Die Datenschutzgrundverordnung (DSGVO) beschäftigt immer noch sehr viele Unternehmen, nun steht schon die Verordnung über Privatsphäre und elektronische Kommunikation (ePrivacy-Verordnung (ePVO)) vor der Tür. Ursprünglich sollte sie schon mit der DSGVO in Kraft treten, dies wird nun aller Wahrscheinlichkeit nach 2020 der Fall sein.
Die ePVO ist eine EU-Verordnung, die nach ihrem Inkrafttreten sofort innerhalb der EU gilt. Eine Umsetzung durch die Mitgliedsstaaten ist nicht erforderlich. Die ePVO soll personenbezogene Daten in der elektronischen Kommunikation schützen. Sie ist ein Spezialgesetz zur DSGVO und soll diese bezüglich elektronischer Kommunikationsdaten präzisieren und ergänzen.
Sachlicher Anwendungsbereich
Nach Art. 2 Abs. 2 des Entwurfs gilt die Verordnung für
- die Verarbeitung von elektronischen Kommunikationsinhalten und von Metadaten der elektronischen Kommunikation, die im Zusammenhang mit der Bereitstellung und Nutzung von elektronischen Kommunikationsdiensten durchgeführt werden;
- Informationen über die Endgeräte der Endverbraucher
- das Angebot eines öffentlich zugänglichen Verzeichnisses der Endnutzer elektronischer Kommunikationsdienste;
- die Versendung von Direktmarketing-Mitteilungen an die Endverbraucher.
Von der ePVO betroffen sind daher u.a.:
- Messenger-Dienste
- Internettelefonie
- Webbasierte E-Mail-Dienste
- Soziale Medien
- Internetzugang
Wesentliche Inhalte
- Endnutzer sollen in regelmäßigen Abständen von max. 12 Monaten an die Möglichkeit des Widerrufs ihrer Einwilligung zur Verarbeitung elektronischer Kommunikationsdaten erinnert werden, Art. 4a Abs. 3 des Entwurfs.
- Die Möglichkeit der Rufnummerunterdrückung soll den Endnutzern auf einfache Weise und kostenlos zur Verfügung gestellt werden, Art. 12 des Entwurfs.
- Die Endnutzer sollen außerdem kostenlos die Möglichkeit bekommen eingehende Anrufe von bestimmten Rufnummern oder anonymen Quellen zu sperren und eine von einem Dritten veranlasste automatische Anrufweiterschaltung zur Endeinrichtung des Endnutzers abzuschalten, Art. 14 des Entwurfs.
- Die Aufnahme personenbezogener Daten der Endnutzer in öffentlich zugängliche Verzeichnisse (z.B. Telefonbücher) ist nur mit Einwilligung des Endnutzers möglich. Die Mitgliedsstaaten dürfen hier jedoch eine Widerspruchslösung einführen, d.h. dass die Einwilligung des Endnutzers als erteilt gilt, solange er nicht widerspricht, Art. 15 des Entwurfs.
- Direktwerbung ist nach Art. 16 des Entwurfs unerwünschte Kommunikation. Eine Direktwerbung über elektronische Kommunikationsdienste darf nur mit Einwilligung des Endnutzers erfolgen. Wurden die elektronischen Kontaktangaben durch den Verkauf eines Produkts oder einer Dienstleistung erlangt, dürfen diese nur für eigene ähnliche Produkte oder Dienstleistungen verwendet werden und nur dann, wenn dem Kunden ein Widerspruchsrecht eingeräumt wird.
Cookies
Derzeit lassen die meisten Browser Cookies zu, wenn der Nutzer nicht erweiterte Sicherheitseinstellungen aktiviert hat. In Deutschland verlangen die Aufsichtsbehörden aber schon jetzt, dass die Nutzer für das Setzen von Cookies mit einer Opt-In-Lösung ihre ausdrückliche Zustimmung erteilen. Die Aufsichtsbehörden im EU-Ausland sehen dies jedoch anders und verlangen datenschutzrechtlich momentan keine Zustimmung der Nutzer für den Einsatz von Cookies, sondern der Nutzer kann dem mithilfe der auf den meisten Webseiten genutzten Opt-Out-Lösung widersprechen. Diese Opt-Out-Lösung für den Einsatz von Cookies wird aber nach Inkrafttreten der ePVO nicht mehr ausreichend sein. Dadurch entfällt mit Inkrafttreten der ePVO die diesbezüglich herrschende Rechtsunsicherheit, da alle Webseiten in allen Mitgliedsstaaten dann einheitlich auf Grundlage der ePVO behandelt werden und eine solche Opt-In-Lösung implementieren müssen. Auch in Browsern sollen sich die Regel-Einstellungen dahingehend ändern, dass Cookies grundsätzlich gesperrt sind und die Aktivierung explizit durch die Nutzer vorgenommen werden muss.
