Category Archives: Rechtsprechung

OVG Hamburg zur Datensicherheit: (Un)Verhältnismäßigkeit technischer & organisatorischer Maßnahmen

Posted on by

In einem Urteil vom 22.06.2017 (Az. 4 Bf 160/14) befasste sich das Hamburgische Oberverwaltungsgericht (OVG) unter anderem auch mit der Frage, welche technischen und organisatorischen Maßnahmen nach § 9 BDSG zu treffen sind, um die in der Anlage zum BDSG genannten Anforderungen zu gewährleisten.

Das Verfahren betraf im Kern kein datenschutzrechtliches Thema. Die Klägerin, ein Unternehmen aus Hamburg, begehrte die Erteilung einer Erlaubnis für die Vermittlung von Lotterien im Internet ohne beschränkende Nebenbestimmungen. In einem Bescheid aus 2012 erteilte die zuständige Behörde der Klägerin die Erlaubnis als gewerbliche Spielvermittlerin Glücksspiele unter ihrer Domain zu vermitteln. Weiter enthielt der Bescheid mehrere Nebenbestimmungen, u.a. auch folgende Nummer 14:

14. Bei der gegebenenfalls für die Vermittlungstätigkeit eingesetzten Hard- und Software hat die Datensicherheit bei der Abwicklung des Glücksspiels dem von Kreditinstituten im elektronischen Zahlungsverkehr eingehaltenen Stand der Technik zu entsprechen. Der Nachweis, dass ein entsprechender Standard eingehalten wird, gilt bei Vorlage eines Zertifikates nach ISO/IEC 27001:2005 als erbracht. Die vorliegende Erlaubnis wird mit der Auflage erteilt, dass unverzüglich ein entsprechendes Zertifikat nachgereicht oder ein gleichwertiger Nachweis erbracht wird.

U. a. gegen diese Nebenbestimmung ging die Klägerin vor, da sie sie als unverhältnismäßig ansah. Das Niveau der dort vorgesehenen Zertifizierung sei außerordentlich hoch und werde von den wenigsten Wirtschaftsunternehmen eingehalten.

Nach Auffassung des OVG ist die Regelung jedoch rechtmäßig.

Das Gericht begründet seine Ansicht damit, dass die die Auflage einerseits dem Ziel des § 1 Nr. 4 GlüStV diene, wonach sicherzustellen ist, dass Glücksspiele ordnungsgemäß durchgeführt werden und die Spieler vor betrügerischen Machenschaften geschützt werden.

Jedoch gehöre auch der allgemeine Datenschutz zum ordnungsgemäßen Ablauf des Glücksspiels. Mit anderen Worten: die Vorgaben des Datenschutzrechts, auch solche zu technischen und organisatorischen Maßnahmen, muss die Klägerin in jedem Fall beachten. Nach Ansicht des OVG ist  die Klägerin nach § 9 BDSG verpflichtet, die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zum BDSG genannten Anforderungen, zu gewährleisten.

„Das geforderte Sicherheitsniveau ist auch nicht unverhältnismäßig. Bei dem Standard nach ISO/IEC 27001:2005 handelt es sich um den weltweit gültigen Standard für die Datensicherheit. Hierauf baut auch der IT-Grundschutz-Katalog des Bundesamtes für Sicherheit in der Informationstechnik auf, der im Übrigen u. a. auch den Anforderungen des § 9 BDSG i. V. m. der Anlage zu § 9 Satz 1 BDSG Rechnung trägt.“

Zu beachten ist, dass das Gesetz, also derzeit § 9 BDSG und in Zukunft Art. 32 DSGVO, keine spezifischen Vorgaben zu den umzusetzenden Maßnahmen machen, sondern allgemein beschreiben, welchen Anforderungen die Maßnahmen genügen müssen bzw. welche Zwecke mit ihnen erfüllt werde müssen. Nach § 9 S. 1 BDSG sind „technischen und organisatorischen Maßnahmen zu treffen“. Insbesondere sollen die in der Anlage zu § 9 BDSG genannten Anforderungen gewährleistet werden. § 9 S. 2 BDSG gibt zudem vor, dass Maßnahmen nur dann als erforderlich angesehen werden, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Bei der Umsetzung von technischen und organisatorischen Maßnahmen ist mithin auch stets die Verhältnismäßigkeit ihrer Implementierung in der konkreten Situation zu berücksichtigen.

Nach Ansicht des OVG ist dafür, dass der in der Nebenbestimmung angesprochene Standard für die Klägerin nicht erreichbar ist, nichts ersichtlich. Das Gericht verweist hierfür auch auf die Homepage der Klägerin, auf der, jedenfalls im Hinblick auf den Datenschutz, auf eine Zertifizierung nach ISO/IEC 27001 durch den TÜV Saarland hingewiesen wird. Nach Auffassung des OVG stellt die Anforderung, eine ISO/IEC 27001 Zertifizierung nachzuweisen (und natürlich vorher die Anforderungen zu erfüllen) also keine unverhältnismäßige Maßnahme dar. Hierbei muss aber beachtet werden, dass das Gericht nur die konkreten Umstände in diesem Fall beurteilte. Darauf zu schließen, dass § 9 BDSG nur erfüllt ist, wenn eine ISO/IEC 27001 Zertifizierung vorliegt, wäre daher nicht angemessen.

Auf diese vorhandenen alternativen Möglichkeiten geht auch das OVG ein. Zunächst stellt es jedoch fest, dass die Tatsache, dass zum Nachweis eine Zertifizierung gefordert werde, nicht zu beanstanden sei. Auch wenn eine Zertifizierung gesetzlich nicht vorgeschrieben sei, dürfe eine solche im Wege einer Auflage aufgegeben werden, wenn sie dem Zweck des Verwaltungsaktes in der Hauptsache bzw. den gesetzlichen Regelungen „dient“, die für den Erlass des Hauptverwaltungsaktes maßgeblich sind.

Zuletzt ist das Gericht der Ansicht, dass das Argument der Klägerin, dass die Pflicht zum Nachweis eines entsprechenden Zertifikats aufgrund der damit verbundenen Kosten unverhältnismäßig sei, nicht durchgreife, da dieser Gesichtspunkt als rein wirtschaftlicher hinter den mit der Auflage verfolgten schützenswerten Zielen zurücktreten muss. Im Übrigen dürfe die Klägerin zum Nachweis auch einen „gleichwertigen Nachweis“ vorlegen. Der letztgenannte Aspekt ist zu begrüßen, da das Gericht hiermit deutlich macht, dass die Umsetzung technischer und organisatorischer Maßnehmen eben gerade nicht an einem bestimmten Zertifikat hängt. Der Nachweis, dass solche Maßnahmen existieren, kann auch anders erbracht werden.

