Im Erwägungsgrund 63 der DSGVO heißt es wortwörtlich:

 „Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.“ 

Dieser Absatz fasst im Grunde genommen das Wesen des Auskunftsrechtes perfekt zusammen. 

Eine betroffene Person kann von dem Verantwortlichen eine Bestätigung darüber verlangen, ob er personenbezogene Daten von ihm verarbeitet. Ist dies nicht der Fall, weil bspw. der Verantwortliche keine Daten gespeichert hat oder alle Daten bereits gelöscht hat, so hat er trotzdem dem Betroffenen eine Auskunft zu erteilen. Diese Negativauskunft ist auch dann erforderlich, wenn der Verantwortliche über unwiderruflich anonymisierte personenbezogene Daten verfügt. 

Wenn jedoch Daten verarbeitet werden, darf die betroffene Person konkrete Auskünfte darüber verlangen, was verarbeitet wird. 

Der Antrag der betroffenen Person ist vollkommen formfrei. Das bedeutet, dass man mündlich sowie schriftlich den Antrag einbringen kann. Inhaltliche Anforderungen sind der DSGVO auch nicht zu entnehmen, jedoch ist man gut beraten, wenn einige Inhalte wie z.B. Name verständlich wiedergegeben sind, damit der Verantwortliche das Verfahren effizient und rasch bearbeitet kann. Der Antrag und seine Bearbeitung unterliegen dem Beantwortungs- und Beschleunigungsgebot des Art. 12 DSGVO. Der Verantwortliche hat grundsätzlich 1 Monat Zeit das Verfahren abzuschließen und dem Betroffenen das Ergebnis zu präsentieren – unterlassene oder unentschuldigt verspätete Antworten sind mit hohen Strafen bedroht, gem Art. 83 mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes! Weiters ist festzuhalten, dass Auskünfte unentgeltlich zu erfolgen haben. Übertreiben Sie es aber nicht, da beim Missbrauch Entgelte anfallen dürfen. 

Jetzt stellt sich nur noch die Frage: Wie kommen Sie schnell und unkompliziert zu Ihrer Auskunft? Es gibt tatsächlich bereits einige Online-Tools, welche die meiste Arbeit übernehmen. Ein Beispiel haben wir in einem früheren Blog genannt – selbstauskunft.net. Das Portal ermöglicht es Ihnen mit wenigen Klicks automatische Anschreiben zu erstellen, sodass Ihre einzige Aufgabe darin besteht, das Dokument abzuschicken. Jedoch ist auch die manuelle Methode – ohne Tool – nicht viel komplizierter. Im Urteil des LArbG Baden-Württemberg vom 17.3.2021, 21 Sa 43/20, hat das Gericht festgestellt, dass ein Antrag auf Auskunft bereits dann hinreichend bestimmt ist, wenn der Antragsteller mitteilt, welche Informationen er für welche Kategorien von personenbezogenen Daten begehrt. Dies ändert jedoch nichts daran, dass Sie insoweit auf die Form achten müssen, als sie der Verantwortliche Sie möglichst sicher identifizieren kann, damit er die gewünschten Informationen nicht an eine falsche Person schickt. Ergänzen Sie daher Ihr Ansuchen mit Ihren vollständigen Absenderangaben, ggf. mit Ihrer Kundennummer oder anderen Angaben, die eine sichere Identifizierung Ihrer Person ermöglichen.

Fazit: Das Auskunftsrecht ist ein grandioses Werkzeug. Die DSGVO sieht für Sie als

betroffene Person kaum Formvorschriften vor, sodass Sie das Ansuchen meist unkompliziert und rasch entsenden können. Sie können auch ganz simplen Online-Tools nutzen, um Musterbriefe für die gängigsten Unternehmen zu erstellen, wodurch ihr Aufwand nochmal geschmälert wird. Ob Daten gespeichert bzw. verarbeitet werden ist Interessant, jedoch ist viel wichtiger was verarbeitet wird. Insbesondere können sich falsche Daten schlecht auf Ihre Lebensqualität auswirken! Deswegen unser Rat an Sie – Nutzen Sie Ihr Recht! 

Haben Sie Ihr Auskunftsrecht bereits benutzt? Wir sind auf Ihre Erfahrungen gespannt – schreiben Sie es in die Kommentare!

Um die Einhaltung der DSGVO nachzuweisen, muss jeder Verantwortliche gemäß Art. 30  (1) DSGVO ein sog. Verzeichnis der Verarbeitungstätigkeiten führen. In diesem Verzeichnis sind alle Verarbeitungen, bei denen personenbezogene Daten verarbeitet werden, zu dokumentieren. Die Dokumentation kann entweder schriftlich oder elektronisch geführt werden. Es ist jedoch relevant, dass das Verzeichnis vollständig ist, heißt dass alle Verarbeitungstätigkeiten aufgelistet sind, damit man im Ernstfall, auf Verlangen der Behörden, die Liste vorlegen kann. Wie es für die DSGVO üblich ist, führen Verstöße zu hohen Geldstrafen – gem. Art. 83 DSGVO bis zu 10 Mio. EUR oder bis zu 2 % des Jahresumsatzes.

