Source: https://www.delegedata.de/author/carlo-piltz/page/3/
Timestamp: 2019-04-21 04:24:34
Document Index: 208880711

Matched Legal Cases: ['Art. 26', 'Art. 26', 'Art. 26', 'Art. 13', 'Art. 12', 'Art. 12', 'Art. 26', 'Art. 6', 'Art. 6', 'Art. 26', 'Art. 26', 'Art. 4', 'Art. 56', 'EuG', 'EuG', 'Art. 26', 'EuG', 'Art. 13', 'Art. 26', 'Art. 26', 'Art. 26', 'Art 26', 'Art. 26', 'Art. 28', 'Art. 28', '§ 126', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 28', 'Art. 12', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 30', 'Art. 12', 'Art. 13', 'Art. 13', 'Art. 26', 'EuG', 'EuG', 'EuG', '§ 3', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28', '§ 28']

de lege data | Author | Carlo Piltz | Page 3 ")}}return a.proceed()});scriptParent=document.getElementsByTagName("script")[0].parentNode;if(scriptParent.tagName.toLowerCase!=="head"){head=document.getElementsByTagName("head")[0];aop_around(head,"insertBefore");aop_around(head,"appendChild")}aop_around(scriptParent,"insertBefore");aop_around(scriptParent,"appendChild");var a2a_config=a2a_config||{};a2a_config.no_3p=1;var addthis_config={data_use_cookies:false};var _gaq=_gaq||[];_gaq.push(["_gat._anonymizeIp"])}
Author Archives: Carlo Piltz
Update zu Fanpages: Facebook stellt erforderliche Vereinbarung zur Verfügung
Posted on 11. September 2018 by Carlo Piltz
Gestern habe ich über den aktuellen Beschluss der deutschen Datenschutzbehörden zum Betrieb von Fanpages berichtet. Die deutschen Behörden haben darin u.a. festgestellt, dass der Betrieb einer Fanpage rechtswidrig ist, wenn nicht mit Facebook die erforderliche Vereinbarung nach Art. 26 DSGVO zur gemeinsamen Verantwortlichkeit geschlossen wird.
Facebook hat, praktisch über Nacht, reagiert und stellt nun ein Dokument mit dem Titel „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ zur Verfügung. Zwar wird nicht ausdrücklich darauf verwiesen, dass es sich hierbei um die Vereinbarung zur gemeinsamen Verantwortlichkeit nach der DSGVO handelt. Jedoch ergibt sich dies aus dem Text. Art. 26 DSGVO verlangt auch per se keine spezielle Benennung der Vereinbarung.
Das Addendum gilt für den Fall, dass ein Seitenbetreiber die Funktion „Seiten-Insights“ nutzt. Hierbei handelt es sich um die Möglichkeit, statistische Auswertungen der Nutzung der Fanpage anzuzeigen.
Viel wichtiger für Seitenbetreiber ist natürlich, ob die Vereinbarung nun genutzt werden kann, um damit den Anforderungen der DSGVO gerecht zu werden. Die gesetzlichen Anforderungen an die Vereinbarung stellt Art. 26 Abs. 1 DSGVO auf. In der Vereinbarung muss
in transparenter Form festgelegt werden,
wer von den gemeinsam Verantwortlichen welche Verpflichtung gemäß der DSGVO erfüllt.
Insbesondere, was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Art. 13 und 14 DSGVO nachkommt. Zudem kann in der Vereinbarung eine Anlaufstelle für die betroffenen Personen angegeben werden.
Laut der Vereinbarung sind der Seitenbetreiber mit Facebook Ireland gemeinsam Verantwortliche für die Verarbeitung von Insights-Daten. Das Addendum bezieht sich also nicht auf jegliche Datenverarbeitung über eine Fanpage, sondern nur auf jene Daten, die zur statistischen Auswertung genutzt werden.
Zudem wird festgelegt, dass Facebook Ireland die primäre Verantwortung gemäß der DSGVO für die Verarbeitung von Insights-Daten übernimmt.
Im Hinblick auf die nach der DSGVO zu erfüllenden Pflichten, insbesondere der Rechte der Betroffenen nach den Art. 12 bis 22 DSGVO, stimmt Facebook Ireland zu
„sämtliche ihr gemäß DSGVO obliegenden Pflichten im Hinblick auf die Verarbeitung von Insights-Daten zu erfüllen (u. a. Artikel 12 und 13 DSGVO, Artikel 15 bis 22 DSGVO und Artikel 32 bis 34 DSGVO)“.
Facebook wird sich also um die Erfüllung der Rechte der Betroffenen kümmern, soweit es die Insights Daten betrifft. Meines Erachtens ist dieser Passus aber leider noch nicht ganz deutlich. Denn es wird auf die „ihr…obliegenden Pflichten“ verwiesen, also die Pflichten der Facebook Ireland. Dann stellt sich natürlich unweigerlich die Frage, was mit den gesetzlichen Pflichten der Seitenbetreiber nach den Art. 12 bis 22 DSGVO passiert? Denn Informationspflichten obliegen den Seitenbetreibern auch. In der Vereinbarung nach Art. 26 DSGVO kann geregelt werden, wer sich um die Erfüllung dieser Pflichten für beide Verantwortliche kümmert. Den obigen Passus kann man wohl einerseits so lesen, dass er sich nur auf die Pflichten bezieht, die Facebook treffen, oder doch auch die Pflichten umfasst, die für die Seitenbetreiber gelten und im Innenverhältnis dann von Facebook erfüllt werden. Sinn macht für dieses Addendum eigentlich nur die letztgenannte Auslegung. Eine etwas klarere Formulierung wäre hier sicher hilfreich. UPDATE: Facebook hat das Addendum in genau diesem Punkt angepasst. Es wird nun auf “sämtliche Pflichten aus der DSGVO im Hinblick auf die Verarbeitung von Insights-Daten” verwiesen, also nicht mehr nur auf die Facebook Ireland treffenden Pflichten.
