Source: https://rechtsanwalt-miller.at/dsgvo/dsgvo-news
Timestamp: 2020-07-09 15:01:11+00:00

Document:
Aktuelle Entscheidungen und News zum Datenschutzrecht - Rechtsanwalt Philipp Miller, Wien
07.07.2020 - BGH: Cookies nur mit Einwilligung
Nunmehr hat der deutsche Bundegerichtshof entschieden, dass Cookies, die technisch nicht unbedingt notwendig sind, nur mit Zustimmung des Betroffenen gesetzt werden dürfen:
https://dejure.org/dienste/vernetzung/rechtsprechung?Text=I%20ZR%207/16
Diese Rechtsprechung gilt natürlich nicht 1:1 für Österreich, dennoch bestätigt die Entscheidung die herrschende Meinung und die Interpretation nach Wortlaut der österr. Regelung.
22.05.2020 - LG Innsbruck - Voraussetzungen für Schadenersatz nach DSGVO
"Ein immaterieller Schaden erfordert ein Mindestmaß an persönlicher Beeinträchtigung. Die bloße Rechtsverletzung stellt per se noch keinen immateriellen Schaden dar (hier: bloßes Ungemach wegen des Kontrollverlusts über personenbezogene sensible Daten). Eine klagende Partei hat die Auswirkungen der Rechtsverletzungen auf ihre Persönlichkeit konkret zu behaupten und zu beweisen."
13.5.2020 - Newsletter - Mailadressen sind vertraulich
Laut einr Entscheidung der Datenschutzbehörde dürfen die Mailadressen von Newsletter-Empfängern in einem Newsletter nicht veröffentlicht werden. Das stellte im Anlassfall einen Verstoß gegen die DSGVO dar.
Link zur Entscheidung im RIS
9.1.2020 - Recht auf Löschung auch mittels Pseudonym
Entscheidung der Datenschutzbehörde vom 8.11.2019:
Wenn ein WWW-Diensteanbieter die Registrierung zu seinem Dienst per Pseudonym ermöglicht,
ist auch ein Löschbegehren gem. DSGVO mittels Pseudonym möglich. Es ist grundsätzlich nicht erforderlich, dass sich der registrierte User mit seinem realen Namen identifiziert.
Anm.: Für ein Auskunftsbegehren werden die gleichen Grundsätze gelten, d.h. ein Auskunftsbegehren kann auch mittels Login- bzw. Usernamen gestellt werden, wenn der entsprechende
Dienst die Registrierung mittles Pseudonym zuließ, d.h. keine Identitätsfeststellung als Bedingung für die Registrierung vorsah.
Die Entscheidung ist rechtskräftig und hier abrufbar.
Dez. 2019 - Datenmanagement in der Ordination
Artikel in Ärzte Exklusiv:
https://www.aerzte-exklusiv.at/de/BHZk0r46/dsgvo-ii/?in=DaD66Z0s
31.12.2019 - Ende des Datenverarbeitungsregisters
Das Datenverarbeitungsregister der Datenschutzbehörde wird am 31.12.2019 offline gehen. Bis dato wurde es als Archiv weitergeführt.
Sichern Sie daher ihre registrierten Meldungen:
--> Registrierte Datenanwendungen sind der Vorläufer des Verarbeitungsverzeichnis
https://www.dsb.gv.at/fragen-und-antworten#Was_geschieht_mit_dem_Datenverarbeitungsregister_
19.12.2019 - Keine fixe Löschfrist von Einträgen der „Warnliste der Banken“
Entscheidung der Datenschutzbehörde vom 1.10.2019:
Ein Eintrag in der „Warnliste der Banken“ unterliegt keiner fixen Löschfrist wie sie etwa laut dem Genehmigungsbescheid für die Warnliste existierte. Die Löschungsfrist ist nach der Beurteilung des Einzelfalles zu entscheiden.
Somit ist für die "Warnliste der Banken" eine Löschungsmöglichkeit gem. Einzelfallbeurteilung unter Berücksichtigung aller maßgeblichen Umstände eröffnet.
