Category Archives: Datenschutzbehörde

Protokoll der letzten DSK-Sitzung: Sprachassistenz-Systeme, Webseitenprüfung bei Medienunternehmen und mehr

Posted on by

Die Datenschutzkonferenz („DSK“) hat auf ihrer Webseite das Protokoll der letzten Sitzung vom 6. Und 7. November 2019 veröffentlicht (PDF). Auch dieses Mal sind wieder einige interessante und praxisrelevante Informationen enthalten. Nachfolgend einige der dort behandelten Themen.

Entschließung: Transkriptionen durch Anbieter von Sprachassistenz-Systemen

Die DSK arbeitet aktuell an einer Entschließung zu Sprachassistenz-Systemen. Die Behörde aus Hamburg stellt dar, dass das Thema bereits auf europäischer Ebene diskutiert wurde. Zwar wurde offensichtlich ein Entschließungsentwurf vorgelegt, jedoch gab es seitens der Aufsichtsbehörden eine Reihe von Änderungswünschen. Daher beschloss die DSK die vorgelegte Entschließung im Umlaufverfahren abzustimmen. Wir werden also wohl hoffentlicher in naher Zukunft zu diesem durchaus relevanten Thema eine erste Orientierung aus Sicht der Behörden erhalten. Relevant ist dieses Thema vor allem, weil immer mehr Geräte und zB auch Fahrzeuge mit einer Sprachsteuerung ausgestatte sind.

Vertreter von Unternehmen in Deutschland nach Art. 27 DSGVO

Auch an diesem Thema arbeitet die DSK. Die Arbeitskreise Grundsatz und Internationaler Verkehr sollen ein Positionspapier zu Art und Umfang der einem Vertreter nach Art. 27 DSGVO obliegenden Aufgaben erstellen. Diese Position dürfte dann vor allem für Anbieter der Tätigkeit als Vertreter sein, aber auch für Unternehmen außerhalb der EU, die einen Vertretet in Deutschland benennen möchten (oder evtl. müssen).

Tracking bei Presseportalen

Interessant finde ich die Informationen unter TOP 19. Die Aufsichtsbehörde aus Hamburg informiert, dass bei ihr eine steigende Zahl von Beschwerden hinsichtlich des Einsatzes von Trackingtools auf Presseportalen zu verzeichnen sei. Von Hamburg initiierte und bereits stattgefundene Gespräche mit den entsprechenden Verbänden ließen bislang allerdings wenig Bereitschaft erkennen, hinsichtlich einer Änderung dieser Praxis auf die Mitgliedsunternehmen einzuwirken. Die Behörde aus Niedersachsen berichtet zudem, dass im Arbeitskreis Medien der DSK bereits deutlich wurde, dass die Gesprächsreihe nicht fortzusetzen ist.

Und dann: „Es soll nun die bereits geplante, koordinierte Webseitenprüfung bei Medienunternehmen begonnen werden, an der sich voraussichtlich 11 Länder beteiligen werden“.

Dies bedeutet, dass sich Medienunternehmen, also wohl vor allem Verlage, aber evtl. auch Betreiber von Fernsehsendern, darauf vorbereiten sollten, dass ihre digitalen Angebote durch die Behörden im Rahmen eines koordinierten Vorgehens geprüft werden. Schwerpunkt hierbei scheint das Thema „Tracking“ (also wohl der Einsatz von Cookies, Pixeln und ähnlichen Technologien) auf den Webseiten und Apps zu sein.

Bericht der Taskforce Facebook Fanpages

Zudem gibt es eine kleine Information dazu, wie innerhalb der DSK hinsichtlich des Themas „Fanpages“ weitergearbeitet werden soll. Die Behörde aus Schleswig-Holstein stellt dar, dass die Gründe der Entscheidung des BVerwG vom 11.09.2019 noch nicht vorliegen (Anmerkung von mir: diese liegen mittlerweile vor).

Die Taskforce innerhalb der DSK werde in Kürze erneut zusammenkommen, um:

  • das von Facebook aktualisierte Addendum auszuwerten
  • eine Bewertung der Antworten auf die ausgesendeten Fragenkataloge vorzunehmen
  • eine Bewertung laufender Verfahren (insbesondere Fashion ID und Wirtschaftsakademie) vorzunehmen
  • eine Abstimmung über das weitere Vorgehen vorzunehmen

Wo darf die Datenschutzbehörde verklagt werden? VG Gera gegen Zuständigkeitskonzentration.

Posted on by

Das Verwaltungsgericht (VG) Gera hat bereits Anfang des Jahres einen Beschluss (pdf) zu der Frage gefasst, welches Gericht für eine Klage gegen die Datenschutzbehörde (hier: den Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI)) zuständig ist (Beschl. v. 16.01.2019, 2 K 2281/18).

Entscheidungen zur Zuständigkeit von Gerichten bei Klagen gegen Datenschutzbehörden sind sicherlich nicht an der Tagesordnung. Auch aus diesem Grund ist der Beschluss von Relevanz. Um es jedoch vorweg zu nehmen: ich halte die Entscheidung für falsch.

Sachverhalt

In dem Verfahren wandte sich die Klägerin gegen eine Entscheidung des TLfDI, mit der dieser eine Beschwerde der Klägerin als unbegründet zurückgewiesen hat. Ansonsten ist zu den Umständen des Falles wenig bekannt. Klar ist nur, dass es nicht um eine Untätigkeitssituation ging, sondern die (ablehnende) Entscheidung des TLfDI angegriffen wurde. Die Klägerin hat ihren Wohnsitz im Bezirk des VG Gera. Der TLfDI seinen Dienstsitz in Erfurt. Er ist als Aufsichtsbehörde damit für ganz Thüringen zuständig. Also ein Gebiet, das mehrere Verwaltungsgerichtsbezirke umfasst.

Entscheidung

Die Klägerin und ihr folgend das VG Gera wenden für die Zuständigkeitsfrage § 52 Ziff. 3 S. 2 VwGO an. Danach ist für die Anfechtungsklage gegen einen Verwaltungsakt, der von einer Behörde erlassen wurde, deren Zuständigkeit sich auf mehrere Verwaltungsgerichtsbezirke erstreckt, oder von einer gemeinsamen Behörde mehrerer oder aller Länder erlassen wurde, das Verwaltungsgericht zuständig, in dessen Bezirk der Beschwerte seinen Sitz oder Wohnsitz hat. Hier also der Bezirk des Wohnsitzes der Klägerin.

Das VG lehnt eine Anwendung der Zuständigkeitsregelung des § 20 Abs. 3, Abs. 1 BDSG ab, da das BDSG vorliegend gar nicht anwendbar sei.

Auch ergebe sich eine andere Zuständigkeit nicht aus § 9 Abs. 1 ThürDSG. Denn es gehe hier nicht um einen Streit zwischen einer öffentlichen Stelle und dem TLfDI. Auch § 9 Abs. 2 ThürDSG greife nicht ein, da es vorliegend nicht um die Untätigkeit der Datenschutzbehörde geht.

Diese Auffassung ist meines Erachtens aus mehreren Gründen nicht richtig.

Kompetenz beim Bund

Das Gericht lehnt die Anwendbarkeit von § 20 Abs. 3, Abs. 1 BDSG mit der Begründung ab, dass der Anwendungsbereich nicht eröffnet sei, da nach § 1 Abs. 1 S. 1 Nr. 2 BDSG das BDSG nur für die Verarbeitung personenbezogener Daten durch öffentliche Stellen der Länder gelte, soweit der Datenschutz  nicht durch Landesrecht geregelt sei. Nach Ansicht des VG beinhalte das ThürDSG aber eine Vollregelung des Datenschutzes, wie sich aus § 2 Abs. 1 ThürDSG ergebe.

Meines Erachtens verkennt das VG hier die bundesgesetzlich festgeschriebene Zuständigkeitskonzentration in § 20 BDSG und den Anwendungsanspruch des BDSG.

Grundsätzlich hat der Bundesgesetzgeber mit § 52 VwGO eine abschließende Regelung zur gerichtlichen Zuständigkeit getroffen. Es ist deshalb den Ländern verwehrt, durch Gesetze abweichende Bestimmungen über den Gerichtsstand zu erlassen (vgl. etwa: Schoch/Schneider/Bier/Schenk, 37. EL Juli 2019, VwGO § 52 Rn. 3a).

