Neue Datenschutzaufsichtsbehörde für den Norddeutschen Rundfunk

Bekanntlich verpflichtet Art. 85 Abs. 1 DSGVO die Mitgliedstaaten dazu, durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß der DSGVO mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang zu bringen. Es handelt sich um einen Regelungsauftrag an die Mitgliedstaaten. In Deutschland sowohl an den Bund als auch die Länder. Nach Art. 85 Abs. 2 DSGVO müssen die Mitgliedstaaten Ausnahmen von den meisten Kapiteln der DSGVO vorsehen, wenn die Verarbeitung zu journalistischen Zwecken erfolgt und die Ausnahmen erforderlich sind, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.

Bisher ist das sog. Medienprivileg in § 41 BDSG bzw. § 57 RStV geregelt. Im neuen, ab dem 25. Mai 2018 geltenden, BDSG wird eine solche Regelung bewusst fehlen. Dies bedeutet, dass in Deutschland die Bundesländer solche Ausnahmen schaffen müssen.

Derzeit wird länderübergreifend etwa der geltende Rundfunkstaatsvertrag (RStV) mit Blick auf die DSGVO überarbeitet.

Daneben sind jedoch auch einzelne Bundesländer mit Ergänzungen bzw. Anpassungen der rechtlichen Rahmenbedingungen für Rundfunkanstalten der Länder befasst. Hinsichtlich des Norddeutschen Rundfunks (NDR) haben sich die viel NDR-Staatsvertragsländer darauf geeinigt, die Umsetzung der DSGVO in einem eigenen „NDR-Datenschutz-Staatsvertrag“ vorzunehmen.

Der Entwurf dieses NDR-Datenschutz-Staatsvertrages vom 13.09.2017 ist nun öffentlich abrufbar (pdf). Die Unterzeichnung des NDR-Datenschutz-Staatsvertrages ist für Ende November / Anfang Dezember 2017 vorgesehen.

Mit dem Entwurf werden die datenschutzrechtlichen Normen im NDR-Staatsvertrag (§§ 41, 42) gestrichen und durch § 1 und § 2 Abs. 4 des neuen NDR-Datenschutz-Staatsvertrages ersetzt. Völlig neu sind hierbei die Regelungen in § 1 Abs. 1 bis 3 und die §§ 3 & 4 zur Ernennung des „Rundfunkbeauftragten für den Datenschutz beim NDR“ und sind gänzlich neu. Neben dem Datenschutzbeauftragten des NDR (der auch bisher schon existiert) wird ein Rundfunkbeauftragter für den Datenschutz beim NDR geschaffen. Er soll Behördenqualität erhalten und seine Funktion besteht darin, Datenschutzbeauftragten des NDR zu überwachen. Nach § 2 Abs. 1 soll der Rundfunkbeauftragte für den Datenschutz die zuständige Aufsichtsbehörde im Sinne des Art. 51 DSGVO sein. Nach § 3 Abs. 1 ist er in Ausübung seines Amtes unabhängig und nur dem Gesetz unterworfen. Er unterliegt auch keiner Rechts- oder Fachaufsicht. Hierdurch wird dem Erfordernis der völligen Unabhängigkeit der Datenschutzaufsichtsbehörden Rechnung getragen.

Hiermit soll also für den NDR eine eigene Datenschutzaufsichtsbehörde geschaffen werden, die von dem Datenschutzbeauftragten des NDR zu unterscheiden ist. Rundfunkbeauftragte für den Datenschutz überwacht die Einhaltung der Datenschutzvorschriften des Rundfunkstaatsvertrages, der DSGVO und anderer Vorschriften über den Datenschutz bei der gesamten Tätigkeit des NDR (§ 4 Abs. 1). Grundsätzlich sollen ihm auch alle Befugnisse nach Art. 57 und 58 Abs. 1 DSGVO zustehen. Geldbußen soll er gegenüber dem NDR jedoch nicht verhängen dürfen.

