Kategorie: EU-Datenschutzgrundverordnung

Reaktion der BfDI auf Verabschiedung des BDSG-Neu

11. Mai 2017

Die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) Andera Voßhoff, hat mit einer kritischen Presseerklärung auf die Verabschiedung des BDSG-Nachfolgers „Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)“, auch BDSG-Neu genannt, reagiert:

Die Datenschutzbeauftragte begrüßt die zügige Anpassung des deutschen Datenschutzrechts an die ab 2018 geltenden EU-Vorgaben. So hat der Bundestag die Rechte der Betroffenen auf Information, Auskunft und Löschung im Vergleich zum Entwurf der Bundesregierung spürbar gestärkt. Die eingeschränkten Kontrollrechte der Datenschutzbehörden sind jedoch kritisch zu sehen.

Ab Mai 2018 gelten europaweit die EU-Datenschutz-Grundverordnung und die EU-Richtlinie für den Datenschutz bei Polizei und Justiz. Das am Donnerstag verabschiedete Datenschutzanpassungs- und Umsetzungsgesetz greift dies auf und wird das bisherige Bundesdatenschutzgesetz ablösen. Das Gesetz bedarf noch der Zustimmung des Bundesrates, der sich voraussichtlich am 12. Mai 2017 damit befassen wird.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, begrüßt, dass das Gesetzgebungsverfahren noch in dieser Legislaturperiode abgeschlossen werden kann: Das neue Datenschutzgesetz ergänzt die ab Mai 2018 unmittelbar geltende EU-Datenschutz-Grundverordnung. Anpassungs- und Umsetzungsbedarf besteht aber noch in zahlreichen Fachgesetzen, beispielsweise für den Sozialdatenschutz im Sozialgesetzbuch sowie bei den Datenschutzgesetzen der Länder.

Das nun vorliegende Gesetz wurde gegenüber dem Entwurf der Bundesregierung zugunsten der Bürgerinnen und Bürger verbessert. So enthält das Gesetz nur noch sehr wenige Einschränkungen der Betroffenenrechte, die vor allem kleine Unternehmen mit oftmals noch analoger Datenverarbeitung entlasten. Damit gilt für die Mehrzahl der Datenverarbeitungen in der digitalen Welt der hohe Standard der Datenschutz-Grundverordnung.

Die BfDI kritisiert jedoch, dass der Deutsche Bundestag bei wichtigen Punkten den Gesetzentwurf nicht nachgebessert hat: Die vom Bundesverfassungsgericht eingeforderten wirksamen Kontroll- und Durchsetzungsbefugnisse der BfDI im Bereich Polizei und Justiz und außerhalb des Geltungsbereichs des EU-Rechts sind deutlich beschränkt. Gerade in diesem Bereich ist eine unabhängige Kontrolle und Durchsetzung des Datenschutzes zwingend notwendig. Die BfDI erhält hier jedoch keinerlei Durchsetzungsbefugnisse, möglich sind nur nicht-bindende Beanstandungen. Dies ist europarechtswidrig und auch in der Sache falsch. Laut der EU-Richtlinie sollten Datenschutzaufsichtsbehörden zumindest die Möglichkeit haben, die Rechtmäßigkeit bestimmter Verarbeitungsvorgänge gerichtlich überprüfen zu lassen. Auch darf die BfDI den Bundestag in Zukunft nicht mehr proaktiv über Kontrollen beim Bundesnachrichtendienst informieren.

Positiv bewertet die BfDI das geplante Verfahren für die effiziente Zusammenarbeit der deutschen Aufsichtsbehörden und deren einheitliche Vertretung in europäischen Angelegenheiten. Dafür erhält die BfDI die Funktion einer Zentralen Anlaufstelle für die Datenschutzbehörden in Bund und Ländern. Die BfDI wird zudem als Gemeinsamer Vertreter im Europäischen Datenschutzausschuss benannt. Als Stellvertreter steht ihr dabei eine vom Bundesrat gewählte Leiterin oder ein Leiter einer Landesdatenschutzbehörde mit Befugnissen in bestimmten Angelegenheiten der Länder zur Seite.

Reformentwurf des Bundesdatenschutzgesetzes steht in der Kritik

21. April 2017

Im Mai 2018 tritt die EU-Datenschutzgrundverordnung (DSGVO) in Kraft und ist in allen EU-Ländern unmittelbar anwendbar. Die Länder müssen ihre Datenschutzgesetze an die DSGVO anpassen.

