Schlagwort: Datenschutzgrundverordnung
6. August 2021
Am 10.Juni 2021 hat China ein neues Datensicherheitsgesetz verabschiedet, das sich auf alle Unternehmen auswirken wird, die in China tätig sind oder mit China Geschäfte betreiben. Das Gesetz, das am 1.September 2021 in Kraft treten wird, hat einen weitreichenden Geltungsbereich. Es legt umfangreiche Verpflichtungen für die Datenverarbeitung fest und sieht bei Verstößen potenziell schwere Strafen vor. Auch wenn viele Details der Umsetzung noch unklar sind, sollten Unternehmen mit globaler Geschäftspräsenz angesichts der umfangreichen Anforderungen des Gesetzes und der hohen Strafen bei Nichteinhaltung jetzt mit der Planung beginnen.
Obwohl noch keine offizielle englische Übersetzung vorliegt, ist jedoch mittlerweile bereits eine inoffizielle Übersetzung vorhanden. Das Datensicherheitsgesetz hat eine große Reichweite; es regelt nicht nur Datenverarbeitungsaktivitäten innerhalb Chinas, sondern auch solche außerhalb Chinas, die der nationalen Sicherheit oder dem öffentlichen Interesse Chinas schaden oder die rechtlichen Interessen eines chinesischen Bürgers oder einer chinesischen Organisation beeinträchtigen könnten.
Inhalt des Gesetzes
Das Gesetz sieht vor, dass die chinesische Zentralregierung ein hierarchisches Datenkategorisierungs- und -klassifizierungssystem einführt, das die Daten entsprechend ihrer Bedeutung für die chinesische Wirtschaft, die nationale Sicherheit sowie öffentliche und private Interessen regelt. Auf der Grundlage dieses Systems sowie eines detaillierten Katalogs “wichtiger Daten”, der auf nationaler Ebene formuliert wird, wird jede Region und jedes Ministerium in China einen eigenen Katalog “wichtiger Daten” herausgeben. Die Einzelheiten dieses Systems – einschließlich einer Definition des Begriffs “wichtige Daten”, die noch nicht in chinesischen Gesetzen oder Vorschriften enthalten ist – werden voraussichtlich in künftigen Durchführungsbestimmungen festgelegt.
Verpflichtungen für Unternehmen
Das Datensicherheitsgesetz erlegt Unternehmen und Einzelpersonen, die mit der Datenverarbeitung befasst sind, umfangreiche Pflichten auf. Zu diesen Verpflichtungen gehören zum einen die Einrichtung eines Managementsystems für die Datensicherheit, Ergreifung der erforderlichen Maßnahmen zur Gewährleistung der Datensicherheit und Durchführung von Schulungen zur Datensicherheit und zum anderen die Überwachung potenzieller Risiken und, im Falle der Entdeckung eines Sicherheitsvorfalls, die unverzügliche Benachrichtigung der Nutzer und Ergreifung von Abhilfemaßnahmen.
Je sensibler die zu verarbeitenden Daten sind, desto strenger sind die Datensicherheitsverpflichtungen eines Unternehmens. So müssen Unternehmen, die “wichtige Daten” verarbeiten, nicht nur strenge Verarbeitungsbeschränkungen für “nationale Kerndaten” einhalten, sondern auch einen Datensicherheitsbeauftragten benennen, eine Abteilung für Datensicherheitsmanagement einrichten, regelmäßige Bewertungen zur Überwachung potenzieller Risiken durchführen und die Ergebnisse an die zuständigen Regierungsbehörden melden.
Strafen
Diejenigen, die gegen ihre Verpflichtungen aus dem Datensicherheitsgesetz verstoßen, müssen mit schweren Strafen rechnen. Die chinesischen Behörden können gegen Unternehmen, die die Vorschriften nicht einhalten, Geldstrafen von bis zu 77.000 US-Dollar (500.000 Yuan) verhängen, den Verantwortlichen zusätzliche Geldstrafen auferlegen und Abhilfemaßnahmen anordnen.
