Source: https://360grad.kuemmerlein.de/category/it-recht/
Timestamp: 2018-01-21 02:41:39
Document Index: 38048054

Matched Legal Cases: ['§ 1', 'EuG', 'EuG', 'EuG', 'EuG', '§ 1', 'Art. 4', '§ 1', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 99']

Kümmerlein 360° | Informationstechnologie
17. November 2016 /0 Kommentare/in Allgemein, Datenschutz, Informationstechnologie /von Jens Nebel, LL.M.
27. September 2016 /0 Kommentare/in Allgemein, Datenschutz, Informationstechnologie /von Jens Nebel, LL.M.
Wie es in der Pressemitteilung der Behörde heißt, seien Facebook und WhatsApp zwei selbstständige Unternehmen. Nachdem Facebook WhatsApp vor zwei Jahren erworben habe, hätten die Unternehmen zugesichert, dass die Daten der Nutzer nicht ausgetauscht würden. Der Datenschützer wirft den Anbietern eine Irreführung der Nutzer und der Öffentlichkeit sowie einen Verstoß gegen das deutsche Datenschutzrecht vor.
Hier liegt allerdings bereits der sprichwörtliche Hase im Pfeffer. Denn zu allererst stellt sich die Frage: Ist deutsches Datenschutzrecht überhaupt anwendbar? Der Dienst Facebook wird zumindest in Europa von der Facebook Ireland Ltd. mit Sitz in Dublin angeboten. Gemäß § 1 Abs. 5 des Bundesdatenschutzgesetzes (BDSG) findet deutsches Datenschutzrecht jedoch keine Anwendung, sofern eine in einem anderen Mitgliedsstaat der Europäischen Union belegene verantwortliche Stelle personenbezogene Daten im Inland erhebt, verarbeitet oder nutzt, es sei denn, dies erfolgt durch eine Niederlassung im Inland. Dem Wortlaut des Gesetzes folgend käme eine Anwendung deutschen Datenschutzrechts somit nur in Betracht, soweit die Datenerhebung und -speicherung „durch eine Niederlassung“ in Deutschland erfolgt.
EuGH-Urteil wenig hilfreich
Die Pressemitteilung lässt vermuten, dass der Hamburger Datenschützer Letzteres annimmt. Denn er verweist auf die deutsche Facebook-Niederlassung in Hamburg, die das deutschsprachige Werbegeschäft betreibt. Caspar beruft sich auf das Urteil des EuGH vom 28.07.2016, in dem das Gericht über Vorlagefragen in einem Verfahren zwischen Amazon und dem österreichischen Verein für Konsumenteninformation zu befinden hatte (Rechtssache C-191/15). Darin verweist der EuGH allerdings im wesentlichen nur auf das maßgebliche Kriterium, ob die Tätigkeit „im Rahmen der Tätigkeiten“ der Niederlassung ausgeübt werde. Wann dies der Fall ist, verrät das von Caspar angeführte EuGH-Urteil nicht.
Kriterium der engsten Verbindung
Diese Frage wurde indes bereits vom Verwaltungsgericht Hamburg analysiert, das am 3. März diesen Jahres eine Verfügung des Hamburgischen Datenschutzbeauftragten gegen Facebook zur Klarnamenpflicht kassiert hatte. Darin kam das VG mit einer überzeugenden Begründung zum Ergebnis, dass § 1 Abs. 5 BDSG, der auf Art. 4 Abs. 1 lit. a der Datenschutzrichtlinie 95/46/EG zurückgeht, bei grenzüberschreitenden Sachverhalten auch als Kollisionsnorm zwischen den Rechtsordnungen der verschiedenen Mitgliedsstaaten fungiert. Denn auch wenn man die deutsche Facebook-Dependance als Niederlassung im Sinne von § 1 Abs. 5 BDSG qualifiziert, läge zumindest auch eine Verantwortlichkeit der irischen Facebook-Niederlassung nahe. In einem solchen Fall sei das Recht (und nur das Recht) derjenigen Niederlassung anzuwenden, die zu der Datenverarbeitung die engste Verbindung aufweist. Das OVG Hamburg hat die Entscheidung in der Sache bestätigt, allerdings auf die ungeklärte Rechtslage und das Fehlen einer verlässlichen Prognose über deren Beantwortung verwiesen (weitergehend musste sich das OVG in seiner Eilentscheidung mit der Rechtslage nicht befassen, weil es schon die ungeklärte Rechtslage als ausreichend ansah, um die aufschiebende Wirkung des Widerspruches von Facebook wiederherzustellen, nachdem die Behörde den Sofortvollzug angeordnet hatte). Wie das VG Hamburg argumentierte auch der Generalanwalt in seinen Schlussanträgen in dem von Johannes Caspar angeführten EuGH-Verfahren (Tz. 125):
Im vorliegenden Fall geht es hingegen darum, welches von mehreren nationalen Rechten, mit denen die Richtlinie umgesetzt wurde, auf die in den streitigen Klauseln vorgesehenen Datenverarbeitungsvorgänge Anwendung finden soll. Dabei ist die Niederlassung zu bestimmen, im Rahmen von deren Tätigkeiten diese Vorgänge am unmittelbarsten erfolgen.
