17. Oktober 2023
Chatkontrolle sei anlasslose Massenüberwachung
Die Europäische Union plant die Einführung der sogenannten „Chatkontrolle“. Hierunter versteht man technische Maßnahmen zur Überwachung der elektronischen Kommunikation, um Kindesmissbrauch im Internet zu verfolgen oder vorzubeugen. Konkret stehen Beratungen im Rat der Europäischen Union bevor. Deswegen hat am 17. Oktober 2023 die Konferenz der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Entschluss zur geplanten Chatkontrolle verabschiedet. Darin fordert sie den EU-Gesetzgeber auf sich an die Grundsätze der Rechtsstaatlichkeit, Erforderlichkeit und Verhältnismäßigkeit zu halten.
Kindesmissbrauchsbekämpfung als Ziel
Die EU-Kommission legte den Vorschlag für eine Verordnung zur Prävention und Bekämpfung des sexuellen Missbrauchs von Kindern im Mai 2022 vor. Anbieter von Online-Kommunikationsdiensten (z.B. E-Mail- oder Chat-Dienste wie WhatsApp) würden hierdurch verpflichtet, die Verbreitung von Darstellungen sexuellen Kindesmissbrauchs oder den Kontakt zu Minderjährigen mittels gewisser Kriterien zu identifizieren.
Unverhältnismäßige Massenüberwachung
Die von der EU-Kommission vorgeschlagene Maßnahme sieht vor, sämtliche Kommunikation, einschließlich E-Mails und Chatnachrichten, auf Darstellungen sexuellen Kindesmissbrauchs zu überwachen. Diese Kontrolle würde unterschiedslos und verdachtsunabhängig stattfinden und auch die sensibelsten Lebensbereiche der Nutzer betreffen. Weiterhin wäre auch Ende-zu-Ende verschlüsselte Kommunikation umfasst. Dies würde, die Verschlüsselung, die in den letzten Jahren als ein Eckpfeiler der Privatsphäre etabliert wurde, aufbrechen. Durch einen solchen Abbau von Sicherheitsmechanismen erhöhe sich das ohnehin bestehende Risiko für missbräuchliche Einsichtnahme in private Kommunikation erheblich. Dies gefährde den elementaren Grundsatz der Vertraulichkeit der elektronischen Kommunikation.
Die DSK beschreibt die gewählten Mittel als „äußert zweifelhaft“. Insofern meint sie, dass es sich um eine „anlasslose Massenüberwachung“ handelt, die nicht in Einklang mit den Grundrechten der Achtung des Privat- und Familienlebens, der Vertraulichkeit der Kommunikation und des Schutzes personenbezogener Daten zu bringen ist. Durch die Chatkontrolle sammle man eine enorme Menge an persönlichen Informationen von Nutzern, ohne dass auch nur der Verdacht einer Straftat vorliege. Deswegen warnt die DSK ausdrücklich davor, den Wesensgehalt der Grundrechte zu berühren.
Fazit
Unstreitig ist die Bedeutung der Bewahrung von Kindern vor sexuellem Missbrauch. Allerdings ist es ist Aufgabe des Gesetzgebers eine Lösung zu finden, die dieses Ziel erreicht, ohne die Privatsphäre der Nutzer unverhältnismäßig einzuschränken. Wie von der DSK richtig erkannt, sind hierbei die Prinzipien der Rechtsstaatlichkeit zu wahren. Maßnahmen zur Bekämpfung schwerster Kriminalität müssen in einem angemessenen und verhältnismäßigen Rahmen stattfinden. In welcher konkreten Ausprägung die Verordnung schlussendlich in Kraft treten wird, bleibt abzuwarten.
13. Oktober 2023
Niedersachsens Datenschutzbeauftragter, Denis Lehmkemper, der erst am 15.09.2023 ernannt wurde, betritt das Parkett mit klaren Ansichten zur Rolle von Künstlicher Intelligenz (KI) in der modernen Gesellschaft. Bereits nach seiner Ernennung betonte er, dass er einen Schwerpunkt darin sehe „die rasante Entwicklung der Digitalisierung von Wirtschaft, Gesellschaft und Verwaltung – getrieben von Zukunftsthemen wie Künstliche Intelligenz – im Interesse der Bürgerinnen und Bürgern in Niedersachen zu begleiten. In einem Interview mit der Deutschen Presse-Agentur äußerte er nun seine Bedenken hinsichtlich des Einsatzes von KI und betonte die Notwendigkeit einer öffentlichen Diskussion über klare Regeln und Leitlinien.
Die Herausforderungen des KI-Einsatzes
Lehmkemper erkennt die vielfältigen Fragen und Unsicherheiten, die mit dem wachsenden Einsatz von KI verbunden sind. Klar ist für ihn, dass dies in Zukunft ein relevantes Thema in seiner Behörde sein wird. Ein Szenario, das er aufwarf, war die Möglichkeit, dass KI-Systeme über die berufliche Zukunft von Bewerbern oder Arbeitnehmern entscheiden könnten. In solchen Fällen scheinen die datenschutzrechtlichen Hindernisse zu hoch, weshalb viele Unternehmen auf den Einsatz von KI gänzlich verzichten. Laut Lehmkemper, verdeutlicht gerade das Beispiel aus dem Arbeitsleben den Bedarf an klaren und robusten Regeln.
