Category Archives: USA

Juristischer Dienst des Europäischen Parlaments: EuGH urteilte nicht zu US-Gesetzen

Posted on by

Gestern fand im Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des Europäischen Parlaments eine Aussprache zum Safe Harbor-Urteil des EuGH statt. Unter anderem präsentierte ein Vertreter des juristischen Dienstes des Europäischen Parlaments die Kernelemente der Entscheidung.  Das Video zu der Aussprache ist hier abrufbar. Die Präsentation beginnt ab ca. 15.18.00.

Meines Erachtens von besonderer Relevanz und begrüßenswert sind die Feststellungen des juristischen Dienstes im Hinblick auf jene Urteilsgründe, in denen sich der EuGH mit der Zulässigkeit der Überwachung der Kommunikation durch stattliche Behörden befasst. In der Berichterstattung zu dem Urteil wurde oft auf die Rz. 93, 94 und 95 verwiesen, die ich hier noch einmal abbilde:

93 Nicht auf das absolut Notwendige beschränkt ist eine Regelung, die generell die Speicherung aller personenbezogenen Daten sämtlicher Personen, deren Daten aus der Union in die Vereinigten Staaten übermittelt wurden, gestattet, ohne irgendeine Differenzierung, Einschränkung oder Ausnahme anhand des verfolgten Ziels vorzunehmen und ohne ein objektives Kriterium vorzusehen, das es ermöglicht, den Zugang der Behörden zu den Daten und deren spätere Nutzung auf ganz bestimmte, strikt begrenzte Zwecke zu beschränken, die den sowohl mit dem Zugang zu diesen Daten als auch mit deren Nutzung verbundenen Eingriff zu rechtfertigen vermögen (vgl. in diesem Sinne, in Bezug auf die Richtlinie 2006/24/EG des Europäischen Parlaments und des Rates vom 15. März 2006 über die Vorratsspeicherung von Daten, die bei der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste oder öffentlicher Kommunikationsnetze erzeugt oder verarbeitet werden, und zur Änderung der Richtlinie 2002/58/EG [ABl. L 105, S. 54], Urteil Digital Rights Ireland u. a., C?293/12 und C?594/12, EU:C:2014:238, Rn. 57 bis 61).

94 Insbesondere verletzt eine Regelung, die es den Behörden gestattet, generell auf den Inhalt elektronischer Kommunikation zuzugreifen, den Wesensgehalt des durch Art. 7 der Charta garantierten Grundrechts auf Achtung des Privatlebens (vgl. in diesem Sinne Urteil Digital Rights Ireland u. a., C?293/12 und C?594/12, EU:C:2014:238, Rn. 39).

95 Desgleichen verletzt eine Regelung, die keine Möglichkeit für den Bürger vorsieht, mittels eines Rechtsbehelfs Zugang zu den ihn betreffenden personenbezogenen Daten zu erlangen oder ihre Berichtigung oder Löschung zu erwirken, den Wesensgehalt des in Art. 47 der Charta verankerten Grundrechts auf wirksamen gerichtlichen Rechtsschutz. Nach Art. 47 Abs. 1 der Charta hat nämlich jede Person, deren durch das Recht der Union garantierte Rechte oder Freiheiten verletzt worden sind, das Recht, nach Maßgabe der in diesem Artikel vorgesehenen Bedingungen bei einem Gericht einen wirksamen Rechtsbehelf einzulegen. Insoweit ist schon das Vorhandensein einer wirksamen, zur Gewährleistung der Einhaltung des Unionsrechts dienenden gerichtlichen Kontrolle dem Wesen eines Rechtsstaats inhärent (vgl. in diesem Sinne Urteile Les Verts/Parlament, 294/83, EU:C:1986:166, Rn. 23, Johnston, 222/84, EU:C:1986:206, Rn. 18 und 19, Heylens u. a., 222/86, EU:C:1987:442, Rn. 14, sowie UGT?Rioja u. a., C?428/06 bis C?434/06, EU:C:2008:488, Rn. 80).

Vor allem aus der Feststellung in Rz. 94 könnte man schließen, dass es sich dabei um „Regelungen“ in US-Gesetzen handelt oder dass der EuGH mit „Regelungen“ ausländische Vorschriften anspricht. Doch dies ist gerade nicht der Fall. Der EuGH bezieht sich in diesen Randnummern auf das Schutzniveau innerhalb der EU und was im Rahmen dieses Schutzniveaus gesetzlich nicht zulässig ist.

Klar wird der Bezug auf das europäische Recht auch, wenn man Rz. 96 betrachtet. Dort fasst der EuGH noch einmal zusammen, dass eine Angemessenheitsentscheidung eines Mitgliedstaates oder der EU-Kommission mit Blick auf das Schutzniveau in einem Drittstaat begründete Feststellungen enthalten muss,

dass das betreffende Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder internationaler Verpflichtungen tatsächlich ein Schutzniveau der Grundrechte gewährleistet, das dem in der Rechtsordnung der Union garantierten Niveau, wie es sich insbesondere aus den vorstehenden Randnummern des vorliegenden Urteils ergibt, der Sache nach gleichwertig ist. (Hervorhebung durch mich)

Der EuGH bezieht sich hier noch einmal auf die Rz. 93 ff. und macht deutlich, dass es sich in den Ausführungen in diesen Randnummern um das in der Union garantierte Schutzniveau und die (grund)rechtlichen Vorgaben innerhalb der EU geht. Gegenstand der Begutachtung war nicht das amerikanische Recht. Inhalt eines Angemessenheitsbeschlusses muss damit die Feststellung sein, dass die Gesetze und/oder Verpflichtungen aus internationalen Abkommen in dem Drittstaat dieses in der Union garantierte Niveau (welches sich aus den Rz. 93 ff ergibt) nicht unterschreiten. Der EuGH gibt dem Grund nach also im Groben vor, welches Schutzniveau in der Union mit Blick auf die Überwachung durch Geheimdienste und Rechtsschutzmöglichkeiten für Bürger gilt und dass dieses Niveau gleichwertig in einem Drittland existieren muss. Ob dies für die USA der Fall ist, dazu hat sich der EuGH nicht verhalten. In der zu beurteilenden Safe Harbor-Entscheidung wurde schlicht die gesetzlich erforderliche Feststellung zum Schutzniveau nicht vorgenommen. Aus diesem Grund ist Safe Harbor ungültig.

