Schlagwort: DSGVO

Die Datenschutz-Grundverordnung #DSGVO ist eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch die meisten Datenverarbeiter, sowohl private wie öffentliche, EU-weit vereinheitlicht werden.

DSGVO – neun von zehn Apps erheben personenbezogene Daten von Nutzern
Ein klarer Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) und die E-Privacy-Richtlinie. Das ist das Ergebnis einer Analyse, die das Tech-Unternehmen Usercentrics anhand von 250 Apps durchgeführt hat.

Datenschutz bei Glücksspiel-Apps? Fehlanzeige!

Usercentrics untersuchte im Oktober 2022 jeweils 50 Apps aus fünf verschiedenen Kategorien: Lebensmittel, Lifestyle, Fitness und Gesundheit, Finanzen sowie Glücksspiel. Das Ergebnis? Bei den Lebensmittel-Angeboten ist der Datenschutz noch am besten: „Nur” 84 % der Apps aus dieser Kategorie entsprechen nicht den Vorgaben der DSGVO, bei den Finanz-Apps (Platz zwei) sind es 86 %. Unrühmliches Schlusslicht: die Glücksspiel-Angebote. 100 % in dieser Kategorie halten die Vorgaben der DSGVO nicht ein.

Bußgelder, Verlust von Kundenvertrauen und Schädigung des Markenimages vermeiden

„Die Ergebnisse dieses Berichts zeigen deutlich, was wahrscheinlich der größte ‚Elefant im Raum‘ in der App-Branche ist: Die meisten Apps sind noch weit davon entfernt, die DSGVO und die E-Privacy-Richtlinie korrekt umzusetzen. Und das, obwohl die Nutzer einen Großteil ihrer Zeit in Apps verbringen, wo letztlich die meisten PII-Daten [Persönlich identifizierbare Informationen] gesammelt werden – in den meisten Fällen immer noch ohne ausdrückliche Einwilligung. Mit diesem Bericht wollen wir zum einen das Bewusstsein für Datenschutz schärfen, Unternehmen zum anderen aber auch Tipps an die Hand geben, was sie tun können, um die Privatsphäre der Nutzer in den Fokus zu rücken. Damit sie nicht nur Bußgelder vermeiden können, sondern auch den Verlust von Kundenvertrauen oder eine Schädigung ihres Markenimages“, erklärt Valerio Sudrio, Global Director Apps Solutions bei Usercentrics.

Photo by PhotoMIX Company on Pexels.com

App-Analyse: auf der Suche nach Trackern

Usercentrics verwendete für die Analyse der Apps das Tool Apptopia. Untersucht wurden ausschließlich Apps, die
- Tracker von Drittanbietern zum Zweck der Analyse, Attribution, Monetarisierung und/oder Marketing installiert
- Nutzer in der EU
- und mindestens 50.000 täglich aktive Nutzer hatten.
Die meisten der in den Apps eingebetteten Tracker sind darauf ausgelegt, personenbezogene Daten wie IP-Adressen, Online-Kennungen und Standortdaten zu verarbeiten.

Die Analyse zeigt, dass das Thema Datenschutz bei den meisten App-Anbietern vernachlässigt wird. Dass neun von zehn Apps nicht den Vorgaben der DSGVO entsprechen, ist ein beunruhigendes Ergebnis. Anbieter sind gut beraten, hier zügig nachzubessern.

Den vollständigen Bericht finden Sie hier.

Quelle: Usercentrics

https://now.digital/datenschutz-digital/datenschutz-geben-die-app-anbieter-persoenliche-nutzerdaten-auf-anfrage-heraus/
17. November 2022
Data Act – DIHK Stellungnahme zum Vorschlag für eine Verordnung
Harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung (Datengesetz)

Grundlage dieser Stellungnahme sind die dem DIHK bis zur Abgabe der Stellungnahme zugegangenen Äußerungen der IHKs sowie die wirtschaftspolitischen/europapolitischen Positionen des DIHK. Sollten dem DIHK noch weitere in dieser Stellungnahme noch nicht berücksichtigte relevante Äußerungen zugehen, wird der DIHK diese Stellungnahme entsprechend ergänzen.

A. Das Wichtigste in Kürze

Das Ziel der EU-Kommission, eine breitere Datennutzung industrieller Daten zu ermöglichen und das Potential für die langfristige Stärkung von Innovation und Wachstum zu nutzen, ist grundsätzlich zu unterstützen. Dafür benötigen Unternehmen verlässliche Rahmenbedingungen. Besonders mit Blick die Nutzung von Daten, an deren Entstehung mehrere Parteien mitgewirkt haben, bedarf es klarer und verständlicher Regeln, die es Unternehmen ermöglichen, rechtssicher ihre Geschäftsmodelle darauf aufzubauen. Daneben dürfen Unternehmen nicht durch Bürokratie und komplexe rechtliche Vorgaben überlastet werden.

Bei der Entscheidung über Zugangs- bzw. Nutzungsansprüche ist zu berücksichtigen, dass Daten ein wichtiger Wettbewerbsvorteil von vielen Unternehmen sind. Der Anreiz für Dateninhaber und Hersteller, datengetriebene Produkte, Dienstleistungen und Geschäftsmodelle zu entwickeln, muss erhalten bleiben. Ansonsten droht eine Abwanderung von IT- und Industriebetrieben und damit von Know-how ins Ausland. Gleichermaßen sollten Daten als Grundlage für die Entwicklung neuer Technologien und Dienstleistung in ausreichendem Maße zur Verfügung stehen. Insgesamt muss die Innovationsfähigkeit aller an der Datenwertschöpfungskette Beteiligten und der Schutz von sensiblen, wettbewerbsrelevante Informationen ausreichend gesichert werden. Dies gilt auch im Kontext mit weiteren im Data Act – E vorgesehene Regelungen, wie die Weiterverwendung von Daten des Privatsektors durch den öffentlichen Sektor, sowie den geplanten Vorschriften für Anbieter von Datenverarbeitungsdiensten.

Besonders wichtig ist aus Sicht der deutschen Wirtschaft daher:
- Klare, abgrenzbare Definitionen und Voraussetzungen für die Heraus- und Weitergabe zu schaffen, um Rechts- und Planungssicherheit zu erreichen.
- Zugangs- und Nutzungsrechte nicht exklusiv auf den Nutzer zu beschränken, um die berechtigten Interessen und die Innovationsfähigkeit aller Beteiligten zu gewährleisten.
- Ein hohes Schutzniveau für Geschäftsgeheimnisse und geistiges Eigentum sicherzustellen. B. RelevanzfürdiedeutscheWirtschaftDaten sind ein wichtiges Wirtschaftsgut und ein entscheidender Wettbewerbsfaktor für Unternehmen. Sie können nicht nur genutzt werden, um bestehende Prozesse im Betrieb zu optimieren, sondern dienen zunehmend dem reinen Geschäftsmodell von Unternehmen. Die Betriebe möchten die Potentiale aus Daten nutzen; stoßen dabei jedoch häufig auf Hindernisse. Eine Sonderauswertung der DIHK-Digitalisierungsumfrage (Februar 2022) unter ca. 4.300 Unternehmen zeigt, dass rechtliche Unsicherheiten für Deutschlands Unternehmen das größte Problem bei der stärkeren Nutzung von Daten sind. Danach fühlen sich 57 Prozent der Unternehmen durch datenschutzrechtliche Hemmnisse behindert, für weitere 38 Prozent der Unternehmen sind rechtliche Unklarheiten beispielsweise über Nutzungsansprüche ein Hindernis. Die Schaffung von Klarheit über Zugangs-, Nutzungs- und Weitergaberechte ist für die Unternehmen daher von großer Bedeutung.Aus den Ergebnissen der Konsultation durch die IHKs und deren Mitgliedsunternehmen zu den Plänen eines Datengesetzes lässt sich ableiten, dass eine Vielzahl an Unternehmen Schwierigkeiten beim Zugang zu Daten hat. Dabei ergeben sich teilweise auch Ungleichgewichte bei den Vertragsverhandlungen zur Gewährung des Zugangs zu den Daten. Dies gilt insbesondere für kleinere Unternehmen, die aufgrund ihrer Marktstellung oftmals keine ander Wahl haben, als nicht verhandelbare Vertragspositionen zu akzeptieren. Vielmals wird schon auf technischer Ebene von großen Plattformen ein Zugang zu relevanten Daten vereitelt. Daraus lässt sich die Notwendigkeit der Schaffung eines ausgleichenden Ordnungsrahmens rechtfertigen.Der Deutsche Industrie- und Handelskammertag (DIHK) vertritt die Interessen aller Unternehmen der deutschen gewerblichen Wirtschaft, einschließlich Hersteller, Produkt- und Softwareentwickler, Nutzer sowie Anbieter von Datenverarbeitungsdiensten. Um die Interessen aller an der Datenwertschöpfungskette beteiligten Akteure bestmöglich in Einklang zu bringen und die Innovationsfähigkeit der deutschen gewerblichen Wirtschaft insgesamt zu sichern, schlägt der DIHK folgende Nachbesserungen vor:C. ImEinzelnenZu Kapitel I: Rollendefinition und Begriffsbestimmungen
- Bei der Nutzung von vernetzten Geräten oder Maschinen fallen Daten an, die für unterschiedliche an der Datenwertschöpfungskette Beteiligte von Interesse sein können. Um klare und differenzierte Regelungen für das Zusammenspiel der beteiligten Akteure zu schaffen und eine rechtssichere Ausgestaltung und Umsetzung einer Regulierung zu gewährleisten, sind zunächst trennscharfe Begriffsbestimmungen notwendig. Außerdem ist zu klären, wann und für welche Produkte der Data Act gelten soll. Da das geplante Gesetz die Breite der Wirtschaft betrifft, ist eine klare Ersichtlichkeit des Anwendungsbereich und eine eindeutige Zuordenbarkeit zu den beteiligten Akteuren von besonderer Bedeutung.
1. Anwendungsbereich/Produktbegriff

