anzeigen können.
Für mehr Informationen inkl. Checkliste, kontaktieren Sie uns.
Warum hat Datenschutz viel mit Big Data zu tun?
Ich mag Fragebögen, seltsam vielleicht. Aber in letzter Zeit habe ich gefühlt Stunden damit verbracht, Anfragen nach Bewertungen und Reviews auszufüllen oder abzuwehren. Übereifrige Airbnb-Hosts, nutzlose Versorgungseinrichtungen, Post Kuriere, familiengeführte Hotels mit TripAdvisor-Besessenheit, Fluggesellschaften und Restaurants wollen Feedback. Alle wollen, dass ich meine Zufriedenheit quantifiziere.
Das bedingt z.B., dass die Datenerhebung korrekt gemacht wird und die Daten anonymisiert gespeichert, oder aber zumindest vertraulich behandelt werden. Alles Dinge, welche in der DSGVO vorgeschrieben sind und dokumentiert werden müssen.
Unten habe ich ein Beispiel einer eMail als Screenshot vom Motel One mit der Aufforderung, das Motel zu bewerten.
Motel One will eine Bewertung: Wer nimmt sich die Zeit? Sehr zufriedene Kunden und solche die wirklich unzufrieden waren. Ist das eine repräsentative Stichprobe? Wohl kaum.
Doch sind solche Daten wie die von Motel One von Gästen zwei Tage nach deren Abreise gesammelten Fragebögen von hoher Qualität? Wir erklären es unten.
Durch was zeichnet sich gute Datenqualität aus
Im Beispiel unten von der Bruno Wickart AG werde ich aufgefordert, wenn mein Einkaufserlebnis positiv war, schnellstens die Firma zu bewerten. Um es mir noch ein wenig attraktiver zu machen, bekomme ich einen Gutschein für meinen nächsten Einkauf.
Aus diesem Grunde sind solche Bewertungen oft mit Vorsicht zu geniessen, da sie nicht die Meinung aller Kunden widerspiegeln. Meistens sind die Daten weder repräsentativ, zuverlässig noch valide (siehe oben). Bei Wickart bedeutet dies, wahrscheinlich nur zufriedene Kunden haben eine Bewertung abgeben, oder aber solche, die unbedingt den Gutschein wollten.
Bruno Wickart AG Zug – so bringen Kundenevaluationen wenig bis gar nichts
Ein Dankeschön für die Bewertung zu bekommen ist sicherlich lobenswert. Nur werden so alle Bewertungen beeinflusst, d.h. sind sicherlich positiv. Somit bieten sie den neuen Kunden, welche sich informieren wollen, keine Möglichkeit ein valides, objektives und faires Bild über die Qualität und den Service vom Unternehmen zu bekommen.
Gleiches passiert auch auf Airbnb oder anderen Plattformen. Auch hier zeigen Studien über die Airbnb Bewertungen, dass die meisten Bewertungen von Vermieter und Mieter positiv sind. Von 600,000 Mietobjekten, welche in die Studie einbezogen wurden, hatten fast alle positive Bewertungen zwischen 4.5 und 5 Punkten/Sternen. Fast keine bekam unter 3.5 Sternen.
Wenn die Erfolgsrate 70% oder mehr beträgt, ist die Bewertung, die “wirklich einen Unterschied macht”, etwas niedriger. Denn schlechte Noten können ein Mietobjekt auf Airbnb “unvermietbar” machen, einen Fahrer bei Uber auf Bewährung setzen und möglicherweise für einen Angestellten die Kündigung zu Folge haben.
Doch eben, solche Datensets sind oft weder ein Spiegelbild der tatsächlichen Kundenerfahrungen, noch entsprechen sie der Wahrheit. Die Resultate solcher Übungen werden durch Voreingenommenheit der Teilnehmer und Diskriminierung beeinflusst, was einige Forscher als “idosyncratic rater effect” bezeichnen.
Für Messen und andere Veranstaltungen, an denen Sie teilnehmen, hängt der Erfolg der Datensammlung oft von der Menge ab. Auch die Qualität der Leads spielt eine wichtige Rolle. Anders läuft es bei Veranstaltungen die man selber durchführt. Hier kann der Erfolg stark von der Markenbekanntheit abhängen, d.h. eine bekannte Marke wird auch Teilnehmer Leads generieren, die von hoher Qualität sind.
