12. Januar 2023
Mit einem Beschluss (Az. I ZR 222/19 und I ZR 223/19) vom 12. Januar 2023 hat der Bundesgerichtshof (BGH) entschieden, den Gerichtshof der Europäischen Union (EuGH) im Rahmen des Vorabentscheidungsverfahrens anzurufen. Der BGH möchte geklärt wissen, „(…) ob ein Apotheker, der auf einer Internet-Verkaufsplattform Arzneimittel vertreibt, gegen die für Gesundheitsdaten geltenden datenschutzrechtlichen Bestimmungen verstößt (…)“.
Hintergründe
Hintergrund des Verfahrens ist die Klage eines Apothekers gegen zwei weitere Apotheker. Die beiden beklagten Apotheker vertrieben, so der BGH, über die Internetplattform Amazon verschiedene apotheken- aber nicht verschreibungspflichtige Medikamente. Im Rahmen der erstinstanzlichen Klage habe der klagende Apotheker u.a. wissen wollen, ob die beklagten Apotheker mit dem Vorgehen gegen die Datenschutz-Grundverordnung (DSGVO) verstoßen.
Hinsichtlich der datenschutzrechtlichen Bestimmungen habe sich die Frage gestellt, ob die Beklagten im Rahmen des Bestellvorgangs personenbezogene Daten der Kunden verarbeiten. Dabei sei für den Bestellvorgang, neben dem Namen und der Lieferadresse, eine Information zur „(…) Individualisierung des bestellten apothekenpflichtigen Medikaments (…)“ notwendig. Bei diesen Informationen könne es sich um sog. Gesundheitsdaten, d.h. personenbezogene Daten besonderer Kategorie im Sinne des Art. 9 Abs. 1 DSGVO handeln. Der klagende Apotheker habe außerdem moniert, dass die Beklagten keine Einwilligung zur Datenverarbeitung eingeholt hätten.
Vorlagefragen
Der BGH legte fest, dass der EuGH hinsichtlich der datenschutzrechtlich relevanten Bestimmungen anzurufen sei. Insoweit sei es fraglich, ob der Beklagte mit dem Verkauf der Arzneimittel gegen die DSGVO verstoße.
Außerdem entschied der BGH, dass dem EuGH eine weitere Vorlagefrage vorgelegt werden müsse. Demnach möchte der BGH wissen, ob der in Frage stehende Verstoß gegen die DSGVO „(…) mit einer wettbewerbsrechtlichen Klage vor den Zivilgerichten verfolgt werden kann.“ Es sei dementsprechend zu klären, ob hinsichtlich Kapitel VIII DSGVO die Grundverordnung nationalen Regelungen vorgehe. Folglich sei es fraglich, ob dem Mitbewerber ein Klagerecht gegen den Konkurrenten zustehe.
10. Januar 2023
Am 10. Januar 2023 ist Chinas Richtlinie zur Regulierung von Deepfakes in Kraft getreten. Damit will die chinesische Regierung unter anderem Deepfakes ohne Einwilligung der betroffenen Person sowie Verleumdungen und Betrug verhindern.
Was sind Deepfakes?
Deepfakes (oder auch „deep systhesis“ Technologien) sind „realistisch wirkende Medieninhalte (Foto, Audio und Video), die durch Techniken der künstlichen Intelligenz abgeändert und verfälscht worden sind.“ Damit kann beispielsweise in einem Video ein Gesicht mit dem einer anderen Person ersetzt oder in einer Aufnahme eine Stimme ausgetauscht werden. Während die Technologie unzählige Möglichkeiten in der Kunst eröffnet, wird sie in vielen Fällen zu Betrugszwecken eingesetzt. Besonders problematisch sind Deepfakes, bei denen in pornografischen Inhalten das Gesicht der Darsteller ausgetauscht wird. Auch Politiker werden oft Opfer von Deepfakes, die beispielsweise ihre Reden abändern. Für die meisten Menschen ist es nicht erkennbar, wenn sie einen Deepfake-Inhalt vor sich haben.
China als Vorreiter im Kampf gegen den Missbrauch von Deepfake-Technologien?
