Category Archives: Datenschutz-Grundverordnung

Gesetzentwurf des Gesundheitsministeriums: Festlegung der federführenden Datenschutzbehörde für Forschungsvorhaben bei mehreren Verantwortlichen

Posted on by

Das Bundeskabinett hat heute eine Formulierungshilfe des Bundesministeriums für Gesundheit zu einem „Entwurf eines Gesetzes zum Schutz der Bevölkerung bei einer epidemischen Lage von nationaler Tragweite“ (pdf) beschlossen. Medial wurde vor allem über die vorgeschlagenen Anpassungen des Infektionsschutzgesetzes berichtet.

Jedoch wird daneben in Artikel 4 des Entwurfs auch vorgeschlagen, im SGB V einen neuen § 287a SGB V einzufügen. Dieser Vorschlag ist aus datenschutzrechtlicher Sicht sehr interessant, da er nicht nur Auswirkungen im Gesundheitsbereich oder in der jetzigen Zeit haben könnte.

Der Vorschlag lautet:

§ 287a

Federführende Datenschutzaufsicht in der Versorgungs- und Gesundheitsforschung

Bei länderübergreifen Vorhaben der Versorgungs- und Gesundheitsforschung, an denen nicht-öffentliche Stellen oder öffentliche Stellen des Bundes oder der Länder aus zwei oder mehr Ländern als Verantwortliche beteiligt sind, findet § 27 des Bundesdatenschutzgesetzes Anwendung. Die beteiligten Verantwortlichen benennen einen Hauptverantwortlichen und melden diesen der für die Hauptniederlassung des Hauptverantwortlichen zuständigen Aufsichtsbehörde. Artikel 56 und Artikel 60 der Verordnung (EU) 2016/679 sind entsprechend anzuwenden.

(Hervorhebungen durch mich)

Zweck der Regelung

Was das BMG mit der Regelung bezweckt, wird schon aus der Überschrift deutlich. Es soll eine federführende Datenschutzbehörde für Datenverarbeitungen im Rahmen der Gesundheitsforschung geben, auch wenn mehrere Verantwortliche beteiligt sind.

Warum nach Ansicht des BMG eine solche Regelung erforderlich ist, ergibt sich aus der weiteren Gesetzesbegründung und liest sich durchaus wie eine implizite Kritik an der föderalen Struktur der Datenschutzaufsicht in Deutschland, die oft untereinander abweichende Ansichten der Datenschutzbehörden bedingt.

Die Heterogenität der Landesdatenschutz- und Krankenhausgesetze und die Zuständigkeit verschiedener Landesdatenschutzbehörden erschweren und verlangsamen in Folge derzeit länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung.

(S. 15)

Daher sieht der Entwurf für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vor, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen sollen. Dadurch soll die die länderübergreifende Versorgungs- und Gesundheitsforschung unter Wahrung des Datenschutzes beschleunigt und eine einheitliche Rechtsauslegung zum Wohle aller Betroffenen gewährleistet werden.

Inhalt der Regelung selbst

Zunächst geht es dem BMG in dem vorgeschlagenen § 287a SGB V um länderübergreifende Forschungsvorhaben, an denen mehrere datenschutzrechtlich Verantwortlichen (ob als öffentliche oder nicht-öffentliche) Stellen beteiligt sind. Die Stellen müssen aber als „Verantwortliche“ beteiligt sein.

Nicht klar ist, ob hiervon auch eine gemeinsame Verantwortlichkeit umfasst wäre. Zudem geht weder die Vorschrift selbst noch die Begründung darauf ein.

Sind mehrere Verantwortliche beteiligt, so sieht § 287a SGB V die Pflicht vor („benennen“), dass die Beteiligten untereinander einen Hauptverantwortlichen wählen und diesen bei der Datenschutzbehörde seiner Hauptniederlassung als Hauptverantwortlichen des Forschungsvorhabens melden. Der Vorschlag ist hier meines Erachtens nicht besonders präzise, da etwa nicht konkretisiert wird, für das der Hauptverantwortliche als solcher benannt werden soll: allein für das Vorhaben oder die damit zusammenhängende Datenverarbeitung? Die Datenschutzbehörde dürfte sich nur für Letztere interessieren.

Begründung der Regelung

Nach der Gesetzesbegründung werden für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vorgesehen, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen (S. 16).

§ 287a SGB V sehe die verfahrensrechtliche Koordinierung der Zuständigkeiten verschiedener datenschutzrechtlicher Landesbehörden vor (S. 30). Hierdurch möchte das BMG den der DSGVO vorgesehene One-Stop-Shop zur Zuständigkeit der Datenschutzaufsichtsbehörden auf die länderübergreifende Versorgungs- und Gesundheitsforschung anwenden.

Der wichtige Unterschied zu den Regeln des Art. 56 und 60 DSGVO ist natürlich, dass es vorliegend um mehrere Verantwortliche (sicher getrennte, evtl. auch gemeinsam Verantwortliche?) geht. Art. 56 und 60 DSGVO beziehen sich jedoch zumindest ausdrücklich nur auf die Zuständigkeit der federführenden Behörde eines Verantwortlichen mit mehreren Niederlassungen (das sieht auch der EDSA in WP 244).

Laut Begründung sind bei länderübergreifenden Forschungsvorhaben  für die beteiligten verantwortlichen Stellen regelmäßig unterschiedliche Landesaufsichtsbehörden für den Datenschutz zuständig.