Eine breite Debatte
Auch wenn die Auseinandersetzung mit dem Thema KI zunächst beunruhigend sein kann, warnte der Behördenchef davor, sich bei der Beantwortung der Frage nach Leitlinien von Ängsten leiten zu lassen. Man müsse die Problematik und die konkrete Ausarbeitung der Vorgaben in der gesamten Gesellschaft diskutieren. Dabei will er das Parlament, die Wirtschaft, die Gewerkschaften und sogar die Kirchen einbinden.
Lösungsansatz
Lehmkemper fordert „Regeln“ und „Leitplanken” und ggf. sogar ein spezielles “Gesetz”. Er betonte zum einen, die Wichtigkeit eines hohen Schutzstandards, andererseits dürfe man nicht technischen Fortschritt behindern.
Ein aktuelles vom Bundesministerium für Bildung und Forschung gefördertes Whitepaper der Plattform Lernende Systeme zeigt technische Instrumente, die Privatsphäre und Datenschutz bei der Anwendung von KI-Systemen gewährleisten könnten. Statt Verbote aufzustellen solle man vielmehr Handlungsräume mit gewissen Begrenzungen für die Unternehmen schaffen, die ihnen Rechtssicherheit bieten. Die Autoren fordern, dass diese Verfahren als Ausnahme in die Datenschutzgrundverordnung (DSGVO) einbezogen werden. Für die verschiedenen Methoden sollten zudem Standards und Zertifizierungsmöglichkeiten implementiert werden
Beispielhaft wird etwa das Privacy-Preserving Machine Learning (PPML) empfohlen. Hierbei wird schon bei der Entwicklung des KI-Systems der Datenschutz sichergestellt z. B. durch Anonymisierung oder Verschlüsselung personenbezogener Daten. Eine Alternative sei die Verwendung von Personal Information Management Systemen (PIMS), bei denen der Einzelne die Verfügungsbefugnis über seine Daten behält und sogar von deren wirtschaftlichem Nutzen profitieren könnte.
Fazit
Denis Lehmkemper fordert zu Recht klare Regeln und Leitlinien für den Umgang mit KI. Er hat erkannt, dass KI eine entscheidende Rolle in unserer Zukunft spielen wird, auf die man nicht verzichten sollte. Zum Schutz der Bürger bedarf es allerdings gleichzeitig entsprechender Regeln. Die Entwicklung von KI schreitet schnell voran und ist so komplex, dass es schon jetzt kaum möglich ist, ebenso schnell gesetzliche Regulierungen zu schaffen. Bislang gibt es kaum konkrete begrenzende Gesetze. Die Ansätze des Whitepapers der Plattform Lernende Systeme könnten hierfür gute Impulse geben. Ob und welche Regelungen diesbezüglich tatsächlich kommen werden, bleibt abzuwarten.
12. Oktober 2023
Die jüngsten Entwicklungen in Irland werfen einen bedenklichen Schatten auf die Pressefreiheit. Das irische Parlament hat im Juni 2023 ein neues Gesetz verabschiedet, das erhebliche Auswirkungen auf die Berichterstattung über die irische Datenschutzbehörde haben könnte. Am 04.10.2023 hat sich nun auch der Europäischen Datenschutzausschusses (EDSA) hierzu geäußert.
Hintergrund der Debatte
Gemäß der One-Stop-Shop-Regelung nach Art. 56 der Datenschutz-Grundverordnung (DSGVO) ist die Data Protection Commission (DPC) (irische Datenschutzbehörde) die zuständige federführende Aufsichtsbehörde in Verfahren gegen Giganten wie Apple, Google und Meta. Diese Prozesse dauern häufig sehr lange und Bußgelder werden oft zu niedrig angesetzt bzw. erst nach Intervention des EDSA erhöht. Deswegen und wegen der Bedeutung dieser Internet-Riesen steht die DPC schon lange in der Kritik.
Neues irisches Gesetz als Reaktion?
Man könnte fast meinen, dass der irische Gesetzgeber genug von der ständigen Nörgelei hat. Die neue Courts and Civil Law (Miscellaneous Provisions) Bill 2022 gestattet es nun der DCP, eine Vielzahl an Verfahren als „vertraulich“ zu klassifizieren und sogar Strafe zu verhängen.
Die Neuregelung bestimmt in Art. 26A des irischen Data Protection Act (DPA), dass die DPC Informationen als vertraulich einstufen kann und Anweisungen erteilen darf, den Inhalt nicht offenzulegen. Nach Abs. 5 gelten Informationen als vertraulich, wenn ihre Offenbarung zu einem finanziellen Schaden führen würde oder ihre Veröffentlichung Verhandlungen beeinträchtigen könnte. Zudem sind Informationen umfasst, die im Vertrauen mitgeteilt wurden und deren Offenlegung weiteren relevanten Informationsfluss beeinträchtigen könnte. Zuletzt fallen hierunter auch Informationen, deren Offenlegung eine effektive Aufgabenwahrnehmung der DPC gefährden könnte. Diese drei Varianten ermöglichen das Subsumieren eines breiten Spektrums an Fällen, auch wenn sie nicht wirtschaftlich sensibel sind. Gekrönt wird das Ganze mit einer möglichen Geldstrafe von bis zu 5.000 € bei einer Missachtung der Anordnung.
