Author Archives: Carlo Piltz

Datenschutzreform: Kein Mitgliedstaat verfolgt die Absicht, zentrale Datenschutzprinzipien aufzuweichen

Posted on by

Im Rahmen ihrer Antwort (PDF) auf eine kleine Anfrage der Fraktion DIE LINKE im Bundestag zu dem Thema „Neuregelung des Beschäftigtendatenschutzes“, hat sich die Bundesregierung nicht nur mit spezifischen Fragen der Datenverarbeitung im Verhältnis zwischen Arbeitgeber und Arbeitnehmer befasst, sondern auch einige interessante Ausführungen zu anderen wichtigen Bereichen der geplanten Datenschutz-Grundverordnung (DS-GVO) gemacht und ihre Auffassung zu diesen Themen dargelegt.

Betrieblicher Datenschutzbeauftragter
Die Frage, ob es in Zukunft eine EU-weite Pflicht zur Bestellung von betrieblichen Datenschutzbeauftragten gibt, ist nach wie vor offen. Im Rat der Europäischen Union konnte hinsichtlich dieses Vorschlags (u.a. von Deutschland) bisher keine Mehrheit gewonnen werden.

In ihrer Antwort bekräftigt die Bundesregierung ihre Absicht, eine solche Pflicht eventuell noch innerhalb der aktuell laufenden Trilogverhandlungen auf EU-Ebene noch in die DS-GVO einfließen zu lassen.

Die Bundesregierung setzt sich in den Verhandlungen weiterhin dafür ein, dass die Mitgliedstaaten durch die Datenschutz-Grundverordnung verpflichtet werden, dieses in Deutschland bewährte Konzept zu übernehmen.

Was geschieht mit aktuell gültigen Betriebsvereinbarungen?
Nach derzeit geltendem Recht stellen Betriebsvereinbarungen eine „andere Rechtsvorschrift“ im Sinne des § 4 Abs. 1 BDSG dar und können daher als Grundlage von Datenverarbeitungen in Unternehmen dienen. Doch was geschieht mit geltenden Betriebsvereinbarungen, wenn die DS-GVO, als unmittelbar geltende europäische Verordnung, in Kraft tritt und zwei Jahre später Anwendung findet?

Die Bundesregierung verweist auf den grundsätzlichen Anwendungsvorrang des EU-Rechts vor kollidierenden nationalen Regelungen. Ob geltende Betriebsvereinbarungen dann keine Anwendung mehr finden, hängt jedoch von der finalen Fassung der DS-GVO und möglichen Öffnungsklauseln und den Voraussetzungen an nationale Regelungen ab. Die Bundesregierung verweist zudem darauf, dass die Ratsfassung der DS-GVO in Erwägungsgrund 124 klarstellt, dass in Art. 82 DS-GVO (der speziellen Vorschrift zum Umgang mit personenbezogenen Daten von Arbeitnehmern) erwähnte Kollektivvereinbarungen auch Betriebsvereinbarungen umfassen.

Keine „strengeren“ nationalen Gesetze im Vergleich zur DS-GVO?
In Zukunft stellt sich zudem die Frage, ob nationale Regelungen im Anwendungsbereich von Öffnungsklauseln der DS-GVO erlassen werden dürfen, die „strengere“ Vorgaben an die Verarbeitung personenbezogener Daten machen, als jene in der DS-GVO. Sollte dies möglich sein, wird sich freilich in Folge eine Situation einstellen, in der manche Mitgliedstaaten „strengere“ Datenschutzgesetze besitzen als andere. Eine Vereinheitlichung wäre damit zumindest nicht gänzlich erreicht.

Die Bundesregierung will sich dafür einsetzen, dass die Mitgliedstaaten sektorspezifische Rechtsvorschrift, die bereits auf Grundlage der geltenden Datenschutz-Richtlinie erlassen wurden, beibehalten werden können. Zudem möchte sich die Bundesregierung dafür einsetzen, dass Art. 82 DS-GVO im Bereich des Arbeitnehmerdatenschutzes nur als „Mindestnorm“ anzusehen ist. Mitgliedstaaten könnten also etwa in diesem Bereich abweichend „strenge“ Vorgaben machen.

Bleiben geltende Datenschutzprinzipien erhalten?
Die Fraktion DIE LINKE möchte wissen, welche EU-Mitgliedsstaaten

nach Kenntnis der Bundesregierung aus welchen Gründen oder mit welcher Begründung ggf. die Absicht, zentrale Datenschutzprinzipien, wie die Zweckbindung und die Datensparsamkeit, in der EU-Datenschutz-Grundverordnung aufzuweichen.

Die Bundesregierung kann eine solches „Aufweichen“ geltender Datenschutzprinzipien jedoch nicht ausmachen:

Nach Beobachtung der Bundesregierung verfolgt kein Mitgliedstaat die Absicht, zentrale Datenschutzprinzipien aufzuweichen.

Der Grundsatz der Datensparsamkeit finde sich in Art. 5 Abs. 1 (c) der DS-GVO. Zudem merkt die Bundesregierung an, dass sie sich in den Ratsverhandlungen für die Beibehaltung der Formulierung des ursprünglichen Kommissionsvorschlags ausgesprochen habe.

Auch der Grundsatz der Zweckbindung werde beibehalten und finde sich in Art. 5 Abs. 1 (b) der DS-GVO. Die Formulierung entspreche zudem im Wesentlichen derjenigen der Datenschutz-Richtlinie.

Zweckändernde Datenverarbeitung auch ohne Einwilligung oder Vertrag
Die „Zweckänderung“ war ein Thema, welches vor allem auch in der Öffentlichkeit heftig diskutiert wurde. Die Bundesregierung wurde für ihre Änderungsvorschläge zum Teil heftig kritisiert. In ihrer Antwort verweist sie darauf, dass das geltende Bundesdatenschutzgesetz bereits derzeit zahlreiche Regelungen zur zweckändernden Weiterverarbeitung enthalte. Zudem führt sie an, dass eine solche Weiterverarbeitung nicht heimlich geschehen kann, sondern der Betroffene hierüber zu informieren ist (Art. 14 Abs. 1b) und Art. 14a Abs. 3a DS-GVO Ratsfassung). Auch möchte sich die Bundesregierung weiterhin dafür einsetzen,

dass die Befugnis zur zweckändernden Datenverarbeitung ohne Rechtsgrundlage und allein auf Grundlage einer Interessenabwägung für den öffentlichen Bereich nicht in der Datenschutz-Grundverordnung enthalten sein wird.