Nachgeschärft werden sollte zunächst am Anwendungsbereich der Verordnung. Sinnvoll ist es dabei, wie im vorliegenden Entwurf bereits vorgenommen, Geräte auszunehmen, die lediglich Inhalte anzeigen oder abspielen bzw. aufzeichnen und übertagen. Inkonsequent ist es jedoch, Smartphones und Tablets als solche Geräte zu verstehen und auszuschließen (vgl. Erwägungsgrund, nachfolgend ErwG 15). Diese und vergleichbare Geräte zeichnen sich gerade durch die Eigenschaft aus, Daten über ihre Umgebung zu erlangen und zu sammeln (vgl. ErwG 14), weshalb eine Bevorteilung gegenüber anderen vernetzen Produkten nicht verständlich ist. Die derzeit in ErwG 14 und ErwG 15 enthaltenen Positiv- und Negativbespiele sind grundsätzlich als Orientierungshilfe nützlich, in ihrer aktuellen Form allerdings nicht nachvollziehbar. Zweckmäßig könnte es sein, eine solche, nicht abschließende Liste als Hilfe für Unternehmen bei der Gestaltung von Dienstleistungen und Produkten in einem Annex zur Verordnung einzuführen und so auch deren Aktualität zu gewährleisten.

2. Nutzerbegriff

Der Data Act -E definiert einen Nutzer als „eine natürliche oder juristische Person, die ein Produkt besitzt, mietet oder least oder eine Dienstleistung in Anspruch nimmt“ (Art. 2 Abs. 5). Daraus ergeben sich insbesondere in Konstellationen mit mittelbaren Besitzverhältnissen und längeren Besitz- bzw. Wertschöpfungsketten (z. B. Komponentenhersteller – Zulieferer – Hersteller – Nutzer) Unklarheiten bei der Nutzeridentifizierung. So ist es denkbar, dass eine Vielzahl von Nutzern existiert, was nachfolgend zu großem Aufwand und erheblicher Rechtsunsicherheit führen kann.

Es sollte daher präzisiert werden, in welchem Verhältnis die unterschiedlichen Nutzer stehen. Klar ist lediglich, dass seitens der Hersteller oder Entwickler entsprechende Strukturen geschaffen werden sollen, die den Zugang zu den Daten ermöglichen (vgl. ErwG 20). Unklar bleibt dabei, wie weit die Zugangsrechte jedes einzelnen Nutzers gehen sollen. Der Grundgedanke, der aus ErwG 18 hervorgeht, sieht vor, dass der Nutzer stets berechtigt sein sollte, den Nutzen aus allen Daten zu ziehen, die in dem von ihm genutzten Produkt oder der Dienstleistung entstehen.

Um eine Konkretisierung zu erreichen, ist es wichtig herauszuarbeiten, inwieweit durch das Nutzerverhalten ein Mehrwert bzw. eine Wertschöpfung erreicht wird. Dies wird in der Regel immer dann der Fall sein, wenn dabei ein Verhalten erfasst wird, auf dessen Grundlage Folgeannahmen getroffen werden können. Daneben wird ebenso eine Wertschöpfung durch Aggregation, Auswertung und Verarbeitung der Daten erreicht. Die dahinterstehenden technischen Prozesse wiederum funktionieren immer wieder identisch, unabhängig vom Nutzer.

3. Begriff des Dateninhabers

Der Data Act -E definiert den Dateninhaber in Art. 2 Abs. 6 als eine juristische oder natürliche Person, die durch die Kontrolle über die technische Gestaltung des Produkts und der damit verbundenen Dienste dazu in der Lage ist, bestimmte Daten bereitzustellen.

Daten werden häufig in einer Cloud gespeichert, die von einem Dritten als Dienstleister betrieben wird. Unklar ist, inwieweit – bei technischer Möglichkeit – auch dieser Dritter zur Herausgabe verpflichtet sein soll. In dieser Rolle müsste der Dritte dann auch die Wahrung von Geschäftsgeheimnissen sicherstellen, wozu er unter Umständen mangels Kenntnis nicht in der Lage ist. Nützlich wäre insoweit eine Klarstellung, dass bei der Einbindung von Dritten die Datenherausgabe nur auf Anweisung des Herstellers erfolgen kann.

4. Verhältnis Nutzer zu Dateninhaber

Ausgehend von der Definition des Dateninhabers in Art. 2 Abs. 6 des Data Act -E ist unklar, was passiert, sobald ein Nutzer die Daten vom Dateninhaber bereitgestellt bekommen hat. Ab diesem Zeitpunkt hat der Nutzer auch die Kontrolle über die Daten. Es wäre insofern denkbar, dass er seinerseits zum Dateninhaber wird (Rückschluss aus ErwG 30 letzter Satz). Damit unterläge er seinerseits den Pflichten zur Bereitstellung von Daten im Rahmen dieser Verordnung. Der Nutzer, der Daten vom Dateninhaber erhalten hat, könnte folglich von weiteren Nutzern in Anspruch genommen werden auf Zugang zu Daten. Sollte dies der Fall sein, so ist fraglich, ob Weitergabebeschränkungen, die in einem vorgelagerten Dateninhaber – Nutzer – Verhältnis vereinbart wurden, der Herausgabe der Daten entgegengehalten werden können. Eine Klärung dieses Konflikts ist unbedingt notwendig, um die gezielten Rechtsmissbrauch und die Umgehung von Geschäftsgeheimnissen zu vermeiden.
(mehr …)
20. September 2022
DSGVO Verstoß – Vodafone Italia S.p.A muss 12 Millionen Euro zahlen
November 2020 (now.digital) Die Datenschutzbehörde (Garante per la protezione dei dati personali ) in Italien – bestehend aus Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia und Guido Scorza – verurteilte Vodafone Italien zur Zahlung einer Geldbuße von mehr als 12,250 Millionen Euro wegen illegaler Verarbeitung der personenbezogenen Daten von Millionen von Nutzern für Telemarketingzwecke in Italien. Neben der Zahlung der Geldbuße muss das Unternehmen eine Reihe von Datenschutz Maßnahmen ergreifen, die von der Behörde diktiert werden, um die nationalen und europäischen Rechtsvorschriften zum Datenschutz einzuhalten.

Die Maßnahme schließt eine komplexe Untersuchung ab, die der Datenschutzbehörde nach Hunderten von Berichten und Beschwerden von Nutzern eingeleitet hatte, die sich über anhaltende unerwünschte Telefonkontakte beschwerten, die von Vodafone und seinem Vertriebsnetz zur Förderung der von dem Unternehmen angebotenen Telefon- und Internetdienste hergestellt wurden.

Die von der Behörde durchgeführten Untersuchungen haben wichtige „System“-Kritiken aufgezeigt, die nicht nur die Verletzung der Zustimmungspflicht betreffen, sondern auch die Verletzung der grundlegenden Prinzipien der Rechenschaftspflicht und der Umsetzung des Schutzes der Privatsphäre bereits in der Entwurfsphase der Behandlungen, die durch die EU-Verordnung festgelegt wurden. Die Kritiken beziehen sich auf den Komplex der Operationen, die das Unternehmen sowohl im Hinblick auf den gesamten Kundenstamm von Vodafone als auch auf den breiteren Kreis der potenziellen Nutzer im Bereich der elektronischen Kommunikation durchführt.

Im Laufe der Untersuchung trat ein alarmierendes Phänomen zutage, insbesondere die Verwendung einer fiktiven oder jedenfalls nicht im Register der Kommunikationsbetreiber (Roc) eingetragenen Nummerierung zur Herstellung von Werbekontakten. Ein von Vodafone selbst gewarntes Phänomen, das größtenteils auf ein „Gestrüpp“ missbräuchlicher Call-Center zurückzuführen zu sein scheint, die unter völliger Missachtung der Bestimmungen über den Schutz personenbezogener Daten Telemarketing-Aktivitäten betreiben.

Weitere Profile von Verstößen wurden bei der Verwaltung der von externen Lieferanten beschafften Listen von Kontaktnamen gefunden. Listen, die die Handelspartner von Vodafone von anderen Unternehmen erhalten und ohne die erforderliche freie, informierte und spezifische Zustimmung der Nutzer an die Telefonistin weitergeleitet hatten.

Auch die Sicherheitsvorkehrungen der Kundenverwaltungssysteme waren unzureichend, ein Profil, über das die Behörde bereits zahlreiche Beschwerden und Berichte von Kunden erhalten hatte, die von selbsternannten Vodafone-Betreibern kontaktiert worden waren, die um die Zusendung von Ausweispapieren über Whatsapp gebeten hatten, wahrscheinlich zum Zwecke von Spamming, Phishing oder anderen betrügerischen Aktivitäten.

Angesichts der festgestellten Verstöße verhängte die Datenschutzbehörde eine Strafe von 12.251.601,00 Euro.

