Category Archives: Datenschutzbehörde

Europäische Kommission: Geltende Angemessenheitsbeschlüsse und Standardvertragsklauseln sind rechtswidrig

Posted on by

Ende September hatte ich hier im Blog berichtet, dass die Europäische Kommission derzeit an Entwürfen für zwei Beschlüsse zur Anpassung der den derzeit geltenden EU-Standardvertragsklauseln zugrunde liegenden Entscheidungen und Angemessenheitsbeschlüsse hinsichtlich des Schutzniveaus in bestimmten Drittstaaten. In dem sogenannten Art. 31 Ausschuss (der sich aus Vertretern der Mitgliedstaaten zusammensetzt und zuletzt etwa über den Beschluss zum EU-US Datenschutzschild abgestimmt hat) hat man am 3. Oktober 2016 über diese Entwürfe beraten.

Eine Zusammenfassung der Sitzung wurde nun veröffentlicht (txt).

Aus dieser Zusammenfassung geht hervor, dass, wie von mir bereits im damaligen Blogbeitrag vermutet, die Entwürfe der Kommission sich insbesondere auf die Anpassung der existierenden Beschlüsse hinsichtlich der Befugnisse der Datenschutzaufsichtsbehörden beziehen. Jegliche Beschränkung der Befugnisse der Aufsichtsbehörden soll durch die beiden neuen Entwürfe gestrichen werden. Eine solche Beschränkung hatte nämlich der europäische Gerichtshof in seinem Urteil zu Safe Harbor für unzulässig erklärt.

Von besonderer Brisanz dürfte jedoch die Feststellung der Kommission in der Sitzung vom 3. Oktober sein, dass ihrer Auffassung nach die derzeit existierenden Beschlüsse, sowohl hinsichtlich der Angemessenheitsentscheidungen für Drittländer als auch hinsichtlich der EU-Standardvertragsklauseln, rechtswidrig sind.

It explained that the purpose of both draft decisions is to cure the illegality that follows from the findings in the Court of Justice’s Schrems ruling.

Diese Schlussfolgerung dürfte nun für viele Beobachter nicht unbedingt überraschend kommen. Dass sie jedoch tatsächlich so öffentlich in einem Protokoll zur Sitzung als Aussage der Kommission festgehalten wird, finde ich zumindest interessant. Zudem geht aus dem Protokoll zur Sitzung hervor, dass einige der anwesenden Mitgliedstaaten die beiden Entwürfe für neue Beschlüsse positiv bewerteten. Jedoch seien andere Mitgliedstaaten aktuell nicht in der Lage gewesen, eine Entscheidung hinsichtlich der vorgelegten Beschlussentwürfe zu treffen und baten um eine Vertagung. Nun soll die Art. 29 Datenschutzgruppe (die Vertreter der europäischen Datenschutzbehörden) um eine Stellungnahme zu den Entwürfen gebeten werden.

Hessischer Datenschutzbeauftragter zu Pokémon Go: Nutzer ist darüber informiert, was mit seinen Daten geschieht

Posted on by

Im Rahmen der Antwort auf eine kleine Anfrage (Drs. 19/3658, pdf) im Hessischen Landtag zu dem Dienst Pokémon Go und mit dessen Einsatz einhergehenden datenschutzrechtlichen Fragen, hat auch der Hessische Landesdatenschutzbeauftragte eine Stellungnahme abgegeben.

Der Landesdatenschutzbeauftragte vertritt eine andere Auffassung als der Verbraucherzentrale Bundesverband e.V., der den Entwickler der Pokémon Go-App, das Unternehmen Niantic Inc., unter anderem wegen angeblicher Verstöße der Datenschutzbestimmungen des Dienstes gegen deutsches Datenschutzrecht, um Juli 2016 abgemahnt hatte.

Der Hessische Datenschutzbeauftragte geht davon aus, dass die datenschutzrechtlich verantwortliche Stelle für die Datenverarbeitung im Rahmen der Smartphone-App „Pokemon GO“ die Niantic Inc. mit Sitz in den USA ist. Ein Transfer von einer deutschen bzw. europäischen datenschutzrechtlich verantwortlichen Stelle in einen Drittstaat (USA) finde hingegen nicht statt. Vielmehr werden die Daten mit Einwilligung des Nutzers direkt durch ein US-Amerikanisches Unternehmen erhoben und verarbeitet

Da Niantic Inc., soweit ersichtlich, weder in Deutschland noch in der EU eine Niederlassung habe, unterliege das Unternehmen auch nicht der Kontrolle des Hessischen Datenschutzbeauftragten.

Der Landesbeauftragte führt weiter aus, dass die Datenschutzbestimmungen der „Pokemon GO“-App relativ umfangreich sind und in verhältnismäßig transparenter Form die Datenverarbeitung  bei  der  Nutzung der App erläutern.

Der Nutzer ist darüber informiert, was mit seinen Daten geschieht.

Zudem führt der Landesdatenschutzbeauftragte aus, dass Spieler die Wahl haben, ob sie die Kamera einschalten wollen oder nicht. Für das Abspeichern eines Pokemonfotos im Speicher des Smartphones und das Teilen mit anderen bestehe kein höheres Risiko als bei sonst erstellten und übermittelten Fotos.

Internationale Datentransfers: Europäische Kommission bereitet Anpassung aller geltenden Beschlüsse vor

Posted on by

Die Europäische Kommission befindet sich derzeit im Prozess der Anpassung von allen existierenden Beschlüssen zur Zulässigkeit der Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraumes (sogenannte Drittstaaten). Dies geht aus der Tagesordnung (txt) des Ausschusses nach Artikel 31 der Datenschutzrichtlinie 95/46/EG für die Sitzung am 3. Oktober 2016 hervor.

