Source: https://www.delegedata.de/2020/01/
Timestamp: 2020-07-15 05:36:31
Document Index: 96209387

Matched Legal Cases: ['Art. 27', 'Art. 27', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 15', 'Art. 12', 'Art. 15', 'Art. 15', 'Art. 12', 'Art. 15']

de lege data | Archives | 2020 | Januar ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Posted in Datenschutzbehörde, Datenschutzrecht, Internet	| 1 Comment |
Posted in Datenschutz-Grundverordnung, Datenschutzbehörde, Datenschutzrecht, Europa, Gesetze	| Leave a comment |
Protokoll der letzten DSK-Sitzung: Sprachassistenz-Systeme, Webseitenprüfung bei Medienunternehmen und mehr
Posted on 23. Januar 2020 by Carlo Piltz
Die Datenschutzkonferenz („DSK“) hat auf ihrer Webseite das Protokoll der letzten Sitzung vom 6. Und 7. November 2019 veröffentlicht (PDF). Auch dieses Mal sind wieder einige interessante und praxisrelevante Informationen enthalten. Nachfolgend einige der dort behandelten Themen.
Entschließung: Transkriptionen durch Anbieter von Sprachassistenz-Systemen
Die DSK arbeitet aktuell an einer Entschließung zu Sprachassistenz-Systemen. Die Behörde aus Hamburg stellt dar, dass das Thema bereits auf europäischer Ebene diskutiert wurde. Zwar wurde offensichtlich ein Entschließungsentwurf vorgelegt, jedoch gab es seitens der Aufsichtsbehörden eine Reihe von Änderungswünschen. Daher beschloss die DSK die vorgelegte Entschließung im Umlaufverfahren abzustimmen. Wir werden also wohl hoffentlicher in naher Zukunft zu diesem durchaus relevanten Thema eine erste Orientierung aus Sicht der Behörden erhalten. Relevant ist dieses Thema vor allem, weil immer mehr Geräte und zB auch Fahrzeuge mit einer Sprachsteuerung ausgestatte sind.
Vertreter von Unternehmen in Deutschland nach Art. 27 DSGVO
Auch an diesem Thema arbeitet die DSK. Die Arbeitskreise Grundsatz und Internationaler Verkehr sollen ein Positionspapier zu Art und Umfang der einem Vertreter nach Art. 27 DSGVO obliegenden Aufgaben erstellen. Diese Position dürfte dann vor allem für Anbieter der Tätigkeit als Vertreter sein, aber auch für Unternehmen außerhalb der EU, die einen Vertretet in Deutschland benennen möchten (oder evtl. müssen).
Tracking bei Presseportalen
Interessant finde ich die Informationen unter TOP 19. Die Aufsichtsbehörde aus Hamburg informiert, dass bei ihr eine steigende Zahl von Beschwerden hinsichtlich des Einsatzes von Trackingtools auf Presseportalen zu verzeichnen sei. Von Hamburg initiierte und bereits stattgefundene Gespräche mit den entsprechenden Verbänden ließen bislang allerdings wenig Bereitschaft erkennen, hinsichtlich einer Änderung dieser Praxis auf die Mitgliedsunternehmen einzuwirken. Die Behörde aus Niedersachsen berichtet zudem, dass im Arbeitskreis Medien der DSK bereits deutlich wurde, dass die Gesprächsreihe nicht fortzusetzen ist.
Und dann: „Es soll nun die bereits geplante, koordinierte Webseitenprüfung bei Medienunternehmen begonnen werden, an der sich voraussichtlich 11 Länder beteiligen werden“.
Dies bedeutet, dass sich Medienunternehmen, also wohl vor allem Verlage, aber evtl. auch Betreiber von Fernsehsendern, darauf vorbereiten sollten, dass ihre digitalen Angebote durch die Behörden im Rahmen eines koordinierten Vorgehens geprüft werden. Schwerpunkt hierbei scheint das Thema „Tracking“ (also wohl der Einsatz von Cookies, Pixeln und ähnlichen Technologien) auf den Webseiten und Apps zu sein.
