Viele Arztpraxen brauchen seit dem 25.05.2018 einen Datenschutzbeauftragten

12. Juni 2018

Die Verpflichtung für die Benennung eines Datenschutzbeauftragten folgt aus Art. 37 DSGVO. Interessant ist hier insb. Abs. 1 lit. c), wonach ein Datenschutzbeauftragter zu benennen ist, wenn „die Kerntätigkeit des Verantwortlichen […] in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 […] besteht.“

In einer Arztpraxis spielen Gesundheitsdaten eine wichtige Rolle. Um die Patienten angemessen behandeln zu können, ist es unabdingbar die Krankengeschichte und sonstige persönliche und medizinische Informationen einzuholen. Es stellt daher eine Haupttätigkeit eines Arztes und somit eine Kerntätigkeit im Sinne des Gesetzes dar.

Für die Bestimmung, ob ein Datenschutzbeauftragter bestellt werden muss, kommt es somit vorallem darauf an, ob eine „umfangreiche“ Verarbeitung vorliegt. Der Begriff „umfangreich“ ist in der DSGVO selbst nicht weiter definiert, findet allerdings in Art. 35 DSGVO, im Rahmen der Datenschutz-Folgenabschätzung, weitere Verwendung. In Erwägungsgrund 91 heißt es hierzu u.a.: „Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten, wenn die Verarbeitung personenbezogene Daten von Patienten […] betrifft und durch einen einzelnen Arzt […] erfolgt. In diesen Fällen sollte eine Datenschutz-Folgenabschätzung nicht zwingend vorgeschrieben sein.“

Daraus lässt sich schließen, dass bei vielen Gemeinschaftspraxen eine Bestellung notwendig sein wird. Gemäß § 38 BDSG (neue Fassung) ist dieses Erfordernis bei einer Beschäftigungszahl von 10 Personen in einer Praxis erfüllt.

Facebook: Freier Zugriff auf Nutzerdaten durch ausgesuchte Partnerunternehmen

Ausgesuchte Partnerunternehmen von Facebook besaßen nach Informationen des Wall Street Journals auch über das Jahr 2015 hinaus den Zugriff auf Nutzerdaten, obwohl die Nutzer davon nicht in Kenntnis gesetzt worden waren.

Laut dem Wallstreet Journal soll Facebook eine sog. Whitelist geführt haben. Dabei handelt es sich um Vereinbarungen von Facebook mit Unternehmen über die Weitergabe von Nutzerdaten. Gegenstand der Weitergabe sollen danach die Nutzerdaten in Bezug auf die Facebook-Freunde eines Nutzers sein. 

Die Existenz der Whitelist widerspricht der Sperrung des unbeschränkten Zugriffs auf Nutzerdaten. Die Weitergabe von Nutzerdaten hatte Facebook bereits im Jahr 2014 gesperrt, wobei eine Übergangsfrist bis Mai 2015 vereinbart wurde. Mit Ablauf der Übergangsfrist sollte eine Weitergabe von Nutzerdaten nur noch mit Einwilligung des Nutzers zulässig sein. Eine Weitergabe ohne Kenntnis des Nutzers sollte im Anschluss nicht mehr möglich sein.

Facebook selbst begründet den fortwährenden freien Zugang bestimmter Unternehmen damit, dass es sich dabei nur um eine geringe Anzahl handeln soll. Zusätzlich argumentiert Facebook, dass die Übergangsfrist zu kurz bemessen gewesen sei für eine Umstellung betroffener Projekte.

Ungeklärt ist bis zum jetzigen Zeitpunkt, ob weiterhin ein freier Zugang für ausgewählte Unternehmen besteht. Ebenso unbekannt ist die Anzahl der Unternehmen auf der sog. Whitelist.

