Source: https://www.bfdi.bund.de/bfdi_forum/showthread.php?t=8225&page=2&p=51410
Timestamp: 2018-09-25 20:20:29+00:00

Document:
Sind eine Anruferliste und IP-Speicherung bei Seitenanruf Datenerhebung? - Seite 2
Sind eine Anruferliste und IP-Speicherung bei Seitenanruf Datenerhebung?
Thema: Sind eine Anruferliste und IP-Speicherung bei Seitenanruf Datenerhebung?
13.06.2018, 15:23 #11
Also in meinen Augen sind ihre Ziffern 1 + 2 definitiv keine Erhebung. Bei 3 bin ich mir auch ziemlich sicher.
Bei 4 sehe ich es schon als erheben an, da ich ja den Rahmen aktiv gestalte und das mit einem bestimmten Zweck um gezielt an genau diese Daten zu kommen. Also ich fordere quasi auf, sich zum Newsletter anzumelden.
Und genau da sehe eben den Knackpunkt. Natürlich werden personenbezogene Daten irgendwie von A nach B befördert wenn ich eine Homepage öffne. Jedoch ist es eben keine Datenerhebung.
13.06.2018, 15:37 #12
Ich sehe nicht recht den Unterschied zwischen einem Registrierfeld für einen Newsletter und einem Kontaktformular. Auch dieses wird gezielt dazu angebracht, um an den Kundenkontakt zu kommen. Das gleiche gilt eigentlich für die Veröffentlichung der Email-Adresse auf der Webseite, und eben, wenn man den Gedanken weiterspinnt, auch für die Schaltung der Webseite insgesamt... es müsste ein Kriterium geben / erfunden werden, das aus einer "Erfassung" eine "Erhebung" macht und damit die Informationspflichten nach Art. 13 auslöst. Die mir gerade zugänglichen DSGVO-Kommentare schweigen sich dazu leider aus.
13.06.2018, 15:46 #13
Der Unterschied zwischen dem Kontaktformular und der Newsletter-Anmeldung ist das Interesse des Betreibers. Bei der Anmeldung geht es um das Interesse genau diese Angaben zu beschaffen, damit die Daten verarbeitet werden können.
Beim Kontaktformular ist es nur ein Möglichkeit der Kontaktaufnahme. Ein Service, aber kein Interesse an den Daten zur Verarbeitung.
Nebenbei: Wenn 1 + 2 schon eine Datenerhebung wäre, müsste ich jedem, der mir ein Brief schreibt, die Infos gem. Art. 13 DSGVO zuleiten, da ich ja auch an der Haustür einen Briefkasten mit meinem Namen drauf hängen habe.
13.06.2018, 15:55 #14
Zitat von cheinrich
"... Erhebung" macht und damit die Informationspflichten nach Art. 13 auslöst.
Erhebung ist jegliches Einsammeln pb'er Daten. Geht los bei der IP-Adresse, selbst wenn diese nicht über den Besuch hinaus gespeichert wird.
14.06.2018, 10:59 #15
Die Newsletter-Anmeldung ist auch nur eine Möglichkeit zur Kontaktaufnahme mit dem Kunden. Der Betreiber fordert niemanden auf, einen Newsletter zu bestellen, auch treibt er keine Daten dafür ein. Er will die Daten haben, um jemandem Informationen schicken zu können. Der Besteller kann Daten angeben oder nicht angeben. Fehlt dem Betreiber das Interesse, die Daten eines Kontaktformulars zu verarbeiten, kann er das Formular abschalten, denn für dieses fehlte jegliche Notwendigkeit. Das Kontaktformular dient dem Zweck der Kontaktaufnahme des Besuchers mit dem Betreiber. Der Kontaktierende kann etwas schreiben oder nichts schreiben. Der Unterschied liegt nicht im Interesse des Betreibers, denn das ist in beiden dasselbe: Aufrechterhaltung oder Herstellung des Kontaktes zum Kunden, Interessenten, Besucher. Den einzigen Unterschied sehe ich im Zweck der Verarbeitung. Um aber verarbeiten zu können, muß der Betreiber erst einmal die Daten erhalten. Und zwar in beiden Fällen. Würde ein Kontaktformular keine Erhebung beinhalten, wären diesbezügliche Informationen in sämtlichen Datenschutzerklärungen nicht erforderlich. Denn warum sollte jemand darüber informieren, wenn er keine Daten erhebt?