OVG Hamburg zur Datensicherheit: (Un)Verhältnismäßigkeit technischer & organisatorischer Maßnahmen

In einem Urteil vom 22.06.2017 (Az. 4 Bf 160/14) befasste sich das Hamburgische Oberverwaltungsgericht (OVG) unter anderem auch mit der Frage, welche technischen und organisatorischen Maßnahmen nach § 9 BDSG zu treffen sind, um die in der Anlage zum BDSG genannten Anforderungen zu gewährleisten.

Das Verfahren betraf im Kern kein datenschutzrechtliches Thema. Die Klägerin, ein Unternehmen aus Hamburg, begehrte die Erteilung einer Erlaubnis für die Vermittlung von Lotterien im Internet ohne beschränkende Nebenbestimmungen. In einem Bescheid aus 2012 erteilte die zuständige Behörde der Klägerin die Erlaubnis als gewerbliche Spielvermittlerin Glücksspiele unter ihrer Domain zu vermitteln. Weiter enthielt der Bescheid mehrere Nebenbestimmungen, u.a. auch folgende Nummer 14:

14. Bei der gegebenenfalls für die Vermittlungstätigkeit eingesetzten Hard- und Software hat die Datensicherheit bei der Abwicklung des Glücksspiels dem von Kreditinstituten im elektronischen Zahlungsverkehr eingehaltenen Stand der Technik zu entsprechen. Der Nachweis, dass ein entsprechender Standard eingehalten wird, gilt bei Vorlage eines Zertifikates nach ISO/IEC 27001:2005 als erbracht. Die vorliegende Erlaubnis wird mit der Auflage erteilt, dass unverzüglich ein entsprechendes Zertifikat nachgereicht oder ein gleichwertiger Nachweis erbracht wird.

U. a. gegen diese Nebenbestimmung ging die Klägerin vor, da sie sie als unverhältnismäßig ansah. Das Niveau der dort vorgesehenen Zertifizierung sei außerordentlich hoch und werde von den wenigsten Wirtschaftsunternehmen eingehalten.

Nach Auffassung des OVG ist die Regelung jedoch rechtmäßig.

Das Gericht begründet seine Ansicht damit, dass die die Auflage einerseits dem Ziel des § 1 Nr. 4 GlüStV diene, wonach sicherzustellen ist, dass Glücksspiele ordnungsgemäß durchgeführt werden und die Spieler vor betrügerischen Machenschaften geschützt werden.

Jedoch gehöre auch der allgemeine Datenschutz zum ordnungsgemäßen Ablauf des Glücksspiels. Mit anderen Worten: die Vorgaben des Datenschutzrechts, auch solche zu technischen und organisatorischen Maßnahmen, muss die Klägerin in jedem Fall beachten. Nach Ansicht des OVG ist  die Klägerin nach § 9 BDSG verpflichtet, die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zum BDSG genannten Anforderungen, zu gewährleisten.

„Das geforderte Sicherheitsniveau ist auch nicht unverhältnismäßig. Bei dem Standard nach ISO/IEC 27001:2005 handelt es sich um den weltweit gültigen Standard für die Datensicherheit. Hierauf baut auch der IT-Grundschutz-Katalog des Bundesamtes für Sicherheit in der Informationstechnik auf, der im Übrigen u. a. auch den Anforderungen des § 9 BDSG i. V. m. der Anlage zu § 9 Satz 1 BDSG Rechnung trägt.“

Zu beachten ist, dass das Gesetz, also derzeit § 9 BDSG und in Zukunft Art. 32 DSGVO, keine spezifischen Vorgaben zu den umzusetzenden Maßnahmen machen, sondern allgemein beschreiben, welchen Anforderungen die Maßnahmen genügen müssen bzw. welche Zwecke mit ihnen erfüllt werde müssen. Nach § 9 S. 1 BDSG sind „technischen und organisatorischen Maßnahmen zu treffen“. Insbesondere sollen die in der Anlage zu § 9 BDSG genannten Anforderungen gewährleistet werden. § 9 S. 2 BDSG gibt zudem vor, dass Maßnahmen nur dann als erforderlich angesehen werden, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Bei der Umsetzung von technischen und organisatorischen Maßnahmen ist mithin auch stets die Verhältnismäßigkeit ihrer Implementierung in der konkreten Situation zu berücksichtigen.

