(Das komplette Schreiben finden Sie am Ende des Artikels.)

Die Behörde leitet ihr Schreiben mit dem bekannten Urteil des Europäischen Gerichtshofs (EuGH) ein. Der EuGH entschied am 05. Juni 2018, dass der Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten der Seitenbesucher verantwortlich ist.

Bei einer gemeinsamen Verantwortung sieht Artikel 26 DSGVO spezielle Anforderungen vor. Diese sind:

• Schließen einer Vereinbarung, in der transparent festgelegt ist, wer welche datenschutzrechtlichen Verpflichtungen erfüllen muss.
• Diese Vereinbarung muss die tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen widerspiegeln.
• Den betroffenen Personen, in diesem Fall die Seitenbesucher, muss das Wesentliche dieser Vereinbarung zur Verfügung gestellt werden.

Auf Grundlage dieses EuGH-Urteils fasste die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) am 05. September 2018 den Beschluss, dass der Betrieb einer Facebookseite rechtswidrig ist, solange keine solche Vereinbarung zwischen Facebook und Betreiber geschlossen wird.

Am 11. September 2018 veröffentliche Facebook dann ihre Seiten-Insights-Ergänzung. Facebook verweist darin nicht direkt auf Artikel 26 DSGVO. Die Datenschutzbehörde geht aber in ihrem Schreiben davon aus, dass Facebook damit seinen Pflichten als gemeinsam Verantwortlicher nachkommen will.
(Einen sehr guten Überblick über die Historie gibt der Kollege Dr. Thomas Schwenke unter https://drschwenke.de/anleitung-facebook-datenschutz-page-controller-addendum/)

Ganz offensichtlich reicht dies der Aufsicht noch nicht. Sie möchte noch sehr viel genauere Informationen über die Ausgestaltung der gemeinsamen Verantwortlichkeit und formuliert in ihrem Brief folgende 15 Fragen an den Seitenbetreiber.

Haben Sie die Insights-Ergänzung mit Facebook abgeschlossen? Wenn ja, auf welche Weise ist dies erfolgt?

Zu welchem Text / zu welcher Vereinbarung stellt die Insights-Ergänzung eine Ergänzung dar?

Handelt es sich bei der Insights-Ergänzung um eine Vereinbarung i.S.d. Art. 26 Abs. 1 Satz 1 DSGVO?

Für welche konkreten Verarbeitungen personenbezogener Daten besteht nach dieser Vereinbarung eine gemeinsame Verantwortung? Bitte stellen Sie dies im Detail dar.

Was ist unter den in der Insights-Ergänzung und in den Insights-Informationen genannten „Insights-Daten“ zu verstehen? Bitte erläutern Sie abschließend.

In der Insights-Ergänzung wird auf die „Verarbeitung von Insights-Daten“ Bezug genommen. Um welche konkreten Verarbeitungen zu welchen Zwecken handelt es sich hierbei? Bitte erläutern Sie im Detail.

Auf welche Art und Weise werden die betroffenen Personen (Facebook-Mitglieder sowie Nicht-Mitglieder) über das Wesentliche der Vereinbarung nach Art. 26 Abs. 2 DSGVO informiert?

Welche Informationen haben Sie erhalten bzw. erhalten Sie von Facebook über die Verarbeitung personenbezogener Daten der Besucherinnen und Besucher Ihrer Fanpage? Ermöglichen es die Ihnen zur Verfügung stehenden Informationen, dass Sie Ihren Verpflichtungen nach der DSGVO, insbesondere Ihrer Pflicht aus Art. 5 2 DSGVO, nachkommen können?

Bitte erläutern Sie, wie die personenbezogenen Daten der Besucherinnen und Besucher Ihrer Fanpage verarbeitet werden. Zu welchen Zwecken erfolgen diese Verarbeitungen?

Auf welcher Rechtsgrundlage bzw. auf welchen Rechtsgrundlagen verarbeiten Sie die personenbezogenen Daten der Besucherinnen und Besucher Ihrer Fanpage?

Auf welche Art und Weise und mit welchem Inhalt werden die betroffenen Personen (Facebook-Mitglieder sowie Nicht-Mitglieder) über die Verarbeitung ihrer Daten beim Besuch Ihrer Fanpage gem. Art. 12 und Art. 13 informiert?

Wie stellen Sie sicher, dass die Betroffenenrechte (Art. 12 ff. DSGVO) erfüllt werden können, insbesondere die Rechte auf Löschung nach Art. 17 DSGVO, auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, auf Widerspruch nach Art. 21 DSGVO und auf Auskunft nach Art. 15 DSGVO?

In der Insights-Ergänzung heißt es im Zusammenhang mit den Betroffenenrechten: „Wenn eine betroffene Person oder eine Aufsichtsbehörde gemäß DSGVO hinsichtlich der Verarbeitung von Insights-Daten und der von Facebook Ireland im Rahmen dieser Seiten-Insights-Ergänzung übernommenen Pflichten Kontakt mit Dir aufnimmt (jeweils eine „Anfrage“), bist Du verpflichtet, uns unverzüglich, jedoch spätesten innerhalb 7 Kalendertagen sämtliche relevanten Informationen weiterzuleiten. Zu diesem Zweck kannst Du dieses Formular einreichen. Facebook Ireland wird Anfragen im Einklang mit den uns gemäß dieser Seiten-Insights-Ergänzung obliegenden Pflichten beantworten. Du stimmst zu, zeitnah sämtliche angemessenen Anstrangungen zu unternehmen, um mit uns an der Beantwortung jedweder derartigen Anfrage zusammenzuarbeiten. Du bist nicht berechtigt, im Namen von Facebook Ireland zu handeln oder zu antworten.“ Bitte erläutern Sie konkret, wie Facebook mit den von Ihnen eingereichten Anfragen verfährt und welche konkreten Maßnahmen Sie ergriffen haben, um zu prüfen, ob die Rechte der betroffenen Personen auf diesem Wege entsprechend der DSGVO erfüllt werden.