Die Behörde hat daher Vodafone angewiesen, Systeme einzuführen, mit denen das Unternehmen nachweisen kann, dass die Verarbeitung für Telemarketingzwecke in Übereinstimmung mit den Bestimmungen über die Einwilligung erfolgt. Das Unternehmen muss auch nachweisen, dass die Verträge nur nach Werbeanrufen durch sein Verkaufsnetz aktiviert werden, und zwar durch eine bei Roc aufgezeichnete und registrierte Nummerierung. Vodafone muss auch die Sicherheitsmaßnahmen verstärken, um den missbräuchlichen Zugriff auf Kundendatenbanken zu verhindern und auf Anfragen bestimmter Nutzer nach Ausübung ihrer Rechte umfassend zu reagieren.

Schließlich hat die Datenschutzbehörde Vodafone Italien jede weitere Verarbeitung von Daten zu Werbe- oder kommerziellen Zwecken untersagt, die durch den Erwerb von Masterlisten von Dritten erfolgt, ohne dass diese eine spezifische, freie und informierte Zustimmung der Nutzer für die Übermittlung ihrer Daten eingeholt haben.

Quelle: Datenschutzbehörde (Garante per la protezione dei dati personali )
24. November 2020
DSGVO – Urteil im Bußgeldverfahren gegen Telekommunikationsdienstleister 1&1 Telecom fällt niedriger aus
DSGVO – Urteil im Bußgeldverfahren gegen einen Telekommunikationsdienstleister

Die 9. Kammer für Bußgeldsachen des Landgerichts Bonn hat heute entschieden, dass das Bußgeld, welches der Bundesbeauftragte für den Datenschutz und Informationsfreiheit (BfDI) gegen einen Telekommunikationsdienstleister aufgrund eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) verhängt hat, dem Grunde nach berechtigt, aber unangemessen hoch sei. Die Kammer hat das Bußgeld von ursprünglich 9,55 Millionen Euro daher auf 900.000 Euro herabgesetzt.

Anlass für das Bußgeldverfahren war eine Strafanzeige wegen Nachstellung („Stalking“) eines Kunden des Telekommunikationsdienstleisters. Dessen ehemalige Lebensgefährtin hatte über das Callcenter des Telekommunikationsdienstleisters die neue Telefonnummer ihres Ex-Partners erfragt, indem sie sich als dessen Ehefrau ausgegeben hatte. Zur Legitimierung musste sie lediglich den Namen und das Geburtsdatum des Kunden nennen. Die neue Telefonnummer hatte sie dann zu belästigenden Kontaktaufnahmen genutzt.

Der BfDI verhängte deshalb im November 2019 gegen den Telekommunikationsdienstleister ein Bußgeld in Höhe von 9,55 Millionen Euro wegen grob fahrlässigen Verstoßes gegen Art. 32 Abs. 1 DSGVO. Zur Begründung führte der BfDI aus, dass die bloße Abfrage von Name und Geburtsdatum zur Authentifizierung von Telefonanrufern keinen ausreichenden Schutz für die Daten im Callcenter gewährleiste.

Gegen diesen Bescheid hat der Telekommunikationsdienstleister Einspruch eingelegt, weshalb die Sache an fünf Hauptverhandlungstagen vor der 9. Kammer für Bußgeldsachen verhandelt wurde.

Die Kammer hat entschieden, dass die Verhängung eines Bußgelds gegen ein Unternehmen nicht davon abhänge, dass der konkrete Verstoß einer Leitungsperson des Unternehmens festgestellt werde. Das nach Auffassung der Kammer anwendbare europäische Recht stelle anders als das deutsche Ordnungswidrigkeitenrecht kein entsprechendes Erfordernis auf.

In der Sache liege ein Datenschutzverstoß vor, da der Telekommunikationsdienstleister die Daten seiner Kunden im Rahmen der Kommunikation über die sog. Callcenter nicht durch ein hinreichend sicheres Authentifizierungsverfahren geschützt habe. Auf diese Weise sei es nicht berechtigten Anrufern durch ein geschicktes Nachfragen und unter Vorgabe einer Berechtigung möglich gewesen, nur mithilfe des vollständigen Namens und des Geburtsdatums an weitere Kundendaten, wie z.B. die aktuelle Telefonnummer, zu gelangen. Sensible Daten wie Einzelverbindungsnachweise, Verkehrsdaten oder Kontoverbindungen hätten auf diesem Wege indes nicht abgefragt werden können.

Die Betroffene habe sich hinsichtlich der Angemessenheit des Schutzniveaus in einem Rechtsirrtum befunden. Mangels verbindlicher Vorgaben an den Authentifizierungsprozess in Callcentern sei dieser Rechtsirrtum zwar verständlich, aber vermeidbar gewesen.

Die Höhe des Bußgeldes hat die Kammer in ihrer Entscheidung auf 900.000 Euro herabgesetzt. Das Verschulden des Telekommunikationsdienstleisters sei gering. Im Hinblick auf die über Jahre geübte Authentifizierungspraxis, die bis zu dem Bußgeldbescheid nicht beanstandet worden sei, habe es dort an dem notwendigen Problembewusstsein gefehlt. Zudem sei zu berücksichtigten, dass es sich – auch nach der Ansicht des BfDI – nur um einen geringen Datenschutzverstoß handele. Diese habe nicht zur massenhaften Herausgabe von Daten an Nichtberechtigte führen können.

Quelle: Landgericht Bonn
12. November 2020
Datenschutz – Geben die App Anbieter persönliche Nutzerdaten auf Anfrage heraus?

Datenschutz – Informatiker im Undercover-Einsatz

Drei Forscher haben mehr als 200 Apps getestet: Geben die Anbieter persönliche Nutzerdaten auf Anfrage heraus?

Auch in der Wissenschaft gibt es verdeckte Ermittler: Mit sogenannter „Undercover-Feldforschung“ haben drei Informatiker der Universitäten Bamberg und Hamburg sowie der TU Berlin die Anbieter von Apps auf die Probe gestellt. Sie wollten herausfinden, ob diese wie vorgeschrieben die persönlichen Nutzerdaten auf Anfrage herausgeben. „Unsere Studie zeigt, dass viele Anbieter ihrer gesetzlichen Auskunftspflicht nicht nachkommen“, sagt Prof. Dr. Dominik Herrmann, Inhaber des Lehrstuhls für Privatsphäre und Sicherheit in Informationssystemen an der Universität Bamberg. „Insgesamt haben wir 225 iOS- und Android-Apps untersucht. Bei den meisten Anbietern gab es etwas zu beanstanden.“ Die Studie wurde im August auf der internationalen IT-Sicherheits-Konferenz „ARES 2020“ vorgestellt und als beste Einreichung mit dem Best-Paper-Award ausgezeichnet.

Ein Fünftel der App-Anbieter antwortete nicht

Dominik Herrmann, Jens Lindemann von der Universität Hamburg und Jacob Leon Kröger von der TU Berlin haben die Verlaufsstudie zwischen 2015 und 2019 durchgeführt. Der Titel lautet: „How do app vendors respond to subject access requests? A longitudinal privacy study on iOS and Android Apps“. Für ihre Undercover-Untersuchung legten die Informatiker fiktive Nutzerprofile an, sodass insgesamt 225 App-Anbieter Zugang zu diesen persönlichen Daten bekamen. Rund ein Drittel der Apps stammte aus Deutschland, die anderen aus Ländern weltweit. In den Jahren 2015, 2018 und 2019 baten die Wissenschaftler die Anbieter darum, ihnen die persönlichen Daten zu nennen, die sie von ihnen gespeichert hatten. „Viele Anbieter – im Schnitt 20 Prozent – antworteten gar nicht, manche waren nicht einmal erreichbar“, erläutert Dominik Herrmann. Häufig seien die Antworten ungenügend gewesen, etwa weil sie unverständlich strukturiert waren oder die Links zu den angeforderten Daten nicht funktionierten. „Ein Anbieter hat uns versehentlich sogar die sensiblen Daten einer anderen Person geschickt.“

DSGVO führte nicht zu einer Verbesserung

Besonderes Augenmerk legten die Wissenschaftler auf die Unterschiede zwischen 2018 und 2019. Im Mai 2018 wurde die Datenschutz-Grundverordnung (DSGVO) eingeführt, die unter anderem das Recht auf Auskunft über personenbezogene Daten konkretisiert. „Nach der Einführung erwarteten wir einen positiven Trend“, so Dominik Herrmann. „Stattdessen ging die Zahl der akzeptablen Antworten tendenziell eher noch zurück: von 53 Prozent im Jahr 2018 auf 41 Prozent im Jahr 2019.“ Eine Antwort war für die Wissenschaftler akzeptabel, wenn der Anbieter entweder die angeforderten Nutzerdaten schickte oder wenn er glaubwürdig begründen konnte, dass die Daten nicht mehr gespeichert waren. Bedenklich findet das Forscherteam, dass rund drei Viertel der Anbieter nicht die Identität der antragstellenden Person überprüften. Positive Entwicklungen stellten die Forscher innerhalb der vier Jahre nur in einzelnen Bereichen fest, beispielsweise wurden den Anfragenden häufiger verständliche Daten zur Verfügung gestellt.

