Kategorie: EU-Datenschutzgrundverordnung
5. April 2019
Bei der 97. Datenschutzkonferenz im Hambacher Schloss haben sich die Datenschutzaufsichtsbehörden des Bundes und der Länder unter anderem auch mit dem Thema der künstlichen Intelligenz auseinandergesetzt.
Dabei wurde betont, dass der Einsatz Künstlicher Intelligenz stets unter Beachtung der freiheitlichen Grundrechte der Menschen zu erfolgen hat.
Hierzu erklärt Ulrich Kelber, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit: “Ich freue mich, dass die Bundesregierung dafür sorgen möchte, den Grundrechten auch beim Einsatz Künstlicher Intelligenz weiterhin die prägende Rolle zukommen zu lassen. Die Menschenwürde und das in ihr verankerte Grundrecht auf informationelle Selbstbestimmung müssen auch bei der Nutzung solcher Systeme Maßstab unseres Handelns bleiben. Mit der Hambacher Erklärung setzen wir als Datenschutzaufsichtsbehörden ein klares Signal für einen grundrechtsorientierten Einsatz künstlicher Intelligenz.”
So werden vor allem folgende sieben datenschutzrechtliche Anforderungen genannt, die beim Einsatz von künstlicher Intelligenz erfüllt sein müssen. Dazu gehören unter anderem ein hohes Maß an Transparenz und Nachvollziehbarkeit der Ergebnisse und der Prozesse maschinengesteuerter Entscheidungen, der Grundsatz der Datenminimierung, die Einhaltung der Zweckbindung, aber auch die Vermeidung von Diskriminierungen und die klare Zurechnung von Verantwortlichkeiten.
Künstliche Intelligenz darf Menschen nicht zum Objekt machen, sie haben deshalb einen Anspruch auf das Eingreifen einer Person.
Anmerkung: Dementsprechend rückt beispielsweise Art. 22 DSGVO in den Fokus.
Danach haben betroffene Personen das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die Vorschriften von Art. 22 Abs. 1 DSGVO gelten nicht, wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist, Art. 22 Abs. 2, lit. a) DSGVO, oder aufgrund von Rechtsvorschriften der EU zulässig ist und diese Rechtsvorschriften angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthalten, Art. 22 Abs. 2, lit. b) DSGVO, oder wenn die betroffene Person ausdrücklich eingewilligt hat, Art. 22 Abs. 2, lit. c) DSGVO. Der Verantwortliche hat in solchen Fällen des Art. 22 Abs. 2 lit a) und b) DSGVO angemessene Maßnahmen zu ergreifen, um die Rechte und Freiheiten sowie die berechtigten Interessen der betroffenen Person zu wahren, wozu mindestens das Recht auf Erwirkung des Eingreifens einer Person seitens des Verantwortlichen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört (Art. 22 Abs. 3 DSGVO).
4. April 2019
Mit Urteil vom 20.12.2018 (Az. 17 Sa 11/18) hat sich das Landesarbeitsgericht (LAG) Baden-Württemberg als erstes deutsches Gericht unter Anderem mit der Frage beschäftigt, wie weit das in der DSGVO in Art. 15 Abs. 3 Satz 1 verankerte Recht auf Erteilung einer datenschutzrechtlichen Kopie reicht. In dem zu entscheidenden Kündigungsschutzverfahren hatte ein gekündigter Arbeitnehmer einen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht sowie beantragt, dass die beklagte Arbeitgeberin ihm eine Kopie seiner personenbezogenen Leistungs- und Verhaltensdaten zur Verfügung stellt. Zudem forderte er das Unternehmen auf, ihm Einsicht in das Whistleblowingsystems zu ermöglichen, dass die Beklagte zum Zwecke der Untersuchung von etwaigen Compliance-Verstößen und möglichen sonstigen Regelverletzungen betreibt.
Hinsichtlich des Antrags auf Auskunftserteilung urteilte das Gericht, dem Kläger die geforderten Auskünfte umfassend zu erteilen. Das Mindestmaß müsse folgende Informationen umfassen:
- Zwecke der Datenverarbeitung,
- Empfänger gegenüber denen personenbezogene Daten des Klägers/Anspruchstellers offengelegt werden,
- Speicherdauer oder Kriterien zur Festlegung der Dauer,
- Herkunft der personenbezogenen Daten, soweit diese nicht bei dem Kläger selbst erhoben wurden,
- automatisierte Entscheidungsfindung (inkl. Profiling) sowie aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer Verarbeitung.
