Source: https://www.delegedata.de/2016/10/hamburger-datenschutzbehoerde-keine-wirksame-einwilligung-gegenueber-facebook-wirklich/?replytocom=1345
Timestamp: 2018-09-24 22:53:49
Document Index: 228062228

Matched Legal Cases: ['EuG', '§4', '§4', 'Art.7', 'Art.6', 'Art.6', 'Art.10', 'Art.11', 'Art.14', 'Art.6', 'Art.12', 'EuG', 'Art.12', 'Art.29', 'Art.29', 'Art.29', 'Art 6', 'Art.12', '§4', 'Art.2', 'Art.4', 'Art.2', 'EuG', 'Art.12']

de lege data | Hamburger Datenschutzbehörde: Keine wirksame Einwilligung gegenüber Facebook. Wirklich? ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
This entry was posted in Datenschutz-Richtlinie, Datenschutzbehörde, Datenschutzrecht, Einwilligung, EuGH, Europa, Facebook. Bookmark the permalink.
3 thoughts on “Hamburger Datenschutzbehörde: Keine wirksame Einwilligung gegenüber Facebook. Wirklich?”
31. Oktober 2016 at 23:38
Ihre Argumente verwundern ein wenig, Hr.Piltz.
Die Legaldefinition des §4a BDSG sagt nichts dazu aus, wem gegenüber die Willensbekundung tatsächlich abzugeben ist. Wer ist also Adressat einer Einwilligungserklärung gem. §4a BDSG? Wem gegenüber muß eine Einwilligung abgegeben werden, wenn sie eine der Voraussetzungen zur legitimen Verarbeitung personenbezogener Daten – eine Rechtsgrundlage gem. Art.7 EU-RL – darstellt? Welche tatsächliche Wahlmöglichkeit (ohne Zwang) muß gegenüber welchem Adressaten bestehen, damit die Einwilligung als wirksam oder gültig angesehen wird?
Laut Art.6 Abs.2 EU-RL trägt z.B. für die Einhaltung des Art.6 Abs.1 lit c) der für die Verarbeitung Verantwortliche Sorge; Art.10 fordert u.a. die Informierung über Empfänger; Art.11 fordert die Informierung für den Fall, daß die Daten nicht bei der betroffenen Person erhoben wurden; Art.14 räumt ein Widerspruchsrecht der betroffenen Person ein. Inwieweit lassen diese Normen (Art.6, 7, 10, 11, 14 und auch 26) i.V.m. der Einwilligung in eine Verarbeitung welche Verarbeitung durch oder Weitergabe an Dritte zu?
Eine Einwilligung im Sinne der Legaldefinition kann nicht durch den bloßen Wortlaut von den restlichen Normen und deren Anforderungen isoliert betrachtet werden, denn dann erfüllte sie ihren Zweck nicht (Akzeptanz der jeweiligen Verarbeitung “ohne Zwang, für den konkreten Fall und in Kenntnis der Sachlage” inkl. Kontroll- und Widerspruchsmöglichkeit). Die Einwilligung bezieht sich auf eine Verarbeitung und somit kann dahinstehen, wer diese Verarbeitung vornimmt, denn für ebendiese Verarbeitung ist die Einwilligung eine Rechtsgrundlage. Werden die Daten von einem anderen verarbeitet, dann findet auch eine andere Verarbeitung statt: der für die Verarbeitung Verantwortliche, die Sachlage und der konkrete Fall sind andere. Dass der für die Verarbeitung Verantwortliche der Adressat für eine Einwilligungserklärung ist, scheint mir ein logischer Schluss zu sein.
Warum ziehen Sie Parallelen zur Einwilligung in eine Veröffentlichung gem. Art.12 Abs.2 RL 2002/58/EG und zur Einwilligung in eine Weitergabe der Daten nach RL 95/46/EG? Welcher Zusammenhang besteht zwischen einer Veröffentlichung von personenbezogenen Daten in einem öffentlichen Teilnehmerverzeichnis und personenbezogenen Daten in einem nicht öffentlichen Verzeichnis? Welche konkreten dritten Unternehmen, die Zugriff auf diese Daten erhalten, sollen denn bei einer Veröffentlichung (für alle verfügbar) von Daten denn benannt werden?