Zu beachten ist, dass jeder Seitenbetreiber daneben selbst dafür Sorge tragen muss, dass die Verarbeitung der Insights-Daten auf einer Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO beruht. Unternehmen müssen sich also Gedanken dazu machen, welcher Erlaubnistatbestand für die Erhebung personenbezogener Daten für den Zweck der statistischen Auswertung genutzt werden kann. In Betracht dürfte hier vor allem die Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO kommen.
Nach Art. 26 Abs. 2 DSGVO muss die Vereinbarung die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung muss der betroffenen Person zur Verfügung gestellt werden.
In dem Addendum verpflichtet sich Facebook dazu, das Wesentliche der Seiten-Insights-Ergänzung den betroffenen Personen zur Verfügung stellen. Damit ist die gesetzliche Vorgabe auch erfüllt. Jedoch ist aktuell noch kein Link oder Hinweis vorhanden, wo man als betroffene Person diese Informationen findet.
Das Addendum enthält keine Regelungen zur Haftung im Innenverhältnis zwischen Seitenbetreiber und Facebook. Eine solche Regelung ist auch nicht zwingend in Art. 26 DSGVO vorgesehen, wäre aber zwischen den Parteien durchaus möglich.
Interessant an der Ergänzung ist, dass in dem Addendum vereinbart wird, dass Facebook Ireland in der EU die Hauptniederlassung für die Verarbeitung von Insights-Daten für sämtliche Verantwortliche ist. Diese Formulierung bezieht sich auf die in Art. 4 Nr. 16 DSGVO definierte „Hauptniederlassung“ von der im Rahmen des One-Stop-Shop Prinzips der DSGVO abhängig gemacht wird, welche Datenschutzbehörde in Europa bei grenzüberschreitenden Verarbeitungen als „federführende Behörde“ agiert (Art. 56 DSGVO). Für die Datenverarbeitung der Insights-Daten ist, nach der vorliegenden Regelung, dann die Datenschutzbehörde in Irland europaweit zuständig.
Wie dieses Addendum Bestandteil von Verträgen zwischen Facebook und Seitenbetreibern wird, ist in der Ergänzung nicht konkret beschrieben. Im Grunde kann man sich folgende Szenarien vorstellen:
Existierende Kunden (Unternehmen mit Fanpages) werden über die Ergänzung informiert und diese wird, durch weitere Nutzung, Teil des Vertrages (so wohl auch die Information von Facebook im Unternehmensblog).
Neue Kunden schließen dieses Addendum bei der Registrierung der Fanpage mit ab.
Jetzt muss man sehen, wie und ob die Aufsichtsbehörden reagieren werden. Unternehmen sollten auf jeden Fall beachten, dass der in dem neuen Beschluss der DSK enthaltene Fragenkatalog noch weitere Fragen enthält, die ein Seitenbetreiber im Zweifel beantworten können sollte.
Posted in Datenschutz-Grundverordnung, Datenschutzrecht, EuGH, Facebook	| 2 Comments |
Neuer Beschluss der deutschen Datenschutzbehörden: Betrieb einer Facebook Fanpage ohne Vereinbarung mit Facebook rechtswidrig
Posted on 10. September 2018 by Carlo Piltz
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat einen neuen Beschluss (pdf) zum Betrieb von Facebook Fanpages veröffentlicht, der konkretere Vorgaben aufstellt, welche Anforderungen durch Unternehmen, die eine Fanpage betreiben, zu erfüllen sind.
Die erste Entschließung der DSK, die kurz nach dem Urteil des EuGH (Rs. C-210/16) veröffentlicht wurde, blieb noch recht vage, was die konkreten Maßnahmen betraf, die Fanpage Betreiber umsetzen sollten (mein Beitrag dazu).
In dem neuen Beschluss stellt die DSK insbesondere (anders als in der ersten Entschließung) heraus:
Gemeint ist hier die Vereinbarung zwischen gemeinsam Verantwortlichen nach Art. 26 DSGVO. In einer solchen Vereinbarung müssen die Verantwortlichen (nach dem Urteil des EuGH sind dies der Betreiber der Fanpage und Facebook) in einer Vereinbarung in transparenter Form festlegen, wer von ihnen welche Verpflichtung gemäß der DSGVO erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten nach den Art. 13 und 14 DSGVO nachkommt.
Die DSK präzisiert ihre Anforderungen an Betreiber einer Fanpage und Facebook weiter. Die gemeinsam Verantwortlichen sollen „Klarheit über die derzeitige Sachlage schaffen und die erforderlichen Informationen den betroffenen Personen (= Besucherinnen und Besucher der Fanpage) bereitstellen“.
Der Beschluss der DSK liest sich meines Erachtens wie ein Hinweis der Behörden, was man nun von Unternehmen und auch Facebook erwartet. Die Anforderungen konkretisiert der Beschluss zudem in der Form eines Fragenkataloges im Anhang. Nach Ansicht der DSK müssen die im Anhang aufgeführten Fragen sowohl von Facebook als auch und von Fanpage Betreibern beantwortet wer-den können.
