Schlagwort: Leitlinie
3. Mai 2023
Der European Data Protection Board (EDPB) veröffentlichte einen neuen Leitfaden, dessen Inhalt die Umsetzung datenschutzrechtlicher Vorgaben in kleinen und mittleren Unternehmen ist. Neben allgemeinen Grundlagen zum Datenschutz, geht es u.a. auch um Themen wie der Umgang mit Betroffenenrechten und einem Datenschutzvorfall.
Videos, praktische Beispiele und Infographiken
Nach der Empfehlung 2003/361/EG ist ein kleines oder mittleres Unternehmen nach der Mitarbeiteranzahl und dem Jahresumsatz zu bestimmen. Demnach handelt es sich um kleines Unternehmen, dass eine Beschäftigtenanzahl von bis zu 49 Mitarbeitern hat und einem Jahresumsatz von bis zu 10 Millionen Euro erwirtschaftet. Für ein mittleres Unternehmen bedarf es einer Mitarbeiteranzahl von bis zu 249 Personen und einem Jahresumsatz bis zu 50 Millionen Euro.
Aus Sicht des EBPB sei es erforderlich kleine und mittlere Unternehmen über die Funktion der Datenschutz-Grundverordnung (DSGVO) zu informieren. Die EDPB vermittelt ihren Leitfaden nicht einem bloßen Informationstext, sondern verwendet ebenso Videos, praktische Beispiele und Infographiken. Der Leitfaden ist eingeteilt in unterschiedliche Themenkomplexen, die mit einfach zu verstehenden Informationen beginnen und darüber hinaus komplexere Anwendungsbereiche der DSGVO aufgreifen.
Um die praktische Umsetzung zu garantieren, sind in dem Leitfaden auch Checklisten und Fragebögen enthalten. Demnach kann jedes Unternehmen mit Hilfe mehrerer Fragen herausfinden, ob es Datenschutz-Folgeabschätzung (DSFA) durchführen muss. Außerdem kann das betreffende Unternehmen über eine Checkliste prüfen, ob es ausreichende Sicherheitsstandards zum Schutz personenbezogener Daten getroffen hat.
Fazit
Der neue Leitfaden des EDPB behandelt grundsätzlich keine neuen Themen rund um die DSGVO. Allerdings ist er optisch sehr ansprechend gestaltet und kann seinem Publikum, unabhängig von dessen Kenntnisstand komplexe Inhalte vereinfacht erklären.
13. Mai 2020
Mit Wirkung zum 04. Mai 2020 hat der Europäische Datenschutzausschuss (EDSA) neue Richtlinien zur Einwilligung nach der Datenschutz-Grundverordnung erlassen und veröffentlicht (bisher liegen die neuen Leitlinien nur in englischer Sprache vor). Dabei handelt es sich um eine aktualisierte Fassung des “Working Papers” WP 259 rev. 01 der Artikel-29-Datenschutzgruppe. Diese Aktualisierungen betreffen vor allem den Betrieb von Webseiten und dort einzuholende Einwilligungen der Nutzer.
Der EDSA sah sich zu einer Aktualisierung dieser Leitlinien veranlasst, da das Thema “Einwilligung” noch immer zahlreiche praktische und rechtliche Schwierigkeiten mit sich bringt. Dabei geht es laut EDSA insbesondere um zwei Punkte, die weiterer Klarstellung bedürften: zum einen die Wirksamkeit von Einwilligung bei der Nutzung sog. “Cookie Walls”, zum anderen das im WP 259 rev. 01 dargestellte Beispiel 16 zum Scrollen und Wischen auf einer Website als mögliche Einwilligung.
“Cookie Walls” unzulässig
Zunächst stellt der EDSA klar, dass eine Einwilligung dann nicht als “freiwillig” abgegeben (im Sinne des Art. 4 Nr. 11 DS-GVO) angesehen werden könne, wenn der Verantwortliche die Nutzung eines Services von der Erteilung einer Einwilligung abhängig macht und darauf verweist, die betroffene Person könne den Service andernfalls auch bei einem anderen Anbieter nutzen (Rn. 38). Eine solche Einwilligung sei wegen einer fehlenden echten Wahlmöglichkeit nicht freiwillig, denn sie sei vom Verhalten anderer Marktteilnehmer sowie von der Beurteilung des Betroffenen abhängig, ob das andere Angebot als tatsächlich gleichwertig angesehen wird. Zudem würde dies den Verantwortlichen dazu verpflichten, Marktveränderungen zu beobachten, um Änderungen in Bezug auf gleichartige Angebote feststellen zu können. Im Ergebnis dürften Verantwortliche die Nutzung eines Services nicht davon abhängig machen, dass der Nutzer eine Einwilligung in die Verarbeitung seiner Daten für zusätzliche Zwecke erteilt. Sog. “Cookie Walls” seien demnach unzulässig (Rn. 39).
Scrollen und Wischen nicht als Einwilligung geeignet
Die zweite Klarstellung des EDSA bezieht sich auf das Beispiel 16, welches die Artikel-29-Datenschutzgruppe im WP 259 rev. 01 gegeben hatte. Demnach stelle das Scrollen oder Wischen auf einer Webseite keine eindeutig bestätigende Handlung dar (Rn. 68). Der Hinweis durch den Verantwortlichen, das fortgesetzte Srollen oder Wischen würde durch den Verantwortlichen als Einwilligung aufgefasst, könne schwierig zu erkennen sein, sodass er durch den Betroffenen übersehen werden könne. Diese Auffassung hat der EDSA nun bestätigt und klargestellt, dass ein solches Scrollen oder Wischen “unter keinen Umständen” eine unmissverständlich abgegebene Willensbekundung (siehe Art. 4 Nr. 11 DS-GVO) darstelle. Ein solches Verhalten könne deshalb nicht als Einwilligung angesehen werde, weil es sich nicht leicht von sonstigem Nutzerverhalten unterscheiden lasse. Zudem könne der Betroffene in einem solchen Fall seine Einwilligung nicht “so einfach wie die Erteilung der Einwilligung” widerrufen, wie dies Art. 7 Abs. 3 S. 4 DS-GVO fordert.