Grundsätzlich sind alle Verantwortlichen iSd. DSGVO zur Erstellung verpflichtet. Ausgenommen von der Pflicht sind Unternehmen, die weniger als 250 Mitarbeiter beschäftigen, wenn das Unternehmen nicht regelmäßig Daten oder sensitive Daten nach Art. 9 DSGVO (z.B. Gesundheitsdaten) verarbeitet oder sonstige Datenschutzrisiken für Rechte und Freiheiten der betroffenen Personen bestehen. Kurz gesagt – die Ausnahme ist so nützlich wie ein Ventilator in der Hölle und sollte schnell vergessen werden.

Die nachfolgende kurze Liste soll alle wichtige Punkte auflisten, die Sie bei der Erstellung  Ihrer Dokumentation von Verarbeitungstätigkeiten beachten sollten.

• Namen und Kontaktdaten des Verantwortlichen
• Die Zwecke der Verarbeitung z.B. Marketingzwecke, Personalbeschaffung
• Eine Beschreibung der Kategorien von Betroffenen und deren personenbezogenen Daten z.B. Adressdaten von Kunden, Lebensläufe von Bewerbern
• Kategorien von möglichen Empfängern der Daten z.B. der Steuerberater der Firma, der Betriebsrat
• Informationen zur Übermittlung in Drittstaaten z.B. Schweiz oder andere nicht EU-Länder oder keine
• Vorgesehene Löschungsfristen für die verarbeiteten Daten z.B. bis zu 8 Monate nach Beendigung des Bewerbungsverfahrens 
• Wenn möglich eine Beschreibung der technischen und organisatorischen Maßnahmen – TOMs – hier am besten auf das Sicherheitskonzept verweisen
• Die Rechtsgrundlage der Verarbeitung, also z.B. aufgrund eines Vertrages, der Einwilligung usw. 

Fazit: Man kommt als Unternehmer nicht drum herum ein Verzeichnis von Verarbeitungstätigkeiten zu führen – die Ausnahmen von der Pflicht sind zu dünn. ABER das ist wie man sehen kann, gar kein Problem. Eine Excel Datei mit den nötigen Daten ist schnell erstellt und ihre Aktualisierung bedarf insbesondere für kleinere Unternehmen keinen gröberen Zeit- oder Personalaufwand. Datenschutz ist ohne ein gut strukturiertes VVT nicht möglich, deswegen spricht vieles dafür auf die Qualität zu achten. 

Haben Sie bereits Erfahrungen mit dem Thema Verzeichnis von Verarbeitungstätigkeiten gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen und uns gegenseitig helfen! 

Was sind Standardvertragsklauseln?

Vereinfacht gesagt handelt es sich hierbei um vorformulierte Vertragsklauseln. 

Diese benötigt man immer dann, wenn personenbezogene Daten zur Verarbeitung in einem Drittland exportiert werden und keine andere Garantien vorliegen. Innerhalb der Union reicht in der Regel ein sog. Auftragsverarbeitervertrag gem. Art 28. DSGVO – kurz AVV – aus. Möchte man jedoch mit einem Geschäftspartner aus dem EU-Ausland einen AVV abschließen, gilt es einige Punkte zu beachten. Die DSGVO spricht hier selbst von geeigneten Garantien. Diese sollen sicherstellen, dass der Geschäftspartner im Drittland ebenso sorgfältig mit personenbezogenen Daten umgeht, wie ein Partner aus der Union. Manche Länder werden mittels eines Angemessenheitsbeschlusses als „sicher“ eingestuft. Solche Länder wie bspw. Schweiz, Japan, seit neuestem UK etc. werden als Unionsländer behandelt. Hat der Geschäftspartner jedoch seinen Sitz in einem Land, in dem ein Beschluss nicht vorliegt (bspw. USA), kommen die Standardvertragsklauseln – SCC –  ins Spiel. Diese vorformulierten Verträge sind individuell abzuschließen. Jedoch werden der Privatautonomie Schranken gesetzt – grobe Awngeichungen vom Text sind nicht gestattet. Insbesondere können die sog. TOMs (Technisch und/oder organisatorischen Maßnahmen) selber beschloßen werden. Eine technische Maßnahme wäre z.B. das Einrichten eines VPN Zugangs im Betrieb. Dagegen eine organisatorische Maßnahme, die Weisung, dass alle Mitarbeiter diesen VPN Zugang verwenden müssen. Die SCC sind somit geeignete Garantien, wodurch den Abschluss eines AVV nichts im Wege steht.

Was ist neu? 

Die neuen SCC sind weiterhin generisch, jedoch um einiges intelligenter. Weitreichende Lücken wurden geschlossen. Die Kommission setzt bei den Neuen auf ein modulares System. Die Gliederung setzt sich wie folgt zusammen: Genereller Teil, Modul Eins – Übermittlung von Verantwortlichen an Verantwortliche, Modul Zwei – Übermittlung von Verantwortlichen an Auftragsverarbeiter, Modul Drei – Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter und die spezifischen Teile. Des Weiteren hat die Kommission „Schrems II“ berücksichtigt. Demnach sind personenbezogen Daten nur auf dem Rechtsweg auszuhändigen. Das bedeutet bspw. eine US-Behörde könnte nicht einfach Facebook um Daten bitten, sondern müsste diese zuerst gerichtlich einfordern. Eine weitere Sicherheitsstufe wurde mit der sog. Transfer Risk Assessment – Einzelfallprüfung – gesetzt. Hierbei obliegt es dem Verantwortlichen zu überprüfen, ob der Dienstleister notwendige Maßnahmen ergriffen hat (bspw. TOMs) um ein ausreichendes Schutzniveau zu garantieren. 

