Kategorie: EU-Datenschutzgrundverordnung
19. Februar 2018
Eine repräsentative Umfrage unter rund 700 Unternehmen der Informationswirtschaft ab 5 Beschäftigte ergab, dass mehr als die Hälfte der deutschen Werbeunternehmen (55,9%) sich noch keine Gedanken um die Datenschutzgrundverordnung (DSGVO), die am 25.5.2018 in Kraft tritt, gemacht haben. Dies meldete das Zentrum für europäische Wirtschaftsforschung (ZEW).
Demnach besteht ein großer Nachholbedarf bei der Umsetzung der neuen Anforderungen der DSGVO, da Werbeunternehmen ein sehr wichtiger Adressat dieser Verordnung sind.
Nur wenn alle Unternehmen die neuen Anpassungen umsetzen, kann der Schutz von personenbezogenen Daten innerhalb der EU und die Ermöglichung eines freien Datenverkehrs innerhalb des EU-Binnenmarkts gewährleistet werden.
Der Anteil der Unternehmen der Informationswirtschaft, die im Dezember 2017 eine vollständige Umsetzung der DSGVO verzeichnen konnten, belief sich auf 5 %.
70% der Unternehmen haben entweder noch gar nicht (42,9%) damit beschäftigt die Vorgaben in die Praxis umzusetzen oder gerade erst damit begonnen (25,6%).
Die Zuversicht der Unternehmen bis Ende Mai 2018 die Anpassungen erfolgreich umsetzen zu können, verwundert Dr. Jörg Ohnemus, stellvertretender Leiter des ZEW Forschungsbereichs “Digitale Ökonomie”.
Um hohe Bußgelder zu vermeiden, sollten Unternehmen sich so schnell wie möglich an die neuen Anforderungen der DSGVO anpassen.
13. Februar 2018
Mittlerweile sollte zumindest unseren regelmäßigen Lesern bekannt sein, dass am 25. Mai 2018 umfangreiche neue Datenschutzvorschriften in Form der europäischen Datenschutzgrundverordnung (DSGVO) und dem neuen Bundesdatenschutzgesetz (BDSG-neu) in Kraft treten werden.
Und wenn Sie diese wiederholte Erinnerung jetzt als nervig empfinden, dann sind Sie damit nicht alleine!
Denn laut einer aktuellen repräsentativen Umfrage des Zentrums für Europäische Wirtschaftsforschung (ZEW) sind besonders deutsche Unternehmen genervt vom Datenschutz und fürchten Nachteile durch die bevorstehenden rechtlichen Neuerungen. So geht die Mehrheit der Befragten davon aus, dass die rechtskonforme Umsetzung die Geschäftsprozesse insgesamt verkomplizieren wird. Darüber hinaus wird die EU-DSGVO von deutschen Unternehmen überwiegend als zusätzliche Kosten- und Arbeitsbelastung empfunden.
Außerdem sehen europäische Unternehmen in den, im direkten Vergleich mit den USA und China, deutlich strengeren Regelungen zum Datenschutz teilweise einen deutlichen Wettbewerbsnachteil.
Doch zwingend ist diese Schlussfolgerung keineswegs. Denn gleichzeitig achten Verbraucher aber auch Unternehmen immer verstärkter auf den Schutz ihrer eigenen Daten. Und so können deutsche Unternehmen den vermeintlichen Nachteil auch ins Gegenteil verkehren und die vergleichsweise strengen Regelungen zum Datenschutz als Wettbewerbsvorteil gegenüber der außereuropäischen Konkurrenz betrachten. So auch Irene Bertschek, Leiterin des Forschungsbereichs “Digitale Ökonomie” am ZEW.
Weiteres interessantes Ergebnis der ZEW-Studie: Obwohl bei Nichteinhaltung der (neuen) datenschutzrechtlichen Vorgaben zum 25. Mai 2018 signifikant höhere Bußgelder drohen als bisher, hat sich mehr als die Hälfte der befragten Unternehmen der Informationswirtschaft nach eigenen Angaben noch gar nicht mit den Änderungen durch EU-DSGVO und BDSG-neu beschäftigt. Die ZEW-Umfrage bestätigt damit weitgehend die Ergebnisse von in diesem Zusammenhang durchgeführten Studien des IT-Branchenverbands “Bitkom” und des Cybersecurity-Anbieters “Watchguard”.