Was immer Sie tun, seien Sie vorsichtig was die Daten betrifft. Zum Beispiel, an einem Kongress muss sichergestellt sein, dass ein Häkchen gemacht werden muss, welches es zum Beispiel dem Veranstalter erlaubt, die gesammelten Daten an Dritte weiterzureichen. Ein Beispiel: Der Marketing Club Lago soll Teilnehmeradressen aus der Region Bodensee erhalten. Er erhält damit die Möglichkeit, diese Personen für zukünftige Veranstaltungen einzuladen. Ebenfalls kann er diese Leute zur Rekrutierung von neuen Mitgliedern ansprechen. Doch dies muss eindeutig bewilligt werden, beispielsweise mit einem Satz und einem einzufügenden Häkchen des Teilnehmers:
ich gebe dem DMV das Recht meine Daten dem lokalen Marketing Club zu übermitteln, welcher diese für meine Einladungen an zukünftige Events nutzen kann.
Der obige Satz zeigt auch auf, für welchen Zweck man die Daten nutzen darf und für welchen nicht. Alternativ kann man auch eine Liste aushändigen (oder vorher bereits bei der Anmeldung online schalten), wo man sein Einverständnis geben kann.
Hier finden Sie eine laufend aktualisierte Liste von Fällen in Sachen Datenschutz. Primär sind dies EuGH Entscheidungen.
Das EuGH gewährleistet, dass EU-Recht in allen EU-Mitgliedsländern auf die gleiche Weise angewendet wird und sorgt dafür, dass Länder und EU-Institutionen das EU-Recht einhalten.
Ein wichtiges Facebook Urteil das auch die Nutzung von Twitter beeinflusst steht noch aus. Hintergrund sind ein Urteil des Europäischen Gerichtshofs und ein Urteil des Bundesverwaltungsgerichts. Darin heisst es, dass Facebook und den Betreibern von Fanpages eine gemeinsame Verantwortung für die Verarbeitung von personenbezogenen Daten zukommt, das heisst nach DSGVO müsste Facebook alle Datenverarbeitungsprozesse offenlegen. Dieses Urteil des Europäischen Gerichtshofs ist bindend.
Die Hintergründe und Auswirkungen haben wir besprochen. Vor dem Oberverwaltungsgericht in Schleswig steht noch ein Urteil aus. Dort soll es um die Frage gehen, ob und inwieweit die Datenverarbeitungsvorgänge auf den Fanpages von Facebook rechtswidrig sind. Falls dies der Fall ist, können Kommunen, Bürgermeister und öffentliche Verwaltungen Social Media nicht mehr nutzen. Wir sind gespannt.
Court of Justice of the European Union (CJEU) – Gerichtshof der Europäischen Union (EuGH)
Fall: EuGH i.S. Schrems II (C-311/18)
Der Generalanwalt des EuGH (Attorney General, AG; Henrik Saugmandsgaard Øe) hält die von der EU-Kommission für die Datenübermittlung in Drittstaaten beschlossenen Standardvertragsklauseln für wirksam. Seiner Meinung nach sind die Vereinbarungen, die von vielen Unternehmen, einschließlich Facebook, zur Untermauerung von Aktivitäten wie ausgelagerte Dienste, Cloud-Infrastruktur, Daten-Hosting und Finanzen verwendet werden, legal. Seine Empfehlung vom 2019-12-19 ist hier auf Englisch abrufbar.
Aber der Generalnwalt des EuGH findet ebenfalls, dass eine strengere Durchsetzung durch die Behörden geben muss. Das würde z.B. bedeuten, dass eine Datenübermittlung wie das Versenden von E-Mails oder die Buchung eines Hotels vielleicht verbieten müssten. Dies wäre dann der Fall, wenn die Gesetze der Länder, die die Daten erhalten, wie z.B. die USA, mit den Datenschutzanforderungen der Vereinbarungen, den so genannten Standardvertragsklauseln, in Konflikt geraten.
Das hat mögliche Auswirkungen für das Outsourcing, weil die US-Überwachungsgesetze diese Unternehmen verpflichten, Daten an die Nationale Sicherheitsbehörde (NSA) weiterzugeben.
Das gibt dem Datenschutzaktivisten Max Schrems (aus Wien) Auftrieb, der den Fall 2013 aus Sorge um die massenhafte Überwachung der Europäer durch die US-Regierung auf den Weg gebracht hat.