Bericht der Taskforce Facebook Fanpages
Zudem gibt es eine kleine Information dazu, wie innerhalb der DSK hinsichtlich des Themas „Fanpages“ weitergearbeitet werden soll. Die Behörde aus Schleswig-Holstein stellt dar, dass die Gründe der Entscheidung des BVerwG vom 11.09.2019 noch nicht vorliegen (Anmerkung von mir: diese liegen mittlerweile vor).
Die Taskforce innerhalb der DSK werde in Kürze erneut zusammenkommen, um:
das von Facebook aktualisierte Addendum auszuwerten
eine Bewertung der Antworten auf die ausgesendeten Fragenkataloge vorzunehmen
eine Bewertung laufender Verfahren (insbesondere Fashion ID und Wirtschaftsakademie) vorzunehmen
eine Abstimmung über das weitere Vorgehen vorzunehmen
Posted in Datenschutz-Grundverordnung, Datenschutzbehörde, Datenschutzrecht, Facebook, Internet	| Leave a comment |
Posted in Datenschutz-Grundverordnung, Datenschutzrecht, Gesetze, LAG, Landesdatenschutz, Rechtsprechung	| Leave a comment |
Posted on 7. Januar 2020 by Carlo Piltz
Was passiert, wenn eine betroffene Person keine bzw. keine aus ihrer Sicht richtige Auskunft nach Art. 15 DSGVO erhält? Man mag initial an ein Bußgeld durch eine Datenschutzbehörde denken. Das ist sicher ein Risiko. Daneben besteht für Betroffene aber auch noch die Möglichkeit, die datenverarbeitende Stelle vor einem Zivilgericht in Anspruch zu nehmen. Diesen Fall hatte das Amtsgericht Wertheim zu entscheiden.
Und das Ergebnis (Beschluss vom 12.12.2019 – 1 C 66/19; aktuell noch nicht öffentlich abrufbar, bei BeckOnline unter BeckRS 2019, 33192; dejure wird informiert): die Verhängung eines Zwangsgeldes in Höhe von 15.000 EUR (ersatzweise für je 500 EUR ein Tag Zwangshaft) gegen das auskunftspflichtige Unternehmen.
Dem nun veröffentlichten Beschluss ging ein Klageverfahren voraus, welches mit einem Anerkenntnisurteil endete (Anerkenntnisurteil vom 27.05.2019 – 1 C 66/19). Dort wurde die Beklagte verurteilt, Auskunft über die personenbezogenen Daten des Klägers bei der Beklagten zu erteilen und die Informationen nach Art. 15 Abs. 1 DSGVO mitzuteilen.
Nach Ansicht des AG hat die Schuldnerin diese Handlung nicht vollständig ausgeführt. Sie habe insbesondere die Auskunft hinsichtlich Art. 15 Abs. 1 lit. g) DSGVO („wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten“) nicht vollständig erteilt. Die Schuldnerin habe dem Antragsteller nicht alle verfügbaren Informationen über die Herkunft der bei ihr verarbeiteten Daten mitgeteilt.
Das AG begründet seinen Beschluss im Grunde mit einem Verstoß gegen Art. 15 Abs. 1 DSGVO.
Die Auskunft Art. 15 DSGVO ist gemäß Art. 12 DSGVO in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Es war wohl umstritten, ob eine solche Auskunft bereits erteilt wurde bzw. als Schriftstück übergeben wurde. Jedenfalls erfüllte dieses Schriftstück nicht die Erfordernisse des Art. 15 DSGVO. Zum einen sei es offensichtlich nicht vollständig, darüber hinaus sei es inhaltlich falsch.
