Source: https://ko-we.de/blog/archiv/index.php
Timestamp: 2018-05-26 13:44:18+00:00

Document:
Datenschutzblog Archiv
(auf Titel klicken um Eintrag zu öffnen)
Datenschutz - gut für's Unternehmen!
Die meisten Unternehmen betrachten die Einhaltung der datenschutzrechtlichen Vorschriften sicherlich als lästige Pflicht, Störung der Abläufe, Hemmnis.
Betrachten wir einmal die Vorteile und Chancen, insbesondere durch die EU-weite Einführung der Datenschutz-Grundverordnung (DSGVO).
Zunächst neue, andere und umfassendere Regeln. Die Umstellung verursacht Kosten und bindet Ressourcen, allerdings EU-weit für alle Unternehmen in gleicher Weise.
Bislang galt für die Unternehmen innerhalb der EU ein z. T. unterschiedliches Datenschutzniveau und eine sehr unterschiedliche behördliche Praxis bei der Durchsetzung der Vorschriften.
Durch die nun einheitliche Regelung verschwinden Vorteile für Unternehmen in Ländern mit einer weniger strengen Gesetzgebung und Behördenpraxis. Dies ist insbesondere für deutsche Unternehmen von Vorteil.
Wer seine Hausaufgaben gemacht hat, gewinnt!
Die DSGVO ist in sehr vielen Punkten nah am bisherigen deutschen Datenschutzrecht. Die Unternehmen, die hier bislang gut aufgestellt waren, haben deutlich weniger Aufwand mit der Umsetzung als Ihre europäischen Marktbegleiter.
Eine zentrale Forderung der DSGVO ist die Dokumentation aller Tätigkeiten des Unternehmens, bei denen personenbezogene Daten verarbeitet werden.
Dies führt dazu, dass die Prozesse und Abläufe, sowie hiermit verbundene Verantwortungen sichtbar werden und längst überfällige Verbesserungen stattfinden können.
Gut gemachter Datenschutz sowie eine gut dokumentierte IT-Sicherheit sind Merkmale, mit denen Unternehmen werben können und sollten!
Datenschutzskandale, Bußgelder etc. der Marktbegleiter können einen Wettbewerbsvorteil für Unternehmen mit einem funktionierenden Datenschutz- und IT-Sichehrheits-Management bedeuten.
Nutzen Sie die Einführung der DSGVO zur Qualitätsverbesserung in Ihrem Unternehmen!
Videoüberwachung in Kantine
In den letzten Monaten häufen sich in unserer Beratungspraxis Anfragen nach möglichen Überwachungen der Beschäftigten in Räumen des Unternehmens, die nur von Personal betreten werden dürfen. Meist Aufenthaltsräume wie Kantinen etc. Die Motivationen sind meist ähnlicher Natur und betreffen im Wesentlichen den Schutz von Eigentum (Diebstahl, Vandalismus) und die Identifizierung der jeweiligen Täter.
Der Überwachung zu diesen Zwecken hat der Gesetzgeber enge Grenzen gesetzt. Da es sich bei dieser Form der Videoüberwachung um die Überwachung von nicht-öffentlich zugänglichen Räumen handelt, das bedeutet von Räumen, die nicht von jedermann betreten werden dürfen, ist diese Art der Datenverarbeitung nicht von § 6 b BDSG gedeckt, in dem die Beobachtung öffentlich zugänglicher Räume zu bestimmten Zwecken erlaubt wird.
Da hier im Wesentlichen die Mitarbeiter auf dem Bildmaterial zu sehen sind, handelt es sich um die Erhebung und Verarbeitung von Beschäftigtendaten zum Zweck der Aufklärung einer Straftat. Dies ist in § 32 BDSG geregelt. Hier werden jedoch strenge Maßstäbe für die mögliche Erhebung und Verarbeitung angelegt. Die Norm fordert hier tatsächliche Anhaltspunkte für einen dokumentierten konkreten Verdacht, dass vom Betroffenen eine Straftat begangen wurde. Meist besteht jedoch kein konkreter dokumentierter Verdacht gegen einen bestimmten Mitarbeiter. Dies führt regelmäßig dazu, dass viele Mitarbeiter unter Generalverdacht gestellt werden und ein unverhältnismäßiger Überwachungsdruck auf mehrheitlich unschuldige Personen ausgeübt wird.
Zudem stellt der in den meisten Fällen geringe Verlust (Geschirr, Speisen etc.) keine Rechtfertigung dar, die Videoüberwachung als Mittel der Abschreckung einzusetzen, da hier stets geprüft werden muss, ob ein milderes Mittel eingesetzt werden kann. Dies ist in den meisten Fällen jedoch durchaus möglich.
Der Sächsische Datenschutzbeauftragte hat in seinem Bericht vom 31. März diesen Jahres das Thema im Rahmen seiner Prüfaufgaben aufgegriffen und die Unzulässigkeit in einem Fall von "Videoüberwachung gegen Geschirrsdiebstahl" dargestellt.
Der Sächsische Datenschutzbeauftragte: Tätigkeitsbericht vom 31.03.2017
Am 25. Mai 2018 entfaltet die Datenschutz-Grundverordnung (DSGVO) und das neue Bundesdatenschutzgesetz (BDSG (neu)) ihre Rechtswirkung.
Unternehmen müssen vieles anpassen, um den neuen Datenschutzgesetzen zu genügen. Datenschutzerklärungen auf der Unternehmens-Website gehören ebenfalls dazu.
Durch die stark steigenden Transparenz- und Informationspflichten gegenüber betroffenen Personen sind bisherige Datenschutzerklärungen meist nicht mehr ausreichend.
Am 10. Januar 2017 hat die EU-Kommission einen Entwurf der neuen e-Privacy-Verordnung (Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation)1 veröffentlicht. Dieser stellt eine Spezialisierung der DSGVO dar und geht in ihrem Regelungsbereich der DSGVO vor. Derzeit enthält die Verordnung jedoch keine Regelung zur Datenschutzerklärung.
Somit greifen hier die Artikel 12 und 13 der DSGVO zu Transparenz- und Informationspflichten gegenüber betroffenen Personen.
Zum Inhalt der Informationspflichten siehe auch unser Blogbeitrag "Neue Informationspflichten kommen mit der DSGVO" vom 22. September 2017.
Art. 12 DSGVO fordert, dass die Informationen "in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln" seien.
Dies trifft auf bisherige übliche Datenschutzerklärungen nicht zu und ist eine deutlich höhere Anforderung als bislang.
Klare Strukturen, übersichtliche Anordung und gute Lesbarkeit sollten im Vordergrund stehen, Fließtexte mit vielen Fachbegriffen genügen den neuen Anforderungen nicht. Weiterführende Informationen können jedoch verlinkt werden. In Absatz 7 und 8 des Artikels 12 der DSGVO sind auch standardisierte Bildsymbole zur Darstellung genannt, hier soll die Kommission durch delegierte Rechtsakte die Details regeln.
1 EU-Kommission: Vorschlag für eine Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation
Neue Informationspflichten kommen mit der DSGVO
Das Bundesverfassungsgericht hat im "Volkszählungsurteil" vom 15.12.1983 festgestellt, dass es mit dem Grundrecht auf informationelle Selbstbestimmung der Bürger nicht vereinbar ist, wenn der Bürger nicht wisse, "wer was wann und bei welcher Gelegenheit über sie weiß."
Dies kann nur gewährleistet werden, wenn die datenverarbeitenden Stellen ausreichend hierüber informieren.
Mit der Datenschutz-Grundverordnung (DSGVO) kommen in den Artikeln 13 und 14 zwei umfangreiche Kataloge zur Informationspflicht. Art. 13 regelt die Informationspflichten bei der Erhebung personenbezogener Daten bei der betroffenen Person, Art. 14 regelt die Informationspflichten, wenn die Erhebung nicht direkt bei der betroffenen Person erfolgt.
