Source: https://tww.law/category/datenschutzrecht/page/2/
Timestamp: 2020-07-09 10:58:03+00:00

Document:
Datenschutzrecht Archive - Seite 2 von 4 - Tölle Wagenknecht Wulff Rechtsanwälte Partnerschaft mbB
Das LG Köln entschied, dass das Kontaktformular eines Webshopbetreibers keinen direkten Hinweis auf seine Datenschutzerklärung enthalten müsse (Az.: 81 O 32/17). Es genüge, dass die Datenschutzerklärung zu Beginn der Nutzung und im Zeitpunkt der Datenerhebung leicht auffindbar und unmittelbar erreichbar sei.
Keine Datenschutzerklärung neben dem Kontaktformular
Dem Webshopbetreiber wurde von seinen Mitbewerbern vorgeworfen, dass er seine Nutzer im Rahmen seines Kontaktformulars – bei dem Name, E-Mail-Adresse und Telefonnummer abgefragt wurden – nicht ausreichend über seine Datenschutzerklärung informiere. Dabei enthielt das Formular zwar keinen direkten Hinweis auf die Datenschutzerklärung, allerdings konnten über eine Verlinkung „Datenschutz“ in der Fußzeile („Footer“) alle notwendigen Bestimmungen abgerufen werden.
Dennoch sahen die Mitbewerber hierin eine unzureichende Aufklärung über Art und Umfang der Datenerhebung im Sinne des § 13 TMG. Außerdem hätte der Webshopbetreiber darüber hinaus keine Einwilligung zur Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten eingeholt.
Hinweis auf Datenschutzerklärung im Footer ausreichend
Das LG Köln beurteilte die Rechtslage nun anders. Der Hinweis im Footer entspreche durchaus den Anforderungen im § 13 TMG. Den formalen Anforderungen des § 13 TMG werde auch dann Rechnung getragen, wenn die Datenschutzerklärung zu Beginn der Nutzung und im Zeitpunkt der Datenerhebung leicht auffindbar und unmittelbar erreichbar sei.
Datenschutzerklärung muss leicht erkennbar und unmittelbar erreichbar sein
Der Grund: § 5 TMG bestimmt, dass auch das Impressum des Diensteanbieters leicht erkennbar und unmittelbar erreichbar zu sein hat. Gleiches gelte für die Erreichbarkeit der Datenschutzerklärung. Es genüge daher zur Erfüllung des Merkmals der unmittelbaren Auffindbarkeit, „wenn der Link, der zu den Informationen führt, mit „Datenschutz“ bezeichnet ist“. Es sei nicht unüblich und entspräche dem Erfahrungswert der Nutzer, dass sich allgemeine Hinweise und Erklärungen am Ende der Website befänden; meist in der Form einer Verlinkung.
Unmittelbar erreichbar sind die Informationen stets dann, wenn sie nach maximal zwei Klicks abrufbar sind. Im Falle der Datenschutzerklärung im Footer müsse der Nutzer zwar bis zum Ende der Website scrollen. Dort angelangt genüge aber ein einfacher Klick auf den Hyperlink um zu der Datenschutzerklärung zu gelangen. Dies reiche nach Ansicht der Kölner Richter aus.
Eine Datenschutzerklärung ist im Falle eines Kontaktformulars zwingend notwendig. Sie muss sich allerdings nicht zwingend direkt über oder unter dem Kontaktformular selbst befinden. Ein Hyperlink im Footer ist ausreichend.
Soweit es sich um Datenerhebungen zu Werbezwecken oder zur Weitergabe an Dritte handelt, ist zusätzlich eine Einwilligung der Nutzer erforderlich.
In der Pressemitteilung führt die Landesbeauftragte für den Datenschutz Niedersachsen (LfD), Barbara Thiel, dankenswerter Weise an, dass es nicht vorrangig darum gehe, möglichst viele Fehler zu finden und Bußgelder zu verhängen. Es solle vielmehr aufgeklärt, sensibilisiert und Hinweise gegeben werden. Es gelte auch, sich einen Überblick zu verschaffen, wie die DS-GVO in den Unternehmen angekommen ist.
Nichtsdestotrotz: werden Verstöße festgestellt, ist auch mit entsprechenden Verfahren zu rechnen. Daher dürften schwammige, falsche oder unvollständige Antworten eine Einladung zu einem Hausbesuch sein. Ein Grund mehr, nicht überstürzt, sondern sich wohlüberlegt und gemeinsam mit dem Datenschutzbeauftragten sowie ggfs. mit zusätzlichem rechtlichen Rat an die Beantwortung der Fragen zur DS-GVO zu setzen.