Werden beim Erstaufruf Ihrer Fanpage auch bei Nicht-Mitgliedern Einträge im so. Local Storage erzeugt? Zu welchem Zweck und auf welcher Rechtsgrundlage erfolgt dies?

Werden nach Aufruf einer Unterseite innerhalb Ihres Fanpage-Angebots ein Session-Cookie und drei Cookies mit Lebenszeiten zwischen vier Monaten und zwei Jahren gespreichert? Zu welchen Zwecken und auf welcher Rechtsgrundlage erfolgt dies?

Wer sich bereits mit der Materie beschäftig hat, dem wird auffallen, dass einige Fragen sehr stark an den Fragenkatalog der DSK angelehnt sind. Und tatsächlich fügt die Behörde ihrem Schreiben die 8 Fragen der DSK noch einmal gesondert an.
Die Aufsicht geht mit Ihren Formulierungen hier aber einen ganz klaren Schritt weiter.
Sie bringt den Stein wieder ins Rollen. Von Facebook sah man nach dem EuGH Urteil bis auf die Insights-Ergänzung keine weiteren Reaktionen. Es ist aber relativ unwahrscheinlich, dass ein Seitenbetreiber alle Fragen ohne die Hilfe von Facebook beantworten kann. Facebook muss diese Fragen öffentlich klären, wenn es verhindern will, dass große Unternehmen u.U. ihre Seiten und Werbeanzeigen abschalten. Denn der Betrieb einer Facebookseite scheint zum derzeiten Stand datenschutzrechtlich mehr als nur bedenklich zu sein.

Betreiben Sie eine Facebookseite? Könnten Sie alle Fragen der Aufsichtsbehörde beantworten? Welche der Fragen bereitet Ihnen vielleicht Kopfschmerzen? Ich freue mich auch Ihren Kommentar!

„Die am 25. Mai 2018 anwendbar gewordene Datenschutz-Grundverordnung ist unmittelbar anwendbares europäisches Recht. Dies bedeutet, dass in allen Mitgliedstaaten der Europäischen Union dieses Recht auch einheitlich vollzogen werden muss, sodass es einen abweichenden ‚Bayerischen Weg‘ bei der Umsetzung der DSGVO naturgemäß nicht geben kann. Konkret bedeutet dies, dass wir, das Bayerische Landesamt für Datenschutzaufsicht, als vom bayerischen Gesetzgeber bestimmte (unabhängige) Aufsichtsbehörde für den nicht-öffentlichen Bereich in Bayern alleine und unabhängig zu entscheiden haben, welche aufsichtsrechtliche Maßnahmen wir zur Einhaltung der Vorschriften des Datenschutzrechts ergreifen und welche wir nicht ergreifen.“

Fazit
Die Abkürzung „DSGVO“ ist längst zum Synonym geworden. Assoziiert werden häufig: ein (zu) hoher Umsetzungsaufwand, erhebliche Kosten für Rechtsberatungen und die drohenden Sanktionen. Gerade gemeinnützige Vereine haben mit den Neuerungen zu kämpfen, die zumeist (gar) nicht mit dem jeweiligen Vereinszweck in Verbindung stehen, sodass kostbare Ressourcen für die Umsetzung der DSGVO „aufgeopfert“ werden (müssen). So nehmen es wahrscheinlich viele Vereine wahr. In Bayern gibt es reichlich von ihnen, denn hier sind Traditions- und Brauchtumspflege weitverbreitet und allgemein beliebt.
Mit dem Beschluss der bayerischen Landesregierung wird also eine breite Zielgruppe erreicht. Besonders praktisch erscheint das mit Blick auf die bevorstehende Landtagswahl in Bayern.
Im Ergebnis sind zwei Dinge wünschenswert:

• Die „Verteufelung“ der DSGVO, die auch hier ein Ausgangspunkt war, sollte schleunigst abgelegt werden. Das Regelungswerk beinhaltet eine Vielzahl von Pflichten, aber eben auch (Betroffenheits- und Verbraucherschutz-) Rechte. Sich nur auf vermeintliche Negativaspekte zu stützen, ist nicht sachgerecht und führt in der Sache auch nicht weiter.
• Hoffentlich durchschauen die bayerischen Apotheken und Vereine die Intention des Wahlkampfs und lassen sich durch den Beschluss (in der ohnehin noch undurchsichtigen Rechtslage) nicht zusätzlich verunsichern. Das neue BDSG ist neben der DSGVO anwendbar und konkretisiert diese auch hinsichtlich der Pflicht, einen Datenschutzbeauftragten zu bestellen, wenn bestimmte Voraussetzungen vorliegen.

Macht nun Brüssel oder München, die Welt, wie sie Ihnen gefällt?