Datenerhebung bei der betroffenen Person
Der Verantwortliche (datenverarbeitende Stelle) muss folgende Informationen mitteilen:
Es ist über den Namen und die Kontaktdaten des Verantwortlichen oder ggf. seines Vertreters gem. Art. 27 DSGVO zu informieren.
Neue Verpflichtung.
Der Verantwortliche muss über die Zwecke der Datenverarbeitung sowie über die Rechtsgrundlage der Verarbeitung informieren. Somit wird die betroffene Person aktiv darüber aufgeklärt, auf welchen Erlaubnistatbestand (Art. 6 DSGVO) die Datenverarbeitung gestützt wird.
Sollte der Erlaubnistatbestand gem. Art. 6 Abs. 1 lit f) DSGVO, Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten, Rechtsgrundlage sein, so muss auch eine Aufklärung über diese Interessen erfolgen.
In allen Fällen, in denen personenbezogene Daten übermittelt werden sollen, sind die betroffenen Personen grundsätzlich über die konkreten Empfänger oder die Kategorien von Empfängern zu informieren.
Sollte eine Übermittlung in Drittstaaten erfolgen, ist darüber ebenfalls zu informieren. Ebenso ist mitzuteilen, auf welcher besonderen Bedingung nach Art. 44 ff. DSGVO die Übermittlung beruht und welche Maßnahmen ergriffen wurden, um beim Empfänger ein angemessenes Datenschutzniveau herzustellen. Es ist der betroffenen Person auf Anfrage Einsichtnahme die entsprechenden Dokumente zu ermöglichen.
Weitere Informationspflichten zur Gewährleistung einer fairen und transparenten Verarbeitung:
Es ist anzugeben, wie lange personenbezogene Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung der Dauer der Speicherung.
Die Betroffenen sind über ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch gegen die Verarbeitung sowie Datenübertragbarkeit hinzuweisen.
Soweit die Verarbeitung auf einer Einwilligung des Betroffenen beruht, ist darüber zu informieren, dass die Einwilligung jederzeit widerrufen werden kann und die Datenverarbeitung bis zum Zeitpunkt des Widerrufs rechtmäßig bleibt.
Der Betroffene ist über sein Beschwerderecht bei der Aufsichtsbehörde gem. Art. 77 DSGVO aufzuklären.
Der Verantwortliche muss den Betroffenen darüber informieren, ob die Bereitstellung seiner personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben, für einen Vertragsschluss erforderlich ist oder eine sonstige Verpflichtung besteht und über die Folgen einer möglichen Nichtbereitstellung.
Sobald Verfahren der automatisierten Entscheidung gem. Art. 22 DSGVO zur Anwendung kommen, muss die betroffene Person über die Tragweite und die angestrebten Auswirkungen informiert werden.
Informationspflichten gem. Art. 14 DSGVO
Datenerhebung nicht bei der betroffenen Person (aus anderen Quellen)
Innerhalb angemessener Frist, längstens innerhalb eines Monats. Falls zur Kommunikation mit der betroffenen Person verwendet, spätestens bei der ersten Kontaktaufnahme, bei Übermittlung an Dritte, spätestens zum Zeitpunkt der ersten Übermittlung.
Im Unterschied zur Datenerhebung bei der betroffenen Person ist über die
a) Kategorien der personenbezogenen Daten
aufzuklären und
b) aus welcher Quelle die Daten stammen und ob diese Quellen öffentlich zugänglich sind.
Aus erkennbaren Gründen muss nicht auf die Folgen einer möglichen Nichtbereitstellung hingewiesen werden.
Im Falle der Erhebung bei der betroffenen Person kann auf die Information verzichtet werden, falls die betroffene Person zum Zeitpunkt der Erhebung bereits über die Information verfügt.
Sofern die Daten nicht bei der betroffenen Person erhoben werden, ist die Information in folgenden Fällen nicht notwendig:
Die Informationserteilung ist unmöglich oder erfordert einen unverhältnismäßigen Aufwand,
die Erhebung oder Offenlegung ist gesetzlich vorgeschrieben,
die Daten unterliegen einem Berufsgeheimnis oder satzungsgemäßen Geheimhaltungspflicht und sind daher vertraulich zu behandeln.
Verstöße gegen die Informationspflichten
Der Gesetzgeber hat die Rechte der betroffenen Personen und damit auch die Informationspflichten zur Gewährleistung einer fairen und transparenten Datenverarbeitung personenbezogener Daten hoch bewertet (Art. 83 Abs. 5 lit. b)). Der Bußgeldrahmen für solche Verstöße liegt bei 20 Mio. Euro oder 4 % des weltweiten Konzern-Jahresumsatzes, je nach dem welcher Wert höher liegt.
openJur, die freie juristische Datenbank
Der Datenschutzbeauftragte unter der DSGVO
Art. 37 DSGVO und § 38 BDSG (neu) enthalten Regelungen für die Bestellpflicht nicht-öffentlicher Stellen.
Folgende datenverarbeitenden Stellen müssen einen Datenschutzbeauftragten benennen:
Wenn mindestens 10 Personen regelmäßig mit personenbezogenen Daten umgehen
Bei Verarbeitung von Daten, die der Datenschutz-Folgenabschätzung unterliegen
Bei geschäftsmäßiger Verarbeitung von Daten zum Zweck der Übermittlung oder Markt- und Meinungsforschung
Wenn eine Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen besteht, welche eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen
Wenn eine Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten besteht
Jede nicht zur Benennung eines Datenschutzbeauftragten verpflichteten Stelle kann dies jedoch freiwillig tun.
Die Benennung sollte schriftlich erfolgen und ebenso sollte ein Vertrag mit der zu benennenden Person über die zu übernehmenden Aufgaben geschlossen werden, insbesondere die zu übernehmenden Aufgaben, die sich nicht direkt aus dem Gesetz ergeben.
Aus der Benennung muss eindeutig hervorgehen, für welche rechtliche Einheit oder Einheiten die Benennung erfolgt.
Interne und externe Personen sind möglich
Bei Benennung einer internen Person (Mitarbeiter) darf die Benennung nicht zum Interessenkonflikt führen
Der Datenschutzbeauftragte muss beruflich qualifiziert sein, Fachwissen besitzen und anwenden können, sowie die Fähigkeit besitzen, alle Aufgaben gem. Art. 39 DSGVO zu erfüllen
Der Datenschutzbeauftragte kann nur aus wichtigem Grund abberufen werden
(bei fristloser Kündigung aus wichtigem Grund)
Der Datenschutzbeauftragte kann nur aus wichtigem Grund gekündigt werden
(fristlose Kündigung aus wichtigem Grund)
Der Kündigungsschutz wirkt ein Jahr nach Ende der Tätigkeit als Datenschutzbeauftragter fort
Der Datenschutzbeauftragte darf aufgrund seiner Aufgaben nicht abberufen oder benachteiligt werden
Was muss die verarbeitende Stelle beachten?
Eine Unternehmensgruppe darf einen gemeinsamen Datenschutzbeauftragten benennen
Der Datenschutzbeauftragte berichtet unmittelbar der höchsten Führungsebene
Betroffene Personen können den Datenschutzbeauftragten in Fragen zu ihren Daten und zur Wahrnehmung ihrer Rechte zu Rate ziehen
Der Datenschutzbeauftragte ist zur Geheimhaltung verpflichtet
Der Datenschutzbeauftragte muss frühzeitig in alle datenschutzrelevanten Fragen eingebunden werden
Der Datenschutzbeauftragte muss bei seiner Tätigkeit unterstützt werden
Dem Datenschutzbeauftragten müssen alle notwendigen Ressourcen und Zugänge zu personenbezogenen Daten zur Verfügung gestellt werden
Der Datenschutzbeauftragte muss weisungsfrei arbeiten können
Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht werden und der Aufsichtsbehörde mitgeteilt werden
Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters hinsichtlich Pflichten und Vorgaben
Unterrichtung und Beratung der Beschäftigten hinsichtlich Pflichten und Vorgaben
Überwachung der Einhaltung der gesetzlichen Vorgaben und der Strategien der verarbeitenden Stelle zur Einhaltung der gesetzlichen Vorgaben, auch der Sensibilisierung und Schulung der beteiligten Mitarbeiter
Auf Anfrage Beratung und Überwachung im Zusammenhang mit der Datenschutz-Folgeabschätzung
Zusammenarbeit mit der Aufsichtsbehörde sowie Anlaufstelle der Aufsichtsbehörde
Welche Aufgaben kann und darf der Datenschutzbeauftragte zusätzlich übernehmen?
