Kategorie: Allgemein

Themenreihe DSGVO: Die Einwilligung und der Widerspruch nach der DSGVO

14. Juni 2017

Auch nach Inkrafttreten der EU-Datenschutzgrundverordnung (kurz DSGVO) am 28.05.2018 bleibt es bei dem datenschutzrechtlichen Grundsatz des Verbots mit Erlaubnisvorbehalt. Der Grundsatz hat zur Folge, dass eine Verarbeitung personenbezogener Daten grundsätzlich verboten ist, wenn kein Erlaubnistatbestand vorliegt, der die Verarbeitung legitimiert. Als die zentrale Legitimation für die Verarbeitung personenbezogener Daten ist auch im Rahmen der DSGVO die Einwilligung des von der Verarbeitung Betroffenen anzusehen.

I. Einwilligung nach Art. 7 DSGVO

Sofern keiner der gesetzlich definierten Fälle einer entbehrlichen Einwilligung gegeben ist (Art. 6 DSGVO), ist die Einwilligung damit das “Maß der Rechtmäßigkeit” einer Datenverarbeitung. Die Verarbeitung ist nur rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat.

Eine Einwilligung im Sinne der DSGVO ist jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willenserklärung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Die Einzelheiten ergeben sich aus Art. 7 DSGVO, auf die nachfolgend eingegangen wird.

1. Freiwilligkeit der Einwilligung

Eine Einwilligung soll auf der freien Entscheidung des Betroffenen beruhen. Sie muss freiwillig erfolgen, d.h. der Betroffene muss in der Lage sein, eine echte Wahl zu treffen hinsichtlich des Ob, Wieviel und Wem er die Nutzung seiner Daten gestattet. Keine Einwilligung liegt insbesondere vor, wenn der Betroffene in eine Situation gebracht wird, in der er aus Zeitmangel oder anderen Gründen davon abgehalten wird, die zu erklärende Einwilligung ernsthaft zu bedenken oder mit einer Person seines Vertrauens zu besprechen. Eine solche Überrumpelungslage wird in der Regel gezielt herbeigeführt (z.B. das Versprechen übermäßiger Anreize etwa bei der Teilnahme an Gewinnspielen gegen die Preisgabe von Daten) oder ausgenutzt (z.B. wenn der Betroffene “eigentlich nur noch nach Hause will”).

An der Freiwilligkeit der Einwilligung fehlt es auch, wenn sie mit einer anderen Leistung gekoppelt wird, obwohl die Datennutzung für die Nutzung der Leistung nicht zwingend erforderlich ist. Wird so z.B. für einen Vertrag über eine Dienstleistung eine Einwilligung abverlangt, die für die Erfüllung des Vertrages nicht erforderlich ist, ist die Einwilligung im Zweifel nicht freiwillig. Solche Kopplungsmodelle sind heutzutage häufig bei Online-Dienstleistungen anzutreffen, die ungeachtet des auch jetzt schon geltenden Verbots, ihr Geschäftsmodell auf dem Prinzip “Dienstleistung gegen Daten” aufgebaut haben und die Daten des Nutzers im Wege gezielter Werbeangebote oder der Weitergabe der Daten zu Geld machen. Die Einwilligung ist auch in solchen Fällen nur dann freiwillig, wenn dem Betroffenen eine echte Wahlmöglichkeit eröffnet wird.

Ferner ist die Freiwilligkeit der Einwilligung auch dann zu verneinen, wenn dem Betroffenen für den Fall der Verweigerung der Einwilligung Nachteile angekündigt werden. Dies gilt nur dann nicht, wenn der Nachteil logische Folge der Verweigerung ist. Wer z.B. eine Leistung in Anspruch nehmen möchte, wird die mit der Erfüllung der Leistung verbundenen Informationen, wie Kontakt- und Abrechnungsdaten, preisgeben müssen.

2. Bestimmtheit der Einwilligung

Die Einwilligung in die Verarbeitung personenbezogener Daten darf nicht pauschal erfolgen. Allgemeine Formulierungen oder Blanko-Einwilligungen genügen nicht den gesetzlichen Voraussetzungen des Art. 7 DSGVO. Die Einwilligung muss daher erkennen lassen, welche personenbezogenen Daten zu welchem Zweck von wem verarbeitet werden sollen. Hierbei gilt, dass der Zweck der Datennutzung umso genauer umschrieben werden muss, je weitreichender die Datennutzung ausfällt.