Zugleich dient der DS-GVO-Fragebogen auch als Orientierungshilfe für andere Unternehmen, die es vielleicht (noch) nicht erwischt hat. Denn im Grunde muss jedes Unternehmen die Fragen innerhalb kürzester Zeit beantworten und dokumentarisch nachweisen können.
Auswertung des Fragenkatalogs zur DS-GVO mit Abschlussbericht im Mai 2019
Den Fragebogen der LfD erhalten insgesamt 50 Unternehmen als Querschnitt durch verschiedene Branchen. Betroffen sind jedoch nicht die kleinen Betriebe, sondern 20 große und 30 mittelgroße Unternehmen mit (Haupt-)Sitz in Niedersachsen.
Neben den bereits genannten Zielen erhofft sich die LfD mit der Auswertung der Fragebögen auch Hinweise für ihre zukünftige Arbeit. Je nach Mängeln wäre es möglich, neue Orientierungshilfen zu geben. Und auch wenn es bisher nicht konkret geplant ist, könnten sich zudem Schwerpunktprüfungen in bestimmten Branchen anschließen.
Die Fragen zur Vorbereitung und Umsetzung der DS-GVO haben es in sich. Es zeigt sich deutlich, dass die DS-GVO ein bürokratischer Akt ist und die LfD auch den Umgang damit (über-)prüfen möchte. Verlangt werden daher nicht nur die bloße Angabe zur Führung des Verarbeitungsverzeichnisses oder die Darstellung der Prozesse zur Einhaltung von Betroffenenrechten, sondern auch die Vorlage einiger Musterdokumente, wie:
Beispielverfahren aus Verarbeitungsverzeichnis
Informationsblätter zu Betroffenenrechten
Dokumentation zur Datenschutz-Folgenabschätzung
Die Beantwortung der Fragen dürfte nicht nur zeitaufwendig sein, sondern auch viele Arbeitskräfte einspannen – insbesondere, wenn bisher die entsprechenden Dokumentationen und Muster nicht zur Verfügung stehen.
Insgesamt gibt es 10 Fragen, die sich in dem “Fragenkatalog Querschnittsprüfung DS-GVO” finden:
1. Vorbereitung auf die DS-GVO
5. technischer Datenschutz
Ende Mai 2018 endeten die Übergangsfristen, die der Gesetzgeber Unternehmen für die Umstellung ihrer Prozesse auf die neue EU-Datenschutzgrundverordnung (DS-GVO) eingeräumt hat. Ab diesem Zeitpunkt drohen den Unternehmen bei Verstößen gegen die neuen Vorschriften Bußgelder in Höhe von bis zu 4 % des weltweiten Unternehmensumsatzes.
Viele Firmen noch nicht bereit für die DS-GVO
Doch das Problem scheint noch nicht bei allen Firmen angekommen zu sein. So hat eine Umfrage des Branchenverbands Bitkom ergeben, dass bislang nur jedes 4 Unternehmen zusätzliches Personal für die Umsetzung der DS-GVO Vorgaben einsetzt. Neueinstellungen gab nur bei 5 % der Befragten Firmen. 20 % der Firmen bevorzugen bei der Umsetzung der Vorgaben das eigene Personal.
Eine weitere Studie von IDC zeigt, dass bis Mitte 2017 ganze 44 Prozent der deutschen Firmen noch keine konkrete Vorbereitung für die Zeit nach dem 25. Mai 2018 getroffen haben. Oftmals wissen Unternehmen – wie Bildungseinrichtungen – nicht, dass sie von der DS-GVO betroffen sein können. Demnach sind die Systeme in diesen Fällen noch nicht umgestellt.
Landesämter für Datenschutz helfen weiter
Dabei ist die Frage „Ist Ihr Unternehmen fit für die DS-GVO“ auch bereits von vielen Landesämtern für Datenschutzaufsicht aufgegriffen worden. Diese bieten oftmals einen Fragebogen, der sich mit dem Umsetzungsstatus der Unternehmen befassen. Gleichzeitig soll dieser den Unternehmen verdeutlichen, wo noch Schwachstellen bei der Umsetzung existieren.
Hilfreich: Expertise eines externen Beraters
Zudem weisen die Landesämter darauf hin, dass die Beauftragung eines externen Datenschutzbeauftragten oder jedenfalls eines qualifizierten, externen Beraters überforderten Firmen schnell helfen kann.