Anmerkung: Wenn Sie wissen wollen, ob und welche Einträge über Ihre Bonität, Zahlungsfähigkeit, Kreditrückzahlungen vorhanden sind, fordern Sie eine Auskunft an. Ich helfe Ihnen dabei gerne weiter: Kontaktieren Sie mich.
8.1.2020 - Kein Verfahren vor der Datenschutzbehörde bei Vorliegen einer zivilrechtlichen Gerichtsentscheidung
Die Datenschutzbehörde kein Rechtsschutzbedürfnis für ein Beschwerdeverfahren vor der Datenschutzbehörde, wenn es bereits einen vollstreckbaren zivilgerichtlichen Titel zur selben Sache gibt.
Die rechtskräftige Entscheidung ist hier abrufbar.
29.7.2019 EuGH C-40/17 - Verantwortung des Webseitenbetreibers für eingebundene Plugins etc
Urteil des EuGH C-40/17 vom 29.7.2019
Social - Plugins mit Cookies uä bedürfen der Aufklärung und Zustimmung des Users. Betreffend die Erhebung und Weitergabe der Userdaten ist der Webseitenbetreiber hierfür verantworltich. Die Aufklärung duch Erfüllung der Informationspflichten muss erfolgen, bevor die Daten des Users erhoben werden. Erst dann kann eine Zustimmung eingeholt werden.
Die Rechtsprechung dürfte auf Javascript-Funktionen übertragbar sein, die Daten an den Funktionsbereitsteller übermitteln.
Beispielhafte Überlegungen:
a) Ein Webseitenbetreiber bindet Werbung derart ein, dass er ein extern zugeladenes Plug-In verwendet, das die Werbung samt weiterem Code nachlädt. Es wird dann von diesem nachgeladenen Code ein Cookie gesetzt, es werden Daten des Users erhoben und dieser werden an den Werbungsbetreiber rückübermittelt.
a) Umgelegt auf z.B. das Projekt "Sharif" von Heise, könnte das bedueten, dass eine Information über die Erhebung der Daten zur Vefügung stehen muss, bevor der Sharif-Button angeklickt wird - etwa durch einen Link in der Nähe des Buttons.
b) Die Einbindung von z.B. Videoplayern kann weitere Tracking-Codes mit sich bringen, auch können Cookies gesetzt werden. Der Webseitenbetreiber hat somit sicherzustellen, sämtliche Scripts etc., die der eingebettete Dritt-Code für den Videoplayer mit sich bringt, datenschutzrechtlich zu prüfen. Dies setzt die Kenntnis voraus, ob und welchen Code (und woher) ein eingebundener Video-Player nachlädt.
Am 29.7.2019 hat der Europäische Gerichtshof im Vorabentscheidungsverfahren C-40/17 im Wesentlichen grob zusammengefasst entschieden:
Der Webseitebetreiber trägt die datenschutzrechtliche Mitverantwortung für Datenerhebung und Datenübermittlung durch ein externes Plug-In, das personenbezogene Daten an den Plug-in Betreiber übermittelt. Er ist in die Datenverarbeitung des Plug-in-Anbieter eingebunden. Die Gründe für diese Mitverantwortung sind, dass der Webseitenbetrteiber selbst entschieden hat, das Plug-In auf seiner Webseite zu platzieren, er weiss, dass damit personenbezogene Daten erhoben und übermittelt werden und er hat durch das Plug-In einen wirtschaftlichen Vorteil hat (z.b. Werbung). Diese Mitverantwortung besteht insbesondere gegenüber Webseitenbesuchern, die kein Konto beim Anbieter des Plug-Ins haben.
Die Verwendung von Drittanbieter- Plug-Ins auf Webseiten erfordert eine klare Kommunikation über die stattfindenden Abläufe (s. Informationspflicht).