Kritisch betrachtet werden kann jedoch die Auffassung des OVG, dass die mit der Umsetzung der Maßnahmen verbundenen Kosten hinter den „verfolgten schützenswerten Zielen zurücktreten“ müssen. Leider wird nicht in Gänze deutlich, ob das OVG damit tatsächlich jegliche Abwägung im Rahmen der Frage der Angemessenheit der Maßnahmen ablehnt. Dies wäre mit den Vorgaben des § 9 BDSG nur schwer vereinbar. Eine Abwägung ist im Rahmen der Verhältnismäßigkeitsprüfung in jedem Fall vorzunehmen. Die Kosten für die Maßnahmen können als Abwägungskriterium nicht per se ausscheiden, weil die verfolgten Ziele schützenswert sind. Denn nach diesem Verständnis würden die Kosten niemals Eingang in die Abwägung nach § 9 S. 2 BDSG finden oder im Ergebnis ab einer gewissen Grenze überwiegen. Dieses Verständnis lässt sich jedoch dem Wortlaut des Gesetzes nicht entnehmen.

Das Urteil des OVG ist eine der wenigen Entscheidungen zu einer Einzelthematik des Datenschutzrechts und daher aus Praxissicht sicherlich willkommen. Zum Teil kann man die Auffassung des Gerichts jedoch mit guten Argumenten kritisch hinterfragen.

VGH München zum Umfang des datenschutzrechtlichen Auskunftsanspruchs

Posted on by

Der Bayerische Verwaltungsgerichtshof (VGH) hat mit Beschluss vom 29.08.2017 (Az. 5 ZB 16.2227) eine recht interessante und ausführlich begründete Entscheidung über den Umfang des datenschutzrechtlichen Auskunftsanspruchs getroffen. Zwar ging es in dem Verfahren insbesondere um die Auslegung des Art. 10 BayDSG. Jedoch ähnelt diese Vorschrift dem § 34 BDSG. Die Ausführungen des VGH lassen sich daher auch auf die Anwendung des § 34 BDSG übertragen.

Um was ging es?

Der Kläger begehrte eine umfassende Datenauskunft vom Beklagten, einer Rundfunkanstalt des öffentlichen Rechts. Dabei lag er mit der Rundfunkanstalt wohl schon länger im Clinch. So sprach die Rundfunkanstalt gegenüber dem Kläger wohl zuvor auch ein Hausverbot aus. Der Kläger wollte mit seiner Klage auf Auskunft über handschriftliche Notizen, hausinternen und der eingescannten Schriftverkehr, einschließlich der Verschlagwortung der Dokumente, Freitexte und Ordnungsmerkmale. Auch sollten Aktennotizen und Gesprächsnotizen übersendet werden. Zudem seien leere Datenfelder ebenso wie fachliche Annahmen zu beauskunften. Der Kläger meinte zudem, sein Auskunftsanspruch beziehe sich auch auf fachliche Annahmen, Abwesenheit von Datensätzen, offensichtlich bekannte Daten und Alternativschlüssel.

Der Beklagte erteilte in der Vergangenheit mehrfach Auskunft. Nur eben nicht in der Tiefe und Breite, wie sich dies der Kläger wünschte.

Urteil des VGH

Der VGH entschied vorliegend über den Antrag auf Zulassung zur Berufung. Diesen lehnte er ab.

Das Gericht begründet seine Entscheidung u.a. damit, dass der Kläger den Inhalt des Schriftverkehrs mit dem Beklagten kenne. Diesen in einer Datenauskunft zu wiederholen, weil der Schriftverkehr, wie heute weitgehend üblich, eingescannt wurde und daher „gespeichert“ ist, sei nicht Sinn und Zweck des Auskunftsanspruchs.

Der Kläger hielt hier dagegen und meinte, er kenne zwar den Schriftverkehr, aber nicht die ggf. vom Beklagten auf dem Schriftverkehr oder auf hinterlegten Freitexten angebrachten Bemerkungen, Verfahrenshinweise und Eingangsstempel mit den ggf. darauf angebrachten Vermerken. Nach Ansicht des Gerichts handelt es sich bei Eingangsstempeln (ggf. mit ergänzenden Angaben zu Umfang der Schreiben sowie zu den Anlagen und deren Umfang) und Verfahrensvermerken, die Anweisungen an Mitarbeiter enthalten wie z.B. „bitte Hausverbot beachten“ oder „gelegentlich kontrollieren“ oder auch „bitte Antwortschreiben entwerfen“, zumindest in der Regel um keine personenbezogenen Daten. Eingangsstempel und Verfahrensvermerke seien daher regelmäßig keine Einzelangaben über persönliche oder sachliche Verhältnisse einer Person.

Zudem habe der Kläger auch keinen Anspruch auf Auskunft über die Verschlagwortung der Dokumente, über Scan-Daten oder Ordnungsmerkmale, da es sich insoweit nicht um zur Person des Klägers gespeicherte Daten handelt.

Eine Verschlagwortung der Dokumente sowie Scan-Dateien und Ordnungsmerkmale schaffen keine zusätzlich gespeicherten Daten, sondern ermöglichen nur den erleichterten Zugriff auf die gespeicherten Daten.

Im Hinblick auf leere Datenfelder entschied der VGH, dass nicht besetzte (leere) Felder und „abwesende Datensätze“ zu bestimmten sachlichen oder persönlichen Einzelangaben in den Verfahrensverzeichnissen des Beklagten keine gespeicherten personenbezogenen Daten des Klägers enthielten.

Wenn eine Information nicht gespeichert ist, ergibt sich daraus keine Information über den Kläger außer der, dass darüber dem Beklagten keine Information vorliegt, jedenfalls aber keine gespeichert ist.

Der VGH befasst sich in seiner Entscheidung zudem auch noch mit weiteren Informationskategorien, die nicht beauskunftet werden müssen.

Da es in dem Beschluss auch um die Frage geht, welche Informationen „personenbezogene Daten“ darstellen, möchte ich in diesem Zusammenhang noch auf die Schlussanträge der Generalanwältin Kokott am EuGH vom 20.7.2017 (Rs. C-434/16) hinweisen. In dem Verfahren geht es um die Frage, ob Anmerkungen auf Prüfungsunterlagen durch den Korrektor als „personenbezogene Daten“ einer betroffenen Person (des Prüflings) eingestuft werden können.