Es bedarf daher einer Regelung für eine federführende Aufsichtsbehörde. Hierzu finden sich Vorbilder in der Datenschutz-Grundverordnung selbst (Artikel 56, 60 der Verordnung (EU) 2016/679),…

(S. 31)

Der Entwurf referenziert auf die Regelungen der DSGVO wohl bewusst nur als Beispiel, da, wie beschrieben, gerade nicht ausdrücklich die Festlegung einer federführenden Aufsichtsbehörde bei mehreren Verantwortlichen geregelt wird.

Das BMG begründet die Regelung weiter, dass den Verantwortlichen in der Neuregelung auferlegt (!) wird, eine hauptverantwortliche Stelle zu benennen,

„die dann der für sie zuständigen Aufsichtsbehörde die Verantwortung für das länderübergreifende Forschungsvorhaben in der Versorgungs- und Gesundheitsforschung anzuzeigen hat. Maßgeblich ist der in Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 definierte Begriff der „Hauptniederlassung““ (S. 31)

Anmerkung

Meines Erachtens hat der Vorschlag durchaus potential für Diskussionen. Besonders interessant (gerade aus Sicht der Wirtschaft) ist, dass das BMG ganz offensichtlich davon ausgeht, dass mehrere datenschutzrechtlich (ob nun getrennt oder gemeinsam) Verantwortliche einen Verantwortlichen als „Hauptverantwortlichen“ bestimmen können und dann über diese Festlegung auch die Hauptniederlassung und hieran anknüpfend dann die federführende Datenschutzbehörde festlegen können.

Erinnert Sie dieses Thema an ein aktuell immer noch offenes Verfahren? Ja, die Verfahren der Berliner Datenschutzbehörde zum Betrieb von Facebook Fanpages. Dort geht es mitentscheidend um die Frage, ob gemeinsam Verantwortliche einen Verantwortlichen (und damit seine Hauptniederlassung) als umsetzungsbefugt für Entscheidungen zur Datenverarbeitung bestimmen können. Der nun vorliegende Entwurf des BMG spricht meines Erachtens ganz klar für eine solche Möglichkeit.

Daneben ist an der Regelung natürlich noch interessant, dass hier der Gesetzgeber kurzerhand die Datenschutzaufsicht bei Forschungsvorhaben durch die Verantwortlichen zentralisieren lassen möchte, um „eine koordinierte und einheitliche Anwendung der datenschutzrechtlichen Vorschriften ermöglichen und so Verzögerungen und Aufwände bei der Konzeption und Durchführung länderübergreifender Forschungsvorhaben“ (S. 30) verhindern.

Covid-19 als „höhere Gewalt“ im Datenschutzrecht? Unternehmen sind nicht in der Haftung

Posted on by

In mehreren europäischen Ländern wurden aufgrund des sich verbreitenden Corona-Virus bereits Ausgangssperren verhängt. In Bayern wurde der Katastrophenfall ausgerufen. Bürger sind zudem angehalten, im Home-Office zu arbeiten. Für viele Unternehmen bedeutet dies, dass interne (Verwaltungs)Prozesse nicht mehr uneingeschränkt oder, bei einer Schließung des Unternehmens, sogar gar nicht mehr funktionieren.

Die Folge im Datenschutzrecht ist, dass Betroffenenanfragen nach der DSGVO, etwa auf Auskunft nach Art. 15 DSGVO, entweder nur stark verzögert oder in nächster Zeit gar nicht adäquat bearbeitet werden können. So kann es sein, dass aufgrund von Home-Office nicht alle internen Dokumente auf personenbezogene Daten geprüft werden können. Eventuell ist Unternehmen auch generell die Erfüllung von Pflichten nach der DSGVO aufgrund der aktuellen Umstände nicht (mehr) vollumfänglich möglich.

Aus Sicht der Praxis stellt sich für datenverarbeitende Stellen die Frage, wie sie mit dieser Situation umgehen können. Gestattet es die DSGVO etwa, dass vorgegebene Fristen nach Art. 12 Abs. 3 DSGVO (max. 3 Monate zur Beantwortung von Betroffenenanfragen) noch weiter verlängert oder nicht beachtet werden müssen? Kann sich ein Unternehmen im Fall eines Verstoßes gegen die DSGVO, der auf der aktuellen Ausnahmesituation beruht, irgendwie entlasten oder besteht die Gefahr, dass Verwaltungsverfahren oder Bußgelder durch Behörden verhängt (Art. 83 DSGVO) oder Schadensersatzansprüche von Betroffenen geltende gemacht (Art. 82 DSGVO) werden?

Aktuelle Ansichten von Datenschutzbehörden

Die englische Behörde, ICO, wird nach eigenen Angaben bei Verzögerungen der Erfüllung von datenschutzrechtlichen Pflichten die derzeitigen Umstände berücksichtigen (ICO, Data protection and coronavirus: what you need to know). Insoweit nimmt die Behörde an, dass die gesetzlichen Fristen nicht verlängert werden können, aber Verzögerungen in der Bearbeitung der Betroffenenrechte aufgrund des Corona-Virus jedoch nicht geahndet würden.

Der EDSA äußert sich zur (Nicht-)Geltung der Fristen nicht. Allerdings ist der EDSA der Ansicht, dass die besonderen Umstände nichts an den bestehenden Pflichten der Verantwortlichen ändern würden (EDSA, Statement of the EDPB Chair on the processing of personal data in the context of the COVID-19 outbreak, pdf).

