Source: https://legalmemory.blogspot.com/2017/
Timestamp: 2017-10-19 23:51:43
Document Index: 275332294

Matched Legal Cases: ['EuG', 'EuG', 'Art. 7', 'EuG', 'OGH', 'OGH', 'EuG', '§ 29', 'EuG', 'OGH', 'Art 29', 'Art 29', 'Art. 30', 'Art. 30', '§ 9', 'Art. 29', '§ 26', '§ 14', 'Art. 35', '§ 2', '§ 2', '§ 9', '§ 16', 'Art. 8', '§ 13', 'Art 35', 'EuG', 'Art 7', 'EuG', 'Art. 47', 'Art. 47', 'Art. 7', 'EuG', 'EGMR', 'EGMR', '§ 32', 'Art 29', 'OGH', 'OGH', '§ 43', '§ 9', 'Art 6', 'EuG', 'OGH', 'Art 29', 'EuG', 'Art 7', 'EGMR']

My digital (legal) memory ...: 2017
First annual report on the functioning of the EU- U.S. Privacy Shield
Today the European Commission publishes its first annual report on the functioning of the EU-U.S. Privacy Shield, the aim of which is to protect the personal data of anyone in the EU transferred to companies in the U.S. for commercial purposes.
Overall the report shows that the Privacy Shield continues to ensure an adequate level of protection for the personal data transferred from the EU to participating companies in the U.S.
Source: Press release; Report and Staff Working Document on the annual review of the functioning of the EU–U.S. Privacy Shield
Eingestellt von Markus Kastelitz am Mittwoch, Oktober 18, 2017 Links zu diesem Post
EuGH: Gerichtszuständigkeit für Klage gg. Veröffentlichung unrichtiger Angaben im Internet
EuGH 17.10.2017, Rs C‑194/16, Bolagsupplysningen OÜ
[...] Aus diesen Gründen hat der Gerichtshof (Große Kammer) für Recht erkannt:
1. Art. 7 Nr. 2 der Verordnung (EU) Nr. 1215/2012 des Europäischen Parlaments und des Rates vom 12. Dezember 2012 über die gerichtliche Zuständigkeit und die Anerkennung und Vollstreckung von Entscheidungen in Zivil- und Handelssachen ist dahin auszulegen, dass eine juristische Person, deren Persönlichkeitsrechte durch die Veröffentlichung unrichtiger Angaben über sie im Internet und durch das Unterlassen der Entfernung sie betreffender Kommentare verletzt worden sein sollen, Klage auf Richtigstellung der Angaben, auf Verpflichtung zur Entfernung der Kommentare und auf Ersatz des gesamten entstandenen Schadens bei den Gerichten des Mitgliedstaats erheben kann, in dem sich der Mittelpunkt ihrer Interessen befindet. Übt die betreffende juristische Person den größten Teil ihrer Tätigkeit in einem anderen Mitgliedstaat als dem ihres satzungsmäßigen Sitzes aus, kann sie den mutmaßlichen Urheber der Verletzung unter Anknüpfung an den Ort der Verwirklichung des Schadenserfolgs in diesem anderen Mitgliedstaat verklagen.
Labels: Datenschutz, EuGH, fake news, Persönlichkeitsrecht, Zuständigkeit
OGH: „Dauerhafter Datenträger“ und E-Banking-Postfach
OGH 28.09.2017, 8 Ob 14/17t (unter Verweis auf EuGH 25.01.2017, C-375/15):
[...] Der Zahlungsdienstleister muss, wenn die Richtlinie 2007/64/EG vorsieht, dass er dem Zahlungsdienstnutzer die betreffenden Informationen mitteilt, diese Informationen von sich aus übermitteln (Rn 48). Von den Zahlungsdienstnutzern kann nämlich vernünftigerweise nicht erwartet werden, dass sie regelmäßig alle elektronischen Kommunikationssysteme abfragen, bei denen sie registriert sind.
Soweit die Klausel 9 vorsieht, dass der Kunde „Mitteilungen und Erklärungen (…) die die Bank dem Kunden zu übermitteln … hat“ im Wege des E-Banking erhält, garantiert dieser Übermittlungsweg nicht, dass die vom Gerichtshof der Europäischen Union für maßgeblich erachteten Kriterien eingehalten werden, weil sie – die Zustimmung des Kunden vorausgesetzt – die Übermittlung in das Postfach, das die Bank innerhalb des E-Banking eingerichtet hat, genügen lässt. Da dieses vom Kunden nur für die Kommunikation mit der Bank genützt wird, bedürfte es zusätzlich einer Mitteilung an den Kunden in einer Form, die seine tatsächliche Kenntnisnahme wahrscheinlich macht. [...]
