Source: https://www.securedataservice.de/sds-news.htm?page_n13=2
Timestamp: 2020-02-21 16:11:28+00:00

Document:
PrivazyPlan® im November	 06	Nov	2019
Unser Praxisleitfaden PrivazyPlan® wurde im November 2019 an 24 Stellen aktualisiert und erweitert. Der Umfang beträgt nun 504 Seiten. Die wichtigsten neuen Themen finden Sie hier:
http://www.privacy-regulation.eu/privazyplan/2019_november.htm
Konzept für objekte Bußgeldbemessung	 17	Okt	2019
In den eineinhalb Jahren der DS-GVO hat sich herausgestellt, dass die Höhe der Bußgelder in den europäischen Ländern stark abweicht. Die deutschen Aufsichtsbehörden haben nun ein Konzept vorgestellt, mit dem die Bußgeldhöhe systematisch bestimmt werden kann.
Das Dokument stellen wir hier kommentiert zur Verfügung.
Als Basis der Berechnung wird der durchschnittliche Tagesumsatz der Unternehmensgruppe bestimmt. Dieser Wert variiert zwischen 972 € (für eine Kleinst-Unternehmensgruppe bis 700.000 € Jahresumsatz) und 1,25 Mio. € (für eine sehr große Unternehmensgruppe bis 500 Mio. € Jahresumsatz).
Diese Zahl wird mit einem Schweregrad multipliziert. Diese Zahl variiert zwischen 1 (leicht) bis 12 (schwer). In sehr schweren Taten kann der Multiplikator auch höher sein. Derzeit sind die Schweregrade noch nicht spezifiziert, insofern lässt sich daraus derzeit nichts Konkretes herleiten.
Das obige Ergebnis wird mit einem "Umstands"-Faktor multipliziert. Dieser Faktor berücksichtigt alle Umstände der Tat, wie es auch im Artikel 83 (2) bestimmt wird. Derzeit ist der Zahlenbereich noch nicht spezifiziert (kann er auch NULL betragen?) und eine Objektivierung hat auch noch nicht stattgefunden. Die Zukunft wird zeigen, ob der Standardfaktor auf "1" gesetzt wird, falls es keine besonderen entlastenden oder belastenden Umstände gibt; in diesem Fall würde das minimale Bußgeld 972 € betragen.
Die Bemessung eines Bußgeldes ist hinsichtlich der Umsatz-Kriterien sehr transparent.
Aber es gibt zwei Faktoren, die nicht spezifiziert sind.
Insofern lässt sich aus diesem Konzept derzeit nichts Konkretes herleiten.
Im Laufe der nächsten Monate und Jahre wird das Konzept hoffentlich weiter präzisiert.
Interessieren Sie sich für solche Themen? Dann werfen Sie einen Blick auf unseren PrivazyPlan®; eine ausführliche Leseprobe wird Sie überzeugen. Die ca. 50 Pflichten der DS-GVO sind machbar! Wir aktualisieren diesen Praxisleitfaden jeden Monat... insofern sind Sie immer auf dem aktuellen Stand.
PrivazyPlan® im Oktober	 07	Okt	2019
Unser Praxisleitfaden PrivazyPlan® wurde im Oktober 2019 an 27 Stellen aktualisiert und erweitert. Der Umfang beträgt nun 502 Seiten. Die wichtigsten neuen Themen finden Sie hier:
http://www.privacy-regulation.eu/privazyplan/2019_oktober.htm
Cookies NUR mit informierter Einwilligung?	 02	Okt	2019
Der deutsche Sonderweg zu Cookies ist nicht in Einklang mit EU-Recht. Dies hat der EuGH am 01.10.2019 entschieden. Demnach ist es nicht mehr zulässig, dass Cookies per default gesetzt sind und der Website-Besucher dem widersprechen kann. Insofern besteht Handlungsbedarf (z.B. hinsichtlich google analytics), denn bald werden sich Aufsichtsbehörden (und ggf. Abmahn-Anwälte) diesem Thema verstärkt widmen. Ein Meilenstein im Datenschutz.