Verhandlungen zur Datenschutzreform: Rechte der Betroffenen stehen im Mittelpunkt

Posted on by

Im September gehen die Trilogverhandlungen zur Datenschutz-Grundverordnung (DS-GVO) zwischen Kommission, Parlament und Rat weiter.

Da an den Trilogverhandlungen für den Rat nicht Vertreter eines jeden EU-Mitgliedstaates teilnehmen, versucht die amtierende Ratspräsidentschaft zuvor die Stimmung der Mitgliedstaaten zu bestimmten Verhandlungsthemen abzufragen und zu sortieren.

Ein Verhandlungsdokument zur Darstellung der verschiedenen Positionen und mit Vorschlägen für die nächsten Verhandlungen zu Kapitel III DS-GVO, welches bei statewatch.org veröffentlicht wurde, hat die Ratspräsidentschaft den Vertretern der Mitgliedstaaten Ende Juli zukommen lassen (Dokument, PDF).

In Kapitel III DS-GVO geht es vor allem um die Rechte der Betroffenen (und damit natürlich auch spiegelbildlich um die Pflichten der für die Verarbeitung Verantwortlichen). Themen sind unter anderem das Auskunftsrecht, das „Recht auf Vergessenwerden“, das Recht auf Datenportabiliät und auch Informationspflichten.

Die Ratspräsidentschaft bittet die Mitgliedstaaten um Kommentare und Anregungen, wie in Bezug auf Abweichungen zwischen den Positionen von Parlament und Rat in den Trilogverhandlungen vorgegangen werden soll, wo also etwa die Position des Parlaments unterstützt oder wo eine abweichende Position des Rates weiterverfolgt werden kann.

Behandelt werden unter anderem folgende Änderungsvorschläge:

  • Einführung von Bildern/Zeichen zur Visualisierung der Datenverarbeitungszwecke.
  • Informationen dazu, wie lange Daten gespeichert werden.
  • Im Fall von Datenübermittlungen in Drittstaaten, Informationen dazu, auf welcher Grundlage (Angemessenheitsbeschluss, Standardvertragsklauseln etc.) dies erfolgt.
  • Wie oft ein Auskunftsanspruch (etwa pro Jahr) kostenlos geltend werden darf.
  • Welche Pflichten beim „Recht auf Vergessenwerden“ bestehen. Insbesondere, ob es einen Unterschied macht, dass Daten rechtmäßig veröffentlicht wurden oder nicht. Zudem, wie weit die Pflicht für verantwortliche Stelle reicht, ob diese also weitere Stellen nur informieren oder selbst für eine Löschung der Daten Dritten sorgen müssen.
  • Welche Rechte bei einer automatisierten Einzelfallentscheidung bzw. einem Profiling existieren.

Datenflüsse beim Softwareeinsatz: Bundestag lehnt erweiterte Transparenzpflicht für Hersteller ab

Posted on by

Der Petitionsausschuss des Bundestages hat eine Online-Petition mit dem Titel „Kundenschutz im Telekommunikationsbereich – Bestätigungsfunktion bei Rücksendung von Daten an Softwarehersteller“ am 2.7.2015 abgeschlossen und den in der Petition aufgestellten Forderungen eine Absage erteilt.

Nach der Petition sollte der Bundestag beschließen,

dass die Hersteller von Software grundsätzlich die Daten, die im Hintergrund an den Hersteller – oder andere Zielsysteme – gesendet werden sollen, auf dem Bildschirm anzeigt und vom Nutzer der Software eine Bestätigung erfolgen muss, bevor diese Daten an den Hersteller – oder andere Zielsysteme – gesendet werden.

In seinem ablehnenden Beschluss (PDF), führt der Petitionsausschuss zunächst an, dass das Datenschutzrecht (und damit verbundene Informationspflichten) überhaupt nur dann Anwendung findet, wenn personenbezogene Daten betroffen sind. Danach befasst sich der Ausschuss mit den rechtlichen Grundlagen, wann personenbezogene Daten im Verhältnis zwischen Softwarenutzer und –hersteller verarbeitet werden dürfen.

Dabei kommen insbesondere § 28 Abs. 1 S. 1 Nr. 1 und Nr. 2 BDSG in Betracht. Insofern weist der Ausschuss darauf hin, dass bei Vorliegen der Voraussetzung eine Datenverarbeitung durch die Softwarehersteller auch ohne (die von der Petition geforderte) Einwilligung erlaubt ist. Jedoch sei auch dafür Sorge getragen, dass personenbezogene Daten nicht ohne Kenntnis der Betroffenen verarbeitet werden. Denn nach § 4 Abs. 2 S. 1 BDSG gelte der Grundsatz der Direkterhebung. Daten sollen also grundsätzlich direkt beim Betroffenen erhoben werden. Zudem soll dieser nach § 4 Abs. 3 S. 1 BDSG von dem Softwarehersteller über dessen Identität, die Zweckbestimmung der Verarbeitung und die Kategorien von Empfängern informiert werden.

Zudem sind nach Auffassung des Ausschusses die benannten Erlaubnistatbestände eng auszulegen. Der Softwarehersteller als verantwortliche Stelle könne nicht frei darüber befinden, welche Daten er zu welchen Zwecken erheben und verwenden möchte. Lediglich die für Vertragserfüllung objektiv erforderlichen Daten dürfen genutzt werden. Zudem müssen nach § 28 Abs. 1 S. 2 BDSG schon bei der Erhebung der Daten die Zwecke konkret festgelegt werden, für die die Daten verarbeitet werden sollen.
Für den Fall, dass einer der Erlaubnistatbestände nicht greift und die Einwilligung des Nutzers eingeholt werden muss, weist der Ausschuss darauf hin, dass diese informiert abgegeben werden muss. Nutzer sind also auf die vorgesehenen Zwecke der Datenverarbeitung hinzuweisen.

