Home / Aktuelles & Termine / it.sec blog

Am 6. Juli 2017 hat das Verwaltungsgericht (VG) Karlsruhe in seinem Urteil eine Verfügung des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI) aufgehoben (VG Karlsruhe Urteil vom 6.7.2017, 10 K 7698/16).

Der Anfechtungsklage war die Verfügung des LfDI in Form eines Verwaltungsakts gegen eine Auskunftei vorangegangen, ihr Löschkonzept entsprechend der Datenschutzgrundverordnung (DSGVO) anzupassen. Die Auskunftei sollte personenbezogene Daten, die sie nach dem 24.5.2018 unter Einbeziehung von Informationen über Forderungen für Bonitätsauskünfte speichert, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, löschen, es sei denn, dass die betroffene Person zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig gewesen sei.

Die Auskunftei hatte daraufhin erklärt, sie werde ihr Löschkonzept bis zum 25.05.2018 entsprechend der DSGVO überarbeiten. Dabei wolle sie jedoch die noch ausstehende Absprache hierzu zwischen dem Düsseldorfer Kreis und dem Verband für Wirtschaftsauskunfteien abwarten.

Daraufhin erließ der LfDI einen entsprechenden Verwaltungsakt auf Grundlage von § 38 Abs. 5 S. 1 BDSG i.V.m. Erwägungsgrund 39 und Art. 58 Abs. 2 lit. e) DSGVO, der die Auskunftei dazu verpflichten sollte, ihr Löschkonzept auf oben erläuterte Weise bereits jetzt anzupassen. Zwar läge momentan noch kein Verstoß gegen datenschutzrechtliche Vorschriften vor, ein solcher sei jedoch ab dem 25.05.2018 „schon deutlich vorgezeichnet“, da die Auskunftei nicht verbindlich zugesichert hätte, ihre Löschpraxis entsprechend zu ändern.

Das VG Karlsruhe stellte fest, dass es für den Erlass eines solchen Verwaltungsaktes bereits an einer Ermächtigungsgrundlage mangele. Weder bestünden derzeit Datenschutz-Verstöße noch wären entsprechende „Missstände (…) nach dem 24.05.2018 zu erwarten.“ Die von der Aufsichtsbehörde vorgegebene Regellöschfrist ergebe sich weder aus der DSGVO noch aus dem BDSG-Neu und entsprechend sei die „Prüf- und Löschpraxis“ der Auskunftei „noch völlig ungewiss“. Des Weiteren sei auch fraglich, ob aus dem Erwägungsgrund 39 „eine Rechtsgrundlage hergeleitet werden kann“. Auf jeden Fall durfte sich die Aufsichtsbehörde schon nicht auf Art. 58 Abs. 2 lit. e) DSGVO stützen, „da diese Vorschrift erst ab dem 25.05.2018 Gültigkeit beanspruchen wird (…).“

Darüber hinaus erfülle die Aufsichtsbehörde mit ihrer datenschutzrechtlichen Verfügung auch nicht die „Anforderungen an die Bestimmtheit eines Verwaltungsaktes.“

Dieses Urteil lässt somit den Schluss zu, dass die Aufsichtsbehörden die Verantwortlichen nicht dazu verpflichten können, die Vorgaben der Datenschutzgrundverordnung bereits im Vorhinein zu erfüllen. Dem Verantwortlichen wird damit eingeräumt, tatsächlich die gesamte Zeit bis zum Ablauf der Umsetzungsfrist nutzen zu können, um die Prozesse des Unternehmens inhaltlich und formal an die Datenschutzgrundverordnung anzupassen. Weiterhin kann aus dem Urteil auch geschlossen werden, dass die bisher etablierten Regellöschfristen anhand der DSGVO tatsächlich neu bewertet werden müssen.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Die technischen Möglichkeiten, miteinander zu kommunizieren, ohne dabei im gleichen Raum oder sogar im gleichen Land zu sein, nehmen in der heutigen Zeit immer stärker zu. Dabei ist die Videotelefonie eine jener Methoden, welche eine schnelle und dennoch auch persönliche Kommunikation ermöglichen.

Diese Möglichkeit nutzen Unternehmen bereits in vielen Bereichen. Insbesondere werden zunehmend Bewerbungsgespräche über den Online-Dienst Skype abgehalten, anstatt den potentiellen Kandidaten vor Ort zu empfangen. Dies erspart Arbeitgeber und Bewerbern Zeit und Kosten.

