11. September 2019
Das Bundesverwaltungsgericht muss heute über einen Fall aus Schleswig-Holstein entscheiden und dabei beurteilen, wie weit die Mitverantwortung eines Unternehmens, das eine Seite bei Facebook betreibt, geht. Wie wir bereits berichtet haben hat der Europäische Gerichtshof (EuGH) bereits im vergangenen Jahr entschieden, dass eine datenschutzrechtliche Mitverantwortung anzunehmen ist.
Im Fall, über den das Bundesverwaltungsgericht heute zu entscheiden hat, hatte die Landesdatenschutzbehörde in Schleswig-Holstein geklagt. Die Wirtschaftsakademie des Bundeslandes sollte ihre Facebook-Seite deaktivieren, weil dort personenbezogene Daten erhoben wurden, ohne dass die Nutzer davon wussten.
Allerdings dürften die Richter des Bundesverwaltungsgerichtes kaum anders entscheiden als der EuGH, weshalb das Facebook-Urteil weitreichende Folgen hätte. Zum einen für Unternehmen, die solche Seiten unterhalten, aber möglicherweise auch für Profilseiten anderer sozialer Netzwerke.
10. September 2019
In dem Fall ging es um das Einblicksrecht des Betriebsrats in Bruttoentgeltlisten. Der Arbeitgeber betrieb eine Klinik, die einem gekündigten Manteltarifvertrag unterfällt. Die Klinik führte seit einiger Zeit die Bruttoentgeltlisten der Arbeitnehmer in elektronischer Form. Dabei enthielten die Listen die Namen der Arbeitnehmer, deren Dienstart und Unterdienstart, Angaben zum Grundgehalt, zu verschiedenen Zulagen sowie zu weiteren Bezügen. Der Arbeitgeber gewährte dem Betriebsrat nur Einsicht in eine anonymisierte Fassung dieser Listen.
Der Betriebsrat verlangte für seinen Betriebsausschuss Einblick in eine ungeschwärzte Fassung der Bruttoentgeltlisten mit sämtlichen Klarnamen. Nur so lasse es sich feststellen, ob der Arbeitgeber die Vergütungsgrundsätze eingehalten hat.
Das Bundesarbeitsgericht (BAG) sprach dem Betriebsausschuss ein Einsichtnahmerecht in die nicht-anonymisierten Bruttoentgeltlisten zu. Dabei hat das BAG nun entschieden, dass dieses Einblicksrecht auch unter Berücksichtigung datenschutzrechtlicher Vorgaben nicht-anonymisierte Bruttoentgeltlisten umfasst. Der Arbeitgeber ist nach § 80 Abs. 2 S. 2 Betriebsverfassungsgesetz (BetrVG) verpflichtet, dem Betriebsausschuss Einblick in die nicht-anonymisierten Bruttoentgeltlisten zu gewähren. Der Arbeitgeber muss dem Betriebsrat auf sein Verlangen alle für die Betriebsratsarbeit nötigen Unterlagen zur Verfügung stellen. Um zu prüfen, ob die innerbetriebliche Lohngerechtigkeit eingehalten ist, muss der Betriebsrat über die effektiv gezahlten Vergütungen Bescheid wissen. Daher darf der hier zuständige Betriebsausschuss Einblick in die Bruttogehaltslisten mit Namen nehmen.
Das Gewähren von Einblick in die personifizierten Gehaltslisten stellt eine Verarbeitung personenbezogener Daten im Sinne des Datenschutzrechts dar. Das Beschäftigungsdatenschutzrecht erlaubt jedoch eine solche Verarbeitung, wenn diese zur Ausübung der sich aus dem BetrVG ergebenden Rechte und Pflichten des Betriebsrats nötig ist. Das ist vorliegend der Fall, da der Betriebsrat sonst nicht seinen betriebsverfassungsrechtlichen Pflichten nachkommen kann.
