Zum Inhalt springen

Aufsichtsbehörde

BfDI über­reicht sei­ne Berich­te zu Daten­schutz und Informationsfreiheit

An die­sem Mitt­woch, den 17.06.2020 leg­te der Bun­des­be­auf­trag­te für den Daten­schutz und die Infor­ma­ti­ons­frei­heit (BfDI) sei­ne Tätig­keits­be­rich­te für bei­de Berei­che vor. Wich­ti­ge The­men dar­in sind unter ande­rem Gesund­heits­da­ten und Dia­log in der Gesetz­ge­bung. Die obers­te Daten­schutzbehör­de ist der­zeit mit über 250 Plan­stel­len besetzt, in die­sem Jahr sol­len es über 300 werden. 

In die­sem Bei­trag wird zunächst nur auf den Daten­schutz­be­richt ein­ge­gan­gen und hier­bei eini­ge „Schwer­punk­te“ gesetzt. Die Gewich­tung erhebt nicht den Anspruch reprä­sen­ta­tiv für die inhalt­li­che Gewich­tung des zugrun­de­lie­gen­den Berichts zu sein oder auf Grund des Umfangs allen — jeweils sehr wich­ti­gen — The­men durch Erwäh­nun­gen gerecht zu werden. 

Zu den Schwer­punkt­the­men gehör­te insb. die Digi­ta­li­sie­rung im Gesund­heits­we­sen und Eva­lu­ie­rung der DSGVO. Kern­the­men sind 

  • All­tags­er­leich­te­rung und Praxistauglichkeit, 
  • Daten­pan­nen­mel­dun­gen,
  • Zweck­bin­dung, 
  • Data Pro­tec­tion by Design, 
  • Befug­nis­se der Auf­sichts­be­hör­den und Sanktionspraxis, 
  • Zustän­dig­keits­be­stim­mung, Zusam­men­ar­beit und Kohärenz, 
  • Direkt­wer­bung,
  • Pro­fil­ing und 
  • Akkre­di­tie­rung. 

Fer­ner lag das Augen­merk auf Aspek­ten der Daten­mi­ni­mie­rung, Umset­zung der KI, der Ein­wil­li­gung als Rechts­grund­la­ge  und Stel­lung­nah­men der Datenethikkommission. 

Eini­ge Zah­len zur Tätig­keit des BfDI 

Im Berichts­zeit­raum, dem Jahr 2019, wur­den dem BfDI über 3.200 Beschwer­den zuge­tra­gen, davon 44 nach § 60 BDSG, Direkt­an­ru­fung des Bun­des­be­auf­trag­ten, und 44 gegen Nach­rich­ten­diens­te. Über 10.000 Anlie­gen von betrof­fe­nen Per­so­nen /​ Bür­gern wur­den auf schrift­li­chem oder tele­fo­ni­schem Wege behan­delt. Die Mel­dun­gen von Daten­pan­nen belie­fen sich auf rund 15.000. Ins­ge­samt kam es zu 6 Ver­war­nun­gen, 8 Bean­stan­dun­gen und 2 Geld­bu­ßen. 51 Besuchs­ter­mi­ne bei Ver­ant­wort­li­chen wur­den zur Infor­ma­ti­on und Bera­tung genutzt, 73 wei­te­re außer­dem zu daten­schutz­recht­li­chen Kontrollen. 

Emp­feh­lun­gen des BfDI für Ein­rich­tun­gen und Bür­ger 

10 Emp­feh­lun­gen wer­den schrift­lich aus­ge­führt. Dazu gehö­ren bri­san­te The­men wie die elek­tro­ni­sche Pati­en­ten­ak­te, Mail­ver­schlüs­se­lung und bio­me­trie­ge­stütz­te Video­über­wa­chung. Des wei­te­ren wur­den die Umset­zungs­sta­tus von Emp­feh­lun­gen des vori­gen BfDI Daten­schutz­be­richts in 20 Punk­ten resümiert. 

Gre­mi­en­ar­beit und Gesetz­ge­bung 

Im ers­ten der hier gemein­sam zusam­men­ge­fass­ten Kapi­tel geht der Bericht auf die Gre­mi­en­ar­beit bei der DSK, der Inter­na­tio­na­len Daten­schutz­kon­fe­renz, dem Euro­päi­schen Daten­schutz­aus­schuss sowie dem Daten­schutz-Aus­schuss des Euro­pa­rats (Kon­ven­ti­on 108) ein. 

Im Bereich der Gesetz­ge­bung wer­den u.a. die Anhe­bung auf 20 Mit­ar­bei­ter bei der DSB Bestell­pflicht, Rege­lungs­lü­cken bei der Daten­ver­ar­bei­tung gesetz­li­cher Kran­ken­kas­sen und die Aus­ste­hen­de Anpas­sung des TKG moniert. Auch im Rah­men der Sicher­heits­ge­setz­ge­bung — wie etwa StPO, Zoll­fahn­dungs­dienst und der geplan­ten Dark­net Gesetz­ge­bung — gebe es Über­ar­bei­tungs­be­darf. Auch wur­de auf das ZensG 2021, das Pro­jekt der Regis­ter­mo­der­ni­sie­rung und die Gesetz­ge­bung im Gesund­heits-­ und Sozi­al­we­sen eingegangen. 

Der BfDI Daten­schutz­be­richt zum The­ma Sicher­heits­be­reich 

.. behan­del­te u.a. den CLOUD Act über den weit­rei­chen­den Zugriff US ame­ri­ka­ni­scher Straf­ver­fol­gungs­be­hör­den auf Daten bei Inter­net-Unter­neh­men. Stel­lung bezog der BfDI eben­falls zum Vor­schlag der e‑E­vi­dence-Ver­ord­nung über das geplan­te Recht euro­päi­scher Straf­ver­fol­gungs­be­hör­den, Bestands, Ver­kehrs- und Inhalts­da­ten unmit­tel­bar bei Pro­vi­dern EU grenz­über­grei­fend zu erhe­ben sowie das Pro­jekt „Poli­zei 2020“. Dabei wur­den u.a. Daten­spei­che­run­gen und Trans­pa­renz der sowie Kon­trol­len bei Sicher­heits­be­hör­den thematisiert. 

Zu wei­te­ren The­men gehör­ten Dritt­staa­ten­trans­fers, auch hin­sicht­lich der Aus­wir­kun­gen des Brexit, Stan­dard­ver­trags­klau­seln und der Daten­schutz in wei­te­ren grund­le­gen­den Orga­ni­sa­tio­nen wie Post­we­sen und Arbeitsämtern. 

Zusam­men­fas­sung 

Der gro­ße Umfang und das viel­schich­ti­ge Spek­trum der im Berichts­jahr 2019 behan­del­ten The­men in prä­gnan­tem Doku­men­ta­ti­ons­stil machen deut­lich, dass Inhal­te, Neu­tra­li­tät und Trans­pa­renz von die­ser Behör­de sehr ernst genom­men wer­den. Mit kla­ren Wor­ten und auf­ge­lo­ckert durch Kari­ka­tu­ren (wie etwa auf Sei­te 49) Ver­mit­telt der vor­lie­gen­de Bericht The­men, die an Stamm­ti­schen ger­ne als Ver­schwö­rungs­theo­rien abge­tan wer­den, auf sach­li­che und kon­struk­ti­ve Weise. 

