Kategorie: Internationaler Datenschutz/Konzerndatenschutz

Brexit: Tag(e) der Entscheidung(en)

12. März 2019

Kurz vor den entscheidenden Tagen zur Abstimmung über die Umstände und gegebenenfalls eine Verschiebung des Brexits hat sich Theresa May gestern Abend nochmals mit Jean-Claude Juncker in Straßburg getroffen. Dabei wurde sich, als Ergänzung zum vormaligen Brexit-Abkommen, auf ein „Klarstellungen und rechtliche Garantien“ zur Auffanglösung für Nordirland geeinigt.

Großbritannien soll hierbei die Möglichkeit erhalten, ein Schiedsgericht anzurufen, für den Fall, dass die EU über 2020 hinaus Großbritannien mittels Backstop-Klausel gewissermaßen an die Zollunion „ketten“ sollte. Dieses „rechtlich verbindliche Instrument“, wie es Juncker nennt, soll verdeutlichen, dass die Backstop-Klausel zur irischen Grenze nicht als Dauerlösung angesehen wird. Im Übrigen soll dies auch in einer gemeinsamen politischen Erklärung über die künftigen Beziehungen beider Seiten bekräftigt werden. Die Formulierung der ergänzenden Regelung ist juristisch jedoch schwammig und lässt Raum für Interpretation.

May ist dennoch zuversichtlich die Zustimmung des britischen Parlaments für das „neue“ Abkommen, über das heute Abend abgestimmt werden soll, zu erhalten. Jeremy Corbyn, der Chef der Labour Partei, hat unterdessen angekündigt und dazu aufgefordert auch gegen dieses Abkommen zu stimmen. Weitere Verhandlungen über Anpassungen der jetzigen Version des Austritts-Abkommens hat Juncker aber bereits abgelehnt, und betont dass es keine „Dritte Chance“ geben werde. Bis zum 23. Mai, wenn die EU-Wahlen beginnen, müsse das Königreich die EU verlassen haben.

Die Entscheidungen über das „wie“ und „wann“ des Brexits fallen jedenfalls in den nächsten Tagen, beginnend mit dem heutigen Abend gegen 20 Uhr MEZ. Sollte es heute keine Zustimmung zum Abkommen geben, wird morgen über einen „no-deal“ Brexit zum 29. März (ab 30. März wäre Großbritannien dann ein Drittland im Sinne der DSGVO) abgestimmt. Kann auch hier keine Zustimmung erzielt werden, so wird am 14. März über eine Verschiebung des Austritts abgestimmt. Im Rahmen einer Verschiebung könnte es dann zu einem neuen Referendum kommen und somit der erneuten Entscheidung über die Frage des „ob“ hinsichtlich des Brexits.

Hackerangriff auf Parlament und Parteien in Australien

18. Februar 2019

Wie die australische Rundfunkgesellschaft ABC berichtet, sind neben dem Parlament in Australien drei große Parteien – namentlich die regierenden Parteien Liberal Party of Australia und die National Party of Australia sowie die stärkste Oppositionspartei Labor – Ziel eines Hackerangriffes geworden. Dies sei bei der Untersuchung eines Angriffes auf IT-Netzwerke des Parlaments am 08. Februar entdeckt worden. Den Berichten zufolge vermutet das, die Hackerangriffe untersuchende, Australian Cyber Securtiy Centre, dass lediglich ein fähiger staatlicher Akteur hinter dem Angriffsversuch stecken könne. Damit erinnert der Fall an den Hackerangriff auf den Bundestag 2015, bei dem in der Folge der Ermittlung staatliche, russische Hacker als verantwortlich ausgemacht wurden.

Unklar scheint bisher noch, ob es im Rahmen der Angriffe zum Verlust von Daten gekommen sei. Mit Blick auf die dieses Jahr stattfindenden bundesweiten Wahlen gebe es bislang allerdings keine Hinweise auf den Versuch einer Wahlbeeinflussung.

