Auch interne Datenschutzbeauftragte müssen den Verantwortlichen in datenschutzrechtlicher Sicht beraten, prüfen und überwachen. Diese Aufgaben können sie nur wahrnehmen, wenn sie zum einen die gesetzlich vorgeschriebene Fachkunde haben, und zum anderen muss sichergestellt werden, dass sie sich nicht selbst überprüfen müssen.
Ein interner Datenschutzbeauftragter, der ein Mitarbeiter des Unternehmens ist, darf nicht auch in anderen datenschutzrelevanten Fachbereichen für das Unternehmen tätig sein. Aufsichtsbehörden haben bereits die Bestellung eines IT-Leiters zum Datenschutzbeauftragten gerügt. Dasselbe dürfte auch für Compliance-Beauftragte und Leiter der Rechtsabteilung gelten. Es sollte aufgrund der erhöhten Bußgelder, die auf Basis der Datenschutzgrundverordnung fällig werden können, geprüft werden, ob der intern bestellte Datenschutzbeauftragte seine datenschutzrechtlichen Aufgaben auch wirksam erledigen kann und darf.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Herr Penibel kauft drei Schalen mit Erdbeeren aus dem Supermarkt, die angeblich alle 500 g. Erdbeeren enthalten sollen. Zu Hause wiegt er die Schalen nach. Siehe da: Eine Schale wiegt 480 g., die zweite 475 g. und die dritte gar nur 460 g. Herr Penibel ist sauer und möchte gegen den Supermarkt vorgehen. Er fühlt sich getäuscht und in die Irre geführt. Er lässt den Supermarkt abmahnen, verlangt von ihm neben der Erstattung der Anwaltsgebühren auch noch eine Verpflichtung, für jeden künftigen Fall der Zuwiderhandlung eine Vertragsstrafe von 5000 Euro an ihn zu zahlen.
Szenenwechsel:
Herr Abmahnus betreibt ein kleines Lohnbüro und hat eine eigene Homepage. Er findet auf den Webseiten der Konkurrenz Datenschutzerklärungen, die den Vorgaben der DSGVO nicht entsprechen. Er vermutet, dass dadurch seine Kunden getäuscht und in die Irre geführt werden und seine eigenen Geschäfte daher schlecht laufen. Er lässt den Wettbewerber abmahnen, verlangt von ihm neben der Erstattung der Anwaltsgebühren auch noch eine Verpflichtung, für jeden künftigen Fall der Zuwiderhandlung eine Vertragsstrafe von 5000 Euro an ihn zu zahlen.
Die beiden geschilderten Szenen sind nicht vergleichbar? Doch!
Bereits in unserem Blog-Artikel vom Mai haben wir darauf hingewiesen, dass wir bezweifeln, dass es sich bei den Vorschriften der DSGVO um Normen mit wettbewerbsrechtlichem Charakter gem. § 3a UWG (Gesetz gegen den Unlauteren Wettbewerb) handelt.
Prof. Dr. Köhler hat nun in seinem Aufsatz der neuen Zeitschrift für Datenschutz (ZD 2018, 337f.) ausführlich dargelegt, dass seines Erachtens ein solcher Zusammenhang nicht besteht. Er weist zum einen darauf hin, dass § 3a UWG dann nicht anzuwenden sei, wenn für einen Sachverhalt eine abschließende Regelung getroffen wurde. Eine solche abschließende Regelung im Rahmen der DSGVO sei durch die Art. 77 ff. DSGVO geschaffen worden. Die in Art. 80 Abs. 2 DSGVO aufgezählten Institutionen seien abschließend durch den Gesetzgeber berechtigt worden, eine Beschwerde einzulegen, wenn die Rechte einer betroffenen Person infolge einer Datenverarbeitung nach DSGVO verletzt worden seien. Weitere Berechtigte – also konkret: „Mitbewerber“ – seien nicht vorgesehen und diese seien auch nicht durch Auslegung oder Analogien zu der Vorschrift mit umfasst.
