Zum Inhalt springen

Landesdatenschutzbehörde

Daten­schutz­auf­sicht: Zen­tral oder dezentral?

Unser Berufs­ver­band der Daten­schutz­be­auf­trag­ten Deutsch­land (BvD) e.V. rich­tet heu­te, am 17.09.2020 eine sehr inter­es­san­te Ver­an­stal­tung aus mit dem Titel “Föde­ral oder zen­tral – Wie sieht die Zukunft der Daten­schutz­auf­sicht aus?”. Auf­grund der aktu­el­len Gege­ben­hei­ten rund um Coro­na kann die Ver­an­stal­tung mit­tels Live-Stream mit­ver­folgt wer­den und zwar unter der URL https://​www​.bvd​net​.de/​a​u​f​s​i​c​h​t​-​l​i​ve/

Vor dem Hin­ter­grund der Eva­lu­ie­rung des Bun­des­da­ten­schutz­ge­set­zes steht der Vor­schlag im Raum, die Daten­schutz­auf­sicht für Unter­neh­men zukünf­tig in eine zen­tra­le Hand zu legen statt auf 17 Auf­sichts­be­hör­den (16 Land, 1 Bund) wei­ter ver­teilt zu lassen.

Start ist um 15 Uhr und beson­ders inter­es­sant wird es bei den Bei­trä­gen ab 15:25 Uhr. “Stand­punk­te: Pro und Kon­tra Zen­tra­li­sie­rung” und “Erfah­run­gen aus der Daten­schutz­pra­xis”. Rein­schau­en bzw. Rein­hö­ren lohnt sich auf jeden Fall, wenn Ver­tre­ter der Lan­des­da­ten­schutz­be­hör­den auf Daten­schutz-Anwäl­te und Prak­ti­ker aus der Wirt­schaft tref­fen, um die Vor- und Nach­tei­le der aktu­ell facet­ten­rei­chen DSGVO Aus­le­gun­gen und Mei­nun­gen in den ver­schie­de­nen Bun­des­län­dern zu diskutieren.

Vor- und Nachteile

Wer wie wir auf­grund der Kun­den­struk­tur mit eigent­lich allen Lan­des­da­ten­schutz­be­hör­den zu tun hat, kann den Wunsch nach einer Zen­tra­li­sie­rung bzw. Ver­ein­heit­li­chung durch­aus nach­voll­zie­hen. Die nicht sel­te­ne weit gefä­cher­te und diver­gie­ren­de Aus­le­gung der DSGVO macht es nicht unbe­dingt leich­ter. Und selbst wenn es gemein­sa­me Stel­lung­nah­men z.B. im Zuge der DSK (Daten­schutz­kon­fe­renz) gibt, sind die­se gele­gent­lich so vage, dass die Bedeu­tung für die Umset­zungs­pra­xis durch­aus gegen Null stre­ben kann. Eine ein­heit­li­che Sicht­wei­se wäre hier durch­aus auch gegen­über Kun­den sehr hilf­reich. Es ist nicht immer leicht zu argu­men­tie­ren, war­um etwas in einem Bun­des­land ok ist, in einem ande­ren Bun­des­land von der Auf­sicht nicht ger­ne gese­hen wird. Ein pro­mi­nen­tes Bei­spiel sind die doch sehr abwei­chen­den Sicht­wei­sen zur Art und Wei­se der Durch­füh­rung einer Daten­schutz­fol­gen­ab­schät­zung (DSFA). Mitt­ler­wei­le haben sich hier gefühlt zwei Lager gebil­det, SDM vs. PIA. Ob man mit einer ande­ren Vor­ge­hens­wei­se aus Sicht der zustän­di­gen Lan­des­da­ten­schutz­be­hör­de alles rich­tig macht, wird die Zeit zeigen.