Bußgelder
Art. 83 DSGVO soll auf die Verhängung von Bußgeldern nach der ePVO entsprechende Anwendung finden. Der Bußgeldrahmen liegt also auch bei Verstößen gegen die ePVO bei bis zu 20 Millionen Euro oder 4% des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.
Bußgelder kommen nach Art. 23 des Entwurfs insbesondere in Betracht bei
- Verstößen gegen den Grundsatz der Vertraulichkeit und Kommunikation
- unerlaubter Verarbeitung elektronischer Kommunikationsdaten
- Verstößen gegen die Löschfristen der ePVO
- Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Die konsolidierte Entwurfsfassung der ePVO vom 12. Juli 2019 sieht eine Übergangsfrist von zwei Jahren vor. Trotzdem sollte man nicht bis zum letzten Tag warten, sondern sollte sich schon rechtzeitig auf die ePVO vorbereiten und an einer entsprechenden Umsetzung arbeiten. Dabei unterstützen wir Sie gerne, kommen Sie bei Fragen einfach auf uns zu.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat ein Bußgeld in bis zu zweistelliger Millionenhöhe wegen Verstößen gegen die Datenschutzgrundverordnung (DSGVO) angekündigt. Aus rechtlichen Gründen im laufenden Verfahren konnte die Sprecherin der Berliner Datenschutzbeauftragten jedoch nicht sagen, um welches Unternehmen es sich handelt.
Erst kürzlich hat die Berliner Datenschutzbeauftragte gegen ein ebenfalls nicht genanntes Unternehmen zwei Bußgelder in Höhe von insgesamt 200.000 Euro verhängt.
Bislang wurden durch die Datenschutzbeauftragten der Länder deutlich geringere Bußgelder erlassen. Die bislang höchsten Bußgelder wurden in Baden-Württemberg (80.000 Euro) und Berlin (50.000 Euro) verhängt. In Baden-Württemberg waren Gesundheitsdaten betroffen, in Berlin hatte eine Online-Bank unbefugt Daten ehemaliger Kunden verarbeitet.
Vielen Unternehmen ist gar nicht klar, welche Verstöße gegen die DSGVO überhaupt bußgeldbewehrt sind. Dies ist im Bußgeldkatalog der Art. 83 Abs. 4-6 DSGVO geregelt.
Art. 83 Abs. 4 DSGVO sieht ein Bußgeld in Höhe von bis zu 10 Millionen Euro oder 2% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens vor. Entscheidend ist dabei der höhere von beiden Beträgen. Ein solches Bußgeld kommt u.a. bei den folgenden Verstößen in Betracht:
- Nichtvorhandensein datenschutzfreundlicher Technikgestaltung und Voreinstellungen
- Fehlen von Joint-Control- oder Auftragsverarbeitungsverträgen
- Fehlendes Verzeichnis von Verarbeitungstätigkeiten
- Mangelnde Zusammenarbeit mit der Aufsichtsbehörde
- Unzureichende technische und organisatorische Maßnahmen
- Unterlassene Meldungen von Datenschutzverletzungen
- Nicht durchgeführte Datenschutz-Folgenabschätzung
- Fehlende Bennenung eines Datenschutzbeauftragten und fehlende Veröffentlichung der Kontaktdaten und Meldung an die Aufsichtsbehörde
Art. 83 Abs. 5 DSGVO gibt einen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens vor, wobei auch hier der höhere Betrag entscheidend ist. Ein solches Bußgeld kommt u.a. bei den folgenden Verstößen in Betracht:
- Nichteinhaltung der Grundsätze der Verarbeitung (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Datenrichtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit)
- Nichteinholen einer erforderlichen Einwilligung
- Verstoß gegen die Rechte der betroffenen Personen (Informationspflichten, Recht auf Auskunft, Datenübertragung, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht)
- Übermittlung personenbezogener Daten an Empfänger in Drittländer
- Nichtbefolgung einer Anweisung der Aufsichtsbehörde
Die Höhe des Bußgeldes orientiert sich u.a. nach den folgenden Kriterien:
