Kategorie: EU-Datenschutzgrundverordnung
2. Juni 2017
Die Datenschutzgrundverordnung (DSGVO) wirft schon jetzt einen großen Schatten voraus, obwohl sie erst am 25. Mai 2018 in Kraft tritt, aber die Hälfte der ‘Vorbereitungszeit’ ist inzwischen abgelaufen. Aber was ändert sich alles durch die DSGVO? Mit dieser Frage befasst sich die neue Themenreihe, die uns in den nächsten Wochen begleiten und wichtige Neuerungen und Fragen aufgreifen wird.
Die DSGVO ist der Schlusspunkt einer jahrelang geführten Diskussion über das “richtige“ Datenschutzniveau. Im Zuge der fortschreitenden Technik, der Globalisierung und der Digitalisierung wurde es Zeit für ein zeitgemäßes, einheitliches Datenschutzrecht.
Ziel der DSGVO ist ein einheitliches Datenschutzrecht in Europa. Neben der Harmonisierung gibt es zudem einige Neuerungen materiell-rechtlicher, prozeduraler sowie institutioneller Natur, die bisher noch nicht oder zumindest nicht so vorhanden waren. So soll der Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere der Schutz personenbezogener Daten und der freie Verkehr personenbezogener Daten gewährleistet werden.
Wie oben bereits geschrieben tritt die DSGVO im Mai 2018 in Kraft. Da es sich um eine Verordnung handelt ist sie direkt und unmittelbar in den EU-Ländern anwendbar. Aufgrund der zahlreichen Öffnungsklauseln kann und soll der nationale Gesetzgeber tätig werden. Anpassungen der nationalen Regelungen, in Deutschland des Bundesdatenschutzgesetzes (BDSG), sind erforderlich. Die Bundesregierung ist bereits tätig geworden. Das ‘BDSG-neu‘ wurde bereits in den letzten Wochen verabschiedet und somit an die DSGVO angepasst.
Durch die DSGVO, als umfassendes Gesetzeswerk ergeben sich sowohl für Unternehmen als auch für Privatpersonen einige Neuerungen, aber dazu in den nächsten Wochen mehr.
Das Thema der nächsten Woche sind die Grundsätze der Verarbeitung nach der DSGVO.
30. Mai 2017
In Ergänzung zur EU-Datenschutzgrundverordnung (DSGVO), wird 2018 die ePrivacy-Verordnung in Kraft treten. Dabei sollen nach dem mit der DSGVO eingeführten Privacy-by-Design-Grundsatz, die Cookie-Banner nach der EU-Kommission zukünftig nicht mehr auf jeder Website, sondern in den Browsern auftauchen. Privacy-by-Design soll die Berücksichtigung des Daten- bzw. des Persönlichkeitsrechtsschutzes bereits in der Phase der Technikentwicklung sicherstellen. Browser-Hersteller müssen demnach alle technischen Voreinstellungen Privatsphäre-freundlich ausgestalten. Damit erfolgt die Einwilligungserklärung der Nutzer zur Datenerhebung zukünftig zentral.
Deutschlands führende Verlage äußerten sich in einem offenen Brief an das EU Parlament kritisch gegenüber dieser neuen Regelung, denn sie befürchten damit keinen Zugriff mehr auf die für ihr Geschäft notwendigen Nutzerdaten zu haben. Zudem, so argumentieren u.a. die Zeit, die Süddeutsche und die F.A.Z., würden die neuen Regelungen die browsermarktführenden US-Internetkonzerne wie Google, Apple oder Microsoft weiterhin begünstigen. Diese bekämen noch mehr Einfluss auf den Nachrichtenkonsum der Verbraucher und auf das ob und wie der Zugriffsfreigabe von Verbraucherdaten gegenüber den Verlagen. Damit besteht zudem die Gefahr, dass der Nutzer die Kontrolle über seine Daten zunehmend verliert womit ein Verstoß gegen das datenschutzrechtliche Transparenzgebot vorliegt.
