Source: https://legalmemory.blogspot.com/2016/
Timestamp: 2018-02-23 12:33:24
Document Index: 295207808

Matched Legal Cases: ['OGH', '§ 7', 'OGH', '§ 7', '§ 7', '§ 7', 'EuG', 'OGH', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 29', 'Art 29', 'OGH', 'OGH', 'OGH', 'EuG', 'Art 3', 'EuG', 'Art. 2', 'Art. 3', 'Art. 7', 'Art. 3', 'Art. 5', 'EuG', 'OGH', 'OGH', '§ 1', '§ 1', '§ 1', '§ 1', '§ 7', '§ 32', '§ 26', 'OGH', '§ 1', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', '§ 28', 'EuG', '§ 26', 'OGH', 'EuG', 'EuG', 'OGH', 'OGH', 'EuG', 'Art 267', 'Art 15', 'EuG', 'Art 16', 'EuG', '§ 90', 'EuG', 'EuG', 'OGH', 'Art. 33', 'Art. 33', 'EuG', 'EuG', 'EuG', 'OGH', 'OGH', 'BGH', '§ 4', '§ 1', 'BGH', 'BGH', 'BGH', 'BGH', '§ 1', '§ 71', 'OGH', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'OGH', '§ 28', 'OGH', '§ 28', '§ 28', '§ 28', 'OGH', '§ 28', 'OGH', '§ 7', 'OGH', '§ 7', '§ 7', 'Art 10', 'Art 10', '§ 32', '§ 7', 'Art 5', 'OGH', 'OGH', 'EuG', 'EuG', 'EuG', 'OGH', '§ 28', 'OGH']

My digital (legal) memory ...: 2016
FDA releases final guidance on Cybersecurity in Medical Devices
Postmarket Management of Cybersecurity in Medical Devices (pdf), Guidance for Industry and Food and Drug Administration Staff Document issued on December 28, 2016, corresponding blog post
Eingestellt von Markus Kastelitz am Mittwoch, Dezember 28, 2016 Links zu diesem Post
Labels: Cybersecurity, FDA, Medical Devices, Medizinprodukt (MPG)
Eingestellt von Markus Kastelitz am Mittwoch, Dezember 21, 2016 Links zu diesem Post
OGH zur Kreditwürdigkeitsprüfung ("Bonitätsprüfung") durch Kreditgeber gem. § 7 Abs 1 und 2 VKrG
OGH 25.11.2016, 8 Ob 76/16h
[...] 2. Nach § 7 Abs 1 und 2 VKrG hat der Kreditgeber vor Abschluss des Kreditvertrags die Kreditwürdigkeit des Verbrauchers anhand ausreichender Informationen zu prüfen, die er – soweit erforderlich – vom Verbraucher verlangt; erforderlichenfalls hat er auch Auskünfte aus einer zur Verfügung stehenden Datenbank einzuholen. Wenn diese Prüfung erhebliche Zweifel an der Fähigkeit des Verbrauchers ergibt, seine Pflichten aus dem Kreditvertrag vollständig zu erfüllen, hat der Kreditgeber den Verbraucher auf diese Bedenken gegen dessen Kreditwürdigkeit hinzuweisen.
Die Warnpflicht soll den Schutz des Verbrauchers vor verantwortungsloser Kreditaufnahme erhöhen, ohne ihn jedoch diesbezüglich zu bevormunden (ua Dehn in Apathy/Iro/Koziol, Österreichisches Bankvertragsrecht IV² Rz 2/51; Heinrich, Anforderungen an die Kreditwürdigkeitsprüfung im Verbraucherrecht, JBl 2014, 363; Leupold/Ramharter, Die Verletzung der Pflicht zur Warnung vor mangelnder Kreditwürdigkeit nach dem VKrG, ÖBA 2011, 469 [475]).
Den Kreditgeber trifft nach den Maßstäben eines sorgfältigen Vertreters seiner Branche nach § 7 Abs 1 VKrG zwar eine aktive Nachforschungspflicht, deren konkretes Ausmaß aber in jedem Fall von den konkreten Umständen des Einzelfalls abhängig ist (ua Heinrich in Schwimann/Kodek, ABGB4 Va § 7 VKrG Rz 14 mwN; EuGH 18. 12. 2014 Rs C-449/13, CA Consumer Finance [Rz 39]). [...]
Labels: Bonität, OGH, Verbraucher
EuGH: MS dürfen Betreibern keine allgemeine Verpflichtung zur Vorratsdatenspeicherung auferlegen
EuGH 21.12.2016, Urteil in den verb Rs C-203/15, Tele2 Sverige AB / Post- och telestyrelsen, und C-698/15, Secretary of State for the Home Department / Tom Watson u.a.
Aus der EuGH-Pressemeldung (pdf; EN):
Die Mitgliedstaaten dürfen den Betreibern elektronischer Kommunikationsdienste keine allgemeine Verpflichtung zur Vorratsdatenspeicherung auferlegen (The Members States may not impose a general obligation to retain data on providers of electronic communications services)
Passend dazu: Datenschutzrat verlangt von Justizministerium Gesamtübersicht über Vorratsdatennutzung
Labels: CJEU, Data Retention, EuGH, Telcos
European Supervisory Authorities: Discussion Paper on the Use of Big Data by Financial Institutions
Joint Committee Discussion Paper on the Use of Big Data by Financial Institutions (pdf)
[...] The ESAs have assessed potential benefits and risks linked to the use of Big Data by financial institutions, with a view to determining at a later stage which, if any, regulatory and/or supervisory actions may be needed to mitigate the risks while at the same time harnessing the potential benefits. The ESAs are issuing this Discussion Paper in order to receive feedback from stakeholders on this preliminary high-level assessment. [...]
EBA, EIOPA, and ESMA (the ESAs) welcome comments on this Discussion Paper on the Use of Big Data by Financial Institutions and in particular on the specific questions set out herein.
Eingestellt von Markus Kastelitz am Montag, Dezember 19, 2016 Links zu diesem Post
Labels: Big Data, Datenschutz
EU Commission amends Decisions on standard contractual clauses and adequacy decisions
In the light of CJEU Case C-362/14 Maximillian Schrems v Data Protection Commissioner, the EU Commission amends Decisions 2000/518/EC, 2002/2/EC, 2003/490/EC, 2003/821/EC, 2004/411/EC, 2008/393/EC, 2010/146/EU, 2010/625/EU and 2011/61/EU and Implementing Decisions 2012/484/EU and 2013/65/EU as well as Decisions 2001/497/EC and 2010/87/EU:
Labels: Adequacy, EU, Global Data Transfers, standard contractual clauses
Art. 29 WP: Opinion on amendment proposals in Standard Contractual Clauses and adequacy decisions
Article 29 Working party, Opinion 04/2016 on European Commission amendments proposals related to the powers of Data Protection Authorities in Standard Contractual Clauses and adequacy decisions (WP 241)
Labels: Adequacy, Art 29 Working Party, Datenschutz, Global Data Transfers, standard contractual clauses
EU: Study on Big Data in Public Health, Telemedicine and Healthcare (incl. policy recommendations)
A Study on Big Data in Public Health, Telemedicine and Healthcare (pdf; written by Gesundheit Österreich Forschungs- und Planungs GmbH), financed by the Commission's Health Programme, has been published today.
It identifies examples of the use of Big Data in Health, and puts forward recommendations covering 10 relevant fields: awareness raising, education and training, data sources, open data and data sharing, applications and purposes, data analysis, governance of data access and use, standards, funding and financial resources, and legal and privacy aspects. [...]