Daten­pan­nen — jetzt ganz neu entdecken …

Hat­ten Sie 2020 in Ihrer Orga­ni­sa­ti­on eine Daten­pan­ne? Wenn Sie direkt Nein sagen, gehö­ren Sie ent­we­der zu den episch sel­te­nen Fäl­len, in denen der Fak­tor Mensch sowie tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men zu 100% dis­zi­pli­niert sind oder es gibt bei der inter­nen /​ exter­nen Kom­mu­ni­ka­ti­on ein­fach noch Opti­mie­rungs­be­darf bei der Iden­ti­fi­ka­ti­on und Bewer­tung von Daten­pan­nen nach Art. 33 und 34 DSGVO. 

Ver­mei­den und kom­mu­ni­zie­ren 

Es ist bereits die hal­be Mie­te, Daten­pan­nen prä­ven­tiv — u.a. durch star­ke IT-Sicher­heit, die rich­ti­ge Soft­ware­im­ple­men­tie­rung und kla­re Richt­li­ni­en — auf einen Bruch­teil zu redu­zie­ren. Und zusätz­lich sein Per­so­nal auf einem Sen­si­bi­li­täts­ni­veau zu haben, dass es Ver­stö­ße gegen Daten­schutz /​ Infor­ma­ti­ons­si­cher­heit sowie ent­spre­chen­de Ver­dachts­fäl­le angst­frei und pro­ak­tiv intern mit­teilt und einer sach­ge­mä­ßen Doku­men­ta­ti­on zuführt, ist die Königs­klas­se des geleb­ten Datenschutzes. 

Mel­dun­gen von Daten­pan­nen 

Seit dem Wirk­sam­wer­den der DSGVO wird ein erheb­li­cher Anstieg der Mel­dun­gen von Daten­pan­nen ver­zeich­net. Eine Mel­dung ist nach den Kri­te­ri­en des Art. 33 DSGVO gesetz­li­che Pflicht. Mehr als 40.000 Daten­pan­nen wur­den seit DSGVO-Ein­füh­rung euro­pa­weit (Bericht der EU-Kom­mis­si­on) und weit über 10.000 in Deutsch­land allein für 2019 gemel­det. Dabei sind die Gewich­tun­gen in den Bun­des­län­dern sehr unter­schied­lich. Wäh­rend das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht (BayL­DA) „einen gro­ßen Anteil“ sei­ner täg­li­chen Arbeit in der Bear­bei­tung von Daten­schutz­ver­let­zun­gen mit 4.111 gemel­de­ten Daten­pan­nen in 2019 sieht, wird den 349 in 2019 dem Unab­hän­gi­gen Lan­des­zen­trum für Daten­schutz in Schles­wig-Hol­stein gemel­de­ten Daten­pan­nen ver­ständ­li­cher­wei­se reser­viert begegnet. 

Dun­kel­zif­fer von Daten­pan­nen 

Eine höhe­re Trans­pa­renz durch mehr Mel­dun­gen und, ins­be­son­de­re im EU-Ver­gleich, hohes Pflicht­be­wusst­sein sind sehr gute Ten­den­zen. Aller­dings müss­ten es rea­lis­tisch betrach­tet noch wesent­lich mehr Mel­dun­gen sein. In Deutsch­land sind mehr als 3 Mil­lio­nen Unter­neh­men ange­mel­det, hin­zu kom­men die staat­li­chen Ein­rich­tun­gen und ande­re Stel­len, die aus der DSGVO her­aus zur Mel­dung von Daten­pan­nen nach Art. 33 DSGVO ver­pflich­tet sind. 

Auf­sichts­be­hör­den 

Mel­dun­gen von Daten­pan­nen müs­sen durch­aus nicht mit Nach­fra­gen, Vor­ort­kon­trol­len oder Buß­gel­dern ver­bun­den sein. Viel­mehr kommt es den Auf­sichts­be­hör­den auch kon­kret inhalt­lich auf Erkennt­nis­se an, in wel­chen Berei­chen nach­ge­steu­ert wer­den muss. Im Ver­gleich zu auf­ge­flo­ge­nen Daten­schutz­ver­stö­ßen wird das akti­ve Mel­den honoriert. 

Nicht nur Unter­neh­men, son­dern auch öffent­li­che Ein­rich­tun­gen wur­den von den Daten­schutz­auf­sich­ten einer nähe­ren Prü­fung unter­zo­gen, wobei zu bei­den Berei­chen posi­ti­ve wie nega­ti­ve Ergeb­nis­se fest­ge­hal­ten wurden. 

Daten­pan­nen bit­te doku­men­tie­ren /​ mel­den 

Es liegt nahe, dass sich Orga­ni­sa­tio­nen eher unglaub­wür­dig machen, wenn kei­ner­lei Daten­pan­nen gemel­det bzw. doku­men­tiert sind. Es emp­fiehlt sich, Daten­pan­nen und ver­gleich­ba­re Auf­fäl­lig­kei­ten gene­rell — z.B. in Check­lis­ten­form — zu doku­men­tie­ren. Das Gesetz befreit per Art. 33 Abs. 1 DSGVO von der Mel­de­pflicht, wenn „die Ver­let­zung des Schut­zes per­so­nen­be­zo­ge­ner Daten vor­aus­sicht­lich nicht zu einem Risi­ko für die Rech­te und Frei­hei­ten natür­li­cher Per­so­nen führt.“ Reich­lich unprä­zi­se wird hier ein ein­zel­fall­be­zo­ge­ner Ermes­sens­spiel­raum eröff­net. Das heißt für harm­lo­se (=nicht mel­de­pflich­ti­ge) Fäl­le: Das Ereig­nis wird intern doku­men­tiert und man stimmt sich mit sei­nem Daten­schutz­be­auf­trag­ten über eine fall­ge­rech­te Abgren­zung ab und das war´s. 

Für mel­de­pflich­ti­ge Fäl­le ste­hen übli­cher­wei­se Online-For­mu­la­re auf den Web­sei­ten der Auf­sichts­be­hör­den zur Verfügung. 

Kon­takt­auf­nah­me mit Daten aus öffent­li­chem Register

Die Deut­sche Gesell­schaft für Poli­tik­be­ra­tung (dege­pol) hat eine Ver­war­nung wegen Daten­schutz­ver­sto­ßes von der Ber­li­ner Beauf­trag­ten für Daten­schutz und Infor­ma­ti­ons­frei­heit erhal­ten. In die­sem Zuge erfolg­te die Klar­stel­lung, dass die Gewin­nung von Daten aus öffent­li­chen Regis­tern nicht zu jedem Zweck — wie etwa dem Ver­sand per­so­na­li­sier­ter Wer­bung — zuläs­sig ist. Dies hat Aus­wir­kun­gen sowohl auf die werb­li­che Kon­takt­auf­nah­me als sol­che als auch auf Umfra­gen, die mit Hil­fe sol­cher Infor­ma­tio­nen durch­ge­führt wer­den, im vor­lie­gen­den Fall gegen­über Lobbys.