Im Grundsatz entsprechen die Informationen dem Wortlaut des Art. 15 Abs. 1 DSGVO. Konträr zu bisherigen Ansichten der Landesdatenschutzbehörden, die es im Rahmen der Auskunft über Empfänger personenbezogener Daten ausreichen lassen, dass die verantwortliche Stelle Empfänger-Kategorien mitteilt sowie dem Gesetzeswortlaut der DSGVO, verurteilte das LAG Baden-Württemberg die Beklagte allerdings auch darauf, dem Kläger Auskunft über jeden einzelnen Empfänger zu geben.
Diese weite Auslegung dürfte für Unternehmen in der Praxis nur mit sehr hohem Aufwand umzusetzen sein und ist insbesondere auch im Hinblick auf den insofern anders lautenden Wortlaut des Art. 15 Abs. 1 DSGVO kritisch zu sehen.
Das LAG Baden-Württemberg verurteilte die Beklagte auch dazu, dem Kläger eine Kopie seiner sämtlichen personenbezogenen Leistungs- und Verhaltensdaten, die Gegenstand der von ihr vorgenommenen Verarbeitung sind, zur Verfügung zu stellen. Offen ließ das Gericht dabei allerdings, aus welchen Systemen und in welchem Umfang Kopien zu erstellen sind. So ist fraglich, ob damit neben Informationen aus den im Unternehmen eingesetzten Systemen dem Anspruchsteller auch z.B. Kopien aller Mails zur Verfügung gestellt werden müssen, die personenbezogene Daten des Betroffenen beinhalten. Im Ergebnis ist der entsprechend weit formulierte Urteilstenor unter dem Gesichtspunkt der Bestimmbarkeit sowie den zu erwartenden Schwierigkeiten bei einer möglichen Vollstreckung daher eher zweifelhaft.
Da das Gericht hinsichtlich dieser Frage die Revision zum Bundesarbeitsgericht (BAG) zugelassen hat, bleibt abzuwarten, ob eine solche eingelegt wird und der Urteilstenor auch nach einer bundesarbeitsgerichtlichen Entscheidung Bestand haben wird.
Letztlich entschied das LAG Baden-Württemberg, dass dem Kläger auch Einsicht in das Hinweisgebersystem der Beklagten zur gewähren ist und stützte den Anspruch auf § 83 Abs. 1 S. 1 BetrVG. Danach habe der Arbeitnehmer im bestehenden Arbeitsverhältnis das Recht, in die über ihn geführten Personalakten Einsicht zu nehmen. Unter „Personalakte“ sei nach herrschender Meinung jede Sammlung von Unterlagen zu verstehen, die mit dem Arbeitnehmer in einem inneren Zusammenhang stehe, und zwar unabhängig von Form, Material, Stelle und Ort, an dem sie geführt werde. Daher seien auch die Informationen im Rahmen eines Hinweisgebersystems als Bestandteil der Personalakte zu verstehen und dem Arbeitnehmer Einsicht zu gewähren.
Dies gelte auch dann, wenn der Arbeitgeber es den jeweiligen Hinweisgebern ermögliche, Hinweise anonym zu berichten, da der Arbeitgeber dann dafür Sorge zu tragen habe, dass die herausverlangten Informationen keine Rückschlüsse auf Dritte zulassen.
Neben Fragen der Anwendbarkeit des § 83 Abs. 1 S. 1 BetrVG neben Art. 15 DSGVO ergeben sich aus dem Urteil auch Fragen hinsichtlich der technischen Machbarkeit solcher umfassenden Einsichtsrechte, gerade in Bezug auf die Wahrung der Anonymität Dritter.