Nach Ansicht des OVG ist dafür, dass der in der Nebenbestimmung angesprochene Standard für die Klägerin nicht erreichbar ist, nichts ersichtlich. Das Gericht verweist hierfür auch auf die Homepage der Klägerin, auf der, jedenfalls im Hinblick auf den Datenschutz, auf eine Zertifizierung nach ISO/IEC 27001 durch den TÜV Saarland hingewiesen wird. Nach Auffassung des OVG stellt die Anforderung, eine ISO/IEC 27001 Zertifizierung nachzuweisen (und natürlich vorher die Anforderungen zu erfüllen) also keine unverhältnismäßige Maßnahme dar. Hierbei muss aber beachtet werden, dass das Gericht nur die konkreten Umstände in diesem Fall beurteilte. Darauf zu schließen, dass § 9 BDSG nur erfüllt ist, wenn eine ISO/IEC 27001 Zertifizierung vorliegt, wäre daher nicht angemessen.

Auf diese vorhandenen alternativen Möglichkeiten geht auch das OVG ein. Zunächst stellt es jedoch fest, dass die Tatsache, dass zum Nachweis eine Zertifizierung gefordert werde, nicht zu beanstanden sei. Auch wenn eine Zertifizierung gesetzlich nicht vorgeschrieben sei, dürfe eine solche im Wege einer Auflage aufgegeben werden, wenn sie dem Zweck des Verwaltungsaktes in der Hauptsache bzw. den gesetzlichen Regelungen „dient“, die für den Erlass des Hauptverwaltungsaktes maßgeblich sind.

Zuletzt ist das Gericht der Ansicht, dass das Argument der Klägerin, dass die Pflicht zum Nachweis eines entsprechenden Zertifikats aufgrund der damit verbundenen Kosten unverhältnismäßig sei, nicht durchgreife, da dieser Gesichtspunkt als rein wirtschaftlicher hinter den mit der Auflage verfolgten schützenswerten Zielen zurücktreten muss. Im Übrigen dürfe die Klägerin zum Nachweis auch einen „gleichwertigen Nachweis“ vorlegen. Der letztgenannte Aspekt ist zu begrüßen, da das Gericht hiermit deutlich macht, dass die Umsetzung technischer und organisatorischer Maßnehmen eben gerade nicht an einem bestimmten Zertifikat hängt. Der Nachweis, dass solche Maßnahmen existieren, kann auch anders erbracht werden.

Kritisch betrachtet werden kann jedoch die Auffassung des OVG, dass die mit der Umsetzung der Maßnahmen verbundenen Kosten hinter den „verfolgten schützenswerten Zielen zurücktreten“ müssen. Leider wird nicht in Gänze deutlich, ob das OVG damit tatsächlich jegliche Abwägung im Rahmen der Frage der Angemessenheit der Maßnahmen ablehnt. Dies wäre mit den Vorgaben des § 9 BDSG nur schwer vereinbar. Eine Abwägung ist im Rahmen der Verhältnismäßigkeitsprüfung in jedem Fall vorzunehmen. Die Kosten für die Maßnahmen können als Abwägungskriterium nicht per se ausscheiden, weil die verfolgten Ziele schützenswert sind. Denn nach diesem Verständnis würden die Kosten niemals Eingang in die Abwägung nach § 9 S. 2 BDSG finden oder im Ergebnis ab einer gewissen Grenze überwiegen. Dieses Verständnis lässt sich jedoch dem Wortlaut des Gesetzes nicht entnehmen.

Das Urteil des OVG ist eine der wenigen Entscheidungen zu einer Einzelthematik des Datenschutzrechts und daher aus Praxissicht sicherlich willkommen. Zum Teil kann man die Auffassung des Gerichts jedoch mit guten Argumenten kritisch hinterfragen.

VGH München zum Umfang des datenschutzrechtlichen Auskunftsanspruchs

Der Bayerische Verwaltungsgerichtshof (VGH) hat mit Beschluss vom 29.08.2017 (Az. 5 ZB 16.2227) eine recht interessante und ausführlich begründete Entscheidung über den Umfang des datenschutzrechtlichen Auskunftsanspruchs getroffen. Zwar ging es in dem Verfahren insbesondere um die Auslegung des Art. 10 BayDSG. Jedoch ähnelt diese Vorschrift dem § 34 BDSG. Die Ausführungen des VGH lassen sich daher auch auf die Anwendung des § 34 BDSG übertragen.

