Kategorie: Allgemein
9. November 2023
Der Europäische Datenschutzausschuss (EDSA) hat am 27.10.2023 in einem beispiellosen Schritt Maßnahmen verabschiedet, die auch den Social-Media-Konzern Meta betreffen. Um diesen Maßnahmen Rechnung zu tragen hat Meta, der Betreiber von Facebook und Instagram, bereits angekündigt ein Bezahl-Abo einzuführen. Aufgrund dieser Neuerung erhalten Nutzer die Möglichkeit eines werbefreien Zugang gegen Bezahlung einer Gebühr. Anschließend hat sich am 02.11.2023 der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit über das Meta Bezahl-Abo geäußert (HmbBfDI).
Beschluss der Datenschutzkonferenz (DSK) zu Abo-Modellen auf Websites
Im Rahmen seiner Mitteilung über das Meta Bezahl-Abo verweist der HmbBfDI auf den Beschluss der Datenschutzkonferenz (DSK) zu Abo-Modellen auf Websites. Auf diesen Beschluss nahm Meta auch in seiner Ankündigung zum Abo-Modell Bezug. Der Beschluss verlangt unter anderem eine präzise Zustimmung, Transparenz und die Vermeidung irreführender Gestaltungsmittel. Nach Wertung des HmbBfDI sind diese Vorgaben auch bei dem kostenpflichtigen Abonnement von Meta umzusetzen.
Offene Fragen und laufender Dialog
Laut dem HmbBfDI bleibt die Frage, ob das zukünftige Modell diesen Anforderungen entspricht und eine datenschutzkonforme Lösung darstellt, vorerst unbeantwortet. Die deutschen Aufsichtsbehörden hätten bereits verschiedene Bedenken geäußert und würden nun eine nachvollziehbare rechtliche Prüfung durch die federführende Behörde in Irland erwarten. Derzeit befinde man sich im Dialog mit irischen Kollegen und anderen betroffenen nationalen Behörden, um diese wichtigen Fragen zu klären.
Fazit
Die jüngsten Entwicklungen zeigen, dass EU-Datenschutzbehörden die Rechte der Bürger schützen wollen. Weiterhin möchten sie sicherstellen, dass Digitalisierung im Einklang mit den Grundprinzipien der Privatsphäre erfolgt. Unternehmen, die in diesem Raum tätig sind, sollten sich auf strengere Datenschutzanforderungen einstellen und proaktiv Maßnahmen ergreifen, um den regulatorischen Anforderungen gerecht zu werden. Dies könnte auch eine Gelegenheit sein, den Schutz der Privatsphäre der Nutzer zu stärken und das Vertrauen in datenbasierte Dienste wiederherzustellen. Ob das Meta-Abo-Modell tatsächlich diesen Anforderungen genügt, bleibt abzuwarten. Schlussendlich wird die Umsetzung durch Meta eine genaue Prüfung durch die zuständigen Aufsichtsbehörden erfordern.
Whatsapp arbeitet aktuell an einer neuen Funktion für mehr Privatsphäre – das sogenannte Scheinprofil. Zuletzt führte der Messenger-Dienst neue Features wie die Anmeldung mit Passkeys und die Möglichkeit IP-Adressen während Anrufen zu verschleiern ein. Nun soll es zukünftig nach Angaben von WhatsappBetaInfo auch eine Neuerung zum Schutz des Profilbilds und des gewählten Namens geben.
Was ist neu?
Bis jetzt kann bei Whatsapp lediglich eingestellt werden, wer in der Lage sein soll das verwendete Profilbild zusehen. In diesem Zusammenhang kann man einstellen, dass nur eingespeicherte Kontakte das private Bild sehen und andere nur das grau-weiße Avatar-Bild.
Aktuellen testet der Messenger-Dienst eine Option, die es den Nutzern ermöglichen soll, ein alternatives Profilbild und einen anderen Namen anzulegen. Diese Informationen werden dann an alle Personen weitergegeben, die nicht in den Kontakten eingespeichert wurden. Das ermöglicht es den Auftritt gegenüber fremden Kontakten selbst zu bestimmen, während man gleichzeitig das persönliche Profilbild nicht mit Unbekannten teilen muss. Die gleiche Option soll es auch für den angezeigten Accountnamen geben. Zudem sollen zukünftig auch bestimmte Personen von Einsichtnahme des privaten Profils ausgeschlossen werden können, sodass sie nur das Alternativprofil erhalten.
Fazit
Wann diese neue Datenschutzfunktion für alle Nutzer verfügbar sein wird, ist noch unklar. Bis diese Einstellungsmöglichkeit final in der App existiert dürfte es noch einige Wochen oder Monate dauern. Jedenfalls trägt das Scheinprofil als neue Funktion bei Whatsapp dazu bei, die Nutzerprivatsphäre zu schützen und gleichzeitig flexible Gestaltungsmöglichkeiten zu ermöglichen.