3. Information des Betroffenen

Der Betroffene muss vor Abgabe der Einwilligungserklärung über den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner personenbezogenen Daten im Einzelnen informiert werden. Dabei müssen alle weiteren für den konkreten Fall entscheidungsrelevanten Informationen enthalten sein und diese müssen darüber hinaus auch hinreichend bestimmt sein, der Zweck der Verarbeitung darf also nicht zu allgemein gehalten werden. Der Betroffene muss außerdem in der Lage sein, die Informationen leicht zu erkennen und auch als Einwilligung zu identifizieren. Folgende Fragen muss sich der Betroffene nach Lektüre der Einwilligungserklärung beantworten können:

  • Wer (genau) soll die Daten nutzen dürfen?
  • Welche Daten soll er nutzen dürfen?
  • Zu welchem Zweck soll er diese Daten nutzen dürfen?
  • Darf er diese Daten weitergeben und wenn ja, an wen genau?
  • Wie lange darf diese Nutzung andauern?

4. Unmissverständlich abgegeben

Die Einwilligungserklärung muss ferner “unmissverständlich abgegeben” worden sein. Dies kann zum einen in der Form einer abgegebenen Erklärung geschehen, die sowohl schriftlich als auch mündlich erfolgen kann. Zum anderen kann eine “unmissverständlich” abgegebene Einwilligung aber auch in einer bestätigenden Handlung bestehen, mithin konkludent durch schlüssiges Handeln erteilt werden. Damit sind insbesondere die Fälle gemeint, in denen der Betroffene mit einem Mausklick “Ich bin einverstanden” seine Einwilligung erklärt. Zu beachten ist dabei, dass das Kästchen zum ankreuzen nicht vorangekreuzt sein darf, damit der Betroffene aktiv handeln muss.

5. Einwilligung Minderjähriger

Bei Geschäftsfähigkeit des Betroffenen stellt die Rechtmäßigkeit der Einwilligung kein Problem dar. Die DSGVO geht in Art. 8 DSGVO grundsätzlich auch davon aus, dass eine Einwilligung “im Kindesalter gegeben” werden kann. Aus diesem Grund sollen in diesen Fällen die der Einwilligung vorausgehenden Hinweise in einer klaren und einfachen Sprache erfolgen, sodass ein Kind sie verstehen kann. In der Praxis ist allerdings in den meisten Fällen festzustellen, dass gerade Klauseln im Internet oftmals unverständlich geschrieben sind und das Verständnis selbst bei volljährigen Personen schwer fallen dürfte.

Die im deutschen Recht an verschiedenen Stellen normierte Unterscheidung zwischen Kindern und Jugendlichen findet sich in der DSGVO nicht. Art. 8 Abs. 1 DSGVO sieht bei der Einwilligungsfähigkeit in Bezug auf Dienste der Informationsgesellschaft eine Regelgrenze von 16 Jahren vor. Dies hat zur Folge, dass insbesondere die Nutzung von Social-Media-Diensten wie Facebook nunmehr erst ab 16 Jahren rechtmäßig ist, zumindest soweit keine Zustimmung des gesetzlichen Vertreters vorliegt. Damit hat Facebook die Altersgrenze von 13 auf 16 Jahre hochzusetzen.

II. Widerspruchsrecht nach Art. 21 DSGVO

Nach Art. 21 DSGVO kann der Betroffene der Verarbeitung seiner personenbezogenen Daten widersprechen. Das Widerspruchsrecht nach Art. 21 DSGVO richtet sich gegen die Datenverarbeitung, die rechtmäßig erfolgt, ist unter Anderem also auch dann einschlägig, wenn der Betroffene vorher in die Datenverarbeitung eingewilligt hat.

Werden die Daten von vornherein rechtswidrig verarbeitet, steht dem Betroffenen das Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO zur Verfügung.

Das Widerspruchsrecht ist so ausgestaltet, dass sich der Betroffene selbst an die verantwortliche Stelle wenden und der Datenverarbeitung aktiv widersprechen muss. Damit der Betroffene von seinem ihm jederzeit zustehenden Widerspruchsrecht weiß, besteht für die verantwortliche Stelle nach Art. 21 Abs. 4 DSGVO die Pflicht, den Betroffenen auf das Widerspruchsrecht hinzuweisen.