Labels: Big Data, Datenschutz, Gesundheitswesen, health data, mHealth
ENISA: Report on Smart Hospitals and Smart Health Services/Infrastructures
ENISA, Smart Hospitals - Security and Resilience for Smart Health Service and Infrastructures (pdf)
This study proposes key recommendations for hospital information security executives and industry to enhance the level of information security in Smart Hospitals. Through the identification of assets and the related threats when IoT components are supporting a healthcare organisation the report described the Smart Hospital ecosystem and its specific objectives. Based on the analysis of documents and empirical data, and the detailed examination of attack scenarios found to be particularly relevant for smart hospitals, this document identifies mitigation techniques and good practices. [...]
Based on the analysis of documents and empirical data, and the detailed examination of attack scenarios found to be particularly relevant for smart hospitals, the study proposes key recommendations primarily for hospital executives. Namely hospitals should:
Establish effective enterprise governance for cyber security
Implement state-of-the-art security measures
Provide specific IT security requirements for IoT components in the hospital
Invest in NIS products
Establish an information security sharing mechanism
Conduct risk assessment and vulnerability assessment
Perform penetration testing and auditing
Support multi-stakeholder communication platforms (ISACs)
The study also makes recommendations for industry representatives in order to enhance the level of information security in smart hospitals. Namely industry players should:
Incorporate security into existing quality assurance systems
Involve third parties (healthcare organisations) in testing activities
Consider applying medical device regulation to critical infrastructure components
Support the adaptation of information security standards to healthcare [...]
Labels: Datensicherheit, ENISA, health data, Internet of Things (IoT), mHealth
Report on Health Wearable Devices in the Big Data Era
The report, Health Wearable Devices in the Big Data Era: Ensuring Privacy, Security, and Consumer Protection, provides an overview and analysis of the major features, key players, and trends that are shaping the new consumer-wearable and connected-health marketplace.
Source: Center for Digital Democracy
Eingestellt von Markus Kastelitz am Samstag, Dezember 17, 2016 Links zu diesem Post
Labels: Big Data, Datenschutz, health data, Internet of Things (IoT), Privacy, Wearables
Consistent with its 2016 Action Plan decided in February 2016, the WP29 adopted during the December plenary:
To complement this, the WP29 welcomes any additional comments that stakeholders may have on the adopted guidelines until the end of January 2017. The comments on guidelines can be sent to the following addresses: JUST-ARTICLE29WP-SEC@ec.europa.eu and presidenceg29@cnil.fr.
Finally, the guidelines on Data Protection Impact Assessments and Certification will be ready in 2017.
Source: Article 29 WP
Eingestellt von Markus Kastelitz am Donnerstag, Dezember 15, 2016 Links zu diesem Post
Labels: Datenportabilität, DPA, DPO, DSGVO, GDPR (DS-GVO)
Leak: draft EU Commission communication on the Data Economy
Leak: draft EU Commission communication on the Data Economy (free data flows, ownership, liability etc):
http://www.euractiv.com/wp-content/uploads/sites/2/2016/12/data-communication.pdf (pdf; source: Euractiv)
Eingestellt von Markus Kastelitz am Mittwoch, Dezember 14, 2016 Links zu diesem Post
OGH: Verbreitung herabsetzender Äußerungen Dritter mittels Facebook
OGH 24.10.2016, 6 Ob 52/16i
Verbreitet jemand eine herabsetzende Äußerung eines Dritten gegenüber einem Politiker/einer Politikerin (hier über seine Facebookseite) und bringt er seine Zustimmung dazu zum Ausdruck, so ist er für diese Äußerung auch selbst verantwortlich. Mangels Tatsachensubstrats scheidet auch eine Satire aus.
Labels: OGH, Social Media, Social Networks, Urheberrecht
Kurz-Papier "Der One Stop Shop" (pdf):
Die DS-GVO führt das Konzept des One Stop Shop [OSS] ein, wenn es um sog. grenzüberschreitende Verarbeitung personenbezogener Daten geht. Das bedeutet: Bei grenzüberschreitender Verarbeitung ist die sog. federführende Aufsichtsbehörde alleiniger Ansprechpartner des Verantwortlichen bzw. des Auftragsverarbeiters. Für Unternehmen hat das den Vorteil, dass sie wegen ein und derselben Verarbeitung nicht mit mehreren Datenschutzaufsichtsbehörden parallel kommunizieren müssen.
Eingestellt von Markus Kastelitz am Dienstag, Dezember 13, 2016 Links zu diesem Post
Labels: BayLDA, Datenschutz, DSGVO, One-Stop-Shop
Leaked draft ePrivacy Regulation (pdf), Source: Politico
Eingestellt von Markus Kastelitz am Montag, Dezember 12, 2016 Links zu diesem Post
Labels: ePrivacy
EuGH: Inkassobüro kann als "Kreditvermittler" iSd Art 3 lit f VerbraucherkrediteRL einzustufen sein
EuGH 08.12.2016, C-127/15 - VKI/Inko, mehr dazu beim VKI.
1. Art. 2 Abs. 2 Buchst. j der Richtlinie 2008/48/EG des Europäischen Parlaments und des Rates vom 23. April 2008 über Verbraucherkreditverträge und zur Aufhebung der Richtlinie 87/102/EWG des Rates ist dahin auszulegen, dass eine Vereinbarung über einen neuen Tilgungsplan, die über ein Inkassobüro zwischen einem Kreditgeber und einem säumigen Verbraucher geschlossen wird, nicht „unentgeltlich“ im Sinne dieser Bestimmung ist, wenn sich der Verbraucher darin verpflichtet, den Gesamtbetrag des Kredits zu zahlen sowie Zinsen und Kosten, die im ursprünglichen Vertrag über die Gewährung des Kredits nicht vorgesehen waren.
2. Art. 3 Buchst. f und Art. 7 der Richtlinie 2008/48 sind dahin auszulegen, dass ein Inkassobüro, das für einen nicht getilgten Kredit im Namen des Kreditgebers einen neuen Tilgungsplan vereinbart, aber nur in untergeordneter Funktion als Kreditvermittler beteiligt ist, was zu prüfen Sache des vorlegenden Gerichts ist, als „Kreditvermittler“ im Sinne von Art. 3 Buchst. f anzusehen ist und nicht der in den Art. 5 und 6 der Richtlinie aufgestellten Verpflichtung unterliegt, dem Verbraucher vorvertragliche Informationen zu erteilen.
Labels: EuGH, Inkassobüro, VKI
BRD: Dt. Anwaltverein - Stellungnahme zur Frage des „Eigentums“ an Daten und Informationen
Labels: "Dateneigentum", BDSG, Datenschutz, DSGVO
UNESCO: “Privacy, free expression and transparency: redefining their new boundaries in the digital age”
This publication [pdf] examines the crucial challenges of balancing the fundamental rights of privacy and freedom of expression, and the related value of transparency, in an online context. It was commissioned following UNESCO’s new approach to Internet issues as set out in the Connecting the Dots Outcome Document adopted by UNESCO’s 195 Member States in November 2015. [...] The study was commissioned by UNESCO and authored by Joseph Cannataci, Bo Zhao, Gemma Torres Vives, Shara Monteleone, Jeanne Mifsud Bonnici and Evgeni Moyakine, from the STeP (Security, Technology and e-Privacy) – Research Group in the University of Groningen. UNESCO thanks the financial support of the Ministry of Foreign Affairs of the Netherlands. [...]