Erheben = Eintreiben, Einmahnen, Feststellen, Einfordern oder Verlangen (das ist wohl das gängige dt. Verständnis). Vergleiche ich ein bereitstehendes Telefon, das eine selbständige Aktivität des Anrufers und dessen freiwillige Weitergabe von Daten erfordert, mit einer bereitliegenden Webseite, die eine selbständige Aktivität des Besuchers und dessen freiwillige Weitergabe von Daten erfordert, dann erhebe ich auch keine Daten des Webseitenbesuchers. Beide Empfangsvorrichtungen (Telefonanlage, Webserver) stehen oder liegen einfach nur herum. Von allein machen sie nichts. Vom Besucher der Webseite werden die Daten ebensowenig eingefordert oder eingetrieben wie vom Anrufer. So wie der Anrufer die Nummer unterdrücken kann, kann der Webseitenbesucher einen Proxy benutzen. Worauf weisen nun all die vielen Datenschutzerklärungen hin, wenn IP-Adressen gar nicht erhoben werden?
Hinter der Absicht Daten zu speichern, steht immer ein wissentliches und willentliches Handeln. Denn wenn meine Empfangsvorrichtung darauf ausgerichtet ist, pb Daten zu speichern, dann beschaffe ich mir diese Daten zum Zweck einer weiteren Verarbeitung. Eine Speicherung setzt diesen Schritt der Beschaffung oder Erlangung oder des Erhalts von Daten voraus. Ich kann nicht etwas aus der Luft heraus speichern, Daten sind nicht plötzlich da. Eine Speicherung benötigt zudem eine aktive Komponente, ein aktives Zutun, eine dahinterstehende Absicht z.B. in Form einer wissentlichen und willentlichen Bereitstellung von Speichermöglichkeiten sowie deren nachfolgende Nutzung. Das ist der Unterschied zwischen dem Telefon ohne Nummernspeicherung und dem Telefon mit Nummernspeicherung oder der Webseite mit Speicherung der IP-Adresse.
Das Verständnis der tschechischen Regierung: http://data.consilium.europa.eu/doc/...2-REV-1/en/pdf
The term “collection” undoubtedly covers the beginning of the processing of personal data – and the very moment from which the regulation should apply — for processing based on collection of personal data from data subjects or receiving already existing data from another controller or someone else. Such a situation — as far the applicability of the regulation is concerned — is clear.
Es scheint mir weniger um den Begriff "Erheben" und seine dt. Variationen sondern vielmehr um den Beginn der Verarbeitung zu gehen. Und genauso verstehe ich den Sinn der Informationspflichten: Zu Beginn der Verarbeitung erfolgt die Informierung der betroffenen Person zu ebendieser Verarbeitung und zwar gleichgültig ob im Deutschen erhoben oder beschafft oder anderweitig eingefordert wird. Die Zusammenfassung der Begriffe unter "Verarbeitung" und auch in ihrer Reihenfolge läßt meiner Logik keinen anderen Interpretationsspielraum. Eine Herauslösung von "Erheben" als eigenständigen Begriff, losgelöst von der damit zwangsläufig verbundenen restlichen Verarbeitung, ergibt für mich überhaupt keinen Sinn. Ich erhebe Daten. Und dann? Hängen sie in der Luft, weil ich sie nicht speichere und demzufolge nicht verarbeite? Nein, tun sie nicht, denn auch erheben ist nur ein Bestandteil eines Verarbeitungsprozesses, eines Vorgangs, einer Vorgangsreihe. Erheben kann nicht für sich allein stehen. Und weil es das nicht kann, sehe ich den Verarbeitungsschritt zum Erhalt von Daten nur als eigenständigen Begriff, wenn es um die rechtliche Grundlage zur Beschaffung von Daten geht: Hier gibt es Daten, darf ich sie verarbeiten? Wenn ja, wie bekomme ich sie in mein System, in meinen Vorgang und wofür kann ich sie verarbeiten?