Ausnahmsweise besteht das Widerspruchsrecht nicht, wenn ein zwingendes öffentliches Interesse an der Datenverarbeitung besteht, das die Interessen der betroffenen Person überwiegt oder wenn eine Rechtsvorschrift die verantwortliche Stelle zur Verarbeitung verpflichtet.

Widerspruchsrecht gegen Direktwerbung (Art. 21 Abs. 2, 3 DSGVO)

Besonders privilegiert ist das Widerspruchsrecht des Betroffenen gegen Direktwerbung. Zwar stuft die DSGVO die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als einen denkbaren Unterfall einer dem berechtigten Interesse der verantwortlichen Stelle im Sinne des Art. 6 Abs. 1 dienenden Verarbeitung ein, dieses Interesse ist durch die Normierung des Art. 21 Abs. 2 DSGVO allerdings stets nur schwächer geschützt als die Persönlichkeitsrechte des Betroffenen.

Unter Direktwerbung ist die unmittelbare Ansprache eines Nachfragers, z.B. durch Prospekte, Kataloge, Warenproben, automatische Anrufsysteme, E-Mails oder SMS, durch einen Anbieter mit dem Ziel, den entgeltlichen Absatz von Waren oder die Erbringung von Dienstleistungen zu fördern, zu verstehen.

Widerspruchsberechtigt ist jeder, dessen personenbezogene Daten zu diesem Zweck verarbeitet werden. Dies muss nicht alleine durch die Zustellung einer Werbesendung geschehen, sodass bereits die Erhebung, also die Datenbeschaffung von Daten, um Nachrichtenadressaten auszufiltern, erfasst ist.

Der Widerspruch richtet sich nur gegen die Verarbetiung “für Zwecke der Direktwerbung”. Verarbeitungen, die zu anderen Zwecken erfolgen, sind nicht von einem solchen Widerspruch erfasst. Mit dem Widerspruch geht eine Löschungspflicht gegen die verantwortliche Stelle hinsichtlich der bereits verarbeiteten Daten einher.

 

Das Thema der nächsten Woche sind die Betroffenenrechte nach der DSGVO.

 

Datenschutz-Aktivisten stellen Strafanzeige gegen Real und Post wegen Gesichtserkennung

13. Juni 2017

In den letzten Wochen wurde bekannt, dass sowohl die Supermarktkette Real als auch die Deutschen Post die Aufzeichnungen der Kameras in ihren Ladenlokalen bzw. Filialen nicht mehr nur dazu genutzt werden, um Straftaten wie Ladendiebstahl aufzuklären oder zu vermeiden, sondern vermehrt auch, um Gesichtsanalysen durchzuführen und diese letztlich für personalisierte Werbung einzusetzen, wir berichteten. Die Kameras erfassen dabei Blickkontakte mit dem Bildschirm sowie Geschlecht und ungefähres Alter des Kunden, so dass Rückschlüsse auf das Kundenverhalten gezogen werden können.

Die Aktivisten vom Verein Digitalcourage halten dieses Vorgehen für datenschutzrechtlich unzulässig und haben daher Strafanzeige gegen die beiden Unternehmen gestellt. Ihre Argumentation gründet sich vor allem auf § 6b Bundesdatenschutzgesetz (BDSG): Die von den beiden Unternehmen durchgeführte Videoüberwachung diene nicht mehr dem eigentlichen Zweck sondern werde zu Werbezwecken zweckentfremdet. Außerdem werde mit dem Text “Dieser Markt wird videoüberwacht” nicht ausreichend auf die Ausmaße der Beobachtung durch die Kameras hingewiesen.

Auch wenn die Erfolgsaussichten dieses Strafverfahrens eher gering scheinen, so wird mit dieser Aktion doch deutlich, wie befremdlich für Einige das ist, was andere als personalisierte Werbung für eine großartige Errungenschaft halten.

Vielzahl von Unternehmen bereitet sich noch nicht auf die DSGVO vor

12. Juni 2017

Am 28.05.2018 tritt die EU-Datenschutzgrundverordnung (kurz DSGVO) offiziell in Kraft. Mit dem Inkrafttreten müssen alle Vorschriften und Maßnahmen, die die DSGVO vorschreibt, vor allem von Unternehmen eingehalten werden, um nicht Gefahr zu laufen, gegen die Verordnung zu verstoßen und hohe Bußgelder zahlen zu müssen.