Durch die zunehmende Erfahrung im Datenschutzrecht hat sich dieser regelmäßig die notwendige branchenübergreifende Expertise aufgebaut. So kann er auf notwendige Änderungen und Anpassungen innerhalb des Unternehmens effizient und vor allem schnell aufmerksam machen.
Das LG Bonn hat eine der ersten Entscheidungen zur neuen Datenschutzgrundverordnung getroffen. Mit Beschluss vom 29. Mai 2018 entschieden die Bonner Richter, dass die ICANN gegen die DSGVO verstoße (Az.: 10 O 171/18).
Die Domain-Registrierungsbehörde mit Sitz in den USA ist die zentrale Vergabestelle für Internetadressen. Allerdings sammele diese bei dem Registrierungsvorgang zu viele persönliche Daten.
US-Unternehmen ICANN will umfassende personenbezogene Daten für Domain-Registrierung
Die US-Stelle wollte nicht nur wissen, wer die zu registrierende Seite betreibt, sondern auch die Namen, Adressen und Telefonnummern von allen Personen mit vollen Zugriffsrechten auf die Website. Darunter zählen die so genannten Admin-C und auch die technischen Verantwortlichen (Tech-C).
Während des Verfahrens war die ICANN der Ansicht, der Domain-Registrierende sei vertraglich auch zur Erhebung weiterer technischer und administrativer Kontakte verpflichtet. Denn schließlich seien diese Daten zur Erreichung der Zwecke der Registrierenden zwingend erforderlich.
Deutscher Domain-Händler sieht in der Datenerhebung einen Verstoß gegen die DSGVO
Der deutsche Domain-Händler Epag wehrte sich nun gegen die Vorgaben ICANNs. Das Unternehmen aus Bonn darf Domains mit Erlaubnis der iCANN in Deutschland, Österreich und der Schweiz verkaufen. Dabei muss es aber laut Vertrag die umfassenden persönlichen Daten an die ICANN übermitteln. Unter Beachtung der Vorgaben in der DSGVO sei das Unternehmen allerdings lediglich dazu bereit, alle Adressdaten der Domain-Besitzerin herauszugeben. Nicht aber die des Admin-C und Tech-C.
Personenbezogene Daten der Domain-Inhaberin ausreichend
ICANN konnte vor dem Bonner LG nicht glaubhaft machen, dass die umfassenden persönlichen Daten zur Erreichung der Zwecke erforderliche seien. Schließlich sei die Erhebung personenbezogener Daten nur für festgelegte, eindeutige und legitime Zwecke zulässig. Zusätzlich muss die Erhebung zu dem Zwecke angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (Art. 5 Abs. 1 lit, b) und c) DSGVO).
Warum hierzu neben dem Hauptverantwortlichen noch weitere Datensätze vonnöten sein sollen, konnte die Kammer vor dem Hintergrund des Grundsatzes der Datensparsamkeit nicht erkennen.
Identifizierung der Hintermänner schwer
Zwar liege es auf der Hand, dass ein Mehr an Daten die Identifizierung von hinter einer Domain stehenden Personen und eine Kontaktaufnahme zu diesen verlässlicher erscheinen lässt. Jedoch handele es sich bei dem Inhaber des registrierten bzw. zu registrierenden Domainnamen nur um die für die Inhalte der betreffenden Website verantwortliche Person, die nicht notwendigerweise personenverschieden von den Kategorien Tech-C und Admin-C sein müsse.
Eingeschränkte Whois-Abfrage erschwert die Identifizierung zusätzlich
Soweit ICANN ihre Ansprüche auf die vielen personenbezogenen Daten auf eine Parallele des sog. „WHOIS“ Systems zu internationalen Abkommen über Markenregister stützt, so folgt die Kammer des LG Bonn diesem nicht. Denn die für die Markenregister auf Grundlage internationaler Abkommen bestehenden Rechtsgrundlagen fehle. Hieran ändere auch die grundlegende Vergleichbarkeit des jeweiligen allgemeinen Schutzbedürfnisses nichts.
Die WHOIS-Abfrage ist bei vielen Firmen, wie auch der Denic, seit längerem nicht mehr ohne Weiteres möglich. Was früher jeder Internetnutzer mit wenigen Klicks herausfinden konnte, geben Denic und andere jetzt nur noch an Nutzer heraus, die zumindest ein berechtigtes Interesse nachweisen.