Welche Übergangsfristen gelten nun und was bedeutet das für mich als Unternehmer? 

Die neuen SCC sind grundsätzlich mit sofortiger Wirkung anzuwenden. Neue Verträge sind aufgrund dieser abzuschließen. Jedoch hat die Kommission eine großzügige Übergangsfrist vorgesehen. Verträge, die nach den alten SCC abgeschlossen wurden, gelten bis einschließlich den 27. Dezember 2022. Spätestens da obliegt es Unternehmern ihre Klauseln zu aktualisieren. Es ist rechtlich zulässig, die AGBs zu erneuern oder die neuen SCC als Vertragsinhalt im Servicevertrag aufzunehmen. 

Für Unternehmer ist es jetzt wichtig, alle bekannten Dienstleister aufzulisten. Dabei soll beachtet werden, welche Partner im EU-Ausland ihren Sitz haben und mit welchen einen SCC abgeschlossen wurde. Diese sind bis zum 27. Dezember 2022 zu kontaktieren und die Verträge zu erneuern. 

Aktuelles Live-Webinar zu diesem Thema

Gerne geben wir Ihnen einen tieferen Einblick in diese Thematik. Diesbezüglich veranstalten wir am 22.07.2021 um 14 Uhr ein Live-Webinar. Die Teilnahme ist begrenzt, daher melden Sie sich bei Interesse schnell an und schicken  eine kurze Mail an die karriere@dsgvo-navigator.eu

Wir freuen uns auf einen spannenden Austausch.

Haben Sie bereits Erfahrungen mit dem Thema Standardvertragsklauseln gemacht? Unter welchen Herausforderungen standen Sie dabei? Schreiben Sie es in die Kommentare, als Community können wir voneinander lernen!

Photo Credit: Twenty20

Datenschutzrechtlich problematisch wird es, wenn Kinder und Jugendliche nicht frühzeitig den Umgang mit personenbezogenen Daten lernen. Cybermobbing ist zweifelsfrei auch ein datenschutzrechtliches Thema, etwa dann, wenn persönliche Informationen wie z.B. Krankheiten oder Adressdaten preisgegeben werden oder Fotos der Betroffenen wahllos an andere geschickt werden. Die Kinder und Jugendlichen begehen hier bereits umfassende Datenschutzverstöße, ohne sich über die Reichweite bewusst zu sein, ohne echte Konsequenzen fürchten zu müssen.

Es muss stärker auf diese Themen geachtet werden

Folgen keine Konsequenzen aus dem Mobbing, so steigt also das Risiko, später Datenmissbräuche zu begehen. Die Eltern sind daher in der Pflicht, sich zu informieren und ihre Kinder frühzeitig über den Umgang mit sensiblen Daten vertraut zu machen, um die Konsequenzen aufzeigen zu können. Nicht zuletzt müssen auch die Schulen ihre Beratungsangebote ausweiten und das Thema Datenschutz in den Schulalltag integrieren und für das Thema zu sensibilisieren.

Ob die Abwärtsspirale hinsichtlich Cybermobbings jedoch aufgehalten werden kann, ist stark zu bezweifeln. Wie kann diese Entwicklung wirksam aufgehalten werden? Was ist Ihrer Meinung nach zu unternehmen, um die Betroffenen vor Cybermobbing zu schützen und Täter angemessen zu sanktionieren?

Schreiben Sie es in die Kommentare. Als Community können wir voneinander lernen.

Aktuell steht Clubhouse beim Thema Datenschutz im Fokus der Behörden

Aktuell gerät die App zunehmend wegen Datenschutzbedenken in die Kritik. Die App soll unrechtmäßig Daten von Personen erheben, die die App nicht verwenden. Sie fordert den Zugriff auf die Kontaktliste des Smartphones, sobald jemand einen Invite an seine Kontakte schicken will. Die App registriert dabei, welche Mobilfunknummern von aktiven Nutzern bereits geteilt wurden. Häufige Nummern, werden somit in der Vorschlagsliste der App weiter oben angezeigt, da die Wahrscheinlichkeit eines Beitritts zur App bei diesen Kontakten der App am wahrscheinlichsten scheint.

Die Daten werden zudem auf US-Servern gespeichert und somit dort verarbeitet. Die Datenschutzerklärung ist nur auf Englisch verfügbar und ein Verantwortlicher für die Datenverarbeitung ist auch nicht benannt, auch wurde kein Impressum veröffentlicht. Die Aufklärung der Nutzer über ihre Rechte seien damit nicht ausreichend, wohingegen die Rechte des Anbieters zu weit gehen. Die Gespräche, die in der App stattfinden, werden aufgezeichnet, jedoch soll eine Auswertung der Gespräche nur zu Beweiszwecken eingesetzt werden. Die Gespräche werden gelöscht, wenn ein Chatraum ohne eine Beschwerde über Nutzer geschlossen wurde. Der Nutzer erteilt zwar seine Einwilligung zu der Aufzeichnung, jedoch folgt der Hinweis dazu erst in den AGB und nicht bereits in Anmeldeformular. Zudem dürfen die Daten von Clubhouse zu Werbezwecken genutzt und an Dritte weitergegeben werden.

