Anpassung an die DSGVO: Sachsen-Anhalt reformiert Stellung des Landesdatenschutzbeauftragten

Als soweit ersichtlich erstes Bundesand ist nun ein Gesetzentwurf der Landesregierung Sachsen-Anhalt zur Anpassung des geltenden Landesdatenschutzgesetzes (DSG LSA) veröffentlicht worden (LT-Drs. 7/1736, 15.08.2017, pdf).

Mit dem „Entwurf eines Gesetzes zur Organisationsfortentwicklung des Landesbeauftragten für den Datenschutz“ soll die Organisation des Landesbeauftragten für den Datenschutz in Sachsen-Anhalt an die Vorgaben der EU Datenschutz-Grundverordnung (DSGVO) angepasst werden.

Lau der Begründung zum Entwurf ist dieser Teil eines zweistufigen Verfahrens zur Anpassung des DSG LSA an das EU-Recht. In dem vorliegenden Entwurf sollen die organisationsrechtlichen Fragestellungen behandelt werden. Dabei ist es das Ziel, zum 1. Januar 2018 eine arbeitsfähige Aufsichtsstruktur zu schaffen. In der zweiten Stufe sollen die materiell-rechtlichen Anpassungen an die neuen europarechtlichen Vorgaben vorgenommen werden. Dies betrifft z. B. die Neuregelung von sogenannten Betroffenenrechten in einem die DSGVO ausfüllenden Landesgesetz.

Momentan ist die Geschäftsstelle des Landesbeauftragten für den Datenschutz ist noch bei der Präsidentin des Landtags angesiedelt. Die Beibehaltung dieses Status quo scheidet jedoch als europarechtlich nicht zulässig in Zukunft aus. Hierzu wird § 21 Abs. 3 DSG LSA neu gefasst. Mit der Änderung soll der gesetzgeberische Auftrag aus Art. 52 DSGVO umgesetzt werden. Nach Art. 52 Abs. 1 DSGVO handelt jede Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben und bei der Ausübung ihrer Befugnisse gemäß dieser Verordnung völlig unabhängig. Um diese „völlige“ Unabhängigkeit herzustellen, wird die Geschäftsstelle aus der Landtagsverwaltung herausgelöst und verselbständigt.

Ganz interessant ist, dass Sachsen-Anhalt laut der Gesetzesbegründung auch darüber nachgedacht hatte, eine große Datenschutzbehörde für die Bundesländer Sachsen, Sachsen-Anhalt und Thüringen zu schaffen. Diese Idee wird aber nicht weiter verfolgt, die entsprechende Bereitschaft von Sachsen und Thüringen nicht signalisiert worden ist.

Nachfolgend noch ein kurzer Überblick zu ein paar Neuerungen im DSG LSA.

In § 20 Abs. 1 S. 2 DSG LSA werden die Anforderungen an den Landesdatenschutzbeauftragten neu gefasst und der DSGVO angeglichen. So wird der Tatbestand der besonderen Sachkunde für das Mitglied der Aufsichtsbehörde aus Art. 53 Abs. 2 DSGVO übernommen und als Ernennungserfordernis für den Landesbeauftragten für den Datenschutz normiert. Nach der Gesetzesbegründung wird diese ein Berufsanfänger nicht haben. Zudem wird die Altersdiskriminierung hinsichtlich der Vollendung des 35. Lebensjahres wird gestrichen.

Der Landesbeauftragte wird durch eine entsprechende Regelung in § 21 DSG LSA sowohl Aufsichtsbehörde im Sinne der DSGVO als auch Aufsichtsbehörde für den Bereich von Polizei und Justiz bis hin zur Strafvollstreckung im Sinne der RL (EU) 2016/680.

Die Möglichkeit, Bußgelder gegenüber öffentlichen Stellen des Landes zu verhängen, soll in § 22 Abs. 1 DSG LSA ausgeschlossen werden. Diese Möglichkeit eröffnet Art. 83 Abs. 7 DSGVO. Nach dem geplanten § 22 Abs. 1 DSG LSA erfüllt der Landesbeauftragte für den Datenschutz gegenüber allen öffentlichen Stellen die Aufgaben aus Art. 57 DSGVO und dazu stehen ihm die Befugnisse aus Art. 58 DSGVO, also auch gegenüber öffentlichen Stellen, zu. Geldbußen können durch den Landesbeauftragten gegenüber öffentlichen Stellen aber nicht verhängt werden. Nach Auffassung der Landesregierung sollten die europarechtlich normierten Befugnisse (Art. 58 DSGVO) der Aufsichtsbehörde ausreichen, hier zu rechtmäßigem Verhalten bei den Behörden anzuhalten. Ob das in der Praxis tatsächlich der Fall sein wird, muss man wohl abwarten.

Klarstellend ist jedoch anzumerken, dass gegen öffentliche Stellen, die als öffentlich-rechtliche Unternehmen am Wettbewerb teilnehmen, wie auch derzeit Bußgelder nach den für nicht-öffentliche Stellen geltenden Vorschriften verhängt werden können.

Der neue § 31b Abs. 1 S. 1 DSG LSA konzentriert die Zuständigkeit für Streitigkeiten in Datenschutzangelegenheiten aus allen Verwaltungsgerichtsbezirken des Landes beim Verwaltungsgericht Magdeburg. Nach § 31b Abs. 3 DSG LSA kann auch eine Landesbehörde gegen eine sie betreffende Anordnung des Landesbeauftragten für den Datenschutz Anfechtungsklage erheben. Diese Regelung ist, aufgrund der Befugnisse des Datenschutzbeauftragten nach Art. 58 DSGVO, erforderlich. Soweit sich auf der Klägerseite das Land bzw. eine Landesbehörde und auf der Beklagtenseite der Landesbeauftragte gegenüberstehen, handelt es sich um einen Insichprozess. Diese sind u. a. dann statthaft, wenn der Gesetzgeber die Zulassung des Insichprozesses ausdrücklich normiert, was mit Abs. 3 geschieht.

Saarländische Datenschutzbehörde: SmartHome nur mit Einwilligung der Mieter?

Am 21. Juni 2017 hat das Unabhängige Datenschutzzentrum Saarland seinen 26. Tätigkeitsbericht der saarländischen Landesbeauftragten für Datenschutz und Informationsfreiheit für die Jahre 2015/2016 vorgestellt (PDF).

In dem Tätigkeitsbericht informiert die Behörde auch über einen interessanten Fall aus dem Bereich des „Smart Home“, also der vernetzen bzw. mit Sensoren ausgestatteten Wohnung (ab S. 169).

Ein Unternehmen wandte sich mit der Frage an die Datenschutzbehörde, unter welchen datenschutzrechtlichen Bedingungen von dem Unternehmen angebotene Klimasensoren in Mietwohnungen im Saarland auf Wunsch der Vermieter dauerhaft angebracht werden können.

