Category Archives: Datenschutzrecht

Wichtiges Urteil des Europäischen Gerichtshofs: Mehr Datennutzungsmöglichkeiten für Webseiten- und App-Betreiber

Posted on by

Der Europäische Gerichtshof (EuGH) hat mit seinem heutigen Urteil in der Rechtssache C-582/14 die datenschutzrechtlichen Vorschriften des deutschen Telemediengesetzes (TMG) dem Grunde nach für mit den europarechtlichen Vorgaben (insbesondere Art. 7 lit. f) der Datenschutzrichtlinie) unvereinbar erklärt. Die Folge ist, dass die relativ strikten Voraussetzungen für eine Verarbeitung personenbezogener Daten bei der Bereitstellung eines Telemediendienstes (also etwa einer App oder einer Webseite) nach den §§ 14 und 15 TMG im Lichte dieses Urteils interpretiert und erweitert werden müssen.

Im Ergebnis bedeutet dies, dass Diensteanbieter personenbezogene Daten eines Nutzers nun nicht mehr nur dann verarbeiten dürfen, soweit sie für die Begründung, inhaltliche Ausgestaltung oder Änderung eines Vertragsverhältnisses erforderlich sind (§ 14 Abs. 1 TMG) oder nur erheben und verwenden dürfen, soweit dies erforderlich ist, um die Inanspruchnahme der App oder Webseite zu ermöglichen (§ 15 Abs. 1 TMG).

Bereits der Generalanwalt hatte in seinen Schlussanträgen vom 12. Mai 2016 die Auffassung vertreten, dass § 15 TMG nicht mit den europäischen Vorgaben des Art. 7 lit. f) Datenschutzrichtlinie vereinbar ist. § 15 TMG stelle zwar keine zusätzliche Bedingung für die Rechtmäßigkeit einer Datenverarbeitung auf. Er schränkt aber, die Bedingung des Art. 7 lit. f) Datenschutzrichtlinie ein.  Nach dieser Vorschrift ist eine Verarbeitung personenbezogener Daten auch dann zulässig, wenn die Verarbeitung

zur Verwirklichung des berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden,

erforderlich ist, sofern nicht das Interesse oder die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

Das Problem der Regelungen sowohl in dem durch das Gericht begutachteten § 15 Abs. 1 TMG als auch etwa in § 14 TMG ist, dass diese Vorschriften eine Verarbeitung personenbezogener Daten nur zu konkret bestimmten und durch den Gesetzgeber festgelegten Zwecken ermöglichen. Durch die so vorgeschriebenen eng begrenzten Verarbeitungsmöglichkeiten im Rahmen des TMG schneidet der deutsche Gesetzgeber jedoch die Möglichkeit für verantwortliche Stellen ab, personenbezogenen Daten entsprechend der europarechtlichen Vorgabe des Art. 7 lit. f) Datenschutzrichtlinie auf der Grundlage einer Interessenabwägung zu verarbeiten. Man könnte es auch mit den Worten des Generalanwalts in seinen Schlussanträgen sagen: „§ 15 TMG verkleinert im Vergleich zu Art. 7 Buchst. f der Richtlinie 95/46 den Umfang des berechtigten Interesses, das die Verarbeitung von Daten rechtfertigen kann, erheblich“.

Nach dem Urteil des EuGH ist eine nationale Vorschrift, die die Berücksichtigung berechtigter Interessen der Daten verarbeitenden Stelle nicht zulässt, jedoch mit den Vorgaben der europäischen Datenschutzrichtlinie nicht vereinbar.

Nach dem EuGH (Rz. 62) hindert Art. 7 lit. f) Datenschutzrichtlinie einen Mitgliedstaat daran,

kategorisch und ganz allgemein die Verarbeitung bestimmter Kategorien personenbezogener Daten auszuschließen, ohne Raum für eine Abwägung der im konkreten Einzelfall einander gegenüberstehenden Rechte und Interessen zu lassen.

In keinem der §§ 14, 15 TMG gestattet der deutsche Gesetzgeber jedoch eine Interessenabwägung entsprechend den europarechtlichen Vorgaben. Aus diesem Grund ist meines Erachtens das Urteil, obwohl es „nur“ mit Blick auf Paragraf 15 Abs. 1 TMG ergangen ist, auch im Rahmen der übrigen Absätze des § 15 TMG und auch des § 14 TMG zu berücksichtigen, soweit es sich dort um Vorschriften handelt, die die europarechtlich vorgegebene Interessenabwägung vorwegnehmen und einschränken.

In der Praxis bedeutet dies für Webseiten- und App-Betreiber, dass sie personenbezogene Daten von ihren Nutzern auch dann verarbeiten dürfen, wenn diese Verarbeitung der Verwirklichung eines berechtigten Interesses dient, und keine schutzwürdigen Interessen oder Grundrechte der Nutzer überwiegen („überwiegen“, nicht: „entgegenstehen“). Eine solche Regelung findet sich derzeit etwa in § 28 Abs. 1 S. 1 Nr. 2 BDSG. In Zukunft ist man meiner Meinung nach im Anwendungsbereich des TMG also nicht mehr darauf beschränkt, personenbezogene Daten etwa nur dann zu verarbeiten, soweit dies für die Inanspruchnahme des jeweiligen Dienstes erforderlich ist. Im Ergebnis werden daher die Datennutzungsmöglichkeiten für Webseiten- und App-Betreiber im Vergleich zur jetzigen Rechtslage erweitert. Man mag den Begriff des „berechtigten Interesses“ durchaus als schwammig oder zu unbestimmt verstehen. Jedoch bietet er andererseits gerade für die Praxis die erforderliche Flexibilität, um auch neue Arten von Verarbeitungstätigkeiten zu erfassen. Zudem muss man schlicht konstatieren, dass eine Verarbeitung auf der Grundlage berechtigter Interessen europarechtlich vorgegeben und zulässig ist.

Zuletzt stellte EuGH in seinem Urteil auch ausdrücklich klar, dass ein solches berechtigtes Interesse die Aufrechterhaltung der Funktionsfähigkeit von Webseiten ist und damit eine Speicherung von IP-Adressen zu diesem Zwecke, auch über den jeweiligen konkreten Nutzungsvorgang hinaus, gestattet. Hinzuweisen ist darauf, dass der EuGH sich hier nicht mit weiteren Beispielen für „berechtigte Interessen“ befassen musste, dass in der Vorlagefrage tatsächlich allein um die Aufrechterhaltung der Funktionsfähigkeit einer Webseite ging.