Nach Ansicht der irischen Datenschutzbehörde DPC ist eine Änderung der Fristenregelungen der DSGVO nicht möglich. Jedoch spricht die DPC einige praktische Empfehlungen aus (DPC, Data Protection and COVID-19). Die DPC verweist darauf, dass unter Darlegung der entsprechenden Gründe die Frist zur Bearbeitung des Betroffenenrechts um bis zu zwei Monate verlängert werden. Die Pflicht zur Information über die Fristverlängerung obliegt dabei nach Art. 12 Abs. 3 S. 3 DSGVO dem Verantwortlichen. Zudem ist auch ein gestuftes Vorgehen bei der Beantwortung von Betroffenenanfragen denkbar. So könnte der Verantwortliche elektronisch verfügbare Dokumente, auf die die Mitarbeiter auch im Home-Office zugreifen können, zuerst bearbeiten.

Ausnahmen nach der Fristen-Verordnung?

Die für die Berechnung europarechtlich vorgegebener Fristen (also auch jener nach Art. 12 Abs. 3 DSGVO oder Art. 33 Abs. 1 DSGVO) unmittelbar anwendbare Fristen-Verordnung (Verordnung (EWG, Euratom) Nr. 1182/71) sieht keine Ausnahme von bestehenden Fristen im Ausnahmefall vor.

Ausnahmen in der DSGVO?

Art. 12 DSGVO sieht keine Ausnahmen von den dort geregelten Fristen vor. Hinsichtlich der allgemeinen Pflichten nach der DSGVO finden sich in einzelnen Artikel zum Teil Ausnahmevorschriften. So etwa in Art. 14 Abs. 5 lit. b DSGVO, für den Fall, dass die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Jedoch gilt diese Ausnahme nur für die Vorgaben des Art. 14 DSGVO. Im Rahmen der Löschpflicht wird etwa in Art. 17 Abs. 3 lit. c DSGVO als Ausnahme auf Gründe des öffentlichen Interesses im Bereich der öffentlichen Gesundheit nach Art. 9 Abs. 2 lit. i DSGVO verwiesen. Auch hierbei handelt es sich aber nur um eine spezielle Ausnahme zu Art. 17 DSGVO.

Höhere Gewalt: keine Haftung der Unternehmen

In der aktuellen Situation ist meines Erachtens über eine, in der DSGVO zwar nicht ausdrücklich benannte, dem Sinn und Zweck nach jedoch angelegte, allgemeine Ausnahme bzw. Privilegierung nachzudenken: das Vorliegen „höherer Gewalt“.

Wichtig ist hierbei, die europarechtlichen Vorgaben zu dieser Ausnahme heranzuziehen, da die DSGVO als europäisches Recht auf europarechtsautonom anzuwenden ist.

Nach ständiger Rechtsprechung des EuGH sind unter „höherer Gewalt“ ungewöhnliche und unvorhersehbare Ereignisse zu verstehen, auf die derjenige, der sich auf höhere Gewalt beruft, keinen Einfluss hat und deren Folgen trotz Anwendung der gebotenen Sorgfalt nicht hätten vermieden werden können (vgl. etwa EuGH, Urt. v. 18.3.2010, Rs. C?218/09). Zu beachten ist, dass es ebenfalls ständiger Rechtsprechung entspricht, dass die Bedeutung des Begriffs der höheren Gewalt, da er auf den verschiedenen Anwendungsgebieten des Unionsrechts nicht den gleichen Inhalt hat, anhand des rechtlichen Rahmens zu bestimmen ist, innerhalb dessen er seine Wirkungen entfalten soll (EuGH, Urt. v. 25.1.2017, Rs. C?640/15). Maßgebend für seine Anwendung ist insofern die Zweckbestimmung der jeweiligen Verordnung (vgl. EuGH, Urt. v. 17.10.2002). Die Besonderheit des jeweiligen Rechtsgebiets beeinflusst vor allem die Auslegung des Begriffs im Einzelfall (vgl. EuGH, Urt. v. 22.1.1986).

Es ist daher zu prüfen, ob auch die DSGVO eine solche Ausnahme vorsieht, auf die sich eventuell datenverarbeitende Stellen in den aktuellen Zeiten berufen können. Bezogen auf die DSGVO fällt zunächst auf, dass diese den Begriff „höhere Gewalt“ nicht kennt. Zumindest nicht in der finalen Fassung. Betrachtet man den ersten Entwurf der EU Kommission und auch die Vorschläge des EU Parlaments im Gesetzgebungsverfahren, wird deutlich, dass der Umstand höherer Gewalt sehrwohl eine Rolle spielte: konkret im Rahmen der Haftung von Unternehmen auf Schadensersatz gegenüber Betroffenen.