Verbesserung durch mehr Ressourcen und Stichproben

Was können Nutzerinnen und Nutzer tun, die nicht die gewünschte Auskunft erhalten? „Betroffene sollten sich an Datenschutzbehörden wenden, die derartige Verstöße verfolgen“, erklärt Dominik Herrmann. Er empfiehlt außerdem, Apps grundsätzlich mit Bedacht auszuwählen und möglichst wenig Persönliches preiszugeben – oder gar falsche Angaben zu machen, sofern möglich. Um die Vorschriften der DSGVO besser durchzusetzen, sieht das Forscherteam vor allem den Staat in der Pflicht: „Die zuständigen Aufsichtsbehörden benötigen mehr Budget und Personal, um ihre gesetzlich vorgesehene Aufgabe zu erfüllen. Sie könnten dann umfassende Stichprobenkontrollen durchführen oder branchenspezifische Richtlinien für Unternehmen erlassen. Idealerweise stellen uns App-Anbieter in Zukunft einheitliche und – automatisierte Schnittstellen für solche Auskunftsanfragen zur Verfügung. Dadurch könnten sie auf die fehleranfällige manuelle Bearbeitung verzichten.“

Publikation (Open Access):

Jacob Leon Kröger, Jens Lindemann, Dominik Herrmann. 2020. How do app vendors respond to subject access requests? A longitudinal privacy study on iOS and Android Apps. ARES ’20: Proceedings of the 15th International Conference on Availability, Reliability and Security.
https://dl.acm.org/doi/10.1145/3407023.3407057

Englische Video-Präsentation der wichtigsten Ergebnisse (15 Minuten): https://vimeo.com/444158701

Das Projekt stammt aus dem Forschungsschwerpunkt „Digitale Geistes-, Sozial- und Humanwissenschaften“ der Universität Bamberg. Weitere Informationen und aktuelle Meldungen zum Schwerpunkt finden Sie unter www.uni-bamberg.de/forschung/profil/digitale-geistes-sozial-humanwissenschaften.

Quelle: https://www.uni-bamberg.de/https://www.uni-bamberg.de/

22. Oktober 2020
Datenschutz – die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes für ungültig

Der Beschluss 2010/87 der Kommission über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern ist hingegen gültig.

Die Datenschutz-Grundverordnung (DSGVO) bestimmt, dass personenbezogene Daten grundsätzlich nur dann in ein Drittland übermittelt werden dürfen, wenn das betreffende Land für die Daten ein angemessenes Schutzniveau gewährleistet.

Nach dieser Verordnung kann die Kommission feststellen, dass ein Drittland aufgrund seiner innerstaatlichen Rechtsvorschriften oder seiner internationalen Verpflichtungen ein angemessenes Schutzniveau gewährleistet .

Liegt kein derartiger Angemessenheitsbeschluss vor, darf eine solche Übermittlung nur erfolgen, wenn der in der Union ansässige Exporteur der personenbezogenen Daten geeignete Garantien vorsieht, die sich u. a. aus von der Kommission erarbeiteten Standarddatenschutzklauseln ergeben können, und wenn die betroffenen Personen über durchsetzbare Rechte und wirksame Rechtsbehelfe verfügen.

Ferner ist in der DSGVO genau geregelt, unter welchen Voraussetzungen eine solche Übermittlung vorgenommen werden darf, falls weder ein Angemessenheitsbeschluss vorliegt noch geeignete Garantien bestehen . Herr Schrems, ein in Österreich wohnhafter österreichischer Staatsangehöriger, ist seit 2008 Nutzer von Facebook. Wie bei allen anderen im Unionsgebiet wohnhaften Nutzern werden seine personenbezogenen Daten ganz oder teilweise von Facebook Ireland an Server der Facebook Inc., die sich in den Vereinigten Staaten befinden, übermittelt und dort verarbeitet. Herr Schrems legte bei der irischen Aufsichtsbehörde eine Beschwerde ein, die im Wesentlichen darauf abzielte, diese Übermittlungen verbieten zu lassen. Er machte geltend, das Recht und die Praxis der Vereinigten Staaten böten keinen ausreichenden Schutz vor dem Zugriff der Behörden auf die dorthin übermittelten Daten. Seine Beschwerde wurde u. a. mit der Begründung zurückgewiesen, die Kommission habe in ihrer Entscheidung 2000/5205 (sogenannte „Safe-Harbour-Entscheidung“) festgestellt, dass die Vereinigten Staaten ein angemessenes Schutzniveau gewährleisteten.

Mit Urteil vom 6. Oktober 2015 erklärte der Gerichtshof auf ein Vorabentscheidungsersuchen des irischen High Court hin diese Entscheidung für ungültig (im Folgenden: Urteil Schrems I)

Nachdem das Urteil Schrems I ergangen war und der irische High Court daraufhin die Entscheidung, mit der die Beschwerde von Herrn Schrems zurückgewiesen worden war, aufgehoben hatte, forderte die irische Aufsichtsbehörde Herrn Schrems auf, seine Beschwerde unter Berücksichtigung der Ungültigerklärung der Safe-Harbour-Entscheidung durch den Gerichtshof umzuformulieren. Mit seiner umformulierten Beschwerde macht Herr Schrems geltend, Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (ABl. 2016, L 119, S. 1). 2 Art. 45 der DSGVO. 3 Art. 46 Abs. 1 und Abs. 2 Buchst. c der DSGVO. 4 Art. 49 der DSGVO. 5 Entscheidung der Kommission vom 26. Juli 2000 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des von den Grundsätzen des „sicheren Hafens“ und der diesbezüglichen „Häufig gestellten Fragen“ (FAQ) gewährleisteten Schutzes, vorgelegt vom Handelsministerium der USA (ABl. 2000, L 215, S. 7). 6 Urteil des Gerichtshofs vom 6. Oktober 2015, Schrems, C-362/14 (vgl. auch Pressemitteilung Nr. 117/15).

www.curia.europa.eu dass die Vereinigten Staaten keinen ausreichenden Schutz der dorthin übermittelten Daten gewährleisteten. Er beantragt, die von Facebook Ireland nunmehr auf der Grundlage der Standardschutzklauseln im Anhang des Beschlusses 2010/877 vorgenommene Übermittlung seiner personenbezogenen Daten aus der Union in die Vereinigten Staaten für die Zukunft auszusetzen oder zu verbieten. Die irische Aufsichtsbehörde war der Auffassung, dass die Bearbeitung der Beschwerde von Herrn Schrems insbesondere von der Gültigkeit des Beschlusses 2010/87 über Standardvertragsklauseln abhänge, und strengte daher ein Verfahren vor dem High Court an, damit er den Gerichtshof mit einem Vorabentscheidungsersuchen befassen möge. Nachdem dieses Verfahren eingeleitet worden war, erließ die Kommission den Beschluss (EU) 2016/1250 über die Angemessenheit des vom EU-US-Datenschutzschild („Privacy Shield“) gebotenen Schutzes8 .

Mit seinem Vorabentscheidungsersuchen fragt der irische High Court den Gerichtshof nach der Anwendbarkeit der DSGVO auf Übermittlungen personenbezogener Daten, die auf die Standardschutzklauseln im Beschluss 2010/87 gestützt werden, sowie nach dem Schutzniveau, das diese Verordnung im Rahmen einer solchen Übermittlung verlangt, und den Pflichten, die den Aufsichtsbehörden in diesem Zusammenhang obliegen. Des Weiteren wirft der High Court die Frage der Gültigkeit sowohl des Beschlusses 2010/87 über Standardvertragsklauseln als auch des Privacy Shield-Beschlusses 2016/1250 auf.

Mit seinem heute verkündeten Urteil stellt der Gerichtshof fest, dass die Prüfung des Beschlusses 2010/87 über Standardvertragsklauseln anhand der Charta der Grundrechte der Europäischen Union nichts ergeben hat, was seine Gültigkeit berühren könnte. Den Privacy Shield-Beschluss 2016/1250 erklärt er hingegen für ungültig. Der Gerichtshof führt zunächst aus, dass das Unionsrecht, insbesondere die DSGVO, auf eine zu gewerblichen Zwecken erfolgende Übermittlung personenbezogener Daten durch einen in einem Mitgliedstaat ansässigen Wirtschaftsteilnehmer an einen anderen, in einem Drittland ansässigen Wirtschaftsteilnehmer Anwendung findet, auch wenn die Daten bei ihrer Übermittlung oder im Anschluss daran von den Behörden des betreffenden Drittlands für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates verarbeitet werden können.

Eine derartige Datenverarbeitung durch die Behörden eines Drittlands kann nicht dazu führen, dass eine solche Übermittlung vom Anwendungsbereich der DSGVO ausgenommen wäre. In Bezug auf das im Rahmen einer solchen Übermittlung erforderliche Schutzniveau entscheidet der Gerichtshof, dass die insoweit in der DSGVO vorgesehenen Anforderungen, die sich auf geeignete Garantien, durchsetzbare Rechte und wirksame Rechtsbehelfe beziehen, dahin auszulegen sind, dass die Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen müssen, das dem in der Union durch die DSGVO im Licht der Charta garantierten Niveau der Sache nach gleichwertig ist. Bei der Beurteilung dieses Schutzniveaus sind sowohl die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Union ansässigen Datenexporteur und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, als auch, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten Daten betrifft, die maßgeblichen Aspekte der Rechtsordnung dieses Landes. Hinsichtlich der Pflichten, die den Aufsichtsbehörden im Zusammenhang mit einer solchen Übermittlung obliegen, befindet der Gerichtshof, dass diese Behörden, sofern kein gültiger Angemessenheitsbeschluss der Kommission vorliegt, insbesondere verpflichtet sind, eine Übermittlung personenbezogener Daten in ein Drittland auszusetzen oder zu verbieten,

Beschluss der Kommission vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates (ABl. 2010, L 39, S. 5) in der Fassung des Durchführungsbeschlusses (EU) 2016/2297 der Kommission vom 16. Dezember 2016 (ABl. 2016, L 334, S. 100). 8 Durchführungsbeschluss (EU) 2016/1250 der Kommission vom 12. Juli 2016 gemäß der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes (ABl. 2016, L 207, S. 1). www.curia.europa.eu wenn sie im Licht der Umstände dieser Übermittlung der Auffassung sind, dass die Standarddatenschutzklauseln in diesem Land nicht eingehalten werden oder nicht eingehalten werden können und dass der nach dem Unionsrecht erforderliche Schutz der übermittelten Daten nicht mit anderen Mitteln gewährleistet werden kann, es sei denn, der in der Union ansässige Datenexporteur hat die Übermittlung selbst ausgesetzt oder beendet. Sodann prüft der Gerichtshof die Gültigkeit des Beschlusses 2010/87 über Standardvertragsklauseln.

