Kategorie: Allgemein
24. Juli 2020
Die belgische Datenschutzbehörde hat eine Geldbuße in Höhe von 600.000 Euro gegen den Suchmaschinen-Anbieter Google wegen Verstoßes gegen das Recht auf Vergessenwerden verhängt. Google hatte den Antrag eines belgischen Bürgers auf Löschung von veralteten Artikeln, die als ernsthaft rufschädigend angesehen wurden, abgelehnt.
Die belgische Datenschutzbehörde stellte fest, dass einige Artikel, die sich auf die Beziehung der Person zu bestimmter politischer Partei beziehen, angesichts ihrer Position im öffentlichen Leben von öffentlichem Interesse seien und online bleiben könnten. Die Datenschutzbehörde stellte jedoch fest, dass die Beibehaltung des Artikels, welche sich auf unbegründete Belästigungsbeschwerden beziehen, ernsthafte Auswirkungen auf die Person haben könnten. Die Behörde sah in Googles Weigerung in letzterem Fall ein „schwerwiegendes Versäumnis“ von Google.
Darüber hinaus wiesen das Google Formular sowie die Antwort an die betroffene Person Transparenzmängel auf. Aus diesen Gründen beschloss die belgische Datenschutzbehörde, eine Geldstrafe von 600.000 Euro zu verhängen. Dies ist die höchste Geldbuße, die je von der belgischen Datenschutzbehörde verhängt wurde.
23. Juli 2020
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit Maja Smoltczyk hat auf ihrer Webseite einen Hinweis zum Thema Videokonferenzen veröffentlicht. In diesem wird vor dem Einsatz der Anwendungen für Videokonferenzen von Microsoft (Teams und Skype) sowie Zoom gewarnt. Damit geht die Diskussion um die Datenschutzkonformität – jedenfalls mit Microsoft – in die nächste Runde.
Bereits im April hat die Berliner Datenschutzbeauftragte eine Guideline für Videokonferenzen veröffentlicht (wir berichteten). Auf diese hat Microsoft mit einer Stellungnahme reagiert.
Die Behörde bleibt weiterhin bei ihrer Auffassung des unzureichenden Datenschutzes in Bezug auf die Microsoft-Produkte Teams und Skype. Zusätzlich hat sie in ihrer aktuellen Stellungnahme weitere Produkte unter die Lupe genommen. Dabei sind auch weit verbreitete Dienste für Videokonferenzen wie Zoom, Google Meet, GoToMeeting und Cisco WebEx negativ aufgefallen. Gegenstand der Prüfung waren Auftragsverarbeitungsverträge. Diese weisen entweder Mängel auf oder fehlen komplett.
Darum sollte bei Abschließen eines Vertrages mit einem der Dienstleister darauf geachtet werden, dass ein Auftragsverarbeitungsvertrag mit abgeschlossen wird. Dazu hat die Berliner Datenschutzbeauftragte Empfehlungen veröffentlicht, worauf bei Abschluss eines Auftragsverarbeitungsvertrags zu achten ist.
Lediglich die Anwendungen Jitsi in seiner kommerziellen Version, sichere Videokonferenz.de, TixeoFusion, BigBlueButton und Wire genügen den datenschutzrechtlichen Anforderungen. Die genannten Dienste für Videokonferenzen decken unterschiedliche persönliche Erfordernisse ab. Die Anwendungen unterscheiden sich in der Art des Zugangs – zum Beispiel browserbasiert oder programmbasiert – als auch über die Zugangsmöglichkeit über eine mobile App-Anwendung.
22. Juli 2020
Die ersten deutschen Aufsichtsbehörden haben inzwischen ihre Stellungnahmen zum o. g. Urteil veröffentlicht, in dem das EU-U.S. Privacy Shield für unwirksam erklärt wurde.
Mit dem Urteil hat das Gericht auch Unsicherheit in Bezug auf den weiteren Umgang mit Datenübermittlungen, insbesondere in die USA hervorgerufen, die auf Grundlage der EU-Standardvertragsklauseln legitmiert werden, da auch auch die Standardvertragsklauseln auf den Prüfstand gestellt wurden. Nach dem EuGH obliegt es dem jeweiligen Datenexporteur, jeweils für den Einzelfall zu prüfen, ob diese unter Berücksichtigung des Rechts des Drittlands einen angemessenen Schutz gewährleisten (siehe RN 132 d. Urteils v. 16.07.2020, C-311/18).
