Zum Inhalt springen

Informationspflichten

Wer “Do not track” (DNT) im Brow­ser igno­riert, muss fühlen

Do-Not-Track igno­rie­ren — Kei­ne gute Idee

Das Busi­ness-Netz­werk Lin­ke­dIn hat nach dem Abstieg von X (ehe­mals Twit­ter) wei­te­ren Zulauf zu ver­zeich­nen, wie eini­ge ande­re Alter­na­ti­ven (Mast­o­don, Blues­ky) auch. Umso inter­es­san­ter ist das durch die Bun­des­ver­brau­cher­zen­tra­le vor dem Land­ge­richt erstrit­te­ne Urteil gegen die Betrei­be­rin des Netz­werks, die Lin­ke­dIn Ire­land Unli­mi­t­ed Company.

Lin­ke­dIn weist auf sei­ner Web­sei­te (dem Netz­werk) dar­auf hin, dass es die Vor­ein­stel­lung Do-Not-Track (DNT) im Brow­ser eines Besu­chers igno­rie­ren wird. DNT wur­de vor Jah­ren als Kon­fi­gu­ra­ti­ons­mög­lich­keit in den meis­ten gän­gi­gen Brow­sern ein­ge­führt, um dem Betrei­ber einer Web­sei­te von vorn­her­ein zu signa­li­sie­ren, dass man nicht “getrackt” wer­den möch­te, das Surf­ver­hal­ten also nicht auf­ge­zeich­net und ana­ly­siert wer­den soll. Der Web­sei­ten­be­su­cher wider­spricht qua­si per Brow­ser-Vor­ein­stel­lung dem Web­track­ing. Wenig ver­wun­der­lich, dass die­ser Umstand dem einen oder ande­ren Web­sei­ten­be­trei­ber nicht in den Kram passt.

Lin­ke­dIn hat­te auf sei­ner Inter­net­sei­te mit­ge­teilt, dass es die­se DNT-Ein­stel­lung bewußt igno­riert und somit  gegen den Wil­len der Nut­zer per­so­nen­be­zo­ge­ne Daten wie die IP-Adres­se und Infor­ma­tio­nen über die Nut­zung der Web­sei­te etwa für Ana­ly­se- und Mar­ke­ting­zwe­cke aus­wer­tet und auch an Dritt­an­bie­ter wei­ter­ge­ben wird.

Das Land­ge­richt Ber­lin ent­schied im Sin­ne der Ver­brau­cher­zen­tra­le. Der Wider­spruch gegen eine Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten kann auch auto­ma­ti­siert (also durch Vor­ein­stel­lung) aus­ge­spro­chen wer­den und muss vom ver­ant­wort­li­chen Web­sei­ten­be­trei­ber beach­tet wer­den. Der Wider­spruch sei wirksam.

Das Urteil mit dem Akten­zei­chen 16 O 420/​19 ist noch nicht rechts­kräf­tig, hat aber Signalwirkung.

Sie betrei­ben eine Web­sei­te mit Web­track­ing? Schau­en Sie sicher­heits­hal­ber mal nach, ob die Opti­on “DNT igno­rie­ren” akti­viert ist. Wenn ja … sie­he oben 🙂

Do-Not-Track im Brow­ser akti­vie­ren — wie geht das?

In den meis­ten Brow­sern hat die­se Funk­ti­on ohne viel Tam­tam Ein­zug gehal­ten. Oft­mals gut ver­steckt in den Ein­stel­lungs­me­nüs und lei­der nicht immer vor­ein­ge­stellt aktiv. Hier erfah­ren Sie mehr über die Akti­vie­rung und Einstellmöglichkeiten:

In der Such­ma­schi­ne Ihrer Wahl fin­den Sie mit­tels Anga­be des Brow­ser­na­mens und des Begriffs “do not track” auch die Ein­stell­mög­lich­kei­ten für Brow­ser ande­rer Hersteller.

Mal eben kurz das Social Net­work scannen

Der Hes­si­sche Daten­schutz- und Infor­ma­ti­ons­frei­heits­be­auf­trag­te (HBDI) hat in sei­nem 51. Tätig­keits­be­richt für das Jahr 2022 ein inter­es­san­tes und auch bei unse­ren Kun­den wie­der­keh­ren­des The­ma auf­ge­grif­fen. Unter der etwas sper­ri­gen Über­schrift “Acti­ve Sourcing zur Gewin­nung von Bewer­be­rin­nen und Bewer­bern” befasst sich der HBDI auf den Sei­ten 156 bis 161 recht aus­führ­lich mit der Fra­ge­stel­lung, ob und inwie­weit Sozia­le Netz­wer­ke wie Lin­ke­dIn oder XING, aber auch das Inter­net an sich zur akti­ven Gewin­nung neu­er Mit­ar­bei­ter durch die Per­so­nal­ab­tei­lung oder Per­so­nal­dienst­leis­ter genutzt wer­den dürfen.