Er sieht sie nicht schon dadurch in Frage gestellt, dass die in diesem Beschluss enthaltenen Standarddatenschutzklauseln aufgrund ihres Vertragscharakters die Behörden des Drittlands, in das möglicherweise Daten übermittelt werden, nicht binden. Vielmehr hängt sie davon ab, ob der Beschluss wirksame Mechanismen enthält, die in der Praxis gewährleisten können, dass das vom Unionsrecht verlangte Schutzniveau eingehalten wird und dass auf solche Klauseln gestützte Übermittlungen personenbezogener Daten ausgesetzt oder verboten werden, wenn gegen diese Klauseln verstoßen wird oder ihre Einhaltung unmöglich ist. Der Gerichtshof stellt fest, dass der Beschluss 2010/87 derartige Mechanismen vorsieht. Insoweit hebt er insbesondere hervor, dass gemäß diesem Beschluss der Datenexporteur und der Empfänger der Übermittlung vorab prüfen müssen, ob das erforderliche Schutzniveau im betreffenden Drittland eingehalten wird, und dass der Empfänger dem Datenexporteur gegebenenfalls mitteilen muss, dass er die Standardschutzklauseln nicht einhalten kann, woraufhin der Exporteur die Datenübermittlung aussetzen und/oder vom Vertrag mit dem Empfänger zurücktreten muss. Schließlich prüft der Gerichtshof die Gültigkeit des Privacy-Shield-Beschlusses 2016/1250 anhand der Anforderungen der DSGVO im Licht der Bestimmungen der Charta, die die Achtung des Privat- und Familienlebens, den Schutz personenbezogener Daten und das Recht auf effektiven gerichtlichen Rechtsschutz verbürgen. Insoweit stellt er fest, dass in diesem Beschluss, ebenso wie in der Safe-Harbour-Entscheidung 2000/520, den Erfordernissen der nationalen Sicherheit, des öffentlichen Interesses und der Einhaltung des amerikanischen Rechts Vorrang eingeräumt wird, was Eingriffe in die Grundrechte der Personen ermöglicht, deren Daten in die Vereinigten Staaten übermittelt werden. Er kommt zu dem Ergebnis, dass die von der Kommission im PrivacyShield-Beschluss 2016/1250 bewerteten Einschränkungen des Schutzes personenbezogener Daten, die sich daraus ergeben, dass die amerikanischen Behörden nach dem Recht der Vereinigten Staaten auf solche Daten, die aus der Union in dieses Drittland übermittelt werden, zugreifen und sie verwenden dürfen, nicht dergestalt geregelt sind, dass damit Anforderungen erfüllt würden, die den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Anforderungen der Sache nach gleichwertig wären, da die auf die amerikanischen Rechtsvorschriften gestützten Überwachungsprogramme nicht auf das zwingend erforderliche Maß beschränkt sind.

Gestützt auf die Feststellungen in diesem Beschluss weist der Gerichtshof darauf hin, dass die betreffenden Vorschriften hinsichtlich bestimmter Überwachungsprogramme in keiner Weise erkennen lassen, dass für die darin enthaltene Ermächtigung zur Durchführung dieser Programme Einschränkungen bestehen; genauso wenig ist ersichtlich, dass für die potenziell von diesen Programmen erfassten Personen, die keine amerikanischen Staatsbürger sind, Garantien existieren. Der Gerichtshof fügt hinzu, dass diese Vorschriften zwar Anforderungen vorsehen, die von den amerikanischen Behörden bei der Durchführung der betreffenden Überwachungsprogramme einzuhalten sind, aber den betroffenen Personen keine Rechte verleihen, die gegenüber den amerikanischen Behörden gerichtlich durchgesetzt werden können. In Bezug auf das Erfordernis des gerichtlichen Rechtsschutzes befindet der Gerichtshof, dass der im Privacy-Shield-Beschluss 2016/1250 angeführte Ombudsmechanismus entgegen den darin von der Kommission getroffenen Feststellungen den betroffenen Personen keinen Rechtsweg zu einem Organ eröffnet, das Garantien böte, die den nach dem Unionsrecht erforderlichen Garantien der Sache nach gleichwertig wären, d. h. Garantien, die sowohl die Unabhängigkeit der durch diesen Mechanismus vorgesehenen Ombudsperson als auch das Bestehen von Normen gewährleisten, die die Ombudsperson dazu ermächtigen, gegenüber den amerikanischen Nachrichtendiensten verbindliche Entscheidungen zu erlassen.

Aus all diesen Gründen erklärt der Gerichtshof den Beschluss 2016/1250 für ungültig.

www.curia.europa.eu HINWEIS: Im Wege eines Vorabentscheidungsersuchens können die Gerichte der Mitgliedstaaten in einem bei ihnen anhängigen Rechtsstreit dem Gerichtshof Fragen nach der Auslegung des Unionsrechts oder nach der Gültigkeit einer Handlung der Union vorlegen. Der Gerichtshof entscheidet nicht über den nationalen Rechtsstreit. Es ist Sache des nationalen Gerichts, über die Rechtssache im Einklang mit der Entscheidung des Gerichtshofs zu entscheiden. Diese Entscheidung des Gerichtshofs bindet in gleicher Weise andere nationale Gerichte, die mit einem ähnlichen Problem befasst werden.

Zur Verwendung durch die Medien bestimmtes nichtamtliches Dokument, das den Gerichtshof nicht bindet.

Quelle: www.curia.europa.eu

17. Juli 2020
Datenschutz – EU-Datenschutzregeln zeigen gewünschte Wirkung, doch nationale Behörden brauchen bessere Ausstattung
Datenschutz – Vor zwei Jahren trat die EU-Datenschutz-Grundverordnung in Kraft. Heute (Mittwoch) hat die Kommission eine erste positive Bilanz gezogen. Eine entscheidende Rolle bei der Durchsetzung des europäischen Datenschutzrechts spielen die nationalen Datenschutzbehörden. Diese müssen mit angemessenen personellen, technischen und finanziellen Mitteln ausgestattet werden, betont die Kommission in ihrem Bericht. Hier gibt es zwischen den Mitgliedstaaten noch große Unterschiede. Auch die grenzüberschreitende Zusammenarbeit der Datenschutzbehörden kann noch verbessert werden, um eine echte gemeinsame Datenschutzkultur zu erreichen. Die Datenschutzgrundverordnung garantiert EU-weit geltende Rechte bei der Verarbeitung von personenbezogenen Daten.24/06/2020

Věra Jourová, Vizepräsidentin für Werte und Transparenz, sagte: „Inzwischen ist das europäische Datenschutzrecht für uns ein Kompass geworden, der uns im digitalen Wandel, bei dem der Mensch im Mittelpunkt steht, den Weg weist. Es ist eine wichtige Grundlage, auf der wir weitere Strategien aufbauen, wie zum Beispiel die Datenstrategie oder unser KI-Konzept. Die Datenschutz-Grundverordnung ist das perfekte Beispiel dafür, wie die Europäische Union das Leitmotiv Grundrechte nutzt, um die Rechte der Bürgerinnen und Bürger der EU zu stärken und die Unternehmen dabei zu unterstützen, die digitale Revolution zu meistern. Dennoch ist weiterhin unser aller Engagement gefragt, damit das Potenzial der DSGVO voll ausgeschöpft werden kann.“

Datenschutz „Die DSGVO hat bei allen ihren Zielen Erfolge verzeichnet und ist inzwischen weltweit eine Referenz für Länder, die ihren Bürgerinnen und Bürgern ein hohes Datenschutzniveau bieten wollen“, so Didier Reynders, EU-Kommissar für Justiz. „Der heutige Bericht zeigt aber auch, dass wir noch mehr tun können. So brauchen wir beispielsweise EU-weit mehr Einheitlichkeit bei der Anwendung der Vorschriften: Dies ist für Bürgerinnen und Bürger ebenso wichtig wie für Unternehmen und insbesondere KMU. Wir müssen ferner sicherstellen, dass die Bürgerinnen und Bürger ihre Rechte uneingeschränkt wahrnehmen können. Um dies zu erreichen, wird die Kommission in enger Zusammenarbeit mit dem Europäischen Datenschutzausschuss sowie im regelmäßigen Austausch mit den Mitgliedstaaten Fortschritte genau überwachen, damit sich das volle Potenzial der DSGVO entfalten kann.“

Dem Bericht zufolge hat die Datenschutzgrundverordnung (DSGVO) die meisten ihrer Ziele erreicht, insbesondere aufgrund des durch die DSGVO neu geschaffenen europäischen Governance- und Durchsetzungssystems. Auch bei der Unterstützung digitaler Lösungen in unvorhersehbaren Situationen wie der COVID-19-Krise hat sich die DSGVO als flexibel erwiesen. Der Bericht kommt auch zu dem Schluss, dass die Harmonisierung in den Mitgliedstaaten zunimmt, auch wenn ein gewisses Maß an Fragmentierung besteht, das ständig überwacht werden muss.