Was sagen nun die deutschen Aufsichtsbehörden dazu? Bisher haben sich immerhin vier von ihnen geäußert. Nachfolgend fassen wir die jeweiligen Kernaussagen kurz zusammen:
Berlin:
„Er (der EuGH, Anm. d. Red.) betont in diesem Zusammenhang jedoch, dass sowohl die europäischen Datenexporteure als auch die Datenimporteure in Drittländern verpflichtet sind, vor der ersten Datenübermittlung zu prüfen, ob im Drittland staatliche Zugriffsmöglichkeiten auf die Daten bestehen, die über das nach europäischem Recht Zulässige hinausgehen (Rn. 134 f., 142 des Urteils). Bestehen solche Zugriffsrechte, können auch die Standardvertragsklauseln den Datenexport nicht rechtfertigen. Bereits ins Drittland übermittelte Daten müssen zurückgeholt werden. (…) Verantwortliche, die –insbesondere bei der Nutzung von Cloud-Diensten –personenbezogene Daten in die USA übermitteln, sind nun angehalten, umgehend zu Dienstleistern in der Europäischen Union oder in einem Land mit angemessenem Datenschutzniveau zu wechseln“
Hamburg:
„Vor diesem Hintergrund ist die Entscheidung des EuGH, die Standardvertragsklauseln (SCC) als angemessenes Instrument beizubehalten, nicht konsequent. Wenn die Ungültigkeit des Privacy Shield primär mit den ausufernden Geheimdienstaktivitäten in den USA begründet wird, muss dasselbe auch für die Standardvertragsklauseln gelten. Vertragliche Vereinbarungen zwischen Datenexporteur und -importeur sind gleichermaßen ungeeignet, um Betroffene vor dem staatlichen Zugriff zu bewahren. Zumindest hinsichtlich des Abschlusses der SCC mit dem streitgegenständlichen US-Unternehmen hätte der EuGH zu demselben Ergebnis kommen müssen. (…) Nach der heutigen EuGH-Entscheidung befindet sich der Ball wieder einmal im Spielfeld der Aufsichtsbehörden, die nun vor der Entscheidung stehen werden, insgesamt die Datenübermittlung über Standardvertragsklauseln kritisch zu hinterfragen“
Rheinland-Pfalz:
„Der EuGH hat klargestellt, dass sich Unternehmen mit der Verwendung der Standardvertragsklauseln nicht von ihren Prüfpflichten freikaufen können. (…) Der Ball liegt nun im Feld der Verantwortlichen. Sie kommen nicht umhin, sich mit den nationalen Gesetzen des Drittlandes, in welche sie Daten übermitteln möchten, intensiv auseinanderzusetzen. Unterliegen die Datenempfänger gesetzlichen Regeln ihres Heimatlandes, die gegen das europäische Datenschutzrecht verstoßen, können sie die vertraglichen Regelungen der Standardvertragsklauseln ggf. nicht einhalten. In diesem Fall muss der Verantwortliche in der EU die Datenübermittlung dorthin aussetzen, da er sonst einen Datenschutzverstoß begeht.“
Thüringen:
„Wenn der EuGH nun hervorhebt, dass die Schutzmechanismen der Standardvertragsklauseln und ihre Einhaltung vom Datenexporteur und dem Datenempfänger vor der Übermittlung geprüft werden müssen, dann weiß ich nicht, wie im Fall der Datenübermittlung in die USA hier ein EU-datenschutzkonformes Prüfergebnis zu Stande kommen soll.“
Wir beobachten weitere Äußerungen selbstverständlich äußerst aufmerksam und informieren Sie zeitnah über aktuelle Entwicklungen.
17. Juli 2020
Hacker verschafften sich Zugang zu den Prominenten-Accounts mit Millionen Followern. Betroffene sind unter anderem Barack Obama, Warren Buffet, Kanye West, Bill Gates, Elon Musk und Jeff Bezos.