Fazit
Viele der Anforderungen des Gesetzes scheinen anderen Datensicherheitsgesetzen zu entsprechen, insbesondere denen der Datenschutz-Grundverordnung (DSGVO). So verlangen beide im Allgemeinen, dass Unternehmen geeignete Maßnahmen zum Schutz der Datensicherheit ergreifen, die Nutzer im Falle eines Vorfalls benachrichtigen und verantwortliche Beauftragte benennen. In vielerlei Hinsicht sind die Anforderungen des Datensicherheitsgesetzes jedoch weitreichender als die der DSGVO. So regelt das neue chinesische Gesetz nicht nur die personenbezogenen Daten chinesischer Bürger, sondern auch Daten, die für die nationale Sicherheit und die Wirtschaft Chinas wichtig sind. Außerdem enthält es viel strengere Beschränkungen für die Datenübertragung als die DSGVO.
5. Juli 2021
Die Europäische Kommission hat am 28. Juni 2021 den Angemessenheitsbeschluss im Rahmen der Datenschutzgrundverordnung angenommen. Das Datenschutzniveau in Großbritannien wurde damit von der Kommission als angemessen für europäische Standards anerkannt und personenbezogene Daten können nun trotz Brexit ungehindert aus der Europäischen Union in das Vereinigte Königreich übermittelt werden.
Zur Begründung führte die Kommission aus, dass das Vereinigte Königkreich weiterhin auf den selben Regeln basiert, die galten als es noch Mitglied der EU war. Auch die Grundsätze, Rechte und Pflichten der DSGVO seien vollständig in das seit dem Brexit geltende Rechtssystem übernommen worden.
Im Vorfeld war der Angemessenheitsbeschluss häufig wegen des ungehinderten und unkontrollierten Zugriffs britischer Geheimdienste auf personenbezogene Daten in Kritik geraten. Zudem hatte der Europäische Gerichtshof für Menschenrechte (EGMR) im Mai erst ein Urteil erlassen, indem es die Massenüberwachung durch britische Geheimdienste als Verstoß gegen die Menschenrechte gewertet hatte. Auch dieser Kritik begegnete der Beschluss, indem er dem Vereinigten Königreich in Bezug auf den Zugriff auf personenbezogene Daten starke Garantien zusprach. Ein wichtiges Element des Beschlusses ist daher, dass insbesondere die Geheimdienste bei Datenerhebungen der vorherigen Genehmigung durch ein unabhängiges Rechtsorgan unterliegen. Ebenso, dass alle ergriffenen Maßnahmen notwendig und verhältnismäßig sein müssen.
Neu an dem Angemessenheitsbeschluss ist auch, dass dieser erstmals eine sog. Verfallsklausel (“sunset clause”) enthält, durch den die Geltungsdauer des Beschlusses auf vier Jahre begrenzt wird. Während dieser Zeit hat die Kommission angekündigt, dass Datenschutzniveau im Vereinigten Königreich ständig im Blick zu behalten und im Falle von Abweichungen entsprechend einzugreifen. Sollte nach Ablauf der vier Jahre weiterhin ein angemessenes Datenschutzniveu vorliegen, kann der Beschluss auch verlängert werden.
Durch den Angemessenheitsbeschluss hat die Europäische Kommission eine Rechtsgrundlage für Datenübermittlungen in das Vereinigte Königreich für die nächsten vier Jahre geschaffen. Sollte der Beschluss nicht zufrieden stimmen, sind Klagen gegen diesen – ähnlich wie dies mit dem Privacy-Shield im Schrems-II-Urteil geschah – möglich.
31. März 2021
Ein Verstoß gegen die Bestimmungen des 5. Kapitels der DSGVO (Art. 44 ff. DSGVO) liegt dann nicht vor, wenn personenbezogene Daten von Beschäftigten vor der Einführung der DSGVO am 25. Mai 2018 an eine Konzernmutter in ein Drittland (USA) übermittelt wurden. Auch ein Anspruch auf Schadensersatz gem. Art. 82 DSGVO im Zusammenhang mit der Datenübermittlung und weitergehenden Verarbeitung von personenbezogenen Daten an bzw. bei der Konzernmutter in den USA steht einem Beschäftigten nicht zu. Das hat das Landesarbeitsgericht (LArbG) Baden-Württemberg mit Urteil v. 25.02.2021, Az. 17 Sa 37/20 entschieden.