Update vom 14.10.2015:

In einem Interview mit dem „The Wall Street Journal“ stellt auch der neue Präsident des EuGH noch einmal ausdrücklich klar, dass das Urteil sich nicht mit den Vorgaben und dem Schutzumfang des amerikanischen Rechts befasst, sondern allein das Schutzniveau innerhalb der EU und die europäischen Voraussetzungen für Datentransfers im Blick hat:

We are not judging the U.S. system here; we are judging the requirements of EU law in terms of the conditions to transfer data to third countries, whatever they may be.

Datenschutz im vernetzten Auto: Neuer Gesetzesvorschlag aus den USA

Posted on by

Das Thema „Datenschutz und Datensicherheit im vernetzten Auto“ stellt sowohl die Wirtschaft als auch die Politik vor gewisse Herausforderungen. Viele der geltenden gesetzlichen Regelungen passen nicht mehr eins zu eins auf Informationsflüsse, die in einem „Smart Car“ stattfinden. Zudem wird auch darüber nachgedacht, ob es neuer Grundsätze und Prinzipien bedarf, um einen angemessenen Ausgleich zwischen den berechtigten Interessen der Beteiligten, der Wirtschaft (Nutzung und Verwertung der Daten) und den Betroffenen (Schutz der personenbezogenen Daten), herzustellen.

In Deutschland hat sich zuletzt Bundesjustizminister Maas öffentlich zu dem Thema geäußert und aus seiner Sicht wichtige Prinzipien aufgestellt, die in Zukunft beim Betrieb eines Smart Car beachtet werden sollten. So schlägt der Minister vor, schon bei der Entwicklung von neuen Fahrzeugen den Datenschutz zu berücksichtigen (Privacy by Design). Auch Prinzipien der Datenvermeidung und Datensparsamkeit müssen seiner Ansicht nach leitende Grundsätze sein. Zudem müsse es immer einen Aus-Knopf geben. Halter und Fahrer sollten das Recht und die Möglichkeit haben, Datenübermittlung zu erkennen, zu kontrollieren und gegebenenfalls auch zu stoppen.

Bereits im November 2014 veröffentlichte der Verband der Automobilindustrie (VDA) seine „Datenschutz-Prinzipien für vernetzte Fahrzeuge“ (PDF). Zweck dieser Prinzipien ist es, ergänzend zu den bestehenden gesetzlichen Regelungen in Deutschland, gemeinsame Datenschutz-Prinzipien für vernetzte Fahrzeuge aufzustellen. Die Prinzipien umfassen drei Kernpunkte: Transparenz, Selbstbestimmung und Datensicherheit.

In den USA haben nun zwei Senatoren einen Gesetzentwurf vorgelegt, um Verbraucher vor Gefahren für die Privatsphäre und die Sicherheit des vernetzten Autos zu schützen, den „Security and Privacy in Your Car Act of 2015“ oder kurz: SPY Car Act (PDF; über die Angemessenheit der Namenswahl lässt sich sicher streiten). Nachfolgend möchte ich einen kurzen Überblick zu den vorgeschlagenen Regelungen des SPY Car Act geben.

Die Vorgaben des Gesetzesentwurfs gliedern sich in zwei Obergruppen. Vorschriften zur Datensicherheit und Vorgaben zum Umgang mit personenbezogenen Daten, die beim Betrieb eines vernetzten Fahrzeugs entstehen.

Datensicherheit
Jegliches Fahrzeug, welches zum Vertrieb in den USA bestimmt ist, soll gewisse Sicherheitsstandards erfüllen. So müssen alle Zugangspunkte, durch die auf Daten aus dem Fahrzeug direkt oder indirekt zugegriffen werden kann, in einer angemessenen Art und Weise gegen unbefugten Zugriff geschützt werden. Hierzu gehört auch die Vorgabe, Systeme mit besonders kritischer Infrastruktur getrennt von anderen Komponenten zu verwenden. Auch eine Pflicht zur ständigen Prüfung der technischen Schutzvorkehrungen durch die Hersteller wird vorgesehen.

Im und am Fahrzeug, etwa durch Sensoren, gesammelte Daten, müssen des weiteren gegen unbefugten Zugriff geschützt sein. Dies gilt sowohl für ihre Speicherung im Fahrzeug selbst, als auch für ihre Übermittlung an Dritte und den Transportweg.

Zudem soll jedes Fahrzeug verpflichtend ein sog. „Cyber Dashboard“ enthalten, eine Übersicht zu den durch den Hersteller implementierten Sicherheitsvorkehrungen, die zum Schutz der Daten im Fahrzeug getroffen wurden. Die Informationen sollen in der Form einer standardisierten und leicht verständlichen Grafik dargeboten werden.

Datenschutz
Mit Blick auf den Schutz personenbezogener Daten und die Verarbeitung eben dieser, sieht der Entwurf vor, dass bestimmte Prinzipien zu beachten sind. Hier ähnelt der Vorschlag den Datenschutz-Prinzipien des VDA.

Transparenz: In jedem Fahrzeug sollen dem Eigentümer oder Mieter/Leasingnehmer verständliche und in einfacher Sprache abgefasste Informationen präsentiert werden, in denen über die Datenerhebung, -übermittlung, -speicherung und –nutzung aufgeklärt wird.

Kontrolle: Zudem soll es in jedem Fahrzeug die Möglichkeit für die Betroffenen geben, die Datenerhebung und –speicherung zu unterbinden. Gleichzeitig wird jedoch vorgegeben, dass durch eine solche Unterbindung, Bundesjustizminister Maas würde von dem „Aus-Knopf“ sprechen, keinen Einfluss auf die Nutzung des Navigationssystems oder anderer Funktionen haben soll. Zumindest soweit dies technisch möglich ist.

Datennutzungsbeschränkungen: Zuletzt sieht der Gesetzesentwurf vor, dass der Autohersteller und auch der Zulieferer die aus einem Fahrzeug erhobenen Daten nur dann für Werbe- und Marketingzwecke nutzen dürfen, wenn der Betroffene zuvor ausdrücklich eingewilligt hat. Der SPY Car Act definiert auch die Voraussetzungen zur Einholung der Einwilligung. Diese muss deutlich sichtbar und eindeutig erfolgen. Zudem muss sie von einfacher und leicht verständlicher Sprache begleitet sein. Und zuletzt darf die Erteilung der Einwilligung nicht Voraussetzung für die Nutzung von Funktionen des Fahrzeugs sein, die keinen Werbezwecken dienen.