Die Verbraucherzentrale Bundesverband (vzbv) hat Alpha Exploration Co. bereits abgemahnt. Auch die Stiftung Warentest erkannte gravierende Datenschutzverstöße.

Wie stehen Sie zu der vorgebrachten Kritik an der App? Finden Sie die Bedenken überzogen und würden Sie eine solche App noch mit einem guten Gefühl nutzen? Schreiben Sie es in die Kommentare. Als Community können wir voneinander lernen.

Gleichwertiger Schutz in Drittländern ist Voraussetzung

Mit der Entscheidung in der Sache „Schrems II“ (Urteil vom 16.07.2020, AZ: C-311/18) hat der EuGH klargestellt, dass personenbezogene Daten von EU-Bürgern nur dann an Drittländer außerhalb des europäischen Wirtschaftsraumes übermittelt werden dürfen, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der EU. Dabei wurde das sog. Privacy Shield, eine Vereinbarung über den Datenaustausch zwischen Europa und den USA, (EU-Durchführungsbeschluss 2016/1250) für unwirksam erklärt. Die darin geregelten Schutzmaßnahmen führen nach Ansicht der Richter nicht zu einem gleichwertigen Schutz und es fehlen ausreichende Rechtsschutzmöglichkeiten.

Die Standardvertragsklauseln der EU (Beschluss der Kommission vom 05.02.2010, 2010/87/EU) werden jedoch aufrechterhalten. Unternehmen können sich daher beim Datentransfer grundsätzlich auf diese Klauseln stützen. Diese enthalten nämlich Regelungen, die den Datenempfänger im Drittland auf das in der EU verlangte Schutzniveau verpflichten. Jedoch muss hier geprüft werden, ob die Standardvertragsklausen im Hinblick auf das Recht des Drittlands überhaupt einen angemessenen Schutz gewährleisten können. Dies zu prüfen ist Aufgabe des Datenübermittlers.

Bei der Datenübermittlung in ein Drittland ist der Datenempfänger auf die Standardvertragsklauseln zu verpflichten. Zusätzlich wird eine Auseinandersetzung mit den Regelungen des Drittlands unausweichlich. Sofern das Schutzniveau der EU nicht erreicht werden kann, sind zusätzliche Maßnahmen notwendig. Dabei können technische, organisatorische oder vertragliche Maßnahmen ergriffen werden, um ein angemessenes Schutzniveau zu erreichen.

Unternehmen wird daher empfohlen, ihre Datentransfers kritisch zu überprüfen und die weiteren Entwicklungen zu beobachten.

Haben Sie Beispiele für Maßnahmen, die ergriffen werden sollten, damit auf jeden Fall ein ausreichender Schutz gewährleistet wird? Teilen Sie diese in den Kommentaren. So können wir als Community gegenseitig von einander lernen.

Ihr Julius S. Schoor

Das Urteil des BGH v. 28.05.2020 („Cookie-Einwilligung II“) bestätigt das recht umstrittene Cookie-Urteil des EuGH v. 01.10.2020 und schafft nun endgültige Klarheit!

Ein Opt-out reicht nun nicht mehr für ein legales Tracking! Der Webseitenbesucher muss aktiv einwilligen!

Genau zwei Jahre nach Geltung der DSGVO entschied jetzt der BGH letztinstanzlich über die rechtswidrige Praxis von „Planet 49“, ein „Unterlassen“ des Webseitenbesuchers als eine Einwilligung im Sinne des Datenschutzrechts auszulegen.

Konkret ging es darum, dass der Webseitenbetreiber gerade nicht von einer Einwilligung des Webseitenbesuchers in ein Tracking ausgehen darf, wenn dieser dem Webtracking, bzw. der Webanalyse nicht aktiv widerspricht (z. B. durch ein Opt-out). Für eine legale Webanalyse bedarf es vielmehr eine aktive Einwilligung des Nutzers, in dem er z. B. ein Häkchen setzt oder einen Schalter bewegt, welches digital die Einwilligungserklärung des Nutzers in ein Tracking oder Profilbildung verkörpert bzw. manifestiert.

Dies ist für Webseitenbetreiber besonders bitter, die sich vor allem auf § 15 Abs. 3 Satz 1 Telemediengesetz (TMG) beriefen. Diese, im europäischen Rechtsraum einmalige Vorschrift besagt: „Der Diensteanbieter darf für Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Telemedien Nutzungsprofile … erstellen, sofern der Nutzer nicht widerspricht.“, also vordergründig ein passives Verhalten des Webseitenbesuchers für das legale Tracking genügen lässt. Kritiker sahen in dieser Vorschrift seit jeher einen Verstoß gegen europäisches Recht, insb. gegen Art. 5 Abs. 3 der europäischen EPrivacy-Richtlinie, wonach „die Speicherung von Informationen oder der Zugriff auf Informationen, die bereits im Endgerät eines … Nutzers gespeichert sind [also insb. Cookies], nur gestattet ist, wenn der betreffende … Nutzer … seine Einwilligung gegeben hat.“.

Der BGH hat nun folgendes klargestellt:

Eine Einwilligung bedarf einer aktiven Handlung seitens des Einwilligenden. D. h. ein rein passives Verhalten kann nie als eine Einwilligung interpretiert werden.