Wie wir bereits berichteten, stellt die Datenübermittlung in die USA seit dem Schrems-II-Urteil viele Unternehmen vor Herausforderungen. Eine Datenübermittlung in ein Drittland ist seitdem nur unter Einhaltung der in Kapitel 5 genannten Anforderungen der DSGVO zulässig, die in der Praxis aber nur selten vorliegen. Werden diese Anforderungen nicht eingehalten und erfolgt eine Datenübermittlung dennoch, liegt ein Verstoß gegen die Bestimmungen der DSGVO vor.
Dieser Verstoß kann zu einem Recht auf Schadensersatz nach Art. 82 DSGVO führen. Danach hat jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Nur wenn der Verantwortliche nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist, wird er von der Haftung befreit.
Sachverhalt
Einen solchen Schadensersatzanspruch hat der Kläger im vorliegenden Fall geltend gemacht. Diesen begründete er damit, dass er durch die im Jahr 2017 erfolgte Datenübermittlung seines Arbeitgebers an die Konzernmutter in den USA und wegen der dortigen Verarbeitung seiner Daten, einen immateriellen Schaden erlitten habe. Als Schaden machte er die Gefahr eines Missbrauchs der Daten durch die Ermittlungsbehörden in den USA oder andere Konzerngesellschaften bzw. einen Kontrollverlust geltend.
Die Entscheidung
Das Gericht erkannte in dem konreten Fall zwar an, dass solche Umstände grundsätzlich zur Begründung eines immateriellen Schadens im Sinne von Art. 82 DSGVO in Betracht kommen. Es verneinte eine Haftung des Arbeitgebers vorliegend jedoch, da es an einem konkreten Verstoß gegen die Bestimmungen der DSGVO fehlte. Insbesondere erfordere Art. 82 DSGVO, dass der Schaden “wegen eines Verstoßes” gegen die DSGVO entstanden ist, d.h. einem Verordnungsverstoß zugeordnet werden könne (Kausalität). Einen solchen Anknüpfungspunkt für den Schaden konnte das Gericht vorliegend aber nicht feststellen, da die Datenübermittlung in die USA stattgefunden hat, als die DSGVO noch nicht in Geltung war.
30. Juni 2020
Gegen einen Anspruch auf Datenkopie des Art. 15 Abs. 3 DSGVO eines Arbeitnehmers kann sich der Arbeitgeber wehren, wenn der dafür erforderliche Aufwand in groben Missverhältnis zum Leistungsinteresse steht. Das hat jedenfalls das AG Düsseldorf entschieden (noch nicht rechtskräftig).
Das Gericht gestand dem Arbeitnehmer einen Auskunftsanspruch im Grundsatz zu. Dazu führt es aus, dass die Auskunft vollständig und so konkret und detailliert sein muss, dass sich der Betroffene ein Bild davon machen kann welche Datenverarbeitungen zu welchen Zwecken erfolgen.
Der Arbeitgeber hat in der erteilten Auskunft pauschal erklärt, dass die Datenverarbeitung zum Zwecke des Beschäftigungsverhältnisses, namentlich zu dessen Abwicklung und Beendigung, zur Erfüllung bestehender rechtlicher Verpflichtungen und zur Wahrnehmung berechtigter Interessen nach § 26 BDSG bzw. Art. 6 Abs. 1 lit. b, c und f DSGVO erfolge. Diese Auskunft stelle keine konkrete und detaillierte Zwecksetzungen dar, so das Gericht. Verstärkt werde dies dadurch, dass der Arbeitgeber auf einen Anhang verwiesen hatte. Die Bezugnahme auf einen Anhang, erst recht wenn er Hunderte Seiten umfasst, ersetze keine Mitteilung in Form und Sprache gemäß Art. 12 Abs. 1 S. 1 DSGVO.
