Source: https://www.stiegler-legal.com/blog/blog-5b4734c0407a5
Timestamp: 2019-02-21 11:43:54+00:00

Document:
Folge 22: DSGVO-Kritikpunkte und aktuelle Entwicklungen | stiegler-legal.com
Einen Monat nach Anwendungsbeginn der DSGVO am 25.05.2018 sprechen Volker und Frank über die ersten Entwicklungen (z. B. Abmahnwellen) und schwerpunktmäßig über Kritik an der DSGVO.
00:35: Die DSGVO ist live!
Tweet des geschätzten Kollegen Dramburg aus Berlin auf Twitter vom 12.06.2018 zur "Rückgabe unter Abgeltung aller gegenseitigen Ansprüche"
07:04: Disclaimer
Diese Folge soll nicht einfach kritisieren, sondern verdeutlichen, warum wir manche Aspekte der DSGVO für bedenklich halten. Wir können nicht überall eine Lösung anbieten, freuen uns aber über Feedback.
13:10: Kritikpunkte
13:58: Datenschutz ist schützt keine Daten, sondern Personen
14:30: Schutzzweck des Datenschutzes
Wir diskutieren Ziele wie informationelle Selbstbestimmung, Privatsphäre/Privacy, Vertraulichkeit, jeweils in Ausprägung als Abwehr- oder Mitwirkungsrecht, und warum diese Begriffe schwer voneinander abzugrenzen sind.
18:30: Der Begriff des Personenbezuges ist schief
Dreh- und Angelpunkt ist Art. 4 Nr. 1 DSGVO:
"personenbezogene Daten“ [sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
Hier spielt auch die Frage rein, wie unsere gesellschaftliche Ausprägung als Informationsgesellschaft mit dem datenschutzrechtlichen Gebot der Datenminimierung vereinbar sein soll.
Merkwürdiger Aspekt auch: Im Datenschutz spricht man immer vom Personenbezug, während die kommende E-Privacy-VO oft vom Endgerätebezug spricht, was wir in vielen Situationen für deutlich praxisnäher halten.
23:15: "Eigentum" an bzw. "Gehören" von Daten
Wem "gehören" Daten? Es gibt hier vor allem den Widerstreit zwischen den Betroffenen, die allerlei Ansprüche in Bezug auf "ihre" Daten haben, und den Unternehmen, die die Daten im Zweifel selbst erhoben haben, z. B. über Tracking. Wir sprechen außerdem darüber, dass es unseres Erachtens auch inhaltlich falsch ist zu sagen, man "bezahle" mit seinen Daten.
28:45: Begriffswirrwarr zwischen "Informationen" und "Daten"
Nach Art. 4 Nr. 1 DSGVO sind Daten schon begrifflich Informationen.
29:35: Missbrauch ist nie ausgeschlossen
Die Tatsache, dass Missbrauch immer möglich ist, macht die Abwägung der Angemessenheit technischer und organisatorischer Maßnahmen für viele Unternehmen schwierig und frustrierend. Die Angst von Unternehmen vor Bußgeldern verstärkt dieses Gefühl von Absurdität.
Artikel "21 Thesen zum Irrweg der DS-GVO" von Winfried Veil in der C&R online vom 23.05.2018
32:35: Die Angst vor Bußgeldern ist hoch
Wir sprechen über die gestiegenen Aufgaben der Aufsichtsbehörden, deren Verhalten mittlerweile über zwei Arten von Kohärenzverfahren vereinheitlicht werden soll, einerseits dem "großen Kohärenzverfahren" der EU, das Konflikte bis hoch zum EDSA eskaliert werden kann, und das "kleine Kohärenzverfahren" in Deutschland.
35:50: Die Aufsichtsbehörden sind überlastet
Nicht nur sind die Aufsichtsbehörden aktuell deshalb völlig überlastet, weil sie personell unterbesetzt sind, sondern dadurch ist unseres Erachtens auch noch das Risiko höher, dass Behörden aus Ressourcengründen nicht viel Zeit mit Verhandlungen verbringen können, sondern tendenziell eher Bußgelder verhängen. Diese Bußgelder dürften allein deshalb nicht höher sein, aber der Erwartungswert ist eben höher.
Art. 58 DSGVO: Befugnisse
39:00: Privacy by Design and Default ist oft praxisuntauglich
Und nicht nur das; wir sind auch der Ansicht, dass das absolute Prinzip von vielen nicht einmal gewünscht sein dürfte, vor allem im Online-Tracking zur Werbungspersonalisierung.
42:20: Hinweise nach Art. 13 DSGVO bei Erhebung
sind in manchen Situationen (vor allem mündlichen/persönlichen) praktisch unmöglich. Wir greifen die Beispiele des Anrufes bei einer Arztpraxis, ein Messegespräch und des Fotografierens auf.
44:15: Transparenz durch Reinpressen ist kontraproduktiv
Das schrankenlose Gebot der Transparenz ist sachlich falsch, weil es ignoriert, dass Transparenz nicht ohne Bereitschaft und Interesse der Betroffenen funktionieren kann. Wie weit z. B. müssen Anbieter von Websites gehen, Besuchern Hinweise "ins Gesicht halten", um ihren Transparenzpflichten nachzukommen? Nebenproblem: Viele verstehen schon nicht den Unterschied zwischen Hinweisen und Einwilligung.
