Kategorie: EU-Datenschutzgrundverordnung
12. März 2018
Foodwatch Deutschland testete mehrere Lebensmittel-Lieferdienste (u.a. Amazon Fresh, Allyouneedfresh, Mytime).
Dabei wurde deutlich, dass viele Lieferdienste zur Verarbeitung der Bestellung die Angabe nicht erforderlicher Daten verlangten, wie z.B. das Geburtsdatum. Das Geburtsdatum ist lediglich bei Bonitätsprüfungen (bei Zahlung auf Rechnung) oder beim Kauf von Alkoholika notwendig.
Auch die Kontrolle der Shops durch Kontrollbehörden wird als mangelhaft angesehen. „Im Onlinehandel besteht ein echtes Kontrolldefizit, weil die Lebensmittelüberwachung nicht zeitgemäß aufgestellt ist. Die kommunal und offline organisierten Kontrollbehörden sind noch nicht im globalen Online-Zeitalter angekommen. Die zuständigen Lebensmittelkontrolleure schaffen es schlichtweg nicht, neben dem Bäcker vor Ort auch noch die großen Online-Supermärkte und die unzähligen Nischenanbieter im Internet zu kontrollieren, die zufällig ihren Sitz in diesem Ort haben.“ , sagte Martin Rücker, Geschäftsführer foodwatch Deutschland.
Außerdem benutzen die Lieferdienste bis auf Allyouneedfresh eine hohe Anzahl von Trackern, oft völlig unbemerkt. Damit sammeln sie ohne Wissen des Nutzers Informationen über das Nutzerverhalten.
Es besteht mithin ein großer Bedarf an datenschutzrechtlichen Maßnahmen sowie an Kontrollmaßnahmen bei den Lebensmittel-Lieferdiensten.
Das Bayerische Landesamt für Datenschutzaufsicht hat gemeinsam mit dem Bayerischen Landesbeauftragten für Datenschutz einen Leitfaden zur Umsetzung der Datenschutzgrundverordnung in bayerischen öffentlichen und privaten Krankenhäusern veröffentlicht. Ziel des Leitfadens ist es, praktische Hinweise zur Umsetzung der DSGVO zur Verfügung zu stellen und bestehende Unsicherheiten abzubauen. Da es bislang nur wenige Hilfstellungen in diesem Bereich gab, war es das erklärte Ziel beider Datenschutzaufsichtsbehörden, erste Hinweise zur Auslegung der DSGVO im Bereich des Gesundheitsdatenschutzes zu geben. Der Leitfaden eignet sich zur Orientierung ebenfalls für Krankenhäuser in anderen Bundesländern.
Schwerpunkt des Leitfadens ist das Datenschutzmanagement, um den erhöhten Anforderungen der DSGVO Rechnung zu tragen. Nach Auffassung der Verfasser sollte das Datenschutzmanagement im Wesentlichen neun Punkte erhalten. Genannt wird in diesem Zuge unter anderem die Festlegung eines Teams, das zur Umsetzung der datenschutzrechtlichen Anforderungen den Datenschutzbeauftragten unterstützen soll. Darüber hinaus enthält der Leitfaden Handlungsempfehlungen zur Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten, der Auflistung von Datenschutzkonzepten für Verfahren und Auftragsverarbeitungsverträgen, sowie der Erstellung von Datenschutzfolgenabschätzungen. Zudem werden die Punkte der Risikoabschätzung, der Behandlung von Datenschutzverletzungen sowie der Implementierung von Informationspflichten und der Umsetzung von Betroffenenrechten thematisiert.
8. März 2018
Zeitgleich mit der neuen EU-Datenschutzgrundverordnung (DSGVO) tritt am 25.5.2018 ein neues nationales Umsetzungsgesetz in Kraft, das neue Bundesdatenschutzgesetz (BDSG). Neben dem großen Anwendungsbereich der unternehmerischen Datenverarbeitung wirkt das Datenschutzrecht auch in die Vereine und somit in die ehrenamtlichen Tätigkeiten fort.