Apps während Weltmeisterschaft besonders gefragt

Aufgrund der Zeitverschiebung nach Russland können Sie vielleicht nicht immer alle Spiele vor dem Fernseher schauen. Eine gute WM-App mit Live-Infos und einem Live-Ticker muss her. Oder vielleicht auch eine App, mit der Sie die WM-Spiele sogar von unterwegs oder im Ausland streamen können.
„Allerdings gerade in Bezug auf den Datenschutz sollten Fußballfans beim Einsatz smarter Gadgets und Apps einiges beachten“, sagt Günter Martin, Internet-Experte bei TÜV Rheinland.
Zahlreiche Apps bieten sich während der WM zum Download an. Von Info-Apps über Tippspiele bis hin zu Stadion-Soundboards und Partyspielen:
Für die Registrierung und Nutzung von Apps und Gadgets sind in erster Linie personenbezogene Daten erforderlich. Hier heißt es: „weniger ist mehr“. Bei Apps sollten keine unnötigen Daten preisgeben werden. Denn sobald die Daten erst einmal auf den Servern der Anbieter landen, bleiben sie dort in der Regel auch. So werden sie für Marketingzwecke benutzt, um beispielsweise mithilfe von individualisierten Nutzerprofilen maßgeschneiderte Werbung anbieten zu können. Auch eine Weitergabe der Daten kann nicht ausgeschlossen werden.
Wer im eigenen Haushalt Sprachassistenzgeräte nutzt, sollte diese während einer Fußball-Party am besten abschalten. Andernfalls kann es vorkommen, dass das Gerät versehentlich durch das Codewort oder eine ähnlich klingende Äußerung aktiviert wird. Dann zeichnet es eventuell auf und veranlasst ungewollte Aktionen. Aufgezeichnete Gespräche lassen sich in der Bedienungs-App in der Regel zwar löschen, ob die Aufnahmen trotzdem bereits ausgewertet wurden und zu Einträgen in das Benutzerprofil geführt haben, ist allerdings nicht nachprüfbar.

Kategorien: Allgemein
Schlagwörter: , ,

Auskunftspraxis der Schufa in der Kritik

Wie die Welt berichtet prüft die hessische Landesdatenschutzbehörde die Praktiken der Schufa hinsichtlich der in der Datenschutzgrundverordnung (DSGVO) verankerten Verbraucherrechte.

Die DSGVO bestimmt in den Art. 15 folgende, dass dem Betroffenen bestimmte Rechte wie zum Beispiel das Auskunftsrecht (Art. 15). Darüber hinaus gibt es Rechte hinsichtlich der automatisierten Entscheidung (Art. 22). Wenn ein Betroffener sein Auskunftsrecht wahrnimmt muss die verarbeitende Stelle „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen“ und das sowohl kostenlos als auch, bei einer elektronischen Anfrage „in einem gängigen elektronischen Format“. Hier liegt der erste Kritikpunkt der Datenschützer, bei der Schufa it lediglich die einmalige Herausgabe einer Datenkopie in Papierform unentgeltlich. Darüber hinaus kann die Erstellung und der Versand einer solchen bereits einige Tage oder Wochen vergehen. Die Schufa vertritt die Auffassung, dass nur bei einem Postversand gewährleistet sei, dass die Information bei dem richtigen Empfänger ankommt. Lediglich wer bereit ist ein einjähriges Abo für 3,95€ zuzüglich einer einmaligen Bereitstellungsgebühr von 9,95€ zu zahlen erhält alle Auskünfte elektronisch. Dabei wird der Betroffene anhand der Prüfziffer auf der Rückseite des Personalausweises verifiziert.

Weiterer Kritikpunkt ist, dass die Schufa ihren Scoring-Algotihmus zur Bonitätsprüfung nicht veröffentlicht und dies ebenfalls in Widerspruch zu den Anforderungen der DSGVO hinsichtlich automatisierter Entscheidungsfindung (Art. 22) steht. Den Betroffenen steht zu, „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung“ zu erhalten. Die Schufa ist nach der DSGVO also eigentlich verpflichtet, weitergehende Informationen hinsichtlich ihres Scoring-Algorithmusses zu veröffentlichen und diesen dadurch transparenter zu machen.

Zumindest in der Theorie wird den Betroffenen in der, an die DSGVO angepassten, Datenschutzerklärung eigene Rechte geltend zu machen.Wie dies umgesetzt wird bleibt allerdings abzuwarten und die Schufa ist davon auch nicht allein betroffen. Alle Auskunfteien müssen sich mit der Problematik der Betroffenenrechte auseinandersetzen.

Arbeitnehmer muss Chef seine private Handynummer nicht mitteilen

8. Juni 2018

Auch wenn der Vorgesetzte es verlangt: Beschäftigte müssen ihre private Handynummer bei der Arbeit nicht mitteilen. Das hat das Thüringer Landesarbeitsgericht mit seinem Urteil vom 16.05.2018 entschieden.