Der Stein des Anstoßes

Eine Beschwer­de­füh­re­rin wand­te sich an den HBDI, da sie ein Schrei­ben eines Per­so­nal­dienst­leis­ters erhielt, in dem sie gemäß Art. 14 DSGVO über die Auf­nah­me ihrer per­so­nen­be­zo­ge­nen Daten in eine Recrui­ting-Daten­bank infor­miert wur­de. Der Dienst­leis­ter stieß über eine Such­ma­schi­ne anhand von Qua­li­fi­ka­ti­ons­kri­te­ri­en und Tätig­keits­an­ga­ben auf die im beruf­li­chen Kon­text betrie­be­ne Web­sei­te der Beschwer­de­füh­re­rin und ent­nahm die­ser die Kon­takt­da­ten (per­so­nen­be­zo­ge­ne Daten). Über die­se Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten infor­mier­te der Dienst­leis­ter mit sei­nem Schrei­ben die Betrof­fe­ne u.a. zu Auf­nah­me ihrer per­so­nen­be­zo­ge­nen Daten zum Zwe­cke der Per­so­nal­ver­mitt­lung in die Daten­bank des Dienst­leis­ters,  die Kon­takt­da­ten des Ver­ant­wort­li­chen sowie des Daten­schutz­be­auf­trag­ten und der Hin­weis auf das mög­li­che Wider­spruchs­recht. Der HBDI prüf­te im Fol­gen­den die Recht­mä­ßig­keit der Ver­ar­bei­tung (Rechts­grund­la­ge) sowie die trans­pa­ren­te und voll­stän­di­ge Ertei­lung der Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO.

Um es kurz zu machen: Alles roger! In die­sem kon­kre­ten Fall

Als Rechts­grund­la­ge sieht der HBDI Art. 6. Abs. 1 Buch­sta­be f DSGVO, das sog. “berech­tig­te Inter­es­se” des Per­so­nal­dienst­leis­ters. Bei Gel­tend­ma­chung des berech­tig­ten Inter­es­ses gilt es, durch den Ver­ant­wort­li­chen zu prü­fen, ob nicht die Inter­es­sen des Betrof­fe­nen an einer Nicht-Ver­ar­bei­tung höher wie­gen als die eige­nen Inter­es­sen (sog. Inter­es­sens­ab­wä­gung, die auch zu doku­men­tie­ren ist). Das wirt­schaft­li­che Inter­es­se des Dienst­leis­ters wird in die­sem kon­kre­ten Fall sei­tens des HBDI als höher­wer­tig ange­se­hen. Dies ist jedoch an die Vor­aus­set­zun­gen geknüpft, dass die per­so­nen­be­zo­ge­nen Daten in berufs­be­zo­ge­nen Netz­wer­ken oder auf im beruf­li­chen Kon­text betrie­be­nen Web­sei­ten all­ge­mein zugäng­lich sind, d.h. es kei­ner­lei Zugriffs­be­schrän­kun­gen gibt. Dabei wäre nach unse­rem Dafür­hal­ten auch zu berück­sich­ti­gen, ob bei den Kon­takt­da­ten kei­ne ent­ge­gen­ste­hen­de Aus­sa­gen getrof­fen wer­den wie “Hier­mit wider­spre­che ich der Auf­nah­me mei­ner Kon­takt­da­ten in Recrui­ting-Daten­ban­ken” (oder sinn­ge­mäß ähnlich).

Als Beson­der­heit führt der HBDI den mög­li­chen Fall der Ein­schrän­kung von Nut­zer­pro­fi­len in Netz­wer­ken an. Hier­bei sind die Kon­takt­da­ten des Nut­zers erst nach einer sog. “Ver­net­zung” bzw. Kon­takt­an­fra­ge für den Anfra­gen­den sicht­bar. Der HBDI stellt klar, dass die rei­ne Akzep­tanz einer sol­chen Ver­net­zungs­an­fra­ge noch kei­ne Ein­wil­li­gung in die Auf­nah­me in eine Daten­bank durch den betrof­fe­nen Nut­zer dar­stellt. Viel­mehr muss der Anfra­gen­de in sei­ner Ver­net­zungs­an­fra­ge kon­kret auf den ange­dach­ten Zweck, näm­lich der Kon­takt­auf­nah­me zwecks Erfas­sung der Daten für die Recrui­ting-Daten­bank hin­wei­sen. Eigent­lich logisch, aber sehr gut, dass die­ser Sach­ver­halt noch­mals betont wird.

Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO nicht vergessen

Sind auf die­sem Wege per­so­nen­be­zo­ge­ne Daten für die eige­ne Recrui­ting-Daten­bank gewon­nen, gilt es nun, die Infor­ma­ti­ons­pflich­ten nach Art. 14 DSGVO umfäng­lich gegen­über dem Betrof­fe­nen zu ertei­len. Dabei darf das Wider­spruchs­recht nach Art. 14 Abs. 2 Buch­sta­be c DSGVO nicht ver­ges­sen wer­den. Denn nur dann gilt in Ver­bin­dung mit der zuvor genann­ten Vor­ge­hens­wei­se lt. HDBI, “dass Acti­ve Sourcing in Über­ein­stim­mung mit den Bestim­mun­gen des Daten­schut­zes erfol­gen kann.”

Hap­py recruiting!

Infor­ma­ti­ons­pflich­ten für Ver­ei­ne nach Art. 13 DSGVO

Erfül­lung der Infor­ma­ti­ons­pflich­ten für Ver­ei­ne nach Art. 13 DSGVO

Seit Mai 2018 kämp­fen nicht nur Ver­ei­ne mit den durch die Daten­schutz-Grund­ver­ord­nung neu hin­zu­ge­kom­me­nen Anfor­de­run­gen. Aber gera­de bei Ver­ei­nen mit oft­mals vie­len bzw. aus­schließ­lich ehren­amt­lich täti­gen Mit­glie­dern macht sich hier nach­voll­zieh­bar schnell Unsi­cher­heit im Umgang mit dem Daten­schutz-Recht breit. Gera­de die Infor­ma­ti­ons­pflich­ten für Ver­ei­ne nach Art. 13 DSGVO gehö­ren hier als Ursa­che oft dazu. Die­sem Umstand trägt der Lan­des­be­auf­trag­te für Daten­schutz und Infor­ma­ti­ons­frei­heit Baden-Würt­tem­berg (kurz LfDI BW) schon aus Zei­ten vor der DSGVO Rechnung.