Noch ein letzter Hinweis: berechtigte Interessen sind übrigens anerkanntermaßen auch „Zwecke der Direktwerbung“, wie es nun ausdrücklich in Erwägungsgrund 47 der bereits in Kraft getretenen aber noch nicht anwendbaren Datenschutz-Grundverordnung steht.

Europäische Kommission: Geltende Angemessenheitsbeschlüsse und Standardvertragsklauseln sind rechtswidrig

Posted on by

Ende September hatte ich hier im Blog berichtet, dass die Europäische Kommission derzeit an Entwürfen für zwei Beschlüsse zur Anpassung der den derzeit geltenden EU-Standardvertragsklauseln zugrunde liegenden Entscheidungen und Angemessenheitsbeschlüsse hinsichtlich des Schutzniveaus in bestimmten Drittstaaten. In dem sogenannten Art. 31 Ausschuss (der sich aus Vertretern der Mitgliedstaaten zusammensetzt und zuletzt etwa über den Beschluss zum EU-US Datenschutzschild abgestimmt hat) hat man am 3. Oktober 2016 über diese Entwürfe beraten.

Eine Zusammenfassung der Sitzung wurde nun veröffentlicht (txt).

Aus dieser Zusammenfassung geht hervor, dass, wie von mir bereits im damaligen Blogbeitrag vermutet, die Entwürfe der Kommission sich insbesondere auf die Anpassung der existierenden Beschlüsse hinsichtlich der Befugnisse der Datenschutzaufsichtsbehörden beziehen. Jegliche Beschränkung der Befugnisse der Aufsichtsbehörden soll durch die beiden neuen Entwürfe gestrichen werden. Eine solche Beschränkung hatte nämlich der europäische Gerichtshof in seinem Urteil zu Safe Harbor für unzulässig erklärt.

Von besonderer Brisanz dürfte jedoch die Feststellung der Kommission in der Sitzung vom 3. Oktober sein, dass ihrer Auffassung nach die derzeit existierenden Beschlüsse, sowohl hinsichtlich der Angemessenheitsentscheidungen für Drittländer als auch hinsichtlich der EU-Standardvertragsklauseln, rechtswidrig sind.

It explained that the purpose of both draft decisions is to cure the illegality that follows from the findings in the Court of Justice’s Schrems ruling.

Diese Schlussfolgerung dürfte nun für viele Beobachter nicht unbedingt überraschend kommen. Dass sie jedoch tatsächlich so öffentlich in einem Protokoll zur Sitzung als Aussage der Kommission festgehalten wird, finde ich zumindest interessant. Zudem geht aus dem Protokoll zur Sitzung hervor, dass einige der anwesenden Mitgliedstaaten die beiden Entwürfe für neue Beschlüsse positiv bewerteten. Jedoch seien andere Mitgliedstaaten aktuell nicht in der Lage gewesen, eine Entscheidung hinsichtlich der vorgelegten Beschlussentwürfe zu treffen und baten um eine Vertagung. Nun soll die Art. 29 Datenschutzgruppe (die Vertreter der europäischen Datenschutzbehörden) um eine Stellungnahme zu den Entwürfen gebeten werden.

Hessischer Datenschutzbeauftragter zu Pokémon Go: Nutzer ist darüber informiert, was mit seinen Daten geschieht

Posted on by

Im Rahmen der Antwort auf eine kleine Anfrage (Drs. 19/3658, pdf) im Hessischen Landtag zu dem Dienst Pokémon Go und mit dessen Einsatz einhergehenden datenschutzrechtlichen Fragen, hat auch der Hessische Landesdatenschutzbeauftragte eine Stellungnahme abgegeben.

Der Landesdatenschutzbeauftragte vertritt eine andere Auffassung als der Verbraucherzentrale Bundesverband e.V., der den Entwickler der Pokémon Go-App, das Unternehmen Niantic Inc., unter anderem wegen angeblicher Verstöße der Datenschutzbestimmungen des Dienstes gegen deutsches Datenschutzrecht, um Juli 2016 abgemahnt hatte.

Der Hessische Datenschutzbeauftragte geht davon aus, dass die datenschutzrechtlich verantwortliche Stelle für die Datenverarbeitung im Rahmen der Smartphone-App „Pokemon GO“ die Niantic Inc. mit Sitz in den USA ist. Ein Transfer von einer deutschen bzw. europäischen datenschutzrechtlich verantwortlichen Stelle in einen Drittstaat (USA) finde hingegen nicht statt. Vielmehr werden die Daten mit Einwilligung des Nutzers direkt durch ein US-Amerikanisches Unternehmen erhoben und verarbeitet

Da Niantic Inc., soweit ersichtlich, weder in Deutschland noch in der EU eine Niederlassung habe, unterliege das Unternehmen auch nicht der Kontrolle des Hessischen Datenschutzbeauftragten.

Der Landesbeauftragte führt weiter aus, dass die Datenschutzbestimmungen der „Pokemon GO“-App relativ umfangreich sind und in verhältnismäßig transparenter Form die Datenverarbeitung  bei  der  Nutzung der App erläutern.

Der Nutzer ist darüber informiert, was mit seinen Daten geschieht.

Zudem führt der Landesdatenschutzbeauftragte aus, dass Spieler die Wahl haben, ob sie die Kamera einschalten wollen oder nicht. Für das Abspeichern eines Pokemonfotos im Speicher des Smartphones und das Teilen mit anderen bestehe kein höheres Risiko als bei sonst erstellten und übermittelten Fotos.

Internationale Datentransfers: Europäische Kommission bereitet Anpassung aller geltenden Beschlüsse vor

Posted on by

Die Europäische Kommission befindet sich derzeit im Prozess der Anpassung von allen existierenden Beschlüssen zur Zulässigkeit der Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraumes (sogenannte Drittstaaten). Dies geht aus der Tagesordnung (txt) des Ausschusses nach Artikel 31 der Datenschutzrichtlinie 95/46/EG für die Sitzung am 3. Oktober 2016 hervor.

Demnach plant die Europäische Kommission sowohl einen offiziellen Beschluss zur Anpassung der Entscheidung 2001/497/EG für Standardvertragsklauseln zur Übermittlung personenbezogener Daten an verantwortliche Stellen in Drittstaaten sowie einen Beschluss zur Anpassung der Entscheidung 2010/87/EG für Standardvertragsklauseln zu Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittstaaten.

Daneben sollen alle existierenden Angemessenheitsbeschlüsse für das Datenschutzniveau in bestimmten Drittstaaten angepasst werden. Eine Übersicht dieser Angemessenheitsbeschlüsse findet sich hier.