Der Nutzen dieser Sensoren lag darin, dass das Unternehmen ein Sensorsystem anbieten würde, welches in „gefährdeten“ Räumen einer Mietwohnung die relative Luftfeuchtigkeit, die Temperatur, den Luftdruck sowie den CO- und CO2-Gehalt permanent erfasst. Die Daten würden dann von dem einzelnen Sensor an das Unternehmen übermittelt und dort gespeichert. Bei der Feststellung eines den Schimmel begünstigenden Raumklimas sollte der Mieter über eine automatisch durch das System erzeugte Meldung informiert werden, damit dieser Gegenmaßnahmen ergreifen kann.

Gleichzeitig sollte auch der Vermieter informiert werden. Sowohl Mieter als auch Vermieter sollten zudem auf die gespeicherten Daten zugreifen können.

Nach Auffassung der Datenschutzbehörde werde im Rahmen des Einsatzes des Sensorsystems mit personenbezogenen Daten von Mietern umgegangen, da gerade eine Personenbeziehbarkeit der systemseitig im Wohnraum erfassten und gespeicherten Werte intendiert wird.

Zudem ging die Behörde davon aus, dass der Vermieter als „verantwortliche Stelle“ agieren würde. Das Unternehmen würde als Auftragsdatenverarbeiter nach § 11 BDSG fungieren.

Beide Auffassungen der Behörde kann man sicherlich nachvollziehen und gut begründbar vertreten. Interessant wäre jedoch die Frage, inwiefern der Zugriff der Mieter auf die Daten im System Einfluss auf die Verantwortlichkeitsverhältnisse hat. Dies würde wohl auch davon abhängen, was genau die Mieter überhaupt mit den Daten machen könnten. Dazu enthält der Bericht leider keine Informationen.

Doch nun kommt die Behörde zum entscheidenden Teil ihrer Prüfung. Nach ihrer Ansicht ist Grundlage für den Datenumgang

allenfalls die Einwilligung des betroffenen Mieters.

Auf andere Erlaubnistatbestände des Datenschutzrechts geht die Aufsichtsbehörde unverständlicherweise überhaupt nicht ein. Dabei könnte man hier, im Verhältnis zwischen Vermieter und Mieter, doch daran denken, dass die im System durchgeführte Datenverarbeitung erforderlich ist, um das bestehende Vertragsverhältnis durchzuführen (§ 28 Abs. 1 S. 1 Nr. 1 BDSG). Denn der Mieter wird vertraglich dazu verpflichtet sein, die Mietsache nicht zu beschädigen und damit z.B. auch der Schimmelbildung entgegenzuwirken. Gerade hierfür dient ja das System.

Auch der Erlaubnistatbestand des § 28 Abs. 1 S. 1 Nr. 2 BDSG (die Interessabwägung) käme zur Legitimation der Verarbeitungen in Betracht. Danach ist die Verarbeitung zulässig, soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt. Berechtigte Interessen des Vermieters bestehen in jedem Fall. Er möchte verhindern, dass sein Eigentum Schaden nimmt. Gerade auf Seiten des Mieters bestehen aber auch schutzwürdige Interessen, die für die Datenverarbeitung sprechen. Dem Mieter wird, gerade aus Gesundheitsaspekten, daran gelegen sein, eine Schimmelbildung zu verhindern. Wenn der Mieter zudem noch angemessen über die Datenverarbeitung informiert ist, sprechen meines Erachtens durchaus gute Argumente dafür, hier eine Zulässigkeit der Verarbeitung in Betracht zu ziehen.

Die Behörde hielt an ihrer Auffassung zur Einwilligung als einzige Möglichkeit fest und kommunizierte dies dem Unternehmen. Seitdem erfolgte keine Rückmeldung des Unternehmens.

German Data Protection Authority publishes questionnaire for GDPR implementation

The Bavarian Data Protection Authority for the Private Sector (DPA) has published a questionnaire for the GDPR implementation (pdf) in companies. This questionnaire has already been published a while ago in German (pdf), but the DPA now translated this helpful set of questions into English.

Why is this of help to you? One has to know that the questionnaire is fictional and the DPA in fact sent it out to companies but did not except answers. The purpose of the questionnaire is to help companies and offer them the possibility to examine the status quo of the GDPR implementation by answering the questions.

However, this set of questions to some extent reveals the focus of a data protection authority when it comes to the question of GDPR compliance. Of course, these questions may in the end be altered and companies (especially in Bavaria) might be faced with other questions by the DPA. But companies should have a proper look at this catalogue, because in my opinion, these questions really form the very basis of topics companies must address in the time remaining till 25th May 2018.

The questions by the DPA concern (among other topics) overview of processing activities, the involvement of third parties and accountability and risk management.

Europäische Datenschutzbehörden veröffentlichen Leitlinien zum Beschäftigtendatenschutz

Mit ihrer Stellungnahme 2/2017 vom 8. Juni 2017 (PDF) haben sich die europäischen Datenschutzbehörden, die in der Art. 29 Datenschutzgruppe versammelt sind, zu verschiedenen Fragen der Verarbeitung personenbezogener Daten im Rahmen des Beschäftigungsverhältnisses geäußert. Interessant und für die Praxis besonders relevant ist, dass sich die Datenschutzbehörden in ihrer Stellungnahme nicht nur zur aktuellen Rechtslage (also zur europäischen Datenschutzrichtlinie 95/46/EG) äußern, sondern auch ein Ausblick auf die Auslegung der EU Datenschutz-Grundverordnung (DSGVO) im Kontext der Verarbeitung personenbezogener Daten von Beschäftigten geben.

Die nun veröffentlichte Stellungnahme ist nicht die erste, die sich mit dem Beschäftigtendatenschutz befasst. Bereits im Jahre 2001 und 2002 hat die Art. 29 Datenschutzgruppe Stellungnahmen hierzu veröffentlicht. Die nun vorliegende Stellungnahme ist jedoch nach Ansicht der Datenschützer insbesondere deshalb erforderlich, da sich seit Veröffentlichung der vorherigen Stellungnahmen die technischen Gegebenheiten und Möglichkeiten zur Verarbeitung personenbezogener Daten gerade auch im Beschäftigungsverhältnis geändert haben. Aus diesem Grund möchten die Datenschützer auch hier neue Leitlinien veröffentlichen.

Die vorliegende Stellungnahme befasst sich daher insbesondere auch mit neuen Verarbeitungsmöglichkeiten, etwa im Rahmen von Social Media Plattformen. Insgesamt behandelt Stellungnahme hierzu neun beispielhafte Szenarien und die Datenschützer stellen dar, inwiefern Datenverarbeitung in diesen Szenarien ihrer Auffassung nach zulässig sind. Hier bereits der Hinweis: die Stellungnahme der Art. 29 Datenschutzgruppe ist kein Gesetz und nicht bindend, für die Praxis aber natürlich durchaus von Relevanz.

