Schlagwort: Datenübermittlung

Brexit: Großbritannien als Drittland?

13. Februar 2019

Im Rahmen der siebten Tagung des Europäischen Datenschutzausschusses (EDSA) am 12. Februar 2019 wurden unter anderem die datenschutzrechtlichen Herausforderungen im Rahmen des Brexit diskutiert.

Im Fokus stand die Möglichkeit eines Austritts Großbritanniens ohne Abkommen mit der EU („No-Deal-Szenario“). Dies hätte zur Folge, dass Großbritannien im datenschutzrechtlichen Sinn ein Drittland darstellen würde (wir berichteten). Drittländer sind Staaten, die kein Mitglied der Europäischen Union und nicht Teil des Europäischen Wirtschaftsraumes (EWR) sind. An die Übermittlung personenbezogener Daten in Drittländer stellt die DSGVO besondere Anforderungen (Art. 44 bis 46 DSGVO). Der EDSA einigte sich auf ein Informationspapier, das Vorkehrungen für betroffene Unternehmen und Behörden erläutert um diese DSGVO-Anforderungen zu erfüllen. Laut Ankündigung wird das Informationspapier auf der Homepage des Ausschusses veröffentlicht.

Der Ausschuss ist ein unabhängiges Gremium, das zum Ziel hat eine einheitliche Anwendung Europäischer Datenschutzvorschriften zu fördern. Im Ausschuss sind alle nationalen Datenschutzaufsichtsbehörden des EWR und der Europäische Datenschutzbeauftragte vertreten.

Marktortprinzip: Datenübermittlung in Drittländer

25. Juli 2018

Von der Datenschutzgrundverordnung (DSGVO) sind nicht nur Unternehmen im EU-Raum betroffen, sondern auch solche, die sich in Drittländern befinden.

Grundsätzlich wird in der DSGVO der einheitliche Schutz für den Umgang mit personenbezogenen Daten in der Europäischen Union geregelt. Jedes Unternehmen, das personenbezogene Daten von EU-Bürgern verarbeitet, muss sich an die Regelungen der DSGVO halten. Hat ein Unternehmen den Sitz außerhalb der EU (aus Datenschutzsicht sogenannte Drittländer), gilt die DSGVO gleichermaßen, sobald diese Unternehmen Daten von Bürgern der EU-Mitgliedsstaaten verarbeiten oder als Auftragsverarbeiter in Vertragsbeziehungen zu EU-Unternehmen stehen.

Neu im Vergleich zur bisherigen Rechtslage ist das sogenannte Marktortprinzip im Rahmen des territorialen Anwendungsbereichs der DSGVO. Art. 3 Abs. 2 DSGVO (räumlicher Anwendungsbereich) besagt, dass die Verordnung Anwendung findet, sobald ein nicht in der Union niedergelassener Verantwortlicher oder Auftragsverarbeiter Daten von Personen verarbeitet, die sich in der EU befinden.

Das bedeutet, dass unter anderem Betreiber von Online-Portalen, Exporteure, Versandhändler sowie jegliche Dienstleister, die Leistungen in der EU anbieten und dabei personenbezogene Daten verarbeiten, betroffen sind. Das Marktortprinzip gilt demnach auch für Unternehmen, die weder einen Sitz noch eine Niederlassung in der EU haben, jedoch Personen in der EU entgeltlich oder unentgeltlich Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Profiling, Tracking).

 

Datenschutzrechtliche Aspekte bei der Nachrüstung von Dieselfahrzeugen

4. August 2017

Mitte dieser Woche fand in Berlin der sogenannte Diesel-Gipfel statt. Auf diesem Gipfel haben die deutschen Hersteller von Diesel-Fahrzeugen zugesagt, rund 5,3 Millionen Autos mit einer neuen Abgas-Software auszustatten. Mit diesem kostenlosen Update soll der Ausstoß des Atemgifts Stickoxid verringert werden.

Neben der Frage, ob dieses Software-Update wirklich zu einer relevanten Absenkung des Stickoxidausstoßes führt, zeigt sich nun, dass die Autohersteller möglicherweise auch grundsätzliche datenschutzrechtliche Aspekte nicht mitbedacht haben. Die entsprechende Software-Nachrüstung betrifft vor allem ältere Dieselfahrzeuge. Gerade solche älteren Modelle sind oftmals aber schon an neue Besitzer weiterverkauft, sodass die Hersteller in den meisten Fällen die neuen Besitzer der Fahrzeuge nicht kennen werden. Demnach müsste für eine Nachrüstung das Kraftfahrtbundesamt der Industrie den Herstellern Namen und Adresse der Käufer übermitteln.