Wie wir berichteten hat sich das Bundeskabinett Anfang diesen Jahres auf einen Gesetzesentwurf für die Novellierung des Bundesdatenschutzgesetzes (BDSG) geeinigt.

Dieser Entwurf musste sich bereits Kritik auf nationaler Ebene aussetzen und wurde jetzt auch von der EU-Kommission im Rahmen einer Veranstaltung der Stiftung Datenschutz gerügt. Die Kabinettschefin von Justizkommissarin Věra Jourová, Renate Nikolay erklärte, nach Informationen von heise.de, dass Deutschland mit seiner Gesetzesinitiative zwar allen anderen Mitgliedsstaaten voraus ist, der Entwurf aber nicht zufriedenstellend ist.

Renate Nikolay kritisiert, dass die Bundesregierung von vermeintlichen Öffnungsklauseln Gebrauch macht die in der DSGVO gar nicht angelegt sind. Die EU-Kommission befürchtet, dass dadurch die angestrebte Harmonisierung unterlaufen wird und am Ende wieder jeder Mitgliedsstaat seine eigenen Regelungen hat.

Die große Koalition hat der Kritik folgend bereits einen Änderungsantrag vorgelegt, der vor allem bei den Betroffenenrechten nachbessern soll.

Es bleibt demnach abzuwarten, wie sich der Entwurf des neuen BDSG noch bis Mai 2018 entwickeln wird. Wenn das novellierte Gesetz allerdings nicht den Anforderungen der EU-Kommission genügt droht ein Vertragsverletzungsverfahren.

Großbritannien und der Datenschutz nach dem Brexit

10. April 2017

Das ‘Vereinigte Königreich Großbritannien und Nordirland` (Großbritannien) wird aus der EU austreten. Der sogenannte Brexit ist inzwischen beschlossene Sache und hat begonnen. Mit Ablauf der nächsten zwei Jahre wird der Brexit vollzogen sein.

Jetzt muss sich die Frage stellen, wie sich der Datenschutz nach dem Brexit entwickelt, denn vor allem für Datenübermittlungen in Nicht-EU-Länder gelten besonders strenge Regeln und zu diesen Nicht-EU-Ländern gehört dann auch Großbritannien.

Großbritannien kann schon immer als Pionier auf dem Gebiet des Datenschutzes bezeichnet werden und ist auch heute noch aktiv an der EU-Datenschutzrecht Gesetzgebung beteiligt. Die anstehende EU-Datenschutzgrundverordnung (DSGVO) spielt für Großbritannien jedoch keine Rolle mehr, weil sie zum Zeitpunkt des in Krafttretens, sofern der Brexit nach Plan läuft, nicht mehr in der EU sind, sodass Umsetzungsmaßnahmen in Bezug auf die DSGVO keinen Sinn machen. Allerdings ist zu beachten, dass der Regierung Großbritanniens daran gelegen sein muss, dass auch nach dem Brexit ein freier Datenfluss zwischen dem dann Nicht-EU-Land und den EU-Ländern gegeben sein muss. Deswegen ist davon auszugehen, dass sich das Datenschutzrecht nach dem Brexit dem der DSGVO anpassen wird, sodass keine Beeinträchtigungen bestehen. Ansonsten besteht die Möglichkeit das Firmen ihre Firmensitze in die EU verlegen, was zu einer Katastrophe für die Wirtschaft Großbritanniens führen kann.

Datenschutzbehörden ohne ausreichend Personal für die DS-GVO

6. April 2017

Vor der Geltung der Datenschutz-Grundverordnung (DS-GVO) im Mai kommenden Jahres steigt bei den datenschutzrechtlichen Aufsichtsbehörden des Bundes und der Länder der Bedarf an qualifiziertem Personal, denn Zuständigkeits- und Verantwortungsbereiche werden stark anwachsen.

Nach einer aktuellen Umfrage des Handelsblatts zeigt sich, dass insbesondere bei den Ländern nicht rechtzeitig genügend Personal zur Verfügung stehen wird, um die z. T. komplexen Neuerungen umzusetzen. Die Hälfte der betroffenen Behörden führt derzeit noch Verhandlungen über Haushaltserhöhungen, in einigen Bundesländern steht bereits fest, dass es dieses Jahr nicht mehr zu Neueinstellungen kommen kann (so in Berlin, Bremen, Hamburg, Saarland, Sachsen und Thüringen).

Nach dem Hamburger Datenschutzbeauftragten Johannes Caspars sei mithin zu befürchten, dass „die Kluft zwischen den rechtlichen Erwartungen, die der Gesetzgeber mit der neuen Regelung verfolgt, und der defizitären Ausstattungssituation noch viel größer wird, als sie bereits unter der gegenwärtigen Rechtslage ist“.

