Category Archives: Bundesdatenschutzgesetz

Die DSGVO Schonfrist ist vorbei – Aufsichtsbehörden machen ernst

By | 27. November 2018

Seit Mai 2018 ist die EU Daten­schutz-Grund­ver­ord­nung (DSGVO) wirk­sam, nach­dem sie bereits Mai 2016 in Kraft getre­ten ist. Zeit bestand aus­rei­chend, sich auf die Neue­run­gen vor­zu­be­rei­ten. Die eine oder ande­re Orga­ni­sa­ti­on hat die Gele­gen­heit genutzt, bestehen­de Lücken in der eige­nen Daten­schutz-Orga­ni­sa­ti­on zu schlie­ßen. In den letz­ten Mona­ten haben wir öfter mal den Satz gehört „Woher soll ich wis­sen, was da im Daten­schutz zu tun ist?“. Hier gilt eine Hol­schuld durch die Orga­ni­sa­ti­ons­lei­tung getreu dem Mot­to „Unwis­sen­heit schützt vor Stra­fe nicht“. Für die Ein­hal­tung gesetz­li­cher Vor­schrif­ten ist die Lei­tung zustän­dig und ver­ant­wort­lich. Für Geschäfts­füh­rer gilt hier § 130 Gesetz über Ord­nungs­wid­rig­kei­ten (OWiG) mit der tref­fen­den Bezeich­nung “Ver­let­zung der Auf­sichts­pflicht in Betrie­ben und Unter­neh­men“. Ähn­li­che Ver­pflich­tun­gen für Behör­den trifft sogar unser Grund­ge­setz.

Die DSGVO-Schonzeit ist vorbei

Die meis­ten Lan­des­da­ten­schutz­be­hör­den haben jedoch in den letz­ten Mona­ten ein Auge zuge­drückt und eine im Gesetz nicht vor­ge­se­he­ne frei­wil­li­ge Karenz­zeit ein­ge­scho­ben. In die­sem Zeit­raum soll­ten Orga­ni­sa­tio­nen die Gele­gen­heit letzt­ma­lig nut­zen, die recht­li­chen Ver­pflich­tun­gen aus der DSGVO in Ver­bin­dung mit dem neu­en Bun­des­da­ten­schutz­ge­setz (BDSG) für Unter­neh­men und den Lan­des­da­ten­schutz­ge­set­zen für Lan­des­be­hör­den und kom­mu­na­le Ein­rich­tun­gen umzu­set­zen. Die­se Schon­zeit ist nun vor­bei!

Es wird ernst – aber Buß­gel­der sind nicht das eigent­li­che Pro­blem

Ende Okto­ber wur­de … Weiterlesen

Email-Werbung ohne schriftliche Einwilligung – geht das überhaupt?

By | 5. September 2017

Keine Email-Werbung ohne Einwilligung

Oft wer­den wir als Daten­schutz­be­auf­trag­te gefragt, ob für Email-Wer­bung  oder Wer­bung per SMS eine schrift­li­che Ein­wil­li­gung wirk­lich not­wen­dig ist. Dabei wird über­se­hen, dass hier das Gesetz gegen den unlau­te­ren Wett­be­werb (kurz UWG) der ers­te Spiel­ver­der­ber ist. Das all­ge­mei­ne Daten­schutz­recht tritt hier erst mal zurück.

Und in § 7 Absatz 1 sowie Absatz 2 Num­mer 3 des UWG wird Email-Wer­bung zusam­men mit SMS- und Tele­fax-Wer­bung grund­sätz­lich als unzu­mut­ba­re Beläs­ti­gung im Sin­ne des UWG ein­ge­stuft. Daher ist Email-Wer­bung nur mit aus­drück­li­cher (vor­he­ri­ger schrift­li­cher) Ein­wil­li­gung der betrof­fe­nen Per­son erlaubt. Mit der wett­be­werbs­recht­li­chen Zuläs­sig­keit steht und fällt zugleich auch die daten­schutz­recht­li­che Zuläs­sig­keit.

Ausnahmsweise doch Email-Werbung ohne Einwilligung?

Ja, Email-Wer­bung ohne vor­he­ri­ge schrift­li­che Ein­wil­li­gung kann in einer ein­zi­gen Aus­nah­me mög­lich sein. Die­se Aus­nah­me beschreibt der Lan­des­be­auf­trag­te für den Daten­schutz und die Infor­ma­ti­ons­frei­heit Baden-Würt­tem­berg. Ver­brau­cher, aber auch Wer­be­trei­ben­de kön­nen sich in dem frei ver­füg­ba­ren und aktua­li­sier­ten Merk­blatt „Was Sie gegen uner­wünsch­te Wer­bung tun kön­nen” (Stand 10. Mai 2017) infor­mie­ren.