Um was ging es?

Der Kläger begehrte eine umfassende Datenauskunft vom Beklagten, einer Rundfunkanstalt des öffentlichen Rechts. Dabei lag er mit der Rundfunkanstalt wohl schon länger im Clinch. So sprach die Rundfunkanstalt gegenüber dem Kläger wohl zuvor auch ein Hausverbot aus. Der Kläger wollte mit seiner Klage auf Auskunft über handschriftliche Notizen, hausinternen und der eingescannten Schriftverkehr, einschließlich der Verschlagwortung der Dokumente, Freitexte und Ordnungsmerkmale. Auch sollten Aktennotizen und Gesprächsnotizen übersendet werden. Zudem seien leere Datenfelder ebenso wie fachliche Annahmen zu beauskunften. Der Kläger meinte zudem, sein Auskunftsanspruch beziehe sich auch auf fachliche Annahmen, Abwesenheit von Datensätzen, offensichtlich bekannte Daten und Alternativschlüssel.

Der Beklagte erteilte in der Vergangenheit mehrfach Auskunft. Nur eben nicht in der Tiefe und Breite, wie sich dies der Kläger wünschte.

Urteil des VGH

Der VGH entschied vorliegend über den Antrag auf Zulassung zur Berufung. Diesen lehnte er ab.

Das Gericht begründet seine Entscheidung u.a. damit, dass der Kläger den Inhalt des Schriftverkehrs mit dem Beklagten kenne. Diesen in einer Datenauskunft zu wiederholen, weil der Schriftverkehr, wie heute weitgehend üblich, eingescannt wurde und daher „gespeichert“ ist, sei nicht Sinn und Zweck des Auskunftsanspruchs.

Der Kläger hielt hier dagegen und meinte, er kenne zwar den Schriftverkehr, aber nicht die ggf. vom Beklagten auf dem Schriftverkehr oder auf hinterlegten Freitexten angebrachten Bemerkungen, Verfahrenshinweise und Eingangsstempel mit den ggf. darauf angebrachten Vermerken. Nach Ansicht des Gerichts handelt es sich bei Eingangsstempeln (ggf. mit ergänzenden Angaben zu Umfang der Schreiben sowie zu den Anlagen und deren Umfang) und Verfahrensvermerken, die Anweisungen an Mitarbeiter enthalten wie z.B. „bitte Hausverbot beachten“ oder „gelegentlich kontrollieren“ oder auch „bitte Antwortschreiben entwerfen“, zumindest in der Regel um keine personenbezogenen Daten. Eingangsstempel und Verfahrensvermerke seien daher regelmäßig keine Einzelangaben über persönliche oder sachliche Verhältnisse einer Person.

Zudem habe der Kläger auch keinen Anspruch auf Auskunft über die Verschlagwortung der Dokumente, über Scan-Daten oder Ordnungsmerkmale, da es sich insoweit nicht um zur Person des Klägers gespeicherte Daten handelt.

Eine Verschlagwortung der Dokumente sowie Scan-Dateien und Ordnungsmerkmale schaffen keine zusätzlich gespeicherten Daten, sondern ermöglichen nur den erleichterten Zugriff auf die gespeicherten Daten.

Im Hinblick auf leere Datenfelder entschied der VGH, dass nicht besetzte (leere) Felder und „abwesende Datensätze“ zu bestimmten sachlichen oder persönlichen Einzelangaben in den Verfahrensverzeichnissen des Beklagten keine gespeicherten personenbezogenen Daten des Klägers enthielten.

Wenn eine Information nicht gespeichert ist, ergibt sich daraus keine Information über den Kläger außer der, dass darüber dem Beklagten keine Information vorliegt, jedenfalls aber keine gespeichert ist.

Der VGH befasst sich in seiner Entscheidung zudem auch noch mit weiteren Informationskategorien, die nicht beauskunftet werden müssen.