Datenschutz – Ferner wird festgestellt, dass Unternehmen eine Compliance-Kultur entwickeln und einen starken Datenschutz immer häufiger als Wettbewerbsvorteil nutzen. Im Bericht sind Maßnahmen aufgelistet, die allen Interessenträgern, insbesondere kleinen und mittleren Unternehmen, die Anwendung der DSGVO weiter erleichtern und somit eine wirklich europäische Datenschutzkultur mit konsequenter Durchsetzung fördern und weiterentwickeln sollen.

Die wichtigsten Ergebnisse der Überprüfung der Datenschutz-Grundverordnung:
- Die Bürgerinnen und Bürger sind in ihren Rechten gestärkt und besser sensibilisiert: Die Datenschutz-Grundverordnung stärkt die Transparenz und verleiht den Einzelnen durchsetzbare Rechte, wie das Recht auf Auskunft, Berichtigung, Löschung, Widerspruch und Datenübertragbarkeit. Aktuell haben 69 Prozent der über 16-Jährigen in der EU von der Datenschutz-Grundverordnung und 71 Prozent der Gesamtbevölkerung von ihrer jeweiligen nationalen Datenschutzbehörde gehört. Dies geht aus einer Umfrage der Agentur der Europäischen Union für Grundrechte hervor, die letzte Woche veröffentlicht wurde. Allerdings könnten die Bürgerinnen und Bürger bei der Wahrnehmung ihrer Rechte, insbesondere ihres Rechts auf Datenübertragbarkeit, noch besser unterstützt werden.
- Die Datenschutzvorschriften sind zeitgemäß: In der heutigen Zeit des digitalen Wandels können die Menschen dank der DSGVO inzwischen aktiver mitbestimmen, was mit ihren Daten geschieht. Die Verordnung trägt ferner zur Entwicklung vertrauenswürdiger Innovationen bei, und zwar durch einen Ansatz, der risikobasiert ist und sich an Grundsätzen wie ‚Datenschutz durch Technik‘ und ‚datenschutzfreundliche Voreinstellungen‘ orientiert.
- Datenschutzbehörden nutzen ihre erweiterten Abhilfebefugnisse: Von Verwarnungen und Verweisen bis hin zu Bußgeldern gibt die DSGVO den nationalen Datenschutzbehörden die richtigen Instrumente zur Durchsetzung des Datenschutzrechts an die Hand. Hierzu müssen sie jedoch mit angemessenen personellen, technischen und finanziellen Mitteln ausgestattet werden. Viele Mitgliedstaaten tun dies bereits, indem sie deutlich höhere Budget- und Personalzuweisungen vornehmen. Zwischen 2016 und 2019 war für alle nationalen Datenschutzbehörden in der EU zusammengenommen ein Anstieg von 42 Prozent beim Personalbestand und von 49 Prozent bei der Mittelausstattung zu verzeichnen. Allerdings gibt es hier bei den Mitgliedstaaten noch große Unterschiede.
- Die Zusammenarbeit der Datenschutzbehörden im Europäischen Datenschutzausschuss (EDSA) kann noch besser werden: Mit der Datenschutz-Grundverordnung wurde ein innovatives Governance-System geschaffen, das eine kohärente und wirksame Anwendung der Datenschutz-Grundverordnung durch die sogenannte einzige Anlaufstelle gewährleisten soll, damit ein Unternehmen, das Daten grenzüberschreitend verarbeitet, nur eine Datenschutzbehörde als Ansprechpartnerin hat, nämlich die Behörde des Mitgliedstaats, in dem sich seine Hauptniederlassung befindet. Zwischen dem 25. Mai 2018 und dem 31. Dezember 2019 gingen bei der zentralen Anlaufstelle Diesen Link in einer anderen Sprache aufrufenEN••• 141 Entscheidungsentwürfe ein, von denen 79 in endgültige Entscheidungen mündeten. Dennoch kann noch mehr für eine echte gemeinsame Datenschutzkultur getan werden. Insbesondere die Bearbeitung grenzüberschreitender Fälle erfordert einen effizienteren, einheitlicheren Ansatz und einen wirksamen Einsatz aller in der Datenschutz-Grundverordnung vorgesehenen Mechanismen für die Zusammenarbeit der Datenschutzbehörden.
- Datenschutzbehörden – Beratung und Leitlinien: Der EDSA gibt derzeit Leitlinien Diesen Link in einer anderen Sprache aufrufenEN••• zu zentralen Aspekten der Verordnung und zu neuen Themen heraus. Mehrere Datenschutzbehörden haben neue Instrumente, wie Beratungsstellen für Einzelpersonen und Unternehmen oder Toolkits für Klein- und Kleinstunternehmen, geschaffen. Die auf nationaler Ebene bereitgestellten Hilfsangebote müssen unbedingt vollständig mit den Leitlinien des Europäischen Datenschutzausschusses in Einklang stehen.
- Möglichkeiten der freien und sicheren Datenübermittlung an Drittstaaten und internationale Organisationen optimal nutzen: Das internationale Engagement der Kommission für eine freie und sichere Datenübermittlung in den letzten zwei Jahren hat sich bereits ausgezahlt. So bilden Japan und die EU inzwischen den weltweit größten Raum für einen freien und sicheren Datenverkehr Diesen Link in einer anderen Sprache aufrufenEN••• . Die Kommission wird ihre Arbeit zum Thema Angemessenheit mit ihren Partnern in der ganzen Welt fortsetzen. Darüber hinaus prüft die Kommission in Zusammenarbeit mit dem Europäischen Datenschutzausschuss, wie auch andere Mechanismen für die Datenübermittlung, z. B. Standardvertragsklauseln (das am häufigsten verwendete Datenübertragungsinstrument), modernisiert werden können. Der Europäische Datenschutzausschuss arbeitet derzeit an speziellen Leitlinien für die Zertifizierung und an Verhaltenskodizes für die Datenübermittlung an Drittländer und internationale Organisationen, die so bald als möglich fertiggestellt werden müssen. Da der Europäische Gerichtshof in einem für den 16. Juli erwarteten Urteil Aspekte klarstellen könnte, die möglicherweise für den Angemessenheitsstandard relevant sind‚ wird die Kommission nach der Urteilsverkündung gesondert über die derzeitigen Angemessenheitsbeschlüsse Bericht erstatten.
- Internationale Zusammenarbeit fördern: In den letzten zwei Jahren hat die Kommission den bilateralen, regionalen und multilateralen Dialog bereits intensiviert und sich für eine globale Kultur der Achtung der Privatsphäre und der Konvergenz zwischen den verschiedenen Datenschutzsystemen zum Nutzen der Bürgerinnen und Bürger und der Unternehmen eingesetzt. Die Kommission ist entschlossen, diese Arbeit in all ihrem auswärtigen Handeln fortzusetzen, beispielsweise im Rahmen der Partnerschaft Afrika-EU (link is external)Diesen Link in einer anderen Sprache aufrufenEN••• und bei ihrer Unterstützung für internationale Initiativen wie „Data Free Flow with Trust“. In einer Zeit, in der Verstöße gegen den Datenschutz viele Menschen gleichzeitig in mehreren Teilen der Welt betreffen können, ist es an der Zeit, die internationale Zusammenarbeit der zuständigen Durchsetzungsinstanzen zu intensivieren. Aus diesem Grund wird die Kommission den Rat ersuchen, sie zu ermächtigen, mit bestimmten Drittländern Verhandlungen aufzunehmen, die den Abschluss von Abkommen über gegenseitige Amtshilfe und Zusammenarbeit bei der Durchsetzung ermöglichen werden.
Angleichung des EU-Rechts an die Richtlinie zum Datenschutz bei der Strafverfolgung

Darüber hinaus hat die Kommission heute eine Mitteilung veröffentlicht, in der zehn Rechtsakte zur behördlichen Verarbeitung personenbezogener Daten zwecks Prävention, Ermittlung, Aufdeckung und Verfolgung von Straftaten genannt werden, die an die Richtlinie zum Datenschutz bei der Strafverfolgung angeglichen werden sollten. Die Angleichung wird Rechtssicherheit schaffen und Fragen in Bezug auf den Zweck der Verarbeitung personenbezogener Daten durch die zuständigen Behörden sowie die Datenarten, die einer solchen Verarbeitung unterliegen können, klären.

Hintergrund

Die Datenschutz-Grundverordnung sieht vor, dass die Kommission erstmals nach zwei Jahren und anschließend alle vier Jahre einen Bericht über die Bewertung und Überprüfung der Verordnung vorlegt.

Die Datenschutz-Grundverordnung ist ein für alle Mitgliedstaaten geltendes Regelwerk des EU-Rechts zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Sie stärkt den Datenschutz insgesamt, gewährt dem Einzelnen zusätzliche und stärkere Rechte, erhöht die Transparenz und fordert mehr Rechenschaftspflicht und Verantwortung von denen, die personenbezogene Daten verarbeiten. Sie hat die nationalen Datenschutzbehörden mit umfassenderen und harmonisierten Durchsetzungsbefugnissen ausgestattet und ein neues Governance-System für die Datenschutzbehörden eingerichtet. Außerdem schafft sie gleiche Wettbewerbsbedingungen für alle Unternehmen, die auf dem EU-Markt tätig sind, unabhängig davon, wo sie niedergelassen sind, gewährleistet den freien Datenverkehr innerhalb der EU, erleichtert eine sichere Datenübermittlung zwischen der EU und Drittstaaten bzw. internationalen Organisationen und dient weltweit als Referenz.