Nach Ansicht der Generalanwältin sind auf der Arbeit befindliche Anmerkungen typischerweise in der Regel untrennbar mit der Arbeit verknüpft, weil sie ohne diese keinen sinnvollen Aussagewert erreichen würden. Die Arbeit selbst verkörpert personenbezogene Daten des Prüfungsteilnehmers. Und diese Daten, so die Generalanwältin, werden gerade zu dem Zweck erhoben und verarbeitet, die in den Korrekturanmerkungen verkörperte Bewertung der Leistung des Prüfungsteilnehmers zu ermöglichen.

Daher folgert sie:

Schon aufgrund dieser engen Verknüpfung zwischen der Prüfungsarbeit und den auf ihr vorgenommenen Korrekturanmerkungen sind auch Letztere personenbezogene Daten des Prüfungsteilnehmers gemäß Art. 2 Buchst. a der Datenschutzrichtlinie.

Die Generalanwältin erstreckt den Personenbezug mithin auch auf schriftliche Anmerkungen des Korrektors und geht folglich von einem weiten Verständnis des Personenbezugs aus. Die Entscheidung des EuGH steht noch aus.

Bayerische Aufsichtsbehörde veröffentlicht Hinweise und Anforderungen an den Einsatz von Facebook Custom Audience

Posted on by

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in der Vergangenheit bayernweiten 40 Unternehmen dahingehend geprüft, ob und in welcher Weise das Marketing-Werkzeug „Facebook Custom Audience“ für gezielte Werbeanzeigen auf Facebook eingesetzt wird. Gestern veröffentlichte die Behörde nun das Ergebnis ihrer Prüfung und gleichzeitig auch allgemeine Hinweise und Anforderungen, die aus Sicht des BayLDA beim Einsatz von Custom Audience zu beachten sind (Pressemitteilung und Hinweise, pdf).

Wenn man sich die Informationen und Äußerungen des BayLDA zu Custom Audience aus der Vergangenheit vor Augen führt (hier mein Blogbeitrag zum Tätigkeitsbericht 2013/2014 und hier mein Blogbeitrag zum Tätigkeitsbericht 2015/2016), sind die Aussagen der Behörde zu den datenschutzrechtlichen Voraussetzungen beim Einsatz von Custom Audience wenig überraschend. Dennoch möchte ich bereits hier anfügen, dass die Auffassung des BayLDA zumindest zum Teil sicher auch streitbar ist.

Das BayLDA trennt in seinen Hinweisen klar strukturiert zwischen der Funktion „Facebook Custom Audience über die Kundenliste“ und „Facebook Custom Audience über das Pixel-Verfahren“, wobei in letzterer Variante noch die Funktion „Erweiterter Abgleich“ eine Rolle spielt.

Facebook Custom Audience über die Kundenliste

Die Funktion „Facebook Custom Audience über die Kundenliste“, in der ein Unternehmen eine Liste erstellt, die Name, Wohnort, E-Mail-Adresse und Telefonnummer seiner Kunden oder auch nur Interessenten enthält und diese Liste dann im Facebook-Konto des Unternehmens hochlädt, damit Facebook feststellen kann, welcher Kunde Facebook-Nutzer ist, ist nach Auffassung des BayLDA nur aufgrund einer informierten Einwilligung der Kunden zulässig. Zudem weist das BayLDA darauf hin, dass das Übermitteln dieser Liste an Facebook auch auf der Basis der ab 25. Mai 2018 geltenden Datenschutz-Grundverordnung (DSGVO) seiner Ansicht nach nicht ohne Einwilligung zulässig sein wird.

Facebook Custom Audience über das Pixel-Verfahren

Die Funktion „Facebook Custom Audience über das Pixel-Verfahren“ existiert in einer einfachen Variante und in der Variante des erweiterten Abgleichs. Auf der Webseite eines Unternehmens wird ein Facebook-Pixel eingebunden. Über dieses Pixel kann Facebook (nicht der Einbindende) das Online-Verhalten des Nutzers nachvollziehen. Das BayLDA nennt beispielhaft ein typisches Szenario: „Ein Nutzer besucht einen Webshop und interessiert sich für das neueste Smartphone, legt es in den Warenkorb, schließt aber den Bestellvorgang nicht ab. Bricht der Nutzer den Bestellvorgang ab, wird auch diese Information an Facebook weitergeleitet. Der Betreiber des Webshops möchte natürlich den Kunden zurückgewinnen und kann ihn über Facebook mittels Werbung des zuvor angesehenen Smartphones locken und zur Rückkehr auf die Webshop-Seite verleiten“.

Nach Auffassung des BayLDA ist der Webseiten-Betreiber, der den Facebook-Pixel auf seiner Webseite einbindet,

im datenschutz-rechtlichen Sinne auch Verantwortlicher, da er gezielt die weitere Datenverarbeitung durch Facebook veranlasst.

Diese Auffassung des BayLDA ist sicherlich vertretbar. Jedoch existiert genau zu dieser Frage, inwieweit ein Webseitenbetreiber datenschutzrechtlich verantwortlich ist, wenn er Code einbindet, über den Dritte dann Daten der Besucher verarbeiten können, schon länger Streit. Die Frage der Verantwortlichkeit liegt derzeit dem Europäischen Gerichtshof (EuGH) im Fall der Einbindung des Facebook -Like-Buttons vor (C-40/17, Fashion ID). Das OLG Düsseldorf hat dem EuGH mit Beschluss vom 19.1.2017 (I-20 U 40/16) zur Haftung und Verantwortlichkeit übermittelt. Dies zeigt, dass die Frage der Verantwortlichkeit des Webseitenbetreibers in diesen Fällen zumindest derzeit nicht so klar zu beantworten ist, wie dies in den Hinweisen dargestellt wird. Man wird freilich davon ausgehen dürfen, dass die deutschen Aufsichtsbehörden in dieser Frage einer Meinung sein werden.

Was die Anforderungen an den Einsatz der Funktion „Facebook Custom Audience über das Pixel-Verfahren“ betrifft, so geht das BayLDA in seinen Hinweisen nur auf den „Erweiterten Abgleich“ ein. Die, wenn man so will, aus Datenschutzsicht „schlimmere“ Variante. Hierdurch ist es, über das Facebook-Pixel möglich, Kundendaten wie z. B. Vorname, Nachname, E-Mail-Adresse, usw. an Facebook zu übermitteln und mit bestehenden Tracking-Daten anzureichern. Nach Auffassung des BayLDA dürfen Webseiten-Betreiber die erweiterte Funktion nur einsetzen,

wenn sie vorab eine informierte Einwilligungserklärung aller Webseiten-Besucher einholen. Ohne wirksame Einwilligung ist die erweiterte Funktion des Facebook-Pixels datenschutzrechtlich unzulässig.