Seit Febru­ar 2021 steht nun für Ver­ei­ne ein Gene­ra­tor für “Daten­schutz­in­for­ma­tio­nen” auf der Web­sei­te des LfDI BW online. Eine begrü­ßens­wer­te Hil­fe­stel­lung, wenn es um die Erfül­lung der Infor­ma­ti­ons­pflich­ten für Ver­ei­ne geht.

Nach­dem eini­ge Grund­an­ga­ben in dem Online-For­mu­lar getä­tigt wur­den, erhält der Nut­zer einen Mus­ter­text zum Kopie­ren und Ein­bin­den in die Vereinswebseite.

Infor­ma­ti­ons­pflich­ten nicht ohne Ergän­zun­gen bzw. Anpas­sun­gen über­neh­men bzw. einsetzen

So löb­lich die­ser Gene­ra­tor ist, so gefähr­lich ist er auch. Daher warnt der LfDI BW selbst:

Bei DS-GVO.clever han­delt es sich um eine Hil­fe­stel­lung des LfDI Baden-Würt­tem­berg bei der Erstel­lung von Daten­schutz­in­for­ma­tio­nen für Ver­ei­ne. Es wer­den nicht alle mög­li­chen Daten­ver­ar­bei­tun­gen voll­stän­dig wie­der­ge­ge­ben. Prü­fen Sie daher bit­te vor der Ver­öf­fent­li­chung, an wel­chen Stel­len Sie die Daten­schutz­in­for­ma­tio­nen noch ergän­zen müssen.

Der erzeug­te Mus­ter­text stellt jedoch einen guten Ein­stieg für die spätere/​n Daten­schutz­er­klä­rung /​ Daten­schutz­hin­wei­se der Ver­eins­web­sei­te bzw. zur Erfül­lung der Infor­ma­ti­ons­pflich­ten für Ver­ei­ne nach Art. 13 DSGVO dar.

Vor Ver­öf­fent­li­chung soll­te man den Rat des LfDI BW jedoch wirk­lich beher­zi­gen und den Text prü­fen und ergän­zen. So sind z.B. Log­in-Berei­che für Mit­glie­der nicht in der Mus­ter­be­schrei­bung ent­hal­ten, jedoch durch­aus kei­ne Sel­ten­heit auf Vereinswebseiten.

Wei­te­re Hil­fe­stel­lun­gen für Ver­ei­ne durch den LfDI BW

Bereits in der 2. Auf­la­ge ist der Pra­xis­rat­ge­ber “Daten­schutz im Ver­ein nach der DS-GVO” (Grü­ße an das Team Bin­de­strich) erschie­nen. Auf 29 Sei­ten sind die grund­le­gen­den Anfor­de­run­gen an Ver­ei­ne aus der DSGVO nach­voll­zieh­bar und auch für Nicht-Daten­schutz­be­auf­trag­te ver­ständ­lich dar­ge­stellt, abge­run­det mit prag­ma­ti­schen Tipps zur Umset­zung. Im Rat­ge­ber fin­den sich dazu auch wei­te­re Aus­füh­run­gen zu den Infor­ma­ti­ons­pflich­ten für Ver­ei­ne nach Art. 13 DSGVO.

Für einen ers­ten Über­blick lohnt aber auch ein Blick in die FAQ für Ver­ei­ne. In die­ser sind eini­ge Kern­fra­gen zusam­men­ge­stellt und beant­wor­tet, die häu­fi­ger an den LfDI BW sei­tens von Ver­ei­nen her­an­ge­tra­gen wurden.

Wenn alle Stri­cke reißen

Es ist voll­kom­men nor­mal, wenn Ver­eins­ver­ant­wort­li­che trotz die­ser Hil­fe­stel­lun­gen unsi­cher sind in Bezug auf Anfor­de­run­gen und Umset­zung. In die­sem Fall: Spre­chen Sie mit dem Daten­schutz-Bera­ter Ihres Vertrauens.

Infor­ma­ti­ons­pflich­ten des Weih­nachts­manns zu Art. 13 und 14 DSGVO geleakt

Auch wenn sich die meis­ten Betrof­fe­nen nicht für die Anga­ben zu den Infor­ma­ti­ons­pflich­ten nach Art. 13 und 14 DSGVO inter­es­sie­ren, ist es uns gelun­gen, die­se Anga­ben dem Weih­nachts­mann und sei­nem Team zu ent­lo­cken. Wie es scheint, gab es da oben aber schon eini­ges an Glüh­wein. Anders kön­nen wir uns die­ses Doku­ment nicht erklä­ren. Doch lesen Sie selbst oder laden das PDF im Anhang.

Wir wün­schen allen Lese­rIn­nen unse­res Blogs und News­let­ters ein geseg­ne­tes Weih­nachts­fest und einen guten Rusch ins Neue Jahr. Bit­te blei­ben Sie gesund #flat­ten­the­cur­ve

Infor­ma­ti­ons­pflich­ten des Weih­nachts­manns zu Art. 13 und 14 DSGVO

Im Rah­men die­ses Doku­ments infor­mie­ren wir Sie über die Ver­ar­bei­tung Ihrer per­so­nen­be­zo­ge­nen Daten in unse­rer Orga­ni­sa­ti­on, auch wenn das eigent­lich nie­man­den inter­es­siert. Alle wol­len immer nur Geschenke.