- Art, Schwere und Dauer des Verstoßes (berücksichtigt wird Art, Umfang oder Zweck der Verarbeitung, Zahl der betroffenen Personen, Ausmaß des erlittenen Schadens)
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
- Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens
- Grad der Verantwortlichkeit unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen
- Frühere Verstöße
- Umfang der Zusammenarbeit mit der Aufsichtsbehörde
- Kategorieren betroffenener personenbezogener Daten
- Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde
- Einhaltung der in Bezug auf denselben Gegenstand bereits angeordneten Maßnahmen
Die Einhaltung der Vorschriften der DSGVO ist daher zur Vermeidung von Bußgeldern unerlässlich.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Juni seinen Tätigkeitsbericht für 2018/2019 veröffentlicht und damit einen Einblick in die aktuellen datenschutzrechtlichen Entwicklungen in der Schweiz gegeben. Mit diesen Themen hat sich der EDÖB in seinem Bericht befasst:
Totalrevision des Datenschutzgesetzes
Die Totalrevision des Datenschutzgesetzes (DSG) in der Schweiz steht immer noch aus. In einem ersten Teil wurde bereits das Schengen-Datenschutzgesetz (SDSG) verabschiedet, dessen Geltung sich auf die Datenerhebung der Strafverfolgungsbehörden des Bundes beschränkt. Das SDSG soll durch das totalrevidierte DSG jedoch wieder aufgehoben werden. Ein Abschluss der Beratungen der Totalrevision des DSG von 1992 ist aber noch nicht in Sicht. Dadurch entstehen Wettbewerbsnachteile bei Schweizer Unternehmen, die ihren Kunden – genauso wie ihre Konkurrenten in den Staaten der EU und des EWR – einen den europäischen Standards entsprechenden Schutz bieten wollen.
Denn zahlreiche Schweizer Unternehmen geraten in den Anwendungsbereich der Datenschutzgrundverordnung (DSGVO). So z.B. wenn ein Schweizer Unternehmen eine Niederlassung in der EU hat, Waren oder Dienstleistungen in der EU anbietet oder das Verhalten von Kunden in der EU beobachtet (z.B. deren Surfverhalten), um personalisierte Angebote zu unterbreiten. Das Nebeneinander von DSGVO und DSG führt aber zu Rechtsunsicherheit auf Seiten der Unternehmen, die durch das totalrevidierte DSG aufgelöst werden kann. Es bleibt daher zu hoffen, dass die Totalrevision des Datenschutzgesetzes nicht mehr allzu lange auf sich warten lässt.
Swiss-US Privacy Shield
Im Herbst 2018 wurde das Swiss-US Privacy Shield in Brüssel überprüft und in dem Zusammenhang auch Verbesserungen durch die US-Behörden vorgenommen. So wurde beispielsweise verstärkt nach „false claims“ gesucht, d.h. nach Unternehmen die sich fälschlicherweise als Swiss-US Privacy Shield zertifiziert ausgaben. Unternehmen werden außerdem regelmäßiger auf Schwachstellen überprüft und die US Behörden überwachen die Zertifizierung strenger.
Im Berichtsjahr wurden dem EDÖB zwei „false claims“ gemeldet und es wurden zehn berechtigte Beschwerden von Betroffenen aus der Schweiz bei unabhängigen Beschwerdestellen (Independent Recourse Mechanism) eingereicht. Dies zeigt, dass die Rechtsinstrumente des Swiss-US Privacy Shield bisher nur wenig genutzt werden. Vor einer offiziellen Beschwerde wird jedoch in der Regel erst das zertifizierte Unternehmen selbst angegangen und die Datenschutzverletzung vermutlich bereits auf diesem Weg beseitigt. Außerdem ist das Übereinkommen auch erst seit April 2017 in Kraft.
Trotz einiger Schwachstellen, konnte die Funktionsweise des Swiss-US Privacy Shield insgesamt verbessert werden. Seit dessen Inkrafttreten haben sich bereits rund 2900 US-Unternehmen zertifizieren lassen.