Datenübermittlungen innerhalb eines Konzerns

7. Februar 2019

Die Datenschutz-Grundverordnung (DSGVO) kennt kein Konzernprivileg. Eine Übermittlung von personenbezogenen Daten von einem Konzernunternehmen an ein anderes bedarf einer Rechtsgrundlage wie jede andere Übermittlung an einen Dritten auch. Als Rechtsgrundlage kommen sämtliche Tatbestände des Art. 6 Abs. 1 DSGVO in Betracht.

Werden bestimmte Prozesse / Aufgaben in einem Konzernverbund zentral von einer Stelle wahrgenommen, wie bspw. die Verwaltung der Mitarbeiterdaten, kann in der Regel das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage herangezogen werden. Erwägungsgrund 48 bietet in Rahmen der nach Art. 6 Abs. 1 lit. f DSGVO durchzuführenden Interessenabwägung eine Hilfestellung. Er lautet:

„Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, die einer zentralen Stelle zugeordnet sind können ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln.“

Danach kann eine Übermittlung von personenbezogenen Daten innerhalb eines Konzernverbunds zur Verwaltungsoptimierung und -vereinfachung ein berechtigtes Interesse für einen Datenaustausch innerhalb des Konzerns darstellen.

Die Auslagerung von bestimmten Tätigkeiten auf eine Konzerngesellschaft in einem Konzernverbund stellt darüber hinaus eine Auftragsverarbeitung gemäß Art. 28 DSGVO dar. Es bedarf daher des Abschlusses eines Vertrages über eine Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO.

Auswirkungen des Brexit auf den Datenschutz

17. Januar 2019

Nachdem der von Premierministerin Theresa May vorgelegte Entwurf eines Vertrags zur Regelung des Brexit am 15. Januar durch eine deutliche Mehrheit der Parlamentarier abgelehnt wurde, rückt das Szenario eines ungeordneten Austritts des Vereinigten Königreichs aus der Europäischen Union wieder in greifbare Nähe. Neben vielfältigen wirtschaftlichen und europarechtlichen Fragestellungen besitzt der Brexit auch eine konkret datenschutzrechtliche Komponente.

Mit dem für den 29.03.2019 angekündigten Austritt des Vereinigten Königreichs aus der Europäischen Union ist das Vereinigte Königreich ohne entsprechende Übergangsregeln ab diesem Zeitpunkt als Drittland im Sinne der DSGVO anzusehen. Dies bestätigte auch Prof. Dr. Dieter Kugelmann, Landesdatenschutzbeauftragter für Rheinland-Pfalz: „Fakt ist, dass das Vereinigte Königreich nach Austritt aus der EU zu einem „Drittland“ im Sinne der Datenschutzgrundverordnung wird“.

Da viele Unternehmen aktuell Kunden- oder Beschäftigtendaten in das Vereinigte Königreich übermitteln und dort ansässige Rechenzentren zu den eigenen Dienstleistern zählen, ergibt sich nach der Datenschutzgrundverordnung durch den Brexit Anpassungsbedarf. Unternehmen mit Vertragspartnern im Vereinigten Königreich müssen im Falle eines Datentransfers sicherstellen, dass es auch nach dem Brexit noch eine hinreichende Rechtsgrundlage für die entsprechenden Datenübermittlungen gibt. Weiterhin sind die Informationspflichten nach Artt. 13, 14 Datenschutzgrundverordnung bezüglich eines Datentransfers in ein Drittland zu ergänzen. Gleiches gilt für Datenschutzerklärungen im Internet. Im Falle eines Auskunftsersuchens einer betroffenen Person ist diese nach Art. 15 Datenschutzgrundverordnung auch über den Datentransfer in ein Drittland zu unterrichten. Darüber hinaus dürften bei Datenübermittlungen in das Vereinigte Königreich als Drittland vielfach die Verzeichnisse von Verarbeitungstätigkeiten nach Art. 30 Datenschutzgrundverordnung anzupassen sein. Gegebenenfalls ist nach dem Brexit auch das Durchführen von Datenschutzfolgenabschätzungen notwendig.