Fazit
Gerade die Vorgaben zur Datensicherheit erinnern an in Deutschland und Europa bereits bekannte Prinzipien der sog. technischen und organisatorischen Maßnahmen (§ 9 BDSG und Anlage sowie Artikel 17 der Datenschutz-Richtlinie (RL 95/46/EG)). Auch dort werden für den Umgang mit personenbezogenen Daten auf technischer Ebene gewisse Vorgaben festgeschrieben. Dies jedoch abhängig von der jeweiligen Situation und orientiert am Prinzip der Verhältnismäßigkeit. Spezielle, auf das Smart Car abgestimmte Vorgaben existieren in Deutschland jedoch nicht.

Auch die Vorschriften zum Umgang mit personenbezogenen Daten dürften in Europa und Deutschland nicht für totales Erstaunen sorgen. Denn bereits derzeit gelten Prinzipien wie die Transparenz der Datenverarbeitung oder auch die Vorgaben an eine wirksame Einwilligung auch bei uns.

Datenschutzreform: Deutschland fordert mehr Sicherheit bei internationalen Datentransfers

Posted on by

Wie bereits berichtet, stehen die Verhandlungen im Rat der Europäischen Union zur geplanten Datenschutz-Grundverordnung (DS-GVO) kurz vor ihrer finalen Phase. Im Juni soll der Ministerrat den gemeinsamen Standpunkt beschließen, um danach mit der Kommission und dem europäischen Parlament in die sog. Trilog-Verhandlungen einsteigen zu können.

Die deutsche Delegation möchte die noch verbleibende Zeit für Änderungen am Gesetzestext im Gremium der Mitgliedstaaten offensichtlich so gut wie möglich nutzen und schlägt in einem Arbeitspapier vom 18. Mai 2015 (PDF) in der zuständigen Ratsarbeitsgruppe (Dapix) einige wichtige Änderungen an den geplanten zukünftigen Vorschriften zur Regelung von internationalen Datentransfers vor. Zudem sollen, nach dem Willen Deutschlands, personenbezogene Daten aus Europa besser vor einem unkontrollierten Zugriff durch Behörden aus Drittstaaten geschützt werden.

Anforderungen an einen neuen ‚Safe Harbor‘
Die deutsche Delegation möchte Artikel 41, in dem es um die Voraussetzungen für die Feststellung eines angemessenen Schutzniveaus für personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftraums geht, anpassen. Nach geltender und auch derzeit geplanter zukünftiger Rechtslage, dürfen personenbezogene Daten grundsätzlich nicht in Drittstaaten transferiert werden. Es bestehen jedoch Ausnahmen, wie etwa der Abschluss sog. Standardvertragsklauseln oder das Vorliegen eines Angemessenheitsbeschlusses der Kommission, in dem sie einen angemessenen Schutz von personenbezogenen Daten in einem Drittstaat feststellen kann. Dann sind Übermittlungen in dieses Land grundsätzlich erlaubt.

Besonders in der Kritik stand zuletzt der Angemessenheitsbeschluss der Kommission für Datentransfers in die USA, das sog. Safe Harbor-Abkommen (wobei es sich eigentlich nicht um ein internationales Abkommen handelt. Zur Rechtsnatur von Safe Harbor, hatte ich bereits gebloggt).

Deutschland möchte nun besondere Voraussetzungen in der DS-GVO festschreiben, die erfüllt sein sollten, um ein angemessenes Schutzniveau für Daten attestieren zu können. Im Prinzip also eine Art Checkliste für die Kommission. Wenn der Drittstaat eine internationale Vereinbarung zum Datenschutz oder andere internationale Verpflichtungen mit anderen Staaten eingegangen ist, so sollte sich der Drittstaat vor allem dazu verpflichten, dass

  • eine effektive Aufsicht durch Behörden, insbesondere durch die Beteiligung europäischer Datenschutzbehörden, sichergestellt ist, und
  • den Betroffenen muss die Möglichkeit effektiver Rechtsschutzmechanismen eröffnet werden.

Diese Forderungen sind nicht unkritisch. Handelt es sich doch gerade bei dem letzten Punkt um jenes Thema, welches sowohl im Rahmen der derzeitigen Verhandlungen zur Überarbeitung von Safe Harbor als auch im Rahmen des EU-US Datenschutzabkommens für den Bereich der Justiz und Strafverfolgung für den meisten Diskussionsstoff sorgt.

Eingeschränkte Anti-FISA-Klausel
Zudem schlägt die deutsche Delegation die (Wieder-)Einführung der sog. „Anti-FISA-Klausel“ vor (neuer Artikel 42a). Zumindest eingeschränkt.

Hierbei handelt es sich um eine Bestimmung, welche die Weitergabe von Daten aus Europa auf Verlangen von Gerichten und Behörden aus Drittstaaten grundsätzlich verbieten und von der Zustimmung europäischer Datenschutzbehörden abhängig machen soll. Im ersten offiziellen Entwurf der DS-GVO war diese Klausel nicht enthalten. In einer früheren inoffiziellen Fassung existierte sie noch.

Das Europäische Parlament hat die Wiedereinführung dieser Klausel ebenfalls im Rahmen seiner Stellungnahme zur DS-GVO im März 2014 gefordert (dort Artikel 43a).

Im Unterschied zum Vorschlag des Parlaments möchte Deutschland das Weitergabeverbot von Daten an Behörden aus Drittstaaten jedoch dann nicht zur Anwendung bringen, wenn diese Anfragen im Rahmen von Rechtshilfeabkommen oder anderer internationaler Vereinbarung erfolgen. Zudem soll eine Autorisierung durch eine europäische Datenschutzbehörde dann nicht erforderlich sein, wenn die Datenweitergabe dem Zweck der Aufklärung oder Verfolgung von Straftaten dient. Das Parlament sah entsprechende Ausnahmen nicht vor.

Fazit
Salopp ausgedrückt, gibt Deutschland auf den letzten Metern der Verhandlungen zur DS-GVO noch einmal Gas. Dies vor allem im Sinne einer Erhöhung der Anforderungen an den Schutz von personenbezogenen Daten. Leider stand das deutsche Verhalten im Rat in den letzten Monaten öffentlich eher in der Kritik. Vielleicht wird ja nun auch einmal über positive Vorstöße berichtet.