5. September 2019
Erneut muss sich Facebook wegen eines Vorfalls die Daten seiner Nutzen betreffend rechtfertigen. Im Internet sollen offenbar Telefonnummern von etwa 420 Millionen Nutzern offen zugänglich gewesen sein. Ein IT-Experte hatte eine Datei im Netz entdeckt und TechCrunch infomiert, die die Echtheit der Daten bestätigten und den Webhost informierten. Dieser schaltete die Seite ab.
In etwa 133 Millionen US-amerikanische Nutzer seien betroffen gewesen, sowie 50 Millionen aus Vietnam und 18 Millionen aus Großbritannien. Die Gefahr der Veröffentlichung der Telefonnummern liegt darin, dass diese durch Onlinekriminelle missbraucht werden können, um Accountpasswörter zurücksetzen und damit Profile kapern zu können. Eine Entfernung dieser Datei soll inzwischen vorgenommen worden sein.
Einen Hackerangriff soll es laut Facebook nicht gegeben haben. Unklar ist momentan noch, wer sie erstellt und öffentlich hochgeladen hat. Bei den Daten solle es sich um alte Daten handeln, die gesammelt worden seien, bevor das Unternehmen im letzten Jahr die Möglichkeit abschaffte, mithilfe der Telefonnummer Freunde zu finden.
Da die Freundessuche nach Telefonnummer regelmäßig dazu missbraucht wurde, Daten abzugreifen, schaltete Facebook diese Funktion bereits im April 2018 ab.
Update: am Freitag, 06.09.19, ist eine Kopie der Datenbank im Internet aufgetaucht, somit sind die Daten derzeit wieder öffentlich einsehbar.
Eine häufige Frage aus der Praxis:
Nach Art. 33 DSGVO müssen für die Datenverarbeitung Verantwortliche bei einer sogenannten Datenpanne, die ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, eine Meldung an die zuständige Aufsichtsbehörde vornehmen. Diese Meldung muss unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, erfolgen.
Exkurs: Eine Datenpanne ist nach Art. 4 Nr. 12 DSGVO eine Verletzung des Schutzes personenbezogener Daten, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden .
Viele der Verantwortlichen fragen sich, ob die Meldung einer Datenschutzverletzung zu einem Bußgeldverfahren führen kann, sie also quasi verpflichtet sind, sich selbst zu belasten.
Die Antwort auf diese Frage findet sich in der Vorschrift des § 43 Abs. 4 Bundesdatenschutzgesetz (BDSG). Danach darf die Meldung einer Datenpanne in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder Benachrichtigenden nur mit deren Zustimmung verwendet werden.
Ein Bußgeldverfahren wird auf Grundlage der Meldung also nicht gegen den Verantwortlichen eingeleitet werden. § 43 Abs. 4 BDSG gilt allerdings nicht, wenn (auch) Dritte die Datenpanne gemeldet haben. Darüber hinaus ist zu beachten, dass § 43 Abs. 4 BDSG nicht unumstritten ist. Nach Ansicht einiger Datenschützer steht diese Bestimmung nicht im Einklang mit den Vorgaben der DSGVO und ist daher nicht anwendbar. Diese Rechtsauffassung wurde allerdings noch nicht gerichtlich bestätigt.
ACHTUNG: Erfolgt keine oder eine verspätete Meldung, kann dies mit einem Bußgeld geahndet werden. Daher empfiehlt der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit in einer Pressemitteilung, Datenpannen stets rechtzeitig zu melden. Sollte keine Meldung vorgenommen werden, weil kein Risiko für die Rechte und Freiheiten natürlicher Personen bestand, hat eine entsprechende ausführliche Dokumentation zu erfolgen.
2. September 2019
Der europäische Datenschutzausschuss (EDSA) hat kürzlich Leitlinien „zur Verarbeitung personenbezogener Daten durch Videogeräte“ veröffentlicht. Hintergrund ist der zunehmende Einsatz von Videogeräten in den verschiedensten Lebensbereichen. Die Menge der mit Videogeräten erhobenen Daten sowie der Einsatz intelligenter Technologien schränkt die Möglichkeit die eigene Privatsphäre zu bewahren erheblich ein. Die Leitlinien des EDSA enthalten dabei folgende Kernpunkte.