Schaue ich mir die Verwendung der Begriffe "collection" und "gathering" in englischen EuGH-Urteilen zur Richtlinie oder "collection" in den Ansichten der Artikel-29-Gruppe an, dann bedeutet "Erheben" nicht anderes als "Sammeln". Es gibt sogar eine Abfall-/Recycling-Richtlinie 2008/98/EC, in der "collection" als "Sammlung" eindeutig definiert ist. Weil man im Deutschen Abfall erhebt?
Ich sehe noch nicht, daß die alten BDSG-Begriffe in den bisherigen Deutungen (vorwiegend aus behördlicher Sicht der 70er und 80er geprägt) weiterhin Bestand haben. Ich denke vielmehr, daß diese Deutungen ein deutsches Phänomen sind, bereits mit der Richtlinie in Konflikt standen und deutsche Übersetzungen noch einiges Potential bieten. Aber dieser Meinung war ich schon vor der DSGVO. (Übrigens sieht auch die französische DSGVO "sammeln" vor.)
https://www.brennancenter.org/sites/...cted_World.pdf
Under the NSA’s procedures, “[c]ollection” does not take place until an analyst “intentional[ly] task[s] or select[s]” a communication “for subsequent processing aimed at reporting or retention as a file record.” Such tasking or selection is performed when an analyst applies a selector term, such as a telephone number or e-mail address, to one of the NSA’s databases. [...]
OPEN QUESTIONS [...]
8. Gathering vs. collection: Is the term “collection” interpreted differently from the terms “interception,” “gathering,” and “acquisition”? What are some examples to help illustrate the government’s definitions of “collection” under the subsidiary regulations? If “collection” means something other than “gathering,” are there any rules regulating information gathering under EO 12333?
Soviel zum willentlichen Erheben und zur Klarheit von Definitionen.
14.06.2018, 11:35 #16
Ich denke, dass es letztlich darauf ankommt, ab wann die Bereitstellung einer Kontaktmöglichkeit ein zielgerichtetes Handeln ist. Ich bin zu dem Schluss gekommen, dass ich für mich die Grenze bei der Veröffentlichung der Kontaktinformationen ziehe. Die Einrichtung eines Email-Postfachs ist dabei genauso wenig zielgerichtet wie das Aufstellen eines Briefkastens, die Veröffentlichung der Adresse zielt jedoch meines Erachtens schon auf die Erhebung ab.
Ansonsten ergäben sich für mich erhebliche Abgrenzungsschwierigkeiten - wenn ein Kontaktformular noch wie ein Briefkasten zu behandeln ist, weil es ja von Betroffenen abhängt, ob er die Daten eingibt, dann doch auch die Registrierfunktion für einen Newsletter - und ebenso in der Konsequenz das Teilnahmekärtchen für ein Gewinnspiel.
14.06.2018, 12:22 #17
Ich denke, dass es letztlich darauf ankommt, ab wann die Bereitstellung einer Kontaktmöglichkeit ein zielgerichtetes Handeln ist.
Ich nehme an, Du meinst die Abgrenzung, ob die Kontaktmöglichkeit in die Datenschutzerklärung aufgenommen werden soll oder nicht?
Wir haben für die Homepage eigene E-Mail-Adressen vorgesehen (empfiehlt sich schon wg. SAPM) und erklären, was mit Daten in Kontaktformularen oder mit Mails an die auf der Homepage angegebenen E-Mail-Adressen geschieht. Mails an andere Adressen werden dann von der Datenschutzerklärung nicht mehr erfasst.
14.06.2018, 13:13 #18
Genau genommen, ob die Informationspflichten nach Art 13 ausgelöst werden, wo auf die "Erhebung" abgestellt wird. Im Ergebnis, ja, richtig.
14.06.2018, 13:34 #19
Was aber hat der Verantwortliche zu tun, wenn keine Erhebung vorliegt?
Ist Art. 14 anzuwenden? Der besagt
Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der
betroffenen Person Folgendes mit: ...