Die deutsche (Sonder-)Vorschrift in § 15 Abs. 3 Satz 1 TMG ist „europarechtskonform“ auszulegen. D. h. Sie entspricht durchaus europäischen Recht, solange man diese entsprechend den übergeordneten Normen, insb. gemäß der Vorschrift aus Art. 5 Abs. 3 der EPrivacy-Richtlinie, auslegt. Daraus folgt wiederum, dass jeder, der zu Werbezwecken und zur Profilbildung umfangreich tracken will, ganz klar eine Einwilligung durch ein Opt-In des Besuchers benötigt.

Und daraus folgt aber auch, dass für Cookies, die notwendig sind, um den angefragten Dienst oder Funktionalität zu ermöglichen, weiterhin keine Einwilligung eingeholt werden müssen. Aber selbstverständlich muss der Besucher hierüber aufgeklärt werden!

Die europäische Aufsichtsbehörde für Datenschutz hat zumindest bei den folgenden Cookies eine regelmäßige Notwendigkeit bestätigt. D. h. für diese Cookies braucht es keine Einwilligung des Nutzers durch ein aktives Opt-In:

• Unser-Input-Cookies
• Authentifizierungscookies
• Nutzerorientierte Sicherheitscookies
• Mulitmedia-Player-Sitzungscookies
• Lastverteilungssitzungscookies
• Cookies zur Anpassung der Benutzeroberfläche

Wenngleich dies keine abschließende und auch keine verbindliche Liste über notwendige Cookies darstellt, so kann sie dem Webdesigner oder der Agentur doch eine gewisse Richtung aufzeigen, was noch ohne Einwilligung geht und was dann doch eine aktive Einwilligung erfordert.

So, wer es bis dahin geschafft hat, hat sich jetzt auf jeden Fall einen Keks verdient

Haben Sie gelungene Beispiele für eine gelungene Umsetzung von Cookie-Einwilligungen (gesehen)? Teilen Sie diese in den Kommentaren. So können wir als Community gegenseitig voneinander lernen.

Ihr Julius S. Schoor

Die Eindämmungsverordnungen der Länder gegen die Verbreitung von Corona (SARS-CoV-2) verlangen von den Gastronomiebetrieben ein „geeignetes Verfahren“ zur Kontaktnachverfolgung oder empfehlen diese zumindest „dringlich“ (wie in Berlin).

Die Freude über den Gaststättenbesuch wird schnell getrübt, wenn der Wirt die Kontaktdaten von seinem Gast erheben möchte. Dies rührt daher, weil der Gastwirt mit den Lockerungen der Maßnahmen gegen die Eindämmung der Corona-Weiterverbreitung, dem Lockdown, mit entsprechenden Auflagen versehen sind. Diese Auflagen sollen – wie in diesem Fall – eine gewisse Kontaktnachverfolgung erlauben, wenn sich ein auf COVID19 positiv Getesteter ebenfalls im Restaurant aufgehalten haben sollte.

Wie verhält man sich nun als Betroffener bei der Kontaktnachverfolgung in Restaurants und Gaststätten, wenn der Wirt nun nicht nur nach unserem Essenswunsch fragt, sondern auch nach unserer Wohnadresse und nach unserer Telefonnummer?

Der richtige Ansatz ist doch der, von unserem Grundrecht auf informationelle Selbstbestimmung (Datenschutz) auszugehen. D. h.: Ich bestimme grundsätzlich selbst darüber, wem ich welche Daten wie und zu welchem Zweck anvertraue.

Dann gibt es ggf. noch Regelungen, die mich zu der einen oder anderen Angabe verpflichten kann, ok. Aber auch diese Regelungen müssen sich am Grundrecht auf Datenschutz messen lassen. Regelungen, die gegen das Grundgesetz verstoßen, haben hier in diesem Staat keine Gültigkeit. Problem ist hier nur, dass diese Feststellung nur das Bundesverfassungsgericht rechtswirksam treffen kann. Und der Weg bis dahin kann langwierig und kompliziert sein.

Bis dahin bleibt einem nur der passive Widerstand oder eine smarte Umgehung des Ganzen. Soweit man nicht damit einverstanden ist. Es ist aber auch durchaus erlaubt, eine andere Meinung zu haben, und die eine oder andere Regelung für gut zu erachten (auch wenn sie gegen die Verfassung verstoßen würde).

Also: Der Ausgangspunkt sollte immer bei einem selbst liegen. In diesem Fall sollte man hier zunächst für sich abwägen: Was habe ich für Vorteile, wenn ich meine Kontaktdaten dem Wirt angebe? Ich könnte relativ schnell erfahren, wenn ich neben einem COVID19-Infizierten saß und könnte dann selbst entsprechende Schutzmaßnahmen (bspw. Quarantäne) ergreifen.

Aber mit jeder Datenweitergabe steigt natürlich auch das Risiko eines Missbrauchs meiner Daten. Das Personal könnte z. B. Telefonnummer dazu nutzen, Gäste für andere Zwecke zu kontaktieren oder an die Adressen Werbung zu senden (nur um so die harmlosesten Missbrauchsfälle zu benennen).

Die aufgeklärte Person wägt also selbst ab und übt somit ihr Grundrecht auf informationelle Selbstbestimmung aus.

