Source: https://www.it-recht-kanzlei.de/eu-datenschutzgrundverordnung-online-handel.html
Timestamp: 2019-04-23 20:35:09+00:00

Document:
News vom 30.05.2016, 13:46 Uhr | 1 Kommentar
A. Überblick über Gegenstand und Anwendungsbereich der DSGVO
II. Verhältnis zum BDSG und den §§11 ff. TMG
1.) Auswirkungen auf das geltende BDSG
2.) Auswirkungen auf die §§11 ff. TMG
III. Geltungsbereich der DSGVO
B. Gleichbleibendes und relevante Änderungen
III. Erweiterung der Betroffenenrechte und Handlungspflichten der Verantwortlichen
2.) Berichtigungs- und Löschungsrecht, Art. 16 und 17 DSGVO
3.) Neu: Recht auf Einschränkung der Verarbeitung, Art. 18 DSGVO
4.) Neu: Recht auf Datenübertragbarkeit, Art. 20 DSGVO
5.) Neu: Widerspruchsrecht bei einwilligungsloser Verarbeitung zur Wahrung berechtigter Interessen, Art. 21 DSGVO.
6.) Neu: Recht auf Unbetroffenheit von rechtsverbindlichen Entscheidungen mit Grundlage in automatisierten Datenprozessen, Art. 22 DSGVO
7.) Achtung: neuartige Bearbeitungs- und Reaktionsfristen, Art. 12 Abs. 3 DSGVO
IV. Umfänglichere Datenschutzerklärung
1. Verarbeitungsbezogene Pflichtangaben oder Hinweise in Datenschutzerklärung?
V.	Neue Dokumentationspflicht, Art. 30 DSGVO
1.) Verpflichtende Verzeichnisse
2.) Ausnahme: weniger als 250 Mitarbeiter und keine Verarbeitung sensibler Daten
VI. Gelockerte Pflicht zur Bestellung von Datenschutzbeauftragten
VII. Verschärfte Sanktionen bei Verstößen
Bei dem neuen europäischen Datenschutzrechtsakt handelt es sich aufgrund seiner rechtlichen Ausgestaltung als Verordnung um ein in den Mitgliedsstaaten unmittelbar anwendbares Sekundärrecht, das insofern – anders als europäische Richtlinien – keiner nationalen Umsetzung mehr bedarf.
Weil europäische Rechtsbestimmungen in den Mitgliedsstaaten in Anbetracht gleichrangiger nationaler Regelungen grundsätzlich Anwendungsvorrang haben, stellt sich die praktisch bedeutsame Frage, in welchem Verhältnis die neuen europäischen Vorgaben nach Ablauf der Übergangsfrist zu den geltenden deutschen datenschutzrechtlichen Bestimmungen nach §§11 ff. TMG und dem BDSG stehen werden.
Bisher regelt das deutsche Bundesdatenschutzgesetz (BDSG) die Rechte und Pflichten der Verantwortlichen bei sowie die Zulässigkeit der Erhebung, Verarbeitung, Nutzung und Speicherung personenbezogener Daten weitgehend abschließend. In bestimmten Bereichen drohen ab dem Zeitpunkt der Anwendbarkeit der neuen Datenschutzgrundverordnung im Jahr 2018 allerdings Rechtskollisionen, die auf gegenläufige oder in ihrem Umfang divergierende Vorgaben und Einschränkungen fußen.
Zu beachten ist allerdings, dass wesentliche Teile des geltenden BDSG auf einer Umsetzung der europäischen Datenschutzrichtlinie RL 95/46/EG beruhen, welche nach eindeutiger Titelbezeichnung und in Anlehnung an den Erwägungsgrund 171 durch die Grundverordnung aufgehoben werden sollen.
Insofern ist anzunehmen, dass maßgebliche Abschnitte des BDSG durch die Rechtswirkungen des neuen europäischen Rechtsaktes verdrängt werden und so ihren Geltungsanspruch zugunsten der reformierten Bestimmungen aufgeben müssen. Mithin ist auf dem Gebiet des BDSG in Zukunft grundsätzlich von einer vorrangigen Geltung der neuen Grundverordnung auszugehen, welcher der deutsche Gesetzgeber durch klarstellende Gesetzesänderungen auf dem Gebiet des Datenschutzrechts zukünftig Ausdruck verleihen sollte.