Grundsätzlich ist für die Einbindung von Drittanbieter- Plugins mind. ein berechtigtes Interesse gem. Art 7 lit f der EU-RL 94/95 des Webseitebetreibers und des Plug-In-Anbieters nötig (nach damaliger Rechtslage, nunmehr DSGVO u.a.). Im vorliegenden Fall könnte sogar die Zustimmung gem. Art 7 lit a der RL und gem. EU-RL 2002/58 nötig gewesen sein. Ist die Einwilligung nötig - etwa weil informationen auf dem Endgerät des Nutzers gespcihert werden - , so muss der Webseitenbetreiber diese einholen. Dies hat vor der Datenerhebung und Übermittlung an den Plug-In Anbieter zu erfolgen.
Da der Anbieter des Plug-In, sowie der Webseitenbetreiber gemeinsam Verwantwortliche iSd Richtlinie sind, muss bei beiden ein Rechtfertigungsgrund gem. Art 7 EU-RL 94/95 bestehen, beide müssen die jeweiligen Pflichten der Richtlinien als Verwantwortlicher erfüllen, wie die Informationspflichten gegenüber den Betroffenen (Art 10 EU-RL 94/95).
Die Regelung über "Joint Controller" lässt zivilrechtliche Haftungsnormen unberührt.
Näheres finden Sie im Urteil, das unter diesem Link abrufbar ist.
Die Vorabentscheidung ergeht noch zur Rechtslage vor In-Kraft-Treten der DSGVO. Es ist aber vorsichtshalber von einer weitgehenden Umlegbarkeit auf die Rechtslage seit In-Kraft-Treten der DSGVO auszugehen.
Die Entscheidung dürfte weitreichende Auswirkungen haben, vor allem auch auf die Verwendung bestimmter Formen von Tracking-Code, durch den die Interaktion des Webseitebenutzers analysiert und weiterverarbeitet wird. Dies soweit der Code browserseitig nachgeladen wird bzw. der Drittanbieter mit dem Webseitenbenutzer interagiert. Die Annahme, ein Dritter, der Code anbietet, sei ein Auftragsverarbeiter, ist gründlich zu prüfen.
Sämtliche eingebunden externen JavaScript Funktionen oä, die von Dritten betrieben werden, sind jedenfalls auf ihre rechtliche Zulässigkeit zu prüfen.
Zu beachten ist, dass die Feststellungen des EuGH zum Sachverhalt abhängig vom Ergebnis des unterinstanzlichen Verfahrens sind, es können sich somit noch Änderungen ergeben. Der EuGH hat in Rz 90 des Urteils dem vorlegenden Gericht aufgetragen, nachzuprüfen, ob der Dritte Zugriff auf Informationen hat, die im Endgerät des Benutzers gespeichert werden.
Diese Zusammenfassung ersetzt keine individuelle Rechtsberatung. Bei Fragen zu Ihrer Webseite oder Ihrem IT-Dienst kontaktieren Sie mich.
17.7.2019 Liste des Europäischen Datenschutzbeauftragen zur Datenschutz-Folgenabschätzung liegt vor
Am 17.7.2019 hat der Europäische Datenschutzbeauftragte eine Liste von Datenanwendungen herausgebracht, die der Datenschutz-Folgeabschätzung gem. der Verordnung (EU) 2018/1725, die für die EU-Organe und -Einrichtungen gilt, unterliegen.
Näheres auf der Webseite des Europäischen Datenschutzbeauftragen: https://edps.europa.eu/data-protection/our-work/publications/guidelines/data-protection-impact-assessment-list_en
03.07.2019 Erklärungen über Formvorbehalte in E-Mail Disclaimern wirken nicht immer
Wirkung abhängig vom übrigen Inhalt der Mail: siehe OGH 4 Ob 143/18k
https://ris.bka.gv.at/Dokument.wxe?Abfrage=Justiz&Dokumentnummer=JJT_20190226_OGH0002_0040OB00143_18K0000_000
Rechtssatz RS0017244 u.a.
9.4.2019 OGH: Mails im Spam Ordner sind uU wirksam zugegangen
OGH Entscheidung zum Zugang von E-Mails durch Zugang in den Spam-Ordner des Empfängers.