Heftige Kritik an der Regelung
Jedenfalls hat das Gesetz nicht unmittelbar zu einer Kritikreduzierung gegenüber Irland geführt. Hauptsächlich wird es als Beschneidung der Pressefreiheit angesehen. Noch im Juni 2023 hatte sich der Irish Council for Civil Liberties (ICCL) gegen das Gesetz ausgesprochen. Amnesty International meint das Gesetz diene nur dem Schutz großer Technologieunternehmen.
Aussage des Europäischen Datenschutzausschusses
Als Antwort auf die Anfrage der Abgeordneten des europäischen Parlaments, Sophie in ´t Veld, reagierte nun auch der EDSA. Dieser erkennt die Bedeutung der Vertraulichkeit an, stellt jedoch klar, dass dies normalerweise nur auf Dritte und nicht auf den Informationsaustausch zwischen Aufsichtsbehörden zutrifft. Er weist auch darauf hin, dass die geplante Aktualisierung der DSGVO auch das Verfahren mit vertraulichen Informationen behandeln wird. Die geänderte Verordnung würde dann harmonisierend regeln, welche Informationen abgesehen von Geschäftsgeheimnissen sensibel sind. Es scheint vor allem fraglich, ob die so in der neuen Verordnung nicht vorgesehenen Bußgeldbefugnisse des DPA weiterbestehen könnten.
Fazit
Die irische Regelung kann durchaus als Einschnitt in die Pressefreiheit gewertet werden. Zwar ist die Notwendigkeit des Schutzes vertraulicher Informationen verständlich, allerdings bietet die offene Definition von „vertrauliche Informationen“ einen unkontrollierbar weiten Subsumtionsrahmen. Gerade da es die in der Kritik stehende DPC selbst ist, die über die Vertraulichkeit der Informationen entscheiden darf und keine unabhängige Instanz, birgt diese Konstellation erhebliches Gefahrenpotential. Die Zukunft wird zeigen, wie sich diese Regelung auf die Pressefreiheit und den Datenschutz in Irland auswirkt. Jedenfalls lässt die Antwort des EDSA und der Vorschlag für die neue DSGVO erahnen, dass die aktualisierte DSGVO nicht mit diesem Teil des DPA übereinstimmen wird. Zumindest ist zu erwarten, dass der EDSA sich die Regelungen genauer anschauen wird. Ob daraus ein Vertragsverletzungsverfahren folgen wird, bleibt mangels eindeutiger Antwort des EDSA abzuwarten.
11. Oktober 2023
Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, die im Mai 2018 in Kraft trat, verlangt der Unternehmenswelt nun schon seit 5 Jahren einiges ab. Unternehmen ziehen eine durchwachsene Bilanz und vergeben im Rahmen einer repräsentativen Umfrage im Auftrag des Digitalverbunds Bitkom nur die Note „ausreichend“ (3,9). Bitkom befragte zwischen Juni und August 2023 503 Unternehmen ab 20 Beschäftigten in Deutschland.
Die Hauptaussagen sind wenig schmeichelhaft. Zwar haben mittlerweile zwei Drittel (65 %) wenigstens größtenteils die Vorschriften in ihre Geschäftsprozesse implementiert, jedoch beklagen sie, dass diese nicht praxisorientiert und zu kompliziert sind. Erschreckend ist, dass in fast jedem Unternehmen Innovationsprojekte in Folge zu hoher Datenschutzanforderungen gescheitert seien.
Die guten Nachrichten zuerst
Trotz dieser Herausforderungen erkennen die Unternehmen auch einige positive Aspekte an. Immerhin bestätigt die Mehrheit, dass die DSGVO zu einer Verbesserung der Datensicherheit im Unternehmen (61 %) und mehr Vertrauen in digitale Prozesse (51 %) geführt hat. Im Übrigen setze die DSGVO einheitliche Wettbewerbsbedingungen in der EU (45 %) und sogar weltweit Standards (61 %).
Komplexität und Praxisferne
Die Befragten beschweren sich jedoch, dass die DSGVO Unternehmensprozesse komplizierter macht (78 %) und praxisfern sind (77 %). Die meisten Unternehmen (86 %) haben Schwierigkeiten, die Entwicklungen im Datenschutz in der Rechtsprechung zu verfolgen. Das führe unteranderem zu einer Rechtsunsicherheit (82 %). Datenschutzverantwortliche in Unternehmen fänden es schwierig, Mitarbeiter über Datenschutz zu informieren (74 %). Diese Hürden führen dazu, dass sich 69 % der Unternehmen im internationalen Wettbewerb gegenüber Nicht-DSGVO-gebundenen Unternehmen benachteiligt sehen.