Zusätzlich müssen Hinweispflichten erfüllt werden. Der Nutzer muss also wissen, welche Daten erhoben werden, für welche Zwecke usw. Außerdem muss der Webseiten-Betreiber ein geeignetes Opt-Out-Verfahren implementieren. Und Achtung, auch an dieses stellt das BayLDA gewisse Anforderungen. So sei ein Verweis auf Webseiten von Drittanbietern (wie z. B. youronlinechoices.eu) für ein Opt-Out nicht ausreichend. Auch ein Verweis auf die URL www.facebook.com/settings stelle kein geeignetes Opt-Out-Verfahren.

Keine Anforderungen stellt das BayLDA in seinen Hinweisen jedoch an die einfache Variante des Pixel-Verfahrens auf. Wenn also nicht noch zusätzliche Daten übermittelt werden. Das bedeutet sicherlich nicht, dass der Einsatz völlig voraussetzungslos möglich ist. Jedoch kann man meines Erachtens aus dem Schwiegen des BayLDA in seinen Hinweisen schließen, dass der Einsatz des einfachen Pixel-Verfahrens ohne Einwilligung der Webseiten-Besucher zulässig ist. Jedoch muss der Webseiten-Betreiber die Nutzer über die Funktionsweise des Pixels einwandfrei in der Datenschutzerklärung informieren und eine Opt-Out-Lösung anbieten. Wie gesagt, dass BayLDA äußert sich zu den Anforderungen an das einfache Verfahren jedoch nicht ausdrücklich.

Das BayLDA informiert in seiner Pressemitteilung nicht allein zum Ausgang der Prüfung, sondern gibt Unternehmen erfreulicherweise auch direkt Handlungsempfehlungen mit auf den Weg. Für die Antwort auf Frage der Verantwortlichkeit des Webseiten-Betreibers dürfte die Entscheidung des EuGH in dem dort anhängigen Verfahren aus Deutschland von besonderer Relevanz sein.

German Court: Data Protection Authorities may not base administrative orders before the 25 May 2018 on the EU General Data Protection Regulation

Posted on by

The General Data Protection Regulation (GDPR) applies from 25 May 2018 (Art. 99 (2) GDPR). The GDPR has already entered into force on 24 May 2016. However, it does not apply until 25 May 2018. Only from this date on, the requirements of the GDPR are binding and enforceable by the data protection authorities (DPAs) in the Member States.

Facts

In Germany, the DPA of the state of Baden-Wuerttemberg at the end of 2016 was of another opinion. On 6 July 2017, the Administrative Court of Karlsruhe (with its decision in case 10 K 7698/16, pdf; in German) (Court) annulled an administrative order by the DPA of 25 November 2016, in which a credit bureau was obligated to delete claims within the meaning of Sec. 28a of the German Federal Data Protection Act (Act) and the related information about persons which the credit bureau stored, after the 24 May 2018, after the expiry of three years, starting with the date of the due date, unless the person concerned is insolvent or unwilling to pay at that time.

The DPA based its decision, among other things, on the purpose to prevent any abuses which the DPA expected to occur after 24 May 2018. The currently still valid Sec. 35 (2) sentence 2 no. 4 of the Act, which stipulates certain deadlines for the examination for the deletion of data, finds no correspondence in the GDPR and also not in the new German Federal Data Protection Act.

Although the credit bureau had announced that it intends to adapt its data erasure concept to the GDPR as of 25 May 2018, in the view of the DPA, this the announcement was merely a declaration of intent.

The judgement

The Court rightly upheld the complaint by the credit bureau against the administrative order of the DPA. There exists no legal basis for the administrative order.

The DPA also based its decision on Recital 39 GDPR, according to which, in order to ensure that personal data are not kept longer than necessary, time limits should be established by the controller for erasure or for a periodic review. However, Recital 39 GDPR does not indicate that the controller would already be obliged to create appropriate review and deletion periods before the GDPR applies.

The Court notices:

An authorization to act before the application of the GDPR – to ensure at an early stage that the regulations applicable in the future will be respected by the controller in the light of the legal opinion of the supervisory authority – cannot be inferred from the GDPR or the current Act.

This finding of the Court is relevant for companies during the time period until 25 May 2018. The Court correctly clarifies that a DPA is not allowed to enforce any provisions that are not yet applicable at all.

In addition, the DPA relied on Art. 58 (2) d) GDPR. Thereafter, a supervisory authority shall have the corrective power to order the controller or processor to bring processing operations into compliance with the provisions of this Regulation, where appropriate, in a specified manner and within a specified period. Like the entire GDPR, of course, Art. 58 GDPR is only applicable and enforceable if the GDPR applies. Therefore, only from 25 May 2018.

Urteil zur EU Datenschutz-Grundverordnung – Landesdatenschutzbehörde scheitert vor Gericht

Posted on by

Eigentlich ist die EU Datenschutz-Grundverordnung (DSGVO) erst ab 25. Mai 2018 anwendbar (Art. 99 Abs. 2 DSGVO). Die DSGVO ist zwar bereits am 24.5.2016 in Kraft getreten. Sie gilt jedoch erst ab dem 25.5.2018. Erst ab diesem Datum sind die Vorgaben der DSGVO verbindlich anzuwenden und durch die Aufsichtsbehörden durchsetzbar.

Sachverhalt

Der Landesbeauftragte für Datenschutz in Baden-Württemberg (LfDI) sah dies Ende 2016 offenbar anders. Mit Urteil vom 6.7.2017 (Az. 10 K 7698/16, pdf) hob das Verwaltungsgericht Karlsruhe (VG) nun einen Bescheid des LfDI vom 25.11.2016 auf, mit dem eine Auskunftei verpflichtet werden sollte, Forderungen im Sinne von § 28a BDSG und die mit diesen in Zusammenhang stehenden Informationen über Personen, die die Auskunftei in ihren Datenbeständen, aus denen Bonitätsauskünfte erteilt würden, nach dem 24.5.2018 speichere, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, zu löschen, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei.