Etwas besser sieht die Personalsituation beim Bund aus. Nach Informationen der Bundesdatenschutzbeauftragten Andrea Voßhoff sind für ihre Behörde bereits 32 neue Stellen für die DS-GVO vorgesehen.

LDI Berlin hält biometrische Gesichtserkennung für zukunftslos

30. März 2017

Die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Berlin Maja Smoltczyk hat sich in einer Presseerklärung klar gegen die Technik der biometrischen Gesichtserkennung positioniert und diese als Technik ohne Zukunft beschrieben. Dies kann nach Ansicht der LDI die Freiheit sich in der Öffentlichkeit frei zu bewegen vollständig zerstören, da den Betroffenen keine Möglichkeit geboten würde sich einer Überwachung zu entziehen. Im Gegensatz zur konventionellen Videoüberwachung würde dies die Rechte erheblich schwerer einschränken. Auch das Potential der erhobenen Daten würde schwerwiegend zu Lasten der Betroffenen gehen. So könne man Bewegungsprofile erstellen und die Daten durch ihre eindeutige Personenbeziehbarkeit problemlos mit anderen Daten, zum Beispiel aus sozialen Netzwerken, kombinieren.

Der europäische Gesetzgeber hat die enormen Risiken dieser Technik für die Privatsphäre erkannt und die Erhebung biometrischer Daten zur Identifizierung in der ab Mai 2018 geltenden Datenschutzgrundverordnung grundsätzlich verboten. Ausnahmen sind nur in engen Grenzen zulässig, z. B. wenn der Betroffene ausdrücklich eingewilligt hat oder wenn die Identifizierung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist. Auf letzteres können sich in erster Linie Sicherheitsbehörden z. B. bei der Verfolgung schwerer Straftaten stützen. Auch in diesen Fällen müssen aber der Wesensgehalt des Rechts auf Datenschutz gewahrt bleiben und angemessene und spezifische Maßnahmen zum Schutz der Grundrechte und -freiheiten der Betroffenen vorgesehen werden.

Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordern Verbesserungen beim Einsatz externer Dienstleister durch Berufsgeheimnisträger

20. März 2017

Wie der Bayerische Landesbeauftragte für den Datenschutz am 16.03.2017 mitteilte, fordert die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder den Bundesgesetzgeber auf, den Einsatz von externen Dienstleistern durch Berufsgeheimnisträger datenschutzkonform und rechtssicher zu gestalten.

Berufsgeheimnisträger unterliegen auf Grund ihrer Berufsordnungen der Schweigepflicht. Dies dient dem Schutz der Vertrauensbasis, beispielsweise zwischen Anwalt und Mandant oder Arzt und Patient. Ein Verstoß gegen die Schweigepflicht bzw. eine unbefugte Offenbarung von Privatgeheimnissen wird nach § 203 Strafgesetzbuch (StGB) mit Geld- oder Freiheitsstrafe bestraft.

Kaum eine Anwaltskanzlei oder Arztpraxis kommt jedoch heut zu Tage ohne die Nutzung der modernen Technik aus. Gleichzeitig sind Berufsgeheimnisträger auf Hilfe hinsichtlich Support und Wartung ihrer Systeme durch externe Dienstleister angewiesen. Der Einsatz externer Dienstleister kann jedoch zu einer strafbaren unbefugten Offenbarung von Privatgeheimnissen führen.

Diesem Dilemma soll der Gesetzesentwurf der Bundesregierung „zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen“ entgegenwirken. Der Gesetzesentwurf sieht vor, dass in Fällen der Beauftragung mit der Datenverarbeitung oder Wartung durch einen Berufsgeheimnisträger auch der externe Dienstleister nach § 203 StGB verpflichtet ist.

Auch mit Blick auf die EU-Datenschutzgrundverordnung ist für die betroffenen Berufsgruppen wünschenswert, dass diese Problematik einheitlich gestaltet wird und die datenschutzrechtlichen mit den strafrechtlichen Regelungen übereinstimmen. Das weitere Gesetzgebungsverfahren bleibt daher abzuwarten.

Die E-Privacy-Verordnung

15. März 2017

Wir berichteten bereits Anfang des Jahres über den offiziellen Entwurf der E-Privacy-Verordnung. Dieser wurde am 10. Januar 2017 veröffentlicht. Nachdem er im November bereits geleakt wurde.

