Source: https://www.stephan-frank.com/category/reposting/page/2/
Timestamp: 2020-05-30 23:51:49
Document Index: 363345626

Matched Legal Cases: ['EuG', 'Art. 4', 'Art. 5', 'Art.13', 'Art. 5', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 5', '§ 7', 'Art. 13']

Reposting 2 // SFC | Stephan Frank Consulting - Datenschutz und Datensicherheit
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: DSGVO: Gästelisten in der Gastronomie zu Zeiten der Corona-Pandemie
Hamburg (Unter dem Punkt: Verarbeitung personenbezogener Covid-19-Daten durch den stationären Handel und Unternehmen mit Publikumsverkehr)
Rheinland-Pfalz (Unter dem Punkt: Was haben Gaststättenbetreiber und ähnliche Betriebe bei der Wiederöffnung datenschutzrechtlich zu beachten?)
Grundsätzlich sollten sich Betriebe zunächst nach den Handreichungen ihrer zuständigen Aufsichtsbehörde richten.
Der nachfolgende Guideline soll allen Gastwirten helfen, deren Aufsichtsbehörde keine konkreten Vorgaben gemacht haben, ihren Verarbeitungsprozess kritisch überprüfen zu können und datenschutzkonform zu gestalten:
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: DSGVO: Gästelisten in der Gastronomie zu Zeiten der Corona-Pandemie.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Gerichte äußern sich zur Position des Datenschutzbeauftragten
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Gerichte äußern sich zur Position des Datenschutzbeauftragten.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Zweites Pandemiegesetz: Kein Datenschutz für Gesunde
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Zweites Pandemiegesetz: Kein Datenschutz für Gesunde.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Datenschutz(v)erklärungen auf Streaming-Plattformen
Was haben der Tiger King und Datenschutzerklärungen von Streaming-Plattformen gemeinsam? Auf den ersten Blick nicht viel. Doch weit gefehlt, beide hinterlassen zuverlässig eine tiefgreifende Verwirrung.
Albtraum einer Couch Potato
Vielleicht haben Sie sich auch schon mal gefragt, was eigentlich im Hintergrund passiert, wenn Sie gemütlich auf der Couch liegt und Netflix schauen.
Das haben sich jedenfalls die Arbeiterkammer „AK“ und der Datenschutzverein „NOYB“ aus Österreich gefragt. Schließlich sind Streaming-Plattformen wahre Goldgruben für Datenauswertungen. Anders als beim guten alten Fernseher oder Radio, werden Seh- und Hörgewohnheiten minutiös erfasst.
Dafür haben sie die Datenschutzerklärungen der acht beliebtesten Streamingdienste untersucht: Amazon Prime, Apple Music, DAZN, Flimmit, Netflix, SoundCloud, Spotify und YouTube.
Nur haben die Datenschutzerklärungen mehr Fragen als Antworten aufgeworfen. Keine Spur einer Erklärung, wie die maßgeschneiderten Empfehlungen gegeben werden. Eine Empfehlung am Rande: Wenn Sie von Tiger King & Co. zu aufgerüttelt sind, um direkt einzuschlafen, lesen Sie als Gegenmittel eine Datenschutzerklärung. Das Wirkung tritt in der Regel innerhalb weniger Sekunden ein.
Befähigung zur Selbstbestimmung (Theorie)
Verantwortliche, hier die Betreiber der Streaming-Dienste, sind nach der DSGVO verpflichtet, den Nutzern Informationen zur Datenverarbeitung in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung zu stellen.
Durch die Information zur Existenz der Verarbeitungsvorgänge und deren Zwecken soll eine faire und transparente Verarbeitung gewährleistet werden. Das hehre Ziel: Der Nutzer soll so zur inneren Selbstbestimmung befähigt werden und entscheiden können, ob er die Datenerhebung erlauben oder sonst zu ihr beitragen will.