Problematisch und derzeit zu Lasten der Rechtssicherheit noch nicht annähernd eruiert ist allerdings die Frage, inwieweit die Verdrängungswirkung im deutschen Recht tatsächlich Einzug halten wird. Insofern stellen zwar viele Sektionen des BDSG eine Umsetzung von nunmehr aufgehobenen europäischen Richtlinienbestimmungen dar. Allerdings existieren im Regelwerk des BDSG auch Vorgaben, die autonomen nationalgesetzlichen Entscheidungen entspringen und dem Regelungsbereich von Richtlinien bisher nicht zugänglich waren.
Diese Doppelseitigkeit des deutschen Datenschutzrechts und die damit einhergehenden Anwendungsfragen werden durch die neue Grundverordnung noch weiter ausgedehnt.
Der neue Rechtsakt gibt – wie der Name schon impliziert – nämlich nur den gesetzlichen Rahmen für ein harmonisiertes Datenschutzrecht vor, überlässt in vielen Regelungspunkten die Austarierung und das gesetzliche „Finetuning“ aber der jeweiligen mitgliedsstaatlichen Legislative (z.B. bzgl. des Mindestalters für einwilligungsfähige Minderjährige, Art. 8, oder der Ausgestaltung der Zulässigkeit des „Profilings“, Art. 20.)
In ihrer derzeitigen Fassung liegen die maßgeblichen Bestimmungen einer ausschließlichen Entscheidung des deutschen Gesetzgebers zugrunde und basieren nicht auf europäischem Recht, sodass vieles dafür spricht, dass die Regelungen der DSGVO die §§11 ff. TMG überschreiben werden.
Dies gilt nicht nur hinsichtlich der in §13 TMG vorgesehenen Informationspflichten (meist als Datenschutzerklärung bezeichnet), welche in den Art. 12-14 DSGVO weitreichendere Ausprägungen erfahren, sondern auch bezüglich der allgemeinen Handhabung personenbezogener Daten durch Teledienstanbieter. Festzustellen ist nämlich, dass die DSGVO hinsichtlich der informationstechnologischen Eigenschaften der Verantwortlichen gerade nicht differenziert und somit sämtliche Datenverarbeitungsvorgänge unabhängig von ihrem Wirkungsbereich einheitlichen Zulässigkeitsvoraussetzungen unterwirft.
Die DSGVO stellt in Artikel 5 allgemeine Grundsätze für den Umgang mit erhobenen personenbezogenen Daten auf, die weitestgehend an die in Deutschland bereits vorherrschenden Richtlinien für die Datenverarbeitung angelehnt sind und somit keine bedeutenden Änderungen mit sich bringen, im Online-Handel aber dennoch uneingeschränkte Beachtung finden müssen.
Dem Grundsatz der Datensparsamkeit dient auch das in Art. 5 Abs. 1 lit. e formulierte Prinzip der Speicherbegrenzung, welches dem Verantwortlichen die Einhaltung einer am Verarbeitungszweck bemessenen Speicherdauer abverlangt und ihn zur Löschung verpflichtet, sofern der Zweck erreicht ist (so momentan auch §20 Abs. 2 Nr. 2 BDSG) .
für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist (vgl. die gleichlautende Regelung des §28 Abs. 1 Nr. 1 BDSG) , oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, die auf Antrag der betroffenen Person erfolgen
Die neue DSGVO geht mit einer erheblichen Stärkung der Betroffenenrechte einher, die auch im Online-Handel zwingend Berücksichtigung finden müssen und weitreichende Handlungspflichten begründen können. Teilweise wurden den deutschen Datenschutzgesetzen bereits bekannte Rechte um neue Inhalte und Ausprägungen erweitert, teilweise wurden gänzlich neue Berechtigungen von Betroffenen formuliert.
Ebenso wie der derzeit geltende §34 BDSG sieht auch die DSGVO in Art. 15 ein Auskunftsrecht des Betroffenen vor, nach welchem dieser auf Verlangen über die Art, den Inhalt und die Zwecke der von ihm erhobenen Daten zu informieren ist.
Auch im Falle der Einschränkung ist der Verantwortliche gemäß Art. 19 DSGVO zusätzlich verpflichtet, Dritte, an welche die Daten übermittelt wurden, zu informieren, damit diese ihre Verarbeitungsprozesse selbst einschränken können. Diese Pflicht greift nur insoweit, wie die Unterrichtung möglich und dem Verantwortlichen nicht unzumutbar ist.
Online-Händler, die personenbezogene Daten erheben und verarbeiten, werden sich in Ansehung des neuen Betroffenenrechts zukünftig Nutzerbegehren fügen müssen, in welchen die Übermittlung von erhobenen Daten an einen Dritten verlangt wird.