Verhandelt wurde eine Klage von Mitarbeitern des kommunalen Gesundheitsamtes gegen den Landkreis Greiz. Der Kreis hatte die Bereitschaftszeiten neu organisiert und von seinen Beschäftigten verlangt, auch außerhalb der Dienstzeiten für die Rettungsleitstelle erreichbar zu sein. Zwei Mitarbeiter hatten sich dagegen zur Wehr gesetzt und nur ihre privaten Festnetznummern, nicht aber ihre Handynummern angegeben, was eine Abmahnung des Arbeitnehmers zur Folge hatte. Das Landesarbeitsgericht gab dem Kläger Recht und bestätigte damit ein Urteil des Arbeitsgerichts Gera von 2017. Nur unter besonderen Bedingungen und in engen Grenzen habe ein Arbeitgeber das Recht auf Kenntnis der privaten Handynummer eines Angestellten. Dies sei beispielsweise der Fall, wenn es keine andere Möglichkeit gebe, die Arbeitspflichten des Arbeitnehmers sinnvoll zu organisieren.

Eine Pflicht des Arbeitnehmers, stets die private Handynummer mitzuteilen, sei in der Regel ein nicht gerechtfertigter Eingriff in dessen Recht auf informationelle Selbstbestimmung.

Weiterhin heißt es im Urteil, eine Pflicht zur Bekanntgabe der privaten Mobilfunknummer greife besonders tief in die persönliche Sphäre des Arbeitnehmers ein. Der Arbeitnehmer könne sich aufgrund der ständigen Erreichbarkeit dem Arbeitgeber ohne Rechtfertigungsdruck nicht mehr entziehen und so nicht zur Ruhe kommen. Das gelte auch dann, wenn die Telefonnummer nur im Notfall verwendet werden soll. Entscheidend sei allein die potenzielle Erreichbarkeit.

Aus datenschutzrechtlicher Sicht ist hier entscheidend, ob die Datenverarbeitung tatsächlich zur Vertragserfüllung erforderlich ist. Der Arbeitgeber darf die Daten des Arbeitnehmers gemäß Art. 6 Absatz 1b DSGVO nur verarbeiten, soweit dies zur Vertragserfüllung notwendig ist. Dass zur Vertragserfüllung die private Handynummer des Mitarbeiters notwendig sein soll, dürfte auf wohl eher seltene Einzelfälle beschränkt bleiben. Arbeitgebern, die die private Handynummer ihrer Mitarbeiter nutzen wollen, müssten hierfür wohl eine eindeutige Einwilligung einholen.

 

Apples Vorgehen gegen den Facebook „Gefällt mir“-Button

7. Juni 2018

Apple möchte in Zukunft aktiv gegen den „Gefällt-mir“-Button von Facebook vorgehen, um Facebook das Datensammeln zu erschweren. Damit stellt sich der amerikanische Technologiekonzern Apple gegen das Online-Netzwerk Facebook.

Apple kündigte an, neue Versionen seiner Betriebssysteme für iPhones und Mac-Computer herausbringen zu wollen, die das sogenannte Tracking von Internetaktivitäten etwa über Facebooks „Gefällt-mir“ -Button erschweren sollen.

Der Apple-Manager Craig Federighi spricht sich auf der Entwicklungskonferenz des Unternehmens im kalifornischen San José dahingehend aus, dass „private Daten privat bleiben sollen“ und die „Gefällt-mir“-Buttons und Kommentarfelder nicht dazu benutzt werden sollten, dem Nutzer auf der Spur bleiben zu können.

Um dies zukünftig zu vermeiden, sollen sich in Apples Standardbrowser Safari künftig sogenannte Cookies, wie sie etwa über Facebooks „Gefällt-mir“-Button auf den Geräten der Nutzer platziert werden, blockieren lassen. Dadurch soll es Unternehmen erschwert werden, ein Gerät zu identifizieren, die Aktivitäten zu verfolgen und „unverwechselbare“ digitale Fingerabdrücke zu erstellen, sagte Federighi. Für Facebook kann dies erhebliche Folgen haben, da Safari nicht nur auf Apples Mac-Computern läuft, sondern auch der meistgenutzte Webbrowser auf dem iPhone ist.

Auch in Deutschland stand Facebooks „Gefällt-mir“-Button in der Kritik. Das Bundeskartellamt kritisierte im vergangenen Dezember vor allem das Sammeln von Daten außerhalb des sozialen Netzwerks, die dann mit einem Facebook-Konto verknüpft werden. Der Behördenchef Andreas Mundt kritisierte in diesem Zusammenhang, dass das Sammeln sogar dann schon erfolgt, wenn man zum Beispiel einen „Gefällt-mir“-Button gar nicht nutzt, aber eine entsprechende Seite aufgerufen hat, in die ein solcher Button eingebettet ist. Nutzern ist dies regelmäßig nicht bewusst.