Beschwer­de durch Betrof­fe­nen aus Lobbys 

Im vor­lie­gen­den Fall waren Ver­bän­de /​ deren Ver­tre­ter aus dem öffent­li­chen Regis­ter über Lob­bys des Bun­des­tags mit­tels Tabel­len­ex­port in Excel ange­schrie­ben und zu Umfra­gen ein­ge­la­den wor­den. Die zugrun­de lie­gen­de Beschwer­de wur­de durch einen Betrof­fe­nen Lob­by-Ange­hö­ri­gen eingegeben. 

Quel­len­an­ga­ben 

Die Daten aus dem Lob­by-Regis­ter sei­en von der dege­pol an den Dienst­leis­ter online​um​fra​gen​.com wei­ter­ge­ge­ben wor­den für den Ver­sand von Anschrei­ben mit per­so­na­li­sier­ter Anre­de und ohne Hin­weis auf Daten­quel­len. Unter ande­rem hier­in wur­de ein Daten­schutz­ver­stoß gese­hen. Eine Quel­len­an­ga­be habe mit dem ers­ten Anschrei­ben erfol­gen müs­sen und wur­de auch in der ver­link­ten Daten­schutz­er­klä­rung ver­misst — so die Datenschutzaufsicht. 

Namen von Lobbyisten

Die Ber­li­ner DSB zog ein berech­tig­tes Inter­es­se der Deut­schen Gesell­schaft für Poli­tik­be­ra­tung in Zwei­fel, nach dem die­se die Daten zur Anfer­ti­gung einer “aus­sa­ge­kräf­ti­gen Stu­die” zu Hono­rar­zah­lun­gen in der Lob­by­welt Deutsch­lands für erfor­der­lich hielt. Fer­ner wur­de moniert, dass in die­sem Zusam­men­hang Namen Ange­hö­ri­ger von Lob­bys ohne Not­wen­dig­keit ver­ar­bei­tet wor­den seien.

“Wei­te­re auf­sichts­recht­li­che Mit­tel”, auch für einen Wie­der­ho­lung­fall, schloss die Daten­schutz­be­hör­de nicht aus. Gene­rell gespro­chen kann es sich bei sol­chen etwa um Vor-Ort-Prü­fun­gen, die Anord­nung von Maß­nah­men oder die Ver­hän­gung von Buß­gel­dern han­deln, um eini­ge Befug­nis­se der unab­hän­gi­gen Daten­schutz­be­hör­den zu nennen.

Regis­ter des Bun­des­tags 

Der Bun­des­tag hat bis­her kein ver­bind­li­ches Ver­zeich­nis hier­zu her­aus­ge­ge­ben. Das Regis­ter des Bun­des­ta­ges über Lob­bys umfasst momen­tan über 2300 Ein­rich­tun­gen, “die eine Auf­nah­me von sich aus bean­tragt“ hät­ten, um ihre Tätig­kei­ten damit trans­pa­rent machen zu wollen. 

Sicher auch aus Daten­schutz­sicht eine begrü­ßens­wer­te Intention. 

Auf­trags­ver­ar­bei­tung — Defi­ni­ti­on, Bei­spie­le, Mass­nah­men, Risi­ken (Update) — frü­her Auftragsdatenverarbeitung

Auf­trags­ver­ar­bei­tung, das Aus­la­gern von Daten­ver­ar­bei­tungs­pro­zes­sen durch den Auf­trag­ge­ber auf exter­ne Dienst­leis­ter, ist ein häu­fi­ges Mit­tel zur Kos­ten­sen­kung und der Nut­zung von exter­nem Know How — Stich­wort “Out­sour­cing”. Sind hier­von per­so­nen­be­zo­ge­ne Daten betrof­fen, fin­det Art. 28 DSGVO Auf­trags­ver­ar­bei­ter Anwendung.

Schnell kommt es bei der Ein­schät­zung, ob eine Auf­trags­ver­ar­bei­tung vor­liegt, zu Miß­ver­ständ­nis­sen und der Auf­trag­ge­ber läuft Gefahr, gemäß DSGVO mit Geld­bu­ßen durch die Daten­schutz­be­hör­den belegt zu wer­den. Von Image­schä­den in der Öffent­lich­keits­wahr­neh­mung nicht zu reden. Eine sorg­fäl­ti­ge Prü­fung durch einen Bera­ter für Daten­schutz oder einen Daten­schutz­be­auf­trag­ten hilft, die­se Risi­ken zu mini­mie­ren und die not­wen­di­gen Rege­lun­gen umzusetzen.

Fol­gen­de Kri­te­ri­en (Aus­wahl) unter­stüt­zen die Bewer­tung über das Vor­lie­gen einer Auftragsverarbeitung:

  • Dem Auf­trag­neh­mer fehlt die Ent­schei­dungs­be­fug­nis über die über­mit­tel­ten Daten.
  • Dem Auf­trag­neh­mer ist die Nut­zung der über­las­se­nen Daten über den eigent­li­chen Über­las­sungs­zweck hin­aus verboten.
  • Der Auf­trag­neh­mer nutzt nur die ihm über­las­se­nen Daten.
  • Die Daten­ver­ar­bei­tung wird nach außen durch den Auf­trag­ge­ber vertreten.
  • Der Auf­trag­neh­mer steht in kei­ner ver­trag­li­chen Bezie­hung zu den Betrof­fe­nen der per­so­nen­be­zo­ge­nen Daten.

Eini­ge prak­ti­sche Bei­spie­le von Auftragsverarbeitung:

  • Out­sour­cing des Rechen­zen­trums (ganz oder teilweise).
  • Soft­ware as a Ser­vice /​ Cloud-Ser­vices (nicht nur rei­ne Dateiablage).
  • Mar­ke­ting­ak­tio­nen, Kun­den­um­fra­gen, News­let­ter­ver­sand durch eine exter­ne Agentur.
  • Beauf­tra­gung eines Call­cen­ters für Kun­den­sup­port oder Kundengewinnung.
  • Papier- und Akten­ver­nich­tung sowie die Ver­nich­tung von Datenträgern.
  • Exter­ne Lohn- und Gehaltsabrechnung.
  • Exter­ne Rech­nungs­be­ar­bei­tung /​ Buch­hal­tung.
  • Zugriff auf per­so­nen­be­zo­ge­ne Daten vor Ort bei Auftraggeber

Aber auch wei­te­re Leis­tun­gen sind eben­falls von den Rege­lun­gen zu Art. 28 DSGVO betrof­fen (Bei­spie­le):

  • War­tung von Ser­vern und Com­pu­tern durch einen exter­nen Dienst­leis­ter (wich­tig: auch Fern­war­tung!)
  • Para­me­tri­sie­rung oder Pfle­ge von Soft­ware (Updates etc.), über die Zugriff auf per­so­nen­be­zo­ge­ne Daten mög­lich ist.
  • Sys­tem­mi­gra­tio­nen.

