Source: https://www.datenschutzrecht-essen.de/kategorie/datenschutzrecht
Timestamp: 2019-06-19 21:00:05
Document Index: 170906815

Matched Legal Cases: ['§ 22', '§ 22', '§ 22', 'Art. 85', 'Art. 85', '§ 23', 'Art. 85', 'Art. 85', 'Art. 6', 'BGH', 'EuG', 'EGMR', 'Art. 6', 'Art. 30', 'Art. 9', 'Art. 10', 'Art. 35', '§ 4', '§ 4', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 32', 'Art. 7', 'Art. 24', 'Art. 35', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 13', 'Art. 13']

Datenschutzrecht Archive | Ihr Datenschutzbeauftragter
Sie befinden sich hier: Startseite / Datenschutzrecht
Mit der Datenschutzgrundverordnung (DSGVO) kam nun im Mai 2018 das Problem auf, ob das Kunsturhebergesetz neben der DSGVO anwendbar bleibt. Das OLG Köln (15 W 27/18) entschied, dass es teilweise anwendbar ist.
Ein besonderes Datenschutzproblem stellt das Recht am eigenen Bild dar. Viele übersehen, dass es bei Abbildungen von natürlichen Personen um personenbezogene Daten im Sinne des Datenschutzrechts geht. Eine Person wird durch ein Foto, eine Zeichnung etc. identifizierbar und dadurch wird das Datenschutzrecht anwendbar.
Somit tritt auch der Grundsatz “Verbot mit Erlaubnisvorbehalt” in Kraft. Damit ist eine Verarbeitung von Daten grundsätzlich erstmal verboten, es sei denn, es liegt eine Einwilligung vor oder es besteht ein gesetzlich geregelter Erlaubnistatbestand.
Vor Wirksamwerden der DSGVO war dieser Grundsatz im Kunsturhebergesetz (KUG) geregelt. Das KUG ging dem BDSG-alt vor.
Die §§ 22, 23 KUG beinhalten Vorschriften für eine Veröffentlichung von Personenbildnissen. Dabei stellt § 22 S.1 KUG ebenfalls den Grundsatz des Verbots mit Erlaubnisvorbehalt auf. Nach erteilter Einwilligung wäre auch hier eine Verarbeitung möglich. Der Unterschied beim KUG liegt darin, dass eine Einwilligung i.S.d. § 22 KUG bei Landschafts-, Versammlungs- oder bestimmten Kunstbildern und Bildnissen aus dem Bereich der Zeitgeschichte entbehrlich sein soll, wenn nicht das Interesse des Betroffenen dieser Verarbeitung entgegensteht. Hier war immer eine Abwägung zwischen den Interessen des Abbildenden und Abgebildeten vorzunehmen.
Hat sich diese Handhabung mit dem Wirksamwerden der DSGVO geändert?
Mit der DSGVO hat es sich insoweit geändert, dass nun kein Vorrang des KUG mehr vorliegt. Durch sogenannte Öffnungsklauseln können Mitgliedsstaaten mit eigenen Vorschriften gemäß Art. 85 DSGVO handeln.
Das OLG Köln musste nun entscheiden, ob das KUG eine Vorschrift im Sinne des Art. 85 Abs. 1 DSGVO darstellt.
KUG anwendbar
Im journalistischen Bereich sei eine Anwendung des KUG durchführbar, da eine Abwägung einerseits zwischen dem Datenschutz und andererseits der Äußerungs- und Kommunikationsfreiheit nach § 23 Abs. 2 Kunsturhebergesetz stattfindet.
Fraglich bleibt da aber weiter die Anwendung des KUG für die Werbe- und Öffentlichkeitsarbeit von Unternehmen.
Es stellt sich die Frage, ob die Öffnungsklausel des Art. 85 DSGVO Sachverhalte wie die Werbe- und Öffentlichkeitsarbeiten von Unternehmen erfasst. Nach dem Wortlaut des Erwägungsgrundes 153 zur DSGVO soll sich Art. 85 Abs. 2 DSGVO also die Möglichkeit der Abweichung vom Verordnungstext, nur auf journalistische, wissenschaftliche, literarische oder künstlerische Zwecke beschränken. Für weitere Möglichkeiten bestehe daher kein weiterer Raum. Danach wäre für Werbe- und Öffentlichkeitsmaßnahmen von Unternehmen die DSGVO der rechtliche Rahmen. Die Einholung von Einwilligungen und die Anforderungen an Erlaubnistatbestände würden dann an Art. 6 und 7 DSGVO gemessen werden.