Demnach plant die Europäische Kommission sowohl einen offiziellen Beschluss zur Anpassung der Entscheidung 2001/497/EG für Standardvertragsklauseln zur Übermittlung personenbezogener Daten an verantwortliche Stellen in Drittstaaten sowie einen Beschluss zur Anpassung der Entscheidung 2010/87/EG für Standardvertragsklauseln zu Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittstaaten.

Daneben sollen alle existierenden Angemessenheitsbeschlüsse für das Datenschutzniveau in bestimmten Drittstaaten angepasst werden. Eine Übersicht dieser Angemessenheitsbeschlüsse findet sich hier.

Die nun vorgesehenen Anpassungen durch die Europäische Kommission wurden aufgrund des Urteils des Europäischen Gerichtshofs zur Aufhebung der Safe Harbor-Entscheidung (C-362/14, Schrems) erforderlich. Welche Änderungen konkret vorgesehen sind, lässt sich jedoch leider der nun veröffentlichten Tagesordnung nicht entnehmen. Die beiden vorgeschlagenen Beschlüsse der Europäischen Kommission sind nicht veröffentlicht. Es dürfte jedoch, betrachtet man das Urteil des Europäischen Gerichtshofs, insbesondere um die Befugnisse der nationalen Aufsichtsbehörden gehen, die durch Beschlüsse der Europäischen Kommission nicht beschränkt werden dürfen. Die Beschlüsse zu Standardvertragsklauseln und Angemessenheitsentscheidungen, die nun abgeändert werden sollen, enthalten jedoch jeweils noch gewisse Voraussetzungen dazu, wann eine nationale Aufsichtsbehörde eine Datenübermittlung in einen Drittstaat überhaupt erst untersagen darf.

In dem Ausschuss nach Artikel 31 finden sich die Vertreter der Europäischen Mitgliedstaaten zusammen. Diese müssen nun eine Stellungnahme zu den im Entwurf vorgelegten Beschlüssen der europäischen Kommission fassen.

Die Zukunft der derzeit existierenden Standardvertragsklauseln könnte zudem von dem Ausgang eines Verfahrens in Irland abhängen. Hierzu hat die irische Datenschutzaufsichtsbehörde Hintergrundinformationen veröffentlicht (hierzu mein Blogbeitrag).

Zukunft der EU-Standardvertragsklauseln: Irische Datenschutzbehörde veröffentlicht Informationen zum aktuellen Verfahren

Posted on by

Die irische Datenschutzbehörde hat auf ihrer Webseite Hintergrundinformationen zu einem derzeit vor dem irischen High Court anhängigen Verfahren zur Frage der Gültigkeit der EU-Standardvertragsklauseln (genauer: den zugrundeliegenden Beschlüssen der Europäischen Kommission) veröffentlicht. Hiermit möchte die Behörde über die Hintergründe des Verfahrens, an dem Maximilian Schrems und Facebook beteiligt sind, und den aktuellen Stand informieren. EU-Standardvertragsklauseln sind ein Instrument, um personenbezogene Daten in Staaten außerhalb des EWR zu übermitteln zu dürfen, die, aus Sicht des europäischen Rechts, nicht über ein angemessenes Schutzniveau für personenbezogene Daten verfügen. Die von der Kommission entwickelten Klauseln stellen ihrer Auffassung nach „ausreichende Garantien“ (Art. 26 Abs. 2 Datenschutzrichtlinie 95/46/EG) für den Schutz der Privatsphäre und der Grundrechte der betroffenen Personen dar. Anders als etwa eine Angemessenheitsentscheidung der Kommission, wie jüngst zum EU US Datenschutzschild, entfalten die Klauseln jedoch ihre Wirkung nur im Verhältnis der Parteien, die diese nutzen.

Die Aufsichtsbehörde weist darauf hin, dass Facebook und auch andere international tätige Unternehmen diese Klauseln nutzen, um personenbezogene Daten aus der EU in die USA zu übermitteln. Nach Auffassung der Behörde genügen die von der Kommission entwickelten Standardvertragsklauseln aber in drei Punkten nicht den Anforderungen europäischen Rechts.

Zum einen stünden europäischen Bürgern in den USA keine vergleichbar wirksamen Rechtsbehelfe zur Verfügung, wie sie Art. 47 der Charta der Grundrechte der Europäischen Union fordert, wenn die Daten in den USA durch staatliche Behörden für Zwecke der nationalen Sicherheit verwendet werden.

Zum anderen behandeln die Standardvertragsklauseln die Frage des wirksamen Rechtsbehelfs nicht entsprechend den Vorgaben des Europäischen Gerichtshofs, die er in seinem Urteil zur Safe Harbor-Entscheidung der Kommission (C-362/14, Schrems) aufstellte.

Zuletzt, so die Behörde, ergebe sich daraus, dass die Standardvertragsklauseln (bzw. die diesen zugrundeliegenden Beschlüssen der Kommission) selbst gegen Art. 47 der Charta verstoßen.

Entsprechend den Vorgaben des Europäischen Gerichtshofs in seinem Urteil zu Safe Harbor, habe die Aufsichtsbehörde daher die Gültigkeit der Standardvertragsklauseln vor einem irischen Gericht in Zweifel gezogen. Das Gericht könnte nun die Frage der Gültigkeit der Klauseln dem Europäischen Gerichtshof vorlegen. Wann dies genau geschieht, ist noch unklar. Derzeit befinde man sich in einer Phase des Austauschs von Meinungen und rechtlichen Ansichten zu dem Fall, der bis zum 20. Januar 2017 abgeschlossen sein soll.