Ziel der Richtlinie ist laut der Cyberspace Administration of China (CAC), „die Verwaltung von Internet-Informationsdiensten in einer tiefgreifenden Synthese zu stärken, die sozialistischen Grundwerte zu fördern, die nationale Sicherheit und die sozialen öffentlichen Interessen zu schützen und die legitimen Rechte und Interessen von Bürgern, juristischen Personen und anderen Organisationen zu wahren“. Dabei ist anzunehmen, dass sich China als Vorreiter in der Regulierung von Deepfake-Technologien positionieren möchte.
Kern der Regeln ist zunächst Transparenz. So muss die Einwilligung der Person eingeholt werden, die vom Deepfake betroffen ist, und es muss angegeben werden, dass der Inhalt durch Technologie geändert wurde. Zudem muss die Identität des Erstellers erkennbar sein. Dieser muss sich unter seinem echten Namen registrieren.
Allerdings stellt die neue Richtlinie auch Anforderungen an die erlaubten Inhalte. So sind Inhalte, die gegen bestehende Gesetze verstoßen, ebenso verboten wie solche, die nationale Sicherheit und Interessen gefährden, das nationale Image schädigen oder die Wirtschaft stören. Damit reiht sie sich in Chinas von Zensur geprägtes System ein.
Regulierung von Deepfakes in der EU
Die Vorreiterrolle hat China mit der Richtlinie insoweit angenommen, als es die Entwicklung der Technologie antizipiert und im Vergleich zum Rest der Welt frühzeitig reguliert hat. Die Europäische Union (EU) arbeitet derzeit an der KI-Verordnung, welche auch Deepfake-Technologien erfassen wird.
Seit dem 1. Januar 2021 können alle gesetzlich Versicherten eine elektronische Patientenakte (ePA) ihrer Krankenkassen erhalten. Darin befinden sich medizinische Befunde und Informationen aus vorhergehenden Untersuchungen und Behandlungen über Praxis- und Krankenhausgrenzen hinweg, die umfassend gespeichert werden können. Ähnlich wie bei der elektronischen Arbeitsunfähigkeitsbescheinigung (wir berichteten) stellen sich auch bei der ePA datenschutzrechtliche Fragen.
So steht der Bundesdatenschutzbeauftragter (BfDI) Ulrich Kelber der Umsetzung der ePA kritisch gegenüber: Ein solches Opt-out System sei in der DSGVO „grundsätzlich nicht angelegt“.
Diesen Informationen ist ein besonders hohes Schadens- und Diskriminierungspotenzial immanent mit der Folge, dass die ePA-Daten daher – sowohl bezüglich des „Ob“ als auch des „Wie“ der Verarbeitungsmodalitäten – äußerst strikten Vorgaben unterliegen.
Wer hat Zugriff auf die Daten
Ein bedeutender Aspekt ist die Frage der Zugriffsgestaltung auf die ePA. Dafür ist am 20. Oktober 2020 das Patientendaten-Schutz-Gesetz (PDSG) in Kraft getreten. Es enthält umfängliche Regelungen zur elektronischen Patientenakten. Mit dessen konkreten Ausgestaltungen zum Zugriffsmanagement – insbesondere für Versicherte, die kein geeignetes Endgerät besitzen oder nutzen wollen – verstößt es laut dem BfDI gegen die Datenschutz-Grundverordnung.
Umsetzung der ePA in vier Stufen geplant
Die Umsetzung des Berechtigungsmanagements soll in vier Stufen vorgenommen werden:
- Auf der ersten Stufe erhalten Patient*innen automatisch eine ePA.
- In der zweiten Stufe wird die digitale Akte sodann durch die Ärzte mit Informationen bestückt.
- Die dritte Stufe ermöglicht den behandelnden Mediziner*innen, die Akte einzusehen.
- Als letzte und vierte Stufe wird die Möglichkeit eröffnet, persönliche Gesundheitsdaten anonym zu Forschungszwecken zu spenden.
Offen ist allerdings noch, auf welcher Stufe Patienten der ePA widersprechen können.
Fazit
Das im PDSG normierte Zugriffsmanagement der ePA verstößt laut Kelber gegen die DSGVO und die Grundrechte der Versicherten. Der BfDI kommt so zu dem Schluss, dass eine Umsetzung der elektronischen Patientenakte ausschließlich nach den Vorgaben des nationalen Gesetzes europarechtswidrig sei.
