30. Mai 2011
Der Petitionsausschuss des Deutschen Bundestages hat sich am 25.05.2011 für eine Verbesserung des Datenschutzes privatkrankenversicherter Personen ausgesprochen und möchte verschiedenen Ministerien eine öffentliche Petition und Informationsmaterial zuleiten. Trotzdem meint er, dass ”derzeit kein gesetzgeberischer Handlungsbedarf erkennbar ist“. Momentan gibt es im Bereich der privaten Krankenversicherungen keine dem Gutachterverfahren der GKV vergleichbare Rechtsnorm. Ein zwischen der Versicherungswirtschaft und den Datenschutzbehörden der Länder im Jahr 1993 abgestimmtes Verfahren sieht lediglich vor, dass Behandlungs- und Befundberichte dem beratenden Arzt der Versicherung, nicht jedoch den Sachbearbeitern zugehen sollen. Der Ausschuss meldete dabei jedoch Zweifel an, ob diese Vereinbarung ”allen dem Verband der privaten Krankenversicherungen angeschlossenen Versicherungsunternehmen bekannt ist und in der Praxis auch beachtet wird“.
Hintergrund ist eine vom Ausschuss behandelte Petition, in der gefordert wird, dass im Bereich der Gesetzlichen Krankenkassen durchgeführte Gutachterverfahren (Psychotherapie-Richtlinien bzw. Psychotherapie-Vereinbarungen Primärkassen/EKV) in analoger Weise und damit verpflichtend im Bereich der Privaten Krankenkassen und der Beihilfe durchgeführt werden müssen. Durch diese Regelungen solle unsachgemäßer und rechtswidriger Umgang mit vertraulichen, höchst persönlichen und intimen Patientendaten bei den Privaten Krankenkassen und/oder der Beihilfe verhindert werden.
Momentan wird laut der Eingabe bei der Beantragung psychotherapeutischer Leistungen von den behandelnden Psychotherapeuten ein Bericht angefertigt, der höchstpersönliche Daten beinhaltet (u. a. zu aktuellen Beschwerden, Phantasien, Affekten/Gefühlen, Träumen; zum psychischen und körperlichen Befund etc.).
Im Bereich der GKV ist das Gutachterverfahren dagegen in den PT-Richtlinien (Abschnitt F II und III) sowie in den PT-Vereinbarungen Primärkassen und EKV (jeweils §§ 11 und 12) geregelt. Von der Krankenkasse beauftragte Gutachter erhalten die Berichte von Psychotherapeuten einschließlich weiterer Unterlagen in einem verschlossenen Umschlag. Durch die Pseudonymisierung (Chiffre aus Anfangsbuchstabe des Familiennamens und Ziffern des Geburtstags) der Unterlagen ist eine Identifizierung der Patienten durch die Gutachter nicht (oder nur mit erheblichem Aufwand) möglich. Die Krankenkassen erhalten, abgesehen von den zur Bearbeitung notwendigen administrativen und medizinischen Daten (Versichertendaten, Diagnose/n), keine weiteren Informationen.
Die Petition kritisiert, dass im Bereich der Beihilfe und der Privatkassen die Berichte an die jeweils beauftragten Gutachter dagegen häufig einfach weitergeleitet werden bzw. die Gutachter die Berichte in aller Regel unter Angabe der Versicherungsnummer und des Namens der Patienten erhielten. Zwar liegt eine schriftliche Entbindung von der Schweigepflicht vor. Die Patienten wissen allerdings in der Regel nicht, wer alles (Gutachter, Mitarbeiterder Krankenkassen/Beihilfestellen) was über sie erfährt. Insoweit
Dieses Verfahren wird als gegen das BDSG verstoßend angesehen, da es dessen Grundsätzen der Zweckbestimmung, Datensparsamkeit und Verhältnismäßigkeit zuwider läuft.
27. Mai 2011
Bis 25. Mai 2011 hatten die Mitgliedstaaten der Europäischen Union die neue Richtlinie 2009/136/EG für elektronische Kommunikation in das jeweilige nationale Recht umzusetzen.
