Home / Aktuelles & Termine / it.sec blog

Bislang war der Datenschutz in der EU lediglich durch drei Richtlinien, die europäische Datenschutzrichtlinie (Richtlinie 95/46/EG) die ePrivacy Richtlinie (Richtlinie 2002/58/EG) und die Cookie-Richtlinie (Richtlinie 2009/136/EG), geregelt, welche zur Geltung noch in nationales Recht umgesetzt werden mussten. Während die erste eher allgemeine Regelungen zum Datenschutz enthielt, trugen die beiden späteren Richtlinien den Entwicklungen in der elektronischen Kommunikation Rechnung und ergänzten die Datenschutzrichtlinie hinsichtlich des speziellen Schutzes des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation, insbesondere im Internet.

Nicht alle Länder in der EU setzten die Richtlinie in nationales Recht um. Der Erlass der EU-DSGVO, die als Verordnung direkt in allen Ländern der EU gilt, sollte daher dafür sorgen, dass der Datenschutz europaweit für alle Bürger auf dem gleichen Niveau Anwendung findet.

Flankiert werden sollte die EU-DSGVO von dem Erlass der ePrivacy-Verordnung, die – so war der Plan – zeitgleich mit der EU-DSGVO erlassen werden soll. Denn die Schutzziele der beiden Vorschriften überschneiden sich in vielen Bereichen.

Aber daraus wird nichts: Die Interessen der digitalen Werbewirtschaft sind offenbar zu kompliziert, die Lobbyvertreter sind zu aktiv, um an diesen Interessen vorbeizukommen.

Im Fokus stehen vor allem die geplanten Artikel 5, 6, 7, 8 und 10 der ePrivacy-Verordnung, in der unter anderem die Verarbeitung von Daten auf Endgeräten geregelt wird. Zusammenfassend lassen sich die Streitpunkte wohl wie folgt auf einen Nenner bringen: Während der durch das EU-Parlament verabschiedete Vorschlag des Entwurfs die Verarbeitung personenbezogener Daten im Rahmen der Internetnutzung nur zulassen möchte, wenn die Verarbeitung aus technischen Gründen zwingend notwendig ist, und ansonsten eine ausdrückliche Einwilligung fordert, würde die Werbeindustrie gerne auf alle Daten, die Cookies, Webtracker & Co. liefern, ohne Wenn und Aber zugreifen und diese verwenden.

Dieser Konflikt wird sich bis zum 25. Mai 2018 nicht auflösen lassen, das haben nun auch die Verantwortlichen in der EU erkannt.

Der Ratspräsident der EU hat ein aktuelles Sachstandspapier vorgelegt (http://data.consilium.europa.eu/doc/document/ST-5165-2018-INIT/en/pdf), in dem neue Vorschläge für einen Kompromiss bei der Umsetzung der ePrivacy-Verordnung vorgestellt werden. Die Vorschläge lauten dabei von „Alles lassen wie es vorgeschlagen wurde“ bis hin zu „jede andere Lösungsmöglichkeit“.

Mit einer Stellungnahme der Länder wird in der zweiten Jahreshälfte 2018 gerechnet, so dass die Verordnung frühestens Ende 2018 verabschiedet werden kann.

Wir halten Sie auf dem Laufenden!

C. Lürmann
Rechtsanwältin
Consultant Datenschutz

Ein Grundsatz des Datenschutzes ist es, dass personenbezogene Daten irgendwann auch wieder gelöscht werden müssen.

Unternehmen sind daher grundsätzlich verpflichtet, die bei ihnen verarbeiteten personenbezogenen Daten nach Zweckwegfall bzw. nach Ablauf sich daran anschließender Aufbewahrungsfristen zu löschen (Grundsatz der Speicherbegrenzung, „Recht auf Vergessenwerden“).

Gerade bei Einsatz von Datenverarbeitungssystemen ist dies jedoch nicht immer so einfach, da man auf die Funktionen, die der Hersteller zur Löschung bereitstellt oder eben nicht bereitgestellt hat, angewiesen ist. Selbst wenn eine solche Löschfunktion vorhanden ist, bedeutet das noch nicht, dass die Daten dann auch gelöscht sind i.S.e. irreversiblen Entfernung der Daten vom Datenträger (Festplatte, Speicherchip etc.).

Unternehmen können sich auch nicht darauf berufen, dass die Löschung aufgrund technischer Gründe unmöglich oder aufgrund des Aufwands einer entsprechenden Nachrüstung unzumutbar ist. Gemäß § 35 BDSG-Neu kann die Pflicht zur Löschung zwar entfallen, wenn dies mit einem unverhältnismäßig hohen Aufwand verbunden ist. Dies gilt jedoch nur im Fall einer nicht-automatisierten Datenverarbeitung.

Daher dürfen Unternehmen nur solche Technik einsetzen, die eine datenschutzgerechte Löschung durch entsprechende Funktionalitäten erlaubt (Grundsatz von Privacy by Design). Die Pflicht zur Löschung und zur Einhaltung von Privacy by Design trifft eben denjenigen, der die Technik einsetzt und damit personenbezogene Daten verarbeitet.