5. Januar 2023
Nur kurze Zeit nach dem letzten Millionenbußgeld hat die irische Datenschutzbehörde Data Protection Commission (DPC) erneut gegen den Meta-Konzern Sanktionen verhängt. Der Gesamtbetrag von 390 Millionen Euro setzt sich aus Bußgeldern gegen Facebook (210 Millionen Euro) und Instagram (180 Millionen Euro) zusammen.
Rechtsgrundlage Vertrag statt Einwilligung?
Anstoß für die Untersuchung der DPC gaben die Beschwerden eines Österreichers und eines Belgiers am 25. Mai 2018, dem Tag des Inkrafttretens der Datenschutz-Grundverordnung (DSGVO). Nach einer Änderung der Nutzungsbedingungen sollten die personenbezogenen Nutzerdaten nicht mehr auf Basis einer Einwilligung, sondern auf vertraglicher Basis verarbeitet werden. Dazu zählte auch die Nutzung für personalisierte Werbung.
Meta argumentierte, dass mit der Annahme der aktualisierten Nutzungsbedingungen ein Vertrag mit dem Nutzer zustande gekommen sei. Die Verarbeitung der Nutzerdaten im Zusammenhang mit der Bereitstellung ihrer Facebook- und Instagram-Dienste sei für die Erfüllung dieses Vertrags, einschließlich der Bereitstellung personalisierter Dienste und verhaltensorientierter Werbung, erforderlich, sodass diese Verarbeitungen gemäß Artikel 6 Abs. 1 lit. b DSGVO (die „vertragliche“ Rechtsgrundlage für die Verarbeitung) rechtmäßig gewesen seien.
Dagegen vertraten die Beschwerdeführer die Meinung, dass Meta sich weiterhin auf die Einwilligung als Rechtsgrundlage berufe. Indem Meta den Zugang zu seinen Diensten von der Zustimmung der Nutzer zu den aktualisierten Nutzungsbedingungen abhängig mache, zwinge es sie faktisch dazu, der Verarbeitung ihrer personenbezogenen Daten für verhaltensbezogene Werbung und andere personalisierte Dienste zuzustimmen.
Jahrelange Entscheidungsfindung
In einem Beschlussentwurf vom Oktober 2021 hatte die DPC eine Geldbuße zwischen 28 und 36 Millionen Euro für angemessen erachtet. Meta habe demnach gegen seine Transparenzpflichten verstoßen, indem Nutzer nicht ausreichend über die Verarbeitungsprozesse informiert worden seien. Metas Vorgehen hinsichtlich der Rechtsgrundlage sei jedoch zulässig gewesen.
Die im Rahmen des Kooperations- und Kohärenzverfahrens beteiligten Datenschutzbehörden waren mit der Entscheidung der DPC nicht einverstanden, sodass schließlich der Europäische Datenschutzausschuss (EDSA) beteiligt wurde. Dieser widersprach der Rechtsauffassung der DPC. Er befand, dass Meta im Rahmen der personalisierten und verhaltensbezogenen Werbung nicht auf einen Vertrag als Rechtsgrundlage zurückgreifen könne.
Laut der Datenschutzorganisation noyb habe die DPC während des Verfahrens mit Meta eng zusammengearbeitet. Meta habe sogar argumentiert, dass die DPC das Vorgehen abgesegnet habe.
Wie geht es nun weiter?
Neben dem Bußgeld hat die DPC Meta dazu verpflichtet, innerhalb von drei Monaten nachzuweisen, dass die Verarbeitungstätigkeiten entsprechend der Vorgaben angepasst wurden. Wie diese Umsetzung aussehen soll, ist noch unklar. Voraussichtlich wird Meta gerichtlich dagegen vorgehen.
Darüber hinaus hat die DPC angekündigt, gegen den EDSA zu klagen. Dieser hatte ihr aufgetragen, eine weitere Untersuchung gegen Facebook und Instagram hinsichtlich der Verarbeitung besonderer Kategorien personenbezogener Daten einzuleiten. Der EDSB habe keine allgemeine Aufsichtsfunktion, die mit der der nationalen Gerichte in Bezug auf nationale unabhängige Behörden vergleichbar sei. Es stehe dem EDSB nicht frei, eine Behörde anzuweisen, unbefristete und spekulative Untersuchungen durchzuführen.
3. Januar 2023
Der Digitalverband Bitkom veröffentlichte zu Jahresbeginn die Ergebnisse einer repräsentativen Umfrage zu Erfahrungen mit Cyberkriminalität. Befragt wurden in Deutschland 1.014 Personen ab 16 Jahren, die das Internet nutzen.