Zum anderen stellt Prof. Dr. Köhler heraus, dass die Schutzzweckbestimmungen der beiden Vorschriften deutlich voneinander abweichen. Während das UWG die Marktteilnehmer vor unlauteren geschäftlichen Praktiken schützen soll (vergl. § 1 UWG) ist der Schutzzweck der DSGVO die Wahrung Grundrechte und Grundfreiheiten der natürlichen Personen, insbesondere das Recht auf informationelle Selbstbestimmung (vergl. Art. 1 DSGVO). Damit schützt die DSGVO die Individualrechte der Einzelnen und wird hierbei durch die Aufsichtsbehörden unterstützt, während der Wettbewerber in der Regel zur Durchsetzung seiner Ansprüche auf private Initiative angewiesen ist. Demnach gehen sowohl Herr Penibel als auch Herr Abmahnus aus unseren obigen Beispielen leer aus. Herr Penibel kann seinen Anspruch nicht auf die Vorschriften des Wettbewerbsrechts stützen, da er kein Wettbewerber ist. Herr Abmahnus kann sich nicht auf die Vorschriften der DSGVO stützen, da diese keine wettbewerbsrechtliche Wirkung entfalten. Selbstverständlich bleibt es Herrn Abmahnus unbenommen, bei der Aufsichtsbehörde Beschwerde einzulegen, etwa weil seine personenbezogenen Daten nicht korrekt verarbeitet wurden. Die Erstattung von Abmahngebühren und eine Vertragsstrafe erhält er jedoch nicht.
Eben so wenig wie einzelne Verbraucher sich also bei Wettbewerbsverstößen auf § 3a UWG berufen können, können Dritte als Wettbewerber bei Datenschutzverletzungen gegenüber Betroffenen die fehlende Umsetzung der DSGVO abmahnen.
Konsequenterweise empfiehlt Prof. Dr. Köhler den deutschen Gerichten, in Fällen von Abmahnungen der Webseiten durch Wettbewerber bei der Prüfung der Zulässigkeit, nämlich der Klagebefugnis, den Klägern eine Absage zu erteilen und die Klage bereits aus diesem Grund abzuweisen.
Wir hoffen sehr, dass die Gerichte dieser Aufforderung nachkommen werden.
C. Lürmann
Rechtsanwältin
Consultant Datenschutz
Mit Beschluss vom 18.06.2018 hat das Oberlandesgericht (OLG) Köln eine viel diskutierte Frage zur Anwendung des KUG nach Inkrafttreten der DSGVO beantwortet. Danach gilt das KUG weiterhin als Rechtsgrundlage für die Bildberichterstattung, ohne eine Einwilligung der fotografierten und gezeigten Personen. Dies bestätigte auch die bayerische Aufsichtsbehörde für Datenschutz. § 23 KUG erlaubt die Veröffentlichung von Personenfotos ohne Einwilligung der betroffenen Personen, zum Beispiel bei Versammlungen an der die Personen teilgenommen haben.
Der Entscheidung lag der Antrag auf Erlass einer einstweiligen Verfügung zugrunde. Mit dem Antrag sollte die Veröffentlichung eines Fotos in einem Fernsehbeitrag verhindert werden. Das Foto zeigte den Antragsteller im Zusammenhang mit der Räumung eines Gebäudes. Der Antrag wurde zurückgewiesen, die nachfolgende sofortige Beschwerde blieb ebenfalls erfolglos. Die umfangreichen Abwägungsmöglichkeiten des KUG ermöglichen, so dass OLG Köln, die Berücksichtigung der Grundrechtspositionen nach Unionsrecht. Das KUG bildet jedoch nicht die rechtliche Grundlage für die Erfassung der Daten, also das Fotografieren und es befreit nicht von den Informationspflichten. Die Information liegt im Beschäftigtenverhältnis in der Regel vor. Bei fremden Personen kann sie entbehrlich sein, wenn die Personen auf der Veranstaltung damit rechnen müssen, dass Fotos gemacht werden. Als Rechtsgrundlage für die Erhebung wird Art. 6 Abs. 1 lit f) DSGVO heranzuziehen sein. Dem berechtigten Interesse der (professionellen) Fotografen, ihren künstlerischen Beruf auszuüben, steht kein schutzwürdiges Interesse der Betroffenen gegenüber. Wie so oft, ist jedoch immer der Einzelfall zu betrachten und die beidseitigen Interessen sind sorgfältig abzuwägen.