DSGVO als Innovationshemmnis
Fast alle Unternehmen (100 %) gaben an, dass in den letzten zwölf Monaten innovative Projekte entweder scheiterten oder erst gar nicht gestartet sind. Die meisten dieser Projekte betrafen den Aufbau von Datenpools (59 %) und die Prozessoptimierung in der Kundenbetreuung (47 %). Grund hierfür seien Unklarheiten in der Anwendung der Vorschriften (92 %) und konkrete DSGVO-Vorgaben (86 %). Allein die Umsetzung der DSGVO habe in viele Fällen zu Verzögerungen bei der Entwicklung neuer Produkte und Dienstleistungen geführt (56 %). Man hätte Innovationen aus Drittländern aufgrund der Regelungen in der EU nicht nutzen können (48 %).
Die Meinungen über den Einfluss der DSGVO auf die Entwicklung von künstlicher Intelligenz (KI) gehen auseinander. Während 44 % meinen, dass Datenschutz die Rechtssicherheit für die Entwicklung von KI-Tools schafft, sehen 56 % die DSGVO als Hindernis, dass Unternehmen der KI-Branche, aus der EU vertreiben könnte.
Verbesserungswünsche
Die deutliche Unzufriedenheit der Unternehmer legt es nahe, dass viele eine Verbesserung fordern. Immerhin 12 % der Unternehmen fordern eine Verschärfung der DSGVO, um die Bürgerinnen und Bürger besser zu schützen. Die Umfrageergebnisse zeigen allerdings, dass eine Mehrheit der Unternehmen sich eine Vereinfachung der Regelungen wünscht. Die vielen speziellen Datenschutzvorschriften sollen zusammengeführt (95 %) und die DSGVO angepasst werden (87 %). Außerdem sollen die Datenschutzvorgaben innerhalb der EU vereinheitlicht werden (79 %). Auch auf föderaler Ebene sollen die Gesetze angepasst werden (67 %).
Fazit
Die DSGVO hat in den letzten fünf Jahren sowohl Lob als auch Kritik von deutschen Unternehmen erhalten. Die Stimmung in der Unternehmenswelt tendiert allerdings in eine Richtung. Viele empfinden die Vorschriften als Hindernis, dass Nachteile in innovativer und finanzieller Hinsicht mit sich bringt. Aufgabe des Gesetzgebers ist es, die Forderungen der Unternehmen zu hören und Änderungen zu schaffen, die sowohl die Privatsphäre des Bürgers schützen als auch wirtschaftlich gesehen praxistauglich, verständlich und effizient sind. Bis dahin bleibt Datenschutz ein Thema, das die Geschäftswelt weiterhin herausfordert. Bei der Umsetzung der diversen Regeln helfen wir Ihnen als Externer-Datenschutzbeauftragter gerne weiter.
10. Oktober 2023
In Europa gewinnt die Diskussion über die Zukunft der Online-Anonymität an Bedeutung. Mit der zunehmenden Bedeutung von Virtual Private Networks (VPNs) rücken auch sie immer mehr in den Fokus. Sie sorgen für Anonymität im Internet. Wo staatlicher Datenschutz nicht effektiv funktioniert, können sie hilfreich sein. Ganz nach dem Grundsatz „offline Verbotenes soll auch online verboten sein“ wird aber immer häufiger ihre Legitimität in Frage gestellt. Konkret geht es aktuell in der französischen Nationalversammlung um einen Gesetzesentwurf zur Sicherung und Regulierung des digitalen Raums.
Einschränkungen für VPNs gefordert
Abgeordnete des liberalen und des Mitte-Rechts-Lagers stellten Anträge, nach denen der Einsatz von VPNs zur Verschleierung von Online-Spuren eingeschränkt oder ihr Download aus App Stores verboten werden sollte. Es wurde angebracht, dass VPNs die Verfolgung von Straftaten in den sozialen Medien erschweren. Eine Variante, in der der Nutzer online (nur) Pseudonymität innehat, würde eher den Umständen außerhalb des Internets entsprechen. Kritische Stimmen warnten hingegen vor einem solchen Vorgehen und verwiesen insbesondere auf hohe technische Hürden bei der Umsetzung und einen Verstoß gegen die EU-Grundrechtecharta.
VPN-Einschränkungen weltweit
In Russland sind VPN-Dienste, die nicht mit den russischen Behörden kooperieren, seit 2017 illegal. Das russische Regime ging laut Angaben des britischen Geheimdienstes zuletzt verstärkt gegen ihre Nutzung vor. Hierdurch will der Staat inländische Informationen vollständig kontrollieren. Ebenso brauchen VPN-Dienstleiter in China eine staatliche Genehmigung. In Nordkorea und Turkmenistan ist z. B. die Verwendung von VPNs sogar gänzlich untersagt.
Eine Betrachtung der Länder mit VPN-Verboten oder -Einschränkungen zeigt, welche einschneidenden Folgen die Einschränkung von VPNs mit sich bringen kann.