So hat etwa auch das BVerfG mit Beschluss 07.05.1974, Az. 2 BvL 17/73 entschieden: „Da der Bundesgesetzgeber von seiner Kompetenz, die örtliche Zuständigkeit des Verwaltungsgerichts zu regeln, mit § 52 VwGO rechtswirksam, vollständig und ohne entsprechenden Vorbehalt Gebrauch gemacht hat, hatte das Land Bayern keine Kompetenz(…)“.

Die Gesetzgebungskompetenz für die gerichtliche Zuständigkeit liegt im Wege der konkurrierenden Gesetzgebung nach Art. 72, 74 Abs. 1 Nr. 1 Var. 3 GG beim Bund. In Art. 74 Abs. 1 Nr. 1 Var. 3 GG wird von „Gerichtsverfassung“ gesprochen. Dies befähigt im Einzelnen den Bund den hierarchischen Aufbau der Gerichtsbarkeiten sowie die Maßstäbe der sachlichen, funktionellen und örtlichen Zuständigkeit zu definieren (vgl. BeckOK Grundgesetz/Seiler, 41. Ed. 15.2.2019, GG Art. 74 Rn. 9). Gerichtlich festgestellt ist die erschöpfende Regelung für die örtliche Zuständigkeit der Verwaltungsgerichte (BVerfGE 37, 191) (Ausnahme: § 187 Abs. 1 VwGO).

Konzentrationen bleiben bundesrechtlich möglich

Dem Bundesgesetzgeber (aber nicht dem Landesgesetzgeber) steht es frei, speziellere Regelungen zu erlassen, die § 52 VWGO vorgehen. Dazu zählt ausweislich der Gesetzesbegründung auch § 20 Abs. 3 BDSG.

Damit ist es meines Erachtens schon ein Fehler des Gerichts, überhaupt auf das ThürDSG abstellen zu wollen, weil dies die gerichtliche Zuständigkeit gar nicht regeln kann.

Anwendbarkeit des BDSG

Zudem geht die Begründung des VG Gera fehl, wenn es das BDSG nicht für anwendbar hält.

Es heißt in § 1 Abs. 1 Nr. 2 BDSG „soweit der Datenschutz nicht durch Landesrecht geregelt“ ist. Es geht um den Datenschutz, nicht die gerichtliche Zuständigkeit der Verwaltungsgerichte. Das VG stellt für seine Begründung zur Frage der gerichtlichen Zuständigkeit (die der Bundeskompetenz unterliegt) darauf ab, dass das ThürDSG hierzu eine „Vollregelung des Datenschutzes“ geschaffen habe. Eine solche Regelung in Bezug auf die Gerichtszuständigkeit ist aber nicht möglich.

Im Übrigen regelt § 9 ThürDSG auch gar nicht die örtliche Zuständigkeit, sondern stellt nur eine Rechtswegeröffnung bei Untätigkeit der Aufsichtsbehörden dar, die ohnehin existiert.

§ 9 Abs. 1 S. 1 ThürDSG wiederholt nur die ohnehin schon bestehende Verwaltungsgerichtszuständigkeit nach § 20 Abs. 3 BDSG (aufdrängende Sonderzuweisung) und hat damit deklaratorische Wirkung. § 9 Abs. 1 S. 2 ThürDSG verweist auf § 20 Abs. 3 BDSG. Danach ist das VG zuständig, in dessen Bezirk die Aufsichtsbehörde ihren Sitz hat.

Das ThürDSG trifft also gar keine abweichenden Reglungen. Damit ist der Anwendungsbereich des BDSG auch nicht verschlossen, da § 1 Abs. 2 Nr. 2 BDSG nicht erfüllt ist und zweitens das ThürDSG nach der obigen Erwägung ohnehin nicht die gerichtliche Zuständigkeit regeln kann.

Fazit

Es gilt also in Bezug auf die gerichtliche örtliche Zuständigkeit von vornherein nur § 52 VwGO, außer es liegt eine speziellere Regelung, wie hier, auf Bundesebene vor.

Verwaltungsgericht Ansbach: Betroffene haben keinen Anspruch auf bestimmte aufsichtsrechtliche Maßnahmen der Datenschutzbehörden

Posted on by

In dieser Woche hatte ich über eine Entscheidung des SG Frankfurt (Oder) berichtet, in der es um die Frage ging, inwiefern eine betroffene Person einen Anspruch gegen die Datenschutzbehörde auf Vornahme von aufsichtsbehördlichen Maßnahmen hat und diesen gerichtlich einklagen kann.

Nun wurde ein weiteres Urteil zu diesem Themenkomplex veröffentlicht. Diesmal eine ausführlich begründete Entscheidung des Verwaltungsgerichts (VG) Ansbach (Urt. v. 8.8.2019, Az. AN 14 K 19.00272). Auch das VG lehnt einen Anspruch von Betroffenen auf die Vornahme bestimmter behördlicher Maßnahmen ab. Jedoch gesteht das VG zu, dass ein Anspruch auf ermessensfehlerfreie Entscheidung der Behörde bestehe.

Sachverhalt

Die Beteiligten stritten um das Einschreiten des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) in einer Datenschutzaufsichtsangelegenheit. Der Kläger bat eine Kreissparkasse mehrfach, ihm seine bei ihr verarbeiteten personenbezogenen Daten von ihm zu übermitteln. Die Sparkasse übermittle dem Kläger dann seine Daten unter Beachtung von Art. 15 Abs. 1 und 2 DSGVO.

Daraufhin wandte sich der Kläger erneut an die Kreissparkasse dahingehend, dass er die übermittelten Daten für nicht vollständig halte. Er bat um eine Vervollständigung der Auskunft. Die Kreissparkasse antwortete ihm, dass die Auskunft alle gesetzlichen Anforderungen erfülle. Daraufhin beschwerte sich der Kläger per E-Mail vom 30. Oktober 2018 bei dem BayLDA über die Kreissparkasse.

Das BayLDA antwortete mit Schreiben vom 21. Januar 2019 und teilte mit, dass gegen die Kreissparkasse keine Maßnahmen ergriffen würden, weil kein Datenschutzverstoß vorliege. Weitergehende Ansprüche gegen die Sparkasse auf Auskunftserteilung müsse der Kläger vor den Zivilgerichten verfolgen. Das Schreiben enthielt eine Rechtsbehelfsbelehrung, derzufolge gegen diese Entscheidung innerhalb eines Monats nach Bekanntgabe Klage erhoben werden kann.

Daraufhin wandte der Kläger an das Verwaltungsgericht. Die Auskunft der Kreissparkasse sei unvollständig und teilweise unverständlich gewesen, so dass er weiter bei der Kreissparkasse nachgefragt habe, worauf die Kreissparkasse auch geantwortet habe. Bei ihm seien dennoch Restzweifel verblieben.

Die kurze und pauschale Zurückweisung seiner Beschwerde vom BayLDA verstoße gegen wesentliche Aufsichtsziele der DSGVO.

Entscheidung

Das VG wies die Klage gegen das BayLDA ab.

Die Klage sei zwar zulässig, aber nicht begründet. Der Verwaltungsrechtsweg war aufgrund § 20 Abs. 1 S. 1 BDSG gegeben, da es sich hier um eine Klage gegen den rechtsverbindlichen Beschluss einer Aufsichtsbehörde handelt, und zwar die Abschlussmitteilung des BayDLA vom 21. Januar 2019.

Interessant ist, dass das VG davon ausgeht, dass hier keine Anfechtungsklage gegen einen Verwaltungsakt, sondern eine Leistungsklage statthaft ist.

Beim streitgegenständlichen Schreiben des BayLDA handelt es sich um eine vom Verwaltungsgericht gemäß Art. 78 DSGVO überprüfbare Maßnahme mit Außenwirkung,

jedoch nicht um einen Verwaltungsakt im Sinne von Art. 35 BayVwVfG mit Regelungscharakter, so dass nicht die Anfechtungsklage, sondern die allgemeine Leistungsklage statthaft ist.

