Source: https://legalmemory.blogspot.com/2016/02/
Timestamp: 2017-12-13 05:08:53
Document Index: 145290207

Matched Legal Cases: ['Art 29', 'EuG', 'BGH', '§ 3', 'EuG', '§ 91', 'EuG', 'Art. 2', 'Art. 7', 'EuG', 'Art. 29', 'Art 29', 'OGH', 'OGH', '§ 7', 'OGH', 'Art 29']

My digital (legal) memory ...: Februar 2016
European Commission publishes details on "EU-U.S. Privacy Shield" (updated)
The European Commission today issued a Communication summarising the actions taken to restore trust in transatlantic data flows since the 2013 surveillance revelations. [...]
Today, the Commission also published a draft "adequacy decision" as well as the texts that will constitute the EU-U.S. Privacy Shield. This includes the Privacy Shield Principles companies have to abide by. Moreover, the Commission makes public the U.S. Government's written commitments on the enforcement of the arrangement. [...]
Annexes: Annex 1, Annex 2, Annex 3, Annex 4, Annex 5, Annex 6, Annex 7
Update 02.03.2016: Article 29 Data Protection Working Party - Statement on the presentation by the European Commission of the EU – US Privacy Shield: [...]:
The assessment of the Working Party will be conducted, inter alia, in light of the Court of Justice of the European Union’s decision of 6 October 2015 in the Schrems case1, the European jurisprudence on fundamental rights2, the letter of the Working Party to the European Commission on Safe Harbour of 10 April 20143 and the Working Party’s Working Document on transfers of personal data to third countries.4
Eingestellt von Markus Kastelitz am Montag, Februar 29, 2016 Links zu diesem Post
Labels: Art 29 Working Party, EU, EU-US Privacy Shield, EUDataP, Global Data Transfers, USA
Schweiz: Schlussbericht über die datenschutzrechtliche Prüfung eines Kundenbindungsprogramms
Im Rahmen einer Nachkontrolle hat der EDÖB die Datenflüsse im Zusammenhang mit der Coop Supercard analysiert und die Einhaltung der datenschutzrechtlichen Vorgaben überprüft. Ihm hat sich ein positives Gesamtbild der Datenbearbeitung präsentiert. Der vorliegende Schlussbericht [pdf] enthält verschiedene Anpassungsvorschläge, welche Coop alle angenommen hat.
Aus dem Bericht: "Im Rahmen des Kundenbindungsprogramms Supercard werden Personendaten von einem Grossteil der Schweizer Bevölkerung (es bestehen etwa drei Mio. Supercard-Konten) bearbeitet."
Eingestellt von Markus Kastelitz am Freitag, Februar 26, 2016 Links zu diesem Post
Labels: Datenschutz, DPA, EDÖB, Kundenkarte, Schweiz
Eingestellt von Markus Kastelitz am Donnerstag, Februar 25, 2016 Links zu diesem Post
Dt. Bundestag: Anhörung zur Datenschutz-Grundverordnung (mit Österreich-Bezug: Dr. Kotschy)
Aufzeichnung der Anhörung des BT-Ausschusses Digitale Agenda vom 24. Februar 2016 zu den Auswirkungen der EU-Datenschutzregelungen u.a. mit dem ehem. Leiterin geschäftsführenden Mitglied der österr. Datenschutzkommission, Fr. Dr. Kotschy.
Quelle: Dt. Bundestag; schriftliche Stellungnahmen
Zitat Prof. Roßnagel: "... Das Hauptproblem der Datenschutz-Grundverordnung liegt vor allem in der hohen Diskrepanz zwischen der enormen Komplexität des Regelungsbedarfs einerseits und der Abstraktheit und damit Unterkomplexität ihrer Vorschriften andererseits. ..."
P.S.: Der Deutsche Bundestag stellt seit Donnerstag, 18. Februar 2016, Gutachten und Ausarbeitungen der Wissenschaftlichen Dienste auf seiner Internetseite öffentlich zur Verfügung.
Labels: BRD, GDPR (DS-GVO), Parlament
EuGH: Verhandlung u.a. zur Frage der Qualifizierung einer IP-Adresse als personenbezogenes Datum
Rs C-582/14 - Vorabentscheidungsersuchen des Bundesgerichtshofs (Deutschland) eingereicht am 17. Dezember 2014 - Patrick Breyer gegen Bundesrepublik Deutschland
Am 25.02.2016 findet die mündliche Verhandlung in diesem interessanten Verfahren statt, das hoffentlich den langen Meinungsstreit löst, ob bzw. unter welchen Umständen eine IP-Adresse ein personenbezogenes Datum darstellen kann, was der BGH zuletzt en passant bejaht hatte: "Personenbezogene Daten im Sinne des § 3 Abs. 1 BDSG sind unter anderem die IP-Adressen, weil der Access-Provider einen Bezug zwischen den IP-Adressen und der Person des Nutzers herstellen kann (vgl. EuGH, GRUR 2012, 265 Rn. 51 - Scarlet/SABAM; Braun in Geppert/Schütz, Beckscher TKG-Komm., 3. Aufl., § 91 Rn. 16; Kropp aaO S. 164).