Wer ist Beschäftigter?

Ganz zu Beginn ihrer Stellungnahme weisen die Datenschützer darauf hin, dass der Begriff des „Beschäftigten“ im Rahmen ihrer Stellungnahme nicht zu eng zu verstehen ist und insbesondere nicht unbedingt den klassischen festen Anstellungsvertrag voraussetzt. Die Datenschützer erwähnen etwa auch freie Mitarbeiter, die ihrer Ansicht nach unter den Begriff des Beschäftigten im Rahmen dieser Stellungnahme fallen. Den Datenschützern geht es gerade nicht darum, nur solche Szenarien abzudecken, in denen tatsächlich ein Arbeitsvertrag besteht.

Möglichkeiten der Verarbeitung im Beschäftigungsverhältnis

Zunächst befasst sich die Stellungnahme mit den Verarbeitungsmöglichkeiten auf der Grundlage der noch geltenden EU Datenschutzrichtlinie. Zudem weisen die europäischen Datenschutzbehörden darauf hin, dass sie sich wünschen würden, dass in dem derzeit diskutierten Vorschlag für eine ePrivacy-Verordnung eine spezifische Ausnahme für den Zugriffs auf Endgeräte von Arbeitnehmern aufgenommen wird. Diese Möglichkeit wurde kürzlich im Entwurf eines Berichts des LIBE-Ausschusses im Europäischen Parlament vorgesehen. Meines Erachtens nach ergeben sich mit Einführung einer solchen Spezifizierung hinsichtlich des Zugriffs auf Endgeräte im Arbeitsverhältnis jedoch schwierige Fragen der Abgrenzung zur DSGVO und auch dem neuen BDSG. Hierzu mein Blogbeitrag.

Einwilligung

Nach Auffassung der Datenschutzbehörden stellt die Einwilligung der Beschäftigten für die überwiegende Mehrheit von Datenverarbeitungsvorgängen zumeist nicht die passende Grundlage dar. Diese Auffassung der Datenschutzbehörden (gerade auch in Deutschland) ist nicht unbedingt neu. Gerne wird auch pauschal die Möglichkeit verneint, dass Beschäftigte eine datenschutzrechtliche Einwilligung gegenüber ihrem Arbeitgeber abgeben könnten. In Deutschland hat das Bundesarbeitsgericht (Urt. v. 11.12.2014 – 8 AZR 1010/13) völlig zu Recht entschieden, dass natürlich auch im Beschäftigungsverhältnis die Möglichkeit einer datenschutzrechtlichen Einwilligung per se erst einmal gegeben ist. Es kommt dann freilich immer stets auf die Umstände an, ob die Anforderungen der Einwilligung tatsächlich auch erfüllt sind, wie etwa die Freiwilligkeit der Abgabe der Einwilligungserklärung. Die Datenschutzbehörden gehen davon aus, dass eine Einwilligung im Beschäftigungsverhältnis insbesondere dann nicht wirksam ist, wenn sich an die Weigerung der Abgabe einer Willenserklärung durch den Beschäftigten eine negative Folge für diesen knüpfen würde. In diesem Fall fehlt es an der Freiwilligkeit der Abgabe der Einwilligungserklärung.

Durchführung des Arbeitsvertrages

Viele Datenverarbeitungen im Beschäftigungsverhältnis können in der Praxis auf der Grundlage des Arbeitsvertrages und zu dessen Durchführung vorgenommen werden. Dieser Auffassung sind auch die Datenschützer und verweisen beispielhaft etwa auf Datenverarbeitung im Rahmen von Gehaltszahlungen.

Interessenabwägung

Die in der Praxis jedoch wohl wichtigste Grundlage für eine Verarbeitung personenbezogener Daten von Beschäftigten stellt die Möglichkeit einer Interessenabwägung zwischen den berechtigten Interessen des Arbeitgebers und den schutzwürdigen Interessen des Arbeitnehmers dar (Art. 7 f) EU Datenschutzrichtlinie). Nach Auffassung der Datenschutzbehörden muss die Datenverarbeitung in diesem Fall in jedem Fall angemessen und verhältnismäßig sein. Zudem sollten Datenverarbeitungen im Arbeitsverhältnis stets die am wenigsten einschneidende Maßnahme in Bezug auf die Rechte des Arbeitnehmers darstellen. In jedem Fall, so die Datenschutzbehörden, ist es erforderlich, das durch den Arbeitgeber bestimmte Maßnahmen umgesetzt sind, um die Risiken für die Arbeitnehmer zu minimieren und die schutzwürdigen Interessen der Arbeitnehmer gebührend zu berücksichtigen. Am Beispiel der Überwachung von Arbeitnehmern stellen die Datenschützer dar, dass solche Maßnahmen etwa eine geographische Begrenzung der Überwachung darstellen können, die Begrenzung kann sich aber auch auf bestimmte Datenkategorien beziehen oder aber auch auf bestimmte Zeitintervalle erstreckt werden. Dies wären nach Auffassung der Datenschutzbehörden solche angemessenen Maßnahmen, um die schutzwürdigen Interessen der betroffenen Arbeitnehmer zu berücksichtigen.

DSGVO

Des Weiteren befassen sich die Datenschutzbehörden auch mit der Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis unter den Vorgaben der DSGVO. Zumindest wird in der Stellungnahme kurz auf einige Besonderheiten der DSGVO hingewiesen. Zum einen auf die Anforderungen des Art. 25 DSGVO, dem Prinzip des Datenschutzes durch Technikgestaltung und durch Voreinstellungen. Nach Auffassung der Datenschutzbehörden bedeutet dies für die Arbeitgeber, dass, wenn sie Endgeräte an ihre Arbeitnehmer herausgeben, diese Endgeräte mit datenschutzfreundlichen Voreinstellungen bestückt sein müssen und das Prinzip der Datenminimierung auf der technischen Ebene beachtet werden muss.

Zu dem für den Beschäftigtendatenschutz relevanten Art. 88 DSGVO (umgesetzt im neuen § 26 BDSG) verhalten sich die Datenschutzbehörden nicht besonders ausführlich. Sie geben allein den Inhalt des Artikels wieder. Jedoch weisen die Datenschutzbehörden darauf hin, dass die Anforderungen des Art. 88 Abs. 2 DSGVO, dass Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umzusetzen sind, im Rahmen der in der vorliegenden Stellungnahme dargestellten Szenarien beachtet wurden. Die in der Stellungnahme entwickelten Leitlinien erläutern den zulässigen Einsatz von neuen Technologien und stellen dabei die erforderlichen Anforderungen dar, die nach Art. 88 Abs. 2 DSGVO bei der Datenverarbeitung zu erfüllen sind. Dies bedeutet in der Praxis, dass die in der Stellungnahme der Datenschutzbehörden dargestellten Sachverhalte und vorgeschlagenen Lösungsvarianten aus Sicht der Datenschutzbehörden die Anforderungen der DSGVO erfüllen.

