Monthly Archives: April 2019

Datenschutzbehörden zum Einsatz von Drohnen: in der Regel nicht datenschutzkonform möglich

Posted on by

Auf der Webseite der Datenschutzbehörde aus Baden-Württemberg ist ein Positionspapier der Datenschutzkonferenz (DSK) zur „Nutzung von Kameradrohnen durch nicht-öffentliche Stellen“ (Stand: 16.1.2019) abrufbar (pdf).

In dem Positionspapier befassen sich die deutschen Behörden recht knapp mit den datenschutzrechtlichen Anforderungen an den Einsatz von Drohnen durch Private. Das Ergebnis:

Insbesondere in urbanen Umgebungen ist das Betreiben von Drohnen mit Film- und Videotechnik im Einklang mit den geltenden Gesetzen in der Regel nicht möglich.

Das ist natürlich eine ziemlich vernichtende Feststellung, wenn man bedenkt, wie oft private Nutzer oder Unternehmen bereits heutzutage Drohnen einsetzen. Zudem denke man auch an wirtschaftlich begründete Einsatzszenarien, wie die Vermessung von Feldern oder anderen Flächen oder auch Luftaufnahmen mit wissenschaftlichem Hintergrund. Gerade Unternehmen mit einem Entwicklungsschwerpunkt, etwa in der Maschinenindustrie, im Automobilbereich, in der Luftfahrt oder auch im Agrarsektor setzen Drohnen ein, um neue Technologien zu entwickeln oder zu testen.

Die DSK kommt in dem Papier zu dem Schluss, dass ein datenschutzkonformer Einsatz „in der Regel“ nicht möglich sei. Leider wird in dem Papier kein Hinweis darauf gegeben, welche Maßnahmen aus Sicht der Behörden erforderlich wären, um einen datenschutzgerechten Einsatz von Drohnen zu ermöglichen.

Anwendbarkeit der DSGVO

Richtig verweisen die Behörden darauf, dass, wenn Drohnen mit Foto- oder Videotechnik zum Einsatz kommen und natürlich Personen aufgenommen werden, eine Verarbeitung personenbezogener Daten vorliegt und damit die Vorgaben der DSGVO zu beachten sind.

Bereits hinsichtlich des Anwendungsbereichs der DSGVO ist jedoch darauf hinzuweisen, dass tatsächlich auch „personenbezogene Daten“ verarbeitet werden müssen. Also Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Die Aufnahmen der Drohne müssen also mindestens den Rückschluss auf eine natürliche Person ermöglichen. Kann dieser nicht erfolgen, z.B. weil Personen nicht erkennbar oder aufgrund äußerer Merkmale nicht identifizierbar sind, liegen auch keine personenbezogenen Daten vor und die DSGVO wäre nicht anwendbar. Dieser Hinweis wird leider in dem Positionspapier nicht erteilt.

Erlaubnistatbestand

Hinsichtlich der für die Verarbeitung erforderlichen Rechtsgrundlage erwähnt das Papier nur die Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO. Aus Sicht der Behörden spielt bei dieser Abwägung der Einsatzzweck der Drohne eine entscheidende Rolle. Und auch hier tendiert die DSK leider per se zu einer sehr restriktiven Auslegung:

Die genannten Voraussetzungen sind in der Mehrzahl der Fälle wegen des regelmäßigen Überwiegens von Interessen Betroffener nicht erfüllt. Dies ist insbesondere dann der Fall, wenn die Aufnahmen für eine Veröffentlichung im Internet erstellt werden.

Warum regelmäßig die Interessen der Betroffenen überwiegen sollen, erwähnen die Behörden nicht. Aus der DSGVO ergibt sich dieses Überwiegen nicht. Es ist vielmehr eine einzelfall- oder zumindest fallspezifische Interessenabwägung durchzuführen, die in der Praxis von sehr vielen Faktoren beeinflusst sein kann. Ein grundsätzliches Überwiegen von schutzwürdigen Interessen anzunehmen, erscheint daher leider zu pauschal.

Informationspflichten

Zudem gehen die Behörden auch auf die Informationspflichten nach den Art. 12 ff. DSGVO ein. Auch hier wird seitens der DSK aber sehr pauschal angenommen, dass die gesetzlichen Vorgaben nicht eingehalten werden können:

Zudem können die für die Verarbeitung personenbezogener Daten erforderlichen Informationspflichten gem. Art. 12 ff. DS-GVO in der Regel nicht erfüllt werden.

