Schlagwort: DSK

Weitere Stellungnahmen der Aufsichtsbehörden zum Privacy-Shield-Aus

31. Juli 2020

Zeitnah nach Verkündung des EuGH-Urteils zur Wirksamkeit des EU-US-Privacy-Shields (Urteil v. 16.07.2020, C-311/18) hatten bereits die ersten deutschen Aufsichtsbehörden zu dieser Entscheidung Stellung bezogen (wir berichteten). Nunmehr haben sich mit der Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) und dem Europäischen Datenschutzausschuss (EDSA) weitere „Big Player“ unter den Aufsichtsbehörden zu Wort gemeldet.

Stellungnahme und FAQ des EDSA

Der EDSA hat diesbezüglich gleich zwei Dokumente (in englischer Sprache) veröffentlicht, eine Stellungnahme sowie ein FAQ zum Urteil des Gerichts mit Sitz in Luxemburg. Zunächst einmal wird das Urteil durch den EDSA begrüßt, verdeutliche es doch den Stellenwert des „right to privacy“ auch im Hinblick auf den Datentransfer in Drittstaaten. Im Hinblick auf die Unwirksamkeit des Privacy Shields stellt der EDSA heraus, dass einige der nunmehr aufgegriffenen Kritikpunkte auch bereits durch den EDSA aufgeworfen worden waren, und dass ein neues Abkommen zwischen der EU und den USA erforderlich sei, welches sämtliche Rechte der Betroffenen schützt.

Hinsichtlich der Standardvertragsklauseln – welche durch den EuGH grundsätzlich als wirksam anerkannt wurden – obliege es im Wesentlichen den Verantwortlichen selbst, auf ein geeignetes Schutzniveau im betreffenden Drittstaat zu achten. Werde ein solches Schutzniveau nach Ansicht des verantwortlichen Datenexporteurs nicht erreicht, müsse in Betracht gezogen werden, über die in den Standardvertragsklauseln genannten Schutzmaßnahmen hinaus zusätzliche Maßnahmen zum Schutz der personenbezogenen Daten zu ergreifen. Wenn die vertraglichen Pflichten (aus den Standardvertragsklauseln) nicht eingehalten werden können – ausdrücklich werden hier die Informationspflichten hinsichtlich Rechtsänderungen in dem Drittstaat genannt – dann müsse in Betracht gezogen werden, den Datentransfer zu stoppen, die Standardvertragsklauseln zu kündigen oder die zuständige Aufsichtsbehörde zu informieren.

In seinen FAQs stellt der EDSA dann noch einmal klar, dass es hinsichtlich der Reaktion auf das Urteil und somit für die Anpassung der Datentransfers in Drittstaaten keine „Gnadenfrist“ gebe und sich auf alle Übermittlungen in die USA beziehe. Des Weiteren ist interessant, dass der EDSA die im Urteil nicht erwähnten Binding Corporate Rules (BCRs) ebenfalls anspricht. Auch diese sollten nach Ansicht des EDSA – genauso wie die Standardvertragsklauseln – im Einzelfall daraufhin überprüft werden, ob sie einen hinreichenden Schutz bieten. Ist dies nicht der Fall, sollte hier genauso vorgegangen werden wie bei den Standardvertragsklauseln.

Presseerklärung der DSK

Die Presseerklärung der DSK stimmt mit den Äußerungen des EDSA im Wesentlichen überein. Die DSK stellt jedoch ausdrücklich fest, dass die bisher genutzten Standardvertragsklauseln bei einer Übermittlung in die USA ohne zusätzliche Maßnahmen grundsätzlich nicht ausreichend seien. Dies gelte auch für die weiteren Garantien nach Art. 46 DS-GVO – also auch für die Binding Corporate Rules. Eine Übermittlung nach Art. 49 DS-GVO sei hingegen weiterhin uneingeschränkt zulässig.

Schließlich weist die DSK noch einmal darauf hin, dass eine Schonfrist für laufende Übermittlungen in die USA nicht besteht. Sämtliche datenverarbeitende Akteure, die Übermittlungen in die USA vornehmen, sollten die datenschutzrechtliche Zulässigkeit ihrer Verarbeitungen also umgehend überprüfen.

Asset Deal- Katalog von Fallgruppen

3. Juli 2019

Am 24.05.2019 hat sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder auf einen Katalog von Fallgruppen verständigt, die im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f i.V.m. Abs. 4 DSGVO bei einem Unternehmensverkauf zu berücksichtigen sind.