Die Continental verbietet WhatsApp auf Diensthandys

6. Juni 2018

Continental verbietet die Nutzung von WhatsApp und Snapchat auf Diensthandys. Damit ist Continental, neben einigen Pharmaunternehmen der erste große Konzern, der diesen Schritt geht.

Aufgrund von Datenschutzbedenken untersagt der deutsche Autozulieferer Continental seinen Mitarbeitern die Nutzung von Social-Media-Apps wie WhatsApp und Snapchat auf ihren Diensthandys und könnte damit einen ersten wegweisenden Schritt zu diesem Thema unternommen haben. Der Zeit stehen viele Unternehmen vor demselben Problem und könnten sich bei Ihren Entscheidungen an der Continental orientieren.

Die Continental teilte mit, dass von diesem Verbot das gesamte Unternehmensnetzwerk und damit mehr als 36.000 Mobiltelefone betroffen seien. Als Begründung wird angeführt, dass die Dienste von WhatsApp und Snapchat auf persönliche und damit potentiell vertrauliche Daten wie z.B. Adressbucheinträge zugreifen können und es damit um Daten unbeteiligter Dritte gehe. Dieses Risiko möchte die Continental nicht tragen und möchte mit dieser Maßnahme auch die Beschäftigten und Geschäftspartner schützen.

Der ersten Reaktionen der Mitarbeiter seien sachlich und stoße auf viel Verständnis, da den Mitarbeitern Alternativen wie z.B. Skype Business und Wire angeboten werden.

Es bleibt abzuwarten, ob sich weitere Unternehmen diesem Verbot anschließen werden.

Kategorien: Allgemein · Social Media · WhatsApp
Schlagwörter: ,

Fanpage-Betreiber auf Facebook sind Verantwortliche für die Datenverarbeitung

5. Juni 2018

Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 5. Juni 2018 entschieden, dass der Betreiber einer Fanseite auf Facebook gemeinsam mit Facebook für die Verarbeitung der personenbezogenen Daten verantwortlich ist. Dies hat insbesondere zur Folge, dass Seitenbetreiber auf Facebook nun ihre Besucher über die Datenverarbeitungen und ihren Zweck informieren müssen und dass Besucher ihre Betroffenenrechte den Betreibern gegenüber geltend machen können.

In dem zugrundeliegenden Fall ging es um einen Streit zwischen der Wirtschaftsakademie Schleswig-Holstein und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) (wir berichteten). Das ULD hat die Wirtschaftsakademie aufgefordert seine Fanpage auf Facebook zu deaktivieren. Als Grund führte das ULD auf, dass Nutzerdaten ohne Einwilligung der Betroffenen auf der Facebook-Fanpage verarbeitet wurden. Dafür sei nicht nur Facebook, sondern auch die Wirtschaftsakademie als Betreiber verantwortlich. Die Wirtschaftsakademie wehrte sich gegen diesen Vorwurf und zog vor Gericht. Das OVG setzte das Verfahren aus und reichte ein Vorabentscheidungsersuchen beim EuGH ein.

Die Richter am EuGH stellten in ihrem Urteil fest, dass „mit Hilfe von durch Facebook zur Verfügung gestellten Filtern […] der Betreiber […] Kriterien festlegen [kann], nach denen [Nutzer-]Statistiken erstellt werden sollen, und sogar die Kategorien von Personen bezeichnen, deren personenbezogene Daten von Facebook ausgewertet werden.“

„Insbesondere kann der Fanpage-Betreiber demografische Daten über seine Zielgruppe – und damit die Verarbeitung dieser Daten – verlangen.“  So kann der Betreiber beispielsweise Tendenzen in den Bereichen Alter, Geschlecht, Beziehungsstatus und berufliche Situation, Informationen über den Lebensstil und die Interessen seiner Zielgruppe und Informationen über die Käufe und das Online-Kaufverhalten der Besucher seiner Seite, die Kategorien von Waren oder Dienstleistungen, die sie am meisten interessieren, sowie geografische Daten, die ihn darüber informieren, wo spezielle Werbeaktionen durchzuführen oder Veranstaltungen zu organisieren sind, erhalten.