Folgende Klausel ist daher unzulässig (Verstoß gegen §§ 29 Abs 1 Z 1 iVm 26 Abs 1 Z 1 ZaDiG):
„9. Mitteilungen und Erklärungen (insbesondere Kontonachrichten, Kontoauszüge, Kreditkartenabrechnungen, Änderungsmitteilungen, etc), die die Bank dem Kunden zu übermitteln oder zugänglich zu machen hat, erhält der Kunde, der eBanking vereinbart hat, per Post oder durch Abrufbarkeit oder Übermittlung elektronisch im Wege des B***** eBankings.“
Labels: Bank, dauerhafter Datenträger, EuGH, OGH, Verbandsklage, VKI
Art 29 WP: Guidelines on data breach notification and profiling under the GDPR
Guidelines on Personal data breach notification under Regulation 2016/679, WP 250 (pdf)
Guidelines on automated individual decision-making and profiling for the purposes of Regulation 2016/679, WP 251 (pdf)
The Article 29 Working Party welcomes comments on the data breach notification and profiling guidelines. Such comments should be sent to the following addresses by 28 November 2017 at the latest. More here.
Eingestellt von Markus Kastelitz am Dienstag, Oktober 17, 2017 Links zu diesem Post
Labels: Art 29 Working Party, data breach, data breach notification, DSGVO, GDPR (DS-GVO), Profiling/Tracking
EMA: Updated guidance on the publication of clinical data
European Medicines Agency, External guidance on the implementation of the European Medicines Agency policy on the publication of clinical data for medicinal products for human use, V1.3, 22/09/2017 (pdf):
This document provides guidance to industry on practical aspects of the implementation of the Agency's policy on the publication of clinical data for medicinal products for human use. It covers guidance on the procedural aspects of the submission of clinical reports, the anonymisation of clinical reports and the identification and redaction of commercially confidential information in clinical reports. It also includes a checklist for the 'Redaction Proposal Document' package. This guidance is revised periodically.
Source: EMA; more on clinical data publication
Eingestellt von Markus Kastelitz am Montag, Oktober 16, 2017 Links zu diesem Post
Labels: Anonymisation, Clinical Trials, Datenschutz, EMA, medical research
Österreichische Datenschutzbehörde aktualisiert DSGVO-Leitfaden (Update)
Leitfaden zur Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, zusammengestellt von Dr. Matthias Schmidl, Stand: Juli 2017 (pdf)
Einige interessante Auszüge, die mir beim neuerlichen Überfliegen aufgefallen sind (wobei ich keinen Vergleich mit der ursprünglichen Fassung vorgenommen habe):
Seite 19 ff: Kurzüberblick über das Datenschutz-Anpassungsgesetz 2018
Seite 27: Da die Erstellung und Führung eines Verzeichnisses nach Art. 30 DSGVO ausschließliche Verantwortung von Verantwortlichen/Auftragsverarbeitern ist, bleibt es nach Ansicht der Datenschutzbehörde auch diesen überlassen, wie sie ihr Verzeichnis inhaltlich gestalten wollen. Seitens der Datenschutzbehörde wird es dazu keine Vorgaben/kein Muster geben. DVR-Meldungen können als Vorlage für ein Verzeichnis herangezogen werden, zwingend ist dies jedoch nicht. Voraussichtlich ab August/September 2017 wird eine Schnittstelle zur Verfügung stehen, sodass bestehende DVR-Meldungen in ein Verzeichnis nach Art. 30 DSGVO übertragen werden können (Anmerkung: siehe die neue Export-Funktion).
Seite 32 f: Kann ein Datenschutzbeauftragter verantwortlicher Beauftragter nach § 9 VStG sein? Der Datenschutzbeauftragte hat nach Ansicht der Datenschutzbehörde beratende Funktion. Verbindliche Anordnungen sind von der Managementebene zu treffen. Deshalb ist die Datenschutzbehörde der Ansicht, dass ein Datenschutzbeauftragter nicht als verantwortlicher Beauftragter bestellt werden kann.
Seite 31 f: Was ist eine „öffentliche Stelle“? [...]Grundsätzlich obliegt es dem Verantwortlichen selbst diese Einordnung entsprechend der gegebenen Rechtsgrundlagen vorzunehmen. Neben diversen deutschsprachigen Kommentaren (siehe dazu Punkt 13 dieses Leitfadens) sowie der Leitlinie der Art. 29-Gruppe zum Datenschutzbeauftragten, welche Anhaltspunkte für die Auslegung des Begriffs der öffentlichen Stelle liefern, ist insbesondere das Datenschutzanpassungsgesetz 2018 heranzuziehen. Darin findet sich in § 26 Abs. 1 DSG eine Definition für den Verantwortlichen des öffentlichen Bereichs. Darunter fallen alle Verantwortliche,
die in Formen des öffentlichen Rechts eingerichtet sind oder
zwar in Form des Privatrechts eingerichtet sind, jedoch in Vollziehung der Gesetze tätig werden (so genannte „beliehene Rechtsträger“ sowie Fälle der schlichten Hoheitsverwaltung).
Nach derzeitiger Ansicht der Datenschutzbehörde kann diese Definition als Beurteilungskriterium herangezogen werden. [...]
Update 15.10.2017: Der Leitfaden wurde aktualisiert (Stand Oktober 2017); u.a. mit Ausführungen zur Durchführung einer DSFA bei bereits bestehenden Datenanwendungen (S 29 f).