Meines Erachtens kann aus dem Fragenkatalog bereits abgeleitet werden, was aus Sicht der Behörden als elementare Voraussetzungen des Betriebs einer Fanpage zu betrachten sind. Man braucht wohl auch nicht viel Fantasie, um sich vorzustellen, dass genau dieser Fragenkatalog in naher Zukunft durch Aufsichtsbehörden an Betreiber von Fanpages verschickt wird. U.a. enthält der Anhang folgenden Frage:
In welcher Art und Weise wird zwischen Ihnen und anderen gemeinsam Verantwortlichen festgelegt, wer von Ihnen welche Verpflichtung gemäß der DSGVO erfüllt? (Art. 26 Abs. 1 DSGVO)
Auf welche Weise werden die wesentlichen Aspekte dieser Vereinbarung den betroffenen Personen zur Verfügung gestellt?
Zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeiten Sie die personenbezogenen Daten der Besucherinnen und Besucher von Fanpages? Welche personenbezogenen Daten werden gespeichert? Inwieweit werden aufgrund der Besuche von Facebook-Fanpages Profile erstellt oder angereichert? Werden auch personenbezogene Daten von Nicht-Facebook-Mitgliedern zur Erstellung von Profilen verwendet? Welche Löschfristen sind vorgesehen?
Zu welchen Zwecken und auf welcher Rechtsgrundlage werden nach Aufruf einer Unterseite innerhalb des Fanpage-Angebots ein Session-Cookie und drei Cookies mit Lebenszeiten zwischen vier Monaten und zwei Jahren gespeichert?
Einige dieser Fragen werden von Unternehmen, die eine Fanpage betreiben, nicht beantwortet werden können, da diesen hierzu wohl faktische Informationen fehlen.
Für Unternehmen, die eine Fanpage betreiben, bedeutet dies nun, sich darüber Gedanken zu machen, wie man mit der eigenen Seite umgeht. Die Aussagen der DSK und die damit meines Erachtens intendierte Stoßrichtung, ist in jedem Fall klarer, als in der ersten Entschließung.
Derzeit liegt ein Entwurf für eine Vereinbarung nach Art. 26 DSGVO von Facebook leider noch nicht vor. Jedoch soll ein solcher Vertrag sehr bald veröffentlicht werden. Zwar sieht Art. 26 DSGVO keine zwingende Form für die Vereinbarung vor, so dass diese nicht unbedingt schriftlich abgeschlossen werden muss. Per se würde also sogar eine mündliche Vereinbarung ausreichen. Jedoch verlangt Art 26 Abs. 1 DSGVO, dass die Vereinbarung in transparenter Form vorliegen muss. Zudem muss das „Wesentliche“ der Vereinbarung den betroffenen Personen nach Art. 26 Abs. 2 S. 2 DSGVO zur Verfügung gestellt werden. Diese Voraussetzungen könnten bei einer rein mündlichen Vereinbarung nur schwer erfüllbar sein.
Als ad hoc Maßnahme könnte man sich auch vorstellen, Informationen von Facebook Seiten (aus den AGB, Hilfeseiten und Erläuterungen zu Fanpages) zusammenzusammeln, um so eine Informationsbasis zu schaffen. Dieses Vorgehen dürfte aber immer noch das Risiko bergen, dass man als Unternehmen nicht alle Informationen abschließend erhält oder nicht validieren kann.
Am Ende wird man konstatieren müssen, dass zur gemeinsamen Verantwortlichkeit sinnlogisch mehrere Stellen gehören und Facebook nun hoffentlich so schnell wie möglich die Vereinbarung zur gemeinsamen Verantwortlichkeit bereitstellt.
Posted in Datenschutzbehörde, Datenschutzrecht, Facebook, soziale Netzwerke	| 2 Comments |
Europäische Kommission zum Formerfordernis für Auftragsverarbeitungsverträge nach der DSGVO
Posted on 6. September 2018 by Carlo Piltz
Eine Neuerung der Datenschutz-Grundverordnung (DSGVO) ist, dass nach Art. 28 Abs. 9 DSGVO der Auftragsverarbeitungsvertrag oder das andere Rechtsinstrument im Sinne der Art. 28 Abs. 3 und 4 DSGVO, schriftlich abzufassen sind, was aber „auch in einem elektronischen Format erfolgen kann“.
Die DSGVO selbst definiert nicht, was konkret das „Rechtsinstrument“ ist oder was unter dem „elektronischen Format“ zu verstehen ist. Die Europäische Kommission hat nun, basierend auf einer Anfrage im Europäischen Parlament, im Rahmen einer Antwort in dieser Hinsicht für etwas mehr Klarheit gesorgt.
Hinsichtlich des Begriffs „elektronisches Format“ weist die Kommission darauf hin, dass die Regeln für den Abschluss von Verträgen oder anderen Rechtsakten, auch in elektronischer Form, nicht in der DSGVO, sondern in anderen EU- und/oder nationalen Gesetzen festgelegt sind. Insbesondere die Richtlinie über den elektronischen Geschäftsverkehr (Richtlinie 2000/31/EG) sieht die Beseitigung rechtlicher Hindernisse für die Nutzung von elektronischen Verträgen vor. Zwar harmonisiere diese Richtlinie nicht die Form, in der elektronische Verträge zustande kommen können.
Im Prinzip, so die Kommission, seien automatisierte Vertragsprozesse aber zulässig und so geschlossene Verträge auch rechtmäßig. Zum Teil wird in der Kommentarliteratur vertreten, dass das „elektronische Format“ praktisch nur eine qualifizierte elektronische Signatur (§ 126a BGB) meinen könne. Dieser, meines Erachtens nicht zutreffenden Ansicht, widerspricht nun die Kommission.