In beiden Konstellationen ist nach Auffassung des Ausschusses folglich eine hinreichende Transparenz gewährleistet.

Zuletzt begründet der Ausschuss seine Entscheidung mit dem Verweis auf das Auskunftsrecht (§ 34 BDSG) der Nutzer und die Benachrichtigungspflicht (§ 33 BDSG) der verantwortlichen Stelle, wenn personenbezogene Daten nicht direkt beim Betroffenen erhoben werden. Auch durch diese Instrumente ist gewährleistet, dass interessierte Betroffene in Erfahrung bringen können, welche Daten zu welchen Zwecken verarbeitet werden.

Einsatz von Dienstleistern: Geldbuße in fünfstelliger Höhe wegen fehlerhaftem Vertrag

Posted on by

In der Praxis ist die Figur der sog. Auftragsdatenverarbeitung nicht mehr wegzudenken. Unternehmen setzen für unzählige Prozesse externe Dienstleister ein. Werden durch einen solchen Dienstleister personenbezogene Daten im Auftrag erhoben, verarbeitet oder genutzt, so ist nach § 11 Abs. 1 BDSG der Auftraggeber für die Einhaltung der Vorschriften des BDSG und anderer Vorschriften über den Datenschutz verantwortlich. Als externe Dienstleister gelten im Datenschutzrecht übrigens auch solche Stellen, die innerhalb eines Konzerns miteinander verbunden sind. So kann etwa auch zwischen zwei Tochtergesellschaften derselben Mutter eine ADV vorliegen und der Abschluss eines entsprechenden Vertrages erforderlich sein.

Die bayerische Aufsichtsbehörde für den Datenschutz im privaten Bereich (BayLDA), hat nun bekanntgegeben (PDF), dass ein Unternehmen, welches einen fehlerhaften Vertrag zur Auftragsdatenverarbeitung nutzte, mit einer Geldbuße in fünfstelliger Höhe belegt wurde. Grund genug für Unternehmen, auf einen rechtkonformen Einsatz externer Dienstleister und Stellen zu achten. Dazu gehört auch der Abschluss eines Vertrages zur Auftragsdatenverarbeitung.

Wann liegt eine „ADV“ vor?
Oft schneller als man denkt. Es existiert jedoch kein fester Katalog an Beispielen. In der Kommentarliteratur werden jedoch etwa folgende Sachverhalte als fall der ADV klassifiziert: Beauftragung eines externen Rechenzentrums mit der Durchführung bestimmter Datenverarbeitungsaufgaben; Beauftragung eines externen Entsorgungsunternehmens mit dem Vernichten von Altpapier; Call-Center-Leistungen, wenn die Kommunikation mit den Anrufern klar vorgegebenen ist; oft auch der Einsatz von Softwarelösungen im Wege des Cloud-Computing.

Grundsätzlich bedarf es jedoch stets einer Prüfung im Einzelfall, ob tatsächlich eine Auftragsdatenverarbeitung vorliegt.

Welchen Inhalt muss der Vertrag haben?
§ 11 Abs. 2 BDSG legt die Mindestanforderungen an einen solchen Vertrag fest. Danach ist der Auftrag schriftlich zu erteilen und insbesondere im Einzelnen festzulegen:

  • der Gegenstand und die Dauer des Auftrags,
  • der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen,
  • die nach § 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen
  • die Berichtigung, Löschung und Sperrung von Daten,
  • die nach § 11 Abs. 4 BDSG bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,
  • die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,
  • die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,
  • mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen,
  • der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält,
  • die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

Im Fall des BayLDA hat das Unternehmen, als Auftraggeber und verantwortliche Stelle, keine konkreten technischen und organisatorischen Maßnahmen (vgl. § 9 BDSG) in den Verträgen festgelegt und bei den Auftragnehmern deren Implementierung nicht geprüft. Diese dürfen nicht pauschal an einen Vertrag abgehängt werden, sondern müssen von Fall zu Fall festgelegt und in dem Vertrag vorgeschrieben werden. Das BayLDA selbst bietet eine Übersicht zur Auftragsdatenverarbeitung mit Erläuterungen an (PDF).

Melderegisterauskunft im Internet – Erhöhte Anforderungen an Portalbetreiber

Posted on by

Im November 2015 tritt das neue Bundesmeldegesetz (BMG) in Kraft. Nach dessen § 49 Abs. 3 wird in Zukunft die Möglichkeit bestehen, sog. einfache Melderegisterauskünfte in einem automatisierten Verfahren über Onlineportale zu erteilen. Diese Portale können auch in privatrechtlicher Form (also etwa als GmbH) betrieben werden. Dann ist jedoch eine Zulassung durch die jeweilige oberste Landesbehörde erforderlich. Die Voraussetzungen einer solchen Zulassung sollen nun in einer Verordnung festgelegt werden, der sog. Portalverordnung – PortalVO (PDF). Selbstverständlich spielen hierbei auch Datenschutz und Datensicherheit eine Rolle. Immerhin handelt es sich ja um personenbezogene Daten aus den Melderegistern.

In § 2 Nr. 1 PortalVO wird festgelegt, dass ein Portal den Anfragenden (also jene Person, die Auskunft aus dem Melderegister begehrt) so registrieren können muss, dass dessen Identität festgestellt werden kann. Eine Registrierung einer eventuell anfragenden Stelle (also etwa eines Vereins oder eines Unternehmens) reicht nach der Verordnungsbegründung nicht aus. Es muss eine „die Anfragen verantwortende Person…zu registrieren“. Die Identität dieser Person muss feststellbar sein. Eine Registrierung allein mit dem Namen und einer E-Mail-Adresse wird daher wohl nicht ausreichen.