Datenverarbeitung aus sozialen Netzwerken

In einem dargestellten Sachverhalt befassen sich die Datenschutzbehörden mit der Situation, das ein potenzieller Arbeitgeber sich vor oder nach einem Vorstellungsgespräch im Rahmen einer Suche im Internet und in Profilen von sozialen Netzwerken ein eigenes Bild über den Kandidaten machen will. Die Datenschutzbehörden weisen jedoch darauf hin, dass nur weil Informationen in einem Profil in einem sozialen Netzwerk öffentlich abrufbar sind, die Arbeitgeber diese Information nicht auch unbedingt für eigene Zwecke nutzen können. Stets ist für jede Datenverarbeitung ein gesetzlicher Erlaubnistatbestand zu erfüllen. Sie weisen jedoch darauf hin, dass, bevor ein Arbeitgeber ein Profil eines Sozialen Netzwerkes genauer untersucht, zunächst zu prüfen ist, um was für eine Art von sozialem Netzwerk es sich handelt. Um ein berufliches Netzwerk oder ein Netzwerk mit privatem Hintergrund. Insbesondere im Rahmen der Interessenabwägung als Erlaubnistatbestand kann dieser Umstand eine Rolle spielen. Zudem, so die Datenschutzbehörden, dürfen potentielle Arbeitgeber Daten nur in dem Umfang erheben und verarbeiten, wie dies für den Bewerbungsprozess tatsächlich absolut notwendig ist. Nach Auffassung der Datenschutzbehörden müssen zudem alle im Rahmen des Bewerbungsprozesses erhobenen und gespeicherten Daten unverzüglich gelöscht werden, sobald deutlich wird, dass den Kandidaten kein Job angeboten wird. Hier lässt sich zumindest kritisch anmerken, dass insbesondere auch in Deutschland die Datenschutzbehörden nicht direkt nach Ende des Auswahlverfahrens die Löschung der Daten verlangen. Insbesondere aufgrund der Möglichkeit des abgelehnten Kandidaten, noch gegen den ablehnenden Arbeitgeber rechtlich vorzugehen (AGG), gestehen auch in Deutschland die Datenschutzbehörden den Unternehmen eine Frist zur Speicherung der Daten zur abgelehnten Bewerbern von einigen Monaten zu.

Überwachung des Datenverkehrs

Ein weiteres Szenario was von den Datenschutzbehörden angesprochen wird, ist die Überwachung und Analyse des Datenverkehrs in das Netzwerk eines Unternehmens und hinaus. Insbesondere aus Sicherheitsgesichtspunkten und zum Schutz der Systeme gestehen die Datenschutzbehörden den Arbeitgebern eine solche Analyse und damit zusammenhängende Datenverarbeitung auch von Arbeitnehmern bis zu einem gewissen Grad zu. Sie weisen jedoch darauf hin, dass eine Überwachung in der Form der Aufzeichnung jeglicher Onlineaktivität von Arbeitnehmern ihrer Auffassung nach eine unverhältnismäßige Maßnahme darstellen würde, insbesondere mit Blick auf das Fernmeldegeheimnis. Interessant ist hierbei, dass die Datenschutzbehörden davon auszugehen scheinen, dass für den Arbeitgeber die Vorgabe der Einhaltung des Fernmeldegeheimnisses per se zu beachten ist. In Deutschland ist diese Frage jedoch umstritten, insbesondere im Rahmen der gestatteten oder nicht gestatteten privaten Nutzung das Onlinezugangs am Arbeitsplatz.

Weitere Szenarien

Auch zum Thema Bring Your Own Device äußern sich die Datenschutzbehörden in ihrer Stellungnahme. Neben weiteren Szenarien erläutern die Datenschutzbehörden auch, was es im Rahmen des Transfers personenbezogener Daten in das Ausland zu beachten gilt. Hier bleiben die Hinweise der Datenschutzbehörden jedoch recht allgemein. Sie weisen allein darauf hin, dass die Anforderungen des Art. 25 der geltenden EU Datenschutzrichtlinie einzuhalten sind. Nach Auffassung der Datenschutzbehörden sollten sich Arbeitgeber in Fällen der Übermittlung von personenbezogenen Daten der Arbeitnehmer in Drittstaaten außerhalb des Europäischen Wirtschaftsraumes insbesondere auf die Mechanismen des Angemessenheitsbeschlusses durch die Europäische Kommission (Bsp: EU US Privacy Shield) verlassen. Daneben können auch die EU Standardvertragsklauseln eine Möglichkeit zum Datentransfer in Drittstaaten sein. Weniger geeignet halten die europäischen Datenschutzbehörden die Ausnahmen für besondere Übermittlungssituationen, wie etwa die ausdrückliche Einwilligung des Arbeitnehmers.

Fazit

Insgesamt ist die doch recht umfangreiche Stellungnahme der Datenschutzbehörden durchaus lesenswert und insbesondere, da sie auch schon die DSGVO im Blick hat, besonders praxisrelevant. Wie immer gilt natürlich, dass man auch hier nicht jegliche Meinung teilen muss. Die Stellungnahme gibt jedoch einen guten Überblick dazu, wie die europäischen Datenschutzbehörden insbesondere in Grenzfällen das Gesetz auslegen bzw. aus ihrer Sicht anwenden.

Aktueller Stand der geplanten ePrivacy-Verordnung: Mitgliedstaaten sehen viele offene Fragen

Im Januar 2017 hat die Europäische Kommission den Entwurf für eine neue Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation), pdf) veröffentlicht (zu dem ersten Leak des Entwurfs im Dezember 2016, hier mein Beitrag).

Die Verordnung (ePrivacy-VO) soll die geltende Datenschutzrichtlinie für elektronische Kommunikation (RL 2002/58/EG in der Fassung durch RL 2009/136/EG) ersetzen, zum Teil neue Regelungen schaffen und inhaltlich mit der Datenschutz-Grundverordnung abstimmen. Grundsätzlich soll diese neue Verordnung zum 25. Mai 2018 anwendbar sein. Ein sehr ambitioniertes Vorhaben.

Der Entwurf wird nun von dem Europäischen Parlament und auch dem Rat der Europäischen Union begutachtet und jeweils eigene Stellungnahmen und Änderungswünsche erarbeitet. Im Ausschuss für bürgerliche Freiheiten, Justiz und Inneres im Europäischen Parlament ist die Abstimmung derzeit zunächst für Oktober 2017 geplant.