Das AG befasst sich sodann mit Art. 15 Abs. 1 lit. g DSGVO. Die Frage nach der Herkunft der Daten, werde hier nicht in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ beantwortet. Das AG verweist hierzu auch auf die Anforderungen des Art. 12 Abs. 1 DSGVO. In dem Schriftstück wurde eine „Firma U. P. GmbH“ lediglich in Klammern und mit Zusatz „z.B.“ genannt. Der Leser des Schriftstücks könne daraus die Schlussfolgerung ziehen, dass die Daten des Beklagten von der Fa. U. P. GmbH übermittelt wurden, muss das jedoch nicht. Das bedeutet, dass das AG durch den Zusatz „z.B.“ eine unklare Auskunftserteilung annimmt. Der Betroffene wisse daher nicht, ob Daten wirklich von diesem Unternehmen übermittelt wurden.
Dies ist meines Erachtens die erste praxisrelevante Aussage des Gerichts.
Zweitens geht das AG davon aus, dass eine Auskunft über personenbezogene Daten grundsätzlich auch die Auskunft darüber umfasst,
welche konkreten personenbezogenen Daten (also nicht nur die Auskunft, dass ein Name und dass ein Geburtsdatum gespeichert wurde, sondern auch welcher Name, welches Geburtsdatum, etc.) gespeichert sind bzw. verarbeitet werden.
Die Mitteilung aller verfügbaren Informationen über die Herkunft der Daten umfasse daher – soll sie vollständig sein – nicht nur die Mitteilung von wem die Daten übermittelt wurden,
sondern auch wann und mit welchem Inhalt personenbezogene Daten übermittelt wurden. Dies ergibt sich nicht aus dem genannten Schriftstück.
Zum einen verlangt das AG also, dass im Rahmen der Auskunft nach Art. 15 Abs. 1 DSGVO nicht nur Datenarten oder -kategorien genannt werden. Sondern die konkret verarbeiteten Daten selbst. Diese Ansicht ist meines Erachtens ebenfalls praxisrelevant, wenn auch nicht besonders überraschend.
Sehr streng ist aber die Auffassung des AG, dass die Auskunft dann auch Angaben dazu enthalten muss, „wann“ personenbezogene Daten an das auskunftspflichtige Unternehmen übermittelt wurden und welchen Inhalt diese konkret hatten. Dies würde für die Praxis und ein internes Datenschutz-Management bedeuten, dass nicht nur nachvollzogen werden können muss, welche Daten von wem an das Unternehmen gingen, sondern auch wann dies konkret erfolgte. Man müsste also zusätzlich Datumsangaben zu jedem personenbezogenen Datum hinzuspeichern.
Daneben wurde wohl in dem Schriftstück auch mitgeteilt, dass „zum Namen Ihres Mandanten weitere personenbezogenen Daten gespeichert sind, die sich jedoch nicht auf ihn beziehen, sondern denen ein Betrugsfall zugrunde liegt.“ Diese weiteren Daten enthielten aber wohl auch ein Geburtsdatum, womit es sich auch bei diesen Daten um personenbezogene Daten, nicht lediglich um Daten, die sich auf eine Bestellung bzw. einen Betrugsfall beziehen, handelte.
Die Entscheidung des AG ist zum Teil sehr streng und man kann sicherlich diskutieren, ob etwa die Anforderung, dass auch Zeitangaben zu speichern und zu beauskunften sind, wann Daten bei einem Unternehmen eingegangen sind. Eventuell kann man dies an dem Merkmal “alle verfügbaren Informationen” festmachen. Dazu müsste das Datum aber ja schon verfügbar sein (also gespeichert sein). Ob diese Anforderung aber als Grundlage der Speicherung des Datums (Tag, Uhrzeit oö) dienen kann, erscheint meines Erachtens fraglich.
Posted in Auskunft, Datenschutz-Grundverordnung, Datenschutzrecht, Gesetze, Rechtsprechung	| 1 Comment |