Aktualisiert am 05.11.2019 und am 15.11.2019
Der § 15 Abs. 3 TMG ist seit vielen Jahren ein Zankapfel. Er erlaubt deutschen Website-Betreibern das Speichern von gewissen Cookies ohne Einwilligung, bis der Website-Nutzer dem aktiv widerspricht. Die EU hatte diese Regelung offiziell als unbedenklich und durchaus kompatibel mit der EU-Cookie-Richtlinie eingeschätzt. Die deutschen Aufsichtsbehörden haben aber stets eine andere Rechtsauffassung vertreten (zuletzt im April 2019).
[Neu im November 2019:] Die Ursache für diese Konfusion liegt möglicherweise darin, dass sich im Jahr 2009 etwas ganz entscheidendes geändert hatte: Die EU Verordnung zur elektronischen Kommunikation ab 2009 spricht nicht mehr von einer Widerspruchslösung, sondern von einer aktiven Einwilligung! Also ein Kurswechsel von fast 180°.
Wir berichteten im TOM-Guide® in den Kapiteln 2.8.4 und 3.23.3 und 4.12 und 8.9 und besonders 8.9.5b.
Das zugrundeliegende Gewinnspiel von Planet49 wurde im Jahr 2011 durchgeführt. Die deutsche Verbraucherzentrale hatte dagegen geklagt, und der Bundesgerichtshof hatte im Jahr 2017 an den EuGH weitergereicht, der am 01.10.2019 entschied. [Neu im November 2019:] Die wichtigste Kernfrage lautete: WIE muss eine Einwilligung ausgestaltet sein?
Wir stellen (auch) dieses EuGH-Urteil vom 01.10.2019 mit farblichen Markierungen zur Verfügung: www.privacy-regulation.eu/privazyplan/materialien/eu-eugh-urteile/.
Der EuGH erklärt letztlich die Regelung des § 15 Abs. 3 TMG als EU-rechtwidrig. Der Bundesgerichtshof wird dies in seiner Entscheidung berücksichtigen und der deutsche Gesetzgeber wird das Telemedien-Gesetz wohl überarbeiten.
Wobei sich allerdings die Frage stellt, ob die datenschutzrelevanten Passagen des TMG angesichts der DS-GVO überhaupt noch Anwendung finden. Das Kapitel 9.4.2c des PrivazyPlan® jedenfalls hatten wir entfernt (mit Bezug auf eine Orientierungshilfe der deutschen Aufsichtsbehörden vom 05.04.2019).
Insofern besteht für alle Website-Betreiber Handlungsbedarf; insbesondere in Deutschland.
Unzulässig ist also ein allgemeines Cookie-Banner, welches einfach nur allgemein auf Cookies verweist und einen Widerspruch einräumt. So, wie auf der Website des EuGH. ;-)
Die Website-Betreiber dürfen sich wohl auch nicht darauf berufen, dass die Website-Besucher den Webbrowser dahingehend konfigurieren könnten, dass er Cookies verweigert bzw. ein "Do-Not-Track"-Signal sendet. Das alles entspricht nicht den Anforderungen an eine aktiv erteilte (und informierte) Einwilligung; siehe Artikel 4 Nr. 11 DS-GVO.
Unsere ausführliche Anleitung www.securedataservice.de/TMG-Widerspruch.htm ist damit wohl obsolet.