Die E-Privacy-Verordnung soll die EU-Datenschutzgrundverordnung (DSGVO) ab Mai 2018 ergänzen und parallel zu dieser in Kraft treten. Die Notwendigkeit einer ergänzenden Verordnung liegt darin, dass es in den verschiedenen Mitgliedsstaaten der EU unterschiedliche Regelungen gibt. Deutlich wird dies am Beispiel der Cookies. In Deutschland gilt die sogenannte Opt-Out Regelung, diese benötigt keine aktive Zustimmung des Nutzers, wohingegen in anderen Ländern die Opt-In Regelung genutzt wird. Bei Opt-In werden umfassende Informationen an den Nutzer heran getragen und es Bedarf einer aktiven Einverständniserlärung.

Die E-Privacy-Verordnung wird die E-Privacy-Richtlinie (RL 2002/58/EG) und die Cookie-Richtlinie (RL 2009/136/EG) ersetzen. Zweck der neuen Verordnung ist die Anpassung der elektronischen Kommunikation an das Schutzniveau der DSGVO, zudem soll das Vertrauen der Bürger in den digitalen Binnenmarkt gestärkt werden.

Die neue Verordnung ist, ähnlich wie die DSGVO, nicht abschließend, sondern enthält Öffnungsklauseln. Demnach steht dem nationalen Gesetzgeber Spielraum für Regelungen zur Verfügung.

Die E-Privacy-Verordnung erweitert den sachlichen Anwendungsbereich deutlich. Es sind nunmehr nicht mehr nur die klassischen Telekommunikationsanbieter von der Verordnung erfasst, sondern auch die sogenannten „Over-The-Top-Dienste“ (OTT). Zu diesen zählen beispielsweise WhatsApp, Skype und Facebook.

Bemerkenswert sind auch die Neuerungen.

So wird bei Cookies in Zukunft differenziert zwischen Cookies die keine Auswirkung auf die Privatsphäre des Nutzers haben und solchen die für die Privatsphäre des Nutzers relevant sind. Erstere bedürfen keiner vorherigen Information und auch keiner Einwilligung des Nutzer. Letzere dürfen nur nach ausdrücklicher Zustimmung des Nutzer benutzt werden. Dies lässt sich über die, bereits aus der DSGVO bekannten, ‚benutzerfreundlichen Voreinstellungen‘ im Web-Browser realisieren. Dort kann der Nutzer die Zustimmung in allgemeiner Form für solche Arten von Cookies erteilen und muss diesen nicht bei jedem Besuch auf einer Website separat zustimmen. Die Betreiber von Web-Browsern sind folglich in der Pflicht die Browser so zu updaten, dass dem Nutzer eine solche Voreinstellung ab Mai 2018 zur Verfügung steht.

Auch das Direktmarketing wird erneuert. Sowohl via E-Mail als auch was das Telefonmarketing betrifft gilt ab in Kraft treten der Verordnung, dass Marketing nur noch nach vorheriger Einwilligung erlaubt ist. Eine Ausnahme betrifft die bereits bestehenden Kundenbeziehungen. Bei diesen darf solange weiter Marketing betrieben werden, bis der Kunde einen Widerspruch dagegen tätigt.

Betreiber von Websites, die sich über Werbung finanzieren, dürfte die folgende Neuerung freuen. Betreiber dürfen prüfen, ob der Nutzer einen Adblocker verwendet und wenn dem so ist, dürfen sie ihm den Zugang zur Website versagen.

Zudem wurden auch die Bußgelder erhöht. Diese wurden an die Höhe der Bußgelder in der DSGVO angepasst. Das bedeutet, dass bei Verstößen gegen die Verordnung demnächst Bußgelder bis 20.000.000,00€ oder bis zu 4% des weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres fällig werden können.

Es bleibt allerdings noch abzuwarten, ob die Verordnung in dieser Form auch wirklich im Mai 2018 in Kraft tritt, oder ob noch entscheidende Änderungen an dem Entwurf vorgenommen werden.

Deutliche Zunahme von gemeldeten Datenpannen

13. März 2017

Nach dem Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), der dieser Tage veröffentlich wurde, ist die Zahl der Meldungen zu „unrechtmäßiger Kenntniserlangung von Daten“ gemäß § 42a des Bundesdatenschutzgesetzes (BDSG) stark angestiegen. Während es im Jahr 2015 nur 28 Unternehmen waren, die zu einer solchen Meldung verpflichtet gewesen waren, lag die Zahl im Jahr 2016 bei 85, allein in Bayern.