1. Februar 2018
Die ab Mai 2018 anzuwendende Datenschutz-Grundverordnung (DSGVO) legt größten Wert auf die Transparenz im Zusammenhang mit der Verarbeitung personenbezogener Daten. So sollen zum Zeitpunkt der Erhebung verpflichtend eine Reihe an Angaben gemacht werden, welche die betroffenen Personen über die Datenverarbeitung und deren Zwecke in Kenntnis setzen.
Art. 13 DSGVO verlangt dabei mindestens die folgenden (sage und schreibe) 12 Aussagen:
- Name und Kontaktdaten des Datenverarbeiters
- Kontaktdaten des Datenschutzbeauftragten des Datenverarbeiters
- Zweck(e) der Verarbeitung
- Die “berechtigten Interessen” im Sinne der DSGVO, sofern sich hierauf seitens des Datenverarbeiters berufen wird
- Die Empfänger der erhobenen Daten (z.B. Auftragsverarbeiter der erhebenden Stelle)
- Die Absicht, die Daten in einen Staat außerhalb der EU zu übermitteln, sofern diese besteht
- Die Dauer der Speicherung, im Umkehrschluss auch den regelmäßigen Löschzeitpunkt
- Eine Belehrung der betroffenen Person über ihre Rechte (Auskunft, Löschung etc.)
- Die Widerruflichkeit einer Einwilligung, sofern die Verarbeitung auf einer solchen basiert
- Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
- Ggf. bestehende gesetzliche Vorschriften zur Bereitstellung der erhobenen Daten
- Ggf. Informationen zum Bestehen einer “automatisierten Einzelentscheidung” im Kontext der jew. Verarbeitung
Angesichts der Fülle an bereitzustellenden Informationen stellt sich die Frage, wie dies im Anwendungsfall der Videoüberwachung umgesetzt werden kann. Aktuell muss davon ausgegangen werden, dass Videokameras mit entsprechenden Aushängen zu versehen sind.
Kürzlich hat sich die sogenannte “Datenschutzkonferenz”, ein Gremium der 16 Landesdatenschutz-Aufsichtsbehörden und des Pendants auf Bundesebene, in Form eines Informationspapiers (“Videoüberwachung nach der Datenschutz-Grundverordnung”) zu dieser Thematik geäußert. Auf dieser Grundlage kann im Kontext des Sonderfalls Videoüberwachung künftig von folgenden Pflichtangaben ausgegangen werden, die sich gegenüber dem Gesetzeswortlaut leicht reduziert darstellen:
- Kenntlichungmachung des Umstands der Beobachtung (bspw. durch ein Kamera-Piktogramm)
- Identität des Überwachenden
- Kontaktdaten des Datenschutzbeauftragten der überwachenden Stelle
- Zwecke und Rechtsgrundlage der Verarbeitung/Überwachung
- Die “berechtigten Interessen” im Sinne der DSGVO, sofern einschlägig
- Dauer der Speicherung (Löschzeitpunkt)
- Hinweis auf den Zugang zu den weiteren Pflichtinformationen
Folglich ist es möglich, auf Teile der verlangten Pflichtinformationen an Ort und Stelle zu verzichten und auf diese z.B. mithilfe eines Links auf eine Website (oder zusätzlich auch durch einen QR-Code) zu verweisen.
Spätestens seit der Stellungnahme der Aufsichtsbehörden aber ist klar, dass es für die Datenerhebung mithilfe von Videokameras keine Ausnahme hinsichtlich der umfangreichen Informationspflichten geben wird.
30. Januar 2018
Am 24.01.2018 erging vor dem OLG Frankfurt am Main ein Urteil, das deutlich macht, wie weitreichend die Folgen einer Missachtung datenschutzrechtlicher Vorgaben auch für die vertraglichen Ansprüche zwischen zwei Vertragsparteien vermeintlich fernab des Datenschutzes sein können.