Darüber hinaus kann der Regelungsentwurf zu Lasten des digitalen Nachrichtengeschäftes dazu führen, dass kaum noch Nutzer dem Datentransfer zustimmen. Soweit die Verlage nicht mehr auf sogenannte Third-Party-Cookies zugreifen können, kann außerdem die Möglichkeit der Verlage, den Nutzern relevante Inhalte und Werbung anzuzeigen, und damit das Werbefinanzierungsmodell von Nachrichten, behindert werden.
Auch aus Datenschutzkreisen wird der neue Regelungsentwurf kritisiert. So monierten die Datenschützer der Artikel-29-Gruppe, dass mit dem neuen Regelungsentwurf der Einwilligungserklärung der Nutzer nach vorheriger Belehrung entgegen gewirkt werde. Die Datenschützer setzten sich dafür ein, unterschiedliche Tracking-Ziele gesondert freischalten zu lassen. Demnach würden z.B. die für Werbung genutzten Daten, von solchen Daten, die der Navigationsverbesserung auf Websites dienen, getrennt werden.
11. Mai 2017
Die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) Andera Voßhoff, hat mit einer kritischen Presseerklärung auf die Verabschiedung des BDSG-Nachfolgers “Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)”, auch BDSG-Neu genannt, reagiert:
Die Datenschutzbeauftragte begrüßt die zügige Anpassung des deutschen Datenschutzrechts an die ab 2018 geltenden EU-Vorgaben. So hat der Bundestag die Rechte der Betroffenen auf Information, Auskunft und Löschung im Vergleich zum Entwurf der Bundesregierung spürbar gestärkt. Die eingeschränkten Kontrollrechte der Datenschutzbehörden sind jedoch kritisch zu sehen.
Ab Mai 2018 gelten europaweit die EU-Datenschutz-Grundverordnung und die EU-Richtlinie für den Datenschutz bei Polizei und Justiz. Das am Donnerstag verabschiedete Datenschutzanpassungs- und Umsetzungsgesetz greift dies auf und wird das bisherige Bundesdatenschutzgesetz ablösen. Das Gesetz bedarf noch der Zustimmung des Bundesrates, der sich voraussichtlich am 12. Mai 2017 damit befassen wird.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, begrüßt, dass das Gesetzgebungsverfahren noch in dieser Legislaturperiode abgeschlossen werden kann: Das neue Datenschutzgesetz ergänzt die ab Mai 2018 unmittelbar geltende EU-Datenschutz-Grundverordnung. Anpassungs- und Umsetzungsbedarf besteht aber noch in zahlreichen Fachgesetzen, beispielsweise für den Sozialdatenschutz im Sozialgesetzbuch sowie bei den Datenschutzgesetzen der Länder.
Das nun vorliegende Gesetz wurde gegenüber dem Entwurf der Bundesregierung zugunsten der Bürgerinnen und Bürger verbessert. So enthält das Gesetz nur noch sehr wenige Einschränkungen der Betroffenenrechte, die vor allem kleine Unternehmen mit oftmals noch analoger Datenverarbeitung entlasten. Damit gilt für die Mehrzahl der Datenverarbeitungen in der digitalen Welt der hohe Standard der Datenschutz-Grundverordnung.
Die BfDI kritisiert jedoch, dass der Deutsche Bundestag bei wichtigen Punkten den Gesetzentwurf nicht nachgebessert hat: Die vom Bundesverfassungsgericht eingeforderten wirksamen Kontroll- und Durchsetzungsbefugnisse der BfDI im Bereich Polizei und Justiz und außerhalb des Geltungsbereichs des EU-Rechts sind deutlich beschränkt. Gerade in diesem Bereich ist eine unabhängige Kontrolle und Durchsetzung des Datenschutzes zwingend notwendig. Die BfDI erhält hier jedoch keinerlei Durchsetzungsbefugnisse, möglich sind nur nicht-bindende Beanstandungen. Dies ist europarechtswidrig und auch in der Sache falsch. Laut der EU-Richtlinie sollten Datenschutzaufsichtsbehörden zumindest die Möglichkeit haben, die Rechtmäßigkeit bestimmter Verarbeitungsvorgänge gerichtlich überprüfen zu lassen. Auch darf die BfDI den Bundestag in Zukunft nicht mehr proaktiv über Kontrollen beim Bundesnachrichtendienst informieren.