Ande­rer­seits hat und kennt man durch die dezen­tra­le Struk­tur sei­ne Ansprech­part­ner, die bei Anfra­gen oft zeit­nah und kom­pe­tent reagie­ren. Im Zuge einer Zen­tra­li­sie­rung müss­te durch aus­rei­chen­de per­so­nel­le Beset­zung die­se Bera­tungs­funk­ti­on auch zukünf­tig sicher­ge­stellt sein. Was einer­seits ein Nach­teil sein kann (unter­schied­li­che bis gegen­sätz­li­che Mei­nun­gen der Lan­des­da­ten­schutz­be­hör­den), stellt im Hin­blick auf Mei­nungs­viel­falt und Ideen für Umset­zungs­mög­lich­kei­ten ande­rer­seits durch­aus auch einen Vor­teil dar. Im Zuge einer Zen­tra­li­sie­rung wür­de dies ent­fal­len. Dann gibt es nur noch die eine Sicht­wei­se der zen­tra­len Instanz. Auch dies wäre dann erst mal eine Mei­nung, die ande­re Vor­ge­hens­wei­sen nicht zwin­gend aus­schlie­ßen wür­de, aber der Pool zur Aus­wahl oder Ent­wick­lung ande­rer Umset­zungs­mög­lich­kei­ten wäre stark redu­ziert bzw. nicht mehr vorhanden.

So haben bei­de Lösun­gen ein Für und Wider. Man darf auf die heu­ti­gen Dis­kus­sio­nen im Rah­men der Ver­an­stal­tung und im Hin­blick auf die wei­te­re Ent­wick­lung sehr gespannt sein. Schau­en Sie rein: https://​www​.bvd​net​.de/​a​u​f​s​i​c​h​t​-​l​i​ve/ Start 15 Uhr.

 

 

Gesund­heits­da­ten gehen an die Polizei

Nun auch Sach­sen-Anhalt — das Innen­mi­nis­te­ri­um wies die Gesund­heits­äm­ter an, per­so­nen­be­zo­ge­ne /​ Gesund­heits­da­ten aller Per­so­nen in Qua­ran­tä­ne den Poli­zei­be­hör­den zur Ver­fü­gung zu stel­len. Die Poli­zei erhielt somit per­so­nen­be­zo­ge­ne Daten über Coro­na-Infi­zier­te und Kontaktpersonen. 

Offen­le­gung durch par­la­men­ta­ri­sche Nach­fra­ge 

Aus den Rei­hen des Land­tags wur­de am 22.04.2020 die Ent­hül­lung bekannt, dass der Lan­des­in­nen­mi­nis­ter vom 27. bis 31.03.2020 eine Ver­pflich­tung zur Bereit­stel­lung der Daten für alle Per­so­nen in Qua­ran­tä­ne des Bun­des­lan­des ver­fügt habe. Seit­dem wür­den Gesund­heits­äm­ter „nach eige­nem Ermes­sen und im Ein­zel­fall“ Daten von Per­so­nen in Qua­ran­tä­ne an die Poli­zei über­mit­teln. Bis 09.04.2020 über 800 Fäl­le in Sach­sen-Anhalt — heißt es wei­ter in den zuge­hö­ri­gen Posts auf Twit­ter. Eine öffent­li­che Infor­ma­ti­on über die Maß­nah­me durch das Innen­mi­nis­te­ri­um zur Erfül­lung der DSGVO-gesetz­li­chen Trans­pa­renz­pflicht war lan­ge Zeit nicht erfolgt. Die kom­mu­ni­zier­ten Daten hät­ten Namen, Anschrif­ten, Geburts­da­ten, Wohn­or­te, Natio­na­li­tä­ten, Geschlech­ter sowie Beginn und Ende der behörd­lich defi­nier­ten Qua­ran­tä­ne umfasst. Die Über­mitt­lung, Ver­ar­bei­tung und Spei­che­rung auf Poli­zei­da­ten­ban­ken von Gesund­heits­da­ten sei „recht­lich pro­ble­ma­tisch“ und der Lan­des­be­auf­trag­te für den Daten­schutz sei the­ma­tisch zu invol­vie­ren. Wei­te­re ~130 sol­cher Über­mitt­lun­gen in Hal­le wur­den zunächst laut Anga­be der Stadt­ver­wal­tung wohl gar nicht erst gezählt. 