Gleichzeitig werden sie in der mehr als zweijährigen Übergangsfrist gehalten sein, interoperable Formate zu entwickeln und einzurichten, welche eine reibungslose Datenübertragbarkeit ermöglichen (vgl. auch Erwägungsgrund 68).
Im Falle der Direktwerbung jedoch ist einem Widerspruch in die werbetechnische Datenverarbeitung auch ohne Angabe von Gründen und ohne Interessenabwägung stets folge zu leisten, Art. 21 Abs. 2 und 3 DSGVO. Der Widerspruch erstreckt sich in diesem Falle auch auf sämtliche Maßnahmen zur Erstellung von Nutzerprofilen, die mit der Werbung in Zusammenhang stehen.
Legt der Betroffene gegen die Datenverarbeitung zu Werbezwecken Widerspruch ein, so hat der Verantwortliche unverzüglich sicherzustellen, dass eine diesbezügliche Nutzung der personenbezogenen Daten fortan unterbleibt.
Erfolgt eine Entscheidung, die auf automatisch erhobenen Daten beruht, dennoch, soll dem Betroffenen ein Anfechtungsrecht zustehen.
Mit der Kodifizierung dieses zugegeben abstrakten Rechts sollten Prozesse unterbunden werden, in denen Verantwortliche in Zusammenarbeit mit anderen datenverarbeitenden Institutionen automatisch Informationen über konkrete Betroffene einholen, um auf Basis dieser Informationen sodann über den zukünftigen Umgang mit dem Betroffenen zu entscheiden.
Als praxisrelevantestes Beispiel kann hier etwa die Anfrage von Bonitätsnachweisen bei Kreditinstituten oder Auskunfteien wie der Schufa angeführt werden, von deren Ausfall sodann die Begründung schuldrechtlicher Verbindlichkeiten automatisch abhängig gemacht wird.
Insofern kann sich der Betroffene auf das oben angeführte Recht gemäß Art.22 Abs. 2 lit. a DSGVO nämlich gerade nicht berufen, sofern die Entscheidung für die Erfüllung eines Vertrages erforderlich ist. Im Bereich der Schufa-Anfragen und Bonitätskontrollen wird man die Erforderlichkeit stets mit Blick auf das Interesse des Händlers an der Vermeidung von Zahlungsausfällen und der Abwendung des vertragspartnerlichen Insolvenzrisikos bejahen können.
Liegt die Notwendigkeit der datenbasierten Entscheidung nicht in der Durchführung eines Vertrages begründet, so kann das Anfechtungsrecht des Betroffenen grundsätzlich nur dadurch abgewendet werden, dass der jeweilige Verantwortliche diesen zuvor in die Datenanfrage und die sich daraus ergebende intendierte Rechtsverbindlichkeit einwilligen lässt, Art. 22 Abs. 2 lit. c DSGVO.
Die Änderungen des europäischen Datenschutzrechts durch die DSGVO gehen nicht nur mit einer Stärkung und Ausweitung der Betroffenenrechte einher, sondern führen gleichzeitig auch neue und im Vergleich zur geltenden Rechtslage gesteigerte Informationspflichten für Verantwortliche ein.
Diese werden sich im Online-Handel vor allem in Form einer weitreichenden Novellierung der notwendigen Datenschutzerklärungen niederschlagen.
Problematisch scheint hierbei zunächst, dass gemäß Art. 13 Abs.1 DSGVO die Bereitstellung der zwingenden Pflichtangaben zum jeweiligen Erhebungszeitpunkt verlangt und die Verantwortlichen im Online-Handel somit grundsätzlich dazu anhält, informationstechnische Lösungen einzurichten, die mit Hilfe von Pop-Ups oder anderen elektronischen Informationsmechanismen unmittelbar vor der Datenübermittlung über die Begleitumstände der konkreten Erhebung und Verarbeitung unterrichten. Statuiert wird in anderen Worten eine betroffenenabhängige, individuelle Pflicht zur verarbeitungsbasierten Belehrung.
Ermöglicht werden sollte durch diese Einschränkung insbesondere, alle relevanten Angaben an einer geeigneten Stelle des für die Datenverarbeitung grundlegenden Kommunikationssystems so zum Abruf bereit zu halten, dass der Betroffene leicht und zu jeder Zeit auf diese zugreifen kann und mithin einer konkreten Unterrichtung vor Beginn der Verarbeitungsprozesse nicht mehr bedarf.