Das Gericht, das solchen Empfehlungen in vier von fünf Fällen folgt, wird in den kommenden Monaten – vielleicht im März 2020 – entscheiden.
Geldstrafen CH Firmen
Firmenname unbekannt – Schweizer Firma
Datenschutzbehörde: Österreichische Datenschutzbehörde
Urteil/Verweis: 2019-08-22
Aufforderung: Richtigstellung in 4 Wochen
Das betroffene Schweizer Unternehmen betreibt eine Website mit der Länderdomain .at und erbringt Dienstleistungen und betreibt Hotels in Österreich.
Die Datenschutzbehörde sah Art. 3 Abs. 2 lit. a DSGVO als erfüllt an (Angebotsausrichtung). Sodann habe der schweizerische Verantwortliche Personendaten über ein Kontaktformular „erhoben“, weshalb Art. 13 DSGVO anwendbar war.
Erforderliche Angaben waren auf einer Webseite verfügbar. Jedoch hat der Verantwortliche nicht darauf hingewiesen. Auch wurden bis zum Abschluss des Verfahrens nicht alle erforderlichen Informationen nachgereicht. Insbesondere war die Angabe eines „Datenschutzverantwortlichen“ ungenügend, weil die DSGVO diesen Begriff nicht kennt.
Mehr Infos hier: https://www.ris.bka.gv.at/Dokumente/Dsk/DSBT_20190822_DSB_D130_206_0006_DSB_2019_00/DSBT_20190822_DSB_D130_206_0006_DSB_2019_00.pdf
PS. Leider informiert die Österreichische Datenschutzbehörde auf deren Webseite nicht, ob der Fall zu ihrer Zufriedenheit von der Schweizerischen Firma geklärt wurde. Email Anfragen werden sowieso von der Behörde im Gegensatz zu anderen Ländern nicht beantwortet.
PPS. Auch ein Regulator ist nicht von Unwissen gefeit, z.B. wusste die Österreichische Datenschutzbehörde nicht, was ein “betrieblicher Datenschutzverantwortlicher” ist und fragte deshalb beim CH Unternehmen nach (siehe pdf Dok. oben). Mit dem revidierten Datenschutzgesetz in der Schweiz wird dann diese Rolle von einer von der Führung unabhängigen Person übernommen, welche den Titel “Datenschutzberater” hat. Hoffentlich werden das die AT Behörden verstehen.
Geldstrafen EU Firmen
Sie finden alle Bussgeldentscheiden in Sachen DSGVO in der EU hier. Unsere Liste ist nur eine Auswahl.
EUR 10.000,– DSGVO-Strafe für „Kleinstunternehmen“
Datenschutzbehörde: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BFDI), Bonn
Urteil/Verweis: 2019-12-09
Busse/Strage: EUR 10.000
Die Telekommunikationsanbieterin Rapidata GmbH hat trotz Verpflichtung und Aufforderung keinen Datenschutzbeauftragten bestellt.
Dies ist jedoch nach Artikel 37 der DSGVO eine gesetzlich Auflage. Das Unternehmen hat trotz mehrmaliger Aufforderung keinen betrieblichen Datenschutzbeauftragten benannt.
Der BfDI teilte mit, dass bei der Höhe der Geldbuße von 10.000 Euro berücksichtigt wurde, dass es sich hierbei um ein Unternehmen aus der Kategorie der Kleinstunternehmen handelt.
Datenschutzbehörde: Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI)
Urteil/Verweis: 2019-12-03
Busse: EUR 105.000
Hier geht es um die Verwechslung eines Patienten bei der Aufnahme. Im Zusammenhang damit ist es laut Mitteilung vom rheinland-pfälzischen Datenschutzbeauftragten zu mehreren Verstössen gegen die Datenschutz-Grundverordnung gekommen. So wurde beispielsweise eine Rechnung an die falsche Adresse geschickt.
Die Panne habe “strukturelle technische und organisatorische Defizite des Krankenhauses beim Patientenmanagement” offenbart, so der Datenschutzbeauftragte.
Mehr Infos hier: https://www.datenschutz.rlp.de/de/aktuelles/detail/news/detail/News/geldbusse-gegen-krankenhaus-aufgrund-von-datenschutz-defiziten-beim-patientenmanagement/
Urteil/Verweis: 2019-10-23
Busse: EUR 18 Mio (noch nicht rechtskräftig)
Die Österreichische Post AG (zur Hälfte im Besitze des Staates) verstiess gegen die DSGVO indem sie von 2,2 Millionen Menschen in Österreich Daten zu deren Parteiaffinität gesammelt hat.