Die nun vorgesehenen Anpassungen durch die Europäische Kommission wurden aufgrund des Urteils des Europäischen Gerichtshofs zur Aufhebung der Safe Harbor-Entscheidung (C-362/14, Schrems) erforderlich. Welche Änderungen konkret vorgesehen sind, lässt sich jedoch leider der nun veröffentlichten Tagesordnung nicht entnehmen. Die beiden vorgeschlagenen Beschlüsse der Europäischen Kommission sind nicht veröffentlicht. Es dürfte jedoch, betrachtet man das Urteil des Europäischen Gerichtshofs, insbesondere um die Befugnisse der nationalen Aufsichtsbehörden gehen, die durch Beschlüsse der Europäischen Kommission nicht beschränkt werden dürfen. Die Beschlüsse zu Standardvertragsklauseln und Angemessenheitsentscheidungen, die nun abgeändert werden sollen, enthalten jedoch jeweils noch gewisse Voraussetzungen dazu, wann eine nationale Aufsichtsbehörde eine Datenübermittlung in einen Drittstaat überhaupt erst untersagen darf.

In dem Ausschuss nach Artikel 31 finden sich die Vertreter der Europäischen Mitgliedstaaten zusammen. Diese müssen nun eine Stellungnahme zu den im Entwurf vorgelegten Beschlüssen der europäischen Kommission fassen.

Die Zukunft der derzeit existierenden Standardvertragsklauseln könnte zudem von dem Ausgang eines Verfahrens in Irland abhängen. Hierzu hat die irische Datenschutzaufsichtsbehörde Hintergrundinformationen veröffentlicht (hierzu mein Blogbeitrag).

Zukunft der EU-Standardvertragsklauseln: Irische Datenschutzbehörde veröffentlicht Informationen zum aktuellen Verfahren

Posted on by

Die irische Datenschutzbehörde hat auf ihrer Webseite Hintergrundinformationen zu einem derzeit vor dem irischen High Court anhängigen Verfahren zur Frage der Gültigkeit der EU-Standardvertragsklauseln (genauer: den zugrundeliegenden Beschlüssen der Europäischen Kommission) veröffentlicht. Hiermit möchte die Behörde über die Hintergründe des Verfahrens, an dem Maximilian Schrems und Facebook beteiligt sind, und den aktuellen Stand informieren. EU-Standardvertragsklauseln sind ein Instrument, um personenbezogene Daten in Staaten außerhalb des EWR zu übermitteln zu dürfen, die, aus Sicht des europäischen Rechts, nicht über ein angemessenes Schutzniveau für personenbezogene Daten verfügen. Die von der Kommission entwickelten Klauseln stellen ihrer Auffassung nach „ausreichende Garantien“ (Art. 26 Abs. 2 Datenschutzrichtlinie 95/46/EG) für den Schutz der Privatsphäre und der Grundrechte der betroffenen Personen dar. Anders als etwa eine Angemessenheitsentscheidung der Kommission, wie jüngst zum EU US Datenschutzschild, entfalten die Klauseln jedoch ihre Wirkung nur im Verhältnis der Parteien, die diese nutzen.

Die Aufsichtsbehörde weist darauf hin, dass Facebook und auch andere international tätige Unternehmen diese Klauseln nutzen, um personenbezogene Daten aus der EU in die USA zu übermitteln. Nach Auffassung der Behörde genügen die von der Kommission entwickelten Standardvertragsklauseln aber in drei Punkten nicht den Anforderungen europäischen Rechts.

Zum einen stünden europäischen Bürgern in den USA keine vergleichbar wirksamen Rechtsbehelfe zur Verfügung, wie sie Art. 47 der Charta der Grundrechte der Europäischen Union fordert, wenn die Daten in den USA durch staatliche Behörden für Zwecke der nationalen Sicherheit verwendet werden.

Zum anderen behandeln die Standardvertragsklauseln die Frage des wirksamen Rechtsbehelfs nicht entsprechend den Vorgaben des Europäischen Gerichtshofs, die er in seinem Urteil zur Safe Harbor-Entscheidung der Kommission (C-362/14, Schrems) aufstellte.

Zuletzt, so die Behörde, ergebe sich daraus, dass die Standardvertragsklauseln (bzw. die diesen zugrundeliegenden Beschlüssen der Kommission) selbst gegen Art. 47 der Charta verstoßen.

Entsprechend den Vorgaben des Europäischen Gerichtshofs in seinem Urteil zu Safe Harbor, habe die Aufsichtsbehörde daher die Gültigkeit der Standardvertragsklauseln vor einem irischen Gericht in Zweifel gezogen. Das Gericht könnte nun die Frage der Gültigkeit der Klauseln dem Europäischen Gerichtshof vorlegen. Wann dies genau geschieht, ist noch unklar. Derzeit befinde man sich in einer Phase des Austauschs von Meinungen und rechtlichen Ansichten zu dem Fall, der bis zum 20. Januar 2017 abgeschlossen sein soll.

Die Aufsichtsbehörde wird fortlaufend über dieses Verfahren berichten.

Deutscher Juristentag: Entgeltlicher Vertrag bei Datennutzung aufgrund einer Einwilligung

Posted on by

Gestern wurden die Beschlüsse des 71. Deutschen Juristentages veröffentlicht (PDF). Teilweise beziehen sich diese auch auf interessante Fragen des Datenschutzrechts und die umstrittene Thematik „Daten als Entgelt“. Nachfolgend möchte ich einige dieser Beschlüsse näher darstellen.

Zu der Frage, ob und wenn ja wann bei einem Austausch von Daten von einem entgeltlichen bzw. unentgeltlichen Vertrag auszugehen ist, wurden folgende Anträge abgelehnt und angenommen:

Erlangt der Anbieter Daten, die ihm vom Nutzer zur Verfügung gestellt wurden oder die er auf andere Weise erhoben hat, so ist stets von einer Gegenleistung (Entgelt) auszugehen.

Dieser Antrag wurde abgelehnt. Meines Erachtens zu Recht, da ansonsten bei jeglichem Austausch von Daten (also etwa bei Übertragung der IP-Adresse im Rahmen des Besuchs einer Webseite) von einem entgeltlichen Vertrag auszugehen wäre.

Von einem Entgelt ist nur auszugehen, wenn die Datennutzung aufgrund des Datenschutzrechts nur mit Einwilligung des Betroffenen zulässig ist.