Sind Sie in einem Verein und haben mit der Umsetzung der DSGVO zu tun?
Oder betreiben Sie eine Apotheke und haben eigene Erfahrungen gesammelt?
Oder sind Sie (einfach nur) vom Wahlkampf betroffen?
Ich bin auf Ihre Kommentare gespannt!

Lesen Sie auch meinen Artikel zur Datenschutz-Folgenabschätzung.

__

Titelbild (CCO Public Domain)

__

Anwendungsbereich der DSGVO

Zunächst ist festzustellen, dass sich das Spielfeld zwischen Vermieter und Mieter im Anwendungsbereich der DSGVO befindet, denn es werden in jeder Phase des (vor-) vertraglichen Mietverhältnisses – also von der ersten Kontaktaufnahme beginnend – personenbezogene Daten des potenziellen Mieters durch den Vermieter erhoben und verarbeitet.

Die Grundprinzipien der DSGVO gelten auch für den Vermieter

Ein wichtiger Grundsatz ist die Datenminimierung. Der Vermieter darf bereits beim ersten Kontakt nur die personenbezogenen Daten des Mieters erheben, die zur Abwicklung des (späteren) Mietvertrags relevant sind (vgl. Art. 5 Abs. 1 lit. c DSGVO). Darunter fallen Name, Anschrift und Bankverbindung der neuen Mietpartei.
Ein weiterer Grundsatz liegt in der Zweckbindung. Die Datenverarbeitung darf also nur bei legitimem und eindeutigem Zweck erfolgen. Ein solcher ist bei Vermietern bei der Vertragsanbahnung, beim Abschluss des Mietvertrages und zur Durchführung des Vertrages sowie zur Abrechnung der Betriebskosten regelmäßig zu bejahen.
Letztlich ist auf den Grundsatz der Speicherbegrenzung hinzuweisen. Grundsätzlich muss der Vermieter mit dem Ende des Mietvertrages und nach Auszahlung der Kaution sowie der Betriebskostenabrechnung alle Mieterdaten löschen. Zu beachten sind in diesem Zusammenhang jedoch gesetzliche Verjährungsfristen. Bei Mietverhältnissen sind diese mit sechs Monaten (vgl. § 548 Abs. 1 S. 1 BGB) im Verhältnis zur Regelverjährung von drei Jahren (§ 195 BGB) allerdings relativ kurz.

Phasen und Umfang der zulässigen Datenerhebung für den Vermieter

Aus Vermieterperspektive ergeben sich für die Erhebung personenbezogener Mieterdaten in den verschiedenen Phasen – vom ersten Interessenten bis zum Vertragsabschluss – auch unterschiedliche Befugnisse für den Umfang einer zulässigen Datenerhebung.

Phase 1: „Der Mietinteressent“

Im „Bewerbungsverfahren“ um eine Wohnung dürfen Vermieter regelmäßig nur allgemeine Kontaktinformationen des potentiellen Mieters in Erfahrung bringen: Name, Anschrift und Telefonnummer sowie E-Mail-Adresse. Zulässig wären ebenfalls die Einsichtnahme des Personalausweises zum Zweck der Identitätsüberprüfung und eines Wohnberechtigungsscheins, sofern ein solcher benötigt wird. Die Forderung nach einer Personalausweiskopie ist unzulässig. Auch eine Mieterselbstauskunft muss der Interessent wenn überhaupt erst ausfüllen, wenn nach erfolgter Wohnungsbesichtigung ernsthaftes Interesse seitens des Mieters an der Wohnung besteht.

Phase 2: „Die Wohnungsbewerbung“

Haben mehrere Mietinteressenten ihr Interesse an der Wohnung angezeigt, bedarf es einer Entscheidung des Vermieters, wer die Wohnungszusage erhalten soll. In dieser Phase ist es dem Vermieter gestattet, weitere personenbezogene Daten zu erheben. Hierzu zählen Bonitätsauskünfte (in aller Regel von der Schufa), das monatliche Nettoeinkommen, die Anzahl der einziehenden Personen sowie ein Hinweis über beabsichtigte Haustierhaltung.
Unzulässig sind dabei regelmäßig Fragen zu höchstpersönlichen Daten wie nach dem Familienstand, Schwangerschaft, Verwandtschaftsverhältnis zu zum Haushalt gehörender Kinder, mögliche Mietrückstände, Angaben zum derzeitiger Vermieter, Dauer der beruflichen Beschäftigung, ausgeübter Beruf, derzeitiger Arbeitgeber, Religionszugehörigkeit, ethnische Herkunft, Zugehörigkeit zu einer Gewerkschaft, Partei oder die Mitgliedschaft eines Mietervereins, sexuelle und/oder politische Orientierung, Gesundheitsdaten, Haftbefehle, Vorstrafen, Hobbies (zum Beispiel das Spielen von Musikinstrumenten) sowie Angaben zu Rauchgewohnheiten.
Schließlich sind die Daten unterlegener Mietinteressenten seitens des Vermieters – aufgrund der Zweckerfüllung – unverzüglich zu löschen.