Zum Einsatz von Skype im Bewerberauswahlverfahren hat sich die Berliner Beauftragte für Datenschutz und Informationsfreiheit in ihrem aktuellen Jahresbericht geäußert. So werden bei einem Bewerbungsgespräch über den Online-Dienst Skype nicht nur die für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlichen personenbezogenen Daten verarbeitet, sondern darüber hinaus sowohl Bild- als auch Tonaufnahmen erhoben und etwaige Chatprotokolle sowie sonstige Nutzungsdaten für 90 Tage gespeichert. Gleichzeitig werden die Daten an die Microsoft Corporation und damit an einen Dritten übermittelt, womit ebenso eine Datenübermittlung in Drittstaaten verbunden ist. Die dabei notwendigen Einwilligungen der Bewerber für eine solche Datenverarbeitung lassen sich auch nicht wirksam einholen, da das Kriterium der Freiwilligkeit nur unzureichend erfüllt sei. Daher wird vom Einsatz des Online-Dienstes Skype abgeraten.

Leider wird dabei von der Aufsichtsbehörde unberücksichtigt gelassen, ob und wenn ja, welche Änderungen sich in dieser Bewertung ergäben, wenn Skype for Business eingesetzt und die Microsoft Corporation als Auftragsverarbeiter des Arbeitgebers tätig wird, ob durch deren Privacy Shield-Zertifizierung die Rechte der betroffenen Personen nicht doch ausreichend gewahrt und diese hinreichend informiert würden und unter welchen Voraussetzungen eine Einwilligung der Bewerber dennoch wirksam eingeholt werden könnte.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Am 05.07.2017 wurde das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) verkündet.

Mit Art. 1 DSAnpUG-EU wurde das Bundesdatenschutzgesetz (BDSG-Neu) neu beschlossen, um Regelungsaufträge und Handlungsoptionen (Öffnungsklauseln) aus der Datenschutzgrundverordnung (DSGVO) umzusetzen. Das BDSG-Neu wird am 25.05.2018 in Kraft treten.

Art. 7 DSAnpUG-EU tritt gemäß Art. 8 Abs. 2 DSAnpUG-EU jedoch bereits einen Tag nach Verkündung in Kraft und sieht bis zum 25.05.2018 noch eine Änderung des bisherigen Bundesdatenschutzgesetzes (BDSG) vor: Der nun neu eingeführte § 42b BDSG sieht einen Rechtsbehelf vor, welcher es den Aufsichtsbehörden für den Datenschutz bereits jetzt ermöglicht, gegen Angemessenheitsbeschlüsse oder Beschlüsse der Europäischen Kommission über die Anerkennung von Standardvertragsklauseln (zukünftig: „Standarddatenschutzklauseln“) vorzugehen: So können die Aufsichtsbehörden ab sofort das Bundesverwaltungsgericht veranlassen, beispielsweise den Durchführungsbeschluss zum EU-US Privacy Shield ((EU) 2016/1250 vom 12.07.2016) oder den Beschluss der EU-Kommission vom 05.02.2010 (2010/87/EU), der im Annex die Standardvertragsklauseln enthält, einer gerichtlichen Überprüfung zu unterziehen bzw. die Frage zur Gültigkeit eines solchen Beschlusses dem EuGH zur Entscheidung vorzulegen.

Die Einführung des § 42b BDSG ist damit die Konsequenz aus dem Safe Harbor-Urteil des EuGH vom 06.10.2015, in dem der EuGH festgestellt hat (vgl. Urteil im Volltext, insbesondere Rn 65, unter http://curia.europa.eu/juris/document/document.jsf;jsessionid=9ea7d2dc30dd54db4a4232764d349fe6a58e115fe8fb.e34KaxiLc3qMb40Rch0SaxuRbx10?text=&docid=169195&pageIndex=0&doclang=DE&mode=req&dir=&occ=first&part=1&cid=199052), dass es der nationalen Kontrollstelle an der Befugnis fehlte, die von ihr für begründet erachteten Beschwerden betroffener Personen gegen die Übermittlung ihrer personenbezogenen Daten in die USA auf Basis von Safe Harbor vor den nationalen Gerichten geltend machen zu können.