Was heisst das jetzt für Sie als Auftraggeber?

  • Liegt eine Auf­trags­ver­ar­bei­tung vor, muss die­se schrift­lich gere­gelt werden.
  • Sie als Auf­trag­ge­ber müs­sen die im Ver­trag fest­ge­schrie­be­nen Mass­nah­men zum Daten­schutz und zur Daten­si­cher­heit beim Auf­trag­ge­ber in geeig­ne­ter Form kon­trol­lie­ren — im Zwei­fel per­sön­lich vor Ort beim Auftragnehmer.
  • Für die Ein­hal­tung der gesetz­li­chen Daten­schutz­vor­schrif­ten sind Sie als Auf­trag­ge­ber ver­ant­wort­lich, nicht der Auf­trag­neh­mer (dies wird oft irr­tüm­lich falsch eingeschätzt).
  • Eine ein­fa­che Erklä­rung des Auf­trag­neh­mers über die Ein­hal­tung der Daten­schutz­vor­schrif­ten ist nicht ausreichend!

Was heisst das jetzt für Auftragnehmer?

  • Als Auf­trag­neh­mer haben Sie sich eben­falls den Rege­lun­gen des Art. 28 DSGVO zu unter­wer­fen und ste­hen in der Pflicht, Ihren Auf­trag­ge­ber bei der Umset­zung zu unterstützen.
  • Zukunfts­ori­en­tier­te Unter­neh­men haben ein stich­hal­ti­ges Daten­schutz­kon­zept samt einer vor­for­mu­lier­ten Ver­ein­ba­rung gem. Art. 28 DSGVO bereits in der Schub­la­de und gehen damit aktiv auf ihre Bestands­kun­den zu. Ein klei­nes, aber sehr wir­kungs­vol­les Detail, um sich posi­tiv vom Wett­be­werb abzu­he­ben und ihren Auf­trag­ge­ber  von ihrer Leis­tungs­fä­hig­keit zu überzeugen.
  • Wenig hilf­reich: den Auf­trag­ge­ber vor die Wahl stel­len — ent­we­der ohne die­se Ver­ein­ba­rung samt Kon­troll­rech­te zusam­men­zu­ar­bei­ten oder es eben sein zu las­sen. Außer Sie sind sich sicher, Ihrem Auf­trag­ge­ber ist Ihre Dienst­leis­tung oder Ihr Pro­dukt ohne Rege­lun­gen zur Auf­trags­ver­ar­bei­tung ein Buß­geld wert.

Mit Bedacht soll­ten Mus­ter­ver­trä­ge aus dem Inter­net ein­ge­setzt wer­den. Teil­wei­se ent­spre­chen die­se nicht den aktu­el­len Rege­lun­gen aus den letz­ten Novel­lie­run­gen des Daten­schutz­rechts. Die­se kön­nen zwar sinn­vol­le Ansatz­punk­te lie­fern, erset­zen jedoch weder die indi­vi­du­ell not­wen­di­ge Anpas­sung auf die vor­lie­gen­de Auf­trags­ver­ar­bei­tung noch die recht­lich siche­re Ein­schät­zung, wel­che Maß­nah­men hier­zu not­wen­dig sind.

Daher kann zur Ver­mei­dung von Buß­gel­dern und Image­schä­den nur jedem Unter­neh­men und Unter­neh­mer gera­ten wer­den, einen Bera­ter /​ Anwalt für Daten­schutz oder Daten­schutz­be­auf­trag­ten hin­zu­zu­zie­hen. Die­ser stellt die kor­rek­te Umset­zung sicher und haf­tet im Zwei­fel für mög­li­che Ver­säum­nis­se aus sei­ner Tätigkeit.

Hilf­rei­che Links und Tipps zur Auf­trags­ver­ar­bei­tung im Internet:

Baye­ri­sches Lan­des­amt für Daten­schutz­auf­sicht (BayL­DA) stellt Tätig­keits­be­richt 2015/​2016 vor

Auf 158 Sei­ten gibt der Prä­si­dent des Baye­ri­schen Lan­des­am­tes für Daten­schutz­auf­sicht (BayL­DA), Tho­mas Kra­nig einen Über­blick über die Arbeit der Daten­schutz­auf­sichts­be­hör­de für den nicht-öffent­li­chen Bereich in Bay­ern für die Jah­re 2015 und 2016 ab.

Das BayL­DA ist für ca. 700.000 ver­ant­wort­li­che Stel­len im nicht-öffent­li­chen Bereich (Unter­neh­men, Ver­ei­ne, Ver­bän­de, frei­be­ruf­lich Täti­ge etc.) in Bay­ern zuständig.

Im vor­de­ren Teil des Berichts wird anschau­lich auf die Ent­wick­lung von Bür­ger­be­schwer­den, Daten­pan­nen, aber auch Bera­tungs­an­fra­gen sei­tens nicht-öffent­li­cher Stel­len ein­ge­gan­gen. Der Über­sicht ab 2013 ist zu ent­neh­men, dass es sich bei der zuneh­men­den Stei­ge­rung nicht um ein­zel­ne Spit­zen, son­dern klar um einen Trend han­delt. Sind 2013 “nur” 925 Beschwer­den über baye­ri­sche Unter­neh­men und Unter­neh­mer ein­ge­gan­gen, so waren es 2016 schon 1.424. Iden­tisch ver­hält es sich mit der Zahl der Daten­pan­nen (2013 32 gegen­über 85 in 2016). Wobei hier eine deut­lich höhe­re Dun­kel­zif­fer sei­tens des Amts ver­mu­tet wird. Bei den Beschwer­den liegt das The­ma Video­über­wa­chung auf dem vor­ders­ten Platz. Unter ande­rem sind dafür die mitt­ler­wei­le sehr preis­wer­ten Über­wa­chungs­ka­me­ras (wie Wild­ka­me­ras, Dash­cams usw.) ver­ant­wort­lich, jedoch auch ein gestei­ger­tes Sicher­heits­be­dürf­nis. Letz­te­res führt schnell mal dazu, nicht nur (zuläs­si­ger­wei­se) das eige­ne Grund­stück zu obser­vie­ren, son­dern (zumeist unzu­läs­sig) angren­zen­de Grund­stü­cke oder öffent­li­che Ver­kehrs­flä­chen mit einzuschließen.