Besonders interessant sind die Ausführungen zum weiteren Klagebegehren des Arbeitnehmers – der Herausgabe einer Datenkopie. Das AG Düsseldorf folgert aus dem Grundsatz von Treu und Glauben nach Art. 8 Abs. 2 S. 1 GRCh und Art. 5 Abs. 1 lit. a DSGVO, der für die gesamte Datenverarbeitung gelte, dass dem Verantwortlichen per se kein unverhältnismäßiger Aufwand abverlangt werden könne. Der Aufwand, nach personenbezogenen Daten des Klägers in sämtlichen Servern, Datenbanken, Web-Anwendungen, E-Mail-Postfächern, Verzeichnisstrukturen, Speichermedien, Smartphones, Notebooks und diversen anderen Endgeräten der Beklagten nebst aller Vorgesetzten und Kollegen des Klägers zu suchen, um sie in Kopie herausgeben zu können, stehe in grobem Missverhältnis zum Leistungsinteresse des Arbeitnehmers.
Immer öfter beschäftigen sich Gerichte mit der Frage, wie weit der Auskunftsanspruch des Art. 15 DSGVO geht. Wir berichteten bereits über ein Urteil des LG Heidelberg. Hier wies das Gericht ein Auskunftsbegehren mit der Begründung ab, dass die Wiederherstellung und Aufbereitung der Daten aus einem Backup in dem konkreten Fall einen unverhältnismäßigen Aufwand darstellten. Es bleibt abzuwarten, ob zukünftige Rechtsprechung auf dieser Linie bleibt.
24. April 2020
Eine für Arbeitgeber interessante Entscheidung hat das Landgericht Heidelberg getroffen (Urteil vom 06.02.2020 – Az. 4 O 6/19). Der Kläger begehrte als betroffene Person gegenüber seinem ehemaligen Arbeitgeber, dem Verantwortlichen, Auskunft über alle ihn betreffenden personenbezogenen Daten. Hilfsweise begehrte er die Auskunft über die E-Mail-Korrespondenz in einem Zeitraum von rund 1,3 Jahren. Die betroffene Person war in diesem neun bis zehn Jahre zurückliegenden Zeitraum Vorstandsmitglied des Verantwortlichen. Der Verantwortliche hatte mittlerweile Insolvenz gemeldet und sämtliche Daten zu Backup-Zwecken an einen Dritten übergeben. Das Gericht lehnte den Auskunftsanspruch einer betroffenen Person ab. Die Wiederherstellung und Aufbereitung der Daten stellten in dem konkreten Fall einen unverhältnismäßigen Aufwand dar.
Präzisierung des Anspruchs
auf Auskunft bei umfangreicher Verarbeitung
In seinen Urteilsgründen stellt das Gericht zunächst klar, dass die betroffene Person gegen den Verantwortlichen aus Art. 15 DSGVO grundsätzlich einen umfassenden Auskunftsanspruch über die Verarbeitung ihrer personenbezogenen Daten hat. Allerdings gewährt Erwägungsgrund 63 S. 7 DSGVO Verantwortlichen eine Erleichterung, die eine große Menge von Informationen über die betroffene Person verarbeiten. In einem solchen Fall kann der Verantwortliche von der betroffenen Person verlangen, dass sie ihr Auskunftsersuchen auf bestimmte Informationen oder bestimmte Verarbeitungstätigkeiten präzisiert.
Den umfassenden Hauptantrag der betroffenen Person wies das
Gericht ab, weil sich der Anspruch auf alle personenbezogenen Daten bezog. Zu
dem Hilfsantrag, in dem die betroffene Person ihr Auskunftsbegehren auf die E-Mail-Korrespondent
in einem bestimmten Zeitraum konkretisierte, führte das Gericht weiter aus:
Zweifel an
Erstreckung des Anspruchs auf Backup-Daten
Es könne bereits bezweifelt werden, dass der Verantwortliche
die im Backup bei einem Dritten gespeicherten Daten überhaupt noch verarbeitet.