Vorliegend fehle es am Regelungscharakter der Abschlussmitteilung. Das Schreiben des BayLDA sei auch kein sog. feststellender Verwaltungsakt, also ein Bescheid mit der verbindlichen Feststellung eines Rechtsverhältnisses oder sich daraus ergebender Rechte und Pflichten, die mit Rechtsbeständigkeit festgestellt werden sollen. Hier sollte eine Rechtsauskunft erteilt werden, es sollten aber nicht mit verbindlicher Feststellung i.S. des Art. 35 BayVwVfG strittige Rechte oder Pflichten geregelt werden.

Der Antrag des Klägers ist nicht auf einen bestimmten Verwaltungsakt des BayLDA, sondern auf ein allgemein aufsichtliches Einschreiten gerichtet. Dies sei kennzeichnend für eine Leistungsklage. Jedoch gibt das VG auch zu bedenken, dass, wenn der Kläger eine ganz konkrete Maßnahme im Sinne eines Verwaltungsaktes vom Beklagten verlangt hätte, und das BayLDA diese so gestaltete Beschwerde abgelehnt hätte, wäre die Verpflichtungsklage in Form der Versagungsgegenklage in Frage gekommen. Dann wäre die Ablehnung der Beschwerde als ein Verwaltungsakt zu qualifizieren, der den Erlass eines Verwaltungsaktes ablehnen würde.

Das Klagerecht aus Art. 78 Abs. 1 DSGVO erfasst umfassend auch die Ablehnung oder Zurückweisung einer Beschwerde nach Art. 77 DSGVO. Wird eine Maßnahme von der Aufsichtsbehörde erbeten, die ein schlichtes Verwaltungshandeln zum Gegenstand hat, ist die allgemeine Leistungsklage die statthafte Klageart.

Gleichzeitig lehnt das VG die Rechtsansicht des VG Berlin vom 28. Januar 2019 (AZ. VG 1 L 1.19) ab, wonach es sich bei Beschwerden nach der DSGVO um Petitionen handeln soll.

Nach der DSGVO indes hat der Bürger nicht nur einen Anspruch auf Verbescheidung, sondern ggf. einen Anspruch auf Einschreiten der Aufsichtsbehörde (bei Ermessenreduzierung auf Null, sonst Anspruch auf fehlerfreie Ermessensausübung), die aufgrund Art. 58 DSGVO umfassende Eingriffskompetenzen hat (i.d.R. im Gegensatz zum Petitionsadressaten).

Bereits hier macht das VG deutlich, dass es davon ausgeht, dass im Grunde schon ein Anspruch auf Tätigwerden der Behörde besteht, jedoch im Normalfall nicht auf eine konkrete Maßnahme.

Die Klage ist jedoch unbegründet, da der Kläger weder einen Anspruch gegen den Beklagten auf weitere Befassung und Überprüfung seiner Beschwerde nach Art. 78 Abs. 2 DSGVO i.V.m. Art. 57 DSGVO hat noch einen Anspruch auf aufsichtliches Einschreiten des Beklagten gegenüber der Kreissparkasse gemäß Art. 58 DSGVO.

Das BayLDA hat gemäß Art. 78 Abs. 2 DSGVO in Verbindung mit Art. 57 Abs. 1 lit. f DSGVO die Beschwerde des Klägers in angemessenem Umfang geprüft und dem Kläger rechtzeitig Bescheid gegeben.

Ein darüber hinaus gehender Anspruch des Klägers ist nicht ersichtlich.

Das VG befasst sich dann mit der Frage, ob das BayLDA hier seinen gesetzlichen Aufgaben nachgekommen ist. Art. 57 Abs. 1 lit. a und f DSGVO wurden hier durch das BayLDA beachtet. Interessant an der Begründung des VG ist, dass es davon ausgeht, dass sich zwar sich aus Art. 57 DSGVO allein, einer reinen Aufgabennorm, keine subjektivöffentlichen Rechte des Betroffenen ergeben können. Art. 57 Abs. 1 lit. f DSGVO enthalte Vorgaben zum Verfahren und dessen Umfang, die über Art. 78 Abs. 2 DSGVO zu einem Rechtsanspruch des Betroffenen führen können.

Die Behandlung von individuellen Beschwerden sei unionsrechtlich jedoch restriktiv geregelt. Zwar sei es eine der vorrangigsten Aufgaben des BayLDA, Beschwerden von Betroffenen nach Art. 77 DSGVO zu bearbeiten. Allerdings nehme Art. 57 Abs. 1 lit. f DSGVO unzweifelhaft mit der Formulierung „in angemessenem Umfang“ auf die Ressourcen und Möglichkeiten der Aufsichtsbehörden Rücksicht. Die Angemessenheit der Untersuchung richte sich daher auch nach der Schwere des Eingriffs in Rechte des Betroffenen.

Hinsichtlich der behördlichen Maßnahmen nach Art. 58 DSGVO stellt das VG fest, dass dieser Artikel das Verhältnis zwischen Aufsichtsbehörde zu Verantwortlichen regele.

Ein Anspruch auf aufsichtliches Einschreiten des Betroffenen ist ähnlich wie im Sicherheits- und Polizeirecht (vgl. BVerwGE 11, 95, 97) grundsätzlich anzuerkennen, jedoch nur im Falle einer (möglichen) Verletzung von eigenen Rechten sowie (kumulativ) einer Reduktion des Ermessens auf Null, so dass mithin allenfalls regelmäßig nur ein subjektivöffentliches Recht auf fehlerfreie Ermessensausübung besteht.

Das VG geht davon aus, dass neben dem Auswahlermessen für die Behörde auch hinsichtlich des Entschlusses zum Tätigwerden ein Entschließungsermessen („gestattet“ in Art. 58 Abs. 1 und 2 DSGVO) bestehe. Der Kläger habe daher selbst bei Vorliegen eines festgestellten oder wahrscheinlichen Verstoßes gegen die DSGVO (der hier nicht gegeben war) indes

nur einen Anspruch auf fehlerfreie Ermessensausübung hinsichtlich einer Maßnahme des Beklagten nach Art. 58 DSGVO, aber keinen Anspruch auf bestimmte aufsichtsrechtliche Maßnahmen gegen die Kreissparkasse.

Dann habe im Rahmen des Art. 58 DSGVO die Aufsichtsbehörde ein weites Entschließungs- und Auswahlermessen hat. Dies gelte jedoch nicht, bei einer Ermessensreduktion auf Null. Diese komme nur in Betracht,

wenn ein Datenschutzrechtsverstoß naheliegt bzw. sich aufdrängen muss, d.h. es müssen Tatsachen vorliegen, die einen Verstoß gegen datenschutzrechtliche Vorschriften als wahrscheinlich erscheinen lassen und wenn dieser Verstoß von einer Schwere ist, die ein Einschreiten der Aufsichtsbehörde als erforderlich erscheinen lässt.

Vorliegend waren diese Voraussetzungen aber nicht erfüllt.

Thüringer Fragebogen zur Prüfung von Webseiten: verschiedene Handlungsoptionen für Unternehmen

Posted on by

Der Thüringer Landesbeauftragt für Datenschutz und Informationsfreiheit (TLfDI) hat wohl in großer Zahl Fragebögen an Thüringer Unternehmen versandt. Thema ist der Einsatz von Analysesoftware auf den jeweiligen Websites der angeschriebenen Unternehmen.

Das Schreiben selbst ist offiziell, soweit ich weiß, noch nicht abrufbar. Der Kollege André Stämmler berichtet zu dem Anschreiben in seinem Blog.

Hintergrund der Befragung dürfte auch das Urteil des Europäischen Gerichtshofs sein, in dem sich das Gericht mit der Frage der Voraussetzungen einer wirksamen Einwilligung bei dem Einsatz von Cookies befasst hat (Aktenzeichen C-673/17 – Planet 49; Achtung: der EuGH hat hier nicht entschieden, dass beim Einsatz von Cookies oder gar Google Analytics, per se immer eine Einwilligung einzuholen wäre). Gefragt wird in dem Schreiben der Behörde unter anderem, ob und welche Analysetools eingesetzt werden und ob und auf welchem Wege eine Einwilligung dazu eingeholt wird. Wie gesagt: ob beim Einsatz von Google Analytics oder anderen Tools eine Einwilligung zwingend erforderlich ist, hat der EuGH nicht entschieden. Die deutschen Behörden gehen jedoch laut mehreren Pressemitteilungen davon aus.