Verwirrung (Realität)
Die Nutzer werden durch keine der Datenschutzerklärungen wirklich transparent informiert. Was mit den Daten geschieht, bleibt im Dunkeln. Die AK und das NOYB bemängeln (fast) alles an den Datenschutzerklärungen. Es geht los bei fehlenden Kontaktdetails und endet bei fehlenden Zweckangaben. Etwas salopp gesagt, kann man sich viele der Datenschutzerklärungen in der derzeitigen Form sparen. Wir wollen auf einzelne Befunde des Berichts eingehen. Eine Tabelle mit einer Übersicht der Ergebnisse finden Sie auf Seite 9.
Wahllose Zwecke, Rechtsgrundlagen und Datenkategorien
Zwecke werden häufig nur beispielhaft aufgezählt und sind daher zu unbestimmt. Mangels der Verknüpfung der Zwecke mit Rechtsgrundlagen kann sich der Nutzer auch kein Bild von der Rechtmäßigkeit machen. So heißt es bei Amazon Prime
„zu diesen Zwecken zählen: Kauf und Lieferung von Produkten und Dienstleistungen, Bereitstellung, Fehlerbehebung und Verbesserung der Amazon Services, Empfehlungen und Personalisierung, Bereitstellung von Sprachdiensten, Einhaltung rechtlicher Verpflichtungen, Kommunikation mit Ihnen, Anzeigen, Betrugsprävention und Kreditrisiken, Zwecke, für die wir Ihre Einwilligung einholen.“
Zu den Rechtsgrundlagen heißt es nur:
„in bestimmten Fällen unterliegen wir rechtlichen Verpflichtungen, Ihre persönlichen Informationen zu erheben und zu verarbeiten“, und: „eventuell bitten wir Sie um Ihre Einwilligung, Ihre persönlichen Informationen zu einem bestimmten Zweck zu verarbeiten, den wir Ihnen mitteilen werden“.
Man könnte anders herum auch formulieren. Wir verarbeiten ihre Daten für eine unbestimmte Anzahl an Zwecke. Nach dem Motto: Nenne alle möglichen Zwecke und du kannst tun und lassen was du willst. Irgendein Zweck wird schon passen. So wird der Zweckbindungsgrundsatz unterlaufen. Zudem bekommen Nutzer den Eindruck, dass die Verarbeitung sämtlicher personenbezogenen Daten auf alle Rechtsgrundlagen gestützt werden könnte.
Nebulöse Empfänger
Die Datenschutzerklärungen enthalten häufig keine Einschränkungen, welche Kategorien von Daten geteilt werden. Empfänger werden nur sehr unbestimmt genannt. Durch die unbestimmten Angaben wird der Eindruck erweckt, dass alle personenbezogenen Daten weitergegeben werden können.
Bei Youtube heißt es, dass personenbezogene Daten in den folgenden Fällen weitergegeben werden:
„mit Einwilligung der Nutzer, an Domain-Administratoren, mit verbundenen und nicht-verbundenen Unternehmen oder Personen, wie z.B. Dienstleistern, zur externen Verarbeitung und aus rechtlichen Gründen.“
Aha, mmh, was habe ich da eigentlich gerade gelesen? Keine Sorge, auch nach mehrmaliger Lektüre ist man nicht viel schlauer. In einem Wettbewerb „sage etwas sagen, ohne etwas zu sagen“ würde die Erklärungen einen der oberen Ränge belegen.
Amazon wiederum macht widersprüchliche Angaben. So wird erklärt, dass personenbezogene Daten nur an Amazon.com, Inc. und seine Tochtergesellschaften weitergegeben werden. Gleichzeitig erklärt Amazon, dass personenbezogene Daten für bestimmte Zwecke, wie „Transaktionen mit Dritten, Drittdienstleister“, an Dritte weitergegeben werden.
Unbestimmte Speicherdauer
Die Speicherdauer wird meistens nicht konkretisiert. Auch eine Bestimmung anhand von Kriterien ist häufig ebenso nicht möglich.