Denn der Auskunftsanspruch beziehe sich regelmäßig nicht auf Daten, die an
einen Dritten übergeben worden seien. Das könne auch dann gelten, wenn der
Verantwortliche ein Zugriffsrecht hat.
Unverhältnismäßiger
Aufwand gemessen am Informationsinteresse
Im Ergebnis stellt das Gericht aber darauf ab, dass die Erteilung
der Auskunft für den Verantwortlichen einen unverhältnismäßig großen Aufwand
darstellt. Das Gericht hat keine Zweifel daran, dass allein die Wiederherstellung
der Daten Kosten von bis zu 4.000 € verursachen würde. Zudem können davon ausgegangen
werden, dass die betroffene E-Mail-Korrespondenz mehrere tausend E-Mails
umfasse. Denn die betroffene Person war über ein bis eineinhalb Jahre Vorstandsmitglied
den Verantwortlichen. All diese Mails müssten zur Sicherung berechtigter
Interessen Dritter gesichtet und geschwärzt werden, bevor sie an die betroffene
Person herausgegeben werden könnten. Diese Aufbereitung würde bei dem Verantwortlichen
unverhältnismäßige Ressourcen binden. Das Informationsinteresse der betroffenen
Person sei demgegenüber zu gering. Das Gericht betonte, dass die begehrten
Informationen neun bis zehn Jahren alt waren, der Anspruch erst spät geltend
gemacht wurde, die betroffene Person seit neun Jahren nicht mehr für das
verantwortliche Unternehmen arbeitete und es mittlerweile insolvent sei.
Bewertung
Das Gericht bezieht sich in seiner Entscheidung auf altes Recht: § 34 Abs. 7 i.V.m. § 33 Abs. 2 Nr. 1 BDSG alt kannten eine Ausnahme den Auskunftsanspruchs, wenn die Daten ausschließlich der Datensicherung dienten und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordert hätte. Der Wegfall der Spezialnorm bedeute nicht, dass nun alle Backup-Daten dem Auskunftsanspruch unterfielen.
Eine entsprechende Ausnahme findet sich in § 34 Abs. 1 Nr. 1 lit. b BDSG auch im aktuellen Recht. Die Entscheidung des Landgerichts Heidelberg kann dennoch nicht pauschal Auskunftsbegehren entgegengehalten werden, da sie einen Sonderfall betrifft. Sie steht insbesondere nicht einem Auskunftsbegehren entgegen, das sich auf im System des Verantwortlichen vorgehaltene Daten bezieht. Die Entscheidung zeigt aber Möglichkeiten auf, wie einem Auskunftsbegehren begegnet werden kann, wenn es eine aufwändige Wiederherstellung und Aufarbeitung der Daten nach sich ziehen würde.
Wenn der Verantwortliche eine große Menge personenbezogener Daten von der betroffenen Person verarbeitet und sich das Auskunftsbegehren auf alle Daten bezieht, sollte die betroffene Person zunächst darauf verwiesen werden, ihren Antrag auf bestimmte Datenkategorien, Zeiträume oder Verarbeitungstätigkeiten zu präzisieren.
20. Dezember 2018
Liebe Leserinnen und Leser,
wir bedanken uns recht herzlich für Ihr Interesse an unserem Datenschutzblog in diesem Jahr.
Das Jahr 2018 war durch den Eintritt der Datenschutz-Grundverordnung sehr ereignisreich.
Wir hoffen, Sie auch im kommenden Jahr mit vielen interessanten Themen und Beiträgen über datenschutzrechtlichen Nachrichten auf dem Laufenden zu halten.
Hiermit verabschieden wir uns für dieses Jahr und wünschen Ihnen eine schöne Weihnachtszeit sowie einen guten Rutsch in das Jahr 2019.
Ihr Kinast-Team.