Dies sind die konkreten Entscheidungen des EuGH:
Wie der Generalanwalt in Nr. 60 seiner Schlussanträge ausgeführt hat, deutet das Erfordernis einer „Willensbekundung“ der betroffenen Person klar auf ein aktives und nicht passives Verhalten hin. Eine Einwilligung, die durch ein voreingestelltes Ankreuzkästchen erteilt wird, impliziert aber kein aktives Verhalten des Nutzers einer Website. [Randnummer 52]
Wie der Generalanwalt in Nr. 107 seiner Schlussanträge ausgeführt hat, soll diese Bestimmung damit den Nutzer vor jedem Eingriff in seine Privatsphäre schützen, unabhängig davon, ob dabei personenbezogene Daten oder andere Daten betroffen sind. [Randnummer 69]
Wie der Generalanwalt in Nr. 115 seiner Schlussanträge hervorgehoben hat, müssen die klaren und umfassenden Informationen den Nutzer in die Lage versetzen, die Konsequenzen einer etwaigen von ihm erteilten Einwilligung leicht zu bestimmen, und gewährleisten, dass die Einwilligung in voller Kenntnis der Sachlage erteilt wird. Sie müssen klar verständlich und detailliert genug sein, um es dem Nutzer zu ermöglichen, die Funktionsweise der verwendeten Cookies zu verstehen. [Randnummer 74]
Letztlich sind die Betreiber von Websites, Apps und allen anderen Internet-Geräten (Fernseher, Radios, ...) angesprochen: Wenn Cookies nicht erforderlich sind, dann ist eine informierte Einwilligung erforderlich.
Betrachtet man den Artikel 7 Abs. 1 DS-GVO, so muss eine Einwilligung konkret nachweisbar sein. Muss man also jede einzelne Einwilligung personenbeziehbar dokumentieren? Oder reicht es aus, wenn man einen Screenshot des Website-Sourcecodes revisionssicher dokumentiert, der beweist, dass ohne ein aktiv gesetztes Häkchen keine (unbedingt erforderlichen) Cookies genutzt werden? Wir werden es irgendwann erfahren.
Sollte die seit langem geplante ePrivacy-Verordnung von Brüssel beschlossen werden, so wird sich die Rechtslage vielleicht nochmal ändern. Allerdings hat der EuGH schon so viele datenschutzrelevante Urteile gesprochen, dass eine solche Verordnung in Brüssel vielleicht nicht mehr unbedingt notwendig erscheint.
Den Tausenden von Werbe- und Tracking-Cookies droht das Aus. Welcher Website-Nutzer macht sich schon die Mühe und klickt aktiv die Werbe-Cookies frei?
Die Auswirkung dieses Urteils ist enorm:
Im Internet wird nun noch intensiver auf Cookies hingewiesen und eine Einwilligung dringend erbeten. Das ist für die Website-Besucher ein Problem. Mal ganz ehrlich: Wer ist beim Surfen im Internet nicht von diesen Cookie-Bannern etc. genervt? Aufgrund dieses EuGH-Urteils wird das vermutlich noch schlimmer. Je penibler man sich an die Auflagen hält, desto genervter sind die Besucher. Das hat negative Auswirkungen auf die Besucherzahlen.
Werbe- und Tracking-Cookies werden stark an Bedeutung verlieren, weil nur wenige Website-Besucher eine Cookie-Einwilligung erteilen. Ein großer Teil der Aufgaben von Webdesignern entfällt somit ersatzlos. Letztlich wird die Auswertung des Nutzerverhaltens erschwert. Die für eine Website-Optimierung dringend notwendigen Daten fehlen. Der Erfolg von Online-Kampagnen kann nicht mehr mit Klickzahlen belegt werden.
Die anonymisierten Nutzungs-Statistiken (wie z.B. google Analytics und viele andere Tools) verlieren an Aussagekraft, weil die Statistiken nicht mehr repräsentativ sind. Zum Einen verringert sich die Datenmenge, zum Anderen ist der Kreis der Menschen, der die Cookies erlaubt, sicherlich nicht repräsentativ.
Die Werbe-Einnahmen werden sinken. Manche Websites werden deswegen möglicherweise abgeschaltet. [Manchmal ist das auch kein bedauernswerter Verlust, denn inhaltsfreie Landingpages mit reinen Werbezwecken nerven sowieso.]
Manche Website-Betreiber werden ihre Inhalte nicht ausliefern, wenn Werbe- und Tracking-Cookies nicht zuvor per Einwilligung erlaubt wurden. Dies nennt man "Cookie-Wall". Kann man Einwilligung auf diese Art erzwingen? Die Niederländische Aufsichtsbehörde verneint das (im PrivazyPlan® weisen wir im Rahmen des "Statusblatt zur Planung einer neuen Einwilligung" im Kapitel 12.4 darauf hin). Insofern ist das keine Lösung.