Die eingeschränkte WHOIS-Abfrage erschwert in letzter Zeit gerade Journalisten und IT-Sicherheitsforschern die Arbeit im Internet. Bei der Recherche zu Fake-News-Seiten, Spam-Schleudern und Erpresser-Software ist es ohne die Abfrage schwieriger geworden, die Hintermänner ausfindig zu machen.
Kontaktformulare auf Webseiten müssen stets richtig verschlüsselt werden. Das bayrische Landesamt für Datenschutzaufsicht (BayLDA) kündigte bereits im Oktober 2017 an, dies umfangreich zu überprüfen. Webseitenbetreiber sind angehalten, die Verschlüsselung von Kontaktformularen zu überprüfen. Bei Datenschutzverstößen riskieren sie sonst nicht nur Abmahnungen durch Konkurrenten, sondern auch hohe Bußgelder von den Datenschutzbehörden.
Fehlerhafte Kontaktformulare – Es drohen Abmahnungen
Die Pflicht, Kontaktformulare auf Websites zu verschlüsseln, ist nicht neu. Allerdings hat das BayLDA mit der „Cybersicherheitsinitiative zum Schutz personenbezogener Daten“ eine intensivere Prüfung gestartet. Aus der Pressemitteilung geht hervor, dass insbesondere Kontaktformulare zukünftig vermehrt überprüft werden. Der Grund dafür ist, dass bei einer unzureichenden Verschlüsselung schnell die personenbezogenen Daten abgegriffen werden können.
Doch nicht nur bayrische Firmen sollten nun aktiv werden. Das Vorgehen des BayLDA können auch andere Aufsichtsbehörden des Landes auf den Plan rufen.
Bundesamt für Sicherheit empfiehlt Verschlüsselungsverfahren wie SSL oder TLS
Firmen wird grundsätzlich angeraten, die von dem Bundesamt für Sicherheit in der Informationstechnologie (BSI) empfohlenen Verschlüsselungsverfahren einzuführen.
So dient das kryptographische Protokoll Transport Layer Security (TLS) der sicheren Übertragung von Informationen in Datennetzwerken und damit dem Schutz der Vertraulichkeit, Integrität und Authentizität der übertragenen Informationen. Hierzu gibt das BSI weitere Informationen (Version: 2018-01).
Kostenlose SSL-Zertifikate oftmals ausreichend
Zur ausreichenden HTTPS-Verschlüsselung reicht meist ein SSL-Zertifikat. Dieses gibt es oftmals sogar kostenlos.
Dieses Zertifikat reicht allerdings nur zur Verschlüsselung von Daten. Soll zusätzlich auch die Identität der Website überprüft werden, reichen diese kostenlosen Zertifikate nicht aus. Soweit der Seitenbesucher sich also sicher sein soll, dass hinter der besuchten Website auch der gewünschte Betreiber steckt, so sollte der Websitebetreiber auf eine kostenpflichtige Variante der SSL-Zertifikate mit Identitätsprüfung zurückgreifen.
Gesetzliche Vorgaben in diesem Bereich stammen u.a. auch aus dem Telemediengesetz (TMG). Danach müssen Seitenbetreiber ein „anerkanntes Verschlüsselungsverfahren zum Schutz von personenbezogenen Daten“ anwenden. Ferner heißt es in § 13 Abs. 7 TMG:
Ein Verstoß kann als Ordnungswidrigkeit nach § 16 Abs. 3 TMG mit einer Geldbuße von bis zu EUR 50.000,00 geahndet werden.
Auch DS-GVO birgt neue Gefahren ab Mai 2018
Eine unzureichende Verschlüsselung ist nicht der einzige Punkt der schief gehen kann und von den Landesämtern für Datenschutz überprüft wird.
Mit der neuen Datenschutzgrundverordnung (DS-GVO), die Ende Mai 2018 in Kraft tritt, kommen noch weitere Neuerungen auf datenverarbeitende Firmen und Websitebetreiber zu. Der zu beachtende Katalog an Anforderungen ist lang. Um hier Fehler zu vermeiden, kann die Prüfung durch einen externen Datenschutzberater helfen.
Mit Urteil vom 29. Januar 2018 (Az.: 13 U 165/16) hat das OLG Frankfurt am Main entschieden, dass der Verkauf von Adressdaten wegen fehlender Einwilligung der Adressinhaber unwirksam sei. Daher bestehen zwischen den Vertragspartnern auch keine vertraglichen Ansprüche aus dem Verkauf.