Eine umfassende Besprechung des Vorabentscheidungsersuchens ist hier (englisch) und direkt beim Kläger (Prozessdokumentation u.a. inkl. der österr. Stellungnahme im EuGH-Verfahren, wonach eine IP-Adresse grds. ein personenbezogenes Datum ist) zu finden.
Ist Art. 2 Buchstabe a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr1 – Datenschutz-Richtlinie – dahin auszulegen, dass eine Internetprotokoll-Adresse (IP-Adresse), die ein Diensteanbieter im Zusammenhang mit einem Zugriff auf seine Internetseite speichert, für diesen schon dann ein personenbezogenes Datum darstellt, wenn ein Dritter (hier: Zugangsanbieter) über das zur Identifizierung der betroffenen Person erforderliche Zusatzwissen verfügt?
Steht Art. 7 Buchstabe f der Datenschutz-Richtlinie einer Vorschrift des nationalen Rechts entgegen, wonach der Diensteanbieter personenbezogene Daten eines Nutzers ohne dessen Einwilligung nur erheben und verwenden darf, soweit dies erforderlich ist, um die konkrete Inanspruchnahme des Telemediums durch den jeweiligen Nutzer zu ermöglichen und abzurechnen, und wonach der Zweck, die generelle Funktionsfähigkeit des Telemediums zu gewährleisten, die Verwendung nicht über das Ende des jeweiligen Nutzungsvorgangs hinaus rechtfertigen kann?
Eingestellt von Markus Kastelitz am Dienstag, Februar 23, 2016 Links zu diesem Post
Labels: BRD, Datenschutz, EuGH, IP-Adresse
Opinion: EU-US Umbrella agreement incompatible with primary EU law
http://statewatch.org/news/2016/feb/ep-legal-opinion-umbrella.pdf
Eingestellt von Markus Kastelitz am Montag, Februar 15, 2016 Links zu diesem Post
Labels: EUDataP, Global Data Transfers, USA
UK: Science and Technology Committee issues report entitled "The big data dilemma"
House of Commons, Science and Technology Committee: The big data dilemma (pdf; html version here), Fourth Report of Session 2015–16.
It contains a brief assessment of "Big Data" under the coming GDPR on page 35 et seq.
Labels: Big Data, Datenschutz, GDPR (DS-GVO), UK
BRD: Forschungsbericht "Smart-TV und Privatheit - Bedrohungspotenziale und Handlungschancen"
Forschungsbericht "Smart-TV und Privatheit - Bedrohungspotenziale und Handlungschancen" (pdf) des "Forum Privatheit und selbstbestimmtes Leben in der Digitalen Welt":
[...] Der vorliegende Beitrag richtet sich vor allem an juristische Berater und technische Entwickler. Hierbei wird ein Überblick über die Chancen und wachsenden Möglichkeiten im Bereich Smart-TV gegeben; die damit verbundenen Risiken für die Persönlichkeitsrechte der Nutzenden werden herausgearbeitet. Nach einer Übersicht über den technischen Hintergrund von Smart-TV werden die beteiligten Akteure und Komponenten erläutert. Anschließend werden verschiedene Angreifermodelle und mögliche Angriffsvektoren erörtert. Im Rahmen der grund- und datenschutzrechtlichen Rahmenbedingungen werden Bedrohungsszenarien abgeleitet, die sich für die informationelle Selbstbestimmung der Nutzenden ergeben; außerdem wird die datenschutzrechtliche Zulässigkeit der Datenverarbeitungsvorgänge im Rahmen der Smart-TV-Nutzung geprüft. Anhand des herausgearbeiteten Befundes zeigen die Autorinnen und Autoren schließlich exemplarisch Methoden und Schutzmaßnahmen auf, wie bestehende Smart-TV-Systeme sowohl technisch optimiert als auch rechtlich zulässig gestaltet werden können. Dies erfolgt anhand des „Privacy by Design“-Ansatzes und im Lichte der ausgewählten Datenschutz-Gewährleistungsziele der Nichtverkettbarkeit, der Transparenz und der Intervenierbarkeit. [...]