Wie lautet diese Ausnahme für Email-Werbung ohne Einwilligung?

Nach Auf­fas­sung des Lan­des­be­auf­trag­ten ist Email-Wer­bung ohne (vor­he­ri­ge) schrift­li­che Ein­wil­li­gung mög­lich nach § 7 Absatz 3 UWG, wenn der Wer­be­trei­ben­de (also das Unter­neh­men) schrift­lich alle nach­fol­gen­den Vor­aus­set­zun­gen nach­wei­sen kann (Ori­gi­nal-Zitat aus dem Merk­blatt):

  • Er hat die
Weiterlesen

Datenschutzbeauftragter darf keinen Interessenkonflikten unterliegen

By | 23. Januar 2017

Baye­ri­sches Unter­neh­men kas­siert Buß­geld, weil IT-Mana­ger gleich­zei­tig als Daten­schutz­be­auf­trag­ter bestellt war.

Eine der­art expo­nier­te Posi­ti­on im Hin­blick auf die Daten­ver­ar­bei­tungs­pro­zes­se im Unter­neh­men ist in aller Regel unver­ein­bar mit den Auf­ga­ben eines Daten­schutz­be­auf­trag­ten”, so das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht (BayL­DA) in Ans­bach.

Wer muss einen Daten­schutz­be­auf­trag­ten bestel­len?

Unter­neh­men und auch Ver­ei­ne müs­sen einen Daten­schutz­be­auf­trag­ten (DSB) bestel­len, wenn bei ihnen min­des­tens zehn Per­so­nen (“mehr als neun”, so das Bun­des­da­ten­schutz­ge­setz) mit der auto­ma­ti­sier­ten Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten befasst sind. Dabei ist es uner­heb­lich, a) ob es sich dabei um inter­ne oder exter­ne per­so­nen­be­zo­ge­ne Daten han­delt und b) mit wel­chem Zeit­an­teil die Per­so­nen beschäf­tigt sind (Voll­zeit, Teil­zeit, Aus­hil­fe etc.). Es zählt hier allei­ne die Zahl der “Köp­fe”.

Zahl­rei­che Unter­neh­men und Ver­ei­ne erfül­len die­se Vor­aus­set­zun­gen. Das Gesetz stellt es dabei frei, ob die Funk­ti­on des Daten­schutz­be­auf­trag­ten an eine exter­ne Per­son ver­ge­ben wird („exter­ner Daten­schutz­be­auf­trag­ter“) oder aber durch einen Mit­ar­bei­ter („inter­ner Daten­schutz­be­auf­trag­ter“) erfüllt wird. Je nach Bun­des­land schrei­ben die Lan­des­da­ten­schutz­ge­set­ze einen Daten­schutz­be­auf­trag­ten eben­falls für Behör­den und kom­mu­na­le Ein­rich­tun­gen (sog. öffent­li­che Stel­len) ver­pflich­tend vor. In eini­gen Bun­des­län­dern besteht bereits heu­te die Mög­lich­keit einer exter­nen Bestel­lung des behörd­li­chen Daten­schutz­be­auf­trag­ten. Mit der EU-Daten­schutz­grund­ver­ord­nung (EU-DSGVO) wird die Bestell­pflicht für öffent­li­che Stel­len ver­ein­heit­licht. Eben­so soll … Weiterlesen

Landesdatenschutzbehörden prüfen Cloud-Einsatz in Unternehmen

By | 4. November 2016

Die Lan­des­da­ten­schutz­be­hör­den in Bay­ern, Ber­lin, Bre­men, Ham­burg, Meck­len­burg-Vor­pom­mern, Nie­der­sach­sen, Nord­rhein-West­fa­len, Rhein­land-Pfalz, Saar­land und Sach­sen-Anhalt wäh­len per Zufall 500 Unter­neh­men in die­sen Bun­des­län­dern aus. Die­se erhal­ten im Zuge der Prü­fung einen aus­führ­li­chen Fra­ge­bo­gen (Down­load zur Selbst­über­prü­fung hier) zur zeit­na­hen Beant­wor­tung. Bit­te beach­ten Sie: Sie sind gemäß Bun­des­da­ten­schutz­ge­setz gegen­über der Behör­de aus­kunfts­pflich­tig. Neh­men Sie die Anfra­ge ernst und ertei­len Sie inner­halb des genann­ten Rück­mel­de­zeit­raums aus­führ­lich Aus­kunft. Es besteht sonst ein Buß­gel­dri­si­ko für Ihre Orga­ni­sa­ti­on.