Diese Vervielfachung läge vor allem am gesteigerten Bewusstsein der Unternehmen, Datenpannen mit einem erhöhten Risiko melden zu müssen, so der Präsident des Landesamtes, Thomas Kranig. § 42 a BDSG sieht vor, dass immer dann die Meldung einer Panne verpflichtend ist, wenn die Daten wie etwa Bank- und Gesundheitsdaten als besonders sensibel gelten und wenn den Betroffenen schwerwiegende Beeinträchtigungen drohen.

Nach der Europäischen Datenschutzgrundverordnung (DSGVO), die ab 25. Mai 2018 anzuwenden sein wird, wird das Ausmaß der Meldungen weiter zunehmen. Die Schwelle für die Meldepflicht von Datenpannen wird dann deutlich herabgesetzt sein. So muss künftig jede Datenschutzverletzung gemeldet werden, wenn sie „voraussichtlich zu einem Risiko“ für die Betroffenen führen kann (Artt. 33, 34 DSGVO). Auch der Zeitpunkt der Meldung wird gesetzlich festgelegt: Die Anzeige der Datenpanne muss künftig innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde stattfinden.

Bundesregierung einigt sich auf Gesetzesentwurf für Novellierung des BDSG

2. Februar 2017

Das Bundeskabinett hat sich auf einen Gesetzesentwurf einigen können, mit dem sie das Bundesdatenschutzgesetz an die EU-Datenschutzverordnung für die Wirtschaft und Teile des öffentlichen Sektors sowie die zugehörige Richtlinie für Justiz- und Sicherheitsbehörden anpassen will.

Während Bundesinnenminister Thomas de Maizère von einem „großen Schritt zur Angleichung der Datenschutzregelungen in Europa und damit zu einem harmonisierten digitalen Binnenmarkt“ sprach, steht das geplante Gesetz zur Umsetzung der EU-Datenschutz-Grundverordnung weiter in der Kritik von Datenschützern und Rechtsexperten.

Die Datenschutzbeauftragte Andrea Voßhoff (CDU) kritisierte, dass mit dem Gesetzesentwurf die Kontrollrechte der Datenschutzbehörden wie auch die Rechte von Betroffenen auf Auskunft und Widerspruch eingeschränkt würden und sieht daher noch zahlreichen Anpassungsbedarf. Die geplanten Regelungen beschränken so die Befugnisse ihrer Behörde.

Der Innenexperte der Grünen Jan-Philipp Albrecht beklagt, dass durch das geplante Gesetz einige Regelungen der EU-Datenschutzgrundverordnung „nicht sehr intelligent“ übertragen werden. Der Abschreckungseffekt der Verordnung durch vorgesehene Geldbußen von bis zu vier Prozent des Jahresumsatzes eines Konzerns ginge so zum Beispiel verloren. Er erwartet, dass das Gesetz rasch zur Überprüfung vorm Europäischen Gerichtshof landet, wenn der Entwurf ohne Änderungen verabschiedet würde.

Vor der Verabschiedung geht der Gesetzesentwurf nun zur weiteren Beratung in Bundesrat und Bundestag.

Neuer Entwurf zur ePrivacy-Verordnung der EU-Kommission

13. Januar 2017

In dieser Woche hat die EU-Kommission einen neuen Entwurf einer ePrivacy-Verordnung vorgelegt, mit dem sie auf Änderungsbedarf aufgrund der EU-Datenschutzgrundverordnung reagiert. Der Vorschlag sieht eine Reihe von Neuregelungen vor, die den Datenschutz der Internetnutzer bei Chat- und Voice-over-IP-Anwendungen sowie bezüglich Cookies und Werbung verbessern sollen.

Beispielsweise soll der Umgang mit Cookies vereinfacht werden: Künftig soll für solche Cookies, „die keine Gefährdung der Privatsphäre darstellen“, keine explizite Zustimmung der Nutzer mehr notwendig sein, hingegen dürfen Cookies von Drittanbietern (z. B. von Werbenetzwerken) nur nach Einwilligung des Nutzers aktiviert werden, erst einmal wären diese vom Browser künftig standardmäßig geblockt.

Endlich werden auch die moderneren Kommunikationsdienste wie WhatsApp und Skype unter die Neuregelungen fallen.

Grundsätzlich stieß der Entwurf auf ein positives Echo: So begrüßte der EU-Abgeordnete Jan Philipp Albrecht den Vorschlag, mit dem die Kommission die Reform des Datenschutzrechts aus seiner Sicht komplett mache.

Die Zustimmung von Parlament und Mitgliedsstaaten zum Verordnungsentwurf muss jedoch noch eingeholt werden.

1 2 3 4