Positiv bewertet die BfDI das geplante Verfahren für die effiziente Zusammenarbeit der deutschen Aufsichtsbehörden und deren einheitliche Vertretung in europäischen Angelegenheiten. Dafür erhält die BfDI die Funktion einer Zentralen Anlaufstelle für die Datenschutzbehörden in Bund und Ländern. Die BfDI wird zudem als Gemeinsamer Vertreter im Europäischen Datenschutzausschuss benannt. Als Stellvertreter steht ihr dabei eine vom Bundesrat gewählte Leiterin oder ein Leiter einer Landesdatenschutzbehörde mit Befugnissen in bestimmten Angelegenheiten der Länder zur Seite.
21. April 2017
Im Mai 2018 tritt die EU-Datenschutzgrundverordnung (DSGVO) in Kraft und ist in allen EU-Ländern unmittelbar anwendbar. Die Länder müssen ihre Datenschutzgesetze an die DSGVO anpassen.
Wie wir berichteten hat sich das Bundeskabinett Anfang diesen Jahres auf einen Gesetzesentwurf für die Novellierung des Bundesdatenschutzgesetzes (BDSG) geeinigt.
Dieser Entwurf musste sich bereits Kritik auf nationaler Ebene aussetzen und wurde jetzt auch von der EU-Kommission im Rahmen einer Veranstaltung der Stiftung Datenschutz gerügt. Die Kabinettschefin von Justizkommissarin Věra Jourová, Renate Nikolay erklärte, nach Informationen von heise.de, dass Deutschland mit seiner Gesetzesinitiative zwar allen anderen Mitgliedsstaaten voraus ist, der Entwurf aber nicht zufriedenstellend ist.
Renate Nikolay kritisiert, dass die Bundesregierung von vermeintlichen Öffnungsklauseln Gebrauch macht die in der DSGVO gar nicht angelegt sind. Die EU-Kommission befürchtet, dass dadurch die angestrebte Harmonisierung unterlaufen wird und am Ende wieder jeder Mitgliedsstaat seine eigenen Regelungen hat.
Die große Koalition hat der Kritik folgend bereits einen Änderungsantrag vorgelegt, der vor allem bei den Betroffenenrechten nachbessern soll.
Es bleibt demnach abzuwarten, wie sich der Entwurf des neuen BDSG noch bis Mai 2018 entwickeln wird. Wenn das novellierte Gesetz allerdings nicht den Anforderungen der EU-Kommission genügt droht ein Vertragsverletzungsverfahren.
10. April 2017
Das ‘Vereinigte Königreich Großbritannien und Nordirland` (Großbritannien) wird aus der EU austreten. Der sogenannte Brexit ist inzwischen beschlossene Sache und hat begonnen. Mit Ablauf der nächsten zwei Jahre wird der Brexit vollzogen sein.
Jetzt muss sich die Frage stellen, wie sich der Datenschutz nach dem Brexit entwickelt, denn vor allem für Datenübermittlungen in Nicht-EU-Länder gelten besonders strenge Regeln und zu diesen Nicht-EU-Ländern gehört dann auch Großbritannien.