Im vorliegenden Fall hatte ein Unternehmen eine Vielzahl von Adressdaten für einen Kaufpreis i.H.v. 15.000 Euro erworben. Dieselben Adressen wurden von der Verkäuferin jedoch ebenfalls an eine weitere Firma verkauft. Diese nutzte die Daten wiederum, um Werbe-E-Mails für die Internetseite sexpage.de zu versenden.
Die erstgenannte Käuferin (Klägerin) nahm daraufhin die Verkäuferin der Adressen (Beklagte) auf teilweise Rückzahlung des Kaufpreises in Anspruch, weil die erworbenen Adresse durch die erfolgte Nutzung für die Internetseite sexpage.de 2/3 ihres Wertes verloren hätten.
Anstatt sich mit der juristischen Bewertung der kaufrechtlichen Fragestellungen zu beschäftigen, prüfte das OLG Frankfurt zunächst die Einhaltung datenschutzrechtlicher Vorgaben und kam zu einem Ergebnis, welches Klägerin und Beklagte gleichermaßen überrascht haben dürfte. Das Gericht stellte fest, dass die der Weitergabe der Adressdaten zugrundeliegende(n) Einwilligung(en) der Adressinhaber unwirksam war(en) – mit weitreichenden Folgen.
Da es sich im vorliegenden Fall nicht um zusammengefasste Daten von Angehörigen einer bestimmten Personengruppe handelte und damit das sog. Listenprivileg (§ 28 Abs. 3 S. 2 BDSG) die Zulässigkeit der Verarbeitung nicht rechtfertigen konnte, war die Verarbeitung bzw. Nutzung der personenbezogenen Daten für Zwecke des Adresshandels oder der Werbung nur zulässig, soweit die Betroffenen eingewilligt hatten (§ 28 Abs. 3 S. 1 BDSG).
Eine wirksame Einwilligung nach dem BDSG muss zunächst auf der freien Entscheidung des Betroffenen beruhen. Gleichzeitig muss der Betroffene u.a. auf den vorgesehenen Zweck der Verarbeitung und die etwaigen Folgen der Verweigerung der Einwilligung hingewiesen werden. Soll die Einwilligung zusammen mit anderen Erklärungen abgegeben werden, so ist diese besonders hervorzuheben.
Im vorliegenden Fall genügten die ursprünglich eingeholten Einwilligungen diesen Anforderungen nicht. Insbesondere wurden weder die betroffenen Daten noch die Kategorien etwaiger Datenempfänger oder der Nutzungszweck “Adresshandel” konkret genug bezeichnet.
Als Ergebnis dieses Verstoßes gegen das BDSG stellte das Gericht die Nichtigkeit des zwischen der Klägerin und der Beklagten geschlossenen Kaufvertrages über die Adressdaten fest. In der Regel begründet im Falle eines nichtigen Kaufvertrages ein bereits gezahlter Kaufpreis eine ungerechtfertigte Bereicherung des Verkäufers, die nach § 812 Abs. 1 S. 1 BGB grundsätzlich durch Rückzahlung des Kaufpreises auszugleichen ist. Da im vorliegenden Fall jedoch Verkäufer und Käufer vorsätzlich gegen die Vorschriften des BDSG verstoßen haben, ist eine Rückabwicklung gemäß § 817 S. 2 BGB ausgeschlossen. Dementsprechend hat das OLG Frankfurt am Main die Klage als unbegründet abgewiesen.
Fazit: Neben der möglichen Verhängung empfindlicher Bußgelder bei der rechtswidrigen Verarbeitung personenbezogener Daten, können Verstöße gegen das BDSG auch weitreichende Folgen für zivilrechtliche Ansprüche im Rahmen der kommerziellen Verwendung dieser Daten haben.
Vor diesem Hintergrund sind Unternehmen gut beraten, die von ihnen genutzten Einwilligungserklärungen eingehend zu überprüfen. Dies gilt umso mehr mit Blick auf das Inkrafttreten der EU-Datenschutzgrundverordnung (EU-DSGVO) und das neue Bundesdatenschutzgesetz (BDSG-neu).