Der Umstieg von den nationalen Regelungen auf die Vorschriften der DSGVO bedeutet für die Unternehmen einen erheblichen Mehraufwand, der nicht unterschätzt werden sollte. Wie eine Umfrage von TrustArc nun jedoch ergab, haben 61 Prozent der befragten Unternehmen noch nicht mit den Umsetzungsmaßnahmen, die für die DSGVO erforderlich sind, begonnen.

TrustArc hatte insgesamt 204 Beschäftigte von Unternehmen aus unterschiedlichen Branchen befragt, die die Vorschriften der DSGVO einhalten müssen. Die Unternehmen wurden in drei Kategorien, entsprechend der Anzahl ihrer Beschäftigten, unterteilt: 500-1000 Beschäftige, 1000-5000 Beschäftigte und mehr als 5000 Beschäftigte.

23 Prozent der Befragten gaben an, dass sie mit den notwendigen Umsetzungen begonnen haben, 11 Prozent, dass die Umsetzungen momentan vorangetrieben werden, während 4 Prozent sogar angaben, bereits alles Notwendige für die DSGVO getan zu haben.

Die Umfrageergebnisse geben zudem Aufschluss über die Kosten, die von den Unternehmen für die Maßnahmen einkalkuliert werden. 42 Prozent der Befragten gaben an, dass sie mit Kosten zwischen 100.000 und 500.000 $ rechnen, während 23 Prozent mit Kosten zwischen 500.000 und 1.000.000 $ und 17 Prozent mit Kosten über 1.000.000 $ rechnen.

 

Innenminister Thomas de Maizière (CDU) drängt auf eine Ausweitung der digitaler Überwachungsmaßnahmen

In einem Interview mit dem Tagesspiegel am Sonntag vom 11. Juni 2017 sprach sich der Innenminister Thomas de Maizière für eine Ausweitung der digitalen Überwachungs- und Strafverfolgungsmaßnahmen aus.

Im Rahmen der bereits exitierenden Videoüberwachung in öffentlichen Bahnhöfen soll nach den Plänen des Innenministers zukünftig eine Software zur Gesichtserkennung eingesetzt werden um das erfasste Videobild mit Fotos von Terroristen, Gefährdern und Straftätern abzugleichen.

Bereits im Sommer 2017 wird die Software in einem Probelauf an einem Berliner Bahnhof mit freiwilligen Teilnehmern getestet. Bei einer zuverlässigen Erkennung hält der Innenminister eine Ausweitung auf den öffentlichen Raum für denkbar.

De Maizière hält dabei die Grundrechtseinschränkung für gering, da nach seiner Ansicht Unbeteiligte nicht erfasst würden.

Darüber hinaus spricht sich der Innenminister für einer Ausweitung der Überwachung von Messenger-Diensten aus. Entsprechend der Überwachung von analoger Kommunikation sollen die Strafverfolgungbehörden nicht nur auf die gespeicherten Daten zugreifen dürfen, sondern ebenfalls laufende Übermittlungsvorgänge “abhören”.

Deutsche Post testet gezielte Werbung

Die Deutsche Post testet zurzeit personalisierte Werbung.

Mit Hilfe einer Gesichtserkennungssoftware sollen die Anzeigen auf den Infodisplays in Partnerfilialen der Deutschen Post auf den Betrachter angepasst werden. Der Test läuft bereits seit Ende 2016. Über den Testlauf wird derzeit wieder gesprochen, weil die Supermarktkette Real ebenfalls zu Werbezwecken Kunden an der Kasse scannt (wir berichteten).

In 40 Partnerfilialen in Berlin und Köln läuft der Testbetrieb der Deutschen Post bereits, in Hamburg und München sollen Tests folgen. Das System erkennt durch Aufnahmen des Gesichts in kürzester Zeit, das Geschlecht und das Alter der Kunden und wie lange der Kunde auf den Bildschirm schaut. Daraus erhofft sich die Deutsche Post Rückschlüsse, um dann gezielter Werbung schalten zu können, sodass sich die Zufriedenheit der Kunden erhöht und die Deutsche Post von gezielterer Werbung profitieren kann.

Laut den Betreibern der benutzten Software sollen lediglich anonyme Metadaten der Betroffenen gespeichert werden. Die Technologie sei überhaupt nicht fähig Bilder oder Bewegtbilder zu speichern. Aus diesem Grund werden die Kunden der Partnerfilialen auch nicht explizit über die Gesichtserkennung informiert. Die Software kommt nach Aussage des Unternehmens ausschließlich an Orten zum Einsatz, die sowieso bereits als videoüberwacht gekennzeichnet sind.