Dieser Antrag wurde angenommen. Von einem Entgelt soll zum einen nur ausgegangen werden, wenn es sich um personenbezogene Daten handelt. Denn nur in diesem Fall bewegen wir uns im Bereich des „Datenschutzrechts“. Kritisieren kann man, dass nicht klar ist, warum eine Entgeltlichkeit nur bei Vorliegen einer Einwilligung angenommen werden sollte. Eventuell möchte man eine Abgrenzung zu einer Verarbeitung schaffen, die für die Durchführung und Abwicklung eines Vertragsverhältnisses erforderlich ist. Es existieren jedoch (neben der Einwilligung) auch andere Erlaubnistatbestände im Datenschutzrecht, die die Datennutzung als zulässig erachten, ohne dass ein Vertrag vorliegen muss. Beispielsweise bei einem Vorliegen berechtigter Interessen des Verantwortlichen. In diesem Fall würde man, dem obigen Beschluss folgend, keine Entgeltlichkeit annehmen. Zudem könnte man die Frage stellen, ob die Abhängigkeit der Entgeltlichkeit von der Einwilligung sinnvoll ist, wenn man sich überlegt, dass teilweise das Gesetz verpflichtend die Einholung einer Einwilligung vorsieht. Auch kann man die Frage stellen, was in Situationen geschieht, in denen die Datennutzung gerade nicht zulässig ist, weil die Einwilligung unwirksam ist. Liegen dann unentgeltliche Verträge vor?

Speziell zum Thema „Datenschutz“ wurden ebenfalls Beschlüsse gefasst.

„Das Inkrafttreten der Datenschutz-Grundverordnung sollte zum Anlass genommen werden, das Recht des Arbeitnehmerdatenschutzes u?ber § 32 BDSG hinaus umfassend neu zu regeln.“

Dieser Antrag wurde angenommen. Damit spricht sich der DJT für eine umfassende Neuregelung des Beschäftigtendatenschutzes aus. Der Anfang September veröffentliche Referentenentwurf für das ABDSG lässt jedoch vermuten, dass die entsprechende Öffnungsklausel in der Datenschutz-Grundverordnung nicht genutzt wird, um über die bisher bekannte Regelung des § 32 BDSG hinauszugehen.

„Das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG ist auch auf die nicht automatisierte Datenverarbeitung zu erstrecken.“

Auch dieser Antrag wurde angenommen. Insbesondere im Rahmen des Beschäftigtendatenschutzes spielt diese Vorschrift eine wichtige Rolle.

Datenschutzrechtliche Folgen des WLAN-Urteils des EuGH

Posted on by

Das heutige Urteil des Europäischen Gerichtshofs (C-484/14) in der Sache Mc Fadden und seine konkreten Folgen für die Haftungssituation der Anbieter von WLANs in der Öffentlichkeit, insbesondere für das im Sommer diesen Jahres überarbeitete Telemediengesetz (neuer § 8 Abs. 3 TMG), werden bereits heftig diskutiert.

Ich möchte mich nachfolgend gar nicht so sehr mit den Feststellungen des EuGH zur Haftung eines Anbieters eines WLANs befassen. Vielmehr möchte ich nachfolgend kurz auf die durch den EuGH aufgestellte Anforderung eingehen, dass ein Anbieter, wenn ein Nutzer des von ihm angebotenen offenen WLANs beispielsweise Urheberrechtsverletzungen begeht, gerichtlich dazu verpflichtet werden kann, hinreichend wirksame Maßnahmen zu ergreifen, um einen wirkungsvollen Schutz des Rechts des geistigen Eigentums sicherzustellen.

Nach Auffassung des EuGH muss eine solche Maßnahme bewirken, dass unerlaubte Zugriffe auf die Schutzgegenstände verhindert oder zumindest erschwert werden und dass die Internetnutzer, die die Dienste des WLAN-Anbieters in Anspruch nehmen, zuverlässig davon abgehalten werden, auf die Schutzgegenstände zuzugreifen (Rz. 95).

Im vorliegenden Fall entschied das Gericht, dass unter den gegebenen Umständen eine Maßnahme, die in der Sicherung des Internetanschlusses durch ein Passwort besteht, als erforderlich anzusehen ist (Rz. 99). Das vorlegende deutsche Gericht zog überhaupt nur drei mögliche Maßnahmen in Betracht; meines Erachtens ist daher auch nicht ausgeschlossen, dass andere, in diesem Verfahren nicht erwähnte Maßnahmen, ebenfalls als wirksame Alternativen angesehen werden könnten. Der EuGH verweist mehrmals ausdrücklich darauf, dass seine Prüfung vorliegend allein auf die drei durch das deutsche Gericht erwähnten Maßnahmen beschränkt ist.

Eine solche Sicherung des WLANs durch ein Passwort könnte, so der EuGH, die Nutzer dieses Anschlusses davon abschrecken, ein Urheberrecht oder verwandtes Schutzrecht zu verletzen, soweit diese Nutzer ihre Identität offenbaren müssen, um das erforderliche Passwort zu erhalten, und damit nicht anonym handeln können (Rz. 96).

Der EuGH macht die zu erzielende Abschreckungswirkung davon abhängig, dass sowohl ein Passwort vergeben werden muss und dieses zwingend von der Offenbarung der Identität der WLAN Nutzer abhängt. Das Ergebnis dieser Maßnahme muss nach dem Urteil des EuGH sein, dass die Nutzer „nicht anonym handeln können“.

Damit gestattet es der EuGH, dass WLAN Anbieter gerichtlich dazu verpflichtet werden können personenbezogenen Daten der Nutzer zur Identifizierung zu verarbeiten. Sie müssen ihre „Identität offenbaren“. Folglich wird diese Entscheidung auch datenschutzrechtliche Implikationen für die Anbieter von offenen WLANs haben. Sie können quasi dazu gezwungen werden, personenbezogene Daten zum Zweck der Identifizierung der Nutzer zu verarbeiten. Insbesondere dürfte es nach dem Urteil des EuGH nicht ausreichen, wenn etwa Pseudonyme vergeben werden können oder man sich zum Beispiel auch nur mit seinem Nachnamen anmelden könnte. Das Gericht bekräftigt mehrmals, dass der Nutzer seine Identität offenbaren müsse. Dies wird aber im Ergebnis nur möglich sein, wenn der Nutzer seinen vollen Namen und eventuell weitere personenbezogene Daten angibt.

Aus Sicht eines Anbieters eines WLAN muss sich dann unweigerlich die Frage stellen, auf der Grundlage welches Erlaubnistatbestandes die Verarbeitung entsprechender personenbezogener Daten zur Identifizierung eines Nutzers erlaubt ist.