Da es in dem Beschluss auch um die Frage geht, welche Informationen „personenbezogene Daten“ darstellen, möchte ich in diesem Zusammenhang noch auf die Schlussanträge der Generalanwältin Kokott am EuGH vom 20.7.2017 (Rs. C-434/16) hinweisen. In dem Verfahren geht es um die Frage, ob Anmerkungen auf Prüfungsunterlagen durch den Korrektor als „personenbezogene Daten“ einer betroffenen Person (des Prüflings) eingestuft werden können.

Nach Ansicht der Generalanwältin sind auf der Arbeit befindliche Anmerkungen typischerweise in der Regel untrennbar mit der Arbeit verknüpft, weil sie ohne diese keinen sinnvollen Aussagewert erreichen würden. Die Arbeit selbst verkörpert personenbezogene Daten des Prüfungsteilnehmers. Und diese Daten, so die Generalanwältin, werden gerade zu dem Zweck erhoben und verarbeitet, die in den Korrekturanmerkungen verkörperte Bewertung der Leistung des Prüfungsteilnehmers zu ermöglichen.

Daher folgert sie:

Schon aufgrund dieser engen Verknüpfung zwischen der Prüfungsarbeit und den auf ihr vorgenommenen Korrekturanmerkungen sind auch Letztere personenbezogene Daten des Prüfungsteilnehmers gemäß Art. 2 Buchst. a der Datenschutzrichtlinie.

Die Generalanwältin erstreckt den Personenbezug mithin auch auf schriftliche Anmerkungen des Korrektors und geht folglich von einem weiten Verständnis des Personenbezugs aus. Die Entscheidung des EuGH steht noch aus.

Bayerische Aufsichtsbehörde veröffentlicht Hinweise und Anforderungen an den Einsatz von Facebook Custom Audience

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in der Vergangenheit bayernweiten 40 Unternehmen dahingehend geprüft, ob und in welcher Weise das Marketing-Werkzeug „Facebook Custom Audience“ für gezielte Werbeanzeigen auf Facebook eingesetzt wird. Gestern veröffentlichte die Behörde nun das Ergebnis ihrer Prüfung und gleichzeitig auch allgemeine Hinweise und Anforderungen, die aus Sicht des BayLDA beim Einsatz von Custom Audience zu beachten sind (Pressemitteilung und Hinweise, pdf).

Wenn man sich die Informationen und Äußerungen des BayLDA zu Custom Audience aus der Vergangenheit vor Augen führt (hier mein Blogbeitrag zum Tätigkeitsbericht 2013/2014 und hier mein Blogbeitrag zum Tätigkeitsbericht 2015/2016), sind die Aussagen der Behörde zu den datenschutzrechtlichen Voraussetzungen beim Einsatz von Custom Audience wenig überraschend. Dennoch möchte ich bereits hier anfügen, dass die Auffassung des BayLDA zumindest zum Teil sicher auch streitbar ist.

Das BayLDA trennt in seinen Hinweisen klar strukturiert zwischen der Funktion „Facebook Custom Audience über die Kundenliste“ und „Facebook Custom Audience über das Pixel-Verfahren“, wobei in letzterer Variante noch die Funktion „Erweiterter Abgleich“ eine Rolle spielt.

Facebook Custom Audience über die Kundenliste

Die Funktion „Facebook Custom Audience über die Kundenliste“, in der ein Unternehmen eine Liste erstellt, die Name, Wohnort, E-Mail-Adresse und Telefonnummer seiner Kunden oder auch nur Interessenten enthält und diese Liste dann im Facebook-Konto des Unternehmens hochlädt, damit Facebook feststellen kann, welcher Kunde Facebook-Nutzer ist, ist nach Auffassung des BayLDA nur aufgrund einer informierten Einwilligung der Kunden zulässig. Zudem weist das BayLDA darauf hin, dass das Übermitteln dieser Liste an Facebook auch auf der Basis der ab 25. Mai 2018 geltenden Datenschutz-Grundverordnung (DSGVO) seiner Ansicht nach nicht ohne Einwilligung zulässig sein wird.