§ 3 PortalVO statuiert eine umfangreiche Protokollierungspflicht für das Portal. Aufzuzeichnen sind u.a. die Kennung des Anfragenden, die Daten, mit denen angefragt wurde und der Zeitpunkt der Anfrage. Nach § 3 Abs. 2 PortalVO muss zudem gewährleistet sein, dass die Protokolldaten mindestens (also nicht etwa maximal) 12 Monate aufbewahrt und gesichert werden. Spätestens zu Löschen sind die Daten am Ende des Kalenderjahres, das auf die Speicherung folgt. Bedeutet: Daten zu einer Anfrage am 1.1.2015 können bis zum 31.12.2016 aufbewahrt werden.

Zudem sieht § 3 Abs. 2 Nr. 3 PortalVO eine gesetzliche Zweckbindung für die Nutzung der Protokolldaten vor. Sie dürfen für Zwecke der Datenschutzkontrolle, hieraus folgender Strafverfahren und zur Sicherstellung des Portalbetriebs genutzt werden. Eine Weitergabe der Protokolldaten an Strafverfolgungsbehörden wird also erlaubt, jedoch nur, wenn sich ein Verdacht auf eine Straftat aus einer Datenschutzkontrolle ergibt. Aufgrund der im Bundesdatenschutzgesetz recht spärlich gesäten Straftatbestände (vgl. § 44 BDSG), dürfte dies also praktisch nie erlaubt sein.

§ 4 PortalVO normiert datenschutzrechtliche und datensicherheitsrechtliche Pflichten für den Portalbetreiber. So muss die Auskunft an den anfragenden Nutzer verschlüsselt erfolgen, wobei der Verschlüsselungsstandard offen gelassen wird. Auch muss der Betreiber technische und organisatorische Maßnahmen vorsehen, um den Datenschutz und die Datensicherheit zu gewährleisten. Die Verordnungsbegründung verweist u.a. auf die Vorschrift des § 9 BDSG. Der Betreiber darf außerdem die an den Anfragenden übermittelten Daten zudem nach der Weitergabe nicht in seinem System speichern. In der Praxis sollten Betreiber diesbezüglich vor allem auf automatische Backups und Datensicherungen achten, die eventuell ungewollt dennoch derartige Daten enthalten könnten.

Wichtige Änderung bei Google: Einwilligung beim Einsatz von AdSense und DoubleClick erforderlich

Posted on by

Am 27. Juli 2015 hat Google wichtige Änderungen seiner Produkte AdSense und DoubleClick bekanntgegeben (hier der offizielle Beitrag im AdSense-Blog. Diese Änderungen betreffen alle Webseitenbetreiber, die an den benannten Programmen teilnehmen.

Die Änderungen beziehen sich auf das Erfordernis der Einholung einer datenschutzrechtlichen Einwilligung von Webseitenbesuchern. Google hat im Zuge dessen eine neue „Richtlinie über die Zustimmung der Nutzer in der EU“ veröffentlicht. Wenn ein Webseitenbetreiber ein Google-Produkt verwendet, für das diese Richtlinie gilt, muss der Webseitenbetreiber in Zukunft Endnutzern in der Europäischen Union zum einen bestimmte Informationen offenlegen und es müssen zum anderen Einwilligungen der Endnutzer in die Datenverarbeitung eingeholt werden.

Welche Werbeprodukte für Publisher sind betroffen?
Nach Angaben von Google müssen alle Publisher die Richtlinie über die Zustimmung der Nutzer in der EU befolgen, einschließlich aller Nutzer von AdSense, DoubleClick Ad Exchange und DoubleClick for Publishers.

Was verlangt Google?
Die „Richtlinie zur Einwilligung der Nutzer in der EU“ besteht aus zwei Maßnahmen.

  • Zum einen müssen Publisher wirtschaftlich vertretbare Maßnahmen ergreifen, damit jegliche Datenerfassung, -weitergabe und -nutzung klar offengelegt wird, die auf Websites, in Apps, E-Mails oder anderen Inhalten infolge Ihrer Verwendung von Google-Produkten erfolgt, und sie müssen eine entsprechende Einwilligung einholen.
  • Zum anderen müssen wirtschaftlich angemessene Maßnahmen ergriffen werden, um sicherzustellen, dass ein Endnutzer verständliche und umfassende Informationen zur Speicherung von und zum Zugriff auf Cookies und Daten auf dem Gerät des Endnutzers erhält und diesen Aktivitäten zustimmt, wenn derartige Aktivitäten im Zusammenhang mit der Verwendung eines Produkts erfolgen, für das die Richtlinie gilt.

Bin ich zur Umsetzung der Maßnahmen verpflichtet?
Bei der Antwort auf diese Frage sollte man eine gesetzliche Verpflichtung auf der einen Seite und eine vertragliche Verpflichtung (gegenüber Google) auf der anderen Seite unterscheiden.

Ob man als Webseitenbetreiber, der an ein entsprechendes Google-Produkt nutzt, tatsächlich gesetzlich dazu verpflichtet ist, die Einwilligung der Nutzer in die Datenverarbeitung einzuholen, ist meines Erachtens zumindest diskutabel. Google verweist in den Informationen im AdSense-Blog auf Forderungen der europäischen Datenschützer, die eine Anpassung der bestehenden Umstände zur Einholung einer Einwilligung der Nutzer verlangen. Diesen Forderungen möchte Google nun anscheinend nachkommen. Zu beachten ist, dass es sich hierbei um Anforderungen an die Datenverarbeitung durch Google, bzw. durch seine Produkte, handelt. Mein Eindruck ist, dass die von Google nun verlangte Einholung der Einwilligung also nicht den Webseitenbetreiber als Adressaten der Erlaubnis betrifft, sondern Google selbst. Die Einwilligung wird dann von Google über die Webseitenbetreiber an die teilnehmenden Publisher sozusagen weitergereicht.

Dass Webseitenbetreiber selbst keine datenschutzrechtliche Pflicht zur Einholung einer Einwilligung besitzen, wenn auf ihrer Webseite Anzeigen geschaltet sind, die von einem Anbieter eines Werbenetzwerks mit Inhalten befüllt werden, haben die europäischen Datenschütze in einer Stellungnahme aus dem Jahre 2010 festgesellt (WP 171, PDF). Informationspflichten dazu, ob Cookies gesetzt werden und wenn ja, welche Arten von Informationen in dem Cookie gespeichert werden, sollen für Webseitenbetreiber aber in jedem Fall bestehen.