Großbritannien kann schon immer als Pionier auf dem Gebiet des Datenschutzes bezeichnet werden und ist auch heute noch aktiv an der EU-Datenschutzrecht Gesetzgebung beteiligt. Die anstehende EU-Datenschutzgrundverordnung (DSGVO) spielt für Großbritannien jedoch keine Rolle mehr, weil sie zum Zeitpunkt des in Krafttretens, sofern der Brexit nach Plan läuft, nicht mehr in der EU sind, sodass Umsetzungsmaßnahmen in Bezug auf die DSGVO keinen Sinn machen. Allerdings ist zu beachten, dass der Regierung Großbritanniens daran gelegen sein muss, dass auch nach dem Brexit ein freier Datenfluss zwischen dem dann Nicht-EU-Land und den EU-Ländern gegeben sein muss. Deswegen ist davon auszugehen, dass sich das Datenschutzrecht nach dem Brexit dem der DSGVO anpassen wird, sodass keine Beeinträchtigungen bestehen. Ansonsten besteht die Möglichkeit das Firmen ihre Firmensitze in die EU verlegen, was zu einer Katastrophe für die Wirtschaft Großbritanniens führen kann.
6. April 2017
Vor der Geltung der Datenschutz-Grundverordnung (DS-GVO) im Mai kommenden Jahres steigt bei den datenschutzrechtlichen Aufsichtsbehörden des Bundes und der Länder der Bedarf an qualifiziertem Personal, denn Zuständigkeits- und Verantwortungsbereiche werden stark anwachsen.
Nach einer aktuellen Umfrage des Handelsblatts zeigt sich, dass insbesondere bei den Ländern nicht rechtzeitig genügend Personal zur Verfügung stehen wird, um die z. T. komplexen Neuerungen umzusetzen. Die Hälfte der betroffenen Behörden führt derzeit noch Verhandlungen über Haushaltserhöhungen, in einigen Bundesländern steht bereits fest, dass es dieses Jahr nicht mehr zu Neueinstellungen kommen kann (so in Berlin, Bremen, Hamburg, Saarland, Sachsen und Thüringen).
Nach dem Hamburger Datenschutzbeauftragten Johannes Caspars sei mithin zu befürchten, dass “die Kluft zwischen den rechtlichen Erwartungen, die der Gesetzgeber mit der neuen Regelung verfolgt, und der defizitären Ausstattungssituation noch viel größer wird, als sie bereits unter der gegenwärtigen Rechtslage ist“.
Etwas besser sieht die Personalsituation beim Bund aus. Nach Informationen der Bundesdatenschutzbeauftragten Andrea Voßhoff sind für ihre Behörde bereits 32 neue Stellen für die DS-GVO vorgesehen.
30. März 2017
Die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Berlin Maja Smoltczyk hat sich in einer Presseerklärung klar gegen die Technik der biometrischen Gesichtserkennung positioniert und diese als Technik ohne Zukunft beschrieben. Dies kann nach Ansicht der LDI die Freiheit sich in der Öffentlichkeit frei zu bewegen vollständig zerstören, da den Betroffenen keine Möglichkeit geboten würde sich einer Überwachung zu entziehen. Im Gegensatz zur konventionellen Videoüberwachung würde dies die Rechte erheblich schwerer einschränken. Auch das Potential der erhobenen Daten würde schwerwiegend zu Lasten der Betroffenen gehen. So könne man Bewegungsprofile erstellen und die Daten durch ihre eindeutige Personenbeziehbarkeit problemlos mit anderen Daten, zum Beispiel aus sozialen Netzwerken, kombinieren.
Der europäische Gesetzgeber hat die enormen Risiken dieser Technik für die Privatsphäre erkannt und die Erhebung biometrischer Daten zur Identifizierung in der ab Mai 2018 geltenden Datenschutzgrundverordnung grundsätzlich verboten. Ausnahmen sind nur in engen Grenzen zulässig, z. B. wenn der Betroffene ausdrücklich eingewilligt hat oder wenn die Identifizierung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist. Auf letzteres können sich in erster Linie Sicherheitsbehörden z. B. bei der Verfolgung schwerer Straftaten stützen. Auch in diesen Fällen müssen aber der Wesensgehalt des Rechts auf Datenschutz gewahrt bleiben und angemessene und spezifische Maßnahmen zum Schutz der Grundrechte und -freiheiten der Betroffenen vorgesehen werden.