Eine Sprecherin der Bundesdatenschutzbeauftragten Andrea Voßhoff bestätigte, dass eine solche Datenweitergabe durch das Kraftfahrtbundesamt einer ausdrücklichen Einwilligung der Betroffenen oder einer einschlägigen gesetzlichen Grundlage bedürfe. Eine ausdrückliche Einwilligung dürfte jedoch in kaum einem Fall vorliegen. Demnach prüft das Verkehrsministerium aktuell, ob es eine gesetzliche Grundlage für die Übermittlung der Daten der Fahrzeugbesitzer gibt. Eine Datenübermittlung käme eventuell dann in Betracht, wenn ein Fahrzeugrückruf aufgrund erheblicher Mängel für die Verkehrssicherheit oder die Umwelt rechtlich geboten sei.

Erste Bußgelder wegen fehlerhafter Datenübermittlung in die USA

8. Juni 2016

Nachdem der Europäische Gerichtshof Ende vergangenen Jahres das Safe-Harbor-Abkommen , auf dessen Rechtsgrundlage bis dahin der Datenaustauch zwischen den USA und Staaten der EU fußte, für ungültig erklärt hatte, waren deutsche Unternehmen dazu angehalten, eine alternative Rechtsgrundlage zu finden oder de facto den Datentransfer in die USA einstellen. Die meisten Unternehmen sind dazu übergegangen, ihren Datenaustausch auf die (freilich nicht unumstrittenen) EU-Standardvertragsklauseln zu stützen.

Dass dem Erfordernis einer alternativen Rechtsgrundlage nach dem Fall von Safe-Harbor nicht alle betroffenen Unternehmen nachgekommen sind, kommt nun den ersten teuer zu stehen. Drei Hamburger Firmen wurden zu Bußgeldzahlungen in (verhältnismäßig glimpflicher) Höhe zwischen 8.000 € und 11.000 € belangt, weil sie noch nicht auf eine rechtssichere Alternative umgestellt hatten, wie heise online mitteilt.

Laut Spiegel Online handelt es sich bei den drei Firmen um Adobe, Punica und Unilever. Die Bußgelder fielen vor allem deshalb verhältnismäßig gering aus, weil alle drei Unternehmen noch während des Bußgeldverfahrens das gerügte Versäumnis nachgeholt und die rechtliche Grundlage ausgebessert hatten. Zudem kam ihnen zu Gute, dass sie die Ersten waren, die von der Datenschutzbehörde negativ geprüft wurden. Unternehmen, die jetzt noch nicht auf eine rechtssichere Alternative umgestellt haben, werden mit deutlich höheren Bußgeldern rechnen müssen, sagt Prof. Dr. Johannes Caspar, Landesdatenschutzbeauftragter in Hamburg. Laut Gesetz sind sogar bis zu 300.000 € möglich; weitere Verfahren wurden bereits eröffnet.

WhatsApp weist noch immer erhebliche Sicherheitslücken auf

19. August 2013

 Aktueller Berichterstattung zufolge überträgt der Instant Messenger WhatsApp mittlerweile die Nachrichten und andere Daten verschlüsselt, so dass Dritte, die im gleichen WLAN unterwegs sind, nicht mehr in der Lage seien, Nachrichten anderer mitzulesen. Überdies habe eine Registrierung des Benutzers vor der ersten Inanspruchnahme des Instant Messengers zu erfolgen. Da der Benutzer nunmehr einen Bestätigungscode, den er via SMS bekomme, eingeben müsse, sei es schwieriger die Identität andere User zu hacken.

Weiterhin bleibe WhatsApp aus datenschutzrechtlicher Sicht aber bedenklich, da WhatsApp  auf Telefonbücher ungefragt zugreifen könne, die darauf vorhandenen Daten ausspähe und die Daten in die USA übermittele. Laut den AGBs von WhatsApp werden aber nur die Nutzernamen und Telefonnummern übermittelt, nicht aber die dazugehörigen Namen oder Daten.