Unternehmen könnten verunsichert sein, ob die Beantwortung der übersandten Fragen verpflichtend ist oder nicht, da zwar betont werde, dass das Schreiben keinen verpflichtenden Charakter habe, gleichzeitig aber darauf hingewiesen wird, dass ein verpflichtender Bescheid (also ein Verwaltungsakt) bei Nicht-Beantwortung der Fragen die Folge sein kann.

Zusätzliche Irritation ruft das Schreiben dadurch hervor, da es als „Auskunftsersuchen nach Art. 58 Abs. 1 lit. a) DSGVO Anhörung nach 28 ThürVwfG“ überschrieben ist. Die Behörde möchte damit wahrscheinlich zum Ausdruck bringen, dass der momentan versandte Fragebogen eine Anhörung nach § 28 VwVfG zu einem Auskunftsersuchen nach Art. 58 Abs.1 lit a) DSGVO darstellt. Zumindest nach ihrer Ansicht. Dann läge in der Beantwortung des Fragebogens eine freiwillige Mitwirkung im Rahmen des Verwaltungsverfahrens an dessen Ende, wahrscheinlich abhängig davon, ob und wie die Fragen beantwortet werden, ein formelles Auskunftsersuchen nach Art. 58 Abs. 1 lit a) DSGVO stehen.

Man kann aber schon aktuell fragen, wie unverbindlich die Beantwortung der Fragen aus Sicht der Unternehmen überhaupt sein kann, wenn im gleichen Schreiben bei Nichtbeantwortung mit einem verbindlichen Auskunftsersuchen „gedroht“ wird. Erscheint die Beantwortung des jetzigen Fragebogens dadurch als verpflichtend, kann man auch darin schon einen Verwaltungsakt sehen. Gegen diesen stünde dann selbstverständlich schon jetzt der Rechtsweg offen. Meine persönliche Meinung: oft stellen diese Anschreiben mit Fragen an Unternehmen Verwaltungsakte dar. Es ist für eine Einordnung als Verwaltungsakt auch unerheblich, ob einem solchen Schreiben eine Rechtsbehelfsbelehrung beigefügt ist oder nicht.

Abseits der, evtl. etwas wissenschaftlichen Diskussion über die juristische Einordnung solcher Fragebögen, stellt sich für Unternehmen vordergründig die Frage, wie auf solche Schreiben reagiert werden sollte. Man kann den Fragenbogen natürlich einfach beantworten, wenn man weiß oder zumindest vermutet, dass man die Anforderungen der DSGVO ordnungsgemäß umsetzt. Andererseits lässt sich fragen, warum man etwas beantworten soll, was man eigentlich gar nicht muss?

In beiden Fällen kann man Akteinsicht nach § 29 Abs. 1 VwVfG beantragen, um herauszufinden, was die Behörde an (Tatsachen)Grundlagen schon zusammengetragen hat. Und wenn man der Auffassung ist, dass solch ein Anschreiben einen Verwaltungsakt darstellt, könnte man theoretisch auch Anfechtungsklage vor dem Verwaltungsgericht erheben. Damit schöpft man dann auch die Verfahrensgarantien und Rechtbehelfe, wie sie in Art. 58 Abs. 4 DSGVO gegenüber den Maßnahmen der Aufsichtsbehörden zwingend vorgesehen sind, aus.

Gericht: Betroffene haben keinen Anspruch auf Vornahme bestimmter Maßnahmen durch eine Datenschutzbehörde

Posted on by

Kann eine betroffene Person, die von einem unzulässigen Umgang mit ihren personenbezogenen Daten ausgeht, von einer Datenschutzbehörde ein aufsichtsbehördliches Einschreiten oder sogar die Vornahme einer konkreten Maßnahme verlangen? Um diese Frage ging es in einem Fall, den das Sozialgericht Frankfurt (Oder) zu entscheiden hatte. Das Gericht lehnt einen solchen Anspruch auf Grundlage der DSGVO ab (Gerichtsbescheid v. 08.05.2019 – S 49 SF 8/19).

Sachverhalt

In dem Verfahren klagten betroffene Personen gegen den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Die Kläger verlangten von dem BfDI ein Einschreiten gegen behauptete Datenrechtsverstöße des Jobcenters. U.a. begehrten die Kläger Auskunft vom Jobcenter, die sie wohl zunächst nicht erhielten. Diese wurde aber nach einem entsprechenden Hinweis des BfDI dann doch erteilt. Nach Ansicht der Kläger enthielt diese aber falsche Daten und wandten sich deswegen erneut an den BfDI. Dieser verwies die Kläger auf die Geltendmachung der Auskunft bzw. der Betroffenenrechte gegenüber dem Jobcenter.

Die Kläger beantragten, den BfDI zu verurteilen, gegen die Datenrechtsverstöße des Jobcenters einzuschreiten, um ihnen Auskunft über den Zugriff auf ihre Daten durch andere Stellen zu erteilen.

Entscheidung

Das Sozialgericht wies die Klage als unzulässig ab, da es an einer Anspruchsgrundlage fehle. Das Gericht geht also davon aus, dass eine entsprechende Klagemöglichkeit nicht besteht.

Weder aus den Vorschriften des Sozialrechts … noch insbesondere aus der Datenschutz-Grundverordnung ist ein individueller Anspruch eines Bürgers gegen den Beklagten auf die Vornahme einer bestimmten Maßnahme herleitbar.

Das Gericht verweist zunächst auf Art. 78 Abs. 2 DSGVO. Danach bestehe zwar dem Grunde nach ein Klagerecht, jedoch ist der Klagegrund auf bestimmte Fälle beschränkt.

Nach Art. 78 Abs. 2 DSGVO hat die betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der gemäß Art. 77 DSGVO erhobenen Beschwerde in Kenntnis gesetzt hat.

Dies sei hier jedoch weder Klagegegenstand, noch liegt oder lag eine dahingehende Untätigkeit des BfDI vor.

Zudem habe nach Art. 77 Abs. 1 DSGVO jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn diese der Ansicht ist, dass die Verarbeitung der sie betreffenden Daten gegen die DSGVO verstößt.

Danach, so das Gericht, ist der BfDI als Datenschutzaufsichtsbehörde allein verpflichtet, sich mit einer Beschwerde zu befassen, soweit sie nicht offensichtlich unbegründet oder exzessiv ist und den Gegenstand der Beschwerde zu untersuchen und den Beschwerdeführer über den Fortgang und das Ergebnis der Untersuchung zu unterrichten.

Eine weitergehende Verpflichtung besteht grundsätzlich nicht.

Das Beschwerderecht nach Art. 77 DSGVO werde als Petitionsrecht verstanden.

Diesen Anforderungen aus der DSGVO sei der BfDI hier jedoch stets nachgekommen. Er hat die Betroffenen über den Fortgang der Beschwerde informiert und auch auf Schreiben geantwortet.

Daher kommt das Gericht zu dem Ergebnis:

Eine Verurteilung zu einer aufsichtsrechtlichen Maßnahme gegen das Jobcenter kann das Gericht den Beklagten nicht verurteilen. Dies ist aus der DSGVO nicht herleitbar.

Fazit

Das Gericht orientiert sich bei seiner Begründung strikt an den Vorgaben der DSGVO. Diese sieht eine Klagemöglichkeit gegen verbindliche Beschlüsse (also Verwaltungsakte) der Aufsichtsbehörde vor. Im Rahmen einer solchen Klage kann dann natürlich auch die Ermessensentscheidung der Aufsichtsbehörde überprüft werden. Jedoch sieht die DSGVO nicht vor, dass ein Betroffener direkt Klage auf Vornahme einer ganz bestimmten behördlichen Maßnahme erheben könnte.

Lohnbuchhaltung durch Steuerberater: Bundesrat möchte gesetzliche Klarheit zur Einordnung nach der DSGVO schaffen

Posted on by

Seit einiger Zeit ist zwischen den deutschen Datenschutzbehörden umstritten, wie die Tätigkeiten von Steuerberater datenschutzrechtlich einzuordnen sind, wenn diese „nur“ Tätigkeiten der Lohnbuchhaltung durchführen.