Es empfiehlt sich, dass sich Unternehmen, die personenbezogene Daten in das Vereinigte Königreich übermitteln, bereits jetzt auf entsprechende Anpassungen und Änderungen vorbereiten, um weiterhin eine rechtlich konforme Datenverarbeitung gewährleisten zu können. Da die Datenschutzgrundverordnung kein Konzernprivileg kennt, gelten die zuvor dargestellten Anmerkungen prinzipiell auch für Datenströme innerhalb einer Konzerngruppe.

Datenschutzbeauftragter als Syndikusrechtsanwalt?

7. Januar 2019

Eine Anstellung eines Rechtsanwalts in einem nicht anwaltlichen Unternehmen bedeutet nicht gleichzeitig, dass es sich hierbei um eine Anstellung als Syndikusanwalt handelt. Eine solche liegt nur vor, wenn der Anwalt den Arbeitgeber in ureigenen Rechtssachen anwaltlich betreut.

Der Senat für Anwaltssachen des Bundesgerichtshofs (BGH) hat in seiner Entscheidung vom 15.10.2018 (AnwZ (BrfG) 20/18) klargestellt, dass die Tätigkeit eines internen Datenschutzbeauftragten grundsätzlich, je nach den Umständen des Einzelfalls, die für eine Zulassung als Syndikusrechtsanwalt erforderlichen Tätigkeitsmerkmale des § 46 Abs. 3 Nr. 1-4 BRAO erfüllen könne und das Anstellungsverhältnis des internen Datenschutzbeauftragten von diesen Merkmalen geprägt sein könne. Dies gelte erst recht seit Inkrafttreten der DSGVO, da die Rolle des Datenschutzbeauftragten hierdurch nicht nur mehr Bedeutung, sondern dieser auch eine erhöhte rechtliche Verantwortung gewonnen habe.

Zuvor hatte der Anwaltsgerichtshof entschieden, dass es sich bei der Tätigkeit einer Datenschutzbeauftragen nicht um eine anwaltliche Tätigkeit handele. Auch der BGH hatte am 02.07.2018 (AnwZ (Bfrg) 49/17) entschieden, dass es sich bei einer externen Datenschutzbeauftragten nicht um eine anwaltliche Beraterin im Sinne der Rechtsangelegenheiten des Arbeitgebers handele. Die Datenschutzbeauftragte wurde insbesondere für Kunden ihres Arbeitgebers bestellt und auch intensiv tätig. Der BGH begründete seine Entscheidung damit, dass sie zwar Kunden beraten würde, nicht aber ihren Arbeitgeber.

Bundesdatenschutzbeauftragte zieht nach einem halben Jahr DSGVO Bilanz

17. Dezember 2018

„Bedenkt man unsere eingeschränkte Zuständigkeit, sind beachtliche Zahlen an Eingaben und Beschwerden zu Datenschutzverstößen im ersten Halbjahr eingegangen“, sagte die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI), Andrea Voßhoff (CDU).

Seit dem 25. Mai 2018 wurden bundesweit bis Anfang September 11.000 Beschwerden gezählt, davon 6.100 Datenschutzverstöße. Im Vergleich dazu waren es EU-weit (lediglich) 55.000 Beschwerden und knapp 18.900 Meldungen von Datenschutzverletzungen.

Bis Ende Oktober sind laut Voßhoff in dem von ihr geführten Haus rund 3.700 Eingaben eingegangen – sowohl allgemeine, als auch Beschwerden über Verletzungen des Datenschutzes sowie 4.667 Meldungen mit Datenschutzverstößen.