Verkauf von Millionen Adressdaten
Im Verfahren vor dem OLG Frankfurt am Main stritten sich zwei Parteien über den Verkauf von Adressdaten. Der Geschäftsführer der klagenden Partei war zuvor Geschäftsführer der Schuldnerin. Am Tag der Insolvenzeröffnung kaufte der Geschäftsführer vom Insolvenzverwalter der insolventen Firma verschiedene Internet-Domains einschließlich der darüber generierten Adressdaten für insgesamt 15.000 EUR. Die Daten wurden dem Geschäftsführer auf einem USB-Stick übergeben.
Doch die Adressdaten befanden sich auch weiterhin noch auf zwei Servern, welche der Insolvenzverwalter an eine ebenfalls mit Adressdaten handelnde dritte Firma verkaufte. Diese nutzte die Millionen Adressen um Werbe-E-Mails für die Internetseite „Sexpage.de“ zu versenden.
Geschäftsführer fordert Unterlassung und anteilige Rückzahlung des Kaufpreises
Der Geschäftsführer war nun der Ansicht, die von ihm erworbenen Adressdaten hätten durch die zwielichtige Nutzung für Werbung der Internetseite „Sexpage.de“ zwei Drittel ihres Wertes verloren. Aus dem Kaufvertrag forderte er sodann anteilige Rückzahlung des Kaufpreises sowie Unterlassung der weiteren Nutzung der Adressdaten.
OLG Frankfurt: Verkauf unwirksam
Das Landgericht gab der Klage in erster Instanz statt. Allerdings wurde das Urteil durch das OLG Frankfurt am Main im Rahmen der Berufung aufgehoben. Der Verkauf der Adressdaten sei mangels vorliegender Einwilligung der Adressdateninhaber unwirksam. Zwischen den Parteien bestünden also keinerlei vertragliche Ansprüche – weder das Recht auf Unterlassung noch ein Anspruch auf Rückzahlung des Kaufpreises.
Verkauf der Adressdaten verstößt gegen das BDSG
Der Vertrag verstoße gegen die Vorgaben des BDSG. Die Nutzung von sogenannten personenbezogenen Daten sei nur zulässig, wenn der Betroffene einwillige oder das sogenannte Listenprivileg eingreife. Denn „Name, Postanschrift, Telefonnummer und E-Mail-Adresse einer Person“ stellten klassische personenbezogene Daten dar. Nach Ansicht der Frankfurter Richter unterfalle auch der einmalige Verkauf derartiger Daten dem Adresshandel gemäß § 28 Abs. 3 Satz 1 BDSG. Das Listenprivileg greife zudem nur bei zusammengefassten Daten von Angehörigen einer bestimmten Personengruppe; ein solcher Fall läge hier allerdings nicht vor.
Keine Einwilligung der Adressdateninhaber
Auch eine den Verkauf rechtfertigende Einwilligung der Adressdateninhaber lag hier nicht vor. Die von der BDSG geforderte Einwilligung sei nur dann wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruhe und dieser auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie die Folgen der Verweigerung der Einwilligung hingewiesen werde. Jedoch habe die Firma, welche die Daten erhob, es versäumt, die betroffenen Daten nach Kategorien etwaiger Datenempfänger oder der Nutzungszweck des Adresshandels konkret genug zu bezeichnen.
Zudem scheitere der Vertrag nach Auffassung des Gerichtes daran, dass der Vertrag die Parteien systematisch zu einem unlauteren, wettbewerbswidrigen Verhalten verpflichte. Die Zusendung von Werbe-E-Mails ohne Einwilligung stelle eine unzumutbare Belästigung nach § 7 Abs. 2 Nr. 3 UWG dar. Soweit der verklagte Insolvenzverwalter in Höhe des erlangten Kaufpreises ungerechtfertigt bereichert sei, begründe dies alleine noch keinen Rückzahlungsanspruch des Geschäftsführers. Ein derartiger Anspruch sei bereits ausgeschlossen, weil beide Vertragsparteien zuvor vorsätzlich gegen die zwingenden Vorgaben des BDSG verstoßen hätten.
Ein Arzt gab Untersuchungsergebnisse ungefragt weiter. Mit Beschluss vom 28. Juni 2017 hat das OLG Karlsruhe (Az.: 1 Rb Ss 540/16) dies als Datenschutzrechtsverstoß gewertet.
Es hat entschieden, dass das in § 4a Abs. 1 Satz 3 BDSG aufgestellte Erfordernis einer schriftlichen datenschutzrechtlichen Einwilligung zur Weitergabe von persönlichen Daten eine Schutz- und Warnfunktion hat. Der zur Einwilligung Aufgeforderte solle nicht übereilt zustimmen müssen, sondern die Chance erhalten, sich seiner Entscheidung und der Auswirkungen bewusst zu werden.