Wie in Artikel 97 Absatz 2 der DSGVO festgelegt, bezieht sich der heute veröffentlichte Bericht insbesondere auf die Datenübermittlung an Drittstaaten bzw. internationale Organisationen und die Kooperations- und Kohärenzverfahren. Um darüber hinaus die in den letzten zwei Jahren von verschiedenen Akteuren aufgeworfenen Fragen zu behandeln, hat die Kommission ihre Überprüfung jedoch auf eine breitere Grundlage gestellt. Der Bericht greift deshalb Beiträge von Rat, Europäischem Parlament, Europäischem Datenschutzausschuss, nationalen Datenschutzbehörden und Interessenträgern auf.

Weiterführende Informationen:

DSGVO – Bericht zur Umsetzung Diesen Link in einer anderen Sprache aufrufenEN•••

Mitteilung: EU-Rechtsakte, die an die Richtlinie zum Datenschutz bei der Strafverfolgung angeglichen werden sollten Diesen Link in einer anderen Sprache aufrufenEN•••

Factsheet: die DSGVO – eine Erfolgsgeschichte Diesen Link in einer anderen Sprache aufrufenEN•••

Fragen und Antworten zum DSGVO-Zweijahresbericht Diesen Link in einer anderen Sprache aufrufenEN•••

Online-Leitlinien zum EU-Datenschutzrecht Diesen Link in einer anderen Sprache aufrufenEN•••

Infografik: Was müssen Sie als Unternehmen tun? Diesen Link in einer anderen Sprache aufrufenEN•••

Quelle: https://ec.europa.eu/

https://now.digital/interim-manager-digitale-transformation/dsgvo-europaeischer-datenschutzausschuss-verabschiedet-leitlinien-zur-interpretation-des-art-6-abs-1-b/
6. Juli 2020
Datenschutz bei Smart-TVs – Bundeskartellamt fordert im Rahmen seiner Verbraucherschutzbefugnisse bessere Verbraucher-Informationen
Datenschutz – Das Bundeskartellamt hat heute den Abschlussbericht seiner Sektoruntersuchung zu Smart-TVs vorgelegt. Smart-TVs sind internetfähige Fernsehgeräte, mit denen die Verbraucher über das klassische Fernsehprogramm hinaus Internetangebote wie Video-Streaming und viele weitere Informationen und Funktionen nutzen können. Sie stehen stellvertretend für viele Geräte des sog. Internet der Dinge (Internet of Things, kurz IoT).

Andreas Mundt, Präsident des Bundeskartellamtes: „Ziel muss es sein, den Nutzern von Smart-TVs – und von IoT-Geräten generell – zu deutlich mehr Souveränität über ihre eigenen Daten zu verhelfen. Fast jedes neu verkaufte Fernsehgerät ist heute ein Smart-TV. Anders als herkömmliche Fernseher bieten Smart-TVs unterschiedlichste Nutzungsmöglichkeiten im digitalen Verbraucheralltag. Bei vielen Smartfunktionen hinterlassen Verbraucher jedoch digitale Spuren. Die Empfänger der Daten nutzen diese geschäftlich und zwar meistens, ohne die Verbraucher vorab ordnungsgemäß über die Datenverarbeitung zu informieren. Das sollte sich ändern.“

Die Sektoruntersuchung hat offen gelegt, dass Smart-TVs über vielfältige Möglichkeiten verfügen, personenbezogene Daten zu erheben. Hiervon machen Unternehmen bislang in unterschiedlichem Ausmaß Gebrauch. So können etwa das generelle Fernsehverhalten einer Person, ihre App-Nutzung, ihr Surf- und Klickverhalten oder auch biometrische Daten wie Stimme oder Cursorbewegungen sowie die im Einzelnen über den Fernseher abgespielten Inhalte erfasst und ausgewertet werden. Die Erhebung solch intimer Nutzungsdaten und ggf. deren Verwendung für personalisierte Werbung kann der Verbraucher zumeist durch Vornahme entsprechender Einstellungen an seinem Fernsehgerät verhindern.

Sich über die einschlägigen Datenschutzbestimmungen bereits vor dem Kauf zu informieren, ist für den Verbraucher nicht oder nur mit großem Aufwand möglich. Ist der Kauf aber erfolgt, fügen sich die Verbraucher regelmäßig in die ihnen bei der Ersteinrichtung des Geräts angezeigten Datenschutzbestimmungen und Nutzungsbedingungen, da sie hierzu keine Alternative sehen.

Das Bundeskartellamt hat festgestellt, dass die Datenschutzbestimmungen der in Deutschland aktiven Smart-TV-Hersteller fast durchgehend schwerwiegende Transparenzmängel aufweisen und damit gegen Vorgaben der Datenschutzgrundverordnung (DSGVO) verstoßen. Sie sind vor allem deshalb für die Verbraucher nicht nachvollziehbar, weil sie für eine Vielzahl von Diensten und Nutzungsprozessen gelten sollen. Diese „one fits all“-Architektur führt dazu, dass die Verbraucher nicht zuverlässig erfahren, welche personenbezogenen Daten verarbeitet werden, welche Datenverarbeitungen durch welchen Nutzungsprozess ausgelöst werden, welche Daten an Dritte übermittelt werden und wie lange einzelne Daten gespeichert werden. Die Verbraucher können daher ihr Anwendungsverhalten nicht so steuern, dass sie möglichst wenige private personenbezogene Daten preisgeben.

Daneben hat das Bundeskartellamt auch Datensicherheitsrisiken der Software von Smart-TVs untersucht. Nachdem in der Vergangenheit immer wieder über Mängel berichtet wurde, hat die Sektoruntersuchung deutlich gemacht, dass sich Hersteller mit unterschiedlichem Aufwand um ein hohes Datensicherheitsniveau bemühen. Bei etlichen Herstellern ist nicht gesichert, dass der Sicherheitsstandard der Geräte auch in den Jahren nach dem Kauf durch Software-Aktualisierungen (Updates) aufrechterhalten wird. Kein Unternehmen macht verbindliche Angaben dazu, wie lange seine Produkte mit Sicherheits-Updates versehen werden. Für die Verbraucher ist diese Information jedoch unerlässlich, um einschätzen zu können, wie lange sie das Gerät uneingeschränkt gefahrlos verwenden können. Der Gesetzgeber sollte in Bezug auf die Versorgung mit Software-Updates die Rechtsstellung des Verbrauchers insbesondere gegenüber Herstellern verbessern.

Das Bundeskartellamt hat zudem eine Reihe weiterer Problemfelder rechtlich analysiert, die die Verbraucher bei der Verwendung von IoT-Produkten betreffen, z. B. die Rechtmäßigkeit von Werbeeinblendungen im TV-Portal.

Andreas Mundt weiter: „Datenschutz muss bei Smart-TVs – und auch generell bei kommunikationsfähigen Geräten des Internet of things – zu einem echten Wettbewerbsparameter werden. Wenn Verbraucher effektiv in die Lage versetzt werden, die Datenschutz- und Datensicherheitsqualität eines Produkts zu beurteilen, kann eine bewusste Nachfrage nach datenschutzfreundlichen Geräten entstehen. Das Bundeskartellamt empfiehlt Entscheidern, Unternehmen und Wissenschaft daher, auf Datenschutzinformationen hinzuwirken, die aussagekräftig sind, einfach aufgefasst werden können und bereits vor dem Kauf der Geräte verfügbar sind.“

In Anknüpfung an den Bericht empfiehlt das Bundeskartellamt:
- Verbraucher sollten noch besser und zielgerichteter über die Möglichkeit zur extensiven Datensammlung und -verarbeitung von Smart-TVs und Internet of Things-Geräten insgesamt informiert und aufgeklärt werden.
- Haftungsfragen beim Zusammenspiel der verschiedenen Akteure im IoT-Bereich sollten durch entsprechende gesetzliche Regelungen geklärt werden.
- Es bedarf eines klaren gesetzlich geregelten Anspruchs des Verbrauchers auch gegenüber dem Hersteller auf Software-Updates.
- Die verantwortlichen Unternehmen sollten verpflichtet werden, notwendige Informationen (Produktinformationen, Datenschutz, Voreinstellungsmöglichkeiten, etc.) klarer und einfacher zu vermitteln.
- Verbrauchern sollte es leichter gemacht werden, Datenschutzstandards bei einer Kaufentscheidung zu berücksichtigen, insbesondere durch eingängige Bildsymbole.
Das Bundeskartellamt kann im Bereich des Verbraucherschutzes Untersuchungen durchführen und so Defizite identifizieren. Über die Befugnis, etwaige Rechtsverstöße per behördlicher Verfügung abzustellen, verfügt das Amt hingegen nicht (vgl. PM vom 12. Juni 2017).

Das Bundeskartellamt hatte die Sektoruntersuchung Smart-TVs im Dezember 2017 auf Basis seiner seit Mitte 2017 bestehenden verbraucherrechtlichen Kompetenzen eingeleitet (vgl. PM vom 13. Dezember 2017). Die Ermittlungen betrafen rund 20 Anbieter, die in Deutschland Smart-TVs unter eigenen Marken absetzen. Außerdem wurden Fachleute aus Praxis und Wissenschaft konsultiert.