Wichtig ist jedoch auch die vertragliche Ebene zu betrachten. Google selbst informiert die teilnehmenden Publisher, dass wenn sie Google-Produkte wie Google AdSense oder DoubleClick for Publishers verwenden, sie vertraglich gegenüber Google dazu verpflichtet, die EU-Richtlinie zum Einholen der Zustimmung von Google zu befolgen. Unabhängig von gesetzlichen Pflichten, besteht also eine vertragliche Pflicht gegenüber Google, wenn man ein entsprechendes Produkt verwendet.

Wie muss man die Anforderungen umsetzen?
Google selbst bietet hierzu Informationen auf einer Hilfe-Seite an. Dort finden sich Lösungen dazu, wie Zustimmungsmechanismen in Webseiten und Apps integriert werden können. Außerdem sind hier Beispieltexte für Nachrichten verfügbar, mit denen die Einwilligung der Nutzer eingeholt werden kann. Dort wird auch deutlich, dass Google mit den nun vorgestellten Änderungen die Anforderungen der Datenschutzbehörden beim Einsatz von Cookies auf Webseiten umsetzen möchte. Diese Forderung, beim Einsatz von bestimmten Cookies eine Einwilligung einzuholen, entspringt einer europäischen Richtlinie (2002/58/EG, sog. ePrivacy Richtlinie). Die Umsetzung der ePrivacy Richtlinie in den europäischen Mitgliedstaaten ist jedoch recht unterschiedlich erfolgt. Teilweise wird von dem Erfordernis eines Opt-ins, teilweise von einem Opt-out ausgegangen.

Fazit
Die nun von Google vorgestellten Änderungen betreffen alle Webseiten/App-Betreiber, die bestimmte Google-Produkte nutzen. Unabhängig von der Frage einer gesetzlichen Verpflichtung zur Einholung einer Einwilligung, sind die Betreiber vertraglich zur Umsetzung der Vorgaben verpflichtet. Google selbst macht mit diesem Anpassungsprozess meines Erachtens einen großen Schritt auf die europäischen Datenschützer und deren Forderungen zu.

Update
Der Kollege Thomas Schwenke informiert in seinem Blog ebenfalls über die Änderungen bei Google.

Achtung Webseitenbetreiber: Ab Samstag gelten erhöhte Anforderungen an die technische Sicherheit

Posted on by

Am 25. Juli 2015, also morgen, tritt das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz PDF) in Kraft getreten. Das Gesetz richtet sich zwar insbesondere an die Betreiber Kritischer Infrastrukturen (z.B. von Atomkraftwerken), aber auch Betreiber von Webseiten und Telekommunikationsdiensteanbieter sind betroffen. Das Gesetz legt diesen neue gesetzliche Pflichten zum technischen und organisatorischen Schutz ihrer Angebote auf. Nachfolgend ein grober Überblick zu den Änderungen, die für Webseitenbetreiber gelten:

Nach dem neuen § 13 Abs. 7 Telemediengesetz (TMG), werden die Pflichten für Telemediendiensteanbieter, die ihre Telemedien geschäftsmäßig anbieten, um technische und organisatorische Maßnahmen zum Schutz vor unerlaubten Zugriffen, der personenbezogenen Daten und vor Störungen ergänzt. „Geschäftsmäßig“ ist ein Webangebot dann, wenn es auf einer nachhaltigen Tätigkeit beruht. Die Gesetzesbegründung (S. 34, PDF) zum IT-Sicherheitsgesetz geht davon aus, dass bei einem entgeltlichen Dienst diese Voraussetzung regelmäßig erfüllt ist. Dies soll auch für werbefinanzierte Webseiten gelten.

Maßnahmen, die zu treffen sind
Anbieter einer geschäftsmäßig betriebenen Webseite (also etwa eines Webshops), haben, soweit ihnen dies technisch möglich und wirtschaftlich zumutbar ist, im Rahmen ihrer jeweiligen Verantwortlichkeit durch technische und organisatorische Vorkehrungen sicherzustellen, dass

  • kein unerlaubter Zugriff auf die für ihre Telemedienangebote genutzten technischen Einrichtungen (also Ihre Server und das gesamte Backend) möglich ist (§ 13 Abs. 7 S. 1 Nr. 1 TMG) und

gesichert sind. Diese technischen und organisatorischen Vorkehrungen müssen den Stand der Technik berücksichtigen. Dies bedeutet, dass die Vorkehrungen auf einem aktuellen Stand gehalten und nötigenfalls aktualisiert werden müssen.

Das Gesetz stellt die Umsetzung dieser Maßnahmen unter einen Zumutbarkeitsvorbehalt. Hierdurch soll sichergestellt werden, dass nur solche Vorkehrungen zu treffen sind, deren Kosten in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen. Jeder Webseitenbetreiber wird also prüfen müssen, ob er etwa besonders sensible Daten (z. B. Gesundheitsdaten und Zahlungsinformationen) verarbeitet oder allein mit „normalen“ personenbezogenen Daten in Kontakt kommt und anhand dieser Prüfung dann eventuell neue oder weitere technische Sicherheitsvorkerhungen treffen müssen. Vom Schutzzweck einerseits und den anfallenden Kosten andererseits hängt dann der auf Aufwand ab, den Anbieter betreiben müssen, um entsprechende technische Vorkehrungen umzusetzen. Zu den technischen Vorkehrungen zählt die Gesetzesbegründung beispielhaft die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens oder angemessener Authentifizierungsverfahren.

Es geht dem Gesetzgeber jedoch nicht nur um technische, sondern auch um organisatorische Maßnahmen. Ausdrücklich erwähnt die Gesetzesbegründung als Beispiel für solche Maßnahmen, dass  Vertragspartner (z. B. ein Werbedienstleister, dem Sie Werbeflächen auf Ihrer Webseite eingeräumt haben) zu notwendigen Schutzmaßnahmen zu verpflichten sind.