Recht­mä­ßig­keits­fra­ge bei der Ver­ar­bei­tung von Gesund­heits­da­ten 

Auf Anfra­ge hat­te das Lan­des­in­nen­mi­nis­te­ri­um gegen­über netz​po​li​tik​.org geleug­net, dass es der­lei Gesund­heits­da­ten­über­mitt­lun­gen an die Poli­zei gege­ben hat­te. Spä­ter wur­de bekannt, dass Gesund­heits- /​ per­so­nen­be­zo­ge­ne Daten auf der Fahn­dungs­da­ten­bank des Lan­des­kri­mi­nal­amts gespei­chert wur­den. Zu direk­ten Anfra­gen von netz​po​li​tik​.org sei sei­tens der Poli­zei nicht Stel­lung genom­men wor­den. Der Erlass sei dem Lan­des­da­ten­schutz­be­auf­trag­tes Sach­sen-Anhalts erst auf Nach­fra­ge zur Ver­fü­gung gestellt wor­den, den die­ser am 31.03.2020 für rechts­wid­rig erklärt habe. In sei­ner Haut möch­te man jetzt eher nicht ste­cken. Aus DSB-Sicht stellt sich aller­dings die Fra­ge, aus wel­chem Grund kei­ne Vor­ab­in­for­ma­ti­on erfolg­te und kei­ne Daten­schutz­fol­ge­ab­schät­zung in fach­li­cher Abstim­mung mit dem Lan­des-DSB durch­ge­führt wor­den ist. l 

Pau­scha­le Über­mitt­lung von Gesund­heits­da­ten in diver­sen Bun­des­län­dern 

Auch in ande­ren Bun­des­län­dern wur­den Daten­über­mitt­lun­gen von Infi­zier­ten und Kon­takt­per­so­nen ein­ge­führt. Offi­zi­ell sei Ziel der Maß­nah­me die Über­wa­chung der Ein­hal­tung der Qua­ran­tä­ne und Schutz der Polizeibeamten. 

Nach uns vor­lie­gen­den Infor­ma­tio­nen erklär­te auch die nie­der­säch­si­sche Daten­schutz­be­auf­trag­te Bar­ba­ra Thiel die Maß­nah­me für ihr Bun­des­land als rechts­wid­rig. Aller­dings hielt die Lan­des­re­gie­rung an den Daten­über­mitt­lun­gen fest. 

Die umstrit­te­ne Pra­xis wur­de auch in wei­te­ren Bun­des­län­dern ein­ge­führt. In Fol­ge vehe­men­ter Pro­tes­te wur­de die­se in Bre­men auf­ge­ho­ben. In Baden-Würt­tem­berg wird eine DSGVO kon­for­me Ver­ord­nung zur Daten­über­mitt­lung posi­tiv erwar­tet. In Meck­len­burg-Vor­pom­mern wur­de das Pro­ce­de­re modi­fi­ziert. Hier wird bei der Über­mitt­lung der Gesund­heits­da­ten nun auf den Bedarfs­fall abge­stellt. Fer­ner soll nun die Vor­ga­be sein, die Daten anony­mi­siert und ver­schlüs­selt an einen defi­nier­ten Per­so­nen­kreis im Poli­zei­dienst zu über­mit­teln. Es ist begrü­ßens­wert, dass die tra­gen­den Stan­dards in der Infor­ma­ti­ons­si­cher­heit neben den Daten­schutz­an­for­de­run­gen auch bei die­sem The­ma suk­zes­si­ve Berück­sich­ti­gung finden. 