Vor allem in Bereich der Telemediendienste – so auch im Online-Handel – wird es den Verantwortlichen also auch zukünftig erlaubt sein, anstelle einer verarbeitungsabhängigen Information von einer generellen Datenschutzerklärung Gebrauch zu machen, die an zentraler Stelle jederzeit eingesehen werden kann und über alle datenschutzrelevanten Umstände aufklärt.
Hält der Verantwortliche also eine verordnungskonforme Datenschutzerklärung vor, ist er nicht mehr verpflichtet, jeder einzelnen Erhebung personenbezogener Daten eine Belehrung mit allen nach Art. 13 DSGVO maßgeblichen Angaben vorangehen zu lassen.
Hinweis: werden die Daten nicht beim Betroffenen erhoben, also z.B. bei einer Auskunftei angefragt, ist für die maßgeblichen informationspflichtigen Inhalte nicht auf den Art. 13, sondern auf den noch strengeren Art. 14 DSGVO abzustellen.
Zu beachten ist, dass im Einzelfall in Ansehung der verschiedenen Betroffenenrechte weitere Informationspflichten hinzukommen können, falls diese Rechte ausgeübt werden. Insofern existieren eine generelle Reaktionspflicht (s. unter B.III. 7.) und rechtsspezifische Auskunftsobliegenheiten. Für deren rechtskonforme Umsetzung bleibt es bei dem Erfordernis einer individuellen Kontaktaufnahme mit dem jeweils Betroffenen – auf die Datenschutzerklärung darf insofern gerade nicht zurückgegriffen werden.
Eine zusätzliche Erweiterung des Pflichtprogramm für datenschutzrechtliche Verantwortliche stellt Art. 30 DSGVO auf, der erstmalig zur Dokumentation sämtlicher Datenverarbeitungsprozesse anhält.
Ab 2018 werden Verantwortliche somit grundsätzlich gehalten sein, schriftlich oder elektronisch (Abs. 3) Verzeichnisse zu anzulegen und zu führen, in welchen sämtliche der nachstehenden Angaben aufgeführt werden:
Weil im Online-Handel personenbezogene Daten regelmäßig nur erhoben werden, um die Durchführung von Kausalgeschäften und personen- und interessenbasierte Werbemaßnahmen zu ermöglichen, ohne dass den Betroffenen die Angabe besonders sensibler Daten abverlangt würde, wird der Großteil der kleinen und mittleren Marktakteure im elektronischen Geschäftsverkehr zur Dokumentation von Verarbeitungsvorgängen auch zukünftig nicht verpflichtet sein.
Anders verhält sich dies freilich bei Großunternehmen, welche die maßgebliche Grenze der Beschäftigtenzahl überschreiten.
Eine weitere maßgebliche Änderung wird das Datenschutzrecht zum 25.05.2018 durch eine Anhebung der Voraussetzungen für die verpflichtende Bestellung eines Datenschutzbeauftragten erfahren, in deren Zuge viele Verantwortliche im Online-Handel nicht mehr zwingend gehalten sein werden, einen solchen zur Überwachung der Einhaltung der gesetzlichen Datenschutzvorgaben einzuschalten.
Nunmehr ist die Bestellung eines Datenschutzbeauftragten für nicht-öffentliche und vor allem gewerbliche Verantwortliche nur noch zwingend, wenn
Inwiefern der Online-Handel nach den neuen Anforderungen zukünftig als Tätigkeit eingestuft werden kann, die ob ihrer Art oder aufgrund des Umfangs von Datenverarbeitungsprozessen eine regelmäßige Überprüfung durch einen Beauftragten erforderlich macht, kann zu diesem Zeitpunkt zwar noch nicht abschließend gesagt werden.
Allerdings scheint vieles dafür zu sprechen, den E-Commerce, in welchem die Erhebung von personenbezogenen Daten primär zur Abwicklung von Kausalgeschäften und sekundär zu Werbezwecken erfolgt, ohne dass aber vollumfängliche oder besonders sensible personenbezogene Daten verarbeitet würden, von der Bestellungspflicht im Allgemeinen auszunehmen.
Freilich können aber die Masse und der Umfang der etablierten Datenverarbeitungsprozesse im konkreten Einzelfall auch den Online-Händler, der personenbezogene Daten über das übliche Maß hinaus nutzt, zur Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO anhalten.
Abzuwarten bleibt insofern, dass der europäische Gesetzgeber die Kriterien, welche zur Ermittlung der art- und umfangsbasierten Überwachungsbedürftigkeit heranzuziehen und abzuwägen sind, in der Folgezeit noch konkretisiert.