Im Ergebnis ist abzuwarten, ob die Datenschutzaufsichtsbehörden zu den getroffenen Aussagen im Rahmen des Urteils Stellung beziehen. Stand jetzt sollte jede Auskunftsanfrage gewissenhaft und einzelfallbezogen geprüft und bewertet werden. Auch eine Nachfrage bei der jeweils zuständigen Datenschutzaufsichtsbehörde sollte stets in Betracht gezogen werden.
2. April 2019
Facebook-Chef Mark Zuckerberg hatte am vergangenen Wochenende eine Debatte über eine einheitliche, weltweit geltende Regulierung im Internet angestoßen. Als Vorbild hierfür hob er die Datenschutzgrundverordnung hervor und betonte „Ich bin überzeugt, dass anstelle nationaler Regulierungen ein gemeinsamer globaler Rahmen notwendig ist, um eine Fragmentierung des Internets zu verhindern, damit Unternehmer nützliche Produkte entwickeln können und alle Menschen den gleichen Schutz erhalten“
Bundesjustizministerin Barley zeigte sich nach einem Treffen in Berlin allerdings nicht überzeugt von dem Modell des Facebook-Chefs und sieht die Vorschläge kritisch: „Mark Zuckerberg spricht seit einem Jahr über die Verantwortung von Facebook für Gesellschaft, Demokratie und die Privatsphäre von mehr als zwei Milliarden Menschen. Doch zu spüren ist davon wenig.“ Facebook habe durch sein Verhalten und kontinuierlich bekannt werdende „Sicherheitsskandale“ viel Vertrauen verspielt.
Zudem kritisierte Barley auch, dass Facebook plane, die Infrastruktur hinter den Chatdiensten WhatsApp und Messenger sowie der Messengerfunktion von Instagram zusammenzulegen. Dies widerspreche den ursprünglichen Ankündigungen. Sie warnte: „Bei der Zusammenführung dieser Dienste bestehen ganz erhebliche kartellrechtliche und datenschutzrechtliche Fragen.“
29. März 2019
Viele Unternehmen gingen kurz nach dem Inkrafttreten der DSGVO von einem strikten Verhalten der Datenschutzaufsichtsbehörden aus. Inzwischen wundern sich nun immer mehr über deren Zurückhaltung.
Obwohl München zu einem der beliebtesten IT-Standorten Europas gehört und viele Unternehmen der IT-Branche Zweigniederlassungen dort unterhalten, gestaltet sich das Hauptgeschäft des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) primär durch Beratungen. Sanktionen hingegen bildeten bis jetzt ehr die Ausnahme. Dieses Verhältnis soll sich durch die Landespolitik nun ändern.
Während 2017 noch ca. 3.700 Beratungsanfragen beim BayLDA zu verzeichnen waren, sind die Anfragen im Jahr 2018 inzwischen auf ca. 9.200 angestiegen. Das bedeutet ca. 384 Anfragen pro Personalstelle. Dies warf die Frage auf, ob eine Beratung überhaupt zu den Pflichtaufgaben der Behörden gehören.
Der Leiter des BayLDA Thomas Kranig sieht den Ansturm der Anfragen grundsätzlich positiv, da die Datenschutzaufsichtsbehörde somit Einblicke in die Umsetzung der DSGVO durch die Unternehmen erlangt. Aufgrund der Masse müssen Anfragen jedoch immer wieder aus Kapazitätsgründen abgelehnt werden. Der Grund für die Kapazitätsproblematik geht daraus hervor, dass die Personalstellen gegenwärtig nicht aufgestockt werden. Der BayLDA muss somit die Beratungstätigkeit „weitgehend einstellen“.
Anderen Datenschutzaufsichtsbehörden ergeht es ähnlich. Die niedersächsische Landesdatenschutzbeauftragte stellte die Beratung bereits im November weitgehend ein. Ausschließlich Vereine und Verbände werden mittels einer eigenen Hotline noch weiter beraten.
26. März 2019
Der Journalist und IT-Sicherheitsexperte Brian Krebs berichtete auf seinem Blog über den neusten Datenskandal bei Facebook.
Das soziale Netzwerk soll Passwörter jahrelang nur im Klartext abgespeichert haben. Die Daten der Nutzer seien für mehr als 20.000 Facebook-Mitarbeiter sichtbar gewesen. Betroffen seien geschätzt 200 bis 600 Millionen Nutzer von Facebook, Instagram und Facebook Lite.