Ulrich Kelber, Bundesdatenschutzbeauftragter und selbst Mitglied des EDSA, unterstützte diese Klarstellungen. Es sei problematisch, dass einige Internetseiten durch ihre Gestaltung den Nutzenden Tracking aufdrängten, und er hoffe, dass die Klarstellungen zu einem Umdenken bei solchen Anbietern sorgt. Es sei erforderlich, dass diese den Nutzenden endlich datenschutzfreundliche Alternativen anbieten.
2. September 2019
Der europäische Datenschutzausschuss (EDSA) hat kürzlich Leitlinien „zur Verarbeitung personenbezogener Daten durch Videogeräte“ veröffentlicht. Hintergrund ist der zunehmende Einsatz von Videogeräten in den verschiedensten Lebensbereichen. Die Menge der mit Videogeräten erhobenen Daten sowie der Einsatz intelligenter Technologien schränkt die Möglichkeit die eigene Privatsphäre zu bewahren erheblich ein. Die Leitlinien des EDSA enthalten dabei folgende Kernpunkte.
Die Verwendung von Videogeräten kann die Anwendung der DSGVO nur dann auslösen, wenn personenbezogene Daten über das Videogerät erfasst werden. Das ist der Fall, wenn eine Person direkt oder indirekt identifiziert wird. Die Verarbeitung wird nicht von den zuständigen EU-Behörden zum Zwecke der Verhütung, Aufdeckung oder Verfolgung von Straftaten oder der Vollstreckung von strafrechtlichen Sanktionen durchgeführt. Andernfalls fällt die Verarbeitung in den Anwendungsbereich der EU-Richtlinie zur Strafverfolgung. Als Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Videogeräte kommt überwiegend der Erlaubnistatbestand des Art. 6 Abs. 1 lit. f DSGVO in Betracht.
Werden spezielle Datenkategorien (z.B. biometrische Daten) verarbeitet, birgt dies erhöhte Risiken für den Einzelnen. Daher wird eine erhöhte und kontinuierliche Wachsamkeit bei bestimmten Verpflichtungen wie z.B. eine Datenschutzfolgenabschätzung gefordert.
Zur Sicherstellung von Transparenz für die Betroffenen sieht der EDSA ein mehrstufiges Informationssystem (“Mehrebenen-Ansatz”) vor. Auf der ersten Informationsebene steht die Verwendung eines Hinweisschildes mit den wichtigsten Angaben. Auf zweiter Informationsebene (idealerweise digital) sollten alle weiteren nach Art. 13 DSGVO erforderlichen Informationen enthalten sein. Einen weiteren wichtigen Punkt stellen die Aufbewahrungsfristen dar. Dabei gilt, dass bei längerer Speicherung der Daten (mehr als 72 Stunden), der Verantwortliche die Erforderlichkeit der Speicherung besonders darlegen muss.
Bei den Leitlinien handelt es sich nicht um unmittelbar bindende Bestimmungen. Allerdings können sie bei der Auslegung innerhalb der DSGVO herangezogen werden.
29. April 2019
Der Europarat hat am 28. März 2019 in Straßburg neue Leitlinien zum Umgang mit Gesundheitsdaten veröffentlicht. In einer Mitteilung heißt es, das Ziel der Richtlinie sei, die 47 Mitgliedsstaaten dazu anzuhalten, bei der Datenverarbeitung die Menschenrechte, insbesondere das Recht auf Datenschutz und das Recht auf den Schutz der Privatsphäre sicherzustellen.
Grund für die Verabschiedung der neuen Leitlinie sei die fortschreitende Digitalisierung im Gesundheitssektor, die einen hohen Umfang an Verarbeitung von Gesundheitsdaten mit sich bringt. Daraus gehe die Notwendigkeit hervor, Gesundheitspersonal und Gesundheitsbehörden Leitlinien zum Umgang mit Gesundheitsdaten an die Hand zu geben.
Die Empfehlung des Europarates enthält eine Reihe von Grundsätzen, die zum Schutz von Gesundheitsdaten zu beachten sind.
Wesentliche Aspekte, die in der Empfehlung des Rates enthalten sind, sind die Implementierung angemessener Sicherheitssysteme auf höchstem technischen Niveau zum Schutze von Gesundheitsdaten sowie Vorgaben zur Rechtsgrundlage der Verarbeitung von Gesundheitsdaten, insbesondere zu der Einwilligung betroffener Personen.
Die Regelungen befassen sich im Einzelnen mit dem Schutz der Daten ungeborener Kinder, dem Umgang mit genetischen Informationen, dem Datenaustausch zwischen Gesundheitseinrichtungen und -organisationen sowie der Speicherung von Gesundheitsdaten . Sie enthalten ebenfalls Regelungen über Daten, die zu wissenschaftlichen Forschungszwecken verarbeitet werden, via mobilen Geräten gesammelt oder grenzüberschreitend übertragen werden.
Weiterhin listet der Rat die Rechte der betroffenen Person auf, zu denen als entscheidendes Recht die Transparenz über den Sinn und Zweck sowie die weitere Verwendung oder Speicherung der Gesundheitsdaten gehört.