Liegen die verschärften Voraussetzungen für die verpflichtende Bestellung nicht vor, soll es gemäß Art. 37 Abs. 4 DSGVO auch zukünftig jedem Verantwortlichen zur Disposition stehen, freiwillig einen Datenschutzbeauftragten zur Überwachung der Datenverarbeitungsprozesse einzuschalten.
Um der besonderen Bedeutung effektiver Datenschutzmaßnahmen zur Wahrung der legitimen Betroffeneninteressen zu mehr Geltung zu verhelfen und eine lückenlose Umsetzung der neuen Vorgaben mit Mitteln der Abschreckung zu garantieren, hebt die DSGVO den Bußgeldrahmen für Verstöße gegen die Verordnungsbestimmungen im Vergleich zur geltenden Rechtslage erheblich an und überschreitet hierbei erstmalig die Millionengrenze.
Während nach dem geltenden §43 Abs. 3 BDSG bisher Bußgelder in Höhe von die 300.000€ die (relative) Höchstgrenze bildeten, ergeht aus Art.83 DSGVO in Zukunft folgender Rahmen:
Daneben werden die Mitgliedsstaaten zudem nach Art. 84 DSGVO ermächtigt, Verstöße gegen weitere Tatbestände der DSGVO mit Bußgeldern zu belegen.
Achtung: Unabhängig von Bußgeldverfahren werden Verstöße gegen die DSGVO in Deutschland zukünftig auch über das in §2 Abs. 2 Nr. 11 UKlaG neu eingeführte Verbandsklagerecht von Verbraucherschutzverbänden, Wettbewerbszentralen und anderen. Stellen im Sinne des §3 UKlaG abgemahnt und verfolgt werden können.
Auch wenn die neue Datenschutzgrundverordnung (DSGVO), die zum 25.05.2018 in allen Mitgliedsstaaten verbindlich wird, in ihren Grundzügen und den maßgeblichen Datenschutzprinzipien mit dem in Deutschland bereits geltenden Recht übereinstimmt, führt sie speziell für den Online-Handel eine Reihe von maßgeblichen Veränderungen herbei, die sich vor allem in einer Ausweitung des datenschutzrechtlichen Pflichtprogramms und einer Stärkung der Betroffenenrechte niederschlagen.
Die Formulierungen neuer Berechtigungen wie derjenigen auf Datenübertragung, auf Unbetroffenheit von automatischen datenbasierten Entscheidungen und auf Widerspruch werden ebenso zur Anpassung der informationstechnologischen Systeme und Datenverarbeitungsstrukturen zwingen wie der Wegfall spezifischer Erlaubnistatbestände und die diesbezügliche Wiedereinführung eines Einwilligungserfordernisses.
Gleichzeitig ist eine vollständige Überholung und Neufassung der Datenschutzerklärung von Nöten, welche erstmalig auch über die Dauer der Datenspeicherung und ein Beschwerderecht bei der Aufsichtsbehörde aufklären muss.
Nachdruck wird dem Anpassungs- und Implementierungsbedarf hier vor allem durch stark verschärfte Bußgeldvorschriften verliehen, welche erstmals auch die Abschöpfung von Millionenbeträgen vorsehen.
Letztlich machen die einzelnen Novellierungen, welche in diesem Beitrag rechtsvergleichend und ausführlich dargestellt werden, plastisch, dass die Übergangsfristen auf den ersten Blick zwar lang bemessen erscheinen mögen, tatsächlich aber zwingend notwendig sind, um den Verantwortlichen eine rechtssichere und umfängliche Umstellung auf die reformierten Datenschutzvorgaben zu ermöglichen.
Bei weiteren Fragen zur neuen Datenschutzgrundverordnung und zur rechtskonformen Umsetzung der geänderten datenschutzrechtlichen Anforderungen steht Ihnen die IT-Recht Kanzlei gerne persönlich zur Verfügung.
02.08.2016, 10:32 Uhr
Kommentar von Ernst Jochen
Leider sind die Angaben zur Altersgrenze (Art. 8 DSGVO) unpräzise. Der nationale Gesetzgeber darf die Grenze von 16 Jahren nicht überschreiten.

References: Art. 16
 Art. 18
 Art. 20
 Art. 21
 Art. 22
 Art. 12
 Art. 30
 Art. 8
 Art. 20
 §13
 Art. 12
 Art. 5
 §20
 §28
 §34
 Art. 15
 Art. 19
 Art. 21
 Art.22
 Art. 22
 Art. 13
 Art. 13
 Art. 13
 Art. 14
 Art. 30
 Art. 37
 Art. 37
 §43
 Art.83
 Art. 84
 §2
 §3