Sobald ein Verein personenbezogene Daten seiner Mitglieder erhebt, verarbeitet oder nutzt, ist auch für den eingetragenen Verein der Anwendungsbereich gem. § 1 Abs. 4 Satz 2 Nr. 1 BDSG-neu eröffnet. Es greift hierbei keine der Ausnahmeregelung im Sinne des § 1 Abs.6 BDSG-neu i.V.m. Art. 6 Abs. 2 DSGVO. Insbesondere deswegen nicht, weil der Verein diese Datenverarbeitung nicht als natürliche Person für persönliche oder familiäre Zwecke ausübt.
Innerhalb eines typischen Vereins fallen somit eine Vielzahl von organisatorischen Tätigkeiten unter den Begriff der „personenbezogenen Datenverarbeitung“; allein schon durch die Speicherung eines Aufnahmeformulars, das in der Regel alle wichtigen persönlichen Daten enthält (Name, Adresse, Geburtstag, E-Mail-Adresse, Kontodaten usw.). Sollte der Verein weiterhin sogar Daten veröffentlichen oder an Dritte weitergeben, befindet sich der Verein im grundrechtlich sensiblen Bereich.
Nach dem BDSG müsste die Datenverarbeitung durch den Verein zunächst zulässig sein, was nur dann der Fall ist, wenn die Datenverarbeitung ausdrücklich gesetzlich normiert ist oder eine Einwilligung der Personen, deren Daten verarbeitet werden, vorliegt.
Als Rechtsgrundlage kommt § 26 BDSG-neu, vor allem dann nicht in Betracht, wenn die Daten nicht mehr für den Vereinsablauf dringend nötig sind (Fotos, Kleidergrößen, Geburtsdaten).
Vereine, die sensible Daten ihrer Mitglieder verwalten, kommen somit nicht an einer ausdrücklichen Einwilligung zur Datenverarbeitung gem. § 26 Abs. 2 BDSG-neu vorbei.
Eine gängige Praxis in den Vereinen scheint zu sein, sich bereits mit der Unterschrift zum Vereinseintritt eine Einwilligung zur Datenverarbeitung erteilen lassen. Dieser verständliche Wunsch nach Vereinfachung des Verfahrens widerspricht jedoch dem schon länger bestehenden Kopplungsverbot, das auch in der neuen DSGVO wieder verankert wurde (Art. 7 Abs. 4 DSGVO).
Eine ausdrückliche Einwilligung kann somit auch bei Vereinen die einzige Absicherung sein, personenbezogene Daten von seinen Mitgliedern zu sammeln.
Vereine können sich in der Broschüre des baden-württembergischen Datenschutzbeauftragten informieren.
7. März 2018
Am 25. Mai 2018 tritt die EU-Datenschutzgrundverordnung (DSGVO) in Kraft, allerdings besteht noch viel Nachholbedarf diesbezüglich.
Allein auf Bundesebene sind 154 Rechtsnormen an die neue Verordnung anzupassen. Die meisten Bundesländer hinken dabei jedoch noch hinterher. Dies sorgt für viel Rechtsunsicherheit im Hinblick auf die Einführung der DGSVO. Auch ein Bußgeldkatalog wurde bisher von der Bundesregierung nicht vorgelegt.
Auf Seiten der Behörden verläuft die Vorbereitung auf die neue Verordnung ebenfalls nur schleppend. Ein großer Personalmangel herrscht bei den Datenschutzbehörden, welcher sich aufgrund des wachsenden Zuständigkeits- und Verantwortungsbereiches durch die DSGVO weiter verschlimmern wird.
Es ist abzuwarten, wie die Länder und die Bundesregierung sich noch bis zum 25. Mai auf die DSGVO vorbereiten.
27. Februar 2018
In einem Unternehmen gibt es zahlreiche sensible Daten, die jeden Tag verarbeitet werden. Sei es in Form von Speichern von sensiblen Daten oder im Versenden dieser an Vertragspartner.
Dennoch ergab eine Umfrage des Bundeswirtschaftsministeriums, dass ein Viertel der mittelständischen Unternehmen keine Verschlüsselungstechniken bei ihren Verarbeitungstätigkeiten anwenden. Bei Großunternehmen sind es lediglich 10 %, die es mit der Verschlüsselung nicht ganz so genau nehmen.
Es zeichnen sich auch erhebliche Branchenunterschiede ab. IT- und Telekommunikationsunternehmen speichern und tauschen mit Dritten nur verschlüsselt Daten aus. In der Autobranche sind es beispielsweise jedoch nur zwei Drittel, die verschlüsselt arbeiten.