Dadurch wird eine Rechtsunsicherheit generiert, da es bislang keine Erfahrungen für die Praxis gibt und die über Jahre von BGH, EuGH und EGMR entwickelte Rechtsprechung zum Kunsturhebergesetz keine Anwendung findet.
Um rechtssicher zu sein, sollten Unternehmen, die Bildnisse in Werbung und Öffentlichkeitsarbeit nutzen, sich an der DSGVO orientieren. Einwilligungen und Interessensabwägungen werden dabei an den Regelungen der Art. 6, 7 DSGVO gemessen.
In den nächsten Wochen beginnen wir mit einer Reihe von Berichten, die sich an den ausgegebenen Kurzpapieren der Datenschutzkonferenz DSK orientieren. Starten werde wir unsere Beiträge mit dem Thema: Verzeichnis von Verarbeitungstätigkeiten (kurz: Verzeichnisse) nach Art. 30 DS-GVO.
BDSG zu DS-GVO
Grundsätzlich ist festzuhalten, dass jeder Verantwortliche (z.B. Unternehmen, Freiberufler und andere) und nun auch jeder Auftragsverarbeiter zur Führung eines solchen Verzeichnisses verpflichtet ist. Das alte Verfahrensverzeichnis aus dem BDSG wird durch ein schriftliches bzw. elektronisches Verzeichnis aller Verarbeitungstätigkeiten ersetzt. Diese Verzeichnisse betreffen automatisierte und auch nicht – automatisierte Verarbeitungen personenbezogener Daten.
Stellen mit weniger als 250 Mitarbeitern
Das Gesetz sieht für Unternehmen mit weniger als 250 Mitarbeitern keine Pflicht zum Führen der Verzeichnisse. Der Gesetzgeber definiert dazu wie immer Ausnahmen.
Ausnahmen liegen vor, wenn der Verantwortliche und nun auch der Auftragsverarbeiter Verarbeitungen personenbezogener Daten durchführt,
die ein Risiko für Rechte und Freiheiten der Betroffenen bedingen, so z.B. Überwachungsmaßnahmen oder
die besondere Datenkategorien gemäß Art. 9 DS-GVO wie Gesundheitsdaten oder auch strafrechtliche Verurteilungen und Straftaten nach Art. 10 DS-GVO berühren oder
die im häufigsten Fall die nicht nur gelegentliche Verarbeitung von beispielsweise Kunden- oder Beschäftigtendaten betrifft.
Trifft eine dieser Fallgruppen für Sie zu, so sind Sie verpflichtet, diese Verarbeitungsverzeichnisse nach Art. 35 DS-GVO zu führen.
Änderungen zum BDSG
Es bestand bis jetzt nach dem BDSG die Pflicht, ein Verzeichnis für jedermann öffentlich bereit zu halten. Jeder hatte die Möglichkeit, dies anzufordern und eine grundlegende Sicht in die Verarbeitungen eines Unternehmens etc. zu bekommen. Das ist nach der DS-GVO nicht mehr erforderlich.
Auch entfällt die Meldepflicht mancher Unternehmen nach § 4d und § 4e BDSG. Nach der DS-GVO sind Unternehmen nicht mehr verpflichtet, diese Meldungen vorzunehmen.
Inhalt eines Verzeichnisses für Verantwortliche nach Art. 30 Abs. 1 DS-GVO
Nach wie vor müssen die Verzeichnisse wesentliche Angaben wie beispielsweise der Zweck der Verarbeitung oder auch die Kategorien der personenbezogenen Daten bzw. der betroffenen Personen bereithalten. Dies ist nun in Art. 30 Abs. 1 DS-GVO geregelt.
Bereits bestehende Verzeichnisse eines Unternehmens erfordern keine allzu großen Umformulierungen.