Der Bericht ist unter folgendem Link abrufbar.

Quelle: Presse Bundeskartellamt

https://now.digital/interim-manager-digitale-transformation/dsgvo-datenschutz-grundverordnung-blick-auf-ihre-staerken-und-chancen-richten/
3. Juli 2020
Datenschutz – Konsultationsverfahren zur Anonymisierung erfolgreich
Datenschutz – Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) veröffentlicht die Ergebnisse seines Konsultationsverfahrens zur Anonymisierung personenbezogener Daten. Wichtigste Erkenntnis: Die Anonymisierung von personenbezogenen Daten ist mit einer entsprechenden Rechtsgrundlage grundsätzlich möglich – auch im Telekommunikationssektor. Eine Verpflichtung zur unverzüglichen Löschung ist durch eine Anonymisierung erfüllbar, hier ist allerdings ein strengerer Maßstab anzulegen.

BfDI Professor Kelber freut sich über die rege Beteiligung am Konsultationsverfahren: Wir haben viele Stellungnahmen aus Wirtschaft und Wissenschaft, von Behörden und der Zivilgesellschaft erhalten. Die verschiedenen Ansichten spiegeln dabei die Komplexität des Themas wider. Nach Auswertung aller Beiträge veröffentlichen wir jetzt unser Positionspapier, um für mehr Rechtssicherheit bei den von mir beaufsichtigten Stellen zu sorgen. Ich bedanke mich bei allen, die sich an unserem ersten Konsultationsverfahren beteiligt haben.

Der BfDI hatte den Bedarf für eine Positionierung gesehen, da die Anonymisierung trotz ihrer hohen praktischen Bedeutung nur rudimentär geregelt ist. Die DSGVO enthält lediglich den Hinweis, dass deren Regelungen nicht für anonyme Informationen gelten.

Für viele Forschungsprojekte und Geschäftsmodelle ist die Analyse von abstrakten Datensätzen ausreichend, selbst wenn der Personenbezug aufgehoben wurde. Die Anonymisierung kann als ein Mittel angesehen werden, im Einzelfall eine Verarbeitung von Daten überhaupt erst zu ermöglichen. Die Beachtung der datenschutzrechtlichen Grundsätze und insbesondere die Gewährleistung eines dem Risiko angemessenen Schutzniveaus sind dabei so wichtig wie selbstverständlich.

Das Positionspapier sowie die eingegangenen Stellungnahmen zum Konsultationsverfahren finden Sie hier:

Anonymisierung – Eine Standortbestimmung zwischen der DSGVO und dem TKG

Der BfDI hat am 29. Juni 2020 ein Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche veröffentlicht. Es entstand nach der Durchführung des ersten öffentlichen Konsultationsverfahrens der Behörde.

Ist die Anonymisierung personenbezogener Daten rechtfertigungsbedürftig? Und auf welche Rechtsgrundlage lässt sich die Anonymisierung stützen? Diese und andere Fragen rund um die Anonymisierung sind Gegenstand des Positionspapiers des BfDI.

Im Positionspapier wird nun der aktuelle rechtliche Rahmen für die Anonymisierung aufzeigt. Das Positionspapier soll den Verantwortlichen eine Orientierung bei der datenschutzrechtlichen Bewertung ihrer Anonymisierungspraktiken bieten.

Die Stellungnahmen der Konsultationsteilnehmer sind hier abrufbar:

Das Positionspapier steht Ihnen als Download zur Verfügung:
DSGVO – Datenschutzexperten fehlen in Unternehmen
30. Juni 2020
DS-GVO – Datenschutz Checkliste für die Durchführung von Videokonferenzen

DS-GVO – Datenschutz für die Durchführung von datenschutzgerechten virtuellen Konferenzen empfiehlt die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Unternehmen, Behörden und anderen Organisationen, wie folgt vorzugehen:

Datenschutz Checkliste für die Durchführung von Videokonferenzen während der Kontaktbeschränkungen Für die Durchführung von datenschutzgerechten virtuellen Konferenzen empfehlen wir Unternehmen, Behörden und anderen Organisationen, wie folgt vorzugehen.

Prüfen Sie Ihren Datenschutz,

1. ob anstelle von Videokonferenzen auch Telefonkonferenzen ausreichen könnten, um die gewünschte Abstimmung untereinander herbeizuführen. Diese können sehr viel leichter datenschutzgerecht durchgeführt werden.

2. ob es Ihnen mit verhältnismäßigem Aufwand möglich ist, einen eigenen Dienst mit öffentlich verfügbarer oder kommerziell erhältlicher Software bereitzustellen. Stellen Sie dabei sicher, dass die eingesetzte Software keine Daten über Ihre Beschäftigten oder deren Kommunikationspartner/-innen an den Hersteller für dessen Zwecke übermittelt.

3. ob eine der Lösungen eines Anbieters mit Sitz und Verarbeitungsort, insbesondere Server-Standort, im Europäischen Wirtschaftsraum (EWR) oder aus einem Land mit gleichwertigem Datenschutzniveau (https://ec.europa.eu/info/law/law-topic/data-protection/internationaldimension-data-protection/adequacy-decisions_en) Ihren Bedürfnissen entspricht. Der Deutsche Industrie- und Handelskammertag (DIHK) e. V. hat eine kurze Liste von Anbietern, die in Frage kommen könnten, erstellt, die über den DIHK angefordert werden kann.

Die Vertragsgestaltungen der dort genannten Anbieter konnten wir bisher allerdings noch nicht überprüfen. Prüfen Sie des Weiteren, ob der Anbieter

a) erwarten lässt, dass er die Daten nur im zulässigen Rahmen verarbeitet und insbesondere nicht entgegen europäischem Datenschutzrecht an Dritte – einschließlich ausländische Behörden – weitergibt,

b) ausreichende Datensicherheit (zum Beispiel durch Zertifizierung) nachweisen kann und

c) Ihnen die Verschlüsselung der Datenübertragung garantiert.

Fällt die Prüfung positiv aus, dann

d) schließen Sie einen ordnungsgemäßen Auftragsverarbeitungsvertrag mit dem Anbieter, und stellen Sie sicher, dass der Betreiber keine Angaben über Ihre Beschäftigten und deren Kommunikation oder über die Nutzung der Software für eigene Zwecke oder Zwecke Dritter verarbeitet sowie

f) Unterauftragnehmer mit Verarbeitungsort, insbesondere Server-Standort, außerhalb der EU/des EWR für die Bereitstellung des Videokonferenzdiensts nur einsetzt, wenn der Datenexport die Anforderungen des Kapitels V der Datenschutz-Grundverordnung erfüllt. Bitte beachten Sie, dass der Beschluss der EU-Kommission zur Gleichwertigkeit des Datenschutzniveaus in den USA sich ausschließlich auf Organisationen erstreckt, die sich durch Selbstzertifizierung beim US-Handelsministerium zur Einhaltung der Grundsätze des Privacy Shields verpflichtet haben.

Die Zertifizierung muss sich auch auf Personaldaten (HR) erstrecken. Sie überprüfen dies durch Einsicht in die Liste des US-Handelsministeriums unter https://www.privacyshield.gov/list.

4. Wenn Sie einen Anbieter mit Verarbeitungsort außerhalb von EU/EWR oder einem Land mit gleichwertigem Datenschutzniveau bzw. einen nicht im Rahmen des Privacy Shields für die Verarbeitung von Personaldaten zertifizierten Anbieter in den USA beauftragen wollen, dann erfüllen Sie die Bedingungen unter Ziff. 3. a) – c) und e) und schließen mit ihm zur Erfüllung der Bedingung in Ziff. 3. d) einen Vertrag gemäß den von der EU-Kommission genehmigten Standardvertragsklauseln (https://eur-lex.europa.eu/legalcontent/DE/TXT/?uri=CELEX%3A32010D0087). Eine Einschränkung der Wirkung dieser Klauseln durch anderweitige Vereinbarungen ist nicht zulässig.

Dies gilt für jede Art von zusätzlichen Bedingungen und Einschränkungen für die Pflichten und Rechte aus den Standardvertragsklauseln. Die Erfüllung der Ziff. 3. a) bis 3. f) sowie ggf. Ziff. 4. bzw. im Fall von selbst betriebenen Lösungen Ziff. 2 Satz 2 ist in der Regel zwingende Voraussetzung für die Rechtmäßigkeit der Nutzung der jeweiligen Lösung.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit weisen darauf hin, dass einige verbreitet eingesetzte Anbieter zu Redaktionsschluss (22. Mai 2020) nicht alle Rechtmäßigkeitsvoraussetzungen erfüllen, darunter gängige Produkte von Microsoft, Skype Communications und Zoom Video Communications.

Nicht datenschutzgerechte Lösungen, die aufgrund der Einführung der Kontaktbeschränkungen von Ihrer Institution kurzfristig eingesetzt wurden, sollten so bald wie möglich abgelöst bzw. so nachgebessert werden, dass sie den datenschutzrechtlichen Anforderungen entsprechen. Hinweis: Wir planen, für unserer Aufsicht unterliegende Verantwortliche in Kürze eine ausführlichere Übersicht mit detaillierteren Angaben zu verschiedenen gängigen Anbietern von Videokonferenz-Diensten zu erstellen.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit

https://now.digital/interim-manager-digitale-transformation/datenschutz-news/datenschutz-edsa-aktualisiert-leitlinien-zur-einwilligung-bei-internetseiten/

26. Mai 2020