Schlagwort: Österreich
16. März 2023
Im Rahmen eines Beschwerdeverfahrens gegen den US-Konzern „Meta“ stellte die österreichische Datenschutzbehörde (DSB) die Rechtswidrigkeit der durch Meta zur Verfügung gestellten Tools „Facebook Logins“ und „Meta Pixel“ fest. Grund für diese Entscheidung sei der rechtswidrige Drittlandstransfer personenbezogener Daten in die USA.
Hintergründe
Zu der Entscheidung der DSB kam es aufgrund einer durch die Datenschutzorganisation „none of your business“ (noyb) angestrengten Beschwerde. Diese strengte noyb zusammen mit weiteren 100 Beschwerden gegen verschiedene Webseitenbetreiber an, die auf ihren Seiten Anwendungen von Meta und Google implementiert hatten (wir berichteten).
Im konkreten Fall ging noyb gegen den Betreiber eines Online-Nachrichtenportals vor. Dieser hatte u.a. die von Meta zur Verfügung gestellten Tools Facebook Logins und Meta Pixel auf seiner Webseite implementiert. Insoweit sei es fraglich gewesen, ob die aufgrund der Implementierung erfolgte Datenübermittlung in die USA durch eine geeignete Garantie nach Art. 45 DSGVO oder eine Ausnahme nach Art. 49 DSGVO erlaubt sei.
Facebook Logins und Meta Pixel
Facebook Login sei, laut Meta eine Anwendung, die die Nutzererfahrung verbessere. Der Nutzer einer Webseite müsse sich kein neues Benutzerkonto anlegen, sondern könne sein Facebook-Profil zur Anmeldung verwenden. Die DSB stellte allerdings fest, dass aufgrund der Implementierung von Facebook Logins eine Vielzahl personenbezogener Daten der Nutzer in die USA übermittelt werden. Dazu zählen u.a. die IP-Adresse, Ort und Datum des Webseitenbesuches und die Nutzer-ID.
Meta Pixel sei, wie der Konzern erklärt, eine Anwendung, die es Webseitenbetreibern ermögliche, das Verhalten ihrer Nutzer nachzuvollziehen. Alle Handlungen, die ein Nutzer auf der Webseite vornehme, wie beispielweise das Hinzufügen eines Artikels in den Warenkorb, könne die Anwendung dokumentieren. Wie auch bei Facebook-Logins, komme es bei Meta Pixel zu einer Datenübermittlung in die USA. Zu diesen personenbezogenen Daten zählen u.a. die IP-Adresse und die Klickdaten für Buttons des Endgerätes.
Feststellung der DSB
Hinsichtlich der Datenübermittlung in die USA stellt die DSB einen Verstoß gegen die allgemeinen Grundsätze der Datenübermittlung nach Art. 44 ff. DSGVO fest. Obwohl zu dem fraglichen Zeitpunkt der EuGH den „Privacy Shield“, also den Angemessenheitsbeschluss für die Übermittlung personenbezogener Daten in die USA, bereits für unwirksam erklärt habe, sollte auf seiner Grundlage eine Datenübermittlung erfolgen. Demnach reichten später eingeführte Standardvertragsklauseln aus Sicht der DSB nicht zur rechtwirksamen Datenübermittlung. Die untersuchte Datenübermittlung sei vor Einführung der Vertragsklauseln erfolgt. Eine Ausnahme iSd Art. 49 DSGVO habe die Webseite nicht für die Datenübermittlung vorgesehen.
Fazit
Vorsitzender der Organisation noyb, Max Schrems, betonte, dass erstmalig eine Aufsichtsbehörde einem Webseitenbetreiber die Illegalität der Facebook-Tracking-Technologie aufgezeigt habe.
Abschließend bleibt fraglich, wann und ob mehr Rechtssicherheit in Bezug auf die Datenübermittlung in die USA einkehren wird.
7. Januar 2020
Das österreichische Außenministerium wurde in der Nacht auf Sonntag das Ziel eines schweren Angriffs auf seine IT-Systeme. Wie die Behörde in einer mit dem Innenministerium gemeinsam erklärten Stellungnahme darlegte, liegt aufgrund des Ausmaßes des Angriffs die Vermutung nahe, dass ein staatlicher Akteur dafür verantwortlich ist.
