Themenreihe DSGVO: Die Betroffenenrechte nach der DSGVO (Teil 1)

23. Juni 2017

Mit der Einführung des DSGVO ändert sich die datenschutzrechtliche Landschaft nicht unerheblich. Das DSGVO räumt demjenigen, dessen personenbezogene Daten erhoben, verarbeitet oder genutzt werden (Betroffener) umfassende Rechte ein und stärkt damit seine Position gegenüber den datenverarbeitenden Stellen (Verantwortlicher). Damit erweitert das DSGVO das heutige Datenschutzniveau für Betroffene beträchtlich. Der Betroffene soll weitestgehend in die Lage versetzt werden, wissen zu können, wie mit seinen Daten umgegangen wird. Zukünftig werden sich unter anderem auch Unternehmen, wenn sie personenbezogene Daten erheben, verarbeiten oder nutzen, damit konfrontiert sehen, den Rechten des Betroffenen in DSGVO-konformer Weise Rechnung zu tragen.

Im Folgenden sollen Rechte des Betroffenen, welche im DSGVO an verschiedenen Stellen kodifiziert wurden, im Überblick dargestellt werden.

Im ersten Teil werden das Transparenzgebot, die Informations- und Auskunftspflicht des Verarbeiters sowie das Recht des Betroffenen auf Berichtigung unrichtiger personenbezogener Daten behandelt. Im zweiten Teil, der nächste Woche erscheinen wird, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung, die Mitteilungspflicht des Verantwortlichen und das Recht auf Datenübertragbarkeit.

1. Transparenzgebot, Art. 12 DSGVO  

Das Transparenzgebot ist eines der zentralen Grundsätze für die Verarbeitung personenbezogener Daten, die in Art. 5 DSGVO genannt werden. Eine Konkretisierung erfährt dieser Grundsatz in Art. 12 DSGVO. Danach trifft der Verantwortliche für die Datenverarbeitung geeignete Maßnahmen, um der betroffenen Person alle Informationen und Mitteilungen, die sich auf die Verarbeitung der personenbezogenen Daten beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Zu beachten ist, dass dies insbesondere dann gilt, wenn sich die Informationen an Kinder richten. Die Information kann schriftlich, elektronisch und unter Umständen auch mündlich erfolgen, falls der Betroffene dies verlangt.

Die Informationspflicht und die Auskunftspflicht, die im Folgenden erläutert werden sollen, sind zwecknotwendige Voraussetzungen für das Transparenzgebot. Ohne diese hätte der Betroffene kaum Möglichkeiten Einsicht zu nehmen in die Verarbeitung seiner Daten.

2. Informationspflicht, Art. 13, 14 DSGVO

Die Informationspflichten des Verantwortlichen ergeben sich aus Art. 13 DSGVO und Art. 14 DSGVO. Die in der DSGVO beschriebenen Informationspflichten gehen deutlich über das hinaus, was in Deutschland bisher durch das BDSG verlangt wurde.

Art. 13 DSGVO umfasst den Fall der Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person, Art. 14 DSGVO jene Informationspflicht, die sich daraus ergibt, dass der Verarbeiter die personenbezogenen Daten nicht direkt bei dem Betroffenen erhoben hat. Beide Artikel sind sehr umfangreich, weshalb hier nur auf die groben Unterschiede eingegangen wird und lediglich ein kleiner Überblick dargestellt werden soll.

Art. 13 und Art. 14 DSGVO ähneln sich inhaltlich stark. Unter anderem muss dem Betroffenen in Abs. 1 beider Artikel durch den Verantwortlichen sein Name und dessen Kontaktdaten, der Datenschutzbeauftragte, der Zweck für den die personenbezogenen Daten erhoben werden sollen, sowie die Rechtsgrundlage für die Verarbeitung genannt werden.

Gemäß Abs. 2 beider Artikel muss der Verantwortliche zusätzliche Informationen zur Verfügung stellen, um eine faire und transparente Verarbeitung zu gewährleisten. Darunter die Dauer für die die personenbezogenen Daten gespeichert werden und das Recht des Betroffenen auf Auskunft, Löschung und Berichtigung seiner Daten sowie die Möglichkeit auf Einschränkung der Verarbeitung. Unterschiede finden sich insbesondere durch die Art der Erhebung. Da die personenbezogenen Daten im Fall des Art. 13 DSGVO bei dem Betroffenen direkt erhoben werden, verlangt dieser, im Gegensatz zu Art. 14 DSGVO, dass der Betroffene darüber informiert wird, dass er gegebenenfalls dazu verpflichtet ist, personenbezogene Daten bereitzustellen und welche Folgen eine Nichtbereitstellung hätte (Vgl. Art. 13 Abs. 2 lit. e DSGVO). Art. 14 DSGVO hingegen verpflichtet den Verarbeiter, der die personenbezogenen Daten nicht direkt bei dem Betroffenen erhebt, diesen darüber aufzuklären, aus welcher Quelle die personenbezogenen Daten stammen.