Auf den gehackten Accounts wurde am Mittwoch dazu aufgefordert, Bitcoins zu überweisen. Nach öffentlichen Daten flossen Bitcoins im Wert von mindestens 120.000 Dollar über rund 400 Überweisungen ab.
„Harter Tag für uns bei Twitter.“
Dies erklärte Twitter-Chef Jack Dorsey. Laut Twitter haben die Hacker sich anscheinend zunächst die Zugänge von Twitter-Mitarbeitern gesichert und erst anschließend die Profile der Prominenten gehackt. Es handelt sich nach Meinung vieler Experten um einen der größten Angriffe auf eine reichweitenstarke Social-Media-Plattform.
Twitter sperrte nach mehr als einer Stunde die entsprechenden Konten. Nach Meinung von Experten, ist es sehr wahrscheinlich, dass die Hacker Zugriff auf die Systeme von Twitter gehabt haben. Daher ist das wahre Ausmaß der Attacke noch nicht abzusehen. Da manche Politiker über ihren Twitter-Kanal auch Außenpolitik betreiben, ist das Risiko nicht nur monetärer Natur.
In Kalifornien wurde durch die US-amerikanische Anwaltskanzlei Boies Schiller Flexner eine Klage gegen Google eingereicht.
Google wird vorgeworfen, Smartphone-Nutzer ohne deren Einwilligung getrackt zu haben. Über Google-Firebase, eine Entwicklungs-Plattform für Apps und Webanwendungen, sollen Daten gesammelt worden sein. Die Anwendung von Google-Firebase in einer App ist üblicherweise für die App-Nutzer nicht ersichtlich.
Wie es in der Klage weiterhin heißt, fängt Google insbesondere Daten über die Nutzung der App, sowie persönliche Daten des App-Nutzers und dessen Kommunikation ab. Android-Nutzer willigen üblicherweise bei einer Neu-Registrierung für ein Google-Konto darin ein, dass ihre Smartphone-Aktivitäten zur Verbesserung des Angebots an Google gesendet werden dürfen. In den Google-Einstellungen besteht die Möglichkeit, diese Einwilligung später zu widerrufen. Hierzu kann der Smartphone-Nutzer unter dem Menüpunkt „Web & App Activity“ („Nutzung & Diagnose“) das Tracking ausschalten. Entgegen der Angaben von Google hierzu, sollen trotz Ausschaltens des Trackings über Firebase Daten gesammelt und an Server von Google gesendet werden.
Google soll die gesammelten Daten verwenden, um Produkte zu verbessern und Anzeigen und andere Inhalte für die Verbraucher zu personalisieren.
Im Rahmen der eingereichten Klage fordert die Kanzlei Boies Schiller Flexner hierfür eine Summe in Höhe von fünf Milliarden Dollar.
Google selbst hat hinsichtlich der Vorwürfe bisher kein offizielles Statement veröffentlicht. Eine Entscheidung durch das Gericht wird innerhalb der nächsten Monate erwartet.
16. Juli 2020
Mit seinem Urteil vom 16.07.2020 in der Rechtsache „Schrems II“ (Schrems ./. Facebook Ireland, Az.: C-311/18) hat der Europäische Gerichtshof (EuGH) das EU-US Privacy Shield für ungültig erklärt.
Was ist der EU-US Privacy Shield?
Konkret handelt es sich bei dem „Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes Privacy Shield“ um eine Entscheidung der EU zur Schaffung einer Rechtsgrundlage des Datentransfers. Mit dem sog. Angemessenheitsbeschluss der EU-Kommission sollte der Datentransfer von Europa in die USA auf ein angemessenes Schutzniveau gehoben werden.
Hintergrund ist, dass gemäß der Datenschutz-Grundverordnung (DSGVO) personenbezogene Daten lediglich dann an ein Drittland außerhalb der EU übermittelt werden dürfen, wenn das betreffende Land für die Daten ein angemessenes Schutzniveau gewährleistet. Dies kann die EU-Kommission in einem Beschluss feststellen.