ErwG 146 DSGVO lautet: „Der Verantwortliche oder der Auftragsverarbeiter sollte Schäden, die einer Person aufgrund einer Verarbeitung entstehen, die mit dieser Verordnung nicht im Einklang steht, ersetzen. Der Verantwortliche oder der Auftragsverarbeiter sollte von seiner Haftung befreit werden, wenn er nachweist, dass er in keiner Weise für den Schaden verantwortlich ist.“ (Hervorhebung durch mich)

In den früheren Fassungen der DSGVO war dieser Erwägungsgrund aber noch mit konkretem Verweis auf „höhere Gewalt“ formuliert. ErwG 118 (Ratsdokument 9398/15, 1.6.2015, pdf):

„Schäden, die einer Person aufgrund einer rechtswidrigen Verarbeitung entstehen, sollten von dem für die Verarbeitung Verantwortlichen oder dem Auftragsverarbeiter ersetzt werden, die von ihrer Haftung befreit werden sollten, wenn sie nachweisen, dass ihnen der Schaden nicht angelastet werden kann, insbesondere weil ein Fehlverhalten der betroffenen Person oder ein Fall höherer Gewalt vorliegt.“ (Hervorhebungen durch mich)

Die beispielhafte Aufzählung von Umständen („insbesondere“), wann keine Haftung vorliegen soll, wurde auf Vorschlag des Rates gestrichen und durch eine generelle und umfassende Formulierung („in keiner Weise…verantwortlich ist“) ersetzt.

Zwar fehlt der konkrete Begriff „höhere Gewalt“. Jedoch meiner Meinung nach nicht, weil eine Berufung hierauf nicht mehr möglich sein soll, sondern vielmehr, weil der Gesetzgeber die Möglichkeit der (Ent)Nichthaftung allgemeiner umschreiben wollte, ohne spezielle Beispiele zu nennen.

Daher halte ich es auf jeden Fall für vertretbar, dass Unternehmen sich im Rahmen von Verstößen gegen die DSGVO, die ihren nachweisbaren Grund in den aktuellen Umständen des Corona-Virus und damit einhergehenden staatlichen Maßnahmen haben, auf den Umstand „höhere Gewalt“ berufen können. In diesem Fall haften Unternehmen dann Betroffenen nicht auf Schadensersatz.

Ich würde zudem auch vertreten, dass dieser, in der DSGVO klar angelegte Gedanke der Enthaftung in Ausnahmesituationen, nicht nur in Bezug auf Schadensersatzansprüche nach Art. 82 DSGVO greift, sondern auch hinsichtlich der Einhaltung von Fristen (zB Art. 12 Abs. 3 DSGVO oder Art. 33 Abs. 1 DSGVO) oder gegebenenfalls sogar anderen Pflichten. Denn, wenn schon keine Haftung angenommen wird, wenn ein Schaden eingetreten ist, dann muss es erst recht möglich sein, mit dieser Ausnahme einer Verlängerung gesetzlicher Fristen zu begründen. Es geht Unternehmen ja aktuell nicht darum, dass man Pflichten gar nicht mehr erfüllen möchte. Man kann es derzeit nur nicht in den regulatorisch vorgegebenen Parametern. Dies ist meine (in einer etwas längeren Nachsitzung entstandene) Meinung zur Auslegung und Anwendung der DSGVO in aktuellen Zeiten ist. Das bedeutet aber auch, wie oben schon angemerkt, dass andere Rechtsauffassungen (gerade auch von Aufsichtsbehörden) möglich sind.

Für die hier gefundene Lösung spricht meines Erachtens auch das Verständnis des Bundesverwaltungsgerichts zu diesem Begriff: „Der Begriff der höheren Gewalt ist ein allgemeiner Begriff des Gemeinschaftsrechts, dessen Funktion es ist, Härten aus der Anwendung von Präklusions- und Sanktionsvorschriften in besonders gelagerten Fällen zu vermeiden und damit dem Gebot der Verhältnismäßigkeit im Einzelfall zu entsprechen“ (BVerwG, Urt. v. 29.4.2004 – BVerwG 3 C 27.03; Hervorhebung durch mich)

Zuletzt sei im Hinblick auf mögliche Bußgelder wegen Verstößen gegen die DSGVO darauf verwiesen, dass nach Art. 82 Abs. 2 lit. k DSGVO von den Aufsichtsbehörden zwingend „jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall“ beachtet werden müssen. Hierzu zählt meines Erachtens auch ein Fall „höherer Gewalt“.

Wichtig ist jedoch, dass die Anforderungen des EuGH an die Anwendbarkeit der Ausnahme „höhere Gewalt“ beachtet werden und, dass Unternehmen nachweisbar dokumentieren, warum diese Voraussetzungen vorliegen. Es muss also ein ungewöhnliches und unvorhersehbares Ereignisse vorliegen, auf das derjenige, der sich darauf beruft, keinen Einfluss hat und deren Folgen trotz Anwendung der gebotenen Sorgfalt nicht hätten vermieden werden können.

Hessische Datenschutzbehörde zum Umfang des Auskunftsrechts und zur Einsicht in Patientenakten

Posted on by

Der Hessische Datenschutzbeauftragte (HBDI) hat auf seiner Webseite eine kurze Information mit seiner Position zu der Frage veröffentlicht, wie der datenschutzrechtliche Auskunftsanspruch nach Art. 15 DSGVO und das Recht auf Einsichtnahme in die Patientenakte nach § 630g BGB zueinander stehen.

Genau zu diesem Thema hatte sich auch schon zuvor das BayLDA in seinem Tätigkeitsbericht 2017/18 (pdf, S. 46) geäußert. Dort geht das BayLDA davon aus, dass § 630g BGB, als bereichsspezifische Vorschrift, über den datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO hinausgeht. In Bezug auf Art. 15 Abs. 3 DSGVO („Kopie“) geht das BayLDA darauf ein, dass nur eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen ist. Es sei hier jedoch nicht die Rede von Kopien der betreffenden Akten oder von sonstigen Unterlagen.