Die Verwendung von Videogeräten kann die Anwendung der DSGVO nur dann auslösen, wenn personenbezogene Daten über das Videogerät erfasst werden. Das ist der Fall, wenn eine Person direkt oder indirekt identifiziert wird. Die Verarbeitung wird nicht von den zuständigen EU-Behörden zum Zwecke der Verhütung, Aufdeckung oder Verfolgung von Straftaten oder der Vollstreckung von strafrechtlichen Sanktionen durchgeführt. Andernfalls fällt die Verarbeitung in den Anwendungsbereich der EU-Richtlinie zur Strafverfolgung. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Videogeräte kommt überwiegend der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO in Betracht.
Werden spezielle Datenkategorien (z.B. biometrische Daten) verarbeitet, birgt dies erhöhte Risiken für den Einzelnen. Daher wird eine erhöhte und kontinuierliche Wachsamkeit bei bestimmten Verpflichtungen wie z.B. eine Datenschutzfolgenabschätzung gefordert.
Zur Sicherstellung von Transparenz für die Betroffenen sieht der EDSA ein mehrstufiges Informationssystem (“Mehrebenen-Ansatz”) vor. Auf der ersten Informationsebene steht die Verwendung eines Hinweisschildes mit den wichtigsten Angaben. Auf zweiter Informationsebene (idealerweise digital) sollten alle weiteren nach Art. 13 DSGVO erforderlichen Informationen enthalten sein. Einen weiteren wichtigen Punkt stellen die Aufbewahrungsfristen dar. Dabei gilt, dass bei längerer Speicherung der Daten (mehr als 72 Stunden), der Verantwortliche die Erforderlichkeit der Speicherung besonders darlegen muss.
Bei den Leitlinien handelt es sich nicht um unmittelbar bindende Bestimmungen. Allerdings können sie bei der Auslegung innerhalb der DSGVO herangezogen werden.
30. August 2019
Wie Sie vielleicht bereits wissen geht datenschutzticker.de am 30.10.2019 live. Nach mehr als acht erfolgreichen Jahren und über 2.000 Blogbeiträgen ist es aus unserer Perspektive Zeit, eine Plattform für Kommunikation und Austausch zu schaffen. Aus diesem Grund wollen wir aus der digitalen in die analoge Welt vordringen und dem datenschutzticker.de ein Gesicht geben:
datenschutzticker.live bietet Behörden und Unternehmen am 30.10.2019 unter dem Motto „industry meets authority“ tiefere Einblicke in die Arbeit von Unternehmens-Datenschutzbeauftragten und Datenschutzbehörden. Außerdem soll ein Austausch zwischen den Beteiligten ermöglicht werden.
Wir freuen uns auf den Bundesbeauftragten für Datenschutz und Informationsfreiheit, Herrn Prof. Ulrich Kelber sowie die Landesdatenschutzbeauftragten für Hessen, Herrn Prof. Michael Ronellenfitsch und Sachsen-Anhalt, Herrn Dr. Harald von Bose! Zudem werden Unternehmensvertreter über ihre tägliche Arbeit mit datenschutzrechtlichem Bezug referieren.
Diese hochkarätigen Redner werden Ihnen einen Einblick in ihre Arbeit geben und darüber hinaus auch (überwiegend) an einer Podiumsdiskussion teilnehmen, sodass ein Austausch mit Ihnen möglich ist. Im Rahmen der Podiumsdiskussion möchten wir Ihnen die Möglichkeit geben, datenschutzrechtliche Fragen zu stellen. Wir bitten Sie, Ihre Fragen formlos an veranstaltung@datenschutzticker.live zu stellen.
Zur Vorbereitung auf die Veranstaltung – sowie Ihrer allgemeinen Information – wird in den nächsten Wochen eine vertiefte Auseinandersetzung mit dem Thema datenschutzrechtliche Sanktionen im Rahmen einer Themenreihe auf datenschutzticker.de stattfinden.