21. November 2018
Die Datenschutzgrundverordnung (DSGVO) entfaltet seit dem 25.Mai diesen Jahres Wirkung. In diesem Kontext stieg die Anzahl der durch die Datenschutzbehörden zu erfüllenden Aufgaben bekanntermaßen an. Dies resultiert sowohl aus einer steigenden Bereitschaft der Menschen, Verstöße zu melden als auch aus neuen, durch die DSGVO entstandenen Aufgaben.
Dieser Anstieg der Anzahl zu erledigenden Aufgaben scheint die Datenschutzbehörden jedoch trotz der zweijährigen Umsetzung nahezu unvorbereitet getroffen zu haben. Dies geht zumindest aus einem Interview mit Baden-Württembergs Datenschutzbeauftragtem Stefan Brink hervor. Dieser (und andere) konstatierte(n) scheinbar, dass das Personal einiger Bundesländer nicht – oder unzureichend – aufgestockt wurde und hierdurch ein Engpass entstanden sei, der zu langen Wartezeiten bei der Bearbeitung etwaiger Aufgaben führe. Mit anderen Worten seien die Datenschutzbehörden überlastet.
Im Ergebnis führe diese Überlastung zu einer reellen Gefahr, dass Deutschland einem Vertragsverletzungsverfahren ausgesetzt wird. Aus heutiger Perspektive bleibt abzuwarten, ob dies tatsächlich der Fall ist. Insoweit bleiben künftige Veränderungen innerhalb der Behördenstruktur oder aber des Aufgabenausmaßes abzuwarten.
24. April 2018
Das könnte zukünftig für alle Whatsapp-Nutzer unter 16 Jahren gelten, denn aus einer Twitter-Meldung des Fan-Blogs WABetaInfo geht hervor, dass der Messaging-Dienst eine Änderung seiner Nutzungsbedingungen zum 25. Mai plant.
Zum jetzigen Zeitpunkt ist ausweislich der Nutzungsbedingungen noch ein Mindestalter von 13 Jahren, bzw. dasjenige Alter erforderlich und ausreichend, welches die Nutzer in ihren Ländern dazu berechtigt, die Dienste von Whatsapp ohne Zustimmung der Eltern zu nutzen. Die bevorstehende Anhebung des Mindestalters ist wohl auf die ab Mai anzuwendende Datenschutzgrundverordnung zurückzuführen. Laut der Verordnung ist die Verarbeitung personenbezogener Daten eines Kindes nämlich erst mit Vollendung seines 16. Lebensjahres rechtens.
Die Gefahren, welche von Chat-Diensten wie Whatsapp für die Persönlichkeitsrechte Minderjähriger ausgehen, erkannte ein deutsches Gericht bereits 2016 und verurteilte einen Vater zur Löschung des Chat-Dienstes vom Handy seiner Tochter.
Auch wenn die geplante Änderung der Nutzungsbedingungen als wichtiger Schritt in Richtung eines umfassenderen Schutzes der Persönlichkeitsrechte Minderjähriger zu werten ist, könnten sich die tatsächlichen Auswirkungen dieser Regelung in überschaubaren Grenzen halten. Den Mitgliedsstaaten ist es nämlich möglich, durch Rechtsvorschriften eine niedrigere Altersgrenze festzulegen, welche allerdings nicht unter 13 Jahren liegen darf. Zudem ist unklar, ob die Änderung weltweit gelten soll, oder ob hiervon nur bestimmte Länder betroffen sein werden. Weiterhin ist fraglich, wie mit bereits registrierten Nutzern umgegangen werden soll, die unter 16 sind. Da Whatsapp selbst das Alter nicht abfragt, müsste diese Aufgabe vom App-Store übernommen werden. Auch in Anbetracht der Tatsache, dass Whatsapp für viele Kinder und Jugendliche ein unverzichtbares Medium bei der Integration darstellt bleibt abzuwarten, ob und wie sich ein neues Mindestalter praktisch wird umsetzen lassen.
5. Juli 2017
Wenn ein Umzug ins Haus steht, kann man über das Internetportal umziehen.de, das von der Deutsche Post Adress GmbH & Co. KG betrieben wird, viele Unternehmen und Institutionen über seine neue Anschrift informieren. Dadurch kann etwa sichergestellt werden, dass auch nach einem Umzug die Zustellbarkeit von Briefen und sonstigen Postsendungen sichergestellt ist.
