Kategorie: EU-Datenschutzgrundverordnung
2. Juli 2018
Einem Bericht des Nachrichtenmagazins “Der Spiegel” nach hat der italienische Sammelalbenhersteller Panini mit erheblichen Sicherheitsproblemen zu kämpfen: Für Unbefugte bestand die Möglichkeit der Kenntnisnahme von personenbezogenen Daten anderer Kunden.
“Mypanini” ist ein Serviceangebot des Unternehmens, welches die Herstellung und Zusendung personalisierter Klebebildchen beinhaltet. Die Fotos, welche Kunden für ihre Sammelbilder vorsehen, werden über den eigenen Konterfei hochgeladen. Bis vor kurzem war es eingeloggten Nutzern möglich, hochgeladene Bilder und personenbezogene Daten anderer Kunden einzusehen. Zu den personenbezogenen Daten der Betroffenen zählten neben dem (oftmals eigenen) Foto regelmäßig der volle Name, das Geburtsdatum sowie der Wohnort des Nutzers.
Auch wenn Giorgio Aravecchia, Paninis Direktor für Neue Medien, bereits erklärte, dass die Datenpanne umgehend durch ein Sicherheitsupdate behoben wurde, ist der Vorfall als gravierend einzustufen: Auf den für Unbefugte einsehbaren Bildern waren oftmals Kinder abgebildet, teilweise mit nacktem Oberkörper und/oder im privaten Umfeld.
Es liegt nun an Panini einen dsgvo-konformen Umgang mit den personenbezogenen Nutzerdaten sicherzustellen und in diesem Zusammenhang die geeigneten technischen und organisatorischen Maßnahmen zu treffen, um solche Datenschutzpannen präventiv auszuschließen.
29. Juni 2018
Nachdem hier schon berichtet wurde, dass die Kalifornier über ein neues Datenschutz abstimmen wollen, wurde der “California Consumer Privacy Act” gestern vom Senat und Repräsentantenhaus des US-Bundesstaates gebilligt und von Gouverneur Jerry Brown unterzeichnet. US-Medien zufolge ist die schnelle Verabschiedung des Gesetzes auf den Druck von Verbraucherschützern zurückzuführen.
Das Gesetz, welche durch die am 25. Mai 2018 wirksam gewordene EU-Datenschutzgrundverordnung inspiriert wurde, wird am 1. Januar 2020 in Kraft treten.
Durch das Gesetz erhalten die Unternehmen die Pflicht offenzulegen, welche Verbraucherdaten sie speichern. Außerdem können Kunden und Nutzer die Verwendung ihrer persönlichen Daten zu kommerziellen Zwecken untersagen. Datenschutzverstöße sollen auch finanziell bestraft werden.
Damit reagiert Kalifornien auch auf den Facebook-Skandal, der wegen seines Umgangs mit persönlichen Daten unter massivem Druck steht.
Die IT-Industrie, die vehement gegen dieses Bürgerbegehren steuerte, ist über das schnelle Gesetz erfreut, da ein Gesetz künftig leichter wieder abgeändert werden kann als ein erfolgreicher Volksentscheid.
Ob die US-Regierung auf Bundesebene neue Datenschutzvorgaben macht, ist derzeit unklar.
28. Juni 2018
Das Personal der Bundesdatenschutzbeauftragten, Andrea Voßhoff, soll aufgestockt werden.
Laut dem Handelsblatt erhält die Bundesdatenschutzbeauftragte nach dem Entwurf zur Bereinigung des Bundeshaushalts fünfzig zusätzliche Stellen. Die Kosten für die Stellen werden laut diesem Entwurf auf etwa fünf Millionen Euro geschätzt.
Der Grund für die Aufstockung soll vor allem auch mit der DSGVO in Zusammenhang stehen. Mit der DSGVO entstehen nämlich neue Aufgaben für die Bundesdatenschutzbeauftragte.
Beispielsweise werden 10 Stellen für die zentrale Anlaufstelle veranschlagt, die für die Koordinierung zwischen den deutschen Datenschutzbehörden im Rahmen der Zusammenarbeit mit anderen europäischen Datenschutzbehörden und dem europäischen Datenschutzausschuss zuständig ist. Zudem sind 15 Stellen für die datenschutzrechtliche Kontrolle von Sicherheitsbehörden und den Informationsaustausch vorgesehen. Daneben erfolgt die Aufstockung unter Anderem für Stellen im steuerlichen Datenschutz und den Bereich der Akkreditierung von Zertifizierungsstellen.
Andrea Voßhoff selbst hatte insgesamt 67 zusätzliche Stellen gefordert. Dieser Forderung wird mit einer Aufstockung um 50 Stellen zwar nicht vollkommen entsprochen, jedoch soll die Begrenzung auf 50 Stellen laut dem Handelsausschuss auch mit der Schwierigkeit der Besetzung neuer Stellen zusammenhängen.