Entscheidungsinhalt
Der EuGH kommt in seinem Urteil zu dem Ergebnis, dass der Privacy Shield-Beschluss nicht die Anforderungen erfüllt, um nach dem unionsrechtlichen Grundsatz der Verhältnismäßigkeit gleichwertigen Datenschutz zu gewährleisten. So könnten amerikanische Behörden nach dem Recht der Vereinigten Staaten auf die übermittelten Daten zugreifen, ohne dass diese Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt seien.
Neben der oben erläuterten Möglichkeit des Angemessenheitsbeschlusses sieht die DSGVO als weitere Möglichkeit, ein angemessenes Schutzniveau zu gewährleisten u.a. die Verwendung von Standarddatenschutzklauseln (SCC) vor. Bei SCC handelt es sich um Klauseln, die von der EU-Kommission erarbeitet wurden und in Verträgen zwischen Datenexporteur und Datenimporteur verwendet werden können. Auch diese waren Gegenstand der heute veröffentlichten Entscheidung. Diese sieht der EuGH weiterhin als gültig an, sodass diese auch zukünftig genutzt werden können.
Kontext der Entscheidung
Der Österreicher Maximilian Schrems ist seit 2008 Nutzer von Facebook. Seine personenbezogenen Daten werden, wie die aller Nutzer aus der EU, von Facebook zumindest teilweise von den Facebook Ireland Servern an die Facebook Inc. in den USA übermittelt. Herr Schrems legte bei der irischen Aufsichtsbehörde Beschwerde ein, weil er der Auffassung war, dass die Übermittlungen unzulässig sind.
Die EU-Kommission hatte in einem ersten Anlauf das angemessene Schutzniveau in dem sog. „Safe-Harbour-Abkommen“ in Bezug auf die USA angenommen. Auf von Herrn Schrems erhobene Klage erklärte der EuGH am 06.10.2015 das Safe-Harbour-Abkommen jedoch für ungültig.
In der Folge erließ die EU-Kommission einen weiteren Angemessenheitsbeschluss, der Datenübermittlungen in die USA ermöglichen sollte, das EU-US Privacy Shield.
Herr Schrems formulierte seine Beschwerde bei der irischen Aufsichtsbehörde um und machte geltend, dass die USA kein ausreichendes Schutzniveau gewährleisten und eine Übermittlung nicht auf der Grundlage der Standardvertragsklauseln zulässig sei.
Der irische High Court legte diese Frage dem EuGH vor und warf in diesem Zusammenhang auch die Frage auf, ob der Privacy Shield-Beschluss gültig ist.
Praktische Relevanz
Resultierend aus dem heutigen Urteil ist ein Datentransfer in die USA nicht mehr auf Grundlage des Angemessenheitsbeschlusses möglich. Mithin verstößt ein hierauf basierender Transfer gegen europäisches Datenschutzrecht.
Wie bereits dargelegt bestehen aus der Perspektive des EuGH weiterhin keine Bedenken bei der Nutzung etwaiger Standardvertragsklauseln. Die insoweit genutzten Klauseln enthielten wirksame Mechanismen, die in der Praxis gewährleisten könnten, dass das vom Unionsrecht verlangte Schutzniveau eingehalten werde. Auch könnte ein auf diese Klauseln gestützter Transfer personenbezogener Daten ausgesetzt oder verboten werden, wenn gegen diese Klauseln verstoßen werde oder ihre Einhaltung unmöglich sei.
Fazit
Aus aktueller Perspektive können demnach keine personenbezogenen Daten auf Grundlage eines Angemessenheitsbeschlusses in die USA transferiert werden. Wie bereits nach „Schrems I“ ist es jedoch wahrscheinlich, dass ein derartiger Zustand nicht lange existiert.
Nichtsdestotrotz sollten Unternehmen evaluieren, ob Datentransfers sowohl Konzernintern, als auch mit Dienstleistern auf den EU-US Privacy Shield gestützt werden und sollte dies der Fall sein, schnellstmöglich den Abschluss von SCC herbei führen.