Beachte: Es geht hier um dem Spam Ordner "des Empfängers". Unterschiedliches könnte sich ergeben, wenn der Spam Ordner nicht unmittelbar dem Empfänger zuzuordnen ist, wie etwa
bei Spam-Behandlung vor Ablage in User-Postfächer oä.
OGH Rechtssatz und Entscheidung 3 Ob 224/18i vom 20.2.2019:
"Eine Kenntnisnahme durch den Empfänger wird für den Zugang elektronischer Erklärungen nicht vorausgesetzt; maßgeblich ist vielmehr die Möglichkeit der Kenntnisnahme „unter gewöhnlichen Umständen. Beisatz: Hier: Zugang im „Spam-Ordner“ des Empfängers. "
Anmerkung: Sämtliche Spam Ordner sollten regelmäßig, kurzfristig kontrolliert werden.
Für nähere Informationen kontaktieren sie mich.
8.4.2019 Europäischer Datenschutzbeauftragter untersucht Verträge mit Softwarehersteller
Näheres unter: https://edps.europa.eu/press-publications/press-news/press-releases/2019/edps-investigates-contractual-agreements_en
13.3.2019 Prüfung eines Unternehmens - Keine Zustimmung zu unsicheren Mails möglich?
Entscheidung der Datenschutzbehörde:
Pflichtenverletzungen gem. DSGVO/DSB - im Anlaßfall Verstoß gegen die Pflicht einen Datenschutzbeauftragten zu bestellen.
Eine datenschutzrechtliche Einwilligung muss die konkreten Datenverarbeitungen klar nennen.
Von Datensicherheitsmaßnahmen gem. Art 32 DSGVO kann nicht im Wege der Einwilligung zum Nachteil des Betroffenen abgewichen werden (hier: Zustimmung zu unverschlüsseltem Versand von Daten u.a.).
Die Voraussetzungen zur Heranziehung von Auftragsverarbeitern unterliegt Art 28 DSGVO - eine Einwilligung hierzu ist (im Anlassfall) grdstzl nicht möglich.
Datenschutzrechtliche Einwilligungen können nicht unwiderruflich eingeholt werden (vgl. Art 7 Abs 2 DSGVO).
Betroffene sind darüber zu informieren welche Daten bei ihnen und welche Daten bei Dritten erhoben werden.
Geschäftszahl DSB-D213.692/0001-DSB/2018.Näheres im Ris-Justiz.
26.2.2019 Bewertungsportale
Entscheidung der Datenschutzbehörde: Kriterien zur (datenschutzrechtlichen) Berechtigung von Bewertungsportalen (Geschäftszahl DSB-D123.527/0004-DSB/2018 ).
Näheres im Ris-Justiz.
14.02.2019 Annex 2 zu den Richtlinien zur Zertifizierung gem. Art 42, 43 DSGVO
Europäischer Datenschutzausschuss: Veröffentlichung von Annex 2 zu den Richtlinien zur Zertifizierung gem. Art 42, 43 DSGVO zur Stellungnahme: "Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation 2016/679 - Annex 2"
30.1.2019 Löschung
30.1.2019 Entscheidung der Datenschutzbehörde: Eine Löschung von personenbezogenen Daten kann uU durch Entfernung des Personenbezugs erfolgen. Anm.: Laut dem Erkenntnis kann auch aus einem Änderungsverlauf einer Datenverarbeitung uU ein Personenbezug rekonstruiert werden. (Geschäftszahl DSB-D123.270/0009-DSB/2018 ).
23.1.2019 Richtlinien zur Zertifizierung gem. Art 42, 43 DSGVO
23.1.2019 Europäischer Datenschutzausschuss: Richtlinien zur Zertifizierung gem. Art 42, 43 DSGVO: "Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation 2016/679 - revised version after public consultation"

References: EuGH 
 EuGH 
 EuGH 
 EuGH 
 OGH 

OGH 

OGH