Zwar bewahrt auch die aktuelle Option mit dem grau-weißem Avatar-Bild die Privatsphäre, sie stellt aber keine individuelle Lösung dar. Gerade in Zeiten, in denen Whatsapp immer häufiger im Business-Bereich verwendet wird, könnte dies eine gute Lösung sein, für Personen, die den Account gleichzeitig zu privaten Zwecken nutzen. In solchen Fällen sollte man allerdings dringend prüfen, ob man trotz der Verwendung von Whatsapp im Geschäftsbereich weiterhin alle Datenschutzvorschriften einhält.
8. November 2023
Anfang des Monats haben wir davon berichtet, dass der Betreiber der Dating-App Grindr eine 5,8 Millionen Euro Strafe an die norwegische Datenschutzbehörde zahlen muss. Nun geht Grindr gegen die Millionenstrafe vor. Laut Aussage seiner Datenschutzbeauftragten gegenüber dem öffentlich-rechtlichen Rundfunk Norwegens (NRK) vom 30.10.2023 leitet das Unternehmen rechtliche Schritte gegen das verhängte Bußgeld ein. Durch das Vorgehen der Behörde werde das Geschäftsmodell und die Betrugsbekämpfungsstrategien bezweifelt.
Hintergrund der Debatte
Ursprünglich sollte das Unternehmen Grindr etwa 10 Millionen Euro Strafe zahlen. Allerdings reduzierte man das Bußgeld wegen kooperativem Verhalten auf 5,8 Millionen Euro. Der hiergegen erhobene Einspruch von Grindr hatte keinen Erfolg. Rechtliche Ursache des Bußgeldes war die Weitergabe personenbezogener Daten für gezielte Werbung ohne die Einwilligung der Nutzer.
Grindr leitet nun rechtliche Schritte ein
Nun wehrt sich Grindr gegen diese Strafe. Das Unternehmen argumentiert, dass die norwegischen Datenschutzbehörden die Datenschutz-Grundverordnung (DSGVO) falsch interpretiert hat. Nicht sämtliche gesammelten Informationen seien als sensible Daten zu werten. Das damalige Vorgehen habe einem Industriestandard entsprochen, der mittlerweile nicht mehr verwendet werde.
Die Entscheidung der Aufsichtsbehörde könne dazu führen, dass entsprechende Dienst zukünftig in Europa nicht mehr angeboten werden könnten. Die Datenschutzbeauftragte Kelly Peterson Miranda führt aus, dass neben der gesamten Datenverarbeitung des Unternehmens auch Prozesse zur Betrugsbekämpfung und kontextbezogenen Werbung erheblich erschwert werden könnten.
Datenschutzbehörde bleibt standhaft
Die norwegische Datenschutzbehörde bleibt bei ihrer Entscheidung und betont, dass die Privatsphäre der Nutzer immer wieder von großen kommerziellen Unternehmen infrage gestellt wird. Solche Großkonzerne besäßen umfangreiche Ressourcen und seien bereit diese einzusetzen, um ihr Geschäftsmodell zu verteidigen.
Fazit
Dass Grindr gegen die Millionenstrafe vorgeht, überrascht wenig. Es handelt sich hier um den alten Kampf zwischen Datenschutz und Geschäftsinteressen mit dem Wunsch die Geldstrafe zu reduzieren und das Geschäftsmodell aufrechtzuerhalten. Erneut versucht ein Großkonzern mit dem Argument des vollständigen Rückzugs aus dem Markt Druck auf eine Aufsichtsbehörde auszuüben. Ob dieses Argument bei der norwegischen Behörde anschlagen wird, bleibt sehr fraglich. Schließlich hat die Realität doch schon häufig gezeigt, dass es am Ende für die betroffenen Unternehmen doch – wenn auch gegebenenfalls nicht ganz so lukrative – Lösungen gibt, um weiterhin den Dienst datenschutzkonform in Europa anzubieten.
7. November 2023
Sowohl die Datenwirtschaft der EU als auch von Japan wächst rasant. Deshalb haben laut Pressemitteilung der Europäischen Kommission vom 28.10.2023 die EU und Japan nun ein bahnbrechendes Abkommen unterzeichnet. Hierdurch soll der Datentransfer zwischen der EU und Japan einfacher, günstiger und effizienter gestaltet werden. Dieser Durchbruch wurde im Rahmen des EU-Japan High-Level Economic Dialogue (HLED) erzielt. Die Europäische Kommission bezeichnet den Vertrag als einen Meilenstein in den gemeinsamen Bemühungen, die Digitalisierung voranzutreiben.