Drei von vier Internetnutzerinnen und -nutzern 2022 betroffen
Nach den Ergebnissen der Umfrage waren drei von vier der Befragten (75 Prozent) 2022 von Cyberkriminalität betroffen. Die Ergebnisse folgen dem Trend der letzten Jahre. Während 2019 noch 40 Prozent nicht von Cyberkriminalität betroffen waren, waren es 2020 nur noch 34 Prozent. 2021 waren es mit 21 Prozent dann fast genauso viele wie 2022 mit 22 Prozent.
Erfragt wurden beispielsweise Erfahrungen mit Schadsoftware, Betrug beim Online-Shopping oder auch Beleidigungen in sozialen Netzwerken. Bei der Hälfte der Befragten waren persönliche Daten ungefragt weitergegeben worden. Auch der Betrug beim Online-Einkauf oder Online-Banking sowie die Infizierung mit Schadprogrammen trat häufig auf. Bei drei Prozent fand sogar ein Identitätsdiebstahl statt. Bei den Delikten im Rahmen der Interaktion mit anderen Usern fielen insbesondere Beleidigungen und sexuelle Belästigungen auf. Dabei waren Frauen mehr als doppelt so oft betroffen wie Männer.
Ignorieren statt reagieren
Kaum einer der Befragten gab an, auf Forderungen eingegangen zu sein. Vielfach (ca. ein Drittel) entschieden sie sich dafür, auf den Vorfall nicht zu reagieren. Rund die Hälfte suchte das Gespräch mit Freunden und Bekannten. In etwa genauso viele suchten Kontakt mit dem Unternehmen, beispielsweise der Social-Media-Plattform, der Bank oder dem E-Mail-Anbieter. Einige löschten auch ihren Account oder kündigten diesen.
Mehr Polizeieinsatz gegen Cyberkriminalität
Während nur ein knappes Fünftel den Weg der Strafanzeige bei der Polizei wählte, fand sich ein breiter Konsens für einen stärkeren Einsatz der Polizei gegen Cyberkriminalität. So forderten 97 Prozent eine bessere Finanzierung spezieller Polizeieinheiten. 93 Prozent wünschten sich eine stärkere Polizeipräsenz im digitalen Raum. Dagegen fanden nur sieben Prozent die öffentliche Debatte zur Cyberkriminalität übertrieben.
Sicherheitsmaßnahmen und gesunder Menschenverstand
Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder sprach sich dafür aus, dass jeder entsprechende Sicherheitsmaßnahmen treffen müsse. Man müsse damit rechnen, im Internet auf Cyberkriminelle zu treffen. Daher sei es beispielsweise erforderlich, sichere Passwörter zu nutzen, Virenschutzsoftware zu nutzen oder auch persönliche Informationen nur sparsam weiterzugeben. Dazu helfe auch „gesunder Menschenverstand gegen Cyberkriminelle“, so Rohleder. „Wie in der analogen Welt gilt auch im Digitalen: Sind Angebote zum Beispiel von Online-Shops einfach zu gut, um wahr zu sein, sollte man die Finger weglassen. Und wer online von entfernten Verwandten oder Bekannten um Geld gebeten wird, sollte prüfen, ob es sich dabei wirklich um die vorgeblichen Personen handelt“.
2. Januar 2023
Die dänische Aufsichtsbehörde hat am 20.5.2022 einen Fall zu der Frage, ob ein Auskunftsanspruch durch einen Auftragsverarbeiter erfüllt werden muss, entschieden.
Über den Sachverhalt
Der Betroffene hatte auf eBay einen Artikel bei dem Unternehmen Asus gekauft und im Rahmen des Kaufs seine E-Mail-Adresse angegeben. Danach erhielt er eine E-Mail von noreply.invitations@trustpilot.com, in der der Asus Online Shop als Absender angegeben war und in der er gebeten wurde, das Kauferlebnis bei Asus auf Trustpilot zu bewerten. Der Betroffene kontaktierte daraufhin Trustpilot von einer anderen E-Mail-Adresse und bat um Auskunft über eventuell verarbeitete personenbezogene Daten. Trustpilot antwortete und teilte mit, dass kein aktiver Nutzer für die E-Mail gefunden werden konnte und daher keine Daten über den Betroffenen verarbeitet wurden. Der Betroffene erhielt danach erneut eine E-Mail von Trustpilot im Namen des Asus Online Shops. Der Shop bat ihn darin, den Einkauf bei Asus zu bewerten. Der Betroffene beschwerte sich deswegen bei der bayerischen Behörde (BayLDA). Das BayLDA leitete die Beschwerde an die Berliner und diese an die dänische Aufsichtsbehörde weiter.