“It is not necessary to append an electronic signature to contracts for them to have legal effects. E-signatures are one of several means to prove their conclusion and terms.”
Eine elektronische Signatur ist für die Rechtswirksamkeit von Verträgen gerade nicht erforderlich. Signaturen sind eines von mehreren Mitteln, um den Vertragsschluss beweisen zu können. Dies bedeutet, dass Autragsverarbeitungsverträge auch „einfach“ elektronisch, zB per PDF Dokument oder über eine Webseite, abgeschlossen werden können.
Nach Art. 28 Abs. 3 DSGVO erfolgt die Verarbeitung durch einen Auftragsverarbeiter entweder auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten. Auch der Begriff des „Rechtsinstruments“ wird in der der DSGVO nicht näher umschrieben. Zum Teil wird davon ausgegangen, dass ein „Rechtsinstrument“ im Sinne von Gesetzen oder Rechtsverordnungen zu verstehen sei. Auch diese Sichtweise wird von der Kommission nicht gestützt.
“A legal act may be an ordinance or other type of administrative decision whereby controllers vested in public authority may stipulate the conditions for processing personal data on their behalf.”
Danach kann das Rechtsinstrument irgendeine Art von Verwaltungsentscheidung sein, mit der der Verantwortliche, hier die öffentliche Stelle, die Bedingungen für die Verarbeitung personenbezogener Daten in ihrem Namen festlegen können. Die Kommission verlangt in ihrer Antwort nicht das Vorliegen eines Gesetzes.
Posted in Auftragsverarbeitung, Datenschutz-Grundverordnung, Datenschutzrecht	| 6 Comments |
Bayerischer Landesbeauftragter für Datenschutz: Keine gesonderte Entgeltpflicht für Kontrollen bei der Auftragsverarbeitung
Posted on 2. August 2018 by Carlo Piltz
Sowohl vor als auch nach dem 25.5.2018 (und auch weiterhin) spielten und spielen in der Praxis die Anpassungen von bestehenden oder der Abschluss von neuen Verträgen zur Auftragsverarbeitung eine wichtige Rolle. Dabei haben sich die gesetzlichen Vorgaben in diesem Bereich (nun Art. 28 DSGVO) gar nicht so sehr geändert. Der Abschluss eines Vertrages etwa war auch vor dem 25.5.2018 erforderlich.
Nach Art. 28 Abs. 3 lit. h) DSGVO muss der Vertrag unter anderem vorsehen, dass der Auftragsverarbeiter, „dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt“. Der Auftragsverarbeiter muss danach ausdrücklich Kontrollen durch den Verantwortlichen ermöglichen und auch dazu beitragen. Diese Kontrollen sollen es dem Verantwortlichen ermöglichen zu prüfen, ob der Dienstleister die in Art. 28 DSGVO vorgegebenen Regularien beim Umgang mit personenbezogenen Daten beachtet.
Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD; die Aufsichtsbehörde für den öffentlichen Bereich in Bayern) hat nun ein durchaus praxisrelevantes Kurzpapier zu der Frage veröffentlicht, ob Auftragsverarbeiter ihr Mitwirken an diesen Kontrollen durch den Verantwortlichen von Zahlungen (z.B. von Aufwendungen) abhängig machen können. Aus eigener Erfahrung kann ich sagen, dass derartige Klauseln, die dem Auftragsverarbeiter das Recht zusprechen, für seine Mitwirkungshandlungen im Zuge der Erfüllung der DSGVO-Pflichten eine gesonderte Vergütung zu verlangen, in der Praxis sehr verbreitet sind. Laut dem Kurzpapier werden auch bayerische öffentliche Stellen von Auftragsverarbeitern unter anderem mit dem Ansinnen konfrontiert, einer Vertragsklausel zuzustimmen, die dem Auftraggeber eine Vor-Ort-Kontrolle nur gegen ein besonderes Entgelt ermöglicht.
Nach Auffassung des BayLfD müssen die Kontrollrechte nach der DSGVO ohne besondere Begründung seitens des Verantwortlichen als Auftraggeber und ohne Abwehrmöglichkeit seitens des Auftragsverarbeiters (Art. 28 Abs. 3 Satz 2 Buchst. h DSGVO: “und dazu beiträgt”) ausgeübt werden können. „Andernfalls könnte der Verantwortliche nämlich seinen bei ihm auch nach Einbindung eines Auftragsverarbeiters verbleibenden Pflichten insbesondere gegenüber den betroffenen Personen nicht angemessen nachkommen“.
Daher darf nach Ansicht des BayLfD die Wahrnehmung der Kontrollrechte des Auftraggebers aus datenschutzrechtlicher Sicht nicht von einem besonderen Entgelt abhängig gemacht werden. Ein gesondertes Entgelt würde einer Ausübung der Kontrollrechte entgegenwirken. Ein solches Entgelt könne zudem entweder auf Grund seiner bereits erkennbaren (absoluten) Höhe oder der vertraglich angelegten Unklarheit seiner Berechnung abschreckende Wirkung entfalten.