Hintergrund des Abkommens
Bereits 2018 wollte die EU das japanische Datenschutzsystem anerkennen. Damit sollte Japan zu einem sogenannten „sicherem Drittland“ für den Datentransfer werden. Seit 2019 ist der Austausch personenbezogener Daten zwischen der EU und Japan nun uneingeschränkt erlaubt.
Im Oktober 2022 entschlossen sich die beiden Parteien dann dazu in Verhandlungen zur Aufnahme von Regeln für grenzüberschreitende Datenflüsse in das Wirtschaftspartnerschaftsabkommen (WPA) EU-Japan zu treten. Dadurch wolle die EU der modernen und digitalen Welt gerecht werdende Regeln zwischen den beiden Handelspartnern schaffen. Im Übrigen wies die Europäische Kommission darauf hin, dass vergleichbare Verhandlungen mit Korea und Singapur in Kürze folgen sollen.
Stärkung der Digitalwirtschaft in der EU und Japan
Die EU und Japan zählen beide zu den größten digitalen Volkswirtschaften der Welt. Deshalb ist internationaler Datenverkehr von entscheidender Bedeutung für ihre Entwicklung. Laut der Europäischen Kommission wende man sich mit dem Abkommen gegen digitalen Protektionismus und willkürliche Beschränkungen des Datenflusses.
Inhalt des Abkommens
Die Vereinbarung wird laut der Europäischen Kommission zu erheblichen Erleichterungen für Unternehmen in verschiedenen Branchen führen. Zum einen erleichtere man so Verwaltungs- und Speicheraufwand. Andererseits gebe man den Unternehmen ein vorhersehbares und sicheres Regelwerk als Orientierungshilfe. Die Vereinbarung beseitige teure Datenlokalisierungsanforderungen, die eine nicht erforderliche finanzielle Belastung für Unternehmen darstelle. Eine lokale Speicherung vor Ort bringe nicht nur erhöhte Kosten und komplexe Prozesse mit sich, sondern könne auch die Datensicherheit gefährden. Die Regeln seien im Einklang mit EU-Vorschriften zum Datenschutz.
Fazit
Die Vereinbarung zwischen der EU und Japan über grenzüberschreitende Datenströme markiert einen historischen Schritt in Richtung einer engeren digitalen Zusammenarbeit zwischen zwei der größten digitalen Wirtschaftsmächte der Welt. Sie vereinfacht den Datentransfer zwischen der EU und Japan und ebnet den Weg für eine effizientere und kostengünstigere Geschäftsabwicklung im Online-Bereich. Das Abkommen unterstreicht das Engagement beider Parteien für die Förderung der Digitalisierung und wendet sich gegen digitalen Protektionismus.
In einer Zeit, in der die Digitalisierung die Art und Weise, wie wir Geschäfte tätigen, revolutioniert, ist dies ein leuchtendes Beispiel für die Chancen und Möglichkeiten, die sich eröffnen, wenn Länder ihre Kräfte für eine gemeinsame digitale Zukunft bündeln. Es ist zu hoffen, dass dieses Abkommen auch für andere Länder und Regionen als Modell dient, um Wirtschaftswachstums zu Förderung. Wichtig ist, hierbei weiterhin grundlegende Datenschutzprinzipien und die digitale Freiheit der Bürger zu respektieren.
6. November 2023
Am 1.11.2023 hat das US-amerikanische New York Department of Financial Services (NYDFS) die zweite Änderung seiner Part 500 Cybersicherheitsregeln finalisiert und damit auch die Datenschutzregeln geändert. Neben den ursprünglich vor einem Jahr vorgeschlagenen Vorschriften, gibt es auch einige Neuerungen.
Neue Unternehmensgruppe: „Class A Companies“
Die wohl wichtigste Änderung stellt die Einführung der sogenannten „Class A Companies“ dar. Bei dieser Gruppe handelt es sich um NYDFS-regulierte Konzerne, die entweder mehr als 2.000 Angestellte haben oder über 1 Milliarde Euro Bruttojahresumsatz generieren.
Diese Unternehmen treffen besonders hohe Anforderungen. Zum einen sind sie dazu verpflichtet jährlich eine externe oder interne unabhängige Prüfung ihrer Cybersicherheitsprogramme durchzuführen. Weiterhin sollen sie eine Privileged Access Management-Lösung einführen sowie Methoden zum automatischen Blockieren häufig verwendeter Passwörter implementieren. Zuletzt müssen Betriebe Prozesse zur Überwachung und Protokollierung potenziell nicht autorisierter Aktivitäten schaffen.