Arzt holt vor Drogenscreening keine Einwilligung zur Datenweitergabe ein
Das Amtsgericht hatte Mitte 2016 einen niedergelassenen Arzt wegen eines vorsätzlichen Verstoßes gegen das Bundesdatenschutzgesetz (BDSG) in zwei Fällen zu einer Geldbuße von EUR 1.000 verurteilt. Grund für die Verurteilung war, dass er im Rahmen eines von einem Arbeitgeber veranlassten Drogenscreening dieses bei dem Arbeitnehmer vornahm und die Ergebnisse an den Arbeitgeber weiterleitete.
Allerdings hatte der Arbeitnehmer lediglich gegenüber seinem Arbeitgeber in die Weitergabe der Untersuchungsergebnisse zugestimmt. Eine schriftliche datenschutzrechtliche Einwilligung zur Untersuchung und der Datenverarbeitung des Arztes erteilte er jedoch nicht.
Datenschutzrechtliche Einwilligung von der ordnungswidrigkeitsrechtlichen zu unterscheiden
Das OLG sah es ähnlich. Durch die Untersuchung und Weitergabe der Ergebnisse ohne vorherige schriftliche Einwilligung verstößt der Arzt gegen § 43 Abs. 2 Nr. 1 BDSG. Denn er erhebt oder verarbeitet vorsätzlich – oder zumindest fahrlässig – unbefugt personenbezogenen Daten, die nicht allgemein zugänglich sind.
Das Gericht betont, dass die datenschutzrechtliche Einwilligung von der rechtfertigenden Einwilligung im ordnungswidrigkeitsrechtlichen Sinne zu unterscheiden ist. Eine restriktive Auslegung sei gerade zwingend. Daher komme eine wirksame datenschutzrechtliche Einwilligung nur dann zustande, wenn der Einwilligende nach den objektiven Umständen imstande ist, die Bedeutung und Tragweite seines Rechtsgutverzichts zu beurteilen.
Zustimmung zur Datenweitergabe umfasst nicht die Zustimmung zur Datenerhebung
Die vom Arbeitnehmer abgegebene schriftliche datenschutzrechtliche Einwilligung im Rahmen der G 25-Untersuchung zur Weitergabe der der personenbezogenen Daten umfasse nicht auch die Zustimmung zur Erhebung und Verarbeitung der Daten. Allerdings sei eine solche schriftliche datenschutzrechtliche Einwilligung erforderlich gewesen, sofern eine andere Form der Einwilligung nicht ausnahmsweise angemessen sei, § 4a Abs. 1 Satz 3 BDSG.
Jedoch ist nach der Ansicht das OLG Karlsruhe meist von einem Erfordernis einer schriftlichen Einwilligung auszugehen. Denn schließlich wohne der Schriftform eine Schutz- und Warnfunktion inne. Im vorliegenden Fall solle der Arbeitnehmer die Chance erhalten, sich seiner Entscheidung bewusst zu werden und diese nicht voreilig zu treffen. Dieser Ausnahmecharakter gebiete daher eine restriktive Auslegung des § 4a Abs. 1 BDSG.
Einhaltung der Datenschutzbestimmungen in Arztpraxen
Ob Arztpraxen unabhängig von der Mitarbeiterzahl zwingend einen Datenschutzbeauftragten im Sinne der DS-GVO benötigen, kommt auf die Art und Weise der Datenverarbeitung an. Jedenfalls ist gerade in Arztpraxen aufgrund des Umgangs mit Gesundheitsdaten angeraten, die datenschutzrechtlichen Bestimmungen genauestens zu prüfen und einzuhalten. Dabei kann es nicht schaden, sich von einem externen Datenschutzberater instruieren zu lassen.
Mit Urteil vom 6. April 2017 bestätigt das OVG Berlin-Brandenburg (Az.: OVG 12 B 7.16) teilweise das erstinstanzliche datenschutzrechtliche Urteil des VG Potsdam aus dem Jahr 2015 (Az.: VG 9 K 725/13). So dürfe der Eingangsbereich und das Wartezimmer einer Zahnarztpraxis während des laufenden Praxisbetriebs nicht mit einer Videokamera überwacht werden. Das Vorgehen der Zahnärztin gegen die Vorgaben der Datenschutzaufsicht blieb damit ohne Erfolg.
Die Überwachung der für die Öffentlichkeit nicht zugänglichen Behandlungszimmer – soweit die Patienten zuvor eingewilligt haben – sei hingegen zulässig.
