Schlagwort: DSGVO
27. Juni 2018
Auch in der Fotografiebranche gab und gibt es aufgrund des Inkrafttretens der Datenschutzgrundverordnung (DSGVO) Rechtsunsicherheiten. Hintergrund ist, dass das Anfertigen und Veröffentlichen von Bildern, auf denen Personen zu erkennen sind, eine Verarbeitungstätigkeit personenbezogener Daten im Sinne der DSGVO darstellt, für das der datenschutzrechtliche Grundsatz des Verbots mit Erlaubnisvorbehalt gilt. Dies hat zur Folge, dass insbesondere für das Veröffentlichen die Einwilligung des betroffenen Abgebildeten selbst oder eine andere Rechtsgrundlage aus der DSGVO nötig ist, um die Verarbeitung zu legitimieren. Auf der Ebene des nationalen Rechts sieht allerdings auch das Kunsturhebergesetz (KUG) für das Veröffentlichen der Fotografien einige Ausnahmetatbestände vor. So können nach § 23 KUG etwa Bildnisse aus dem Bereich der Zeitgeschichte, Bilder von Versammlungen oder solchen, auf denen Personen nur als sogenanntes Beiwerk erscheinen, veröffentlicht werden, auch wenn keine Einwilligung des Betroffenen vorlag.
Nach Inkrafttreten der DSGVO ist nun allerdings umstritten, inwiefern die Vorschriften des KUG noch Anwendung finden, da die DSGVO in der Normenhierarchie über dem KUG steht und dessen Regelungen daher grundsätzlich verdrängt (wir berichteten).
In dem Beschluss des OLG Köln vom 18.06.2018 (Az. 15 W 27/18) hat sich nun das erste Gericht mit der Frage des Konkurrenzverhältnisses beschäftigt. Das OLG Köln vertritt dabei die Ansicht, dass Art. 85 DSGVO zugunsten der Verarbeitung für journalistische Zwecke von der DSGVO abweichende nationale Rechtsvorschrift erlaubt. Von dieser Erlaubnis seien nicht nur neue, sondern auch bereits bestehende Regelungen erfasst, soweit diese sich einfügen. Dabei seien keine strengeren Maßstäbe anzusetzen, weil Datenschutzvorschriften sonst stets die journalistische Arbeit beeinträchtigen würden. Im Kern würde Art. 85 DSGVO insbesondere keine konkreten materiell-rechtlichen Vorgaben machen, sondern nur voraussetzen, dass zwischen dem Datenschutz auf der einen Seite und der Meinungs- und Kommunikationsfreiheit auf der anderen Seite ein angemessener Ausgleich sichergestellt sei. Dies hätte zur Folge, dass das KUG weiterhin gelte, da auch die Vorschriften des KUG umfangreiche Abwägungen zwischen den entgegenstehenden Interessen, im Rahmen dessen auch unionsrechtliche Grundrechtspositionen zu berücksichtigen sind, vorsehe.
Der Beschluss des OLG Köln ist allerdings insgesamt unter der Prämisse zu sehen, dass das KUG Erlaubnistatbestände ausschließlich für das Veröffentlichen der Fotos, nicht aber für das Anfertigen selbst vorsieht. Für das Fotografieren selbst gilt damit ausschließlich die DSGVO. Eine rechtliche Einordnung des Fotografierens unter der DSGVO hat kürzlich die Datenschutzbehörde Brandenburg veröffentlicht.
20. Juni 2018
Die CDU/CSU-Fraktion strebt ein rasches Vorgehen gegen gewerbliche Abmahnungen bei DSGVO-Verstößen an. Mit ihrer Initiative, welche die Veranschlagung hoher Anwaltsgebühren im Rahmen missbräuchlicher Abmahnungen verhindern sollte, ist sie der fehlenden Unterstützung seitens der SPD wegen allerdings Anfang letzter Woche gescheitert. Die Initiative beinhaltete die vorübergehende Aussetzung der DSGVO-Abmahngebühren. Dafür sollte eine Klausel in den Gesetzentwurf zur Musterfeststellungsklage eingefügt werden.
Die SPD möchte das Problem grundlegender angehen und die Anwaltsgebühren wie im Urheberrecht deckeln. Weiterhin sollen sich Kläger den Klageort nicht mehr aussuchen dürfen. Parallel hierzu sieht sie das Innenministerium in der Pflicht, die Regelungen für Fotografen, für welche weiterhin das Kunsturheberrechtsgesetz gelten solle, verbindlich festzulegen und so die anhaltende Rechtsunsicherheit zu beseitigen.