Eine Gesichtserkennung durch Kameras zum Zwecke personalisierter Werbung wird grundsätzlich kritisch gesehen, wie die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen, Helga Block, über ihren Pressesprecher erklären lässt. Ebenso wird die Thematik von der Verbraucherzentrale NRW gesehen. Die Grünen sind diesbezüglich schon aktiv geworden und haben in dem neuen NRW-Landtag eine kleine Anfrage zu dem Thema gestellt, deren Antwort innerhalb der nächsten vier Wochen erwartet wird.

Österreichischer Entwurf zum Datenschutz-Anpassungsgesetz im Interesse eines unionseinheitlichen Datenschutzrechts

9. Juni 2017

Mit dem Entwurf des Datenschutz-Anpassungsgesetzes 2018 zur Datenschutz-Grundverordnung (DSGVO) wird das veraltete Melde- und Genehmigungssystem der österreichischen Datenschutzbehörden durch ein Selbstvewertungssystem abgelöst. Aus Unternehmensperspektive wird der Fokus fortan vermehrt auf datenschutzrechtlichen Compliancefragen liegen. Die Datenschutzbehörde wird dabei die Kontroll- und Sanktionsfunktion zur Einhaltung der datenschutzrechtlichen Vorgaben wahrnehmen. Besonders auffallend ist bei dem österreichischen Entwurf, im Vergleich zu anderen Unionsländern, dass ein nur zurückhaltender Gebrauch von den Öffnungsklauseln gemacht wird. Damit erfüllt der Entwurf zwar einerseits nur die Minimalvorgaben der DSGVO, andererseits ist er damit aus europäischer Perspektive durchaus zielführend, da er zu einem einheitlichen Datenschutzrecht beiträgt.

Vor dem Hintergrund der Nutzung der eingeräumten Öffnungsklauseln war insbesondere bisher unklar, inwieweit  Österreich diese Gestaltungsspielräume im Hinblick auf eine Pflicht der Unternehmen zur Bestellung eines Datenschutzbeauftragten wahrnehmen wird. Mit der Vorlage des Entwurfes wird nun deutlich, dass sich daraus keine weiter reichenden Verpflichtungen zur Bestellung eines externen Datenschutzbeauftragten, als durch die DSGVO nach Maßgabe des Art. 37 Abs. 5 und 7 DSGVO ohnehin vorgegeben, ergeben. Grund dafür ist wohl auch, dass die Wirtschaftskammer sich bisher vehement dagegen ausgesprochen hatte, dass weitere Belastungen für Unternehmen geschaffen werden. Dies bedeuted jedoch nicht, dass die Unternhemen, die nach der DSGVO nicht verpflichtet sind einen Datenschutzbeauftragten zu bestellen, zukünftg nicht auch trotzdem die datenschutzrechtlichen Vorgaben einhalten müssen. Vielmehr tragen dabei die Verantwortlichen das Risiko, dass Verstöße gegen die DSGVO zu horrenden Bußgeldern führen können. Aus diesem Grund ist den Unternehmen durchaus zu raten, sich bei der unternehmensinternen Implementierung, bzw. bei der Anpassung der bestehenden datenschutzrechtlichen Standards an die DSGVO, von fachkundigen Datenschutzbeauftragten unterstützen zu lassen. Nennenswert ist in diesem Zusammenhang auch die für die Datenschutzbeauftragten geltende Verschwiegenheitspflicht und das Aussageverweigerungsrecht nach § 5 des Entwurfes. Danach ist der Datenschutzbeauftragte, wenn er nicht bereits an berufliche Geheimhaltungsregelungen gebunden ist, bei der Erfüllung seiner Aufgaben stets an Geheimhaltung und Vertraulichkeit gebunden. Soweit ihn die betroffene Person nicht davon befreit, ist er damit auch zur Verschwiegenheit über die Identität der betroffenen Person und über Umstände, die Rückschlüsse auf diese zulassen, verpflichtet.

