Home / Aktuelles & Termine / it.sec blog

Dank der Coronapandemie werden immer mehr Maßnahmen erdacht, die die Ansteckungsgefahr eindämmen sowie mögliche Infizierte identifizieren sollen. Mobiles Arbeiten aus dem Homeoffice ist plötzlich in vielen Bereichen möglich wo es vorher nicht denkbar war, Hygieneregeln werden erlassen, Selbstauskünfte zu Reisen in Risikogebiete erhoben.

Viele dieser von Unternehmen eingeführten Maßnahmen betreffen nicht nur betriebsverfassungsrechtlich garantierte Mitbestimmungsrechte, auch der Datenschutz muss in diesen Fällen zwingend beachtet werden.

Generelle Zulässigkeit von Maßnahmen

Aufgrund der Fürsorgepflicht des Arbeitgebers bzw. Dienstherren ist dieser verpflichtet, den Gesundheitsschutz der gesamten Belegschaft sicherzustellen. Im Falle des Coronavirus handelt es sich derzeit um eine pandemische und darüber hinaus meldepflichtige Krankheit, die auch nach Auffassung der Aufsichtsbehörden[1] die Verarbeitung von Gesundheitsdaten durch den Arbeitgeber in diesem Ausnahmefall zulässt.

Zulässige Maßnahmen zur Feststellung, ob ein Mitarbeiter ggfs. infiziert ist, sind demnach zulässig, um weitere Informationen in den Fällen zu erlangen

  • in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat.
  • in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert-Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.

Dieselben Kriterien gelten auch für Besucher.

Zulässigkeit der Messung der Körpertemperatur

Ob in diesem Fällen eine obligatorische Messung der Körpertemperatur zulässig sein kann, ist indes nicht abschließend geklärt. Einige Aufsichtsbehörden, wie etwa die Irische und Ungarische Aufsichtsbehörde sind der Ansicht, dass die Messung der Körpertemperatur zulässig ist, andere Aufsichtsbehörden, wie etwa die Französische oder Luxemburgische Behörde halten dies für generell unzulässig, nicht zuletzt, weil die Körpertemperatur alleine kein geeignetes Mittel ist, eine Infektion zu identifizieren. Die Deutschen Aufsichtsbehörden haben sich zur konkreten Fragen leider bislang nicht eindeutig geäußert.

Einhaltung der Datenschutzgrundsätze

Einig sind sich sämtliche Behörden hingegen, dass die Datenerhebung transparent erfolgen muss, d.h. die betroffenen Personen müssen darüber informiert werden, welche personenbezogene Daten erhoben werden (etwa falls eine Wärmebildkamera eingesetzt wird), die Grundsätze der Datenminimierung müssen eingehalten werden (so wenige Daten wie möglich erfassen) und selbstverständlich müssen die Daten auch wieder in den angemessenen Fristen gelöscht werden.

Die Vertraulichkeit der Daten spielt außerdem eine besondere Rolle. Die Corona Erkrankung kann zu einer Stigmatisierung des Mitarbeiters führen, weshalb die Namensnennung gegenüber anderen Mitarbeitern grundsätzlich zu vermeiden ist. Nur in Ausnahmefällen dürfen die übrigen Mitarbeiter über den Verdacht der Ansteckung eines Mitarbeiters informiert werden, um Infektionsquellen zu lokalisieren und einzudämmen.

Rechtsgrundlage

Die Rechtsgrundlage zur Verarbeitung personenbezogener Mitarbeiterdaten ergibt sich in diesen Fällen für Arbeitgeber im nicht-öffentlichen Bereich aus § 26 Abs 1 BDSG bzw. Art. 6 Abs. 1 Satz 1 lit. f) DSGVO jeweils i.V.m. den einschlägigen tarif-, arbeits- und sozialrechtlichen Regelungen des nationalen Rechts. Soweit Gesundheitsdaten verarbeitet werden, sind zudem auch § 26 Abs. 3 BDSG und Art. 9 Abs. 2 lit. b) DSGVO einschlägig.

Weitergabe der Daten an Behörden?

Eine Pflicht zur Weitergabe der Daten an Behörden (Meldepflicht) besteht nur für Leistungserbringer aus dem Gesundheitsbereich (Ärzte, Krankenhäuser), nicht für Unternehmen. Sofern allerdings behördliche Anfragen (Ortspolizeibehörde, zuständiges Gesundheitsamt) vorliegen, können sich diese aus den spezifischen Länderregelungen ergeben. Hier müssen zunächst die angegebenen Rechtsgrundlagen geprüft werden.

Fazit

Wir halten die anlasslose verpflichtende Messung der Körpertemperatur von sämtlichen Mitarbeitern derzeit für nicht zulässig. Sofern eine solche Messung auf freiwilliger Basis angeboten wird, muss diese unter Einhaltung sämtlicher Datenschutzgrundsätze erfolgen. Die Vertraulichkeit der Ergebnisse müssen gewahrt werden. Mitbestimmungsrechte des Betriebsrats sind einzuhalten.

i.A. des Datenschutzbeauftragten

C. Lürmann

Rechtsanwältin

Consultant für Datenschutz

[1]https://www.bfdi.bund.de/DE/Datenschutz/Themen/Gesundheit_Soziales/GesundheitSozialesArtikel/Datenschutz-in-Corona-Pandemie.html

 

Während der Arbeit in der Corona-Krise müssen oft viele Informationen schnell ausgetauscht werden. Dazu kommt, dass viele Mitarbeiter im Home Office arbeiten und die Umstellung darauf unter Umständen sehr schnell erfolgte. Das erhöht die Gefahr einer Datenschutzverletzung, d.h. von Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu personenbezogenen Daten.