USA: Spezielles Datenschutzgesetz für Uber & Co

Posted on by

In den Vereinigten Staaten von Amerika wird derzeit über ein mögliches Gesetz verhandelt, welches den Umgang mit personenbezogenen Daten rund um das Angebot von mobilen Fahrdiensten durch Privatpersonen, wie sie etwa von Uber oder Lyft angeboten werden, strenger reglementieren soll.

Im Bundesland Kalifornien wurde im Februar 2015 ein entsprechender Gesetzesvorschlag durch den Abgeordneten Chau in das Abgeordnetenhaus eingebracht (Informationen zu dem „Passenger Privacy Act of 2015“ gibt es hier). Der Gesetzesentwurf wurde Ende März 2015 durch das Abgeordnetenhaus mit einigen Änderungen versehen (hier der Gesetzesentwurf mit Änderungen) und muss erneut verhandelt werden.

Nach dem Gesetzesvorschlag wäre es Anbietern von sog. „Transportdienstleistungsnetzwerken“ verboten, personenbezogene Daten von Kunden zu erheben, außer eine gesetzlich bestimmte Voraussetzung ist erfüllt. Bei diesen Anbietern handelt es sich laut dem Gesetzesentwurf um solche Unternehmen, welche in Kalifornien Transportdienstleistungen durch Taxis oder andere vorher festgelegte Transportdienstleistungen für eine Gegenleistung erbringen und dafür unter anderem Internet-basierte Dienste nutzen, um mit den Passagieren in Kontakt zu treten.

Dies ist etwa der Fall, wenn die Daten erforderlich sind, um die Buchung von Geld im Zusammenhang mit der Inanspruchnahme des Dienstes vornehmen zu können oder zur Verhinderung oder Aufdeckung von Missbrauch oder Identitätsdiebstahl. Zudem dürfen die Daten nur für die im Gesetz bestimmten Zwecke verwendet werden.
Auch die Weitergabe der Daten an Dritte ist grundsätzlich untersagt, es sei denn, ein Landes- oder Bundesgesetz verpflichtet den Diensteanbieter zur Weitergabe oder eine Übermittlung der Daten an ein Finanzinstitut ist erforderlich, um die Dienstleistung abzurechnen.

Daneben sieht der Gesetzesentwurf vor, dass ein Anbieter von Transportdienstleistungsnetzwerken von Verbrauchern verlangen darf, dass diese sich bei dem Dienst einen Nutzeraccount anlegen müssen. Im Zusammenhang mit dem der Eröffnung, Aktualisierung und Aufrechterhaltung des Accounts darf der Diensteanbeiter dann auch diejenigen personenbezogenen Daten von dem Nutzer einfordern, welche hierfür erforderlich sind. Zudem muss der Anbieter von einem Transportdienstleistungsnetzwerk für Nutzer die Möglichkeit bereithalten, dass diese ihren Account jederzeit löschen können. Im Zuge dessen muss der Anbieter dann alle personenbezogenen Daten in einer „sicheren“ Weise löschen. Doch nicht nur dann müssen die Daten gelöscht werden. Auch in dem Fall, dass die einmal erhobenen Daten nicht mehr erforderlich sind, um die in dem Gesetz beschriebenen Zwecke zu verfolgen.

Anders als in Deutschland, wird in Amerika das Datenschutzrecht überwiegend sektoral reguliert. Auch der hier angesprochene Gesetzesentwurf ist ein weiteres Beispiel für ein solches Vorgehen. Dennoch sind die in dem Entwurf vorgeschlagenen datenschutzrechtlichen Pflichten aus Sicht des europäischen und auch deutschen Datenschutzrechts keine „Unbekannten“. Gerade der dort auftauchende Zweckbindungsgrundsatz oder auch die Pflicht zur Löschung von nicht mehr erforderlichen Daten, ist im europäischen Datenschutzrecht fest verankert.

USA: Obama kündigt neue Gesetze zur IT-Sicherheit und zum Datenschutz an

Posted on by

Im Rahmen eines Besuchs bei der amerikanischen Federal Trade Commission (FTC), hat Präsident Obama mehrere Initiativen angekündigt, um zukünftig sowohl die IT-Sicherheit bei Unternehmen und Behörden zu erhöhen als auch den Schutz personenbezogener Daten in den USA zu stärken.

Zu den vorgeschlagenen Initiativen und Maßnahmen hat das Weiße Haus ein übersichtliches „Fact Sheet“ veröffentlicht.

Datensicherheit
So beinhaltet das Maßnahmenpaket unter anderem den Gesetzesvorschlag für den „Personal Data Notification & Protection Act“. Dieser Vorschlag hat vor allem die Datensicherheit und ganz konkret Sicherheitsverletzungen im Auge. Mit dem Gesetz sollen die Pflichten von Unternehmen im Fall der Verlustes oder widerrechtlichen Zugriffs auf Daten klarer gefasst werden. Kunden sollen danach innerhalb von 30 Tagen benachrichtigt werden, wenn es zu einer Sicherheitsverletzung kommt. Auf der anderen Seite sollen die Neureglungen einen einheitlichen, nationalen Standard und damit eine Erleichterung in der täglichen Praxis für Unternehmen darstellen.

Datenschutz bei Schülern
Anders als in Europa wird in den USA der Datenschutz sektoral geregelt. Es gibt also spezielle Gesetze, welche den Umgang mit personenbezogenen Daten in einer besonderen Situation oder etwa in einem Wirtschaftszweig regeln. Präsident Obama kündigt den Entwurf für ein neues Gesetz an, welches den Schutz von personenbezogenen Daten sicherstellen soll, die im Zusammenhang mit dem Unterricht an Schulen und Bildungseinrichtungen erhoben wurden. Der „Student Digital Privacy Act“. Danach soll es Unternehmen verboten werden, personenbezogene Daten von Schülern oder Studenten an Dritte zu anderen Zweck zu verkaufen, die nicht mit dem Bildungsauftrag im Zusammenhang stehen. Auch personalisierte Werbung auf der Grundlage der im Zusammenhang mit der Ausbildung und dem Unterricht erhobenen Daten soll ausgeschlossen werden. Dennoch soll eine Datenverarbeitung für wichtige Forschungsinitiativen, etwa um die Lernergebnisse zu verbessern, möglich sein. Auch die Anstrengungen von Unternehmen zur kontinuierlichen Verbesserung der Wirksamkeit technischer Lernmittel und hiermit im Zusammenhang stehende Datenverarbeitungen sollen nicht behindert werden.