Phase 3: „Der Mietvertragsabschluss“

Gestattet ist die Erhebung von Daten, die für die Ausübung des Vertragsverhältnisses erforderlich sind. Dazu können vor allem auch die Kontoverbindungen des Mieters sowie Bürgschaftsverträge mit Privatpersonen oder Banken zählen. Nach dem Grundsatz der Datenminimierung werden wohl folgende Daten nicht mehr verlangt werden können: eine Kopie des Personalausweises (nur noch Einsichtnahme), Kontoauszug, Lohn- und Gehaltsbescheinigung, Leistungsbescheid, Mietschuldenfreiheitsbescheinigung und Vormieterbescheinigung.
Hat der Vermieter einen Mieter gefunden, so ist der Zweck „Mieterauswahl“ entfallen und erhobene Daten zur Mieterauswahl sind zu löschen. Hierunter fallen beispielsweise die Selbstauskunft des Mieters sowie seine Bonitätsangaben. Alle Daten, die nicht mehr zur Vertragsdurchführung notwendig sind, müssen vom Vermieter gelöscht werden.

Phase 4: „Kündigung / Auflösung des Mietverhältnisses“

Nach Beendigung des Mietvertrages müssen alle personenbezogenen Daten des Mieters gelöscht werden, es sei denn, sie werden für die Auszahlung der Kaution oder der Betriebskostenabrechnung benötigt. Spätestens mit der Abrechnung der Betriebskosten und dem Ablauf der sechsmonatigen Verjährungsfrist bedarf es der Löschung aller Mieterdaten, soweit eine Speicherung darüberhinaus nicht gerechtfertigt ist (zum Beispiel bei steuerlichen Verpflichtungen oder konkreten Rechtsverteidigungsinteressen).

Fazit

Die dargestellten Änderungen bilden nur einen Ausschnitt der Neuerungen, an die sich Vermieter (und Mieter) halten müssen. Zur „Wahrheit“ (wenn es so etwas gibt) gehört aber auch, dass das Ungleichgewicht zwischen Vermietern und Mietern durch die DSGVO nicht beseitigt wird. Wenn Sie sich auf eine Wohnung bewerben, werden Sie durch rechtliche Belehrungen des zukünftigen Vermieters und die (zulässige) Zurückbehaltung von personenbezogenen Daten sicher keine „Bonuspunkte“ sammeln. Aber ein freundlicher Hinweis auf die geltende Gesetzeslage ist Ihr gutes Recht, welches Sie nutzen sollten. Insbesondere nach dem Abschluss des Mietvertrages – dann gibt es nichts mehr zu verlieren.

Welche Erfahrungen haben Sie auf dem Wohnungsmarkt mit der DSGVO gemacht?

Ich bin echt gespannt.

Kommentieren Sie bitte diesen Beitrag!

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Ein bisschen Sachlichkeit wäre wünschenswert. Diesen Eindruck konnte man jedenfalls bezogen auf die Berichterstattung rund um die DSGVO gewinnen. Hitzköpfig wurde der Artikel 83 Abs. 5 DSGVO (Obergrenze von Bußgeldern) im Zusammenspiel mit dem Wort „Abmahnung“ bemüht. Dies schien auszureichen, um viele Privatpersonen, Internetseitenbetreiber und kleinere Betriebe zu verunsichern.

Was verbirgt sich hinter dem Schlagwort Abmahnung?

Vom Anwendungsbereich der DSGVO erfasst ist, wer personenbezogene Daten verarbeitet (Artikel 4). Entzieht sich ein Unternehmen seinen Pflichten, die sich aus der Datenschutz-Grundverordnung ergeben, kann dieses von Konkurrenzunternehmen hierfür abgemahnt werden. Denn wer sich beispielsweise nicht die Mühe macht, Datenschutzhinweise (frühere Datenschutzerklärung) aufsetzen zu lassen, spart dadurch Ressourcen (und Kosten) und erlangt mit dieser „Ersparnis“ einen Wettbewerbsvorteil gegenüber demjenigen Mitbewerber, der sich an die gesetzlichen Verpflichtungen hält – so der dahinterstehende juristische Gedanke. (§§ 3, 3a UWG)

Rein rechtlich betrachtet, ändert sich durch die DSGVO in Bezug auf Abmahnungen wenig. Ein solches wettbewerbsrechtliches Vorgehen zwischen Konkurrenzunternehmen war bereits vor dem 25.05.2018 gelebte Rechtspraxis. Für die Abmahnungen beauftragen die Unternehmen üblicherweise Rechtsanwälte.

Wer anderen eine Grube gräbt,…

Was die meisten juristischen Laien nicht wissen/gesagt bekommen: Eine unberechtigte Abmahnung stellt wiederum selbst einen Wettbewerbsverstoß dar. Gegen eine solche nicht berechtigte Abmahnung kann der Abgemahnte gerichtlich vorgehen. Durch eine derartige Gegenwehr können für den (ursprünglich) Abmahnenden hohe Gerichts- und Rechtsanwaltsgebühren entstehen. Aus diesem Grund wird ein (seriöser) Rechtsanwalt seinen Mandanten nur bei einer Abmahnung unterstützen, wenn der Verstoß des Konkurrenten evident ist. In der Vergangenheit bildete sich zu vielen Abmahnungsfallgestaltungen eine höchstrichterliche Rechtssprechung, auf die zurückgegriffen wird. An einer solchen fehlt es zur DSGVO zum jetzigen Zeitpunkt allerdings. Viele Normen der Datenschutz-Grundverordnung sind ihrem Wortlaut nach sehr offen formuliert, um möglichst viele Einzelfälle zu erfassen. Dies führt (momentan noch) zu Auslegungsproblemen. Hier gilt der (doofe) Spruch „Zwei Juristen, drei Meinungen“. Das merken Sie u.a. an sehr unterschiedlichen Datenschutzhinweisen auf Internetseiten und Blogs (inhaltlicher wie auch sprachlicher Art) sowie bei Einwilligungserklärungen, die plötzlich JEDER von Ihnen zu brauchen scheint.