Ob diese Zahlen nun das steigende Bewusstsein der Bürger in Punkto Datenschutz widerspiegeln oder lediglich die Aktivitäten von Abmahnanwälten offenlegen, bleibt unbeantwortet.

Neues DSGVO-Umsetzungsgesetz in Spanien – Meldepflicht auch in Ihrem Konzern?

12. Dezember 2018

Am 6. Dezember 2018 wurde ein neues spanisches Datenschutzgesetz veröffentlicht. Das „Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales“ (Gesetz zum Datenschutz und zur Gewährleistung digitaler Rechte) wurde mit 93% parlamentarischer Unterstützung verabschiedet und setzt die Datenschutz-Grundverordnung (DSGVO) in nationales spanisches Recht um.

Das Gesetz enthält eine Reihe von Vorschriften, welche die Datenverarbeitung im Betrieb betreffen. So reicht beispielsweise die Zustimmung einer betroffenen Person nicht aus, um die Verarbeitung besonderer Datenkategorien zu legitimieren, wenn der Hauptzweck z.B. darin besteht, die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit oder genetische Daten einer Person zu ermitteln.

Das Gesetz enthält auch eine Liste von Fällen, in denen Unternehmen einen Datenschutzbeauftragten benennen müssen, z.B. Unternehmen, die Netzwerke betreiben und elektronische Kommunikationsdienste erbringen, Bildungszentren sowie öffentliche und private Universitäten.

Bitte beachten Sie:

Alle Unternehmen haben bis zu 10 Tage nach (obligatorischer oder freiwilliger) Ernennung eines Datenschutzbeauftragten Zeit, um die spanische Datenschutz-Aufsichtsbehörde über die Person des Datenschutzbeauftragten sowie dessen Erreichbarkeit zu informieren. Konzerne mit in Spanien niedergelassenen Unternehmen sollten diese kurzfristige Meldepflicht berücksichtigen.
Für bereits bestehende Ernennungen des Beauftragten dürfte die 10-tägige Frist seit Veröffentlichung des Gesetzes am 6. Dezember laufen.

Eine der größten inhaltlichen Neuerungen ist wohl die Einführung neuer digitaler Rechte wie das Recht auf universellen Zugang zum Internet, das Recht auf digitale Bildung, das Recht auf Privatsphäre und Nutzung digitaler Geräte am Arbeitsplatz, das Recht auf Privatsphäre vor Videoüberwachungsgeräten und Tonaufnahmen am Arbeitsplatz sowie Regelungen zum digitalen Nachlass („derecho al testamento digital“).

Hacker erbeuten bis zu 500 Millionen Daten

4. Dezember 2018

Angriffe von Hackern auf IT-Systeme dienen oftmals der Erlangung personenbezogener Daten. Von besonderem Interesse und Wert sind dabei vor allem auch Kreditkarteninformationen. Nun wurde bekannt, dass der Marriott-Konzern, eine der weltweit größten Hotelketten, Opfer groß angelegter Cyberattacken wurde. Das Unternehmen gab bekannt, dass persönliche Daten von möglicherweise bis zu 500 Millionen Gästen gestohlen wurden. Im Mittelpunkt der Cyberattacken stand dabei die Tochtermarke Starwood, die von Marriott im Jahr 2016 für rund 13,6 Milliarden Dollar gekauft wurde. Zu  Starwood gehören unter anderem die Hotels Westin, St. Regis, Le Méridien und W Hotels. Nun wurde bekannt, dass die von den Starwood Hotels eingesetzte Datenbank zum Management von Gästereservierungen seit 2014 regelmäßig von Hackerangriffen betroffen war. Bei diesen Attacken wurden unter anderem Namen, Geburtsdaten, Passinformationen, E-Mail – Adressen und die Aufenthaltszeiträume von Hotelgästen entwendet. Darüber hinaus konnten die Hacker wohl auch von einigen Hotelgästen die in der Datenbank hinterlegten Kreditkarteninformationen, samt den zur Entschlüsselung notwendigen Daten, erlangen. Nachdem die Angriffe dem Marriott-Konzern intern bekannt wurden, wurden die zuständigen Ermittlungsbehörden eingeschaltet. Weiterhin kündigte Marriott an, dass die von der Cyberattacke betroffenen Hotelgäste zeitnah per Mail hierüber informiert werden würden und das die IT-Systeme der Tochtermarke Starwood ausgemustert werden sollen. Das Bekanntwerden dieser Datenpanne führte dazu, dass der Kurs der Marriott-Aktie kurzfristig um bis zu 6 Prozent nachgab.