Verbraucherschutz im Internet
Daneben möchte Präsident Obama wichtige Grundprinzipien bei dem Umgang mit personenbezogenen Daten von Nutzern im Internet gesetzlich festschreiben. Hierzu soll auf der bereits im Jahr 2012 vorgestellten „Consumer Privacy Bill of Rights“ (PDF) aufgebaut werden. Zu den Grundprinzipien der Datenverarbeitung gehören nach diesem Gesetzesvorschlag u. a. die individuelle Kontrolle über personenbezogene Daten, die Transparenz in Bezug auf die Erhobenen Daten und deren Verwendung sowie eine Zweckbestimmung der Datenverarbeitung, dass also Daten nicht für gänzlich andere bzw. mit dem Erhebungszweck unvereinbare Zwecke genutzt werden. Diese Prinzipien sind den Europäern aus der geltenden Datenschutzrichtlinie und den nationalen Gesetzen bereits bekannt. Nach einer Phase der öffentlichen Konsultation zu einem überarbeiteten Gesetzesentwurf soll dieser neue Gesetzestext in den USA nun innerhalb von 45 Tagen vorgestellt werden.

Bis zu 15 Mio. Euro: Niederländische Datenschutzbehörde verhängt Zwangsgeld gegen Google

Posted on by

Die niederländische Datenschutzbehörde (CBP) gab gestern bekannt, dass sie im Zuge behördlicher Anordnungen gegenüber Google ein Zwangsgeld verhängt habe, dessen Höhe bis zu einem Betrag von 15 Mio. Euro steigen kann.

Nach Angaben der Behörde bietet Google seine Dienste in den Niederlanden unter Verstoß gegen das nationale Datenschutzrecht an. Im November 2013 hat die CBP ein umfassendes Gutachten (PDF, Englisch) veröffentlicht, in dem die datenschutzrechtliche Zulässigkeit der Datenverarbeitung durch die Dienste von Google untersucht wird. Auf der Grundlage der Ergebnisse dieses Gutachtens geht die Behörde nun gegen das amerikanische Unternehmen vor.

Die CBP fordert Google insbesondere zu drei umzusetzenden Maßnahmen auf:

  • Das Unternehmen muss die Einwilligung seiner Nutzer einholen, wenn es personenbezogene Daten aus verschiedenen Diensten kombiniert. Die Einwilligung müsse „ohne jeden Zweifel“ erfolgen, was derzeit nicht sichergestellt sei. So stört sich die Behörde insbesondere daran, dass Google Informationen zu dieser Verknüpfung von Daten in seinen Nutzungsbedingungen und der Datenschutzerklärung bereitstelle, was jedoch nicht ausreichend sei.
  • Zudem müssten die Informationen in den Datenschutzerklärungen darüber, wie verschiedene Dienste von Google personenbezogene Daten nutzen, deutlicher und umfassender bereitgestellt werden.
  • Auch solle Google deutlich machen, dass es sich bei YouTube um einen Dienst von Google handelt. In den Niederlanden habe Google hinsichtlich dieser letzten Forderungen bereits Maßnahmen ergriffen.

Das Vorgehen der CBP steht im Zusammenhang mit einer europaweit angelegten Prüfung der Datenschutzbestimmungen und Datenverarbeitung durch Google, die seit 2012 durch die französische Datenschutzbehörde koordiniert und im Rahmen der sog. Art. 29 Datenschutzgruppe durchgeführt wird. In mehreren Ländern haben Datenschutzbehörden bereits verwaltungsrechtliche Verfahren gegen Google eröffnet. So etwa die spanische Datenschutzbehörde (mein Beitrag) als auch die französische Aufsichtsbehörde (mein Beitrag). In Deutschland hat der Hamburgische Datenschutzbeauftragte im September 2014 eine Anordnung gegen das Unternehmen erlassen.

Erst jüngst hat die Art. 29 Datenschutzgruppe im Zusammenhang mit diesen Verfahren auch eine Stellungnahme veröffentlicht, wie aus ihrer Sicht die Datenschutzerklärung von Google angepasst werden könnte, um den datenschutzrechtlichen Ansprüchen in Europe zu genügen. Man könnte auch von einem „Hausaufagbenheft“ für Google sprechen (mein Beitrag dazu).

In den Niederlanden hat Google nun bis Februar 2015 Zeit, um die Forderungen der CBP umzusetzen. Sollte das Unternehmen dem nicht nachkommen, so kündigt die Behörde bereits an, dass ein Zwangsgeld bis zu einer Höhe von 15 Mio. Euro verhängt werden könnte.

Internationale Datentransfers: Neues Prüfverfahren durch europäische Behörden

Posted on by

Die Übermittlung von personenbezogenen Daten aus der EU bzw. aus dem EWR in einen sog. Drittstaat, stellt Unternehmen regelmäßig vor die Herausforderung, bestimmte datenschutzrechtliche Anforderungen zu erfüllen, um den Datenfluss zu legitimieren. Nach der europäischen Datenschutzrichtlinie (RL 95/46/EG) ist im Grundsatz jede Übermittlung in Drittstaaten verboten, solange nicht ein angemessenes Schutzniveau für die übermittelten Daten geschaffen wird. Dieses angemessene Schutzniveau kann auf mehreren Wegen hergestellt werden. Ein Beispiel für Übermittlungen in die USA ist etwa die Selbstzertifizierung der die Daten empfangenden Stelle unter Safe Harbor. Daneben werden in der Praxis oft die sog. Standardvertragsklauseln der Europäischen Kommission eingesetzt. Hierbei handelt es sich um Musterverträge (eine Übersicht findet sich hier), die zwischen dem „Datenexporteur“ in der EU/dem EWR und dem „Datenimporteur“ (im Drittland) abgeschlossen werden können. Werden die Verträge ohne inhaltliche Änderungen (oder zumindest ohne solche, die zum Nachteil des Schutzniveaus der Daten von den Mustertexten abweichen) abgeschlossen, so wird automatisch ein angemessenes Schutzniveau der Daten angenommen. Eine Genehmigung der Standardverträge durch eine Aufsichtsbehörde ist dann (zumindest in Deutschland und einigen anderen Ländern der EU) nicht erforderlich, da die Behörden an die Entscheidung der EU-Kommission gebunden sind. Manche Behörden verlangen jedoch zumindest, die Verwendung der Verträge ihr gegenüber anzuzeigen. Anders sieht es für Individualverträge aus, welche der Genehmigung der Behörde bedürfen.