Die nun veröffentlichte Position des HBDI geht im Grunde in dieselbe Richtung.

Art. 15 DSGVO

Art. 15 Abs. 3 DSGVO normiert ein Recht auf Zurverfügungstellung einer Kopie der personenbezogenen Daten.

Einen Anspruch auf Herausgabe einzelner Kopien, z. B. im Sinne einer Fotokopie bestimmter Dokumente, enthält Art. 15 Abs. 3 DS-GVO in aller Regel jedoch nicht. Vielmehr ist der Kopie-Begriff des Art. 15 Abs. 3 DS-GVO im Sinne einer sinnvoll strukturierten Zusammenfassung zu verstehen.

Der HBDI begründet weiter, dass dem Betroffenen daher nicht sämtliche, ihn betreffenden Dokumente in Kopie zur Verfügung gestellt werden müssen. Denn der Wortlaut von Art. 15 Abs. 3 S. 1 DSGVO spreche lediglich von einer Kopie der „personenbezogenen Daten“ und gerade nicht von einer Kopie der Unterlagen, Dokumente oder Akten, in denen diese enthalten sind.

Meines Erachtens ist diese Ansicht richtig und auch gut vertretbar.

§ 630g BGB

Danach geht der HBDI auf den Anspruch des Patienten auf Einsicht in die ärztlichen Patientenunterlagen nach § 630g BGB ein, der von Art. 15 DSGVO zu unterscheiden ist. Danach hat der Patient das Recht auf Kopie der gesamten Akte unter den Voraussetzungen der Absätze 1 und 2. Dies sind vor allem der therapeutische Vorbehalt und Rechte Dritter. Der Patient hat dem Behandelnden die entstandenen Kosten zu erstatten. Der HBDI verweist darauf, dass diese Norm vom Bundesgesetzgeber trotz der Vorschrift des Art. 15 DSGVO nicht geändert wurde.

Verhältnis

Bei der Darstellung des Verhältnisses der Normen geht der HBDI zunächst auf einen weiteren relevanten Aspekt ein.

Im Hinblick auf den therapeutischen Vorbehalt sei es vertretbar davon auszugehen, dass

§ 630g BGB eine zulässige Beschränkung des Art. 15 DS-GVO gem. Art. 23 Abs. 1 lit. i) DS-GVO darstellt (Schutz der betroffenen Person), im Hinblick auf die Kostenerstattung wäre diese Beschränkung jedoch unzulässig.

Der HBDI wertet denUmstand der unterbliebenen Gesetzesanpassung daher in dem Sinne, dass der Bundesgesetzgeber in der Akteneinsicht nach § 630g BGB eine von dem Auskunftsanspruch und dem Recht auf Kopie des Art. 15 DSGVO unabhängige Regelung mit anderem Inhalt und anderem Zweck sehe. § 630g BGB sei damit keine Einschränkung des Rechts auf Auskunft nach Art. 15 DSGVO. Die Norm diene vielmehr ganz anderen Patienteninteressen als Art. 15 DSGVO, wie etwa eine gut geführte Patientenakte für den Arztwechsel zu erhalten und dadurch die nochmalige Durchführung diagnostischer oder therapeutischer Maßnahmen zu vermeiden. Auch die Beweissicherungsfunktion der Dokumentation bzw. ihre Funktion als Beweismittel in einem Arzthaftungsprozess sei vom Gesetzgeber anerkannt worden.

Dieser Ansicht widersprechen auch nicht die in ErwG 63 S. 2 DSGVO enthaltenen Ausführungen, dass die betroffene Person das Recht auf Auskunft über ihre eigenen gesundheitsbezogenen Daten hat, etwa Daten in ihren Patientenakten, die Informationen wie beispielsweise Diagnosen, Untersuchungsergebnisse, Befunde der behandelnden Ärzte und Angaben zu Behandlungen oder Eingriffen enthalten.

Denn diese sollen der betroffenen Person zu den in Satz 1 des ErwG genannten Zwecken zur Verfügung gestellt werden, namentlich um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können.

Weitergehende Zwecke, wie die des § 630g BGB, würden hier in der DSGVO aber gerade nicht genannt.

Im Ergebnis geht der HBDI davon aus, dass es zur Erfüllung des Anspruchs aus Art. 15 Abs. 1 und 3 DSGVO reichen muss, wenn die in ErwG 63 DSGVO genannten Daten vom Verantwortlichen zusammengefasst werden. Aus Praktikabilitätsgründen dürfen die Verantwortlichen natürlich auch für die Herausgabe von gesamten Dokumenten entscheiden.

Die Kopie der gesamten Krankenhausakte des Patienten wäre aber nur nach § 630g BGB herauszugeben.

Generalanwalt am EuGH: hohe Anforderungen an eine wirksame Einwilligung und ihre Nachweisbarkeit

Posted on by

Im Rahmen der am 4.3.2020 veröffentlichten Schlussanträge in der Rechtssache C?61/19, hat Generalwalt (GA) Szpunar seine Interpretation zu den Anforderungen an eine datenschutzrechtliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO dargelegt. Die Ausführungen des GA sind für den EuGH (wie immer) nicht bindend. Dennoch lohnt sich ein Blick in die Begründung.