Unklarheiten beim Streitwert und Höhe der Abmahngebühren

Ein weiteres Problem ist der Streitwert einer Abmahnung, der vom abmahnenden Rechtsanwalt angegeben wird. Der Streitwert hat direkte Auswirkungen darauf, wieviele Gebühren der Rechtsanwalt (nach dem Rechtsanwaltsvergütungsgesetz – RVG) abrechnen und dem abgemahnten Unternehmen in Rechnung stellen kann. Auch spätere Gerichtsgebühren legen einen bestimmten Streitwert zugrunde. Eine wettbewerbsrechtliche Abmahnung teilt insofern das Schicksal einer Studienplatzklage – es gibt keinen objektiven Wert, nach dem sich der Streitwert bestimmen ließe. Anders ist es bei einer Klage auf (vermeintliche) Kaufpreiszahlung, wo sich der Streitwert schlichtweg aus dem begehrten Betrag selbst ergibt. Hinsichtlich des Streitwertes und der Abmahngebühren fehlt es zum jetzigen Zeitpunkt also ebenfalls an einer gefestigten Rechtsprechung.

Fazit

Aufgeschoben ist nicht aufgehoben. Es wird zukünftig Abmahnungen bei Verstößen gegen die Pflichten der DSGVO geben. Ob wellenartig oder nicht – es braucht hierfür aber klare Entscheidungen der Gerichte sowie Aufsichtsbehörden und den Landesdatenschutzbeauftragten, die die Anwendung der DSGVO präzisieren. Bis zum 25.05.2018 galt eine zweijährige Übergangszeit, um die neuen Regelungen umzusetzen. Nun wird es noch einige Zeit dauern, bis sich eine (europaweite) Rechtsprechung zur DSGVO etabliert.
Es ist schlechte Nachricht und Chance zugleich:

Mit neuen Datenschutzhinweisen auf der Homepage und Einwilligungserklärungen ist es nicht getan. Die spannende Zeit hat jetzt erst so richtig begonnen und Sie tun gut daran, dass Thema „Datenschutz“ nicht zu verteufeln, sondern aktuelle Entwicklungen im Auge zu behalten.
Ich und dieser Blog helfen Ihnen dabei.

Lesen Sie ebenfalls meinen Artikel: Unwort des Jahres 2018: DSGVO?

Haben Sie bereits eine Abmahnung erhalten?
Ist Ihnen eine gerichtliche Entscheidung dazu bekannt?
Lassen Sie uns diskutieren!

__

Titelbild (CCO Public Domain)

__

Was ist überhaupt eine Datenschutz-Folgenabschätzung?

Die Datenschutz-Folgenabschätzung soll laut Art. 35 DSGVO eine umfassende Risikobewertung von Datenverarbeitungsvorgängen ermöglichen. Sie ist ein spezielles Instrument zur Beschreibung, Bewertung und Eindämmung von Risiken (Risikomanagement). Ihr Ziel besteht darin, Verstöße gegen die DSGVO zu vermeiden; es handelt sich also um ein präventives Werkzeug.
Völlig neu ist eine solche Folgenabschätzung jedoch nicht. Sie ersetzt die bisherige Vorabkontrolle nach § 4d Abs. 5 BDSG alter Fassung. Allerdings sind die beiden Regelungen nicht in allen Teilen deckungsgleich.
Gemein ist ihnen, dass es schon nach dem alten Bundesdatenschutzgesetz erforderlich war, in bestimmten Fällen eine sog. Vorabkontrolle durchzuführen, nämlich dann, wenn sich aus der automatisierten Verarbeitung personenbezogener Daten besondere Risiken für die Betroffenen ergaben.
Unterschiede ergeben sich aus den Formulierungen der Vorschriften. Die neue Regelung (Art. 35 DSGVO) setzt ein „hohes Risiko“ voraus, während das alte BDSG an „besondere Risiken“ anknüpfte. Wann genau ein „hohes Risiko“ für die Verarbeitung spezifischer Arten personenbezogener Daten sowie die Verarbeitung personenbezogener Daten zur Bewertung einer Person vorliegt, sollen die Anwendungsfälle in Absatz 3 des Art. 35 DSGVO sowie die Erwägungsgründe 89 bis 91 festlegen.

Wann genau ist überhaupt eine Datenschutz-Folgenabschätzung vorzunehmen?