Der erste Beitrag dieser Reihe wird am 20.09.19 erscheinen und Sie über die gesetzlichen Grundlagen der EU-Datenschutzgrundverordnung und des Bundesdatenschutzgesetzes informieren.
Wir freuen uns, Ihnen dieses Thema näher zu bringen und Sie beim datenschutzticker.live kennenzulernen.
Melden Sie sich gerne kostenlos für unsere Veranstaltung datenschutzticker.live am 30.10.2019 an.
Aktuelle Informationen bezüglich datenschutzticker.live erhalten sie auf unserer Veranstaltungshomepage oder über Twitter.
27. August 2019
Boris Johnson sieht scheinbar “realistische Chancen” auf erneute Verhandlungen mit den übrigen europäischen Staaten. Über diese Aussage hinaus hat er jedoch – ausweislich von Medienberichten – keine Aussage dahingehend getroffen, wie dies realisierbar wäre. Diese und andere Aussagen des britischen Premiers erhärten die Annahme, es könne im Oktober zu einem so betitelten “no-deal Brexit” kommen. Dieser Beitrag soll den Fokus noch einmal auf diejenigen Aspekte lenken, die Unternehmen in diesem Kontext zwingend berücksichtigen sollten. Weitere Informationen werden von der Datenschutzkonferenz angeboten (wenn auch noch für das ehemalige Austrittsdatum).
Datenschutzrechtliche Einordnung des Vereinigten Königreichs
Künftig würde es sich bei dem Vereinigten Königreich um einen Drittstaat im Sinne der Artikel 44 bis 49 DSGVO handeln. Insoweit bestünden grundsätzlich keine Unterschiede zu anderen Staaten außerhalb der Europäischen Union, wie zum Beispiel den USA.
Voraussetzung eines Datentransfers
Unabhängig vom Status des Empfängerlandes muss die Datenübermittlung dem Grunde nach zulässig sein. Jedwede Verarbeitung personenbezogener Daten bedarf auch in diesem Kontext einer Rechtsgrundlage.
Darüber hinaus muss der Transfer in das Drittland selbst zulässig ist. Dies ist einerseits der Fall, wenn die Europäische Kommission das Datenschutzniveau im Rahmen eines Angemessenheitsbeschlusses bestätigt (sicheres Drittland).
Existiert andererseits kein Angemessenheitsbeschluss, so muss das datenverarbeitende Unternehmen auf andere Weise sicherstellen, dass die personenbezogenen Daten beim Empfänger ausreichend geschützt werden (unsicheres Drittland). Dies kann je nach Sachverhalt durch Standarddatenschutzklauseln, Binding Corporate Rules, vertragliche Verpflichtung zur Einhaltung von allgemein gültigen Verhaltensregeln oder durch die Zertifizierung des Verarbeitungsvorgangs realisiert werden. Wird ein angemessenes Schutzniveau nicht erreicht, so kann unter anderem die Einwilligung des Betroffenen einen Datentransfer legitimieren.
Um potentielle Verstöße zu vermeiden sollte jeder Datentransfer allerdings unabhängig von diesen Ausführungen ausschließlich anhand der Umstände des Einzelfalls beurteilt werden.
Mit einer Klage gegen das Bundeskriminalamt wollte ein italienischer Staatsbürger mit Wohnsitz in Brüssel erreichen, dass seine Fluggastdaten nicht gespeichert, verarbeitet oder übermittelt werden. Seinen Antrag im Wege des einstweiligen Rechtsschutzes hat das Verwaltungsgericht Wiesbaden als unzulässig abgelehnt. Nach Auffassung des Gerichts fehlt es schon am notwendigen Rechtsschutzinteresse (Beschl. v. 21.08.2019, Az. 6 L 807/19.WI).