Die Entscheidung bedeutet auch eine Erleichterung für die Veröffentlichung von Fotos von Firmenevents wie Hausmessen, Messen, Fortbildungen, Sommerfesten, etc. im Intranet, Internet oder in einer Betriebszeitung.
Michaela Dötsch
Rechtsanwältin
Jahrelang hat Herr S. die Facebook-Seite seines Arbeitgebers betreut. Er hat sie registriert, aufgebaut und gepflegt, mit Inhalten versorgt. Herr S. stellt sich neuen Herausforderungen und verlässt das Unternehmen, jetzt will der Arbeitgeber den Zugang zu dem Account und Zugriff auf sämtliche Inhalte – doch das Unternehmen geht leer aus.
Warum?
Das Arbeitsgericht in Brandenburg (AG Brandenburg, Urteil vom 31.1.2018 – 31 C 212/17) musste einen derartigen Fall entscheiden. Ausschlaggebend für die Entscheidung waren verschiedene Indizien, die wir hier kurz für Sie zusammengestellt haben:
- Impressum: Wer ist im Impressum der Fanpage genannt?
- Registrierte E-Mail-Adresse: Handelt es sich um eine dienstliche oder private Adresse?
- Nutzung: Sind auch private Inhalte des Administrators auf der Fanpage enthalten?
- Name: Sind ggfs. Markenrechtlich geschützte Inhalte auf der Fanpage und wem gehören die Markenrechte?
Zurück zum Fall:
Zwar war im Impressum der Fanpage das Unternehmen aufgeführt, aber bei der registrierten E-Mail-Adresse handelte es sich um die Privatadresse von Herrn S. Dieser hatte auch private Inhalte auf der Fanpage gepostet und zu allem Überfluss auch noch den verwendeten Markennamen auf seinen eigenen Namen schützen lassen. Und damit hat das Unternehmen vor Gericht verloren.
Hinsichtlich des Datenschutzes wies das Gericht im Übrigen explizit darauf hin, dass bei sogenannten „Misch-Accounts“, also Benutzerkonten die sowohl privat als auch beruflich genutzt werden, aufgrund des Fernmeldegeheimnisses (§ 88 TKG) die Inhalte durch den Betreiber solange zurückbehalten werden müssen, bis alle Kommunikationspartner der Offenlegung zugestimmt haben.
Damit Ihnen nicht ähnliches passiert, sollten Sie darauf achten, dass Ihre Präsenz in den Sozialen Netzwerken eindeutig als Unternehmenspräsenz geführt wird. Die Fanpage sollte auf das Unternehmen registriert sein und die Zugangsdaten im Unternehmen gespeichert. Wenn Sie private Inhalte seitens des Administrators auf der Fanpage zulassen, könnte es sich rechtlich um ein Misch-Account handeln, zu dem Sie keinen (unbeschränkten) Zugang mehr haben.
Aus diesem Grund raten wir generell dazu, sämtliche durch das Unternehmen zur Verfügung gestellte Hard- und Software ausschließlich zur betrieblichen Nutzung frei zu geben und dies auch von Zeit zu Zeit zu überprüfen und die Mitarbeiter auf Verstöße hinzuweisen und ggfs. sogar abzumahnen. Nur so ist ein Zugriff auf sämtliche Unternehmenskommunikation durch das Unternehmen selbst zu gewährleisten.