Ein Asset Deal ist eine Unterart des Unternehmenskaufs, bei dem Wirtschaftsgüter (engl. Assets) eines Unternehmens, wie Grundstücke, Gebäude, Maschinen, Patente etc., im Rahmen der Singularsukzession übertragen werden.

Bisher war es umstritten, ob und in welchem Umfang in einem solchen Fall auch Daten von Kunden verkauft werden dürfen.

Folgende Fallgruppen wurden von der DSK nun beschlossen:

  • Kundendaten bei laufenden Verträgen
  • Bestandskunden ohne laufende Verträge und letzter Vertragsbeziehung älter als 3 Jahre
  • Daten von Kundinnen und Kunden bei fortgeschrittener Vertragsanbahnung; Bestandskundinnen und -kunden ohne laufende Verträge und letzte Vertragsbeziehung jünger als 3 Jahre
  • Kundendaten im Falle offener Forderungen
  • Kundendaten besonderer Kategorie nach Art. 9 Abs. 1 DS-GVO
Kategorien: Allgemein
Schlagwörter: , , ,

Keine Abschaffung des Datenschutzbeauftragten

29. April 2019

Die Datenschutzkonferenz lehnt die Forderung ab, die Pflicht zur Benennung von Datenschutzbeauftragten aufzuweichen.

In dem Entschließungsantrag des Landes Niedersachsen vom 02. April 2019 war nachfolgende Forderung angeführt:

„Der Bundesrat fordert eine deutliche Entlastung von kleinen und mittleren Unternehmen von zusätzlichen Bürokratiekosten, die durch das neue Datenschutzrecht entstehen. Gemäß § 38 Abs. 1 S. 1 BDSG haben nichtöffentliche Stellen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt werden. Zwar ist diese Regelung nicht neu, sondern an den § 4 f Abs. 1 S. 4 BDSG a. F. angelehnt, sie stellt jedoch eine nationale Besonderheit dar, durch die in Deutschland ansässige Unternehmen gegenüber Unternehmen in anderen Mitgliedsstaaten mit mehr Bürokratie belastet werden. Der Bundesrat fordert die Bundesregierung daher auf, hier nachzubessern und die in § 38 Abs. 1 S. 1 BDSG genannte Mindestanzahl von zehn Personen deutlich anzuheben. Dies würde insbesondere kleine und mittlere Unternehmen deutlich entlasten, da die Kosten für die Bestellung eines Datenschutzbeauftragten sowie ggfs. dessen Aus- und Fortbildung gerade für diese Unternehmen eine hohe finanzielle aber auch bürokratische Belastung darstellen.“

Dieser Forderung kommt die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in einem Beschluss nicht nach.

Nach der DSK habe sich diese Pflicht seit vielen Jahren bewährt und sei auch deshalb bei der Datenschutzreform im deutschen Recht beibehalten worden. Aufgrund einer betrieblichen Selbstkontrolle sorgen die Datenschutzbeauftragten für eine kompetente datenschutzrechtliche Beratung, um Datenschutzverstöße schon im Vorfeld zu vermeiden und das Sanktionsrisiko gering zu halten.

Ein Wegfall der nationalen Benennungspflicht von Datenschutzbeauftragten würde dem nicht entgegenkommen.
Mittelfristig ginge interne Kompetenz verloren.

Die Konferenz spricht sich daher gegen eine Abschaffung oder Auflockerung der die Datenschutzgrundverordnung ergänzenden nationalen Regelungen (§ 38 BDSG) aus.

Kategorien: Allgemein · EU-Datenschutzgrundverordnung
Schlagwörter: , , ,

EU-Datenschutzgrundverordnung aktuell (3): Positionspapier der DSK

27. August 2015

Der Trilog zwischen Europäischem Parlament, Rat der Europäischen Union und Europäischer Kommission zu den Beratungen zu der EU-Datenschutzgrundverordnung geht in die „heiße Phase“. Daher hat die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) am gestrigen Tag ein Positionspapier veröffentlicht und darin diverse Nachbesserungen gefordert. Die EU-Datenschutzgrundverordnung müsse im Vergleich zum geltenden Rechtsstand einen verbesserten, mindestens aber dem bisherigen Standard gleichwertigen Grundrechtsschutz gewährleisten. Daher appelliert die DSK an die Trilogpartner, bei ihren Verhandlungen insbesondere zu berücksichtigen:

  • Die Datensparsamkeit muss Gestaltungsziel bleiben!
  • Es darf keine Aufweichung der Zweckbindung geben!
  • Die Einwilligung des Einzelnen muss die Datenhoheit sichern!
  • Die Rechte der Betroffenen dürfen nicht eingeschränkt werden!
  • Die Profilbildung muss wirksam begrenzt werden!
  • Effektiver Datenschutz braucht betriebliche und behördliche Datenschutzbeauftragte!
  • Datenübermittlungen an Behörden und Gerichte in Drittstaaten bedürfen einer stärkeren Kontrolle!

Das Positionspapier steht in detaillierter Version zum Download bereit.

88. DSK: Datenschutz erfordert unabhängige Kontrollbehörden

9. Oktober 2014

Die 88. Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat im Rahmen einer Entschließung den Gesetzesentwurf der Bundesregierung, der auf eine Stärkung der Unabhängigkeit der Bundesbeauftragten abzielt, explizit begrüßt. Gleichzeitig weist sie darauf hin, dass eine unabhängige Datenschutzaufsicht jedoch nur erfolgen könne, wenn der Behörde ausreichende Personal- und Sachmittel zur Verfügung gestellt werden. Insbesondere müsse sich der stetige Aufgabenzuwachs auch in der personellen Ausstattung widerspiegeln. Das gelte auch gerade für viele Datenschutzbehörden in den Ländern, die oft defizitär ausgestattet sind und damit die Grundrechte Betroffener nur unzureichend schützen können. 

Die weiteren Entschließungstexte der 88. DSK sind auf der Website des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit abrufbar.

DSK: Mehr Datenschutz auf nationaler, europäischer und internationaler Ebene!

2. Oktober 2013

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat auf ihrer 86. Tagung in Bremen an alle Akteurinnen und Akteure der 18. Legislaturperiode appelliert, sich für die Stärkung des Datenschutzes auf nationaler, europäischer und internationaler Ebene einzusetzen. Angesichts der anlasslosen und umfassenden internationalen Überwachungsaktivitäten von Nachrichtendiensten fordere man von dem Bundesgesetzgeber und der neuen Bundesregierung wirksame Maßnahmen zum Schutz der Vertraulichkeit der Kommunikation und der Privatsphäre. Wenn hier nicht entschieden gegengesteuert wird, sei zu befürchten, dass eine Gewöhnung an eine allgegenwärtige Überwachung einsetze und damit rechtsstaatliche Garantien dauerhaft außer Kraft gesetzt würden. „In der neuen Legislaturperiode haben die Bundesregierung und der Bundestag die Chance für einen Neuanfang im Datenschutz. Die Bürgerinnen und Bürger erwarten zu Recht, dass sie gegen den Datenhunger von Unternehmen und gegen überbordende Überwachungsaktivitäten geschützt werden.“, so der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Schaar.

Im Rahmen der Entschließung „Forderungen für die neue Legislaturperiode: Die Datenschutzgrundrechte stärken!“ nimmt die Datenschutzkonferenz zu den drei besonders bedeutsamen Bereichen öffentliche Sicherheit, Gesundheitsdatenschutz und Vertraulichkeit der elektronischen Kommunikation in gesonderten Entschließungen Stellung.
In der Entschließung zur öffentlichen Sicherheit betont die Datenschutzkonferenz Handlungsbedarf im Hinblick auf diesen besonders eingriffsintensiven Bereich. Erforderlich sei eine rechtsstaatlich transparente Kontrolle der Nachrichtendienste im nationalen wie im internationalen Rahmen. Darüber hinaus müsse diesen Behörden, deren Tätigkeit tief in die Grundrechte der Bürgerinnen und Bürger eingreift, enge Grenzen gesetzt werden. Auch für Grundrechtseingriffe anderer Sicherheitsbehörden seien wirksame Beschränkungen erforderlich.
Mit der Entschließung „Stärkung des Datenschutzes im Sozial- und Gesundheitswesen“ fordern die Teilnehmer der Konferenz angesichts der mit dem zunehmenden Wettbewerb im Sozial- und Gesundheitswesen verbundenen Risiken für die informationelle Selbstbestimmungen die Stärkung der Schutzrechte für die Privat- und Intimsphäre von Patientinnen, Patienten und Versicherten.
In der Entschließung „Sichere elektronische Kommunikation gewährleisten – Ende-zu-Ende-Verschlüsselung einsetzen und weiterentwickeln“ setze man sich für die Förderung der Vertraulichkeit und Integrität elektronischer Kommunikation ein. Gefordert werde, dass der öffentliche Bereich mit gutem Beispiel vorangeht und die Ende-zu-Ende-Verschlüsselung unter Verwendung des in Bremen entwickelten Standards OSCI-Transport flächendeckend einsetzt.
Kategorien: Allgemein
Schlagwörter: , , ,