Als Lösung schlägt der BayLfD vor, dass der Auftragsverarbeiter die ihm durch Vor-Ort-Kontrollen seines Auftraggebers entstehenden Kosten von vornherein pauschal in das Angebot der vertraglichen Leistung einrechnet (“Einpreisung”). Um dem Risiko für Auftragsverarbeiter zu begegnen, nicht von Auftraggebern “überrannt” zu werden, verweist der BayLfD darauf, dass jede Partei einer Auftragsverarbeitungs-Vereinbarung nach Treu und Glauben zur Rücksichtnahme auf die jeweils andere Partei verpflichtet ist. Diese Verpflichtung könne in der Vereinbarung durchaus näher ausgestaltet werden, etwa durch Bestimmungen, „dass eine Vor-Ort-Kontrolle grundsätzlich mit einer bestimmten Frist anzukündigen bzw. abzustimmen ist, oder dass anlasslose Inspektionen mengenmäßig kontingentiert sind“.
Die Ansicht des BayLfD wird man sicherlich diskutieren können. Dann ein vom Gesetz gefordertes „Beitragen“ zu den Kontrollen durch den Auftragsverarbeiter kann dem Grunde auch bei der Vereinbarung eines Entgelts vorliegen. Die DSGVO selbst schließt dies zumindest in Art. 28 DSGVO nicht aus. Das Gesetz konkretisiert nicht, inwiefern das „Beitragen“ kostenlos erfolgen muss. Der europäische Gesetzgeber hat aber solche Problematiken, dass die Pflichtenerfüllung der DSGVO nur gegen Entgelt ermöglicht wird, durchaus erkannt und an anderen Stellen entsprechende Regelungen für eine Kostenfreiheit getroffen, etwa in Art. 12 Abs. 5 DSGVO zu den Betroffenenrechten.
Zudem kann man die Auffassung vertreten, dass die vorgeschlagene Lösung über näher ausgestaltetet Regelungen zur Rücksichtnahme auf die Interessen der anderen Partei ebenso eine Abhängigkeit der Kontrollrechte von bestimmten Handlungen schafft. Denn wenn vor der Kontrolle diese zwischen den Parteien „abzustimmen“ ist, kann dies ebenfalls bedeutet, dass eine Kontrolle nicht ohne einvernehmliche Planung und gemeinsame Festlegung durch beide Parteien erfolgen kann. Damit hätte es aber wieder der Auftragsverarbeiter in der Hand, der Kontrolle „entgegenzuwirken“, was der BayLfD hinsichtlich des Entgelts als unzulässig ansieht.
Hier die richtige (vertragliche) Balance zu finden ist sicherlich nicht ganz einfach und wird vielfach auch durch die Umstände des Einzelfalls beeinflusst sein.
Posted in Datenschutz-Grundverordnung, Datenschutzbehörde, Datenschutzrecht	| 1 Comment |
Facebook Fanpages: Datenschutzbehörden veröffentlichen (leider nur vage) Handlungsempfehlungen für Unternehmen – Was ist nun zu tun?
Posted on 7. Juni 2018 by Carlo Piltz
Das Urteil des EuGH vom 5. Juni 2018 (C-210/16) zur gemeinsamen Verantwortlichkeit von Fanpage-Betreiber und Facebook, sorgt bei Unternehmen für Unsicherheit. Dies war durchaus zu erwarten, da es nicht Aufgabe des EuGH ist, konkrete Handlungsanweisungen zu geben, wie das Datenschutzrecht in der Praxis umzusetzen ist. Was hat die „gemeinsame Verantwortlichkeit“ für Konsequenzen? Was ist nun zu tun? Die Überwachung der Anwendung der DSGVO und ihre Durchsetzung in der Praxis ist Aufgabe der Datenschutzbehörden.
Die Datenschutzkonferenz (DSK) hat, sehr schnell nach dem Urteil des EuGH, eine Entschließung (PDF) zu den sich aus ihrer Sicht ergebenden Folgen der Entscheidung für Betreiber von Fanpages veröffentlicht. Welches Unternehmen sich nun aber klare Vorgaben zum erforderlichen Vorgehen erhofft, wird leider enttäuscht. Die Entschließung der DSK ist zum teil sehr offen und vage formuliert. Es fehlen leider auch rechtliche Begründung für die Position. Unternehmen werden die Entschließung daher leider nicht als konkrete Handlungshilfe nutzen können. Daher wird sich ein Unternehmen, auch vor dem Hintergrund der Entschließung, nicht sicher sein können, ob es datenschutzrechtlich absolut rechtskonform agieren, solange die Fanpage weiter betrieben wird.
Kurz zur Einordnung: die Entschließung der DSK ist für Unternehmen nicht rechtlich bindend. Sie ist kein Gesetz und auch kein Verwaltungsakt. Sie stellt eine (Rechts)Position der in der DSK versammelten Behörden dar. Das bedeutet gleichzeitig auch, dass es andere rechtliche Ansichten zu den Folgen des Urteils geben kann (und wird).
Nun zu der Entschließung selbst. Was empfiehlt die DSK und was sollten oder können Fanpage-Betreiber tun?
Wenig überraschend stellt die DSK fest, dass Betreiber einer Fanpage „selbst mitverantwortlich für die Einhaltung des Datenschutzes gegenüber den Nutzenden ihrer Fanpage“ sind. Das ist auch die Kernaussage des EuGH-Urteils. Nach der DSK müssen Betreiber „die Verpflichtungen aus den aktuell geltenden Regelungen der Datenschutz-Grundverordnung (DS-GVO) beachten“. Auch diese Folgerung ist nur konsequent. Wenn ein Unternehmen „Verantwortlicher“ ist, sind die Pflichten des Verantwortlichen nach der DSGVO zu beachten.