27. Juni 2018
Die EU-Datenschutzgrundverordnung beschäftigt derzeit auch die vielen Vereine. Um den Anforderungen der Verordnung gerecht zu werden, sollten einige Umsetzungsmaßnahmen auch in den einzelnen Vereinen erfolgen.
Neben der Erstellung eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO, sollten neben einer möglichen Einwilligung, personenbezogene Daten nur verarbeitet werden, wenn eine Rechtsgrundlage hierfür gegeben ist. Bei Vereinen dürfte der Vertrag über die Mitgliedschaft in Verbindung mit der Vereinssatzung in den meisten Fällen als Rechtsgrundlage i.S.d. Art 6 DSGVO dienen. Für einen Newsletterversand u.Ä. wäre darüber hinaus jedoch eine datenschutzkonforme Einwilligungserklärung nötig.
Die Mitglieder müssen zudem über die Datenverarbeitungsvorgänge informiert werden. Um möglichen Abmahnungen zu entgehen, sollten Vereine die Vereinswebsite prüfen und eine Datenschutzerklärung einfügen.
Es empfiehlt sich, ob rechtlich verpflichtet oder nicht, einen Datenschutzbeauftragten zu benennen, um im Verein einen Anpsprechpartner zu etablieren, der einen Überblick über die Datenschutzthemen behält.
Auch in der Fotografiebranche gab und gibt es aufgrund des Inkrafttretens der Datenschutzgrundverordnung (DSGVO) Rechtsunsicherheiten. Hintergrund ist, dass das Anfertigen und Veröffentlichen von Bildern, auf denen Personen zu erkennen sind, eine Verarbeitungstätigkeit personenbezogener Daten im Sinne der DSGVO darstellt, für das der datenschutzrechtliche Grundsatz des Verbots mit Erlaubnisvorbehalt gilt. Dies hat zur Folge, dass insbesondere für das Veröffentlichen die Einwilligung des betroffenen Abgebildeten selbst oder eine andere Rechtsgrundlage aus der DSGVO nötig ist, um die Verarbeitung zu legitimieren. Auf der Ebene des nationalen Rechts sieht allerdings auch das Kunsturhebergesetz (KUG) für das Veröffentlichen der Fotografien einige Ausnahmetatbestände vor. So können nach § 23 KUG etwa Bildnisse aus dem Bereich der Zeitgeschichte, Bilder von Versammlungen oder solchen, auf denen Personen nur als sogenanntes Beiwerk erscheinen, veröffentlicht werden, auch wenn keine Einwilligung des Betroffenen vorlag.
Nach Inkrafttreten der DSGVO ist nun allerdings umstritten, inwiefern die Vorschriften des KUG noch Anwendung finden, da die DSGVO in der Normenhierarchie über dem KUG steht und dessen Regelungen daher grundsätzlich verdrängt (wir berichteten).
In dem Beschluss des OLG Köln vom 18.06.2018 (Az. 15 W 27/18) hat sich nun das erste Gericht mit der Frage des Konkurrenzverhältnisses beschäftigt. Das OLG Köln vertritt dabei die Ansicht, dass Art. 85 DSGVO zugunsten der Verarbeitung für journalistische Zwecke von der DSGVO abweichende nationale Rechtsvorschrift erlaubt. Von dieser Erlaubnis seien nicht nur neue, sondern auch bereits bestehende Regelungen erfasst, soweit diese sich einfügen. Dabei seien keine strengeren Maßstäbe anzusetzen, weil Datenschutzvorschriften sonst stets die journalistische Arbeit beeinträchtigen würden. Im Kern würde Art. 85 DSGVO insbesondere keine konkreten materiell-rechtlichen Vorgaben machen, sondern nur voraussetzen, dass zwischen dem Datenschutz auf der einen Seite und der Meinungs- und Kommunikationsfreiheit auf der anderen Seite ein angemessener Ausgleich sichergestellt sei. Dies hätte zur Folge, dass das KUG weiterhin gelte, da auch die Vorschriften des KUG umfangreiche Abwägungen zwischen den entgegenstehenden Interessen, im Rahmen dessen auch unionsrechtliche Grundrechtspositionen zu berücksichtigen sind, vorsehe.
Der Beschluss des OLG Köln ist allerdings insgesamt unter der Prämisse zu sehen, dass das KUG Erlaubnistatbestände ausschließlich für das Veröffentlichen der Fotos, nicht aber für das Anfertigen selbst vorsieht. Für das Fotografieren selbst gilt damit ausschließlich die DSGVO. Eine rechtliche Einordnung des Fotografierens unter der DSGVO hat kürzlich die Datenschutzbehörde Brandenburg veröffentlicht.