Strafverfolgungsbehörden greifen offenbar vermehrt auf Gästelisten zu, die Restaurants und andere Betriebe in Umsetzung der jeweiligen Bestimmungen der Corona-Schutz-Verordnungen der Länder anlegen. Wie etwa FAZ.net und SZ.de berichten kam es deswegen in mehreren Bundesländern zu Meinungsverschiedenheiten zwischen Strafverfolgungs- und Datenschutzbehörden.
Je nach landesrechtlicher Bestimmung müssen Kunden oder Besucher auf den Listen ihren Namen, Adresse(n), Mail-Adresse(n), Telefonnummer, Zeitraum des Aufenthalts und gegebenenfalls weitere Angaben wie die Tischnummer angeben. Der Zweck der Datenerhebung liegt darin, im Infektionsfall eine einfache Rückverfolgbarkeit der anwesenden Personen zu gewährleisten, diese über das Risiko informieren zu können und Gesundheitsämtern eine Nachverfolgung der Infektionsketten zu ermöglichen.
Die Angaben in den Gästelisten können für Strafverfolgungsbehörden durchaus interessant sein: So berichtet FAZ.net über einen Fall aus Hamburg. Dort soll ein Mann vor einem Lokal einen Passanten mit einem Teppichmesser bedroht haben. Die zuständige Polizeibehörde ließ sich die Gästeliste des nahegelegenen Lokals übergeben und kontaktierte die Gäste, um sie als potentielle Zeugen zu vernehmen.
Die Sprecherin des hessischen Datenschutzbeauftragten, Ulrike Müller, äußerte, die hessische Verordnung sehe eine strikte Zweckbindung vor. Gastronomen dürften die Daten im Infektionsfall an die Gesundheitsämter herausgeben. Eine Weitergabe an andere Behörden sei aber ausgeschlossen.
Etwa die Oberstaatsanwältin Nadja Niesen aus Frankfurt ist dagegen der Ansicht, es handele sich nicht um eine Frage des Datenschutzes. Denn nach der Strafprozessordnung dürfe die Polizei in Abstimmung mit der Staatsanwaltschaft und Gerichten Beweismaterial sicherstellen, um die Namen möglicher Zeugen festzustellen. Darunter fielen auch die Gästelisten.
Nach Angaben von SZ.de suchte etwa die Polizeibehörde in Rosenheim nach einem Raubüberfall auf ein Schuhgeschäft und die Polizeibehörde in Starnberg bei den Ermittlungen in einem Rauschgiftfall über die Gästelisten nahegelegener Restaurants Zeugen.
Der bayerische Landesbeauftragte für Datenschutz, Thomas Petri, leitete daraufhin Prüfungen ein. Er kritisiert, die Datenerhebungen gingen „Richtung Vorratsdatenspeicherung“ und fordert eine bundesweite Regelung über die Zugriffsmöglichkeiten der Strafverfolgungsbehörden. Er befürchtet, dass anhand der Daten Bewegungsprofile erstellt werden könnten, sieht aber gleichzeitig keine grundsätzliche Unzulässigkeit der Nutzung der Gästelisten zu Ermittlungszwecken. Allerdings müssten die „Freiheitsrechte der betroffenen Gäste und die Strafverfolgung abgewogen und in eine rechtssichere Balance gebracht werden.“
Thomas Geppert, Landesgeschäftsführer des Hotel- und Gaststättenverbands Dehoga, fürchtet indessen, dass weitere Gäste ausbleiben könnten oder die Gäste falsche Angaben machen könnten und so eine Nachverfolgung nicht mehr gewährleistet ist. Geppert will deswegen in Abstimmung mit dem Datenschutzbeauftragten auf das Innen- und das Justizministerium zugehen, um eine Lösung in der Sache zu erreichen.
15. Juli 2020
Die Koalitionsfraktionen haben sich auf sich auf den Entwurf eines Gesetzes zur Stärkung des fairen Wettbewerbs geeinigt, um Abmahnmissbrauch wegen Verstößen gegen die DSGVO zu verhindern.