Ihre Schlussfolgerung ist im Zusammenhang mit der EuGH-Entscheidung argumentativ nicht haltbar, wenn die Einwilligung in eine Veröffentlichung gegeben wurde – der Teilnehmer also “im Allgemeinen kein Interesse an einem Widerspruch gegen die Veröffentlichung derselben Daten in einem anderen ähnlichen Teilnehmerverzeichnis haben” (Rn.62) – und Dritte ohnehin legitimiert sind, veröffentlichte Daten zu verarbeiten. In der Entscheidung geht es um den Zweck der Veröffentlichung gem. Art.12 RL 2002/58/EG und die daraus folgende Konsequenz, dass dritte Unternehmen dadurch grundsätzlich die Möglichkeit erhalten, diese Daten zum selben Zweck zu verarbeiten – was dem Einwilligenden zu verdeutlichen ist (in Kenntnis der Sachlage). Es geht gerade nicht um Dritte, die nicht veröffentlichte Daten zu selben oder anderen Zwecken verarbeiten wollen. Siehe auch Rn.64 ff. sowie den Hinweis auf die Argumentation der Generalanwältin (dort ab Rn.119 ff). Das Fazit könnte also höchstens lauten: “Zudem wird auch deutlich, dass die einmal gegenüber einem Unternehmen erteilte Einwilligung” für eine Veröffentlichung von Daten “auch spätere Datenverarbeitungen durch unbekannte Dritte legitimiert, solange die Zwecke bekannt waren und eingehalten werden.”
In der “Stellungnahme 15/2011 zur Definition von Einwilligung” (WP 187) schreibt die Art.29 Gruppe auf Seite 11:
“Auch wenn in der Richtlinie nicht festgelegt wird, zu welchem Zeitpunkt die Einwilligung eingeholt werden sollte, wird durch die Ausdrucksweise in den verschiedenen Bestimmungen eindeutig impliziert, dass die Einwilligung vor Beginn der Verarbeitung einzuholen ist. Das Einholen der Einwilligung vor Beginn der Datenverarbeitung ist eine wesentliche Bedingung der Legitimierung der Datenverarbeitung.” Womit wir bei Erstens und den Rechtsgrundlagen wären, und außerdem beim “konkreten Fall”. Welche konkrete Verarbeitung wird von WhatsApp genannt, die eine Weitergabe an und die Zwecke von Facebook abdecken, und in die eingewilligt wurde? Es ist wohl hilfreich, nicht die veralteten Papiere aus dem Jahr 1998 zu zitieren, sondern auf aktuelle Stellungnahmen Bezug zu nehmen. Welches Beispiel oder Gegenargument bietet die Art.29 Gruppe in der Stellungnahme 15/2011 und den darin erwähnten WPs?
Ihre Bedenken zur Weitergabe der Daten äußerte die Art.29 Gruppe übrigens in diesem Brief: http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2016/20161027__letter_of_the_chair_of_the_art_29_wp_whatsapp_en.pdf
Hallo anzolino, vielen Dank für Ihren sehr ausführlichen Kommentar. Wie Sie sich denken können, bin ich anderer Ansicht. Aber wo wären wir ohne anregende Diskussionen.
Für Sie ist es ein logischer Schluss, dass der für die Verarbeitung Verantwortliche der Adressat für eine Einwilligungserklärung ist. Dem entnehmen ich, dass auch Sie davon ausgehen, dass der Wortlaut für eine solche Auslegung nichts hergibt. Dass der Verntwortliche etwa nach Art. Abs. 2 für die Einhaltung der Vorgaben verantwortlich ist, sagt gerade nichts darüber, wem gegenüber die Einwilligung abzugeben ist. Der Verantwortliche muss die Einwilligung, also deren Inhalt, beachten. Eine mögliche Erteilung ihm gegenüber ist in Art 6 Abs. 1 lit. c aber gerade nicht vorausgesetzt. Nicht ganz folgen kann ich Ihrer Argumentation, wenn Sie sagen: “Die Einwilligung bezieht sich auf eine Verarbeitung und somit kann dahinstehen, wer diese Verarbeitung vornimmt, denn für ebendiese Verarbeitung ist die Einwilligung eine Rechtsgrundlage. Werden die Daten von einem anderen verarbeitet, dann findet auch eine andere Verarbeitung statt.” Wenn Ihrer Ansicht nach dahinstehen könnte, wer die Daten verarbeitet, dann dürfte es sich nicht um eine “andere Verarbeitung” handeln, wenn die Daten “von einem anderen verarbeitet” werden.
Die Parellele zu Art.12 Abs.2 RL 2002/58/EG ziehe ich, da es auch dort um eine Verarbeitung geht. Genauso wie im Fall der Weitergabe. Die Definition der Einwilligung unterscheidet ja nicht nach Verarbeitungstätigkeiten, also etwa nach Weitergabe oder Veröffentlichung. Die Anforderungen sind stets dieselben.