Inhalt eines Verzeichnisses für Auftragsverarbeiter nach Art. 30 Abs. 2 DS-GVO
Nach Art. 30 Abs. 2 DS-GVO müssen Auftragsverarbeiter nun im Gegensatz zum BDSG ein Verzeichnis der von ihm im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten erstellen.
Beschreibung der TOMs
Art. 30 Abs. 1 lit. g und Art. 30 Abs. 2 lit. d DS-GVO verlangen, dass Aufsichtsbehörden durch die angehängten technisch-organisatorischen Maßnahmen gemäß Art. 32 Absatz 1 DS-GVO eine erste Rechtmäßigkeitsentscheidung durchführen können. Wie detailliert diese auszufüllen sind, gibt die DS-GVO nicht vor.
Nach der DS-GVO müssen aber noch weitere Dokumentationspflichten erfüllt werden:
Vorhandensein von Einwilligungen (Art. 7 Abs. 1)
die Ordnungsmäßigkeit der gesamten Verarbeitung (Art. 24 Abs. 1)
Ergebnis von Datenschutz-Folgenabschätzungen (Art. 35 Abs. 7)
Rolle der Verzeichnisse ab dem 25. Mai
Auch mit der Umstellung auf die DS-GVO werden die Verzeichnisse eine große Rolle in der Rechtfertigung der Verarbeitung der personenbezogenen Daten spielen. Durch sie können einerseits die gesetzlichen Vorgaben überhaupt nur eingehalten werden und andererseits können Unternehmen die Anforderungen der Aufsichtsbehörden nur mit Vorhalten der Verzeichnisse bei einer Kontrolle erfüllen.
Falls Sie Fragen haben oder Hilfe beim Ausfüllen der Verarbeitungsverzeichnisse brauchen, dann fragen Sie uns. Wir helfen gerne.
Die niedersächsische Datenschutzbeauftragte – Barbara Thiel – ist der Auffassung, dass in dem Pilotversuch der Bodycamnutzung bei der niedersächsischen Polizei eine Rechtsgrundlage fehle. Mit dieser Annahme wäre dieser Pilotversuch rechtswidrig. Diesbezüglich hat Frau Thiel eine förmliche Beanstandung eingereicht, da das Innenministerium den Pilotversuch noch nicht abgebrochen hat.
Was ist eine Bodycam?
Sogenannte Bodycams werden von den Polizisten während des Einsatzes getragen und bieten je nach Modell Ton- und Bildaufnahmen. Diese Bodycams werden meist an der Schulter befestigt und filmen das Gesicht des Gegenübers. Teilweise werden Bodycams auf Brusthöhe platziert.
Vorabkontrolle fehlt
Aus datenschutzrechtlicher Sicht fehle dem ganzen Pilotversuch schon die sog. Vorabkontrolle, die überprüft, ob die Datenverarbeitung angemessen und sicher ist. Diese müsse bei der Einführung einer neuen Technik in jedem Falle vorgenommen werden.
Durch die Bodycams entstehen Bildaufnahmen, die einen Eingriff in das informationelle Selbstbestimmungsrecht bilden. Für diesen Eingriff benötigt es natürlich einer gesetzlichen Grundlage. Die Aufnahme der Bodycams von dem Gesicht des Gegenübers stellt einen besonders schwerwiegenden Eingriff in die informationelle Selbstbestimmung des Gefilmten. Infolgedessen wird gerade ein Gesetzesentwurf für den Einsatz der Bodycams diskutiert. Nach Inkrafttreten dieser Regelung dürften Bodycams eingesetzt werden.
Die Entwicklung der Rechtsprechung zum Thema Videoüberwachung bleibt also aus datenschutzrechtlicher Sicht spannend.
Viele Unternehmen bauen auf moderne Zeiterfassungssysteme. Diese erleichtern Abrechnungen und zeigen Überstunden der Mitarbeiter transparent auf. Dies kann aber auch dazu führen, dass einzelne Mitarbeiter detailliert kontrolliert und verglichen werden können. Dies sind die Bereiche, in denen der interne bzw. externe Datenschutzbeauftragte tätig wird.
Zeiterfassungssysteme bringen Vorteile
Heutzutage wird in den meisten Unternehmen genau verfolgt, wer zu welcher Uhrzeit auf der Arbeit erscheint und später den Arbeitsplatz wieder verlässt. Moderne Zeiterfassungssysteme lösen dabei die klassischen Stundenzettel oder die Stechuhr im Unternehmen ab.