Kommt diese Person zu dem Ergebnis, dass die Vorteile einer Weitergabe der Kontaktdaten nicht die Risiken rechtfertigen, die diese Weitergabe mit sich bringt, sollte sie die Weitergabe sein lassen.

Generell gilt bei der Kontaktnachverfolgung in Restaurants und Gaststätten:

1. Soweit der Wirt Listen statt einzelne Kontaktaufnahmebögen verwendet, liegt hier schon ein Verstoß gegen die DSGVO vor, da auch ein jeder andere (und eben nicht allein nur der Wirt) die Kontaktdaten der anderen Gäste sehen kann.
2. Überall dort, wo Daten erhoben werden, sind Datenschutzhinweise / Datenschutzerklärungen vorhanden sein. Fehlen diese, liegt auch hier ein Verstoß gegen DSGVO vor.
3. Man hat stets das Recht, sich jederzeit gegen die Gaststättenbetreiber bei der Aufsichtsbehörde für Datenschutz zu beschweren.

Aber Vorsicht: Der Wirt ist nicht verpflichtet, uns zu bedienen – ganz unabhängig von dem, wie wir uns verhalten. Letztlich geht es also darum,  einen Weg zu finden, die dem Wirt es erlaubt, irgendwie seine Auflagen erfüllen und uns vor den neuen Datenschutzrisiken schützen zu können. Und das kann von Mal zu Mal ganz unterschiedlich aussehen.

Guten Appetit

Ihr Julius S. Schoor

Photo by Victor He on Unsplash

Die Corona-Pandemie hat auch die Konferenzkultur ganz schön verändert. Wollte man noch Anfang des Jahres eine Videokonferenz durchführen, scheiterte diese nicht schon selten daran, dass der „Videoraum“ mit einem anderen Meeting belegt war oder sich die Teilnehmer schlicht nicht mit der Technik auskannten. Heute jedoch, wo Corona die Leute geradezu zu Hause anbindet, werden fast wie selbstverständlich Videokonferenzen spontan organisiert und vom Homeoffice aus durchgeführt. 

Für sehr viele Menschen ist diese Art der Zusammenarbeit so neu, dass es immer wieder zu komischen Ereignissen kommt, so z. B. wenn einem nicht unbedingt bewußt ist, dass gerade die WebCam aktiv ist und man von allen Teilnehmern gesehen wird. Besonders lustige Szenen sind nicht davor gewappnet, u. U. auch viral zu gehen – so zB der Unbekleidete in einer Konferenz von gut 20 Leuten. Datenschutzrechtlich natürlich ein SuperGAU!

Damit Ihnen und Ihren Kolleginnen und Kollegen dies nicht passiert,  dafür soll dieser kleine Knigge dienen, der für alle Videokonferenzen gleichermaßen gilt und gerne geteilt werden darf. Selbstverständlich stehen datenschutzrechtliche Aspekte hier im Vordergrund. Denn es geht um Ihre Daten!

Wir starten gleich mit einem richtigen Powertipp:

1. Vermeiden Sie Videokonferenzen!

Jede Videokonferenz weniger ist ein Mehr an Datenschutz. Je weniger Videokonferenzen geführt werden, desto geringer ist das Risiko, dass Ihre Daten in irgend einer Art und Weise missbraucht werden könnten. 

Telefonieren Sie stattdessen. So, wie Sie nicht unbedingt auf originäre Funktionen einer Videokonferenz, wie das Screensharing, angewiesen sind, setzen Sie lieber eine Telefonkonferenz auf. Diese ist nicht nur datenschutzfreundlicher als alle Videokonferenzentools zusammen, sondern auch meist stabiler und einfacher im Handling.

Hinterfragen Sie also Einladungen zu einer Videokonferenz dahingehend, ob man diese nicht auch mit einer klassischen Telefonkonferenz durchführen könne. 

2. Wählen Sie den richtigen Anbieter für Videoconferencing – und bitte keine Diversifizierung der Tools!

Die Videokonferenz ist per se eine recht komplexe technische Angelegenheit. Das erklärt in aller Regel auch die enormen Kosten, die die Einrichtung den Unternehmen gekostet hat, die sich ein solches System angeschafft haben. Diese Systeme sind meist selbst gehostet und erfüllen in aller Regel die Anforderungen für IT-Sicherheit und den übrigen Standards des Unternehmens. Wenn man schon einen solchen „Benz“ in der Garage stehen hat, sollte man auch diese – soweit als möglich – auch zu nutzen. Denn alles andere – insbesondere die „Quick & Dirty“-Lösungen können schon mal schnell nach hinten losgehen. 

Soweit das Unternehmen kein eigenes System hostet, sollte man andere Standards nutzen, die sowieso schon in den Unternehmen lizenziert sind, wie z. B. — sehr häufig – Microsoft Teams. Gerade weil viele Mitarbeiter noch nicht wirklich in den diversen Videokonferenz-Tools geübt sind, sollte sich das Unternehmen auf möglichst einen Standard festlegen, der dann ausnahmslos von den Mitarbeitern genutzt werden sollte.