Überprüfung des Datenschutzniveaus
Die Europäische Kommission hat der Schweiz zuletzt 2000 ein angemessenes Datenschutzniveau attestiert und nun angekündigt das Schweizer Datenschutzniveau auf Grundlage der DSGVO neu zu bewerten und den Angemessenheitsentscheid 2020 zu veröffentlichen. Für die Schweiz wäre es natürlich von Vorteil, wenn dies aufgrund des totalrevidierten DSG bewertet würde und nicht aufgrund des alten DSG von 1992. Ein entscheidendes Kriterium für den Angemessenheitsbeschluss ist nach Aussage der Europäischen Kommission auch das Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen 108) des Europarates, das seit Oktober 2018 zur Unterzeichnung vorliegt.
Es besteht die Gefahr, dass die EU der Schweiz den Angemessenheitsbeschluss entzieht, wenn die Schweiz ihre Änderungen zum Datenschutz nicht rechtzeitig verabschieden. Wir werden die Entwicklungen daher im Blick behalten, um in diesem Fall zeitnah bei unseren Kunden mit EU-Standardvertragsklauseln reagieren zu können.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
LfDI Baden-Württemberg verhängt Bußgeld gegen Polizeibeamten
Der Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württemberg hat ein Bußgeld von 1.400 Euro gegen einen Polizeibeamten verhängt. Damit wurde das erste Bußgeld nach Inkrafttreten der Datenschutzgrundverordnung (DSGVO) gegen einen Mitarbeiter einer öffentlichen Stelle verhängt.
Der Polizeibeamte wollte die Daten einer privaten Zufallsbekanntschaft in Erfahrung bringen und nutzte dafür seine dienstliche Benutzerkennung, um über das Zentrale Verkehrsinformationssystem (ZEVIS) des Kraftfahrbundesamtes die Halterdaten ihres Autos abzufragen. Diese Daten nutzte er wiederum, um bei der Bundesnetzagentur ihre Festnetz- und Mobilfunknummer zu erfragen. Anschließend kontaktierte er die Frau telefonisch. All das geschah ohne dienstlichen Bezug oder Einwilligung der Geschädigten, ausschließlich zu privaten Zwecken. Damit verarbeitete der Polizeibeamte die dienstlich erlangten personenbezogenen Daten rechtswidrig zu privaten Zwecken.
Bei der Höhe des Bußgeldes wurde berücksichtigt, dass es sich um einen Erstverstoß handelte und nur eine Person betroffen war. Das Bußgeld ist mittlerweile rechtskräftig.
Das zeigt, dass auch für Mitarbeiter öffentlicher Stellen keine Ausnahmen gelten und sie sich genauso an den Datenschutz halten und Bußgelder bei rechtswidriger Datenverarbeitung zu privaten Zwecken befürchten müssen.
Britische Datenschutzbehörde kündigt Rekordstrafen an
Die britische Datenschutzbehörde will ein Bußgeld von 183,39 Millionen Pfund, das sind umgerechnet etwa 204 Millionen Euro, gegen British Airways wegen Verstoßes gegen die DSGVO verhängen. Das entspricht etwa 1,5 Prozent des weltweiten Umsatzes des Unternehmens im letzten Geschäftsjahr und wäre das bislang höchste Bußgeld seit Inkrafttreten der DSGVO.
Hacker verschafften sich 2018 Zugriff auf persönliche Daten und Kreditkarteninformationen mit CVV-Sicherheitsnummern von rund 500.000 Kunden, die in einem bestimmten Zeitraum Flüge mit ihrer Kreditkarte bezahlt hatten. Grund dafür waren nach Ansicht der Datenschutzbehörde gravierende Sicherheitsmängel bei British Airways.
Auch gegen die Hotelkette Marriott hat die britische Datenschutzbehörde ein hohes Bußgeld angekündigt – 99,2 Millionen Pfund, umgerechnet etwa 110 Millionen Euro. Das entspricht etwa 3 Prozent des weltweiten Umsatzes des Unternehmens im letzten Geschäftsjahr.
Auch hier wurden bei einem Hack 2018 Kundendaten abgegriffen. Betroffen waren rund 339 Millionen Gästeaufzeichnungen, davon waren allerdings „nur“ 30 Millionen Personen in Europa betroffen.