20. März 2017
Wie der Bayerische Landesbeauftragte für den Datenschutz am 16.03.2017 mitteilte, fordert die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder den Bundesgesetzgeber auf, den Einsatz von externen Dienstleistern durch Berufsgeheimnisträger datenschutzkonform und rechtssicher zu gestalten.
Berufsgeheimnisträger unterliegen auf Grund ihrer Berufsordnungen der Schweigepflicht. Dies dient dem Schutz der Vertrauensbasis, beispielsweise zwischen Anwalt und Mandant oder Arzt und Patient. Ein Verstoß gegen die Schweigepflicht bzw. eine unbefugte Offenbarung von Privatgeheimnissen wird nach § 203 Strafgesetzbuch (StGB) mit Geld- oder Freiheitsstrafe bestraft.
Kaum eine Anwaltskanzlei oder Arztpraxis kommt jedoch heut zu Tage ohne die Nutzung der modernen Technik aus. Gleichzeitig sind Berufsgeheimnisträger auf Hilfe hinsichtlich Support und Wartung ihrer Systeme durch externe Dienstleister angewiesen. Der Einsatz externer Dienstleister kann jedoch zu einer strafbaren unbefugten Offenbarung von Privatgeheimnissen führen.
Diesem Dilemma soll der Gesetzesentwurf der Bundesregierung „zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen“ entgegenwirken. Der Gesetzesentwurf sieht vor, dass in Fällen der Beauftragung mit der Datenverarbeitung oder Wartung durch einen Berufsgeheimnisträger auch der externe Dienstleister nach § 203 StGB verpflichtet ist.
Auch mit Blick auf die EU-Datenschutzgrundverordnung ist für die betroffenen Berufsgruppen wünschenswert, dass diese Problematik einheitlich gestaltet wird und die datenschutzrechtlichen mit den strafrechtlichen Regelungen übereinstimmen. Das weitere Gesetzgebungsverfahren bleibt daher abzuwarten.
15. März 2017
Wir berichteten bereits Anfang des Jahres über den offiziellen Entwurf der E-Privacy-Verordnung. Dieser wurde am 10. Januar 2017 veröffentlicht. Nachdem er im November bereits geleakt wurde.
Die E-Privacy-Verordnung soll die EU-Datenschutzgrundverordnung (DSGVO) ab Mai 2018 ergänzen und parallel zu dieser in Kraft treten. Die Notwendigkeit einer ergänzenden Verordnung liegt darin, dass es in den verschiedenen Mitgliedsstaaten der EU unterschiedliche Regelungen gibt. Deutlich wird dies am Beispiel der Cookies. In Deutschland gilt die sogenannte Opt-Out Regelung, diese benötigt keine aktive Zustimmung des Nutzers, wohingegen in anderen Ländern die Opt-In Regelung genutzt wird. Bei Opt-In werden umfassende Informationen an den Nutzer heran getragen und es Bedarf einer aktiven Einverständniserlärung.
Die E-Privacy-Verordnung wird die E-Privacy-Richtlinie (RL 2002/58/EG) und die Cookie-Richtlinie (RL 2009/136/EG) ersetzen. Zweck der neuen Verordnung ist die Anpassung der elektronischen Kommunikation an das Schutzniveau der DSGVO, zudem soll das Vertrauen der Bürger in den digitalen Binnenmarkt gestärkt werden.
Die neue Verordnung ist, ähnlich wie die DSGVO, nicht abschließend, sondern enthält Öffnungsklauseln. Demnach steht dem nationalen Gesetzgeber Spielraum für Regelungen zur Verfügung.
Die E-Privacy-Verordnung erweitert den sachlichen Anwendungsbereich deutlich. Es sind nunmehr nicht mehr nur die klassischen Telekommunikationsanbieter von der Verordnung erfasst, sondern auch die sogenannten “Over-The-Top-Dienste” (OTT). Zu diesen zählen beispielsweise WhatsApp, Skype und Facebook.
Bemerkenswert sind auch die Neuerungen.