Die Zeiterfassung bietet den großen Vorteil, die Überstunden der Arbeitnehmer ebenfalls aufzuzeichnen und für die Abrechnung zur Verfügung zu stellen. Für die Arbeitgeber bietet es den Vorteil, dass dadurch eine Produktivitätssteigerung hervorgerufen werden kann. Datenschützer sehen Zeiterfassungssysteme kritisch, da aus den Systemen gewonnene Informationen auch für andere Auswertungen herangezogen werden können. Bezüglich solcher Erfassungssysteme stellen Datenschützer schriftliche Regelungen für Unternehmen auf. Der Datenschutzbeauftragte eines Unternehmens berät die Unternehmensführung und die Arbeitnehmer rund um das Thema der Arbeitszeiterfassung.
Betriebsvereinbarung als zentraler Punkt
Die Zeiterfassung bietet viele Möglichkeiten im Unternehmen:
Erfassung der Anzahl der Überstunden
Überprüfung der Auslastung der Mitarbeiter
direkter Vergleich zwischen den Angestellten
Zeitplanung der Mitarbeiter bei Projekten
Leerläufe zwischen Projekten
Um die Möglichkeiten der Datenverwendung gesetzeskonform zu gestalten, sollte in einer Betriebsvereinbarung die Zeiterfassung klar definiert sein. Dabei ist eine transparente Formulierung für die Mitarbeiter wichtig. Dies umfasst eine Information, welche Daten gespeichert werden und wozu das Unternehmen diese auswerten möchte. Je nach Definition dürfen die Daten später nicht anderweitig genutzt werden.
Zugriffsregelung für erfasste Daten
Die erfassten Daten dürfen nicht von jedem eingesehen werden. Es ist wichtig abzuklären, wer die Daten sehen und diese auch verwenden darf. Nach dem “Need to know Prinzip” sollen nur diejenigen, die die Daten für ihre Auswertungen benötigen, auf Zeiterfassungssysteme Zugriff haben.
Besonders vertraulich zu behandelnde Daten liegen beispielsweise vor, wenn ein Mitarbeiter im Urlaub oder im Krankenstand ist. Diese Daten sollte nur der direkte Vorgesetzte kennen. Gewisse Projekte sollten nach Expertenmeinungen auch anonym ausgewertet werden. Beispielsweise ist es für die Mitarbeiterauslastung nicht nötig, einem gewissen Mitarbeiter bestimmte Zeiten zuzuordnen, sondern nur anonyme Informationen über die von der Arbeitsgruppe benötigte Zeit zu erhalten.
Die Speicherdauer solch erhobener Daten ist im Arbeitszeitgesetz geregelt. Überstunden dürfen zwei Jahre gespeichert werden. Bruttolohnlisten werden wegen der Abgabenverordnung sechs Jahre lang gesichert.
Mit dem Inkrafttreten der Datenschutzgrundverordnung (DSGVO) wird sich einiges in Deutschland nochmal in Sachen Datenschutz ändern. Zwar haben wir mit dem BDSG schon ein sehr gutes Datenschutzniveau, allerdings erweitern sich einige Anforderungen, die es zu erfüllen gilt. In diesem Artikel gehen wir darauf ein, was sich für Webseiten und Onlineshops bei der DSGVO in Zukunft ändern wird.
Was ändert sich durch die Datenschutzgrund-verordnung im Mai 2018
Generell kann man hierzu keine Aussage treffen. Es ändern sich viele Kleinigkeiten, so dass eigentlich alle Prozesse mit personenbezogenen Daten kontrolliert werden müssen. Wie bereits erläutert, stellen wir hier die Änderungen dar, die sich auf Webseiten und Onlineshops beziehen.
Insbesondere ist hier in Zukunft eine andere Herangehensweise bei folgenden Punkten zu beachten:
genutzte Formulare wie z.B. ein Kontaktformular
Mit der DSGVO werden einige bisherige Grundsätze ein wenig verändert bzw. erweitert.