 

Allgemein gilt: Sie sollten immer gewissenhaft mit personenbezogenen Daten wie beispielsweise Namen und Adressen umgehen. Seien Sie besonders vorsichtig beim Umgang mit sensiblen Daten wie Gesundheitsdaten, Daten über politische Meinungen oder zu religiösen oder weltanschaulichen Überzeugungen.

 

Hier sind noch einige organisatorische Tipps, die Ihnen dabei helfen sollen personenbezogene Daten zu schützen und Datenschutzverletzungen zu vermeiden:

 

  • Beachten Sie bei der Erstellung neuer Formulare alle Sicherheitsmaßnahmen, damit personenbezogene Daten sicher aufbewahrt und nicht unbeabsichtigt weitergegeben werden können.
  • Stellen Sie bei der Verwendung von Vorlagen zur Erfassung personenbezogener Daten sicher, dass stets eine leere/unbenutzte Vorlage ausgegeben wird.
  • Benutzen Sie komplexe Passwörter und für jeden Dienst/jede Anwendung ein eigenes Passwort. Dabei können Sie unterstützend ein Passwort-Verwaltungsprogramm einsetzen.

 

Bei der Arbeit im Home Office sollte folgendes beachtet werden:

 

  • Weisen Sie Ihre Mitarbeiter im Home Office darauf hin, dass auch weiterhin auf einen sicheren E-Mail-Versand geachtet werden muss, d.h. insbesondere: Kontrolle der Empfänger und Anhänge und Verwendung der BCC-Funktion.
  • Bei der Arbeit im Home Office mit personenbezogenen Daten, für die der Arbeitgeber verantwortlich ist, muss die Sicherheit der Daten an diesen Verarbeitungsstandorten ebenso gewährleistet sein. Es muss sichergestellt sein, dass keine unbefugte Einsichtnahme auf den Bildschirm oder in Papier-Unterlagen durch Dritte stattfinden kann – das umfasst auch Familienmitglieder oder Mitbewohner!

 

Sollte es dennoch zu einer Datenschutzverletzung kommen, melden Sie diese unverzüglich Ihrem Datenschutzbeauftragen, damit dieser eine Risikoabwägung durchführen kann und ggf. eine Meldung der Datenschutzverletzung innerhalb der Frist des Art. 33 DSGVO an die Aufsichtsbehörde erfolgen kann.

 

 

 

Working during the corona crisis, a lot of information often has to be exchanged quickly. In addition, many employees now work from home and the transition to it may have taken place very quickly. This increases the risk of a data breach, i.e. the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data.

 

In general, you should always handle personal data such as names and addresses conscientiously. Be especially careful when handling sensitive data such as health data, data on political opinions or on religious or ideological beliefs.

 

Here are some organizational tips to help you protect personal data and prevent data protection violations:

 

  • When creating new forms, take all security measures to ensure that personal data is kept secure and cannot be inadvertently disclosed.
  • When using templates to enter personal data, ensure that an empty/unused template is always output.
  • Use complex passwords and a separate password for each service/application. You may use a password management program to help you do this.

 

The following should be observed when working in the home office:

 

  • Point out to your home workers that they must continue to ensure secure e-mail transmission, in particular by checking the recipients and attachments and using the BCC function.
  • When working from home with personal data for which the employer is responsible, the security of the data at these processing locations must also be guaranteed. It must be ensured that no unauthorised access to the screen or to paper documents by third parties can take place - this includes family members or flatmates!

 

Should a data breach occur nevertheless, please report it immediately to your data protection officer so that he can weigh up the risks and, if necessary, report the data breach to the supervisory authority within the period stipulated in Art. 33 GDPR.

 

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Der Einsatz von WhatsApp wird von den Aufsichtsbehörden nach wie vor als kritisch eingestuft, weswegen diese in Unternehmen davon abraten. Wir haben uns nach datenschutzfreundlichen Alternativen zu WhatsApp umgesehen und Informationen der nachfolgenden Messengerdienste zu ihren Funktionen und den Angaben der Betreiber zum Datenschutz zusammengefasst.

 

Threema Work

 

Threema Work ist ein Messengerdienst aus der Schweiz, der speziell auf die Nutzung in Unternehmen zugeschnitten ist. Threema Work ist eigenen Angaben zufolge DSGVO-konform.

 

Bei Threema Work müssen keine personenbezogenen Daten (z.B. E-Mail-Adresse oder Handynummer) angegeben werden und es kann ohne Zugriff auf das Adressbuch genutzt werden. Es wird lediglich eine zufällig generierte ID vergeben (sog. Threema-ID), unter der man anderen Nutzern angezeigt wird. Man kann jedoch seinen eigenen Namen angeben. E-Mail-Adressen und Telefonnummern des lokalen Adressbuchs können zum Abgleich anonymisiert („gehasht“) an Threema übermittelt werden und werden umgehend wieder von den Servern gelöscht.