Fazit
Die Debatte über das Ende der Online-Anonymität nimmt auch in Europa an Fahrt auf. Die Frage nach dem richtigen Maß an Anonymität im Internet bleibt ein umstrittenes Thema, bei dem unterschiedliche Interessen aufeinanderprallen. Von einem VPN-Verbot sind wir zumindest noch weit entfernt. Trotzdem sollten insbesondere die weiteren Entwicklungen in Frankreich aufmerksam verfolgt werden. Klar ist, dass die Verwendung von VPNs nicht zwangsläufig mit dem Begehen von Straftaten verbunden ist, sondern auch lediglich dem allgemeinen Schutz der Privatsphäre dienen kann. Ein Verbot oder selbst eine Einschränkung ist deswegen höchst bedenklich.
9. Oktober 2023
Aufgrund eines vom Bundeskartellamt eingeleiteten Missbrauchsverfahren hat der Mutterkonzern von Google, Alphabet, im Rahmen einer Einigung zugesagt, den Nutzern mehr Wahlmöglichkeiten über die Sammlung ihrer Daten zu geben oder die Verarbeitungskonditionen zu präzisieren. Nutzer sollen laut der Verpflichtungszusage mehr Entscheidungsoptionen darüber haben, welche personenbezogenen Daten dienstübergreifend im Google-Konzern gesammelt, analysiert und möglicherweise zu Profilen verknüpft werden.
Die Änderungen: Mehr Auswahlmöglichkeiten und keine Manipulation
Google soll im Rahmen der Änderungen den Nutzern mehr Möglichkeiten bieten, um festzulegen, wie ihre Daten verwendet werden. Zuvor bestanden keine ausreichenden Entscheidungsmöglichkeiten hinsichtlich des Umstands, des Zwecks und der Art und Weise der dienstübergreifenden Datenverarbeitungen. Die Neuerungen betreffen insbesondere Vorgänge innerhalb der verschiedenen Dienste des Konzerns, wenn persönliche Informationen hieraus zusammengefasst oder verwendet werden sollen. Betroffen könnten mehr als 25 Funktionen sein, wie z. B. Google News oder Gmail. Dabei dürfen die Selektionsoptionen die Nutzer nicht durch einflussnehmende Designmechanismen (z. B. “Dark Patterns”) dazu verleiten, der Datenverarbeitung über verschiedene Dienste hinweg zuzustimmen.
Für größere von der EU-Kommission als Gatekeeper-Angebote bezeichnete Google-Dienste wie etwa Shopping, Maps oder Search gelten ‚nur‘ die Anforderungen des Digital Markets Act (DMA). Verarbeitet Google hingegen keine Daten dienstübergreifend und legen die Verarbeitungsbedingungen dies eindeutig fest, müssen lediglich die Datenschutz-Grundverordnung (DSGVO) und ihre Opt-in-Vorgaben beachtet werden.
Ziel der Anpassungen
Das Hauptziel des Kartellamts ist hierbei sicherzustellen, dass die Nutzer ihre Zustimmung zur Verarbeitung ihrer Daten über mehrere Dienste hinweg gemäß der DSGVO freiwillig, informiert und eindeutig für alle Fälle erteilen können.
Laut Andreas Mundt, der Präsident des Bundeskartellamtes, stärke dieser bedeutende Schritt das Selbstbestimmungsrecht der Nutzer und reduziere gleichzeitig Googles Marktmacht, die insbesondere auf der überlegenen Masse an verfügbaren Daten beruhe. Die Datensammlung und -verarbeitung sei das „Fundament der Marktmacht“ solcher „Internet-Riesen“. Hierin liege ein entscheidender wettbewerblicher Vorteil im Vergleich zu kleineren Unternehmen.
Fazit
Google wird nun dem Bundeskartellamt innerhalb von drei Monaten einen Umsetzungsplan vorlegen. Der Fall ist aber vor allem interessant für die Frage, inwieweit das Kartellamt bei der Kontrolle von Datenverarbeitungsmethoden zuständig ist. Erkennbar ist hier ein Zusammenspiel von DMA und den nationalen erweiterten Aufsichtsbefugnissen. Dort, wo keine Regulierung durch den DMA mangels Gatekeeper-Status greift, wurden nationale kartellrechtliche Vorschriften herangezogen. Dass in diesem Fall die nationalen Vorschriften nicht für die Gatekeeper gelten sollen, wurde im Verfahren von Google selbst vorgetragen. Insofern stellt sich die Frage, ob für ‘kleinere’ Unternehmen auf Grund nationaler Vorschriften höhere Anforderungen gestellt werden. Trotzdem stellt die Verpflichtungszusage allgemein einen weiteren Schritt hinsichtlich einer flexiblen Selbstbestimmung für Nutzer von Google-Diensten dar.
Die Europäische Union ist ein politischer Zwerg, aber wirtschaftlich ein Riese. Dennoch hinkt die EU im Bereich der Digitalisierung hinter den USA her. Um diese Lücke zu schließen und die Digitalisierung voranzutreiben, hat die EU im Jahr 2020 die Europäische Datenstrategie ins Leben gerufen. Ein zentraler Aspekt dieser Strategie ist der Data Governance Act (DGA), der am 23. Juni 2022 in Kraft getreten ist und seit dem 24. September 2022 in der EU gilt. In diesem Artikel werden wir uns näher mit dem DGA befassen und sein Ziel sowie seine Auswirkungen auf den Datenschutz in der EU erläutern.