Die Aufsichtsbehörde wird fortlaufend über dieses Verfahren berichten.

Datentransfers in die USA unter dem EU-US Privacy Shield: Datenschutzbehörde NRW veröffentlicht Leitfaden für Unternehmen

Posted on by

Die Landesbeauftragte für den Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LfDI) hat auf ihrer Webseite ein Dokument zu den Anforderungen an Datentransfers in die USA auf der Grundlage des EU-US-Datenschutzschildes (EU-US Privacy Shield) veröffentlicht (PDF, Stand: 12.09.2016 (17 Seiten)). Mit den Informationen (die in der Form von Fragen und Antworten bereitgestellt werden) richtet sich die Behörde schwerpunktmäßig an verantwortliche Stellen in Deutschland bzw. Nordrhein-Westfalen. Die Behörde weist zudem darauf hin, dass zur Umsetzung der Angemessenheitsentscheidung der europäischen Kommission weitere Abstimmungen zwischen den Aufsichtsbehörden und Deutschland und der EU erforderlich sind. Man sollte die Angaben in dem Dokument daher nicht als abschließend betrachten. Dennoch gibt der Leitfaden einen ersten groben Überblick, was deutsche Datenschutzbehörden in Zukunft von verantwortlichen Stellen in Deutschland im Hinblick auf die Einschaltung von US-Unternehmen im Rahmen des Datenschutzschildes verlangen könnten.

Insbesondere weist die LfDI darauf hin, dass bei einer Verarbeitung personenbezogener Daten aus der EU in den USA im Auftrag einer verantwortliche Stelle, neben den Zulässigkeitsvoraussetzungen der sog. zweiten Stufe der Datenverarbeitung (§§ 4b, 4c BDSG) auch die Anforderungen des § 11 BDSG zu erfüllen sind. Denn, so die Behörde, die Voraussetzungen des § 11 BDSG betreffen die sog. erste  Stufe des Datenumgangs (also die Frage der Rechtmäßigkeit der Datenübermittlung) und müssen daher unabhängig davon eingehalten werden, wo die Auftragsdatenverarbeitung stattfindet.

Zudem verlangt die Behörde von verantwortlichen Stellen, dass zusätzliche Prüfpflichten zu erfüllen sind, wenn sie sich in der zweiten Stufe auf das Datenschutzschild berufen möchten (S. 2). Nach Ansicht der LfDI zählen zu diesen Pflichten, dass sich die verantwortliche Stelle vergewissern muss, dass

  • das datenempfangende US-Unternehmen eine gültige Zertifizierung besitzt und
  • dass diese auch eingehalten wird.

Die verantwortliche Stelle muss dafür mindestens klären,

  • ob die Zertifizierung tatsächlich vorliegt,
  • diese noch gültig ist (diese muss jährlich erneuert werden) und
  • ob die zu übermittelnden Daten von der Zertifizierung abgedeckt sind.

Zudem, so die LfDI sollten sich verantwortliche Stellen ebenfalls nachweisen lassen, wie das US-Unternehmen seinen Informationspflichten aus dem Datenschutzschild gegenüber den von der Datenverarbeitung betroffenen Personen nachkommt.

Erwähnenswert ist zudem auch der Hinweis der Behörde, dass er sich vorbehält, aufgrund von Ergebnissen der jährlichen Überprüfung des Datenschutzschildes und auch eigenen Erkenntnissen, Datenübermittlungen unter dem Datenschutzschild gegebenenfalls in Einzelfällen auszusetzen (S. 4).

Die Anforderungen der LfDI ähneln jenen Vorgaben, die deutschen Aufsichtsbehörden bereits in ihrer „Orientierungshilfe – Cloud Computing“ (Stand 09.10.2014, PDF), damals noch zu Safe Harbor, formuliert haben.

Unter anderem wurde dort nämlich darauf hingewiesen, dass

auch eine gültige Safe-Harbor-Zertifizierung des Cloud-Anbieters (und ggf. des Unter-Anbieters) den Cloud-Anwender nicht von dem Erfordernis befreit, schriftliche Vereinbarungen entsprechend § 11 Abs. 2 BDSG zu treffen (S. 18).

Zudem stellten die Behörden damals fest, dass, solange eine flächendeckende Kontrolle der Selbstzertifizierungen US-amerikanischer Unternehmen durch die Kontrollbehörden in Europa und den USA nicht gewährleistet sei, auch die Unternehmen in Deutschland eine Verpflichtung treffe, gewisse Mindestkriterien zu prüfen, bevor sie personenbezogene Daten an ein auf der Safe-Harbor-Liste geführtes US-Unternehmen übermitteln (S. 17).

Diese Vorgaben scheint die Behörde nun in den Anwendungsbereich des Datenschutzschildes übertragen zu wollen.

Auch in den Zusatzgrundsätzen des Datenschutzschildes selbst was die europäische Kommission darauf hin, dass wenn personenbezogene Daten aus der EU in den USA im Auftrag verarbeitet werden sollen, dafür ein Vertrag geschlossen werden muss, unabhängig davon, ob der Auftragsverarbeiter der Vereinbarung zum Datenschutzschild beigetreten ist oder nicht (Anhang II, III.   Zusatzgrundsätze, 10. Obligatorische Verträge bei Weitergabe, a. Datenverarbeitung im Auftrag). Zu beachten ist freilich, dass sich diese Zusatzgrundsätze des Datenschutzschildes nicht direkt an verantwortliche Stellen in der Europäischen Union oder Deutschland richten. Der Beschluss der europäischen Kommission ist vielmehr an die Mitgliedstaaten gerichtet. Die Einhaltung der Grundsätze des Datenschutzschildes obliegt zudem den US-amerikanischen Unternehmen, die sich selbst zertifizieren möchten.