Die Landesbeauftragte für Datenschutz in Schleswig-Holstein (ULD) hätte sich zwar „gewünscht, dass die Datenschutz-Grundverordnung auch die Hersteller unmittelbar zu eingebautem Datenschutz verpflichtet“, aber dies sei „immerhin für die kommende europäische e-Privacy-Verordnung so geplant“ (vgl. unter https://www.datenschutzzentrum.de/artikel/1208-Datenschutz-einbauen!-Appell-an-die-Hersteller-und-Betreiber-am-Safer-Internet-Day.html).

Man kann nur hoffen, dass Produkte, deren Einsatz Bußgelder auslösen können (Art. 83 Abs. 4 lit. a), Abs. 5 lit. a), b) DSGVO), sich zukünftig schwerer verkaufen lassen. Denn nur somit lässt sich derzeit überhaupt Druck auf Hersteller und Entwickler aufbauen, wenn sie den Markt der Europäischen Union auch weiterhin beliefern möchten.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Derzeit wird im EU-Parlament diskutiert, ob in der ePrivacy-Verordnung der Datenschutz dadurch deutlich gestärkt werden soll, dass Voreinstellungen im Browser für Webseitenbetreiber, Tracking-Firmen und letztlich die digitale Werbeindustrie rechtsverbindlich sein sollen. D.h. eine Do-Not-Track-Einstellung im Browser müsste dann zwingend beachtet werden.

Um die Auswirkungen besseren Datenschutzes auf die digitale Werbewirtschaft besser einschätzen zu können, hat das Bundeswirtschaftsministerium eine Studie in Auftrag gegeben, die nun vorgestellt und veröffentlicht wurde unter http://www.wik.org/fileadmin/Studien/2017/2017_ePrivacy-BMW.pdf. Das WIK (Wissenschaftliches Institut für Infrastruktur und Kommunikationsdienste GmbH) schätzt, dass bei Inkrafttreten solcher Regelungen binnen kurzer Zeit mit einer Reduktion des gesamten digitalen Werbebudgets von einem Drittel zu rechnen sei. Dieser Kapitalentzug könne die europäische Digitalwirtschaft weiter von den USA abkoppeln, da dort Gelder aus der Online-Werbung zunehmend in die Entwicklung neuer Geschäftsmodelle und Technologien fließen würden. Gelder, die hierzulande dringend für Zukunftsthemen wie z.B. das autonome Fahren gebraucht würden.

Bemerkenswert ist allerdings, dass für die Studie lediglich Vertreter der Wirtschaft befragt wurden, unter anderem die Mediengruppe RTL, Facebook, AGOF und Zeit-Online. Entsprechend wurde die Studie bereits bemängelt, vor allem von der Bundesbeauftragten für Datenschutz. Sie meint, die Studie konzentriere sich nur auf die vermeintlich negativen Folgen, berücksichtige aber in keiner Weise die potenziellen Chancen, die sich für die Branche aufgrund der Änderungen ergeben könnten. Die entsprechende Pressemitteilung finden Sie unter https://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/2017/22_ePrivacy%20WIK-Studie.html.

Es wird sich zeigen, inwieweit Lobbyisten die geplanten Regelungen aufweichen können.

Dr. W. Steinmetz
Berater für Datenschutz

Abbinder Abmahnung Abmahnungen ADCERT Angemessenheitsbeschluss Anwendbarkeit Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch Backup BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Custom Audience Dashcam Datenlöschung Datenminimierung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Schulungen Datenschutzabkommen Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Deutsche Bahn Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO DSK dynamische IP-Adresse E-Mail e-Privacy-Verordnung eCall-Technologie EES EFAIL Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EuGH Europäische Union Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fernmeldegeheimnis FlugDaG Fluggastdaten Foto Funkmäuse Funktastaturen Geldbörse Gemeinsam Verantwortliche Gesetz gegen den Unlauteren Wettbewerb Google Google Analytics Hacker Home Office Immobilienmakler Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Sicherheit IT-Systeme Joint Control Kanada Klagebefugnis Konzern konzerninterner Datentransfer KUG Kundenbindung Kunsturhebergesetz Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Lösegeld Markennamen Markenrecht Marktortprinzip Meldepflicht Meldescheine Meltdown Microsoft Misch-Account MouseJack-Angriffe NIST Nutzungsbedingungen One Stop Shop Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Penetrationstest Personalausweiskopien personenbezogene Daten Personenbilder Persönlichkeitsrechte Plattformbetreiber PNR-Daten PNR-Instrumente Privacy by Default Privacy by Design Privacy Shield private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Profiling Quantencomputer Ransomware reale Infrastruktur Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management SamSam Sanktionen Schadprogramm Seitenbetreiber Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Skype Software Software-Entwicklung Sony PSN Soziale Netzwerke Spectre Standardvertragsklauseln Supercomputer Risikolage Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz Telstra Security Report TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe US-Regierung USA UWG Verantwortlicher Verantwortung Vereinbarung Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselungsverfahren Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Widerruf Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zugangsdaten zulässig Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30