Bei Amazon Prime heißt es:
„Wir speichern Ihre Informationen solange, wie dies erforderlich ist, um die in dieser Datenschutzerklärung beschriebenen Zwecke zu erfüllen oder wie dies gesetzlich vorgeschrieben wird, z.B. für Steuer-und Buchhaltungszwecke.“
Dumm nur, dass die Zwecke nur beispielhaft aufgezählt werden und keine Verknüpfung der Datenkategorien mit Zwecken stattfindet, sodass der Nutzer überhaupt nicht weiß für welche Zwecke welche Daten genau verarbeitet werden.
Die Datenschutzerklärung von Netflix gibt im Grunde das Gesetz wieder:
„Wir können Informationen, wie gemäß geltenden Gesetzen und Bestimmungen erforderlich oder zugelassen, einschließlich unter Einbeziehung Ihrer Auswahl, zu Zwecken der Rechnungsstellung oder Buchführung und um den Zwecken dieser Datenschutzerklärung nachzukommen, speichern.“
Empfehlungen wie von Geisterhand
Wir alle kennen die Empfehlungen auf Streaming-Plattformen. Viele lassen sich davon leiten. Die Datenschutzerklärungen enthalten hierzu aber keine Informationen, obwohl die DSGVO bei automatisierter Entscheidungsfindung aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person fordert.
Apple behauptet sogar, dass
„keinerlei Entscheidungen unter Zuhilfenahme von Algorithmen oder Profiling mit erheblichen Auswirkungen für Sie”
getroffen werden. In der Apple-Music-Datenschutzerklärung heißt es dann aber:
„Wenn du Apple Music verwendest, erfassen wir Informationen über die Titel und Videos, die du abspielst oder zu deiner Musikmediathek oder deinen Playlists hinzufügst, sowie Inhalte, die du als Favorit wählst, kommentierst oder teilst.“
„Wir nutzen diese Daten, um dein Apple Music-Erlebnis individuell an dich anzupassen. Außerdem möchten wir genauer verstehen, auf welche Art und Weise Apple Music verwendet wird, damit wir es verbessern können.”
„Zudem können wir dir Vorschläge machen, die deinen Geschmack treffen.“
Hier ist eine Profilerstellung mittels automatisierter Profilerstellung wahrscheinlich.
Auch Netflix erklärt nicht klar und deutlich, dass automatisierte individuelle Entscheidungen getroffen werden. Man kann nur mittelbar darauf schließen, z.B. wegen der Zwecke der
„Bereitstellung von speziell auf Sie abgestimmten Empfehlungen für Filme und Serien, die Ihnen unsere Meinung gefallen nach könnten“
und die Optimierung von
„Empfehlungsalgorithmen und die Darstellung“.
Das gleiche gilt für Amazon Prime. Auch hier lässt sich nur mittelbar auf den Einsatz von Algorithmen schließen, z.B. durch den Zweck „Empfehlungen und Personalisierung“:
„Wir verarbeiten Ihre persönlichen Informationen, um Funktionen, Produkte und Dienstleistungen zu empfehlen, die für Sie von Interesse sein könnten, um Ihre Präferenzen zu ermitteln und Ihre Erfahrungen mit Amazon Services zu personalisieren“
Solche Profile werden in der Regel mittels Algorithmen erstellt. Diese Information ist aber auch unvollständig, weil Amazon die Logik hinter den Empfehlungen und der Personalisierung nicht erklärt.
Zum Wegklicken
Nun sagen Sie vielleicht, ist doch alles halb so schlimm. Die Datenschutzerklärungen liest ja eh niemand. Es sind halt die AGBs der Datenschutzwelt. Doch hier stellt sich die Frage nach dem Ei und der Henne. Was war zuerst da? Das Desinteresse der Nutzer oder die Frustration nach der ersten nichtssagenden Datenschutzerklärung.
Der Gesetzgeber hat die Informationspflichten als ein Grundstein der weiteren Rechte und Pflichten der DSGVO gedacht, denn nur wenn man weiß, was passiert, kann man selbstbestimmt handeln und seine Rechte wahrnehmen. Das Bundesverfassungsgericht trifft den Nagel auf den Kopf:
„Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden.“
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Datenschutz(v)erklärungen auf Streaming-Plattformen.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Bußgeld in Holland: Unrechtmäßige Verarbeitung von Fingerabdrücken
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Bußgeld in Holland: Unrechtmäßige Verarbeitung von Fingerabdrücken.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Europa vs. USA – Sind IP-Adressen personenbezogene Daten?