Genauere Details zum Ablauf und zur Art des Angriffs sind bis jetzt noch nicht bekannt. Laut Regierungsvertretern wurde der Angriff schnell bemerkt. Trotz eingeleiteter technischer Gegenmaßnahmen dauert dieser jedoch weiterhin an.
Die Ministerien legten dar, dass es einen hundertprozentigen Schutz gegen Cyberangriffe trotz intensiver Sicherheitsvorkehrungen nicht gebe. Dabei verwiesen sie auch auf die jüngst erfolgten Angriffe auf andere europäische Staaten. Anfang 2018 war auch das Datennetzwerk der Bundesregierung von einem ähnlichen Fall betroffen.
13. Februar 2019
Die Datenschutz-Grundverordnung (DSGVO) räumt den Betroffenen in Art. 17 Abs. 1 ein Recht auf die Löschung ihrer Daten ein. Das bedeutet aber nicht, dass die Daten tatsächlich vernichtet werden müssen. Laut einer aktuellen Entscheidung kann es hinreichen, den Personenbezug durch Anonymisierung zu entfernen.
Die österreichische Datenschutzbehörde entschied im Dezember 2018, dass das sogenannte Recht auf Löschung personenbezogener Daten den Verantwortlichen nicht zu einer sofortigen Vernichtung der Daten in ihren Systemen verpflichte. Auf Grundlage der DSGVO reiche eine Anonymisierung der Daten aus, nach der eine Rekonstruktion des Personenbezugs „ohne unverhältnismäßigen Aufwand“ nicht mehr möglich ist. Allerdings verlangt die Behörde nicht, dass die Anonymisierung niemals rückgängig gemacht werden kann. Eine Löschung liege dann vor, wenn die Verarbeitung und Nutzung der personenbezogenen Daten nicht mehr möglich ist. Dass sich zu irgendeinem Zeitpunkt eine Rekonstruktion (etwa unter Verwendung neuer technischer Hilfsmittel) als möglich erweise, mache die „Löschung durch Unkenntlichmachung“ nicht unzureichend. Eine völlige Irreversibilität sei daher nicht notwendig.
Hintergrund des Streits war eine Anfrage eines österreichischen Betroffenen bei einer Versicherung. Unter Verweis auf Art. 17 DSGVO hatte dieser die unverzügliche Löschung seiner personenbezogenen Daten verlangt, da sie für den Zweck, für den sie erhoben worden waren, nicht mehr benötigt würden. Die Versicherung löschte E-Mail-Adresse, Telefonnummer sowie Angaben über ein einst erbetenes Versicherungsangebot und stoppte alle Werbezusendungen. Name und Adresse wurden allerdings durch „Max Mustermann“ mit einer Musteradresse ersetzt und Informationen über zwei frühere Versicherungsverträge blieben offenbar erhalten.
Die Versicherung setzte den Betroffenen in Kenntnis, dass sie die Daten „DSGVO-konform anonymisiert“ habe. Eine Rückführbarkeit auf seine Person sei unwiderruflich ausgeschlossen. Die anonymisierten Daten würden beim nächsten automatischen Löschlauf im März 2019 endgültig aus den Systemen gelöscht. Auch aus den Logdaten könne die ursprüngliche Anfrage nicht mehr mit dem Betroffenen verknüpft werden.
Das reichte dem Betroffenen jedoch nicht aus, sodass er sich bei der Datenschutzbehörde beschwerte. Diese hielt jedoch das Anonymisierungsverfahren der Versicherung für ausreichend. Denn nach Ansicht der Behörde macht die DSGVO keine konkreten Angaben darüber, wie eine Löschung von personenbezogenen Daten umgesetzt werden muss. In Art. 4 Nr. 2 DSGVO würden zudem Löschung und Vernichtung von Daten „als alternative Formen der Verarbeitung aufgeführt“, die nicht zwingend deckungsgleich seien. „Daraus erhellt, dass eine Löschung nicht zwingend eine endgültige Vernichtung voraussetzt“, schreibt die Behörde in ihrer Entscheidung.
Vielmehr stehe dem Verantwortlichen hinsichtlich der vorgenommenen Art und Weise der Löschung ein Auswahlermessen zu. Hinsichtlich des konkreten Mittels der Löschung bestehe somit „kein Wahlanspruch der betroffenen Person“.
15. Oktober 2018
Nachdem ein Mieter einer Gemeindewohnung den mangelnden Datenschutz beklagte, will die kommunale Hausverwaltung der rund 2000 Wohnanlagen des „Wiener Wohnens“ bis zum Ende des Jahres 220.000 Klingelschilder entfernen.