Auch der Rat (also die Mitgliedstaaten) befasst sich mit dem Entwurf, dort insbesondere in einer eigenen Arbeitsgruppe für Telekommunikation und Informationsdienste (WP TELE). In dieser Gruppe wurden bisher die Artikel 1 – 8 (von insgesamt 29) des Entwurfs näher besprochen. Hier liegt also noch einiges an Arbeit vor der Arbeitsgruppe.

Doch bereits zum aktuellen Zeitpunkt der Beratungen lassen sich mehrere kritische Themen identifizieren, bei denen die Mitgliedstaaten Diskussions- und ggf. Anpassungsbedarf sehen. Über diesen aktuellen Stand hat nun die Ratspräsidentschaft in einem Bericht (pdf) vom 19. Mai 2017 informiert.

So wird etwa die geplante Zuständigkeit der nationalen Datenschutzbehörden für die Überwachung der Regeln der ePrivacy-VO und deren Durchsetzung kritisch gesehen. Insbesondere sei dies nach Auffassung einiger Mitgliedstaaten nicht unbedingt der passende Weg, um das Problem der uneinheitlichen Durchsetzung der Regelungen in Europa zu lösen.

Zwar wurden die Ziele des Entwurfs in der WP TELE grundsätzlich positiv bewertet, insbesondere ein hohes Schutzniveau für die Privatsphäre zu garantieren. Jede erfordere die angedachte Form der EU-Verordnung einen höheren Detailgrad der Regelungen (als im Fall einer Richtlinie). Aus diesem Grund halten Delegationen der Mitgliedstaaten den angedachten Zeitpunkt der Anwendbarkeit am 25. Mai 2018 daher auch für schlicht unrealistisch.

Zudem besteht aus Sicht der Mitgliedstaaten Klärungsbedarf bei dem Verhältnis und Zusammenspiel der Regelungen mit anderem europäischen Recht, insbesondere der Datenschutz-Grundverordnung.

Ganz konkret kritisieren Delegationen auch den sachlichen Anwendungsbereich der ePrivacy-VO. Die Ausweitung auf over-the-top-Dienste (OTT) erfordere weitere Klärung. Auch existieren offene Fragen mit Blick auf die Ausweitung des Anwendungsbereichs auf die Maschine-Maschine-Kommunikation.

Hier lässt sich bereits erkennen, dass die Kritik der Delegationen im Rat teilweise schon bei den ganz grundsätzlichen Regelungen und Neuerungen (etwa Einbeziehung der OTT Dienste) ansetzt.

Auch die Vorschriften zu den Erlaubnistatbeständen, wann also Kommunikationsdaten verarbeitet werden dürfen, sehen manche Delegationen also zu eng an und fordern mehr Möglichkeiten und Flexibilität.

Auch das Thema „Cookies“ wird von den Mitgliedstaaten analysiert und die Regelungen im Entwurf kritisiert. Einige Delegationen fordern genauere Bestimmungen zu den Ausnahmen vom generellen Verbot der Datenverarbeitung über Cookies und auch das Gerätetracking. Hier soll über eine Liste mit weiteren Ausnahmen (auch von der Einwilligung der Nutzer) nachgedacht werden.

Datenschutzbehörde: Datenschutz-Grundverordnung verpflichtet Hersteller von IoT-Geräten zu Sicherheits-Updates

Gestern hat die Landesdatenschutzbeauftragte in Nordrhein-Westfalen ihren Tätigkeitsbericht (pdf) für das Jahre 2016 vorgestellt.

In ihrem Bericht befasst die Datenschutzbeauftragte auch ausführlich mit den „Risiken und Nebenwirkungen des Internet der Dinge“ (IoT). Nach Auffassung der Datenschützerin verarbeiten die unterschiedlichsten vernetzten Dinge (wie Kühlschrank, Waschmaschine oder Fernseher) zum Teil höchst sensible und persönliche Daten. Betroffen hiervon sind auch „personenbezogene Daten“ im Sinne des Datenschutzrechts. Für die Datenschutzbeauftragte spielt, neben den reinen datenschutzrechtlichen Anforderungen (also insbesondere die Frage, ob bestimmte Daten überhaupt verarbeitet werden dürfen) auch die IT-Sicherheit als „Basisvoraussetzung“ bei der Gewährleistung des Datenschutzes im Internet der Dinge eine entscheidende Bedeutung.

Zur Beurteilung des Datenschutzes ist nach Ansicht der Datenschutzbeauftragten in den Blick zu nehmen, welche Daten die Geräte im Einzelnen erheben und was mit ihnen geschieht. Zwar wünsche sie sich eigentlich die Speicherung und Nutzung der Daten ausschließlich lokal auf den Geräten – dies sei in der Praxis jedoch kaum durchführbar, da Hersteller die Einbindung des Gerätes in die Cloud verpflichtend ausgestalten. Dies kritisiert die Datenschutzbeauftragte: die technische Notwendigkeit hierfür sei nicht ersichtlich.

Die im Zusammenhang mit dem IoT stehenden Themen beträfen zentrale Elemente der ab Mai 2018 anwendbaren EU-Datenschutz-Grundverordnung (DSGVO). Nach Ansicht der Landesdatenschutzbeauftragten verpflichtet die DSGVO (leider wird kein konkreter Artikel genannt) Hersteller dazu, angemessene Maßnahmen zu treffen, um die Einhaltung der Datenschutzgrundsätze sicherzustellen. Wahrscheinlich stellt die Datenschutzbeauftragte hier zum einen auf die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO ab. Danach ist der für die Datenverarbeitung  Verantwortliche für die Einhaltung der in Art. 5 Abs. 1 DSGVO aufgezählten Datenschutzgrundsätze  verantwortlich und muss dessen Einhaltung nachweisen können. Zudem dürfte die Datenschutzbeauftragte Art. 24 Abs. 1 DSGVO im Blick haben, nach dem der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzen muss, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der DSGVO erfolgt.

Zum Umfang dieser DSGVO-Pflichten gehört es nach Ansicht der Datenschutzbeauftragten auch,

bei der Produktentwicklung auch die IT-Sicherheit zu berücksichtigen und notfalls zeitnah Updates bereitzustellen.

Diese Pflichten fasst die Datenschutzbeauftragte auch unter den „Datenschutz durch Technikgestaltung“ nach Art. 25 Abs. 1 DSGVO.