12. Januar 2018
Die Europäische Kommission verkündete in einer Mitteilung vom 09.01.2018, dass das Vereinigte Königreich ab dem 30.03.2019 (00:00 Uhr CET) – vorbehaltlich eines anderslautenden Datums in einem Austrittsabkommen – als “Drittland” im Sinne der Datenschutz-Grundverordnung (DSGVO) einzustufen ist. Durch den “Brexit” wird das Primär- und Sekundärrecht der Europäischen Union zu diesem Datum nicht mehr anwendbar sein. Großbritannien und Nordirland sind datenschutzrechtlich damit so zu behandeln wie die USA, Russland oder China.
Während die Einstufung als Drittland als Konsequenz des Ausstiegs des Vereinigten Königreichs aus der EU noch zu erwarten war, vermag die Aussage der Kommission jene Beobachter zu enttäuschen, die auf eine Anerkennung des Datenschutzniveaus im Vereinigten Königreich hofften. Immerhin gilt die DSGVO dort bis zum Austritt aus der EU. Eine automatische Anerkennung des Schutzniveaus gibt es jedoch nicht.
Was bedeutet es für die Praxis, wenn Daten nach dem Stichtag in das Vereinigte Königreich übermittelt werden sollen? Mangels Angemessenheitsbeschluss der Kommission sind die Instrumente des Art. 46 DSGVO anzuwenden. Verantwortliche und Autragsverarbeiter werden wohl vorrangig auf EU-Standardvertragsklauseln zurückgreifen. Weiter könnten genehmigte Verhaltensregeln (“Code of Conduct”) und Zertifizierungsmechanismen als Übermittlungsgrundlage dienen.
Unternehmen in der EU sollten sich also frühzeitig um die rechtssichere Ausgestaltung ihrer Datentransfers in das Vereinigte Königreich bemühen.
11. Januar 2018
Laut Wissenschaftlern des Universitätsklinikums Freiburg, sollen für das Datenschutzrecht neue Herausforderungen durch den rasanten Fortschritt der Neurotechnologie erwachsen. Als Grund dafür werden neue Technologien im Zusammenhang mit der Messung und Bewertung von Hirnaktivitäten angeführt.
In den vergangenen Jahren hat sich auch die Neurotechnologie, begünstigt durch die Investitionen bedeutender Unternehmen, mit hohem Tempo entwickelt.
Durch diese Entwicklung ist insbesondere die Datensammlung über die Hirnaktivität des Menschen vorangeschritten. Nach den Wissenschaftlern des Universitätsklinikums Freiburg, sollen durch die Messung und Bewertung dieser Daten wiederum Rückschlüsse auf Krankheiten gezogen werden können. Ebenso sollen sie genutzt werden können in Bezug auf allgemeine Verhaltensweisen. Schließlich sollen bereits Geräte in diesem Bereich vorhanden sein, die die Hirnaktivität aufzeichnen sowie Stressabbau bewirken und die Konzentration steigern können. Ein Einsatz dieser Technologien soll bereits in 5 Jahren großflächig möglich sein.
Diskutiert wird daher nun, ob das aktuelle Datenschutzrecht diesen neuen Technologien gerecht werden kann. Die dabei gesammelten Daten zur Hirnaktivität sind Gesundheitsdaten und damit sensible Daten im Sinne des Art. 9 Abs. 1 DSGVO. Gerade bezüglich sensibler Daten muss ein hohes Schutzniveau durch den Datenschutz gewährleistet sein.
Zwar ist die Verarbeitung nur in Ausnahmefällen des Art. 9 Abs. 2 DSGVO zulässig, jedoch bestehen nach diesem Art. 9 Abs. 2 DSGVO durchaus Möglichkeiten für Unternehmen den Schutz zu umgehen. So kann speziell durch eine Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO eine zulässige Verarbeitung durch ein Unternehmen erfolgen. Ebenso kann eine solche zulässig sein, wenn sie gem. Art. 9 Abs. 2 lit. j DSGVO zum Zweck wissenschaftlicher Forschung erforderlich ist.