Als Grund werden technischer und finanzieller Aufwand genannt sowie Komforteinbußen täglicher Arbeit.
„Informationen in einer unverschlüsselten E-Mail sind etwa genauso geschützt wie die auf einer Postkarte“, sagte Brigitte Zypries (SPD), die geschäftsführende Bundeswirtschaftsministerin.
Aus diesem Grund entwickelte das Bundeswirtschaftsministerium auch einen Kompass für Unternehmen, wie man am besten Daten verschlüsseln kann.
Eine ausdrücklich abgegebene Einwilligung (z.B. durch das Anklicken eines Kästchens auf einer Webseite, also ein sog. Opt- In) darf sich nach der neusten Rechtsprechung des Bundesgerichtshofs (BGH) auch auf mehrere Kommunikationskanäle (Telefon, SMS, MMS, E-Mail, etc.) gleichzeitig beziehen.
Das hat der BGH in seinem Urteil vom 1. Februar 2018 – III ZR 196/17 mit folgender Begründung entschieden:
Eine Einwilligungsklausel für weiteren Werbekontakt zwischen Anbietern und Kunden stellt zwar keine Allgemeine Geschäftsbedingung (AGB) im engeren Sinne dar, muss sich aber an den §§ 305 ff. des Bürgerlichen Gesetzbuches (BGB) messen lassen. Einer Inhaltskontrolle gem. § 307 Abs. 1 und 2 BGB hält eine auf mehrere Kanäle bezogene Einwilligung stand, weil sie keine unangemessene Benachteiligung der Kunden darstelle. Maßstab hierfür ist § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG), der eine unzumutbare Belästigung nur bei fehlender Einwilligung bejaht. § 7 Abs. 2 Nr. 2 UWG setzt dabei Art. 13 Abs. 3 der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation um.
Fazit: Laut BGH ist für Werbung unter Schutzzweckgesichtspunkten eine gesonderte Einwilligung für jeden Werbekanal nicht erforderlich.
Weiterer Hinweis: Nach der am 25. Mai 2018 in Kraft tretenden EU-Datenschutzgrundverordnung (DSGVO) sind die sog. Opt- Out- Verfahren (also ein bereits gesetzter Haken in einem Einwilligungskästchen) unzulässig.
23. Februar 2018
In der DSGVO nehmen Gesundheitsdaten eine besondere Stellung ein. In der stationären Pflege und in Krankenhäusern muss zwischen Einrichtungen in kirchlicher Trägerschaft und denen in privater oder staatlicher unterschieden werden. Bei den kirchlichen Trägerschaften gilt die Anordnung über den Kirchlichen Datenschutz (KDO) und das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD).
Bei staatlichen oder privaten Trägerschaften sollte insbesondere den Umgang mit Gesundheitsdaten, vor dem Hintergrund der DSGVO nochmals überprüft werden .
Welche Informationen gehören zu den Gesundheitsdaten?
In der DSGVO (Art. 4 Nr. 15) gibt es eine Erläuterung:
„Gesundheitsdaten“ sind demnach personenbezogene Daten, „die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“.
Gesundheitsdaten gehören -wie schon nach dem BDSG- auch nach der DSGVO zu der besonderen Kategorie personenbezogener Daten. Neu dazugekommen sind genetische Angaben und biometrische Daten zur eindeutigen Identifikation einer Person. Für Gesundheitsdaten gilt eine besondere Schutzbedürftigkeit.
Daher besteht ein grundsätzliches Verbot der Verarbeitung dieser Daten. Eine Verarbeitung ist nur unter bestimmten Voraussetzungen möglich (Art. 92a-j DSGVO). Es bedarf einer Einwilligung des Betroffenen oder eines Rechtfertigungsgrundes.
Organisationen im Sozial- und Gesundheitswesen sollten sich daher rechtzeitig auf die neuen Anforderungen der DSGVO einstellen.
Laut Andreas Wiegenstein sind Kundenportale von Energieversorgern nicht ausreichend geschützt.
Ebenso wie andere Unternehmen sind auch Energieversorger verpflichtet den Anforderungen an Datenschutz und Datensicherheit nachzukommen. Nach einem Artikel von Andreas Wiegenstein kommen sie diesen Anforderungen jedoch in nur unzureichendem Maße nach.