Die europäischen Datenschutzbehörden, versammelt in der Artikel 29 Datenschutzgruppe (Art. 29 Gruppe), haben nun in einer neuen Stellungnahme (WP 226, PDF) ein Verfahren im Zusammenhang mit der Prüfung und Genehmigung von Standard- als auch Individualverträgen vorgestellt, welches vor allem für international tätige und in mehreren Mitgliedstaaten ansässige Unternehmen interessant sein dürfte, die personenbezogene Daten in Drittstaaten übermitteln.

Die Art. 29 Gruppe erkennt die praktische Schwierigkeit, dass ein Unternehmen mit mehreren Niederlassungen in der EU möglicherweise (je nach dem nationalen Recht) gezwungen ist, in jedem Mitgliedstaat, von dem aus personenbezogene Daten in ein Drittland übermittelt werden sollen, eine Genehmigung der Behörde für inhaltlich dieselben Verträge einzuholen. Es besteht das Risiko, dass eine Aufsichtsbehörde die ihr vorgelegten Verträge als ausreichend anerkennt, eine andere Behörde jedoch Nachbesserungen fordert. Die Folge ist ein nicht zu unterschätzender Mehraufwand für Unternehmen und im schlimmsten Fall eine Divergenz der Verträge oder sogar ein Absehen von deren Verwendung, unter einem ja eigentlich vollharmonisierten europäischen Datenschutzrecht!

Unternehmen, die Übermittlungen aus mehreren Mitgliedstaaten in einen Drittstaat auf der Grundlage inhaltlicher gleicher Verträge planen, können nun ein neu geschaffenes Kooperations-Verfahren der europäischen Aufsichtsbehörden in Anspruch nehmen, um eine für alle Verträge einheitliche Entscheidung und damit vor allem eine gewisse Rechtssicherheit zu erhalten.

Das Verfahren ist nach der Stellungnahme der Art. 29 Gruppe grob wie folgt aufgebaut:

1. Das Unternehmen sucht sich diejenige Aufsichtsbehörde in einem Mitgliedstaat (in dem es eine Niederlassung besitzt) aus, die seiner Meinung nach als führende Behörde agieren sollte. Folgende Kriterien sollten der Entscheidung zugrunde liegen: der Ort der Niederlassung, an dem die Vertragsklauseln ausgehandelt bzw. entworfen werden; der Ort der Niederlassung, an dem die meisten Entscheidungen in Bezug auf die Zwecke und Mittel der Datenverarbeitung getroffen werden; den Ort der Niederlassung, um das Verfahren am effektivsten durchzuführen und die Vertragsklauseln durchzusetzen; den Ort einer Niederlassung, von dem aus die meisten Datenübermittlungen stattfinden; der Ort der Niederlassung des europäischen Hauptsitzes.

2. Das Unternehmen hat dieser Behörde den Vertragsentwurf (schriftlich als auch per E-Mail) zu übersenden und dabei auf die Art der verwendeten Standardvertragsklauseln hinzuweisen. Zudem muss auf Abweichungen zu den Mustern hingewiesen werden. Zudem sollte angegeben werden, aus welchen Mitgliedstaaten die Übermittlungen erfolgen.

3. Die Aufsichtsbehörden können entscheiden, ob im konkreten Fall ein solches Kooperations-Verfahren überhaupt sinnvoll erscheint oder nicht (etwa wenn Änderungen an den Mustertexten sich nicht auf den Datenschutz beziehen).

4. Die Wahl der führenden Behörde bleibt letztendlich den beteiligten Aufsichtsbehörden vorbehalten. Sie können etwa eine andere als die von dem Unternehmen gewählte Behörde als führend bestimmen. In diesem Fall müssen sie jedoch die Präsidentin der Art. 29 Gruppe informieren, die diese Übertragung durchführt.

5. Nach Eingang der Unterlagen soll das Unternehmen innerhalb von 2 Wochen Nachricht erhalten, ob das Kooperations-Verfahren eingeleitet wird.

6. Nimmt die ausgewählte Behörde die Bestimmung als führende Behörde an, so wird sie alle anderen von der Entscheidung betroffenen Behörden kontaktieren (also jene Behörden in Mitgliedstaaten, in denen sich Niederlassungen befinden, die ebenfalls Daten übermitteln sollen). Zudem werden gleichzeitig Prüfbehörden bestimmt, die neben der führenden Behörde die Verträge inhaltlich kontrollieren. Sind mehr als 9 Mitgliedstaaten betroffen, so werden 2 Prüfbehörden bestimmt. Ansonsten nur eine.

7. Andere betroffene Behörden können innerhalb von 2 Wochen der Einsetzung der Behörden und der Verteilung der Rollen widersprechen. Die Prüfbehörden sollen ihrer Benennung zustimmen.

8. Ähnlich wie bei der EU-weiten Prüfung von verbindlichen Unternehmensregelungen (BCR), soll auch hier ein freiwilliges System der gegenseitigen Anerkennung von behördlichem Handeln zwischen europäischen Aufsichtsbehörden eingerichtet werden.

Hat die führende Behörde ihre Analyse beendet, so wird sie das Ergebnis den Prüfbehörden mitteilen. Die Prüfbehörden haben dann einen Monat Zeit, um eigene Anmerkungen oder Änderungen vorzuschlagen. Diese Monatsfrist soll nur in Ausnahmefällen verlängert werden können. Sollte keine Reaktion der Prüfbehörde erfolgen, so gilt dies als ihre Zustimmung zum Vorschlag der führenden Behörde.

9. Danach wird das Ergebnis an alle anderen betroffenen Behörden weitergeleitet. Solche Behörden, die Teil des Systems der gegenseitigen Anerkennungen von Entscheidungen sind, werden die positive Entscheidung der führenden Behörden nur umsetzen (entsprechend den nationalen Vorgaben also etwa ihre Genehmigung erteilen).

Aufsichtsbehörden, die nicht an dem gegenseitigen Anerkennungsverfahren teilnehmen, haben eine Frist von einem Monat, um der Entscheidung der führenden Behörde zu widersprechen. Eine Fristverlängerung kann nur in Ausnahmefällen gewährt werden. Erfolgt keine Antwort der Behörde, so gilt dies als ihre Zustimmung.