Die Datenschutzbeauftragte geht in ihrer Stellungnahme jedoch leider nicht auf die Problematik ein, dass sowohl Art. 25 Abs. 1 DSGVO als auch Art. 24 Abs. 1 DSGVO nicht per se den Produkthersteller adressieren, sondern allein der „Verantwortliche“ verpflichtet ist. In der Praxis kann es aber durchaus vorkommen, dass der Hersteller eines vernetzten Produktes gar nicht als Verantwortlicher für die spätere Datenverarbeitung agiert. In diesem Fall ist der Hersteller aber auch nicht nach der DSGVO verpflichtet. Nicht ohne Grund verweist wohl daher auch Erwägungsgrund 78 DSGVO darauf, dass

die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden

sollten, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen und unter gebührender Berücksichtigung des Stands der Technik sicherzustellen. Von einer Verpflichtung der Hersteller ist hier keine Rede.

Die Datenschutzbeauftragte informiert dennoch abschließend, dass die Hersteller, auch im Hinblick auf die DSGVO, gefordert sind, ihre Angebote auf Konformität mit dem Datenschutzrecht zu überprüfen und entsprechend anzupassen.

In der Zukunft wird man abwarten müssen, wie die Vorgaben der DSGVO, die nicht „Hersteller“ adressieren, durch die Aufsichtsbehörden und im Streitfall auch durch die Gerichte ausgelegt werden. Klar ist jedoch, dass Datenverarbeitungen im Internet der Dinge den Anforderungen der DSGVO genügen müssen.

Anhörung im Innenausschuss des Bundestages – Meine Stellungnahme zum BDSG-E

Am 27. März 2017 habe ich die Ehre als Sachverständiger im Innenausschuss des Bundestages zu dem Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) sprechen zu dürfen. Darüber freue ich mich sehr.

Meine Stellungnahme, in der ich (aufgrund der knappen Bearbeitungszeit) nur einige Themen anschneiden konnte, kann man über die Seite des Innenausschusses herunterladen (PDF).

Schwerpunktmäßig geht es natürlich um die Anpassung des BDSG an die Vorgaben der Datenschutz-Grundverordnung. In einem allgemeinen Teil gehe ich aber auch auf die europäischen Vorgaben zur Anpassung des deutschen Rechts ein und stelle meine Meinung zu dem Streitpunkt dar, ob nationale Datenschutzbehörden möglicherweise gegen EU-Vorgaben verstoßende nationale Norman nicht anwenden dürfen (oder können). Viel Spass bei der Lektüre.

Für die Anhörung kann man sich noch bis zum 23. März 2017 über die Adresse innenausschuss@bundestag.de anmelden.

Aufsichtsbehörde: Website-Hosting bedarf eines Vertrags zur Auftragsdatenverarbeitung

In seinem kürzlich vorgestellten Tätigkeitsbericht für die Jahre 2015/2016 (pdf) berichtet das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) über Anfragen von Unternehmen, wie Dienstleistungen von Website-Hostern datenschutzrechtlich einzuordnen sind und welche gesetzlichen Anforderungen erfüllt werden müssen (S. 39).

Nach Ansicht des BayLDA handelt es sich etwa bei der Entgegennehme und Archivierung von E-Mails von Kunden oder Interessenten oder von Kontaktformulareintragungen auf der Website und bei einem Tracking des Verhaltens der Website-Nutzer im Auftrag um eine Verarbeitung personenbezogener Daten des Service-Providers im Auftrag für das jeweilige Unternehmen (z. B. Website- oder App-Betreiber). Dies bedeutet, dass die gesetzlichen Anforderungen des § 11 Abs. 2 S. 2 BDSG zu erfüllen sind und insbesondere ein Vertrag mit den dort benannten Regelungen zwischen Auftraggeber und Dienstleister abgeschlossen werden muss. Dieser Auftrag muss schriftlich erteilt werden. Das Fazit des BayLDA:

 Wenn ein Service-Provider zu einer solchen Vertragsregelung nicht bereit ist, kann er im geschäftlichen Bereich nicht datenschutzkonform eingesetzt werden.

Meiner Erfahrung nach ist der gesetzeskonforme Abschluss eines Vertrages zur Auftragsdatenverarbeitung in diesen Situationen in der Praxis eher die Ausnahme, als die Regel. Dies dürfte auch damit zusammenhängen, dass es heutzutage für Unternehmen sehr schnell und einfach möglich ist, online entsprechende Dienstleistungen eines Website-Hosters in Anspruch zu nehmen. An den schriftlichen Abschluss eines Vertrages zur Auftragsdatenverarbeitung wird dann oft nicht gedacht.

Für Unternehmen, die auf solche Dienstleister zurückgreifen, bedeutet dies, dass sie sich um den Abschluss entsprechender Verträge kümmern sollten, wenn dies nicht bereits geschehen ist. Erfolgt diese Auftragserteilung nicht den gesetzlichen Vorgaben entsprechend, droht schlimmstenfalls ein Bußgeld. Das BayLDA berichtet in seinem Tätigkeitsbericht über einen Sachverhalt, in dem die Behörde eine Geldbuße in fünfstelliger Höhe gegen ein Unternehmen festgesetzt hat. Das Unternehmen hatte in seinen schriftlichen Aufträgen mit mehreren Auftragsdatenverarbeitern keine konkreten technisch-organisatorischen Maßnahmen zum Schutz der Daten festgelegt (S. 41).

In der Praxis stellt sich für Unternehmen, die einen solchen Dienstleister einsetzen und auch vertraglich verpflichten möchten, oft das Problem, dass der Dienstleister zum einen für die Erstellung und zum anderen für die Pflege des gesetzlich vorgeschriebenen Vertrages zur Auftragsdatenverarbeitung eine Gebühr verlangt. Auch hierüber berichtet das BayLDA (S. 41). Ob die Forderung nach einem Entgelt zulässig ist, dazu möchte sich das BayLDA in seinem Tätigkeitsbericht, mit Verweis auf die zivilrechtliche Implikation der Fragestellung, nicht äußern.

Datenschutzbehörde: Mögliche Bußgeldverfahren wegen Einsatz von Facebook Custom Audience

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat heute seinen neuen Tätigkeitsbericht für 2015/2016 vorgestellt. Dort (S. 30) berichtet die Behörde über eine durchgeführte Prüfung von bayerischen Unternehmen hinsichtlich des Einsatzes des Dienstes Facebook Custom Audience.

Unternehmen wurden unter anderem gefragt, ob der Dienst Facebook Custom Audience eingesetzt wird, ob E-Mail-Adressen oder Telefonnummern von Kunden an Facebook (gehasht) übertragen werden und ob für den Einsatz von Facebook Custom Audience ein „Facebook-Pixel“? eingesetzt wird.

Dass im Rahmen des Einsatzes des Dienstes datenschutzrechtliche Fragen zu beantworten sind, hat die Behörde bereits in ihrem letzten Tätigkeitsbericht dargestellt. Hierzu mein Blogbeitrag.