Source: UNESCO press release
Eingestellt von Markus Kastelitz am Mittwoch, Dezember 07, 2016 Links zu diesem Post
Labels: Freedom of expression, Privacy, UNESCO
DSG 2000: OGH u.a. zum Gebot des gelindesten Mittels, Datenübermittlung u. berechtigte Interessen
OGH 27.06.2016, 6 Ob 191/15d; Auszüge und Rechtssätze:
Der erkennende Senat hält die in der Entscheidung 6 Ob 148/00h zwischen dem Recht auf Geheimhaltung (§ 1 Abs 1 DSG 2000) und dem Recht auf Auskunft, Richtigstellung und Löschung (§ 1 Abs 3 DSG 2000) nicht differenzierende Auffassung im Hinblick auf den Wortlaut des § 1 Abs 1 und 3 DSG 2000 nicht aufrecht. Spricht doch Absatz 1 allgemein von „Daten“ und Absatz 3 aber von Daten, die zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, dh ohne Automationsunterstützung geführten „Dateien“ bestimmt sind. Die Entscheidung 6 Ob 148/00h stützt sich vor allem auf eine Interpretation der Datenschutzrichtlinie (RL 95/46/EG des Europäischen Parlaments und des Rates vom 24. 10. 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr). Diese Richtlinie verbietet es indes den Mitgliedstaaten nicht, einen bereits bestehenden, über den Anwendungsbereich der Datenschutzrichtlinie hinausgehenden Rechtsschutz zu gewähren (vgl Rosenmayr-Klemenz, Zum Schutz manuell verarbeiteter Daten durch das DSG 2000, ecolex 2001, 639). Das schon nach dem DSG 1978 unabhängig von der Art der Verarbeitung der Daten gewährte Recht auf Geheimhaltung (vgl VfSlg 12.194/1989) wurde durch das DSG 2000 nicht geändert (Rosenmayr-Klemenz aaO).
Das Recht auf Geheimhaltung gemäß § 1 Abs 1 DSG 2000 beschränkt sich nicht auf personenbezogene Daten, die in einer Datei aufscheinen.
Beschränkungen des Grundrechts auf Datenschutz durch private Auftraggeber bedürfen keiner ausdrücklichen gesetzlichen Grundlage. Als Voraussetzung für die Zulässigkeit des Eingriffs in das Grundrecht auf Datenschutz, der nicht von einer staatlichen Behörde im Rahmen ihrer hoheitlichen Befugnisse erfolgt, kann auch nur eine Abwägung zwischen den „berechtigten“ Interessen des Eingreifenden und dem Geheimhaltungsinteresse des Betroffenen im Einzelfall durchzuführen sein, wobei die Interessen des Eingreifenden überwiegen müssen. „Berechtigte“ Interessen sind von der Rechtsordnung anerkannte Interessen. Dies setzt voraus, dass die Datenverwendung rechtlich angeordnet oder anerkannt ist, eine (verfassungs‑, einfachgesetzliche oder auf vertraglicher Vereinbarung beruhende) rechtliche Basis aufweisen kann oder für die Durchsetzung von Rechtspositionen erforderlich ist. Innerhalb dieses Rahmens kommen auch wirtschaftliche Interessen in Betracht.
§ 7 Abs 2 Z 2 DSG verpflichtet den Empfänger vor der Übermittlung im Hinblick auf den (rechtmäßigen) Zweck der Übermittlung, wenn dies nicht außer Zweifel steht, glaubhaft zu machen, dass er tatsächlich selbst die gesetzliche Zuständigkeit oder rechtliche Befugnis besitzt. Der Empfänger hat seine rechtliche Befugnis initiativ glaubhaft zu machen. Die Beurteilung, ob die Glaubhaftmachung gelungen ist oder ob keine Zweifel vorliegen, obliegt dem Übermittler. Daneben muss jedoch auch die Übermittlung von Daten aus eigenem Antrieb des Übermittlers zu einem rechtmäßigen Zweck an einen Empfänger zulässig sein, der tatsächlich über die gesetzliche Zuständigkeit oder rechtliche Befugnis verfügt. Entscheidend ist nicht, ob der Übermittler vor der Übermittlung Zweifel an der Zuständigkeit oder Befugnis des Empfängers hatte oder haben musste, sondern dass die Übermittlung an einen im Hinblick auf den Übermittlungszweck tatsächlich befugten Empfänger erfolgt.
Beisatz: Bei einem Unterlassungsanspruch nach § 32 Abs 2 DSG trifft nach allgemeinen Regeln grundsätzlich den Kläger die Beweislast, dass der Beklagte eine Übermittlung an im Hinblick auf den Übermittlungszweck rechtlich nicht befugte Empfänger vorgenommen hat. Der Kläger kann gemäß § 26 Abs 1 DSG vom Beklagten auch Auskunft über die Empfänger der Übermittlung verlangen.
Das Gebot des gelindesten Mittels ist nicht als grundsätzliches Abwehrrecht des Betroffenen gegen die Verwendung von EDV‑Systemen durch Dritte zu verstehen. Personenbezogene Daten dürfen bei Vorliegen eines legitimen Verwendungszwecks, bei Nichtverletzung schutzwürdiger Geheimhaltungsinteressen und bei Achtung der Verhältnismäßigkeit stets in jenem Ausmaß verwendet werden, der zur Verfolgung dieses Ziels erforderlich ist. Es ist nicht zu prüfen, ob der Verwendungszweck durch konventionelle Maßnahmen des Auftraggebers (also ohne automationsunterstützte Datenverarbeitungssysteme) erreicht werden könnte.
Labels: berechtigtes Interesse, Datenschutz, gelindestes Mittel, OGH, Recht auf Geheimhaltung (§ 1 Abs 1 DSG 2000)
EuGH: Empfehlungen an die nationalen Gerichte bezüglich der Vorlage von Vorabentscheidungsersuchen
Empfehlungen an die nationalen Gerichte bezüglich der Vorlage von Vorabentscheidungsersuchen (ABl 2016/C 439/01); Recommendations to national courts and tribunals, in relation to the initiation of preliminary ruling proceedings
Labels: EuGH, Vorabentscheidungsersuchen
Study: Cyber Security Strategy for the (EU) Energy Sector
Summary: This study is provided by the Policy Directorate at the request of the ITRE Committee. The EU energy infrastructure is transitioning into a decentralised, digitalised smart energy system. Already, energy operations are increasingly becoming the target of cyber-attacks with potentially catastrophic consequences. Development of energy specific cyber security solutions and defensive practices are therefore essential. Urgent action is required, including empowering a coordination body, to promote sharing of incident information, development of best practice and relevant standards. (pdf; PE 587.333)
Authors : David Healey (Analysys Mason Limited), Sacha Meckler (nalysys Mason Ltd.), Usen Antia (nalysys Mason Ltd.) and Edward Cottle (nalysys Mason Ltd.)
"The One-Stop-Shop and the Lead DPA as Co-operation Mechanisms in the GDPR", CIPL GDPR Interpretation and Implementation Project, November 2016 (pdf)
This paper is produced by the Centre for Information Policy Leadership at Hunton & Williams LLP (“CIPL”) as part of its project (“CIPL GDPR Project”) on the consistent interpretation and implementation of the GDPR.
Labels: DPA, DSGVO, GDPR (DS-GVO), One-Stop-Shop
[...] Im vorliegenden Rechtsgutachten wird im Auftrag des vzbv untersucht, wie der Anspruch von Verbrauchern auf Datensouveränität und Kontrolle der eingesetzten Software und Programmierungen im Auto durch Rechtsanpassungen und Gesetzesinitiativen durchgesetzt werden kann. Ebenso wird geprüft, durch welche gesetzgeberischen Maßnahmen die Einhaltung von Datenschutz und –sicherheit in den Rechtsgrundlagen für die Zulassungsverfahren und für die technische Prüfung von Pkw sichergestellt werden kann. Darüber hinaus ist Gegenstand des Gutachtens die Frage, wie die während der Fahrt generierten personenbezogenen Daten gegenüber Dritten geschützt werden können und die Vorgaben der Datenschutz-Grundverordnung umzusetzen sind. [...]