Vor kurzem hat es bei der Deutsche Post Adress GmbH & Co. KG nun wohl ein Datenleck gegeben. Personen mit entsprechenden Computerfähigkeiten soll es unkompliziert möglich gewesen sein, die von den Nutzern des Portals umziehen.de hinterlegten Daten einzusehen. Konkret sollen Daten zu Namen, Alter und neuer Adresse, Umzugsdatum und E-Mail-Adresse offengelegen haben. Auslöser für diese Panne soll nach Angaben der Post ein Update für das Portal umziehen.de gewesen sein. Kurz nach Bekanntwerden der Sicherheitslücke sei man aber in der Lage gewesen diese zu schließen. Im Anschluss habe man die zuständige Datenschutzaufsichtsbehörde in Nordrhein-Westfalen über den Vorfall informiert und vorsorglich eine Informationsmail an die Nutzer des Portals umziehen.de geschickt.
Diese Datenpanne veranschaulicht, dass es für Unternehmen wichtig ist, bestehende Prozesse für den Umgang mit Datenpannen (Data Breach Management) zu implementieren. Das Bundesdatenschutzgesetz (BDSG) regelt in § 42a gewisse Informationspflichten gegenüber der zuständigen Datenschutzaufsichtsbehörde und den von einer Datenpanne betroffenen Personen. Ein Verstoß gegen diese Verpflichtung stellt nach § 43 Abs. 2 Nr. 7 BDSG eine Ordnungswidrigkeit dar, die mit bis zu 300.000 EUR Geldbuße geahndet werden kann und in den in § 44 Abs. 1 BDSG aufgeführten Fällen sogar eine Straftat darstellt. Die Bedeutung eines funktionierenden Data Breach Managements erhöht sich noch einmal vor dem Hintergrund der ab Mai 2018 geltenden Datenschutzgrundverordnung (DSGVO), da diese strengere Maßstäbe als das BDSG stellt und auch höhere Bußgelder vorsieht.
Über die Regelungen der DSGVO zum Umgang mit Datenpannen informieren wir Sie unter anderem auch in unserem nächsten Blogbeitrag der Themenreihe DSGVO.
2. Juni 2017
Die praktische Bedeutung der Videoüberwachung, also die Beobachtung mit optisch-elektronischen Einrichtungen, hat in letzter Zeit enorm zugenommen, nicht zuletzt wegen mehr Gewalttaten, erinnert sei an die tragischen Ereignisse in Ansbach und München. Damit rückt das Thema auch vermehrt in den Fokus der Öffentlichkeit. Nun hat auch der Gesetzgeber den Weg frei gemacht für mehr Videoüberwachung. Gemeint ist das im März 2017 verabschiedete Videoüberwachungsverbesserungsgesetz, das den § 6 b BDSG wie folgt erweitert:
„1. Dem Absatz 1 wird folgender Satz 2 angefügt:
„Bei der Videoüberwachung von
- öffentlich zugänglichen großflächigen Anlagen, wie insbesondere Sport-, Ver-sammlungs- und Vergnügungsstätten, Einkaufszentren oder Parkplätzen, oder
- Fahrzeugen und öffentlich zugänglichen großflächigen Einrichtungen des öf-fentlichen Schienen-, Schiffs- und Busverkehrs,
gilt der Schutz von Leben, Gesundheit oder Freiheit von dort aufhältigen Personen als ein besonders wichtiges Interesse.“
- Nach Absatz 3 Satz 1 wird folgender Satz eingefügt:
„Absatz 1 Satz 2 gilt entsprechend.“
Daraus folgt, dass § 6 b BDSG zwar wie bislang sowohl für öffentliche als auch für nicht-öffentliche Stellen gilt. Indes wird der Anwendungsbereich derart erweitert, als dass unter den Begriff „öffentlich zugänglicher Raum“ nunmehr auch öffentlich zugängliche großflächige Anlagen, also bauliche Anlagen, die nach dem erkennbaren Willen des Betreibers von jedermann betreten oder genutzt werden können und von ihrer Größe her geeignet sind, eine größere Anzahl von Menschen aufzunehmen, verstanden wird. Insbesondere sollen unter § 6 b Abs. 1 S. 2 BDSG Sport-, Versammlungs- und Vergnügungsstätten, Einkaufzentren und Parkräume, die einen entsprechenden Publikumsverkehr aufweisen, fallen. Ob es sich um eine dem öffentlichen Verkehr zugängliche Anlage handelt, ist entweder von der öffentlichen Widmung oder nach dem erkennbaren Willen des Berechtigten von jedermann genutzt oder betreten werden zu können, abhängig. Auf das Eigentum an der Anlage kommt es daher zunächst nicht an.