In der DSGVO ist in Artikel 32 die Datensicherheit als Grundsatz niedergeschrieben. Dieser umfasst, dass Verarbeiter von Daten unter Berücksichtigung des Stands der Technik, der Implementierung dieser Technik und der weiteren Umstände und Risikoanalyse geeignete technische und organisatorische Maßnahmen treffen, um ein angemessenes Schutzniveau für die Daten im Vergleich zum Risiko zu gewährleisten.
Dies bedeutet im Einzelnen, dass sich die geeigneten Maßnahmen für den Schutz der personenbezogenen Daten nach der Schutzbedürftigkeit dieser richten.
Vor drohenden Bußgeldern hilft nach Inkrafttreten der DSGVO nur ein effektives Datenschutzmanagement und eine stetige Dokumentierung der Einhaltung der Datenschutzanforderungen. So können Sie die datenschutzrechtliche Umsetzung gegenüber nationaler und europäischer Aufsichtsbehörden nachweisen.
Der uns schon bekannte Grundsatz des Verbots mit Erlaubnisvorbehalt lautet, dass die Erhebung, Verarbeitung und Nutzung personenbezogener Daten grundsätzlich verboten ist, es sei denn es erfolgt eine Erlaubnis aus
dem Gesetz, z.B. derzeit aus dem BDSG, aus dem TMG, aus der DSGVO oder
aus der Einwilligung der betroffenen Person.
Dieser Grundsatz bedeutet, dass Sie nur so viele Daten erheben und verarbeiten dürfen, wie Sie tatsächlich zur Erfüllung Ihrer Verpflichtung benötigen.
Wie auch bisher dürfen Daten unter dem Grundsatz der Zweckbindung nur zu dem Zweck verarbeitet werden, zu dem Sie erhoben wurden.
Was sind die nötigen Arbeitsschritte nach der DSGVO?
Nach dem Inkrafttreten der DSGVO im Mai 2018 müssen hinsichtlich einiger Bereiche ein paar Voraussetzungen beachtet werden.
Bisher findet man die “Cookie-Bar” beim Aufruf einer Homepage. Dies hat sich bisher in der Anwendung des Rechts durchgesetzt. Bei einem Besuch auf der Webseite öffnet sich ein Feld, in dem der Besucher der Homepage über den Einsatz von Cookies informiert wird. In dieser Form wird derzeit das Einverständnis des Besuchers eingeholt.
Doch wie wird dies in Zukunft aussehen?
Im Mai nächsten Jahres werden die Vorschriften des Telemediengesetzes (TMG) nicht mehr anwendbar sein. Die DSGVO hält diesbezüglich aber keine Ausnahmeregelung für pseudonymisierte Daten bereit. Nach der neuen Rechtsprechung ist die Verarbeitung von personenbezogenen Daten erstmal unzulässig. Ausnahme bilden die Bedingungen aus Art. 6 DSGVO.
Sind für Cookies nun vorab immer Einwilligungen zuerst einzuholen ?
Art. 6 Abs. 1 Satz 1 lit. f DSGVO gibt eine Möglichkeit für eine zulässige Verarbeitung von personenbezogenen Daten. Im Hinblick auf Cookies wird dieser Vorschrift eine große Bedeutung zukommen. Nach dieser Vorschrift ist eine Verarbeitung zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten notwendig ist. Dies ist allerdings nur möglich,
sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen“
Dies führt bei der DSGVO dazu, dass in jedem Fall eine Interessensabwägung durchgeführt werden muss.
Diese Interessensabwägung führt zu folgenden Fragestellungen, die es zu klären gilt:
Hat der Online Händler ein berechtigtes Interesse an einem Einsatz von Cookies ?
Wird der Cookieseinsatz zur Wahrung dieses Interesses wirklich benötigt ?
Überwiegen in der Interessensabwägung die Interessen des Betroffenen am Schutz seiner Rechte oder die Interessen des Online Händlers ?
Konsequenz aus der Interessensabwägung
Der Einsatz von Cookies zur Webseitenanalyse kann in der DSGVO über eine Interessensabwägung aus Art. 6 Abs. 1 Satz 1 lit. f DSGVO gerechtfertigt werden. Genau wie nach bisheriger Rechtssprechung sollten hier die Interessen des Händlers dem Schutz den Interessen des Betroffenen überwiegen.