 

Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt und auch die auf dem Endgerät gespeicherten Chats und Medien sind mit AES-256 (256 Bit Schlüssellänge unter Android) verschlüsselt.

 

Auch seitens der Aufsichtsbehörden wird Threema als gute Alternative empfohlen.

 

Signal

 

Bei Signal muss der Nutzer die eigene Telefonnummer und einen Nutzernamen angeben. Als Nutzername ist aber auch ein Pseudonym ausreichend. Man kann Signal Zugriff auf das Adressbuch gewähren, damit andere Signal-Nutzer angezeigt werden, oder die Telefonnummern händisch eingeben. Beim Abgleich mit dem Adressbuch werden die Kontakte anonymisiert und danach wieder von den Servern gelöscht.

 

Die Chats sind Ende-zu-Ende verschlüsselt. Signal ist Open Source, d.h. die Software ist transparent und kann überprüft werden. Das Unternehmen sitzt in den USA.

 

Seit Februar 2020 ist Signal die empfohlene Anwendung für öffentliches Instant-Messaging in der Europäischen Kommission.

 

Hoccer

 

Bei Hoccer, einem Messengerdienst aus Deutschland, müssen keine personenbezogenen Daten (wie z.B. Telefonnummer oder E-Mail-Adresse) angegeben werden. Dem Nutzer wird eine zufällige Identifikationsnummer zugewiesen durch die er sich mit anderen Nutzern verbinden kann, Hoccer kann also anonym genutzt werden. Hoccer greift auch nicht auf das Adressbuch zu. Alle Informationen werden verschlüsselt an deutsche Server übermittelt und danach gelöscht.

 

Es ist jedoch unklar, ob Hoccer weiterentwickelt wird, da die aktuelle Version aus dem Jahr 2018 (Android) bzw. 2017 (iOS) stammt. Unter diesem Gesichtspunkt können wir Ihnen die Nutzung von Hoccer momentan nur eingeschränkt empfehlen.

 

Wire Enterprise

 

Wire Enterprise ist ein Dienst, der speziell auf die Kommunikation in Unternehmen zugeschnitten ist. Zur Anmeldung muss eine E-Mail-Adresse angegeben werden, ein Zugriff auf das Adressbuch ist nicht erforderlich. Neben der Nutzung des Messenger-Dienstes besteht auch die Möglichkeit, über VoIP zu telefonieren. Wire kann sowohl auf Smartphones, Tablets als auch auf Desktop-Geräten genutzt werden.

 

Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt. Wire ist Open Source, d.h. die Software ist transparent und kann überprüft werden. Das Unternehmen sitzt in der Schweiz und hat seine Server in der EU.

 

ginlo Business

 

ginlo Business ist eine Version des Messenger-Dienstes für Unternehmen, die auch auf Desktop-Geräten genutzt werden kann. Es können Einzel- oder Gruppenchats und Channels für eine unternehmensweite Kommunikation erstellt werden. Die Chats sind auf bis zu 10 Geräten gleichzeitig verfügbar. Die gesamte Kommunikation ist Ende-zu-Ende verschlüsselt und die Serverstandorte in Deutschland sind mit ISO 27001 zertifiziert.

 

Beekeeper

 

Der Messengerdienst Beekeeper richtet sich speziell an Unternehmen. Für die Anmeldung ist keine E-Mail-Adresse erforderlich, es ist eine einfache Anmeldung über QR-Codes möglich. Beekeeper kann sowohl auf mobilen Endgeräten als auch auf Desktop-Geräten genutzt werden.

 

Dokumente, Links und Bilder können einfach gespeichert und freigegeben werden, es können News Streams eingerichtet werden und Mitarbeiterumfragen durchgeführt werden. Der Dienst arbeitet mit ISO 27001 zertifizierten Rechenzentren.

 

Fazit

 

Es gibt einige datenschutzfreundliche Messengerdienste auf dem Markt, die sich für den Einsatz im Unternehmen eignen. Eine vollständige datenschutzrechtliche Prüfung kann und soll dieses Merkblatt aber nicht ersetzen. Binden Sie bei der Einführung immer den Datenschutzbeauftragten mit ein.

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Die Niederländische Datenschutzbehörde hat gegen den Tennisclub KNLTB ein Bußgeld in Höhe von 525.000 Euro verhängt, weil dieser Daten seiner Mitglieder an Sponsoren verkauft hat.

 

Ein Sponsor erhielt ca. 50.000 Datensätze, ein anderer Sponsor sogar ca. 300.000 Datensätze. Übermittelt wurden u.a. Vor- und Nachname, Adresse, E-Mail-Adresse, Geschlecht, Telefon- und Handynummer und Geburtsdatum der Mitglieder. Einige Monate vor der Weitergabe der Daten, kündigte der Tennisclub seinen Mitgliedern dies in seinem Newsletter und auf der Webseite an und wies darauf hin, dass die Mitglieder der Weitergabe widersprechen können.

 

Daraufhin wurden die Mitglieder postalisch und in ca. 40.000 Fällen auch telefonisch vom Sponsor kontaktiert.