Die Informationspflicht besteht jedoch nur dann, wenn der Betroffene nicht bereits über diese Informationen verfügt (Vgl. Art. 13 Abs. 4 und Art. 14 Abs. 5 lit. 4 DSGVO). Darüber hinaus nennt Art. 14 Abs. 5 DSGVO weitere Fälle in denen eine Informationspflicht im Rahmen des Art. 14 DSGVO entfällt. So zum Beispiel, wenn die Informationserteilung mit einem unverhältnismäßigen Aufwand verbunden ist oder sich die Erteilung dieser Information als unmöglich erweist.

3. Auskunftsrecht, Art. 15 DSGVO

Das Auskunftsrecht aus Art. 15 DSGVO ist dem deutschen Datenschutzrecht nicht unbekannt. Es entspricht im groben dem im BDSG in § 34 normierten Auskunftsrecht. Der Betroffene kann vom Verarbeiter eine Bestätigung darüber verlangen, ob er den Betroffenen betreffende personenbezogene Daten verarbeitet. Falls dies der Fall ist, hat der Betroffene ein Recht auf Auskunft unter anderem über folgende Informationen: Verarbeitungszweck, Kategorie der personenbezogenen Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Beschwerderecht bei einer Aufsichtsbehörde und wenn die personenbezogenen Daten nicht bei der Betroffenen Person erhoben wurden, Informationen über die Herkunft der Daten.

Sollten die Daten an Drittländer oder internationale Organisationen übermittelt werden, so kann der Betroffene Auskunft über die „geeigneten Garantien“ (Vgl. Art. 46 DSGVO), die im Zusammenhang mit einer solchen Übermittlung vorgesehen sind, verlangen.

Gemäß Art. 12 Abs. 5 DSGVO werden Mitteilungen im Rahmen des Art. 15 DSGVO unentgeltlich zur Verfügung gestellt, solange kein offenkundig unbegründeter Antrag vorliegt oder der Betroffene exzessive Anträge (insbesondere im Fall der Wiederholung) stellt. Läge einer der Fälle vor, kann der Verantwortliche sich entweder weigern oder ein angemessenes Entgelt verlangen. Jedoch hat der Verantwortliche den Nachweis zu führen, dass ein offenkundig unbegründeter oder exzessiver Charakter des Antrags vorliegt.

4. Recht auf Berichtigung, Art. 16 DSGVO

Das Recht auf Berichtung versetzt den Betroffenen in die Lage, von dem Verarbeiter die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Auch das BDSG enthielt eine vergleichbare Regelung in § 35 Abs. 1 BDSG. Verantwortliche sollten bereits bei der Erhebung von personenbezogenen Daten verstärkt auf die Richtigkeit der Daten achten.

 

Das Thema der nächsten Woche sind die Betroffenenrechte nach der DSGVO (Teil 2).

198 Millionen US-Wählerdaten frei zugänglich

21. Juni 2017

Eine Datenbank mit persönlichen Wählerinformationen zu 198 Millionen US-Bürgern stand 2 Wochen frei zugänglich im Internet zum Download zur Verfügung.

Wie die US-Website Gizmodo berichtet, hatte das Unternehmen Deep Root Analytics im Auftrag der Republikanischen Partei eine Datenbank mit bis zu 198 Millionen Datensätzen an Wählerinformationen erstellt. Aus dieser gingen Namen, Geburtsdaten, Adressen und Telefonnummern eines Großteils der rund 200 Millionen wahlberechtigten US-Bürger hervor. Daneben waren in der Datenbank auch Analyseergebnisse zur politischen Einstellung, Religion, ethnischer Herkunft und wahrscheinliche Meinungen zu Themen wie Waffenbesitz, Stammzellenforschung oder Abtreibung der betroffenen Personen aufgeführt.

Auf die Datenbank aufmerksam geworden war die IT-Sicherheitsfirma UpGuard, nach deren Angaben die Eingabe der URL ausreichend war, um auf 1,1 Terrabyte der Datenbank, die auf einem Amazon Server gespeichert war, zugreifen und sie herunterzuladen zu können. Nicht einmal die Eingabe eines Passworts sei nötig gewesen.

Deep Root Analytics hat mit einer Stellungnahme auf die Datenpanne, die mittlerweile behoben ist,  reagiert und eigene Fehler eingeräumt. So wird die Datenpanne auf ein fehlerhaftes Update am 1. Juni zurückgeführt. Weiter heißt es darin, dass die Daten gesammelt würden, um personalisierte Wahlwerbung im Fernsehen schalten zu können.

Kategorien: Allgemein · Online-Datenschutz
Schlagwörter: , ,

Ethikkommission stellt Regeln zum autonomen Fahren auf

20. Juni 2017

Eine vom Bundesverkehrsministerium eingesetzte Ethikkommission hat Leitlinien für selbstfahrende Autos auf deutschen Straßen entworfen und diese heute vorgestellt.