Das angesprochene Urteil des LG Köln (81 O 32/17), in dem u. a. geurteilt wurde, dass eine Datenschutzerklärung nicht unmittelbar in einem Kontaktformular angezeigt werden muss, sondern es ausreicht, dass die Datenschutzerklärung "unmittelbar" (mit maximal zwei Klicks) erreichbar ist, konnten wir leider nicht nicht im Volltext finden.
48:35: Recht auf Datenportabilität: diffus und sinnlos?
52:05: Einwilligungen: freiwillig und verständig?
Die Rolle von Einwilligungen als eierlegende Wollmilchsau und gleichzeitig limitiertes Instrument (da Einwilligungen Grenzen haben, man sich z. B. nicht des Rechtes auf Widerruf entledigen kann) ist von ihr praktisch und dogmatisch nicht erfüllbar.
54:45: Vernünftige Erwartungen der Betroffenen
Die Interessenabwägung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO unter Berücksichtigung der "vernünftigen Erwartungen des Betroffenen" führt zu dem offensichtlich unerwünschten Ergebnis, dass sich die Wirtschaft langfristig Erlaubnisse über diese Interessenabwägung generieren kann, indem sie Betroffene entsprechen "erziehen", z. B. indem man überall Cookies-Banner auftauchen lässt und dann argumentiert, Betroffene rechneten damit, dass das jeder macht.
56:38 Fazit
62:36 Tschüß
Für Feedback twitter bitte an @legal_bits, @neuernick oder @ra_stiegler oder schickt eine E-Mail! Wir haben die Kommentare zwischenzeitlich abgeschaltet, weil der Blog in der Vergangenheit trotz Google ReCAPTCHA hart zugespammt wurde.
Nico / vor 7 Monaten
Danke für die interessante Folge. Die DSGVO treibt tatsächlich ein paar merkwürdige Blüten, insgesamt habe ich aber schon einen eher positiven Eindruck.
Das ich jetzt zu allem Zustimmen muss finde ich tatsächlich auch etwas übertrieben, merke aber auch, dass das auch seine positiven Seiten hat. So habe ich ein Spiel auf dem Handy wieder deinstalliert, weil es so viele Daten unnötigerweise gesammelt hat.
Ich finde das daher immer dann wichtig, wenn Daten gesammelt werden, mit denen man nicht rechnet. Ein Spiel, ein Blog usw. funktionieren auch ohne private Daten. Man kann die Werbung in Blogs sogar ohne persönliche Daten personalisieren, indem man zum Thema des Blogbeitrags passende Werbung schaltet.
Ich finde es wichtiger öfter die Frage zu stellen, werden die Daten wirklich benötigt? Warum muss man IP-Adressen speichern? Warum muss ich irgendwo meinen wirklichen Namen angeben, warum nicht ein Pseudonym, das ich mir aussuche, usw.
Auch auf der Arbeit merke ich, dass Datenschutzbedenken ernst genommen werden, ohne dass man jetzt einen übermäßigen Mehraufwand hätte. Da halte ich euren Vergleich mit Google auch für falsch. Google hat sehr viele verschiedene Produkte, wo personalisierte Daten anfallen. Das alles anzupassen ist natürlich aufwendiger, als für eine kleine Firma, die ein Programm entwickelt oder einen spezifischen Dienst anbietet.
Schwierigkeiten sehe ich da auch bei Ärzten, bei Telefonkontakten usw. aber muss man da wirklich so lange Erklärungen ausfüllen, oder reicht nicht ein kurzer Hinweise?
Was mich noch interessieren würde, sind Auswirkungen auf den privaten Bereich. Jeder führt sicherlich ein Adressbuch mit den Kontaktdaten von Freunden und bekannten. Fällt das auch unter die DSGVO?
Frank Stiegler / vor 7 Monaten
Hallo Nico, danke für den ausführlichen Kommentar!
Zu deiner Frage mit den Arztpraxen: Beide von dir aufgezeigten Alternativen sind nicht so ganz richtig.
Die Datenschutzerklärungen müssen nicht möglichst lang sein, werden aber bei Arztpraxen regelmäßig mehrere Seiten füllen, weil verschiedene Aspekte des Umgangs mit Patienten beschrieben werden müssen. Das ist prinzipiell nicht so schlimm, aber bei einem Telefonat annähernd unmöglich zu machen.
Zu deiner 2. Frage (am Ende): Wenn du sozusagen "völlig privat" Daten erhebst (genauer gesagt: wenn du "ausschließlich persönliche oder familiäre Tätigkeiten ausübst", vgl. Art. 2 Abs. 2 lit. c DSGVO, dann ist die DSGVO nicht anwendbar. Die Grenze zur "nicht mehr ausschließlich persönlichen Ausübung" aber ist relativ schnell überschritten, z. B. oft schon dann, wenn du Fotos anderer Personen auf Facebook hochlädst oder dein ganzes Adressbuch an WhatsApp übermittelst. Wenn Daten also sozusagen "echt nur bei dir bleiben", ist die DSGVO nicht anzuwenden, aber sonst eben schon.
e43fa6f90cace498a17b0f2d83ea807f
43cc99c1a2f55932cb01a4247a7a52fd
RAin Nnanga Ze
Festnetz: +49 69 6642699-13
Mobil: +49 176 20458375
Fax: +49 69 6642699-09
E-Mail: nnangaze@stiegler-legal.com
RA Stiegler
Festnetz: +49 69 6642699-11
PGP S/MIME
Impressum Datenschutzhinweise zum Kontaktformular

References: Art. 4
 Art. 4

Art. 58
 Art. 13
 Art. 6
 Art. 2