Und was sind mögliche Folgen bei mangelnder Beaxhtung der neuen Vorgaben?
Nach dem neuen § 16 Abs. 2 Nr. 3 TMG können Verstöße gegen die Vorgaben des § 13 Abs. 7 S. 1 Nr. 1 und Nr. 2 Buchst. a TMG mit einem Bußgeld bis zu 50.000 EUR geahndet werden. Laut der Gesetzesbegrünung ist gerade auch der Einsatz technischer und organisatorischer Maßnahmen durch Diensteanbieter, die nicht den Stand der Technik berücksichtigen, bußgeldbewehrt. Ob es in der Praxis jedoch direkt zu Bußgeldverfahren kommt, ist eine andere Frage.

Datenschutz im vernetzten Auto: Neuer Gesetzesvorschlag aus den USA

Posted on by

Das Thema „Datenschutz und Datensicherheit im vernetzten Auto“ stellt sowohl die Wirtschaft als auch die Politik vor gewisse Herausforderungen. Viele der geltenden gesetzlichen Regelungen passen nicht mehr eins zu eins auf Informationsflüsse, die in einem „Smart Car“ stattfinden. Zudem wird auch darüber nachgedacht, ob es neuer Grundsätze und Prinzipien bedarf, um einen angemessenen Ausgleich zwischen den berechtigten Interessen der Beteiligten, der Wirtschaft (Nutzung und Verwertung der Daten) und den Betroffenen (Schutz der personenbezogenen Daten), herzustellen.

In Deutschland hat sich zuletzt Bundesjustizminister Maas öffentlich zu dem Thema geäußert und aus seiner Sicht wichtige Prinzipien aufgestellt, die in Zukunft beim Betrieb eines Smart Car beachtet werden sollten. So schlägt der Minister vor, schon bei der Entwicklung von neuen Fahrzeugen den Datenschutz zu berücksichtigen (Privacy by Design). Auch Prinzipien der Datenvermeidung und Datensparsamkeit müssen seiner Ansicht nach leitende Grundsätze sein. Zudem müsse es immer einen Aus-Knopf geben. Halter und Fahrer sollten das Recht und die Möglichkeit haben, Datenübermittlung zu erkennen, zu kontrollieren und gegebenenfalls auch zu stoppen.

Bereits im November 2014 veröffentlichte der Verband der Automobilindustrie (VDA) seine „Datenschutz-Prinzipien für vernetzte Fahrzeuge“ (PDF). Zweck dieser Prinzipien ist es, ergänzend zu den bestehenden gesetzlichen Regelungen in Deutschland, gemeinsame Datenschutz-Prinzipien für vernetzte Fahrzeuge aufzustellen. Die Prinzipien umfassen drei Kernpunkte: Transparenz, Selbstbestimmung und Datensicherheit.

In den USA haben nun zwei Senatoren einen Gesetzentwurf vorgelegt, um Verbraucher vor Gefahren für die Privatsphäre und die Sicherheit des vernetzten Autos zu schützen, den „Security and Privacy in Your Car Act of 2015“ oder kurz: SPY Car Act (PDF; über die Angemessenheit der Namenswahl lässt sich sicher streiten). Nachfolgend möchte ich einen kurzen Überblick zu den vorgeschlagenen Regelungen des SPY Car Act geben.

Die Vorgaben des Gesetzesentwurfs gliedern sich in zwei Obergruppen. Vorschriften zur Datensicherheit und Vorgaben zum Umgang mit personenbezogenen Daten, die beim Betrieb eines vernetzten Fahrzeugs entstehen.

Datensicherheit
Jegliches Fahrzeug, welches zum Vertrieb in den USA bestimmt ist, soll gewisse Sicherheitsstandards erfüllen. So müssen alle Zugangspunkte, durch die auf Daten aus dem Fahrzeug direkt oder indirekt zugegriffen werden kann, in einer angemessenen Art und Weise gegen unbefugten Zugriff geschützt werden. Hierzu gehört auch die Vorgabe, Systeme mit besonders kritischer Infrastruktur getrennt von anderen Komponenten zu verwenden. Auch eine Pflicht zur ständigen Prüfung der technischen Schutzvorkehrungen durch die Hersteller wird vorgesehen.

Im und am Fahrzeug, etwa durch Sensoren, gesammelte Daten, müssen des weiteren gegen unbefugten Zugriff geschützt sein. Dies gilt sowohl für ihre Speicherung im Fahrzeug selbst, als auch für ihre Übermittlung an Dritte und den Transportweg.

Zudem soll jedes Fahrzeug verpflichtend ein sog. „Cyber Dashboard“ enthalten, eine Übersicht zu den durch den Hersteller implementierten Sicherheitsvorkehrungen, die zum Schutz der Daten im Fahrzeug getroffen wurden. Die Informationen sollen in der Form einer standardisierten und leicht verständlichen Grafik dargeboten werden.

Datenschutz
Mit Blick auf den Schutz personenbezogener Daten und die Verarbeitung eben dieser, sieht der Entwurf vor, dass bestimmte Prinzipien zu beachten sind. Hier ähnelt der Vorschlag den Datenschutz-Prinzipien des VDA.

Transparenz: In jedem Fahrzeug sollen dem Eigentümer oder Mieter/Leasingnehmer verständliche und in einfacher Sprache abgefasste Informationen präsentiert werden, in denen über die Datenerhebung, -übermittlung, -speicherung und –nutzung aufgeklärt wird.

Kontrolle: Zudem soll es in jedem Fahrzeug die Möglichkeit für die Betroffenen geben, die Datenerhebung und –speicherung zu unterbinden. Gleichzeitig wird jedoch vorgegeben, dass durch eine solche Unterbindung, Bundesjustizminister Maas würde von dem „Aus-Knopf“ sprechen, keinen Einfluss auf die Nutzung des Navigationssystems oder anderer Funktionen haben soll. Zumindest soweit dies technisch möglich ist.