Eingestellt von Markus Kastelitz am Sonntag, Oktober 15, 2017 Links zu diesem Post
Labels: Austria, Datenschutzbeauftragter, Datenschutzbehörde, DPA, DSGVO, GDPR (DS-GVO), öffentliche Stelle, Verfahrensverzeichnis
Guidelines on Data Protection Impact Assessment: final version
Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to result in a high risk" for the purposes of Regulation 2016/679, WP 248 rev.01:
Page 13: [...] C. What about already existing processing operations? DPIAs are required in some circumstances.
The requirement to carry out a DPIA applies to existing processing operations likely to result in a high risk to the rights and freedoms of natural persons and for which there has been a change of the risks, taking into account the nature, scope, context and purposes of the processing.
A DPIA is not [my emphasis] needed for processing operations that have been checked by a supervisory authority or the data protection official, in accordance with Article 20 of Directive 95/46/EC, and that are performed in a way that has not changed since the prior checking. Indeed, "Commission decisions adopted and authorisations by supervisory authorities based on Directive 95/46/EC remain in force until amended, replaced or repealed" (recital 171).
Conversely, this means that any data processing whose conditions of implementation (scope, purpose, personal data collected, identity of the data controllers or recipients, data retention period, technical and organisational measures, etc.) have changed since the prior checking performed by the supervisory authority or the data protection official and which are likely to result in a high risk should be subject to a DPIA. [...]
Siehe dazu nunmehr auch hier (Fassung vom Oktober 2017, Seite 29 f).
Prior version (page 11):
c) What about already existing processing operations? DPIAs are needed for those created after May 2018 or that change significantly.
BTW: The revised version contains a new example for a processing operation "likely" requiring a DPIA: Storage for archiving purpose of pseudonymised personal sensitive data concerning vulnerable data subjects of research projects or clinical trials
Eingestellt von Markus Kastelitz am Freitag, Oktober 13, 2017 Links zu diesem Post
Labels: Clinical Trials, Datenschutz-Folgenabschätzung, Privacy Impact Assessment (PIA)
Präsentation: Datenschutz im Gesundheitsbereich (in Österreich) - Herausforderungen durch DSGVO und DSG
Gestern habe ich eine Präsentation auf der Jahrestagung betrieblicher Datenschutz 2017 der Arge Daten gehalten, die hier (pdf) abrufbar ist (aufgrund der Kürze der zur Verfügung stehenden Zeit handelt es sich nur um eine subjektive Auswahl an Themen).
Eingestellt von Markus Kastelitz am Freitag, Oktober 06, 2017 Links zu diesem Post
Labels: Datenschutz, DSG, DSGVO, Gesundheitswesen, öffentliche Stelle
Ö: Datenschutz-Folgenabschätzung für elektronische Gesundheitsakte in den Gesetzesmaterialien
Auszug aus den Erläuterungen zum Deregulierungsgesetz 2017 (genauer zu den darin enthaltenen Änderungen des Gesundheitstelematikgesetzes 2012):
[...] Zu § 14 Abs. 6:
Gemäß Art. 35 Abs. 3 lit. b der geltenden Datenschutz-Verordnung sind Datenschutz-Folgenabschätzungen erforderlich bei „umfangreiche[n] Verarbeitung[en] besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1“.
Bei der Datenschutz-Folgenabschätzung sind die Risiken den Maßnahmen zur Eindämmung dieser Risiken gegenüberzustellen (Erwägungsgrund 90 DSGVO). Bereits die Erläuterungen zum GTelG 2012 (RV 1936 d. B. XXIV. GP. 4 ff) haben zum Schutz von Gesundheitsdaten umfangreiche Abwägungen zu Risiken, angemessenen Garantien und Datensicherheitsmaßnahmen vorgesehen, sodass sich folgende Datenschutz-Folgenabschätzung ergibt:
DATENSCHUTZ-FOLGENABSCHÄTZUNG FÜR ELGA
SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen
ELGA-Gesundheitsdaten (§ 2 Z 9 GTelG 2012) sollen in dezentralen Datenspeichern für ELGA-Gesundheitsdiensteanbieter (§ 2 Z 10 GTelG 2012) zeit- und ortsunabhängig zu Gesundheitszwecken gemäß § 9 Z 12 DSG 2000 sowie zur Wahrnehmung der Teilnehmer/innen/rechte gemäß § 16 GTelG 2012 zur Verfügung gestellt werden.
Die im Gesundheitstelematikgesetz 2012 enthaltenen Regelungen über die Ermittlung und Speicherung von Gesundheitsdaten im Rahmen von ELGA dienen einem der in Art. 8 Abs. 2 EMRK genannten Ziele, nämlich dem Schutz der Gesundheit durch die Verbesserung der Verfügbarkeit von und des Zugangs zu ELGA-Gesundheitsdaten für ELGA-Gesundheitsdiensteanbieter (vgl. § 13 Abs. 1 GTelG 2012). Die Notwendigkeit ergibt sich aus dem wichtigen öffentlichen Interesse an der bestmöglichen Gesundheitsversorgung, die ohne eine zeit- und ortsunabhängige Verfügbarkeit von ELGA-Gesundheitsdaten zur Gesundheitsversorgung von ELGA-Teilnehmer/inne/n nicht gegeben ist.