Ebenso wird dies wohl bei Cookies zu sehen sein, die der Bedienerfreundlichkeit auf der Webseite dienen. Dies kann beispielsweise eine Spracheinstellung sein, die es dem Online Händler ermöglicht, dem Besucher der Webseite per Cookie eine beim ersten Besuch ausgewählte Sprache nicht erst erneut wieder auswählen zu müssen. In die schutzwürdigen Interessen des Besuchers wird nicht so stark eingegriffen, wenn eine pseudonymisierte Datenerhebung stattfindet.
Wenn in den Fällen somit der Einsatz der Cookies über die Interessensabwägung gerechtfertigt ist, muss keine gesonderte Einwilligung erfolgen. Mithin muss die oben angesprochene Cookie-Bar nicht mehr angewendet werden.
Aber es ist Vorsicht geboten. Bisher haben die Gerichte und die Behörden noch keine eindeutige Stellungnahme zum Thema Cookies abgegeben.
Derzeit wird vor allem an einer ePrivacy Verordnung gearbeitet. Diese Verordnung der europäischen Union kann dann in diesem Bereich nochmal alles neu gestalten. Geplant ist dort eine Cookie-Richtlinie.
Es wird weiterhin notwendig sein, dass Webseitenbetreiber eine Datenschutzerklärung führen müssen. Es gibt nun über die DSGVO in Art. 13 Abs.1 DSGVO inhaltliche Punkte, die dem Besucher als Informationen definitiv zur Verfügung gestellt werden müssen.
Datenschutzerklärungen müssen für jeden leicht verständlich sein. Es muss für jeden ersichtlich sein, welche Erhebung von Daten stattfindet, welcher Zweck hinter der Erhebung steht und wie diese Daten weiterverarbeitet werden. Webseiten, die sich an Kinder richten, müssen in einer kindgerechten Sprache abgefasst sein.
Art. 13 Abs. 1 DSGVO enthält folgende Informationen, die in jeder Datenschutzerklärung aufgelistet sein müssen:
Bei Formularen werden auch jetzt häufig noch viele Angaben von Besuchern der Webseite gefordert. Dies wird sich mit der DSGVO ändern. Für die Kontaktaufnahme zu einem Besucher reicht die Angabe der Email aus. Um gegebenenfalls eine persönlichere Ansprache zu ermöglichen, sollte neben der Email Adresse maximal noch der Nachname als Pflichtangabe hingenommen werden. Alle anderen Angaben sollten im Ermessen des Besuchers liegen. Es sollte also gemäß dem Grundsatz der Datensparsamkeit und der Zweckbindung nur die nötigsten Daten erhoben werden. Formulare, die personenbezogene Daten erheben, sollten über eine SSL Absicherung verfügen.
Nach bisheriger Rechtsprechung wird häufig bei Login-Bereichen mit Emails, Benutzernamen und Passwörtern gearbeitet. Aufgrund der strengeren Datenschutzvorschriften sollte auf einen Gebrauch von Benutzernamen umgestellt werden, da diese meist anonymisiert sind. Aus dem Grundsatz der Datensparsamkeit sollte auch hier dazu angeraten werden, die Pflichtangaben auf das Nötigste zu minimieren. Des Weiteren sollte auch hier der Login Bereich zwingend über eine SSL Funktion abgesichert sein. Daten, die der Besucher freiwillig gibt, dürfen auch weiterhin genutzt werden.
Um sich für einen Newsletter anmelden zu können, sollte auch eine SSL Funktion genutzt werden. Bei der SSL gesicherten Übertragung sollte für eine Newsletteranmeldung lediglich die Email als Pflichtangabe herangezogen werden. Weitere Informationen wären nicht mehr vom Zweck umfasst und somit eine überflüssige Erhebung von Daten, die dem Grundsatz der Datensparsamkeit widersprechen.
Heutzutage stellen Social Media Plugins schon ein Problem dar. Niemand weiß, wie Facebook etc. arbeiten und was für Informationen bei einem Besuch über die Plugins erfolgen. Nach der DSGVO muss für die Erhebung von Daten ohne Einwilligung letztendlich eine Rechtfertigung zur Datenerhebung vorliegen. Bei Social Media Plugins werden keine rechtfertigenden Gründe zu finden sein. Demnach sollte vor dem Anzeigen der Plugins eine Einwilligung vom Besucher der Webseite eingeholt werden. Aber diese Einwilligung zur Datenerhebung wird man nicht einholen können, da dem Besucher keine Information über die Datenverarbeitung gemacht werden kann.