Man darf gespannt sein, welche gemeinsame Position die deutschen Behörden zu Datentransfers unter dem Datenschutzschild entwickeln. Die nun vorliegenden Leitlinien der Aufsichtsbehörde aus Nordrhein-Westfalen geben verantwortlichen Stellen zumindest jedoch einen ersten Hinweis darauf, wie sich die Aufsichtsbehörden eine Umsetzung der Regelungen des Datenschutzschildes in der Praxis vorstellen.

Erste Anmerkungen zum Referentenentwurf für das neue Allgemeine Bundesdatenschutzgesetz

Posted on by

Die europäische Datenschutz-Grundverordnung (DSGVO), welche ab dem 25. Mai 2018 in Europa anwendbar sein wird, stellt dem Grunde nach eine Verordnung nach Art. 288 Abs. 2 AEUV dar. Bekanntermaßen enthält sie jedoch Öffnungsklauseln für nationale Gesetzgeber, die sowohl die Möglichkeit zur Schaffung nationaler Regelungen beinhalten und in gewissen Bereichen die Mitgliedstaaten sogar verpflichten legislativ tätig zu werden.

Vor diesem Hintergrund hat das Bundesinnenministerium hat einen Referentenentwurf für ein „Datenschutz-Anpassungs- und -Umsetzungsgesetz EU“ erarbeitet, der nun auch veröffentlicht wurde (PDF).

Bereits aus dem Umfang des Referentenentwurfs (immerhin 62 Paragrafen für ein Allgemeines Bundesdatenschutzgesetz) wird deutlich, dass auch mit Anwendbarkeit der DSGVO keine vollständige Harmonisierung des Datenschutzrechts in Europa existieren wird, sondern gewisse Bereiche weiter national (und durchaus auch divergierend) geregelt werden können bzw. müssen. In Zukunft wird man sich im Datenschutzrecht also nicht allein nur mit den Vorgaben der DSGVO befassen können.

Passend finde ich den Hinweis des BMI in der Entwurfsbegründung:

Damit entsteht für das Datenschutzrecht ein komplexes Regelungssystem aus unions- und mitgliedstaatlichen Vorschriften, das den Rechtsanwender vor eine anspruchsvolle Aufgabe stellt.

Nachfolgend möchte ich nur einige initiale Anmerkungen zu Teilen des Referentenentwurfs machen. Überdies sollte beachtet werden, dass sich bei diesem Entwurf noch nicht um den finalen Entwurf des Gesetzes handelt. Auch andere Ministerien, wie das Bundesministerium für Justiz und Verbraucherschutz oder auch das Wirtschaftsministerium, werden dem Entwurf für ein „Allgemeines Bundesdatenschutzgesetz“ (ABDSG) ihren Stempel aufdrücken wollen.

Anwendungsbereich
Das ABDSG soll künftig als allgemeines Datenschutzrecht des Bundes die Funktion haben, die bislang das BDSG hatte. Eine Auffangfunktion. Bereichsspezifische Regelungen des Bundes können also auch in Zukunft abweichendes Datenschutzrecht regeln. Das ABDSG gilt sowohl für nicht-öffentliche als auch öffentliche Stellen (des Bundes), § 2 Abs. 1 ABDSG.

Zweck des BDSG ist es insbesondere, das allgemeine deutsche Datenschutzrecht sowohl an die DSGVO als auch an die Richtlinie (EU) 2016/680 anzupassen. § 1 Abs. 2 Nr. 1 ABDSG verdeutlicht, dass für den Bereich der Wirtschaft in Zukunft fast ausschließlich die DSGVO die ausschlaggebenden datenschutzrechtlichen Maßgaben setzt. Nur in vereinzelten Bereichen gestattet die DSGVO abweichende nationale Regelung. Diese nationalen Regelungen sollen sich dann im ABDSG finden.

Erwähnenswert ist hier noch die Regelung des § 2 Abs. 4 ABDSG, nach der das ABDSG nur Anwendung findet, soweit der verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeitet. Durch diese Vorschrift soll geregelt werden, dass das ABDSG zur Anwendung kommt, wenn eine Datenverarbeitung durch eine in Deutschland ansässige Niederlassung vorliegt. Dies bedeutet aber auch, dass das ABDSG nicht anwendbar ist, wenn etwa ein Verantwortlicher nicht in der Europäischen Union niedergelassen ist, nach Art. 3 Abs. 2 DSGVO jedoch den Regelungen der DSGVO unterliegt, etwa weil er Personen in Deutschland Waren oder Dienstleistungen anbietet. In einem solchen Fall fehlt es nämlich an einer inländischen Niederlassung.