Unverständlich an dieser Auffassung ist, dass mehrere Datenschutzbehörden in der Vergangenheit zur ähnlichen Thematik des Fotografierens von Menschen(ansammlungen) aus größerer Entfernung ausdrücklich die Meinung vertreten haben, dass es sich um eine heimliche Datenerhebung handele und damit die besonderen Ausnahmen von der Informationspflicht nach Art. 14 Abs. 5 DSGVO eingreifen würden. So etwa der LfDI Baden-Württemberg (Fotografieren und Datenschutz –Wir sind im Bild!) oder der Landesbeauftragte aus Hamburg (Rechtliche Bewertung von Fotografien einer unüberschaubaren Anzahl von Menschen nach der DSGVO außerhalb des Journalismus). Warum die DSK nun in dem Positionspapier diese Möglichkeit einer Ausnahme nach Art. 14 DSGVO nicht einmal anspricht oder diskutiert, erschließt sich mir nicht. Für Unternehmen, die Drohnen einsetzen, würden diese Hinweise doch gerade einen möglichen Lösungsansatz zum datenschutzkonformen Einsatz von Drohnen bieten. Daneben ist zu beachten, dass Informationspflichten, je nach den Umständen, natürlich auch beim Drohneneinsatz erfüllt werden können. Es können etwa Schilder aufgestellt werden, Personen direkt angesprochen und auf ergänzende Informationen im Internet hingewiesen werden; es könnten auch Visitenkarten mit einem Link zur Datenschutzerklärung verteilt werden. Auch bei der Erfüllung gesetzlicher Informationspflichten kommt es stark auf die Umstände des Einzelfalls an.

Tracking und DSGVO – Datenschutzbehörden: Pseudonymisierung soll nicht zugunsten von Unternehmen berücksichtigt werden

Posted on by

Die deutsche Datenschutzkonferenz (DSK) hat letzte Woche ihre lang erwartet Orientierungshilfe (pdf) zum Tracking und vor allem zu dem Verhältnis von TMG und DSGVO veröffentlicht. Auf das letztgenannte Thema möchte ich hier nicht näher eingehen.

Hinweisen möchte ich vielmehr auf eine meines Erachtens unhaltbare Position der DSK im Rahmen der Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO. Dieser Erlaubnistatbestand bildet aus Sicht der DSK die wohl meist einschlägige Rechtsgrundlage, wenn es um ein Tracking von Personen im Internet über Webseiten oder Nutzern in Apps geht.

Die DSK stellt die drei erforderlichen Prüfungsschritte der Voraussetzungen des Art. 6 Abs. 1 lit. f) DSGVO dar.

  1. Stufe: Vorliegen eines berechtigten Interesses der Verantwortlichen oder eines Dritten
  2. Stufe: Erforderlichkeit der Datenverarbeitung zur Wahrung der berechtigten Interessen
  3. Stufe: Abwägung mit den Interessen, Grundrechten und Grundfreiheiten der betroffenen Person im konkreten Einzelfall

Im Rahmen der dritten Stufe weist die DSK richtigerweise darauf hin, dass die ermittelten, sich gegenüberstehenden Interessen zu gewichten sin. Hierfür kann keine allgemeingültige Regel aufgestellt werden. Soweit kein Problem.

Doch dann stellt die DSK recht apodiktisch fest:

Zu beachten ist, dass im Rahmen der Abwägung ohnehin bestehende Pflichten aus der DSGVO, z.B.  Informationspflichten oder die Sicherheit der Verarbeitung durch Pseudonymisierung, nicht zugunsten des Verantwortlichen berücksichtigt werden können. 