Ist der Steuerberater in diesem Fall Auftragsverarbeiter oder (als Berufsgeheimnisträger) eigener Verantwortlicher?

Hier einige Positionen:

LfDI Baden-Württemberg: „Danach kommt für die Beauftragung des Steuerberaters mit der laufenden Lohn- und Gehaltsabrechnung datenschutzrechtlich nur eine Auftragsverarbeitung im Sinne des Artikels 28 DS-GVO in Betracht“.

LDA Bayern (pdf): „Auch wenn Steuerberater nur die Lohnbuchhaltung für einen Mandanten durchführen, müssen sie dafür aufgrund des Steuerberaterrechts die eigene Verantwortung übernehmen und können sich nicht, wie allgemeine Dienstleister zur Lohnabrechnung, auf Weisungen von Mandanten berufen“.

LDI NRW: „Bei gemischten Tätigkeiten – eigenverantwortliche Steuerberatung sowie weisungsgebundene Dienstleistungen  – ist zu differenzieren: Im Hinblick auf weisungsgebundene Dienstleistungen ist eine Auftragsverarbeitung  gegeben, im Hinblick auf die Beauftragung mit Tätigkeiten aufgrund steuerberatungsrechtlicher Vorschriften eine Datenverarbeitung in eigener Verantwortung“.

Aktuell liegt im Bundesrat zur Verhandlung der Entwurf eines Dritten Gesetzes zur Entlastung insbesondere der mittelständischen Wirtschaft von Bürokratie (Drittes Bürokratieentlastungsgesetz) (BR Drs 454/19). Im Rahmen dieses Entwurfs soll auch das Steuerberatungsgesetz (StBerG) angepasst werden.

Die Ausschüsse im Bundesrat schlagen nun mit Empfehlungen (pdf) vom 27.09.2019 eine zusätzliche Anpassung des § 11 StBerG „Verarbeitung personenbezogener Daten“ vor.

§ 11 Abs. 2 StBerG soll wie folgt gefasst werden:

(2) Die Personen und Gesellschaften nach § 3 sind bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – ABl. L 119 vom 4.5.2016, S. 1, L 314 vom 22.11.2016, S. 72).

Die Ausschüsse begründen diesen Vorschlag unter anderem mit der unklaren Rechtsage und den verschiedenen Ansichten der Datenschutzbehörden. Die Ausschüsse im Bundesrat stellen sich gegen die Ansichten jener Aufsichtsbehörden, die von einer Auftragsverarbeitung durch Steuerberater ausgehen, wenn diese Tätigkeiten im Rahmen der Lohnbuchhaltung anbieten.

„Vereinzelt gehen die Landesbeauftragten für den Datenschutz und Informationsfreiheit davon aus, dass es sich bei den in § 6 Nummer 4 StBerG genannten Tätigkeiten „Buchen laufender Geschäftsvorfälle“, „laufende Lohnabrechnung“ und „Fertigen der Lohnsteuer-Anmeldungen“, nicht um Tätigkeiten der Hilfeleistung in Steuersachen im Sinne von § 1, § 33 StBerG handelt. Dieser Auffassung kann nicht gefolgt werden.“ (Hervorhebung durch mich)

Die Ausschüsse gehen davon aus, dass Steuerberater bzw. die in § 3 StBerG aufgeführten Personen und Gesellschaften eigenverantwortlich tätig sind. Die in § 6 Nr. 4 StBerG genannten Tätigkeiten „Buchen laufender Geschäftsvorfälle“, „laufende Lohnabrechnung“ und „Fertigen der Lohnsteuer-Anmeldungen“ seien gerade nicht vom Anwendungsbereich des Steuerberatungsgesetzes ausgenommen.

„Die Leistung des mit der Lohnbuchführung beauftragten Steuerberaters umfasst regelmäßig vielmehr die eigenverantwortliche Prüfung und Anwendung der gesetzlichen Bestimmungen“.

Die Ausschüsse empfehlen mithin eine gesetzliche Vorgabe zur Einordnung von wirtschaftlichen Tätigkeiten und damit umfassten Datenverarbeitungen innerhalb des Verantwortlichkeitsgefüges der DSGVO. Die Ausschüsse nennen dies in der Begründung eine „klarstellende Ergänzung“.

Jedoch wird man auch fragen können, ob der nationale Gesetzgeber Vorgaben dazu machen darf, wie datenschutzrechtliche Verantwortlichkeiten zu verteilen sind und vor allem wie bestimmte Tätigkeiten innerhalb der DSGVO einzuordnen sind? Als Verantwortlicher oder als Auftragsverarbeitung? Auf eine Öffnungsklausel der DSGVO wird in der Begründung nicht verwiesen und es gilt natürlich zu beachten, dass die legal definierten Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ unmittelbar bindend sind. Spinnt man diese Idee hypothetisch weiter, könnte der nationale Gesetzgeber dazu übergeben, Festlegungen zur Rollenverteilung nach der DSGVO zu treffen, was wiederum dem Harmonisierungsgedanken der DSGVO entgegenstehen könnte.

Seltsamer Beschluss der Datenschutzkonferenz zu „verhaltensbasierter Werbung“ (UPDATE)

Posted on by

Auf der Webseite der Datenschutzkonferenz (DSK) wurde mit Datum vom 25.9.2019 ein Beschluss zu „verhaltensbasierter Werbung“ veröffentlicht (PDF). Seltsam ist der Beschluss, da er sich materiell rechtlich überhaupt nicht mit verhaltensbasierter Werbung befasst und zudem auch formelle Defizite aufweist und den Leser mit Fragen zurücklässt.

Beschluss

Der Beschluss bezieht sich auf eine Beschwerde des Netzwerk Datenschutzexpertise (Netzwerk). Gemeint ist wohl diese Beschwerde (PDF). Dort wird auf mögliche Verstöße gegen das Datenschutzrecht durch Google und „andere Internet-Unternehmen der Branche“ hingewiesen. Die Beschwerde des Netzwerks ist von vier Personen unterzeichnet und datiert auf den 4.6.2019. Laut dem Beschluss der DSK wird in der Beschwerde die Datenverarbeitung durch Google sowie weitere Anbieter, die Mitglieder des IAB Europe sind, gerügt. Die DSK bezieht sich ausdrücklich nur auf diese Beschwerde, die bei mehreren deutschen Datenschutzbehörden eingelegt wurde.

Die DSK folgert aus der Beschwerde, dass diese sich allein gegen Google richtet, da weitere „Anbieter bzw. Akteure“ nicht ausdrücklich genannt werden.

Die DSK hat daraufhin den oben verlinkten Beschluss gefasst. Kurzer Exkurs zu dem Verständnis der DSK, was ein Beschluss ist. „Beschlüsse sind Positionen, die die Auslegung datenschutzrechtlicher Regelungen bzw. entsprechende Empfehlungen betreffen.“ (siehe: Geschäftsordnung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz), PDF). Zur besseren Verständlichkeit meiner nachfolgenden Kritik, hier der Inhalt des Beschlusses:

Die Beschwerde erfüllt die Anforderungen gem. Art. 77 DSGVO, da sie

1. von natürlichen Personen als betroffenen Personen eingelegt wurden (die 4 Unterzeichner);

2. sich gegen einen konkreten Verantwortlichen richtet (Google) und

3. die betroffenen Personen beschwerdebefugt sind, da sie umfassend erläutern, dass die Datenverarbeitung bei der personalisierten Online-Werbung gegen die DS-GVO verstößt und sie dadurch in ihren Rechten verletzt werden.

II. Beschwerdegegner ist zunächst nur Google. Soweit sich die Beschwerde gegen dieses Unternehmen richtet, ist sie zunächst an den Hamburgischen Beauftragten weiterzuleiten.

IV. Das IAB Europe ist kein Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO, da es sich beim IAB Europe lediglich um einen Interessenverband von Unternehmen aus dem Bereich Programmatic Advertising handelt.