Rechtsverletzung sah die Datenschutzbehörde auch wegen der Weiterverarbeitung von Daten über die Paketfrequenz. Ebenfalls war die Datensammlung zur Häufigkeit von Umzügen zum Zweck des Direktmarketings nicht rechtens. Diese Weiterverarbeitungen finden keine Deckung in der DSGVO.
Die österreichische Post informierte Investoren wie folgt:
Nicht inkludiert ist eine Rückstellung für eine Verwaltungsstrafe in Höhe von 18 Mio EUR, die die Datenschutzbehörde gegen die Österreichische Post wegen Verwendung von Marketingdaten ausgesprochen hat. Das Straferkenntnis ist nicht rechtskräftig, die Österreichische Post wird gegen diesen Bescheid erster Instanz Rechtsmittel ergreifen.
Weitere Infos in der Pressemitteilung: https://www.ots.at/presseaussendung/OTS_20191029_OTS0095/strafverfahren-gegen-oesterreichische-post-ag von der https://www.dsb.gv.at/
Oberschulbehörde in Skelleftå, Nordschweden
Datenschutzbehörde: Datainspektionen (DPA)
Urteil/Verweis: DI-2019-2221, 2019-08-20
Busse: SEK 200.000, ca. EUR 16.500
Datainspektionen (DPA) verhängte zum ersten Mal eine Geldbusse. Grund war die Nutzung von Gesichtserkennungssoftware für die Schüleranwesenheitskontrolle welche in einem dreiwöchigen Pilotprojekt genutzt wurde.
Die DPA sah dies als ein Verstoss gegen die EU-Datenschutzgrundverordnung (DSGVO). Die DPA erachtete die Einwilligung der Eltern der Schüler im vorliegenden Fall wegen des Abhängigkeitsverhältnisses als nicht freiwillig erteilt.
Ebenfalls fand der Regulator, dass die Schule eine vorgängige Datenschutz-Folgenabschätzung nicht durchgeführt habe obwohl dies laut DSGVO notwendig sei.
Mehr Infos hier: https://www.datainspektionen.se/globalassets/dokument/beslut/beslut-ansiktsigenkanning-for-narvarokontroll-av-elever-dnr-di-2019-2221.pdf
PWC Griechenland
Datenschutzbehörde: Hellenic Data Protection Authority (DPA)
Urteil/Verweis: 26/2019 2019-07-30
Busse: EUR 150.000
PricewaterhouseCoopers Business Solutions SA (PwC BS) wurde gebüsst weil das Unternehmen sich für die die Verarbeitung von Mitarbeiterdaten auf eine falsche Rechtsgrundlage abstützte. Der Fall illustriert, dass die korrekte Umsetzung der DSGVO von grosser Wichtigkeit ist. Zum Beispiel war die Einwillung zur Verarbeitung von persönlichen Daten Teil des Arbeitsvertrages. Das heisst, die Einwilligung wurde im Rahmen des Arbeitsverhältnisses abgegeben. Dies könne laut der Hellenic DPA aufgrund des offensichtlichen Ungleichgewichts der Parteien nicht als freiwillig angesehen werden.
Auch fand der Regulator, dass PwC BS seine Rechenschaftspflicht verletzt (Accountability-Grundsatz) habe. Dies weil keine interne Dokumentation über die Wahl der Rechtsgrundlage eingereicht und damit kein Nachweis der Rechtmässigkeit der Datenverarbeitung erbracht werden konnte.
Somit wurden die personenbezogenen Daten seiner Mitarbeiter widerrechtlich entgegen den Bestimmungen von Artikel 5(1)(a) Einzug Text (a) der DSGVO verarbeitet, da sie eine unangemessene Rechtsgrundlage verwendet hat.
Die Hellenic DPA ordnete Massnahmen an, um die Konformität mit der EU-Datenschutzgrundverordnung (DSGVO) herzustellen.
Mehr Information auf Englisch inklusive das Urteil auf griechisch hier: https://edpb.europa.eu/news/national-news/2019/company-fined-150000-euros-infringements-gdpr_en
Hier berichten wir über wichtige Aktivitäten der Datenschützer in verschiednen Ländern.