Labels: Datenschutz, Internet of Things (IoT), SmartTV
UK: Data transfers to the US and Safe Harbor – interim ICO guidance
ICO, Data transfers to the USA and Safe Harbor – interim guidance (dated 10 February 2016; pdf)
[...] As we have been saying from the outset - don’t panic and don’t rush to other transfer mechanisms that may turn out to be less than ideal. The impact of the judgment on standard contractual clauses and binding corporate rules is still being analysed. Of course transfers can always be made on the basis of an individual’s consent but this does not necessarily protect personal data any more effectively than the Safe Harbor which is, after all, what the CJEU case is all about. [...]
Eingestellt von Markus Kastelitz am Freitag, Februar 12, 2016 Links zu diesem Post
Labels: BCR, Clouds, Datenschutz, EU-US Privacy Shield, Safe Harbour Decision, standard contractual clauses
BRD: Orientierungshilfe zur datenschutzgerechten Nutzung von E-Mail und Internet am Arbeitsplatz (mit BV-Mustern)
Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (BRD), Orientierungshilfe der Datenschutzaufsichtsbehörden zur datenschutzgerechten Nutzung von E-Mail und anderen Internetdiensten am Arbeitsplatz (Stand: Januar 2016; pdf):
Die Orientierungshilfe zeigt den datenschutzrechtlichen Rahmen und Regelungsmöglichkeiten der Nutzung des betrieblichen Internet- und E-Mail-Dienstes durch die Beschäftigten auf. Sie soll es den Arbeitgebern und den Beschäftigten erleichtern, eine klare Regelung im Unternehmen zu erreichen, soweit eine private Nutzung des Internets und/oder des E-Mail-Dienstes erlaubt sein soll. Zudem enthält diese Orientierungshilfe ein Muster für eine Betriebsvereinbarung/Richtlinie/Anweisung für die private Nutzung von Internet und/oder des betrieblichen E-Mail Postfachs.
- Muster einer Betriebsvereinbarung für die private Nutzung des Internets
- Muster einer Betriebsvereinbarung für die private Nutzung des Internets und des betrieblichen E-Mail-Postfachs
- Einwilligungserklärung zur privaten Nutzung des betrieblichen Internetzugangs und des betrieblichen E-Mail-Postfachs
Siehe auch die Pressemeldung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Labels: Arbeitsrecht, Beschäftigtendatenschutz, Betriebsvereinbarung, BRD, Datenschutz
Art. 29 WP: Statement on the 2016 action plan for the implementation of the GDPR
Statement on the 2016 action plan for the implementation of the General Data Protection Regulation (GDPR):
As the GDPR is close to adoption, the Article 29 Working Party (WP29) must develop guidelines, tools and procedures to allow the new legal framework to be effective for the first semester of 2018.
The following action plan has been designed for 2016 and aims to draw the priorities for the WP29 in preparing the transition into the new legal framework, in particular the European Data Protection Board (EDPB). [...]
Eingestellt von Markus Kastelitz am Donnerstag, Februar 11, 2016 Links zu diesem Post
Labels: Art 29 Working Party, GDPR (DS-GVO)
Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung) [erste Lesung] – Politische Einigung (pdf; datiert mit 28.01.2016)
Eingestellt von Markus Kastelitz am Donnerstag, Februar 04, 2016 Links zu diesem Post
Eingestellt von Markus Kastelitz am Mittwoch, Februar 03, 2016 Links zu diesem Post
CNIL: Manuals on how to carry out a Privacy Impact Assessment (PIA)
I missed this back in 2015: CNIL has published three manuals (pdf) regarding Privacy Impact Assessments:
Methodology (how to carry out a PIA)
Tools (templates and knowledge bases)
Good practices (2012 edition)
New guides for carrying out PIAs (Privacy Impact Assessments) have been published by the CNIL. The method will help data controllers to implement Privacy by design. [...]
Labels: CNIL, Privacy Impact Assessment (PIA)
OGH: Minderjährige und "ersatzweise" Einwilligung?
OGH 13. 1. 2016, 15 Os 176/15v
Jede (zulässige) Verfügung über eine mediale Veröffentlichung ‑ wie etwa die Zustimmung im Sinn des § 7 Abs 2 Z 3 MedienG ‑ stellt ein höchstpersönliches Recht dar. Für diese gilt der Grundsatz, dass sie mit einer gesetzlichen Vertretung unvereinbar sind. Dieses höchstpersönliche Recht kann weder durch gesetzliche Vertreter oder Sachwalter noch durch das Pflegschaftsgericht ersetzt werden.