DSK: Beschäftigtendatenschutz nicht abbauen, sondern stärken!

28. Januar 2013

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat am vergangenen Freitag im Rahmen einer Entschließung Stellung zu den Plänen der Bundesregierung zum Beschäftigtendatenschutz bezogen. Man wolle zum einen an die Entschließung vom 16./17.03.2011 erinnern und zum anderen die Enttäuschung über den jetzt veröffentlichten Änderungsentwurf der Koalitionsfraktionen aussprechen. Bereits der ursprünglich von der Bundesregierung vorgelegte Entwurf sei aus datenschutzrechtlicher Sicht mangelhaft, der nun vorgelegte Änderungsentwurf nehme zwar einzelne Forderungen auf (z.B. zum Konzerndatenschutz), senke jedoch das Datenschutzniveau für die Beschäftigten in wesentlichen Bereichen noch weiter ab. Besonders bedenklich sei, dass die Möglichkeiten der offenen Videoüberwachung am Arbeitsplatz und die Datenerhebungsbefugnisse im Bewerbungsverfahren über das ursprünglich Geplante ausgeweitet werden sollen, dass Beschäftigte in Call-Centern noch stärker überwacht werden können sowie dass es dem Arbeitgeber auch gestattet sein soll, auch nicht allgemein zugängliche Beschäftigtendaten bei Dritten zu erheben, wenn die Beschäftigten eingewilligt haben. Bedenklich sei außerdem, dass die im Regierungsentwurf aufgenommene Vorgabe, Eignungstest grundsätzlich nach wissenschaftlich anerkannten Methoden durchzuführen, wieder entfallen soll.

Man appelliere an den Bundestag, bei den Beratungen zum Gesetz den Forderungen der Datenschutzbeauftragten Rechnung zu tragen.

DSK: Entschließung und Orientierungshilfe „Datenschutzgerechtes Smart Metering“

29. Juni 2012
Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat eine Entschließung und eine ergänzende Orientierungshilfe mit Hinweisen für ein datenschutzgerechtes Smart Metering verabschiedet.

Im Rahmen der Entschließung wird seitens der DSK u.a. gefordert, dass eine Verarbeitung von Smart Meter Daten nur erfolgen darf, soweit es für die im Energiewirtschaftsgesetz aufgezählten Zwecke erforderlich ist. Des Weiteren müssen Ableseintervalle so groß sein, dass aus dem Verbrauch keine Rückschlüsse auf das Verhalten der Nutzer gezogen werden können. Smart Meter Daten sollen möglichst nur anonymisiert, pseudonymisiert oder aggregiert an möglichst wenige Stellen übermittelt werden. Zudem müssen angemessene Löschfristen für die Daten festgelegt werden, um eine Vorratsdatenspeicherung zu vermeiden. Weiterhin müssen die  Kommunikations- und Verarbeitungsschritte von Smart Metering zu jeder Zeit für den Letztverbraucher sichtbar und nachweisbar sein. Er muss Zugriffe auf den Smart Meter erkennen und dies im Zweifel unterbinden können.

Die Orientierungshilfe soll zum einen Hilfestellung zur datenschutzgerechten Konzeption der technischen Systeme für das Smart Metering geben, indem u.a. erläutert wird, wie die zentralen Forderungen des Datenschutzes nach Zweckbindung, Datensparsamkeit und Erforderlichkeit berücksichtigt werden können. Zum anderen beinhaltet die Orientierungshilfe Empfehlungen an den Gesetzgeber für eine Rechtsverordnung, die die Vorschriften des novellierten Energiewirtschaftsgesetzes konkretisieren soll.

Kategorien: Allgemein
Schlagwörter: , ,