Inzwischen ist man sich in der Koalition inhaltlich weitgehend einig und so soll spätestens Anfang September ein Gesetzentwurf zur generellen Bekämpfung des Abmahnmissbrauchs vorgelegt werden. Klares Ziel ist hier der Schutz kleiner und mittelständischer Unternehmen, gemeinnütziger Organisationen und Selbstständiger: Soweit diese geringfügig gegen Vorgaben der DSGVO verstoßen soll die Möglichkeit kostenpflichtiger Abmahnungen ausgeschlossen werden.
Auch wenn bereits vereinzelt Abmahnanwälte das Geschäft mit der DSGVO gewittert haben, ist ein flächendeckender Missbrauch dem Bundesverband der Verbraucherzentrale nach bislang nicht festzustellen, sodass das Scheitern der “Soforthilfe” durch die CDU/CSU-Fraktion, insbesondere im Hinblick auf den nun geplanten Gesetzentwurf aller Voraussicht nach keine schwerwiegenden Folgen nach sich ziehen wird.
12. Juni 2018
Wie die Welt berichtet prüft die hessische Landesdatenschutzbehörde die Praktiken der Schufa hinsichtlich der in der Datenschutzgrundverordnung (DSGVO) verankerten Verbraucherrechte.
Die DSGVO bestimmt in den Art. 15 folgende, dass dem Betroffenen bestimmte Rechte wie zum Beispiel das Auskunftsrecht (Art. 15). Darüber hinaus gibt es Rechte hinsichtlich der automatisierten Entscheidung (Art. 22). Wenn ein Betroffener sein Auskunftsrecht wahrnimmt muss die verarbeitende Stelle “eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung stellen” und das sowohl kostenlos als auch, bei einer elektronischen Anfrage “in einem gängigen elektronischen Format”. Hier liegt der erste Kritikpunkt der Datenschützer, bei der Schufa it lediglich die einmalige Herausgabe einer Datenkopie in Papierform unentgeltlich. Darüber hinaus kann die Erstellung und der Versand einer solchen bereits einige Tage oder Wochen vergehen. Die Schufa vertritt die Auffassung, dass nur bei einem Postversand gewährleistet sei, dass die Information bei dem richtigen Empfänger ankommt. Lediglich wer bereit ist ein einjähriges Abo für 3,95€ zuzüglich einer einmaligen Bereitstellungsgebühr von 9,95€ zu zahlen erhält alle Auskünfte elektronisch. Dabei wird der Betroffene anhand der Prüfziffer auf der Rückseite des Personalausweises verifiziert.
Weiterer Kritikpunkt ist, dass die Schufa ihren Scoring-Algotihmus zur Bonitätsprüfung nicht veröffentlicht und dies ebenfalls in Widerspruch zu den Anforderungen der DSGVO hinsichtlich automatisierter Entscheidungsfindung (Art. 22) steht. Den Betroffenen steht zu, “aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung” zu erhalten. Die Schufa ist nach der DSGVO also eigentlich verpflichtet, weitergehende Informationen hinsichtlich ihres Scoring-Algorithmusses zu veröffentlichen und diesen dadurch transparenter zu machen.
Zumindest in der Theorie wird den Betroffenen in der, an die DSGVO angepassten, Datenschutzerklärung eigene Rechte geltend zu machen.Wie dies umgesetzt wird bleibt allerdings abzuwarten und die Schufa ist davon auch nicht allein betroffen. Alle Auskunfteien müssen sich mit der Problematik der Betroffenenrechte auseinandersetzen.
4. Juni 2018
Die Internet Corporation for Assigned Names and Numbers (Icann) ist ein Non-Profit-Unternehmen, dass dafür sorgt, dass Website-Namen im Netz nicht doppelt vergeben werden und alle IP-Adressen zur richtigen Internetseite führen. Das US-Unternehmen fordert dazu nicht nur den Namen des Seitenbetreibers sondern auch die Namen, Adressen und Telefonnummern von der Person mit vollen Zugriffsrechten auf die Website (Admin-C) und einem technischen Verantwortlichen (Tech-C).
Der deutsche Domain-Händler Epag wehrt sich nun gegen diese Datensammlung vor dem Bonner Landgericht auf Grundlage der DSGVO. Epag hat sich dazu entschlossen die Adressdaten des Admin-C und Tech-C nicht mehr weiterzugeben, da man dafür möglicherweise keine rechtliche Grundlage hat.