Anmerkung: Sofern und soweit diese Entscheidung auch auf die datenschutzrechtliche Zustimmung ausstrahlt (arg "höchstpersönliches Recht"), ist fraglich, ob die Einholung einer Zustimmung (künftig unter der DS-GVO: Einwilligung) bei "zustimmungsunfähigen" Minderjährigen (zB vor Vollendung des 14. Lebensjahres) überhaupt noch möglich ist.
Wobei die DS-GVO in Hinkunft zumindest bei "Onlinediensten" die ersatzweise bzw. "autorisierende" Einwilligung durch einen Erziehungsberechtigten zulässt und eine - bislang in Österreich nicht rechtssicher geklärte - Altersgrenze für die Erlangung (?) der dsr Einwilligungsfähigkeit vorsieht (s Artikel 8 Abs 1: In den Fällen, in denen Artikel 6 Absatz 1 Buchstabe a zur Anwendung kommt, ist die Verarbeitung personenbezogener Daten eines Kindes, dem direkt Dienste der Informationsgesellschaft angeboten werden, bis zum vollendeten sechzehnten Lebensjahr oder, sofern im Recht eines Mitgliedstaats vorgesehen, bis zu einer niedrigeren Altersgrenze, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf, nur rechtmäßig, wenn und insoweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird.).
Update: Der Volltext des Beschlusses ist verfügbar, Verlinkung eingefügt.
Eingestellt von Markus Kastelitz am Dienstag, Februar 02, 2016 Links zu diesem Post
Labels: Datenschutz, GDPR (DS-GVO), Minderjährige, OGH, Zustimmung/Einwilligung
EU-US data protection framework agreed (ex-Safe Harbo[u]r - rebranded "EU-US Privacy Shield")
Live press conference available here. Final text unavailable as the "Adequacy Decision" will be drafted over the coming weeks, to be in force in 3 months at the earliest ...
Update: EU Commission press release, EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield:
"... The College has today mandated Vice-President Ansip and Commissioner Jourová to prepare a draft "adequacy decision" in the coming weeks, which could then be adopted by the College after obtaining the advice of the Article 29 Working Party and after consulting a committee composed of representatives of the Member States. In the meantime, the U.S. side will make the necessary preparations to put in place the new framework, monitoring mechanisms and new Ombudsman. ..."
Update 2: The Article 29 WP will hold a press conference today (3.2.2016, 13:00), livestream here. Baseline: If you are still transferring data under Safe Harbor, you are in breach of EU/national law. BCRs and standard contractual clauses are ok for now, but are under scrutiny ...
According to the Article 29 WP´s chairwoman, Ms Falque-Pierrotin, the WP will publish a statement on the Privacy Shield later this afternoon.
Update 3: Edited text above to reflect that the European Commission has presented documents regarding the "EU-U.S. Privacy Shield".
Labels: Art 29 Working Party, EU-US Privacy Shield, Safe Harbor Agreement, Safe Harbour Decision
Für Datenschutzinteressierte, die "über den Tellerrand" blicken möchten: Prof. Solove hat hier eine Liste englischsprachiger Literatur rund um das Thema Datenschutz/data privacy/security veröffentlicht.
Das Buch "Privacy on the Ground" von Bamberger/Mulligan habe ich bereits bestellt, da es in Hinblick auf die DS-GVO (Stichwort "verpflichtender Datenschutzbeauftragter") und die Weiterentwicklung bzw. den Aufbau einer Datenschutzorganisation in Unternehmen etc. interessant zu sein scheint.
Update: Ich empfehle zudem das schon etwas ältere Buch von Ian Brown "Privacy Engineering - A dataflow and ontological approach" (erscheint angeblich im März 2016 auch als günstige Taschenbuchausgabe) - auch für interessierte Juristen und Juristinnen!
Labels: Datenschutz, Datenschutzliteratur, GDPR (DS-GVO), Privacy, USA
Norwegian Consumer Council screening privacy policies of mobile apps
The Norwegian Consumer Council will analyse terms, including privacy policies and behaviour of 20 mobile apps ["Appfail campaign"]. The purpose is to uncover and analyse potential threats to consumer protection, hidden in plain sight in the end user terms and privacy policies of apps.
The goal is to make consumers more aware of their rights, and at the same time raise the bar for app developers, involve enforcement agencies and make the business models more transparent and consumer friendly. The results will be published this winter and an overall report will be published before Easter. [...]
Source: Norwegian Consumer Council (Forbrukerrådet)
Labels: Apps, Datenschutz, Norway, Verbraucherrechte