Coro­na Präven­ti­on und die Ver­ar­bei­tung von Gesund­heits­da­ten 

Es besteht ein gro­ßes Span­nungs­feld zwi­schen Daten­schutz /​ Grund­rech­ten und einer effek­ti­ven Pan­de­mie­be­kämp­fung. Dass Men­schen und Pfle­ge­per­so­nal, der öffent­li­che Dienst und ande­re Arbeits­kräf­te mit not­wen­di­gem Publi­kums­kon­takt des Schut­zes bedür­fen, steht völ­lig außer Fra­ge. Aller­dings kann als auf­fäl­lig bezeich­net wer­den, dass gera­de in sol­chen grenz­wer­ti­gen Maß­nah­men der Dia­log mit den Daten­schutz­be­hör­den und auch den behörd­li­chen Daten­schutz­be­auf­trag­ten aktiv ver­mie­den wird. Gera­de in sol­chen Zei­ten darf erwar­tet wer­den, dass man sich zwecks ganz­heit­li­cher Kri­sen­be­wäl­ti­gung bereichs­über­grei­fend abstimmt. So kann dafür Sor­ge getra­gen wer­den, dass die Ver­ar­bei­tun­gen und Über­mitt­lun­gen der Behör­den den zwin­gend erfor­der­li­chen, zeit­ge­mä­ßen Vor­ga­ben des Daten­schut­zes sowie der Infor­ma­ti­ons­si­cher­heit /​ IT-Sicher­heit genügen. 

Na dann wer­ben wir mal

Einen Satz, den ich in der Pra­xis gele­gent­lich zu hören bekom­me — oder zumin­dest auf die dahin­ter­ste­hen­de Grund­hal­tung bei Wer­be­maß­nah­men oft auf­grund Unkennt­nis sto­ße. Adreß­da­ten lie­gen zuhauf im Unter­neh­men vor, Quel­le und zuläs­si­ger Ein­satz­zweck nicht zwin­gend bekannt. Unter­schei­dungs­merk­ma­le zwi­schen Pri­vat- oder Geschäfts­adres­sen ad hoc nicht mög­lich, eine Klas­si­fi­zie­rung ob per­so­nen­be­zo­gen oder nicht liegt nicht vor.

Nach dem Prin­zip “Augen zu und durch” wer­den sol­che Daten­be­stän­de der inter­nen oder exter­nen Wer­be­ma­schi­ne­rie zuge­führt. Die Quittung(en) lie­gen meist schnell auf dem Tisch. Beschwer­den tele­fo­nisch oder per Email von “pri­va­ten” Betrof­fe­nen, Anfra­gen der zustän­di­gen Lan­des­da­ten­schutz­be­hör­de auf­grund dort ein­ge­gan­ge­ner Beschwer­den und wenn nebem dem BDSG (Bun­des­da­ten­schutz­ge­setz) auch das UWG (Gesetz gegen den unlau­te­ren Wett­be­werb) betrof­fen ist, kost­spie­le­ge Abmah­nun­gen als Folge.

Die Crux an Wer­bung ist, es gilt nicht nur eines, son­dern gleich meh­re­re Geset­ze zu prü­fen und ein­zu­hal­ten. Und nicht immer sind die Abgren­zun­gen klar, was wie wo gilt je nach Art der Aus­sendung und des zu bewer­ben­den Ange­spro­che­nen. Die­sem Umstand trägt der Düs­sel­dor­fer Kreis (als Zen­tral­or­gan der Lan­des­da­ten­schutz­be­hör­den) mit sei­ner Ver­öf­fent­li­chung mit Stand Dezem­ber 2013 Rechnung

“Anwen­dungs­hin­wei­se der Daten­schutz­auf­sichts­be­hör­den zur Erhe­bung, Ver­ar­bei­tung und Nut­zung von per­so­nen­be­zo­ge­nen Daten für werb­li­che Zwecke”

Das zwölf­sei­ti­ge Doku­ment kann als PDF her­un­ter­ge­la­den wer­den und ist das Ergeb­nis einer Arbeits­grup­pe “Wer­bung und Adress­han­del”, die das Baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht betreut hat. Im Fokus steht die prak­ti­sche Umset­zung des § 28 BDSG.