Das Ziel des DGA
Der DGA hat das Ziel, den Austausch von digitalen Daten in der EU zu fördern, unabhängig davon, ob es sich um personenbezogene oder nicht personenbezogene Daten handelt, vorausgesetzt, sie liegen in digitaler Form vor. Durch die Stärkung des Vertrauens zwischen Einzelpersonen und Unternehmen bezüglich des Zugangs zu Daten, ihrer Kontrolle, gemeinsamen Nutzung, Verwendung und Weiterverwendung soll der Datenaustausch erleichtert werden.
Der DGA legt besonderen Wert auf die Rolle von Datenvermittlungsdiensten, die freiwillige Verfahren zur gemeinsamen Datennutzung zwischen Unternehmen unterstützen und fördern sollen. Diese Dienste sollen insbesondere kleinen und mittelständischen Unternehmen sowie Start-ups den Zugang zur Datenwirtschaft erleichtern. Dabei steht der altruistische Zweck im Vordergrund, d.h., die Bereitschaft von Einzelpersonen oder Dateninhabern, ihre Daten für das Gemeinwohl zur Verfügung zu stellen.
Verhältnis zur Datenschutz-Grundverordnung
Die DSGVO hat Vorrang vor dem DGA und schafft die Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Der DGA kann keine Rechtsgrundlage für die Verarbeitung solcher Daten bieten. Dies kann zu einer gewissen Spannung führen, da die DSGVO die Transparenz der Datenverarbeitung und die Einwilligung der betroffenen Personen betont, während der DGA den Datenaustausch fördern möchte.
Der DGA sieht vor, dass betroffene Personen oder Dateninhaber ihre Einwilligung zur altruistischen Verwendung ihrer Daten erteilen können. Hierfür wurde ein Europäisches Einwilligungsformular geschaffen, das modular aufgebaut ist und anpassbar sein soll. Die Einwilligung und der Widerruf unterliegen den Regelungen der DSGVO, insbesondere Artikel 7, wenn es um personenbezogene Daten geht.
DSGVO und DGA – eine Herausforderung für die europäische Wirtschaft
Die effektive Umsetzung des DGA hängt maßgeblich von Datenvermittlungsdiensten ab. Diese Dienste müssen sicherstellen, dass sie bei der Datenverarbeitung nicht gegen die DSGVO verstoßen. Da der DGA keine eigenständige Rechtsgrundlage für die Datenverarbeitung bietet, werden Einwilligungen der betroffenen Personen in der Praxis wahrscheinlich das Mittel der Wahl sein. Die Koexistenz von DSGVO und DGA kann zu komplexen rechtlichen Herausforderungen führen, insbesondere für Datenvermittlungsdienste. Es bleibt abzuwarten, wie sich diese Dienste in der Praxis etablieren und ob sie das Risiko von Verstößen gegen die DSGVO eingehen werden, um den Datenaustausch zu fördern. Der DGA spielt auch eine wichtige Rolle bei der Ausbildung von KI-Systemen und steht im Zusammenhang mit der Verordnung zur Künstlichen Intelligenz (AI-Act) der EU. Die Zukunft wird zeigen, wie diese Entwicklungen die Digitalisierung und den Datenschutz in der EU beeinflussen werden.
Der Betreiber der Dating-App Grindr hatte mit seinem Einspruch gegen eine Strafe der norwegischen Datenschutzbehörde wegen illegalem Informationstransfer keinen Erfolg. Diese hat das Bußgeld in einer Rekordhöhe von 65 Millionen Norwegischen Kronen (rund 5,8 Millionen Euro) aufgrund von Datenschutzverletzungen aufrechterhalten. Im Fokus steht der Verstoß gegen die Anforderungen der Datenschutz-Grundverordnung (DSGVO) in Bezug auf eine klare und informierte Einwilligung der Nutzer.
Ohne ordnungsgemäße Einwilligung keine Datenweitergabe!
Die norwegische Datenschutzbehörde hatte Ende 2021 das Bußgeld gegen Grindr verhängt, nachdem eine Beschwerde des Norwegischen Verbraucherrats aus dem Jahr 2020 aufgedeckt hatte, dass Grindr persönliche Informationen, darunter Standortdaten, IP-Adressen, Werbe-IDs von Mobiltelefonen, Alter und Geschlecht der Nutzer, ohne ausreichende Einwilligung an Dritte weitergegeben hatte. Besonders besorgniserregend war die Übermittlung sensibler Informationen zur sexuellen Orientierung und anderen persönlichen Überzeugungen an Drittanbieter. Diese hatten wiederum das Recht, die Daten weiterzugeben, um gezielte Werbung zu schalten.