Diese pauschale Ablehnung einer positiven Berücksichtigung von Pseudonymisierungsmaßnahmen ist meines Erachtens kontraproduktiv für eine wirksame Umsetzung der DSGVO in der Praxis und vor allem rechtlich auch so nicht haltbar. Im Grunde gibt die DSK hier zu verstehen, dass Unternehmen personenbezogene Daten zwingend pseudonymisieren müssten, da dies so in der DSGVO vorgegeben sei und diese, datenschutzfreundliche Maßnahme, dem Unternehmen nicht zum Vorteil gereichen darf. Ich einer solchen Situation verstehe ich jede datenverarbeitende Stelle, die sich fragt, warum man überhaupt pseudonymisieren sollte? Denn der Vorgang der Pseudonymisierung kann, je nach vorliegenden Datenarten und dem Umfang, recht aufwendig sein. Hierzu muss man nur einmal einen Blick in die Legaldefinition der Pseudonymisierung in Art. 4 Nr. 5 DSGVO werfen. Die Anforderungen sind recht hoch.

Daneben ist diese Ansicht meines Erachtens aber auch rechtlich nicht vertretbar. Die DSGVO kennt nämlich keine Pflicht zur Pseudonymisierung, ebenso wenig wie eine Pflicht zur Verschlüsselung. Beide Maßnahmen sind im hier relevanten Art. 32 Abs. 1 DSGVO (Sicherheit der personenbezogenen Daten) als Beispiele umzusetzenden Maßnahmen genannt. Art. 32 Abs. 1 lit. a) DSGVO gibt vor: „Maßnahmen schließen unter anderem Folgendes ein: die Pseudonymisierung und Verschlüsselung personenbezogener Daten“.

Die Formulierung „unter anderem Folgendes ein“ in der deutschen Version der DSGVO ist ein Übersetzungsfehler. Dies ergibt sich aus dem Vergleich mit der englischen Sprachversion. Dort wird die Aufzählung mit „including inter alia as appropriate“ eingeleitet. Anders als die deutsche Fassung, verweist der englische Text ausdrücklich auf die Erforderlichkeit bzw. Angemessenheit einer jeden Maßnahme. Die Übersetzung von „as appropriate“ wurde in der deutschen Sprachfassung schlicht vergessen. Zudem ist zu beachten, dass Art. 32 Abs. 1 DSGVO jegliche Sicherheitsmaßnahmen von verschiedensten Faktoren abhängig macht, wie etwa dem Stand der Technik und auch der Implementierungskosten.

Anders, als von der DSK dargestellt, handelt es sich bei der Maßnahme „Pseudonymisierung“ nicht um eine ohnehin bestehende Pflicht nach der DSGVO. Zwar verweist die DSK im Folgesatz darauf, dass durch „zusätzliche Schutzmaßmaßnahmen die Beeinträchtigungen durch die Verarbeitung derart reduziert werden“ können, dass die Interessenabwägung zugunsten des Verantwortlichen ausfallen kann. Es stellt sich hier aber die Frage, was diese zusätzlichen Schutzmaßnahmen sein sollen, wenn etwa Pseudonymisieurng aus Sicht der DSK bereits eine gesetzlich zwingend vorgegebene Maßnahme ist.

Insgesamt ist es aus meiner Sicht daher nicht begründbar, wenn die DSK mit der Aussage kommuniziert, dass von Unternehmen umgesetzte Schutzmaßnahmen in der Interessenabwägung keine Berücksichtugung finden könnten.

Niedersachsen schlägt Anpassungen der DSGVO und des BDSG im Bundesrat vor

Posted on by

Das Land Niedersachsen hat am 3.4.2019 den Entwurf eines Entschließungsantrages in den Bundesrat eingebracht (BR Drs 144/19, pdf). Hintergrund des Antrages ist die Forderung, dass „über die DSGVO hinausgehende zusätzliche Auflagen für Unternehmen in Deutschland mittelstandsfreundlicher und im Sinne ehrenamtlich Tätiger in Vereinen nachgebessert werden sollten“. Die niedersächsische Landesregierung sieht, sicherlich nicht unbegründet, in der Praxis das Problem, dass das Ziel der DSGVO, den Schutz personenbezogener Daten sicherzustellen, nicht erreicht werden kann, wenn Unternehmen, Behörden und weitere Einrichtungen, die personenbezogene Daten verarbeiten, die neuen Regelungen nicht anwenden (können). Der Entwurf des Antrages beruht also auf der Erkenntnis, dass die Regelungen der DSGVO, die ohne Zweifel in großen Teilen im Sinne eines „one size fits all“-Ansatzes, gerade für kleinere Einheiten einigen Umseztungs- und Anpassungsbedarf mit sich bringen.