Facebook hat in einer Stellungnahme vom 21. März den Vorfall nicht geleugnet, sieht aber kein Missbrauchsrisiko. Laut Facebook gibt es keine Hinweise darauf, dass jemand intern missbräuchlich auf die Passwörter zugegriffen habe. Die Betroffenen werden dennoch vorsichtshalber benachrichtigt.
Die DSGVO schreibt in einem solchen
Fall eigentlich eine förmliche Meldung der Datenpanne an die Aufsichtsbehörde
nach Art. 33 DSGVO und eine Benachrichtigung aller Betroffenen nach Art. 34
DSGVO vor. Hierzu nimmt Facebook nicht Stellung.
In einer aktuellen Pressemeldung äußert sich der Bundesdatenschutzbeauftragte Ulrich Kelber zu dem Skandal:
„Es ist zwar traurig, aber ein
Datenschutzvorfall bei Facebook
ist mittlerweile leider keine große Überraschung mehr. Skandalös ist allerdings,
dass einer der weltweit größten IT-Konzerne
offensichtlich nicht weiß, wie Kundenpasswörter gespeichert werden müssen.
Damit setzt Facebook
seine Kunden einem unnötigen Risiko aus. Das ist in etwa so, wie wenn sich
Fahrgäste in einem Taxi nicht anschnallen können, weil der Fahrer nicht weiß,
wie ein Sicherheitsgurt funktioniert.“
Empfohlen wird jedem Nutzer von Facebook und Instagram, sein Passwort zu ändern. Wie man ein sicheres Passwort generiert, können Sie hier in unserem Blog nachlesen.
Eine Anleitung zur kompletten Löschung des Facebook Accounts finden Sie hier.
Es bleibt abzuwarten, wie die für
Facebook zuständige Irische Datenschutzbehörde auf den Vorfall reagieren wird.
Die Einleitung eines Bußgeldverfahrens erscheint möglich.
Der BfDI ist sich allerdings sicher, dass eine Prüfung durch die Datenschutzaufsichtsbehörden erfolgen wird. In der Pressemitteilung heißt es:
„Zum einen muss geklärt werden, ob Facebook vorliegend gegen
Meldevorschriften nach der Datenschutz-Grundverordnung verstoßen hat. Das
Problem scheint ja bereits seit Januar bekannt gewesen zu sein. Unabhängig
davon wird die in Europa zuständige Irische Datenschutzbeauftragte sicherlich
die Einleitung eines Bußgeldverfahrens prüfen. Und schließlich werden wir auch
im Europäischen Datenschutzausschuss über den Fall diskutieren.“
20. März 2019
Daimler musste in einem Prozess erfahren, dass dem Arbeitnehmer ein gestärktes Auskunftsrecht gegenüber dem Arbeitgeber zusteht und muss deshalb einem Manager umfassend Auskunft zu über ihn gesammelten Daten geben. Das Auskunftsrecht aus Art. 15 DSGVO könnte angesichts des noch nicht veröffentlichten Urteils des Landesarbeitsgerichts Baden-Württemberg zu einer Welle von Prozessen führen. In dem Urteil wird dem Autokonzern auferlegt, die über einen klagenden Manager vorliegenden Informationen umfassend offenzulegen; dazu gehören auch Erkenntnisse über interne Ermittlungen. Bundesweit erstmals wurde das Auskunftsrecht damit auch in der zweiten Instanz sehr weitreichend ausgelegt.
Durch die DSGVO wurde das bisher schon bestehende Auskunftsrecht durch die Möglichkeit hoher Sanktionen gestärkt. Außerdem ist das Recht des Betroffenen auf eine Kopie aller seiner gespeicherten personenbezogenen Daten ganz neu hinzugekommen. Auf diese Regelung der DSGVO hatte sich der klagende Daimler-Manager in der zweiten Instanz berufen. Das Landesarbeitsgericht gab ihm nicht nur im Streit um Abmahnungen und Kündigungen fast vollständig recht. Es verurteilte den Autokonzern auch dazu, ihm Auskunft über nicht in seiner Personalakte gespeicherte Leistungs- und Verhaltensdaten samt einer Kopie zu geben. Daimler hatte dies mit der Begründung verweigert, die Anonymität von Hinweisgebern schützen zu müssen. Derzeit streitet Daimler mit dem Manager um die Vollstreckung des Urteils, also den Umfang der herauszugebenden Daten. Bei Konflikten zwischen Arbeitnehmern und Arbeitgebern könnte das Auskunftsrecht in Zukunft zu einem beliebten Druckmittel werden.