IP-Adressen sind personenbezogene Daten! Ganz klar – oder etwa nicht? Was in Europa Konsens sein dürfte, gilt noch lange nicht in den USA. Dort scheiden sich an diesem Begriff noch immer die Geister. Sein oder nicht sein, das ist hier die Frage. Wir haben uns einmal angeschaut, wie die Diskussion den Datenschutz beeinflusst.
Was sind IP-Adressen eigentlich?
Eine IP-Adresse ist eine Adresse in Computernetzwerken, welche auf dem Internetprotokoll (IP) basiert. Das Internetprotokoll selbst ist das mit Abstand gängigste Netzwerkprotokoll und stellt damit auch die Grundlage des Internets dar. IP-Adressen werden sämtlichen Geräten zugewiesen, welche mit einem Netzwerk, also z. B. dem Internet, verbunden sind. Mittels der IP-Adresse können Datenpakete versendet und einem eindeutigen Empfänger zugeordnet werden. In der analogen Welt wäre die Postadresse auf einem Briefumschlag das Gegenstück zur IP-Adresse.
Die Frage, ob IP-Adressen personenbezogene Daten sind, ist so alt wie das Internet selbst. Im Jahr 2017 hatte der Bundesgerichtshof nach Vorlage an den EuGH entschieden, dass IP-Adressen personenbezogene Daten sind, da es (abstrakt) möglich sei, den Inhaber des Internetanschlusses zu ermitteln und somit den Rückschluss auf eine konkrete Person herzustellen. Dies deckt sich im Wesentlichen mit den Vorgaben der DSGVO. Gemäß Art. 4 Nr. 1 sind personenbezogene Daten
„alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.“
Da also stets Informationen über die IP-Adressen ausgetauscht werden, wenn Daten im Internet vom Absender zu ihrem Empfänger gesendet werden, erhebt also jeder Websitebetreiber permanent personenbezogene Daten, sobald der Nutzer eine Website aufruft. Das gilt sowohl für statische als auch für dynamische IP-Adressen.
Das Datenschutzrecht in Europa gilt weltweit als führend. In den USA hingegen wurde der Schutz von personenbezogenen Daten sowie der Schutz der Privatsphäre des Einzelnen jahrelang eher stiefmütterlich behandelt. Facebook, Google & Co. lassen grüßen. In den USA existiert kein einheitliches Datenschutzrecht wie in Europa. Lediglich in einzelnen Gesetzen waren sporadische Regelungen zum Datenschutz zu finden. Seit dem 01.01.2020 ist nun aber der „California Consumer Privacy Act (CCPA)“ in Kraft getreten, welcher Verbrauchern im Bundesstaat Kalifornien erstmals ausdrücklich Rechte einräumt, welche vergleichbar mit den Vorgaben der Artt. 15 ff. DSGVO sind. Weitere Datenschutzgesetze in anderen Bundesstaaten sind geplant. In den USA scheint daher langsam ein Umdenken in Sachen Datenschutz einzusetzen.
Genauso wie es in den USA bislang keine einheitlichen Regeln zum Datenschutz gibt, so existiert auch keine allgemeine Definition zu dem Begriff der personenbezogenen Daten. Das hat zur Folge, dass einzelne Gesetze teilweise überhaupt keine Angaben machen, wie IP-Adressen zu behandeln sind. Die Frage, ob und inwiefern IP-Adressen personenbezogene Daten sind, war und ist in den USA bereits seit Jahren Gegenstand einer hitzigen Debatte (ähnlich wie einst hierzulande).