Grundsätzlich bestehen Risiken, allerdings ist deren Eintritt einerseits nicht sehr wahrscheinlich und sind andererseits zahlreiche, wirksame Abhilfemaßnahmen gesetzlich im Gesundheitstelematikgesetz 2012 verankert, sodass die Datenschutz-Folgenabschätzung für ELGA klar positiv und zugunsten von ELGA ausfällt.
Als Risiken werden insbesondere in Erwägungsgrund 85 der Datenschutz-Grundverordnung unter anderem genannt: [...]
Labels: Datenschutz-Folgenabschätzung, DSGVO, ELGA
VwGH: Auskunftsrecht und Verschwiegenheitspflichten (ua DSG 2000)
VwGH 18.8.2017, Ra 2015/04/0010 (pdf)
[...] Mit dem im konkreten Fall gegenständlichen Auskunftsbegehren wollte die revisionswerbende Partei - bezogen auf einen bestimmten Zeitraum - die (Gesamt)höhe der von einer Marktgemeinde an eine Rechtsanwalts-GmbH bezahlten Honorare in Erfahrung bringen; eine genaue Aufschlüsselung, durch die die Kalkulation der Honorarvereinbarung sowie die Art und der Umfang der erbrachten Leistungen offengelegt würde, hat die revisionswerbende Partei dagegen nicht beantragt.
Der VwGH hielt dazu fest, dass dadurch nicht in ein Geschäfts- oder Betriebsgeheimnis der Rechtsanwalts-GmbH eingegriffen und weder die anwaltliche Verschwiegenheitspflicht noch die geschützten Rechte nach dem DSG verletzt werden; dem Auskunftsbegehren der revisionswerbenden Partei steht demnach keine gesetzliche Verschwiegenheitspflicht entgegen.
Labels: Auskunftspflicht, Datenschutz, Geschäftsgeheimnisse, VwGH
GDD: Datenschutz-Policy-Muster, DSGVO-Accountability
GDD-Praxishilfe DS-GVO IX - Accountability, Version 1.0, Stand Oktober 2017: https://www.gdd.de/aktuelles/startseite/accountability-nach-der-ds-gvo
GDD-Praxishilfe DS-GVO VIII - Unternehmensrichtlinie zur Datenschutz-Organisation, Version 1.0, Stand Oktober 2017: https://www.gdd.de/aktuelles/startseite/muster-fuer-betriebliche-datenschutzpolicy
Eingestellt von Markus Kastelitz am Donnerstag, Oktober 05, 2017 Links zu diesem Post
Labels: Accountability, Datenschutz-Richtlinie, DSGVO, GDD
Standard Contractual Clauses (SCC) in peril?
The Commissioner welcomes the High Court’s judgment and its decision to refer a number of questions to the CJEU, as requested by the Commissioner.
The transfer of personal data to the US under the standard contractual clauses mechanism (“SCCs”) raises important issues for the protection of EU citizens’ data protection rights. Now that the High Court has confirmed it shares the Commissioner’s concerns about the protection of those rights in the context of EU/US data transfers, the Commissioner hopes these issues will be addressed by the CJEU as soon as possible to provide certainty for data subjects and controllers alike. In that context, the Commissioner acknowledges that many businesses rely on SCCs to transfer data from the EU to the US. It is important to note that today’s decision does not invalidate the SCCs {nor the Privacy Shield); neither does it prohibit their continued use for the purpose of data transfers to the US or elsewhere. Rather, it invites the CJEU to consider whether, under EU law, SCCs in their present form can and should be retained as a basis for the transfer of personal data from the EU to the US.
Source: DPC Ireland; executive summary of the judgment
More from Max Schrems here (pdf); full text of the judgment (pdf)
Eingestellt von Markus Kastelitz am Mittwoch, Oktober 04, 2017 Links zu diesem Post
Labels: CJEU, Global Data Transfers, Ireland, standard contractual clauses, USA
Publikation (Vorankündigung): Durchführung einer Datenschutz-Folgenabschätzung gemäß Artikel 35 DSGVO
Ich habe gemeinsam mit Walter Hötzendorfer und Renate Riedl für das Jahrbuch Datenschutzrecht 2017 (herausgegeben von Prof. Dr. Jahnel im NWV Verlag) einen über 30 Seiten langen Beitrag mit dem Titel "Ausgewählte Fragen der Durchführung einer Datenschutz-Folgenabschätzung gemäß Art 35 DSGVO" verfasst. Als Anlagen haben wir auf Grundlage einer Analyse der bestehenden Ansätze ein umfangreiches Muster für einen Datenschutz-Folgenabschätzungs-Bericht und ein Muster über die Ermittlung der Notwendigkeit einer Datenschutz-Folgenabschätzung erstellt. Der Erscheinungstermin des Jahrbuches ist voraussichtlich im Oktober 2017.