Ver­ant­wort­li­che Stel­le: Der Weih­nachts­mann, Christ­baum­stra­ße, 99999 Wol­ken­schlosss. Wir sind aus­schließ­lich per Wunsch­zet­tel erreichbar.

Daten­schutz­be­auf­trag­ter: Das Christ­kind. Kon­takt via Notiz auf dem Wunschzettel.

Sie wol­len doch was von uns, näm­lich Geschen­ke. Also her mit Vor­na­men (bei Kin­dern unter 18 Jah­ren aus­rei­chend) und /​ oder Nach­na­me, Adres­se (wäre toll, wenn Sie aus­nahms­wei­se mal nicht ver­schlüs­selt, son­dern leser­lich schrei­ben), dem Weih­nachts­wunsch (Dezen­ter Hin­weis: Das sind Wün­sche, kei­ne Bestel­lun­gen!). Wir ergän­zen unse­rer­seits Ihr Betra­gen im letz­ten Jahr.

Die Rechts­grund­la­gen unse­rer Ver­ar­bei­tung sind ganz ein­fach: Sie bekom­men Geschen­ke, wir Ihre Daten.

Falls Rudi und sei­ne Kol­le­gen mal wie­der zu vie­le Weih­nachts­kek­se gefres­sen haben, geben wir Ihre Daten unge­fragt an Ver­sand­dienst­leis­ter zwecks Zustel­lung der Geschen­ke wei­ter. Da wir auch in Deutsch­land tätig sind, erhält die Buch­hal­tung noch über alles einen Beleg. Sie ken­nen das ja mit die­sem Finanz­amt, die ver­ste­hen kei­nen Spaß.

Wir erbrin­gen unse­re Leis­tun­gen zwar aus einem Wol­ken­schloss, nut­zen aber ansons­ten kei­ner­lei Cloud-Ser­vices. Zur Sicher­stel­lung der Sicher­heit der Ver­ar­bei­tung gemäß Art. 32 DSGVO ste­hen uns jedoch aus­rei­chend Schutz­maß­nah­men in Form von

zur Ver­fü­gung. Las­sen Sie sich vom nied­li­chen Äuße­ren nicht täuschen.

Ihre Daten löschen wir direkt bei Weg­fall des Ver­wen­dungs­zwecks mit der Zustel­lung des Geschenks. Rekla­ma­tio­nen direkt bei uns sind daher aus­ge­schlos­sen. Wir wis­sen von nichts! Nach­fra­gen zwecklos.

Für gewöhn­lich erhal­ten wir Ihre Daten direkt von Ihnen. Aus­nah­men sind Wün­sche, die von Ver­wand­ten in direk­ter bzw. indi­rek­ter Linie für Sie über­mit­telt wer­den. Ok, manch­mal auch von Freun­den. Aber nur von wirk­lich guten Freun­den … „Engel!! Wer hat jetzt schon wie­der das Was­ser gegen die­sen Anis­schnaps ausgetauscht?“

Wir selbst recher­chie­ren kei­ne per­so­nen­be­zo­ge­nen Daten z.B. in sozia­len Netz­wer­ken. Das wür­de uns zwar eini­ges an Arbeit spa­ren, da zahl­rei­che Geschen­ke ent­fal­len könn­ten, aber wir wol­len mal nicht so sein. Ist ja schließ­lich Weih­nach­ten. Aber: „Maik und Ingrid, löscht doch bit­te mal die Bil­der von eurem letz­ten Par­ty-Absturz. Die will wirk­lich kei­ner sehen!“

Sie haben zwar das Recht, Aus­kunft über die zu Ihrer Per­son gespei­cher­ten Daten zu erhal­ten (Art. 15 DSGVO), nur was wol­len Sie fra­gen, was Sie nicht selbst schon alles über sich wis­sen? Nein, unser Aus­kunfts­ser­vice steht nicht zur Ver­fü­gung, um die Lücken Ihres letz­ten Hang Over zu schließen.

Lie­gen die gesetz­li­chen Vor­aus­set­zun­gen vor, so kön­nen Sie die Löschung oder Ein­schrän­kung der Ver­ar­bei­tung ver­lan­gen sowie Wider­spruch gegen die Ver­ar­bei­tung ein­le­gen (Art. 17, 18 und 21 DSGVO). Dann gibt es aber auch kei­ne Geschen­ke – ganz ein­fach. Allabätsch!

Wei­ter­hin besteht ein Beschwer­de­recht bei einer Daten­schutz­auf­sicht Ihrer Wahl. Aus­wir­kun­gen einer sol­chen Beschwer­de auf zukünf­ti­ge Geschen­ke sind Zufall und kei­nes­falls in Ver­bin­dung mit Ihrer Beschwer­de zu sehen.

Und jetzt: Geseg­ne­te Fei­er­ta­ge! Wir haben zu arbei­ten, also sehen Sie bit­te von Nach­fra­gen ab.

Weih­nachts­mann und Team

PS: Bit­te schwär­zen Sie im Zuge der DSGVO weder Namen und Anschrift auf Ihrem Wunsch­zet­tel. DANKE!

Jetzt her­un­ter­la­den!
291 Downloads

BfDI über­reicht sei­ne Berich­te zu Daten­schutz und Informationsfreiheit

An die­sem Mitt­woch, den 17.06.2020 leg­te der Bun­des­be­auf­trag­te für den Daten­schutz und die Infor­ma­ti­ons­frei­heit (BfDI) sei­ne Tätig­keits­be­rich­te für bei­de Berei­che vor. Wich­ti­ge The­men dar­in sind unter ande­rem Gesund­heits­da­ten und Dia­log in der Gesetz­ge­bung. Die obers­te Daten­schutzbehör­de ist der­zeit mit über 250 Plan­stel­len besetzt, in die­sem Jahr sol­len es über 300 werden. 