Das Gremium unter Vorsitz von Udo Di Fabio wurde eingesetzt, um Empfehlungen dafür zu geben, was in automatisierte Fahrsysteme künftig zulässig, und was ausdrücklich nicht erlaubt sein sollte.

Dabei wurden neben rechtlichen auch ethische Grundsätze ins Auge gefasst. Es wurden 20 konkrete Regeln aufgestellt, die für das autonome Fahren gelten sollen, in denen auch die datenschutzrechtlichen Bedenken der Kommissionsmitglieder (darunter Wissenschaftler und Experten aus den Fachrichtungen Ethik, Recht und Technik) Ausdruck finden. So heißt es beispielswese: „Eine vollständige Vernetzung und zentrale Steuerung sämtlicher Fahrzeuge im Kontext einer digitalen Verkehrsinfrastruktur ist ethisch bedenklich, wenn und soweit sie Risiken einer totalen Überwachung der Verkehrsteilnehmer und der Manipulation der Fahrzeugsteuerung nicht sicher auszuschließen vermag.“ Grundsätzlich müssten die Fahrzeughalter stets in der Lage sein, über die Weitergabe und Verwendung ihrer anfallenden Fahrzeugdaten zu entscheiden.

OLG Hamm: unerlaubte Veröffentlichung intimer Fotos führt zu 7.000 € Schmerzensgeld

16. Juni 2017

In dem der Entscheidung des OLG Hamm zugrundeliegenden Fall ging es um ein damals noch 22-jähriges Liebespaar. Der Beklagte fertigte mit seinem Handy ein Foto, das das Paar beim privaten Oralverkehr zeigte und auf dem die Klägerin zu erkennen war. Etwa 2 Jahre später stellte der Beklagte dieses auf eine öffentlich zugängliche Internetplattform, wo sich das Foto rasant verbreitete. Als die Klägerin hiervon alsbald erfuhr, verlangte sie vom Beklagten die Entfernung. Dem kam der Beklagte nach. Gleichwohl sollte das Verhalten des Beklagten schwere Folgen für die Klägerin haben.

Die Klägerin litt in der Folgezeit insofern unter schweren psychischen Leiden. Im Rahmen des Zivilprozesses bestätigte eine vom Senat angehörte medizinische Sachverständige die Leiden der Klägerin. Danach hatte dieser Vorfall für die Klägerin schwerwiegende Folgen vor allem auf ihre Lebensgestaltung. Sie habe sich über eine längere Zeit zurückgezogen, die Öffentlichkeit gemieden und sich nicht mehr in der Lage gesehen einer Arbeit nachzugehen. Hinzukam, dass dieser Vorfall zu einer schweren Bloßstellung der Klägerin geführt habe, insbesondere weil auch Personen in ihrem Umfeld hiervon erfuhren. Zwar sei im Nachhinein nicht mehr feststellbar gewesen, wie oft das Foto heruntergeladen wurde, indes sei aufgrund der bekannten Nutzerzahlen von Internetplattformen und sozialen Netzwerke von einer erheblichen Fallzahl auszugehen gewesen. Zugunsten des Beklagten habe jedoch sein junges Alter sowie die Tatsache, dass es sich beim Hochladen des Fotos um eine wegen Alkoholkonsums unreflektierte Spontanhandlung gehandelt habe, gesprochen. Außerdem sei aufgrund des mittlerweile erfolgten Schulabschlusses und des Wohnortwechsels der Klägerin nicht mehr zu erwarten, dass die Klägerin künftig weiterhin massiv mit dem Foto konfrontiert werde.

Jedenfalls habe die Klägerin zu keiner Zeit ihre Einwilligung in die Verbreitung erklärt. Das zuvor durch das LG Münster zugesprochene Schmerzensgeld in Höhe von 20.000 € wurde durch das OLG Hamm auf 7.000 € reduziert Die Gesamtumstände rechtfertigten nach Aussage des Gerichts keinen höheren Schmerzensgeldanspruch als die letztlich zugesprochene Höhe.

Siehe auch Pressemitteilung OLG Hamm vom 01.06.2017

Themenreihe DSGVO: Die Einwilligung und der Widerspruch nach der DSGVO

14. Juni 2017

Auch nach Inkrafttreten der EU-Datenschutzgrundverordnung (kurz DSGVO) am 28.05.2018 bleibt es bei dem datenschutzrechtlichen Grundsatz des Verbots mit Erlaubnisvorbehalt. Der Grundsatz hat zur Folge, dass eine Verarbeitung personenbezogener Daten grundsätzlich verboten ist, wenn kein Erlaubnistatbestand vorliegt, der die Verarbeitung legitimiert. Als die zentrale Legitimation für die Verarbeitung personenbezogener Daten ist auch im Rahmen der DSGVO die Einwilligung des von der Verarbeitung Betroffenen anzusehen.