Wer rechtlich hierbei sicher auftreten möchte, sollte nach Inkrafttreten der DSGVO auf die Social Media Plugins verzichten. Eine derzeit sichere Lösung ist die Shariff-Lösung. Genauere Informationen zu dieser Lösung finden Sie unter diesem Link, der auf die Seite heise.de führt.
Mit dem Wirksamwerden der DSGVO treten einige Neuerungen auf. Durch die uns bekannte Rechtslage im Hinblick auf das BDSG treten nicht zu viele Neuigkeiten auf. Die Stellschrauben werden lediglich ein wenig anders angesetzt. Falls Sie Hilfe für Ihre Stellschrauben im Unternehmen haben, so schreiben Sie uns eine Email an dsb@anka.eu oder rufen Sie uns an.
Nach der Änderung des Personalausweisgesetzes rügen Datenschützer die Online-Ausweisfunktion, da der integrierte Chip nicht mehr deaktivierbar ist. Die Datenschutzbeauftragte Bremens Imke Sommer sieht darin eine Gefahr.
Entsprechende Behörden und Geheimdienste können sich bei Bedarf jegliche Informationen aus dem Ausweis ziehen. Dazu gehören nicht nur die Informationen, die wirklich benötigt werden.
Die Bürger konnter bisher den integrierten Chip im Ausweis deaktivieren. Bei Abholung deaktivierten sie direkt diese Funktion und damit war abgesichert, dass die Informationen nicht abgerufen werden können. Durch die Änderung des Gesetzes ist der Chip aber nun von vornherein aktiviert.
Was macht dieser Chip genau?
Nach dem Erhalt des PIN-Briefes durch das Amt, stellt der Bürger sich zunächst eine eigene PIN ein. Er benötigt nun noch den Ausweis, einen PC und eine entsprechende App. Von nun an funktioniert der aktive Chip. Der Bürger kann mit der Online-Ausweisfunktion beispielweise Meldebescheinigungen beantragen, viele formelle Verfahren durchführen oder auch ein Bankkonto eröffnen.
Welches Probleme sehen Frau Sommer und andere Datenschützer?
Niemand hat sicherlich ein Problem damit, wenn “Behördengänge” insoweit vereinfacht werden, dass man vieles von Zuhause aus erledigen kann. Problematisch hingegen ist die Tatsache, dass der Chip dauerhaft eingeschaltet und somit immer eine Missbrauchsgefahr gegeben ist. Die Frage ist stets, welche Daten vom Ausweis genommen werden, wenn eine Anfrage geschickt wird. Der Bürger hat keine Entscheidungsmöglichkeit mehr, zu entscheiden, welche Daten er aushändigen möchte.
Welche Daten kann man auslesen?
Mit dem aktivierten Chip können immer alle Daten ausgelesen werden. Das sind diese Daten, die auch auf dem Personalausweis zu sehen sind.
das biometrische Foto
Gibt es Sicherheitsbedenken beim Online-Ausweisfunktion?
IT Experten formulieren ebenfalls ihre Sicherheitsbedenken. Selbst wenn der Ausweis mit Chip nach Aussagen des Bundesinnenministeriums sicher ist, ist es das Umfeld mit dem PC/Smartphone nicht. Die Onlinefunktionen arbeiten aber nur mit PC/Smartphone. Einen hohen Sicherheitsgrad bieten dabei nur teure Kartenleser. Ebenfalls liegt eine höhere Gefahr vor, wenn jemand an den PIN gelangt. Somit hätte der Unbefugte dann ebenfalls die Möglichkeit, an die Daten zu gelangen. Und wer elektronische Daten erlangt, kann diese auch gegen andere Menschen benutzen.
Es bleibt abzuwarten, wie sich die Rechtsprechung in dieser Hinsicht vielleicht noch verändern wird. Dem Anspruch der Datenschützer bezüglich der Rechtssicherheit wird es so nicht genügen.