Zu der vollen Wahrheit, die in dem Entwurf nicht erwähnt wird, gehört aber auch die Tatsache, dass dieser hohe Umsetzungs- und Anpassungsaufwand für kleinere Einheiten schlicht darin begründet liegt, dass sie vor dem 25.5.2018 das schon damals geltende Datenschutzrecht nicht (voll) eingehalten haben. Es macht in der Praxis natürlich einen Unterschied, ob man als Unternehmen von null startet oder aber schon auf vorhandene Datenschutzdokumentation und -prozesse aufbauen kann.

Vorgeschlagene Änderungen

Wie vor einigen Monaten, auch im Rahmen der Diskussionen zum Entwurf des 2. Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU – 2. DSAnpUG-EU), schlägt Niedersachsen vor, § 38 BDSG, also die Anforderungsschwelle zur Benennung eines Datenschutzbeauftragten, anzupassen. Der Bundesrat soll die die Bundesregierung auffordern, „hier nachzubessern und die in § 38 Abs. 1 S. 1 BDSG genannte Mindestanzahl von zehn Personen deutlich anzuheben“. Ein Vorschlag für eine neue Schwelle, oberhalb von 10 Personen, wird nicht gemacht. Diese Forderung ist nicht neu. Jedoch sollte dem Gesetzgeber klar sein, dass viele kleinere Unternehmen denken, dass eine Pflicht zur Benennung gleichbedeutend mit der Pflicht zur Einhaltung des Datenschutzrechts an sich ist. Das ist natürlich ein Trugschluss. Sollte die Schwelle angehoben werden, besteht sicherlich die Gefahr, dass kleinere Einheiten davon ausgehen, dass, wenn sie keinen Datenschutzbeauftragten benennen müssen, auch die übrigen Anforderungen der DSGVO für sie nicht gelten.

Eventuell unterliegt auch die Landesregierung Niedersachsen selbst diesem Trugschluss. In einem weiteren Antrag wird formuliert: „Der Bundesrat fordert die Bundesregierung daher auf, zu prüfen, ob eingetragene Vereine, die überwiegend oder ausschließlich mit Ehrenamtlichen arbeiten, von der Anwendung des § 38 Abs. 1 BDSG ganz ausgenommen werden können. Mindestens jedoch sollten für Vereine weitgehende Ausnahmen in Bezug auf die verpflichtende Benennung einer/eines Datenschutzbeauftragten in das BDSG aufgenommen werden“. Die Landesregierung versteift sich hier auf ein Mini-Thema der DSGVO, die Benennung des Datenschutzbeauftragten. Jedoch bedeutet die fehlende Pflicht zur Benennung natürlich nicht, dass die übrigen Anforderungen der DGSVO nicht zu beachten wären (Bsp: Datenschutzinformationen erstellen, Verzeichnis der Verarbeitungstätigkeiten führen, Einhaltung der Datenschutzgrundsätze nach Art. 5 Abs. 1 DSGVO, Abschluss von Verträgen zur Auftragsverarbeitung).

Zudem schlägt die Landesregierung vor, die Meldefrist für Datenpannen nach Art. 33 Abs. 1 DSGVO auf ihre Angemessenheit zu prüfen. „Der Bundesrat bittet die Bundesregierung daher, zu evaluieren, ob diese Frist tatsächlich angemessen ist. Sofern die Frist sich in der Praxis als unangemessen kurz erweisen sollte, bittet der Bundesrat die Bundesregierung auf eine Verlängerung der Frist hinzuwirken“. Im Grunde soll also eine Anpassung der DSGVO auf europäischer Ebene in diesem Punkt angestoßen werden. Warum die Frist zu kurz (also unangemessen) sein könnte, begründet die Landesregierung leider nicht.

Auch verlangt die Landesregierung, gesetzlich auszuschließen, dass Datenschutzverstöße durch Wettbewerber abgemahnt werden können. Auch dieses Thema ist nicht neu und wird schon länger diskutiert. „Daher sollte in diesem Zusammenhang eine ausdrückliche Ausschlussregelung getroffen werden. Der Bundesrat fordert eine klarstellende gesetzliche Formulierung“.