Zunächst einmal alle Aufgaben, die zu keinem Interessenkonflikt führen, siehe auch Art. 38 Nr. 6 DSGVO.
Folgende Aufgaben können aufgrund der Fachkompetenz sinnvoll sein:
Unterstützung bei Erstellung und Führen des Verzeichnisses der Verarbeitungstätigkeiten
Prüfung der technischen und organisatorischen Maßnahmen eines beauftragten Auftragsverarbeiters
Wie sollte der Datenschutzbeauftragte an die Organisation des Betriebes angeschlossen sein?
Der Datenschutzbeauftragte sollte organisatorisch der höchsten Managementebene unterstellt werden.
Der Datenschutzbeauftragte sollte regelmäßig an Besprechungen des mittleren und oberen Managements beteiligt werden.1
Der Datenschutzbeauftragte sollte zu allen datenschutzrelevanten Entscheidungen gehört werden und seiner Einschätzung sollte bei der Entscheidung entsprechendes Gewicht verliehen werden.1
Der Datenschutzbeauftragte muss bei entsprechenden Zwischenfällen und Brüchen der Datensicherheit umgehend informiert werden.
Die Bedeutung des Datenschutzbeauftragten für das verarbeitende Unternehmen nimmt unter der DSGVO deutlich zu. Der Datenschutzbeauftragte übernimmt mehr Kontrollfunktionen und ist direkter Ansprechpartner der Aufsichtsbehörden.
Beim geringsten Zweifel an der Eignung des bisherigen Datenschutzbeauftragten oder zur Benennung in Frage kommender Beschäftigter sollte jedes Unternehmen über die Beauftragung eines geeigneten externen Beraters nachdenken, sei es zur Stellung des externen Datenschutzbeauftragten oder zur Unterstützung und Beratung des internen Datenschutzbeauftragten.
1 Artikel 29 Gruppe Working Paper 243 Guidelines on DPOs
Bewertungsportal - Datenschutz wichtiger als Meinungsfreiheit
Das Recht auf informationelle Selbstbestimmung der bewerteten Personen eines Bewertungsportals überwiegt die Interessen der Portalnutzer und der Betreiberin.
Die Entscheidung des Verwaltungsgericht Köln (Urteil vom 16.02.2017, Az.: 13 K 6093/15) zeigt, dass das Recht auf informationelle Selbstbestimmung in bestimmten Fällen schwerer wiegt als das Recht auf freie Meinungsäußerung.
In einem kostenlosen Bewertungsportal für Autofahrer können die Nutzer das Fahrverhalten anderer Personen unter Angabe des Kfz-Kennzeichens nach einem Ampelschema bewerten. Die Bewertung kann um Angaben zum Ortes, zum Fahrzeug und aus einer Liste vorgegebener Eigenschaften des Fahrverhaltens ergänzt werden.
Nutzer des Portals können ein Kfz-Kennzeichen eingeben und sich das Ergebnis der bisherigen Bewertungen in Form einer durchschnittlichen Schulnote anzeigen lassen. Zudem können sich Nutzer per Email laufend über den aktuellen Stand der Bewertungen zu einem konkreten Kfz-Kennzeichen informieren lassen.
Das Portal bietet zudem eine auf Regionen bzw. Städte bezogene Auswertung sowie allgemeine Statistiken zu Hersteller, Fahrstil und Kfz-Typ an. Alle Funktionen des Portals können ohne Registrierung genutzt werden.
Aufforderung zur Stellungnahme durch die Aufsichtsbehörde
Der Landesbeauftragte für Datenschutz und Informationsfreiheit für das Land Nordrhein-Westfalen (LDI NRW) hat der Betreiberin eines Bewertungsportals für Autofahrer seine Bedenken bezüglich der Gestaltung des Portals mitgeteilt. Mit der Erhebung und Veröffentlichung der Daten auf dem Portal gehe ein Gefährdungspotential einher. Es könnten beispielsweise Bewegungsprofile erstellt werden. Es sei zudem zu verhindern, dass eine allgemein zugängliche „private Verkehrssünderdatei“ erstellt werde. Im Rahmen einer Interessenabwägung sei zu berücksichtigen, dass sich das Fahrerbewertungsportal von anderen Bewertungsportalen unterscheide, weil es nicht in Zusammenhang mit einer beruflichen oder gewerblichen Tätigkeit der Bewerteten stehe und der Nutzerkreis nicht beschränkt sei. Der LDI NRW forderte die ursprüngliche Betreiberin des Fahrerbewertungsportals zur Stellungnahme auf.
Die Betreiberin des Portals gab u. a. an, Kfz-Kennzeichen seien gar keine personenbezogenen Daten, ebenso sei es fraglich, ob hier überhaupt in das Recht der Betroffenen auf informationelle Selbstbestimmung eingegriffen werde. Jedenfalls sei ein solcher Eingriff gerechtfertigt.
Der LDI NRW erwiderte u. a., dass das Kfz-Kennzeichen sehr wohl ein personenbezogenes Datum sei und dass ein allgemeines Interesse an ordnungsgemäßem Fahrverhalten nicht rechtfertige, Bewertungen zu einem konkreten Kfz-Kennzeichen zu kennen. Zudem würden Betroffene nicht gem. § 33 Abs. 1 Satz 2 BDSG darüber informiert, dass sie bewertet worden sind.
Vorgabe durch Aufsichtsbehörde und Klage der Betreiberin
Im Verlauf der Kommunikation wurden verschiedene Modifikationen des Portals diskutiert, es kam jedoch zu keiner Einigung. Der LDI NRW machte der Betreiberin daraufhin Vorgaben zur Modifikation mit Androhung eines Zwangsgeldes bei Nichterfüllung, die Klägerin erhob daraufhin Klage gegen die Anordnung.
Zusammenfassend gab das Gericht dem LDI NRW insoweit Recht. Die Klage sei im Hinblick auf die Anordnung des LDI NRW unbegründet, die Anordnung verletzt nicht in ihren Rechten, auch die Zwangsgeldandrohung sei nicht zu beanstanden.
Zur Interessenabwägung führt das Gericht aus:
"Die Form, die die Klägerin für ihr Fahrerbewertungsportal gewählt hat, birgt die Gefahr, eine Prangerwirkung für die Betroffenen zu entfalten. Die Bewertungen der Nutzer werden von der Klägerin nicht verifiziert. Jedem Nutzer ist es unabhängig von einer tatsächlichen Beobachtung möglich, Bewertungen zu einem beliebigen Kfz-Kennzeichen mit weiteren Erläuterungen abzugeben. Dadurch besteht die Gefahr, dass Nutzer aus zweckwidrigen Motiven zu einem Kfz-Kennzeichen unrichtige negative Bewertungen anhäufen und damit das Fahrverhalten einer Person fälschlicherweise als schlecht darstellen."
Hier wird erneut deutlich, wie wichtig eine sorgfältige Interessenabwägung im Vorfeld einer Datenverarbeitung ist. Insbesondere sind die Überlegungen, welche Datenverarbeitungen und Funktionalitäten eines angebotenen Dienstes zur geplanten Zweckerreichung wirklich erforderlich sind, nicht immer einfach.