Nach dem Gesetzentwurf sind Abmahnungen zwar weiterhin als lauterkeitsrechtliche Regulierungen möglich. Er soll aber sicherstellen, dass sie im Interesse eines rechtstreuen Wettbewerbs erfolgen und nicht zur Generierung von Gebühren und Vertragsstrafen missbraucht werden. Es werden zum einen höhere Anforderungen an die Befugnis zur Geltendmachung von Ansprüchen gestellt, zum anderen soll der finanzielle Anreize für Abmahnungen verringert werden. So sieht der Gesetzesentwurf vor, dass es keinen Anspruch mehr auf Ersatz der erforderlichen Aufwendungen bei Abmahnung wegen Verstößen gegen die DSGVO gibt (§ 13 Abs. 4 Nr. 2 des Gesetzentwurfs). Darüber hinaus soll durch das neue Gesetz mehr Transparenz sowie vereinfachte Möglichkeiten zur Geltendmachung von Gegenansprüchen geschaffen werden.
Der Gesetzentwurf, der nach der Sommerpause verabschiedet werden soll, ist insbesondere zum Schutz von kleineren Unternehmen vor Abmahnmissbrauch gedacht. Bereits 2019 war das Thema in einer öffentlichen Anhörung im Bundestag diskutiert worden. Die Vertreter der Verbraucher- und Einzelhandelsverbände begrüßten die im Entwurf vorgesehenen Maßnahmen als Schritt zu mehr Rechtssicherheit. Einige eingeladene Rechtsanwälte kritisierten unter anderem, dass das Gesetz keine sinnvolle praktische Funktion habe und es vor allem nicht dazu geeignet sei die postulierten Ziele zu erreichen. Vielmehr würde es nur für mehr Rechtsunsicherheit sorgen.
8. Juli 2020
Am morgigen Donnerstag – den 09.07.2020 – entscheidet der EuGH in Luxemburg über ein Vorabentscheidungsersuchen des VG Wiesbaden (Rechtssache C-272/19). Dabei hat der EuGH zwei Vorlagefragen zu beantworten. Die erste Frage befasst sich mit dem Anwendungsbereich der DSGVO, konkret auf Petitionsausschüsse eines Landtags. Die zweite Vorlagefrage hat keinen expliziten datenschutzrechtlichen Hintergrund, ist aber auch für die Belange des Datenschutzes nicht ohne Belang. Das VG Wiesbaden stellt nämlich in Frage, ob es überhaupt als ein „Gericht“ im europarechtlichen Sinne angesehen werden kann. Dabei geht es vor allem um die Frage, ob die deuschen Gerichte bzw. Richterinnen und Richter unabhängig genug sind, oder ob eine insitutionelle Abhängigkeit gegeben ist. Diese Entscheidung könnte für sämtliche Gerichte Deutschlands enorme Bedeutung haben.
Erste Vorlagefrage: Anwendbarkeit der DSGVO
Die erste Frage betrifft die Anwendbarkeit der DSGVO auf den Petitionsausschuss als Teil des Hessischen Landtags, und ob dieser als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO zu qualifizieren ist. Dabei ist der Hessische Landtag – vertreten durch seinen Präsidenten – der Auffassung, es handle sich beim Petitionsverfahren um eine parlamentarische Aufgabe, sodass der Ausschuss nicht in den (sachlichen) Geltungsbereich der DSGVO falle (Rn. 3). Dieser Ansicht folgend enthalten das Hessische Datenschutz- und Informationsfreiheitsgesetz (HDSIG, § 30 Abs. 1), die Geschäftsordnung des Hessischen Landtags (§ 112 Abs. 6) sowie deren Datenschutzordnung und weitere Richtlinien entsprechende Regelungen, welche die Anwendbarkeit der DSGVO unter anderem für den Petitionsausschuss verneinen bzw. wegen eines erforderlichen Geheimnisschutzes Auskunftsansprüchen wie Art. 15 DSGVO entgegenstehen. Diese Regelungen seien anzuwenden, wenn der Petitionsausschuss nicht unter die DSGVO fällt (Rn. 13).