Dabei wird sich zuallererst die Frage stellen, welches Gesetz überhaupt die einschlägigen datenschutzrechtlichen Regelungen für den Umgang mit personenbezogenen Daten in einem offenen WLAN bereithält. Man könnte zunächst freilich davon ausgehen, dass die datenschutzrechtlichen Regelungen der §§ 11 ff. TMG Anwendung finden, da es ja in dem Urteil um europäische Vorgaben gehen, welche ihre Umsetzung ebenfalls im TMG (§§ 7 und 8) finden. Hier ist jedoch zu beachten, dass die Frage, wer datenschutzrechtlich verantwortlich ist, wer also die „verantwortliche Stelle“ (§ 3 Abs. 7 BDSG) ist, zunächst einmal nach den Vorgaben des BDSG richtet. Dies auch, soweit es die datenschutzrechtlichen Regelungen des TMG betrifft.

Verantwortlich für die Datenverarbeitung (konkret die Identifizierung der Nutzer und die Vergabe eines Passwortes) wird hier in den meisten Fällen natürlich der Anbieter des WLANs sein. Wenn dieser im Rahmen einer vorgeschalteten Webseite, bevor der Nutzer in den Genuss des Zugangs zum freien Internet kommt, personenbezogene Daten, etwa zur Identifizierung erhebt und verarbeitet, dürfte die Datenverarbeitung über diese Website im Rahmen des Bereithaltens eigener Telemedien erfolgen (freilich mag man hier auch die Frage stellen, ob eine Identifizierung über eine Webseite überhaupt wirksam möglich ist). Jedoch erscheint fraglich, ob etwa der Erlaubnistatbestand des § 15 Abs. 1 TMG (also für den Umgang mit Nutzungsdaten; Bestandsdaten nach § 14 dürften nicht vorliegen, da kein Vertragsverhältnis mit dem WLAN-Anbieter besteht) die Verarbeitung personenbezogene Daten zur Identifizierung eines Nutzers gestattet. Zwar darf der Anbieter nach § 15 Abs. 1 TMG personenbezogene Daten eines Nutzers verwenden, jedoch nur soweit dies erforderlich ist, um die Inanspruchnahme des Telemediums (also etwa der vorgeschalteten Anmeldewebseite) zu ermöglichen. Man könnte jedoch wohl auch die Auffassung vertreten, dass die Verarbeitung personenbezogener Daten für eine Identifizierung des Nutzers ja nicht unbedingt erforderlich ist um die vorgeschaltete Webseite zu nutzen, sondern allein den Zweck hat um nach gelagert von dem Internetzugang profitieren zu können. Das Telemedium ist nur die Anmeldeseite, nicht der nachgelagerte Zugang zum Internet. Möglicherweise kann man sich hier nur mit der Einholung einer Einwilligung nach § 13 Abs. 2 TMG behelfen. Sollte die Identifzierung dagegen „offline“ erfolgen (beispielsweise prüft der Kellner im Cafe die Ausweise), würde sich die Datenverarbeitung nach den Vorgaben des BDSG richten.

Daneben muss noch beachtet werden, dass die Anbieter von WLANs als sog. „Diensteanbieter“ im Sinne des § 3 Nr. 6 b) TKG angesehen werden, da sie an der Erbringung von Telekommunikationsdiensten mitwirken. Diese Auffassung vertritt unter anderem die Bundesnetzagentur (Amtsblattmitteilung Nr. 149, 2015, PDF). Dies hat zur Folge, dass grundsätzlich auch die spezialgesetzlichen Regelungen zum Datenschutz im TKG (§§ 91 ff) Anwendung finden. Möglicherweise könnten die Informationen zum Passworte und zur Identität der Nutzer auch unter den Begriff der „Verkehrsdaten“ nach § Nr. 30 TKG fallen. Deren Verarbeitung richtet sich nach den Vorgaben des § 96 TKG.

Man wird abwarten müssen, wie sich die Folgen des Urteils in der Praxis auswirken und mit den nun aufgestellten Vorgaben des Urteils umgegangen wird. Anbieter von WLANs sollten aber in jedem Fall auch die mit diesen Vorgaben des EuGH einhergehenden datenschutzrechtlichen Folgen beachten.

Datentransfers in die USA unter dem EU-US Privacy Shield: Datenschutzbehörde NRW veröffentlicht Leitfaden für Unternehmen

Posted on by

Die Landesbeauftragte für den Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LfDI) hat auf ihrer Webseite ein Dokument zu den Anforderungen an Datentransfers in die USA auf der Grundlage des EU-US-Datenschutzschildes (EU-US Privacy Shield) veröffentlicht (PDF, Stand: 12.09.2016 (17 Seiten)). Mit den Informationen (die in der Form von Fragen und Antworten bereitgestellt werden) richtet sich die Behörde schwerpunktmäßig an verantwortliche Stellen in Deutschland bzw. Nordrhein-Westfalen. Die Behörde weist zudem darauf hin, dass zur Umsetzung der Angemessenheitsentscheidung der europäischen Kommission weitere Abstimmungen zwischen den Aufsichtsbehörden und Deutschland und der EU erforderlich sind. Man sollte die Angaben in dem Dokument daher nicht als abschließend betrachten. Dennoch gibt der Leitfaden einen ersten groben Überblick, was deutsche Datenschutzbehörden in Zukunft von verantwortlichen Stellen in Deutschland im Hinblick auf die Einschaltung von US-Unternehmen im Rahmen des Datenschutzschildes verlangen könnten.

Insbesondere weist die LfDI darauf hin, dass bei einer Verarbeitung personenbezogener Daten aus der EU in den USA im Auftrag einer verantwortliche Stelle, neben den Zulässigkeitsvoraussetzungen der sog. zweiten Stufe der Datenverarbeitung (§§ 4b, 4c BDSG) auch die Anforderungen des § 11 BDSG zu erfüllen sind. Denn, so die Behörde, die Voraussetzungen des § 11 BDSG betreffen die sog. erste  Stufe des Datenumgangs (also die Frage der Rechtmäßigkeit der Datenübermittlung) und müssen daher unabhängig davon eingehalten werden, wo die Auftragsdatenverarbeitung stattfindet.

Zudem verlangt die Behörde von verantwortlichen Stellen, dass zusätzliche Prüfpflichten zu erfüllen sind, wenn sie sich in der zweiten Stufe auf das Datenschutzschild berufen möchten (S. 2). Nach Ansicht der LfDI zählen zu diesen Pflichten, dass sich die verantwortliche Stelle vergewissern muss, dass

  • das datenempfangende US-Unternehmen eine gültige Zertifizierung besitzt und
  • dass diese auch eingehalten wird.