In beiden Fällen handelt es sich bisher nur um eine Ankündigung, d.h. die Unternehmen haben jetzt zunächst die Möglichkeit dazu Stellung zu nehmen. Beide Unternehmen haben bereits angekündigt von dieser Möglichkeit Gebrauch zu machen. Erst im Anschluss entscheidet die Datenschutzbehörde über die endgültige Höhe der Bußgelder. Es bleibt also abzuwarten, was am Ende von den Rekordstrafen übrigbleibt.
Datenpanne bei Meldebehörden
Parteien, Wählergruppen und andere Träger von Wahlvorschlägen können nach § 50 Abs. 1 BMG von der Meldebehörde Daten von Wahlberechtigten für personalisierte Wahlwerbung erhalten. Wenn man das nicht möchte, muss man dieser Übermittlung der Daten widersprechen, § 50 Abs. 5 BMG. Viele Bürger kennen diese Regelung jedoch nicht, weshalb bei den letzten Europa- und Kommunalwahlen zahlreiche Beschwerden beim LfDI Baden-Württemberg eingegangen sind.
In dem Zusammenhang gab es aber auch massive Datenpannen bei den Meldebehörden, die zu rechtswidrigen Datenübermittlungen führten. So wurden Daten von Nichtwahlberechtigten oder Personen, für die Auskunftssperren eingetragen sind, übermittelt. Eine Auskunftssperre kann beispielsweise eingetragen werden, wenn für eine Person durch eine Melderegisterauskunft eine Gefahr für Leben, Gesundheit, persönliche Freiheit oder ähnliche schutzwürdige Interessen erwachsen kann, § 51 Abs. 1 BMG. Durch diese Datenpannen erhielten dann beispielsweise auch Säuglinge und Kleinkinder personalisierte Wahlwerbung.
Solche Vorfälle können bereits durch einfache Maßnahmen vermieden oder jedenfalls reduziert werden – wie etwa durch Sensibilisierung und Schulung von Mitarbeitern oder durch Anwendung des Vier-Augen-Prinzips.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Mit der Datenschutzgrundverordnung (DSGVO) trat letztes Jahr auch das neue Bundesdatenschutzgesetz (BDSG) in Kraft. Dieses regelt in § 38 BDSG, dass Unternehmen ab zehn Mitarbeitern, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, einen Datenschutzbeauftragten benennen müssen. Hier wurde seitens Deutschlands die Öffnungsklausel in der der DSGVO genutzt. Kein anderes Land innerhalb der EU ist bei diesem Punkt derart streng.
Der Bundestag hat nun beschlossen, diese Schwelle auf 20 Mitarbeiter anzuheben. Dem muss der Bundesrat noch zustimmen. Begründet wird diese Änderung mit der Entlastung kleiner und mittlerer Unternehmen sowie ehrenamtlich tätiger Vereine.
Zu beachten ist jedoch, dass Unternehmen unabhängig von der Anzahl ihrer Mitarbeiter die Anforderungen der DSGVO erfüllen müssen. D.h. inhaltlich ändert sich durch diesen Beschluss für kleinere Unternehmen nichts. Ihnen wird lediglich die Möglichkeit eingeräumt die Anforderungen der DSGVO auch ohne einen Datenschutzbeauftragten zu erfüllen. Dann ist die Geschäftsführung und Vorstandschaft gefragt den Datenschutz im Unternehmen/Verein rechtskonform umzusetzen. Was ohne entsprechende Fachkunde oft schwierig werden kann.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
In Italien wurde von den Aufsichtsbehörden ein Bußgeld nach der Datenschutzgrundverordnung (DSGVO) in Höhe von über 2 Millionen Euro verhängt. Dieses richtete sich gegen ein Unternehmen, das über ein albanisches Callcenter Telemarketing und Teleselling Maßnahmen ohne eine entsprechende Einwilligung durchgeführt hat.
Das Callcenter wurde im Auftrag des Unternehmens zur Akquisition neuer Kunden tätig und benutzte dafür Telefonnummern aus dem eigenen Kundenstamm. Auf den Kundenstamm der italienischen Firmen wurde nicht zugegriffen.