 

Der Tennisclub rechtfertigte die Weitergabe der Daten damit, dass dies einen Mehrwert für die Mitglieder schaffen sollte (z.B. in Form von tennisbezogenen und anderen Angeboten) und dadurch außerdem die sinkenden Einnahmen wegen rückläufiger Mitgliederzahlen ausgeglichen werden sollten.

 

Dies erkannte die Niederländische Datenschutzbehörde nicht als ausreichend an, sondern sah darin eine unerlaubte Weitergabe von Daten und damit ein Verstoß gegen die DSGVO. Die Datenschutzbehörde wertete die Handlungen des Tennisclubs als schweren Verstoß. Der Tennisclub habe sich insbesondere nicht ausreichend informiert.

 

Die Entscheidung ist noch nicht rechtskräftig, der Tennisclub hat bereits angekündigt, Rechtsmittel einlegen zu wollen.

 

Die Weitergabe von Daten bedarf immer einer rechtlichen Grundlage gemäß Art. 6 DSGVO. Als eine solche kommt vorliegend lediglich eine Einwilligung in Betracht, die jedoch ausdrücklich, informiert und freiwillig erteilt werden muss. Ein bloßer Hinweis auf ein bestehendes Widerspruchsrecht, das aktiv ausgeübt werden muss, weil ansonsten das Schweigen als Einwilligung gewertet wird, ist nicht ausreichend und zulässig!

 

Ein weiteres Beispiel, dass uns zeigt, dass die Rechtsgrundlage für die Datenverarbeitung immer sorgfältig abgewogen werden muss. Binden Sie vor solchen Aktionen immer Ihren Datenschutzbeauftragten mit ein, um hier auf der sicheren Seite zu sein.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Die Aufsichtsbehörden in Hamburg und Bayern haben ausdrücklich darauf hingewiesen, dass Google Analytics-Cookies nur mit Einwilligung gesetzt werden dürfen.

 

Eine weitere wichtige Aussage in diesem Zusammenhang ist außerdem, dass die Aufsichtsbehörden Google LLC nicht mehr als Auftragsverarbeiter der Website-Betreiber ansehen: „Das Produkt Google Analytics wurde in den vergangenen Jahren so fortentwickelt, dass es in der aktuellen Gestaltung keine Auftragsverarbeitung mehr darstellt. Vielmehr räumt sich Google als Anbieter das Recht ein, die Daten auch zu eigenen Zwecken zu verwenden.“

 

Die Konsequenz hieraus ist, dass nach Ansicht der Aufsichtsbehörden Google LLC damit aktuell gegen seine eigenen Auftragsverarbeitungsbedingungen (Ziffer 5.2, Weisungsgebundenheit) verstoßen würde. Leider sind bislang aus dieser Auffassung keine sichtbaren Schritte seitens der Aufsichtsbehörden gegen Google LLC an die Öffentlichkeit gedrungen.

 

Website-Betreibern ist zu empfehlen, sich den Einsatz von Google Analytics gut zu überlegen. Zwar haben die Aufsichtsbehörden immer wieder beteuert, man werde sich zunächst an die Hersteller/Anbieter wenden, wenn diese für die Vertragsgestaltung verantwortlich sind (so zum Beispiel auch im Zusammenhang mit Microsoft), allerdings ist das datenschutzrechtliche Verhältnis zwischen Website-Betreiber und Google LLC zumindest ungeklärt und damit auch angreifbar.

 

S. Kieselmann

 

Senior Consultant Datenschutz

 

Dipl.sc.pol.Univ.

Selbst für Amnesty sind Facebook, Google & Co. mittlerweile ein großes Thema.

 

In einem entsprechenden Bericht kritisiert Amnesty, dass sich diese Unternehmen mit ihren Plattformen und Diensten in fast jeden Winkel des digitalen Lebens von Menschen eingeschlichen haben.

 

Mehr als 4 Milliarden Menschen kommunizieren fast tagtäglich über das Internet, beruflich oder privat, sie verabreden und „versammeln“ sich dort. Die dabei notwendigen Dienste und Werkzeuge (Web-Browser, Suchmaschinen, Messenger-Dienste, Social-Media- und Video-Plattformen, Cloud-Speicher, Smart Speaker etc.), erhalten sie von den sog. Internet-Giganten. Im Gegenzug erlauben die Nutzer, dass ihre Daten und damit ihre Kommunikation stetig überwacht wird.

 

Sogar Personen, die ihre Dienste gar nicht nutzen, sind vor der Erfassung ihrer Daten nicht sicher, bspw. weil sie in den Kontaktverzeichnissen der Nutzer auftauchen oder auf Websites surfen, wo Tracking-Software implementiert ist.

 

Dabei werden nicht nur Daten über den einzelnen Menschen gesammelt, sondern auch von allen Seiten zusammengeführt, angereichert und algorithmisch ausgewertet. Dadurch sichern sich die Unternehmen gegenüber dem einzelnen Menschen eine informationsasymmetrische Machtposition, an der auch andere gerne teilhaben möchten und auch tatsächlich teilhaben - Stichwort Cambridge Analytica.

 

Der Bericht fordert daher die Unternehmen auf, die von ihnen verursachten Menschrechtsverletzungen endlich zu beheben. Die Regierungen werden aufgefordert, strengere Gesetze zu schaffen und deren Geltung auch durchzusetzen - denn die Selbstregulierung der Unternehmen hat bisher nur mäßig funktioniert.