Der LfDI stützte den Verwaltungsakt unter anderem darauf, dass zwar keine gegenwärtigen Datenschutzverstöße der Auskunftei unterbunden werden, jedoch Missstände verhindert werden sollten, die nach dem 24.5.2018 zu erwarten seien. Hintergrund ist, dass der noch geltende § 35 Abs. 2 S. 2 Nr. 4 BDSG, der bestimmte Fristen zur Prüfung für die Löschung von Daten vorsieht, keine Entsprechung in der DSGVO und auch nicht im neuen BDSG findet.

Die Auskunftei hatte zuvor im Schriftverkehr nicht verbindlich zugesichert, ihre Datenspeicherungspraxis ab dem 24.5.2018 entsprechend zu ändern. Zwar hatte die Auskunftei angekündigt, ihre Datenlöschkonzeption zum 25.5.2018 der DSGVO anpassen zu wollen. Bei der Ankündigung handelte es sich nach Ansicht des LfDI aber lediglich um eine Absichtserklärung, nicht hingegen um eine konkrete, vollstreckbare Zusicherung.

Daher, so der LfDI, seien künftige Datenschutzverstöße nicht auszuschließen. Zudem sei ungewiss, ob die Auskunftei den Zeitraum bis zur Geltung der DSGVO nutzen werde, um die Verarbeitung personenbezogener Daten an die neuen Vorgaben anzupassen.

Urteil des VG

Völlig zurecht gab das VG der Anfechtungsklage der Auskunftei gegen den Verwaltungsakt der Aufsichtsbehörde statt. Für die datenschutzrechtliche Verfügung liegt nämlich bereits keine Ermächtigungsgrundlage vor.

Zum einen liegen festgestellte Datenschutzverstöße durch die Auskunftei, welche seitens der Aufsichtsbehörde gerügt worden wären, der Verfügung nicht zugrunde. Dies wäre jedoch nach § 38 Abs. 5 S. 1 BDSG erforderlich; in jedem Fall müsste das künftige Verhalten durch ein bereits in Kraft getretenes Vertragswerk oder eine vergleichbare tragfähige Grundlage deutlich vorgezeichnet sein.

Unverständlicherweise wollte der LfDI seine Verfügung zudem auf § 38 Abs. 5 S. 1 BDSG i.V.m. Erwägungsgrund 39 DSGVO stützen, nach dem der Verantwortliche Fristen für die Löschung oder regelmäßige Überprüfung personenbezogener Daten vorsehen soll, um sicherzustellen, dass die Daten nicht länger als nötig gespeichert werden. Aus Erwägungsgrund 39 DSGVO ergibt sich aber nicht, dass die Verantwortliche bereits vor Geltung DSGVO verpflichtet wäre, der Verfügung entsprechende Überprüfungs- und Löschfristen zu schaffen und sie hierzu bereits vor Anwendbarkeit DSGVO durch die Aufsichtsbehörde verpflichtet werden könnte.

Eine Ermächtigung für ein Tätigwerden der Aufsichtsbehörde bereits vor Geltung der EU-Datenschutzgrundverordnung – gewissermaßen um frühzeitig sicherzustellen, dass die künftig anwendbaren Vorschriften unter Berücksichtigung der Rechtsauffassung der Aufsichtsbehörde durch die Verantwortlichen eingehalten werden – lässt sich jedoch weder der Verordnung im Wege einer Vorwirkung, noch den aktuell geltenden Bestimmungen des Bundesdatenschutzgesetzes entnehmen.

Diese Feststellung des VG ist für Unternehmen bis zum Stichtag am 25.5.2018 durchaus relevant. Denn hierdurch stellt das VG richtigerweise klar, dass eine Aufsichtsbehörde keine Vorschriften durchsetzen darf, die noch gar nicht anwendbar sind.

Der LfDI hatte zur Begründung zudem auf Art. 58 Abs. 2 lit. d) DSGVO verwiesen. Danach verfügt jede Aufsichtsbehörde über Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der Verordnung zu bringen. Wie die gesamte DSGVO, so ist aber natürlich auch Art. 58 DSGVO erst anwendbar und durchsetzbar, wenn die DSGVO Anwendung findet. Also erst ab dem 25.5.2018.

In dem Urteil äußert sich das VG zudem auch implizit zu einigen Vorschriften der DSGVO in Bezug auf die Löschung von personenbezogenen Daten.

Die derzeit geltende Regelung des § 35 Abs. 2 S. 2 Nr. 4 BDSG wird mit Neufassung des Bundesdatenschutzgesetz nicht fortbestehen. Die DSGVO enthält über den Erforderlichkeitsgrundsatz (vgl. Art. 5 Abs. 1 lit. e) DSGVO) hinaus keine konkreten Vorgaben zu den Prüf- und Löschfristen. Lediglich aus Erwägungsgrund 39 DSGVO ist zu entnehmen, dass der Verantwortliche die Dauer seiner Datenverarbeitung unabhängig von einem entsprechenden Verlangen des Betroffenen nach Art. 17 DSGVO regelmäßig zu überprüfen hat. Das VG ist der Auffassung, dass eine Überprüfung in bestimmten Intervallen erfolgen kann, so wie es beispielsweise bislang nach § 35 Abs. Absatz 2 S. 2 Nr. 4 BDSG möglich und zulässig war. Zudem weist das VG darauf hin, dass die vom LfDI für angemessen erachtete Frist, wonach Forderungen und die mit diesen in Zusammenhang stehenden Informationen über Personen, die die Klägerin in ihren Datenbeständen, aus denen Bonitätsauskünfte erteilt würden, spätestens nach Ablauf von drei Jahren, beginnend mit dem Zeitpunkt der Fälligkeit der Forderung, zu löschen seien, es sei denn, dass der Betroffene zu diesem Zeitpunkt zahlungsunfähig oder zahlungsunwillig sei, keineswegs die einzig mögliche Speicher- und Löschkonzeption darstellt, die mit der DSGVO in Einklang steht bzw. sich aus selbiger zwingend ergibt.

Vielmehr muss sich die künftige Prüf- und Löschpraxis (hier der Auskunfteien) am Erforderlichkeitsmaßstab des Art. 5 Abs. 1 lit. e) DSGVO messen lassen, der aber gerade in Hinblick auf Fristlänge und Anknüpfungsmoment einen Spielraum eröffnet. Das VG geht aber davon aus, dass innerhalb des vorhandenen Spielraums eine gewisse Bandbreite an mit der DSGVO in Einklang stehenden Prüf- und Löschfristen zulässig ist.