Gerade bei Kundenportalen soll ein nicht ausreichender Schutz von Kundenkonten gegen Angreifer bestehen, obwohl die Kunden dort sensitive Daten eingeben. Die Angreifer benötigen zwar einige Informationen für einen Zugriff, jedoch ließen sich diese laut Wiegenstein zu leicht beschaffen. So sollen sich speziell die scheinbar sicheren Kundennummern und Zählernummern ohne erhebliche Probleme herausfinden lassen.
Neben einer unzureichenden Absicherung der Kundenkonten bemängelt Wiegenstein zusätzlich die Absicherung beim Transport der Daten.
Im Ergebnis fordert er für die Zukunft zusätzliche Sicherheitsmaßnahmen, um einen ausreichenden Schutz zu gewährleisten. Andernfalls seien für die Zukunft erhebliche Probleme bei der Einhaltung der DSGVO absehbar.
20. Februar 2018
Vor wenigen Tagen hat der Social-Media-Riese Facebook seine Einstellungen für die Privatsphäre überarbeitet. Im Rahmen der Änderungen hat es auch erstmalig seine Datenschutzgrundlagen veröffentlicht und zeigt in diesen auf, welche Informationen der Nutzer zu welchem Zweck gesammelt und geteilt werden. Bislang hatte Facebook diese in langen und intransparenten Nutzungsbedingungen vorgehalten.
Darüber hinaus kündigte das US-amerikanische Unternehmen an, innerhalb seines Netzwerkes mit einem sogenannten Privacy Center online zu gehen. Das Privacy Center soll für die Nutzer alle datenschutzrechtlich relevanten Einstellungen bündeln und damit die Verwaltung und den Schutz der Informationen erleichtern. Mit zukünftigen Erklärvideos in der Timeline will Facebook seine Nutzer auf das neue Feature aufmerksam machen und deren Bewusstsein für sichere Privatsphäreeinstellungen steigern. Ein konkretes Datum, wann das Privacy Center für die Nutzer zur Verfügungen stehen soll, gab Facebook allerdings nicht an.
Mit Einführung des Privacy Centers trägt Facebook insbesondere den künftigen, gesetzlichen Pflichten der DSGVO Rechnung, nach denen Unternehmen ihren Nutzern den Umgang mit personenbezogenen Daten einheitlich und transparent präsentieren müssen und die Nutzer dabei insbesondere detailliert über die Art, den Umfang und die Zwecke der Verarbeitung informieren müssen.
19. Februar 2018
Eine repräsentative Umfrage unter rund 700 Unternehmen der Informationswirtschaft ab 5 Beschäftigte ergab, dass mehr als die Hälfte der deutschen Werbeunternehmen (55,9%) sich noch keine Gedanken um die Datenschutzgrundverordnung (DSGVO), die am 25.5.2018 in Kraft tritt, gemacht haben. Dies meldete das Zentrum für europäische Wirtschaftsforschung (ZEW).
Demnach besteht ein großer Nachholbedarf bei der Umsetzung der neuen Anforderungen der DSGVO, da Werbeunternehmen ein sehr wichtiger Adressat dieser Verordnung sind.
Nur wenn alle Unternehmen die neuen Anpassungen umsetzen, kann der Schutz von personenbezogenen Daten innerhalb der EU und die Ermöglichung eines freien Datenverkehrs innerhalb des EU-Binnenmarkts gewährleistet werden.
Der Anteil der Unternehmen der Informationswirtschaft, die im Dezember 2017 eine vollständige Umsetzung der DSGVO verzeichnen konnten, belief sich auf 5 %.
70% der Unternehmen haben entweder noch gar nicht (42,9%) damit beschäftigt die Vorgaben in die Praxis umzusetzen oder gerade erst damit begonnen (25,6%).
Die Zuversicht der Unternehmen bis Ende Mai 2018 die Anpassungen erfolgreich umsetzen zu können, verwundert Dr. Jörg Ohnemus, stellvertretender Leiter des ZEW Forschungsbereichs “Digitale Ökonomie”.
Um hohe Bußgelder zu vermeiden, sollten Unternehmen sich so schnell wie möglich an die neuen Anforderungen der DSGVO anpassen.
Pages: 1 2 ... 25 26 27 28 29 ... 34 35 