In Art. 35 Abs. 1 DSGVO heißt es dazu:

„(…) eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge (hat)…“

Diese offene und auslegungsbedürftige Formulierung fächert den Anwendungsbereich wesentlich breiter auf, als es im Vergleich zum BDSG und der damaligen Vorabkontrolle noch der Fall war. Aufgrund dessen räumt er den Aufsichtsbehörden diesbezüglich einen Ermessensspielraum ein.
Die Landesdatenschutzbeauftragten müssen nun im Rahmen ihres jeweiligen Zuständigkeitsbereichs eine Liste der Verarbeitungsvorgänge erstellen und veröffentlichen, für die eine Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO durchzuführen ist. Diese Listen werden (u.a.) als „schwarze Listen“ bezeichnet.
Um es einmal plastischer zu machen: Die Verarbeitung von umfangreichen Daten über strafrechtliche Verurteilungen und Straftaten erfüllt anerkanntermaßen die Anforderungen an ein „hohes Risiko“ und erfordert folglich eine zuvor durchzuführende Datenschutz-Folgenabschätzung.
Daneben enthält Art. 35 Abs. 5 DSGVO eine Ermächtigung der Aufsichtsbehörden, eine Liste mit Arten von Datenverarbeitungsvorgängen zusammenzustellen und zu veröffentlichen, bei denen explizit keine Datenschutz-Folgenabschätzungen durchgeführt werden müssen. Diese Listen werden (u.a.) als „weiße Listen“ tituliert.

Was muss bei der Durchführung einer Datenschutz-Folgenabschätzung beachtet werden?

In Art. 35 Abs. 7 DSGVO werden die Mindestanforderungen für den Inhalt einer Datenschutz-Folgenabschätzung definiert. Enthalten sein müssen demnach:

• Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge sowie der Zweck der Verarbeitung, gegebenenfalls einschließlich der von dem für die Verarbeitung Verantwortlichen verfolgten berechtigten Interessen. (Art. 6 DSGVO)
• Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck.
• Eine Bewertung der Risiken der Rechte und Freiheiten der betroffenen Personen.
• Die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht werden soll, dass die Bestimmungen dieser Verordnung eingehalten werden, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen werden soll.

Im Ergebnis ist eine mehrstufige Prüfung nötig; eine sog. Schwellenwertanalyse. Kommen Sie nach der Durchführung der Datenschutz-Folgenabschätzung für einen bestimmten Verarbeitungsvorgang zu dem Ergebnis, dass tatsächlich ein „hohes Risiko“ besteht, müssen Sie sich fragen: „Lässt sich dieses eindämmen?“ – Bei verbleibend hohem Risiko ist eine Konsultation der Aufsichtsbehörde vor Aufnahme der Datenverarbeitung (Art. 36 Abs. 1 DSGVO) vorzunehmen. Abschließend ist das Ergebnis zwingend zu dokumentieren. (Art. 5 Abs. 2 DSGVO)

Fazit

Die Position eines internen oder externen Datenschutzbeauftragten (der stets in Datenschutz-Folgenabschätzungen eingebunden sein muss; Art. 35 Abs. 2 DSGVO) ist und bleibt höchst anspruchsvoll. Dies gilt nicht nur bezogen auf die vielen neuen und teils weit gefassten Vorschriften, sondern ebenfalls auf die unterschiedlichen Einschätzungen der verschiedenen Bundesländer. Damit Sie nicht den Überblick verlieren, habe ich Ihnen eine anschauliche Tabelle erstellt. Mit dieser haben Sie einen Vergleich der Listen, die bereits veröffentlicht wurden. Es ist wirklich ein tolles Werk entstanden, anhand dessen Sie direkt die Unterschiede der einzelnen Auffassungen der Landesdatenschutzbehörden erkennen können.

Viel Spaß damit.

Sind neue Listen zwischenzeitlich ergänzt worden?
Lass Sie es mich wissen und kommentieren Sie diesen Beitrag!
Besten Dank.

__

Titelbild (CCO Public Domain)

__

Ausgangslage

Seit dem 25. Mai 2018 gilt SIE nun. Dabei wurde die Datenschutz-Grundverordnung schon vor zwei Jahren verabschiedet. Bis zum 25. Mai 2018 galt (für diesen Zeitraum) eine Übergangszeit. In dieser Zeit schwammen die neuen und europaweit einheitlichen Datenschutzregelungen unter der Wasseroberfläche. In den letzten Monaten begann es langsam zu brodeln; bis wenige Tage vor dem 25. Mai das „Datenschutz-Drama“ seine Peripetie zu erreichen schien. Obwohl der europäische Gesetzgeber genügend Zeit für eine vernünftige Umsetzung festlegte, haben viele (kleine und mittlere) Unternehmen, geschäftliche Einzelpersonen und Internetseitenbetreiber das Thema und die Zeit zum Handeln verschlafen. Daneben wurde und wird nicht immer rechtlich korrekt und mit der nötigen Objektivität über die Datenschutz-Grundverordnung berichtet. Zu häufig las ich Artikel, in denen gleich im zweiten Satz auf die drohende Abmahnwelle und/oder auf Artikel 83 Abs. 5 DSGVO hingewiesen wurde. Diese Norm regelt die neue Obergrenze von Bußgeldern, die bei Verstößen verhängt werden können:

„Bei Verstößen gegen die folgenden Bestimmungen werden (…) Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist“.

Das halte ich für reine Panikmache und wenig zielführend.

Die DSGVO schützt nicht nur Daten.