Die Entscheidung der Behörde
Als die für Trustpilot zuständige Datenschutzbehörde hat sie also darüber entscheiden müssen, ob Trutspilot nach Art. 15 DSGVO verpflichtet war, die Auskunft zu erteilen.
In der Begründung der dänischen Behörde geht hervor, dass allein der für die Verarbeitung Verantwortliche nach Art. 15 DSGVO zur Auskunft an den Betroffenen verpflichtet.
„Da gemäß den Artikeln 12 und 15 nicht der Auftragsverarbeiter, sondern der Verantwortliche verantwortlich ist, einen Antrag auf Auskunft zu bearbeiten und zu beantworten, ist die dänische Datenschutzbehörde der Ansicht, dass Trustpilot nicht gegen diese Bestimmungen verstoßen hat.“
Unterstützungspflicht des Auftragsverarbeiter
Jedoch ist Trustpilot nach Art. 28 Abs. 3 lit. e DSGVO verpflichtet, den Verantwortlichen bei seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannte Rechte der betroffenen Person zu unterstützen.
Außerdem hat der Betroffene im Rahmen seiner Anfrage auch seinen Namen und seine postalische Adresse angegeben hatte. Deswegen kritisierte die dänische Datenschutzbehörde, dass Trustpilot keine einheitliche Vorgehensweise bei der Suche nach relevanten Informationen, einschließlich des Namens und der Adresse, die der Betroffene im Zusammenhang mit seiner Anfrage übermittelt hat, umgesetzt hat. Trustpilot war offenbar nicht in der Lage, nach dem Namen und der Adresse zu suchen und einen Vergleich durchzuführen. Dadurch hätte Trustpilot die Möglichkeit gehabt, die betroffene Person zu identifizieren und, als Auftragsverarbeiter, den Verantwortlichen in dem vereinbarten Umfang bei der Verarbeitung zu unterstützen. Die dänische Behörde hat dies jedoch nur als Hinweis an Trustpilot gegeben und das Verfahren eingestellt.
Fazit
In der Begründung empfiehlt die Aufsichtsbehörde, dass Trustpilot zusätzliche Daten (Name und Adresse) als Auftragsverarbeiter erhalten soll, die für die eigene Leistung nicht unbedingt erforderlich sind, aber für Betroffenenanfragen relevant sein könnten. Diese Empfehlung mag aus Sicht der Erleichterung von Betroffenenanfragen zwar sinnvoll sein, doch ist der Verantwortliche (für den Trustpilot als Auftragsverarbeiter auch bei Betroffenenanfragen unterstützen muss) laut Art. 11 DSGVO nicht verpflichtet, zusätzliche personenbezogene Daten zu verarbeiten, nur um Betroffenenrechte zu erfüllen. Zu beachten ist, dass die erforderlichen Daten (Name und Adresse) bereits beim Verantwortlichen vorliegen. Eine mögliche Alternative könnte sein, dass Trustpilot die Anfrage des Betroffenen (inklusive der unbekannten E-Mail-Adresse) direkt an den Verantwortlichen weiterleitet.
28. Dezember 2022
Kurz nach Weihnachten, am 27. Dezember 2022 wurde eine neue Richtlinie zu „Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union“ (im Folgenden: „Cybersicherheits-Richtlinie“ oder „Richtlinie“) veröffentlicht. Ziel dieser neuen Richtlinie ist der „Aufbau von Cybersicherheitskapazitäten“ und die „Eindämmung von Bedrohungen für Netz- und Informationssysteme[n]“.
Die Adressaten der neuen Regelungen
Die neue Richtlinie 2022/2555 zu Maßnahmen im Bereich der Cybersicherheit ersetzt die bisherige Richtlinie 2016/1148 „über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“. Die neue Cybersicherheits-Richtlinie betrifft im Vergleich mehr Unternehmen. Zu den Adressaten zählen Unternehmen verschiedener Sektoren. Die Richtlinie erfasst Unternehmen des Gesundheitswesens wie Unternehmen der digitalen Infrastruktur und u.a. Unternehmen des verarbeitenden Gewerbes. Die neuen Regelungen betreffen dabei sog. mittlere Unternehmen. Es handelt sich um Betriebe, die mehr als 50 Mitarbeiter beschäftigen und einen Jahresumsatz von mehr als 10. Millionen Euro erzielen.