Dr. Philipp Kellmeyer, Wissenschaftler am Universitätsklinikum Freiburg, mahnt dazu an, dass der Nutzer weiterhin der Herr seiner Daten bleiben muss.
Gefordert werden von den Wissenschaftlern insbesondere hohe Schutzvorkehrungen gegen einen missbräuchlichen Handel mit sensiblen Daten. Nach der Auffassung des Mediziners Dr. Kellmeyer sollte angedacht werden, den Handel mit diesen Gesundheitsdaten gesetzlich zu verbieten. Ein ähnliches Verbot existiere schließlich bereits für den Organhandel.
Ob derartige Maßnahmen tatsächlich zukünftig notwendig sind, ist jedoch nicht absehbar und bleibt abzuwarten.
9. Januar 2018
Mit der EU-Datenschutzgrundverordnung kommen ab dem 25. Mai 2018 auch strengere Vorgaben auf Vermieter zu. Denn diese erheben und verarbeiten ebenfalls personenbezogene Daten, wie z.B. Namen, Bankverbindungen, Email-Adressen und Telefonnummern der Mieter. Wenn der Vermieter die personenbezogenen Daten seiner Mieter auf dem PC speichert, findet die Datenschutzgrundverordnung Anwendung und muss beachtet werden.
Neben dem sicheren Abspeichern der personenbezogenen Daten spielt die Dokumentation eine wichtige Rolle. Wenn Dritte Zugriff auf die personenbezogenen Daten haben muss der Vermieter darauf achten, dass die Dienstleister ebenfalls die Regeln der DSGVO einhalten. Sonst haftet der Vermieter als Verantwortlicher.
Zudem haben Mieter einen Auskunftsanspruch gegen ihren Vermieter. Dieser beinhaltet da Recht zu erfahren, welche personenbezogenen Daten der Vermieter besitzt, wo er sie aufbewahrt und wie sie verarbeitet werden. Grundsätzlich dürfen personenbezogenen Daten seitens des Vermieters erhoben werden, welche für das konkrete Mietverhältnis erforderlich sind.
Sobald das Mietverhältnis beendet ist, müssen die personenbezogenen Daten von Mietern “ohne unangemessene Verzögerung” gelöscht werden. In der Regel ist der Zweck mit dem Auszug des Mieters und der Abrechnung der Nebenkosten sowie der Kaution weggefallen.
3. Januar 2018
Spätestens seit der jüngsten Finanzkrise, die neben (betriebs-) wirtschaftlichen Fehleinschätzungen vor allem durch individuelles sowie kollektives Fehlverhalten (u.a. Manipulation von Referenzzinssätzen, Verstoß gegen Embargos) geprägt war, hat die innerbetriebliche Compliance-Funktion zunächst innerhalb der Finanzindustrie in nie dagewesenem Maße an Bedeutung hinzugewonnen. Auch in der Industrie hat man spätestens im Zuge der aktuellen Verfehlungen in der Automobilbranche erkannt, dass eine effektive Compliance-Funktion geradezu essentiell für den Fortbestand eines ganzen Konzerns sein kann.
Das den obigen Beispielen jeweils zugrundeliegende Fehlverhalten führte jedes Mal zu exorbitant hohen Strafzahlungen und nicht quantifizierbaren Reputationsschäden für die betroffenen Unternehmen. Vor diesem Hintergrund scheint es nicht verwunderlich, dass Unternehmen unterschiedlichster Größe und verschiedenster Branchen ihre Compliance-Abteilungen seitdem massiv auf- und ausbauen. Dabei geht es einer effektiven Compliance-Funktion vor allem darum, durch regelmäßige sowie anlassbezogene Kontrollen das Unternehmen vor Vermögensschäden durch rechtswidriges Verhalten seiner Mitarbeiter bzw. Kunden zu schützen. Dabei ist die Compliance-Abteilung naturgemäß daran interessiert, über möglichst weitreichende Zugangs-, Einsichts- und Auskunftsrechte zu verfügen.