EuGH-Urteil zur Datenverarbeitung auf der Grundlage berechtigter Interessen

Posted on by

Am 4. Mai 2017 hat der EuGH sein Urteil in der Rechtssache C-13/16 (Rigas) gefällt. Das Urteil selbst würde ich nicht als „datenschutzrechtlichen Knaller“ bezeichnen. Weitaus unterhaltsamer und bestimmt auch streitbarer sind die Schlussanträge des Generalanwalts aus Februar 2017, auf die ich schon einmal auf Twitter hingewiesen hatte.

In seinen Schlussanträgen nimmt sich Generalanwalt Bobek die Zeit für ein „Nachwort zum Datenschutz“ (ab Rz. 91), das er damit einleitet, dass es sich vorliegend „um einen etwas sonderbaren Fall“ handelt. Und:

Der Fall erzeugt nicht nur beim uninformierten Betrachter ein gewisses gedankliches Unwohlsein mit Blick auf die angemessene Anwendung und das vernünftige Wirken von Datenschutzvorschriften.

Zudem geht der Generalanwalt auch detaillierter auf den hier interessierenden Erlaubnistatbestand der Interessenabwägung (Art. 7 lit. f) EU-Datenschutzrichtlinie) ein (ab Rz. 60). Nun aber zurück zum Urteil des EuGH.

Das Gericht befasst sich mit der Frage, wie Art. 7 lit. f) EU-Datenschutzrichtlinie auszulegen und anzuwenden ist. Danach ist die Verarbeitung personenbezogener Daten zulässig, wenn die Verarbeitung erforderlich ist zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person, die gemäß Art. 1 Abs. 1 EU-Datenschutzrichtlinie geschützt sind, überwiegen.

Zunächst stellt der EuGH fest, dass nach Art. 7 lit. f) EU-Datenschutzrichtlinie eine Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:

  • berechtigtes Interesse, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden (1),
  • Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses (2) und
  • kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person (3).

Im Hinblick auf die erste Voraussetzung stellt der EuGH fest, dass „kein Zweifel daran besteht“, dass das Interesse eines Dritten, eine persönliche Information über eine Person zu erlangen, die sein Eigentum verletzt hat, um gegen sie eine Schadensersatzklage zu erheben, berechtigt ist.

Mit Blick auf die zweite Voraussetzung, die Erforderlichkeit, geht der EuGH als Grundsatz davon aus, dass sich jegliche Ausnahmen und auch Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten stets auf das absolut Notwendige beschränken müssen. In der Praxis muss sich eine datenverarbeitende Stelle also die Frage stellen, ob es (für das Grundrecht auf Schutz personenbezogener Daten) weniger einschneidende aber ebenso effektive Möglichkeiten gibt, um das Ziel zu erreichen bzw. einen bestimmten Zweck zu erfüllen.

Bei der letzten Voraussetzung (der Interessenabwägung) ist von Bedeutung, dass sich schematische oder standardisierte Vorgaben praktisch verbieten. Der EuGH stellt vielmehr zu recht fest, dass die Abwägung der jeweiligen einander gegenüberstehenden Rechte und Interessen grundsätzlich von den konkreten Umständen des betreffenden Einzelfalls abhängt. Ein möglicher Faktor ist etwa die Beeinträchtigung der Grundrechte der Betroffenen in unterschiedlicher Intensität, je nachdem, ob die in Rede stehenden Daten z. B. öffentlich zugänglich sind oder nicht.

Die Auslegung des EuGH ist, wie bereits erwähnt, nicht absolut überraschend. Die Ausführungen des EuGH zu Art. 7 lit. f) EU-Datenschutzrichtlinie lassen sich auch auf die zukünftige Auslegung und Anwendung des Art. 6 Abs. 1 lit. f) Datenschutz-Grundverordnung übertragen.

EU-Kommission: EU-US Datenschutzschild erfüllt Anforderungen der Datenschutz-Grundverordnung

Posted on by

Von der Abgeordneten im Europaparlament, Maria Grapini, wurde die Europäische Kommission gefragt, welche Maßnahmen die Kommission zur Anpassung des seit Juli 2016 existierenden EU-US Datenschutzschildes an die EU Datenschutz-Grundverordnung (DSGVO) plant. Das Datenschutzschild stellt, wie früher Safe Harbor, eine Angemessenheitsentscheidung der Kommission zum Schutzniveau für personenbezogene Daten, die an Unternehmen in den USA übertragen werden, dar. In ihrer Antwort (txt) äußert sich die Justiz-Kommissarin Jourová recht optimistisch.

Zunächst geht die Kommission auf die an einen Angemessenheitsbeschluss zum Datenschutzniveau in einem Drittstaat zu stellende Anforderungen ein. Hierzu verweist die Kommission auf das EuGH-Urteil zu Safe Harbor (Rechtssache C?362/14). Nach Art. 25 Abs. 6 der EU-Datenschutzrichtlinie kann die Kommission feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen hinsichtlich des Schutzes der Privatsphäre sowie der Freiheiten und Grundrechte von Personen ein angemessenes Schutzniveau gewährleistet. Nach dem EuGH impliziert das Wort „angemessen“ in Art. 25 Abs. 6,

dass nicht verlangt werden kann, dass ein Drittland ein dem in der Unionsrechtsordnung garantiertes identisches Schutzniveau gewährleistet.

Das Drittland muss aber aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen tatsächlich ein Schutzniveau der Freiheiten und Grundrechte gewährleisten, das dem in der Union garantierten Niveau der Sache nach gleichwertig ist.

In Ihrer Antwort stellt die Kommission hierzu fest, dass dies bedeutet, dass ein Drittland keine „fotokopierten“ Datenschutzregelungen der EU vorhalten muss. Insbesondere müsse nicht jede einzelne Norm des europäischen Datenschutzrechts in dem Datenschutzrecht des Drittstaates vorhanden sein.

Interessant sind die Ausführungen der Kommission zu der Frage nach der Fortgeltung derzeit existierender Angemessenheitsbeschlüsse, die sich an den weniger umfassenden Anforderungen der EU-Datenschutzrichtlinie orientieren, nach der Anwendbarkeit der DSGVO ab dem 25. Mai 2018.

Nach Ansicht der Kommission fußt die DSGVO auf den Grundprinzipien und Regelungen der existierenden EU-Datenschutzrichtlinie. Der EU-US Datenschutzschild beinhalte bereits diese Kernelemente. Die Kommission geht also davon aus, dass der EU-US Datenschutzschild die Datenschutzgrundsätze, Rechte und Pflichten der DSGVO ausreichend beachtet, um auch ab Mai 2018 die Anforderungen an einen Angemessenheitsbeschluss unter der DSGVO zu erfüllen.