3. Klären Sie die Teilnehmer und Teilnehmerinnen über die Verarbeitungsprozesse auf!

Artt. 12 ff DGSVO gibt dem Organisator/Verantwortlichen quasi schon per Gesetz auf, die Teilnehmerinnen und Teilnehmer über die Verarbeitungsprozesse der Videokonferenz aufzuklären und zu informieren. Doch auch ohne rechtliche Vorschrift gebietet es die Höflichkeit, die Teilnehmer und Teilnehmerinnen darüber aufzuklären, was für Daten man selbst sammelt und was für Daten die Plattform / die Software für die Videokonferenz abgreift, und zu welchem Zweck etc.

Das kann sinnvollerweise ein Textbaustein sein, der einer Einladung zu einer Videokonferenz beiliegt und entweder vollständig informiert oder zumindest auf die allgemeinen Datenschutzhinweise des Unternehmens verweist. Dabei ist das eigene Unternehmen gemeint und nicht der Plattformbetreiber! Der Plattformbetreiber ist maximal ein Unterbeauftragter aus Sicht des Unternehmens.

5. Beachte interne Regelungen der IT-Sicherheit!

Sehr häufig geben die IT-Abteilungen des eigenen Unternehmens Einstellungshinweise aus, die man tunlichst beachten sollte. Nur so ist einigermaßen gewährleistet, dass man das Tool für die Videokonferenz nach den Unternehmensstandard einsetzt und unnötige Risiken vermeidet. 

6. Aufzeichnungen nur mit Einwilligung aller Teilnehmerinnen und Teilnehmern.

Plant man eine Aufzeichnung der Konferenz, so reicht es nicht aus, wenn die meisten Teilnehmer dem zustimmen. Es müssen schon alle Teilnehmer ihre Einwilligung erteilen. Nur dann ist rechtlich auch eine Aufzeichnung erlaubt. Am Besten ist, dass man sich diese Einwilligung vielleicht sich schon vorab – vielleicht mit der Einladungsmail – von den Teilnehmern abholt. Denn dann hat man sie auch schon per E-Mail und kann dann auch später relativ leicht diese Einwilligung nachweisen. Wichtig dabei ist, dass auch hier die Teilnehmer und Teilnehmerinnen zumindest über die Punkte aufgeklärt (informiert) werden müssen, warum (zu welchem Zweck) man aufzeichnen möchte und wann die Aufzeichnung gelöscht wird bzw. wie lange die Aufzeichnung abrufbar bleibt. Achtung: Die Erteilung der Einwilligung muss immer freiwillig erfolgen. Die Konferenzen müssen stets so aufgesetzt werden, dass die Durchführung derselben nicht von der Aufzeichnung abhängt. 

Und vermeiden Sie einen Datenfriedhof in dem Sie alle Videokonferenzaufzeichnungen für die nächsten 20 Jahre aufbewahren! Für was? Meist genügt ein Protokoll über die Konferenz, so dass das Videomaterial selbst dann leicht gelöscht werden kann. 

7. Teilen Sie Programme und nicht Bildschirme!

So wie Sie ein Screensharing machen wollen, achten Sie darauf, dass Sie allein die Ansicht des Programms für die übrigen Teilnehmer freigeben, auf das es gerade ankommt. Es interessiert keinen, was sich sonst noch auf Ihrem Bildschirm befindet (welche Programme sonst noch in der Benutzung sind oder welchen Content man sonst noch so erkennt).

8. Achten Sie auf Ihren Hintergrund 

Sollten Sie die Webcam freigeben, damit auch andere Teilnehmer Sie sehen können, achten Sie darauf, was diese sonst noch so im Bildhintergrund sehen könnten. Sorgen Sie am besten für einen aufgeräumten Hintergrund. Kleiden Sie sich am besten so, wie Sie im Büro auch gekleidet wären. 

Manche Programme, wie Teams und Zoom erlauben es, den Hintergrund eines Webcam-Bildes leicht verschwommen darzustellen oder gar auszublenden. Machen Sie hiervon standardmäßig  Gebrauch! 

9. Verwenden Sie mechanische Kamerablenden!

Viele haben ein kleines Pflaster über die Webcam kleben, weil sie wissen, dass diese relativ leicht gehackt werden kann. Aber es geht auch smarter mit einfachen Plastikschieber, die auf die Linse des Laptops geklebt werden und mechanisch mit dem Finger bedient werden. Diese Schieber sind der ultimative Schutz davor, dass man aus Versehen für die übrigen Teilnehmer sichtbar wird. Man gibt also mit einem solchen Schieber bewußt das Bild für die anderen frei – unabhängig davon, ob das Videokonferenz-Tool die Kamera schon aktiviert hat oder nicht. Gerade für Teilnehmer, die noch nicht so sehr mit diesen Tools geübt sind, eine dringende Empfehlung! 

10. Keine Videokonferenz ohne Moderation

Schwieriger als eine persönliche Konferenz ist die Führung einer Onlinekonferenz. Unterschiedliche Latenzzeiten bei den Teilnehmern, verschiedene Zugänge (Firmennetzwerk, VPN etc.) oder technisches Equipment führen dazu, dass sich die Interventionsmöglichkeiten schon wesentlich unterscheiden. Um dennoch eine effektive Konferenz durchführen zu können, empfiehlt es sich, stets die Konferenzen durch einen – auch technisch versierten – Mitarbeiterin oder Mitarbeiter zu moderieren. Der Moderator steuert die Agenda und fängt Abschweifungen wieder ein. 