Datennutzungsbeschränkungen: Zuletzt sieht der Gesetzesentwurf vor, dass der Autohersteller und auch der Zulieferer die aus einem Fahrzeug erhobenen Daten nur dann für Werbe- und Marketingzwecke nutzen dürfen, wenn der Betroffene zuvor ausdrücklich eingewilligt hat. Der SPY Car Act definiert auch die Voraussetzungen zur Einholung der Einwilligung. Diese muss deutlich sichtbar und eindeutig erfolgen. Zudem muss sie von einfacher und leicht verständlicher Sprache begleitet sein. Und zuletzt darf die Erteilung der Einwilligung nicht Voraussetzung für die Nutzung von Funktionen des Fahrzeugs sein, die keinen Werbezwecken dienen.

Fazit
Gerade die Vorgaben zur Datensicherheit erinnern an in Deutschland und Europa bereits bekannte Prinzipien der sog. technischen und organisatorischen Maßnahmen (§ 9 BDSG und Anlage sowie Artikel 17 der Datenschutz-Richtlinie (RL 95/46/EG)). Auch dort werden für den Umgang mit personenbezogenen Daten auf technischer Ebene gewisse Vorgaben festgeschrieben. Dies jedoch abhängig von der jeweiligen Situation und orientiert am Prinzip der Verhältnismäßigkeit. Spezielle, auf das Smart Car abgestimmte Vorgaben existieren in Deutschland jedoch nicht.

Auch die Vorschriften zum Umgang mit personenbezogenen Daten dürften in Europa und Deutschland nicht für totales Erstaunen sorgen. Denn bereits derzeit gelten Prinzipien wie die Transparenz der Datenverarbeitung oder auch die Vorgaben an eine wirksame Einwilligung auch bei uns.

Handwerk 4.0: BMWI und Handwerk setzen auf Datensicherheit und Datensouveränität

Posted on by

Das Handwerk stellt für die deutsche Wirtschaft einen wesentlichen Baustein dar. Auch in diesem Wirtschaftszweig spielt das Thema „Digitalisierung“ eine immer wichtigere Rolle. Das Bundeswirtschaftsministerium (BMWi) und Vertreter der Wirtschaft sowie von Gewerkschaften haben in diesem Zusammenhang eine gemeinsame Erklärung zur Zukunft der Handwerkspolitik (PDF) unterzeichnet. Natürlich fällt auch das Schlagwort „Handwerk 4.0“.

Teil dieser Absichtserklärung ist unter anderem, das Ziel, in die öffentliche Infrastruktur zu investieren. Unabdingbare Voraussetzung, so die Erklärung, um die Möglichkeiten der Digitalisierung zu nutzen, ist gerade für kleine und mittlere Betriebe in ländlichen Regionen ein schneller Internetzugang.

Auch im Hinblick auf den Datenschutz und die Datensicherheit möchten die Unterzeichner die fortschreitende Digitalisierung des Handwerks unterstützen und gestalten.

Ein sicherer Datentransfer ist für die Wirtschaft unverzichtbar.

Geschäftsinformationen oder auch Datenbanken mit Kundendaten sind für viele Betriebe ein essentieller Teil ihrer Wertschöpfungskette. Diese Informationen gilt es daher zu schützen. Doch ist die Sensibilität für Fragen des sicheren Datentransfers und der Datenspeicherung insbesondere bei kleineren Handwerksbetrieben noch nicht ausreichend adressiert. Daher möchten sich die Unterzeichner der Erklärung dafür einsetzen, dass insbesondere kleine Unternehmen die möglichen Risiken beim Datentransfer erkennen können.

Ein weiteres Schlagwort der Erklärung ist die „digitale Souveränität“. Was genau damit gemeint ist, bleibt jedoch unklar: die alleinige Zugriffsbefugnis auf Daten? Ein gesetzliches Verbot, Daten aus deutschen Betrieben auf Servern im Ausland zu speichern?

Das BMWi möchte sich in jedem Fall in Zukunft für europaweit möglichst einheitliche Regelungen zu „Datensouveränität“ (evtl. ist damit auch das Thema „Eigentum an Daten“ angesprochen) und Datenschutz engagieren. Mit Blick auf den Datenschutz lässt sich freilich konstatieren, dass der Raum für den beabsichtigten Einsatz nur noch gering ist. Die Verhandlungen zur Datenschutz-Grundverordnung (DS-GVO) sind im vollen Gange. Geplant ist eine Verständigung auf die europaweit einheitlichen Regelungen zum Umgang mit personenbezogenen Daten bis Ende 2015. Von gesetzlichen Änderungen unter der DS-GVO wäre natürlich auch das deutsche Handwerk betroffen. Zumindest aber die in der Erklärung beabsichtige Vereinheitlichung im Bereich des Datenschutzrecht wird mit der DS-GVO (als EU-Verordnung) zumindest Großteils eintreten.

Datenschutzreform: Bundesratsausschüsse fordern weitere Anpassungen

Posted on by

Nachdem sich der Rat der Europäischen Union am 15. Juni 2015 auf eine allgemeine Ausrichtung zur geplanten Datenschutz-Grundverordnung (DS-GVO) verständigt hat und die Trilog-Verhandlungen zwischen Kommission, Parlament und Rat bereits begonnen haben (hierzu mein Beitrag mit einem Überblick zu dem Zeitplan sowie zu den ersten Verhandlungen), hat sich auch erneut der deutsche Bundesrat mit der DS-GVO befasst.

Der Bundesrat wird in seiner Sitzung am 10. Juli 2015 über neue Empfehlungen (PDF) des EU- und Innenausschuss beraten. Die beiden Ausschüsse empfehlen dem Bundesrat, zur DS-GVO erneut Stellung zu nehmen.

Nachfolgend möchte ich auf einige der Änderungsforderungen des Bundesrates eingehen.

DS-GVO für den „digitalen Binnenmarkt“?
Zunächst begrüßen die Ausschüsse, dass das Rechtsetzungsverfahren zur DS-GVO möglichst noch bis Ende 2015 abgeschlossen werden soll

um damit rechtssichere Grundlagen für den digitalen Binnenmarkt zu schaffen.