Erlaubnistatbestände für öffentliche Stellen
In § 4 ABDSG sollen spezifische Erlaubnistatbestände für Verarbeitungen durch öffentliche Stellen geschaffen werden. Das BMI möchte hier von den Öffnungsklauseln der Art. 6 Abs. 1 lit. e i. V. m. Art. 6 Abs. 3 S. 1 DSGVO Gebrauch machen. Die in § 4 Abs. 2 ABDSG aufgeführten Zwecke dienen insbesondere der Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe. Nach Abs. 2 Nr. 8 wird klargestellt, dass die Verarbeitung von personenbezogenen Daten zur Gewährleistung der Netz-, Daten- und Informationssicherheit ein öffentliches Interesse darstellt. Nach der Begründung zum Entwurf muss, wo dies erforderlich ist, das Sammeln, Auswerten und Untersuchen von Informationen über Sicherheitsrisiken oder -vorkehrungen und die gegenseitige Information, Beratung und Warnung von Staat, Wirtschaft oder Gesellschaft möglich sein. Ganz bewusst hat sich das BMI zudem dagegen entschieden, die Erlaubnis nur auf für das Gemeinwohl besonders wichtige Einrichtungen (wie z.B. Betreiber kritischer Infrastrukturen) zu beschränken.

Verarbeitung besonderer Kategorien personenbezogener Daten
In § 5 ABDSG (der nicht nur für öffentliche Stellen gilt) macht das BMI von der Öffnungsklausel des Art. 9 Abs. 2 lit. g) DSGVO Gebrauch. Besondere Kategorien personenbezogener Daten sollen in Zukunft auch dann verarbeitet werden dürfen, wenn dies aus Gründen eines „erheblichen öffentlichen Interesses“ erforderlich ist. Zu diesen erheblichen öffentlichen Interessen zählt das BMI etwa die Verarbeitung geometrischer Daten zu Zwecken der eindeutigen Identifikation einer Person (§ 5 Abs. 1 Nr. 1 ABDSG).

Zweckändernde Verarbeitung
In § 6 ABDSG schafft das BMI die Möglichkeit, personenbezogene Daten für einen anderen und auch mit dem Zweck der Erhebung unvereinbaren Zweck weiterzuverarbeiten. Diese Möglichkeit bietet Art. 6 Abs. 4 DSGVO. Die Regelung gilt sowohl für öffentliche als auch nicht-öffentliche Stellen. Man Meinungsbereich des § 6 dürfen auch besondere Kategorien personenbezogener Daten für andere und unvereinbare Zwecke weiterverarbeitet werden.

Beschränkungen der Betroffenenrechte
In den §§ 7 – 13 ABDSG macht das BMI von der Möglichkeit des Art. 23 DSGVO Gebrauch, dass in engen Grenzen die Betroffenenrechte beschränkt werden können. Nach § 7 Abs. 2 ABDSG wird die Informationspflicht des Verantwortlichen im Fall einer Weiterverarbeitung der Daten für andere Zwecke (Art. 13 Abs. 3 DSGVO) beschränkt. Soweit die Erteilung der Information einen unverhältnismäßigen Aufwand erfordern würde, muss der Verantwortliche nicht über diesen anderen Zweck informieren. Jedoch muss der verantwortliche in diesem Fall dafür sorgen, dass geeignete Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Person ergriffen werden. Hierzu zählt insbesondere die Bereitstellung der Informationen über die anderen Zwecke für die Öffentlichkeit, was etwa durch Informationen auf einer Webseite erfolgen kann.

Nach § 7 Abs. 3 ABDSG schränkt die allgemeine Informationspflicht nach Art. 13 DSGVO für Fälle der Videoüberwachung öffentlich zugänglicher Räume ein. In diesem Fall muss aber der Umstand der Beobachtung (etwa durch ein Hinweisschild) erkennbar sein.

In § 9 ABDSG wird das Auskunftsrecht der Betroffenen beschränkt. Nach § 9 Abs. 2 lit. d) ABDSG besteht das Recht auf Auskunft und Erhalt einer Kopie nach Art. 15 DS GVO nicht, wenn die gespeicherten Daten ausschließlichen (!) Zwecken der Datensicherung oder der Datenschutzkontrolle dienen. Zudem müsse die Erteilung der Auskunft einen unverhältnismäßigen Aufwand erfordern.

Interessant ist auch die Ausnahme nach § 9 Abs. 2 lit. e) ABDSG, wonach das Auskunftsrecht dann nicht besteht, wenn die Benachrichtigung die Geschäftszwecke des Verantwortlichen erheblich gefährden würde.
Das Recht auf Löschung von Daten (Art. 17 DSGVO) soll nach § 10 Abs. 2 ABDSG dann nicht bestehen, wenn die Löschung aufgrund der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßigen Aufwand möglich ist. Diese Beschränkung, so der Entwurf des BMI, dient dem Schutz der Rechte und Freiheiten anderer Personen (Art. 23 Abs. 1 lit. i) DSGVO).

Nach § 12 Abs. 2 ABDSG darf eine Einzelentscheidung, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet und die ausschließlich auf einer automatisierten Verarbeitung beruht, auch über die in Art. 22 Abs. 2 DSGVO vorgesehenen Ausnahmen dann erfolgen, wenn diese Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertrages oder eines sonstigen Rechtsgeschäfts (hier geht des ABDSG über die Ausnahme des Art. 22 Abs. 2 lit. a) DSGVO hinaus) zwischen der betroffenen Person und dem Verantwortlichen ergeht und dem Begehren der betroffenen Person stattgegeben wird. Die Entscheidung (bzw. die ihr zugrundeliegende Verarbeitung) muss also nicht für die Erfüllung des Vertrages oder Rechtsgeschäftes erforderlich sein.

Datenschutzbeauftragter
§ 14 ABDSG sieht, über die Vorgaben der DS GVO hinausgehend, vor, wann zwingend ein Datenschutzbeauftragter zu bestellen ist. Insbesondere soll dies der Fall sein, wenn in der Regel mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind.