Die Abgrenzung erfolgt dabei oft zwischen statischen und dynamischen IP-Adressen. Statische IP-Adressen kennzeichnen sich dadurch, dass sie nicht geändert werden, auch wenn die Verbindung zwischen Endgerät und Netzwerk getrennt wird. Bei jeder neuen Verbindung wird die gleiche IP-Adresse zugewiesen. Wohingegen IP-Adressen als dynamisch bezeichnet werden, wenn diese bei jeder Einwahl neu vergeben werden und somit nur für einen gewissen Zeitraum demselben Gerät zugeordnet sind.
Die (datenschutzrechtliche) Unterscheidung zwischen statischen und dynamischen IP-Adressen wurde vor allem damit begründet, dass es bei einer dynamischen IP-Adresse auf Grund der zeitlich begrenzten Zuweisung schwieriger sei, einen konkreten Personenbezug herzustellen. Daher wird die Ansicht vertreten, dass dynamische IP-Adressen keine personenbezogenen Daten sind. Der Umstand, dass es technisch schwieriger ist, den Personenbezug herzustellen, schließt aber nicht aus, dass man einen Personenbezug grundsätzlich herstellen kann. Diese Unterscheidung vermag daher nicht zu überzeugen. Dennoch hat auf diese Weise beispielsweise das US-Bundesgesetz „Children’s Online Privacy Protection Act“ (COPPA), welcher im Jahr 2013 in Kraft trat, IP-Adressen unterschiedlich eingestuft.
Was ist im CCPA geregelt?
Der CCPA hat sich hingegen stark an den Vorgaben der DSGVO orientiert und räumt seinen Adressaten umfangreiche Rechte zum Schutz der Privatsphäre ein. Dementsprechend geht auch der CCPA davon aus, dass IP-Adressen generell unter den Begriff der personenbezogenen Daten fallen. Der Weg dorthin war allerdings steinig. In den Gesetzesentwürfen für den CCPA wurde die Frage nach dem Personenbezug unterschiedlich beantwortet.
Die Einstufung als personenbezogenes Datum ist aus datenschutzrechtlicher Sicht zu begrüßen. Wenn man für IP-Adressen ganz oder teilweise den Personenbezug verneinen würde, wären datenschutzrechtliche Vorschriften diesbezüglich gar nicht anwendbar. Das würde das Schutzniveau für diese Art Daten drastisch senken. Darüber hinaus bestünde dann die Gefahr, dass derselbe Sachverhalt unterschiedlich bewertet werden könnte, je nachdem, welche Regelung man heranzieht.
Im Sinne der Einheitlichkeit
Es bleibt daher zu hoffen, dass sich in den USA auch bezüglich der rechtlichen Bewertung von IP-Adressen der Trend durchsetzt, diese einheitlich als personenbezogene Daten zu betrachten. Dies würde sicherlich die transatlantischen Beziehungen im Bereich des Datenschutzes vereinfachen und verbessern. Dass in den USA der generelle Wille vorhanden ist, hat sich in vergangenen Monaten schon gezeigt.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Europa vs. USA – Sind IP-Adressen personenbezogene Daten?.
Liebe Leser! Diesen Artikel finde ich sehr interessant und lesenswert. Wenn im kommenden Halbjahr und besonders im nächsten Jahr die verschiedenen Veranstaltungen nachgeholt werden und man sich wieder angemessen präsentieren wird, denke man trotzdem und unbedingt an die Regeln für Datenschutz und Marketing. Viel Spaß beim Lesen!
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Kundenakquise auf Messen: Was ist nach der DSGVO zu beachten?
Das Messejahr scheint dieses Jahr zwar nicht im gewohnten Umfang stattfinden zu können, trotzdem erreichen uns immer wieder Anfragen zu Themen wie Informationspflichten am Messestand, Kundenakquise und der Umgang mit Visitenkarten. Im Post-Coronazeitalter werden wieder viele Gewerbetreibende auf Messen strömen und dort um die Gunst neuer Kunden buhlen. Hierbei kommen Sie unausweichlich mit personenbezogenen Daten in Kontakt. Es folgt eine Übersicht was bei typischen Messeszenarien zu beachten ist.
Der überzeugte Kunde
Wir nehmen an, Sie sind Aussteller einer großen Automobilmesse. An ihrem Stand liegen verschiedene Kataloge und Infomaterialien zu ihren Flakschiffen Auto A, Auto B und Auto C aus.