Dennoch weist die Kommission darauf hin, dass sie im EU-US Datenschutzschild ausdrücklich darauf hingewiesen hat (dort Erwägungsgrund 146), dass sie prüfen wird, ob im Zuge der Anwendung der DSGVO ein Bedarf für Anpassungen besteht. Diese Prüfung ist Bestandteil der vorgeschriebenen jährlichen Überprüfung des EU-US Datenschutzschilds, die für das zweite Halbjahr 2017 geplant ist.

Datenschutz nach dem Brexit: Vereinigtes Königreich strebt Angemessenheitsbeschluss der EU-Kommission an

Posted on by

Die britische Regierung hat ein Weißbuch für den Plan zum Austritt aus der Europäischen Union veröffentlicht (pdf, Stand: Februar 2017). In dem Weißbuch wird auch knapp das Thema „Datenschutz“ gestreift (S. 45).

In dem Weißbuch erkennt die britische Regierung den besonderen Stellenwert eines Datentransfers für viele Wirtschaftssektoren an. Solange das Vereinigte Königreich noch Teil der Europäischen Union ist, existieren auch keine anderen datenschutzrechtlichen Anforderungen für Unternehmen, wenn diese etwa personenbezogene Daten mit einem Dienstleister in England austauschen möchten, als wenn sie einen Dienstleister im eigenen EU-Mitgliedstaat wählen würden.

Jedoch wird sich datenschutzrechtlich der Status des Vereinigten Königreichs nach dem Brexit ändern: in ein sog. Drittland. An Datentransfers in diese Länder bestehen bekanntlich höhere datenschutzrechtliche Anforderungen. Grundsätzlich dürfen derzeit und auch unter der Datenschutz-Grundverordnung, keine personenbezogene Daten aus der EU in Drittländer übermittelt werden, die nicht über ein angemessenes Schutzniveau für personenbezogene Daten verfügen oder ein anderes besonderes Instrument, wie etwa die EU-Standardvertragsklauseln oder gesetzliche Ausnahmen, nutzen.

Die Angemessenheit des Datenschutzniveaus in einem Drittland wird durch die Europäische Kommission geprüft und bestätigt. Ein Beispiel hierfür ist etwa der Beschluss zum EU-US Datenschutzschild.

Laut dem Weißbuch möchte auch die britische Regierung in Zukunft wohl in den Genuss eines Angemessenheitsbeschlusses der Kommission kommen. Zumindest wird darauf hingewiesen, dass der Kommission diese Befugnis zusteht und die britische Regierung alles dafür tun werde, um die Beständigkeit von Datentransfers zwischen EU-Mitgliedstaaten und dem Vereinigten Königreich zu sichern.

Ob jedoch ein solcher Angemessenheitsbeschluss der Kommission so einfach erlassen wird, darüber kann man zumindest diskutieren. Dies mag verwundern, da das Vereinigte Königreich ja derzeit als Mitgliedstaat der EU qua Gesetz (der Richtlinie 95/46/EG) ein angemessenes Niveau bietet und man hinterfragen könnte, was sich denn groß ändert, wenn doch das nationale Datenschutzrecht wie bisher auch nach dem Brexit erhalten bleibt. Der Grund für eine kritische Diskussion über den Erfolg eines Angemessenheitsbeschlusses findet man jedoch in dem Konstrukt der Kompetenzen der EU. Das europäische Datenschutzrecht und allgemein die EU hat keine Wirkung bzw. keine Befugnis auf dem Gebiet der nationalen Sicherheit, insbesondere der Tätigkeit der Geheimdienste. Selbst wenn man also derzeit die Tätigkeit des britischen GCHQ kritisiert, ändert dies nichts daran, dass im Vereinigten Königreich per se ein angemessenes Datenschutzniveau existiert. Soll die Kommission jedoch das Schutzniveau im Vereinigten Königreich nach dem Brexit prüfen, so sind von dieser Prüfung auch die Tätigkeiten der Sicherheitsbehörden, deren Datenverarbeitungsmaßnahmen und entsprechende Schutzmaßnahmen für EU-Bürger umfasst (vgl. etwa das Urteil des EuGH zu Safe Harbor, C?362/14, Rz. 88). Das Vereinigte Königreich ist in diesem Moment ein Drittland und die Kommission darf (und muss) dann im Rahmen ihrer Kompetenz das Schutzniveau für personenbezogene Daten in Gänze prüfen.

Man darf also auf die Prüfung durch die Kommission gespannt sein.

Like-Button vor dem EuGH: OLG Düsseldorf möchte wissen, wer verantwortlich ist

Posted on by

Im Verfahren zwischen der Verbrauchzentrale Nordrhein-Westfalen (VZNRW) und der Fashion ID GmbH & Co. KG (ein Unternehmen der Unternehmensgruppe Peek & Cloppenburg KG) zur datenschutzrechtlichen Zulässigkeit der Einbindung des Facebook Like-Buttons auf einer Webseite, hat das OLD Düsseldorf das Verfahren ausgesetzt und dem EuGH mehrere interessante Datenschutzfragen vorgelegt (Beschluss vom 19.01.2017 – I-20 U 40/16; derzeit leider noch nicht frei zugänglich). Die Vorinstanz, das LG Düsseldorf, hatte Fashion ID u.a. dazu verurteilt, die Einwilligung von Webseitenbesuchern einzuholen, bevor über das Plugin die IP-Adresse der Besucher an Facebook übermittelt wird (Urt. v.  09.03.2016 – 12 O 151/15; hier mein Blogbeitrag zu dem Urteil).

Facebook ist dem dem Rechtsstreit auf Seiten der Beklagten beigetreten. Das OLG Düsseldorf legt dem EuGH mehrere interessante Fragen zur Auslegung der geltenden EU-Datenschutzrichtlinie (RL 95/46/EG) vor.

Zunächst möchte das Gericht aber einmal wissen, ob denn die VZNRW überhaupt klagebfugt ist. Das LG Düsseldorf hatte dies noch, auf der Grundlage von § 8 Abs. 3 Nr. 3 UWG bejaht und angenommen, die Datenschutzvorschriften des TMG seien Marktverhaltensvorschriften. Fashion ID argumentiert, dass dieses Verständnis nicht in Einklang mit der RL 95/46/EG stehe. Eine Verbandsklage sei dort nicht vorgesehen. Die Richtlinie stelle insoweit eine abschließende Regelung dar. Interessant ist diese Vorlagefrage vor allem mit Blick auf das (nicht mehr ganz) neue Verbandsklagerecht in Deutschland. Das OLG Düsseldorf lässt in seinem Beschluss  erkennen, dass es davon ausgeht, dass eine solche Verbandsklagebefugnis der RL 95/46/EG nicht entgegensteht.