Eingestellt von Markus Kastelitz am Samstag, September 30, 2017 Links zu diesem Post
Labels: Datenschutz-Folgenabschätzung, DPIA, DSGVO, GDPR (DS-GVO), Privacy Impact Assessment (PIA), Publikationen Kastelitz
Norwegian Consumer Council: Report on health devices and privacy
The Norwegian Consumer Council encourage users to think twice about connecting health devices, which collect sensitive personal information, to the internet.
Although the features of these services can be useful to people, it is unacceptable that some apps contribute to users losing control their own health data, says Anne Kristin Vie, Director of Public Services and Health at the Norwegian Consumer Council.
They have investigated the consumer and privacy-related aspects of four blood pressure gauges and three blood glucose-monitoring devices used together with smartphone apps. The consultancy company Bouvet has carried out the technical part of the test on behalf of the Norwegian Consumer Council. [...]
Source: Norwegian Consumer Council; Report (pdf)
Eingestellt von Markus Kastelitz am Donnerstag, September 28, 2017 Links zu diesem Post
Labels: Datenschutz, Gesundheitswesen, health data, mHealth, Norway
EuGH-Urteil Rs Puskar: Art 7 lit e DSRL ("schwarze Liste")
EuGH 27.09.2017, Rs C-73/16, Puškár
1. Art. 47 der Charta der Grundrechte der Europäischen Union ist dahin auszulegen, dass er einer nationalen Rechtsvorschrift nicht entgegensteht, die die Möglichkeit einer Person, die eine Beeinträchtigung ihres mit der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr gewährleisteten Rechts auf den Schutz personenbezogener Daten rügt, bei Gericht einen Rechtsbehelf einzulegen, davon abhängig macht, dass zuvor die verfügbaren Verwaltungsrechtsbehelfe ausgeschöpft worden sind, vorausgesetzt, dass die konkreten Modalitäten für die Ausübung dieser Rechtsbehelfe das Recht auf einen Rechtsbehelf bei einem Gericht nicht unverhältnismäßig beeinträchtigen. Die vorherige Ausschöpfung der verfügbaren Verwaltungsrechtsbehelfe darf insbesondere keine wesentliche Verzögerung für die Erhebung einer Klage bewirken, muss die Verjährung der betroffenen Ansprüche hemmen und darf keine übermäßigen Kosten mit sich bringen.
2. Art. 47 der Charta der Grundrechte der Europäischen Union ist dahin auszulegen, dass er dem entgegensteht, dass ein nationales Gericht eine Liste wie die streitige Liste, die von der betroffenen Person vorgelegt wird und die personenbezogene Daten von ihr enthält, als Beweismittel für eine Verletzung des mit der Richtlinie 95/46 gewährten Schutzes personenbezogener Daten in dem Fall zurückweist, dass die betroffene Person diese Liste ohne die gesetzlich vorgeschriebene Einwilligung des für die Verarbeitung dieser Daten Verantwortlichen erlangt hat, es sei denn, dass eine solche Zurückweisung im nationalen Recht vorgesehen ist und sowohl den Wesensgehalt des Rechts auf einen wirksamen Rechtsbehelf als auch den Grundsatz der Verhältnismäßigkeit beachtet.
3. Art. 7 Buchst. e der Richtlinie 95/46 ist dahin auszulegen, dass er einer Verarbeitung personenbezogener Daten durch die Behörden eines Mitgliedstaats für Steuererhebungszwecke und zur Bekämpfung von Steuerbetrug, wie sie mit der Erstellung einer Liste von Personen wie der im Ausgangsverfahren in Rede stehenden ohne die Einwilligung der betroffenen Personen vorgenommen wird, nicht entgegensteht, sofern zum einen den betreffenden Behörden durch den nationalen Gesetzgeber im öffentlichen Interesse liegende Aufgaben im Sinne dieser Vorschrift übertragen worden sind, die Erstellung dieser Liste und die Aufnahme der Namen der betroffenen Personen in diese zur Verwirklichung der verfolgten Ziele tatsächlich geeignet und erforderlich sind und hinreichende Anhaltspunkte dafür bestehen, dass die betroffenen Personen zu Recht auf dieser Liste geführt werden, und zum anderen sämtliche in der Richtlinie 95/46 aufgestellten Zulässigkeitsvoraussetzungen für die betreffende Verarbeitung personenbezogener Daten erfüllt sind.