Klas­si­sche Daten­pan­nen wie Ver­lust, Dieb­stahl oder Fehl­ver­sen­dun­gen sind im Berichts­zeit­raum nahe­zu gleich geblie­ben. Eine ver­mehr­te Zunah­me wur­de jedoch im Bereich Cyber­crime fest­ge­stellt. Hack­ing von Web­sei­ten, Daten­klau in Web­shops sowie Ver­schlüs­se­lungs­tro­ja­ner stan­den dabei ganz oben auf der Lis­te. Gera­de die ers­ten bei­den Punk­te oft aus­ge­löst durch feh­len­de Sicher­heits­up­dates der Web­sei­ten- und Shop-Soft­ware inklu­si­ve dazu­ge­hö­ri­ger Erwei­te­run­gen durch die ver­ant­wort­li­chen Unter­neh­men und Unternehmer.

Im wei­te­ren Ver­lauf des Tätig­keitbe­richts wird ein Blick auf die ab Mai 2018 gel­ten­de EU-Daten­schutz­grund­ver­ord­nung (EU-DSGVO) gewor­fen und wel­che Aus­wir­kun­gen die­se auf nicht-öffent­li­che Stel­len haben wird. Die Ver­pflich­tung zur Bestel­lung eines Daten­schutz­be­auf­trag­ten wird vor­aus­sicht­lich in bekann­ter Wei­se fort­ge­führt. Neu ist jedoch die Mel­de­pflicht der Bestel­lung an die Lan­des­da­ten­schutz­be­hör­de. Die­se rech­net mit einem erheb­li­chen Arbeits­auf­wand auf­grund der zu erwar­ten­den tau­send­fa­chen Mel­dun­gen. [Anmer­kung des Autors: Die­se Mel­de­pflicht wird natür­lich auch Aus­wir­kun­gen auf Unter­neh­men haben, die bis­her der Bestell­pflicht unter­la­gen, sich aber eine Bestel­lung erspart haben. Eine Nicht­mel­dung kann im wei­te­ren Ver­lauf unan­ge­neh­me Nach­fra­gen — und bei Ver­stö­ßen auf Buß­gel­der auslösen.]

Eine kur­ze Zusam­men­fas­sung kön­nen Sie hier her­un­ter­la­den. Der kom­plet­te Tätig­keits­be­richt steht hier zum Down­load bereit.

Buß­geld wegen feh­ler­haf­ter Auf­trags­da­ten­ver­ar­bei­tung verhängt

Lang­jäh­ri­ge Kun­den und Emp­fän­ger unse­rer Daten­schutz-Infor­ma­ti­on wer­den sich an das wie­der­keh­ren­de The­ma die­ses Bei­tra­ges sicher erin­nern und haben die Infor­ma­ti­on am Tag der Ver­öf­fent­li­chung der Pres­se-Infor­ma­ti­on des BayL­DA bereits als Son­der-News­let­ter erhal­ten. Auf­grund der Trag­wei­te des Vor­gangs infor­mie­ren wir hier noch mal auf unse­rem Datenschutz-Fachblog.

Es geht um das The­ma Out­sour­cing an exter­ne Dienst­leis­ter im Hin­blick auf mög­li­cher­wei­se betrof­fe­ne per­so­nen­be­zo­ge­ne Daten. Das Daten­schutz­recht spricht hier von einer Auf­trags­da­ten­ver­ar­bei­tung. Nicht weil hier ein Auf­trag ver­ge­ben wird, son­dern weil im Auf­trag der ver­ant­wort­li­chen Stel­le jemand Drit­tes mit den per­so­nen­be­zo­ge­nen Daten zu tun hat oder in Kon­takt kommt  /​ kom­men kann. Die baye­ri­sche Lan­des­da­ten­schutz­be­hör­de hat jetzt wegen feh­ler­haf­ter Umset­zung der gesetz­lich vor­ge­schrie­be­nen Ver­fah­rens­wei­se und Inhal­te ein Buß­geld verhängt.

Feh­ler­haf­te Auf­trags­da­ten­ver­ar­bei­tung führt zu Bußgeld

Das ist so klar und deut­lich in § 43 Absatz 1 Satz 2b BDSG geregelt.

“(1) Ord­nungs­wid­rig han­delt, wer vor­sätz­lich oder fahrlässig 

2b.
ent­ge­gen § 11 Absatz 2 Satz 2 einen Auf­trag nicht rich­tig, nicht voll­stän­dig oder nicht in der vor­ge­schrie­be­nen Wei­se erteilt oder ent­ge­gen § 11 Absatz 2 Satz 4 sich nicht vor Beginn der Daten­ver­ar­bei­tung von der Ein­hal­tung der beim Auf­trag­neh­mer getrof­fe­nen tech­ni­schen und orga­ni­sa­to­ri­schen Maß­nah­men überzeugt,”

Mit Datum vom 20. August 2015 gibt das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht (BayL­DA) in Ans­bach nun bekannt, dass es gegen ein Unter­neh­men ein Buß­geld in fünf­stel­li­ger Euro-Höhe ver­hängt hat.

Aus­lö­ser war die feh­ler­haf­te Umset­zung der Auf­trags­da­ten­ver­ar­bei­tung. In meh­re­ren Ver­trä­gen mit exter­nen Dienst­leis­tern waren die durch den Dienst­leis­ter zu tref­fen­den tech­ni­schen und orga­ni­sa­to­ri­schen Schutz­maß­nah­men nur sehr ober­fläch­lich und all­ge­mein fest­ge­setzt. Damit sei die gesetz­lich vor­ge­schrie­be­ne Kon­trol­le durch den Auf­trag­ge­ber nicht durch­führ­bar, ob der Dienst­leis­ter in aus­rei­chen­dem Umfang für die Sicher­heit der Daten sor­gen kann.
Dabei hat die Behör­de bereits berück­sich­tigt, dass es kein pau­scha­les Schutz­ni­veau gibt, son­dern die­ses indi­vi­du­ell nach Art der Dienst­leis­tung und der betrof­fe­nen Daten defi­niert und ver­ein­bart wer­den muss.

Was ist zu tun?

In einem ers­ten Schritt soll­ten Sie prü­fen, ob Sie alle für eine Auf­trags­da­ten­ver­ar­bei­tung in Fra­ge kom­men­den Dienst­leis­ter über­haupt bereits iden­ti­fi­ziert haben. Wenn ja, wäre die ver­trag­li­che Situa­ti­on zu prü­fen, ob das Schutz­ni­veau des Dienst­leis­ters in aus­rei­chen­der schrift­li­cher Form nach­ge­wie­sen ist und ob eine gül­ti­ge Auf­trags­da­ten­ver­ar­bei­tung (Ach­tung Novel­le in 2009 mit neu­en Anfor­de­run­gen!) schrift­lich ver­ein­bart wurde.
Wenn nein, soll­ten Sie zeit­nah Ihren Daten­schutz­be­auf­trag­ten infor­mie­ren, damit die­ser alles wei­te­re mit Ihnen zusam­men in die Wege lei­ten kann.