Natürlich möchte das OLG dann wissen, ob der Webseitenbetreiber, der das Plugin (also Code) einbindet, datenschutzrechtlich die „verantwortliche Stelle“ ist. Hier tendiert das OLG in seiner Begründung dazu, diese Verantwortlichkeit abzulehnen und verweist dazu auch auf den Vorlagebeschluss des BVerwG zu dem ebenfalls beim EuGH anhängigen Verfahren zu Facebook Fanpages.

Eine Stelle, die weder einen rechtlichen, noch einen tatsächlichen Einfluss auf die Entscheidung hat, wie personenbezogene Daten verarbeitet werden, könne nicht als für die Verarbeitung Verantwortlicher angesehen werden (BVerwG Beschl. v. 25.02.2016, 1 C 28/14 Rn. 27, beim Gerichtshof anhängig unter C-210/16).

Das OLG Düsseldorf führt dazu richtigerweise aus, dass die gegenteilige Auffassung, allein durch die Einbindung von Dritten bereitgestellter Inhalte werde auch der Einbindende „für die Verarbeitung Verantwortlicher“ praktisch datenschutzrechtlich eine derartige Einbindung unmöglich mache. Denn der hierdurch ausgelöste Datenverarbeitungsvorgang ist für den Einbindenden nicht zu kontrollieren.

Interessant ist dann die Anschlussfrage des OLG, wenn keine datenschutzrechtliche Verantwortlichkeit angenommen wird. Man könnte dann nämlich über eine (m.E. abzulehnende Anwendung der Figur des „Störers“) nachdenken. Insofern stellt sich dann die Frage, ob Art. 2 Buchst. d) RL 95/46/EG insofern abschließend ist, als eine zivilrechtliche Haftung für von Dritten zu verantwortenden Datenschutzverstößen ausgeschlossen ist und die Haftung auf die Verantwortlichen beschränkt ist.

Wie auch das Vorlageverfahren des BVerwG (C-210/16), so ist auch dieses Verfahren von praktischer Relevanz. Im hiesigen Verfahren am OLG insofern eventuell in einer noch gesteigerten Form, da in der Praxis sowohl auf Webseiten und in Apps massenweise tagtäglich Plugins eingebunden werden. Eine datenschutzrechtliche Klärung ist daher zu begrüßen. Eventuell muss man sich aber mit dem Gedanken anfreunden, dass ein Urteil des EuGH erst nach dem 25. Mai 2018 und damit erst dann gefällt wird, wenn die Datenschutz-Grundverordnung (DSGVO) anwendbar ist und die RL 95/46/EG nicht mehr existiert. Nichtsdestotrotz ist die Frage nach der datenschutzrechtlichen Verantwortlichkeit und auch ein möglicher Rückgriff auf die Figur der Störerhaftung auch unter der DSGVO relevant.

Internationale Datentransfers: EU Kommission ändert Angemessenheitsbeschlüsse und Standardvertragsklauseln

Posted on by

Gestern habe ich hier im Blog noch darüber berichtet, dass die geltenden Angemessenheitsbeschlüsse für das Schutzniveau personenbezogener Daten in Drittstaaten als auch die Beschlüsse zu den geltenden EU Standardvertragsklauseln überarbeitet wurden und die europäischen Datenschützer (Art. 29 Datenschutzgruppe) im Rahmen dieser Überarbeitung eine interessante Stellungnahme abgegeben haben.

Nun wurde ich darauf aufmerksam gemacht, dass die finalen Durchführungsbeschlüsse der Kommission am 17. Dezember 2016 im Amtsblatt der Europäischen Union veröffentlicht wurden. Zur Änderung der Beschlüsse über die Standardvertragsklauseln und zur Änderung der Beschlüsse über die Angemessenheit des Schutzes personenbezogener Daten in bestimmten Drittländern.

Die an den geltenden Beschlüssen vorgenommenen Ergänzungen betreffen jeweils Artikel, die sich mit den Befugnissen der nationalen Datenschutzbehörden befassen.

In den Beschlüssen zu den Standardvertragsklauseln wird jeweils Artikel 4 angepasst. Die Ausübung der Befugnisse der Datenschutzbehörden, insbesondere im Fall einer Untersagung eines Datentransfers in einen Drittstaat, wird nun nicht mehr von bestimmten Voraussetzungen abhängig gemacht, die erfüllt sein müssen, bevor die Befugnis ausgeübt werden kann. In seinem Schrems-Urteil hatte der Europäische Gerichtshof diese Beschränkung der Befugnisse der nationalen Behörden kritisiert und die Safe Harbor-Entscheidung unter anderem aus diesem Grund für ungültig erklärt. Nach den neuen Artikeln 4 müssen die Mitgliedstaaten die Europäische Kommission nun nur noch informieren, wenn eine Aufsichtsbehörde einen Datentransfer, der auf der Grundlage von Standardvertragsklauseln stattfindet, untersagt.

Wichtig, insbesondere für die Praxis, dürfte der Hinweis sein, dass der Text der Standardvertragsklauseln selbst, also jener Teil der Beschlüsse der Kommission, der von den Parteien, die Daten austauschen, zu unterzeichnen ist, nicht abgeändert wird. Die Änderungen beziehen sich nicht auf den Vertrag selbst, sondern auf das dahinterliegende System der Überwachung, Prüfung und Durchsetzung der europäischen Regelungen durch die nationalen Behörden.

Eine solche angepasste Regelung findet sich nun auch in den jeweiligen Angemessenheitsentscheidung der Kommission zum Schutzniveau in Drittstaaten. Dort wird jeweils Artikel 3 angepasst. Zudem wird jedoch in einem neuen Artikel 3a die Kommission dazu verpflichtet, die Entwicklungen in der Rechtsordnung des jeweiligen Drittstaates laufend zu überwachen, die die Funktionsweise der jeweiligen Angemessenheitsentscheidung beeinträchtigten könnten. Zudem werden die Kommission aber auch die Mitgliedstaaten dazu verpflichtet, sich gegenseitig zu unterrichten, wenn Anhaltspunkte dafür vorliegen, dass Eingriffe der Behörden des jeweiligen Drittstaates in das Recht von Privatpersonen den Schutz ihrer personenbezogenen Daten über das absolut notwendige Maß hinausgehen und/oder dass kein wirksamer Rechtsschutz vor derartigen Eingriffen in den Drittstaat besteht.