 

Fazit: Die Datenschutzgrundverordnung ist da ein erster Schritt. Denn sie gilt auch für Facebook, Google und Co., wenn sie auf dem Markt der EU tätig werden. Allerdings mangelt es oftmals an der Durchsetzung. Entweder geht dies zu Lasten der Unternehmen in der EU, denen es an wirtschaftlichen Alternativen zu den Produkten der Anbieter mangelt, oder zu Lasten der für sie zuständigen Aufsichtsbehörden, die sich teils wohl in Sisyphusarbeit um Lösungsabsprachen im Interesse aller mit den Anbietern bemühen. Dies kann nur verbessert werden, wenn weltweit Regelungen wie in der Datenschutzgrundverordnung gelten würden.

 

S. Kieselmann

 

Beraterin für Datenschutz

 

Dipl.sc.pol.Univ.

Die Datenschutzgrundverordnung ist nun seit knapp 1,5 Jahren in Kraft und die Kommunikation der Aufsichtsbehörden mit Unternehmen nimmt zu. Die anfängliche Zurückhaltung flacht ab und es werden aktiv Prüfungen und Untersuchungen vorgenommen.

Dabei stellen sich Unternehmen oft die Frage in welcher Sprache muss ich mit der Aufsichtsbehörde kommunizieren und in welcher Sprache muss ich meine Dokumente vorhalten. Gerade weltweit agierende Konzernunternehmen fertigen ihre Unterlagen in der Regel in Englisch an. Dies ist auch zulässig, so lange ein international aufgestelltes Unternehmen als Unternehmenssprache Englisch festgelegt hat.

Hier ist vor allem auch in Hinblick auf die Informationspflichten gegenüber den Beschäftigten zu beachten, dass alle Beschäftigten diese verstehen können.

Bei Bedarf kann eine deutsche Aufsichtsbehörde aber Teile oder ganze Dokumente in Deutsch anfordern.

Dies ergibt sich aus der in Deutschland definierten Amtssprache. Diese ist nach den Verwaltungsgesetzen der einzelnen Bundesländer deutsch.

Unten den oben genannten Umständen ist es erlaubt seine datenschutzrechtlichen Dokumentationen in Englisch zu pflegen. Man sollte sich aber bereits vorab um eine für den Einzelfall schnell zugängliche Übersetzungsmöglichkeit bemühen, um einem möglichen Verlangen der Aufsichtsbehörde zügig nachkommen zu können.

Dr. Bettina Kraft

Teamleitung und Senior Consultant für Datenschutz

Volljuristin

Die Aufsichtsbehörde in Mecklenburg-Vorpommern hat nun das Meldeportal „Neutrale Schule“ des AfD-Landesverbands verboten. Bei diesem Portal konnten Schüler Angaben zu Lehrern machen, die während ihres Unterrichts mutmaßlich gegen ihre Pflicht verstoßen, sich gegenüber nicht verbotenen Parteien jeglicher Wertungen zu enthalten.

Diese Praxis war auch bereits Thema bei der Aufsichtsbehörde in Hamburg: Auf ihrer Website hielt die Bürgerschaftsfraktion der AfD Hamburg das Webformular „Neutrale Schule“ bereit. Dagegen konnte die Aufsichtsbehörde mangels Zuständigkeit gegenüber unabhängiger Parlamentsarbeit nicht vorgehen.

S. Kieselmann

Beraterin für Datenschutz

Dipl.sc.pol.Univ.

Am 01.10.2019 erging ein entscheidendes Urteil des EuGH zum Einsatz von Cookies. Der EuGH hat Folgendes dabei klargestellt:

 

- Das Endgerät des Website-Besuchers und die in diesen Geräten gespeicherten Informationen sind Teil seiner Privatsphäre.

 

- Die Einwilligung in das Platzieren und Abrufen der Cookies muss durch eine aktive Handlung erfolgen, etwa durch Anklicken eines Kästchens. Der Haken darf nicht bereits voreingestellt sein.

 

- Der Website-Besucher muss vollständig über die verwendeten Cookies und deren Funktionsweise informiert werden.

 

Aus dem Urteil ergeben sich folgende Aufgaben für Website-Betreiber:

 

Cookies überprüfen

 

Auch wenn es im Urteil nicht explizit erwähnt wird, so dürfen für den Betrieb einer Website technisch notwendige Cookies auch weiterhin ohne Einwilligung eingesetzt werden, bspw. Cookies zur Benutzer-Authentifizierung im Log-In-Bereich einer Website. Für alle anderen - und das dürfte der Großteil der verwendeten Cookies sein - muss die Einwilligung eingeholt werden.

 

HINWEIS: Es ist notwendig, dass der Betreiber die Funktionsweise der Cookies und etwaige Empfänger kennt. Andernfalls kann er die Website-Besucher nicht ausreichend hierüber in der Datenschutzerklärung informieren.

 

 

Einwilligung einholen

 

Über ein Auswahlmenü muss es den Website-Besuchern möglich sein, die jeweiligen Cookies bzw. Cookie-Kategorien auszuwählen und sich hierüber gezielt zu informieren (u.a. zu den Zwecken, Empfängern und zur Speicherdauer), um dann zu entscheiden, ob sie diese aktivieren möchten oder nicht.