Labels: "Dateneigentum", automatisiertes Fahren, Datenschutz, Deutschland, DSGVO, vzbv
Deutsche Datenschutzaufsichtsbehörden prüften Wearables
Eingestellt von Markus Kastelitz am Montag, Dezember 05, 2016 Links zu diesem Post
Labels: Datenschutz, Deutschland, Global Data Transfers, health data, mHealth, Wearables
FTC: Putting [Privacy et al.] Disclosures to the Test
FTC, Putting Disclosures to the Test - Staff Summary (pdf; November 2016), with an interesting range of endnotes.The report summarizes the workshop and highlights key takeaways. Slides, videos, transcripts, materials referenced in speaker presentations, and photographs are all available from the workshop website.
Labels: Datenschutz, FTC, Privacy
The General Data Protection Regulation - A survival guide
Note to myself: Linklaters, The General Data Protection Regulation - A survival guide (pdf):
"This guide sets out the key changes under the Regulation, as well as providing a “to do”
list and answers to many of the questions we have received from our clients about it."
Eingestellt von Markus Kastelitz am Mittwoch, November 30, 2016 Links zu diesem Post
BRD: 2. Fassung d. "Datenschutz-Anpassungs- u. -UmsetzungsG" (RefE)
Referentenentwurf des Bundesministeriums des Innern vom 23.11.2016 - Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)
Siehe auch die kritische Stellungnahme der Deutsche Vereinigung für Datenschutz e.V.; siehe auch beim BvD e.V.; Heise
Eingestellt von Markus Kastelitz am Mittwoch, November 23, 2016 Links zu diesem Post
Labels: ABDSG, Deutschland, DSGVO
On November 17, 2016, the Centre for Information Policy Leadership (“CIPL”) at Hunton & Williams LLP issued a white paper on "Ensuring the Effectiveness and Strategic Role of the Data Protection Officer under the General Data Protection Regulation" (CIPL GDPR Interpretation and Implementation Project November 2016) (pdf):
Excerpt from the Executive Summary: [...] This CIPL paper on “Ensuring the Effectiveness and Strategic Role of the Data Protection Officer under the General Data Protection Regulation” examines the requirements for the appointment of a DPO and the nature, function and scope of the DPO role under the GDPR. The GDPR outlines key parameters and requirements for the DPO role, underscoring its significance in a wider data privacy accountability context. However, there are some areas that may present challenges for organisations, or require clarification, interpretation and guidance to ensure an effective implementation of the DPO role. This paper examines these areas and makes suggestions regarding implementation and interpretation as well as further guidance by the WP29. An overarching goal of the recommendations in this paper is to encourage a flexible interpretation of the DPO requirements to make them work for large multinational organisations, as well as SMEs, start-ups, NGOs and public authorities. [...]
Labels: DPO, DSGVO, GDPR (DS-GVO)
Österreich: Datenschutzrat verweist bereits jetzt auf DSGVO (Datenschutz-Folgenabschätzung)
Man beachte das neue Design des Webauftritts, hier geht es zur Pressemeldung:
[...] Neuerdings verweist der Datenschutzrat in seinen Stellungnahmen auf die neue EU-Datenschutz-Grundverordnung. Mit dieser neuen Verordnung wird ab Mai 2018 die derzeit geltende Form der Meldepflicht an das Datenverarbeitungsregister entfallen und an deren Stelle die Datenschutz-Folgenabschätzung eingeführt. "In diesem Sinne wird angeregt, bei kommenden Vorhaben schon jetzt zu prüfen, ob im Rahmen der allgemeinen Folgenabschätzungen die Datenschutz-Folgenabschätzung vorweg genommen werden kann", betont Maier. "Nachdem die künftige Regelung auch schon derzeit betriebene Datenanwendungen betreffen kann, wird angeraten, auch diese Datenanwendungen einer entsprechenden Prüfung zu unterziehen."
Von einer Datenschutz-Folgenabschätzung sind nicht nur der Bund, sondern auch Gebietskörperschaften wie Bundesländer, Städte und Gemeinden betroffen, sofern sie Datenanwendungen im eigenen Wirkungsbereich geregelt haben, so der Vorsitzende des Datenschutzrates abschließend.
Labels: Datenschutzrat, DSGVO, Privacy Impact Assessment (PIA)
GDD: Der Datenschutzbeauftragte nach der Datenschutz-Grundverordnung
Die veröffentlichte "GDD-Praxishilfe DS-GVO I - Der Datenschutzbeauftragte nach der Datenschutz-Grundverordnung" (pdf) der Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) gibt einen Überblick über die Regelungen zur Bestellung von Datenschutzbeauftragten sowie deren Aufgaben und Stellung nach der DSGVO.
Eingestellt von Markus Kastelitz am Mittwoch, November 16, 2016 Links zu diesem Post
Labels: Datenschutzbeauftragter, Deutschland, DPO, DSGVO, GDPR (DS-GVO)
BRD: 92. Konferenz der unabhängigen Datenschutzbehörden - Standard-Datenschutzmodell V1.0 (SDM)
[...] Einen praktikablen Weg, rechtliche Vorgaben des geltenden Datenschutzrechts und zukünftig auch der EU-Datenschutzgrundverordnung in angemessene technische und organisatorische Maßnahmen umzusetzen, soll das Standard-Datenschutzmodell (SDM) eröffnen. Die Konferenz hat das SDM beraten und die Veröffentlichung der aktuellen Version [Anm. V1.0] als Erprobungsfassung beschlossen. Das SDM soll sowohl in der eigenen Kontroll- und Beratungspraxis als auch bei der Planung und beim Betrieb von Datenverarbeitungen durch verantwortliche Stellen im öffentlichen und nicht-öffentlichen Bereich erprobt werden. Das SDM wird von einer Arbeitsgremium der Konferenz laufend fortentwickelt. [...]
Quelle: Pressemeldung Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern; Tagungsband AK Technik-Workshop 2015: „Das Standard-Datenschutzmodell – der Weg vom Recht zur Technik"
Labels: Datenschutz, Datensicherheit, Deutschland, DPA
Bundestag: Datenschutz bei vernetzten Fahrzeugen und Gesundheits-Apps
Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Renate Künast, Dr. Konstantin von Notz, Stephan Kühn (Dresden), weiterer Abgeordneter und der Fraktion BÜNDNIS 90/DIE GRÜNEN – Drucksache 18/9897 – Datenzugriff und Datenschutz bei digitalisierten und vernetzten Fahrzeugen (pdf)
Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Renate Künast, Dr. Konstantin von Notz, Nicole Maisch, weiterer Abgeordneter und der Fraktion BÜNDNIS 90/DIE GRÜNEN – Drucksache 18/10108 – Verbraucherschutz bei Gesundheits-Apps (pdf)
Labels: Apps, Datenschutz, mHealth
EuGH (Schlussanträge): Telefonverzeichnisse, Informationspflicht und Einwilligung (E-Privacy-RL)
EuGH (Schlussanträge des GA) 9.11.2016, Rs C‑536/15, Tele 2:
18. By its second question, the national court essentially asks the Court whether it is contrary to Article 25(2) of the Universal Service Directive and, in particular, the principle of non-discrimination to which the latter refers, for an undertaking that has received a request to make available its subscribers’ personal data to draw a distinction, when obtaining its subscribers’ consent, based on the Member State in which the telephone directory service and/or telephone directory enquiry service is provided.
19. In other words, if the request for information to be made available referred to in Article 25(2) of the Universal Service Directive is made by a telephone directory enquiry operator and/or a telephone directory operator providing its services in a Member State other than the subscriber’s Member State of residence, may that request be made to depend on the granting of specific consent by the subscriber?