Fragen Sie im Zweifel immer Ihren Datenschutzbeauftragten vor Inbetriebnahme eines Dienstes oder einer Datenverarbeitung.
Denken Sie dabei auch an die kommenden Änderungen im Datenschutzrecht. In der DSGVO ist die Pflicht zur frühzeitigen Einbindung des Datenschutzbeauftragten vorgeschrieben (Art. 38 Nr. 1 DSGVO).
Justizportal Nordrhein-Westfalen, Urteil vom 16.02.2017, Az.: 13 K 6093/15
Videoüberwachung: Nutzung der Daten
Videoüberwachung ist allgegenwärtig und nimmt ständig zu.
Das Bundesdatenschutzgesetz (BDSG) regelt in § 6 b die Anwendung von Videoüberwachung streng, sie ist nur unter bestimmten Voraussetzungen erlaubt.
Zur Wahrung des Hausrechts1 darf sie beispielsweise nur dann eingesetzt werden, wenn sie erforderlich ist und keine Anhaltspunkte für überwiegende schutzwürdige Belange der betroffenen Kundinnen, Kunden und Beschäftigten bestehen. Eine permanente, flächendeckende Videoüberwachung in Ladengeschäften ist in aller Regel unzulässig.
Ladengeschäfte nutzen die Videoüberwachung gerne zur Aufklärung von Ladendiebstählen oder Vandalismus. Die Aufklärung der Straftaten unter Zuhilfenahme des Bildmaterials ist jedoch den Strafverfolgungsbehörden2 vorbehalten.
Eine eigene Ermittlung unter Missachtung der Strafprozessordnung3 ist in der Regel unzulässig und birgt die Gefahr selbst unerlaubte Handlungen zu begehen, die strafrechtliche oder anderweitige Konsequenzen nach sich ziehen können.
Auch wenn die Aufzeichnung und damit das Bildmaterial unter Berücksichtigung aller einschlägigen Gesetze gewonnen wurde, ist die Nutzung des Bildmaterials separat zu betrachten. Sowohl eine mögliche Veröffentlichung wie auch eine mögliche Weitergabe ist unter datenschutzrechtlichen und persönlichkeitsrechtlichen Aspekten streng zu prüfen. Die Weitergabe des Bildmaterials an Strafverfolgungsbehörden ist dabei zulässig.
Jedoch ist eine Veröffentlichung von "Steckbriefen" im Internet, z. B. auf Facebook, oder in Schaufenstern unzulässig. Dies hat auch die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen in Ihrem 23. Bericht zum Datenschutz und der Informationsfreiheit deutlich formuliert: "Jede Art von Öffentlichkeitsfahndung stellt einen Eingriff in die Persönlichkeitsrechte der Verdächtigen dar und darf daher ausschließlich von Polizei und Staatsanwaltschaft nach der Strafprozessordnung erfolgen."
Ebenso ist die Weitergabe an Dritte wie Kunden oder Geschäftspartner, die aus zivilrechtlichen Gründen eine Herausgabe begehren, um beispielsweise Schadenersatzansprüche geltend zu machen, in der Regel unzulässig.
1 siehe auch Definition Hausrecht auf juraforum.de
2 siehe auch Eintrag zu Strafverfolgungsbehörden auf Wikipedia
3 siehe auch Eintrag zu Strafprozessordnung auf Wikipedia
23. Bericht zum Datenschutz und Informationsfreiheit LDI NRW
Maßnahmenplan zur DS-GVO
Die Datenschutzkonferenz (DSK) hat in ihrem achten Kurzpapier vom 26.07.2017 eine erste Orientierungshilfe für die Umsetzung der Bestimmungen der Datenschutz-Grundverordnung (DS-GVO) veröffentlicht. In diesem Dokument stellt die DSK die Bedeutung der DS-GVO und die Auswirkungen auf die Unternehmen in der EU dar.
Zunächst ist allen Entscheidungsträgern die Tragweite der DS-GVO bewusst zu machen. Hierzu empfiehlt die DSK die Information der Geschäftsleitung durch die Datenschutzbeauftragten und/oder die IT-Verantwortlichen.
Ein Projekt zur Umsetzung der DS-GVO ist zwingend angeraten.
- Prozesse mit personenbezogenen Daten bestimmen und analysieren
- Rechtsgrundlagen prüfen
- Datenschutzorganisation im Unternehmen prüfen
- Dienstleisterbeziehungen prüfen (Verträge etc.)
- Dokumentationen prüfen
- Betriebsvereinbarungen prüfen
- Soll-Zustand ermitteln
- Lücken analysieren
- Handlungsbedarf konkret festlegen
- Anpassung Prozesse
- Rechtsgrundlagen festlegen
- Implementierung neuer Aufgaben
- Anpassung und Ergänzung der Organisation
- Dokumentationen aufbauen
- Anpassung IT-Sicherheit
- Anpassung Betriebsvereinbarungen
Wir empfehlen, mit der Umsetzung umgehend zu beginnen, sofern nicht bereits begonnen wurde.
Bayerisches Landesamt für Datenschutzaufsicht, Kurzpapiere DSK und BayLDA
Gemäß Art. 30 DS-GVO muss jeder Verantwortliche1 und jeder Auftragsverarbeiter2 ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen.
Zweck3 dieses Verzeichnisses ist es, die Zusammenarbeit mit der Aufsichtsbehörde zu erleichtern und der Aufsichtsbehörde zu ermöglichen, die Verarbeitungsvorgänge anhand dieser Verzeichnisse zu ermöglichen.
Insbesondere muss der Verantwortliche das Verzeichnis führen, um alle Verarbeitungstätigkeiten zu kennen, die "ein Risiko für die Rechte und Freiheiten der betroffenen Personen" bergen, die "nicht nur gelegentlich" erfolgen, die "besondere Datenkategorien" gemäß Artikel 9 Absatz 1 DS-GVO oder "personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten" im Sinne des Artikels 10 DS-GVO.
Die Verzeichnisse dienen auch als Basis für die Datenschutz-Folgenabschätzung gem. Art. 35 DS-GVO sowie die mögliche vorherige Konsultation gem. Art. 36 DS-GVO.
Die Datenschutzkonferenz (DSK) hat im Juli 2017 damit begonnen, Auslegungshilfen zur DS-GVO zu veröffentlichen. Im Kurzpapier Nr. 1 vom 29.06.2017 rät die DSK zur Erfassung aller Verarbeitungstätigkeiten im eigenen Interesse der Verantwortlichen.
Die Verzeichnisse müssen zwingend in deutscher Sprache geführt werden oder nach Anforderung der Aufsichtsbehörde unverzüglich in deutscher Sprache vorgelegt werden können.
Eine Mustervorlage für die Anfertigung der Verzeichnisse finden Sie hier4:
1 siehe auch Art. 4 DS-GVO Nr. 7, analog "Verantwortliche Stelle" im Sinne des § 3 Abs. 7 BDSG
2 siehe auch Art. 4 DS-GVO Nr. 8, analog "Auftragnehmer" im Sinne des § 11 BDSG
3 siehe auch Erwägungsgrund 82 DS-GVO
4 Vorlage des Bayerischen Landesamt für Datenschutzaufsicht
Die Datenschutz-Grundverordnung (DSGVO) sieht im Falle von Verstößen deutlich schwerere Sanktionen vor als das BDSG. Ebenso tritt die Sanktionierung deutlich in den Vordergrund, Sie soll nicht mehr die Ausnahme sein, sondern bei Verstößen zum Regelfall werden.
Die bislang gängige Praxis in den Unternehmen, das Datenschutzrecht nicht in dem Maße unmzusetzen wie in anderen Rechtsbereichen, wird in Zukunft wohl mehr negative Folgen nach sich ziehen.
Art. 83 DSGVO intendiert eine strengere Verhängung von Geldbußen als dies bislang der Fall war.