Diese Datenschutzrichtlinie dient dem Schutz der Verbraucher durch mehr Transparenz und Sicherheit. Besonders betroffen ist die Verwendung von Cookies, die die letzten Jahre eine starke Rolle in der Werbewelt spielt. Cookies speichern Daten (wie z.B. Passwörter) und sammeln Informationen über das Verhalten von Nutzern verschiedener Webseiten. Dadurch kann das Kaufverhalten der Nutzer analysiert und zu Werbezwecken verwendet werden. Die Richtlinie sieht vor, dass Cookies nur nach der Einwilligung des Nutzers auf seinem Computer installiert und aktiv werden.
Die EU-Richtlinie hat allgemein starke Kritik wegen der Umsetzungsschwierigkeiten und die Belästigung bei Internetsurfen erhalten.
Nach dem inzwischen eingetretenen Ablauf der Frist zur Umsetzung ist festzustellen, dass die Mehrheit der Regierungen der Mitgliedstaaten die Richtlinie 2009/136/EG in nationale Gesetze nicht übernommen hat. Estland und Dänemark haben der Kommission mitgeteilt, dass sie ihre nationale Gesetzte an die EU-Richtlinie angepasst haben. England, Frankreich, Slowenien und Litauen haben teilweise Anwendung bekannt gemacht. Deutschland spricht sich gegen eine jetzige Umsetzung der Richtlinie in deutsches Recht aus und will die Diskussion auf europäischer Ebene führen. Die Bundesregierung will mögliche Selbstverpflichtungserklärungen der Werbewirtschaft abwarten.
Die EU-Kommissarin für die Digitale Agenda, Neelie Kroes, hat vor dringenden Maßnahmen gegen die umsetzungsunwilligen Länder gewarnt. Der Pressesprecher der Europäische Kommission, Jonathan Todd, hat von möglichen Verfahren wegen Rechtsverletzung gegen diese Länder gesprochen.
Das Landesdatenschutzgesetz Schleswig-Holstein aus dem Jahre 2000 soll an technische Neuerungen und an aktuellere datenschutzrechtliche Standards angeglichen werden. Anfang dieser Woche beschloss die Landesregierung einen entsprechenden Änderungsentwurf. Neben der Implementierung strengerer Regeln zur Verbreitung personenbezogener Daten im Internet ist darin u.a. eine § 42a BDSG entsprechende Selbstanzeigepflicht vorgesehen, wonach Behörden und andere öffentlichen Stellen verpflichtet werden, Betroffene und das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) zu informieren, falls bei ihnen gespeicherte sensible Daten (z.B. Angaben zur Gesundheit) unzulässig übermittelt oder auf eine andere Weise unrechtmäßig Dritten zur Kenntnis gekommen sind. Zusätzlich werden erweiterte Dokumentationspflichten für Erfassung und Transfer der Daten formuliert. Herkunft, Zweck, Empfänger sowie Übermittlungszeitpunkt und Übermittlungszweck sollen in Zukunft protokolliert und für ein Jahr gespeichert werden.
26. Mai 2011
Die Postbank AG hat bis Herbst 2009 freiberuflichen Handelsvertretern den Zugang zu Kontodaten ihrer Kunden ermöglicht.
Handelsvertreter konnten wichtige Daten und Informationen über das Privatleben der Kunden durch ihre Kontobewegungen herausfinden und sie für Betriebs- bzw. Werbungszwecke verwenden. „Diese Daten dürfen weder von Banken und erst recht nicht von Handelsvertretern für Werbezwecke ausgewertet werden“, sagt der NRW-Datenschutzbeauftragte, Ulrich Lepper und sanktionierte dieses Verhalten Anfang Mai dieses Jahres mit einem Bußgeld in Höhe von 120.000 Euro. Das Geschehen wurde aufgrund eines Berichts der Stiftung Warentest im Oktober 2009 aufgedeckt.