I. Einwilligung nach Art. 7 DSGVO

Sofern keiner der gesetzlich definierten Fälle einer entbehrlichen Einwilligung gegeben ist (Art. 6 DSGVO), ist die Einwilligung damit das „Maß der Rechtmäßigkeit“ einer Datenverarbeitung. Die Verarbeitung ist nur rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat.

Eine Einwilligung im Sinne der DSGVO ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willenserklärung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Die Einzelheiten ergeben sich aus Art. 7 DSGVO, auf die nachfolgend eingegangen wird.

1. Freiwilligkeit der Einwilligung

Eine Einwilligung soll auf der freien Entscheidung des Betroffenen beruhen. Sie muss freiwillig erfolgen, d.h. der Betroffene muss in der Lage sein, eine echte Wahl zu treffen hinsichtlich des Ob, Wieviel und Wem er die Nutzung seiner Daten gestattet. Keine Einwilligung liegt insbesondere vor, wenn der Betroffene in eine Situation gebracht wird, in der er aus Zeitmangel oder anderen Gründen davon abgehalten wird, die zu erklärende Einwilligung ernsthaft zu bedenken oder mit einer Person seines Vertrauens zu besprechen. Eine solche Überrumpelungslage wird in der Regel gezielt herbeigeführt (z.B. das Versprechen übermäßiger Anreize etwa bei der Teilnahme an Gewinnspielen gegen die Preisgabe von Daten) oder ausgenutzt (z.B. wenn der Betroffene „eigentlich nur noch nach Hause will“).

An der Freiwilligkeit der Einwilligung fehlt es auch, wenn sie mit einer anderen Leistung gekoppelt wird, obwohl die Datennutzung für die Nutzung der Leistung nicht zwingend erforderlich ist. Wird so z.B. für einen Vertrag über eine Dienstleistung eine Einwilligung abverlangt, die für die Erfüllung des Vertrages nicht erforderlich ist, ist die Einwilligung im Zweifel nicht freiwillig. Solche Kopplungsmodelle sind heutzutage häufig bei Online-Dienstleistungen anzutreffen, die ungeachtet des auch jetzt schon geltenden Verbots, ihr Geschäftsmodell auf dem Prinzip „Dienstleistung gegen Daten“ aufgebaut haben und die Daten des Nutzers im Wege gezielter Werbeangebote oder der Weitergabe der Daten zu Geld machen. Die Einwilligung ist auch in solchen Fällen nur dann freiwillig, wenn dem Betroffenen eine echte Wahlmöglichkeit eröffnet wird.

Ferner ist die Freiwilligkeit der Einwilligung auch dann zu verneinen, wenn dem Betroffenen für den Fall der Verweigerung der Einwilligung Nachteile angekündigt werden. Dies gilt nur dann nicht, wenn der Nachteil logische Folge der Verweigerung ist. Wer z.B. eine Leistung in Anspruch nehmen möchte, wird die mit der Erfüllung der Leistung verbundenen Informationen, wie Kontakt- und Abrechnungsdaten, preisgeben müssen.

2. Bestimmtheit der Einwilligung

Die Einwilligung in die Verarbeitung personenbezogener Daten darf nicht pauschal erfolgen. Allgemeine Formulierungen oder Blanko-Einwilligungen genügen nicht den gesetzlichen Voraussetzungen des Art. 7 DSGVO. Die Einwilligung muss daher erkennen lassen, welche personenbezogenen Daten zu welchem Zweck von wem verarbeitet werden sollen. Hierbei gilt, dass der Zweck der Datennutzung umso genauer umschrieben werden muss, je weitreichender die Datennutzung ausfällt.

3. Information des Betroffenen

Der Betroffene muss vor Abgabe der Einwilligungserklärung über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen informiert werden. Dabei müssen alle weiteren für den konkreten Fall entscheidungsrelevanten Informationen enthalten sein und diese müssen darüber hinaus auch hinreichend bestimmt sein, der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Der Betroffene muss außerdem in der Lage sein, die Informationen leicht zu erkennen und auch als Einwilligung zu identifizieren. Folgende Fragen muss sich der Betroffene nach Lektüre der Einwilligungserklärung beantworten können:

  • Wer (genau) soll die Daten nutzen dürfen?
  • Welche Daten soll er nutzen dürfen?
  • Zu welchem Zweck soll er diese Daten nutzen dürfen?
  • Darf er diese Daten weitergeben und wenn ja, an wen genau?
  • Wie lange darf diese Nutzung andauern?

4. Unmissverständlich abgegeben

Die Einwilligungserklärung muss ferner „unmissverständlich abgegeben“ worden sein. Dies kann zum einen in der Form einer abgegebenen Erklärung geschehen, die sowohl schriftlich als auch mündlich erfolgen kann. Zum anderen kann eine „unmissverständlich“ abgegebene Einwilligung aber auch in einer bestätigenden Handlung bestehen, mithin konkludent durch schlüssiges Handeln erteilt werden. Damit sind insbesondere die Fälle gemeint, in denen der Betroffene mit einem Mausklick „Ich bin einverstanden“ seine Einwilligung erklärt. Zu beachten ist dabei, dass das Kästchen zum ankreuzen nicht vorangekreuzt sein darf, damit der Betroffene aktiv handeln muss.