In den letzten Jahre ließ sich bereits eine Zunahme der Bußgeldverfahren beobachten, in Zukunft wir sich das noch deutlich verschärfen, insofern die Bußgeldhöhen für vergleichbare Tatbestände wohl deutlich steigen werden.
Neben den Geldbußen drohen den verarbeitenden Stellen weitere mögliche Sanktionen:
Die "gelbe Karte" der Aufsichtsbehörde. Im Falle eines geringfügigen Verstoßes (siehe auch Erwägungsgrund 148 DSGVO) oder eine unverhältnismäßigen Belastung durch eine Geldbuße, kann die Aufsichtsbehörde eine Verwarnung aussprechen.
Anweisungen bezgl. der Datenverarbeitung
Insbesondere die Möglichkeit der Aufsichtsbehörde in die Datenverarbeitungsvorgänge mittelbar einzugreifen, in dem sie Anweisungen erteilt, diese in Einklang mit der DSGVO zu bringen (Art. 58 Abs. 2 lit. d) DSGVO), ist hier zu nennen.
Untersagung der Datenverarbeitung
Das "schärfste Schwert" der Aufsichtsbehörde. In Art. 58 Abs. 2 lit f) DSGVO ist geregelt, dass die Aufsichtsbehörde eine "vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots" verhängen darf.
Darüber hinaus sind auch zivilrechtliche Ansprüche (z. B. Art. 82 DSGVO) und die Durchsetzung durch Verbraucherverbände möglich.
Dr. Sebastian J. Golla: Säbelrasseln in der DSGVO, RDV (Recht der Datenverarbeitung) 2107 Heft 3 S 123
Österreich beschließt Datenschutzanpassungsgesetz
Am 29.06.2017 hat der Österreichische Nationalrat das "Bundesgesetz, mit dem das Bundes-Verfassungsgesetz geändert, das Datenschutzgesetz erlassen und das Datenschutzgesetz 2000 aufgehoben wird" beschlossen.
Das sog. "DatenschutzAnpassungsgesetz 2018" tritt am 25.05.2018 in Kraft. Mit Inkrafttreten des Gesetzes treten mehrere bestehende Gesetze außer Kraft.
Art 8 DSGVO: Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft
§ 4 Abs 4 DSG sieht die Einwilligungsfähigkeit ab dem Alter von 14 Jahren vor (anstelle von 16).
Art 10 DSGVO: Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten
§ 4 Abs 3 DSG erlaubt unter bestimmten Voraussetzungen die Verarbeitung "strafrechtsbezogener" Daten durch Private.
Art 6 Abs. 1 lit. a, 7 DSGVO Einwilligung, hier Fortbestand von erteilten Einwilligungen
In das „DSG neu“ wird eine Norm aufgenommen, die die „alten“ unter dem DSG 2000 eingeholten Zustimmungserklärungen auch unter der neuen Rechtslage für wirksam erklärt (sofern diese auch der DSGVO entsprechen – als Vorlage diente hier der Beschluss des deutschen „Düsseldorfer Kreises“.
Gesetzestext: Republik Österreich Parlament Datenschutz-Anpassungsgesetz 2018
Projekt 29 Datenschutzblog: DSGVO-Anpassungsgesetz nun auch in Österreich verabschiedet
Blogeintrag von Markus Kastelitz "My legal (digital) memory" vom 28.06.2017: Österreich: DSGVO-Anpassungsgesetz - aktueller Stand (Updates)
Beschluss des Düsseldorfer Kreises 13./14.09.2016: Fortgeltung erteilter Einwilligungen
Mit Beschluss vom 22.06.2017 hat das Oberverwaltungsgericht (OVG) Nordrhein-Westfalen entschieden, dass die 2015 gesetzlich eingeführte und ab dem 1. Juli 2017 zu beachtende Vorratsdatenspeicherung nicht mit dem Recht der Europäischen Union vereinbar ist.
Der Münchener Provider Spacenet hatte gegen die in §§ 113a, b TKG vorgesehene verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten für 4 bzw. 10 Wochen geklagt.
Zeitgleich hatte das Unternehmen einen Antrag an das Verwaltungsgericht (VG) Köln gestellt, bis zu einer endgültigen Entscheidung die entsprechenden Daten nicht speichern zu müssen. Der Provider unterlag in der Vorinstanz. Das OVG gab ihm nun jedoch Recht. Zu Begründung führte das Gericht aus, dass die Speicherpflicht in ihrer jetzigen Form nicht mit Art. 15 Abs. 1 der Datenschutzrichtlinie (2002/58/EG v. 12.07.2002) vereinbar sei.
Da der Beschluss nur unmittelbar auf den klagenden Provider wirkt, müssten andere Provider, die ebenfalls nicht speichern möchten, einen Antrag an das VG Köln stellen.
Leider gibt auch diese Entscheidung keine allgemeine Rechtssicherheit im viel diskutierten Thema. Der Gesetzgeber sollte hier endgültig Rechtssicherheit schaffen, um weitere hohe Investitionen der Provider in eine möglicherweise unrechtmäßige Vorratsdatenspeicherung zu verhindern.
Pressemitteilung des OVG NRW vom 22.06.2017: Vorratsdatenspeicherung verstößt gegen Unionsrecht
Artikel 29 Gruppe zum Privacy Shield
Die Europäische Kommission wird im September zum ersten Mal die jährliche Überprüfung des EU-Privacy-Shields vornehmen. Hieran nehmen auch Mitglieder der Artikel-29-Gruppe teil. Die Überprüfung hat die Effektivität der Vereinbarung zum Gegenstand. Das Ergebnis wird an die Kommission und das EU-Parlament berichtet. Die Artikel-29-Gruppe (G29) ist das unabhängige Beratungsgremium der Europäischen Kommission in Fragen des Datenschutzes.
Die Artikel-29-Gruppe hat in Ihrer Pressemitteilung vom 13.06.2017 Bedenken hinsichtlich der Umsetzung bereits geäußerter Themen im Bezug auf wirtschaftliche Aspekte sowie der Anwendung der Gesetze und den Fragen zur nationalen Sicherheit geäußert. Sicherlich spielt auch die politische Entwicklung und der Machtwechsel in den USA eine Rolle bei den Überlegungen der Gruppe.
Die Artikel-29-Gruppe bereitet sich nach eigenen Angaben intensiv auf die Überprüfung vor. Es seien bereits Fragebögen erstellt, die den US-Behörden vorgelegt werden sollen. Ebenso soll ein eigener Bericht der Gruppe zur Überprüfung veröffentlicht werden.
Es bleibt zu hoffen, dass dies zur Stärkung der Rechtssicherheit bei der Übertragung von Daten auf Basis des EU-Privacy-Shields beitragen wird.
Wikipedia: Artikel-29-Datenschutzgruppe
Pressemitteilung der Artikel-29 Gruppe vom 13.06.2017: Download
DSGVO: Grundsätze in der DV
Die DSGVO (Datenschutz-Grundverordnung) entfaltet am 25.05.2018 ihre Rechtswirkung.
Wie ihr rechtlicher Vorgänger, das BDSG (Bundesdatenschutzgesetz), legt die DSGVO in Art. 5 Abs. 1 die Grundsätze fest, nach denen personenbezogene Daten verarbeitet werden dürfen. Für alle Unternehmen, die personenbezogene Daten verarbeiten, sind diese einzuhalten und die Einhaltung ggf. nachzuweisen. In Art. 5 Abs. 2 DSGVO heißt es: "Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht")."
Die Rechtmäßigkeit wird in Art. 6 DSGVO näher beschrieben. U. a. sind neben der Einwilligung der betroffenen Personen die Erfüllung von Verträgen oder vorvertraglichen Maßnahmen, der Erfüllung von rechtlichen Pflichten des Verantwortlichen und der Schutz lebenswichtiger Interessen der betroffenen oder anderer Personen genannt. Im Erwägungsgrund 40 heißt es: "Damit die Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person oder auf einer sonstigen zulässigen Rechtsgrundlage verarbeitet werden (...)"