20. Juni 2018
Die CDU/CSU-Fraktion strebt ein rasches Vorgehen gegen gewerbliche Abmahnungen bei DSGVO-Verstößen an. Mit ihrer Initiative, welche die Veranschlagung hoher Anwaltsgebühren im Rahmen missbräuchlicher Abmahnungen verhindern sollte, ist sie der fehlenden Unterstützung seitens der SPD wegen allerdings Anfang letzter Woche gescheitert. Die Initiative beinhaltete die vorübergehende Aussetzung der DSGVO-Abmahngebühren. Dafür sollte eine Klausel in den Gesetzentwurf zur Musterfeststellungsklage eingefügt werden.
Die SPD möchte das Problem grundlegender angehen und die Anwaltsgebühren wie im Urheberrecht deckeln. Weiterhin sollen sich Kläger den Klageort nicht mehr aussuchen dürfen. Parallel hierzu sieht sie das Innenministerium in der Pflicht, die Regelungen für Fotografen, für welche weiterhin das Kunsturheberrechtsgesetz gelten solle, verbindlich festzulegen und so die anhaltende Rechtsunsicherheit zu beseitigen.
Inzwischen ist man sich in der Koalition inhaltlich weitgehend einig und so soll spätestens Anfang September ein Gesetzentwurf zur generellen Bekämpfung des Abmahnmissbrauchs vorgelegt werden. Klares Ziel ist hier der Schutz kleiner und mittelständischer Unternehmen, gemeinnütziger Organisationen und Selbstständiger: Soweit diese geringfügig gegen Vorgaben der DSGVO verstoßen soll die Möglichkeit kostenpflichtiger Abmahnungen ausgeschlossen werden.
Auch wenn bereits vereinzelt Abmahnanwälte das Geschäft mit der DSGVO gewittert haben, ist ein flächendeckender Missbrauch dem Bundesverband der Verbraucherzentrale nach bislang nicht festzustellen, sodass das Scheitern der “Soforthilfe” durch die CDU/CSU-Fraktion, insbesondere im Hinblick auf den nun geplanten Gesetzentwurf aller Voraussicht nach keine schwerwiegenden Folgen nach sich ziehen wird.
14. Juni 2018
Der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des EU-Parlaments hat Anfang der Woche einen Resolutionsvorschlag mit knapper Mehrheit verabschiedet, in dem die Vereinbarkeit des Privacy Shields mit europäischen Datenschutzstandards stark kritisiert wird (wir berichteten). Damit appelliert der Ausschuss an die EU Kommission den Druck auf die US-Regierung zu erhöhen.
Der Privacy Shield ist ein Übereinkommen bezüglich datenschutzrechtlicher Anforderungen im Rahmen von Datentransfer zwischen den USA und der EU. Seit 2016 ermöglicht diese Übereinkunft offiziell die datenschutzkonforme Übermittlung von Daten aus EU-Ländern in die USA. In dem Resolutionvorschlag wird die EU-Kommission dazu aufgefordert, darauf zu achten, dass US-Behörden die bereits bestehenden Bedingungen des Privacy Shields erfüllen und dass die neuen Datenschutzbestimmungen der DSGVO eingehalten werden. Ein Kritikpunkt ist, dass immer noch keine Ombudsperson seitens der USA benannt wurde, an die sich EU-Bürger im Falle von Beschwerden wenden können. Des Weiteren wird der in den USA im März verabschiedete „Cloud Act“ kritisiert, der den Zugriff von US-Behörden auf im Ausland gespeicherte Daten über bilaterale Abkommen regeln soll.
Der Ausschuss schlägt dem EU Parlament vor, die EU Kommission dazu aufzufordern den Privacy Shield zu überarbeiten und andernfalls die Übereinkunft ab dem 1. September auszusetzen. Das EU Pralament wird voraussichtlich im Juli darüber beraten. Die finale Resolution ist für die Kommission jedoch nicht verbindlich.
12. Juni 2018
Wenn Nutzer der offiziellen App der Primera División Fußballspiele der spanischen Liga über die Smartphone-Applikation schauen, wird im Hintergrund das Mikrofon des Smartphones aktiviert. Dies räumte die Liga nun nach Inkrafttreten der DSGVO ein und begründete das Vorgehen damit, dass mit Hilfe der aufgezeichneten Audio-Dateien festgestellt werden könne, ob das Fußballspiel beispielsweise in einer Fußball-Kneipe und dort über einen Fernseher den Gästen gezeigt werde. Durch diese Information könne die spanische Liga kontrollieren, ob die entsprechende Kneipe auch die Gebühren dafür zahle oder den Gästen das Spiel in unberechtigter Weise zur Verfügung stellt. Neben den audiovisuellen Informationen teilt die App auch den Standort des Nutzers.