Sie konnten einen Besucher ihres Standes aufgrund ihres Verkaufsgeschick von Auto A überzeugen. Kurzerhand entschließt er sich, dass Fahrzeug noch vor Ort zu erwerben. Sie zücken das Bestellformular für Neukunden und nehmen seine Daten auf. Irrelevant ist hierbei, ob Sie zum Erfassen ein good-old Papierformular oder eine digitale Variante einsetzen. Was gilt es nun zu beachten?
Es gilt: So viel wie nötig, so wenig wie möglich
Zunächst ist der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO zu beachten. Sie dürfen daher nur diejenigen personenbezogenen Daten abfragen, die Sie auch tatsächlich zur Abwicklung der Kundenbestellung benötigen. In der Regel dürfte der Name, die Lieferanschrift und eine Kontaktmöglichkeit ausreichend sein. Der ausgeübte Beruf? Der Familienstand? Es ist, wie so oft, eine Frage von Fall zu Fall. Sofern mit dem Autokauf etwa zeitgleich auch ein Finanzierungsdarlehen einhergeht, erweitert sich die zulässige Abfrage etwa auch auf Daten, die Rückschlüsse über die Bonität des Kunden geben können. Überlegen Sie stets, welche Daten sind tatsächlich zur Erbringung meiner vertraglichen Leistungen erforderlich?
Informationspflichten am Messestand
Nach Art.13 DSGVO muss ihr Kunde im Zeitpunkt der Erhebung seiner Daten alle diejenigen Informationen erhalten, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten. Durch das Dokument beantworten Sie als verantwortlicher Datenverarbeiter typische W-Fragen: Wer verarbeitet hier? Welche Zwecke verfolge ich dabei? Wer erhält die Daten noch? Wie lange werden sie gespeichert? Welche Rechte hat mein Kunde?
In unserem Beispiel bietet sich eine abgedruckte Erklärung an. Diese kann als Anhang dem Vertrag oder der Bestellbestätigung beigefügt werden und dem Kunden so dauerhaft zur Verfügung gestellt werden. In der Printversion sicherlich die rechtssicherste Variante. Nicht notwendig ist jedoch, dass der Kunde den Erhalt der Informationen mittels Unterschrift oder Checkbox bestätigt. Um der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu genügen, ist vielmehr entscheidend, dass der gesamte Prozess so organisiert ist, dass jeder Kunde letztlich die Möglichkeit der Kenntnisnahme hat. Sofern die Daten digital erhoben werden und die Bestellbestätigung etwa per Mail an den Kunden verschickt wird, kann es zweckmäßig sein, die Erklärung zusätzlich als Anhang zu verschicken.
Die rechtliche Grundlage in diesem Fallbeispiel ist Art. 6 Abs. 1 S. 1 lit. b DSGVO. Die bei Bestellung des Autos verarbeiteten Daten sind zur Vertragserfüllung notwendig. Eine explizite Einwilligung des Kunden bedarf es an dieser Stelle nicht.
Der zweifelnde Kunde
In diesem Fall konnten Sie trotz intensivster Bemühungen den Besucher vom Kauf eines ihrer Autos noch nicht vollends überzeugen. Er interessiert sich sowohl für Modell A, als auch für Modell B und wünscht weitere Informationen. Auch hierzu haben Sie ein Formular (print oder digital). Um dem Kunden die Kaufentscheidung zu erleichtern, bieten Sie ihm den Versand einer Hochglanzbroschüre per Post oder in digitaler Form per E-Mail an. Je nachdem welche Art der Besucher wählt, dürfen sie entsprechend Daten erheben. Zum Versand brauchen Sie zwingend die Anschrift, aber wohl nicht die Mailadresse. Sofern die Broschüre per Mail gewünscht ist, brauchen Sie nicht zwingend die Anschrift.
Berechtigte Interessen an der Verarbeitung?