Facebook Custom Audience über das Pixel-Verfahren

Die Funktion „Facebook Custom Audience über das Pixel-Verfahren“ existiert in einer einfachen Variante und in der Variante des erweiterten Abgleichs. Auf der Webseite eines Unternehmens wird ein Facebook-Pixel eingebunden. Über dieses Pixel kann Facebook (nicht der Einbindende) das Online-Verhalten des Nutzers nachvollziehen. Das BayLDA nennt beispielhaft ein typisches Szenario: „Ein Nutzer besucht einen Webshop und interessiert sich für das neueste Smartphone, legt es in den Warenkorb, schließt aber den Bestellvorgang nicht ab. Bricht der Nutzer den Bestellvorgang ab, wird auch diese Information an Facebook weitergeleitet. Der Betreiber des Webshops möchte natürlich den Kunden zurückgewinnen und kann ihn über Facebook mittels Werbung des zuvor angesehenen Smartphones locken und zur Rückkehr auf die Webshop-Seite verleiten“.

Nach Auffassung des BayLDA ist der Webseiten-Betreiber, der den Facebook-Pixel auf seiner Webseite einbindet,

im datenschutz-rechtlichen Sinne auch Verantwortlicher, da er gezielt die weitere Datenverarbeitung durch Facebook veranlasst.

Diese Auffassung des BayLDA ist sicherlich vertretbar. Jedoch existiert genau zu dieser Frage, inwieweit ein Webseitenbetreiber datenschutzrechtlich verantwortlich ist, wenn er Code einbindet, über den Dritte dann Daten der Besucher verarbeiten können, schon länger Streit. Die Frage der Verantwortlichkeit liegt derzeit dem Europäischen Gerichtshof (EuGH) im Fall der Einbindung des Facebook -Like-Buttons vor (C-40/17, Fashion ID). Das OLG Düsseldorf hat dem EuGH mit Beschluss vom 19.1.2017 (I-20 U 40/16) zur Haftung und Verantwortlichkeit übermittelt. Dies zeigt, dass die Frage der Verantwortlichkeit des Webseitenbetreibers in diesen Fällen zumindest derzeit nicht so klar zu beantworten ist, wie dies in den Hinweisen dargestellt wird. Man wird freilich davon ausgehen dürfen, dass die deutschen Aufsichtsbehörden in dieser Frage einer Meinung sein werden.

Was die Anforderungen an den Einsatz der Funktion „Facebook Custom Audience über das Pixel-Verfahren“ betrifft, so geht das BayLDA in seinen Hinweisen nur auf den „Erweiterten Abgleich“ ein. Die, wenn man so will, aus Datenschutzsicht „schlimmere“ Variante. Hierdurch ist es, über das Facebook-Pixel möglich, Kundendaten wie z. B. Vorname, Nachname, E-Mail-Adresse, usw. an Facebook zu übermitteln und mit bestehenden Tracking-Daten anzureichern. Nach Auffassung des BayLDA dürfen Webseiten-Betreiber die erweiterte Funktion nur einsetzen,

wenn sie vorab eine informierte Einwilligungserklärung aller Webseiten-Besucher einholen. Ohne wirksame Einwilligung ist die erweiterte Funktion des Facebook-Pixels datenschutzrechtlich unzulässig.

Zusätzlich müssen Hinweispflichten erfüllt werden. Der Nutzer muss also wissen, welche Daten erhoben werden, für welche Zwecke usw. Außerdem muss der Webseiten-Betreiber ein geeignetes Opt-Out-Verfahren implementieren. Und Achtung, auch an dieses stellt das BayLDA gewisse Anforderungen. So sei ein Verweis auf Webseiten von Drittanbietern (wie z. B. youronlinechoices.eu) für ein Opt-Out nicht ausreichend. Auch ein Verweis auf die URL www.facebook.com/settings stelle kein geeignetes Opt-Out-Verfahren.