Die DSK geht jedoch bei weitem nicht auf alle einen Verantwortlichen treffenden Pflichten nach der DSGVO ein, sondern beschränkt sich in der Entschließung auf einige wenige, wenn auch äußert relevante Aspekte. Ein Beispiel: als Verantwortlicher (und auch Auftragsverarbeiter), muss ein Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) für alle Verarbeitungstätigkeiten führen, die seiner Zuständigkeit unterliegen. Auch die Verarbeitung über die Fanpage müsste in dieses Verzeichnis aufgenommen werden. Diese Pflicht (und viele weitere) wird aber gar nicht erst erwähnt. Ich verstehe die Entschließung daher eher als Empfehlungen der deutschen Behörden im Sinne von ad-hoc Maßnahmen. Leider wird dies aber nicht deutlich zum Ausdruck gebracht. Unternehmen sollten wissen, dass es mit der Erfüllung der wenigen Vorgaben in der Entschließung sicherlich nicht getan ist, wenn man eine Fanpage DSGVO-konform einsetzen möchte.
Die DSK verlangt, dass Besucher einer Fanpage „transparent und in verständlicher Form darüber informiert werden“ müssen, welche Daten zu welchen Zwecken durch Facebook und die Fanpage-Betreiber verarbeitet werden. Diese Forderung bezieht sich auf Art. 12 und 13 DSGVO. Die Informationspflichten müssen erfüllt werden. Unternehmen sollten daher überlegen, entweder eine eigen „Fanpage Datenschutzerklärung“ vorzuhalten und zu verlinken oder auf die eigene, allgemeine Datenschutzerklärung zu verlinken und dort einen „Fanpage Passus“ aufzunehmen. Das Problem hierbei ist, dass der Betreiber faktisch gar nicht alle erforderlichen Informationen zur Datenverarbeitung erteilen kann. Unternehmen wissen im Zweifel nicht, welche Rechtsgrundlage für die Verarbeitung gilt (Pflicht nach Art. 13 Abs. 1 lit. c) DSGVO) oder wer die Kategorien von Empfängern der Daten sind (Pflicht nach Art. 13 Abs. 1 lit. e) DSGVO). Diese Problematik scheint auch die DSK zu erkennen. Denn die DSK fordert, dass Betreiber sich selbst versichern sollten, „dass Facebook ihnen die Informationen zur Verfügung stellt, die zur Erfüllung der genannten Informationspflichten benötigt werden“. Doch wie soll sich ein Unternehmen diesbezüglich „versichern“? Facebook per E-Mail anschreiben und die Informationen erbitten? Dies bleibt unklar.
Die DSK fordert zudem (dem ersten Anschein nach) per se die Einwilligung für die Verarbeitung der Daten der Besucher. „Soweit Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt, sei es durch den Einsatz von Cookies oder vergleichbarer Techniken oder durch die Speicherung der IP-Adresse, ist grundsätzlich eine Einwilligung der Nutzenden erforderlich, die die Anforderung der DS-GVO erfüllt“.
Nun ist aber zu beachten, dass es in diesem Absatz ein, aus Juristensicht, ganz entscheidendes Wort gibt, das dort meines Erachtens nicht aus Versehen steht: „grundsätzlich“.
Wenn Juristen (und das sind viele Mitarbeiter der Datenschutzbehörden und an der Entschließung beteiligte Personen) „grundsätzlich“ schreiben, meinen sie, dass es stets Ausnahmen gibt. Man könnte auch „in der Regel“ sagen. Das bedeutet, dass die DSK nicht zwingend eine Einwilligung für erforderlich hält, wenn Facebook Besucherinnen und Besucher einer Fanpage durch Erhebung personenbezogener Daten trackt. Man kann also, gerade auch Sicht des Betreibers der Fanpage, auch an andere Erlaubnistatbestände (z. B. die Interessenabwägung) denken. Leider ist die Entschließung der DSK in dieser Hinsicht einfach nicht klar und es fhelt eine rechtliche Begründung, warum hier “grundsätzlich” eine Einwilligung einzuholen wäre. Als Betreiber ist man nun leider auch nicht schlauer.
Zuletzt verweist die DSK auf die Anforderung des Art. 26 DSGVO, dass gemeinsam Verantwortliche eine Vereinbarung über die Verteilung der Pflichtenerfüllung zwischen Betreiber und Facebook. Auch diese Schlussfolgerung ist zwingend, wenn die DSGVO gilt und daher nicht überraschend.
Was macht man als Unternehmen?
Ich denke, dass Betreiber von Fanpages nun mehrere Optionen haben. Natürlich kann man, wenn man überhaupt kein Risiko eingehen möchte und den Anspruch hat, stets 100% DSGVO compliant zu agieren, darüber nachdenken, die Fanpage abzuschalten.
Meines Erachtens ergibt sich diese Konsequenz jedoch nicht zwingend aus der Entschließung der DSK. Dies aus zwei Gründen. Zum einen, weil die DSK dies nicht fordert (siehe unten). Zum anderen, weil die DSK, wie auch der EuGH in seinem Urteil, ein gewisses Hintertürchen zur „abgespeckten“ Pflichtenerfüllung offen lässt. Die DSK verweist darauf, dass „die Fanpage-Betreiber ihre datenschutzrechtlichen Verantwortung nur erfüllen können, wenn Facebook selbst an der Lösung mitwirkt“. Der EuGH formuliert es so (Rz. 43 des Urteils): „Klarzustellen ist, dass das Bestehen einer gemeinsamen Verantwortlichkeit, …, aber nicht zwangsläufig eine gleichwertige Verantwortlichkeit der verschiedenen Akteure zur Folge hat, die von einer Verarbeitung personenbezogener Daten betroffen sind“. Meines Erachtens kann man sowohl den EuGH, als auch nun den Hinweis der DSK auf die verschiedenen Verantwortlichkeitssphären so verstehen, dass Betreiber der Fanpage nur solche Pflichten erfüllen müssen, die sie auch faktisch erfüllen können.