10. Als letzten Schritt wird die führende Behörde das Antwortschreiben an das Unternehmen im Namen der betroffenen Aufsichtsbehörden unterzeichnen und ihr Ergebnis bekannt geben. Ab diesem Moment ist das Kooperations-Verfahren abgeschlossen und das Unternehmen kann die jeweiligen nationalen Behörden kontaktieren, um die erforderlichen Genehmigungen für die Verträge zu erhalten.

Herausgabe von Daten an US-Behörden: Irische Regierung bittet EU-Kommission um Hilfe

Posted on by

Im April 2014 hatte ein US-Gericht entschieden (PDF), dass Microsoft dazu verpflichtet sei, Kundendaten die auf Servern in Irland gespeichert sind, an amerikanische Behörden herauszugeben. Gegen diesen Beschluss wehrte sich Microsoft, wurde jedoch auch durch ein Bundesgericht angewiesen, dem Durchsuchungsbefehl der US-Behörden nachzukommen. Für das Berufungsverfahren wurde der Vollzug ausgesetzt und Microsoft möchte die Daten auch nicht herausgeben. Andere Konzerne wie Apple und Cisco unterstützen die Position von Microsoft.

Zum einen besitzt das Verfahren eine mögliche wirtschaftliche Brisanz. Amerikanische Unternehmen müssten sich stets dem Risiko ausgesetzt sehen, dass Kundendaten, egal wo sie gespeichert sind, dem Zugriff von US-Behörden unterliegen.

Vor allem aber ist der Fall rechtlich interessant. Denn die amerikanischen Behörden haben nicht etwa die offiziellen Kanäle (Rechtshilfeabkommen zwischen der EU und den USA) genutzt, sondern sich direkt an das Unternehmen gewandt. Die ehemalige EU-Kommissarin für Justiz, Viviane Reding, hatte bereits im Juli 2014 die Befürchtung geäußert, „dass die extraterritoriale Anwendung ausländischer Gesetze (und darauf basierende gerichtliche Anweisungen gegen Unternehmen) gegen internationales Recht verstoßen“.

Nun hat der Irische Minister für Europaangelegenheiten und für den Datenschutz offiziell die EU-Kommission um ihre Unterstützung in diesem Gerichtsverfahren gebeten. Nach Aussage des Ministers könnte der Ausgang dieses Verfahrens möglicherweise schwerwiegende Folgen für den Datenschutz in der Europäischen Union besitzen. Durch den Versuch, die Herausgabe von Daten durch direkte Anordnungen gegenüber den Unternehmen zu erlangen, könnten die bestehenden Rechtshilfeabkommen praktisch umgangen werden.

Für international agierende Unternehmen besteht das sowohl schlichte als auch kaum zu lösende Problem, dass sie zwischen mehreren Rechtssystemen gefangen sind und nur zwischen den Rechtsverletzungen und den zu erwartenden Folgen wählen können. Dass sich eine solche Situation in einer digitalen Welt, in der immer mehr Wirtschaftszweige auf den ungehinderten Fluss von Daten angewiesen sind, als absolut unbefriedigend und revisionsbedürftig darstellt, dürfte wohl jedem einleuchten.

USA: Automobilhersteller einigen sich auf Datenschutzprinzipien

Posted on by

Das intelligente Auto als Teil des „Internets der Dinge“ wird in der Öffentlichkeit mit gemischten Gefühlen betrachtet. Einige sehen die Entwicklungsmöglichkeiten und Chancen, die Datenverarbeitungen im Zusammenhang mit Autos bieten, andere wiederum warnen vor dem „gläsernen Autofahrer“.

Viele der neu entwickelten Technologien und Dienstleistungen rund um das „Smart Car“ beruhen auf bzw. sind auf Informationen aus einer Vielzahl von Fahrzeugsystemen angewiesen und ihnen ist das Sammeln von Informationen, etwa über den Standort eines Fahrzeugs oder das Fahrverhalten, immanent.

In Amerika hat die “Alliance of Automobile Manufacturers (Auto Alliance)”, die viele wichtige Automobilhersteller (u.a. auch BMW of North America, Mercedes-Benz USA, Volkswagen Group of America und Ford Motor Company) zu ihren Mitgliedern zählt, nun Datenschutzprinzipien entwickelt und verabschiedet, die für den Umgang mit personenbezogenen Daten gelten.

Das Vertrauen der Verbraucher ist nach Ansicht der Auto Alliance entscheidend für den Erfolg von Fahrzeugtechnologien und Dienstleistungen. Den Mitgliedern ist zudem bewusst, dass Verbraucher wissen möchten, wie diese Fahrzeugtechnologien und Dienstleistungen funktionieren und ihnen selbst Vorteile bringen können, während sie gleichzeitig ihre Privatsphäre respektieren.

Die Datenschutzprinzipien
Die Datenschutzprinzipien (PDF) stellen nach Aussage der Auto Alliance einen Ansatz dar, um die Privatsphäre der Kunden zu schützen. Diese Prinzipien gelten für die Erfassung, Verwendung und Weitergabe von Informationen in Verbindung mit Fahrzeugtechnologien und -dienstleistungen für Pkw und leichte Nutzfahrzeuge, die an Verbraucher in den Vereinigten Staaten von Amerika verkauft oder von diesen geleased werden.

Die Datenschutzprinzipien enthalten unter anderem Regelungen zur Transparenz, der Datensparsamkeit oder auch der Datensicherheit. Interessant ist die allgemeine Definition des Anwendungsbereichs der Prinzipien. Diese gelten für sog. abgedeckte Informationen („covered information“), also solche Daten, die von den Prinzipien selbst definiert werden. Dabei handelt es sich um identifizierbare Informationen, die Fahrzeuge in elektronischer Form sammeln, erzeugen oder aufnehmen und die aus den Fahrzeugen durch einen teilnehmenden Automobilhersteller ausgelesen werden.

Was sind nun die „identifizierbaren Informationen“ (man denkt hierbei direkt an den Streit um den Personenbezug von IP-Adressen)? Auch dieser Begriff wird in den Prinzipien definiert. Es handelt sich um Informationen, die verknüpft sind oder vernünftigerweise verknüpfbar sind i) mit dem Fahrzeug aus dem die Daten abgerufen werden, ii) mit dem Eigentümer oder Leasingnehmer des Fahrzeugs oder iii) mit dem registrierten Benutzer einer Dienstleistung, die mit dem Fahrzeug verbunden ist. Der Anwendungsbereich scheint also durchaus weit gefasst zu sein, da eine Verknüpfung mit dem Fahrzeug selbst genügt.