Die erste Vorlagefrage bezieht sich daher darauf, ob die DSGVO auf Petitionsausschüsse als Teil des Parlaments eines Gliedstaates (Hessen) eines Mitgliedsstaats (Deutschland) Anwendung findet und insoweit als eine Behörde im Sinne des Art. 4 Nr. 7 DSGVO zu behandeln ist. Der Petitionsausschuss sei zwar eine Behörde im organisationsrechtlichen Sinne, fraglich sei aber ob ihre Aufgaben dem Bereich der öffentlichen Verwaltung unterliegen. Jedenfalls sei der Ausschuss weder der Judikative noch der Legislative zuzuordnen (Rn. 42ff). Für die Definition der „Behörde“ im Sinne des Art. 4 Nr. 7 DSGVO sei von einem weiten Verständnis der Verwaltung und somit einem umfassenden Behördenbegriff auszugehen (Rn. 48). Auch erschließe sich nicht, warum Behörden – gegenüber denen nach hessischem Recht ebenfalls eine Petition eingereicht werden kann – der DSGVO unterliegen, diese auf den Petitionsausschuss hingegen keine Anwendung finden sollte; das VG Wiesbaden geht deshalb davon aus, dass der Petitionsausschuss unter Art. 4 Nr. 7 DSGVO zu subsumieren ist (Rn. 51).
Zweite Vorlagefrage: Unabhängikeit deutscher Gerichte
Die zweite Vorlagefrage des VG Wiesbaden befasst sich ebenfalls mit europarechtlichen Vorschriften, konkret mit Art. 267 Abs. 2 AEUV und der Frage, ob das VG Wiesbaden – und mittelbar sämtliche deutsche Gerichte – überhaupt als ein „Gericht“ im Sinne dieser Norm zu qualifizieren und somit vorlagebefugt sind. Im Fokus steht hier insbesondere die institutionelle Unabhängigkeit der Gerichte.
In dem Vorabentscheidungsersuchen setzt sich das Gericht diesbezüglich zunächst ausführlicher mit den rechtlichen Grundlagen der richterlichen und gerichtlichen Unabhängigkeit auseinander (Rn. 17ff.). Das VG Wiesbaden kommt dabei zu dem Schluss, dass die deutsche Verfassungslage nur die funktionale richterliche Unabhängigkeit, aber keine institutionelle Unabhängigkeit der Gerichte gewährleiste (Rn. 59). Grund dafür sei, dass die Richterinnen und Richter durch den jeweiligen Justizminister der Länder ernannt, beurteilt und befördert werden und das Beamtenrecht auf die Richterinnen und Richter Anwendung findet. Erforderlich sei jedoch eine „völlige Unabhängigkeit“, wonach keinerlei Einflussnahme irgendeiner Art – mit Ausnahme von Kontrollstellen -, weder unmittelbar noch mittelbar, bestehen dürfe (Rn. 64). Es sei nun aber fraglich, ob Richterinnen und Richter von einer solchen Einflussnahme ausgenommen sind, jedenfalls in solchen Streitigkeiten, in denen das jeweilige Justizministerium beteiligt ist (Rn. 65). Aber auch grundsätzlich sieht das VG Wiesbaden eine äußere Einflussnahme durch das Justizministerium gegeben, indem es über Planstellen, Anzahl des nichtrichterlichen Personals und Ausstattung der Gerichte – und somit letztlich auch über die Verarbeitung personenbezogener Daten durch entsprechende EDV – entscheidet (Rn. 67). Auch durch die bloße Gefahr einer politischer Einflussnahme werde die institutionelle Unabhängigkeit beeinträchtigt (Rn. 73). Demgemäß sieht das VG Wiesbaden sich selbst nicht als unabhängig und unparteiisch im Sinne des Art. 47 Abs. GrCH (Rn. 74).
Einschätzung
Es wird spannend sein zu sehen, wie der EuGH mit den beiden Vorlagefragen umgehen wird. Die Frage der Auslegung des Art. 4 Nr. 7 DSGVO, konkret in Bezug auf „Behörde, Einrichtung oder andere Stelle“, dürfte für einige Insitutionen relevant sein, die sich nicht eindeutig der öffentlichen Verwaltung zuordnen lassen und somit davon ausgehen, nicht den Regelungen der DSGVO zu unterliegen.