Die verantwortliche Stelle muss dafür mindestens klären,

  • ob die Zertifizierung tatsächlich vorliegt,
  • diese noch gültig ist (diese muss jährlich erneuert werden) und
  • ob die zu übermittelnden Daten von der Zertifizierung abgedeckt sind.

Zudem, so die LfDI sollten sich verantwortliche Stellen ebenfalls nachweisen lassen, wie das US-Unternehmen seinen Informationspflichten aus dem Datenschutzschild gegenüber den von der Datenverarbeitung betroffenen Personen nachkommt.

Erwähnenswert ist zudem auch der Hinweis der Behörde, dass er sich vorbehält, aufgrund von Ergebnissen der jährlichen Überprüfung des Datenschutzschildes und auch eigenen Erkenntnissen, Datenübermittlungen unter dem Datenschutzschild gegebenenfalls in Einzelfällen auszusetzen (S. 4).

Die Anforderungen der LfDI ähneln jenen Vorgaben, die deutschen Aufsichtsbehörden bereits in ihrer „Orientierungshilfe – Cloud Computing“ (Stand 09.10.2014, PDF), damals noch zu Safe Harbor, formuliert haben.

Unter anderem wurde dort nämlich darauf hingewiesen, dass

auch eine gültige Safe-Harbor-Zertifizierung des Cloud-Anbieters (und ggf. des Unter-Anbieters) den Cloud-Anwender nicht von dem Erfordernis befreit, schriftliche Vereinbarungen entsprechend § 11 Abs. 2 BDSG zu treffen (S. 18).

Zudem stellten die Behörden damals fest, dass, solange eine flächendeckende Kontrolle der Selbstzertifizierungen US-amerikanischer Unternehmen durch die Kontrollbehörden in Europa und den USA nicht gewährleistet sei, auch die Unternehmen in Deutschland eine Verpflichtung treffe, gewisse Mindestkriterien zu prüfen, bevor sie personenbezogene Daten an ein auf der Safe-Harbor-Liste geführtes US-Unternehmen übermitteln (S. 17).

Diese Vorgaben scheint die Behörde nun in den Anwendungsbereich des Datenschutzschildes übertragen zu wollen.

Auch in den Zusatzgrundsätzen des Datenschutzschildes selbst was die europäische Kommission darauf hin, dass wenn personenbezogene Daten aus der EU in den USA im Auftrag verarbeitet werden sollen, dafür ein Vertrag geschlossen werden muss, unabhängig davon, ob der Auftragsverarbeiter der Vereinbarung zum Datenschutzschild beigetreten ist oder nicht (Anhang II, III.   Zusatzgrundsätze, 10. Obligatorische Verträge bei Weitergabe, a. Datenverarbeitung im Auftrag). Zu beachten ist freilich, dass sich diese Zusatzgrundsätze des Datenschutzschildes nicht direkt an verantwortliche Stellen in der Europäischen Union oder Deutschland richten. Der Beschluss der europäischen Kommission ist vielmehr an die Mitgliedstaaten gerichtet. Die Einhaltung der Grundsätze des Datenschutzschildes obliegt zudem den US-amerikanischen Unternehmen, die sich selbst zertifizieren möchten.

Man darf gespannt sein, welche gemeinsame Position die deutschen Behörden zu Datentransfers unter dem Datenschutzschild entwickeln. Die nun vorliegenden Leitlinien der Aufsichtsbehörde aus Nordrhein-Westfalen geben verantwortlichen Stellen zumindest jedoch einen ersten Hinweis darauf, wie sich die Aufsichtsbehörden eine Umsetzung der Regelungen des Datenschutzschildes in der Praxis vorstellen.

Erste Anmerkungen zum Referentenentwurf für das neue Allgemeine Bundesdatenschutzgesetz

Posted on by

Die europäische Datenschutz-Grundverordnung (DSGVO), welche ab dem 25. Mai 2018 in Europa anwendbar sein wird, stellt dem Grunde nach eine Verordnung nach Art. 288 Abs. 2 AEUV dar. Bekanntermaßen enthält sie jedoch Öffnungsklauseln für nationale Gesetzgeber, die sowohl die Möglichkeit zur Schaffung nationaler Regelungen beinhalten und in gewissen Bereichen die Mitgliedstaaten sogar verpflichten legislativ tätig zu werden.

Vor diesem Hintergrund hat das Bundesinnenministerium hat einen Referentenentwurf für ein „Datenschutz-Anpassungs- und -Umsetzungsgesetz EU“ erarbeitet, der nun auch veröffentlicht wurde (PDF).

Bereits aus dem Umfang des Referentenentwurfs (immerhin 62 Paragrafen für ein Allgemeines Bundesdatenschutzgesetz) wird deutlich, dass auch mit Anwendbarkeit der DSGVO keine vollständige Harmonisierung des Datenschutzrechts in Europa existieren wird, sondern gewisse Bereiche weiter national (und durchaus auch divergierend) geregelt werden können bzw. müssen. In Zukunft wird man sich im Datenschutzrecht also nicht allein nur mit den Vorgaben der DSGVO befassen können.

Passend finde ich den Hinweis des BMI in der Entwurfsbegründung:

Damit entsteht für das Datenschutzrecht ein komplexes Regelungssystem aus unions- und mitgliedstaatlichen Vorschriften, das den Rechtsanwender vor eine anspruchsvolle Aufgabe stellt.

Nachfolgend möchte ich nur einige initiale Anmerkungen zu Teilen des Referentenentwurfs machen. Überdies sollte beachtet werden, dass sich bei diesem Entwurf noch nicht um den finalen Entwurf des Gesetzes handelt. Auch andere Ministerien, wie das Bundesministerium für Justiz und Verbraucherschutz oder auch das Wirtschaftsministerium, werden dem Entwurf für ein „Allgemeines Bundesdatenschutzgesetz“ (ABDSG) ihren Stempel aufdrücken wollen.

Anwendungsbereich
Das ABDSG soll künftig als allgemeines Datenschutzrecht des Bundes die Funktion haben, die bislang das BDSG hatte. Eine Auffangfunktion. Bereichsspezifische Regelungen des Bundes können also auch in Zukunft abweichendes Datenschutzrecht regeln. Das ABDSG gilt sowohl für nicht-öffentliche als auch öffentliche Stellen (des Bundes), § 2 Abs. 1 ABDSG.