Grundsätzlich muss die Cybersicherheits-Richtlinie von den Mitgliedstaaten der europäischen Union bis Oktober 2024 umgesetzt werden. Dann müssen die adressierten Unternehmen damit rechnen, dass die neuen Verpflichtungen wirksam werden.
Risikomanagement
Im Wesentlichen sind die betroffenen Unternehmen nach Art. 21 der Richtlinie dazu verpflichtet „technische, operative und organisatorische Maßnahmen“ zu ergreifen. Diese Maßnahmen sollen vor Gefahren für die Sicherheit von Netz- und Informationssystemen schützen. Insoweit sollen die adressierten Unternehmen „gefahrenübergreifende“ Maßnahmen implementieren, deren Ziel der Schutz der Netz- und Informationssystemen und ihrer Umwelt sind. Demnach ist u.a. die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs zu beachten.
Außerdem sind die adressierten Unternehmen nach Art. 23 der Richtlinie 2022/2555 dazu verpflichtet unverzüglich die zuständigen Behörden über einen Sicherheitsvorfall zu unterrichten. Zusätzlich müssen sie die Empfänger ihrer Dienstleistungen über einen solchen Vorfall informieren.
Effektive Durchsetzung
Darüber hinaus erhalten die zuständigen Behörden weitreichende Befugnisse, um eine effektive Durchsetzung der Cybersicherheits-Richtlinie zu garantieren. Mithin können die zuständigen Behörden u.a. die Unternehmen vor Ort kontrollieren und gezielte Sicherheitsprüfungen vornehmen. Zusätzlich legt die Richtlinie neue Bußgelder fest. Demnach können Geldbußen mit einem Höchstbetrag von mindestens 10 Mil. Euro oder von mindestens 2% des globalen Jahresumsatzes verhängt werden.
Bessere Cybersicherheit
Insgesamt hat die europäische Union das Ziel, die Cybersicherheit im Binnenmarkt zu stärken. Folglich veröffentliche die europäische Kommission am 22. September 2022 einen Entwurf zum sog. „Cyber Resilience Act“. Dieser soll Vorgaben zur Cybersicherheit für Produkte mit digitalem Element schaffen.
27. Dezember 2022
Die irische Datenschutzbehörde Data Protection Commissioner (DPC) hat nach eigenen Angaben Untersuchungen gegen Twitter eingeleitet. Hintergrund ist ein Datenleck des Social Media-Konzerns, bei dem mehrere gesammelte Datensätze mit personenbezogenen Daten von Twitter-Nutzern im Internet zur Verfügung gestellt worden waren. Es sollen dabei weltweit ca. 5,4 Millionen Nutzer betroffen gewesen sein.
Twitter-IDs, E-Mail-Adressen und Telefonnummern betroffen
Das Datenleck war im Januar 2022 bekannt und dann innerhalb von fünf Tagen von Twitter geschlossen worden. In den Datensätzen sollen Twitter-IDs, E-Mail-Adressen sowie Telefonnummern den betroffenen Personen zugeordnet worden sein. Diese Datensätze wurden in Hacking-Plattformen zum Kauf angeboten.
Womöglich ist die Zahl an Betroffenen sogar noch größer als geschätzt. Laut dem israelischen Sicherheitsforscher Alon Gral sollen sogar Daten von 400 Millionen Twitter-Konten aus einem Datenleck – möglicherweise aus demselben Leck – Elon Musk direkt zum Kauf angeboten worden sein. Daraus angebotene Probedatensätze enthielten die Daten prominenter Personen.
Austausch zwischen DPC und Twitter
Auch wenn Twitter die genauen Zahlen der Betroffenen nicht bestätigt hat, hat das Unternehmen den Vorfall der DPC gemeldet, welche die für Twitter zuständige Datenschutzbehörde ist. In der nachfolgenden Korrespondenz ergab sich für die DPC der Eindruck, dass eine oder mehrere Bestimmungen der Datenschutzgrundverordnung (DSGVO) verletzt worden sein könnten. Bereits im November hatte die Vorsitzende der DPC, Helen Dixon, im Interview mit POLITICO Bedenken hinsichtlich Twitters Datenschutzpraxis ausgedrückt.