Der EuGH hat in seiner Entscheidung dann allerdings leider darauf verzichtet, diese – oder eine andere – Richtschnur im Urteil aufzugreifen.
Es erscheint fraglich, ob sich die Hamburgische Datenschutzbehörde mit der Entscheidung einen Gefallen tut. Zwar war die Behörde zunächst – beflügelt durch die weite Auslegung des Begriffes „im Rahmen der Tätigkeiten einer Niederlassung“ im mittlerweile berühmten Google Spain-Urteil des EuGH – davon ausgegangen, dass jede Niederlassung im Inland zugleich die Anwendbarkeit deutschen Datenschutzrechts bewirkt. Dabei verkennt die Behörde aber einen gravierenden Unterschied: Während die Google Spain-Entscheidung mit einer weiten Auslegung des Niederlassungsbegriffs operiert, um überhaupt das europäische Datenschutzrecht zur Anwendung bringen zu können, geht es im vorliegenden Fall um den Konflikt zweier innerstaatlicher Rechte, die jeweils – lediglich – der Umsetzung der vollharmonisierend wirkenden Datenschutzrichtlinie 95/46/EG (EuGH) dienen. Es ist also keineswegs so, dass die Betroffenen WhatsApp-Nutzer hier schutzlos gestellt wären. Vielmehr wird sich sehr wohl die Frage nach der Rechtmäßigkeit der Übermittlung personenbezogener Daten an WhatsApp stellen – nur eben nicht auf Basis des deutschen, sondern des irischen Datenschutzrechts. Denn es ist verhältnismäßig naheliegend, dass eine wesentlich engere Verbindung dieses Vorgangs zur irischen Facebook-Niederlassung bestehen wird, die für den Facebook-Dienst und damit die Datenverwendung verantwortlich ist, wenn zugleich die deutsche Niederlassung lediglich Werbung verkauft. Es ist daher anzunehmen, dass der Bescheid des Hamburgischen Datenschutzbeauftragten eher in die Rubrik der Symbolpolitik einzusortieren ist. Rechtlich wird die Verfügung voraussichtlich ohne Wirkung bleiben. Es bleibt freilich abzuwarten, wie sich die irische Datenschutzbehörde zu dem Thema positionieren wird.
2. August 2016 /0 Kommentare/in Allgemein, Datenschutz, Informationstechnologie /von Jens Nebel, LL.M.
Die etwas provokative Frage hat einen ernsten Hintergrund: Denn während der Gesetzgeber das Datenschutzrecht unlängst drastisch „nachgeschärft“ hat (EU-Datenschutz-Grundverordnung), scheint Datenschutz für den Betroffenen eine zunehmend geringere Rolle zu spielen. Subjektiv beschleicht einen dieses Gefühl schon seit Längerem. Während mancher Datenschützer die Verarbeitung personenbezogener Daten mitunter als Werk des Teufels anzusehen scheint, interessiert das die Nutzer sozialer Medien zunehmend wenig. Mitunter findet sich der Alltag des Einzelnen minutiös dokumentiert auf Facebook, Twitter & Co. – einschließlich Bewegungsprofil, kulinarischen und sonstigen Vorlieben.
Schokolade gegen Passwort
Vor diesem Hintergrund verwundert also nicht, worüber SPIEGEL Online nun berichtet: In einer Studie waren knapp 50% der Teilnehmer dazu bereit, ihr Passwort herauszugeben, wenn ihnen zuvor eine Tafel Schokolade(!) geschenkt wurde. Die Autoren der Studie schlussfolgern:
Sie zeigen, dass viele von uns den Herausforderungen unseres Informationszeitalters noch nicht gewachsen sind. Deshalb muss das Wissen um Gefahren und Konsequenzen unseren digitalen Handelns in den Fokus unserer gesellschaftlichen Mediendebatte rücken.
Diese Schlussfolgerung verwundert indes. Denn an öffentlicher Debatte um die Folgen digitalen Handelns herrscht nun wahrlich kein Mangel. Vielmehr scheint sich bei Vielen schlicht eine gewisse Gleichgültigkeit eingestellt zu haben. So lässt die Studie auch die Schlussfolgerung zu, dass die Probanden der Sicherheit und dem Schutz persönlicher Daten nicht die Bedeutung zumessen, die die Urväter des Bundesdatenschutzgesetzes historisch im Sinn hatten (zu dem Gesetzesmaterialien hier). Wenn man so will, entfernt sich der Regulierungsansatz des Gesetzgebers von dem Bedrohungsempfinden derjenigen, die eigentlich geschützt werden sollen. Und wirft die Frage auf, ob es opportun erscheint, einem Betroffenen Schutz aufzudrängen, den dieser offenbar gar nicht (mehr) für notwendig erachtet.