Hier geht es darum, ob ein bestimmtes Verhalten im Zusammenhang mit der Datenverarbeitung als redlich angesehen werden kann. Dies ist immer ein im Einzelfall abzuwägender Sachverhalt.
Die betroffenen Personen müssen jederzeit ihre Betroffenenrechte wahrnehmen können. Ebenso sollten sie sich anhand vorhandener Prüfsiegel oder Zertifikate einen Überblick über das Datenschutzniveau eines Anbieters von Produkten und Dienstleistungen verschaffen können. Art. 12 ff DSGVO präzisieren die Transparenzvorschriften.
Die Zwecke der Datenverarbeitung müssen vorab festgelegt, eindeutig und legitim sein. Eine Weiterverarbeitung zu anderen Zwecken ist nur möglich, wenn die Zwecke der Weiterverarbeitung nicht den ursprünglichen Zwecken zuwider laufen und eine Rechtsgrundlage für sie vorliegt.
Die Datenerhebung und -verarbeitung muss auf das zur Zweckerfüllung notwendige Maß beschränkt werden.
Die Daten müssen sachlich korrekt und aktuell sein. Unrichtige Daten sollen unverzüglich gelöscht oder korrigiert werden. Siehe auch Art. 17 Abs. 1 lit. d DSGVO und Art. 16 DSGVO.
Die Speicherung oder die Identifizierung einer Person darf nur solange erfolgen, wie es für die Zweckererfüllung erforderlich ist.
Die angemessener Sicherheit der Verarbeitung muss gewährleistet sein. Neben dem Schutz vor unbefugtem Zugriff umfasst dies auch den Schutz vor unrechtmäßiger Verarbeitung, unbeabsichtigtem Verlust, Schädigung oder Zerstörung. Hierzu sind Maßnahmen zu treffen, insbesondere technishce und organisatorische Maßnahmen gem. Art. 32 DSGVO.
Bei Nicht-Einhaltung drohen Bußgelder und ggf. andere rechtliche Konsequenzen. Neu ist, dass die zu verhängenden Bußgelder abschreckende Wirkung haben sollen. Siehe Art. 83 Abs. 1 DSGVO. Zudem sind gegenüber dem BDSG die Bußgeldgrenzen stark erhöht worden. Beispielsweise wurde die Obergrenze für schwere Verstöße von 300.000 Euro auf 20.000.000 Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs des Unternehmens erhöht, je nachdem, welcher der Beträge höher liegt. Siehe hierzu auch Art. 83 Abs. 4 f DSGVO.
Bundesrat stimmt neuem BDSG zu
Der Bundesrat stimmt in seiner Plenarsitzung vom 12.05.2017 dem vom Bundestag am 27.04.2017 verabschiedeten Datenschutz-Anpassungs- und Umsetzungsgesetz – EU (DSAnpUG-EU) zu. Der Bundestag verabschiedete das Gesetz in der Fassung der Beschlussempfehlung des Innenausschusses.
Das DSAnpUG-EU enthält in Artikel 1 die Neufassung des Bundesdatenschutzgesetzes (BDSG-neu).
Das BDSG-neu regelt die in der Datenschutzgrundverordnung (DS-GVO) vorgesehenen nationalstaatlichen Ergänzungen. Beispielsweise Regelungen aus dem Bereich des Arbeitnehmerdatenschutzes (§ 26 BDSG-neu) oder Benennung eines Datenschutzbeauftragten (§ 38 BDSG-neu).
Das BDSG-neu wird am 25.05.2018, zeitgleich mit der Rechtskraftentfaltung der DS-GVO in Kraft treten.
Beschlussempfehlung des Innenausschusses Drucksache 18/12084
Bundesrat Drucksache 110/17
BGH Urteil zu dynamischen IP-Adressen
Der BGH hat am 16.05.2017 in seiner Pressemeldung 74/2017 die Inhalte zu seinem Urteil verkündet, in dem u. a. zu klären war, ob die vom Internetprovider gespeicherten dynamischen IP-Adressen personenbezogene Daten im Sinne des § 12 Abs. 1 und 2 TMG in Verbindung mit § 3 Abs. 1 BDSG seien. Dem Urteil des BGH vorausgegangen war ein Urteil des EuGH, welches in der Sache vom BGH angerufen wurde.
In der Pressemeldung heißt es: "Eine dynamische IP-Adresse, die von einem Anbieter von Online-Mediendiensten beim Zugriff einer Person auf eine Internetseite, die dieser Anbieter allgemein zugänglich macht, gespeichert wird, stellt für den Anbieter ein (geschütztes) personenbezogenes Datum dar.(...) Diese Vorschrift ist (...) dahin anzuwenden, dass ein Anbieter von Online-Mediendiensten personenbezogene Daten eines Nutzers dieser Dienste ohne dessen Einwilligung auch über das Ende eines Nutzungsvorgangs hinaus dann erheben und verwenden darf, soweit ihre Erhebung und ihre Verwendung erforderlich sind, um die generelle Funktionsfähigkeit der Dienste zu gewährleisten."
Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, begrüßt das Urteil in einer Erklärung auf der Website der BfDI: "Wie zu erwarten, ist der BGH in seinem heutigen Urteil dem Europäischen Gerichtshof gefolgt und hat dynamische IP-Adressen als personenbezogenes Datum eingestuft. Vor diesem Hintergrund begrüße ich das Urteil ausdrücklich. Es bestätigt meine langjährige Position und stärkt den europäischen Datenschutz."
Pressemitteilung 74/2017 des Bundesgerichtshofs vom 16.05.2017 Bundesgerichtshof zur Zulässigkeit der Speicherung von dynamischen IP-Adressen
Pressemitteilung der BfDI vom 16.05.2017 Datenschutz im Internet: BfDI begrüßt Urteil des BGH zur Klarstellung des Personenbezugs von dynamischen IP-Adressen
Verfahrensverzeichnis EU-konform
Ab Mai 2018 müssen alle geforderten Verfahrensdokumentationen der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO) genügen1. Das bedeutet, dass die bisher vom Bundesdatenschutzgesetz (BDSG) geforderte Verfahrensdokumentationen nicht ausreichen.
Die Unternehmen sollten nicht mehr warten, wir empfehlen, alsbald mit der Planung und Umsetzung zu beginnen. Wann genau begonnen werden muss, hängt stark von der Qualität der vorhandenen Dokumentation ab. Sollte die Dokumentation nicht aktuell, nicht vollständig oder gar bislang nicht vorhanden sein, sollten sie unbedingt sofort beginnen.
Die EU-DSGVO fordert u. a. eine risikobasierte Auswahl der technischen und organisatorischen Maßnahmen (TOM)2. Bislang konnte in dem meisten Verfahren auf die allgemeinen TOM des Unternehmens verwiesen werden, dies ist so in Zukunft nicht mehr möglich. Die Angemessenheit der TOM muss dargelegt und die Wirksamkeit nachgewiesen werden.
Zunächst müssen die Risiken für die Rechte und Freiheiten der Betroffenen abgeschätzt und die Eintrittswahrscheinlichkeit bestimmt werden.3 Führt die Abschätzung zu dem Ergebnis, dass ein hohes Risiko vorliegt, so muss eine Datenschutz-Folgenabschätzung durchgeführt werden.4
Zur vorhandenen Struktur des Verfahrensverzeichnisses gem. BDSG ergeben sich in der Praxis folgende Erweiterungen:
Feststellung des Schutzbedarfs der Datenkategorien als Basis für die Risikoanalyse. Hier kann das Schutzstufenkonzept5 des Landesbeauftragten für Datenschutz in Niedersachsen herangezogen werden.
Erweiterung der der Schutzbedarfsfeststellung um die IT-Schutzziele Verfügbarkeit, Vertraulichkeit, Integrität und Rechtskonformität. Hierbei sollten die wichtigsten Fragen lauten:
Was droht dem Betroffenen im schlimmsten Fall, wenn die Vertraulichkeit, die Verfügbarkeit oder die Integrität der Daten verletzt wird?