12. März 2019
Kurz vor den entscheidenden Tagen zur Abstimmung über die Umstände und gegebenenfalls eine Verschiebung des Brexits hat sich Theresa May gestern Abend nochmals mit Jean-Claude Juncker in Straßburg getroffen. Dabei wurde sich, als Ergänzung zum vormaligen Brexit-Abkommen, auf „Klarstellungen und rechtliche Garantien“ zur Auffanglösung für Nordirland geeinigt.
Großbritannien soll hierbei die Möglichkeit erhalten, ein Schiedsgericht anzurufen, für den Fall, dass die EU über 2020 hinaus Großbritannien mittels Backstop-Klausel gewissermaßen an die Zollunion „ketten“ sollte. Dieses „rechtlich verbindliche Instrument“, wie es Juncker nennt, soll verdeutlichen, dass die Backstop-Klausel zur irischen Grenze nicht als Dauerlösung angesehen wird. Im Übrigen soll dies auch in einer gemeinsamen politischen Erklärung über die künftigen Beziehungen beider Seiten bekräftigt werden. Die Formulierung der ergänzenden Regelung ist juristisch jedoch schwammig und lässt Raum für Interpretation.
May ist dennoch zuversichtlich die Zustimmung des britischen Parlaments für das „neue“ Abkommen, über das heute Abend abgestimmt werden soll, zu erhalten. Jeremy Corbyn, der Chef der Labour Partei, hat unterdessen angekündigt und dazu aufgefordert auch gegen dieses Abkommen zu stimmen. Weitere Verhandlungen über Anpassungen der jetzigen Version des Austritts-Abkommens hat Juncker aber bereits abgelehnt, und betont dass es keine „Dritte Chance“ geben werde. Bis zum 23. Mai, wenn die EU-Wahlen beginnen, müsse das Königreich die EU verlassen haben.
Die Entscheidungen über das „wie“ und „wann“ des Brexits fallen jedenfalls in den nächsten Tagen, beginnend mit dem heutigen Abend gegen 20 Uhr MEZ. Sollte es heute keine Zustimmung zum Abkommen geben, wird morgen über einen „no-deal“ Brexit zum 29. März (ab 30. März wäre Großbritannien dann ein Drittland im Sinne der DSGVO) abgestimmt. Kann auch hier keine Zustimmung erzielt werden, so wird am 14. März über eine Verschiebung des Austritts abgestimmt. Im Rahmen einer Verschiebung könnte es dann zu einem neuen Referendum kommen und somit der erneuten Entscheidung über die Frage des „ob“ hinsichtlich des Brexits.
11. März 2019
Der Hessische Datenschutzbeauftragte hat Antworten zu den am häufigsten gestellten Fragen zur Datenschutz-Grundverordnung (DSGVO) auf seiner Webseite veröffentlicht und sich darin zu einigen kontrovers diskutierten Themen positioniert. Auch wenn dort sicherlich nicht jede offene Frage beantwortet werden kann, ist das FAQ insbesondere für Unternehmen mit Hauptsitz in Hessen lesenswert.