Klagerecht gegen Privacy Shield & Co.
Nachdem bereits vor einigen Monaten der Bundesrat ein neues Klagerecht für Aufsichtsbehörden gegen Angemessenheitsentscheidung der Europäischen Kommission für das Schutzniveau personenbezogener Daten in Drittstaaten gefordert hatte, wird dieses neue Klagerecht nun in § 28 ABDSG aufgenommen. Jedoch mit ein paar inhaltlichen Abweichungen zu dem ursprünglichen Vorschlag im Bundesrat.

Aufsichtsbehörden können danach bei der Prüfung eine Beschwerde einer betroffenen Person gegen eine Angemessenheitsentscheidung (wie jetzt zum Privacy Shield) im Wege einer Feststellungsklage vor das Bundesverwaltungsgericht ziehen. Interessant ist, welchen Inhalt der Antrag auf Feststellung haben soll. Der Antrag soll darauf lauten festzustellen, dass das Bundesverwaltungsgericht „die Zweifel der Aufsichtsbehörde an der Gültigkeit eines zur Rechtfertigung der Übermittlung angewendeten Angemessenheitsbeschlusses der Kommission teilt“. Der ursprüngliche Gesetzesvorschlag für einen neuen § 38b BDSG sah noch die Feststellung einer Ungültigkeit der Angemessenheitsentscheidung der Kommission vor. Die Ungültigkeit eines EU Rechtsaktes kann ein nationales Gericht jedoch gerade nicht feststellen. Hierauf hatte ich auch im Rahmen eines Blogbeitrages zu dem damaligen Gesetzesvorschlag hingewiesen.

Vertretung im Europäischen Datenschutzausschuss
Ausführlich regelt der Entwurf für das ABDSG zudem das Verfahren der Vertretung der deutschen Datenschutzbehörden im Europäischen Datenschutzausschuss (Kapitel 6). Grundsätzlich soll hier der oder die Bundesbeauftragte für den Datenschutz der gemeinsame Vertreter der deutschen Behörden sein. Zusätzlich stellen die Landesbehörden jedoch einen Stellvertreter. Dieser wird vom Bundesrat gewählt. Je nach der im europäischen Datenschutzausschuss beratenen Angelegenheit muss dann der gemeinsame Vertreter die Verhandlungsführung und das Stimmrecht im Europäischen Datenschutzausschuss auf den Vertreter der Landesbehörden übertragen.

Des Weiteren wird ausführlich das Verfahren der Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder geregelt.

Beschäftigtendatenschutz
In § 33 ABDSG enthält der Referentenentwurf auch eine Vorschrift zur Datenverarbeitung im Beschäftigungskontext. Hier gibt es jedoch keine Überraschungen. Zitat aus der Entwurfsbegründung: „Absätze 1 bis 3 entsprechen § 32 Bundesdatenschutzgesetz.“

TMG
In dem Entwurf des ABDSG finden sich keine Regelungen zur Datenverarbeitung im Bereich der Telemedien. Man darf gespannt sein, ob hier eventuell noch das Bundeswirtschaftsministerium entsprechende Vorschläge unterbreitet. Da jedoch ohnehin fast alle Regelungen des TMG zum Datenschutz nicht auf einer Umsetzung der sogenannten ePrivacy-Richtlinie beruhen, werden die entsprechenden Vorschriften ab dem vom 25. Mai 2018 nicht mehr anwendbar sein.

Niederländische Datenschutzbehörde: SmartTV-Anbieter müssen nachbessern

Posted on by

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat in der letzten Woche mitgeteilt (Englisch), dass ein Prüfverfahren von Anbietern von SmartTV-Geräten mit einer Anpassung der Datenverarbeitung durch die Anbieter beendet wurde.

Im Juni 2016 veröffentlichte die Behörde einen Abschlussbericht (Englisch, pdf) zu ihrer Prüfung der Datenschutzkonformität des SmartTV-Angebotes. In dem Bericht noch aufgezeigte Mängel wurden von dem Anbieter nun ausgebessert. Die beanstandeten datenschutzrechtlichen Unzulänglichkeiten lesen sich wie die „Klassiker“ der möglichen Fehler.

Unter anderem bemängelte die Aufsichtsbehörde, dass zu Beginn des Prüfverfahrens in der Datenschutzerklärung des Anbieters überhaupt keine Informationen zum Umgang mit personenbezogenen Daten erteilt wurden. Es fehlten auch Informationen zur Identität der verantwortlichen Stelle (vorliegend wurden zwei gemeinsam verantwortliche Stelle tätig) und den Zweck der Verarbeitung personenbezogener Daten.

Zwar gesteht die Aufsichtsbehörde zu, dass die Anbieter personenbezogene Daten zum Betrieb des Systems, zur Erbringung von Diensten über den SmartTV und auch zur Durchführung des jeweiligen Vertrages (z. B. Video on Demand) mit dem Kunden ohne dessen Einwilligung verarbeiten dürfen. Jedoch beanstandete die Behörde in ihrem Bericht, dass die Verarbeitung dennoch unzulässig war, weil die Anbieter hierüber nicht ausreichend informiert hatten.

Der Datenschutz bei SmartTV-Geräten ist auch in Deutschland ein Thema. So hat die Verbraucherzentrale NRW den Hersteller Samsung vor dem Landgericht Frankfurt am Main verklagt (Az. 2-03 O 364/15) und zum Teil Recht bekommen. Das Bayerische Landesamt für Datenschutzaufsicht hat bereits im Jahr 2015 eine umfassendere datenschutzrechtliche Prüfung von SmartTV-Geräten vorgenommen (zur Pressemitteilung, pdf).