„Die Postbank ist eindeutig zu weit gegangen. Ich frage mich, was das Bankgeheimnis noch wert sein soll, wenn rund 4000 freiberufliche Außendienstmitarbeiter weit über eine Million Kontodatensätze von Kundinnen und Kunden abrufen können“, betont Lepper.
Seit November 2009 ist der Zugang zu Kundendaten von der Postbank untersagt.
25. Mai 2011
Der Verkehrsausschuss des EU-Parlaments hat sich in seiner Sitzung am 24.05.2011 in Brüssel mehrheitlich für den Einsatz von Körperscannern an europäischen Flughäfen ausgesprochen, gleichzeitig aber auch Rahmenbedingungen für dessen zulässigen Einsatz definiert. Wichtigste Vorraussetzung dafür sei, dass die Nutzung der Körperscanner freiwillig erfolgt. Entschließt sich der Passagier für eine Sicherheitskontrolle mittels Körperscanners muss sichergestellt sein, dass Gesundheit und Persönlichkeitsrechte des Betroffenen so wenig wie möglich beeinträchtigt werden. So sollen beispielsweise der Einsatz von röntgen-basierten Scannern sowie jede Form der Erstellung von Persönlichkeitsprofilen unterlassen werden. Außerdem sollen keine realen Körperbilder, sondern lediglich schematische, einheitliche Abbildungen von Körpern erzeugt werden, die direkt nach Abschluss der Sicherheitskontrolle zu vernichten sind. Eine Speicherung der Bilder soll verboten sein. Verweigert der Passagier den Einsatz eines Körperscanners, ist er einer alternativen, gleichermaßen effektiven Screening-Methode zu unterziehen. Aus der Weigerung soll jedoch nicht geschlossen werden, dass der Passagier als besonders verdächtig gilt. Das Plenum des EU-Parlaments will sich am 23. Juni abschließend mit dem Einsatz von Körperscannern befassen.
Die Neuerungen im indischen Datenschutzrecht zeigen nun bei Firmen in den USA erste Auswirkungen. Verschiedene amerikanische Firmen und auch einige indische Firmen, die um ihre Geschäftsbeziehungen fürchten, halten die nun erforderte schriftliche Zustimmung einer Person, bevor ihre persönlichen Daten gesammelt und genutzt werden dürfen, für viel zu restriktiv. Es wird befürchtet, dass viele Firmen nicht bereit sind, das Risiko einzugehen, dass ein Kunde, der die ausdrücklich Anfrage aus Indien bekommt, ob seine Daten dort gespeichert und genutzt werden dürfen, seine Zustimmung dafür verweigert. Stattdessen würden Firmen ihr Geschäft dann eher nach China oder auf die Philippinen auslagern, wo solche Bestimmungen nicht gelten. Auch Google protestiert gegen einige Passagen aus dem neuen Gesetz, wonach ein Internetanbieter für Inhalte verantwortlich gemacht werden, die als “belästigend”, “grob schädlich” oder “ethnisch verwerflich anzusehen sind.
Der indische Minister für Informationstechnologie verteidigte das Gesetz damit, dass es einem seit langem geäußerten Begehren der IT-Industrie nachkäme, endlich gesetzlich Rahmenregelungen für den Datenschutz zu schaffen. Auch einige amerikanische Firmen befürworteten jedenfalls die Richtung des Gesetzes, da so das Vertrauen im Ausland hinsichtlich der ausgelagerten Datenverarbeitung in Indien gestärkt werde.
Ob und wie lange das Gesetz in seiner momentanen Ausgestaltung bestehen bleibt, dürfte letztlich maßgeblich von der Frage abhängen, wie stark der Druck aus dem Ausland noch wird. Da Indien in extrem hohen Maß auf die IT- und Outsourcing- Branche angewiesen ist, könnten allzu starke Proteste und Rückzugsdrohungen von Firmen aus diesem Bereich durchaus noch zu einer Änderung des Gesetzes führen.