 

Bis zur Erteilung der Einwilligung oder wenn keine Einwilligung erteilt wird, dürfen die Cookies nicht platziert werden.

 

Widerruf beachten

 

Da die Website Besucher ihre erteilte Einwilligung auch jederzeit widerrufen können, sollte eine Widerrufslösung technisch implementiert werden.

 

 

Vorgaben der Aufsichtsbehörden umsetzen

 

Der EuGH hat in seinem Urteil die Auffassung der deutschen Aufsichtsbehörden vom 26. April 2018 bestätigt.

 

HINWEIS: Die Aufsichtsbehörden verlangen aber nicht nur eine Einwilligung für das Setzen von Cookies, sondern für alle Verfahren, bei denen potentiell Daten und Informationen zu den Website-Besuchern gesammelt werden, ohne dass dies für den Betrieb der Website erforderlich ist, bspw. auch für Verfahren zur Verfolgung der Website-Besucher durch Zählpixel oder Browser-Fingerprinting. Auch diese Verfahren sollten daher in die technische Einwilligungslösung einbezogen werden.

 

S. Kieselmann

 

Beraterin für Datenschutz

Die Aufsicht über die Einhaltung der Datenschutzgesetze obliegt in Deutschland den Aufsichtsbehörden der Bundesländer. Zu diesem Zweck sind die Aufsichtsbehörden mit entsprechenden Befugnissen ausgestattet, die es ihnen ermöglicht, die Einhaltung der Datenschutzgesetze u.a. durch Unternehmen zu überprüfen. Dazu gehört auch die Befugnis Unternehmen zur Bereitstellung der erforderlichen Informationen anzuweisen. Bei mangelnder Kooperation darf die Aufsichtsbehörde dieses Auskunftsverlangen mit einem Zwangsgeld durchsetzen. Dies entschied das VG Mainz am 09.05.2019 (Az. 1 K 760/18.MZ).

 

Hintergrund war der Folgende: Der Betreiber eines erotischen Tanzlokals hatte im Innen- und Außenbereich des Lokals Videokameras installiert. Der Landesbeauftrage für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz verlangte Auskunft über die Videoüberwachung, insbesondere deren Umfang, und legte dem Betreiber dafür einen Fragekatalog mit 16 Fragen vor. Diesem Auskunftsverlangen kam der Betreiber trotz wiederholter Aufforderung nicht oder nur unzureichend nach. Deshalb verhängte die Aufsichtsbehörde ein Zwangsgeld in Höhe von 5.000 Euro, gegen das der Betreiber Klage erhob.

 

Das VG Mainz wies die Klage als unbegründet ab. Das Zwangsgeld wurde rechtmäßig verhängt und war auch der Höhe nach angemessen. Die Aufsichtsbehörde hat einen Auskunftsanspruch gegenüber dem Verantwortlichen, dem dieser grundsätzlich nachkommen muss.

 

Mit diesem Urteil zeigt sich wieder einmal, dass sich eine Kooperation mit den Aufsichtsbehörden auszahlt. Dies vermeidet nicht nur etwaige Zwangsgelder, sondern wird bei Verhängung eines Bußgeldes sicher auch strafmildernd berücksichtigt.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

 