Neben Hin­wei­sen zur Defi­ni­ti­on und zum Umgang mit Lis­ten­da­ten wird auch der Aspekt beleuch­tet, wie zu ver­fah­ren ist, wenn im Rah­men von B2B Wer­bung per­so­nen­be­zo­ge­ne Daten ange­spro­chen wer­den sol­len. Das The­ma Freund­schafts­wer­bung wird kri­tisch beleuch­tet (und abschlie­ßend mit feh­len­der daten­schutz­recht­li­cher Grund­la­ge bewer­tet), aber auch die not­wen­di­ge Ein­wil­li­gung wird prä­zi­siert, sogar im Hin­blick auf ihr Verfallsdatum.

 

 

Etap­pen­sieg für Face­book: Klar­na­men­pflicht bleibt bestehen

Das Ver­wal­tungs­ge­richt Schles­wig hat ent­schie­den: die Klar­na­men­pflicht für Face­book-Nut­zer aus Deutsch­land bleibt (vor­erst) bestehen! Das Unab­hän­gi­ge Lan­des­da­ten­schutz­zen­trum Schles­wig-Hol­stein (ULD)  hat­te gegen die­se Ver­pflich­tung geklagt.  Dem­nach wäre eine Pseud­ony­mi­sie­rung der Nut­zer­na­men auf­grund deut­scher Rechts­vor­schrif­ten not­wen­dig. Deut­sches Recht sei anzu­wen­den, da Face­book eine GmbH mit Sitz in Ham­burg habe.

Das Gericht ist der Argu­men­ta­ti­on des ULD nicht gefolgt. Nach des­sen Sicht­wei­se sei die euro­päi­sche Nie­der­las­sung in Irland aus­schlag­ge­bend und somit gel­te iri­sches Recht. Damit stell­te das Gericht gene­rell die Zustän­dig­keit deut­scher Daten­schutz­be­hör­den in Fra­ge. Das iri­sche Daten­schutz­recht kennt kein sol­ches Anrecht auf Pseudonyme.

Thi­lo Wei­chert, Lei­ter des ULD zeigt sich über­rascht: “Die Ent­schei­dun­gen sind mehr als ver­blüf­fend und gehen in der Argu­men­ta­ti­on über das Vor­brin­gen von Face­book hin­aus, das die Nicht­an­wend­bar­keit des deut­schen Daten­schutz­rech­tes damit begrün­de­te, Face­book Inc. in den USA sei nur der Auf­trags­da­ten­ver­ar­bei­ter der Face­book Ire­land Ltd. Sie sind in sich wider­sprüch­lich, wenn sie die feh­len­de recht­li­che Rele­vanz von Face­book Ger­ma­ny damit erklä­ren, dass dort kei­ne Daten ver­ar­bei­tet wür­den, zugleich aber das Unter­neh­men in Irland für zustän­dig erklä­ren, obwohl dort auch kei­ne Daten ver­ar­bei­tet wer­den.” Die Ent­schei­dung sei auch im Hin­blick auf das euro­päi­sche Daten­schutz­recht wenig nachvollziehbar.

Quel­le:

 

“Anwen­dungs­hin­wei­se zur Erhe­bung, Ver­ar­bei­tung und Nut­zung von per­so­nen­be­zo­ge­nen Daten für werb­li­che Zwe­cke” veröffentlicht

Das baye­ri­sche Lan­des­amt für Daten­schutz­auf­sicht hat einen Leit­fa­den für Wer­be­trei­ben­de als PDF ver­öf­fent­licht. Im Vor­wort heißt es hierzu:

“Der Düs­sel­dor­fer Kreis als Gre­mi­um der Daten­schutz­auf­sichts­be­hör­den nach § 38 BDSG hat­te eine Ad-hoc-Arbeits­grup­pe “Wer­bung und Adress­han­del” unter Lei­tung des Baye­ri­schen Lan­des­amts für Daten­schutz­auf­sicht ein­ge­rich­tet und die­se mit der Erar­bei­tung von Anwen­dungs­hin­wei­sen zu den BDSG-Rege­lun­gen für den werb­li­chen Umgang mit per­so­nen­be­zo­ge­nen Daten beauf­tragt. In einer Sit­zung und im schrift­li­chen Aus­tausch wur­den Anwen­dungs­hin­wei­se for­mu­liert, die ‑soweit sie ein­stim­mig oder von einer gro­ßen Mehr­heit mit­ge­tra­gen wer­den- nach­ste­hend abge­druckt sind.”