Bedeutung der Entscheidung für überwachungsbasierte Werbung:
Hierbei handelt es sich um ein klares Signal an Unternehmen, die auf überwachungsbasierte Werbung setzen. Die rechtswidrige Weitergabe von personenbezogenen Daten ohne ausreichende rechtliche Grundlage kann – wie man an diesem Fall sieht – ernsthafte Konsequenzen haben. Insbesondere Unternehmen in der digitalen Werbeindustrie und der mobilen App-Welt wird vor allem hinsichtlich Trackings und Profilings geraten, ihre Verhaltensweisen zu überprüfen. Erforderlich ist das Einholen einer Einwilligung, um den Nutzern die Kontrolle über ihre eigenen personenbezogenen Daten zu geben.
Fazit:
Die Entscheidung, Grindr mit einer Rekordstrafe zu belegen, sendet ein deutliches Signal an Unternehmen, die in ihrer Geschäftstätigkeit auf die unzulässige Verwendung von Nutzerdaten setzen. Diese Datenschutzentscheidung unterstreicht die Notwendigkeit einer transparenten Datenhandhabe und die Einholung entsprechender Einwilligung der Verbraucher.
3. Oktober 2023
Der Verbraucherzentrale Bundesverband e.V. (vzbv) teste, wie Anbieter von Zyklus-Apps mit Betroffenenanfragen nach Art. 15 DSGVO umgehen. Im Ergebnis besteht für die App-Anbieter bei Beantwortung von Auskunftsersuchen Nachholbedarf.
Die Verwendung von Zyklus-Apps
Mit Hilfe von Zyklus-Apps können die Nutzerinnen persönliche Informationen über den Start ihrer Periode, gesundheitlichen Begleiterscheinungen oder beispielsweise zu einem Kinderwunsch dokumentieren. Dabei handelt es sich regelmäßig um Gesundheitsdaten im Sinne des Art. 9 DSGVO, d.h. um besondere Kategorien personenbezogener Daten, die einem besonderem Schutz unterliegen.
Im Rahmen eines Tests untersuchte nun der vzbv, wie zwölf Zyklus-Apps mit dem Recht auf Auskunft der Betroffenen umgehen. Nach Art. 15 DSGVO haben die betroffenen Nutzerinnen die Möglichkeit zu erfahren, ob die App-Anbieter ihre personenbezogenen Daten verarbeiten und wenn ja, welche Datenkategorien verarbeitet werden, zu welchen Zwecken, wem die Daten ggf. übermittelt werden, wie lange die Daten gespeichert werden und ob die Verarbeitung mittels einer automatisierten Entscheidungsfindung erfolgt. Dabei dient das Recht auf Auskunft u.a. dazu, den betroffenen Nutzern eine Informationsgrundlage zu bieten. Anschließend können sie weitere Rechte, wie das Recht auf Berichtigung oder Löschung nach Art. 16 und 17 DSGVO ausüben.
Ergebnisse der Untersuchung
Zur datenschutzrechtlichen Untersuchung der Apps sollten drei Verbraucherinnen alles zwölf Apps verwenden. Im Anschluss stellte der vzbv im Namen jeder Verbraucherin eine Auskunftsanfrage. Zum Abgleich stellte anschließend die Stiftung Warentest die gleichen Fragen offen an die App-Anbieter.
Im Ergebnis erkennbar sei, laut vzbv dass die App-Anbieter einen großer Teil der Auskunftsanfragen, d.h. 31 von 36 innerhalb der gesetzlichen Frist von einem Monat beantwortet hätten. Zu der Frage, ob eine Datenverarbeitung erfolge, hätten die App-Anbieter in 21 von 31 Fällen geantwortet.
Negativ aufgefallen seien vier Anbieter, deren Auskünfte den eigenen Datenschutzerklärungen widersprochen hätten. Dabei habe ein Anbieter auf die Auskunftsanfrage geantwortet, dass er keine Gesundheitsdaten verarbeite. Nach der eigenen Datenschutzerklärung sei dies aber gerade der Fall.
Hinzukäme, dass die App-Anbieter über die bloße Datenverarbeitung hinausgehende Fragen nur lückenhaft beantwortet hätten. Insbesondere die Fragen zu den Zwecken der Datenverarbeitung seien nur unzureichend beantwortet worden. Zu den Verarbeitungszwecken hätten die App- entweder keine, falsche oder unvollständige Antworten gegeben.
Fazit
Der durchgeführte Test erfolgte im Rahmen einer Untersuchung der Stiftung Warentest zu Zyklus-Apps. Die Anfragen zeigen, dass alle Nutzer achtsam mit der Abgabe personenbezogener Daten umgehen sollten. Dabei zeigt sich auch, dass die Wahrung von Betroffenen Rechten ein wichtiger Bestandteil des Datenschutzes sind.
2. Oktober 2023
Das Oberlandesgericht Hamm hat einer Nutzerin trotz eines Datenschutzverstoßes von Facebook nach dem Diebstahl ihrer Daten Schadensersatz verweigert. Die Begründung des Gerichts lautet, dass die Klägerin ihren Schaden nicht ausreichend konkretisiert habe. In diesem Artikel werden die Hintergründe des Falls und die rechtliche Argumentation des Gerichts näher erläutert.