Weitreichendere Bedeutung könnte aber die Vorlagefrage zur Unabhängigkeit deutscher Gerichte haben. Geht der EuGH hier ebenfalls davon aus, dass die institutionelle Unabhänigkeit deutscher Gerichte und ihrer Richterinnen und Richter nicht gegeben ist, wird sich die Frage stellen müssen, wie diese Unabhängigkeit künftig sichergestellt werden kann. Jedenfalls dürfte die Entscheidung des EuGH dazu dienen, der durch die Richtervereinigungen geführten Diskussion zur Selbstverwaltung der Justiz neue Aufmerksamkeit zu verschaffen.
Zunahme von Hackerangriffen
Hackerangriffe werden von der breiten Bevölkerung weder groß gefürchtet, noch wird das Thema Cybersicherheit besonders beachtet. Dabei nimmt ihre Zahl von Jahr zu Jahr zu. Im Jahr 2018 vermeldete das Bundeskriminalamt die Zahl von 87.106 Fällen von Cybercrime. Dies entspricht einer Zunahme von 1,3% im Vergleich zum Vorjahr.
Von Hackerangriffen sind nicht nur Unternehmen betroffen, die über Kundendaten wie Kreditkarten verfügen, sondern auch Justizbehörden und sogar Bundesministerien (siehe Blog vom 05.12.2018).
Sogar das Rote Kreuz ist Anfang des Jahres Opfer eines Hackerangriffs geworden. Glücklicherweise diente dieser Angriff jedoch nur dem Aufsuchen von Sicherheitslücken. Böswillige Hacker hätten hingegen sensible Patientendaten abgreifen können. Eine Krankheitshistorie kann man nicht, wie bei gestohlenen Kreditkartendaten, sperren und ersetzen. Für die Betroffenen wäre eine Veröffentlichung ihrer Gesundheitsdaten mit unangenehmen Konsequenzen verbunden.
Zu diesem Thema hat der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) eine Prüfliste veröffentlicht, die Empfehlungen zur Cybersicherheit für medizinische Einrichtungen ausspricht.
Die Maßnahmen sind jedoch auch für nicht-medizinische Unternehmen von Relevanz.
Empfohlene Maßnahmen
Bei den empfohlenen Maßnahmen sollten unter anderem folgende Punkte besonders beachtet werden:
- Regelmäßige Aktualisierung der verwendeten Software.
- Nutzung von Antiviren-Programmen. Zu beachten ist, dass immer nur ein Antiviren-Programm gleichzeitig installiert sein sollte. Mehrere Programme blockieren sich gegenseitig und schaden mehr, als sie nutzen.
- Schutz vor Ransomware. Wenn möglich, sollte auf Makros in Office-Dokumenten verzichtet werden und wenn, nur signierte Makros verwendet werden.
- Nutzung starker Passwörter. Es sollten keine banalen Begriffe wie „1234“ oder „passwort“ genutzt werden. Auch sollten Passwörter niemals am Arbeitsplatz liegen gelassen werden.
- Nutzung von Zwei-Faktor-Authentifizierung. Näheres dazu ist in unserem Blog nachzulesen.
- E-Mails sollten nur als Text angezeigt werden. So lassen sich leichter manipulierte Links erkennen. Außerdem sollten E-Mails grundsätzlich von einem Antiviren-Programm überprüft werden.
- Es sollten regelmäßig Backups durchgeführt werden.
- Bei der Arbeit im Homeoffice sollte der Zugang über eine VPN-Verbindung gesichert sein. Im Falle der Nutzung mobiler Endgeräte sollten diese über starke Verschlüsselungsmechanismen verfügen.
- Falls Laborergebnisse online abgerufen werden können, muss der Zugang besonders geschützt werden.
- Es sollte eine leistungsstarke Firewall installiert sein, um unbefugte Zugriffe von außen zu verhindern.
- Das Thema Social Engineering darf nicht unterschätzt werden. Hacker versuchen vermehrt Kontakte über Portale wie Xing, LinkedIn oder auch Facebook zu knüpfen, um das Vertrauen ihrer Opfer zu gewinnen und zum Beispiel über manipulierte E-Mails zu missbrauchen.