Neuer Begriff: „Cybersecurity Incident”
Die aktualisierte Vorschrift führt den neuen Begriff „Cybersecurity Incident” ein. Obwohl der breitere Begriff „Cybersecurity Event” weiterhin in verschiedenen Abschnitten Verwendung findet, gilt „Cybersecurity Incident” speziell für Benachrichtigungen an das NYDFS. Die beiden Begriffe werden wie folgt definiert:
- Cybersecurity Event: Ein Cybersecurity Event ist jede Handlung oder Versuch, erfolgreich oder nicht, um unbefugten Zugang zu einem Informationssystem zu erlangen oder dieses zu stören oder die darauf gespeicherten Informationen zu missbrauchen.
- Cybersecurity Incident: Ein Cybersecurity Incident ist ein Cybersecurity Event, das beim betroffenen Unternehmen, seinen Tochtergesellschaften oder seinen Drittdienstleistern aufgetreten ist und entweder:
- das betroffene Unternehmen betrifft und dieses verpflichtet eine übergeordnete Aufsichtsorganisation zu benachrichtigen,
- eine hinreichende Wahrscheinlichkeit hat, einen wesentlichen Teil des normalen Betriebs des betroffenen Unternehmens erheblich zu schädigen, oder
- zum Einsatz von Ransomware innerhalb eines wesentlichen Teils der Informationssysteme des betroffenen Unternehmens führt.
72-Stunden-Meldepflicht nur für betroffenes Unternehmen
Das NYDFS reagierte zudem auf Kritik bezüglich der 72-Stunden-Benachrichtigungsanforderung gegenüber einer übergeordneten Aufsichtsorganisation. Das NYDFS änderte die Formulierung entsprechend und erklärte, dass es das betroffene Unternehmen und nicht etwa ein Dienstleister ist, der die Benachrichtigungspflicht trägt. Deshalb werde die 72-Stunden-Meldepflicht auch erst ausgelöst, wenn das betroffene Unternehmen von einem meldepflichtigen Vorfall Kenntnis erlangt hat.
Reduzierte Updatepflicht zu Datenschutzvorfällen
Das NYDFS präzisierte auch die Anforderung, Updates zu Datenschutzvorfällen bereitzustellen. Diese Anforderung bezieht sich nur auf materille Änderungen oder neue Informationen, die zuvor nicht verfügbar waren.
Umsetzungsfristen
Die meisten Änderungen sollen 180 Tagen nach Inkrafttreten der neuen Verordnung (1.11.2023), also am 29.04.2024, wirksam werden. Es gibt jedoch auch einige hiervon abweichende Übergangsfristen je nach dem, welche Bereiche betroffenen sind.
Fazit
Durch die beschriebenen Neuerungen werden auch Datenschutzregeln in New York geändert. Das NYDFS normiert hier insbesondere Schutzvorkehrungen und Meldepflichten, die Unternehmen beachten müssen. Auch für deutsche Firmen können diese von Bedeutung werden, wenn sie mit US-Unternehmen zusammenarbeiten oder dort Mutter- oder Tochtergesellschaften haben. Betroffene Unternehmen sollten bereits jetzt mit der Vorbereitung und finanziellen Planung der neuen Anforderungen starten. Konkret sollten Unternehmen vor allem prüfen, ob sie als „Class A Company“ klassifiziert werden. In einem nächsten Schritt müssen sie Dokumentationsprozesse aktualisieren, um den neuen Regeln Rechnung zu tragen.
3. November 2023
Encrochat-Datenbezug durch deutsche Staatsanwaltschaft
Nach Auffassung der Generalanwältin des Europäischen Gerichtshofs (EuGH) Tamara Ćapeta war der Encrochat-Datenbezug aus dem gehackten Kommunikationsdienst aus Frankreich durch die deutsche Staatsanwaltschaft zulässig. Hierzu hat sie am 26.10.2023 zur Rechtssache C-670/22 ihre Schlussanträge veröffentlicht.
Der zugrundeliegende Fall
Hintergrund war ein Fall, in dem die Berliner Staatsanwaltschaft Daten des geknackten französischen Kommunikationsdienst Encrochat über Wochen abgefragt hat. Zuvor hatten niederländische und französische Ermittler das gesicherte Chat-Netzwerk entschlüsselt. Die hierdurch erlangten Daten übergab man auch an deutsche Ermittlungsbehörden. So konnten sie umfangreich Chatverläufe über organisierte Kriminalität verfolgen. Hieraus folgte auch ein von der Berliner Staatsanwaltschaft eingeleitetes Strafverfahren gegen die Tatverdächtigen.
Antrag auf Vorabentscheidung vom Berliner Landgerichts
Im Rahmen der Hauptverhandlung stellte das Landgericht Berlin an den EuGH die Frage, ob die so durch die deutsche Staatsanwaltschaft erlangten Informationen im Strafverfahren verwertbar sind, ohne dass gegen EU-Vorschriften verstoßen wird. In dem Antrag auf Vorabentscheidung ging es um die Auslegung der Richtlinie über die Europäische Ermittlungsanordnung in Strafsachen (EEA). Für die Richter war fraglich, ob für das Erheben von Beweismitteln eine gerichtliche Genehmigung eingeholt werden muss, wenn dies in einem nationalen Verfahren in einem Mitgliedsstaat erforderlich ist.