Interessant ist etwa die Aussage zur Frage, wann eine Auftragsverarbeitung vorliegt. Hier scheint sich die hessische Behörde der bereits vom Bayerische Landesamt für Datenschutzaufsicht veröffentlichten Ansicht anzunähern. Der Anwendungsbereich der Auftragsverarbeitung ist demnach recht eng auszulegen, nämlich nur auf Fälle, in denen ein Dritter tatsächlich mit der Verarbeitung von Daten beauftragt wird:
„Wenn Sie hingegen andere Dienstleistungen Dritter in Anspruch nehmen, bei denen die Weitergabe von Daten zwar erforderlich aber nicht Inhalt der Dienstleistung selbst ist, liegt in der Regel kein Auftragsverarbeitungsverhältnis vor (z.B. handwerkliche Tätigkeiten).“
Interessant ist auch die Aussage der Behörde zu der Frage, ob eine Einwilligung nach Art. 6 Abs. 1 S.1 lit. a) DSGVO vorsorglich eingeholt werden darf, wenn sich der Verantwortliche hinsichtlich des Vorliegens eines anderen Erlaubnistatbestandes unsicher ist:
„Häufig kann es aber schwierig sein, die gesetzliche Grundlage für die Datenverarbeitung zweifelsfrei zu bestimmen oder deren Grenzen klar zu erfassen. In diesen Fällen ist es vor allem auf Grund der Sicherheit und Transparenz sowohl für verantwortliche Stellen als auch für betroffene Personen nicht schädlich, wenn vorsorglich eine Einwilligung eingeholt wird.“
5. März 2019
Künstliche Intelligenz gilt als die Zukunftstechnologie. Doch lassen sich Datenschutz und Künstliche Intelligenz vereinen? Die Künstliche Intelligenz unterliegt dem Prinzip des „Machine Learning“. Für das selbstständige „Lernen“ muss der Algorithmus eine große Menge an Daten analysieren. Die datenschutzrechtlichen Grundsätze der Transparenz, Zweckbindung und Datenminimierung stehen dabei der Strategie der künstlichen Intelligenz zum Teil entgegen. Wie soll z.B. Big Data dem Grundsatz der Datenminimierung gerecht werden?
Aktuell feiern digitale Assistenten wie z.B. Google Home oder Amazon Echo große Erfolge, indem sie den Alltag erleichtern können. Aus Sicht der Datenschützer ist jedoch fraglich, inwiefern die gesammelten Informationen über die Nutzer weiterverarbeitet werden. In diesem Zusammenhang geriet vor einiger Zeit der Staubsauger-Roboter in die Kritik, indem die Räume durch das Gerät vermessen wurden, wodurch in gewisser Weise eine digitale Karte der Wohnung entstand. So können aus der Größe der Wohnung z.B. Rückschlüsse über Einkommen gezogen werden, sodass die Werbung möglichweise noch individueller auf bestimmte Personen zugeschnitten werden könnte.
Bisher wird mittels Crowd Sourcing der Datenschutz-Problematik entgegengewirkt. Das bedeutet, dass in der Entwicklung ein Satz anonymisierter Daten, welche darüber hinaus mit einer Unschärfe versehen werden, verwendet wird statt einzelner Datensätze, die sich auf eine Person zurückverfolgen lassen. Zudem ist anzumerken, dass KI Datenpannen erkennen kann oder auch für die Risikoanalyse eine wichtige Stütze ist. So können z.B. mit Messgeräten – entwickelt von xbird Gründer Sebastian Sujka – Bewegungsdaten, Schlaf und Ernährungsrhythmen ausgewertet werden und dem Patienten zeigen, was er ändern kann, um den Krankheitsverlauf positiv zu beeinflussen.
Kürzlich fand das 8. Speyerer Forum zur digitalen Lebenswelt, unter dem Thema „Künstliche Intelligenz und die Zukunft des Datenschutzrechts“ statt. Dabei startete die Veranstaltung mit den technischen Einführungen in die künstliche Intelligenz sowie mit der rechtlichen Betrachtung beim Einsatz von künstlich intelligenten Systemen sowohl im Datenschutzrecht als auch im Zivilrecht. Diskutiert wurde unter anderem über die Blockchain-Technologie. Vertreter aus Politik und Wirtschaft diskutierten über die Zukunft und den Einsatz dieser Technologie in der öffentlichen Verwaltung und wagten in einer Podiumsdiskussion einen Blick in die mögliche Zukunft der Verarbeitung von personenbezogenen Daten.
Künftig wird man sich also damit weiter und intensiver befassen müssen, auf welchem Wege sich Datenschutz und Künstliche Intelligenz vereinen lassen. Jedenfalls wird KI nicht mehr aus den Alltag wegzudenken sein, sodass sich noch viele rechtliche Fragen eröffnen werden, die die Gesetzgebung vor eine besondere Hürde stellen.