5. Einwilligung Minderjähriger

Bei Geschäftsfähigkeit des Betroffenen stellt die Rechtmäßigkeit der Einwilligung kein Problem dar. Die DSGVO geht in Art. 8 DSGVO grundsätzlich auch davon aus, dass eine Einwilligung „im Kindesalter gegeben“ werden kann. Aus diesem Grund sollen in diesen Fällen die der Einwilligung vorausgehenden Hinweise in einer klaren und einfachen Sprache erfolgen, sodass ein Kind sie verstehen kann. In der Praxis ist allerdings in den meisten Fällen festzustellen, dass gerade Klauseln im Internet oftmals unverständlich geschrieben sind und das Verständnis selbst bei volljährigen Personen schwer fallen dürfte.

Die im deutschen Recht an verschiedenen Stellen normierte Unterscheidung zwischen Kindern und Jugendlichen findet sich in der DSGVO nicht. Art. 8 Abs. 1 DSGVO sieht bei der Einwilligungsfähigkeit in Bezug auf Dienste der Informationsgesellschaft eine Regelgrenze von 16 Jahren vor. Dies hat zur Folge, dass insbesondere die Nutzung von Social-Media-Diensten wie Facebook nunmehr erst ab 16 Jahren rechtmäßig ist, zumindest soweit keine Zustimmung des gesetzlichen Vertreters vorliegt. Damit hat Facebook die Altersgrenze von 13 auf 16 Jahre hochzusetzen.

II. Widerspruchsrecht nach Art. 21 DSGVO

Nach Art. 21 DSGVO kann der Betroffene der Verarbeitung seiner personenbezogenen Daten widersprechen. Das Widerspruchsrecht nach Art. 21 DSGVO richtet sich gegen die Datenverarbeitung, die rechtmäßig erfolgt, ist unter Anderem also auch dann einschlägig, wenn der Betroffene vorher in die Datenverarbeitung eingewilligt hat.

Werden die Daten von vornherein rechtswidrig verarbeitet, steht dem Betroffenen das Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO zur Verfügung.

Das Widerspruchsrecht ist so ausgestaltet, dass sich der Betroffene selbst an die verantwortliche Stelle wenden und der Datenverarbeitung aktiv widersprechen muss. Damit der Betroffene von seinem ihm jederzeit zustehenden Widerspruchsrecht weiß, besteht für die verantwortliche Stelle nach Art. 21 Abs. 4 DSGVO die Pflicht, den Betroffenen auf das Widerspruchsrecht hinzuweisen.

Ausnahmsweise besteht das Widerspruchsrecht nicht, wenn ein zwingendes öffentliches Interesse an der Datenverarbeitung besteht, das die Interessen der betroffenen Person überwiegt oder wenn eine Rechtsvorschrift die verantwortliche Stelle zur Verarbeitung verpflichtet.

Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2, 3 DSGVO)

Besonders privilegiert ist das Widerspruchsrecht des Betroffenen gegen Direktwerbung. Zwar stuft die DSGVO die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als einen denkbaren Unterfall einer dem berechtigten Interesse der verantwortlichen Stelle im Sinne des Art. 6 Abs. 1 dienenden Verarbeitung ein, dieses Interesse ist durch die Normierung des Art. 21 Abs. 2 DSGVO allerdings stets nur schwächer geschützt als die Persönlichkeitsrechte des Betroffenen.

Unter Direktwerbung ist die unmittelbare Ansprache eines Nachfragers, z.B. durch Prospekte, Kataloge, Warenproben, automatische Anrufsysteme, E-Mails oder SMS, durch einen Anbieter mit dem Ziel, den entgeltlichen Absatz von Waren oder die Erbringung von Dienstleistungen zu fördern, zu verstehen.

Widerspruchsberechtigt ist jeder, dessen personenbezogene Daten zu diesem Zweck verarbeitet werden. Dies muss nicht alleine durch die Zustellung einer Werbesendung geschehen, sodass bereits die Erhebung, also die Datenbeschaffung von Daten, um Nachrichtenadressaten auszufiltern, erfasst ist.

Der Widerspruch richtet sich nur gegen die Verarbetiung „für Zwecke der Direktwerbung“. Verarbeitungen, die zu anderen Zwecken erfolgen, sind nicht von einem solchen Widerspruch erfasst. Mit dem Widerspruch geht eine Löschungspflicht gegen die verantwortliche Stelle hinsichtlich der bereits verarbeiteten Daten einher.

 

Das Thema der nächsten Woche sind die Betroffenenrechte nach der DSGVO.