Die Icann versuchte diesen Vorstoß mittels einstweiliger Verfügung zu verhindern. Die Richter am Landgericht Bonn haben den Eilantrag jedoch abgewiesen. Der Beschluss wurde mit der Regelung des Art. 5 Abs. 1 lit. b) und c) DSGVO begründet, wonach personenbezogene Daten nur “für festgelegte, eindeutige und legitime Zwecke erhoben” werden dürfen (lit. b) und “dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein” müssen (lit. c). Dies wurde durch die Antragstellerin nicht glaubhaft gemacht.
2. Mai 2018
Die Konferenz der unabängigen Datenschutzbehörden des Bundes und der Länder kritisiert das soziale Netzwerk Facebook erneut scharf. So wurde der aktuell diskutierte Datenskandal lediglich als “Spitze des Eisbergs” bezeichnet.
In einer jüngst veröffentlichten Entschließung fordern die Aufsichtsbehörden den kalifornischen Konzern daher auf, “den wahren Umgang der Öffnung der Plattform für App-Anbieter in den Jahren bis 2015” offenzulegen und “belastbare Zahlen der eingestellten Apps sowie der von dem Facebook-Login-System betroffenen Personen” zu nennen. Darüber hinaus sollten Betroffene über Rechtsverletzungen informiert werden. Dies sei erforderlich, damit die erheblichen Vorwürfe hinsichtlich mangelndem Datenschutz nicht folgenlos bleiben. So betonte die Bundesdatenschutzbeauftragte Andrea Voßhoff, dass die Vorwürfe “vermutlich nur ein kleines Puzzlestück des datenschutzrechlich problematischen Geschäftsmodells von enstprechenden Unternehmen sind.”
Die Datenschützer gehen davon aus, dass die Zahl der Online-Anwendungen, die allein das Login-System nutze, in die Zehntausende gehe. Es sei nicht auszuschließen, dass “dem Grunde nach alle Facebook-Nutzer betroffen” sein könnten.
Besonders kritisch betrachtet wird das Vorgehen des Konzerns hinsichtlich der Implementierung einer Gesichtserkennung. Durch diese Funktion kann Facebook erkannte Nutzer automatisch in Fotos markieren. Die Konferenz habe “erheblichen Zweifel” daran, ob das eingeführte Einwilligungsverfahren des Netzwerks “mit den gesetzlichen Vorgaben vereinbar ist”. “Eine unzulässige Beeinflussung des Nutzers” steht im Raum.
Im Rahmen der Konferenz appelierten die Teilnehmer an die sozialen Netzwerkbetreiber, ihre Geschäftsmodelle an das Schutzniveau der DSGVO anzupassen und so “ihrer gesellschaftlichen Verantwortung nachzukommen.”
11. April 2018
Nach Einschätzung der Landesdatenschutzbeauftragten können Datenschutzverstöße mangels Personal nicht ausreichend geahndet werden. Allen 16 Behörden mangelt es an genügend Personal um der Einhaltung des Datenschutzes gerecht zu werden. Laut einer Umfrage der Zeitung “Tagesspiegel” fehlen bundesweit dafür fast 100 Beschäftigte. «Ich bezweifle stark, dass wir mit der jetzigen Ausstattung die Instrumente der DSGVO vernünftig nutzen können», sagt Marit Hansen, Landesdatenschutzbeauftragte in Schleswig-Holstein.
Es besteht die Gefahr, dass die am 25. Mai 2018 in Kraft tretenden neuen Datenschutzvorschriften nicht hinreichend durchgesetzt werden können. Das massive Stellendefizit erschwert die Ahndung von Datenschutzverstößen. Es besteht auch keine Bereitschaft in der Politik dies auszugleichen. Auch Bundesdatenschutzbeauftragte Andrea Voßhoff hat bereits auf die Belastung der Aufsichtsbehörden aufmerksam gemacht.
Mit Einführung der europäischen Datenschutzgrundverordnung werden hohe Auflagen hinsichtlich Bußgeldern eingeführt. Zur Verhängung dieser Bußgelder ist jedoch ein funktionsfähiger Aufsichtsapparat notwendig.