V. Sofern eine Aufsichtsbehörde der Auffassung ist, die Beschwerde sei dahingehend auszulegen, dass sich die Beschwerde gegen die jeweiligen Mitgliedsunternehmen des IAB Europe richtet, so ist mit der Beschwerde entsprechend Ziff. III. zu verfahren.

Kritik

Es stellt sich natürlich zunächst die Frage, was die DSK mit diesem Beschluss bezweckt. Dies wird zumindest für mich, auch nach mehrmaligen Lesen, nicht ganz deutlich.

Kritisieren lässt sich zunächst, dass der Beschluss, anders als in der Überschrift suggeriert, inhaltlich nichts mit einer materiell-rechtlichen Position der Behörden zur verhaltensbasierten Werbung zu tun hat. Vielmehr scheint es hier um die Festlegung einer nationalen Zuständigkeit für eine (oder mehrere?) Beschwerde(n) sowie die Feststellung des Vorliegens der Voraussetzungen für eine (oder mehrere?) Beschwerde(n) zu gehen.

Da stellt sich freilich die Frage, was diese Beschwerde so besonders macht, dass die DSK sich zu einem Beschluss gezwungen sah? Denn andere Beschwerden, die bei den Behörden eingehen, werden nicht per Beschluss der DSK veredelt. Zu dem Hintergrund des Beschlusses, finden sich keine Angaben.

Zudem ist zu fragen, was Ziel des Beschlusses ist? Eine bindende Wirkung für alle Aufsichtsbehörden? Diesen Anschein erweckt Ziff. II: „ist sie zunächst an den Hamburgischen Beauftragten weiterzuleiten“. Gibt die DSK nun alles Aufsichtsbehörden bindend vor, wie diese mit Beschwerden umzugehen haben und welche Behörde national zuständig ist? Meine Vermutung ist, dass der Beschluss eine Manifestierung der Vorgabe des § 19 Abs. 2 S. 1 BDSG darstellt. Danach gibt die Aufsichtsbehörde, bei der eine betroffene Person Beschwerde eingereicht hat, die Beschwerde an die federführende Aufsichtsbehörde nach § 19 Abs. 1 BDSG, in Ermangelung einer solchen an die Aufsichtsbehörde eines Landes ab, in dem der Verantwortliche oder der Auftragsverarbeiter eine Niederlassung hat. Da diese Abgabe aber ohnehin gesetzlich zwingend („gibt die Beschwerde…ab“) vorgegeben ist, stellt sich die Frage nach dem Sinn des Beschlusses.

In Ziff. II wird per Beschluss vorgegeben, dass „Google“ der Beschwerdegegner sei. Welche Einheit ist hier jedoch mit „Google“ gemeint? Die Google LLC, die Google Ireland Limited oder z.B. Google Germany GmbH? Dies wird in dem Beschluss nicht deutlich und lässt den Leser ratlos zurück. Auch aus der oben verlinkten Beschwerde wird dies nicht klar. Konkretisiert die DSK evtl. eine zu allgemein abgefasste Beschwerde per Beschluss? (dem würde sich die Frage anschließen, ob sie dies darf). Man kann, aufgrund der Erwähnung der Behörde aus Hamburg, schlussfolgern, dass wohl die Google Germany GmbH mit Sitz in Hamburg gemeint ist. Warum wird dies dann aber nicht in dem Beschluss deutlich gemacht?

Der Beschluss verhält sich zudem nicht zu der (ggfs. vorliegenden federführenden) Zuständigkeit der Behörde aus Irland. In der in dem Beschluss angesprochenen Beschwerde wird ausdrücklich darauf hingewiesen, dass eine entsprechende Beschwerde bei der irischen Datenschutzbeauftragten erhoben wurde und, angesichts „der europaweiten Dimension der in dieser Beschwerde aufgeworfenen Fragen und Unternehmen“ es sinnvoll erscheint, dass die Aufsichtsbehörden dieses Thema gemeinsam prüfen (S. 15).

Der Beschluss bezieht sich mehrmals auf „die Beschwerde“. Es scheint also um eine einzelne Beschwerde zu gehen. Art. 77 Abs. 1 DSGVO, dessen Voraussetzungen nach dem Beschluss hier vorliegen, bezieht sich ausdrücklich auf eine Beschwerde einer betroffenen Person. Laut dem Text der Beschwerde erhalten die Datenschutzbehörden „individuelle Beschwerden von Frau Elisabeth Niekrenz, Herrn Thilo Weichert, Herrn Frank Spaeing und Herrn Friedemann Ebelt“ (S. 15). Nach Ziff. I 1. des Beschlusses erfüllt die einzelne Beschwerde des Netzwerkes die Anforderungen des Art. 77 DSGVO, da sie „von natürlichen Personen als betroffenen Personen eingelegt wurden (die 4 Unterzeichner)“. Hier scheint der Beschluss die eine, referenzierte Beschwerde des Netzwerkes und die wohl vorliegenden Einzelbeschwerden zu vermengen. Geht die DSK folglich davon aus, dass eine Beschwerde nach Art. 77 DSGVO auch zulässig ist, wenn mehrere natürliche Personen in einem Schreiben eine Beschwerde einreichen?

Nach Ziff. I 2. des Beschlusses richtet sich die Beschwerde gegen einen „konkreten Verantwortlichen“, Google. Auch dies muss verwundern, da aus dem Beschluss nicht deutlich wird, welche juristische Person mit „Google“ gemeint ist (siehe oben). Auch in der Beschwerde des Netzwerkes wird nur „Google“ genannt, nicht jedoch die LLC oder etwa die deutsche GmbH. Es stellt sich daher die Frage, wen die DSK hier (per Beschluss) als Verantwortlichen betrachtet und gleichzeitig als solchen festlegt?

In Ziff. V wird darauf hingewiesen, dass eine Aufsichtsbehörde, die der Auffassung ist, dass die Beschwerde dahingehend auszulegen sei, „dass sich die Beschwerde gegen die jeweiligen Mitgliedsunternehmen des IAB Europe richtet“, mit dieser Beschwerde entsprechend Ziff. III zu verfahren habe. Ziff. III fehlt jedoch in dem Beschluss der DSK. Es stellt sich daher die Frage, wie Aufsichtsbehörden in diesem Fall nach Ansicht der DSK zu verfahren haben? Fehlt Ziff. III bewusst oder handelt es sich um einen formellen Fehler?

Zuletzt noch ein ganz persönlicher Kritikpunkt, der mich bereits in mehrere Verwaltungsverfahren stutzten lässt: die DSK stellt per Beschluss in Ziff. I 3. fest, dass die Anforderungen von Art. 77 DSGVO erfüllt seien (weitere Fragen: kann die DSK das Vorliegen von Tatbestandsvoraussetzungen der DSGVO in einem konkreten Verwaltungsverfahren feststellen? Geht die DSK hier davon aus, dass sie über eine entsprechende Rechtsnatur verfügt, um materiell-rechtliche Vorgaben zu prüfen und aufgrund dieser Prüfung den Aufsichtsbehörden Vorgaben zu machen?), da die Beschwerdeführer erläutern, dass „die Datenverarbeitung bei der personalisierten Online-Werbung gegen die DS-GVO verstößt“. Für Art. 77 Abs. 1 DSGVO ist jedoch ausreichend, dass die betroffene Person der Ansicht ist, dass die Verarbeitung gegen die DSGVO verstößt. Die DSK scheint hier im Beschluss diese Position einfach als gegeben hinzunehmen. Sie hätte ja durchaus auch schreiben können, „erläutern, dass die…ihrer Ansicht nach gegen die DSGVO verstößt“. Dieser Verweis auf die Ansicht der Beschwerdeführer fehlt in dem Beschluss jedoch gänzlich, ohne dass eventuell bisher die Stellungnahme des Verantwortlichen begutachtet wurde.