Keine Anforderungen stellt das BayLDA in seinen Hinweisen jedoch an die einfache Variante des Pixel-Verfahrens auf. Wenn also nicht noch zusätzliche Daten übermittelt werden. Das bedeutet sicherlich nicht, dass der Einsatz völlig voraussetzungslos möglich ist. Jedoch kann man meines Erachtens aus dem Schwiegen des BayLDA in seinen Hinweisen schließen, dass der Einsatz des einfachen Pixel-Verfahrens ohne Einwilligung der Webseiten-Besucher zulässig ist. Jedoch muss der Webseiten-Betreiber die Nutzer über die Funktionsweise des Pixels einwandfrei in der Datenschutzerklärung informieren und eine Opt-Out-Lösung anbieten. Wie gesagt, dass BayLDA äußert sich zu den Anforderungen an das einfache Verfahren jedoch nicht ausdrücklich.

Das BayLDA informiert in seiner Pressemitteilung nicht allein zum Ausgang der Prüfung, sondern gibt Unternehmen erfreulicherweise auch direkt Handlungsempfehlungen mit auf den Weg. Für die Antwort auf Frage der Verantwortlichkeit des Webseiten-Betreibers dürfte die Entscheidung des EuGH in dem dort anhängigen Verfahren aus Deutschland von besonderer Relevanz sein.

Bundesländer passen Datenschutzgesetze an – Aktueller Stand der Gesetzesvorhaben und Anmerkungen

Der Bundesgesetzgeber hat es (zumindest teilweise) bereits hinter sich: die Anpassung des nationalen Datenschutzrechts an die ab 25. Mai 2018 anwendbare EU Datenschutz-Grundverordnung (DSGVO). Am 25. Mai 2018 tritt das neue Bundesdatenschutzgesetz (pdf) in Kraft. Die Aufgabe ist nur teilweise erledigt, da der Bundesgesetzgeber noch eine Vielzahl von Bundesgesetzen und auch Verordnungen anpassen muss. Aus der Antwort von Staatssekretär Engelke vom 12.9.2017 (pdf, S. 10) auf eine Anfrage von Konstantin von Notz ergibt sich ein durchaus noch umfassender Anpassungsbedarf. Demnach wird derzeit auch an einem Arbeitsentwurf für ein Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) gearbeitet. Der Prozess der Anpassung der Bundesvorschriften an die DSGVO sei zudem noch nicht abgeschlossen.

Auch die Bundesländer müssen ihre Datenschutzregeln, vor allem die Landesdatenschutzgesetze, an die Vorgaben der DSGVO anpassen. Erst seit Mitte August gelangen allmählich die ersten offiziellen Entwürfe ans Tageslicht:

Brandenburg: Gesetz zur Anpassung des Allgemeinen Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (pdf)

Sachsen: Gesetz zur Anpassung landesrechtlicher Vorschriften an die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (pdf) (Sächsisches Datenschutzdurchführungsgesetz)

Sachsen-Anhalt: Entwurf eines Gesetzes zur Organisationsfortentwicklung des Landesbeauftragten für den Datenschutz (pdf) (wobei dieser Gesetzentwurf nur einen sehr kleinen Teilbereich der Vorgaben der DSGVO abdeckt und sich auf die Stellung und Aufgaben des Landesdatenschutzbeauftragten beschränkt; vglö hierzu meinen älteren Blogbeitrag)

Update vom 4.10.2017:

Bayern: Gesetzentwurf der Staatsregierung für ein Bayerisches Datenschutzgesetz (pdf) (derzeit zunächst in der Verbandsanhörung)

Auffällig ist, dass sich die Landesgesetzgeber sehr stark an dem neuen BDSG und den Vorschriften für nicht öffentliche Stellen orientieren. Zum Teil sind jedoch auch ganz individuelle Abweichungen vorgesehen. Nachfolgend möchte ich einige Gesetzentwürfe und dort enthaltene Regelungen vorstellen und kritisch kommentieren.