Nachfolgend möchte ich auf einige „Highlights“ der Schlussanträge eingehen.

Was bedeutet der Grundsatz des Art. 5 Abs. 1 lit. a DSGVO?

Nach Art. 5 Abs. 1 lit. a DSGVO müssen personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“).

Zu der entsprechenden Vorgängernorm in der RL 95/46/EG (Art. 6 Abs. 1 lit. a) stellt der GA fest, dass in den Erlaubnistatbeständen (jetzt in Art. 6 Abs. 1 DSGVO) der in Art. 6 Abs. 1 lit. a der Richtlinie niedergelegte Grundsatz zum Ausdruck, dass personenbezogene Daten nach Treu und Glauben und auf rechtmäßige Weise verarbeitet werden müssen. Hieraus lässt sich mit Blick auf die DSGVO ableiten, dass mit der Erfüllung eines Erlaubnistatbestandes somit auch die Anforderungen der Datenschutzgrundätze „Rechtmäßigkeit sowie Verarbeitung nach Treu und Glauben“ erfüllt sind.

Freiwilligkeit der Einwilligung

Hinsichtlich des Merkmals der „Willensbekundung“ der betroffenen Person führt der GA aus, dass dies klar auf ein aktives und nicht passives Verhalten hindeute und erfordere, dass die betroffene Person über ein hohes Maß an Autonomie verfügt, wenn sie sich entscheidet, ihre Einwilligung zu erteilen oder nicht zu erteilen. Der GA verweist insoweit auf das Urteil des EuGH in Sachen Planet49.

Nach Ansicht des GA gelten die dort getroffenen Feststellungen auch gleichermaßen für die analoge Welt.

Wenn es schon zu hohe Anforderungen an den Kunden stellt, das in einem Ankreuzkästchen auf einer Website voreingestellte Häkchen zu entfernen, dann kann von einem Kunden vernünftigerweise erst recht nicht erwartet werden, dass er seine Verweigerung der Einwilligung in handschriftlicher Form erklärt.

In einer solchen Situation wisse man nämlich nicht, ob ein solcher vorformulierter Text gelesen und verstanden wurde. Die Situation sei nicht frei von Zweifeln. Der Text mag gelesen worden sein oder auch nicht. Der „Leser“ mag dies aus reiner Nachlässigkeit vergessen haben; es sei daher unmöglich, klar festzustellen, ob die Einwilligung freiwillig erteilt wurde.

„in informierter Weise“

Dieses Merkmal legt der GA so aus, dass völlig außer Zweifel stehen muss, dass die betroffene Person ausreichend informiert wurde.

Er fordert:

Die betroffene Person muss über alle die Datenverarbeitung und deren Folgen betreffenden Umstände informiert werden. Insbesondere muss sie wissen, welche Daten verarbeitet werden, wie lange die Verarbeitung andauert, in welcher Weise und zu welchem spezifischen Zweck sie erfolgt.

Leider wird nicht deutlich, ob der GA hier den Inhalt der Einwilligung selbst anspricht oder ob diese Information nicht auch über die Erfüllung der Informationspflichten entsprechend Art. 13 DSGVO erfolgen kann. Denn sollte es zu einer Dopplung von Informationen kommen, einmal in der Erklärung, einmal in den Datenschutzinformationen, dürfte man wohl die Frage stellen, welchen Sinn eine doppelte Informationserteilung hat.

Doch die Anforderungen gehen weiter:

Die betroffene Person muss außerdem wissen, wer die Daten verarbeitet und ob die Daten dazu bestimmt sind, an Dritte übermittelt zu werden.

Zudem sei entscheidend, dass der Betroffene darüber informiert wird, welche Folgen es hat, wenn er die Einwilligung verweigert, d. h., ob die Einwilligung in die Datenverarbeitung Voraussetzung für den Vertragsabschluss ist oder nicht. Dem Betroffenen wurde hier im konkreten Fall jedoch nicht unmissverständlich erklärt, dass der Vertragsabschluss dadurch, dass er die Anfertigung und Aufbewahrung einer Kopie seines Personalausweises verweigert, nicht unmöglich wird.

Wenn man die Anforderungen des GA allesamt in dem Text der Einwilligungserklärung selbst abbilden wollen würde, müsste diese folgende Informationen beinhalten:

  • alle die Datenverarbeitung betreffenden Umstände
  • deren Folgen betreffenden Umstände (Anm: was immer mit den Folgen gemeint ist)
  • welche Daten verarbeitet werden
  • wie lange die Verarbeitung andauert
  • in welcher Weise sie erfolgt
  • zu welchem spezifischen Zweck sie erfolgt
  • wer die Daten verarbeitet
  • ob die Daten dazu bestimmt sind, an Dritte übermittelt zu werden
  • welche Folgen es hat, wenn sie die Einwilligung verweigert

Ich persönlich bin auf transparente und verständliche Einwilligungserklärungen gespannt, die diesen Anforderungen gerecht werden. Zudem muss beachtet werden, dass der Text der Einwilligung ja eine statische Momentaufnahme ist. Was geschieht, wenn sich die „Folgen“ der Datenverarbeitung ändern oder Daten nun etwa nicht mehr an Dritte übermittelt werden sollen? Ist die Einwilligung dann unwirksam?