In die­sem Bei­trag wird zunächst nur auf den Daten­schutz­be­richt ein­ge­gan­gen und hier­bei eini­ge „Schwer­punk­te“ gesetzt. Die Gewich­tung erhebt nicht den Anspruch reprä­sen­ta­tiv für die inhalt­li­che Gewich­tung des zugrun­de­lie­gen­den Berichts zu sein oder auf Grund des Umfangs allen — jeweils sehr wich­ti­gen — The­men durch Erwäh­nun­gen gerecht zu werden. 

Zu den Schwer­punkt­the­men gehör­te insb. die Digi­ta­li­sie­rung im Gesund­heits­we­sen und Eva­lu­ie­rung der DSGVO. Kern­the­men sind 

  • All­tags­er­leich­te­rung und Praxistauglichkeit, 
  • Daten­pan­nen­mel­dun­gen,
  • Zweck­bin­dung, 
  • Data Pro­tec­tion by Design, 
  • Befug­nis­se der Auf­sichts­be­hör­den und Sanktionspraxis, 
  • Zustän­dig­keits­be­stim­mung, Zusam­men­ar­beit und Kohärenz, 
  • Direkt­wer­bung,
  • Pro­fil­ing und 
  • Akkre­di­tie­rung. 

Fer­ner lag das Augen­merk auf Aspek­ten der Daten­mi­ni­mie­rung, Umset­zung der KI, der Ein­wil­li­gung als Rechts­grund­la­ge  und Stel­lung­nah­men der Datenethikkommission. 

Eini­ge Zah­len zur Tätig­keit des BfDI 

Im Berichts­zeit­raum, dem Jahr 2019, wur­den dem BfDI über 3.200 Beschwer­den zuge­tra­gen, davon 44 nach § 60 BDSG, Direkt­an­ru­fung des Bun­des­be­auf­trag­ten, und 44 gegen Nach­rich­ten­diens­te. Über 10.000 Anlie­gen von betrof­fe­nen Per­so­nen /​ Bür­gern wur­den auf schrift­li­chem oder tele­fo­ni­schem Wege behan­delt. Die Mel­dun­gen von Daten­pan­nen belie­fen sich auf rund 15.000. Ins­ge­samt kam es zu 6 Ver­war­nun­gen, 8 Bean­stan­dun­gen und 2 Geld­bu­ßen. 51 Besuchs­ter­mi­ne bei Ver­ant­wort­li­chen wur­den zur Infor­ma­ti­on und Bera­tung genutzt, 73 wei­te­re außer­dem zu daten­schutz­recht­li­chen Kontrollen. 

Emp­feh­lun­gen des BfDI für Ein­rich­tun­gen und Bür­ger 

10 Emp­feh­lun­gen wer­den schrift­lich aus­ge­führt. Dazu gehö­ren bri­san­te The­men wie die elek­tro­ni­sche Pati­en­ten­ak­te, Mail­ver­schlüs­se­lung und bio­me­trie­ge­stütz­te Video­über­wa­chung. Des wei­te­ren wur­den die Umset­zungs­sta­tus von Emp­feh­lun­gen des vori­gen BfDI Daten­schutz­be­richts in 20 Punk­ten resümiert. 

Gre­mi­en­ar­beit und Gesetz­ge­bung 

Im ers­ten der hier gemein­sam zusam­men­ge­fass­ten Kapi­tel geht der Bericht auf die Gre­mi­en­ar­beit bei der DSK, der Inter­na­tio­na­len Daten­schutz­kon­fe­renz, dem Euro­päi­schen Daten­schutz­aus­schuss sowie dem Daten­schutz-Aus­schuss des Euro­pa­rats (Kon­ven­ti­on 108) ein. 

Im Bereich der Gesetz­ge­bung wer­den u.a. die Anhe­bung auf 20 Mit­ar­bei­ter bei der DSB Bestell­pflicht, Rege­lungs­lü­cken bei der Daten­ver­ar­bei­tung gesetz­li­cher Kran­ken­kas­sen und die Aus­ste­hen­de Anpas­sung des TKG moniert. Auch im Rah­men der Sicher­heits­ge­setz­ge­bung — wie etwa StPO, Zoll­fahn­dungs­dienst und der geplan­ten Dark­net Gesetz­ge­bung — gebe es Über­ar­bei­tungs­be­darf. Auch wur­de auf das ZensG 2021, das Pro­jekt der Regis­ter­mo­der­ni­sie­rung und die Gesetz­ge­bung im Gesund­heits-­ und Sozi­al­we­sen eingegangen. 

Der BfDI Daten­schutz­be­richt zum The­ma Sicher­heits­be­reich 

.. behan­del­te u.a. den CLOUD Act über den weit­rei­chen­den Zugriff US ame­ri­ka­ni­scher Straf­ver­fol­gungs­be­hör­den auf Daten bei Inter­net-Unter­neh­men. Stel­lung bezog der BfDI eben­falls zum Vor­schlag der e‑E­vi­dence-Ver­ord­nung über das geplan­te Recht euro­päi­scher Straf­ver­fol­gungs­be­hör­den, Bestands, Ver­kehrs- und Inhalts­da­ten unmit­tel­bar bei Pro­vi­dern EU grenz­über­grei­fend zu erhe­ben sowie das Pro­jekt „Poli­zei 2020“. Dabei wur­den u.a. Daten­spei­che­run­gen und Trans­pa­renz der sowie Kon­trol­len bei Sicher­heits­be­hör­den thematisiert. 