51. In the light of the foregoing, I therefore propose that the Court give the following answer to the second question submitted by the College van Beroep voor het bedrijfsleven (Administrative Court of Appeal for Trade and Industry):
On a proper construction of Article 25(2) of Directive 2002/22/EC of the European Parliament and of the Council of 7 March 2002 on universal service and users’ rights relating to electronic communications networks and services (Universal Service Directive), as amended by Directive 2009/136/EC of the European Parliament and of the Council of 25 November 2009, and Article 12 of Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications), as amended by Directive 2009/136, it is contrary to those provisions for an undertaking that has received a request for its subscribers’ personal data to be made available to draw a distinction, when obtaining its subscribers’ consent, according to the Member State in which the telephone directory service and/or telephone directory enquiry service is offered, provided, however, that such data is intended to be used for purposes identical to those for which it was collected with a view to its first publication.
That undertaking must therefore ensure that, when the subscription contract is signed, subscribers receive clear, precise information on the different aspects of the processing of their data and, in particular, on the supply of such data for the purpose of its publication in a telephone directory or of its use by a telephone directory enquiries service in a Member State other than the subscriber’s Member State of residence.
Labels: CJEU, EuGH, Telcos, TKG, Zustimmung/Einwilligung
EU-U.S. Privacy Shield: Klagegründe veröffentlicht
​EuGH, Klage eingereicht am 16.9
2016 — Digital Rights Ireland/Kommission, Rechtssache T-670/16 --(betreffend Durchführungsbeschluss (EU) 2016/1250 der Kommission)
EN: Plea and main arguments
Eingestellt von Markus Kastelitz am Freitag, November 11, 2016 Links zu diesem Post
Labels: CJEU, EU-US Privacy Shield, EuGH
​Die DS-GVO bringt für Datenübermittlungen in Nicht-EU-Staaten mehr Flexibilität als bislang. So kommen künftig auch genehmigte Verhaltensregeln (Codes of Conduct, CoC) und genehmigte Zertifizierungsmechanismen als Grundlage für derartige Übermittlungen in Betracht. Das Problem von Datenzugriffen ausländischer Behörden bedarf jedoch weiterer Klärung, auch seitens der Aufsichtsbehörden. Das Kurzpapier des BayLDA zu diesem Thema kann hier (pdf) heruntergeladen werden. Quelle: Bayerisches Landesamt für Datenschutzaufsicht
Eingestellt von Markus Kastelitz am Sonntag, November 06, 2016 Links zu diesem Post
Labels: BayLDA, DPA, DSGVO, GDPR (DS-GVO), Global Data Transfers
ICO: Privacy notices under the EU General Data Protection Regulation
Somewhat older: ICO, Privacy notices, transparency and control - A code of practice on communicating privacy information to individuals, 7 October 2016
[...] This code of practice is designed as a good practice document to help you collect and use personal information fairly and transparently and give individuals appropriate control and choice over their data, including in a digital context. It focuses on drafting and communicating clear privacy notices that ensure that individuals know how information about them will be used, and that they understand the impact it will have on them. [...]
And another one: Overview of the General Data Protection Regulation (GDPR), 13 October 2016
Eingestellt von Markus Kastelitz am Freitag, November 04, 2016 Links zu diesem Post
Labels: Datenschutz, DSGVO, GDPR (DS-GVO), ICO
Deutsche Datenschutzaufsichtsbehörden prüfen grenzüberschreitende Datenübermittlungen
Gemeinsam mit neun anderen deutschen Datenschutzaufsichtsbehörden nimmt die Landesbeauftragte für den Datenschutz Niedersachsen den Einsatz von Cloud Computing und andere Übermittlungen personenbezogener Daten in das Nicht-EU-Ausland in den Fokus. Die in dieser Woche beginnende Schwerpunktprüfung soll insbesondere die Unternehmen dafür sensibilisieren, dass durch den Einsatz vieler gängiger IT-Anwendungen eine Daten-übermittlung in Drittländer stattfindet, was einer gesonderten Rechtsgrundlage bedarf. [...]
Quelle: Pressemitteilung der Landesbeauftragten für den Datenschutz Niedersachsen vom 03.11.2016. Siehe auch hier beim BayLDA (Prüffragen: docx), die Anzahl geprüfter verantwortlicher Stellen beträgt laut BayLDA iinsgesamt 500.
Labels: BRD, Datenschutz, Datenschutzbehörde, Deutschland, Global Data Transfers
Österreich: Jahrbuch Datenschutzrecht 2016 (hg. v. Prof. Jahnel) erschienen
Inhaltsverzeichnis (pdf), aus der Verlagswerbung:
"Das Jahrbuch Datenschutzrecht 2016 enthält - wie jedes Jahr - zahlreiche Beiträge zu den ganz aktuellen Fragen des Datenschutzrechts, diesmal ua zum neuen „EU-US-Datenschutzschild", zur Datenverarbeitung im Zusammenhang mit „Smart Cars", der biometrischen Gesichtserkennung und der Steuerung des Datenverkehrs im Internet. Einen weiteren Schwerpunkt bildet das Thema „Big Data" und Datenschutz.
Ausführlich besprochen werden die Aufhebung des Widerspruchsrechts in § 28 Abs 2 DSG durch den VfGH und das fundamentale „Google Spain und Google"-Urteil des EuGH. Besonders hervorzuheben ist schließlich noch ein fundierter und dennoch kompakter Überblick über die wesentlichen Inhalte der kommenden Datenschutz-Grundverordnung (DS-GVO).
Abgerundet wird das Jahrbuch durch eine praktische und aktuelle Judikaturübersicht zum Datenschutzrecht in Form von systematisch geordneten Leitsätzen."
Labels: Datenschutz, Datenschutzliteratur
Labels: Auskunftspflicht, Auskunftsrecht (§ 26 DSG 2000), Austria, Datenschutz, Datenschutzbehörde
CISPE: Code of Conduct for Cloud Infrastructures Services
The CISPE [Cloud Infrastructure Services Providers in Europe] data protection Code of Conduct anticipates the application of the new European Union (EU) General Data Protection Regulation (GDPR). Our Code of Conduct aligns with the requirements set out in the new regulation to allow Cloud Infrastructure providers to comply with this new regulation, while offering a framework that helps customers to trust the services of their cloud providers.
Source: CISPE
Eingestellt von Markus Kastelitz am Mittwoch, September 28, 2016 Links zu diesem Post
Labels: Clouds, Code of Conduct, DSGVO, GDPR (DS-GVO)
OGH: EuGH-Vorabentscheidungsersuchen betreffend Artikel 15 und 16 EuGVVO (Schrems vs. Facebook)
Etwas älter, nunmehr auch im RIS:
OGH 20.07.2016, 6 Ob 23/16z (Pressemeldung OGH)
Einholung eines Vorabentscheidungsersuchens zur Reichweite des Verbrauchergerichtsstands und zur Möglichkeit, dort nicht nur eigene, sondern auch abgetretene Ansprüche anderer Personen geltend zu machen:
Dem Gerichtshof der Europäischen Union (EuGH) werden gemäß Art 267 AEUV folgende Fragen zur Vorabentscheidung vorgelegt:
1. Ist Art 15 EuGVVO VO (EG) Nr 44/2001 dahin auszulegen, dass ein „Verbraucher“ im Sinne dieser Bestimmung diese Eigenschaft verliert, wenn er nach längerer Nutzung eines privaten Facebook-Kontos im Zusammenhang mit der Durchsetzung seiner Ansprüche Bücher publiziert, teilweise auch entlohnte Vorträge hält, Webseiten betreibt, Spenden zur Durchsetzung der Ansprüche sammelt und sich die Ansprüche von zahlreichen Verbrauchern gegen die Zusicherung abtreten lässt, diesen einen allfälligen Prozesserfolg nach Abzug der Prozesskosten zukommen zu lassen?