DPC als Aufsichtsbehörde der Tech-Giganten
Die DPC ist neben Twitter auch für Tech-Giganten wie Google und Facebook zuständig. Diese haben ihre Niederlassungen in Irland und unterfallen damit regelmäßig dem Zuständigkeitsbereich der irischen Datenschutzaufsicht. Aus diesem Grund hat die DPC Twitter 2021 eine Geldbuße von 450.000 Euro auferlegt. Zuletzt war eine massive Geldbuße gegen Meta erfolgt.
Wenn sich der Vorwurf im Untersuchungsverfahren bestätigt, ist angesichts der hohen Sanktionsmöglichkeiten seitens der DPC erneut ein empfindliches Bußgeld zu erwarten. Die DSGVO ermöglicht in Art. 83 Sanktionen von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres.
23. Dezember 2022
Das Bundesjustizministerium hat die Handelsregisterverordnung (HRV) angepasst, die Änderungen treten heute in Kraft. Ziel sei ein besserer Schutz personenbezogener Daten im digitalen Handelsregister.
Hintergrund
Das Handelsregisterportal wird von den Ländern betrieben. Die HRV ist der einzige Bereich, in dem das Bundesjustizministerium selbst als Verordnungsgeber tätig werden kann. Unter der Web-Adresse „handelsregister.de“ ließen sich seit dem 1. August dieses Jahres sämtliche Einträge im Handels-, Genossenschafts-, Partnerschafts- und Vereinsregister per Webformular abrufen. Die für die Allgemeinheit ohne Registrierung zugänglichen Dokumente enthielten oft sensible persönliche Daten wie Adressen, Geburtsdaten, Bankverbindungen oder auch Unterschriften.
Nach einer Gesetzesänderung zur Umsetzung der EU-Digitalisierungsrichtlinie waren teilweise Dokumente mit sensiblen personenbezogenen Daten übers Internet frei abrufbar. Das Ministerium reagierte nun auf Kritik von Datenschützern und passte die HRV an, um die Informationen in dem Online-Verzeichnis besser zu schützen.
Änderungen in der Handelsregisterverordnung
§ 9 HRV führt nun aus, dass in das digitale Handelsregister nur Unterlagen aufgenommen werden sollen, die aufgrund besonderer Rechtsvorschriften zwingend einzureichen seien, also beispielsweise keine Ausweiskopien. Gleichzeitig wird klargestellt, dass Erbscheine, Erbverträge, öffentliche Testamente und andere nach § 12 Abs. 1 Satz 5 HGB hinterlegte Urkunden nicht in das Register aufgenommen werden sollen. Die Einsicht in diese Dokumente sei für den Rechtsverkehr nicht notwendig.
Darüber hinaus regelt der neue Absatz 7 des § 9 HRV die Möglichkeit des Austauschs von Dokumenten. Wenn das ursprünglich eingereichte Dokument Teilinformationen enthalte, die nicht zum Registerordner gehörten, könne die betroffene Person ein neues Dokument ohne die fraglichen Informationen einreichen. So könne das neue Dokument gegen das alte Dokument ausgetauscht und das alte Dokument gesperrt werden.
Prozess noch nicht abgeschlossen
Des Weiteren stehe das Bundesministerium der Justiz im Austausch mit den Justizbehörden der Länder und der Bundesnotarkammer, um so weitere Verbesserungen im Datenschutz voranzutreiben. Auch suche man weiterhin nach technischen Lösungen zur Bearbeitung von bereits eingestellten Daten.
Welche Gelegenheit eignet sich besser als die besinnlichen letzten Tage im Jahr, um sich für all das Gute in diesem Jahr zu bedanken?
Wir sagen Mandanten, Kollegen und Freunden von Herzen Danke für die Treue und das Vertrauen, die ihr uns auch in diesem Jahr wieder geschenkt habt, sowie die angenehme und erfolgreiche Zusammenarbeit.
Wir wünschen euch ein frohes und besinnliches Weihnachtsfest sowie einen guten Start in ein gesundes, erfolgreiches und glückliches neues Jahr. Euer Team von datenschutzticker.de.
Pages: 1 2 ... 22 23 24 25 26 ... 275 276 