Die zuständige Finanz- und Zollpolizei Guardia di Finanzia stellte fest, dass die kontaktierten betroffenen Personen nicht über ihre Rechte informiert wurden und auch keine schriftliche Einwilligung zur Erhebung und Verarbeitung der personenbezogenen Daten zu Marketingzwecken vorlag. Der Verantwortliche konnte seine Informationspflichten nicht durch die Vorlage der Verträge erfüllen, weil diese den betroffenen Personen erst im Anschluss übermittelt wurden. Die Verträge wurden auch nicht durch die betroffenen Personen unterschrieben, es befand sich darauf lediglich ein Kürzel des Mitarbeiters des Verantwortlichen. Eine Information der betroffenen Personen während des Telefongesprächs fand nicht statt. Das Callcenter besaß kein Skript, das den betroffenen Personen die entsprechenden Informationen zur Verfügung stellen sollte.
Das Bußgeld richtete sich nach Art. 83 Abs. 5 DSGVO und setzte sich zusammen aus 78 Verstößen gegen das Erhebungsverbot zu je 6.000 Euro/Verstoß und 155 Verstößen gegen das Verarbeitungsverbot zu je 10.000 Euro/Verstoß. Dabei wurde der einzelne Verstoß schon am unteren Ende des möglichen Strafrahmens gebildet. Die Höhe des Bußgeldes kam daher aufgrund der Vielzahl der Verstöße zustande.
Berücksichtigt wurden dabei u.a. der Mangel an der Einhaltung der Datenschutzbestimmungen, die fehlende Bezeichnung des Verantwortlichen, die kurze Zeitspanne zwischen den einzelnen Verletzungshandlungen, die Schwere der Verstöße bezüglich wirtschaftlicher und sozialer Tätigkeiten, das Verhalten des Verantwortlichen gegenüber der Guardia di Finanzia während der Ermittlungen, der Jahresabschluss des verantwortlichen Unternehmens aus 2016 und dass keine vorherigen Sanktionsverfahren vorlagen.
Hieran lässt sich wieder erkennen, dass die Datenschutzverstöße aufgrund einer Vielzahl von Aspekten bewertet werden und eine Kooperation mit den Aufsichtsbehörden strafmildern berücksichtigt werden kann.
Es zeigt aber auch, dass ein Verstoß gegen die DSGVO nicht auf die leichte Schulter zu nehmen ist. Achten Sie bei Telefonwerbung unbedingt darauf die Einwilligung der betroffenen Personen einzuholen, deren Daten Sie zum Zwecke der Telefonwerbung verarbeiten wollen.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Etwas mehr als ein Jahr ist es her, dass die Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) kurz bevor es mit der DSGVO ernst wurde verkündete, dass vor dem Einsatz von Tracking-Tools auf jeden Fall eine Einwilligung benötigt werde (wir berichteten, siehe Blog "Datenschutzkonferenz legt Regelung zur Einwilligung bei Cookies neu aus").
Daher beraten wir unserer Kunden seitdem entsprechend und weisen immer wieder darauf hin, dass eine explizite Einwilligung benötigt wird, und zwar bereits bevor das Tracking aktiv wird.
Das Bayerische Landesamt für Datenschutzaufsicht hat in den Wintermonaten viele Webseiten geprüft und kommt zu einem eindeutigen Ergebnis: Von 40 geprüften Webseiten war keine einzige Einwilligung wirksam.
Nun haben sich erfreulicherweise sowohl die DSK als auch der Landesbeauftrage für den Datenschutz und die Informationssicherheit Baden-Württemberg nochmals zu dem Thema geäußert. Demnach können prinzipiell auch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO den Einsatz von Tracking-Tools rechtfertigen. Allerdings ist hier bekanntermaßen eine Abwägung zwischen den Interessen des Verantwortlichen und den Interessen der betroffenen Personen vorzunehmen, die tendenziell eher zugunsten der Nutzer ausfallen dürfte, zumindest wenn die Daten an Dritte weitergegeben werden. Der LfDI Baden-Württemberg geht jedoch davon aus, dass z.B. lokal installierten Trackingtools ohne Weitergabe der Daten an Dritte zumindest ohne Einwilligung aufgrund des berechtigten Interesses zulässig wären.
Sie können bestimmte Tracking-Tools also auch ohne vorherige Einwilligung einsetzen!
Dabei ist zwingend folgendes zu beachten:
- Die Tools müssen lokal installiert sein.
- Daten dürfen nicht an Dritte weitergeben werden.
- In der Datenschutzerklärung muss über den Einsatz der Tools informiert werden. Dort darf auch der Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO nicht fehlen.
Wenden Sie sich bei Fragen gerne an uns.