Der Mieter hatte sich bei der Hausverwaltung beschwert, dass sein Name auf dem Klingelschild einen Eingriff in seine Privatsphäre darstelle. Daraufhin hatte sich die Hausverwaltung erkundigt und von der für Datenschutzangelegenheiten der Stadt Wien zuständigen Magistratsabteilung erfahren, dass die Verbindung von Nachname und Wohnungsnummer einen Verstoß gegen die DSGVO darstellt.
In Zukunft dürfe nur noch die Wohnungsnummer auf dem Klingelschild stehen. Es sei denn, dass ein Mieter seine Einwilligung erteilt hat. Man könnte diese Einwilligung entweder zuvor durch einen Fragebogen mit Opt-In einholen oder konkludent dadurch, dass die Mieter ihre Klingelschilder selber beschriften.
Österreichische Datenschützer sind der Meinung, dass diese Regelungen auch für private Vermieter und Vermieterinnen gelten.
13. Mai 2013
Medienberichten zufolge hat der Verfassungsausschuss des österreichischen Nationalrats als Reaktion auf die Feststellung des Europäischen Gerichtshofes, dass die bisherige Datenschutzkommission nicht hinreichend unabhängig ist, eine Novelle des Datenschutzgesetzes beschlossen, wonach die Einrichtung einer neuen Datenschutzbehörde vorgesehen ist. Diese Datenschutzbehörde werde nicht nur als unabhängige Kontrollstelle zur Überprüfung der Einhaltung von Datenschutzvorschriften fungieren, sondern u.a. auch für die Führung von Registrierungsverfahren, die Genehmigung von Datenübermittlungen ins Ausland, die Genehmigung von Datenverwendungen für wissenschaftliche oder statistische Zwecke und die Auskunftserteilung an Bürger zuständig sein. Der/die Leiter/in soll für jeweils fünf Jahre von dem Bundespräsidenten auf Vorschlag der Regierung bestellt werden. Damit rücke man von der ursprünglich vorgesehenen Einrichtung eines Fachbeirates zur Unterstützung der Datenschutzbehörde ab.
8. April 2013
Die österreichische Verkehrsministerin Bures hat vergangenen Donnerstag gemeinsam u.a. mit der Autobahnen- und Schnellstraßen-Finanzierungs-Aktiengesellschaft (ASFINAG) ein Maßnahmenpaket vorgestellt, das der Polizei erleichtern soll, Autofahrer, die die Rettungsgasse ignorieren oder widerrechtlich befahren, zu belangen. Geplant sei, dies im Rahmen der sog. videounterstützten Rettungsgassenkontrolle zu realisieren, für welche insgesamt 800 schwenk- und zoombare Videokameras der ASFINAG genutzt werden. Mittels dieser Kameras könne die Polizei über Videobedienstationen bei einem Stauereignis Autofahrer, die die Rettungsgasse befahren, gezielt ausforschen und in der Folge anzeigen. Die gesetzliche Grundlage soll mittels Novellierung der Straßenverkehrsordnung geschaffen werden, wobei der Entwurf bereits dem Innenministerium übermittelt worden sei. Man habe für den Einsatz dieser Form behördlicher Videoüberwachung strenge datenschutzrechtliche Kriterien formuliert. So dürften z.B. die Aufnahmen der Videoüberwachung nur zum Zwecke von Verwaltungsstrafverfahren und nur bei Vorliegen eines konkreten Verdachtes verwendet werden. Die Aufnahmen dürften außerdem nur so lange verwendet werden, wie sie für die Strafverfolgung erforderlich sein. Aufnahmen Unbeteiligter und Kennzeichen seien zu löschen oder auf andere Weise unkenntlich zu machen.
“Ich will, dass Österreichs Autobahnen und Schnellstraßen die sichersten in ganz Europa werden”, begründet Bures das Maßnahmenpakte. “Wir sind auf einem guten Weg – im ersten Quartal sind heuer fünf Menschen auf Autobahnen und Schnellstraßen ums Leben gekommen, im Vorjahr waren es 15. Jeder einzelne Unfalltote ist einer zuviel. Mit unserem Maßnahmenpaket werden wir das System Rettungsgasse weiter optimieren und die Verkehrssicherheit weiter erhöhen.”