[…] vie­le klei­ne­re und mitt­le­re Unter­neh­men in Deutsch­land ver­ar­bei­ten inzwi­schen zahl­rei­che per­so­nen­be­zo­ge­ne Daten (z. B. von Kun­den, Mit­ar­bei­tern oder Bewer­bern) häu­fig auf Ser­vern exter­ner Dienst­leis­ter, oft außer­halb der Euro­päi­schen Uni­on. Dies ist vor allem bei Ange­bo­ten wie dem sog. Soft­ware as a Ser­vice der Fall. Ein klas­si­sches Bei­spiel hier­für sind Office-Anwen­dun­gen „aus dem Inter­net“, die stand­ortu­n­ab­hän­gig und fle­xi­bel genutzt wer­den kön­nen.”

Inhalt­lich beschäf­tigt sich der Fra­ge­bo­gen daher zu Beginn mit gene­rel­len Daten­über­mitt­lun­gen außer­halb der EU (USA, sons­ti­ge Dritt­staa­ten).

Ein wich­ti­ges Ziel der Prü­fung liegt in der Sen­si­bi­li­sie­rung der Unter­neh­men für Daten­über­mitt­lun­gen in Län­der außer­halb der Euro­päi­schen Uni­on. Um Unter­neh­men das Auf­fin­den sol­cher Über­mitt­lun­gen zu erleich­tern, wird auch gezielt nach dem Ein­satz von Pro­duk­ten und Leis­tun­gen exter­ner Anbie­ter gefragt, die – nach bis­he­ri­gen Erfah­run­gen der Auf­sichts­be­hör­den Weiterlesen

Privacy Shield für ein Jahr toleriert – Europäische Datenschutzbehörden unzufrieden

By | 28. Juli 2016

Zumin­dest für den Zeit­raum eines Jah­res kann das oft kri­ti­sier­te Pri­va­cy Shield als Nach­fol­ger von Safe Har­bor fun­gie­ren. Nach Aus­sa­gen der soge­nann­ten Arti­kel-29-Grup­pe sei das neue Abkom­men nach wie vor nicht geeig­net, grund­sätz­li­che Kri­tik aus­zu­räu­men. Dabei wur­den die nach wie vor zuläs­si­gen Geheim­dienst­zu­grif­fe auf Daten von EU Bür­gern sowie die man­geln­den Durch­set­zungs­mög­lich­kei­ten der Schutz­rech­te der Betrof­fe­nen bemän­gelt.

Den­noch kön­ne Pri­va­cy Shield vor­erst als Zuläs­sig­keits­tat­be­stand für den Trans­fer per­so­nen­be­zo­ge­ner Daten in die USA ein­ge­setzt wer­den. Nach 12 Mona­ten Eva­lu­ie­rungs­pha­se soll das Abkom­men neu bewer­tet wer­den. Bis dahin sicher­ten die euro­päi­schen Daten­schutz­be­hör­den akti­ve Unter­stüt­zung bei der Gel­tend­ma­chung der Rech­te Betrof­fe­ner in den USA zu.… Weiterlesen

Fahrplan der EU Datenschutz-Grundverordnung (EU DS GVO)

By | 10. Mai 2016

Die Euro­päi­sche Daten­schutz-Grund­ver­ord­nung (EU DS GVO) wird nach der Ver­öf­fent­li­chung im EU Amts­blatt am 24.05.2016 inkraft­tre­ten. Die Ver­un­si­che­rung bei Unter­neh­men, aber auch Behör­den und kom­mu­na­len Ein­rich­tun­gen ist zur Zeit groß. Was kommt genau an Ände­run­gen auf uns zu? Was muss ich ab wann beach­ten? Und noch viel drin­gen­der: wie set­ze ich das Gan­ze in der Pra­xis um? In die­sem Bei­trag wol­len wir Ihnen den Fahr­plan der EU Daten­schutz-Grund­ver­ord­nung auf­zei­gen. Damit haben Sie einen zeit­li­chen Anhalts­punkt, bis wann die Umset­zung zu erfol­gen hat und wel­ches Recht zu wel­chem Zeit­punkt anzu­wen­den ist.