Im Kontext des Safe Harbor-Urteils des EuGH stellten die Aufsichtsbehörden ebenso die Zulässigkeit des alternativen Rechtsinstruments der Standardvertragsklauseln für Datenübermittlungen in die USA in Frage und kritisierten den nachfolgenden Angemessenheitsbeschluss basierend auf den Abreden zum EU-US Privacy Shield als unzureichend (vgl. ULD Schleswig-Holstein zum Urteil des Gerichtshofs der Europäischen Union vom 6. Oktober 2015, S. 4, https://www.datenschutzzentrum.de/uploads/internationales/20151014_ULD-Positionspapier-zum-EuGH-Urteil.pdf bzw. die Stellungnahme der Artikel-29-Gruppe (zukünftig: Europäischer Datenschutzausschuss), die aus Vertretern der Aufsichtsbehörden der Mitgliedstaaten besteht, abrufbar unter http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2016/20160726_wp29_wp_statement_eu_us_privacy_shield_en.pdf).

Es bleibt daher spannend, inwiefern die deutschen Aufsichtsbehörden nun diese Möglichkeit, die ihnen § 42b BDSG eröffnet, ausschöpfen und Feststellungsklage beim Bundesverwaltungsgericht einreichen werden.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Die Aufsichtsbehörden für den Datenschutz der Länder Frankreich, Niederlande, Belgien, Spanien und des Bundeslandes Hamburg, haben in einer gemeinsamen Aktion die Praktiken von Facebook bezüglich des Datenschutzes geprüft.

Im Ergebnis (https://www.cnil.fr/en/facebook-sanctioned-several-breaches-french-data-protection-act) befand die CNIL, dass sowohl Facebook Inc. als auch Facebook Ireland Ltd. mehrere schwere Verstöße gegen geltendes französisches Datenschutzrecht begangen haben.

Unter anderem wirft die Behörde dem Unternehmen vor, dass die Sammlung von Nutzerdaten, um sie zu bündeln und für personalisierte Werbung zu verwenden, auf keiner Rechtsgrundlage gründet und die Sammlung der Daten durch unzulässiges Tracking mittels des ‚datr‘ Cookies erfolgt.

Eine angemessene Widerspruchslösung für die betroffenen Personen sei nicht ausreichend vorhanden. Weiterhin seien die Informationen bezüglich des Trackings vom Nutzerverhalten auf weiteren Websites für die betroffenen Personen nicht einwandfrei transparent, um nachvollziehen zu können wo und in welchem Umfang Daten erhoben werden.

Somit sei das Vorgehen des Unternehmens rechtswidrig und auch in so umfangreichem Maß begangen, dass es das höchstmögliche Bußgeld von 150.000 Euro aufgrund einer Datenschutzrechtsverletzung rechtfertigt.

Facebook beruft sich darauf, dass für das Unternehmen lediglich das irische Datenschutzrecht gelte, da es nur in Irland einen Sitz habe und somit Frankreich nicht für das Unternehmen zuständig sei.

Diesem Einwand wird von der CNIL aber ebenfalls Rechnung getragen (https://www.cnil.fr/fr/node/23602). Sie begründet ihre Zuständigkeit damit, dass Facebook im Zuge des Verkaufs von Werbung zahlreiche Büros in verschiedenen europäischen Ländern unterhalte und dieses Geschäft untrennbar mit der Verarbeitung der personenbezogenen Daten verbunden sei. Einzelstaatliches Datenschutzrecht eines jeden Mitgliedstaats komme damit zur Anwendung, in welchen diese Niederlassungen ihre Tätigkeit ausüben. Auf die Art der Niederlassung, also ob es sich dabei um Tochtergesellschaften mit eigener Rechtspersönlichkeit, unselbständige Zweigstellen oder lediglich kleine Büros handele, sei dabei unerheblich.

Dem Unternehmen stehen noch 4 Monate zu, in denen es Widerspruch gegen den Beschluss der CNIL einlegen kann.

Spätestens aber ab dem 25. Mai 2018 wird sich Facebook Inc. nicht mehr darauf berufen können, dass für andere Behörden keine Zuständigkeit besteht. Denn mit der DSGVO tritt das Marktortprinzip in Kraft, womit auch für jedes außereuropäische Unternehmen, das im Gebiet eines Mitgliedstaats agiert, die DSGVO zwingend gilt. In diesen Fällen ist jede Aufsichtsbehörde im Hoheitsgebiet ihres Mitgliedstaats zuständig.