Wie bereits einleitend angemerkt, fällt zuletzt auf, dass der Beschluss materiell-rechtlich keine Aussagen zur verhaltensorientierten Werbung trifft. Es scheint sich vielmehr um einen Beschluss zu einer (oder mehreren?) Beschwerde(n) und deren Zulässigkeit und der Zuständigkeit der Bearbeitung zu handeln. Möglicherweise gab es auch Streit unter den deutschen Behörden hinsichtlich des weiteren Vorgehens. Eine Unterrichtung nach Art. 77 Abs. 2 DSGVO scheint der Beschluss aus meiner Sicht nicht zu sein. Denn diese Unterrichtung muss nur gegenüber dem Beschwerdeführer, nicht jedoch der Allgemeinheit erfolgen. Zudem, und viel wichtiger, ist die DSK keine „Aufsichtsbehörde“ im Sinne des Art. 77 Abs. 2 DSGVO. Nur diese muss aber den Beschwerdeführer unterrichten.

Update vom 4.10.2019

Nach meinem Blogbeitrag zu dem oben besprochenen und verlinkten Beschluss der DSK, hat man in den Datenschutzbehörden die geäußerte Kritik wohl zur Kenntnis genommen. Nun wurde der Beschluss erneut auf der Webseite der DSK veröffentlicht (pdf). Wenn man hofft, dass darauf hingewiesen wird, dass dieser Beschluss eine zweite oder zumindest angepasste Version des ursprünglich veröffentlichten Beschlusses darstellt, wird man jedoch enttäuscht. Der Beschluss enthält weiterhin keine Angabe dazu, wann er gefasst wurde. Auf der Webseite ist weiterhin der 25.09.2019 als Veröffentlichungsdatum angegeben. Der Dateiname verweist auf den 26.9.

Ich habe den ursprünglich veröffentlichten Beschluss natürlich heruntergeladen und dieser steht hier zum Abruf bereit (pdf).

Tatsächlich bin ich etwas irritiert und ja, auch verärgert, dass die Aufsichtsbehörden in dieser intransparenten Weise agieren. Wenn die erste Version des Beschlusses Fehler enthielt, kann man dies ja unproblematisch auf der Webseite deutlich machen. Fehler (dürfen) passieren. Eventuell war die erste Version ja auch so inhaltlich nicht abgestimmt. Jedoch wird hier ein Beschluss öffentlich gemacht und dann im Nachhinein, ohne Information des Empfängerkreises, nachträglich angepasst. Wie soll dieses Vorgehen bei uns als interessierten Lesern und sicherlich auch beabsichtigten Empfängerkreis verstanden werden? Sollen wir besser wöchentlich prüfen, ob nicht Beschlüsse oder andere Entscheidungen der DSK nachträglich angepasst wurden? Oder sollen wir entsprechende Veröffentlichungen der DSK, wie man so schön sagt, „nicht so ernst nehmen“?

Die Anpassungen betreffen die Bezifferung im Beschluss selbst und einen Verweis in Ziff. IV (nun auf Ziff. II).

Im konkreten Fall mag der Beschluss keine bahnbrechende Relevanz haben. Was jedoch, zumindest für mich, zurückbleibt, ist ein Unverständnis über ein solches intransparentes Handeln der DSK gegenüber der Öffentlichkeit.

Verwendung von Meldungen zu Datenschutzverletzungen für Bußgeldverfahren? Ein Stimmungsbild.

Posted on by

Art. 33 Abs. 1 DSVGO schreibt vor, dass im Falle einer Verletzung des Schutzes personenbezogener Daten der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde melden muss (es sei denn, dass voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht).

Art. 33 Abs. 3 DSVGO gibt einen Katalog an Informationen vor, die Inhalt der Meldung an die Aufsichtsbehörde sein müssen. U.a. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze sowie eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen. Der Verantwortliche muss in der Meldung nach Art. 33 DSGVO mithin darlegen, wie es zu der Datenschutzverletzung kam.

Doch die Aufsichtsbehörden sind nicht nur für die Entgegennahme der Meldungen zuständig. Gleichzeitig besteht für sie nach Art. 58 Abs. 2 lit. i DSGVO die Befugnis, eine Geldbuße nach Art. 83 DSVGO zu verhängen. Im Falle von Datenschutzverletzungen, die sich (nach der Legaldefinition in Art. 4 Nr. 12 DSVGO) auf die Vernichtung, den Verlust, die Veränderung, oder die unbefugte Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten bezieht, steht zumeist ein Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung im Raum).

Nun stellt sich für Verantwortliche oft die Frage: kann ich bedenkenlos die Meldung absetzen, ohne befürchten zu müssen, dass die übermittelten Informationen im Rahmen eines Bußgeldes gegen mich verwendet werden? Muss ich mich also selbst belasten?

Der deutsche Gesetzgeber hat diese Situation im Rahmen der Anpassung des DSGVO erkannt und eine klare Regelung in § 43 Abs. 4 BDSG getroffen: „Eine Meldung nach Artikel 33 der Verordnung (EU) 2016/679 oder eine Benachrichtigung nach Artikel 34 Absatz 1 der Verordnung (EU) 2016/679 darf in einem Verfahren nach dem Gesetz über Ordnungswidrigkeiten gegen den Meldepflichtigen oder Benachrichtigenden oder seine in § 52 Absatz 1 der Strafprozessordnung bezeichneten Angehörigen nur mit Zustimmung des Meldepflichtigen oder Benachrichtigenden verwendet werden“. (Hervorhebung durch mich).

Eigentlich dürften also deutsche Aufsichtsbehörden die Informationen aus der Meldung nicht für die Einleitung eines Bußgeldverfahrens nutzen, ohne, dass die Zustimmung des meldenden Verantwortlichen vorliegt.

Doch wie interpretieren die (deutschen) Aufsichtsbehörden diese Vorschrift? Nachfolgend habe ich in einer Tabelle die Ansichten oder zumindest entsprechende Andeutungen verschiedener Datenschutzbehörden zusammengetragen.

Aufsichtsbehörde

Aussage

Quelle
Art. 29 Gruppe „… hat die Aufsichtsbehörde auch die Möglichkeit, Sanktionen wegen der versäumten Meldung oder Benachrichtigung (Artikel 33 und 34) einerseits sowie wegen fehlender (angemessener) Sicherheitsmaßnahmen (Artikel 32) andererseits zu verhängen, da es sich um zwei separate Verstöße handelt“. Leitlinien für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der Verordnung (EU)2016/679, WP 250 rev.01, S. 11
BlnBDI „Dagegen dürfen die durch die Meldung erhaltenen Informationen nicht dazu genutzt werden, die der Meldung zugrunde liegende Datenschutzverletzung zu sanktionieren.“ Jahresbericht 2018, S. 24
HessBDI „§ 43 Abs. 4 BDSG schränkt die Konsequenzen einer Meldung nach Art. 33 DS-GVO für ein Bußgeldverfahren ein.“ 47. Tätigkeitsbericht, S. 178
LfDI BaWü „Gemeldete Datenschutzverletzungen    können demnach grundsätzlich auch im Rahmen von Ordnungswidrigkeitsverfahren und Strafverfahren gegen den die Verletzung meldenden verwendet werden.“ 33. Tätigkeitsbericht 2016/2017, S. 17
HmbBfDI „Eine Sanktionierung kam gemäß § 43 Abs. 4 BDSG aufgrund der ordnungsgemäßen Meldung nicht in Betracht.“ 27. Tätigkeitsbericht Datenschutz 2018, S. 52
TLfDI „Dabei stellt sich natürlich die Frage, ob die Meldung einer Datenschutzverletzung zu   einem Bußgeldverfahren führt; also quasi die Verpflichtung besteht, sich selbst zu belasten. Das ist nicht der Fall!“ Pressemitteilung, Datenpanne –Bußgeld bei Meldung? Erfurt, 23.08.2019
BayLDA „Was macht BayLDA mit den Meldungen? Z.Zt. keine Geldbuße bei mitgeteilten Verstößen geplant“ Vortragsfolien von Thomas Kranig, Die DS-GVO in der Praxis – Erfahrungsbericht nach knapp einem Jahr, S. 34
LfD Sachsen-Anhalt Information auf der Webseite zur Meldung einer Datenschutzverletzung:„Die Verarbeitung dient ausschließlich den Zwecken der Überprüfung der Einhaltung der Artikel 33 und 34 DS-?GVO“. Online-Formular, Meldung einer Datenschutzverletzung,

Man sieht, dass unter den deutschen Behörden uneinheitliche Auffassungen zu bestehen scheinen, ob Informationen aus einer Meldung für ein Bußgeldverfahren genutzt werden können.