Der Fall und die Hintergründe
Der Fall, der vor dem Oberlandesgericht Hamm verhandelt wurde, betrifft das bekannte Datenleck bei Facebook, bei dem Daten von etwa 500 Millionen Nutzern gestohlen wurden. Im April 2021 tauchten diese gestohlenen Daten, darunter Namen und Telefonnummern, im Darknet auf. Dies führte zu zahlreichen Klagen auf Schadensersatz gegen den Facebook-Mutterkonzern “Meta”.
Die gestohlenen Daten wurden von sogenannten “Scrapern” über einen längeren Zeitraum gesammelt, indem sie die Suchfunktion “Freunde suchen” nutzten. Selbst wenn Nutzer die Anzeige ihrer Telefonnummer bei Facebook deaktiviert hatten, war es den “Scrapern” möglich, Nutzer anhand ihrer Telefonnummer zu identifizieren. Obwohl Facebook Anpassungen an dieser Funktion vornahm, konnten die “Scrapern” weiterhin Daten abrufen. Erst im Oktober 2018 deaktivierte Facebook die Funktion.
Die Klage der betroffenen Nutzerin
Die Klage, die vor dem OLG Hamm verhandelt wurde, wurde von einer Nutzerin eingereicht, deren Daten von den “Scrapern” gestohlen wurden und im Darknet veröffentlicht wurden. Die Nutzerin warf der Betreiberin der Facebook-Plattform “Meta” einen Verstoß gegen Datenschutzvorschriften vor und forderte eine Entschädigung in Höhe von mindestens 1.000 Euro für immaterielle Schäden.
Die Datenschutzverstöße von Meta
Das OLG Hamm erkannte an, dass Meta als das für die Datenverarbeitung verantwortliche Unternehmen gegen verschiedene Bestimmungen der DSGVO verstoßen hatte. Unter anderem konnte Meta nicht nachweisen, dass die Weitergabe der Mobilfunktelefonnummer der Klägerin im Rahmen der Such- oder Kontaktimportfunktion datenschutzrechtlich gerechtfertigt war. Die Verarbeitung der Mobilfunknummer war nach Ansicht des Gerichts nicht zwingend erforderlich und verstieß gegen den Grundsatz der Datensparsamkeit.
Das OLG argumentierte auch, dass für die Verarbeitung der Mobilfunknummer eine Einwilligung der Nutzer gemäß Art. 6 Abs.1 und Art. 7 DSGVO erforderlich war. Obwohl die Klägerin formal eine Einwilligung erteilt hatte, wurde diese Einwilligung als unwirksam angesehen. Facebook hatte ein “Opt-Out-Verfahren” verwendet, bei dem die Klägerin die Einwilligung aktiv hätte ablehnen müssen. Dies wurde als unzulässig betrachtet, insbesondere da die Informationen von Facebook über die Such- und Kontaktimportfunktion als unzureichend und entgegen Art. 5 Abs. 1a DSGVO intransparent angesehen wurden.
Pflichtverletzung von Meta
Darüber hinaus stellte das OLG fest, dass Meta trotz Kenntnis von den “Scrapern” keine angemessenen Maßnahmen zur Verhinderung weiterer unbefugter Datenabgriffe ergriffen hatte. Dies stellte eine Pflichtverletzung dar, da Meta gemäß Art. 32 DSGVO verpflichtet war, die Sicherheit der Datenverarbeitung entsprechend dem Stand der Technik zu gewährleisten.
Die rechtliche Grundlage für Schadensersatz
Gemäß Art. 82 DSGVO hat jede Person, der aufgrund eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Dies umfasst ausdrücklich auch Ansprüche auf Ersatz immaterieller Schäden. Allerdings trägt der Anspruchsteller die Darlegungslast für entstandene Schäden und muss auch immaterielle Schäden hinreichend konkretisieren.
Ablehnung der Klage
Das OLG Hamm entschied, dass die Klägerin nicht ausreichend konkret dargelegt hatte, welche individuellen persönlichen oder psychologischen Beeinträchtigungen durch das “Scraping” in ihrem Fall verursacht wurden. Das allgemeine Gefühl eines Kontrollverlusts, Hilflosigkeit oder Beobachtetwerdens nach der Veröffentlichung ihrer Daten im Darknet wurde als nicht ausreichend angesehen, um eine Entschädigungspflicht auszulösen. Selbst ein allgemeines Angstgefühl und Erschrockenheit reichten nicht aus, insbesondere da der Datenmissbrauch nicht als so schwerwiegend betrachtet wurde, dass er einen immateriellen Schaden ohne weiteres nach sich zieht.
Fazit
Insgesamt wurde die Klage auf Schadensersatz aufgrund mangelnder Konkretisierung des immateriellen Schadens abgewiesen. Trotz festgestellter Datenschutzverstöße seitens Meta konnte die Klägerin nicht nachweisen, dass sie individuell und konkret durch den Vorfall geschädigt wurde. Dieser Fall betont die Bedeutung der klaren und konkreten Darlegung von Schäden bei Datenschutzverstößen, insbesondere bei Ansprüchen auf immaterielle Schäden.
Pages: 1 2 ... 11 12 13 14 15 ... 275 276 