2. Ist Art 16 EuGVVO VO (EG) Nr 44/2001 dahin auszulegen, dass ein Verbraucher in einem Mitgliedstaat gleichzeitig mit seinen eigenen Ansprüchen aus einem Verbrauchergeschäft am Klägergerichtsstand auch gleich gerichtete Ansprüche anderer Verbraucher mit Wohnsitz
a. im gleichen Mitgliedstaat,
b. in einem anderen Mitgliedstaat oder
c. in einem Drittstaat
geltend machen kann, wenn ihm diese aus Verbrauchergeschäften mit derselben beklagten Partei aus demselben rechtlichen Zusammenhang zediert wurden und wenn das Zessionsgeschäft nicht in eine gewerbliche oder berufliche Tätigkeit des Klägers fällt, sondern der gemeinsamen Durchsetzung der Ansprüche dient?
Das Verfahren über die Revisionsrekurse der Streitteile wird bis zum Einlangen der Vorabentscheidung des Gerichtshofs der Europäischen Union gemäß § 90a Abs 1 GOG ausgesetzt.
Update 01.10.2016: eingelangt beim EuGH, siehe Rs C-498/16
Labels: Datenschutz, EuGH, OGH, Verbraucherrechte
BRD: IoT und Datenschutz, Umgang mit Datenpannen (Art. 33 und 34 DSGVO)
Bayerisches Landesamt für Datenschutzaufsicht, Umgang mit Datenpannen - Art. 33 und 34 DS-GVO (pdf)
Landesbeauftragter für den Datenschutz Baden-Württemberg, Pressemeldung (pdf) zur Prüfung des Datenschutzes bei Produkten im Bereich des „Internet der Dinge“ bzw. „Internet of Things“ (IoT) im Rahmen des „GPEN Privacy Sweep 2016“
Update: BayLDA, Das Internet der Dinge: Internationale Prüfaktion deckt Mängel im Datenschutz auf, Anhang (pdf)
Eingestellt von Markus Kastelitz am Donnerstag, September 22, 2016 Links zu diesem Post
Labels: data breach, Deutschland, DSGVO, GDPR (DS-GVO), Internet of Things (IoT)
Düsseldorfer Kreis: Fortgeltung bisher erteilter Einwilligungen unter der DSGVO
Beschluss der Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis am 13./14. September 2016), Fortgeltung bisher erteilter Einwilligungen unter der Datenschutz-Grundverordnung:
Bisher erteilte Einwilligungen gelten fort, sofern sie der Art nach den Bedingungen der Datenschutz-Grundverordnung entsprechen (Erwägungsgrund 171, Satz 3 Datenschutz-Grundverordnung). [...]
Update 22.09.2016: Zur (berechtigten) Kritik daran siehe hier bei RA Hansen-Oest.
Eingestellt von Markus Kastelitz am Mittwoch, September 21, 2016 Links zu diesem Post
Labels: Datenschutz, Deutschland, DSGVO, Düsseldorfer Kreis, Zustimmung/Einwilligung
EU: Guide to the EU-U.S. Privacy Shield (Leitfaden zum EU-US-Datenschutzschild)
Guide to the EU-U.S: Privacy Shield (pdf; document dated 12.9.2016; there is also a "Citizen's Guide" available), dt. Fassung: Leitfaden zum EU-US-Datenschutzschild
JIPITEC: Articles on Data Protection and Encryption, Future of Big Data, Biological Materials
Worku Gedefa Urgessa, The Feasibility of Applying EU Data Protection Law to Biological Materials: Challenging ‘Data’ as Exclusively Informational, 7 (2016) JIPITEC 96
Bart van der Sloot and Sascha van Schendel, Ten Questions for Future Regulation of Big Data: A Comparative and Empirical Legal Study, 7 (2016) JIPITEC 110
Gerald Spindler and Philipp Schmechel, Personal Data and Encryption in the European General Data Protection Regulation, 7 (2016) JIPITEC 163
Labels: Big Data, Biomaterialien (Humansubstanzen), Datenschutz, Datenschutzliteratur, DSGVO, Encryption, GDPR (DS-GVO), JIPITEC
Study on consumers’ attitudes towards Terms and Conditions (T&Cs)
Study on consumers’ attitudes towards Terms and Conditions (T&Cs), Final report (pdf) prepared for the European Commission (by Maartje Elshout, Millie Elsen, Jorna Leenheer, Marco Loos, Joasia Luzak)
Previous research has shown that when buying products and services online, the vast majority of consumers accept Terms and Conditions (T&Cs) without even reading them. The current research examined effects of interventions aimed at making consumers aware of the quality of such T&Cs. This was done by 1) shortening and simplifying the T&Cs and 2) adding a quality cue to an online store, such as the presence of a logo of a national consumer organisation accompanied by the statement “these terms and conditions are fair”. The main study consisted of three experiments and was conducted in 12 Member States with 1000 respondents in each Member State. In each experiment, consumers visited an online store and went through all the steps of an ordering process. One of these steps was accepting the T&Cs. Key findings are that shortening and simplifying the terms and conditions results in improved readership of the T&Cs, a slightly better understanding of the T&Cs, and a more positive attitude towards the T&Cs. Moreover, adding a quality cue to an online store increases trust and purchase intentions. Which quality cue is trusted the most depends on what type of online store consumers are visiting. For domestic online stores, a quality cue by a national consumer organisation is trusted most; for foreign online stores, a quality cue by a European consumer organisation is trusted most. The patterns were similar across Member States.
Labels: AGB, T&Cs
LfDI: Datenübermittlungen in die USA – Fragen und Antworten zum EU-US Privacy Shield
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Datenübermittlungen in die USA – Fragen und Antworten zum EU-US Privacy Shield (vom 12.09.2016, pdf), mehr dazu bei Carlo Piltz.
Eingestellt von Markus Kastelitz am Donnerstag, September 15, 2016 Links zu diesem Post
Labels: Deutschland, EU-US Privacy Shield, EUDataP, Global Data Transfers, USA
Der Tod offener WLAN-Zugänge?
Oder warum Sie als Betreiber eines offenen WLAN-Accesspoint jetzt Ausweise kontrollieren und ein Passwort setzen sollten:
EuGH 15.09.2016, Rs C-484/14 - Tobias Mc Fadden / Sony Music Entertainment Germany GmbH, Pressemeldung (Hervorhebung durch mich)
Labels: Anonymisation, CJEU, EuGH, Providerhaftung, WLAN
Data Protection: Summary of EU Court Decisions (covering the years 2000-2015)
Although I have mentioned this great resource before, I decided to bring it to my and your attention again ;)
SUMMARY OF EU COURT DECISIONS RELATING TO DATA PROTECTION (IN NUMERICAL ORDER OF CASE NUMBER, pdf) by Laraine Laudati (OLAF Data Protection Officer)
In honour of the celebration of the Tenth European Data Protection Day on 28 January 2016, I have prepared this document in order to help OLAF management, investigators, and other staff to have easy access to the judgments of the European Union courts concerning data protection. The judgments span a period of more than 15 years, from the first decisions in 2000 through the landmark decisions taken in 2015.
The summaries are organised both by case (in chronological order of case number) and by topic. The case summaries present a brief description of facts and issues before the court in each case, as well as a summary of the holdings of the court together with the reference paragraph numbers from the court’s judgment. The topical summaries list the holdings from each case relating to the listed topic.
This document is designed to be a reference tool to facilitate the work of finding relevant caselaw. However, it should not be relied upon on its own; the court judgment itself must always be consulted directly. [...]