 

Datenschutz-Aktivisten stellen Strafanzeige gegen Real und Post wegen Gesichtserkennung

13. Juni 2017

In den letzten Wochen wurde bekannt, dass sowohl die Supermarktkette Real als auch die Deutschen Post die Aufzeichnungen der Kameras in ihren Ladenlokalen bzw. Filialen nicht mehr nur dazu genutzt werden, um Straftaten wie Ladendiebstahl aufzuklären oder zu vermeiden, sondern vermehrt auch, um Gesichtsanalysen durchzuführen und diese letztlich für personalisierte Werbung einzusetzen, wir berichteten. Die Kameras erfassen dabei Blickkontakte mit dem Bildschirm sowie Geschlecht und ungefähres Alter des Kunden, so dass Rückschlüsse auf das Kundenverhalten gezogen werden können.

Die Aktivisten vom Verein Digitalcourage halten dieses Vorgehen für datenschutzrechtlich unzulässig und haben daher Strafanzeige gegen die beiden Unternehmen gestellt. Ihre Argumentation gründet sich vor allem auf § 6b Bundesdatenschutzgesetz (BDSG): Die von den beiden Unternehmen durchgeführte Videoüberwachung diene nicht mehr dem eigentlichen Zweck sondern werde zu Werbezwecken zweckentfremdet. Außerdem werde mit dem Text „Dieser Markt wird videoüberwacht“ nicht ausreichend auf die Ausmaße der Beobachtung durch die Kameras hingewiesen.

Auch wenn die Erfolgsaussichten dieses Strafverfahrens eher gering scheinen, so wird mit dieser Aktion doch deutlich, wie befremdlich für Einige das ist, was andere als personalisierte Werbung für eine großartige Errungenschaft halten.

Vielzahl von Unternehmen bereitet sich noch nicht auf die DSGVO vor

12. Juni 2017

Am 28.05.2018 tritt die EU-Datenschutzgrundverordnung (kurz DSGVO) offiziell in Kraft. Mit dem Inkrafttreten müssen alle Vorschriften und Maßnahmen, die die DSGVO vorschreibt, vor allem von Unternehmen eingehalten werden, um nicht Gefahr zu laufen, gegen die Verordnung zu verstoßen und hohe Bußgelder zahlen zu müssen.

Der Umstieg von den nationalen Regelungen auf die Vorschriften der DSGVO bedeutet für die Unternehmen einen erheblichen Mehraufwand, der nicht unterschätzt werden sollte. Wie eine Umfrage von TrustArc nun jedoch ergab, haben 61 Prozent der befragten Unternehmen noch nicht mit den Umsetzungsmaßnahmen, die für die DSGVO erforderlich sind, begonnen.

TrustArc hatte insgesamt 204 Beschäftigte von Unternehmen aus unterschiedlichen Branchen befragt, die die Vorschriften der DSGVO einhalten müssen. Die Unternehmen wurden in drei Kategorien, entsprechend der Anzahl ihrer Beschäftigten, unterteilt: 500-1000 Beschäftige, 1000-5000 Beschäftigte und mehr als 5000 Beschäftigte.

23 Prozent der Befragten gaben an, dass sie mit den notwendigen Umsetzungen begonnen haben, 11 Prozent, dass die Umsetzungen momentan vorangetrieben werden, während 4 Prozent sogar angaben, bereits alles Notwendige für die DSGVO getan zu haben.

Die Umfrageergebnisse geben zudem Aufschluss über die Kosten, die von den Unternehmen für die Maßnahmen einkalkuliert werden. 42 Prozent der Befragten gaben an, dass sie mit Kosten zwischen 100.000 und 500.000 $ rechnen, während 23 Prozent mit Kosten zwischen 500.000 und 1.000.000 $ und 17 Prozent mit Kosten über 1.000.000 $ rechnen.

 

Innenminister Thomas de Maizière (CDU) drängt auf eine Ausweitung der digitaler Überwachungsmaßnahmen

In einem Interview mit dem Tagesspiegel am Sonntag vom 11. Juni 2017 sprach sich der Innenminister Thomas de Maizière für eine Ausweitung der digitalen Überwachungs- und Strafverfolgungsmaßnahmen aus.

Im Rahmen der bereits exitierenden Videoüberwachung in öffentlichen Bahnhöfen soll nach den Plänen des Innenministers zukünftig eine Software zur Gesichtserkennung eingesetzt werden um das erfasste Videobild mit Fotos von Terroristen, Gefährdern und Straftätern abzugleichen.

Bereits im Sommer 2017 wird die Software in einem Probelauf an einem Berliner Bahnhof mit freiwilligen Teilnehmern getestet. Bei einer zuverlässigen Erkennung hält der Innenminister eine Ausweitung auf den öffentlichen Raum für denkbar.

De Maizière hält dabei die Grundrechtseinschränkung für gering, da nach seiner Ansicht Unbeteiligte nicht erfasst würden.