Vom Wortlaut her könnte man noch sagen, wenn sie gar nicht erhoben werden, werden sie auch nicht bei der betroffenen Person erhoben. Aber Art. 14 ist offensichtlich anders gemeint. Er greift, wenn wenn Daten anderweit als beim Betroffenen erhoben werden, und verschärft dann die Informationspflicht. Art. 13 und 14 betreffen komplementäre Formen der Erhebung. Aber keine Fälle, wo keine Erhebung vorliegt.
Damit stellt sich die Frage, ob hier insofern eine planwidrige Lücke besteht, als es zu Verarbeitungen kommt, ohne dass eine information des Betroffenen sichergestellt ist.
Eine Schutzlücke liegt wohl vor. Aber sie hat auch einen Grund, zumindest liegt ein anderer Sachverhalt vor: Der Verantwortliche hat die Daten nicht erhoben. Liegt also eine durch Analogie zu schließende Lücke vor (man könnte Art. 13 oder 14 analog anwenden), oder ist die Lücke als gewollt anzusehen?
14.06.2018, 14:27 #20
Vielen Dank für die vielen sehr spannenden Meinungen. Besonders anzolino. Mache ich mir mal ein paar Gedanken dazu.
Grundsätzlich scheint es mir schon einleuchtend, dass eine Erhebung immer im Zusammenhang mit einer anschließenden Speicherung steht und somit eine Erhebung nicht alleine stehen kann. Das leuchtet schon ein. Ich bin jedoch der Meinung, dass es auch Speicherungen geben kann, ohne vorherige Erhebung
Es gibt in meinen Augen die Situation, dass personenbezogene Daten in meinen Machtbereich gelangen und dies nicht als Erhebung angesehen werden kann. (Beispiel Übergabe der Visitenkarte).
Art. 13 Abs. 1 DSGVO kommt in dem Fall nicht zum tragen. Keine Informationspflicht. Art. 14 aber genauso wenig, da es keine Erhebung gibt.
Wenn ich nun aber die Daten irgendwann weiterverarbeite (Daten der Visitenkarte wird in ein EDV-System übertragen für: Kontaktaufnahme; Aufnahme Geschäftsbeziehung, Angebot; Bewerbung; was auch immer;...) kann man ab der Stelle über eine Informationspflicht nach Art. 13 Abs. 3 bzw. Art. 14 Abs. 4 nachdenken(!!!).
Sollte diese ganze Abgrenzungfrage ein rein deutsches Problem sein und nur wir das so handhaben, ist das natürlich schon ein Indiz darauf, dass es mit der DSGVO anders auszulegen ist. Nichtsdestotrotz würde dies in meinen Augen für den deutschen Datenschutz einen Paradigmenwechsel darstellen, denn die bisherige Rechtsaufassung (bzw. Rechtsprechung) hat ganz klar deutlich gemacht, dass es "Daten ohne Erhebung" geben kann.
Gehe zu: Allgemeine Rechtsfragen, Gesetze, Gesetzgebung Nach oben
Erkärung von Jugendlichen (Reha-Ausbildung) zur Datenerhebung und Speicherung
Von Knut_mit_Hut im Forum Kinder und Jugendliche, Schule, Ausbildung, Fortbildung
Letzter Beitrag: 04.03.2016, 08:31
Hinweispflicht bei Datenerhebung
Von Rudolf im Forum AV Auftragsverarbeitung
Letzter Beitrag: 28.12.2012, 11:22
Datenerhebung bei Kreditvertrag
Von T. H. im Forum Datenschutz als Ausbildungs- und Prüfungs- oder Forschungsthema
Letzter Beitrag: 27.12.2012, 19:30
§ 13 Abs 1 "Datenerhebung" eine Art Generalabsolution?
Von haderner im Forum FORUM DER DATENSCHUTZBEAUFTRAGTEN
Letzter Beitrag: 23.05.2011, 21:56
Aktuelle Uhrzeit: Es ist jetzt 21:20 Uhr.

References: Art. 13
 Art. 13
 Art. 13
 Art. 14
 Art. 14
 Art. 13
 Art. 13

Art. 13
 Art. 14
 Art. 13
 Art. 14

§ 13