Labels: CJEU, Datenschutz, EU, EuGH
OGH zur Technizität (Software-Patentschutz)
OGH 25.08.2016, 4 Ob 94/16a
[...] Die Abgrenzungslinie zwischen nicht-schützbaren und schützbaren Computerprogrammen wird anhand ihrer Technizität gezogen, indem ein technischer Beitrag auf einem nicht vom Patentschutz ausgeschlossenen Bereich gefordert wird (Weiser, Gebrauchsmusterschutz für Programmlogiken, ecolex 2014, 349). Das Vorliegen der erforderlichen Technizität ist vom Ergebnis einer im Einzelfall vorzunehmenden wertenden Gesamtbetrachtung des in dem angemeldeten Patentanspruch definierten Gegenstands abhängig (BGH X ZB 11/98 – Logikverifikation; Asendorf/Schmidt in Benkard, Patentgesetz11 § 4 Rz 60; Mes, Patentgesetz Gebrauchsmustergesetz4 § 1 PatG Rz 128); dabei ist es für das Technizitätserfordernis unerheblich, ob der Gegenstand einer Anmeldung neben technischen Merkmalen auch nicht-technische Merkmale aufweist (BGH X ZR 37/13). Der erforderliche technische Effekt aus einem Computerprogramm muss aus dem eigentlichen Inhalt des Programms im Zusammenhang mit der gestellten technischen Aufgabe bzw deren Lösung erschlossen werden können (Burgstaller, Österreichisches Patentrecht 27). Maßgebend ist somit, ob die Lehre bei der gebotenen Gesamtbetrachtung der Lösung eines über die Datenverarbeitung hinausgehenden konkreten technischen Problems dient (BGH X ZB 22/07 – Steuerungseinrichtung für Untersuchungsmodalitäten). Die Patentierbarkeit setzt die Lösung eines technischen Problems mit technischen Mitteln voraus (OPM 11. 12. 2013, OBGM 1/13 – Programmlogik; BGH X ZB 20/03
– Elektronischer Zahlungsverkehr; BGH Xa ZB 20/08 – Dynamische Dokumentengenerierung; Mes, Patentgesetz Gebrauchsmustergesetz4 § 1 PatG Rz 20; Stadler, Technizität von Patenten und Gebrauchsmustern, ÖBl 2014/35, 161).
1.2 Das Rekursgericht beurteilte die Frage der Technizität unter Heranziehung der aufgezeigten Grundsätze nach sorgfältiger und umfassender Prüfung der Ansprüche des Streitpatents und begründete sein Ergebnis ausführlich und zutreffend. Darauf wird verwiesen (§ 71 Abs 3 AußStrG). Die Ausführungen im Rechtsmittel geben keinen Anlass zu einer davon abweichenden Beurteilung. Sie zeigen weder eine unrichtige Beurteilung noch ein Abweichen von der bisherigen Rechtsprechung auf. [...]
Eingestellt von Markus Kastelitz am Mittwoch, September 14, 2016 Links zu diesem Post
Labels: OGH, Patent Law, Software, Technizität
Study on Transatlantic Digital Economy and Data Protection: State-of-Play and Future Implications
Study requested by the European Parliament's Committee on Foreign Affairs: Transatlantic Digital Economy and Data Protection: State-of-Play and Future Implications for the EU's External Policies (PE 535.006, July 2016, pdf)
Abstract: The internet has created a new global nervous system affecting all aspects of European society, politics and business; this will accelerate as we enter the era of the digitisation of everything. This digital transformation has enormous implications for the transatlantic relationship, especially in light of the differences that have developed concerning the appropriate balance between personal data protection, economic growth and national security. This study details how digital and data issues will be handled in the Transatlantic Trade and Investment Partnership; explains how this intersects with the new EU-US Privacy Shield Agreement and the broader implications of the judgment on Safe Harbour; and explores key issues in transatlantic law enforcement cooperation before highlighting a few broader foreign policy issues and laying forth some recommendations for the EU institutions.
Eingestellt von Markus Kastelitz am Dienstag, September 13, 2016 Links zu diesem Post
Labels: Datenschutz, EU, Global Data Transfers, USA
EuGH: Setzen eines Hyperlinks zu urheberrechtlich geschützten Werken u. "öffentliche Wiedergabe" (Update)
EuGH 08.09.2016, Rs C-160/15 - GS Media BV / Sanoma Media Netherlands BV, Playboy Enterprises International Inc., Britt Geertruida Dekker
Aus der EuGH-Pressemeldung (pdf):
Das Setzen eines Hyperlinks auf eine Website zu urheberrechtlich geschützten Werken, die ohne Erlaubnis des Urhebers auf einer anderen Website veröffentlicht wurden, stellt keine „öffentliche Wiedergabe“ dar, wenn dies ohne Gewinnerzielungsabsicht und ohne Kenntnis der Rechtswidrigkeit der Veröffentlichung der Werke geschieht. Werden diese Hyperlinks dagegen mit Gewinnerzielungsabsicht bereitgestellt, ist die Kenntnis der Rechtswidrigkeit der Veröffentlichung auf der anderen Website zu vermuten. [...]
Eingestellt von Markus Kastelitz am Freitag, September 09, 2016 Links zu diesem Post
Labels: CJEU, Copyright, EuGH, Urheberrecht
EuGH: Schlussanträge des Generalanwalts zum geplanten PNR-Abkommen EU-Kanada
Schlussanträge des Generalanwalts vom 8.9.2016 zum Gutachtenantrag 1/15
Nach Auffassung von Generalanwalt Mengozzi kann das geplante Abkommen zwischen der Europäischen Union und Kanada über die Übermittlung von Fluggastdatensätzen in seiner jetzigen Form nicht geschlossen werden. Mehrere Bestimmungen des Abkommensentwurfs verstoßen nämlich gegen Grundrechte der Union
Quelle: Pressemitteilung EuGH
Labels: Canada, CJEU, Datenschutz, EuGH, PNR
BRD: Aufsatz zur Umsetzung der DSGVO im Unternehmen
Der Datenschutzbeauftragte der Allianz Deutschland, Dr. Oliver Draf, LL.M. und Tim Wybitul, Hogan Lovells geben einen im aktuellen Betriebs-Berater, Heft 35 (BB 2016, 2101 ff.) einen Überblick über die Projektplanung zur Umsetzung der Anforderungen der DSGVO.
Eingestellt von Markus Kastelitz am Mittwoch, September 07, 2016 Links zu diesem Post
Labels: Datenschutzliteratur, Deutschland, DSGVO, GDPR (DS-GVO)
BRD: Referentenentwurf BMI zur Umsetzung der DSGVO (Erlass eines ABDSG etc.)
Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Datenschutz-Grundverordnung und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU):
[...] Der Gesetzentwurf sieht folgende Gesetzesänderungen vor:
1. Erlass eines Allgemeinen Bundesdatenschutzgesetzes – ABDSG – (Artikel 1), das für öffentliche Stellen des Bundes und für nicht-öffentliche Stellen gilt, mit folgenden Regelungsschwerpunkten: [...]
Quelle: Blog "EU-Datenschutz-Grundverordnung (EU-DSGVO)"
Labels: ABDSG, Datenschutz, Deutschland, DSGVO, GDPR (DS-GVO)
OGH: Ärztebewertungsportal und Datenschutz (§ 28 Abs 1 DSG 2000)
OGH 27.06.2016, 6 Ob 48/16a (Nachgang zum erfolgreichen Normenkontrollantrag zu § 28 Abs 2 DSG 2000, s VfGH 08.10.2015, G 264/2015)
3.2.4. Unter Berücksichtigung dieser Rechtsprechung erscheint eine extensive Interpretation des § 28 Abs 1 DSG 2000 dahin, dass nicht lediglich auf Geheimhaltungs-, sondern auf sämtliche schutzwürdigen Interessen abzustellen ist, geboten. Andernfalls würde der in der Datenschutzrichtlinie vorgegebene Schutz des Betroffenen im Rahmen des Widerspruchsrechts eingeschränkt.