Schlussfolgerung der EuGH-Generalstaatsanwältin
Die EuGH-Generalstaatsanwältin hält das Vorgehen für zulässig. Die Encrochat-Daten seien im Rahmen internationaler Rechtshilfe an deutsche Ermittlungsbehörden rechtmäßig übertragen worden. Eine EEA könne nur erteilt werden, wenn die hierin enthaltenen Maßnahmen in einer ähnlichen innerstaatlichen Situation anzuordnen wären. Der vorliegende Fall sei so zu behandeln, wie ein vergleichbarer in Deutschland stattfindender Fall, in dem Ermittler Beweise innerstaatlich von einem Strafverfahren in ein anderes überreichen.
Die Generalanwältin hebt hervor, dass die EEA-Richtlinie es der Berliner Staatsanwaltschaft gestattet, eine Ermittlungsanordnung zu erlassen. Nach dem deutschen Recht sei die Erteilung einer gerichtliche Genehmigung für eine ähnliche nationale Übertragung nicht erforderlich. Da hier somit keine Richtergenehmigung nötig sei, war die Berliner Staatsanwaltschaft nach ihrer Ansicht befugt, die einschlägige EEA zu erlassen und Informationen aus dem Encrochat aus Frankreich abzurufen. Ćapeta unterstreicht, dass die Kontrolle des Chat-Netzwerks von französischen Gerichten gestattet war. In der Bewertung der Zulässigkeit müsse man diesem Schritt dieselbe Bedeutung geben, den er in einem vergleichbaren innerstaatlichen Fall hätte.
Zuletzt meint sie, dass die Zulässigkeit von gegebenenfalls unter Verletzung von EU-Recht erlangten Beweisgegenständen nach nationalem Recht zu entscheiden ist, sofern die EU-Grundrechtecharta eingehalten wird.
Fazit
Das Vorgehen der Strafverfolgungsbehörden ist teilweise starker Kritik ausgesetzt. Es wird beanstandet, dass die vielen Verhaftungen auf Grundlage unzureichender Beweise und Ermittlungsvorgehensweisen erfolgt seien. Gerade vor dem Hintergrund des Schutzes personenbezogener Daten und des Rechts auf informationelle Selbstbestimmung ist der Umgang mit den Rechten der Beschuldigten fraglich. Deswegen ist die Frage der Zulässigkeit der Beweisverwertung von entscheidender Bedeutung und wird weiterhin Gegenstand intensiver Diskussionen sein. Zumindest hat das Bundesverfassungsgericht bereits kürzlich eine Verfassungsbeschwerde in dieser Angelegenheit nicht zur Entscheidung angenommen. Zuletzt ist noch festzustellen, dass die Schlussanträge der Generalanwältin für den EuGH keine Bindungswirkung haben. Allerdings werden sie häufig als erste Richtungsweiser betrachtet. Wie die konkrete Entscheidung am Ende ausfallen wird, bleibt abzuwarten.
2. November 2023
Meta führt Bezahl-Abo für werbefreie Nutzung ein
Ab November führt der Internet-Konzern Meta in Europa ein Bezahl-Abo für die werbefreie Nutzung von Social-Media-Diensten wie Instagram und Facebook ein. Das verkündete Meta am 30.10.2023 in einem Blogbeitrag. Damit reagiert der vormals als „Facebook“ bezeichnete Konzern auf veränderte und immer strenger werdende Datenschutzanforderungen.
Inhalt der Änderung
Zukünftig sollen sich Nutzer in der EU sowie der Schweiz, Island, Liechtenstein und Norwegen von Werbeanzeigen befreien können, indem sie monatlich 10 Euro bezahlen. Für User, die mehrere verknüpfte Accounts nutzen, wird nach einer Übergangsphase ab dem 01.03.2024 eine Zusatzgebühr von 6 Euro erhoben. Abonnements, die Nutzer auf dem Smartphone buchen, sind teurer. In diesem Fall beträgt die monatliche Gebühr 13 Euro und ab dem 01.03.2024 für jedes zusätzliche Konto 8 Euro. Der Grund der Preisgestaltung liegt darin, dass Anbieter von App-Stores wie Apple und Google für jede Zahlung eine Provisionsgebühr erheben. Durch die Preiserhöhung wälzt Meta diese Zahlung auf den Endkunden ab.
Reaktion auf veränderte Datenschutzanforderungen
Meta antwortet mit dem Abo-Modell auf die immer strenger werdende Datenschutzlage in Europa. Insbesondere zielt der Konzern auf das Problem der Zustimmung der Nutzer zur Verwendung ihrer Daten für personalisierte Werbung ab. Zudem bedarf es auch einer ausdrücklichen Zustimmung zum dienstübergreifenden Sammeln der Daten innerhalb eines Konzerns.