C. Lürmann
Rechtsanwältin
Consultant für Datenschutz
Europäischer Gerichtshof für Menschenrechte (EGMR) zur privaten Nutzung von Firmen-PCs
In seinem Urteil vom 22.02.2018 - 588/13 beschäftigte sich der EGMR mit der Frage, ob die Durchsuchung des dienstlichen Computers ein Eingriff in das Recht auf Privatleben nach Art. 8 EMRK des Arbeitnehmers ist. Ein Arbeitnehmer wurde in diesem Fall entlassen, weil bei einer Durchsuchung seines Computers in einem Laufwerk, das mit „Persönliche Daten“ gekennzeichnet war im Ordner „Zum Lachen“ pornografische Dateien gefunden hatte. Eine interne Unternehmensrichtlinie gestattete in begrenztem Umfang die private Nutzung, die privaten Dateien sollten dann als „privat“ gekennzeichnet werden.
Der EGMR stellte fest, dass der Arbeitgeber grundsätzlich Dateien verwenden darf, die nicht eindeutig als „private Dateien“ gekennzeichnet sind. Entscheidend ist also eine unmissverständliche Kennzeichnung als solche. Der Ordnername „Persönliche Daten“ dürfte hierfür nicht ausreichen, da dies auch Dokumente sein können, die der Mitarbeiter als persönlich behandelt, die jedoch nicht eindeutig auch privat sind. Außerdem dürfe der Arbeitnehmer nicht ein gesamtes (berufliches) Laufwerk für private Zwecke verwenden.
Als Arbeitgeber sollten Sie unbedingt die Nutzung der betrieblichen Arbeitsmittel und elektronischen Kommunikationsmedien durch Ihre Mitarbeiter genau regeln. Wir empfehlen in der Regel, die Privatnutzung von betrieblichen Arbeitsmitteln und elektronischen Kommunikationsmedien zu verbieten. Die Mitarbeiter müssen dann über das Privatnutzungsverbot einschließlich der Folgen bei Zuwiderhandlung informiert (z.B. als Passus im Arbeitsvertrag) und über die Aufrechterhaltung des Privatnutzungsverbots regelmäßig belehrt werden.
OLG München zum berechtigten Interesse
Das OLG München (Teilurteil vom 24.10.2018 – 3 U 1551/17) hat zum berechtigten Interesse nach Art. 6 Abs. 1 lit. f) DSGVO entschieden, dass bei der Abwägung der Interessen der betroffenen Person und des Verantwortlichen/Dritten eine weite Auslegung des berechtigten Interesses (unions-)grundrechtlich geboten ist. Dabei sind nicht nur rechtliche, sondern auch wirtschaftliche und ideelle Interessen zu berücksichtigen.
AG Diez zu Schadensersatz für unzulässigen Newsletter
Das AG Diez (Urteil vom 07.11.2018 – 8 C 130/18) hat sich mit der Frage beschäftigt, ob für einen unzulässigen Newsletterversand Schadensersatz an die betroffene Person zu zahlen ist.
In diesem Fall hatte der Beklagte am Tag des Inkrafttretens der DSGVO eine E-Mail versandt, mit der er die Einwilligung des Klägers für den Versand des Newsletters einholen wollte. Für den Kläger war dies ein Verstoß gegen die DSGVO und er forderte 500 Euro Schmerzensgeld. Das AG Diez lehnte dies mit der Begründung ab, dass der Verstoß gegen die DSGVO ohne Eintritt eines Schadens nicht zum Schadensersatz führt. Es müsse ein „spürbarer Nachteil entstanden sein und es muss um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen“.
Die Entscheidung lässt die Möglichkeit einer Bußgelderteilung durch die Aufsichtsbehörde unberührt. Auch wenn der betroffenen Person kein Schaden entstanden ist, liegt ein Verstoß gegen die DSGVO vor und die Aufsichtsbehörde kann ein entsprechendes Bußgeld erteilen. Denn auch die Einholung der Einwilligung ist schon als Werbemaßnahme zu sehen, selbst wenn in der E-Mail selbst noch keine Werbezusätze enthalten sind.