In wei­te­ren Bei­trä­gen wer­den wir auf die Neue­run­gen und Ände­run­gen durch die EU DS GVO näher ein­ge­hen. Blei­ben Sie dran :-) Am ein­fachs­ten geht das mit unse­rem News­let­ter, damit ver­pas­sen Sie kei­nen Bei­trag unse­res Blogs mehr.… Weiterlesen

Informationsrechtler kürt die neue europäische Datenschutzverordnung zu “einem der schlechtesten Gesetze des 21. Jahrhunderts”

By | 27. April 2016

Infor­ma­ti­ons­recht­ler Tho­mas Hoe­ren aus Müns­ter bezeich­net die neue euro­päi­sche Daten­schutz-Grund­ver­ord­nung als “eines der schlech­tes­ten Geset­ze des 21. Jahr­hun­derts” und “hirn­los”.  Auf Twit­ter zu lesen:

Die­se Aus­sa­gen traf Hoe­ren im Rah­men sei­nes Vor­trags auf dem Euro­fo­rum-Daten­schutz­kon­gress in Ber­lin am heu­ti­gen Tag. Dabei bezog er sich in sei­nen Aus­sa­gen auf ein­zel­ne Prin­zi­pi­en der Ver­ord­nung wie dem “Markt­ort­prin­zip” oder auch die “Daten­por­ta­bi­li­tät” (die Mög­lich­keit sei­ne Daten von einem Anbie­ter zum nächs­ten mit­zu­neh­men). Als “biblisch” schlecht bezeich­ne­te er eben­falls die schwach aus­ge­fal­le­ne For­mu­lie­rung der Zweck­bin­dung. Sei­ner Mei­nung nach sind den geplan­ten Rege­lun­gen zum Wider­spruchs­recht im Direkt­mar­ke­ting  “viel lob­by­is­ti­sches Kaf­fee­trin­ken” vor­aus­ge­gan­gen.

Quel­leWeiterlesen

Was kostet ein externer (betrieblicher) Datenschutzbeauftragter?

By | 22. April 2016

Es kommt dar­auf an

Was kos­tet ein exter­ner Daten­schutz­be­auf­trag­ter?”, die­se Fra­ge wird desöf­te­ren per Email oder als Blog­kom­men­tar an mich her­an­ge­tra­gen.  Eine nach­voll­zieh­ba­re Fra­ge, gera­de wenn das eige­ne Unter­neh­men unter die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten fällt. Und gera­de in wirt­schaft­lich anstren­gen­den Pha­sen sind die Kos­ten ein rele­van­ter Fak­tor. Sind kei­ne wei­te­ren Anga­ben vor­han­den, dann fällt die Beant­wor­tung in etwa so leicht wie die von Fra­gen wie

  • Was kos­tet ein Auto?
  • Wie teu­er ist es, ein Haus zu bau­en?
  • Wie viel muss ich für den nächs­ten Som­mer­ur­laub bezah­len?

Die ehr­li­che Ant­wort auf die Fra­ge nach den Kos­ten für einen exter­nen Daten­schutz­be­auf­trag­ten kann in die­sem Fall nur lau­ten: “Es kommt dar­auf an!”

Auf was kommt es an?

Daten­schutz ist kein Pro­dukt von der Stan­ge, son­dern eine indi­vi­du­el­le Leis­tung maß­ge­schnei­dert auf Ihr Unter­neh­men. Jede Unter­neh­mung ver­fügt über eine eige­ne Aus­gangs­si­tua­ti­on (Sta­tus Quo wie Anzahl der Mit­ar­bei­ter, Filia­len, Betriebs­rat, Richt­li­ni­en etc.), unter­schied­li­che Res­sour­cen zur Umset­zung, eine Viel­falt an zu betrach­ten­den Fak­to­ren (bei­spiels­wei­se die unter­schied­lichs­ten IT-Lösun­gen) und ein not­wen­di­ges Schutz­ni­veau je nach Bran­che und per­so­nen­be­zo­ge­nen Daten im Unter­neh­men.

All die­se Punk­te bedeu­ten ein Mehr oder Weni­ger an Auf­wand in der Umset­zung. Sie wir­ken sich dem­nach direkt auf die ent­ste­hen­den Kos­ten aus. Umso … Weiterlesen

EU Datenschutz-Grundverordnung am Start

By | 17. Januar 2016

Mit­te Dezem­ber 2015 fand die wohl letz­te Ver­hand­lungs­run­de zur EU Daten­schutz-Grund­re­form statt. Die nun vor­lie­gen­de “fina­le” Ver­si­on wird wohl kei­nen wei­te­ren Ände­run­gen mehr unter­wor­fen sein. Die EU Daten­schutz Grund­ver­ord­nung steht also nach lan­gem Rin­gen am Start. Fast 4 Jah­re sind ver­gan­gen, seit der Ent­schluss gefasst wur­de, ein ein­heit­li­ches, moder­nes und zukunfts­fä­hi­ges Daten­schutz-Recht für alle EU-Mit­glieds­staa­ten zu schaf­fen. Was lan­ge währt, wird end­lich gut?