Nach Angaben von Meta genügen die Änderungen den Anforderungen der europäischen Regulierungsbehörden. Am Ende bliebe den Nutzern eine freie Wahl dahingehend, ob sie die werbefreie Nutzung bevorzugen oder weiterhin die kostenlosen Dienste im Austausch gegen ihre Daten nutzen möchten. Dies ermögliche es dem Social-Media-Unternehmen, weiterhin sämtlichen Nutzern in der Europa einen rechtskonformen Zugang zu den Netzwerken zu gewährleisten.
Die Reaktion folgt wahrscheinlich auch auf die zu Jahresbeginn von der irischen Datenschutzbehörde verhängte Strafe von 390 Millionen Euro aufgrund von Verstößen gegen Datenschutzbestimmungen. Sie verbot es hierdurch dem Unternehmen, die Vertrags-Rechtsgrundlage zur Ausrichtung personalisierter Werbung anhand der verfolgten Nutzeraktivitäten zu verwenden.
Fazit
Der Schritt von Meta kommt nicht überraschend. Bislang beruhte das Geschäftsmodell des Großkonzerns darauf, seinen Nutzern die Social-Media-Dienste kostenfrei zur Verfügung zu stellen. Anhand des individuellen Nutzerverhaltens wurden dann Userprofile erstellt. Hierdurch war es dem Unternehmen möglich im Anschluss Werbung passgenau an die entsprechende Zielgruppe auszuspielen und so Einnahmen zu generieren. Da dieses Vorgehen durch die neuen EU-Regeln, -Rechtsprechungen und -Behördenanordnungen immer weiter beschränkt wird, muss sich das Unternehmen neue Möglichkeiten einfallen lassen, um Umsätze zu erzielen. Nichtsdestotrotz gibt Meta weiterhin an, an ein freies für jedermann unabhängig vom Einkommen zugängiges “werbeunterstützes Internet“ zu glauben und sich hierfür weiterhin einsetzen zu wollen.
26. Oktober 2023
Wir freuen uns über die erneute Top-Platzierung im aktuellen Ranking der Kanzleimonitor*-Studie 2023-24 und bedanken uns bei allen Mandanten, die uns empfohlen haben!
Im Datenschutzrecht (Themenfelder: Erfassung & Verwertung von Informationen, Telekommunikation, Datenverarbeitung, Cloud-Computing, Social Media) haben wir es abermals deutschlandweit in die Top 10 geschafft. Mit zahlreichen Empfehlungen belegen wir den 6. Platz und können uns damit neben diversen Großkanzleien (u.a. Taylor Wessing) weiterhin in der Spitzengruppe der führenden Kanzleien im Datenschutz behaupten.
Es freut uns zudem, dass mit Dr. Karsten Kinast und Benjamin Schuh zwei unserer Rechtsanwälte als „Führende Anwälte Datenschutz“ gelistet werden.
Das positive Ergebnis in dieser Studie ist für unsere Kanzlei besonders wichtig, weil es sich hier um eine Bewertung aus dem Mandantenkreis handelt und zudem eine Einstufung durch die eigene Berufsgruppe der Juristen erfolgt.
Vielen Dank an alle Mandanten, die uns (wieder) empfohlen haben!
*Der Kanzleimonitor (kanzleimonitor.de – Empfehlung ist die beste Referenz) stellt jährlich ein umfassendes Ranking der 100 am häufigsten empfohlenen Anwälte und Kanzleien in jedem Rechtsgebiet zur Verfügung. Diese Übersicht soll Unternehmensjuristen aller Branchen als Auswahlkriterium für die Mandatierung von Wirtschaftskanzleien dienen.
25. Oktober 2023
Auch im Gesundheitswesen sind Datenschutz und die Weitergabe von sensiblen Patientendaten an Dritte von großer Bedeutung. Dabei müssen bestimmte datenschutzrechtliche Voraussetzungen beachtet werden, um den Schutz der Patientendaten zu gewährleisten.
Datenweitergabe im medizinischen Bereich
Datenschutz im medizinischen Bereich ist grundsätzlich ein anspruchsvolles Thema. Wenn es darum geht, Patientendaten an Dritte weiterzugeben, wird die Situation komplexer. Deshalb stellt sich die Frage, inwieweit Berufsgeheimnisträger wie Ärzte dies dürfen. Dies betrifft nicht nur die Übermittlung von Patientenakten an andere Kliniken oder Praxen, sondern auch die Versendung von Blutproben an ein Labor oder die Weitergabe von Informationen zu Abrechnungszwecken.