Pres­se­mit­tei­lung des BayL­DA vom 20.08.2015
Infor­ma­ti­ons­blatt des BayL­DA zum The­ma Auftragsdatenverarbeitung
Blog­bei­trag a.s.k. Daten­schutz zum The­ma Auftragsdatenverarbeitung

 

Här­te­res Vor­ge­hen der Daten­schutz­be­hör­den bei Wett­be­werbs­ver­stö­ßen angekündigt

Gera­de per­so­na­li­sier­te Wer­bung ist nach wie vor ein bewähr­tes Mit­tel, um Kun­den zu gewin­nen. In den let­zten Jah­re wur­den die Aufla­gen  immer stren­ger. Zumeist als Reak­ti­on auf aus­ufern­de Miß­ach­tung bestehen­der gesetz­li­cher Rege­lun­gen durch die Werbetreibenden.

Mit dem Gesetz gegen den unlau­te­ren Wet­tbe­werb (UWG) und den Bes­tim­mungen aus dem Bun­des­daten­schutzge­setz (BDSG) gilt es eini­ges zu beach­ten. Nicht nur, um sich nicht den Unmut der poten­tiellen Käu­fer zuzu­zie­hen, weil deren Rech­te nicht beach­tet wur­den. Die Auf­merk­sam­keit der Lan­des­da­ten­schutz­be­hör­den soll­te man eben­falls zukünf­tig nicht erre­gen. Von dro­hen­den Abmah­n­risiken mal ganz zu schweigen.

Da ist es auch wenig tröst­lich, dass dies nur auf eini­ge schwar­ze Scha­fe unter den Wer­be­treiben­den zurück­zuführen ist. Lei­den müs­sen dar­un­ter alle, die auf Wer­bung ange­wie­sen sind.

Zu allem Über­fluss haben die Daten­schutzbe­hör­den das The­ma nun auch für sich entdeckt!

Es bleibt nicht unbemerkt

Recht­li­che Ver­stö­ße blei­ben nicht unbe­merkt. Denn selbst wenn sich der Betrof­fe­ne nicht direkt bei dem Wer­be­trei­ben­den mel­det, so bleibt immer noch der Weg zur zustän­di­gen Lan­des­da­ten­schutz­be­hör­de offen. Und die­ser Weg wird auch beschritten.

In einer Pressemit­teilung vom 25.11.2014 des Bay­erischen Lan­desamt für Daten­schutza­uf­sicht heisst es:

“Im Jahr 2013 gin­gen beim BayL­DA zum The­ma unzuläs­sige Wer­bung 162 und im Jahr 2014 bis­her 149 Ein­ga­ben und Beschw­er­den ein. Mehr als zwei Drit­tel die­ser Beschw­er­den stell­ten sich nach Über­prü­fung durch das BayL­DA als begrün­det, d.h. als Daten­schutzver­stoß heraus.”

Feh­len­de oder feh­ler­haf­te Einwilligung

Im Tele­fon­mar­ket­ing wur­den das feh­len­de Vor­liegen einer gülti­gen Ein­willi­gung oder auch die Ruf­num­mern­un­ter­drü­ckung als Grund für das Ein­schrei­ten der Schutz­be­hör­de auf­ge­führt. Eine recht­skon­forme Ein­willi­gung ist jedoch eben­falls Voraus­set­zung für Werbe­maß­nah­men per Email oder SMS.

Oft kon­nten die ange­blich vor­liegen­den Ein­willi­gun­gen  durch das betrof­fene Unter­neh­men nicht schlüs­sig belegt wer­den. Postal­is­che Wer­bung ist weni­ger gro­ßen Aufla­gen unter­wor­den. Jedoch darf der Wider­ruf­sh­in­weis hier (auch) nicht fehlen.

Die unzuäs­sige Nut­zung von Email-Adres­sen und Tele­fon­num­mern für elek­tro­n­is­che Wer­bung sowie die Post­wer­bung trotz aus­drück­lich erk­lärtem Wer­be­wider­spruch stel­len Tat­be­stän­de dar, die mit einem Buß­geld von bis zu 300.000,00 EUR geah­n­det wer­den kön­nen. Und da  hat das UWG sich noch gar nicht mit sei­nen Kon­se­quen­zen zu Wort gemeldet.

Frü­her oder spä­ter krie­gen wir euch

So denkt es sich auch das BayL­DA im Ver­bund mit den übri­gen Lan­des­daten­schutzbe­hör­den. Es heißt in der Pressemit­teilung weiter:

“Nach­dem trotz inten­siver Infor­ma­tion­sar­beit durch alle Daten­schutza­uf­sichts­be­hör­den […] und auch guten Hin­weisen aus den Ver­bän­den der Wer­be­wirtschaft selbst die Zahl der begrün­de­ten Ein­ga­ben und Beschw­er­den wegen unzuläs­siger Wer­bung nicht zurück­ge­gan­gen ist, wird das BayL­DA die in der let­zten Zeit eher zurück­hal­tende Pra­xis der Ahn­dung die­ser Ver­stöße durch Bußgeld­ver­fahren auf­ge­ben und schw­er­punk­t­mäßig in der näch­sten Zeit die „Mis­sach­tung von Wer­be­wider­sprüchen“ und die unzuläs­sige „E‑Mail-Wer­bung zur Neukun­dengewin­nung“ mit Buß­gel­dern sanktionieren.”

Inter­es­sant ist der abschlie­ßen­de Aspekt die­ses State­ments, auf die üblicher­weise vorge­zo­ge­nen Aufla­gen zu Gun­sten von Buß­gel­dern zu ver­zich­ten. Die Behör­de wird bei dem The­ma also kei­nen Spaß mehr ver­ste­hen, hat es den Anschein.

Hil­festel­lung zum recht­skon­for­men Ein­satz per­so­n­en­be­zo­gener Daten gibt das BayL­DA in einem PDF Doku­ment schon seit ger­aumer Zeit (Anwen­dung­sh­in­weise zur Erhe­bung, Ver­ar­beitung und Nut­zung von per­so­n­en­be­zo­ge­nen Daten für werb­li­che Zwe­cke).

Sie kön­nen aber auch ein­fach Ihren Daten­schutzbeauf­tragten fra­gen. Die­ser hilft Ihnen auch beim Erstel­len rechts­gültiger Ein­willi­gun­gen. Unan­genehm ist näm­lich, dass Sie alle Daten löschen müs­sen, die Sie über eine ungül­ti­ge (also fehler­haft for­mulierte und gestal­tete) Ein­willi­gung an sich genom­men haben. Sie haben noch kei­nen Daten­schutz­be­auf­trag­ten? Spre­chen Sie uns an

Baye­ri­sches Lan­des­amt für Daten­schutz prüft Ein­satz von Goog­le Ana­ly­tics auf baye­ri­schen Webseiten

Bay­erns Web­sei­ten­be­trei­ber im Visier

Das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht teil­te ges­tern mit, den Ein­satz des Web­track­ing-Tools Goog­le Ana­ly­tics auf 13.404 Web­sei­ten mit Betrei­bern aus Bay­ern mit­tels einer eigens ent­wi­ckel­ten Soft­ware über­prüft zu haben.