Brandenburg:

In § 3 soll der Begriff des „Anonymisieren“ ergänzend zu Art. 4 DSGVO definiert werden. Der Ausdruck bezeichnet das Verändern personenbezogener Daten dergestalt, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßigen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Aufgrund der bindenden Wirkung der DSGVO und ihres grundsätzlich abschließenden Regelungscharakters wird man aber die Frage stellen müssen, ob der nationale Gesetzgeber den Begriff des „Anonymisierens“ legal definieren darf. Laut der Gesetzesbegründung ergebe sich die Regelungsbefugnis hierfür aus Art. 6 Abs. 2 und 3 DSGVO (diese beiden Vorschriften nutzt der Gesetzentwurf aus Brandenburg im Übrigen sehr extensiv für verschiedenste Regelungen). Danach dürfen Mitgliedstaaten Regelungen einführen oder beibehalten, die spezifischen Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten. In ErwG 26 erwähnt die DSGVO anonyme Informationen. Dies sind Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Die DSGVO nutzt folglich zum einen eine andere Umschreibung als § 3. Zum anderen dürfte die nationale Regelung an sich schon nicht zulässig sein, da die DSGVO (zumindest in einem ErwG) den Begriff abschließend umschreibt.

In § 4 Abs. 3 sieht der Gesetzesentwurf, abweichend von Art. 30 Abs. 4 DSGVO, vor, dass das Verzeichnis der Verarbeitungstätigkeiten von jedermann eingesehen werden kann. Auch diese Regelung stützt der Gesetzesentwurf auf Art. 6 Abs. 2 und 3 DSGVO, da es um eine Vorgabe zur Transparenz der Datenverarbeitung geht. Auch hier stellt sich aber die Frage, ob der nationale Gesetzgeber die Vorgaben der DSGVO (hier Art. 30 Abs. 4 DSGVO) insoweit aufbrechen darf, dass die Pflicht zur Offenlegung des Verzeichnisses auf jedermann erweitert wird.

Extensiv nutzt der Gesetzesentwurf in § 6 Abs. 1 Nr. 1 bis 8 die Erlaubnis nach Art. 6 Abs. 4 iVm Art. 23 Abs. 1 DSGVO, eine nationale Rechtsgrundlage für die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem sie ursprünglich erhoben wurden, zu schaffen. Jedoch ergibt sich aus der Gesetzesbegründung nicht, welche in Art. 23 Abs. 1 DSGVO abschließend benannten Ziele die jeweilige Erlaubnis in § 6 Abs. 1 Nr. 1 bis 8 nutzt. So soll die zweckändernde Verarbeitung nach Nr. 8 etwa zulässig sein, wenn die Daten aus allgemein zugänglichen Quellen erhoben werden können oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das Interesse der betroffenen Person an dem Ausschluss der Speicherung oder einer Veröffentlichung der gespeicherten Daten offensichtlich überwiegt. Es bleibt unklar, welche in Art. 23 Abs. 1 DSGVO benannte Ziel mit dieser Regelung verfolgt. Eine Möglichkeit zur Weiterverarbeitung von Daten aus allgemein zugänglichen Quellen listet Art. 23 Abs. 1 DSGVO aber nicht auf. Auch hier besteht also das Risiko einer Europarechtswidrigkeit.

Sachsen:

Anders als die finale Fassung des neuen BDSG sieht § 22 Abs. 1 die Möglichkeit vor, dass auch Mitarbeiter öffentlicher Stellen ordnungswidrig handeln und als Folge mit einem Bußgeld von bis zu 50.000 EUR (Abs. 2) geahndet werden können. Eine solche Regelung dürfte jedoch europarechtswidrig sein.

Denn nationale Bußgeldtatbestände, die Sanktionen gegen Mitarbeiter öffentlicher Stellen vorsehen würden, sind nicht mit Art. 83 DSGVO vereinbar. Art. 83 Abs. 7 DSGVO enthält zwar eine Öffnungsklausel für Bußgeldtatbestände, die öffentliche Stellen adressieren. Dem ausdrücklichen Wortlaut nach bezieht sich die Regelungsbefugnis der Mitgliedstaaten aber allein darauf, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können. Art. 83 Abs. 7 DSGVO erwähnt nicht die Mitarbeiter der öffentlichen Stellen.

Weitere Landesdatenschutzgesetze sind derzeit in Arbeit bzw. liegen in Referentenentwürfen vor. Man darf gespannt sein, ob jedes Bundesland bis zum 25.5.2018 ein angepasstes Landesdatenschutzgesetz vorweisen kann.