Allerdings wird mit der DSGVO auch der One Stop Shop-Mechanismus (OSS) eingeführt. Danach ist im Normalfall bei einer Datenverarbeitung, die grenzüberschreitend in mehr als einem Mitgliedstaat erfolgt, die Aufsichtsbehörde des Mitgliedstaates zuständig, in dem das Unternehmen seine Hauptniederlassung oder seine einzige Niederlassung innerhalb der Europäischen Union hat – in diesem Fall wäre dann wohl doch die irische Aufsichtsbehörde zuständig. Allerdings entscheidet diese Behörde nicht allein, sondern muss die anderen Aufsichtsbehörden einbinden. Zudem ergibt sich das maßgebliche Datenschutzrecht in Irland dann ebenso aus der DSGVO.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

 

Gemäß Art. 33 und 34 Datenschutzgrundverordnung (DSGVO) ist ein Unternehmen verpflichtet, eingetretene Datenschutzverletzungen (z.B. Liegenlassen des Notebooks im Zug, E-Mail-Versand an falschen Empfänger, Hacker-Angriffe) der Aufsichtsbehörde unverzüglich zu melden und ggf. die Personen, deren personenbezogene Daten hiervon betroffen sind, zu benachrichtigen. Ein Verstoß gegen diese Melde- und Benachrichtigungspflichten ist bußgeldbewehrt.

Die Regelungen in Art. 33 und 34 DSGVO sind dabei strenger als die bisherige Regelung in § 42a BDSG, die lediglich eine Meldepflicht vorsah, wenn durch die Datenpanne besonders sensible Daten (z.B. Gesundheitsdaten oder Bankdaten) Dritten zur Kenntnis gelangt sind und den betroffenen Personen dadurch schwerwiegende Beeinträchtigungen drohen.

Mit der Datenschutzgrundverordnung muss der Verantwortliche nämlich nun jede Datenschutzverletzung der Aufsichtsbehörde melden, unabhängig davon ob die Datenschutzverletzung fahrlässig oder vorsätzlich herbeigeführt wurde oder ob dabei Unbefugten tatsächlich personenbezogene Daten offengelegt wurden oder ein Zugang zu personenbezogenen Daten nur eventuell ermöglicht wurde.

Die Meldung muss dabei unverzüglich und innerhalb von 72 Stunden erfolgen. Eine Meldung darf nur dann unterbleiben, wenn der Verantwortliche nachweisen kann, dass die betroffenen Personen durch die Datenschutzverletzung gegenwärtig und zukünftig keinen physischen, materiellen oder immateriellen Schaden (z.B. Identitätsdiebstahl oder -betrug, finanzielle Verluste, Diskriminierung, Rufschädigung) erleiden werden.

Es empfiehlt sich daher, einen entsprechenden Ablaufplan im Unternehmen zu implementieren, um auf solche Datenschutzverletzungen unverzüglich reagieren und die Fristen zur Meldung bzw. Benachrichtigung einhalten zu können.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

ADCERT Angemessenheitsbeschluss Anwendbarkeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH biometrische Daten Biometrische und genetische Daten Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Datenlöschung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung in Drittstaaten Datenverarbeitung Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO dynamische IP-Adresse eCall-Technologie Einwilligung Einwilligungserklärung Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative EU-Datenschutz-Grundverordnung EuGH Facebook Fahrzeugdaten Fahrzeuge Fernmeldegeheimnis Fluggastdaten Gemeinsam Verantwortliche Home Office Informationspflichten Informationssicherheit IP-Adresse IT-Forensik IT-forensische Untersuchung IT-Sicherheit Joint Control Kanada Konzern konzerninterner Datentransfer Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Marktortprinzip Meldepflicht Meldescheine Microsoft NIST One Stop Shop Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Personalausweiskopien personenbezogene Daten Privacy by Default Privacy by Design Privacy Shield Privatnutzung Privatnutzungsverbot Profiling Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Siegel Skype Sony PSN Standardvertragsklauseln Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe USA Vereinbarung Vernichtung von Datenträgern Verordnung (EU) 2015/758 Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile Webseite Webseiten Webtrecking Werbung Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 42a BDSG § 42b BDSG § 88 TKG

An dieser Stelle wollen wir von Zeit zu Zeit unsere Web-Logs ("blogs") pflegen und unsere Meinung zu bestimmten Themen kundtun.

Die einzelnen Posts stellen jeweils die Meinung des Autors dar und nicht zwangsläufig jene der it.sec. Die Inhalte sind stellen keine Beratung dar und übernehmen für die Inhalte keine Haftung.

Tags

Mo Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30