Zugegeben: Die DSGVO ist lang und nicht vollkommen. Das sind wohl wenige Regelungswerke. Vor allem ist sie an einigen Stellen weit und auf den ersten Blick unpräzise formuliert. Bei einem genaueren Blick braucht es gerade diesen (Gestaltungs-)Spielraum. Prozesse, in denen Daten erhoben, verarbeitet und gespeichert werden, sind ungemein vielfältig – es soll folglich nicht jeder Einzelfall, sondern der rechtliche Rahmen definiert werden.
Schaut man dann etwas genauer in dieses „Datenschutz-Dings“, dann werden sehr viele Vorteile für den Bürger sichtbar; so heißt es beispielsweise in Artikel 12 Abs. 1 Satz 1:

„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen (…) die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.“

Diese Vorschrift will sagen: Auch ohne ein Studium der Informatik oder Rechtswissenschaft sollen z.B. Internetseitenbetreiber in einer klaren und einfachen Sprache erklären, was auf deren Webseiten mit persönlichen Daten geschieht. Das ist nicht bloßer Datenschutz; das ist Verbraucherschutz.

Nutzen Sie Ihre Rechte!

Während die DSGVO bei den technischen Vorgängen zur Datenverarbeitung offener gestaltet ist, sind die Artikel zu den Rechten, die Sie als Betroffene haben, erfrischend klar (Artikel 12 bis 23 DSGVO). Diese Rechte sollten Sie kennen und wahrnehmen:
Jeder von Ihnen hat das Recht auf

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung („Recht auf Vergessenwerden“) nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung (Sperrung) nach Art. 18 DSGVO,
• Widerspruch nach Art. 21 DSGVO sowie
• Datenübertragbarkeit aus Art. 20 DSGVO.

Abschließende Tipps

Zäumen Sie nicht das Pferd von hinten auf: Gedanken über ein hypothetisches Bußgeld helfen nicht weiter, wenn Ihnen gar nicht klar ist, ob Sie überhaupt an der Verarbeitung von personenbezogenen Daten beteiligt sind und damit der Anwendungsbereich der DSGVO überhaupt eröffnet ist.
Ferner ist es nicht hilfreich, wenn Sie Datenschutzerklärungen ungelesen akzeptieren oder Verträge unterschreiben (z.B. einen sog. Auftragsverarbeitungsvertrag – kurz „AVV“) ohne den Inhalt zu kennen und zu verstehen; denn leider hielten/halten sich nicht alle an das Erfordernis aus Artikel 12 DSGVO: „in klarer und einfachen Sprache“ zu formulieren.
Abschließend rate ich dringend davon ab, einfach „irgendwelche“ Muster zu übernehmen oder Datenschutzerklärungen von anderen Homepages blind zu kopieren. Erstens ist (bei weitem) nicht jedes Muster, welches Sie im Netz finden, gut und (rechtlich) einwandfrei. Zweitens kann das Kopieren von Datenschutzerklärungen einen Verstoß gegen das Urhebergesetz darstellen; im Ergebnis riskieren Sie dann ein Bußgeld wegen eines Urheberrechtsverstoßes, um einem Bußgeld der Datenschutzbehörde zu entgehen. Das wäre nicht besonders smart.

Fazit

Begreifen Sie die Flut an E-Mails als eine Art „Reinigung“ oder „Inventur“. Ich sah auf diese Weise, welche Unternehmen meine E-Mail-Adresse und meinen Namen gespeichert hatten. Das waren nicht wenige. An viele konnte ich mich gar nicht erinnern. Im Grundsatz der DSGVO bleibt alles verboten, was nicht ausdrücklich erlaubt ist. Daher forderten die Unternehmen Sie nun teilweise erneut auf, dass Sie in die Datenverarbeitung und Speicherung Ihrer personenbezogenen Daten einwilligen. Sie haben jetzt die Möglichkeit noch einmal kritisch zu prüfen, ob Sie Ihre Daten an dieses oder jenes Unternehmen geben möchten oder eben nicht. Das ist doch wunderbar. Wie nervig wäre es gewesen, wenn Sie die ganzen Firmen hätten anschreiben und um Auskunft bzw. Löschung bitten müssen? An viele hätten auch Sie sich nicht erinnert, oder?

Das Wort des Jahres 2018 lautet daher: DSGVO.
Aber Vorsicht.
Das sind Alternative Fakten (Unwort des Jahres 2017).

Wie stehen Sie zur DSGVO?
Wieviele E-Mails haben Sie bekommen mit dem Betreff: „Auch wir aktualisieren unsere Datenschutz….“?
Ich bin gespannt, was Sie in die Kommentare schreiben!

__

Titelbild (CCO Public Domain)

__

Glaubwürdig?

Ausgangssituation

Das soziale Netzwerk ist bekannt, jedoch nicht gerade für einen Schutz der persönlichen Daten seiner Mitglieder. Dies unterstreicht der jüngste Skandal. „Daten sind das neue Gold“ – das muss sich auch Cambridge Analytica gedacht haben, als sie sich unberechtigt Zugriff auf die persönlichen Daten von Millionen Facebook-Konten verschafften. Angesichts der Einwohnerwahl innerhalb der EU (etwa 512 Millionen) erscheint die Betroffenheit von „nur“ 2,7 Millionen Personen erst einmal nicht besonders groß. Allerdings besitzt nicht jeder EU-Bürger einen Facebook-Account, sodass sich die Zahlen damit nach oben relativieren. In Deutschland gelten 300.000 Konten als „betroffen“.

Lange Zeit wurden die vielschichtigen Chancen von digitalen Medien hervorgehoben. In den letzten Jahren setzt sich glücklicherweise immer mehr Bewusstsein für die Schwächen und den Schutz unserer Daten durch; auch beim (europäischen) Gesetzgeber und der EU-Kommission.