20 Mitarbeiter 50 Millionen A1 Digital Abbinder Abmahnung Abmahnungen Abo-Falle Abstimmung Abwehr terroristischer Straftaten ADCERT Adressbuch AfD Airbnb Amnesty Anbieter Angemessenheitsbeschluss Angemessenheitsentscheid Angreifer Angriff Anklage Anonymisierung Ansteckungsgefahr Anwendbarkeit Anwendung Anwesenheit Apple Applikationen AppLocker Arbeitgeber Arbeitnehmer Arbeitsabläufe Arbeitsgericht Arbeitsmittel Arbeitsrecht Arbeitsunfähigkeitsbescheinigung Arbeitszeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Attacken Auchfsichtsbehörde Audit Aufsichtsbehörde Aufsichtsbehörden Auftragsverarbeiter Auftragsverarbeitung Aufzeichnung Auskunftei Auskunftsansprüche Auskunftsrecht Auskunftsverlangen auslisten Ausspähen Austritt Austrittsabkommen Auswertung Authentizität Automatisierte Einzelentscheidung Autsch Avast Backup Baden-Württemberg BAG BayDSG Bayerisches Datenschutzgesetz BDSG BDSG-Neu Beamte BEAST Bedrohung Beekeeper Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Benutzerauthentifizierung Berechtigungen Berufsgeheimnis Beschäftigtendatenschutz Beschäftigtenumfragen Beschluss Beschlussfassung Beschwerde besondere Kategorien personenbezogener Daten Besucherdaten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsrat Betriebsratssitzung Betriebsvereinbarung Betriebsverfassungsgesetz Betriebsversammlungen betroffene Personen Betroffenenanfragen Betroffenendaten Betroffenenrechte BetrVG Bewegungsprofil Bewerberdaten BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom BKA Black- bzw. Whitelisting Technologie Bonität Bonitätsprüfung Bounty Brexit Britische Datenschutzbehörde Browser BSI Bug-Bounty-Programm Bund Bundesamt für Sicherheit in der Informationstechnik Bundesarbeitsgericht Bundesfinanzministerium Bundesnetzagentur Bundesregierung Bürokratieentlastungsgesetz Bußgeld Bußgelder Bußgeldverfahren BVG Callcenter Cambridge Analytics Citizen-Score Cloud Cloud-Lösung CNIL Compliance Computer Cookie Cookies Corona Coronavirus COVID-19 CovidLock Malware Coworking-Spaces Custom Audience Cyber Cyber-Attacken Cyberangriffe Cyberkriminalität Cyberkriminelle Cybersicherheit Cyble c`t Darknet Dashcam data breaches data protection officer Daten Daten-für-alle-Gesetz Datenaustausch Datenerhebung Datenlöschung Datenminimierung Datenmonopol Datenpanne Datenpannen Datenschutz Datenschutz Grundverordnung Datenschutz und Informationsfreiheit Datenschutz- und Informationssicherheitsbeauftragten Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragten Datenschutzbeauftragter Datenschutzbehörde Datenschutzerklärung Datenschutzgesetz Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzkonferenz datenschutzkonform Datenschutzniveau Datenschutzprinzipien Datenschutzverletzung Datenschutzverletzungen Datenschutzverstöße Datensicherheit Datentransfer Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Datenverarbeitungsprozesse Dating Dating-Portale Deutsch deutsch Deutsche Bahn Deutsche Bundesbank deutsche Telemediengesetz Deutsche Wohnen SE Diebstahl Dienste Dienstleister Diesel-Fahrverbot Dieselfahrverbot Dieselskandal Direktwerbung Do not track-Funktion Dokumentation Donald Trump Dritter Drittland Drittstaat Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSG DSGVO DSK Durchsuchung Dynamic Data Exchange Protokoll dynamische IP-Adresse E-Mail E-Mail-Kampagnen e-Privacy-Verordnung E-Rechnung eCall-Technologie EDÖB EES EFAIL ehrenamtlich tätiger Vereine Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Eigentum Einschränkungen Einsichtnahme Einwilligung Einwilligungserklärung Einwilligungserklärungen elektronische Kommunikation Empfänger Ende-zu-Ende-Verschlüsselung Englisch ENISA Entlastung Entsorgung ePrivacy ePVO Erfassung Ergebnisliste Erhebung Erhebung personenbezogener Daten Erhebungsverbot Ernährung Erwägungsgrund 48 der DSGVO eSafety-Initiative Essenswünsche Ethik ETIAS EU EU Kommission EU-Bürger EU-Datenschutz-Grundverordnung EU-Datenschutzgrundverordnung EU-Mitgliedsstaaten EU-Parlament EU-Richtlinie EU-Vertreter EuGH Euratom Europa Europäische Atomgemeinschaft Europäische Aufsichtsbehörde Europäische Kommision Europäische Union europäischen Vorschriften EWR externe Quellen Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis Festplatte Finanzsektor Firmensitz FlugDaG Fluggast Fluggastdaten Fluggastdatengesetz Folgenabschätzung Formalien Foto Framework freiwillig fristlose Kündigung Funkmäuse Funktastaturen Fürsorgepflicht GDPR gefährdet Geheimhaltung Geldbörse Geldstrafe Gemeinsam Verantwortliche Gericht Gerichtsbeschluss Gesellschaft für Informatik Gesetz Gesetz gegen den Unlauteren Wettbewerb gestohlen Gesundheitsdaten Gewährleistung ginlo Business Google Google Analytics GPS grenzüberschreitend Groß-Britannien Großbritannien Grundrechtseingriffen Grundsatz der Zweckbindung H & M Hack hack day Hackathon hacken Hacker Hackerangriff hackfest halal Handy-Tracking Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Health Checks Hinweisgeber Hoccer Höchstvermietungsdauer Home Office Home-Office Homeoffice Hygiene Immobilienmakler Informationen Informationsfreiheit Informationspflicht Informationspflichten Informationssicherheit Informationssicherheitsbeauftragte Infrastruktur Inhalteanbieter Insights Installation Integrität interner Datenschutzbeauftragter Internet Intrusion-Prevention-Systeme Investition iOs-App IP-Adresse iPad iPhone IPS Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Mitarbeiter