Welche Gefahren drohen bei Vernichtung, Verlust oder Veränderung der Daten?
Durchführung der Risikoanalyse für hohe und sehr hohe Risiken anhand konkreter Schadensszenarien mit bekannten und abstrakten Bedrohungen unter Berücksichtigung bereits umgesetzter Schutzmaßnahmen.
Etablierung von aus der Risikoanalyse abgeleiteter ergänzender oder geänderter Maßnahmen zur Minimierung der erkannten Restrisiken.
Weitere Unterschiede zur bestehenden Rechtslage erfordern ggf. weitere Ergänzungen, bzw. Änderungen der vorhandenen Dokumentationen.
Lassen Sie sich von Ihrem Datenschutzbeauftragten informieren und ziehen Sie im Zweifel oder bei erkanntem Bedarf Experten hinzu.
1 Artikel 30 EU-DSGVO Amtsblatt der EU L 119 vom 4.5.2016
2 Artikel 32 EU-DSGVO Amtsblatt der EU L 119 vom 4.5.2016
3 Erwägungsgrund 76 und 83 EU-DSGVO Amtsblatt der EU L 119 vom 4.5.2016
4 Artikel 35 EU-DSGVO Amtsblatt der EU L 119 vom 4.5.2016
5 Schutzstufenkonzept des Landesbeauftragten für Datenschutz in Niedersachsen
Abmahngefahr Facebook-Like Button
Der Like-Button, der auf Millionen von Webseiten eingebunden ist, verstößt laut einem aktuellen Urteil des LG Düsseldorf gegen deutsches Recht. Jeder Betreiber einer Website, die den Facebook-Linke Button nutzt, sollte beachten, was das Urteil für ihn konkret bedeuten kann.
Das Urteil ist nur zu Facebook ergangen. Es betrifft aber auch alle anderen Plug-Ins von SocialMedia Seiten wie Twitter oder Google+, die personenbezogene Daten übertragen.
Nach Ansicht des LG Düsseldorf reicht ein Hinweis in der Datenschutzerklärung auf den FacebookLike-Button nicht mehr aus. Als Seitenbetreiber können Sie unter Umständen abgemahnt werden, wenn Sie die Tools, die Facebook & Co. zur Verfügung stellen weiterhin nutzen. Wenn Sie auf Nummer sicher gehen wollen, dann entfernen Sie die von Facebook zur Verfügung gestellten Page-Plug-Ins sowie Like- und Share-Buttons, die per Plug-In eingebunden sind, von Ihrer Seite.
Nutzen Sie nur noch Tools, die ähnliche Funktionen bieten, aber keine personenbezogenen Daten übertragen.
Gern unterstützen wir Sie bei der gesetzeskonformen Gestaltung Ihrer Website.
Verbraucherzentrale NRW (Kläger): Urteil des LG Düsseldorf vom 09.03.2016 Az. 12 O 151/15
Woran Sie vor Ihrer Urlaubreise denken sollten
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und andere Institutionen geben Empfehlungen für die IT-Sicherheit für Urlauber heraus.
Die wichtigsten Tipps aus unserer Sicht:
Niemals Passwort oder PIN angeben, auch nicht am Telefon!
Beim Ausfüllen von Meldescheinen etc. nur das absolut notwendigste angeben!
Die eigene Kreditkarte, den Ausweis, die ec-Karte etc. niemals ganz aus der Hand geben!
Keine Kopien vom eigenen Ausweis zulassen!
Eigene IT-Geräte wie Laptop, USB-Stick etc. durch Verschlüsselung schützen!
Vor der Reise Daten von mitzunehmenden IT-Geräten sichern!
Smartphone durch PIN etc. schützen!
Bei Nutzung von fremden Geräten zum Abrufen von Email oder Zugang zu Webshops etc. nach der Reise Passwörter ändern!
Kein unverschlüsseltes WLAN nutzen!
Vor Abreise Maßnahmen für Verlust von Geräten, Karten etc, festlegen!
Bundesamt für Sicherheit in der Informationstechnik: IT-Sicherheit-Urlaubsvorbereitung
Die Bundesbeauftragte für den Datenschutz: Datenschutz an der Grenze und auf Reisen
Deutschland sicher im Netz: Endlich Urlaub!
ULD: Datenschutz-Tipps für Urlaubsreisende
Dash-Cams im Auto unzulässig
Der hessische Datenschutzbeauftragte, Prof. Dr. Michael Ronellenfitsch, hält den Einsatz von sog. Dash-Cams für gesetzeswidrig. In seinem 44. Tätigkeitsbericht für das Jahr 2015 legt er dies und seine Begründungen hierzu dar.
Der Betrieb einer Videokamera im PKW, die permanent das Verkehrsgeschehen und damit auch andere Verkehrsteilnehmer aufzeichnet (sog. Dash-Cam), sei ein Eingriff in das Recht auf informationelle Selbstbestimmung und fällt als Videoüberwachung klar unter das Bundesdatenschutzgesetz (BDSG).
Die Videoüberwachung ist in § 6b BDSG geregelt. An dieser Vorschrift gemessen, sei der Betrieb der Dash-Cams grundsätzlich unzulässig. Die permanente und damit ohne konkreten Anlass betriebene Aufzeichnung stelle alle Verkehrsteilnehmer unter Generalverdacht, ohne dass diese die Möglichkeit hätten von der Überwachung zu erfahren oder sich dieser zu erwehren. Allein dir theoretische Möglichkeit einer Beweissicherung im Falle iens möglichen Unfalls könne den gravierenden Eingriff in das Persönlichkeitsrecht der Verkehrsteilnehmer nicht rechtfertigen.
Ein Verstoß gegen § 6b BDSG stellt gem. § 43 BDSG eine Ordnungswidrigkeit dar und kann mit einer Geldbuße von bis zu 300.000 € belegt werden.
Der Hessische Datenschutzbeauftragte: Tätigkeitsberichte
Dokument Download: 44. Tätigkeitsbericht des Hessichen Datenschutzbeauftragten
Die Europäische Kommission hat am 12.07.2016 das Privacy Shield verabschiedet.
Nur wenige Monate nach der Entscheidung des Europäischen Gerichtshofs, das sog. Safe-Harbour-Abkommen für ungültig zu erklären, haben sich die EU-Kommission und das US-Handelsministerium am 02.02.2016 auf eine neue Grundlage zur Übermittlung von personenbezogenen Daten aus der EU in die USA geeinigt. Nach dem positiven Votum der Artikel-31-Gruppe am 08.07.2016 hat die EU-Kommission am 12.07.2016 die Regelung verabschiedet und eine Angemessenheitsentscheidung getroffen. Das bedeutet, dass Unternehmen aus den USA, die sich den Privacy-Shield-Richtlinien unterwerfen, ein angemessenes Datenschutzniveau unterstellt werden kann. Dies ist eine Voraussetzung, um überhaupt personenbezogene Daten aus der EU übermitteln zu dürfen.
Durch diesen Beschluss können sich US-amerikanische Unternehmen ab dem 01.08.2016 auf der Privacy Shield Liste registrieren. Sie müssen dann eine verbindliche Erklärung abgeben, die Regularien des Privacy Shield einzuhalten. Die Registrierung und Erklärung sind jährlich zu wiederholen.
Die USA hat sich verpflichtet, eine Liste der teilnehmenden Unternehmen zu veröffentlichen und diese aktuell zu halten.
EU-Kommission: Fact Sheet EU-U.S. Privacy Shield FAQ vom 12.07.2016
EU-Kommission: Pressemitteilung zum EU-U.S. Privacy Shield vom 02.02.2016
Datensparsamkeit lohnt sich.