Doch wie verträgt sich dieser grundsätzlich zu begrüßende Trend hin zu „mehr Compliance“ mit der ab 25. Mai 2018 geltenden EU-Datenschutzgrundverordnung (DSGVO) und dem neuen Bundesdatenschutzgesetz (BDSG-neu)?
Fest steht, dass Verstöße gegen die Vorschriften der DSGVO mit Bußgeldern von bis zu vier Prozent des Vorjahresumsatzes eines Unternehmens geahndet werden können (Art. 83 Abs. 5 DSGVO). In Bezug auf den VW-Konzern mit einem Jahresumsatz in Höhe von rund 217 Mrd. Euro in 2016 würde dies ein Bußgeld von maximal rund 8,7 Mrd. Euro bedeuten. Hinzu kommen, wie auch im Falle gravierender Compliance-Verstöße, nicht quantifizierbare Reputationsschäden.
Klar ist auch, dass weder die Befolgung der jeweiligen einschlägigen Compliance-Verpflichtungen einen umfassenden Datenschutz verhindern, noch die Einhaltung der neuen Datenschutz-Normen eine effektive innerbetriebliche Compliance-Funktion unterbinden soll. Vielmehr sind diese beiden Interessen in einen angemessenen Ausgleich miteinander zu bringen. Allerdings wird sich nur in wenigen Fällen aus einer zugrundzulegenden Compliance-Vorschrift ergeben, welche Daten im Rahmen der Ausübung der Kontrollfunktion erhoben werden dürfen. Ungeachtet dessen, muss die weitere Verarbeitung grundsätzlich den Vorgaben aus der DSGVO sowie dem BDSG-neu entsprechen. Die Herausforderung für Unternehmen wird künftig also mehr denn je darin bestehen, weder gegen Compliance- noch gegen Datenschutzauflagen zu verstoßen.
Dementsprechend sollten sich Unternehmen bereits mit den drei folgenden Aspekten eingehend beschäftigt haben:
Überprüfung existierender Compliance-Maßnahmen
Der Überprüfung bereits implementierter Compliance-Maßnahmen kommt eine große Bedeutung zu, denn eine Art Bestandsschutz für bereits implementierte Kontrollpläne existiert in diesem Sinne nicht. Die Maßnahmen müssen künftig DSGVO- und BDSG-konform ausgestaltet sein. Daher ist zwingend zu prüfen, ob eine Anpassung an die neuen Regelungen erforderlich ist. Das Ergebnis der Prüfung sowie die ggf. vorgenommenen Anpassungen sind revisionssicher zu dokumentieren.
Abläufe bei künftigen Compliance-Maßnahmen (insb. Einbeziehung des Beauftragten für den Datenschutz)
Neben der Überprüfung und etwaigen Anpassung der bereits existierenden Kontrollpläne, ist ebenfalls die Einhaltung datenschutzrechtlicher Vorgaben bei der Durchführung künftiger Kontrollpläne sicherzustellen. Diesbezüglich erscheint es geboten, den Beauftragten für den Datenschutz in den Prozess der Erstellung jedes neuen Kontrollplanes mit einzubeziehen. Dies gilt umso mehr, wenn es sich bei der Compliance-Maßnahme nicht um eine regelmäßige Kontrolle, sondern um eine einzelfallbezogene außerordentliche Investigativ-Maßnahme handelt. Die Einbeziehung des Beauftragten für den Datenschutz selbst, aber auch die Art und Weise sind im Form von internen Richtlinien/Arbeitsanweisungen festzulegen.
Angemessene Ausstattung des Beauftragten für den Datenschutz
Vor allem mit Blick auf die neue potentielle Tragweite datenschutzrechtlicher Verstöße erscheint es doch sehr verwunderlich, warum eine Vielzahl von Unternehmen sich noch immer nicht ausreichend mit den Auswirkungen der DSGVO und des BDSG-neu auseinandergesetzt zu haben scheint. Wie oben bereits gezeigt, werden die möglichen Bußgelder sowie Reputationsschäden bei mangelndem Datenschutz den Sanktionen im Compliance-Bereich künftig in keiner Weise mehr nachstehen. Dementsprechend und auch um einer Haftung aus § 130 Abs. 1 OWiG zu begegnen sollte zeitnah überprüft werden, ob die Ausstattung des Beauftragten für den Datenschutz vor dem Hintergrund der gestiegenen Anforderungen noch als dem Risiko angemessen erscheint.