1. März 2019
Der Landesdatenschutzbeauftragte Baden-Württemberg (LfDI BW) hat sich in seinem aktuellen Tätigkeitsbericht kritisch zum Adresshandel geäußert.
Beim Adresshandel werden Daten potenzieller Kunden durch ein Unternehmen aus allgemein zugänglichen Quellen, wie bspw. Telefonbücher, Branchenverzeichnisse, Zeitungen und Messekataloge, Teilnehmerverzeichnisse, öffentliche Register (Handelsregister, Vereinsregister) zu Werbezwecken entnommen und ggf. weiterverkauft. Das die Daten erwerbende Unternehmen nutzt diese dann bspw. für Werbeansprachen per Post. Nach der alten Rechtslage bestand ein sogenanntes “Listenprivileg” (§ 28 BDSG-alt). Hiernach durften Listendaten – z.B. Name und Anschrift – grundsätzlich auch ohne Einwilligung der Betroffenen zu Werbezwecken genutzt werden.
Dieses ausdrücklich geregelte Listenprivileg wurde im Zuge der Einführung von DSGVO und BDSG-neu nicht übernommen. Die Frage der Zulässigkeit des Adresshandels richtet sich somit nach den allgemeinen Vorschriften. Sofern keine Einwilligung im Sinne von Art. 7 DSGVO vorliegt kann der Adresshandel also nur über Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt werden. Hierfür müsste ein berechtigtes Interesse des Verantwortlichen oder eines Dritten gegeben sein, das im konkreten Fall im Zuge einer Abwägung nicht hinter den Interessen der betroffenen Person zurückstehen muss, weil die Interessen der betroffenen Person schutzwürdiger sind.
In seinem 34. Tätigkeitsbericht 2018 hat der LfDI BW nun konkret Stellung zu dieser Frage bezogen und das berechtigte Interesse im Rahmen des Adresshandels grundsätzlich verneint. Als problematisch erachtet der LfDI BW vor allem die entgegenstehenden Interessen der betroffenen Person und führt hierzu auf S. 118 f. des Berichts aus:
„Die Interessen oder die Grundrechte und
Grundfreiheiten der betroffenen Person dürfen nicht überwiegen; dabei sind die
vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu
dem Verantwortlichen beruhen, zu berücksichtigen. Insbesondere dann, wenn
personenbezogene Daten in Situationen verarbeitet werden, in denen eine
betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung
rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das
Interesse des Verantwortlichen überwiegen (ErwG 47).“
Der LfDI BW nimmt
beim Adresshandel an, dass
„Der Betroffene […] gerade nicht davon aus[geht], dass ein Unternehmen, mit dem er geschäftlichen Kontakt hat, ungefragt seine Kundendaten an andere, ihm völlig fremde Unternehmen verkauft oder vermietet und er von dort plötzlich unerwünschte Werbung bekommt. Zudem hat der Betroffene – […] ein sehr starkes Interesse daran, dass seine Kundendaten nicht zu einer grenzenlos gehandelten Ware verkommen, auf die er keinerlei Einfluss mehr hat. Der Betroffene hat auch aus dem Gesichtspunkt der Transparenz (Art. 5 Abs. 1 Buchstabe a DS-GVO) heraus ein überwiegendes Interesse daran, Herr (oder Frau) seiner Daten zu bleiben. Dies gilt umso mehr bei angereicherten Adressdaten, die regelmäßig ein ziemlich konkretes Persönlichkeitsprofil des Betroffenen abbilden.“
Laut LfDI BW sieht die Rechtslage auch dann nicht anders aus, wenn der Betroffene selbst seine Adressdaten veröffentlicht (bspw. im Telefonbuch), denn auch hier sei nicht davon auszugehen, dass ein Handel mit diesen Daten gewünscht sei.
Zwar ist noch offen, ob sich auch andere Aufsichtsbehörden dieser Meinung des LfDI BW anschließen werden. Um sich abzusichern, sollten Verantwortliche jedoch vorsichtshalber vor der Durchführung des Handels und Verkaufs von Adressdaten Einwilligungen der Betroffenen nach Art. 6 I lit. a), 7 DSGVO einholen.