Mit­nich­ten. Die groß ange­kün­dig­ten neu­en Rech­te der Ver­brau­cher sind in wei­ten Tei­len Augen­wi­sche­rei und unprak­ti­ka­bel. Unter­neh­men und Behör­den müs­sen sich noch mehr Büro­kra­tie stel­len, die Buß­gel­der stei­gen. Und wie so oft bei vie­len Köchen, der Brei ist – naja – so lala. Die Poli­tik lobt sich über­schwäng­lich. Wer in den nun fina­len Text der Ver­ord­nung schaut, stellt fest, es wur­de der kleins­te gemein­sa­me Nen­ner gefun­den.

Besteht jetzt schon Hand­lungs­be­darf?

Der Text muss nun noch in die Lan­de­spra­chen der EU Län­der über­setzt wer­den, EU-Rat und EU-Par­la­ment müs­sen das Mach­werk noch abni­cken und die Ver­kün­dung im EU-Amts­blatt statt­fin­den. Die Ver­ord­nung sieht eine zwei­jäh­ri­ge Über­gangs­frist vor, das heißt Anfang 2018 müs­sen die neu­en Rege­lun­gen umge­setzt sein.

Bis dahin bleibt aus­rei­chend Zeit, sich mit den not­wen­di­gen Anpas­sun­gen für Unter­neh­men aber auch Behör­den aus­ein­an­der­zu­set­zen und die erfor­der­li­chen Maß­nah­men zur rechts­kon­for­men Umset­zung zu tref­fen.… Weiterlesen

Safe Harbor 2.0 – Wunsch oder Wirklichkeit

By | 8. Januar 2016

Was ist mit Safe Har­bor 1.0 pas­siert?

Am 06.10.2015 hat für eini­ge der größ­te Durch­bruch der letz­ten Jahr­zehn­te im Daten­schutz statt­ge­fun­den und für ande­re end­lich die lang­jäh­ri­ge bewuß­te Selbst­täu­schung ein Ende gefun­den. Die Rede ist vom soge­nann­ten Safe Har­bor Urteil des Euro­päi­schen Gerichts­hofs. Voll­kom­men zu Recht hat der EuGH die­ses Zuläs­sig­keits­ver­fah­ren für Daten­über­mitt­lun­gen in die USA in Fra­ge gestellt und am Ende für nich­tig erklärt. Wer sich mit den Hin­ter­grün­den befasst hat, ist davon wenig über­rascht.
Was jedoch in der Pra­xis in den ers­ten Wochen der Unsi­cher­heit nach die­sem Urteil nun statt­fand, war teil­wei­se purer markt­schreie­ri­scher Aktio­nis­mus gepaart mit einer gehö­ri­gen Por­ti­on Welt­fremd­heit.

06.10.2015 Das Safe Har­bor Urteil des Euro­päi­schen Gerichts­hofs

Jede Daten­über­mitt­lung benö­tigt eine recht­li­che Grund­la­ge zur Zuläs­sig­keit. Dies schrei­ben unse­re deut­schen und euro­päi­schen Daten­schutz­ge­set­ze so vor. Zur ver­ein­fach­ten Legi­ti­ma­ti­on von Über­mitt­lun­gen per­so­nen­be­zo­ge­ner Daten in die USA durch euro­päi­sche Unter­neh­men wur­de vor 15 Jah­ren (also auch lan­ge vor dem NSA Skan­dal) Safe Har­bor ins Leben geru­fen. Der “siche­re Hafen” defi­nier­te Richt­li­ni­en zum Daten­schutz und zur Daten­si­cher­heit, unter denen die Über­mitt­lung per­so­nen­be­zo­ge­ne Daten in die USA als zuläs­sig ein­ge­stuft wur­de. Ame­ri­ka­ni­sche Anbie­ter konn­ten sich die­sen Richt­li­ni­en unter­wer­fen und an zen­tra­ler Stel­le dies doku­men­tie­ren las­sen. Eine Über­prü­fung, ob die gefor­der­ten Stan­dards Weiterlesen