Die EuGH-Richter entschieden, dass der Betreiber einer auf Facebook unterhaltenen Fanpage zur Verarbeitung der personenbezogenen Daten der Besucher seiner Seite beiträgt. Deshalb ist er (Mit-)Verantwortlicher für die Datenverarbeitung (Joint Controller im Sinne des Art. 26 DSGVO).

Dieses Urteil wird jedoch nicht nur Folgen für Facebook haben, sondern sämtliche Social Media Plattformen betreffen. Somit trifft es nicht nur Unternehmen die selbst erstellte Unternehmenspräsenz auf Facebook haben, sondern auch Plattformen wie LinkedIn, Twitter, Google+ usw., sofern ähnliche Tracking-Funktionen oder andere Datenerhebungen bietet bzw. beinhaltet sind.

Es wird daher empfohlen etwaige Social-Media-Unternehmensseiten bis auf weiteres zu deaktivieren. Es ist zu erwarten, dass die Betreiber der Plattformen in Kürze auf das Urteil reagieren und den Kunden die notwendigen Informationen und eine standardisierte Vereinbarung (Art. 26 DSGVO) zur Verfügung stellen, um die Seiten weiter zu betreiben.

 

Rückschlag für Icann vor dem Bonner Landgericht

4. Juni 2018

Die Internet Corporation for Assigned Names and Numbers (Icann) ist ein Non-Profit-Unternehmen, dass dafür sorgt, dass Website-Namen im Netz nicht doppelt vergeben werden und alle IP-Adressen zur richtigen Internetseite führen. Das US-Unternehmen fordert dazu nicht nur den Namen des Seitenbetreibers sondern auch die Namen, Adressen und Telefonnummern von der Person mit vollen Zugriffsrechten auf die Website (Admin-C) und einem technischen Verantwortlichen (Tech-C).

Der deutsche Domain-Händler Epag wehrt sich nun gegen diese Datensammlung vor dem Bonner Landgericht auf Grundlage der DSGVO. Epag hat sich dazu entschlossen die Adressdaten des Admin-C und Tech-C nicht mehr weiterzugeben, da man dafür möglicherweise keine rechtliche Grundlage hat.

Die Icann versuchte diesen Vorstoß mittels einstweiliger Verfügung zu verhindern. Die Richter am Landgericht Bonn haben den Eilantrag jedoch abgewiesen. Der Beschluss wurde mit der Regelung des Art. 5 Abs. 1 lit. b) und c) DSGVO begründet, wonach personenbezogene Daten nur „für festgelegte, eindeutige und legitime Zwecke erhoben“ werden dürfen (lit. b) und „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen (lit. c). Dies wurde durch die Antragstellerin nicht glaubhaft gemacht.

Datenaustausch zwischen Facebook und WhatsApp nun auch in Deutschland möglich

24. Mai 2018

International ist der Datenaustausch zwischen den Unternehmen schon seit 2016 möglich. In Deutschland war dieser jedoch noch nicht zulässig. Auf der Unterseite der WhatsApp Homepage ist jedoch nun zu erkennen, das WhatsApp unter anderem die Telefonnummer und Gerätedaten an Facebook weitergibt, was aus der aktuellen Datenschutzrichtlinie der App nicht ersichtlich ist.

2016 hat WhatsApp die Nutzungsbedingungen dahingehend geändert, dass Telefonnummern und weitere Informationen mit Facebook ausgetauscht werden, jedoch nicht zu Werbungszwecken.

Deutsche Datenschützer untersagten dies, wogegen Facebook geklagt hat und verlor. Das Verbot gilt aufgrund des neuen Gesetzes nicht mehr, nach DSGVO ist die Datenschutzbehörde in Irland nun zuständig.

Der hamburgische Datenschutzbeauftragte Johannes Caspar bezeichnete den Vorgang als „alarmierend“ und als Verstoß gegen die DSGVO.

Das Oberverwaltungsgericht Hamburg hat Anfang März 2018, die Annahme Caspars bestätigt, wonach Facebook nicht massenhaft Daten seiner Tochterfirma WhatsApp für eigene Zwecke nutzen darf.

Facebook-Chef Mark Zuckerberg hatte an diesem Dienstag bei der Anhörung vor dem Europäischen Parlament die konkrete Frage nach der Weiterleitung der Daten nicht beantwortet.

1 21 22 23 24 25 184