Vereinfacht gesagt soll durch die Erweiterung die Sicherheit der Bevölkerung erhöht werden. Dementsprechend ist bei der Abwägungsentscheidung nach § 6 b Abs. 1 Nr. 3 BDSG, also beim Einsatz von Videoüberwachung durch Private zwar die gegenläufigen Interessen des Betroffenen zu berücksichtigen, jedoch legt § 6 b Abs. 1 S. 2 BDSG fest, dass der Schutz von Leben, Gesundheit oder Freiheit als besonders wichtiges Interesse zu qualifizieren ist, mit der Konsequenz, dass diese Belange zwar ergebnisoffen, aber schon per se als gewichtiger einzustufen sind.
1 § 4 BDSG-neu
Ab Mai 2018 wird das BDSG-neu (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) gelten. In dessen § 4 gibt es eine Regelung zur Videoüberwachung. Wesentliche Änderungen zum status quo sind jedoch nicht festzustellen. Das bedeutet, dass die Norm wie bisher auch für den öffentlichen- wie nicht-öffentlichen Bereich sowie nur für öffentlich zugängliche Räume Anwendung finden wird. Abs. 2 behandelt die Kenntlichmachung der Videoüberwachung. Mit Abs. 3 der Norm wird die Zulässigkeit des weiteren Datenumgangs beschrieben. Danach muss die Verarbeitung bzw. „Speicherung oder Verwendung“ entweder für die Zweckerreichung oder falls die Daten für einen neuen Zweck verwendet werden sollen, der Abwehr von Gefahren für die staatliche und öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich sein. Die Benachrichtigungs- und Löschungspflichten werden sodann in den Abs. 4 und 5 geregelt.
2 DSGVO
Da die Datenschutz-Grundverordnung (DSGVO) keine explizite Regelung zur Videoüberwachung trifft, greift der grundsätzliche Anwendungsvorrang der DSGVO hier nicht. Dafür gibt die DSGVO in Art. 6 Abs. 2, 3 für Abs. 1 S. 1 lit. c und e den Mitgliedstaaten einen Kompetenztitel zur Ausfüllung dieser Lücke (Öffnungsklausel). Diese Lücke wurde vom deutschen Gesetzgeber mit § 4 BDSG-neu bedient.
3 Praxisbedeutung
In der Praxis muss der Rechtsanwender generell nicht nur die DSGVO, sondern eben auch beibehaltenes oder neu geregeltes nationales Datenschutzgesetz überblicken, sofern dies sein Sachverhalt voraussetzt. Neben § 4 BDSG-neu ist beispielsweise auch Art. 35 Abs. 1,3 lit. c DSGVO hier anwendbar, da die DSGVO in diesem Zusammenhang in Fällen systematischer weiträumiger Überwachung öffentlich zugänglicher Bereiche eine Datenschutz-Folgenabschätzung zwingend vorschreibt. Gleichwohl soll dies nicht vom eigentlichen Sinn und Zweck der Erweiterung des Anwendungsbereiches ablenken. Mit der Erweiterung kann bestenfalls schon im präventiven Bereich Gefahren in hoch frequentierten Räumen begegnet werden. Insofern ist die Neuregelung insgesamt begrüßenswert.