In § 19 des Entwurfes wird klargestellt, dass die Datenschutzbehörde Geldbußen von bis zu 20 Millionen Euro oder 4% des weltweiten Konzernumsatzes verhängen kann. Danach können erstens Geldbußen gegen das Unternehmen selbst, als juristische Person verhängt werden, wenn eine Person, die eine Führungsposition innerhalb des Unternehmens innehat, gegen Datenschutzrecht verstößt. Zweitens können Geldbußen gegen das Unternehmen wegen Überwachungs-und Kontrollversagen verhängt werden, d.h., wenn eine Führungskraft ihren Aufsichtspflichten nicht nachgekommen ist und dadurch ein Verstoß durch eine für das Unternehmen tätige Person ermöglicht wurde. Dies ist zum Beispiel dann der Fall, wenn ein Mitarbeiter eines Unternehmens Datenschutzrecht aufgrund der fehlenden Implementierung eines Datenschutz-Kontroll- oder -Managementsystems, verletzt. Drittens kann nach § 19 des Entwurfes auch ein für den Datenschutzbereich Verantwortlicher persönlich bestraft werden. Da die DSGVO jedoch nur das Unternehmen bestrafen will, ist diese Regelung nicht datenschutzrechtskonform ausgestaltet. Die Konformität mit der DSGVO versucht der Entwurf jedoch wieder herzustellen, indem er vorsieht, dass die Datenschutzbehörde in dem Fall von einer Bestrafung der natürlichen Person absehen kann, wenn gegen das Unternehmen bereits eine Strafe verhängt wird und keine besonderen Umstände vorliegen, die einem Absehen von der Bestrafung entgegenstehen. Letzteres ist dann der Fall, wenn dem Beauftragten kein persönlicher Vorwurf gemacht werden kann.

Der für den Datenschutzbereich Verantwortliche ist jedoch nicht mit dem Datenschutzbeauftragten gleichzusetzen. Letzterer wird nach dem Entwurf nicht durch die Auferlegung von Geldbußen zur Verantwortung gezogen, wenn das Unternehmen gegen Datenschutzrecht verstößt.

Nach § 76 des Entwurfes wird die datenschutzbehördliche Meldepflicht von (automatisierten) Systemen durch die Pflicht zur Führung eines internen Verfahrensverzeichnisses ersetzt. Die Konsequenz daraus ist, dass das von der Datenschutzbehörde geführte Datenverarbeitungsregister (DVR) abgeschafft wird. Im DVR anhängige Registrierungsverfahren sind damit, ab dem 25.5.2018, als eingestellt zu betrachten. Nach dem Entwurf ist das datenschutzbehördliche DVR jedoch bis zum 31.12.2019 zu Archivzwecken fortzuführen. Die bis dahin mögliche Abrufbarkeit der Informationen im DVR, als auch die Tatsache, dass die in dem Verfahrensverzeichnis anzugebenden Informationen nahezu identisch mit den Informationen für die DVR-Meldungen sind, veranlassen jedoch dazu, dazu zu raten, dass Meldungen in das DVR weiterhin vorgenommen werden sollten. Vor diesem Hintergrund ist insbesondere darauf hinzuweisen, dass die Meldepflicht im DVR bis zum 24.5.2018 weiterhin besteht und daher jede nicht vorgenommene Meldung eines Systems bis zum 24.5.2017 eine Strafe in Höhe von 10.000 Euro nach sich ziehen kann.

Zusammenfassend wird der Stellenwert, den Österreich dem Datenschutz beimisst, bereits durch § 1 Abs. 1, dem österreichischen Grundrecht auf Datenschutz, als die den Entwurf anführende Regelung, deutlich hervorgehoben. Darüber hinaus wird dieser Stellenwert nun auch an anderen Stellen des weitestgehend DSGVO-konformen österreichischen Datenschutz-Anpassungsgesetz 2018, darunter u.a. mit den damit einhergehenden drakonischen Bußgeldern nochmals hervorgehoben und gesichert. Aus europäischer Perspektive erscheint dies, insbesondere auch aufgrund der minimalen Nutzung der DSGVO-Öffnungsklauseln, die zu einem unionseinheitlichen Datenschutzrecht beiträgt, begrüßenswert.

EU-Rat spricht sich für Meldesystem zur visafreien Einreise aus

7. Juni 2017

Der EU-Rat hat am vergangenen Donnerstag seinen Vorschlag für eine Verordnung für ein „Reiseinformations- und Genehmigungssystem“ veröffentlicht und so seine Zustimmung zu einem entsprechenden, von der EU-Kommission vorgeschlagenen, Meldesystem signalisiert.
Ab 2020 soll nach dem US-amerikanischen Vorbild ESTA das „EU Travel Information and Authorisation System“ (ETIAS) eingeführt werden. Über dieses sollen sich dann alle Personen, die visumfrei in die EU einreisen vorab online registrieren.