Streng genommen müsste die Website nun erst einmal alle Cookies löschen, die (a) nicht erforderlich sind bzw. (b) nicht mit einer informierten und expliziten Einwilligung eingeholt wurden.
Breite und systematische Überwachungen sind zu erwarten. Website-Betreiber können sicher sein, dass die Aufsichtsbehörden (und die Konkurrenz) jene Programme nutzen, die die Website automatisiert auf Cookies untersuchen. Auch Brüssel liefert eine Software. [Wir selbst überlegen eine solche Software demnächst systematisch zu nutzen... wir werden berichten.]
Dieses EuGH-Urteil ist eher kein unmittelbar anwendbares Recht. Erst einmal muss der BGH sein eigenes Urteil sprechen. Trotzdem sollten Website-Betreiber zügig reagieren. Die Aufsichtsbehörden werden nach dieser "neuen" Sachlage beurteilen (die aber nur die bestehenden Einschätzungen der Aufsichtsbehörden stützt - siehe oben).
Pauschal zulässig bleiben wohl weiterhin jene Cookies, die für den Betrieb der Website ERFORDERLICH sind (z.B. Sprachauswahl, Login und Warenkorb). Siehe Artikel 5 Abs. 3 der EU-Richtlinie 2002/58/EG; leider ging der EuGH nicht auf dieses Thema ein (er wurde dazu auch nicht vom BGH gefragt).
Diese erforderlichen Cookies sind aber eher die Ausnahme. Der Website-Betreiber sollte in seiner Datenschutz-Unterrichtung auf jeden Fall ausführlich begründen, warum diese Cookies wirklich erforderlich sind. Andernfalls droht Ärger. Letztlich muss ein solches Cookie dann zur "Vertragserfüllung" im Sinne des Artikel 6 Abs. 1 lit. b DS-GVO erforderlich sein (wie beispielsweise ein Warenkorb-Cookie im Onlineshop).
Bei der Sprachauswahl der Website ist das hingegen schon wieder interpretationsfähig; möglicherweise kann man hier mit dem "berechtigten Interesse" im Sinne des Artikel 6 Abs. 1 lit. f DS-GVO argumentieren und müsste dann einen Widerspruch im Sinne eines Out-Out ermöglichen (bzw. "Do-Not-Track" berücksichtigen).
Jetzt ist es amtlich: Das ohnehin umstrittene deutsche "Privileg" des § 15 Abs. 3 TMG entfällt. Für Werbe- und Tracking-Cookies bedarf es einer expliziten und informierten Einwilligung. Pauschale Cookie-Banner mit einem "Annehmen"- oder "Ablehnen"-Button sind unzulässig; voreingestellte Einwilligungs-Checkboxen ebenso.
In Verbindung mit dem EuGH-Urteil zum facebook-Like-Button (wir berichteten) sind die sorglosen Zeiten für Website-Betreiber wohl vorbei. Das hemmungslose Einbinden von Dritt-Inhalten und Setzen von Werbe- und Tracking-Cookies ist kaum mehr möglich.
Ist dies ein Meilenstein? Beginnt jetzt eine neue Zeitrechnung? Fallen wir zurück auf die "simplen" Webseiten der 2000-er Jahre? Verliert die Digitalisierung an Fahrt? Ja, das ist in gewisser Sicht denkbar.
Entspricht dieses EuGH-Urteil dem Zeitgeist? Ja, absolut. Die Internet-Zunft hadert schon seit Längerem mit Werbeblocker-Addins in Webbrowsern (und geht gerichtlich dagegen vor). Die Menschen wollen einfach nicht "überwacht" werden. Das bemerken auch die Webbrowser-Hersteller (außer google chrome... warum wohl?) und verschärfen ihre Konfigurationsmöglichkeiten hinsichtlich der Cookies. Die Menschen wollen es so!