Darüber hinaus spricht sich der Innenminister für einer Ausweitung der Überwachung von Messenger-Diensten aus. Entsprechend der Überwachung von analoger Kommunikation sollen die Strafverfolgungbehörden nicht nur auf die gespeicherten Daten zugreifen dürfen, sondern ebenfalls laufende Übermittlungsvorgänge „abhören“.

Deutsche Post testet gezielte Werbung

Die Deutsche Post testet zurzeit personalisierte Werbung.

Mit Hilfe einer Gesichtserkennungssoftware sollen die Anzeigen auf den Infodisplays in Partnerfilialen der Deutschen Post auf den Betrachter angepasst werden. Der Test läuft bereits seit Ende 2016. Über den Testlauf wird derzeit wieder gesprochen, weil die Supermarktkette Real ebenfalls zu Werbezwecken Kunden an der Kasse scannt (wir berichteten).

In 40 Partnerfilialen in Berlin und Köln läuft der Testbetrieb der Deutschen Post bereits, in Hamburg und München sollen Tests folgen. Das System erkennt durch Aufnahmen des Gesichts in kürzester Zeit, das Geschlecht und das Alter der Kunden und wie lange der Kunde auf den Bildschirm schaut. Daraus erhofft sich die Deutsche Post Rückschlüsse, um dann gezielter Werbung schalten zu können, sodass sich die Zufriedenheit der Kunden erhöht und die Deutsche Post von gezielterer Werbung profitieren kann.

Laut den Betreibern der benutzten Software sollen lediglich anonyme Metadaten der Betroffenen gespeichert werden. Die Technologie sei überhaupt nicht fähig Bilder oder Bewegtbilder zu speichern. Aus diesem Grund werden die Kunden der Partnerfilialen auch nicht explizit über die Gesichtserkennung informiert. Die Software kommt nach Aussage des Unternehmens ausschließlich an Orten zum Einsatz, die sowieso bereits als videoüberwacht gekennzeichnet sind.

Eine Gesichtserkennung durch Kameras zum Zwecke personalisierter Werbung wird grundsätzlich kritisch gesehen, wie die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen, Helga Block, über ihren Pressesprecher erklären lässt. Ebenso wird die Thematik von der Verbraucherzentrale NRW gesehen. Die Grünen sind diesbezüglich schon aktiv geworden und haben in dem neuen NRW-Landtag eine kleine Anfrage zu dem Thema gestellt, deren Antwort innerhalb der nächsten vier Wochen erwartet wird.

Österreichischer Entwurf zum Datenschutz-Anpassungsgesetz im Interesse eines unionseinheitlichen Datenschutzrechts

9. Juni 2017

Mit dem Entwurf des Datenschutz-Anpassungsgesetzes 2018 zur Datenschutz-Grundverordnung (DSGVO) wird das veraltete Melde- und Genehmigungssystem der österreichischen Datenschutzbehörden durch ein Selbstvewertungssystem abgelöst. Aus Unternehmensperspektive wird der Fokus fortan vermehrt auf datenschutzrechtlichen Compliancefragen liegen. Die Datenschutzbehörde wird dabei die Kontroll- und Sanktionsfunktion zur Einhaltung der datenschutzrechtlichen Vorgaben wahrnehmen. Besonders auffallend ist bei dem österreichischen Entwurf, im Vergleich zu anderen Unionsländern, dass ein nur zurückhaltender Gebrauch von den Öffnungsklauseln gemacht wird. Damit erfüllt der Entwurf zwar einerseits nur die Minimalvorgaben der DSGVO, andererseits ist er damit aus europäischer Perspektive durchaus zielführend, da er zu einem einheitlichen Datenschutzrecht beiträgt.

Vor dem Hintergrund der Nutzung der eingeräumten Öffnungsklauseln war insbesondere bisher unklar, inwieweit  Österreich diese Gestaltungsspielräume im Hinblick auf eine Pflicht der Unternehmen zur Bestellung eines Datenschutzbeauftragten wahrnehmen wird. Mit der Vorlage des Entwurfes wird nun deutlich, dass sich daraus keine weiter reichenden Verpflichtungen zur Bestellung eines externen Datenschutzbeauftragten, als durch die DSGVO nach Maßgabe des Art. 37 Abs. 5 und 7 DSGVO ohnehin vorgegeben, ergeben. Grund dafür ist wohl auch, dass die Wirtschaftskammer sich bisher vehement dagegen ausgesprochen hatte, dass weitere Belastungen für Unternehmen geschaffen werden. Dies bedeuted jedoch nicht, dass die Unternhemen, die nach der DSGVO nicht verpflichtet sind einen Datenschutzbeauftragten zu bestellen, zukünftg nicht auch trotzdem die datenschutzrechtlichen Vorgaben einhalten müssen. Vielmehr tragen dabei die Verantwortlichen das Risiko, dass Verstöße gegen die DSGVO zu horrenden Bußgeldern führen können. Aus diesem Grund ist den Unternehmen durchaus zu raten, sich bei der unternehmensinternen Implementierung, bzw. bei der Anpassung der bestehenden datenschutzrechtlichen Standards an die DSGVO, von fachkundigen Datenschutzbeauftragten unterstützen zu lassen. Nennenswert ist in diesem Zusammenhang auch die für die Datenschutzbeauftragten geltende Verschwiegenheitspflicht und das Aussageverweigerungsrecht nach § 5 des Entwurfes. Danach ist der Datenschutzbeauftragte, wenn er nicht bereits an berufliche Geheimhaltungsregelungen gebunden ist, bei der Erfüllung seiner Aufgaben stets an Geheimhaltung und Vertraulichkeit gebunden. Soweit ihn die betroffene Person nicht davon befreit, ist er damit auch zur Verschwiegenheit über die Identität der betroffenen Person und über Umstände, die Rückschlüsse auf diese zulassen, verpflichtet.