Hintergrund der Funktion sei, dass der Primera División pro Jahr ein Schaden von 150 Million Euro dadurch entstehe, weil viele öffentliche Gaststätten keine offizielle Lizenz für das Zeigen der Fußballspiele besitzen bzw. die Lizenzgebühr hierfür nicht bezahlen.
Mit der Vorgehensweise gerät die spanische Liga in Kritik, insbesondere da die App rund 10 Millionen Nutzer verzeichnet. Sie verteidigt sich allerdings damit, dass die Privatsphäre der Nutzer nicht in Gefahr sei, da die App nicht das reine Audio-Signal der Smartphones abgreife, sondern nur den sogenannten Binär-Code.
Die Verpflichtung für die Benennung eines Datenschutzbeauftragten folgt aus Art. 37 DSGVO. Interessant ist hier insb. Abs. 1 lit. c), wonach ein Datenschutzbeauftragter zu benennen ist, wenn „die Kerntätigkeit des Verantwortlichen […] in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 […] besteht.“
In einer Arztpraxis spielen Gesundheitsdaten eine wichtige Rolle. Um die Patienten angemessen behandeln zu können, ist es unabdingbar die Krankengeschichte und sonstige persönliche und medizinische Informationen einzuholen. Es stellt daher eine Haupttätigkeit eines Arztes und somit eine Kerntätigkeit im Sinne des Gesetzes dar.
Für die Bestimmung, ob ein Datenschutzbeauftragter bestellt werden muss, kommt es somit vorallem darauf an, ob eine „umfangreiche“ Verarbeitung vorliegt. Der Begriff „umfangreich“ ist in der DSGVO selbst nicht weiter definiert, findet allerdings in Art. 35 DSGVO, im Rahmen der Datenschutz-Folgenabschätzung, weitere Verwendung. In Erwägungsgrund 91 heißt es hierzu u.a.: „Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten, wenn die Verarbeitung personenbezogene Daten von Patienten […] betrifft und durch einen einzelnen Arzt […] erfolgt. In diesen Fällen sollte eine Datenschutz-Folgenabschätzung nicht zwingend vorgeschrieben sein.“
Daraus lässt sich schließen, dass bei vielen Gemeinschaftspraxen eine Bestellung notwendig sein wird. Gemäß § 38 BDSG (neue Fassung) ist dieses Erfordernis bei einer Beschäftigungszahl von 10 Personen in einer Praxis erfüllt.
Wie die Welt berichtet prüft die hessische Landesdatenschutzbehörde die Praktiken der Schufa hinsichtlich der in der Datenschutzgrundverordnung (DSGVO) verankerten Verbraucherrechte.
Die DSGVO bestimmt in den Art. 15 folgende, dass dem Betroffenen bestimmte Rechte wie zum Beispiel das Auskunftsrecht (Art. 15). Darüber hinaus gibt es Rechte hinsichtlich der automatisierten Entscheidung (Art. 22). Wenn ein Betroffener sein Auskunftsrecht wahrnimmt muss die verarbeitende Stelle “eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen” und das sowohl kostenlos als auch, bei einer elektronischen Anfrage “in einem gängigen elektronischen Format”. Hier liegt der erste Kritikpunkt der Datenschützer, bei der Schufa it lediglich die einmalige Herausgabe einer Datenkopie in Papierform unentgeltlich. Darüber hinaus kann die Erstellung und der Versand einer solchen bereits einige Tage oder Wochen vergehen. Die Schufa vertritt die Auffassung, dass nur bei einem Postversand gewährleistet sei, dass die Information bei dem richtigen Empfänger ankommt. Lediglich wer bereit ist ein einjähriges Abo für 3,95€ zuzüglich einer einmaligen Bereitstellungsgebühr von 9,95€ zu zahlen erhält alle Auskünfte elektronisch. Dabei wird der Betroffene anhand der Prüfziffer auf der Rückseite des Personalausweises verifiziert.
Weiterer Kritikpunkt ist, dass die Schufa ihren Scoring-Algotihmus zur Bonitätsprüfung nicht veröffentlicht und dies ebenfalls in Widerspruch zu den Anforderungen der DSGVO hinsichtlich automatisierter Entscheidungsfindung (Art. 22) steht. Den Betroffenen steht zu, “aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung” zu erhalten. Die Schufa ist nach der DSGVO also eigentlich verpflichtet, weitergehende Informationen hinsichtlich ihres Scoring-Algorithmusses zu veröffentlichen und diesen dadurch transparenter zu machen.
Zumindest in der Theorie wird den Betroffenen in der, an die DSGVO angepassten, Datenschutzerklärung eigene Rechte geltend zu machen.Wie dies umgesetzt wird bleibt allerdings abzuwarten und die Schufa ist davon auch nicht allein betroffen. Alle Auskunfteien müssen sich mit der Problematik der Betroffenenrechte auseinandersetzen.
Pages: 1 2 ... 23 24 25 26 27 ... 34 35 