Unter dem dicken Strich lautet das Fazit: Der Datenschutz lebt! Es ist den Menschen eben NICHT egal, was mit ihren (Surf-) Daten passiert.
Der Datenschutz ist kein bürokratisches Hindernis, wie es die Politiker inzwischen gerne suggerieren (und die Benennungsgrenze von 10 auf 20 Beschäftigte anheben... wir berichteten). Nein, der Datenschutz gehört immer mehr zum eigentlichen Kerngeschäft: Zufriedene Kunden.
[UPDATE am 15.11.2019: Die deutschen Aufsichtsbehörden fordern einhellig die aktive und informierte Einwilligung zu Google Analytics. Siehe die NRW-Pressemeldung.]
P.S. Dieses Thema wird in den nächsten Wochen sicherlich viel diskutiert. Neue Erkenntnisse werden wir hier (wie immer farblich markiert) publizieren. Schauen Sie doch später noch einmal vorbei!
BDSG-Änderungen sind auf dem Weg	 23	Sep	2019
Das Bundesdatenschutzgesetz entwickelt sich weiter. In einem zweiten Gesetz zur Anpassung des Datenschutzrechts an die DS-GVO wurden am 26.06.2019 weitergehende Änderungen durch den Bundestag formuliert und am 20.09.2019 durch den Bundesrat genehmigt. (Kurzes Fazit am Ende dieses Textes)
Betroffen ist vor allem der § 26 BDSG, der das Beschäftigungsverhältnis regelt. Hier wurden zwei Änderungen sehr kurzfristig eingefügt und mit den über 150 anderen Gesetzesänderungen in einen Topf geworfen:
Einwilligungen der Beschäftigten bedürfen nicht mehr der Schriftform
Aus unerfindlichen Gründen hatte der deutsche Gesetzgeber im Beschäftigungsverhältnis bisher eine Einwilligung auf Papier gefordert. Das war natürlich extrem unpraktisch. Jetzt nach zwei Jahren wird dies geändert auf die Formulierung "schriftlich oder elektronisch". Es ist unklar, warum die Formulierung noch immer anders lautet als der korrespondierende Artikel 7 (1) DS-GVO.
So oder so ist diese Neuerung in der Tat eine "Entlastung" für die Verantwortlichen (vielmehr das Rücknehmen einer zusätzlichen Belastung). Man fragt sich nur, warum dies nicht schon im ersten BDSG-Änderungsgesetz vorgenommen wurde.
Benennungspflicht zum Datenschutzbeauftragten erst ab 20 Beschäftigten
Diese "Entlastungs-Maßnahme" war im Vorfeld stark umstritten. Nein, korrigiere... vielmehr war sich die Fachwelt (inkl. Aufsichtsbehörden) einig, dass diese Änderung kontraproduktiv ist.
Die Bundesregierung möchte die "kleinen" Verantwortlichen von der Pflicht entbinden einen Datenschutzbeauftragten benennen zu müssen. Etwas Vergleichbares gab es schon im Jahr 2006, wo die Bestellgrenze von 5 auf 10 beschäftigte Personen erhöht wurde.
Übrigens sind ähnliche Anläufe kürzlich vom Bundesrat bisher abgelehnt worden. Diesmal war Berlin aber schlauer, und hat diese Änderung schnell noch an ein riesiges Änderungsgesetz geklinkt, welches der Bundesrat beim besten Willen nicht ablehnen kann. Geschickt gemacht!
Damals wie heute wird das Gleiche passieren:
a) Die Fachwelt weist dringend darauf hin, dass auch ohne einen Datenschutzbeauftragten alle Datenschutz-Pflichten eingehalten werden müssen. So gesehen erleichtert sich nichts! Der Verantwortliche fühlt sich zwar zunächst besser, weil es keinen Datenschutzbeauftragten mehr gibt, der ihn auf Verstöße hinweist. Diese neue Gefühlslage ändert sich aber leider schlagartig, wenn Beschwerden, Schadenersatzforderungen und Bußgelder erfolgen.