Bundesregierung: Kein Klagerecht für Datenschutzaufsichtsbehörden gegen Privacy Shield

Posted on by

Am 13. Mai 2016 hat der Bundesrat in einer Entschließung (BR Drs. 171/16 (B), pdf) die Bundesregierung dazu aufgefordert, zeitnah einen Gesetzentwurf für ein Klagerecht von Datenschutzaufsichtsbehörden gegen sog. Angemessenheitsbeschlüsse der Europäischen Kommission für Drittstaatentransfers personenbezogener Daten, wie vormals Safe Harbor und nun das EU-U.S. Privacy Shield, vorzulegen (hierzu mein Beitrag). Teil des Beschlusses des Bundesrates war auch ein eigener Vorschlag für einen neuen § 38b-E Bundesdatenschutzgesetz.

In einer Stellungnahme (pdf) vom 15. Juli 2016 äußert sich nun die Bundesregierung zu dieser Entschließung des Bundesrates.

Das Bundesministerium des Inneren weist darauf hin, dass man bereits derzeit intensiv an der Anpassung des nationalen Datenschutzrechts an die Datenschutz-Grundverordnung (DSGVO) arbeite. In dem neuen nationalen Datenschutzrecht soll es, entsprechend den Vorgaben von Art. 58 Abs. 5 DSGVO, auch Klagemöglichkeiten für Datenschutzaufsichtsbehörden geben. Jedoch spricht das Bundesinnenministerium nicht direkt die Klagemöglichkeit gegen eine Angemessenheitsentscheidung der Europäischen Kommission an. Art. 58 Abs. 5 DSGVO bezieht sich auch nicht auf die gerichtliche Anfechtung von Beschlüssen der Europäischen Kommission, sondern benennt „Verstöße gegen diese Verordnung“. Dies bezieht sich etwa auf eine Datenübermittlung in einen Drittstaat, die nicht auf der Grundlage einer Angemessenheitsentscheidung oder aber zum Beispiel unter Einsatz von Standardvertragsklauseln erfolgt.

Der bindende Beschluss der Europäischen Kommission ist, zumindest nach meiner Lesart, gerade nicht Gegenstand des Art. 58 Abs. 5 DSGVO, sondern die Datenübermittlung (also die Verarbeitung) selbst. Geht man gegen diese vor, könnte inzident am Ende durch den EuGH auch die zugrundeliegende Angemessenheitsentscheidung geprüft werden. Dies liegt auf einer Linie mit der Rechtsprechung des EuGH, der ausdrücklich betont hat (Rz. 61 des Schrems-Urteils, C-362/14)): „Gleichwohl ist allein der Gerichtshof befugt, die Ungültigkeit eines Unionsrechtsakts wie einer nach Art. 25 Abs. 6 der Richtlinie 95/46 ergangenen Entscheidung der Kommission festzustellen“.

Nicht zugestehen will die Bundesregierung den Datenschutzaufsichtsbehörden darüber hinaus eine Ermächtigung, gegen Angemessenheitsbeschlüsse in Vertretung der Bundesrepublik Deutschland Nichtigkeitsklage vor dem EuGH nach Artikel 263 AEUV zu erheben. Dies vor allem deshalb, weil die Datenschutzaufsichtsbehörden unabhängig sind.

Konzerninterne Datentransfers: Hessische Aufsichtsbehörde verweist auf gesetzliche Erlaubnisnormen

Posted on by

Am 11.7.2016 hat der hessische Datenschutzbeauftragte seinen 44. Tätigkeitsbericht vorgestellt (pdf).

Unter anderem befasst sich der Datenschutzbeauftragte in seinem Bericht auch mit der Frage, unter welchen rechtlichen Voraussetzungen personenbezogene Daten von Arbeitnehmern in einem Konzern zwischen Unternehmen übermittelt werden dürfen. Bekanntermaßen kennt das deutsche Datenschutzrecht kein Konzernprivileg. Liegt also kein Fall der Auftragsdatenverarbeitung vor und werden personenbezogene Daten an eine andere verantwortliche Stelle im selben Konzern weitergegeben, so liegt datenschutzrechtlich betrachtet eine rechtfertigungsbedürftige „Übermittlung“ vor.

§ 32 BDSG

Der hessische Datenschutzbeauftragte weist darauf hin, dass als Rechtsgrundlage für die Übermittlung von Beschäftigtendaten insbesondere § 32 Abs. 1 Satz 1 BDSG in Betracht kommt. Diese Bestimmung setzt voraus, dass die Verarbeitung (im konkreten Fall die Übermittlung der Daten) für die Durchführung des Beschäftigungsverhältnisses „erforderlich ist“.

In der Praxis stellt sich dann freilich die Frage, wann von einer Erforderlichkeit der Verarbeitung auszugehen ist. Diesbezüglich verweist der Datenschutzbeauftragte auf den Arbeitsbericht der Ad-hoc-Arbeitsgruppe „Konzerninterner Datentransfer“ vom 11.01.2005. Zum einen sei von der Erforderlichkeit auszugehen, sofern der Arbeitsvertrag einen bei Vertragsabschluss für den Betroffenen erkennbaren Konzernbezug aufweist, wenn er also z. B. ein Tätigwerden des Arbeitnehmers auch in anderen Konzernunternehmen vorsieht. Zum anderen sei die Erforderlichkeit auch vorhanden, wenn bei der Einstellung des Arbeitnehmers deutlich erkennbar ist, dass die Personaldatenverarbeitung in einem anderen Konzernunternehmen zentralisiert ist. Wenn das Unternehmen dann noch entsprechend den Vorgaben des § 4 Abs. 3 BDSG über die Identität der verantwortlichen Stelle, die Zwecke der Verarbeitung sowie die Kategorien der Empfänger der Daten informiert, ist dies nach Auffassung des Datenschutzbeauftragten ausreichend, um die Datenübermittlung nach § 32 Abs. 1 Satz 1 BDSG zu legitimieren.