Zahnärztin überwacht Behandlungszimmer, Eingangsbereich und Wartezimmer
Eine Zahnärztin in Potsdam hatte sich dazu entschieden ihre Praxis umfassend mit einem Video-Monitoring-System auszustatten. Dazu installierte sie drei Videokameras in ihrer Praxis. Eine davon befand sich direkt im Eingangsbereich und filmte diesen sowie das Wartezimmer.
Die anderen beiden Kameras waren in den Behandlungszimmern der Praxis angebracht. Die Aufnahmen der Kameras wurden unterdessen nicht gespeichert, sondern lediglich auf ein Monitor-System im Eingangsbereich sowie in den Behandlungsräumen übertragen.
Datenschutzbehörde untersagt die Videoüberwachung
Nach einer anonymen Beschwerde bekam die Zahnärztin Besuch von der zuständigen Datenschutzbehörde, welche ihr sogleich die Nutzung der Kameras im Eingangsbereich untersagte. Zudem habe sie die Hinweisschilder auf die Videoüberwachung während der Öffnungszeiten der Praxis abzudecken.
Gegen den Bescheid der Datenschutzbehörde reichte die Zahnärztin Klage ein. Ihrer Ansicht nach sei eine Videoüberwachung durchaus zulässig. Denn schließlich speichere sie das Videomaterial nicht. Zusätzlich sei die Videoüberwachung für sie notwendig. Denn die Personalstruktur lasse eine dauerhafte Überwachung des Eingangsbereichs und der Wartezimmer durch eine Mitarbeiterin nicht zu.
Videoüberwachung zur Prävention und zum Schutze der Patienten
Zweck der Videoüberwachung sei die Prävention, der Schutz der Patienten sowie der Schutz der Mitarbeiter und Besucher vor Straftaten in der Praxis (insbesondere vor Eigentumsdelikten und körperlichen Übergriffen). Zudem sei die Überwachung „angespritzter“ Patienten, die im Wartezimmer Platz nehmen bis die Wirkung ihrer Betäubung vollständig eintritt, nicht anders möglich.
Besucher, die sich im Wartezimmer nicht filmen lassen wollen, könnten auf drei Sitzplätzen verweilen, die nicht von der Videokamera einsehbar sind.
Doch auch das OVG untersagte nun der Zahnärztin die Überwachung des Eingangsbereichs und des Wartezimmers. Die Videoüberwachung der Behandlungsräume hingegen sei mit Einwilligung der Patienten zulässig.
Behandlungsräume können mit Einwilligung videoüberwacht werden
Die Videoaufnahmen in den Behandlungsräumen verstoßen nicht gegen die Vorgaben des Bundesdatenschutzgesetztes (BDSG). Es handele sich um einen für die Öffentlichkeit nicht zugänglichen Ort. Aufgrund der besonderen Arten der personenbezogenen Daten im Sinne des § 3 Abs. 9 BDSG (Gesundheit) sei das Verbot an § 28 Abs. 6-8 BDSG zu messen. Danach ist die Erhebung solcher personenbezogener Daten mit Einwilligung möglich. Von einer solchen ist im Fall der Zahnärztin auszugehen, weshalb die Videoüberwachung in diesen Räumen auch nach Ansicht des OVG Berlin-Brandenburg zulässig sei.
OVG: Private Videoüberwachung in Wartezimmern unzulässig
Anders sieht es bei der Überwachung des Eingangsbereichs und des Wartezimmers aus. Hierbei handele es sich nämlich um Räume, die für die Öffentlichkeit zugänglich sind (die Praxis ist nicht verschlossen) und um die Erhebung personenbezogener Daten im Sinne des § 3 Abs. 3 BDSG zum Zwecke der Nutzung.
Eine solche Videoüberwachung sei gemäß § 6b Abs. 1 BDSG allerdings nur zur Wahrnehmung des Hausrechts oder zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke zulässig. Oder aber, soweit eine Einwilligung der Betroffenen vorliege.
Piktogramm „Videoüberwachung“ führt nicht zur Einwilligung
Nach Auffassung des OVG führe das Anbringen der Hinweisschilder nicht zu einer wirksamen Einwilligung der Praxisbesucher. Denn eine Einwilligung sei nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruhe. Zusätzlich bedürfe die Einwilligung der Schriftform, sofern sich nichts anderes aus besonderen Umständen ergebe.