Definiert werden im Übrigen etwa auch was „biometrische Daten“ und „Ortungsdaten“ sind.

Praktisch stellt sich für Automobilhersteller häufig die Frage, wie man den gesetzlich vorgegeben Informationspflichten im Datenschutzrecht nachkommen kann, ohne den Kunden jedes Mal mehrere ausgedruckte Papiere in die Hand drücken zu müssen. Dies mag im zu unterschreibenden Kauf- oder Leasingvertrag noch möglich sein. Doch was geschieht, wenn neue Dienste in Anspruch genommen und neue Datenverarbeitungsprozesse initiiert werden? Diesbezüglich geben die Datenschutzprinzipien einen pragmatischen und praktikablen Weg vor. Nach Ansicht der Automobilhersteller gibt es keinen one-size-fits-all-Ansatz. Die Unterzeichner der Prinzipien sollen vielmehr situationsbedingt und –angemessen entscheiden, wie sie ihre Kunden im konkreten Kontext am besten informieren können. Möglichkeiten sind Hinweise in der Betriebsanleitung, auf Papier oder auch in elektronischen Anmeldeformularen und/oder Nutzungsvereinbarungen. Möglich ist es jedoch auch, die Informationen über das bordeigene Display darzustellen. Die unterzeichnenden Autohersteller verpflichten sich zudem mindestens dazu, Informationen zur Erhebung, Verarbeitung und Nutzung der Daten öffentlich zugänglich im Internet bereit zu halten.

Fazit
Die Initiative der Auto Alliance ist definitiv zu begrüßen. Zwar stellen die Datenschutzprinzipien kein bindendes Recht dar. Jedoch bieten Sie für die beteiligten Mitglieder die Chance, den Kunden zu zeigen, wie wichtig ihnen der Datenschutz und die Privatsphäre sind. Zudem lässt sich dieser Initiative ebenfalls entnehmen, dass es in der Zukunft durchaus möglich sein wird (und meines Erachtens auch möglich sein muss), Innovation und technologischen Fortschritt zu gewährleisten und zu fördern, ohne den Schutz personenbezogener Daten zu vernachlässigen. Derartige selbstverpflichtende Initiativen der Wirtschaft sind insoweit ein wirksames Mittel, um gerade in dem sich stets und ständig entwickelnden Bereich der datenverarbeitenden Technologien für Vertrauen und Sicherheit zu sorgen, wenn gesetzliche Vorgaben nur noch überholte oder unzureichende Vorgaben machen können.

Spanien: Datenschützer verhängen Bußgeld gegen Google wegen Cookies auf Blogspot

Posted on by

Mit Beschluss vom 14. Mai 2014 hat die spanische Datenschutzbehörde (AEPD) ein Bußgeld in Höhe von 25.000 € gegen Google verhängt (hier der Beschluss im Original (Spanisch), PDF).

In dem Verfahren ging es um die datenschutzrechtliche Prüfung von Cookies, welche über Blogs verbreitet wurden, die auf der Plattform „Blogger“ und unter Adressen wie „Beispiel.blogspot.com“ betrieben wurden. Dabei ging es jedoch nicht um die Verantwortlichkeit des Blogbetreibers, sondern um diejenige der Google Inc.

Untersucht wurden von den Datenschützern vor allem Analyse-Cookies (die im Rahmen von Google-Analytics arbeiteten) und solche für Zwecke der Schaltung von personalisierter Werbeanzeigen.

Nach Ansicht der Datenschützer verletzte der Einsatz der Cookies vorliegend die Vorgaben des spanischen Datenschutzrechts, insbesondere diejenige einer Einwilligung entsprechend Art. 5 Abs. 3 der Richtlinie 2002/58/EG (PDF) (ePrivacyRL, in der Fassung durch Richtlinie 2009/136/EG). Art. 5 Abs. 3 ePrivacyRL sieht für die Speicherung von Informationen oder den Zugriff auf Informationen auf Endgeräten des Nutzers (oder Teilnehmers) eine Einwilligung in Kenntnis der Sachlage vor. Diese Vorschrift gilt freilich nicht nur für Cookies, wird in der Praxis aber gerade für diese relevant. Von dem Einwilligungserfordernis gibt es jedoch Ausnahmen, unter anderem dann, wenn der Zugriff oder die Speicherung der Informationen unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann.

Laut den tatsächlichen Feststellungen in dem Beschluss, wurden auf den Rechnern von Nutzern, die einen Blog unter einer „blogspot“-Adresse besuchten, unter anderem Analyse-Cookies und solche für Werbezwecke gesetzt. Der Einsatz der Cookies wurde dabei durch Google selbst festgelegt und konnte durch den Blogbetreiber nicht unterbunden werden.

Die Behörde beanstandet, dass es zwar Informationen zu dem Einsatz von Cookies und auch von Analyse-Cookies im speziellen in der Datenschutzerklärung von Google gebe. Diese seien für die Besucher des jeweiligen Blogs jedoch schwierig aufzufinden. Zudem würden die Besucher nicht darauf hingewiesen, dass Cookies zum Einsatz kämen und wo sie hierzu Informationen finden könnten. Auch würden entsprechende Informationen etwa nicht den Blogbetreibern zur Verfügung gestellt, die diese dann an ihre Besucher weiterleiten könnten.

Google brachte unter anderem vor, dass für den Einsatz der Cookies keine Einwilligung der Nutzer nötig sei, da er für die Zurverfügungstellung des Dienstes unbedingt erforderlich sei. Diese Sichtweise wies die Behörde jedoch zurück. Sie begründet ihren Beschluss damit, dass sowohl die Werbe-Cookies als auch die Analyse-Cookies nicht unbedingt erforderlich seien, damit die Plattform zum einen den Bloggern (für das Erstellen von Blogs) und auch deren Besuchern zur Verfügung gestellt werden könne.

Fazit
Wann Cookies (und damit der Zugriff bzw. die Speicherung von Informationen; Achtung, nicht nur „personenbezogene“ Informationen!) unbedingt erforderlich sind, lässt sich kaum generell sagen, sondern hängt stark von dem jeweiligen Einzelfall ab. Die europäischen Datenschutzbehörden haben in einer Stellungnahme aus dem Jahre 2012 (WP 194, PDF) jedoch zumindest einige Leitlinien aufgestellt, wann nach ihrer Ansicht die Einwilligung beim Einsatz von Cookies entbehrlich sein kann.