Um es am Beispiel der Datenschutzerklärung konkret zu machen: Betreiber sollten eine solche Datenschutzerklärung vorhalten. Inhaltlich sollten die Informationspflichten soweit erfüllt werden, wie dies dem Betreiber möglich ist. Wenn ein Unternehmen zu manchen geforderten Angaben schlicht keine Information hat, dann kann diese Pflicht nicht erfüllt werden. Die Entschließung der DSK erkennt wohl („wohl“, da die Entschließung leider einfach sehr vage ist) dieses Problem und, dies sollte man auch beachten, knüpft hieran etwa nicht die Folgerung, dass deshalb die Fanpage abgeschaltet werden müsste.
Das bedeutet meines Erachtens, dass die DSK verlangt, dass Fanpage-Betreiber jene datenschutzrechtlichen Pflichten erfüllen sollen, zu deren Erfüllung sie rein faktisch in der Lage sind. Das ist am Ende nun natürlich allein meine Auslegung der Entschließung. Aus Sicht der Praxis hätte man sich hier eine klarere und begründete Positionierung gewünscht.
Was sagt die DSK in ihrer Entschließung nicht?
Meines Erachtens ist es wichtig, abschließend darauf hinzuweisen, was die DSK in ihrer Entschließung gerade nicht fordert oder feststellt.
Die DSK verlangt nicht, dass Fanpages abgeschaltet werden.
Dies verlangt die DSK auch dann nicht, wenn die von ihr zwingend vorgegeben Anforderungen nicht eingehalten werden.
Die DSK sagt nichts Abschließendes dazu, ob oder unter welchen Voraussetzungen die Verarbeitung von Daten der Besucher rechtmäßig oder rechtswidrig ist.
Die DSK äußert sich nicht dazu, ob die Datenschutzbehörden nun Bußgelder gegen Betreiber von Fanpages verhängen werden.
Verwaltungsgericht: Facebook Custom Audience mit Kundenliste ist ohne Einwilligung unzulässig
Posted on 31. Mai 2018 by Carlo Piltz
Dass der Einsatz von Facebook Custom Audience aus datenschutzrechtlicher Sicht nicht unkritisch ist, dürfte seit einiger Zeit bekannt sein. Zuletzt hatte die bayerische Aufsichtsbehörde für Unternehmen, das BayLDA, im Oktober 2017 in einer Pressemitteilung darauf hingewiesen, dass Unternehmen in Bayern diesbezüglich überprüft wurden. Zudem stellte das BayLDA seine Sichtweise zur Zulässigkeit der verschiedenen Varianten des Werbe-Tools dar.
Die Variante „Facebook Custom Audience über die Kundenliste“ sieht das BayLDA nur als datenschutzrechtlich zulässig an, wenn Betroffene, deren Daten, u.a. auch die E-Mail-Adresse, gehasht an Facebook zum Abgleich mit Facebook-Nutzern weitergegeben wird, zuvor in die Verwendung der Daten für den werblichen Zweck eingewilligt haben.
Nachdem ein bayerisches Unternehmen, welches diese Variante von Facebook Custom Audience nutzte, vom BayLDA geprüft wurde und der Ansicht der Behörde nicht folgte, dass in diesem Fall die Einwilligung er Betroffenen erforderlich sei (diese lag nicht vor), erließ das BayLDA gegen das Unternehmen einen Bescheid, mit dem das Unternehmen verpflichtet wurde, binnen zwei Wochen nach Zustellung des Bescheides die erstellten Custom Audiences (Kundenlisten) zu löschen.
Gegen diesen Bescheid ging das Unternehmen, zunächst im Wege des vorläufigen Rechtsschutzes, vor dem Verwaltungsgericht (VG) Bayreuth gerichtlich vor. Das Verwaltungsgericht entschied nun mit Beschluss v. 08.05.2018 – B 1 S 18.105, dass der Antrag des Unternehmens abgelehnt wird, da Sache die in der Hauptsache erhobene Klage Unternehmens voraussichtlich ohne Erfolg bleiben wird.
Oder kurz: das Gericht folgt der Auffassung des BayLDA („folgt das Gericht den Gründen der angegriffenen Anordnung vom 16.01.2018“), dass der Einsatz der Variante von Facebook Custom Audience über das Hochladen von Kundenlisten in den eigenen Facebook Account des Unternehmens der vorherigen Einwilligung der Betroffenen bedarf.
Der Beschluss des VG ist sehr ausführlich und durchaus lesenswert. Insbesondere die Darstellung der verschiedenen Rechtspositionen und Begründungen der Parteien ist interessant.
Zudem noch ein Hinweis: der Beschluss erging auf Grundlage der alten Rechtslage vor dem 25.5.2018. Das heißt nicht, dass alle in dem Beschluss benannten Gründe und Erwägungen nun hinfällig wären. Denn wie wir wissen, unterscheidet sich die DSGVO gar nicht so sehr von dem alten BDSG. An der ein oder anderen Stelle, können sich meines Erachtens aber auch Unterschiede ergeben (Beispiel: die DSGVO kennt kein Listenprivileg für Werbezwecke, sondern benennt die Verarbeitung für Zwecke der Direktwerbung als ein mögliches berechtigtes Interesse; das alte BDSG definierte die Anonymisierung von Daten, die DSGVO jedoch nicht).