Nun berichtet das BayLDA, dass durch die Gespräche mit den verantwortlichen Stellen im Rahmen der Prüfung festgestellt wurde, dass das Verfahren Facebook Custom Audience in der Praxis durchaus Verbreitung findet. Das ist auch meine Erfahrung aus der Beratungspraxis. Laut Aussage des BayLDA waren sich die Unternehmen aber in keinem (!) Fall bewusst, dass dabei eine datenschutzrechtliche Problematik besteht.

Die Behörde berichtet weiter, dass das Thema auf Grund seiner großen Reichweite im Arbeitskreis Medien der deutschen Aufsichtsbehörden platziert und im Dezember 2016 hierzu ein erstes gemeinsames Treffen in Ansbach stattfand. Diese Information dürfte auch für Stellen außerhalb Bayerns von Interesse sein, die Custom Audience nutzen. Denn eventuell wird es in Zukunft auch in anderen Bundesländern Prüfungen der zuständigen Datenschutzbehörden zu dieser Thematik geben.

Beim BayLDA will man nun bei den geprüften Stellen, die angaben, das Verfahren einzusetzen, für Klarheit sorgen, welche Rahmenbedingungen konkret für einen weiteren Einsatz zu berücksichtigen sind.

Das BayLDA verweist in diesem Zusammenhang auch noch einmal ausdrücklich auf seine Ansicht, dass sowohl die Verfahren der Kundenliste als auch die des Zählpixels als datenschutzrechtlich problematisch einzustufen sind.

Nach Aussage der Aufsichtsbehörde könne es insbesondere (wie in der Vergangenheit) angekündigt zur Einleitung von Ordnungswidrigkeitsverfahren kommen.

Unternehmen, die den Dienst Custom Audience nutzen, sollten gerade vor dem Hintergrund, dass sich die Landesdatenschutzbehörden insgesamt mit dem Dienst zu befassen scheinen, prüfen, welche Form des Dienstes sie nutzen und welche datenschutzrechtlichen Anpassungsmaßnahmen eventuell vorzunehmen sind.

 

Datenschutzreform: Bundesratsausschüsse kritisieren Gesetzesentwurf der Bundesregierung zum neuen BDSG

Sieben Ausschüsse des Bundesrates haben sich mit dem „Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs-und -Umsetzungsgesetz EU -DSAnpUG-EU, PDF)“ vom 2. Februar 2017 befasst und mit Datum vom 1. März 2017 ihre Empfehlungen zum Gesetzentwurf für ein neues BDSG abgegeben (Empfehlungen, BR Drs. 110/1/17, PDF).

Insgesamt finden die Ausschüsse wenig Gutes an dem Gesetzentwurf. Die Empfehlungen sind umfangreich (64 Seiten). Nachfolgend möchte ich nur beispielhaft einige Kritikpunkte der Bundesratsausschüsse beleuchten. Die Empfehlungen der Ausschüsse werden bereits nächste Woche, am 10. März 2017, im Bundesrat beraten.

Der zweite Schritt vor dem ersten

Ganz grundsätzlich kritisieren die Ausschüsse, dass eine umfassende Bewertung der vorgeschlagenen Neufassung des BDSG nicht möglich ist, da erforderliche Anpassungen des vorrangigen Fachrechts (also datenschutzrechtlicher Spezialvorschriften) bislang weder erfolgt noch konkret absehbar sind.

Auch die Praxis wird durch dieses Vorgehen vor erhebliche Schwierigkeiten gestellt. Denn dort müssen Verarbeitungsvorgänge an die Anforderungen anpasst werde. Doch wenn diese Anforderungen unklar bleiben, wird eine rechtssichere Umsetzung nur schwer möglich sein.

Aus Sicht der Ausschüsse lässt sich die Situation wie folgt darstellen:

Ansatz, bei dem der zweite Schritt vor dem ersten vollzogen wird.

Datenportabilität beschränken?

Die Ausschüsse schlagen vor, dass die Bundesregierung prüft, inwieweit ein Bedarf für eine Beschränkung des Rechts auf Datenübertragbarkeit gemäß Art. 20 DSGVO besteht. Nach Auffassung der Ausschüsse werden nämlich im Gesetzentwurf, Im Gegensatz zum Recht auf Auskunft, das in § 34 BDSG-E eine Beschränkung erfährt, das Recht auf Datenportabilität trotz seiner funktionalen Nähe zum Recht auf Auskunft bislang keine entsprechenden Beschränkungen vorgesehen.

Diese Kritik mag man verstehen, jedoch sehe ich nicht derart große Parallelen zum Auskunftsrecht, dass auch die Datenportabilität aus diesem Grund beschränkt werden müsste. Inhaltlich unterscheiden sich beide Rechte dann doch an einige Stellen. So besteht das Recht auf Datenportabilität etwa nur für durch die Person „bereitgestellte“ Daten, das Auskunftsrecht aber allgemein.

Definition „Anonymisieren“

Die Ausschüsse schlagen zudem die Aufnahme eines neuen § 2 Abs. 6 BDSG-E vor. In diesem Absatz soll das „Anonymisieren“ definiert werden. Hintergrund ist, dass § 27 Absatz 3 BDSG-E den Begriff “anonymisieren” verwendet, dieser aber weder im Gesetzentwurf noch in der DSGVO definiert wird. Vielmehr wird nur “pseudonymisieren” in der DSGVO verwendet und in Art. 4 Nr. 5 DSGVO definiert. Die vorgeschlagene Definition entspreche dem Verständnis des Begriffs im bisherigen § 3 Abs. 6a BDSG.

Vertretung im Europäischen Datenschutzausschuss und Verfahren der Zusammenarbeit der Aufsichtsbehörden

Die Bundesratsausschüsse sprechen sich zudem für eine Anpassung der Regelungen zur Vertretung Deutschlands im Europäischen Datenschutzausschuss (EDA) aus. Nach Auffassung der Ausschüsse räumt die Ausgestaltung des Verfahrens hinsichtlich der Vertretung der Bundesrepublik Deutschland im Europäischen Datenschutzausschuss im Gesetzentwurf (§ 17 und 18 BDSG-E) den Aufsichtsbehörden der Länder kein hinreichendes Gewicht ein. Die Ausschüsse verlangen, dass die Position der Landesdatenschutzbeauftragten im Hinblick auf deren Hauptvollzugsverantwortung des Datenschutzrechts in Deutschland gestärkt wird.

Nach Auffassung der Ausschüsse spricht der Umstand, dass der Bund für ein Sachgebiet die ausschließliche oder konkurrierende Gesetzgebungskompetenz besitzt, in keiner Weise dafür, dass die Bundesbeauftragte die Bundesrepublik Deutschland insoweit verhandlungsführend im Europäischen Datenschutzausschuss vertreten sollte, wenn der Vollzug dieses Gesetzes allein den Landesdatenschutzbeauftragten obliegt. Insbesondere werden es nämlich auch in Zukunft die Landesbehörden sein, die sich in ihrer Praxis mit privaten Unternehmen auseinanderzusetzen haben. Eine vergleichbare Sachnähe könne es bei der oder dem Bundesbeauftragten naturgemäß nicht geben.