Abgefragt werden Angaben zur Identität, Reisedokument, Aufenthaltsort, Kontaktmöglichkeiten, infektiöse Krankheiten oder Ausbildung.

Der EU-Datenschutzbeauftragte Giovanni Buttarelli hatte bereits im März diesen Jahres eine Stellungnahme zu dem Verordnungsentwurf der Kommission veröffentlicht, in der er sich in vielerlei Hinsicht kritisch zu dem Vorhaben äußert. So bemängelt er unter anderem, dass die Kommission nicht die erforderliche Datenschutzfolgeabschätzung mitgeliefert hätte, zudem hält er die Art und den Umfang der abgefragten Daten für problematisch. So sei insbesondere der Zugriff auf Gesundheitsdaten von der Komission zu rechtfertigen. Darüber hinaus fehle laut Buttarelli eine Begründung für die Übermittlung der Daten an Strafverfolgungsbehörden wie Europol oder Interpol.

Der Entwurf des EU-Rats berücksichtigt die Stellungnahme sowie eine Studie, die die Effektivität und Verhältnismäßigkeit des Verordnungsentwurfs untersucht und einige der vorgesehenen Maßnahmen als unzureichend beurteilt.

Abzuwarten bleibt noch eine Stellungnahme des EU-Parlaments bevor eine einheitliche Fassung erarbeitet werden kann.

Symposium zum Datenschutz in automatisierten Fahrzeugen

2. Juni 2017

Schon heute sammelt ein modernes Fahrzeug mehrere Gigabyte an Daten. Da die technische Entwicklung von autonom fahrenden Autos gerade erst am Anfang steht ist davon auszugehen, dass in Zukunft noch mehr Daten erhoben werden und der Datenschutz im Bereich des vernetzten Fahrens immer wichtiger werden wird. Auf Einladung der Bundesdatenschutzbeauftragten Andrea Voßhoff fand deswegen am 1. Juni ein Symposium zum Datenschutz in automatisierten Fahrzeugen statt.

Zu Beginn des Symposiums wies Voßhoff noch einmal darauf hin, dass moderne Fahrzeuge mit Hilfe von Sensoren und anderen Technologien eine erhebliche Menge von Daten sammeln würden. Beispielhaft führte Sie an, dass Kilometerstände, Reifendruck, verschiedene Füllstände oder der Gurtschlussstatus gemessen würden. Darüber hinaus würden aber auch Daten über den Fahrstil und Positionsdaten erhoben. Insbesondere durch die Verknüpfung dieser Vielzahl von Daten würden sich detaillierte Persönlichkeitsprofile der Fahrerinnen und Fahrer erstellen lassen. Gerade deswegen forderte Voßhoff, dass die Fahrerinnen und Fahrer jederzeit die volle Hoheit über die Verwendung von personalisierbaren Fahrzeugdaten haben müssten. In diesem Kontext seien datenschutzgerechte Technologien und Voreinstellungen notwendig.

Um den Datenschutz im Bereich von automatisierten Fahrzeugen zu wahren, hat die Bundesdatenschutzbeauftragte eine Liste mit 13 Empfehlungen zum automatisierten und vernetzten Fahren veröffentlicht. Aus Transparenzgründen müsse es für die Fahrerin oder den Fahrer klar erkennbar sein, welche Daten auf Basis einer gesetzlichen Regelung auch ohne ausdrückliche Einwilligung verarbeitet werden dürfen. Insbesondere im Hinblick auf das Einwilligungserfordernis stellte Voßhoff auch klar, dass eine etwa beim Kauf abgegebene pauschale Einwilligung für beliebige Verwendungszwecke nicht genüge. In der Empfehlungsliste wird unter anderem dargestellt, dass für den reinen Fahrbetrieb in der Regel keine Datenspeicherung erforderlich sei. Falls Fahrzeuge Daten untereinander austauschen müssten, müsse dieser Austausch wirksam verschlüsselt und vor einer unbefugten Nutzung oder Aufzeichnung geschützt werden. Nach dem Grundsatz „Pricavy by default“ müsse es dem Fahrzeugnutzer auch möglich sein, sein Fahrzeug so einzustellen, dass dieses möglichst wenig über sein Fahrverhalten preisgebe. Des Weiteren müsse es für die Fahrzeugnutzer unkompliziert möglich sein personenbezogene Daten zu löschen, falls eine Speicherung dieser Daten nicht gesetzlich notwendig sei.