Warum man nicht ältere Stellungnahmen der WP nutzen sollte, erschließt sich mir nicht. Die dort enthaltenen Erwägungen gelten ja weiterhin, zumal sich die Anforderungen an die Einwillugung seitdem auch nicht verändert haben. Auch in der von Ihnen zitierten Stellungnahme geht es nicht um die Frage, wem gegenüber die Einwilligung abzugeben ist, was Sie ja auch klarstellen.
Zudem müssen wir, bei aller Diksussion zum Datenschuzrecht, auch beachten, dass die Frage des Empfangs einer Einwilligungserklärung auch nach zivilrechtlichen Maßstäben beurteilt werden könnte. WhatsApp also zB also Erklärungs- und/oder Empfangsbote.
3. November 2016 at 18:05
Hallo Herr Piltz.
Die Legaldefinition ist doch nur ein allgemeingültiges Konstrukt, das erst durch die konkreten Umstände in ihre jeweiligen Bestandteile zerlegt wird. Ich verstehe die Einwilligung als mehrstufiges Konzept und aus Sicht der Datenverarbeitung. Daten: Welche Daten sollen erhoben/verarbeitet werden und auf welcher Grundlage dürfen die Daten erhoben/verarbeitet werden? Rechtsgrundlage: Die Einwilligung stellt eine Rechtsgrundlage für eine Verarbeitung dar. Verarbeitung: Muss die Einwilligung vor Beginn einer Verarbeitung erklärt werden, dann umfasst sie im konkreten Fall die genannten Verarbeitungen für die genannten Daten zu den genannten Zwecken. Verantwortlicher: Die Rechtsgrundlage benötigt derjenige, der verarbeiten will oder lassen will, und dieser informiert auch. Der Betroffene bekundet seinen Willen demzufolge gegenüber dem für die Verarbeitung Verantwortlichen (mit dem er das Rechtsgeschäft eingehen will). Das ist der Erklärungsempfänger (daran ändert auch ein Bote nichts).
Aus dieser Sicht kann zunächst dahinstehen, wer verarbeiten will. Ein “gegenüber wem” muss nicht in §4a BDSG, Art.2 EU-RL oder in Art.4 der DS-GVO legal definiert werden. Der Erklärungsempfänger resultiert zwangsläufig aus den Anforderungen an eine Willensbekundung, an die Einwilligung und die Verarbeitung sowie aus den beteiligten Normen.
Die Definition der Einwilligung unterscheidet nicht in Verarbeitungstätigkeiten, das stimmt. Sie delegiert diese Unterscheidung aber an den Verarbeiter und zwar durch “für den konkreten Fall und in Kenntnis der Sachlage”. Müssen die Zwecke eindeutig und rechtmäßig sein und bei der Datenerhebung festgelegt werden, dann beinhaltet das die Verarbeitungstätigkeiten (Art.2 b) Weitergabe oder Veröffentlichung. Und eine wirksame Einwilligung bedingt die Kenntnis darüber. Der EuGH geht in den Rn. 58, 59 auf eine solche vorherige Unterrichtung ein. Eine generische Anforderung ist selbstverständlich immer dieselbe, aber der konkrete Fall, der Zweck und auch die Verarbeitung sind jeweils andere. Darum sehe ich keine Parallele zu Art.12 Abs.2 RL 2002/58/EG, denn dieser beinhaltet ausdrücklich die Verarbeitung zum Zweck der Veröffentlichung in Teilnehmerverzeichnissen und daraus folgend die Annahme einer konkludenten Einwilligung in weitere Verarbeitungen. Eine solche Veröffentlichung ist weder Zweck noch Verarbeitungstätigkeit bei WhatsApp. Davon, dass WhatsApp als Erklärungsbote fungiert, ist nichts in deren Datenschutzerklärung zu lesen. Diese zivilrechtlichen Maßstäbe stellen auch keine geringeren Anforderungen an die Einwilligung und an den Verarbeiter. Der Bote machte es durch die zwischengeschaltete Stelle, mögliche bewusste Falschübermittlung, unbewusste Willensmängel (diesen Irrtümern) und irgendwelche Haftungsfragen lediglich intransparenter für den Betroffenen, vielleicht auch die Rechtsfolge komplizierter.
Aber Sie haben Recht. Man wird sehen, was die Gerichte dazu meinen, und unterschiedlicher Meinung kann man immer sein.
Antworten auf anzolino Antwort abbrechen