Google wird beschuldigt, gegen die DSGVO-Regeln der EU zu verstossen
2020-03-16 Brave Browser hat bei der Irish Data Protection Commission geben Google Beschwerde eingereicht.
Before the Data Protection Commission between Dr. John Ryan versus Google Ireland Limited and Google LLC – Ground of Complaint to the Data Protection Commission (PDF Datei der eingereichten Beschwerde).
Die Beschwerde macht Google den Vorwurf gegen Artikel 5(1)b der DSGVO zu verstossen welcher verlangt, dass Daten für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist.
Genau geht es darum das Google personenbezogenen Daten der Nutzer zwischen seinen Produkten wie YouTube, Google Maps, Gmail, usw. austauscht. Dies tut Google gemäss eingereichter Beschwerde, ohne die ausdrückliche Zustimmung dazu einzuholen. Damit würde das Unternehmen gegen Grundprinzipien des DSGVO verstossen.
Speziell heisst es z.B. in von Google veröffentlichten Dokumenten und Nutzungsbedingungen:
“Location History saves where you go with your devices. This data is saved even when you aren’t using a specific Google service, such as Google Maps or Search… This data may be saved and used in any Google service where you are signed in {and}… helps Google give you more personalised experiences … both on and off Google.”
“Location History” speichert, wohin Sie mit Ihren Geräten gehen. Diese Daten werden auch dann gespeichert, wenn Sie keinen bestimmten Google-Dienst wie Google Maps oder die Suche verwenden… Diese Daten können in jedem Google-Dienst gespeichert und verwendet werden, bei dem Sie angemeldet sind {und}… hilft Google, Ihnen personalisierten Service zu bieten … sowohl bei Google als auch ausserhalb von Google”.
Die Beschwerde weisst daruf hin das Google keine rechtliche Handhabe hat für solche und weitere Datenerfassungen oder wie es diese Nutzerdaten einsetzt. Diese Informationen hat Brave Browser (ein kleiner Konkurrent von Google Chrome) in mehr als 100 veröffentlichten Dokumenten und Nutzerbedingungen von Google zusammengetragen.
Google Einstellungen verbessern
Klicken Sie auf “Privatsphärecheck”.
Butler, Laura (2019-02-26) . Cybercriminals raking in over $3bn a year from social media crime. Aufgerufen 22. Dezember, 2019 auf https://www.surrey.ac.uk/news/cybercriminals-raking-over-3bn-year-social-media-crime
Europäische Union (2019-06-14). Datenschutz und Privatsphäre im Online-Umfeld. Aufgerufen 22. Dezember, 2019 auf https://europa.eu/youreurope/citizens/consumers/internet-telecoms/data-protection-online-privacy/index_de.htm
Gattiker, Urs E. , Temmen, Taina und Sinistra, Patrizia (Jan/Feb, 2018). DMV Szene EU-Datenschutzgrundverordnung (DSGO): Was ist Sache für Marketing-Manager, Geschäftsleitung und Vorstand? Absatzwirtschaft, 1/2. Aufgerufen 9. Dezember, 2019 auf https://drkpi.com/en/portfolio-item/gdpr-for-the-board/
Gattiker, Urs E. , Temmen, Taina und Sinistra, Patrizia (Juni 2018, 2 Auflage). EU-Datenschutzgrundverordnung (DSGO): Was ist Sache für Marketing-Manager, Geschäftsleitung und Vorstand? Aufgerufen am 9. Dezember, 2019 auf https://drkpi.com/en/portfolio-item/gdpr-for-the-board/
Ewiger, Chris und Gattiker, Urs E. (April 2019) Check-in. Diskutiert doch mal … die DSGVO als USP Europas. Absatzwirtschaft, 4. Aufgerufen am 9. Dezember, 2019 auf https://drkpi.com/portfolio-item/artikel-dsgvo-debatte/
DSGVO und CCPA – was ist gleich, was ist anders?
Erfahren Sie in diesem Leitfaden wie sich DSGVO und CCPA gleichen und welche wichtigen Unterschiede sie beinhalten.
Wenn Ihr Schweizer Unternehmen DSGVO erfüllt, heisst das nicht, dass Sie auch CCPA compliant sind.
Unser Leitfaden hilft Ihnen, sich vor den Risiken eines Gerichtsfalles in Kalifornien zu schützen.

References: Art. 30
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 EuGH 
 Art. 3
 Art. 13