LAG Baden-Württemberg: Auskunftsrecht des Arbeitnehmers
Das LAG Baden-Württemberg hat im Urteil vom 20.12.2018 – 17 Sa 11/18 über den Umfang des Auskunftsrechts des Arbeitnehmers entschieden und das Auskunftsrecht der Arbeitnehmer gestärkt. Der Arbeitgeber muss demnach einem Arbeitnehmer umfassend Auskunft zu über ihn gesammelten Informationen geben. Dazu gehören Einsicht in die Personalakte, Informationen über interne Ermittlungen und nicht in der Personalakte gespeicherte Leistungs- und Verhaltensdaten (samt einer Kopie dieser Leistungs- und Verhaltensdaten gemäß Art. 15 Abs. 3 S. 1 DSGVO).
Der Arbeitgeber kann dies verweigern, wenn er ein Geheimhaltungsinteresse geltend macht. Er muss dieses konkret darlegen und darf sich nicht lediglich pauschal drauf berufen. Es ist eine Einzelabwägung zwischen dem konkreten Interesse des Arbeitnehmers an der Auskunftserteilung und dem betrieblichen Interesse des Arbeitgebers an der Auskunftsverweigerung bzw. an den berechtigten Interessen der Dritten erforderlich. Der Schutz von Informanten (sog. Whisteblowern) kann ein solches Geheimhaltungsinteresse darstellen.
Julia Eisenacher
Consultant für Datenschutz
Juristin (Univ.)
Sicherheitsforscher der Fachhochschule Münster und der Ruhr-Universität Bochum haben herausgefunden, dass E-Mail-Signaturen mit den Verschlüsselungsstandards S/MIME und OpenPGP bis vor kurzem leicht zu fälschen waren. Unsignierte E-Mails wurden fälschlicherweise als signiert und damit als vertrauenswürdig angezeigt. Betroffen ist dabei die Signaturprüfung, nicht jedoch die Erstellung der Signatur.
Signaturen von E-Mails sollen dem Empfänger anzeigen, dass die E-Mail vom Absender kommt (Authentizität) und nicht manipuliert wurde (Integrität). Die Schwachstellen haben es Angreifern ermöglicht E-Mails so zu verändern, dass die Authentizität und Integrität der Nachricht beim Empfänger nicht gewährleistet werden konnte.
Ein Angreifer konnte beispielsweise bei einer gefälschten E-Mail mit ungültiger Signatur eine weitere Nachricht mit gültiger Signatur mitschicken. Die E-Mail-Programme prüften dann die Signatur der zweiten Nachricht, zeigten jedoch die gefälschte Nachricht an, sodass es für den Empfänger so aussah, als hätte die Nachricht eine gültige Signatur.
Die Forscher haben die Entwickler der E-Mail-Programme vor der Veröffentlichung informiert, sodass entsprechende Updates zur Verfügung gestellt werden konnten. Die Verschlüsselungsstandards S/MIME und OpenPGP können daher nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) weiterhin verwendet werden. Dabei ist jedoch zu beachten, dass die E-Mail-Software durch regelmäßige Updates auf dem neuesten Stand gehalten werden muss und aktive Inhalte (wie die Ausführung von HTML-Code und das Nachladen externer Inhalte) deaktiviert werden müssen.
Julia Eisenacher
Consultant für Datenschutz
Juristin (Univ.)
Steuerberater mit Mandat unterliegen dem Berufsgeheimnis, sind in Ausübung ihrer Tätigkeit weisungsunabhängig und agieren eigenverantwortlich. Die Verarbeitung personenbezogener Daten, die ihnen von ihren Mandanten übermittelt werden, ist dabei lediglich ein unvermeidliches Beiwerk ihrer Tätigkeit. Daher wurde in der Vergangenheit mehrheitlich die Ansicht vertreten, dass ein Steuerberater kein Auftragsverarbeiter sei.
Die Aufsichtsbehörden in Hessen, Baden-Württemberg und NRW (u.a. LfDI BW: 34. Tätigkeitsbericht 2018, S. 57 f) sehen dies nun aber anders, zumindest wenn es um die Verarbeitung von Beschäftigtendaten für die Lohn- und Gehaltsabrechnung geht: Soweit ein Steuerberater für ein Unternehmen die Gehaltsabrechnung vornimmt, ist für diese Dienstleistung ein Vertrag zur Auftragsverarbeitung abzuschließen. Unabhängig davon ob ein entsprechendes Mandat besteht.
Sie als Unternehmen sollten folglich dahingehend agieren, dass Sie für die oben genannten Fälle zeitnah einen Vertrag zur Auftragsverarbeitung mit Ihrem Steuerberater abschließen.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.