So wird bei Cookies in Zukunft differenziert zwischen Cookies die keine Auswirkung auf die Privatsphäre des Nutzers haben und solchen die für die Privatsphäre des Nutzers relevant sind. Erstere bedürfen keiner vorherigen Information und auch keiner Einwilligung des Nutzer. Letzere dürfen nur nach ausdrücklicher Zustimmung des Nutzer benutzt werden. Dies lässt sich über die, bereits aus der DSGVO bekannten, ‘benutzerfreundlichen Voreinstellungen’ im Web-Browser realisieren. Dort kann der Nutzer die Zustimmung in allgemeiner Form für solche Arten von Cookies erteilen und muss diesen nicht bei jedem Besuch auf einer Website separat zustimmen. Die Betreiber von Web-Browsern sind folglich in der Pflicht die Browser so zu updaten, dass dem Nutzer eine solche Voreinstellung ab Mai 2018 zur Verfügung steht.
Auch das Direktmarketing wird erneuert. Sowohl via E-Mail als auch was das Telefonmarketing betrifft gilt ab in Kraft treten der Verordnung, dass Marketing nur noch nach vorheriger Einwilligung erlaubt ist. Eine Ausnahme betrifft die bereits bestehenden Kundenbeziehungen. Bei diesen darf solange weiter Marketing betrieben werden, bis der Kunde einen Widerspruch dagegen tätigt.
Betreiber von Websites, die sich über Werbung finanzieren, dürfte die folgende Neuerung freuen. Betreiber dürfen prüfen, ob der Nutzer einen Adblocker verwendet und wenn dem so ist, dürfen sie ihm den Zugang zur Website versagen.
Zudem wurden auch die Bußgelder erhöht. Diese wurden an die Höhe der Bußgelder in der DSGVO angepasst. Das bedeutet, dass bei Verstößen gegen die Verordnung demnächst Bußgelder bis 20.000.000,00€ oder bis zu 4% des weltweit erzielten Jahresumsatzes des vergangenen Geschäftsjahres fällig werden können.
Es bleibt allerdings noch abzuwarten, ob die Verordnung in dieser Form auch wirklich im Mai 2018 in Kraft tritt, oder ob noch entscheidende Änderungen an dem Entwurf vorgenommen werden.
13. März 2017
Nach dem Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), der dieser Tage veröffentlich wurde, ist die Zahl der Meldungen zu “unrechtmäßiger Kenntniserlangung von Daten” gemäß § 42a des Bundesdatenschutzgesetzes (BDSG) stark angestiegen. Während es im Jahr 2015 nur 28 Unternehmen waren, die zu einer solchen Meldung verpflichtet gewesen waren, lag die Zahl im Jahr 2016 bei 85, allein in Bayern.
Diese Vervielfachung läge vor allem am gesteigerten Bewusstsein der Unternehmen, Datenpannen mit einem erhöhten Risiko melden zu müssen, so der Präsident des Landesamtes, Thomas Kranig. § 42 a BDSG sieht vor, dass immer dann die Meldung einer Panne verpflichtend ist, wenn die Daten wie etwa Bank- und Gesundheitsdaten als besonders sensibel gelten und wenn den Betroffenen schwerwiegende Beeinträchtigungen drohen.
Nach der Europäischen Datenschutzgrundverordnung (DSGVO), die ab 25. Mai 2018 anzuwenden sein wird, wird das Ausmaß der Meldungen weiter zunehmen. Die Schwelle für die Meldepflicht von Datenpannen wird dann deutlich herabgesetzt sein. So muss künftig jede Datenschutzverletzung gemeldet werden, wenn sie “voraussichtlich zu einem Risiko” für die Betroffenen führen kann (Artt. 33, 34 DSGVO). Auch der Zeitpunkt der Meldung wird gesetzlich festgelegt: Die Anzeige der Datenpanne muss künftig innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde stattfinden.
Pages: 1 2 ... 28 29 30 31 32 33 34 35 