Die vorgeschlagenen Änderungen sind durchaus nachvollziehbar. Man darf wohl auch in einer Analyse des Bundesrates eine landesnahe Auffassung erwarten. Zurecht dürfte aber die Kritik vorgebracht werden, dass in der praktischen Umsetzung und Überwachung der Einhaltung des Datenschutzes die Landesbehörden mehr Erfahrung besitzen als die BfDI.

Zweckändernde Datenverarbeitung

In § 24 Abs. 1 Nr. 2 BDSG-E soll das Wort “rechtlicher” durch das Wort “zivilrechtlicher” ersetzt werden.

Dort ist derzeit vorgesehen, dass die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch nicht-öffentliche Stellen zulässig ist, wenn sie zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist.

Hintergrund der vorgeschlagenen Anpassung ist, dass Art. 23 Abs. 1 lit. j) DSGVO, der Vorgaben dazu macht, zur Sicherstellung welcher Maßnahmen Beschränkungen der Betroffenenrechte im nationalen Recht vorgenommen werden dürfen, nur von „zivilrechtlichen“ und nicht weiter von „rechtlichen“ Ansprüchen spricht.

Des Weiteren sollen in § 24 Abs. 1 Nr. 2 BDSG-E nach dem Wort “Ansprüche” die Wörter “gegenüber der betroffenen Person” eingefügt werden. Hintergrund dieses Vorschlages der Ausschüsse ist, dass in § 24 BDSG-E eine rechtliche Grundlage für nicht-öffentliche Stellen geschaffen wird, die es ihnen erlaubt, eine Weiterverarbeitung von personenbezogenen Daten unabhängig davon vorzunehmen, ob die Zwecke der Verarbeitung mit den ursprünglichen Zwecken, für die die Daten ursprünglich erhoben wurden, vereinbar sind.

Nach Auffassung der Ausschüsse ist diese Regelung für Verbraucherinnen und Verbraucher von besonderer Bedeutung. Die Ausschüsse kritisieren, dass es die Regelung in § 24 BDSG-E

beispielsweise Unternehmen der Digitalwirtschaft ermöglicht, ohne Einwilligung der betroffenen Verbraucherinnen und Verbraucher eine Weiterverarbeitung der personenbezogenen Daten mit dem Hinweis darauf vorzunehmen, diese Daten würden zur “Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche” gegenüber Dritten (zum Beispieleinem Geschäftspartner) gebraucht.

Nach Ansicht der Ausschüsse können nicht betroffene Verbraucher dafür verantwortlich gemacht werden, wenn Unternehmen ihre personenbezogenen Daten für die Durchsetzung zivilrechtlicher Ansprüche im Verhältnis zu Dritten benötigen. Deshalb sollte eine Weiterverarbeitung der personenbezogenen Daten zu anderen Zwecken nur erlaubt sein, wenn rechtliche Ansprüche des Unternehmens gegenüber der betroffenen Person selbst in Rede stehen.

Diesbezüglich ließe sich aber anführen, dass die entsprechenden Vorgaben der DSGVO (Art. 6 Abs. 4 und Art 23 Abs. 1 lit. j)) auch nur „Ansprüche“ erwähnen. Nicht jedoch solche, die gegenüber der betroffenen Person bestehen.

Beschäftigtendatenschutz

Natürlich wird von den Ausschüssen auch der Beschäftigtendatenschutz angesprochen. Nach deren Auffassung waren bereits die geltenden Regelungen zum Beschäftigtendatenschutz in § 32 BDSG ergänzungs-und überarbeitungsbedürftig. Nun ergeben sich aber weitere Anforderungen an den Gesetzgeber aus Art. 88 DSGVO.

Nach Auffassung der Bundesratsausschüsse werden diese aber durch § 26 BDSG-E nicht ausreichend umgesetzt. Daher fordern die Ausschüsse, dass zeitnah ein ergänzender Gesetzentwurf mit spezifischen Regelungen für Datenverarbeitung im Beschäftigtenkontext vorgelegt wird.

Fortgeltung bereits erteilter Einwilligungen?

Die Ausschüsse des Bundesrates scheinen zu bezweifeln, dass derzeit erteilte datenschutzrechtliche Einwilligungen auch nach Anwendbarkeit der DSGVO im Mai 2018 weiter wirksam sind.

Sie bitten die Bundesregierung daher um Prüfung einer gesetzlichen Klarstellung, unter welchen Voraussetzungen die bereits vor Inkrafttreten des Gesetzes erteilten Einwilligungen nicht fortgelten. Die Ausschüsse verweisen berechtigterweise darauf, dass die Voraussetzungen für eine wirksame Einwilligung nach der DSGVO nicht den Regelungen im BDSG entsprechen und teilweise darüber hinausgehen. Daher müssen Unternehmen unter Umständen eine erneute Einwilligung bei den Betroffenen einholen.

Zwar verweisen die Ausschüsse auf den Beschluss der Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich (Düsseldorfer Kreis am 13./14. September 2016), der zwar tendenziell von einer Fortgeltung alter Einwilligung ausging. Dies jedoch auch nur unter dem Vorbehalt der „Grundsätzlichkeit“.

Streichen des Erfordernisses der Schriftlichkeit

Die Bundesratsausschüsse fordern zudem, dass geprüft werde, inwieweit vom Erfordernis der Schriftlichkeit der anzufertigenden Dokumentationen durch datenverarbeitende Stelle abgesehen werden kann.

In §§ 32 und 33 BDSG-E ist derzeit schriftliche Dokumentationspflichten für den Fall vorgesehen, wenn der Verantwortliche von einer Information des Betroffenen abgesehen hat. Dieses Erfordernis der schriftlichen Dokumentation geht aber über die Vorgaben der DSGVO hinaus. Diese sieht in Art. 12 Abs. 4 DSGVO nur vor, dass der Verantwortliche die betroffene Person (ohne spezielle Form) unterrichtet. Die derzeit vorgeschlagene Dokumentationspflicht im BDSG-E würde nach Auffassung der Ausschüsse zusätzlichen Erfüllungsaufwand für die Wirtschaft mit sich bringen.

Man muss nun abwarten, welche Empfehlungen konkret in der nächsten Sitzung des Bundesrates angenommen werden. Der Umfang der Anmerkungen und auch die Reichweite der Kritik zeigt aber, dass man in einigen Aspekten noch weit voneinander entfernt ist. Zudem muss beachtet werden, dass der Gesetzesentwurf nun auch im Bundestag liegt und dort (wohl im Innenausschuss) einer Analyse unterzogen wird.