10.955 der geprüf­ten Web­sei­ten setz­ten Goog­le Ana­ly­tics nicht ein. Auf den ver­blie­be­nen 2.449 Web­sei­ten wäre das belieb­te Web­track­ing-Tool ledig­lich in 3% aller Fäl­le daten­schutz­kon­form umge­setzt. Die ver­blei­ben­den 2.371 Web­sei­ten­be­trei­ber erhal­ten in den kom­men­den Tagen Post von der Lan­des­da­ten­schutz­be­hör­de mit der Auf­for­de­rung zur Abstel­lung des nicht kon­for­men Einsatzes.

Noch zeit­ge­mäß?

Seit lan­gem wird heiß dis­ku­tiert, ob und inwie­weit Goog­le Ana­ly­tics daten­schutz­kon­form nach deut­schem Recht ein­setz­bar ist. Vie­le der not­wen­di­gen Sach­ver­hal­te las­sen sich mit unse­rem aktu­el­len Bun­des­da­ten­schutz­ge­setz nicht kor­rekt umset­zen oder dar­stel­len. Die­se Dis­kus­si­on soll­te jedoch nicht dazu ver­lei­ten, nach dem Mot­to “Augen zu und durch” zu verfahren.

Noch dazu, wo es doch eine kos­ten­freie, leis­tungs­fä­hi­ge und bean­stan­dungs­freie Alter­na­ti­ve wie das Open Source Tool PIWIK gibt. Wie das ein­zu­set­zen ist, lesen Sie in unse­rem Blog-Bei­trag (ursprüng­lich vom 16.03.2011).

Face­books “Gefällt mir” /​ “Like” nun bun­des­weit unter Beschuss

Bun­des­wei­te Unter­stüt­zung für Posi­ti­on des ULD

Am 08.12.2011 trat der sog. “Düs­sel­dor­fer Kreis”, ein Zusam­men­schluss der deut­schen Daten­schutz­be­hör­den zusam­men. Tags dar­auf folg­te eine ent­spre­chen­de Pres­se­mel­dung. Bun­des­weit stel­len sich die Lan­des­da­ten­schutz­be­hör­den hin­ter die Posi­ti­on des ULD (Unab­hän­gi­ges Lan­des­zen­trum für Daten­schutz Schles­wig-Hol­stein), wonach der Ein­satz des sog. “Gefällt mir”-/Like-Buttons, sog. social plug­ins sowie von Face­book Fan­pages gegen deut­sches Daten­schutz­recht verstößt.

Im Klar­text heißt es im Beschluss der obers­ten Aufsichtsbehörden:

“In Deutsch­land ansäs­si­ge Unter­neh­men, die durch das Ein­bin­den von Social Plug­ins eines Netz­wer­kes auf sich auf­merk­sam machen wol­len oder sich mit Fan­pages in einem Netz­werk prä­sen­tie­ren, haben eine eige­ne Ver­ant­wor­tung hin­sicht­lich der Daten von Nut­ze­rin­nen und Nut­zern ihres Ange­bots. Es müs­sen zuvor Erklä­run­gen ein­ge­holt wer­den, die eine Ver­ar­bei­tung von Daten ihrer Nut­ze­rin­nen und Nut­zer durch den Betrei­ber des sozia­len Netz­wer­kes recht­fer­ti­gen kön­nen. Die Erklä­run­gen sind nur dann rechts­wirk­sam, wenn ver­läss­li­che Infor­ma­tio­nen über die dem Netz­werk­be­trei­ber zur Ver­fü­gung gestell­ten Daten und den Zweck der Erhe­bung der Daten durch den Netz­werk­be­trei­ber gege­ben wer­den können.

Anbie­ter deut­scher Web­sites, die in der Regel kei­ne Erkennt­nis­se über die Daten­ver­ar­bei­tungs­vor­gän­ge haben kön­nen, die bei­spiels­wei­se durch Social Plug­ins aus­ge­löst wer­den, sind regel­mä­ßig nicht in der Lage, die für eine infor­mier­te Zustim­mung ihrer Nut­ze­rin­nen und Nut­zer not­wen­di­ge Trans­pa­renz zu schaf­fen. Sie lau­fen Gefahr, selbst Rechts­ver­stö­ße zu bege­hen, wenn der Anbie­ter eines sozia­len Netz­wer­kes Daten ihrer Nut­ze­rin­nen und Nut­zer mit­tels Social Plug­in erhebt. Wenn sie die über ein Plug­in mög­li­che Daten­ver­ar­bei­tung nicht über­bli­cken, dür­fen sie daher sol­che Plug­ins nicht ohne wei­te­res in das eige­ne Ange­bot einbinden.”

Zur Vor­ge­schich­te

Im August 2011 hat das ULD aus­ge­wähl­te Stel­len in Schles­wig-Hol­stein auf Basis die­ser Rechts­auf­fas­sung auf­ge­for­dert, auf “Gefällt mir”-/Like-Buttons und Fan­pages zu ver­zich­ten. Gegen die­se Anord­nun­gen wur­de Wider­spruch ein­ge­legt, das ULD rech­net mit Kla­ge­er­he­bung noch im Dezem­ber 2011. Den kom­plet­ten Ablauf mit zahl­rei­chen wei­te­ren Rah­men­in­for­ma­tio­nen kön­nen Sie hier nachlesen.

Wel­ches Risi­ko besteht für Webseitenbetreiber?

“Nach einem Gespräch mit Wirt­schafts­po­li­ti­kern der CDU- und der FDP-Land­tags­frak­ti­on weist das ULD noch­mals dar­auf hin, dass es kurz­fris­tig nicht gegen klei­ne­re schles­wig-hol­stei­ni­sche Unter­neh­men wegen Face­book-Fan­pages oder „Gefällt mir“-Buttons vor­ge­hen wird”, so der Wort­laut in der Pres­se­mel­dung vom 09.12.2011. Dies soll­te jedoch nicht dahin­ge­hend ver­stan­den wer­den, mit der Nut­zung ein­fach fort­zu­fah­ren. Der Rechts­ver­stoß bleibt bestehen.

Mit Augen­maß

Es sind alle Betei­lig­ten (Diens­te-Anbie­ter, Nut­zer und Behör­den) gefor­dert, an den Sach­ver­halt mit Augen­maß her­an­zu­ge­hen und eine Lösung zu fin­den, die am Ende den Anfor­de­run­gen und Bedürf­nis­sen aller Betei­lig­ten und dem The­ma Daten­schutz gerecht wird. Ein kom­plet­tes bun­des­wei­tes Ver­bot des Face­book “Gefällt mir”- /​ Like-But­tons, der hier stell­ver­tre­tend für zahl­rei­che ande­re Ser­vices die­ser Art steht, wür­de im Zeit­al­ter der Tech­no­lo­gi­sie­rung, Media­li­sie­rung und Ver­net­zung einen nicht zu unter­schät­zen­den Wett­be­werbs­nach­teil für deut­sche Unter­neh­men bedeuten.