Sollte es bereits zu konkreten Verkaufsgesprächen gekommen sein, halte ich hier ebenfalls Art. 6 Abs. 1 S. 1 lit. b DSGVO aufgrund der Vertragsanbahnung für vertretbar. Hier kann die Abgrenzung im Einzelfall jedoch schwierig sein. Jedenfalls haben Sie ein berechtigtes Interesse an der Verarbeitung der Daten ihres potenziellen Kunden gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO. Sie selbst haben ein wirtschaftliches Interesse an der Zusendung des Infomaterials, da Sie sich erhoffen, den Besucher überzeugen zu können und so einen Neukunden zu gewinnen. Die erforderliche Interessenabwägung dürfte in diesem Fall zu ihren Gunsten ausgehen. Die Anfrage, das gewünschte Infomaterial zu erhalten, ist vom Besucher selbst ausgegangen. Ihm ist bewusst und er kann absehen, dass seine Daten gerade zu diesem Zweck verwendet werden und erforderlich sind. Der Besucher hat mithin ein eigenes Interesse an der Verarbeitung seiner Daten zur Beantwortung seiner Broschürenanfrage.
Ein dauerhafter Messe-Lead?
Dürfen Sie die so gewonnen Daten nun dauerhaft nutzen? Nach Art. 5 Abs. 1 lit. b DSGVO gilt ein strenger Zweckbindungsgrundsatz. Sie dürfen personenbezogene Daten nur solange verarbeiten, wie auch der Erhebungszweck fortbesteht. Danach sind die Daten zu löschen. In diesem Fall wäre der Zweck nach der Zusendung des gewünschten Materials zu entfallen. An dieser Stelle begehrt die Marketingabteilung regelmäßig auf. Man habe doch noch weitere tolle Angebote und Informationen für potenzielle Kunden. Können wir die einmal erhobenen Daten nicht auch für weitere werbliche Maßnahmen nutzen?
Einwilligungserfordernis für Werbenewsletter
Zwar kann ein berechtigtes Interesse von Ihnen als Aussteller sein, die am Messestand gewonnen E-Mail oder Kontaktdaten auch weiterhin zu Werbezwecken zu verwenden. Neben der DSGVO müssen Sie jedoch beachten, dass nach § 7 UWG eine werbliche Ansprache per E-Mail grundsätzlich nur mit vorheriger ausdrücklicher Einwilligung des Besuchers möglich ist. Es gilt daher streng zu unterscheiden, zwischen der vom Kunden gewünschten Infos zu Auto A und Auto B und darüber hinaus gehender Werbemails etwa zu Auto C oder Zubehör XYZ.
Wollen Sie dem Besucher also im Nachgang zur Messe über seine konkreten Broschürenwunsch hinaus weiterführende Werbung wie z.B. den Unternehmens-Newsletter per Email zusenden, sollten Sie sich hierfür zuvor eine Einwilligungserklärung einholen. Das kann mittels Checkbox auf dem Formular oder in einer Digitalversion erfolgen.
Double Opt-In und Protokollierung beachten
Durch das Double-Opt-In-Verfahren stellen Sie sicher, dass nur diejenigen E-Mail-Adressen beworben werden deren Inhaber dies auch wünschen. Nur wenn der Inhaber der Mailadresse eine Bestätigungsmail erhält und den darin enthaltenen Aktivierungslink klickt, haben Sie einen Nachweis über seine Einwilligung. Achten Sie darauf, dass die Bestätigungsmail keine werblichen Inhalte enthalten. Ein Firmenlogo oder Impressum, welches die Seriosität ihres Anliegens verdeutlicht, ist zulässig.
Der Großkunde
An ihrem Stand erscheint ein Unternehmer aus dem Taxigewerbe. Zunächst Interessiert er sich für die aktuell angebotene Flotte. Er möchte aber auch künftig informiert bleiben – benötigt er doch regelmäßig Fahrzeuge in hoher Stückzahl. Er überreicht Ihnen seine Visitenkarte. Man möge doch bitte in Kontakt bleiben.