C. Lürmann
Rechtsanwältin
Consultant Datenschutz
Wie ist die heutige Risikolage?
Die Risikolage bezüglich der im Unternehmen verarbeiteten Daten wird heute immer noch unterschätzt! Denn Informationen sind das heutige „Gold“ mit dem man schnell viel Geld machen kann. Sie finden sich überall wieder, auf unseren Tablets, auf unseren Smartphones und natürlich auf den Rechnern und anderen technischen Geräten, die in Unternehmen eingesetzt werden. Professionelle Hacker wissen wonach sie suchen müssen und sie wissen auch dieses „Gold“ zu verwerten.
Dadurch können hohe finanzielle Schäden für das Unternehmen entstehen und auch ein nicht zu unterschätzender Imageverlust kann für ein betroffenes Unternehmen die Folge sein.
Doch auch auf anderen Wegen, wie über Bußgelder können Unternehmen heutzutage sehr viel Geld verlieren. So gibt es seit dem 25. Mai 2018 Sanktionen, die durch die EU-DSGVO empfindlich geahndet werden. Sanktionen werden bei einem Sicherheitsvorfall nicht nur einmal erhoben, denn sollten mehrere Verstöße gegen die Vorgaben des Datenschutzes (persönliche Daten/Kundendaten) nachgewiesen werden, so wird jeder Verstoß einzeln geahndet.
Was investieren Unternehmen in den Schutz ihrer Daten?
Trotz der Bedrohung durch Hackerangriffe und der Selbstverständlichkeit, das eigene Unternehmen u.a. gemäß den Vorgaben der EU-DSGVO auszurichten, d.h. auch entsprechende Sicherheitsvorkehrungen zu treffen, sind viele Unternehmen eher bereit, einen Sicherheitsvorfall zu riskieren, als vorab in die IT-Sicherheit zu investieren. Dabei halten mehr als die Hälfte der Unternehmen ihre Unternehmensdaten für nicht sicher. Grund hierfür sind unter anderem die weiter sinkenden Investitionen in die IT-Sicherheit, welche in Deutschland und Österreich bei gerade einmal 13 Prozent liegen.
Daher gehen viele Unternehmen dazu über, Lösegeld für ihre Daten zu bezahlen oder auch die von der EU-DSGVO verhängten Sanktionen, welche mit 2 % bzw. 4% des globalen Umsatzes oder bis zu 10 oder 20 Mio. Euro pro Verstoß immense Kosten in einem Unternehmen verursachen.Dazu kommen natürlich noch die Kosten, um nach einem Angriff die betroffenen IT-Systeme und Infrastrukturen wiederherzustellen. Von dem Imageverlust des Unternehmens ganz zu schweigen, welcher sich nur schwer in Euros beziffern lässt. Auch das Vertrauen der Kunden zurückzugewinnen, ist natürlich ebenfalls nicht umsonst.
Nur wird noch häufig vernachlässigt, wenn das Opfer das Lösegeld bezahlt, wird auch nicht in allen Fällen die Daten wieder freigegeben und entschlüsselt. Und sollte ein Unternehmen attraktiv für Hacker sein, wird es auch nicht nur einem (erfolgreichen) Angriff standhalten müssen.
Muss das so sein?
Kurze Antwort: Nein. Lange Antwort: Es muss natürlich eine Abwägung zwischen den betriebenen Aufwänden und der Wahrscheinlichkeit eines Sicherheitsvorfalls geben. Aber mit rund 13 Prozent mehr oder weniger auf IT-Sicherheit zu verzichten, ist für ein wirtschaftlich handelndes Unternehmen keine akzeptable Lösung.