Eingestellt von Markus Kastelitz am Mittwoch, September 27, 2017 Links zu diesem Post
Labels: CJEU, Datenschutz, DSRL, EuGH
Albrecht/Jotzo, Die neue Datenschutzverordnung der EU, Verlag Nomos, ISBN 978-3-8487-2804-6 (erschienen)
Gola, DS-GVO, Verlag C.H.BECK, ISBN 978-3-406-69543-8 (erschienen)
Paal/Pauly, Datenschutz-Grundverordnung, Verlag C.H. BECK, ISBN 978-3-406-69570-4 (erschienen)
Schantz/Wolff, Das neue Datenschutzrecht, Verlag C.H.BECK, ISBN 978-3-406-69649-7 (erschienen)
Härting, Datenschutz-Grundverordnung, Verlag Dr. Otto Schmidt, ISBN 978-3-504-42059-8 (erschienen)
Roßnagel (Hrsg.), Europäische Datenschutz-Grundverordnung, Verlag Nomos, ISBN978-3-8487-3074-2 (erschienen)
Plath (Hrsg.), BDSG/DSGVO - Kommentar, Verlag Dr. Otto Schmidt, ISBN 978-3-504-56074-4 (erschienen)
Knyrim (Hrsg), Handbuch Datenschutz-Grundverordnung, Verlag Manz, Wien, ISBN 978-3-214-10083-4 (erschienen)
Laue/Nink/Kremer, Das neue Datenschutzrecht in der betrieblichen Praxis, Verlag Nomos, ISBN 978-3-8487-2377-5 (erschienen)
Gierschmann (Hrsg.), Workbook Datenschutz-Grundverordnung, Bundesanzeiger Verlag, ISBN 978-3-8462-0721-5 (erschienen)
Wedde, EU-Datenschutz-Grundverordnung: EU-DSGVO, Synopse zum BDSG mit Erläuterungen, Bund-Verlag, ISBN 978-3-7663-6589-7 (erschienen)
Sydow (Hrsg.), Europäische Datenschutzgrundverordnung, Handkommentar, Verlag Nomos (in Gemeinschaft mit Manz Verlag Wien und Dike Verlag Zürich/St. Gallen), ISBN 978-3-8487-1782-8 (erschienen)
Kühling/Buchner, Datenschutz-Grundverordnung: DS-GVO, Verlag C.H. BECK, ISBN 978-3-406-70212-9 (erschienen)
Ehmann/Selmayr, Datenschutz-Grundverordnung, Verlag C.H. BECK, ISBN 978-3-406-70215-0 (erschienen)
Wybitul, EU-Datenschutz-Grundverordnung im Unternehmen, Deutscher Fachverlag GmbH, ISBN 978-3-8005 1634-6 (erschienen)
Gantschacher/Jelinek/Schmidl/Spanberger, Kommentar zur Datenschutz-Grundverordnung, SFU Verlag (Wien), ISBN 978-3-902626-50-9 (erschienen)
Feiler/Forgó, EU-Datenschutz-Grundverordnung Kurzkommentar, Verlag Österreich, ISBN 978-3-7046-7580-4 (erschienen)
Wybitul (Hrsg.), EU-Datenschutz-Grundverordnung, Handbuch, Deutscher Fachverlag GmbH, ISBN 978-3-8005-1623-0 (erschienen)
Gola/Jaspers/Müthlein, Datenschutz-Grundverordnung im Überblick, DATAKONTEXT, ISBN 978-3-89577-774-5 (erschienen)
Eßer/Kramer/von Lewinski, DSGVO BDSG ("Der Auernhammer"), Verlag Carl Heymanns, ISBN 978-3-452-28841-7 (erschienen)
Kranig/Sachs/Gierschmann, Datenschutz-Compliance nach der DS-GVO, Bundesanzeiger Verlag, ISBN 978-3-8462-0760-4 (erschienen)
Schneider, Datenschutz nach der EU-Datenschutz-Grundverordnung, Verlag C.H. BECK, ISBN 978-3-406-70213-6 (erschienen)
Moos/Schefzig/Arning (Hrsg.), Die neue Datenschutzgrundverordnung, De Gruyter, ISBN 978-3-11-033850-8
Simitis/Hornung/Spiecker gen. Döhmann (Hrsg.), Datenschutzrecht, DSGVO mit BDSG, Großkommentar, Verlag Nomos, ISBN 978-3-8487-3590-7
Schwartmann/Jaspers/Thüsing/Kugelmann (Hrsg.), Datenschutz-Grundverordnung mit Bundesdatenschutzgesetz, Verlag C.F. Müller, ISBN 978-3-8114-4664-9
Eingestellt von Markus Kastelitz am Montag, September 25, 2017 Links zu diesem Post
Labels: Datenschutzliteratur, DSGVO, GDPR (DS-GVO)
ULD & DSRI: Vortragsaufzeichnungen verfügbar (DSGVO & more)
18. Herbstakademie 2017: Recht 4.0 - Innovationen aus den rechtswissenschaftlichen Laboren
Eingestellt von Markus Kastelitz am Sonntag, September 24, 2017 Links zu diesem Post
EGMR: Überwachung der Internetnutzung am Arbeitsplatz
ECHR, CASE OF BĂRBULESCU v. ROMANIA (Application no. 61496/08), Grand Chamber judgment, 5 September 2017:
Facts of the case (summary, pdf), Factsheet on Surveillance at workplace (pdf), FAQs (pdf)
Eingestellt von Markus Kastelitz am Mittwoch, September 06, 2017 Links zu diesem Post
Labels: Datenschutz, EGMR, Internet
VG Köln: Autokennzeichen und Personenbezug
http://www.justiz.nrw.de/nrwe/ovgs/vg_koeln/j2017/13_K_6093_15_Urteil_20170216.html
Eingestellt von Markus Kastelitz am Mittwoch, August 23, 2017 Links zu diesem Post
DSGVO-Anpassung: Überblick über den Stand in den Mitgliedsstaaten
Siehe hier im Cearta.ie Blog von Eoin O'Dell: What is the current status of GDPR incorporation in the EU’s 28 Member States?