Zu wei­te­ren The­men gehör­ten Dritt­staa­ten­trans­fers, auch hin­sicht­lich der Aus­wir­kun­gen des Brexit, Stan­dard­ver­trags­klau­seln und der Daten­schutz in wei­te­ren grund­le­gen­den Orga­ni­sa­tio­nen wie Post­we­sen und Arbeitsämtern. 

Zusam­men­fas­sung 

Der gro­ße Umfang und das viel­schich­ti­ge Spek­trum der im Berichts­jahr 2019 behan­del­ten The­men in prä­gnan­tem Doku­men­ta­ti­ons­stil machen deut­lich, dass Inhal­te, Neu­tra­li­tät und Trans­pa­renz von die­ser Behör­de sehr ernst genom­men wer­den. Mit kla­ren Wor­ten und auf­ge­lo­ckert durch Kari­ka­tu­ren (wie etwa auf Sei­te 49) Ver­mit­telt der vor­lie­gen­de Bericht The­men, die an Stamm­ti­schen ger­ne als Ver­schwö­rungs­theo­rien abge­tan wer­den, auf sach­li­che und kon­struk­ti­ve Weise. 

Dash­cams erlaubt? Im Daten­schutz Check

Wer hat nicht schon ein­mal mit einer sol­chen gelieb­äu­gelt? Der Kom­fort und die Rechts­si­cher­heit der Dash­cams, klei­ne Kame­ras hin­ter der Wind­schutz­schei­be, am Len­ker oder wel­che Vehi­kel auch immer bevor­zugt wer­den, erschei­nen als ein­deu­ti­ges Ver­hält­nis­mä­ßig­keits­kri­te­ri­um. Aller­dings sind sie durch­aus nicht unein­ge­schränkt und in jedem Land erlaubt. Was zu beach­ten ist, erklärt die­ser Beitrag. 

Die Funk­ti­ons­wei­se  

Dash­cams sol­len ins­be­son­de­re das Ver­kehrs­ge­sche­hen und ‑unfäl­le auf­zeich­nen, um tat­sa­chen­wid­ri­gen bzw. par­tei­ischen Aus­sa­gen ent­ge­gen­zu­wir­ken und eine ein­deu­ti­ge Beweis­füh­rung zu ermög­li­chen. Dass die Vide­os jeden Auf­ge­nom­me­nen belas­ten kön­nen — ein­schließ­lich des Dash­cam Besit­zers, muss nicht geson­dert erwähnt wer­den. Ange­schlos­sen an die Bord­elek­tro­nik und /​ oder per Akku sind sie in der Lage, auf Micro SD Kar­ten im Giga­byte Bereich in End­los­schlei­fe auf­zu­zeich­nen. Diver­se Model­le haben auch Bewe­gungs­sen­so­ren und Infrarotsicht. 

Dash­cams in der prak­ti­schen Anwen­dung 

Die Auf­zeich­nung amt­li­cher Kenn­zei­chen und Per­so­nen ist eine Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Daten. Das online Stel­len kennt­li­cher Inhal­te ist selbst­ver­ständ­lich ein­deu­tig ein Ver­stoß gegen die infor­ma­tio­nel­le Selbst­be­stim­mung. Aus behörd­li­cher Daten­schutz­sicht geht der Tenor dahin, dass der Betrieb von Dash­cams auch dann als unzu­läs­sig zu betrach­ten ist, wenn kurz und anlass­be­zo­gen auf­ge­zeich­net wird, da natur­ge­mäß kei­ne Infor­ma­ti­ons­pflich­ten über Zweck etc. mit­ge­teilt wer­den kön­nen. Nicht umsonst ach­tet man bei Video­über­wa­chung in Fir­men und ande­ren Ein­rich­tun­gen auf Beschil­de­rung außer­halb des Erfas­sungs­be­reichs u.a. mit den Zwe­cken und den Daten des Aufzeichnenden. 

Die Kri­te­ri­en einer daten­schutz­kon­for­men Video­auf­zeich­nung sind nicht in Stein gemei­ßelt, aber klar defi­nier­bar. Gene­rell geht es um die Kennt­nis der kon­kre­ten Umstän­de und einer sach­ge­rech­ten Abwä­gung der Rechtsgüter. 

Auch Gene­rell Iin Fra­gen der rich­ti­gen Beur­tei­lung und der rechts­si­che­ren daten­schutz­kon­for­men Pro­zess­ge­stal­tung steht Ihnen unser Team als exter­ne Daten­schutz­be­auf­trag­te und Infor­ma­ti­ons­si­cher­heits­be­auf­trag­te zur Sei­te. 

Die Fra­ge zur Zuläs­sig­keit von Dash­cams vor dem BGH 

In sei­ner Ent­schei­dung VI ZR 233/​17 vom 15.05.2018 ent­schied der Bun­des­ge­richts­hof, dass Dash­cam-Auf­zeich­nun­gen im Unfall­haft­pflicht­pro­zess aus zivil­recht­li­cher Sicht ver­wert­bar sein kön­nen. Im Ein­zel­fall sei jeden­falls eine Inter­es­sen- und Güter­ab­wä­gung vorzunehmen. 