12. Dezember 2017
Das sogenannte Kopplungsverbot für datenschutzrechtliche Einwilligungen von Betroffenen ist grundsätzlich keine Neuheit der Datenschutz-Grundverordnung (DSGVO). Auch nach dem bisherigen Recht des Bundesdatenschutzgesetzes war Voraussetzung für eine wirksame Einwilligung, dass diese freiwillig erteilt und der Zugang zu einer Leistung somit nicht an eine solche Einwilligung gebunden wird.
Das Kopplungsverbot stellt sich jedoch nicht als ein allzu scharfes Schwert dar. Immer wieder gibt es im Internet Angebote, die auf den ersten Blick zwar kostenlos sind, sich aber über die Verarbeitung von Daten und die Platzierung von Werbung refinanzieren. Beispielsweise sind Online-Gewinnspiele, für deren Teilnahme der Nutzer in den Erhalt eines Newsletters einzuwilligen hat, keine Seltenheit. Streng genommen läge hier schon eine Kopplung vor. Das angesprochene Verbot präsentiert sich an dieser Stelle offen für Situationen, in denen der Nutzer sich über die “Bezahlung mit seinen Daten” im Klaren und mit diesen Bedingungen schlicht einverstanden ist.
Womöglich wird durch die ab Mai 2018 anzuwendende DSGVO hier eine spürbare Verschärfung eintreten. Maßgeblich ist Art. 7 Abs. 4 mit dem dazugehörigen Erwägungsgrund 43 zur DSGVO. Insbesondere der Erwägungsgrund fordert der beispielhaften Gewinnspiel-Situation eine getrennte (und eben nicht gekoppelte) Erteilung von Einwilligungen des Nutzers ab. Genauer gesagt müsste sich der User bedingungslos zu einem Gewinnspiel anmelden dürfen und könnte erst im Nachgang gefragt werden, ob er zusätzlich dem Erhalt von Werbung in Form eines Newsletters zustimmen möchte. Dies hätte natürlich eine drastisch niedrigere Quote von Newsletter-Teilnehmern zur Folge.
Stellt sich die Anwendung der DSGVO an dieser Stelle in der gelebten Praxis so streng heraus, wie es der Wortlaut der gesetzlichen Grundlage verspricht, entspricht dies einer deutlichen Verschärfung gegenüber der bisherigen Rechtslage. Viele etablierte Prozesse werden dann zu überdenken sein.
8. Dezember 2017
Die europäische IT-Sicherheitsbehörde ENISA (European Union Agency for Network and Information Security) hat Empfehlungen für Unternehmen bei der Umsetzung der DSGVO-Vorgaben für Zertifizierungen veröffentlicht.
Laut Udo Helmbrecht, dem Chef von ENISA, will die Behörde auf diese Weise Unternehmen eine Hilfestellung geben und eine effektive Umsetzung der Gesetzgebung unterstützen.
Der Bericht stellt die Möglichkeit der freiwilligen Zertifizierung nach Artt. 42, 43 DSGVO für Unternehmen in den Mittelpunkt. Helmbrecht betont, dass es vor allem darum geht Datenverarbeitungsvorgänge zu bewerten, ob sie den Anforderungen der DSGVO genügen. ENISA soll ab nächstem Jahr ein europaweites freiwilliges Zertifizierungsverfahren für IT-Sicherheit etablieren. Eine der Empfehlungen ist, dass sich zwar die Aufsichtsbehörden auf ein gemeinsames Vorgehen verständigen, aber die Zertifizierung von einer akkreditierten Stelle vorgenommen werden soll um Interessenskonflikte zu vermeiden.
Pages: 1 2 ... 26 27 28 29 30 ... 34 35 