Denn wenn auch einigen Betroffenen die Sicherheitslücken in ihrer konfigurierten Verschlüsselung eher „esoterisch“ vorkommen und glauben, dass diese nicht wirklich ausnutzbar sind, der ist zumindest derzeit noch nicht ganz verkehrt, aber es wird hier mit einem offenen Einfallstor zu unbedacht umgegangen.Es ist zwar derzeit nur sehr schwer und nicht ohne hohen Aufwand möglich Verschlüsselungen zu brechen,vieles ist bisher „nur“ in Labor-Umgebungen erfolgreich gewesen, aber in der heutigen Zeit, wo die Entwicklung der Supercomputer immer mehr Auftrieb nimmt, sollten diese Schwachstellen auch nicht auf die „leichte Schulter“ genommen werden. Selbst heute sind Supercomputer in der Lage 93 PetaFlops (das entspricht Billiarden Gleitkommaoperationen in der Sekunde) auszuführen. Diese Leistung und der Fortschritt in der Entwicklung könnte dazu führen, dass derzeitige noch als sicher geltende Verschlüsselungsverfahren, wie RSA und ECC, ab 2031 geknackt werden könnten. Neben Supercomputern gibt es aber auch heute schon die Möglichkeiten der Nutzung von Bot-Netzen (Mirai & Co.), um die nötige Rechenleistung für solche Kollisionsverfahren oder das Faktorisieren von Schlüsseln zu erzielen.
Kennt man die Vorgehensweise und die Methoden von Hackern, kann ein Unternehmen dies bei der Planung der IT-Sicherheit durch Sicherheitsexperten einfließen lassen, aber es darf nicht die alleinige Bewertungsgrundlage sein.So sollten neben dem Fixen der kritischen und hoch eingestuften Schwachstellen auch auf das Fixen der eher „fiktiv erscheinenden“ Schwachstellen (wie bei der Verschlüsselung oder den SSL-Zertifikaten) Rücksicht genommen werden, da diese mit jedem Tag besser und schneller ausnutzbar sind.
Fazit
Unternehmen sollten ihre Investitionen in eine funktionierende IT-Sicherheit überdenken und den Stellenwert der Daten und Informationen, die sie schützen müssen. Sie sollten sich die Frage stellen, ob der Aufwand und die Investitionen dem Level der schützenswerten Daten auch entsprechen. Denn es ist die Grundlage all ihrer Arbeit. Ein professioneller Rennfahrer würde seinen Rennwagen schließlich auch nicht unverschlossen mit steckendem Schlüssel im Zündschloss auf der Straße stehen lassen.Für allen Planungen zur IT-Sicherheit sollte also neben dem Stellenwert der schutzbedürftigen Daten/Informationen auch immer die Frage berücksichtigt sein, wie geht ein Hacker vor, was für Hürden müssen wir ihm stellen, wie ist die Entwicklung der Technologie (Stichwort: Supercomputer) und wie verhalte ich mich datenschutzkonform?
Die Investitionen zur Umsetzung der vorab genannten Überlegungen und die Überprüfung durch IT-Sicherheitsexperten, die präventiv das Sicherheitslevel untersuchen, bewerten und Empfehlungen zur Verbesserung der IT-Sicherheit geben können, ist vergleichsweise für ein Unternehmen daher deutlich lukrativer, indem sie je nach Umfang und Tiefe einer Sicherheitsprüfung, einen vier- bis fünfstelligen Betrag zahlen, als mit sieben- bis achtstelligen Kosten- und Sanktionsbeträgen zu spekulieren und obendrein noch ihren „guten Ruf“ zu riskieren.
Chr. Schöndube
Senior IT-Security Consultant / Penetrationstester
Letzte Woche hat das EU-Parlament für eine Aussetzung des EU-US-Privacy Shields (informelle datenschutzrechtliche Absprache, zwischen der Europäischen Union und den USA) gestimmt. Und zwar so lange bis die USA ausnahmslos alle Bedingungen des Datenschutzabkommens erfüllen.