Die­ser Leit­fa­den ist auf­grund sei­nes Ursprungs im Düs­sel­dor­fer Kreis in sei­ner Anwen­dung nicht auf  Bay­ern beschränkt. Die Lek­tü­re emp­fiehlt sich bun­des­weit für Wer­be­trei­ben­de aller Bran­chen und Richtungen.

The­men­aus­zug:

  • Lis­ten­pri­vi­leg
  • Ein­wil­li­gung
  • Nut­zungs­dau­er /​ Ver­falls­da­tum
  • Anrei­chern mit wei­te­ren Informationen
  • Trans­pa­renz­ge­bot
  • Quel­len­an­ga­be
  • Wider­spruchs­hin­weis
  • Dou­ble Opt-In für Newsletter-Anmeldungen
  • Gewinn­spie­le
  • und vie­le mehr

Zum Down­load

 

 

Jetzt auch in Nord­rhein-West­fa­len: Web­sei­ten­be­trei­ber erhal­ten Post wegen Ein­satz von Goog­le Analytics

Nach­dem gera­de die baye­ri­sche Lan­des­da­ten­schutz­be­hör­de offi­zi­ell das Vor­ge­hen gegen baye­ri­sche Unter­neh­mens­web­sei­ten mit nicht kor­rekt umge­setz­ten Goog­le Ana­ly­tics Instal­la­tio­nen kund­ge­tan hat, ver­sen­det nun auch die Lan­des­da­ten­schutz­be­hör­de Nord­rhein-Wets­fa­len ers­te Anschrei­ben. Im Visier: Unter­neh­men mit Sitz im Bun­des­land und einem Web­auf­tritt der als Track­ing Tool das belieb­te Goog­le Ana­ly­tics einsetzt.

Den ange­schrie­be­nen Unter­neh­men wird aus­führ­lich die recht­li­che Grund­la­ge erklärt und die lt. Behör­de kor­rek­te Ein­satz­wei­se des Tools dar­ge­stellt. Ein mehr­sei­ti­ger Fra­ge­bo­gen samt Bestä­ti­gung des Unter­neh­mens über den nun kor­ri­gier­ten und bean­stan­dungs­frei­en Ein­satz von Goog­le Ana­ly­tics ist bei­gefügt und inner­halb einer ange­mes­se­nen Frist aus­ge­füllt und unter­schrie­ben zurückzusenden.

Unse­re Emp­feh­lung: neh­men Sie die­ses Schrei­ben ernst und reagie­ren ange­mes­sen und zeit­nah. Die Buß­gel­der für den nicht kor­rek­ten Ein­satz des Tools sowie auf eine feh­len­de oder falsch erteil­te Rück­aus­kunft sind in dem Schrei­ben gleich benannt.

Die ein­fachs­te Lösung: stel­len Sie doch gleich auf das Open Source Tool PIWIK um. Die­ses steht Goog­le Ana­ly­tics als rei­nes Track­ing Tool in nichts nach und es gibt eine ein­fa­che Schritt für Schritt Anlei­tung, wie es rechts­si­cher instal­liert und kon­fi­gu­riert wird. Eine Anlei­tung fin­den Sie auch hier im Blog.

Im Zwei­fel fra­gen Sie doch ein­fach Ihren exter­nen Daten­schutz­be­auf­trag­ten. Sie haben kei­nen? Dann ist mög­li­cher­wei­se Zeit zum Han­deln, falls die gesetz­li­che Bestell­pflicht für Ihr Unter­neh­men vor­liegt. Sonst droht das nächs­te Unge­mach in Form von Buß­gel­dern. For­dern Sie doch ein­fach und schnell Ihr unver­bind­li­ches Ange­bot an.

Die mobile Version verlassen