Über­wie­gen­de Inter­es­sen beim Ein­satz von Dash­cams 

Grund­sätz­lich wird man wohl das Inter­es­se des Dash­cam Betrei­bers den schutz­wür­di­gen Inter­es­sen ande­rer Ver­kehrs­teil­neh­mer unter­ord­nen müs­sen, ins­be­son­de­re dann, wenn per­ma­nen­te und nicht anlass­be­zo­ge­ne Auf­zeich­nun­gen vor­ge­nom­men wer­den. Ande­ren­falls wäre das Rechts­gut der infor­mel­len Selbst­be­stim­mung gefähr­det. Aller­dings ist die Anwen­dung von Dash­cams auch hin­sicht­lich der Ver­wer­tungs­fra­ge wei­ter­hin umstritten. 

Das BayL­DA kün­dig­te an, dass Über­mitt­lun­gen von Dash­cam-Auf­zeich­nun­gen an Poli­zei und Ver­si­che­run­gen als Ver­stoß gewer­tet und mit einem Buß­geld geahn­det wer­den könnten. 

Infor­ma­ti­ons­pflich­ten bei Erhe­bung per­so­nen­be­zo­ge­ner Daten im Zuge der Coro­na-Pan­de­mie – ein kos­ten­lo­ses Muster

Seit Mon­tag, den 11. Mai 2020 (in Bay­ern ab 18.05.) dür­fen Gas­tro­no­mie­be­trie­be und zahl­rei­che ande­re Ein­rich­tun­gen des all­täg­li­chen Lebens wie­der öff­nen. Die Auf­la­gen zu Abstand und maxi­ma­le Gäs­te- /​ Käu­fer-Zahl auf der Ver­kaufs­flä­che sind durch­aus eine Her­aus­for­de­rung für die Betrei­ber der Ein­rich­tun­gen. Bei all den Anfor­de­run­gen wird der Daten­schutz schnell ver­ges­sen. Wir hel­fen mit unse­rem kos­ten­lo­sen Mus­ter Infor­ma­ti­ons­pflich­ten für Besu­cher von Gas­tro­no­mie und ande­ren Ein­rich­tun­gen im Zuge der Coro­na-Pan­de­mie, ent­wi­ckelt gemein­sam mit RA Ste­phan Hansen-Oest.

Wel­che per­so­nen­be­zo­ge­nen Daten von Besu­chern sind zu notieren?

Einig sind sich die Län­der­ver­ord­nun­gen in dem Punkt, dass Name und Ruf­num­mer der Besu­cher zu notie­ren und auf Ver­lan­gen der Gesund­heits­be­hör­de im Ver­dachts­fall einer Infek­ti­on her­aus­zu­ge­ben sind. Teil­wei­se sind die dazu­ge­hö­ri­gen Ver­ord­nun­gen bzw. Anfor­de­run­gen noch etwas schwam­mig bzw. zu unkon­kret. Das wird in den nächs­ten Tagen sicher nach­jus­tiert. So steht z.B. noch die Fra­ge im Raum, ob die jewei­li­ge Ein­rich­tung die notier­ten Anga­ben z.B. anhand eines Aus­weis­do­ku­ments veri­fi­zie­ren muss. Auch bei den Lösch­fris­ten fin­den sich nicht über­all kon­kre­te Anga­ben. Das Bun­des­land NRW sieht bei­spiels­wei­se die Ver­nich­tung der per­so­nen­be­zo­ge­nen Daten nach 1 Monat vor.

Übri­gens: Da nir­gend­wo von einer Unter­schrift durch die Besu­cher die Rede ist, wäre es auch eine Mög­lich­keit, die Daten auf elek­tro­ni­schem Wege zu erhe­ben. So könn­ten Sie auch Reser­vie­rungs­sys­te­me nut­zen, sofern die Anga­ben dar­in zusätz­lich /​ ergän­zend erfasst wer­den können.

Um der Papier­flut bzw. Zet­tel­wirt­schaft Herr zu wer­den, wäre auch die abend­li­che Digi­ta­li­sie­rung sprich das Ein­scan­nen der erfass­ten Daten in einen dazu­ge­hö­ri­gen Datums-Ord­ner viel­leicht ganz hilf­reich. Wür­de neben­bei die Über­ga­be an die zustän­di­ge Gesund­heits­be­hör­de im Rah­men einer Anfor­de­run­gen der Daten erleich­tern und es rei­hen sich bei Ihnen nicht Ord­ner an Ord­ner mit den erho­be­nen Daten. Die Kür wäre natür­lich ein Scan mit OCR, was aber eine mög­lichst “unver­schlüs­sel­te” Hand­schrift der Ein­tra­gen voraussetzt 🙂

Infor­ma­ti­ons­pflich­ten nach Art. 13 DSGVO an die Besu­cher nicht vergessen

Egal, in wel­chem Umfang oder auf wel­che Art (ana­log per For­mu­lar /​ Besu­cher­lis­te oder digi­tal z.B. in Form von Excel-Tabel­len) Sie die Daten Ihrer Besu­cher erhe­ben, es sind die Anga­ben zu den Infor­ma­ti­ons­pflich­ten nach Art. 13 DSGVO zu erfül­len. Dies kann bei­spieslwei­se mit­tels Aus­hang vor Ort und einem münd­li­chen Hin­weis an Ihre Besu­cher gesche­hen. Hier zählt Prag­ma­tis­mus in Anbe­tracht der ange­spann­ten Situa­ti­on. Ein pas­sen­des kos­ten­lo­ses Mus­ter hier­zu haben wir gemein­sam mit dem in der Bran­che wohl­be­kann­ten Rechts­an­walt Ste­phan Han­sen-Oest (https://​www​.daten​schutz​-guru​.de) ent­wi­ckelt. Nach dem Down­load soll­ten sie die­ses bit­te auf Ihre Ein­rich­tung anpas­sen und bei Bedarf ergän­zen oder über­flüs­si­ge Anga­ben streichen.