Das EU-Parlament hat mit 303 zu 223 Stimmen für eine Nachbesserung gestimmt. Wenn diese nicht zügig erfolgt, wird das Privacy Shield ab 1.September 2018, mit großen Folgen für die Wirtschaft, ausgesetzt. Das Privacy Shield ist schlichtweg mangelhaft. Es wurde eine lange Mängelliste aufgeführt. Hauptsächlich werden hier die mangelnden Zusagen der US-Regierung und die weitreichenden Zugriffsmöglichkeiten der amerikanischen Behörden auf persönliche Daten von EU-Bürgern kritisiert. Es bietet aktuell kein angemessenes Schutzniveau, wie es seitens der EU gefordert wird.
Es bleibt abzuwarten in welche Richtung man hier tendiert, wir halten Sie dazu auf dem Laufenden.
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
Am 07.06.2018 hatten wir über das EuGH-Urteil (Rechtssache C‑210/16) vom 05.06.2018 berichtet.
Mit seiner Entscheidung befand der EuGH, dass der „Betreiber (…) gemeinsam mit Facebook Ireland (…)“ als „Verantwortlicher im Sinne von“ Art. 4 Nr. 7 DSGVO „einzustufen“ ist (Rn 39). Auch wenn dies „nicht zwangsläufig eine gleichwertige Verantwortlichkeit“ bedeutet, sondern nach den „Umstände[n] des Einzelfalls zu beurteilen“ ist (Rn 43).
Nach diesem Urteil müssten sich die Fanpagebetreiber die Datenverarbeitungsvorgänge - und damit auch Datenschutzverstöße - der Plattformbetreiber (Facebook u.a.) anrechnen lassen.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat nun in ihrer Entschließung vom 06.06.2018 eine Handlungsanweisung herausgegeben: Demnach muss sich jeder Fanpagebetreiber selbst versichern, dass der Plattformbetreiber ihm die Informationen gemäß Art. 13, 14 DSGVO zur Verfügung stellt. Des Weiteren muss jeder Fanpagebetreiber mit dem Plattformbetreiber einen Joint Control-Vertrag i.S.v. Art. 26 DSGVO abschließen.
Facebook hat mittlerweile Stellung zum EuGH-Urteil bezogen:
„Wir werden die notwendigen Schritte unternehmen, um es den Seitenbetreibern zu ermöglichen, ihren rechtlichen Verpflichtungen nachzukommen. (…) Wir werden unsere Nutzungsbedingungen bzw. Richtlinien für Seiten aktualisieren, um die Verantwortlichkeiten sowohl von Facebook als auch von Seitenbetreibern klarzustellen, und damit auch die Einhaltung der rechtlichen Vorgaben für die Seitenbetreiber zu erleichtern. Details zu unseren aktualisierten Bedingungen werden wir in Kürze bekanntgeben. In der Zwischenzeit können Facebook-Seiten wie gewohnt genutzt werden.“
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Das Bayerische Landesamt für Datenschutzaufsicht hatte bereits 2017 allgemeine Hinweise und Anforderungen für Unternehmen zum Einsatz von Facebook Custom Audience herausgegeben.Am 8. Mai 2018 erging nun fast unbeobachtet ein Urteil des Landgerichts Bayreuth (Az.: B 1 S 18.105). Danach ist Custom Audiences von Facebook datenschutzwidrig.
Wie funktioniert Custom Audience?
Das nutzende Unternehmen erstellt zum Beispiel eine eigene Kundenliste (z.B. mit Name, Wohnort und E-Mailadresse) und lädt diese Kundenliste im eigenen Facebook-Konto hoch. Facebook gleicht diese Liste dann mit den Profilen der Facebook-Nutzer ab und man kann so Werbung zielgenau steuern. Auch werden teilweise Facebook-Pixel verwendet indem ein unsichtbares Facebook-Pixel auf der Webseite eingebunden wird. Mit diesem kann dann das Online-Verhalten der Webseiten-Besucher analysiert werden.Allerdings ist grundsätzlich die Verarbeitung personenbezogener Daten zu Werbezwecken nur zulässig, wenn die betroffene Person vorher eingewilligt hat. Bei Facebook Custom Audience wird aktuell nicht überprüft, ob diese Einwilligung vorliegt.