Bundesjustizministerin Katarina Barley findet erfrischend klare Worte:

„Facebook muss für den Skandal Verantwortung übernehmen. Die Frage, was mit den Daten von 30 Millionen deutschen Nutzerinnen und Nutzern passiert, ist eine zentrale Frage des Verbraucherschutzes. Das europäische Facebook-Management muss zu diesem Skandal umfassend gegenüber der Bundesregierung Stellung beziehen. Dafür werde ich Vertreterinnen und Vertreter des Unternehmens in das Bundesjustizministerium laden. Es ist nicht hinnehmbar, dass Nutzer in Sozialen Netzwerken gegen ihren Willen ausgeleuchtet werden, um sie ganz gezielt mit Wahlwerbung oder Hass gegen den politischen Gegner zu bombardieren. Solche Wahlkampfmethoden sind eine Gefahr für die Demokratie. Hier müssen klare Regeln gelten.Europa hat beim Datenschutz ein sehr viel strengeres Recht als die USA. Die Selbstbestimmung des Einzelnen über seine Daten hat hier einen hohen Wert. Als Grundrecht, als Verbraucherrecht. Entscheidend ist die Einwilligung der Nutzerinnen und Nutzer. Die kann immer nur wirksam sein, wenn die Betroffenen genau wissen, was mit ihren Daten passiert. Das künftige europäische Datenschutzrecht, das ab Mai 2018 gilt, sieht bei Verstößen empfindliche Sanktionen bis zu 4 Prozent des weltweiten Jahresumsatzes vor.“

Die Ministerin verweist auf die ab 25.05.2018 geltende „Datenschutzgrundverordnung“ (DSGVO), die das Datenschutzrecht europaweit vereinheitlicht. Wichtige Neuerungen sind u.a. die Sanktionen bei einem Verstoß gegen das europäische Datenschutzrecht; insbesondere die erheblich höheren Obergrenzen der Bußgelder bei einem Verstoß (bis zu 20.000.000 Euro oder 4 Prozent des weltweiten Jahresumsatzes des Vorjahres); Art. 83 DSGVO. Ein solches Bußgeld würde auch Facebook empfindlich treffen.

Reaktion seitens Facebook 

Erst das große Schweigen im Walde. Irgendwann wurde der Druck für Zuckerberg zu groß. Er wandte sich an die Presse, entschuldigte sich und kündigte mehr Transparenz im Bereich Datenschutz an. Eine Maßnahme des Unternehmens betrifft die Werbeeinblendungen zu politischen Themen/Parteien. Diese sollen zukünftig klar (als solche) erkennbar sein oder ausweisen, wer sie finanziert. Damit reagiert der Konzern auf Vorwürfe, wonach die illegal weitergegebenen Daten für personalisierte Wahlwerbung missbraucht wurden seien. 

Daneben blendet Facebook nun Informationen zum Thema Datenschutz ein – siehe Screenshots.

Ich bitte Sie daher: 

Nehmen Sie sich zwei Minuten Zeit (länger dauert es nicht) und lesen Sie sich diese Angaben aufmerksam durch. Klicken Sie nicht (gewohnheitsmäßig) auf „Akzeptieren und fortfahren“. Durch diese Einstellungen können Sie beispielsweise prüfen, ob in Ihrem Profil Ihre Interessen und religiöse oder politische Ansichten gespeichert sind. Ebenfalls können Sie abstellen, dass Facebook Sie automatisch auf Fotos und in Videos erkennt. 

Fazit 

Der große Hype um Facebook – zumindest in der jüngeren Generation – scheint verflogen. Es existieren mittlerweile genügend andere soziale Plattformen. Twitter, Instagram, Snapchat… Deswegen trifft dieser (erneute) Datenskandal das Unternehmen besonders. Viele Nutzer haben kein Verständnis mehr für einen derartig schlechten Umgang mit ihren persönlichen Daten. Auch viele Politiker nehmen sich dem Thema an. Zum Schluss nochmal Katarina Barley:

„Es ist an der Zeit für eine deutliche Reaktion der europäischen Staaten. Für Soziale Netzwerke braucht es klare Regeln. Wir werden überprüfen, ob die Möglichkeiten der neuen europäischen Datenschutzverordnung ausreichen. Wir müssen klare Anforderungen an die Betreiber Sozialer Netzwerke auf europäischer Ebene gesetzlich festschreiben.“

Bis dahin prüfen Sie bitte, was Sie selbst unternehmen können, um Ihre Daten gegenüber Facebook (besser) zu schützen. Einige in meinem Freundes- und Bekanntenkreis, die schon vorher auch auf anderen Plattformen angemeldet waren, löschten ihr Profil bei Facebook komplett. Das ist eine Möglichkeit. Sicher ist sie für viele Nutzer zu radikal. Außerdem ist unklar, was „löschen“ bei Facebook konkret heißt und ob unsere Daten nicht bereits illegal weitergeben wurden. Wenn Sie Ihren Account weiterhin benutzen möchten, dann überprüfen Sie äußerst kritisch die Datenschutzeinstellungen. 

Besser als nix.

Wie sehen Sie den Datenskandal bei Facebook?

Haben Sie noch weitere Tipps zur Verbesserung der Datensicherheit bei den Datenschutzeinstellungen entdeckt?

Ich bin auf Ihre Erfahrungen gespannt. 

Schreiben Sie mir gern einen Kommentar!

__

Titelbild (CCO Public Domain)

__