Informationspflichten adäquat erfüllen
Sofern Sie jetzt die Visitenkartendaten in ihr CRM-System übertragen wollen, bestehen erneut die Informationspflichten aus Art. 13 DSGVO. Nun wird kaum ein Besucher Lust dazu haben, von jedem Stand an dem er seine Visitenkarte hinterlässt, im Austausch eine ausgedruckte Erklärung in die Hand gedrückt zu bekommen. Diese Pflicht können Sie daher durch Informationsschilder oder ausgelegten Flyern nachkommen. Gerade bei B2B-Kontakten wird man in der Regel davon ausgehen dürfen, dass der Besucher mit einer Verarbeitung der Kontaktdaten nach der Messe rechnet und dies sogar erwünscht ist. Sollte die Kartenübergabe mit einer konkreten Anfrage zu Produkten oder dem Erhalt von Informationen verbunden ist, erscheint es zudem zweckmäßig bei erstmaliger Kontaktaufnahme auf den Umgang mit Kundendaten hinzuweisen. Dies kann dann entweder per Link auf die Erklärung oder als Mailanhang erfolgen. Aber Achtung: Für weiterführende Werbemails über ein konkretes Angebot oder Anfrage hinaus gilt auch für Geschäftskunden das strenge Einwilligungserfordernis.
Grundsätzlich hat die Datenschutz-Grundverordnung bei der praktikablen Erfüllung von Informationspflichten strukturelle Schwächen. Denken Sie zum Beispiel an die Warenbestellung per Telefon. Ein Vorlesen der Informationspflichten vor Aufnahme der Kontaktdaten wäre unzumutbar. Die Information über Transparenz und Fairness der Verarbeitung müssen hier auf die gegebenen Umstände des Geschäftslebens angepasst werden, ohne ihre Sinnhaftigkeit zu verlieren. Im Zweifel hilft Ihnen ihr Datenschutzbeauftragter bei einer praxisgerechten Umsetzung sicher gerne weiter.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Kundenakquise auf Messen: Was ist nach der DSGVO zu beachten?.
Liebe Leser! Werbung ist Werbung ist Werbung. Die Weitergabe der Daten des Besuchers Ihrer Webseite an ein datenfinanziertes Netzwerk ist und bleibt weiterhin Werbung. In diese muss eingewilligt werden – sprich, checken Sie die Funktionsweise und die Konformität Ihrer Webseite. Jetzt!
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: EDSA: Neue Leitlinien zur Cookie-Einwilligung auf Webseiten
Die bei Publikationsmedien wie spiegel.de, zeit.de oder washingtonpost.com mittlerweile häufiger anzutreffende Praxis, dem Leser bei Aufruf der Website einen ganzseitigen Banner vor die Nase zu setzen, mit der Option, das Tracking entweder zu akzeptieren („Weiterlesen mit Werbung“) oder ein Abo abzuschließen, dürfte nun vermehrt auf den Prüfstand kommen.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: EDSA: Neue Leitlinien zur Cookie-Einwilligung auf Webseiten.
HINWEIS: Der Text stammt nicht direkt von mir / diesem Projekt. Das Original finden Sie hier: Der reinste Datenschutz-Horror: Sekte sammelt Politikerdaten
Wer weiß, wie viele solcher Listen noch kursieren? Auch Rechts- und Linksextreme sowie Islamisten führen derartige Verzeichnisse. Nicht nur für Datenschützer ist das eine Horrorvorstellung. Längst vergangene Zeiten dürfen sich nicht wiederholen – werden personenbezogene Daten von Politikern, Journalisten, Kritikern und allen anderen Betroffenen nicht geschützt, öffnet dies einer finsteren Zukunft Tür und Tor.
Diesen Artikel finde ich sehr interessant und lesenswert, allerdings stammt der Text nicht von mir / diesem Projekt. Dieser Post stammt ursprünglich von: Dr. Datenschutz (Info leider im Original-Beitrag ggf. nicht enthalten) und natürlich liegen alle Rechte beim Verfasser / Rechteinhaber. Hier geht’s zum Original: Der reinste Datenschutz-Horror: Sekte sammelt Politikerdaten.