Die Ausschüsse richten ihr Hauptaugenmerk offensichtlich, wie dies in der öffentlichen Diskussion im Übrigen fast auch immer der Fall ist, auf die digitale Wirtschaft. Man kann jedoch nicht oft genug betonen, dass die DS-GVO eben gerade kein spezielles Gesetz für das Internet oder digitale Dienste darstellt, sondern jede Behörde, jedes Unternehmen, jeden Verein oder auch jede Privatperson betrifft, die personenbezogene Daten verarbeiten. Unabhängig von einem digitalen Handlungsfeld. Wichtig erscheint mir bei der nun stattfindenden Diskussion auf der Zielgeraden, diesen Effekt der DS-GVO nicht aus den Augen zu verlieren.

Pseudonyme
Kritisch beleuchten die Ausschüsse den stiefmütterlichen Umgang mit dem Instrument der Pseudonymisierung in der DS-GVO. Die Empfehlung bedauert,

dass im Standpunkt des Rates nur punktuell Anreize zur Verarbeitung pseudonymisierter Daten aufgenommen wurden.

Gerade vor dem Hintergrund, dass Datenanalysen einen wichtigen Bestandteil der zukünftigen Wirtschaft darstellen und nach Ansicht der Ausschüsse sogar von „elementarer Bedeutung“ sind, fordern die Ausschüsse die Bundesregierung dazu auf, sich auch in den Trilog-Verhandlungen dafür einzusetzen, dass neue Verfahren zur Verarbeitung pseudonymisierter Daten gefördert werden.

Zweckänderung
Einer der besonders umstrittenen Punkte in der DS-GVO ist die Möglichkeit einer Zweckänderung von Datenverarbeitungen. Hierzu fordern die Ausschüsse die Bundesregierung dazu auf, bei den

weiteren Beratungen einer Verschlechterung des durch die geltende Datenschutzrichtlinie 95/46/EG gewährleisteten Schutzniveaus konsequent entgegenzutreten.

Diese Forderung ist durchaus verständlich und wird auch von vielen Beteiligten in den Verhandlungen geteilt. Eine Datenschutzreform, die das geltende Schutzniveau unterschreitet, soll nicht das Ergebnis sein.

Meines Erachtens ziemlich spektakulär ist jedoch die zusätzliche Forderung der Bundesratsausschüsse.

Sie appellieren an die Bundesregierung

dafür Sorge zu tragen, dass die schutzwürdigen Interessen der Betroffenen Vorrang vor einer kommerziellen Weiterverwendung ihrer Daten für Big-Data-Konzepte und vor anderen Beeinträchtigungen ihrer Persönlichkeit erhalten.

Damit würde eine Interessenabwägung im Fall von kommerziellen „Big-Data-Konzepten“ (dieser Begriff ist freilich nirgends definiert) stets zu einer Unzulässigkeit der Datenverarbeitung führen. Ein solches Postulat ist jedoch meines Erachtens brandgefährlich. Dies aus mehreren Gründen: nirgends wird erläutert, was unter „Big Data“ oder „Big Data Konzepten“ zu verstehen ist? Wer wäre hiervon also betroffen? Jedes Unternehmen, welches ein CRM-System einsetzt?

Desweiteren stellt sich die Frage, welche Unternehmen denn nicht „kommerziell“ tätig werden und Daten verarbeiten? Die Wirtschaft handelt grundsätzlich aus kommerziellen Interessen. Ein Unternehmen kann nun einmal nicht von Luft und Liebe leben und muss Geld verdienen, um Mitarbeiter, Lieferanten, etc. zu bezahlen.

Der per-se etablierte Vorrang von schutzwürdigen Interessen der Betroffenen würde den Erlaubnistatbestand der Interessenabwägung im Datenschutzrecht für den „Big-Data“-Bereich (wie auch immer dieser verstanden wird) praktisch entleeren. Eine Verarbeitung von Daten wäre dann etwa nur auf der Grundlage einer Einwilligung oder eines Vertrages möglich.

Minderjährige
Zudem sprechen sich die Ausschüsse für eine Stärkung des Minderjährigenschutzes aus. Die Bundesregierung soll

sich dafür einzusetzen, dass personenbezogene Daten Minderjähriger nicht für Zwecke der Werbung und zur Profilbildung verwendet werden dürfen.

Also ein Postulat des absoluten Verarbeitungsverbots für diese Fälle. Eine Einwilligung würde nicht helfen. Selbst wenn also ein Minderjähriger (also alle Personen unter 18 Jahren!) mit personalisierter Werbung im Internet einverstanden wäre, so dürfte ein Unternehmen wie Youtube oder Facebook diese Werbung nicht auf der Grundlage von Daten über diesen Jugendlichen ausspielen. Eine solche Forderung verkennt meines Erachtens die Realitäten (gerade im Internet) und lässt zudem von einem informationellen Selbst(!)Bestimmungsrecht nichts mehr übrig.

Datenschutzbeauftragter
Auch dem Thema Pflicht zur Bestellung eines Datenschutzbeauftragten widmen sich die Ausschüsse. Nach der Empfehlung soll sich

die Bundesregierung dafür einsetzen, weiterhin für das in Deutschland bewährte Modell betriebsinterner Datenschutzkontrolle zu werben, dessen Vorzüge auch im Standpunkt des Europäischen Parlaments aufgegriffen wurden.

Man möchte also die Bestellpflicht direkt in der DS-GVO geregelt wissen. Falls eine verbindliche Bestellungspflicht nicht in die DS-GVO hineinzuverhandeln sei und es den Mitgliedstaaten und ihrem nationalen Recht überlassen bleibt, eine Bestellpflicht vorzusehen, so halten es die Ausschüsse jedoch

für erforderlich, auch auf die verbliebenen unionrechtlichen Detailanforderungen an die Ausgestaltung dieser Aufgaben (vergleiche Artikel 35 Absatz 2 bis Artikel 37) zu verzichten.

Denn selbst wenn es den nationalen Datenschutzgesetzen vorbehalten bliebe, die Voraussetzungen der verbindlichen Bestellungen eines Datenschutzbeauftragten vorzugeben, so sieht der Ratsentwurf der DS-GVO derzeit doch daneben umfängliche (und verbindliche) Anforderungen an die Bestellung eines Datenschutzbeauftragten vor.