Zweck des BDSG ist es insbesondere, das allgemeine deutsche Datenschutzrecht sowohl an die DSGVO als auch an die Richtlinie (EU) 2016/680 anzupassen. § 1 Abs. 2 Nr. 1 ABDSG verdeutlicht, dass für den Bereich der Wirtschaft in Zukunft fast ausschließlich die DSGVO die ausschlaggebenden datenschutzrechtlichen Maßgaben setzt. Nur in vereinzelten Bereichen gestattet die DSGVO abweichende nationale Regelung. Diese nationalen Regelungen sollen sich dann im ABDSG finden.

Erwähnenswert ist hier noch die Regelung des § 2 Abs. 4 ABDSG, nach der das ABDSG nur Anwendung findet, soweit der verantwortliche oder Auftragsverarbeiter personenbezogene Daten im Rahmen der Tätigkeiten einer inländischen Niederlassung verarbeitet. Durch diese Vorschrift soll geregelt werden, dass das ABDSG zur Anwendung kommt, wenn eine Datenverarbeitung durch eine in Deutschland ansässige Niederlassung vorliegt. Dies bedeutet aber auch, dass das ABDSG nicht anwendbar ist, wenn etwa ein Verantwortlicher nicht in der Europäischen Union niedergelassen ist, nach Art. 3 Abs. 2 DSGVO jedoch den Regelungen der DSGVO unterliegt, etwa weil er Personen in Deutschland Waren oder Dienstleistungen anbietet. In einem solchen Fall fehlt es nämlich an einer inländischen Niederlassung.

Erlaubnistatbestände für öffentliche Stellen
In § 4 ABDSG sollen spezifische Erlaubnistatbestände für Verarbeitungen durch öffentliche Stellen geschaffen werden. Das BMI möchte hier von den Öffnungsklauseln der Art. 6 Abs. 1 lit. e i. V. m. Art. 6 Abs. 3 S. 1 DSGVO Gebrauch machen. Die in § 4 Abs. 2 ABDSG aufgeführten Zwecke dienen insbesondere der Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe. Nach Abs. 2 Nr. 8 wird klargestellt, dass die Verarbeitung von personenbezogenen Daten zur Gewährleistung der Netz-, Daten- und Informationssicherheit ein öffentliches Interesse darstellt. Nach der Begründung zum Entwurf muss, wo dies erforderlich ist, das Sammeln, Auswerten und Untersuchen von Informationen über Sicherheitsrisiken oder -vorkehrungen und die gegenseitige Information, Beratung und Warnung von Staat, Wirtschaft oder Gesellschaft möglich sein. Ganz bewusst hat sich das BMI zudem dagegen entschieden, die Erlaubnis nur auf für das Gemeinwohl besonders wichtige Einrichtungen (wie z.B. Betreiber kritischer Infrastrukturen) zu beschränken.

Verarbeitung besonderer Kategorien personenbezogener Daten
In § 5 ABDSG (der nicht nur für öffentliche Stellen gilt) macht das BMI von der Öffnungsklausel des Art. 9 Abs. 2 lit. g) DSGVO Gebrauch. Besondere Kategorien personenbezogener Daten sollen in Zukunft auch dann verarbeitet werden dürfen, wenn dies aus Gründen eines „erheblichen öffentlichen Interesses“ erforderlich ist. Zu diesen erheblichen öffentlichen Interessen zählt das BMI etwa die Verarbeitung geometrischer Daten zu Zwecken der eindeutigen Identifikation einer Person (§ 5 Abs. 1 Nr. 1 ABDSG).

Zweckändernde Verarbeitung
In § 6 ABDSG schafft das BMI die Möglichkeit, personenbezogene Daten für einen anderen und auch mit dem Zweck der Erhebung unvereinbaren Zweck weiterzuverarbeiten. Diese Möglichkeit bietet Art. 6 Abs. 4 DSGVO. Die Regelung gilt sowohl für öffentliche als auch nicht-öffentliche Stellen. Man Meinungsbereich des § 6 dürfen auch besondere Kategorien personenbezogener Daten für andere und unvereinbare Zwecke weiterverarbeitet werden.

Beschränkungen der Betroffenenrechte
In den §§ 7 – 13 ABDSG macht das BMI von der Möglichkeit des Art. 23 DSGVO Gebrauch, dass in engen Grenzen die Betroffenenrechte beschränkt werden können. Nach § 7 Abs. 2 ABDSG wird die Informationspflicht des Verantwortlichen im Fall einer Weiterverarbeitung der Daten für andere Zwecke (Art. 13 Abs. 3 DSGVO) beschränkt. Soweit die Erteilung der Information einen unverhältnismäßigen Aufwand erfordern würde, muss der Verantwortliche nicht über diesen anderen Zweck informieren. Jedoch muss der verantwortliche in diesem Fall dafür sorgen, dass geeignete Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Person ergriffen werden. Hierzu zählt insbesondere die Bereitstellung der Informationen über die anderen Zwecke für die Öffentlichkeit, was etwa durch Informationen auf einer Webseite erfolgen kann.

Nach § 7 Abs. 3 ABDSG schränkt die allgemeine Informationspflicht nach Art. 13 DSGVO für Fälle der Videoüberwachung öffentlich zugänglicher Räume ein. In diesem Fall muss aber der Umstand der Beobachtung (etwa durch ein Hinweisschild) erkennbar sein.

In § 9 ABDSG wird das Auskunftsrecht der Betroffenen beschränkt. Nach § 9 Abs. 2 lit. d) ABDSG besteht das Recht auf Auskunft und Erhalt einer Kopie nach Art. 15 DS GVO nicht, wenn die gespeicherten Daten ausschließlichen (!) Zwecken der Datensicherung oder der Datenschutzkontrolle dienen. Zudem müsse die Erteilung der Auskunft einen unverhältnismäßigen Aufwand erfordern.

Interessant ist auch die Ausnahme nach § 9 Abs. 2 lit. e) ABDSG, wonach das Auskunftsrecht dann nicht besteht, wenn die Benachrichtigung die Geschäftszwecke des Verantwortlichen erheblich gefährden würde.
Das Recht auf Löschung von Daten (Art. 17 DSGVO) soll nach § 10 Abs. 2 ABDSG dann nicht bestehen, wenn die Löschung aufgrund der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßigen Aufwand möglich ist. Diese Beschränkung, so der Entwurf des BMI, dient dem Schutz der Rechte und Freiheiten anderer Personen (Art. 23 Abs. 1 lit. i) DSGVO).