Über weitere Hinweise freue ich mich und nehme sie gerne auf.

Bayerisches Landesamt für Datenschutzaufsicht zu Facebook Custom Audience: Einwilligung nicht zwingend erforderlich?

Posted on by

Das Bayerische Landesamt für Datenschutzaufsicht hat am 30.08.2019 eine Pressemitteilung (pdf) zur aktuellen Prüfung der Website des Blutspendedienstes des Bayerischen Roten Kreuzes. Anlass der Prüfung war der Einsatz von Tracking-Tools auf der Website des Blutspendedientes.

Dass diese Prüfung stattfindet, wurde bereits letzte Woche bekannt. Daher ist die Mitteilung meines Erachtens auch nicht überraschend.

Interessant sind jedoch meines Erachtens zwei Aussagen des BayLDA bzw. seines Präsidenten zum Einsatz von Tracking-Tools und den datenschutzrechtlichen Anforderungen.

Zum einen wird in der der Pressemitteilung zu den datenschutzrechtlichen Pflichten von Webseiten-Betreibern ausgeführt:

Der Website-Betreiber muss auch sicherstellen, dass er die Tracking-Tools rechtmäßig einbindet, d. h. dass eine Rechtsgrundlage die Einbindung erlaubt oder der Nutzer vorab seine Einwilligung erklärt hat.

Interessant hierbei ist, dass das BayLDA ausdrücklich alternativ neben der Einwilligung auch andere Rechtsgrundlagen (also etwa eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO) als möglichen Erlaubnistatbestand für eine Datenverarbeitung anspricht. Die Behörde geht anscheinend nicht davon aus, dass werbliche Tracking-Tools (wie in dieser Prüfung wohl Facebook Custom Audience) nur mit Einwilligung der Besucher genutzt werden können.

Diese Aussage bedeutet wohl nicht, dass der Einsatz werblicher Tracking-Tools per se auch auf der Grundlage einer Interessenabwägung zulässig wäre. Jedoch lassen die Ausführungen des BayLDA erkennen, dass man sich nicht vorab allein auf die Einwilligung der Betroffenen als einzig mögliche Rechtsgrundlage festlegen möchte. Zudem ist noch zu bemerken, dass das BayLDA ganz allgemein auf „eine Rechtsgrundlage“ verweist, also auch nicht allein nur auf die Interessenabwägung.

Zudem wird Herr Kranig, der Präsident des BayLDA wie folgt zitiert:

Was vielen nicht klar ist: nicht der Website-Betreiber, der ein Tracking-Tool auf der Website einbindet, übermittelt Daten an den Anbieter des Tracking-Tools, sondern der Anbieter selbst erhebt die Daten direkt vom Nutzer. Nichtsdestotrotz wird dies erst durch die Einbindung auf der Website ermöglicht.

Diese Aussage ist insbesondere vor dem Hintergrund des aktuellen EuGH-Urteils in Sachen Like-Button (FashionID, Urt. v. 29. Juli 2019, C-40/17) interessant. Dort hatte der EuGH ausgeführt, dass „der Betreiber einer Website, der in diese Website ein Social Plugin einbindet, das den Browser des Besuchers dieser Website veranlasst, Inhalte des Anbieters dieses Plugins anzufordern und hierzu personenbezogene Daten dieses Besuchers an diesen Anbieter zu übermitteln, als für die Verarbeitung Verantwortlicher im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 angesehen werden“ kann. Das BayLDA geht also wohl davon aus, dass der Webseiten-Betreiber selbst nicht die Übermittlung durchführt. Jedoch wird für die Verantwortlichkeit des Betreibers, anders als im Urteil des EuGH, auch gar nicht auf die Übermittlung (hier stellt sich die Frage, von wem? Dem Besucher selbst? Seinem Browser / dem Browser-Hersteller?) abgestellt, sondern allein auf die Ermöglichung der Erhebung von Daten der Besucher durch den Anbieter des Tools.

Zum Schluss fügt Herr Kranig einen, meines Erachtens zutreffenden und bei vielen Unternehmen immer noch nicht ausreichend gewürdigten Hinweis an:

Dieser Fall zeigt, dass nicht nur die Aufsichtsbehörden Websites prüfen, sondern im Prinzip jedermann mit wenig Aufwand über den Browser testen kann, welche Tracking-Tools auf einer Website eingebunden sind. Das Risiko, dass Nutzer auf einen Verstoß aufmerksam werden und dieses der Aufsichtsbehörde melden, ist bei Websites besonders hoch.

Datenschutzbehörde Bremen befragt Unternehmen zur Nutzung von Microsoft Office 365

Posted on by

Die LfDI Bremen hat auf ihrer Webseite Informationen zu einer aktuellen Umfrage bei den 30 größten Unternehmen der Hansestadt zum Einsatz von Microsoft Office 365 veröffentlicht. Hierfür werden Fragebögen an Unternehmen in Bremen gesendet.

Die Aufsichtsbehörde begründet die Aktion damit, dass es zahlreiche Nachfragen zur cloud-basierten Bürosoftware Office 365 gegeben habe und daher der Einsatz der Software im Hinblick auf die Sicherheit und Rechtmäßigkeit der Verarbeitung personenbezogener Daten genauer betrachtet werden soll.

Die angeschriebenen Unternehmen wurden laut Angaben der LfDI aufgefordert, den Fragebogen bis zum 30. September 2019 zu beantworten.

Der von der LfDI genutzte Fragebogen findet sich hier (pdf).

Die Frage sind noch recht allgemein gehalten. Die LfDI wird sich in einem ersten Schritt wohl zunächst einen Überblick über den Einsatz der Software und auch die interne Dokumentation der Unternehmen zu dem Einsatz verschaffen wollen.

U.a. wird auch danach gefragt, ob vor dem Einsatz der Software eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt wurde. Sollte die Antwort „nein“ lauten, soll das Unternehmen begründen, warum die DSFA nicht stattfand. Hierbei scheint die LfDI eventuell Berichte aus den Niederlanden im Kopf zu haben. Dort wurde für das Justizministerium durch eine Beratungsgesellschaft eine DSFA durchgeführt und die Ergebnisse veröffentlicht.

Daneben fragt die LfDI etwa auch nach der Rechtsgrundlage der Datenübermittlung in Drittstaaten (konkret die USA).

Das jeweilige Anschreiben an die Unternehmen ist nicht veröffentlicht. Da laut den Informationen auf der Webseite die Unternehmen aber „aufgefordert“ werden, bis zu einer bestimmten Frist Informationen bereitzustellen, kann es sich hier auch um einen Verwaltungsakt handeln. Dafür kann etwa sprechen, wenn in dem Anschreiben auf § 40 Abs. 4 BDSG verwiesen wird, wonach der Aufsicht unterliegenden Stellen verpflichtet sind, einer Aufsichtsbehörde auf Verlangen die für die Erfüllung ihrer Aufgaben erforderlichen Auskünfte zu erteilen.

Erst kürzlich entschied das Verwaltungsgericht Mainz (Urteil vom 09.05.2019 – 1 K 760/18.MZ) in einem Verfahren, in dem die Datenschutzbehörde von dem Betreiber eines Tanzlokals Auskunft in Form eines Fragenkataloges, der insgesamt 16 Fragen umfasste, insbesondere hinsichtlich des Umfangs der eingesetzten Videoüberwachungstechnik, begehrte. Das Verwaltungsgericht sah den diesbezüglich erlassenen Verwaltungsakt der Behörde als rechtmäßig an. Das Verwaltungsgericht verwies hierzu u.a. auf die Untersuchungsbefugnisse der Behörden nach Art. 58 DSGVO und die Aufgabe nach Art. 57 Abs. 1 lit. a DSGVO, die Anwendung der DSGVO zu überwachen und durchzusetzen. Auf Art. 57 Abs. 1 lit. a DSGVO verweist auch hier die LfDI Bremen in den Erläuterungen.

Sollte es sich hier um einen Verwaltungsakt handeln, bestehen für die Unternehmen natürlich auch die gesetzlich vorgeschriebenen Rechtschutzmöglichkeiten.