Unternehmen müssen gem. § 3a BDSG ihre Datenverarbeitungen so auslegen und verwenden, dass möglichst wenig personenbezogene Daten erhoben, verarbeitet und genutzt werden.
Diese Datensparsamkeit ist der einfachste Weg, Daten zu schützen. Daten, die erst gar nicht erhoben werden, müssen eben auch nicht aufwändig technisch oder organisatorisch geschützt werden.
Auch Privatpersonen ist dringend anzuraten, diese einfachste und ursprünglichste Form des Datenschutzes anzuwenden. Hierzu hat die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) gemeinsam mit der Verbraucherzentrale NRW eine Broschüre herausgebracht.
Dokument Download: LDI NRW - Ihre Daten gehören Ihnen
Großbritannien hat sich entschieden. Bald sollen die Verhandlungen über den Austritt beginnen.
2018 soll das Vereinigte Königreich nicht mehr Mitglied der EU sein.
Die Auswirkungen auf Unternehmen, die vom Brexit betroffen sind, sind erheblich, diese Unternehmen müssen sich vorbereiten.
Sollten Datenübermittlungen aus der EU in das Vereinigte Königreich stattfinden, muss dies auch in Zukunft rechtskonform geschehen. Die Vorschriften des BDSG und die Rechtsprechung erlauben derzeit als Rechtsgrundlage die EU-Standardvertragsklauseln oder aufsichtsbehördlich genehmigungspflichtige Vertragsregelungen oder Corporate Binding Rules. Dies betrifft insbesondere Unternehmen mit Sitz im Vereinigten Königreich oder Unternehmen mit Geschäftspartnern oder Dienstleistern dort.
Das Vereinigte Königreich täte gut daran, sein zukünftiges Datenschutzrecht so zu gestalten, dass es in der Lage wäre, sich ein angemessenes Datenschutzniveau von der EU bescheinigen zu lassen. Dann kann die Datenübermittlung gem. § 4b BDSG problemlos erfolgen. Die Entscheidung hierüber träfe die EU-Kommission.
EU-Kommission: Länder mit angemessenem Datenschutzniveau
tagesschau.de 24. Juni 2016: Briten wollen raus aus der EU
Brexit und EU-Datenschutz
Großbritannien könnte Drittstaat werden.
Morgen stimmt die britische Bevölkerung über den Verbleib des Vereinigten Königreichs in der EU ab. Stimmberechtigt sind alle über 18-jährigen britischen Staatsbürger in England, Schottland, Wales und Nordirland, sowie Staatsangehörige der Commonwealth-Staaten, Gibraltar und der Republik Irland, sofern sie ihren dauerhaften Wohnsitz im Vereinigten Königreich haben.
Sollte das Vereinigte Königreich tatsächlich aus der EU austreten, hätte das nach Einschätzung der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) und des Internationalen Währungsfonds (IWF) weitreichende Folgen für die Wirtschaft in der EU und weltweit. Ebenso sprechen sich zahlreiche Politiker für den Verbleib aus.
Die Konsequenzen für die Zusammenarbeit mit britischen Unternehmen wären weitreichend.
Zum einen haben viele Unternehmen der EU ihren Stammsitz oder ihre Muttergesellschaft im Vereinigten Königreich oder haben Dienstleister dort. Der Austausch oder die Verarbeitung von personenbezogenen Daten erfordert im Zielland ein angemessenes Datenschutzniveau. Da für das Vereinigte Königreich im Falle des Austritts weder die jüngst in Kraft getretene EU-Datenschutz-Grundverordnung noch andere EU-Richtlinien gelten würden, könnte das Vereinigte Königreich ein eigenes Datenschutzrecht schaffen.
Alle betroffenen Unternehmen sollten jetzt aufmerksam die Entwicklungen verfolgen und im Falle eines Austritts geeignete Maßnahmen ergreifen.
FAZ.net. 20. Februar 2016: Briten stimmen am 23. Juni über Verbleib in der EU ab
zeit.de 23. April 2016: Brexit. Enttäuschte Liebe.
spiegel.de 3. März 2016: Schäuble zum Brexit: "Wir würden weinen"
In Brüssel wurde mit Wirkung zum 14.06.2016 die European Cyber Security Organisation (ECSO), eine neue Organisation zur Verbesserung der Sicherheit in der IT (Cyber Security), gegründet.
Die deutsche TeleTrusT - Bundesverband IT-Sicherheit e.V. ist als Gründungsmitglied im Board of Direectors vertreten.
Die neue Organisation wird unter anderem als Vertragspartner der EU-Kommission bei Public-Private-Partnership-Vereinbarungen zu Cyber Security auftreten.
Bereits am 20.01.2016 fand in Brüssel ein Vorbereitungsworkshop für die "Contractual Public Private Partnership" zwischen der EU-Kommission und der europäischen Cyber security-Industrie unter Beteiligung von TeleTrusT statt.
Quelle: TeleTrusT – Bundesverband IT-Sicherheit e.V. - Pressemeldungen
Dokument Download: Pressemitteilung zur Gründung
Die Aufsichtsbehörden bereiten sich auf die EU-DS-GVO vor.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) als Aufsichtsbehörde für den Datenschutz teilt mit, dass sich die Aufsichtsbehörden in intensiver Abstimmung befinden, damit eine einheitliche Sichtweise der neuen Regelungen und Anforderungen erreicht wird.
Damit die Erkenntnisse und Sichtweisen der Behörden allen Interesseierten zur Verfügung stehen, kündigt das BayLDA im 14-tägigen Rhythmus eine Veröffentlichung zu einem ausgewählten Thema an.
Die erste Veröffentlichung beschäftigt sich mit der Frage, welche Rolle die IT-Sicherheit im Datenschutz in Zukunft einnehmen wird.
Quelle: Bayerische Landesamt für Datenschutzaufsicht - EU-Datenschutz-Grundverordnung
Dokument Download: Veröffentlichung zum Art. 32 DS-GVO - Sicherheit der Verarbeitung
EU-DS-GVO tritt in Kraft
Am 25.05.2016 ist die neue EU-Datenschutz-Grundverordnung in Kraft getreten. Sie ist von allen EU-Mitgliedsstaaten nach einer Übergangszeit von zwei Jahren anzuwenden.
Für die Unternehmen in der EU bedeutet dies einen erheblichen Vorbereitungsaufwand. Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder weist ausdrücklich darauf hin, dass neue stark erweiterte Aufgaben auf die datenverarbeitenden Stellen zukommen.
Auch die Aufsichtsbehörden sehen sich mit neuen Aufgaben konfrontiert und werden ihre personellen und technischen Ressourcen erheblich ausbauen müssen. Die EU-Datenschutz-Grundverordnung verpflichtet die Mitgliedsstaaten hierzu ausdrücklich.
Quelle: Umlaufentschließung 1) der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder vom 25. Mai 2016
Datenschutzblog startet
Unser Datenschutzblog startet.
Ab heute finden Sie hier interessante Artikel zum Thema Datenschutz, IT-Security und IT-Compliance.
Koppenhöfer & Werner wünschen Ihnen eine informative Zeit in unserem neuen Blog.

References: § 6
 § 32

Art. 12
 Art. 13
 Art. 14
 Art. 27
 Art. 6
 Art. 44
 Art. 77
 Art. 22
 Art. 14

Art. 37
 § 38
 Art. 39
 Art. 38
 § 33
 § 6
 Art. 30
 Art. 35
 Art. 36
 Art. 4
 § 3
 Art. 4
 § 11

Art. 83
 Art. 58
 Art. 82

§ 4

§ 4
 Art. 15
 Art. 5
 Art. 5
 Art. 6
 Art. 12
 Art. 17
 Art. 16
 Art. 32
 Art. 83
 Art. 83

BGH 
 BGH 
 § 12
 § 3
 BGH 
 BGH 
 BGH 
 BGH 
 § 6
 § 6
 § 43
 § 3
 § 4
 Art. 32