Eingestellt von Markus Kastelitz am Freitag, August 18, 2017 Links zu diesem Post
Berlin Group: Arbeitspapiere zu E-learning und nachrichtendienstl. Informationsbeschaffung
Die Internationale Arbeitsgruppe zum Datenschutz in der Telekommunikation, die von der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Frau Maja Smoltczyk, geleitet wird, hat auf ihrer 61. Sitzung am 24. und 25. April 2017 in Berlin zwei Arbeitspapiere verabschiedet, Pressemitteilung deutsch, Pressemitteilung englisch
Veröffentlichte Arbeitspapiere „E-Learning Plattformen“ und „Internationale Grundsätze zur Regulierung der nachrichtendienstlichen Informationsbeschaffung“ (Working Paper on E-Learning Platforms english, deutsch; Working Paper: ‘Towards International Principles or Instruments to Govern Intelligence Gathering’ english, deutsch)
Eingestellt von Markus Kastelitz am Donnerstag, August 17, 2017 Links zu diesem Post
Labels: Berlin Group, Datenschutz, E-Learning, Intelligence
UK: New Data Protection Bill: the planned reforms & GDPR derogations
Department for Digital, Culture, Media and Sport, Statement of Intent dated 7 August 2017 (pdf); Annex - Summary of GDPR derogations in the Data Protection Bill (pdf) made available by the Open Rights Group
Eingestellt von Markus Kastelitz am Freitag, August 11, 2017 Links zu diesem Post
Labels: Datenschutz, GDPR (DS-GVO), UK
BRD: Studie zur "Eigentumsordnung" für Mobilitätsdaten
"Eigentumsordnung" für Mobilitätsdaten? - Eine Studie aus technischer, ökonomischer und rechtlicher Perspektive (pdf; mit einem kurzen Exkurs betreffend Gesundheitsdaten), Auftraggeber: dt. Bundesministerium für Verkehr und digitale Infrastruktur
Die Studie wird einer breiten Fachkonsultation zugänglich gemacht, siehe hier.
Eingestellt von Markus Kastelitz am Donnerstag, August 10, 2017 Links zu diesem Post
Labels: Big Data, Dateneigentum, Datenschutz, Deutschland, health data, mHealth
DSGVO: Deutsche Datenschutzkonferenz veröffentlicht Kurzpapiere Nr. 4 bis 8
Deutsche Datenschutzkonferenz: Kurzpapiere Nr. 4 bis 8 (pdf; Quelle: BayLDA):
Eingestellt von Markus Kastelitz am Dienstag, August 01, 2017 Links zu diesem Post
Labels: Deutschland, DPA, DSGVO, GDPR (DS-GVO)
BRD: Bundesarbeitsgericht zur Überwachung eines Dienstnehmers mittels Keylogger
Der Einsatz eines Software-Keyloggers, mit dem alle Tastatureingaben an einem dienstlichen Computer für eine verdeckte Überwachung und Kontrolle des Arbeitnehmers aufgezeichnet werden, ist nach § 32 Abs. 1 BDSG* unzulässig, wenn kein auf den Arbeitnehmer bezogener, durch konkrete Tatsachen begründeter Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung besteht. [...]
Quelle: BAG Pressemeldung
Labels: BAG, Beschäftigtendatenschutz, Datenschutz, Deutschland, Keylogger
Eingestellt von Markus Kastelitz am Mittwoch, Juni 28, 2017 Links zu diesem Post
Eingestellt von Markus Kastelitz am Freitag, Juni 23, 2017 Links zu diesem Post
Labels: Art 29 Working Party, Beschäftigtendatenschutz, DSGVO, GDPR (DS-GVO), legitimate interests, Zustimmung/Einwilligung
Eingestellt von Markus Kastelitz am Mittwoch, Juni 14, 2017 Links zu diesem Post
Labels: BfDI, Datenschutz, Deutschland
BRD: Leitlinien für die rechtssichere Nutzung von Pseudonymisierungslösungen
Whitepaper zur Pseudonymisierung der Fokusgruppe Datenschutz (pdf) - Leitlinien für die rechtssichere Nutzung von Pseudonymisierungslösungen unter Berücksichtigung der Datenschutz-Grundverordnung
- Rechtliche Analyse der Vorgaben der DS-GVO für die Pseudonymisierung
- Darstellung von Verfahren und technisch-organisatorischen Anforderungen an die Pseudonymisierung mit Beispielen zur Umsetzung von Verfügbarkeitsanforderungen
- Darstellung von Anwendungsszenarien (Entertain TV, Direktmarketing, medizinische Forschungsprojekte)
Quelle: Pressemeldung BMI
Labels: Deutschland, DSGVO, GDPR (DS-GVO), Gesundheitswesen, medical research, Pseudonymisierung
OGH: Zum Schutz juristischer Personen vor Videoüberwachung etc.