Nach § 12 Abs. 2 ABDSG darf eine Einzelentscheidung, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet und die ausschließlich auf einer automatisierten Verarbeitung beruht, auch über die in Art. 22 Abs. 2 DSGVO vorgesehenen Ausnahmen dann erfolgen, wenn diese Entscheidung im Rahmen des Abschlusses oder der Erfüllung eines Vertrages oder eines sonstigen Rechtsgeschäfts (hier geht des ABDSG über die Ausnahme des Art. 22 Abs. 2 lit. a) DSGVO hinaus) zwischen der betroffenen Person und dem Verantwortlichen ergeht und dem Begehren der betroffenen Person stattgegeben wird. Die Entscheidung (bzw. die ihr zugrundeliegende Verarbeitung) muss also nicht für die Erfüllung des Vertrages oder Rechtsgeschäftes erforderlich sein.

Datenschutzbeauftragter
§ 14 ABDSG sieht, über die Vorgaben der DS GVO hinausgehend, vor, wann zwingend ein Datenschutzbeauftragter zu bestellen ist. Insbesondere soll dies der Fall sein, wenn in der Regel mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind.

Klagerecht gegen Privacy Shield & Co.
Nachdem bereits vor einigen Monaten der Bundesrat ein neues Klagerecht für Aufsichtsbehörden gegen Angemessenheitsentscheidung der Europäischen Kommission für das Schutzniveau personenbezogener Daten in Drittstaaten gefordert hatte, wird dieses neue Klagerecht nun in § 28 ABDSG aufgenommen. Jedoch mit ein paar inhaltlichen Abweichungen zu dem ursprünglichen Vorschlag im Bundesrat.

Aufsichtsbehörden können danach bei der Prüfung eine Beschwerde einer betroffenen Person gegen eine Angemessenheitsentscheidung (wie jetzt zum Privacy Shield) im Wege einer Feststellungsklage vor das Bundesverwaltungsgericht ziehen. Interessant ist, welchen Inhalt der Antrag auf Feststellung haben soll. Der Antrag soll darauf lauten festzustellen, dass das Bundesverwaltungsgericht „die Zweifel der Aufsichtsbehörde an der Gültigkeit eines zur Rechtfertigung der Übermittlung angewendeten Angemessenheitsbeschlusses der Kommission teilt“. Der ursprüngliche Gesetzesvorschlag für einen neuen § 38b BDSG sah noch die Feststellung einer Ungültigkeit der Angemessenheitsentscheidung der Kommission vor. Die Ungültigkeit eines EU Rechtsaktes kann ein nationales Gericht jedoch gerade nicht feststellen. Hierauf hatte ich auch im Rahmen eines Blogbeitrages zu dem damaligen Gesetzesvorschlag hingewiesen.

Vertretung im Europäischen Datenschutzausschuss
Ausführlich regelt der Entwurf für das ABDSG zudem das Verfahren der Vertretung der deutschen Datenschutzbehörden im Europäischen Datenschutzausschuss (Kapitel 6). Grundsätzlich soll hier der oder die Bundesbeauftragte für den Datenschutz der gemeinsame Vertreter der deutschen Behörden sein. Zusätzlich stellen die Landesbehörden jedoch einen Stellvertreter. Dieser wird vom Bundesrat gewählt. Je nach der im europäischen Datenschutzausschuss beratenen Angelegenheit muss dann der gemeinsame Vertreter die Verhandlungsführung und das Stimmrecht im Europäischen Datenschutzausschuss auf den Vertreter der Landesbehörden übertragen.

Des Weiteren wird ausführlich das Verfahren der Zusammenarbeit der Aufsichtsbehörden des Bundes und der Länder geregelt.

Beschäftigtendatenschutz
In § 33 ABDSG enthält der Referentenentwurf auch eine Vorschrift zur Datenverarbeitung im Beschäftigungskontext. Hier gibt es jedoch keine Überraschungen. Zitat aus der Entwurfsbegründung: „Absätze 1 bis 3 entsprechen § 32 Bundesdatenschutzgesetz.“

TMG
In dem Entwurf des ABDSG finden sich keine Regelungen zur Datenverarbeitung im Bereich der Telemedien. Man darf gespannt sein, ob hier eventuell noch das Bundeswirtschaftsministerium entsprechende Vorschläge unterbreitet. Da jedoch ohnehin fast alle Regelungen des TMG zum Datenschutz nicht auf einer Umsetzung der sogenannten ePrivacy-Richtlinie beruhen, werden die entsprechenden Vorschriften ab dem vom 25. Mai 2018 nicht mehr anwendbar sein.

Niederländische Datenschutzbehörde: SmartTV-Anbieter müssen nachbessern

Posted on by

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) hat in der letzten Woche mitgeteilt (Englisch), dass ein Prüfverfahren von Anbietern von SmartTV-Geräten mit einer Anpassung der Datenverarbeitung durch die Anbieter beendet wurde.

Im Juni 2016 veröffentlichte die Behörde einen Abschlussbericht (Englisch, pdf) zu ihrer Prüfung der Datenschutzkonformität des SmartTV-Angebotes. In dem Bericht noch aufgezeigte Mängel wurden von dem Anbieter nun ausgebessert. Die beanstandeten datenschutzrechtlichen Unzulänglichkeiten lesen sich wie die „Klassiker“ der möglichen Fehler.

Unter anderem bemängelte die Aufsichtsbehörde, dass zu Beginn des Prüfverfahrens in der Datenschutzerklärung des Anbieters überhaupt keine Informationen zum Umgang mit personenbezogenen Daten erteilt wurden. Es fehlten auch Informationen zur Identität der verantwortlichen Stelle (vorliegend wurden zwei gemeinsam verantwortliche Stelle tätig) und den Zweck der Verarbeitung personenbezogener Daten.

Zwar gesteht die Aufsichtsbehörde zu, dass die Anbieter personenbezogene Daten zum Betrieb des Systems, zur Erbringung von Diensten über den SmartTV und auch zur Durchführung des jeweiligen Vertrages (z. B. Video on Demand) mit dem Kunden ohne dessen Einwilligung verarbeiten dürfen. Jedoch beanstandete die Behörde in ihrem Bericht, dass die Verarbeitung dennoch unzulässig war, weil die Anbieter hierüber nicht ausreichend informiert hatten.

Der Datenschutz bei SmartTV-Geräten ist auch in Deutschland ein Thema. So hat die Verbraucherzentrale NRW den Hersteller Samsung vor dem Landgericht Frankfurt am Main verklagt (Az. 2-03 O 364/15) und zum Teil Recht bekommen. Das Bayerische Landesamt für Datenschutzaufsicht hat bereits im Jahr 2015 eine umfassendere datenschutzrechtliche Prüfung von SmartTV-Geräten vorgenommen (zur Pressemitteilung, pdf).