Misstrauen in die Privatautonomie
Dahinter steckt in Wahrheit eine gehörige Portion Misstrauen in die Privatautonomie des Einzelnen, die doch eigentlich durch das Grundrecht auf informationelle Selbstbestimmung gestärkt werden soll. Der Gesetzgeber glaubt – nicht zum ersten Mal – besser zu wissen, welchen Schutz vor Datenverarbeitung der Bürger benötigt. Die Ergebnisse der Studie zeigen, dass mehr Regulierung nicht unbedingt mehr Schutz und Sicherheit bedeutet, sondern auch zu Ermüdungserscheinungen führen kann. Dem Gesetzgeber sollte dies ein Menetekel sein.
15. Juli 2016 /0 Kommentare/in Datenschutz, Gesellschaftsrecht, Informationstechnologie, Unternehmenstransaktionen /von Jens Nebel, LL.M.
Die Verordnung (EU) 2016/679 des Europäischen Parlamentes und Rates vom 27.4.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO) ist am 25.5.2016 in Kraft getreten. Ihre Regelungen gelten ab dem 25.5.2018 (Art. 99 DSGVO). Damit stellt sich – wie in vielen Bereichen – auch für Unternehmensverkäufe die Frage nach den Auswirkungen. Denn würden sich die datenschutzrechtlichen Vorgaben unter der Datenschutz-Grundverordnung verschärfen, könnte dies Anlass genug sein, eine Unternehmenstransaktion möglichst noch vor Wirksamwerden der neuen Vorschriften abzuwickeln. Der vorliegende Beitrag geht der Frage nach, unter welchen Voraussetzungen der Veräußerer eines Unternehmens im Wege des Asset Deals heute und nach dem ab 2018 geltenden Recht die Möglichkeit hat, zum Vollzug der Transaktion personenbezogene Daten über seinen Kundenstamm – als Bestandteil des Unternehmens oder isoliert – in zulässiger Weise an den Erwerber weiterzugeben.
Dieser Frage gehe ich in einem Fachaufsatz in der heute erschienen Ausgabe der Computer und Recht nach (CR 2016, 417-424).
12. Juli 2016 /0 Kommentare/in Datenschutz, Informationstechnologie /von Jens Nebel, LL.M.
Zwar wirft die Datenschutz-Grundverordnung ihre Schatten voraus. Gleichwohl ist bis Mai 2018 noch das Bundesdatenschutzgesetz „Trumpf“. Die für die Auslegung relevanten Gesetzgebungsmaterialien haben wir hier für Sie zum Download zusammengestellt:
Gesetzentwurf der Bundesregierung vom 21.09.1973 (BT-Drs. 7/1027):
BT-Drs-7-1027
Bericht und Antrag des Innenausschusses vom 02.06.1976 (BT-Drs. 7/5277):
BT-Drs-7-5277
Gesetzentwurf der Bundesregierung vom 06.04.1989 (BT-Drs. 11/4306):
BT-Drs-11-4306
Beschlussempfehlung und Bericht des Innenausschusses vom 29.05.1990 (BT-Drs. 11/7235):
BT-Drs-11-7235
Beschlussempfehlung des Vermittlungsausschusses vom 14.09.1990 (BT-Drs. 11/7843):
BT-Drs-11-7843
Beschluss des Bundesrates vom 20.09.1990 (BR-Drs. 621/90):
BR-Drs-621-90
Gesetzentwurf der Bundesregierung vom 13.10.2000 (BT-Drs. 14/4329):
BT-Drs-14-4329
Beschlussempfehlung und Bericht des Innenausschusses vom 04.04.2001 (BT-Drs. 14/5793):
BT-Drs-14-5793
Beschluss des Bundesrates vom 20.04.2001 (BR-Drs. 279/01):
BR-Drs-279-01
BDSG 2009 – Novelle I
Gesetzentwurf der Bundesregierung vom 10.10.2008 (BT-Drs. 16/10529):
BT-Drs-16-10529
Beschlussempfehlung und Bericht des Innenausschusses vom 27.05.2009 (BT-Drs. 16/13219):
BT-Drs-16-13219
BDSG 2009 – Novelle II
Gesetzentwurf der Bundesregierung vom 18.02.2009 (BT-Drs. 16/12011):
BT-Drs-16-12011
Beschlussempfehlung und Bericht des Innenausschusses vom 01.07.2009 (BT-Drs. 16/13657):
BT-Drs-16-13657
BDSG 2009 – Novelle III
Gesetzesbeschluss des Bundestages vom 03.07.2009 (BR-Drs. 639/09):
BR-Drs-639-09
BDSG 2009 – Novelle 2014
Gesetzentwurf der Bundesregierung vom 13.10.2014 (BT-Drs. 18/2848):
BT-Drs-18-2848
Beschlussempfehlung und Bericht des Innenausschusses vom 17.12.2014 (BT-Drs. 18/3598):
BT-Drs-18-3598
Ungekürzte Wiedergabe. Die Drucksachen entstammen der Parlamentsdokumentation des Deutschen Bundestages, Platz der Republik 1, 11011 Berlin.