Den­ken Sie bit­te an das Ver­zeich­nis für Verarbeitungstätigkeiten

Die­se Erhe­bung von per­so­nen­be­zo­ge­nen Daten im Rah­men der Coro­na-Pan­de­mie soll­te sich eben­falls in Ihrem Ver­zeich­nis für Ver­ar­bei­tungs­tä­tig­kei­ten wie­der­fin­den. Sie haben noch keins? Tipps und Tricks dazu ent­we­der bei RA Han­sen-Oest oder bei uns hier im Blog.

Kos­ten­lo­ses Mus­ter Infor­ma­ti­ons­pflich­ten bei Erhe­bung per­so­nen­be­zo­ge­ner Daten im Zuge der Corona-Pandemie

Wir, also Ste­phan Han­sen-Oest und a.s.k. Daten­schutz, stel­len Ihnen die­ses unver­bind­li­che Mus­ter kos­ten­frei zur Ver­fü­gung. Bit­te beach­ten Sie dabei:

  • Pas­sen Sie bit­te die Bezü­ge zu den aktu­ell gel­ten­den Lan­des­ver­ord­nun­gen bzw. Rechts­an­wen­dun­gen an
  • Fair Use: Die­se Vor­la­ge kann ger­ne in der Pra­xis von Orga­ni­sa­tio­nen genutzt und ver­än­dert wer­den. Wir (RA Han­sen-Oest und a.s.k. Daten­schutz Sascha Kuhr­au) möch­ten jedoch nicht, dass sie ohne unse­re Zustim­mung auf ande­ren Inter­net­sei­ten als Ver­trags­mus­ter zum Down­load ange­bo­ten wird oder sich irgend­wann in einem Ver­trags­mus­ter­buch wiederfindet.
  • Haf­tung: Die­se Vor­la­ge stellt ledig­lich einen Vor­schlag dar. Es wird kei­ne Haf­tung für Schä­den durch die Ver­wen­dung übernommen

Anre­gun­gen und Ergän­zun­gen für die Vor­la­gen? Dann immer her damit.

All­ge­mei­nes Mus­ter zu den Infor­ma­ti­ons­pflich­ten für Besu­cher im Rah­men der Corona-Pandemie

Kos­ten­lo­ses Mus­ter Mit­tei­lungs­pflich­ti­ge Infor­ma­tio­nen Coro­na Besucher
Jetzt her­un­ter­la­den!
19608 Downloads

Auf Frei­staat Bay­ern ange­pass­tes Mus­ter zu den Infor­ma­ti­ons­pflich­ten für Besu­cher im Rah­men der Corona-Pandemie

Kos­ten­lo­ses Mus­ter Mit­tei­lungs­pflich­ti­ge Infor­ma­tio­nen Coro­na Besu­cher in Bayern
Jetzt her­un­ter­la­den!
12426 Downloads

Auf Hes­sen ange­pass­tes Mus­ter zu den Infor­ma­ti­ons­pflich­ten für Besu­cher im Rah­men der Corona-Pandemie

Kos­ten­lo­ses Mus­ter Mit­tei­lungs­pflich­ti­ge Infor­ma­tio­nen Coro­na Besu­cher Hessen
Jetzt her­un­ter­la­den!
9610 Downloads

Auf Schles­wig-Hol­stein ange­pass­tes Mus­ter zu den Infor­ma­ti­ons­pflich­ten für Besu­cher im Rah­men der Corona-Pandemie

Kos­ten­lo­ses Mus­ter Mit­tei­lungs­pflich­ti­ge Infor­ma­tio­nen Coro­na Besu­cher Schles­wig Holstein
Jetzt her­un­ter­la­den!
1340 Downloads

Fra­gen Sie Ihren (exter­nen) Datenschutzbeauftragten

Bevor im Umgang mit oder der Anpas­sung von die­sen Vor­la­gen für Ihre Orga­ni­sa­ti­on etwas schief geht und Ihnen mög­li­cher­wei­se Unge­mach durch die Daten­schutz­auf­sicht droht, bin­den Sie bit­te Ihren Daten­schutz­be­auf­trag­ten früh­zei­tig in das The­ma Infor­ma­ti­ons­pflich­ten mit ein. Sie haben kei­nen Daten­schutz­be­auf­trag­ten? Mög­li­cher­wei­se unter­lie­gen Sie der gesetz­li­chen Pflicht zur Benen­nung, aber auch ohne deren Vor­lie­gen ist ein Daten­schutz­be­auf­trag­ter der Pro­fi für Ihre Fra­gen rund um das The­ma Daten­schutz. Ger­ne unter­brei­ten wir Ihnen ein Ange­bot für einen exter­nen Datenschutzbeauftragten.

Ver­si­ons­his­to­rie

Update 12.05.2020: Nut­zer­hin­weis auf Benen­nung statt Bestel­lung eines DSB auf­ge­grif­fen und Wort­wahl ent­spre­chend angepasst

Update 13.05.2020: Mus­ter­vor­la­ge zur Daten­er­fas­sung Gas­tro­no­mie als Anhang ergänzt

Update 14.05.2020: Ver­si­on mit ers­ten Anpas­sun­gen auf Frei­staat Bay­ern veröffentlicht

Update 16.05.2020: Ver­si­on mit Anpas­sun­gen auf kon­kre­te Ver­ord­nung in Hes­sen veröffentlicht

Update 18.05.2020: Ver­si­on Schles­wig-Hol­stein veröffentlicht

 

 

Die mobile Version verlassen