28. März 2018
Aufgrund der anhaltenden Kritik im Zuge des Datenskandals hat Facebook nun seine Prviatsphäre-Tools überarbeitet. Ziel sei es, den Nutzern mehr Kontrolle über Ihre Daten zu ermöglichen. Um dies zu erreichen wuden die Einstellungen zur Prviatsphäre otpisch derart angepasst, dass der Zugang vereinfacht wurde und einzelne Einstellungsmöglichkeiten leichter auffindbar sind. Dadurch soll es den Nutzern möglich sein, transparenter zu erkennen, welche Informationen durch Facebook geteilt werden. Um eine solche erhöhte Transparenz zu ermöglichen, sollen die Mitglieder des Social-Media-Netzwerks in leicht verständlicher Sprache darüber informiert werden, wie personenbezogene Daten gesammelt und sodann verarbeitet werden. Hierzu wurde eine zeitnahe Aktualisierung der Datenrichtlinien angekündigt. In diesem Zusammenhang teilt Facebook mit, dass es nicht darum ginge “neue Berechtigungen zum Sammeln, Nutzen oder Teilen von Daten zu erlangen.” Vielmehr ginge es um eine offengelegte Verarbeitung der Daten. Hierzu arbeitet das Unternehmen mit Aufsichtsbehöden und Datenschutz-Experten zusammen.
Die angekündigten Maßnahmen stehen dabei im Lichte der Datenschutzgrundverordnung (DSGVO), die ab dem 25. Mai diesen Jahres Anwendung findet. Die Verordnung sieht unter anderem vor, dass Betroffene transparent darüber informiert werden, wie und durch wen ihre personenbezogenen Daten verarbeitet werden. Um den erhöhten Pflichten der DSGVO nachzukommen, arbeite Facebook bereits “seit geraumer Zeit” an der Anpassung der Prozesse.
19. Februar 2018
Eine repräsentative Umfrage unter rund 700 Unternehmen der Informationswirtschaft ab 5 Beschäftigte ergab, dass mehr als die Hälfte der deutschen Werbeunternehmen (55,9%) sich noch keine Gedanken um die Datenschutzgrundverordnung (DSGVO), die am 25.5.2018 in Kraft tritt, gemacht haben. Dies meldete das Zentrum für europäische Wirtschaftsforschung (ZEW).
Demnach besteht ein großer Nachholbedarf bei der Umsetzung der neuen Anforderungen der DSGVO, da Werbeunternehmen ein sehr wichtiger Adressat dieser Verordnung sind.
Nur wenn alle Unternehmen die neuen Anpassungen umsetzen, kann der Schutz von personenbezogenen Daten innerhalb der EU und die Ermöglichung eines freien Datenverkehrs innerhalb des EU-Binnenmarkts gewährleistet werden.
Der Anteil der Unternehmen der Informationswirtschaft, die im Dezember 2017 eine vollständige Umsetzung der DSGVO verzeichnen konnten, belief sich auf 5 %.
70% der Unternehmen haben entweder noch gar nicht (42,9%) damit beschäftigt die Vorgaben in die Praxis umzusetzen oder gerade erst damit begonnen (25,6%).
Die Zuversicht der Unternehmen bis Ende Mai 2018 die Anpassungen erfolgreich umsetzen zu können, verwundert Dr. Jörg Ohnemus, stellvertretender Leiter des ZEW Forschungsbereichs “Digitale Ökonomie”.
Um hohe Bußgelder zu vermeiden, sollten Unternehmen sich so schnell wie möglich an die neuen Anforderungen der DSGVO anpassen.
13. Februar 2018
Mittlerweile sollte zumindest unseren regelmäßigen Lesern bekannt sein, dass am 25. Mai 2018 umfangreiche neue Datenschutzvorschriften in Form der europäischen Datenschutzgrundverordnung (DSGVO) und dem neuen Bundesdatenschutzgesetz (BDSG-neu) in Kraft treten werden.
Und wenn Sie diese wiederholte Erinnerung jetzt als nervig empfinden, dann sind Sie damit nicht alleine!
Denn laut einer aktuellen repräsentativen Umfrage des Zentrums für Europäische Wirtschaftsforschung (ZEW) sind besonders deutsche Unternehmen genervt vom Datenschutz und fürchten Nachteile durch die bevorstehenden rechtlichen Neuerungen. So geht die Mehrheit der Befragten davon aus, dass die rechtskonforme Umsetzung die Geschäftsprozesse insgesamt verkomplizieren wird. Darüber hinaus wird die EU-DSGVO von deutschen Unternehmen überwiegend als zusätzliche Kosten- und Arbeitsbelastung empfunden.
Außerdem sehen europäische Unternehmen in den, im direkten Vergleich mit den USA und China, deutlich strengeren Regelungen zum Datenschutz teilweise einen deutlichen Wettbewerbsnachteil.