24. Mai 2011
In Schweden wurde am Donnerstag über das neue „Cookie – Gesetz“ abgestimmt, das nun zum 01.07.2011 in Kraft treten wird. Hintergrund ist die „E-Privacy-Richtlinie“ (RICHTLINIE 2009/136/EG). In Deutschland wird die Frist zur Umsetzung bis zum 25. Mai 2011 nicht eingehalten, da momentan im Bundestag immer noch über einen Gesetzesentwurf beraten wird, bei dem im Übrigen das Thema Cookies außen vor bleibt.
Im Unterschied zur bisherigen Gesetzeslage in Schweden, die dem Nutzer nur die Möglichkeit gab Cookies auszuschalten, wird nun künftig vom Besucher einer Seite eine vorherige aktive Zustimmung zur Nutzung von Cookies auf einer Seite erwartet.
Das neue Gesetz hat bereits im Vorfeld zahlreiche starke Kritik hervorgerufen, da es deutlich weiter gehe als aufgrund der EG-Richtlinie erforderlich. Naturgemäß kritisch sind die Stimmen aus der Werbebranche, die erhebliche Einbußen befürchten. Im Bereich der Online-Zeitungen hat die schwedische Zeitung Aftonbladet beispielsweise im Jahr 2010 mit Online-Werbung mehr verdient als mit Print-Werbung. Aber auch „neutrale“ Stimmen äußern sich kritisch. Eine wörtliche Interpretation des Gesetzes werde jedenfalls erhebliche Nachteile mit sich bringen, auch wenn das eigentliche Ziel des Gesetze- das zu starke Ausspionieren von Seitenbenutzern- durchaus begrüßenswert sei. Das Surfen im Internet werde aufgrund des Zustimmungserfordernisses nun unübersichtlich und unkomfortabel. Erhebliche Probleme werden jedenfalls in nächster Zeit bei der praktischen Umsetzung erwartet. Teilweise wird angenommen, dass auf einer Internetseite eine deutliche Information über Cookies und wie man sie abstellt doch- anders als der Gesetzestext vermuten lässt- ausreichend sein sollte. Von anderer Seite wird in diesem Zusammenhang die Nutzung von Pop-ups zur Informations- und Zustimmungszwecken befürwortet, da die Information so jedenfalls nicht so leicht übersehen werden könne. Zudem wird die Idee einer der eigentlichen Zielseite vorgeschalteten Informationsseite, wo die Zustimmung erklärt werden kann, diskutiert.
23. Mai 2011
Nach neuen datenschutzrechtlichen Bestimmungen in Indien gibt es auch in Frankreich aktuell Bestrebungen den Datenschutz zu verstärken, auch wenn es in diesem Fall nicht durch neue gesetzliche Bestimmungen erfolgt. Die französische Datenschutzbehörde CNIL will künftig die Kontrolle in Firmen und Organisationen verstärken. Ziel ist dabei die Zahl der im Jahr 2011 kontrollierten Firmen auf mindestens 400 zu erhöhen, was im Vergleich zum Vorjahr eine Steigerung von ca. 30% bedeuten würde. Dadurch soll gewährleistet werden, dass der internationale Datenverkehr in den betroffenen Firmen sowohl den französischen als auch den europäischen Datenschutzvorschriften entspricht. Diese Kontrollverstärkung soll dabei insbesondere bei den US-Firmen, die an dem U.S.-E.U. Safe Harbor Program beteiligt sind betreffen, um sicherzustellen, dass diese die geforderten europäischen Standards einhalten.
Die Kontrollen konzentrieren sich dabei zunächst auf den Gesundheitssektor, wo naturgemäß besonders sensible Daten verarbeitet werden. Zu überprüfende Bereiche liegen dabei beispielsweise in der Telemedizin oder bei der Speicherung von Gesundheitsdaten in für Monitoringzwecke in der medizinischen Forschung. Im späteren Verlauf des Jahres soll zudem die Aufsicht hinsichtlich des Datenschutzes im Rahmen von Videoüberwachung verstärkt werden.