Quel­len:

 Zum The­ma auf die­sem Blog:

Hilf­rei­che Links
  • Wol­len Sie die Risi­ken aus dem Bun­des­da­ten­schutz­ge­setz für Ihr Unter­neh­men mini­mie­ren? Eine pas­sende Lösung fin­den Sie sicher in unse­rem Leis­tungs­an­ge­bot.
  • Unsi­cher, ob für Ihr Unter­neh­men die gesetz­li­che Bestell­pflicht für einen (exter­nen) Daten­schutz­be­auf­trag­ten vor­liegt? Die Ant­wort gibt unser Daten­schutz-Quick-Check, sie­he Leis­tun­gen.
  • Sie wol­len eine unab­hän­gige Prü­fung, wie gut es um Daten­schutz und Daten­si­cher­heit in Ihrem Unter­neh­men bestellt ist? Kein Pro­blem mit unse­ren Leis­tun­gen.
  • Schu­lungs­be­darf für Ihre Mit­ar­bei­ter? Zusätz­li­che Trai­nings und Work­shops rund um Daten­schutz und Daten­si­cher­heit? Erfah­ren Sie mehr über unse­re Schu­lun­gen und Semi­nare.
  • Anlei­tun­gen, Rat­ge­ber und Links, die das täg­li­che Arbei­ten erleich­tern und hel­fen kön­nen, Daten­pan­nen zu ver­mei­den, fin­den Sie in der Rubrik Anlei­tun­gen /​ Rat­ge­ber.

Bild­nach­weis

about​pi​xel​.de /​ Vor­sicht in s/​w © petereh­mann

ULD stellt Web­sei­ten­be­trei­bern Ulti­ma­tum — Social Plug­ins von Face­book müs­sen weg (Update 2)

Sozia­le Netz­wer­ke sind aus dem Nut­zungs­all­tag des Inter­net nicht mehr weg­zu­den­ken. Trotz neu­er Kon­kur­renz durch Goog­le+ hat Face­book hier die Nase (noch) deut­lich vorn. Doch es ist nicht alles Gold, was glänzt — und erst recht nicht erlaubt.

Das ULD nimmt Stellung

Die Lan­des­da­ten­schutz­be­hör­de Schles­wig-Hol­steins (ULD) setzt sich lan­ge und inten­siv mit der Pro­ble­ma­tik der sozia­len Netz­wer­ke und der Anwen­dung des deut­schen Bun­des­da­ten­schutz­ge­set­zes (BDSG) aus­ein­an­der. In einer aktu­el­len Pres­se­mit­tei­lung vom 19.08.2011 fin­det das ULD sehr kla­re Worte:

“Das Unab­hän­gi­ge Lan­des­zen­trum für Daten­schutz (ULD) for­dert alle Stel­len in Schles­wig-Hol­stein auf, ihre Fan­pages bei Face­book und Social-Plug­ins wie den „Gefällt mir“-Button auf ihren Web­sei­ten zu ent­fer­nen. Nach ein­ge­hen­der tech­ni­scher und recht­li­cher Ana­ly­se kommt das ULD zu dem Ergeb­nis, dass der­ar­ti­ge Ange­bo­te gegen das Tele­me­di­en­ge­setz (TMG) und gegen das Bun­des­da­ten­schutz­ge­setz (BDSG) bzw. das Lan­des­da­ten­schutz­ge­setz Schles­wig-Hol­stein (LDSG SH) ver­sto­ßen. Bei Nut­zung der Face­book-Diens­te erfolgt eine Daten­wei­ter­ga­be von Ver­kehrs- und Inhalts­da­ten in die USA und eine qua­li­fi­zier­te Rück­mel­dung an den Betrei­ber hin­sicht­lich der Nut­zung des Ange­bots, die sog. Reich­wei­ten­ana­ly­se. Wer ein­mal bei Face­book war oder ein Plug­in genutzt hat, der muss davon aus­ge­hen, dass er von dem Unter­neh­men zwei Jah­re lang getrackt wird. Bei Face­book wird eine umfas­sen­de per­sön­li­che, bei Mit­glie­dern sogar eine per­so­ni­fi­zier­te Pro­fil­bil­dung vor­ge­nom­men. Die­se Abläu­fe ver­sto­ßen gegen deut­sches und euro­päi­sches Daten­schutz­recht. Es erfolgt kei­ne hin­rei­chen­de Infor­ma­ti­on der betrof­fe­nen Nut­ze­rin­nen und Nut­zer; die­sen wird kein Wahl­recht zuge­stan­den; die For­mu­lie­run­gen in den Nut­zungs­be­din­gun­gen und Daten­schutz­richt­li­ni­en von Face­book genü­gen nicht annä­hernd den recht­li­chen Anfor­de­run­gen an geset­zes­kon­for­me Hin­wei­se, an wirk­sa­me Daten­schutz­ein­wil­li­gun­gen und an all­ge­mei­ne Geschäftsbedingungen.”

Das Ulti­ma­tum

Bis Ende Sep­tem­ber 2011 haben Web­sei­ten­be­trei­ber aus Schles­wig-Hol­stein nun Zeit, die ent­spre­chen­den Diens­te auf ihren eige­nen Web­sei­ten zu deak­ti­vie­ren und damit die unrecht­mä­ßi­ge Daten­wei­ter­ga­be an Face­book ein­zu­stel­len. Das ULD weist dar­auf hin, wei­ter­ge­hen­de Maß­nah­men zu ergrei­fen für den Fall des Zuwi­der­han­delns — bis hin zu mög­li­chen 50.000 EUR Buß­geld aus dem TMG (Tele­me­di­en­ge­setz).

„Das ULD weist schon seit län­ge­rem infor­mell dar­auf hin, dass vie­le Face­book-Ange­bo­te rechts­wid­rig sind. Dies hat lei­der bis­her weni­ge Betrei­ber dar­an gehin­dert, die Ange­bo­te in Anspruch zu neh­men, zumal die­se ein­fach zu instal­lie­ren und unent­gelt­lich zu nut­zen sind. Hier­zu gehört ins­be­son­de­re die für Wer­be­zwe­cke aus­sa­ge­kräf­ti­ge Reich­wei­ten­ana­ly­se. Gezahlt wird mit den Daten der Nut­zen­den. Mit Hil­fe die­ser Daten hat Face­book inzwi­schen welt­weit einen geschätz­ten Markt­wert von über 50 Mrd. Dol­lar erreicht. Allen Stel­len muss klar sein, dass sie ihre daten­schutz­recht­li­che Ver­ant­wort­lich­keit nicht auf das Unter­neh­men Face­book, das in Deutsch­land kei­nen Sitz hat, und auch nicht auf die Nut­ze­rin­nen und Nut­zer abschie­ben kön­nen.“Wei­ter­le­sen »ULD stellt Web­sei­ten­be­trei­bern Ulti­ma­tum — Social Plug­ins von Face­book müs­sen weg (Update 2)

Die mobile Version verlassen