Beweislast und Nachweispflicht

Zudem geht der GA auf die praktisch sehr relevante Frage ein, was konkret durch den Verantwortlichen nachzuweisen ist, wenn er darlegen will oder muss, dass eine Einwilligung vorliegt.

Der GA bezieht sich ganz konkret auf Art. 7 Abs. 1 DSGVO. Danach muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Nach Ansicht des GA ist Art. 7 Abs. 1 DSGVO eindeutig und lässt keinen Raum für Zweifel:

Beruht die Verarbeitung auf einer Einwilligung, so muss der Verantwortliche nachweisen, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Diese Bestimmung stellt einen besonderen Ausdruck des in Art. 5 Abs. 2 der Verordnung 2016/679 verankerten Grundsatzes der Rechenschaftspflicht dar.

Der GA verknüpft hier also die Rechenschaftspflicht, die ja ansonsten oft doch recht alleine in der DSGVO steht bzw. sich „nur“ auf die Grundsätze nach Art. 5 Abs. 1 DSGVO bezieht, nicht mit einem solchen Grundsatz, sondern mit einem anderen Artikel der DSGVO, der auf einen Nachweis abstellt.

Und nun eine entscheidende Aussage:

Meines Erachtens erfordert der Zweck dieser Bestimmung eine weite Auslegung, da der Verantwortliche nicht nur nachweisen muss, dass die betroffene Person ihre Einwilligung erteilt hat, sondern auch nachweisen muss, dass sämtliche Wirksamkeitsvoraussetzungen vorliegen.

Das bedeutet, dass Verantwortliche nicht nur das Vorliegen der Einwilligung nachweisen müssen. Also etwa den abgehakten Text. Zudem muss der Verantwortliche die Erfüllung aller gesetzlichen Anforderungen nach der DSGVO nachweisen, die sich auf die Einwilligung beziehen.

Und wenn es zum Streit kommt? Auch hier ist der GA klar.

Jegliche Zweifel an der Erteilung der Einwilligung durch die betroffene Person müssen durch vom Verantwortlichen zu erbringenden Beweis ausgeräumt werden. Die Beweislast dafür, dass die betroffene Person in die Lage versetzt wurde, ihre Einwilligung ohne Zwang, auf den konkreten Fall bezogen und in voller Kenntnis der Sachlage zu erteilen, liegt daher eindeutig bei der Stelle, die die Verarbeitung durchführt.

Meines Erachtens legt der GA hier strenge Anforderungen an. Sollte der EuGH dieser Argumentation folgen, würde dies bedeuten, dass Verantwortliche also nicht nur den einzelnen Text der Einwilligung, sondern tatsächlich alle Umstände der Abgabe bzw. Einholung der Einwilligung nachweisen können müssen. Nicht unerwähnt sollte bleiben, dass für einen solchen Nachweis wohl zusätzlich personenbezogene Daten (etwa eine Klickstrecke, Screenshots, usw.) verarbeitet werden müssen.

Bayerisches Oberstes Landesgericht: Kein Anspruch auf Datenlöschung gegen Staatsanwaltschaft, solange keine Verjährung eingetreten ist

Posted on by

Mit Beschluss vom 27.01.2020 (Az. 203 VAs 1846/19) hat das Bayerische Oberste Landesgericht zu der Frage entschieden, ob eine Person, gegen die ein Ermittlungsverfahren geführt wurde, nach der Einstellung einen datenschutzrechtlichen Anspruch auf Löschung und Berichtigung ihrer Daten bei der Staatsanwaltschaft hat.

Sachverhalt

Gegen den Antragsteller wurde bei der Staatsanwaltschaft ein Ermittlungsverfahren wegen des Verdachts des Totschlags geführt, welches mit Verfügung gemäß § 170 Abs. 2 StPO eingestellt wurde. Die durchgeführten Ermittlungen hatten keinen hinreichenden Tatverdacht gegen den Beschuldigten ergeben. Zu der Person des Betroffenen speicherte die Staatsanwaltschaft seine Personalien und persönlichen Verhältnisse zum Zwecke der Durchführung des gegen ihn geführten Ermittlungsverfahrens. Die Daten sind Bestandteil der Ermittlungsakte und wurden zur Durchführung der Ermittlungen gespeichert.

Zudem wurde darauf hingewiesen, dass die Aufbewahrungsfrist vorliegend nach der Aufbewahrungsverordnung vom 29.7.2010 30 Jahre betrage, beginnend mit Ablauf des Jahres 2018, in welchem die das Verfahren einstellende Entscheidung getroffen worden sei.

Daraufhin beantragte der Beschuldigte die genaue Angabe, welche konkreten Daten gespeichert seien. Hierauf wurden ihm entsprechende Daten mitgeteilt, u.a. „Stellung im Verfahren 105 Js 4832/18: Beschuldigter wegen Totschlags (§ 212 StGB), Tatzeit vom 10.9.2009 bis 8.1.2017, zum Nachteil von C.M.“. § 170 Abs. 2 StPO als Verfahrensbeendigungsgrund sei nicht gespeichert.

Der Beschuldigte stellte daraufhin Antrag auf gerichtliche Entscheidung gegen die abgelehnte Löschung/Berichtigung seiner Daten. Er beantragte die Löschung der Daten, hilfsweise die Speicherung nur der notwendigen Daten sowie die zusätzliche Aufnahme von § 170 Abs. 2 StPO.