Ich hoffe, dass Ihnen dieser Knigge dabei hilft, Ihre Konferenzen auch in dieser Corona-Zeit effektiv zu gestalten. Ich würde mich freuen, wenn Sie in den Kommentaren Ihre Erfahrungen mit Videokonferenzen teilen. Gerne nehme ich auch auf Fragen Stellung.

Ihr Julius S. Schoor

Photo by Chris Montgomery on Unsplash

Kennen Sie diese Situation? Sie beschleicht ein ungutes Gefühl, Sie sind sich unsicher bei der Verarbeitung von Kundendaten oder haben einfach keine Lust, sich „wegen Datenschutz anzählen“ zu lassen…

Also beschließen Sie sich, einen Experten aufzusuchen, der sich mit dem Thema „Datenschutz“ auskennt. Vielleicht gehören Sie zu den Glücklichen, die einen Datenschutzbeauftragten in ihrem Unternehmen benannt haben. Dann haben Sie einen direkten Ansprechpartner. 

Aber unabhängig hiervon gilt es, die richtigen Fragen stellen zu können. Denn die Qualität der Antwort hängt immer noch von der Qualität der Frage ab. So bewahrheitet sich auch hier die alte Weisheit: Wichtiger als die richtige Antwort ist, die richtige Frage zu stellen. Wer eine gute Frage stellen kann, darf auch eine gute Antwort erwarten. Denn – und das ist schließlich die Königsklasse – in einer guten Frage steckt in aller Regel bereits die Antwort !

Doch wie stellen Sie nun die richtigen Fragen zu Ihrem Datenschutz-Thema?

Hier finden Sie drei wertvolle Hinweise, wie Sie Ihre Fragen an den Experten für Datenschutz bzw. an ihren Datenschutzbeauftragten am besten formulieren.

1. Was konkret haben Sie vor? Beschreiben Sie Ihr Vorhaben! 

Je genauer Sie formulieren können, desto konkreter wird die Antwort ausfallen. Entscheidend ist auch das „Warum“, also der Zweck des beabsichtigten Vorhabens. Der Datenschutz kennt vor allem ein Prinzip: Je weniger Daten erhoben, produziert oder sonst wie verarbeitet werden, desto besser für den Datenschutz. Das heißt, wenn Sie keinen Grund für Ihr Vorhaben nennen, warum Sie das oder jenes jetzt vorhaben, so wird die Antwort Ihres Datenschutzexperten, dem vorbenannten Prinzip folgend, restriktiv oder schwammig ausfallen. 

Stellen Sie sich folgende Situation vor: „Soll ich mit dem Auto in die Stadt fahren oder besser den Bus nehmen?“ Dann wird Ihr Umweltberater tendenziell eher den Bus empfehlen. Die Frage muss also konkretisiert lauten: „Ich habe einen ziemlich wichtigen Termin in der Stadt. Und ich bin schon spät dran. Würde ich den Bus nehmen, käme ich etwa 15 Minuten zu spät an. Mit dem Auto bin ich 15 Minuten früher da. Außerdem habe ich noch einen Schrank transportieren. Ist es in Ordnung, wenn ich das Auto nehme?“ Bei dieser Frage kann Ihr Umweltberater nun ganz anders abwägen und Ihnen dann die für Sie passende Antwort formulieren. 

2. Betten Sie Ihre Frage in einem Kontext ein!

Der Kontext kann für die richtige Antwort entscheidend sein. 

Es macht z.B. einen grundlegenden Unterschied, wenn Sie einen Software-Rollout in der Nacht, am Wochenende oder während der Arbeitszeit planen; ob Sie den Software-Rollout in einem datenschutzverarbeitenden Betrieb mit einer sehr hohen Sensibilität und Risiko für personenbezogenen Daten durchführen oder bei einem eher güterproduzierendem Betrieb.

3. Fragen hinsichtlich diverser Tools, wie Bots, Plug-Ins oder Software-Programme, immer offen stellen!

Bei, einer Frage, wie: „Ist dieses spezielleTool datenschutzkonform?“ handelt es sich um eine geschlossene Frage. Man kann eine solche Frage schwer beantworten, meist nur mit „Ja“ oder „Nein“; oder Sie ernten ein nichtssagendes „Kommt drauf an“, also die Lieblingsantwort von Rechtsanwälten. Das ist so, als ob Sie fragen würden, ob ein bestimmtes Auto konform mit der Straßenverkehrsordnung (StVO) ist? Ja, es kommt ganz darauf an, wie es konfiguriert ist. Man könnte sogar die These in den Raum stellen, das dass man jedes Auto StVO-konform konfigurieren bzw. anpassen kann. Viel sinnvoller als die Frage nach dem „OB“, ist die Frage nach dem: „WIE“. Also, „Wie muss das Tool, welches ich gerne einsetzen möchte, konfiguriert sein, damit es datenschutzrechtskonform genutzt werden kann?“

Mit dieser kurzen Anleitung wissen Sie zukünftig, wie Sie am besten Fragen zum Datenschutz stellen, damit Sie befriedigende Antworten von Ihrem Experten erhalten. 

Haben Sie auch schon Erfahrungen mit Ihren Fragen gemacht? Zögern Sie nicht, Ihre Erfahrungen in den Kommentaren mit anderen Lesern zu teilen!

Happy Datenschutz