Dauerproblem: Einwilligung

In dem im Tätigkeitsbericht beschriebenen konkreten Fall trat der Umstand hinzu, dass der Arbeitgeber ursprünglich eine Einwilligung der Arbeitnehmer für die Übermittlung einholte. Zwar gesteht der hessische Datenschutzbeauftragte zu, dass auch die Einwilligung eine Grundlage für die konzerninterne Datenübermittlung darstellen kann. Jedoch führt er weiter aus:

Aufgrund des wirtschaftlichen Ungleichgewichts und der existentiellen Bedeutung des Beschäftigungsverhältnisses wird im Allgemeinen jedoch bezweifelt, dass auf Seiten der Beschäftigten die Einwilligung freiwillig erteilt werden kann.

Zwar ist es richtig, dass gerade in einem Beschäftigungsverhältnis möglicherweise ein Ungleichgewicht vorherrscht. Eventuell kann es dann auch an der Freiwilligkeit einer Einwilligung fehlen. Jedoch davon auszugehen, dass „im Allgemeinen“ bezweifelt werde, dass die Einwilligung von Beschäftigten nicht freiwillig erteilt werden könne, erscheint nicht angebracht. Es dürfte sich hierbei vielmehr um eine (von mindestens zwei) vertretene Ansicht handeln. Auch im Arbeitsverhältnis kann grundsätzlcih eine datenschutzrechtliche Einwilligung wirksam eingeholt werden. Im Jahr 2015 (Urteil vom 11.12.2014, 8 AZR 1010/13) hat dies auch das Bundesarbeitsgericht vertreten:

Auch im Rahmen eines Arbeitsverhältnisses können Arbeitnehmer sich grundsätzlich „frei entscheiden“, wie sie ihr Grundrecht auf informationelle Selbstbestimmung ausüben wollen.

Und unter der Datenschutz-Grundverordnung?

Auch die ab  dem 25. Mai 2018 anwendbare Datenschutz-Grundverordnung wird kein ausdrückliches Konzernprivileg kennen. Jedoch wird in Erwägungsgrund 48 S. 1 klargestellt, dass Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, ein berechtigtes Interesse haben können, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln.

Die europäische Datenschutz-Grundverordnung macht damit deutlich, dass eine konzerninterne Übermittlung von Beschäftigtendaten und auch Kundendaten als berechtigtes Interesse des Verantwortlichen angesehen werden kann und damit die Voraussetzungen des Erlaubnistatbestandes nach Art. 6 Abs. 1 lit. f) erfüllt sein können.

Irische Datenschutzbehörde veröffentlicht Jahresbericht 2015

Posted on by

Am 21. Juni 2016 hat die irische Datenschutzbeauftragte, Helen Dixon, den Tätigkeitsbericht der Aufsichtsbehörde für das Jahr 2015 vorgestellt.

Insbesondere, weil Irland der Standort europäischer Zentralen vieler „digital player“ darstellt, ist der Bericht der Behörde durchaus lesenswert. So wird unter anderem Über Prüfungen bei LinkedIn oder Facebook berichtet.

So berichtet die Behörde, dass man sich, nach einem Audit in 2013, oft mit Vertretern von LinkedIn im Jahre 2015 traf, um gemeinsam über mögliche Anpassungen der Plattform des beruflichen Online-Netzwerks zu reden. Konkrete Ergebnisse dieser Gespräche waren unter anderem Anpassungen bei den Kontrollmöglichkeiten für Mitglieder über die von ihnen bereit gestellten Informationen in dem sozialen Netzwerk.

Ein weiterer interessanter Aspekt sind internationale Datentransfers. Natürlich wird auch kurz das Urteil des EuGH zu Safe Harbor angesprochen. Nach dem Wegfall der betreffenden Kommissionsentscheidung als Grundlage für Datenübermittlungen in die USA, war (und ist es immer noch) für Unternehmen wichtig, alternative Instrumente zu finden. Für Datentransfers innerhalb eines Konzerns bieten sich insbesondere die Binding Corporate Rules (BCR) an. Hierbei handelt es sich um verbindliche, unternehmensinterne Richtlinien, die in Zusammenarbeit mit den europäischen Aufsichtsbehörden erstellt und von diesen genehmigt werden müssen.

Die irische Datenschutzbeauftragte berichtet, dass bereits im Jahr 2015 in vier Verfahren als federführende Aufsichtsbehörde für das Genehmigungsverfahren von BCR agierte. In den ersten Monaten des Jahres 2016 habe die Behörde zudem weitere Anträge von Unternehmen zur Prüfung von BCR erhalten. Diese Zunahme an beantragten Genehmigungsverfahren für BCR, insbesondere im Jahr 2016, dürfte auch mit dem Wegfall von Safe Harbor zusammenhängen. Wobei darauf hinzuweisen ist, dass BCR eben nur konzerninterne Datentransfers abdecken können und damit nicht für Datenübermittlungen an konzernfremde Unternehmen geeignet sind.