In § 19 des Entwurfes wird klargestellt, dass die Datenschutzbehörde Geldbußen von bis zu 20 Millionen Euro oder 4% des weltweiten Konzernumsatzes verhängen kann. Danach können erstens Geldbußen gegen das Unternehmen selbst, als juristische Person verhängt werden, wenn eine Person, die eine Führungsposition innerhalb des Unternehmens innehat, gegen Datenschutzrecht verstößt. Zweitens können Geldbußen gegen das Unternehmen wegen Überwachungs-und Kontrollversagen verhängt werden, d.h., wenn eine Führungskraft ihren Aufsichtspflichten nicht nachgekommen ist und dadurch ein Verstoß durch eine für das Unternehmen tätige Person ermöglicht wurde. Dies ist zum Beispiel dann der Fall, wenn ein Mitarbeiter eines Unternehmens Datenschutzrecht aufgrund der fehlenden Implementierung eines Datenschutz-Kontroll- oder -Managementsystems, verletzt. Drittens kann nach § 19 des Entwurfes auch ein für den Datenschutzbereich Verantwortlicher persönlich bestraft werden. Da die DSGVO jedoch nur das Unternehmen bestrafen will, ist diese Regelung nicht datenschutzrechtskonform ausgestaltet. Die Konformität mit der DSGVO versucht der Entwurf jedoch wieder herzustellen, indem er vorsieht, dass die Datenschutzbehörde in dem Fall von einer Bestrafung der natürlichen Person absehen kann, wenn gegen das Unternehmen bereits eine Strafe verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen. Letzteres ist dann der Fall, wenn dem Beauftragten kein persönlicher Vorwurf gemacht werden kann.

Der für den Datenschutzbereich Verantwortliche ist jedoch nicht mit dem Datenschutzbeauftragten gleichzusetzen. Letzterer wird nach dem Entwurf nicht durch die Auferlegung von Geldbußen zur Verantwortung gezogen, wenn das Unternehmen gegen Datenschutzrecht verstößt.

Nach § 76 des Entwurfes wird die datenschutzbehördliche Meldepflicht von (automatisierten) Systemen durch die Pflicht zur Führung eines internen Verfahrensverzeichnisses ersetzt. Die Konsequenz daraus ist, dass das von der Datenschutzbehörde geführte Datenverarbeitungsregister (DVR) abgeschafft wird. Im DVR anhängige Registrierungsverfahren sind damit, ab dem 25.5.2018, als eingestellt zu betrachten. Nach dem Entwurf ist das datenschutzbehördliche DVR jedoch bis zum 31.12.2019 zu Archivzwecken fortzuführen. Die bis dahin mögliche Abrufbarkeit der Informationen im DVR, als auch die Tatsache, dass die in dem Verfahrensverzeichnis anzugebenden Informationen nahezu identisch mit den Informationen für die DVR-Meldungen sind, veranlassen jedoch dazu, dazu zu raten, dass Meldungen in das DVR weiterhin vorgenommen werden sollten. Vor diesem Hintergrund ist insbesondere darauf hinzuweisen, dass die Meldepflicht im DVR bis zum 24.5.2018 weiterhin besteht und daher jede nicht vorgenommene Meldung eines Systems bis zum 24.5.2017 eine Strafe in Höhe von 10.000 Euro nach sich ziehen kann.

Zusammenfassend wird der Stellenwert, den Österreich dem Datenschutz beimisst, bereits durch § 1 Abs. 1, dem österreichischen Grundrecht auf Datenschutz, als die den Entwurf anführende Regelung, deutlich hervorgehoben. Darüber hinaus wird dieser Stellenwert nun auch an anderen Stellen des weitestgehend DSGVO-konformen österreichischen Datenschutz-Anpassungsgesetz 2018, darunter u.a. mit den damit einhergehenden drakonischen Bußgeldern nochmals hervorgehoben und gesichert. Aus europäischer Perspektive erscheint dies, insbesondere auch aufgrund der minimalen Nutzung der DSGVO-Öffnungsklauseln, die zu einem unionseinheitlichen Datenschutzrecht beiträgt, begrüßenswert.

1 2 3 142