IT-Security IT-Sicherheit IT-Systeme Italien ITSECX Jahresbericht Japan Jin-hyok Joint Control Kanada Kennzeichen-Scan Keynote Klagebefugnis Klingelschilder KNLTB kollektive Daten Kommune Kommunikation Konferenz Kontaktbeschränkungen Kontaktdaten Kontakte Kontaktpersonen Kontaktsperre Konzern konzerninterner Datentransfer Körpertemperatur KoSIT Krankenkasse Kriminalität Kriminelle Krise KUG Kundenbindung Kundenzufriedenheit Künstliche Intelligenz Kunsturhebergesetz Landesbeauftragte Landesdatenschutzbeauftragten Landesverband Laptop Lazarus Lebensweise Lehrer Leistungs- und Verhaltenskontrolle LfDI Baden-Württemberg Like-Button LLC Löschpflicht Löschung personenbezogener Daten Löschungsrecht Lösegeld Machtposition Mail Makler Malware Markennamen Markenrecht Marktforschung Marktortprinzip Maßnahmen MD5 Meldebehörde Meldepflicht meldepflichtige Krankheit Meldeportal Meldescheine Meldesystem Meldung Meltdown Menschenrecht Menschrechtsverletzungen Messenger Messung Microsoft Mieter Mietverhältnis Misch-Account Missbrauch Missbrauch von Kundendaten Mitarbeiter Mitbestimmung Mitbewerber Mitglieder Mitwirkung Mobiltelefon MouseJack-Angriffe Nebenjob Nebentätigkeit Netzwerklabor Neutrale Schule nicht datenschutzkonform Niederlande NIST No-Deal-Brexit Nordkorea Notebook Nutzung Nutzungsbedingungen Oberlandesgericht Düsseldorf öffentliche Stelle Office Office 365 Öffnungsklauseln OLG OLG Stuttgart One Stop Shop One-Stop-Shop Online Online-Kommunikationstools OpenPGP Opfer Österreich Pandemie Papierrechnung Passenger Name Records Passwort Passwort-Sicherheit Passwörter Passwörter. 2016 Passwortfilters Passwortregeln Passwortschutz Patientendaten Penetration Tests Penetrationstest Penetrationstests personal data Personalabteilung Personalausweiskopien Personalfragebogen Personalverantwortliche personenbezogene Daten Personenbilder persönliche Daten Persönlichkeitsrechte Pflichten Pharmalobbyist Phishing Phishing-Kampagnen Phising Plattformbetreiber PNR-Daten PNR-Instrumente Polizei POODLE Power Query PowerShell-Umgebung Prävention Praxistipps Privacy by Default Privacy by Design Privacy Shield privat private Endgeräte private Handynummer private Mobilfunknummer private Telefonnummer Privatnutzung Privatnutzungsverbot Privatspäre Privatsphäre Problem Profiling Quantencomputer Quarantäne Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Rechtmäßigkeitsvoraussetzungen Rechtsabteilung rechtswidrig Referenten Regelungsaufträge Reichweitenanalyse Risiken Risiko Risikogruppen Risikomanagement Risk & Compliance Management Robert-Koch-Institut Rufschädigung Ruhezeiten S/MIME SamSam Sanktion Sanktionen Schaden Schadprogramm Schadsoftware Schüler Schulung schützenswert Schutzmaßnahmen Schutzniveau schutzwürdige Interessen Schwachstellen Schweiz SDSG second line of defense Security by Design Seitenbetreiber Sensibilisierung SHA1 sicher Sicherheit Sicherheits- und Datenschutzmängel Sicherheitslücke Sicherheitslücken Sicherheitsmängel Sicherheitsstandards Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Signal Signatur Sitzungen Skype Smartphone Social Plugin Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke SPD Spectre Speicherdauer Sponsoren Sprache Sprachkenntnis Standardvertragsklauseln Standort Steuerberater Strafe Strafverfolgung Studenten Suchanfrage Suchmaschine Supercomputer Risikolage supervisory authority Support Swiss IT Security Gruppe Swiss-US Privacy Shield Synergiepotenziale Systemadministrator Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Technische und organisatorische Maßnahmen technische und organisatorische Maßnahmen Telefonnummer Telefonwerbung Telemarketing Telemediendienst Telemediengesetz Teleselling Telstra Security Report Tennisclub Threema Work TIBER TIBER-DE TKG TLS TMG TOM Tools Totalrevision Tracking Tracking Tools Tracking-Tools Twitter Übergangsphase Übermittlung personenbezogener Daten Übernahme Übertragung Überwachungssoftware Umfrage Umsetzungsfrist Unberechtigte Datenabfrage unerlaubt Unionsbürger unpersonalisierter Benutzer-Account Unternehmen Unternehmensgröße Unternehmensgruppe Unternehmenssprache unzulässig Update Urteil US-Regierung USA UWG Vegan Vegetarier Verantwortlicher Verantwortung Verarbeitung Verarbeitungsverbot Verbot Verbraucher Verbraucherzentralen Verdachtsfälle Vereinbarung Vereinigte Königreich Vereinigtes Königreich Großbritannien und Nordirland Verfahren C-311/18 Verlängerung verloren Verlust Vermieter Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselung Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Vertragsanbahnung Verwaltungsakt Verwaltungsgericht Karlsruhe VG Mainz Videokamera Videokonferenz Videokonferenzen Videoüberwachung Virus Voraussetzungen Voreinstellungen Vorsicht Vorteile Wachstum WAF WannaCry Web-Applikation-Firewalls Webcast Webseite Webseiten Webseitenbesucher Website Website-Betreiber Webtracking Webtrecking weisungsunabhängig Weitergabe Weitergabe an Dritte Weltanschauung Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblower Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wien Windows Wire Enterprise Wirklichkeitsmodell Wohnung X-Rechnung Youtube Zeiterfassung zentralisierte Verwaltung Zertifikat Zertifizierung Zoom Zoom Video Zugangsdaten Zugriff Zugriffsrechte Zugriffsverwaltung Zukauf zulässig Zulässigkeit Zusatzschutz zuständig Zwangsgeld Zweck Zweckbindung § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30 31