Bedeutung von Patientendaten im Datenschutz
Patientendaten umfassen eine Vielzahl sensibler Informationen, wie etwa die Krankengeschichte, Blutwerte und die Art konkreter Beschwerden. Diese Daten gelten als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO und genießen deshalb einen besonderen Schutz. Zusätzlich unterliegen sie der ärztlichen Schweigepflicht. Selbst pseudonymisierten Daten sind weiterhin personenbezogene Daten.
Erfordernis einer Rechtsgrundlage für die Datenweitergabe
Aufgrund der Datenschutzbestimmungen und der ärztlichen Verschwiegenheitspflicht, darf man Patientendaten nur in Ausnahmefällen an Dritte übermitteln. Eine Datenübermittlung ist ohne die ausdrückliche Einwilligung des Patienten oder eine andere gesetzliche Erlaubnis nicht gestattet.
Gesetzliche Rechtsgrundlagen
Wenn eine gesetzliche Rechtsgrundlage vorliegt, bedarf es keiner zusätzlichen Einwilligung der Patienten. Dies gilt in begrenztem Umfang in den folgenden Fällen:
- Abrechnung bei Krankenkassen für Versicherte
- Prüfung der Arbeitsfähigkeit durch den Medizinischen Dienst der Krankenversicherung (MDK)
- Sozialleistungsträger
- Berufsgenossenschaften bei Berufskrankheiten
- Gesundheitsämter
- Datenschutzbehörden
- Polizei oder Staatsanwaltschaft zur Verhinderung von Straftaten.
Ausdrückliche Patienteneinwilligung
In Fällen ohne gesetzliche Erlaubnis, ist die Einwilligung der Patienten erforderlich (Art. 6 Abs. 1 lit. a i. V. m. Art. 7 DSGVO). Dann müssen die Patienten transparente und umfassende Informationen über den Zweck der Datenübertragung und die jeweiligen Empfänger erhalten. Die Einwilligung sollte klar, eindeutig und idealerweise schriftlich erfolgen.
Die Privatärztlichen Verrechnungsstellen (PVS)
PVS sind Dienstleister, die Laboren, Arztpraxen und Krankenhausverwaltungen bei der Abrechnung medizinischer Leistungen helfen. In einigen Fällen wird angenommen, dass der Behandlungsvertrag als ausreichende Rechtsgrundlage dient (Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG). Dies ist allerdings umstritten und aktuell noch nicht abschließend geklärt. Aus diesem Grund raten wir, sich auch in solchen Fällen um eine Einwilligung der Patienten zu bemühen.
Konsequenzen einer rechtswidrigen Datenweitergabe
Wenn keine Rechtsgrundlage für die Datenweitergabe besteht und trotzdem Daten übertragen werden, handelt es sich um einen Datenschutzverstoß. Dies kann schnell zu Bußgeldern auf Grund von Datenschutzrecht oder zur Geltendmachung von Schadensersatzansprüchen durch die Patienten führen. Darüber hinaus kann es sich auch um einen Verstoß gegen das Berufsgeheimnis handeln, woraus gemäß § 203 StGB eine Geld- oder Freiheitsstrafe folgen kann.
Fazit
Die Weitergabe von sensiblen Patientendaten ist und bleibt ein anspruchsvolles Thema. Es ist von großer Bedeutung, die datenschutzrechtlichen Prozesse in Arztpraxen und Krankenhäusern entsprechend anzupassen. In den meisten Fällen empfiehlt es sich, Einwilligungen für die erforderliche Datenweitergabe einzuholen, um Bußgelder oder sogar strafrechtliche Konsequenzen zu vermeiden. Wir als Externer Datenschutzbeauftragter helfen Ihnen gerne beim Implementieren entsprechender Prozesse weiter.
23. Oktober 2023
Die Bekämpfung von Finanzkriminalität und Geldwäsche ist von großer Bedeutung, doch wie weit dürfen wir dabei in die Privatsphäre der Bürger eindringen? Im Zentrum dieser Diskussion steht der Gesetzentwurf zur Verbesserung der Bekämpfung von Finanzkriminalität (Finanzkriminalitätsbekämpfungsgesetzes). Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, kritisiert das geplante Finanzkriminalitätsbekämpfungsgesetzes (FKBG). In einer Pressemitteilung vom 18. Oktober 2023 äußert er datenschutz- und verfassungsrechtliche Bedenken.