[...] 2. Der Beklagte richtet in seiner Revision das Hauptaugenmerk auf den Umstand, dass es sich bei Erst-, Zweit- und Drittklägerin um juristische Personen handelt, auf die die Rechtsprechung zum verbotenen Überwachungsdruck nicht angewendet werden könne. Dem kann jedoch in der hier gegebenen Sachverhaltskonstellation nicht gefolgt werden:
In all diesen Fällen kann es aber nicht von Bedeutung sein, ob es sich beim Vermieter, Liegenschaftseigentümer oder Arbeitgeber um eine natürliche oder eine juristische Person handelt, geht es doch um den Schutz der betroffenen natürlichen Personen. Aus dieser Rechtsprechung lässt sich der Grundsatz ableiten, dass (unter anderem) einem Liegenschaftseigentümer ein Klagerecht auch primär im Interesse der Nutzer (Mieter, Dienstnehmer) der Liegenschaft eingeräumt ist. Da insoweit keine unmittelbare persönliche Betroffenheit gefordert wird, kommt es auf die Fähigkeit der juristischen Person, Überwachungsdruck zu erleben, nicht mehr entscheidend an. [...]
Eingestellt von Markus Kastelitz am Freitag, Juni 09, 2017 Links zu diesem Post
Labels: juristische Person, OGH, Videoüberwachung
OLG Graz: Zur Löschung von E-Mail-Adressen bei der Auflösung einer Kanzleigemeinschaft (§ 43 ABGB; § 9 UWG)
OLG Graz 14. 9. 2016, 5 R 129/16 d
Erste Judikatur zu der Frage, wie im Falle der Auflösung einer Kanzleigemeinschaft mit alten E-Mail-Accounts der ausscheidenden Rechtsanwälte zu verfahren ist.
Quelle: Anwaltsblatt 06/2017, 386 f (pdf)
Labels: ABGB, E-Mail, OLG Graz, UWG
Study: An assessment of the Commission’s Proposal on Privacy and Electronic Communications
Study, An assessment of the Commission’s Proposal on Privacy and Electronic Communications (PE 583.152; pdf), Authors: Dr. Frederik ZUIDERVEEN BORGESIUS (project leader and editor), Dr. Joris VAN HOBOKEN, Ronan FAHY, Dr. Kristina IRION, Max ROZENDAAL. This research paper was requested by the European Parliament’s Committee on Civil Liberties, Justice and Home Affairs, and was commissioned, overseen and published by the Policy Department for Citizens’ Rights and Constitutional Affairs.
This study, commissioned by the European Parliament’s Policy Department for Citizens’ Rights and Constitutional Affairs at the request of the LIBE Committee, appraises the European Commission’s proposal for an ePrivacy Regulation. The study assesses whether the proposal would ensure that the right to the protection of personal data, the right to respect for private life and communications, and
related rights enjoy a high standard of protection. The study also highlights the proposal’s potential benefits and drawbacks more generally.
Eingestellt von Markus Kastelitz am Donnerstag, Juni 08, 2017 Links zu diesem Post
Labels: Datenschutz, ePrivacy, LIBE
Eingestellt von Markus Kastelitz am Mittwoch, Juni 07, 2017 Links zu diesem Post
For my legal GDPR memory: Commission expert group on the Regulation (EU) 2016/679 and Directive (EU) 2016/680 (E03461)
Excerpt from the minutes of its meeting on 14 February 2017:
"As regards further processing (Article 5(1)(b) and Article 6(4)) COM underlined the approach of the GDPR:
- compatible processing is possible on contract, legitimate interests and vital interests
- compatible processing is on the same legal basis and by the same controller
- no compatibility test possible if the initial processing takes place on the basis of consent or law
- Art 6(4) is not an opening clause"
Eingestellt von Markus Kastelitz am Donnerstag, Juni 01, 2017 Links zu diesem Post
First annual report on the functioning of the EU- ...
EuGH: Gerichtszuständigkeit für Klage gg. Veröffen...
OGH: „Dauerhafter Datenträger“ und E-Banking-Postf...
Art 29 WP: Guidelines on data breach notification ...
EMA: Updated guidance on the publication of clinic...
Österreichische Datenschutzbehörde aktualisiert DS...
Guidelines on Data Protection Impact Assessment: f...
Präsentation: Datenschutz im Gesundheitsbereich (i...
Ö: Datenschutz-Folgenabschätzung für elektronische...
VwGH: Auskunftsrecht und Verschwiegenheitspflichte...
GDD: Datenschutz-Policy-Muster, DSGVO-Accountabili...
Publikation (Vorankündigung): Durchführung einer D...
Norwegian Consumer Council: Report on health devic...
EuGH-Urteil Rs Puskar: Art 7 lit e DSRL ("schwarze...
ULD & DSRI: Vortragsaufzeichnungen verfügbar (DSGV...
EGMR: Überwachung der Internetnutzung am Arbeitspl...
DSGVO-Anpassung: Überblick über den Stand in den M...
Berlin Group: Arbeitspapiere zu E-learning und nac...
UK: New Data Protection Bill: the planned reforms ...
BRD: Studie zur "Eigentumsordnung" für Mobilitätsd...
DSGVO: Deutsche Datenschutzkonferenz veröffentlich...
BRD: Bundesarbeitsgericht zur Überwachung eines Di...