Im Falle von Verstößen gegen datenschutzrechtliche Bestimmung stehen der CNIL verschiedene Befugnisse zu Verfügung. Neben Warnungen oder einstweiligen Verfügungen kann sie Bußgelder von bis zu 300.000€ aussprechen.
19. Mai 2011
Nachdem Sony erst vor einem Monat durch einen Hacking-Angriff auf mehr als 100 Millionen Kundendaten im Zentrum des öffentlichen Interesses gestanden hat, wurde nun nach dem Neustart des PlayStation Network und des Qriocity-Dienstes eine neue Sicherheitslücke publik. Diese betrifft die Internetseite, die für die Zurücksetzung der Passwörter für die Sony-Dienste genutzt wird. Es ist möglich gewesen, Passwörter allein mit der Kenntnis von E-Mail-Adresse und Geburtsdatum des berechtigten Account-Inhabers zu ändern. Die Möglichkeit der Änderung des Passworts eröffnet wiederum potentiellen Angreifern die Möglichkeit, alle weiteren Daten zu ändern und sich sonst zu eigen zu machen. Sony hat die Internetseite zur Passwortänderung umgehend offline gestellt.
18. Mai 2011
Wie schon im Beitrag vom 5.Mai 2011 berichtet, wurde in Indien am 13. April neue, sehr restriktive Bestimmungen für den Datenschutz vorgestellt, nachdem der Bereich des Schutzes persönlicher Daten dort für nahezu 100 Jahre unverändert blieb. Diese Neuerungen sind dabei insbesondere für Firmen, die ihre Datenverarbeitung nach Indien ausgelagert haben, von Relevanz.
Auch wenn sich insoweit naturgemäß pauschal noch keine präzisen Maßnahmen empfehlen lassen, so sind hier zumindest erst einmal einige Tipps und Hinweise für Firmen, die aufgrund ihrer Kontakte und Beziehungen zu indischen Firmen von den neuen Regeln betroffen sein können
1. Überprüfung der aktuell bestehenden Datenschutzregeln und Maßnahmen
Untersuchung und Dokumentierung beispielsweise welche Daten bislang in Indien erhoben und gelagert werden oder welche opt-in oder opt-out Regelungen momentan zur Anwendung gelangen.
2. Einsetzen eines “Update-Teams”
Dieses Team ist für die Entwicklung und Umsetzung der nun erforderlich werdenden Maßnahmen verantwortlich. Je nach Größe der Firma können solche Mitglieder beispielsweise CIO, legal counsel, externe Berater oder bisher mit der Überwachung der Outsource- Tätigkeit befasste Personen sein.
3. Überprüfung des Kundenkontakts
Ergänzend zu 1. kann dies speziell für Firmen, die dort im Handelsbereich z.B. online-Handel tätig sind von Relevanz sein. Insbesondere im Hinblick auf telefonischen Kontakt und das schriftliche Einverständnis zu Sammlung personenbezogener Daten ist hier Vorsicht geboten.
4. Berücksichtigung der Arbeitnehmer
Auch die bei den betroffenen Firmen beschäftigten Arbeitnehmer sind zu berücksichtigen, da auch sie schließlich in nicht unerheblichem Ausmaß personenbezogene Daten zur Verfügung stellen. Insoweit ist zu prüfen, ob und in welchem Maße die neuen Regeln in diesem Bereich zu neuen Maßnahmen führen.
5. Abstimmung mit anderen Beteiligten
Auch andere Firmen können in verschiedener Form direkt oder mittelbar durch die neuen Bestimmungen betroffen sein. Zum einen ist eine Abstimmung im Hinblick auf Maßnahmen beispielsweise beim Outsourcing bestimmter Geschäftsfelder an weitere Firmen erforderlich, zum anderen kann z.B. auch die aktuelle Internetkommunikation mit dem entsprechenden Provider und seinen eventuell kollidierenden Bestimmungen betroffen sein und es können sich insoweit Konfliktfelder auftun.
Pages: 1 2 ... 249 250 251 252 253 254 255 256 