4. Damit ist im vorliegenden Verfahren bei der Prüfung der Verarbeitung der Daten durch die Beklagte auch zu berücksichtigen, inwieweit andere Persönlichkeitsrechte des Klägers oder seine Privatautonomie verletzt wurden. [...]
5. Damit hat – entgegen der vom Berufungsgericht vertretenen Auffassung – eine Interessenabwägung nach § 28 Abs 1 DSG 2000 auch unter Berücksichtigung sonstiger schutzwürdiger Interessen zu erfolgen, solche konnte der Kläger hier jedoch nicht unter Beweis stellen. Im Ergebnis war somit der Revision des Klägers ein Erfolg zu versagen. [...]
Eingestellt von Markus Kastelitz am Donnerstag, September 01, 2016 Links zu diesem Post
Labels: Datenschutz, OGH, VfGH, Widerspruchsrecht (§ 28 Abs 2 DSG 2000)
OGH zum DSG 2000: Datenübermittlung und Unterlassungsanspruch (§§ 7 Abs 2, 32 Abs 2)
OGH, 27.06.2016, 6 Ob 191/15d
[...] 4.4.2. § 7 Abs 2 Z 2 DSG 2000 verpflichtet den Empfänger vor der Übermittlung im Hinblick auf den (rechtmäßigen) Zweck der Übermittlung, wenn dies nicht außer Zweifel steht, glaubhaft zu machen, dass er tatsächlich selbst die gesetzliche Zuständigkeit oder rechtliche Befugnis besitzt. Der Empfänger hat seine rechtliche Befugnis initiativ glaubhaft zu machen. Die Beurteilung, ob die Glaubhaftmachung gelungen ist oder ob keine Zweifel vorliegen, obliegt dem Übermittler (vgl Jahnel, Datenschutzrecht Rz 4/122; Knyrim, Datenschutzrecht³ 127; Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung 415 f; Drobesch/Grosinger, Datenschutzgesetz 134).
4.4.3. Eine am Wortsinn haftende Interpretation des § 7 Abs 2 Z 2 DSG 2000 würde nicht nur jede Datenveröffentlichung unmöglich machen (vgl Jahnel, Datenschutzrecht Rz 4/126; Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung 417 f), sondern stünde oft auch Übermittlungen zu einem rechtmäßigen Zweck ohne Ersuchen aus Antrieb des Übermittlers an einen Empfänger, der tatsächlich über die gesetzliche Zuständigkeit oder rechtliche Befugnis verfügt, um die Daten zu diesem Zweck verwenden zu dürfen, entgegen.
4.4.4. Dieses Auslegungsergebnis ist vom Schutzzweck der Norm (es soll im Interesse des Betroffenen sichergestellt werden, dass die Daten nach der Weitergabe einer befugten „Empfangsstelle“ zukommen, Jahnel, Datenschutzrecht Rz 4/128) nicht gefordert und steht mit dem in Art 10 Abs 1 EMRK normierten Recht auf freie Meinungsäußerung und Informationsfreiheit in Widerspruch. Hinsichtlich des Rechts auf Zugänglichkeit und Empfang von Informationen verbietet Art 10 EMRK in erster Linie die Beschränkung des Empfangs von Informationen, die andere einer Person zukommen lassen oder beabsichtigen zukommen zu lassen (vgl VfGH G 264/2015 mwN). [...]
4.4.6. Nach Auffassung des Senats reicht es für die Bejahung eines Unterlassungsanspruchs nach § 32 Abs 2 DSG 2000 nicht aus, dass der Übermittler vor der Übermittlung Zweifel an der ausreichenden gesetzlichen Zuständigkeit oder rechtlichen Befugnis des Empfängers im Hinblick auf den Übermittlungszweck hatte oder haben musste. Im Hinblick auf den Schutzzweck des § 7 Abs 2 Z 2 DSG 2000 ist entscheidend, dass die Übermittlung an einen im Hinblick auf den Übermittlungszweck tatsächlich nicht befugten Empfänger erfolgte. [...]
5.4.2. Zutreffend ist das Berufungsgericht davon ausgegangen, dass die Datenverwendung im verfassungsrechtlich garantierten Recht des Beklagten auf Eigentum (Art 5 StGG) eine rechtliche Basis hat und für die Durchsetzung seiner Rechtsposition als Miteigentümer, die Verwaltung durch die P*****, deren Geschäftsführer die Kläger waren, zu beenden, erforderlich war. Er hatte unter diesem Gesichtspunkt auch ein berechtigtes Interesse an der Übermittlung der strafrechtsbezogenen Daten der Kläger, die weder einen Bezug zum Beklagten noch zu den Miteigentümergemeinschaften, an denen der Beklagte Anteile hält, noch einen Bezug zu irgendeiner der Miteigentümergemeinschaften hatten (Verdacht der Untreue zu Lasten der P***** F***** GmbH). Dies ergibt sich schon daraus, dass der Umfang der Untreuehandlungen, derer die Kläger verdächtig und die Gegenstand des Ermittlungsverfahrens sind, die vom Beklagten vertretene Rechtsposition der Notwendigkeit eines Verwalterwechsels, um rechtswidrige Eingriffe der Kläger in sein Eigentum abzuwehren, untermauert. [...]
6.4.1. Die Kläger meinen, der vom Beklagten verfolgte Zweck sein Eigentum zu schützen, indem er die Miteigentümer informiere, wäre ohne Herstellung einer Datei und deren Übermittlung zu erreichen gewesen, hätte der Beklagte die ihm in Papierform zugestellte Anordnung lediglich „in Papierform“ kopiert und die Kopien in der Versammlung der Miteigentümergemeinschaften ausgeteilt. Die Datenübermittlung sei daher nicht das gelindeste Mittel gewesen.
6.4.2. Dem ist nicht zu folgen. Das Gebot des gelindesten Mittels ist nicht als grundsätzliches Abwehrrecht des Betroffenen gegen die Verwendung von EDV-Systemen durch Dritte zu verstehen. Personenbezogene Daten dürfen bei Vorliegen eines legitimen Verwendungszwecks, bei Nichtverletzung schutzwürdiger Geheimhaltungsinteressen und bei Achtung der Verhältnismäßigkeit stets in jenem Ausmaß verwendet werden, der zur Verfolgung dieses Ziels erforderlich ist. Es ist nicht zu prüfen, ob der Verwendungszweck durch konventionelle Maßnahmen des Auftraggebers (also ohne automationsunterstützte Datenverarbeitungssysteme) erreicht werden könnte (Ennöckl, Der Schutz der Privatsphäre in der elektronischen Datenverarbeitung 411 f). [...]
Eingestellt von Markus Kastelitz am Freitag, August 19, 2016 Links zu diesem Post
Labels: Austria, Datenschutz, OGH, Unterlassung
CISPE: Code of Conduct for Cloud Infrastructures S...
OGH: EuGH-Vorabentscheidungsersuchen betreffend Ar...
BRD: IoT und Datenschutz, Umgang mit Datenpannen (...
Düsseldorfer Kreis: Fortgeltung bisher erteilter E...
EU: Guide to the EU-U.S. Privacy Shield (Leitfaden...
JIPITEC: Articles on Data Protection and Encryptio...
Study on consumers’ attitudes towards Terms and Co...
LfDI: Datenübermittlungen in die USA – Fragen und ...
Data Protection: Summary of EU Court Decisions (co...
Study on Transatlantic Digital Economy and Data Pr...
EuGH: Setzen eines Hyperlinks zu urheberrechtlich ...
EuGH: Schlussanträge des Generalanwalts zum geplan...
BRD: Aufsatz zur Umsetzung der DSGVO im Unternehme...
BRD: Referentenentwurf BMI zur Umsetzung der DSGVO...
OGH: Ärztebewertungsportal und Datenschutz (§ 28 A...
OGH zum DSG 2000: Datenübermittlung und Unterlassu...