Im Zeitraum zwischen Mai 2018 und Juli 2019 unternahm der Antragsteller mehrfach Flüge von und nach Belgien. In seinem Eilantrag ging es konkret um den Flug im November 2019 von Brüssel nach Berlin bzw. einige Tage später nach Brüssel zurück. Dabei forderte er das Bundeskriminalamt zu der Erklärung auf, dass seine Fluggastdaten zu den beiden Flügen im November 2019 nicht gespeichert, verarbeitet und/oder übermittelt werden. Diese Maßnahmen verstießen gegen sein Recht auf Achtung des Privat- und Familienlebens aus Art. 7 der Charta der Grundrechte der Europäischen Union (GRCh), sein Recht auf Schutz der personenbezogenen Daten aus Art. 8 GRCh sowie sein Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG.
Das Bundeskriminalamt lehnte den Antrag ab und wies darauf hin, dass die Sicherheitsbehörde nach dem deutschen Fluggastdatengesetz (FlugDaG), die Fluggastdaten des Antragstellers speichern müsse. Die Eingriffe in die Rechte des Antragstellers seien gerechtfertigt, weil durch die Regelungen des Fluggastdatengesetzes terroristische Straftaten und schwere Kriminalität verhindert werden sollen.
Das VG Wiesbaden lehnte den Eilantrag des Antragstellers bereits wegen seinem fehlenden Rechtschutzinteresses als unzulässig ab. Die Kammer erklärte in ihrem Beschluss, der Mann habe zwischen Mai 2018 und Juli 2019 zahlreiche Flüge von Belgien aus oder mit dem Ziel Belgien unternommen. Auch dort wurden Fluggastdaten gespeichert, was er offensichtlich widerspruchslos hingenommen habe. Es sei daher nicht ersichtlich, warum die Datenerhebung in Deutschland unzumutbar für ihn sein sollte.
Gegen den Beschluss kann der Antragsteller Beschwerde einlegen, worüber dann der Verwaltungsgerichtshof (VGH) Kassel zu entscheiden hat.
Im Alter von 62 Jahren ist vergangene Woche Europas oberster Datenschützer Giovanni Buttarelli verstorben – dies gab die Behörde des Europäischen Datenschutzbeauftragten (EDPS) kürzlich bekannt. “Wir sind alle zutiefst traurig über den tragischen Verlust eines solchen netten und brillanten Menschen”, teilte die Behörde mit.
Buttarelli war zunächst als Richter und Generalsekretär der Datenschutzaufsichtsbehörde in Italien tätig bevor er 2009 zunächst stellvertretend und dann 2014 das Hauptamt des Europäischen Datenschutzbeauftragten übernahm. Seine Amtszeit hätte noch bis Dezember 2019 gedauert.
Während seiner Amtszeit stärkte er das Amt des Europäischen Datenschutzbeauftragten, dass durch die Einführung der DSGVO globales Gewicht erhielt. So entsprach das Inkrafttreten der DSGVO auch den Hauptanliegen seiner Tätigkeit, nämlich der erhöhte Schutz der Privatsphäre jedes Einzelnen sowie die Einhaltung des Datenschutzes durch globale Konzerne und Großunternehmen.
26. August 2019
Als Folge eines Sicherheitsvorfalls, durch welchen Unbekannte Zugriff auf eine Kundendatenbank des Webhosters Hostinger erlangten, ließ dieser die Passwörter von 14 Millionen Kunden zurücksetzen.
Laut Hostinger konnten Daten wie Datenbank Namen, E-Mail- , IP-Adressen und Kennwörter eingesehen werden. Bankdaten blieben davor jedoch geschützt, da diese auf einem externen Server hinterlegt sind. Die Kennwörter sind zwar durch einen SHA-1 geschützt worden, jedoch gilt dieser Hash-Algorithmus als sehr unsicher.
Die Nutzer welche sich nun wieder in Ihren Account einloggen wollen, müssen ein neues Passwort vergeben. Der Webhoster bat seine Kunden bei der Vergabe neuer Passwörter darauf zu achten, dass diese nicht bereits bei einem anderen Online-Service genutzt werden.
Zukünftig will Hostinger eine Zwei-Faktor-Authentifizierung (2FA) einrichten um die Accounts seiner Kunden besser zu schützen.
Pages: 1 2 ... 78 79 80 81 82 ... 275 276 