Doch zwingend ist diese Schlussfolgerung keineswegs. Denn gleichzeitig achten Verbraucher aber auch Unternehmen immer verstärkter auf den Schutz ihrer eigenen Daten. Und so können deutsche Unternehmen den vermeintlichen Nachteil auch ins Gegenteil verkehren und die vergleichsweise strengen Regelungen zum Datenschutz als Wettbewerbsvorteil gegenüber der außereuropäischen Konkurrenz betrachten. So auch Irene Bertschek, Leiterin des Forschungsbereichs “Digitale Ökonomie” am ZEW.
Weiteres interessantes Ergebnis der ZEW-Studie: Obwohl bei Nichteinhaltung der (neuen) datenschutzrechtlichen Vorgaben zum 25. Mai 2018 signifikant höhere Bußgelder drohen als bisher, hat sich mehr als die Hälfte der befragten Unternehmen der Informationswirtschaft nach eigenen Angaben noch gar nicht mit den Änderungen durch EU-DSGVO und BDSG-neu beschäftigt. Die ZEW-Umfrage bestätigt damit weitgehend die Ergebnisse von in diesem Zusammenhang durchgeführten Studien des IT-Branchenverbands “Bitkom” und des Cybersecurity-Anbieters “Watchguard”.
1. Februar 2018
Die ab Mai 2018 anzuwendende Datenschutz-Grundverordnung (DSGVO) legt größten Wert auf die Transparenz im Zusammenhang mit der Verarbeitung personenbezogener Daten. So sollen zum Zeitpunkt der Erhebung verpflichtend eine Reihe an Angaben gemacht werden, welche die betroffenen Personen über die Datenverarbeitung und deren Zwecke in Kenntnis setzen.
Art. 13 DSGVO verlangt dabei mindestens die folgenden (sage und schreibe) 12 Aussagen:
- Name und Kontaktdaten des Datenverarbeiters
- Kontaktdaten des Datenschutzbeauftragten des Datenverarbeiters
- Zweck(e) der Verarbeitung
- Die “berechtigten Interessen” im Sinne der DSGVO, sofern sich hierauf seitens des Datenverarbeiters berufen wird
- Die Empfänger der erhobenen Daten (z.B. Auftragsverarbeiter der erhebenden Stelle)
- Die Absicht, die Daten in einen Staat außerhalb der EU zu übermitteln, sofern diese besteht
- Die Dauer der Speicherung, im Umkehrschluss auch den regelmäßigen Löschzeitpunkt
- Eine Belehrung der betroffenen Person über ihre Rechte (Auskunft, Löschung etc.)
- Die Widerruflichkeit einer Einwilligung, sofern die Verarbeitung auf einer solchen basiert
- Das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
- Ggf. bestehende gesetzliche Vorschriften zur Bereitstellung der erhobenen Daten
- Ggf. Informationen zum Bestehen einer “automatisierten Einzelentscheidung” im Kontext der jew. Verarbeitung
Angesichts der Fülle an bereitzustellenden Informationen stellt sich die Frage, wie dies im Anwendungsfall der Videoüberwachung umgesetzt werden kann. Aktuell muss davon ausgegangen werden, dass Videokameras mit entsprechenden Aushängen zu versehen sind.
Kürzlich hat sich die sogenannte “Datenschutzkonferenz”, ein Gremium der 16 Landesdatenschutz-Aufsichtsbehörden und des Pendants auf Bundesebene, in Form eines Informationspapiers (“Videoüberwachung nach der Datenschutz-Grundverordnung”) zu dieser Thematik geäußert. Auf dieser Grundlage kann im Kontext des Sonderfalls Videoüberwachung künftig von folgenden Pflichtangaben ausgegangen werden, die sich gegenüber dem Gesetzeswortlaut leicht reduziert darstellen:
- Kenntlichungmachung des Umstands der Beobachtung (bspw. durch ein Kamera-Piktogramm)
- Identität des Überwachenden
- Kontaktdaten des Datenschutzbeauftragten der überwachenden Stelle
- Zwecke und Rechtsgrundlage der Verarbeitung/Überwachung
- Die “berechtigten Interessen” im Sinne der DSGVO, sofern einschlägig
- Dauer der Speicherung (Löschzeitpunkt)
- Hinweis auf den Zugang zu den weiteren Pflichtinformationen
Folglich ist es möglich, auf Teile der verlangten Pflichtinformationen an Ort und Stelle zu verzichten und auf diese z.B. mithilfe eines Links auf eine Website (oder zusätzlich auch durch einen QR-Code) zu verweisen.
Spätestens seit der Stellungnahme der Aufsichtsbehörden aber ist klar, dass es für die Datenerhebung mithilfe von Videokameras keine Ausnahme hinsichtlich der umfangreichen Informationspflichten geben wird.