Fazit:
In jedem Fall müssen Unternehmen bei Verwendung von Custom Audience Einwilligungserklärungen für die Datenverarbeitung einholen und in der Datenschutzerklärung umfassend über die Verarbeitung der personenbezogenen Daten informieren sowie eine Widerrufsmöglichkeit anbieten. Es wird für Unternehmen die Facebook Custom Audience verwenden, komplizierter. Unternehmen sollten auf jeden Fall die jüngst ergangenen Entscheidungen zu Facebook berücksichtigen.
Dr. Bettina Kraft
Senior Consultant für Datenschutz
Teamleitung/Volljuristin
Und schon wieder gab es eine datenschutzrechtliche Entscheidung, die für Aufregung sorgt, diesmal durch den EuGH.
Hintergrund:
Im Bemühen, gegen Facebook und dessen intransparenter Datenverarbeitung vorzugehen, erließ bereits 2011 das ULD (Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein) gegen die Wirtschaftsakademie der IHK eine Verfügung, wonach diese ihre Fanpage auf Facebook zu deaktivieren habe. Die Überlegung dabei war, dass die Wirtschaftsakademie selbst zwar keine Daten sammle, durch seine Entscheidung, eine Fanpage zu eröffnen, es jedoch Facebook erst ermöglichte, Cookies, also kleine Dateien auf den Festplatten der Besucher der Fanpage zu platzieren. Cookies erlauben es, Informationen über einen bestimmten Zeitraum vorzuhalten und den Rechner des Besuchers zu identifizieren. Daher nahm das ULD die Wirtschaftsakademie als Verantwortlichen in Anspruch. Nachdem das ULD in den Instanzen vor den unteren nationalen Gerichten unterlegen war, landete die Sache beim BVerwG, das – um eine einheitliche europäische Rechtsprechung zu gewährleisten – die relevanten rechtlichen Entscheidungsgrundlagen vorab durch den EuGH beurteilen ließ. Dabei hatte der EuGH zu insgesamt sechs verschiedenen Fragen Stellung zu beziehen.
Im Fokus dieses Artikels stehen dabei die ersten beiden Fragen. Dabei wollte das BVerwG geklärt haben, ob es im Rahmen der Datenverarbeitung mehr als einen Verantwortlichen geben könne, auch wenn diese nicht auf dieselben Daten Zugriff haben.
Entscheidung:
Mit seiner Entscheidung befand der EuGH, dass der Begriff des Verantwortlichen zum Schutz der Rechte der Bürger weit auszulegen sei. Nicht nur Facebook träfe daher die Verantwortung für die im Rahmen der Fanpages gesammelten Daten, sondern auch der Betreiber der Fanpage, der es insbesondere auch Nicht-Facebook-Mitgliedern erlaube, seine Fanpage zu besuchen. Der Betreiber ermögliche Facebook dadurch, Cookies im Speicher der jeweiligen Benutzer abzulegen und dadurch deren Verhalten zu analysieren. Im Rahmen der Funktion Facebook Insight, die den Betreibern von Fanpages zur Verfügung steht, würden den Betreibern zwar lediglich anonymisierte Auswertungen zur Verfügung gestellt, gleichwohl verfüge Facebook über eine Vielzahl an Einzelinformationen von Betroffenen, aus denen die Statistiken erstellt würden. Über diese Informationen verfüge Facebook ausschließlich aus dem Grund, dass der Betreiber der Fanpage die entsprechende Parametrisierung der gewünschten Informationen vorgenommen habe. Daher sei dieser zumindest mit für die Verarbeitung der Daten verantwortlich. Es komme insbesondere nicht darauf an, dass alle Verantwortlichen Zugriff auf dieselben Daten haben, um eine gemeinsame Verantwortlichkeit zu begründen.