Das gesparte Geld und die gesparte Zeit wird jetzt mit Zins und Zinseszins fällig. Und das in Zeiten des Null-Zinses. ;-)
Um es drastisch auszudrücken: Der Gesetzgeber lässt die kleinen Vereine, Handwerker, Vermieter ins Messer laufen.
b) Die Medien werden kurz nach der Bekanntmachung der Gesetzesänderung im Bundesgesetzblatt über diese "Entlastungs"-Maßnahme berichten. Auf Websites und in Zeitschriften wird in einer kurzen Welle lautstark auf die längst überfällige "Entbürokratisierung" hingewiesen. Hurra!
Vermutlich wird - wie schon im Jahr 2006 - keine einzige Presse-Meldung der Vollständigkeit halber darauf hinweisen, dass die vielen grundlegenden Pflichten natürlich unverändert bestehen bleiben. Man will ja kein Wasser in den Wein schütten.
Wir Datenschutzbeauftragte haben jetzt natürlich ein Problem, denn die Verantwortlichen werden sagen:
"Endlich kümmert sich die Politik auch mal um uns Kleinunternehmer. Berlin hat eingesehen, dass der Datenschutz ja eigentlich was für die 'Großen' ist. Facebook, google und so. Wenn's in der Zeitung steht und überall im Internet darüber berichtet wird, dann wird das so stimmen. Endlich können wir den Datenschutz beiseitelegen und uns auf unser Kerngeschäft konzentrieren."
Und damit wird unsere Arbeit um Jahre zurückgeworfen. Dem internen Datenschutzbeauftragten wird die Benennung vermutlich sofort entzogen. Externe Datenschutzbeauftragte werden vermutlich gekündigt werden und noch bis zum Ende ihres Dienstleistungsvertrags (möglicherweise zum 25.05.2020) ihre Arbeit leisten.
All dies entbindet den Verantwortlichen jedoch nicht von den 40 anderen (bußgeldbewehrten) Pflichten:
Auskunft geben (gemäß Artikel 13),
Datenkopie zur Verfügung stellen (gemäß Artikel 15),
Verträge zur Auftragsverarbeitung gestalten (gemäß Artikel 28),
Verarbeitungsverzeichnis erstellen (gemäß Artikel 30),
Datenschutzverletzungen melden (gemäß Artikel 33),
Oder um es anders auszudrücken: Auch Kunden von kleinen Händlern, Handwerkern und Dienstleistern haben ALLE Persönlichkeits- und Interventionsrechte. Sie sind keine Kunden zweiter Klasse! Sie fallen in keinster Weise unter den Radar der DS-GVO und des BDSG. Der einzige Unterschied ist: Kleine Unternehmen haben keinen Radar mehr; ob das wohl die Luftsicherheit erhöht?
Der Datenschutzbeauftragte ist Ihr "Lotse" im Datenschutzrecht. Er unterstützt Sie bei Beschwerden durch die Betroffenen und bei Untersuchungen der Aufsichtsbehörde.
TLDR; (... too long, didn't read)
Was ist das Fazit dieses Artikels?
In Deutschland muss ein Datenschutzbeauftragter bald erst ab 20 Beschäftigten benannt werden (statt bisher 10).
Das ändert aber NICHTS an den EIGENTLICHEN 40 bußgeldbewehrten Datenschutz-Pflichten.
Es steigt die Gefahr von Beschwerden, Lösch-Verlangen, Abmahnungen, Bußgeldern und sogar Haftstrafen.
Für jedes Unternehmen ist der Datenschutzbeauftragte als "Lotse" im Datenschutz-Dschungel eine wertvolle Hilfe.
Bitte bedenken Sie dies bei Ihrer Entscheidungsfindung. Gerne stehen wir Ihnen beratend zur Verfügung.

References: EuGH 
 § 15
 EuGH 
 EuGH 
 § 15
 EuGH 
 BGH 
 EuGH 
 BGH 
 § 15
 § 26