Nachfolgend möchte ich ganz kurz die Gründe des VG für seine Entscheidung aufführen:
Uber die verwendeten E-Mail-Adressen ist ein Personenbezug herstellbar. Durch den Vorgang des „Hashens“ werden die Daten nicht (i.S.v. § 3 Abs. 6 BDSG) anonymisiert, da der Personenbezug hierdurch nicht völlig aufgehoben wird. Vielmehr ist es weiterhin mit nicht nur unverhältnismäßigem Aufwand möglich, sie einer bestimmten oder bestimmbaren Person zuzuordnen.
Bei der Übermittlung der gehashten E-Mail-Adressen der Kunden des Unternehmens an Facebook handelt es sich nicht um eine Übermittlung im Rahmen einer Auftragsdatenverarbeitung, sondern um eine Übermittlung an Dritte und in der Folge eine Datenverarbeitung.
In der vorliegenden Sachverhaltsgestaltung ist nicht von einer Auftragsdatenverarbeitung, sondern vielmehr von einer sog. „Funktionsübertragung“ auszugehen. Die Übermittlung der (gehashten) E-Mail-Adressen ist integraler Bestandteil der Werbemaßnahme. Eine eigenständige Bedeutung der bloßen Durchführung eines Datenabgleichs, der dann als Teil einer Auftragsdatenverarbeitung angesehen werden könnte, ist nicht zu erkennen.
Das Unternehmen kann die Zulässigkeit der Datenübermittlung nicht auf das sog. „Listenprivileg“ (§ 28 Abs. 3 Satz 2 BDSG (alt)) stützen. Bei E-Mail-Adressen handelt es sich nicht um sog. Listendaten, da sie in der abschließenden Aufzählung des § 28 Abs. 3 Satz 2 BDSG nicht enthalten sind.
Eine Berechtigung zur Übermittlung ergibt sich auch nicht aus § 28 Abs. 3 Satz 3 BDSG (alt), da dieser lediglich das „Hinzuspeichern“ und somit allein die Vervollständigung der Informationen erlaubt, jedoch keine eigene Übermittlungsbefugnis hinsichtlich weiterer Daten enthält. Darüber hinaus wäre jedoch zusätzlich eine zugunsten des Unternehmens ausgehende Interessenabwägung notwendig (§ 28 Abs. 3 Satz 6 BDSG (alt)), die jedoch hier zum Nachteil des Unternehmens ausgeht.
Auch durch § 28 Abs. 1 Satz 1 Nr. 2 BDSG (alt) (Interessenabwägung) kann die Übermittlung der (gehashten) E-Mail-Adressen nicht gerechtfertigt werden. Im Rahmen der insoweit vorzunehmenden Interessenabwägung sind die im § 28 Abs. 3 BDSG (alt) getroffenen Wertungen des Gesetzgebers zu berücksichtigen. In der hiesigen Fallgestaltung ist festzustellen, dass die hier beanstandete Übermittlung der E-Mail-Adressen nach den Regelungen in § 28 Abs. 3 BDSG (alt) selbst dann rechtswidrig wäre, wenn man insoweit die Privilegierungen für Listendaten zugrunde legen würde. Dies spricht im Rahmen der Interessenabwägung für das Überwiegen der Betroffenenrechte.
Generell setzt die Zulässigkeit einer Datenübermittlung nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG (alt) voraus, dass diese zur Wahrung berechtigter Interessen der verantwortlichen Stelle „erforderlich“ ist – nicht etwa lediglich aus Sicht der verantwortlichen Stelle geeignet oder zweckmäßig. Gemeint sind Verwendungen, zu denen es keine objektiv zumutbare Alternative gibt. Zu berücksichtigen ist daher auch, dass das Unternehmen die Daten insbesondere im Rahmen von Bestellvorgängen erwirbt und es ihr deswegen ohne einen unverhältnismäßig großen Aufwand möglich wäre, im Einzelfall eine Einwilligung zur Übermittlung der Daten einzuholen.
Wie gesagt, sind einzelne Begründung aufgrund der neuen Rechtslage nicht per se übertragbar. Es zeigt sich aber insgesamt, dass das VG hier in allen entscheidenden Punkten der Argumentation des BayLDA folgt.
Besonders spannend ist für mich, aus juristischer Sicht, die Frage nach der Auftragsverarbeitung durch Facebook. Das VG verweist hier deutlich darauf, dass es nicht unbedingt auf den zwischen Facebook und dem Unternehmen abgeschlossenen Vertrag ankommt, sondern die faktischen Gegebenheiten entscheiden. Das bedeutet aber auch, dass es wohl faktische Gegebenheiten geben kann, in denen man Facebook durchaus als Auftragsverarbeiter des Unternehmens ansehen könnte.
Zu beachten zudem, dass sich diese Entscheidung nur auf eine Alternative des Werbe-Tools von Facebook bezieht. Daneben gibt es auch noch die Möglichkeit, ein Pixel des Netzwerkes in die eigene Webseite einzubinden (also keine Listen mit Kundendaten hochzuladen).
Posted in Datenschutz-Grundverordnung, Datenschutzbehörde, Datenschutzrecht, Einwilligung, Facebook, soziale Netzwerke	| 2 Comments |
Posted in Datenschutz-Grundverordnung, Datenschutzrecht, Gesetze	| 15 Comments |