Ausblick:
Was bedeutet das konkret für Fanseiten bei Facebook? Zunächst einmal noch nichts, denn wie dargestellt, handelt es sich bei der Entscheidung des EuGH um eine Auslegungshilfe für die Richter, die die entsprechende Vorschriften nun anwenden müssen. Eine Entscheidung durch das BVerwG steht indes noch aus. Insofern dürften sich die Aufsichtsbehörden im Moment noch zurückhalten und zunächst den Abschluss des Verfahrens abwarten, bevor sie in irgendeiner Weise tätig werden.
Andererseits ist die Entscheidung jedoch ein guter Anlass, den eigenen Einsatz von „Datensammelstellen“ in sozialen Netzwerken oder auf andere Weise (z.B. auch WhatsApp) zu überdenken. Die Unternehmen, als Kunden der Datensammler haben nämlich plötzlich als Verantwortliche ein eigenes Interesse daran, genau zu erfahren, welche Daten von wem gesammelt werden und was mit diesen Daten passiert. Erhalten sie diesbezüglich keine Information von den Mitverantwortlichen, haben sie es in der Hand, ihre Seiten zu schließen und könnten damit den großen Anbietern ihre Geschäftsgrundlage mit dem Datenhandel entziehen. Als Vertragspartner können, nein, müssen die Unternehmen von den Anbietern mehr Transparenz verlangen, wie mit den gesammelten Daten umgegangen wird. Nicht zuletzt sind sie als Verantwortliche dazu verpflichtet, die Besucher ihrer Webseiten entsprechend der DSGVO zu informieren, was sie nur dann können, wenn sie selbst wissen, was mit den Daten passiert.
Insgesamt sollte in dem EuGH Urteil damit keine Bedrohung gesehen werden, sondern vielmehr eine Chance für die Unternehmen. Ihre Auffassung und ihre datenschutzrechtlichen Belange könnten künftig im Rahmen der Vertragsgestaltung mit den „Großen“ eher Beachtung finden. Facebook, WhatsApp & Co. könnten durch die Entscheidung des EuGH gezwungen sein, die Verarbeitung personenbezogener Daten transparenter zu gestalten und es damit auch ihren Kunden nun endlich ermöglichen, ihrer datenschutzrechtlichen Verantwortung nachzukommen, denn gemäß dem ULD bedeutet die Entscheidung des EuGH „dass zwischen [den Unternehmen] und Facebook geklärt sein muss, welche Datenschutzpflichten sie selbst zu erfüllen haben und für welche Facebook zuständig ist. Dies gilt insbesondere für die Informationspflichten“. Damit sollten die Anbieter der Sozialen Netzwerke den Unternehmen, wenn sie diese als Kunden nicht verlieren möchten, auch im Bereich Datenschutz nun weit entgegenkommen.
C. Lürmann
Rechtsanwältin
Consultant Datenschutz
Der Datenschutz im Arbeitsverhältnis hat einen hohen Stellenwert. Dies wird durch das Urteil des LAG Thüringen vom 16.05.2018 bekräftigt. Danach sind Arbeitnehmer grundsätzlich nicht verpflichtet, ihrem Arbeitgeber die private Handynummer zur Verfügung zu stellen. Hintergrund des Verfahrens war die Klage von Mitarbeitern des kommunalen Gesundheitsamtes gegen den Landkreis Greiz. Für Bereitschaftsdienste hatten sie sich geweigert zusätzlich zu einem Diensthandy ihre private Mobilnummer anzugeben und erhielten infolgedessen eine Abmahnung, die in der Personalakte vermerkt wurde.
Die ständige Erreichbarkeit, die mit der Preisgabe der privaten Mobilfunknummer einhergeht, ist ein erheblicher Eingriff in Persönlichkeitsrechte und damit nur unter ganz besonderen Umständen akzeptabel. Und zwar nur dann, wenn sich die Arbeitspflichten des Mitarbeiters nicht anders sinnvoll organisieren ließen.
L. Fuchs
Beraterin für Datenschutz