Keine Wahrnehmung des Hausrechts oder berechtigter Interessen
Auch sei die Überwachung des Eingangsbereichs und des Wartezimmers weder zur Wahrnehmung des Hausrechts noch zur Wahrnehmung berechtigter Interessen erforderlich. Eine Abwägung des OVG führte zu dem Ergebnis, dass das Persönlichkeitsrecht durch die Videoüberwachung zu stark beeinträchtigt werde.
Für die Begründung der Zahnärztin, die Videoüberwachung sei zur Abwehr von Straftaten nötig, gäbe es keinerlei Anhaltspunkte. Des Weiteren sei eine Überwachung durch eine Mitarbeiterin im Empfangsbereich weitaus effektiver und schneide weniger stark in die Persönlichkeitsrechte der Praxisbesucher ein.
Stets zu beachten: Gebot der Datensparsamkeit
Das OVG wies an dieser Stelle auch erneut auf das Gebot der Datensparsamkeit hin. Überall dort, wo personenbezogene Daten erhoben und gespeichert werden, müsse darauf geachtet werden, dass nur so viele Daten erhoben werden, wie für den jeweiligen Zweck unbedingt nötig sind. So sei es der Zahnärztin gestattet, die Kamera so auszurichten, dass sie lediglich den Mitarbeiterbereich hinter dem Empfangstresen aufzeichne.
Piktogramme müssen nicht abgedeckt werden
Entgegen der Ansicht des VG habe die Zahnärztin die Piktogramme in ihrer Praxis während der Öffnungszeiten allerdings nicht abzudecken. Denn der Sinn und Zweck des BDSG spricht nicht dafür, dass sie deutlich machen bzw. ausdrücklich darauf hinweisen müsse, dass eine Videoüberwachung während der Öffnungszeiten nicht erfolge.
Die Entscheidung zeigt wieder einmal, dass der Datenschutz auch im privaten Bereich eine große Rolle spielt. Unzulässige Maßnahmen können schnell zu hohen Bußgeldern oder Abmahnungen führen. Es empfiehlt sich also die Zulässigkeit der Erfassung von personenbezogenen Daten – gerade auch bei Videoüberwachungen – im Voraus rechtlich zu prüfen.
Kontaktformular muss keinen direkten Hinweis auf Datenschutzerklärung enthalten. Diese müsse lediglich leicht auffindbar und unmittelbar erreichbar sein.
DS-GVO – Fragebogen: Landesbeauftragte prüft Umsetzung in Niedersachsens Wirtschaft
Seit Ende Juni 2018 prüft die Landesbeauftragte für den Datenschutz Niedersachsen, wie gut sich die niedersächsischen Unternehmen auf die Datenschutzgrundverordnung (DS-GVO) eingestellt haben.
EU-Datenschutzgrundverordnung – Viele Firmen noch unvorbereitet
Die neue DS-GVO tritt ab Mai in Kraft. Doch auch jetzt sind noch viele Firmen unvorbereitet; und dies, obwohl bei Verstößen hohe Geldbußen drohen.
Verstoß gegen die DSGVO: ICANN sammelt zu viele Daten bei Domainanmeldung
DSGVO: Zu viele persönliche Daten bei Anmeldung einer Domain. Rückschlag für die zentrale Vergabestelle für Internetadressen (Icann) in den USA.
Gefahr von Abmahnungen bei falsch verschlüsselten Kontaktformularen
Das Bayerische Landesamt für Datenschutzaufsicht kündigt neue Kontrollen an. Im Visier: die Verschlüsselung von Kontaktformularen.
Verkauf von Adressdaten ohne Einwilligung: Keine vertraglichen Ansprüche
BDSG: Fehlt beim Verkauf von Adressdaten die Einwilligung, so ist der Verkauf unwirksam und es bestehen keine vertraglichen Ansprüche der Vertragspartner.
Datenschutzrechtliche Einwilligung erfüllt Schutz- und Warnfunktion
OLG Karlsruhe: Das in § 4a BDSG aufgestellte Erfordernis der schriftlichen Zustimmung zur Weitergabe persönlicher Daten erfüllt Schutz- und Warnfunktion.
Private Videoüberwachung – Wartezimmer darf nicht videoüberwacht werden
OVG Berlin-Brandenburg: Zahnärztin darf ihre Behandlungszimmer, nicht aber ihren Empfangsbereich und das Wartezimmer mittels einer Videokamera überwachen.

References: § 13
 § 13
 § 13
 § 5
 § 13
 § 16
 § 28
 § 7
 § 4
 § 43
 § 4
 § 4
 § 3
 § 28
 § 3
 § 6
 § 4