Das geplante Bundesamt zur Bekämpfung von Finanzkriminalität (BBF)
Der FKBG-Gesetzentwurf präsentiert ein umfassendes Maßnahmenpaket zur Bekämpfung von Geldwäsche. Das Herzstück des FKBG ist die Schaffung eines eigenständigen Bundesamts zur Bekämpfung von Finanzkriminalität (BBF). Dieses soll bereits am 1. Januar 2024 dem Bundesfinanzministerium unterliegend eingerichtet werden. Das neue Amt soll Datenanalyse, straf- und verwaltungsrechtliche Ermittlungen sowie geldwäscherechtliche Aufsicht miteinander verknüpfen, um die Finanzkriminalität nachhaltig zu bekämpfen. Besonderes Augenmerk liegt auf dem neu geschaffenen Ermittlungszentrum Geldwäsche innerhalb des BBF. Dieses Zentrum erhält weitreichende polizeiliche Befugnisse und umfassende Datenverarbeitungsberechtigungen, die tief in die Privatsphäre der Bürger eingreifen könnten. Man wolle die Kompetenzen des Bundeskriminalamtes hierdurch nicht beschränken.
Neue Ermittlungsberechtigungen und niedrigerer Verdachtsgrad
Das neue Gesetz soll zusätzliche Ermittlungsbefugnisse einführen und den bisher zur Aufnahme von Ermittlungen erforderlichen Verdachtsgrad reduzieren.
Aktuell sind in diesem Bereich strafrechtliche Untersuchungen nur zulässig, wenn ein Anfangsverdacht vorliegt. Das ist der Fall, wenn hinreichende tatsächliche Anhaltspunkte für eine verfolgbare Straftat vorliegen. Nach der neuen Regelung sollen Ermittlungsbefugnisse schon dann entstehen, wenn Unklarheit über den wirtschaftlich Befugten oder die Herkunft eines relevanten Vermögensgegenstandes existiert. Das erhöht die Ermittlungsbefugnisse signifikant, da Verdachtsmomente für eine rechtswidrige Herkunft von Vermögen im Vergleich zu Anhaltspunkten für eine konkrete Straftat sehr oft vorkommen.
Im Übrigen ist eine Erweiterung der prozessrechtlichen Befugnisse vorgesehen. So sollen Telekommunikationsüberwachung und Online-Durchsuchungen in Zukunft unabhängig davon erlaubt sein, aus welcher konkreten Vortat das rechtswidrig erlangte Vermögen herrührt. Momentan existieren diese Befugnisse nur bei besonders schweren Vortaten. So reicht aktuell einfacher Betrug nicht aus, während man bei Straftaten im Bereich des Drogen- und Menschenhandels diese strafprozessrechtlichen Instrumente heranziehen darf.
Bedrohte Privatsphäre und Doppelzuständigkeiten laut BfDI
Die Ressortabstimmung hat einige der Kritikpunkte des BfDI berücksichtigt, was er positiv anerkennt. Andererseits weist er darauf hin, dass der aktuelle Gesetztesentwurf massive neue Eingriffsbefugnisse etabliert. Das geschehe ohne, dass die im Koalitionsvertrag bis Ende 2023 vorgesehene Kontrolle der Sicherheitsgesetze im Rahmen einer Überwachungsgesamtrechnung stattgefunden hat. Ohne eine vollständige Bewertung bestehender Sicherheitsmaßnahmen riskiere man massive neue Eingriffe, deren Konsequenzen man nur schwer rückgängig machen könne.
Besonders besorgniserregend sei zudem die mangelnde Abgrenzung zur Zuständigkeit des Bundeskriminalamtes im Bereich der Geldwäschebekämpfung. Der BfDI betont, dass durch solche Doppelzuständigkeiten das Risiko übermäßiger und doppelter Datensammlung gesteigert wird. Insgesamt läge hierin eine wachsende Gefahr für die Rechte und Freiheiten der Bürger.
Fazit
Es steht außer Frage, dass die Bekämpfung von Finanzkriminalität von größter Bedeutung ist. Zu begrüßen ist auch, dass die Koalition mit dem Gesetzesentwurf einen weiteren Punkt des Koalitionsvertrages in Angriff nimmt. Allerdings darf dies nicht auf Kosten des Datenschutzes und der Privatsphäre gehen. Hingegen sollten Datenschutz und Finanzkriminalitätsbekämpfung Hand in Hand gehen, um eine gerechte und sichere Gesellschaft zu schaffen. Der BfDI kritisiert insofern zu Recht das geplante FKBG. Die von ihm geforderte gründliche Prüfung des geplanten Gesetzes, ist nötig, um sicherzustellen, dass die vorgeschlagenen Maßnahmen den verfassungsrechtlichen Anforderungen und dem Datenschutz der Bürger gerecht werden. Dabei sollten die entsprechenden Vorgaben bereits im Rahmen des Gesetzgebungsverfahrens beachtet werden, anstatt wie so oft voreilig ein ungenügendes Gesetz zu erlassen, dass im Anschluss korrigiert werden muss. Welche konkreten Regelungen das finale Gesetz enthalten wird, bleibt abzuwarten.
Pages: 1 2 3 4 5 6 7 ... 207 208 