Niederländische Datenschützer erheben Vorwürfe gegen Microsoft

20. November 2018

Nach einem Bericht der britischen Zeitung „The Telegraph“, erheben Datenschutzexperten der niederländischen Firma „Privacy Company“ Vorwürfe gegen Microsoft, da sie auf Hinweise gestoßen seien, dass Microsoft mit Hilfe der Office-Anwendungen eine erhebliche Menge an personenbezogenen Daten abgefragt habe ohne dabei weder die Informationspflichten der DSGVO einzuhalten noch die Nutzer anderweitig über die Erhebung der Daten in Kenntnis zu setzen. Unter anderem seien Betreffzeilen aus E-Mails sowie inhaltliche Ausschnitte aus den betroffenen Mails erfasst worden. Das Ganze soll dabei automatisch abgelaufen sein, sobald der Nutzer die Rechtsschreibprüfungsfunktion benutzte. Microsoft behauptet derweil, die Datenerhebung erfolge zum Zwecke der Sicherheit und der Funktionsweise der Office-Anwendungen.

Tätig wurde die niederländische Firma im Auftrag des niederländischen Justizministeriums. Der Bericht über die Überprüfung wurde auf dem Blog der Firma veröffentlicht. Microsoft komme dem Bericht des Telegraph zufolge allerdings noch mit einer milden Strafe davon, da der us-amerikanische Konzern – so das niederländische Justizministerium – bereits im Oktober eingewilligt habe, die Office-Software datenschutzrechtlich zu überarbeiten. Die Änderungen sollen bis spätestens Mitte 2019 implementiert und abgeschlossen sein. Wie die Änderungen dann letztlich aussehen, bleibt daher vorher abzusehen.

 

Was sieht der Brexit-Deal im Hinblick auf Datenschutz vor?

16. November 2018

Nachdem sich die EU mit Großbritannien letztendlich auf einen Entwurfstext für ein Austrittsabkommen geeinigt haben, rückt der Austritt am 29. März 2019 immer näher. Demnach stellt sich die Frage wie sich der Datenschutz in Großbritannien gestalten wird.

EU und Großbritannien haben sich nun in 5 kurzen Artikeln verständigt, dass das europäische Datenschutzrecht während der Übergangsphase weiterhin im Wesentlichen gelten soll. In Artikel 71 (1) des Abkommens wird dabei zwischen den Daten, die bis zum Ablauf des Übereinkommens verarbeitet werden und solchen, die danach verarbeitet unterschieden. Bis zum Ende der Übergangsphase gilt weiterhin EU-Recht. In Artikel 71 (2) hat Großbritannien die Möglichkeit ein nationales Datenschutzgesetz zu beschließen und dafür einen Angemessenheitsbeschluss mit der EU auszuhandeln. Artikel 73 des Abkommens schreibt nieder, dass Daten aus Großbritannien wie Daten aus den Mitgliedsländern behandelt werden.

Spannend bleibt, ob dieses Übereinkommen überhaupt Wirkung entfalten wird, da das britische Parlament ein Strich durch diese Rechnung machen könnte.

Gesetzt den Fall es gäbe keinen Deal, würde es keinen Angemessenheitsbeschluss nach Art. 45 DSGVO geben. Großbritannien müsste demnach wie ein Drittland behandelt werden.

1 2 3 23