Vor dem Hintergrund der 2018 in Kraft tretenden Datenschutzgrundverordnung ist zudem ein Beitrag des Vorsitzenden der Gesellschaft für Datenschutz und Datensicherheit, Rolf Schwartmann, zu beachten. Im Zuge des Symposiums gab dieser an, dass rund um die Privatsphäre im vernetzten Auto eine Folgenabschätzung gem. Art. 35 DSGVO generell durchzuführen sei.

Fingerabdrücke von Asylbewerbern sollen gescannt werden

31. Mai 2017

Die Regierungskoalition beabsichtigt die geltenden Datenschutzbestimmungen anhand eines Bündels von neuen Regelungen zu ändern. Danach sollen zukünftig auch Fingerabdrücke von Asylbewerbern gescannt werden können.

Die Regierungsfraktionen bezwecken damit eine weitgehende Befugnis der zuständigen Behörden, auf deren Basis diese Fingerabdrücke von Asylbewerbern zur Identitätsprüfung abnehmen, scannen und mit den dazu im Ausländerzentralregister gespeicherten Daten abgleichen dürfen. So soll die Aufdeckung von möglichen Sozialleistungsmissbrauchsfällen leichter ermöglicht werden.

Aus Datenschutzkreisen hagelt es harsche Kritik an dem Antrag der Regierungsfraktionen der CDU/CSU und SPD. So hält die Deutsche Vereinigung für Datenschutz (DVD) den Änderungsantrag für rechtswidrig, da einige der neuen Bestimmungen gegen Wortlaut und Sinn von EU-Vorgaben verstoßen. Das Scannen der Fingerabdrücke von Flüchtlingen werde eingeführt, ohne vorher “geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen” zu schaffen. Die Zustimmung des Antrages, welcher lediglich noch eine Formsache ist, verrate demnach den digitalen Grundrechtsschutz. Noch schärfere Worte fand der Vize-DVD-Vorsitzende, Werner Hülsmann: “Was hier im Schnelldurchgang durchgeboxt werden soll, straft jedes Lippenbekenntnis der Bundesregierung zum Datenschutz Lügen.”

Kategorien: Allgemein
Schlagwörter: ,

Real führt Gesichtsanalyse seiner Kunden durch

Die Supermarktkette Real hat in 40 ihrer 285 Supermärkte Kameras installiert, um die Gesichter seiner Kunden zu analysieren.
Bei dem Testdurchlauf werden Werbebildschirme im Kassenbereich aufgehängt, in denen eine Videokamera installiert ist. Diese erfasst alle Blickkontakte mit dem Bildschirm sowie das Geschlecht und das ungefähre Alter des Kunden und soll dabei helfen, das Kundenverhalten genauer zu analysieren, um Werbung weiter zu personalisieren.

Real selbst wertet die Daten nicht aus, sondern überlässt dies dem Betreiber Echion, der sowohl die Bildschirme stellt, als auch für die platzierte Werbung verantwortlich ist.

Einen ausdrücklichen Hinweis auf die Videoanalyse finden Kunden in den betroffenen Supermärkten nicht. Ein Real-Sprecher weist jedoch darauf hin, dass sich in allen Filialen Schilder befänden, die darauf hinweisen, dass die Supermärkte videoüberwacht werden. Darüber hinaus versichert er, dass die Personenerkennung anonym erfolge und die Bilder höchstens für 150 Millisekunden gespeichert würden.
Datenschützer sind über dieses Vorgehen und insbesondere über die Aussage, die vorhandenen Hinweisschilder seien ausreichend, beunruhigt. Der Hamburger Datenschutzbeauftragte Johannes Caspar äußert sich gegenüber der „Lebensmittelzeitung“ dahingehend, dass in dem Moment, in dem Bilder von Personen durch Kameras erhoben würden, nicht mehr von Anonymität die Rede sein könne.

Trotzdem beobachten auch andere Händler die Technik und sind an ähnlichen Einsätzen interessiert, wie der Spiegel beispielsweise auf Anfrage bei dem Technikhändler MediaMarkt/Saturn erfahren hat.

1 107 108 109 110 111 206