Entscheidung

Das Gericht entschied, dass der Antragsteller weder Anspruch auf Berichtigung noch auf Löschung der durch die Staatsanwaltschaft gespeicherten Daten habe.

Zunächst verweist das Gericht auf die hier anwendbaren datenschutzrechtlichen Regelungen. Nach § 500 Abs. 1 StPO i.V.m. § 75 Abs. 1 BDSG bestehe einen Berichtigungsanspruch, wenn gespeicherte personenbezogene Daten unrichtig oder unvollständig sind.

Nach § 500 Abs. 1 StPO i.V.m. § 75 Abs. 2 BDSG, § 500 Abs. 2 Nr. 1 StPO i.V.m. § 489 Abs. 1 Nr. 1, Abs. 2 Satz 3 StPO (als ergänzende Sonderregelungen) bestehe ein Löschungsanspruch hinsichtlich gespeicherter personenbezogener Daten, wenn das Ermittlungsverfahren erledigt ist, d.h. bei einer Einstellung, die die Wiederaufnahme (wie bei § 170 Abs. 2 StPO) nicht hindert, mit Eintritt der Verjährung.

Es besteht aber kein Berichtigungsanspruch, da die gespeicherten Daten nicht unrichtig und nicht unvollständig sind. Der Tatvorwurf sei zu Recht gespeichert, denn der Gegenstand eines Ermittlungsverfahrens muss zweifelsfrei erfasst sein, insbesondere auch um den Eintritt der Verjährung konkret bestimmen zu können, der maßgeblich ist für den Zeitpunkt der Löschung. Das Interesse der Strafverfolgungsbehörden an der Speicherung der Daten gehe dem Interesse des Beschuldigten an der Vermeidung einer Stigmatisierung vor.

Zudem sei auch nicht erforderlich, dass die Vorschrift des § 170 Abs. 2 StPO auch ausdrücklich genannt wird, da die gewählte Formulierung eindeutig ergibt, dass eine Sachbehandlung nach § 170 Abs. 2 StPO erfolgt ist.

Zudem bestehe auch kein Löschungsanspruch. Denn eine Löschung sei erst dann vorzunehmen, wenn das Ermittlungsverfahren erledigt ist, d.h. bei einer Verfahrenseinstellung nach § 170 Abs. 2 StPO mit Eintritt der Verjährung. Hier stellt das Gericht auf den Straftatbestand des Totschlags ab. Dieser verjährt nach § 78 Abs. 3 Nr. 1 StGB in dreißig Jahren.

Während des Laufs der Verjährungsfrist ist die Datenspeicherung zur Aufgabenerfüllung der Staatsanwaltschaft erforderlich, weil während dieses Zeitraums neue Beweismittel auftauchen könnten, die Anlass zur Wiederaufnahme der Ermittlungen geben.

Fazit

Auch wenn der Beschluss in einem datenschutzrechtlichen Spezialbereich erging, so lässt sich der Argumentation des Gerichts doch auch für den privatwirtschaftlichen Bereich eine relevante Begründung zur Aufbewahrung von Daten entnehmen. Personenbezogene Daten sind nicht zu löschen, wenn ihre Aufbewahrung dem Zweck eines Unternehmens dient, innerhalb von Verjährungs- oder etwa Gewährleistungsfristen eigene Ansprüche durchzusetzen oder sich gegen solche Ansprüche verteidigen zu können. Die weiterhin gespeicherten Daten können in diesem Zusammenhang als wertvolle Tatsachenbasis für eine notwendige Beweisführung dienen. Entsprechend sieht Art. 17 Abs. 3 lit. e DSGVO vor, dass personenbezogene Daten nicht zu löschen sind, wenn ihre Speicherung (bzw. weitere Verarbeitung) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Verwaltungsgericht Mainz: Betroffene haben keinen Anspruch auf die Vornahme bestimmter aufsichtsbehördlicher Maßnahmen

Posted on by

Kann eine betroffene Person, wen sie sich bei einer Datenschutzbehörde beschwert hat, von dieser Datenschutzbehörde die Vornahme einer ganz bestimmten aufsichtsbehördlichen Maßnahme verlangen und dies auch einklagen? Um diese Frage ging u.a. in einem Fall, den das Verwaltungsgericht Main (VG) entschieden hat (Beschluss vom 29.08.2019 – 1 L 605/19.MZ).

Sachverhalt

In dem Verfahren im Rahmen des einstweiligen Rechtsschutzes (§ 123 Abs. 1 VwGO) hat die Antragstellerin vorgetragen, sie führe einen Rechtsstreit mit ihrem früheren Anwalt, der sie gegen die B. GmbH vertreten habe. Der Anwalt sei später als Zeuge von der B. GmbH angeboten worden, was ihrer Ansicht nach dafür spreche, dass er einen Geheimnisverrat begangen habe. Um dies feststellen zu können, benötige sie nunmehr die Auskunft von der B. GmbH.

Hierzu hatte die Antragstellerin offensichtlich einen Auskunftsanspruch nach Art. 15 DSGVO gegenüber der B. GmbH geltend gemacht. Dieser scheint nicht erfüllt worden zu sein, worauf hin sich die Antragstellerin bei dem Landesbeauftragten für Datenschutz in Rheinland-Pfalz (LfDI) beschwerte. Der LfDI hat das Beschwerdeverfahren durch einen rechtsverbindlichen Beschluss, der auch mit einer Rechtsbehelfsbelehrung versehen war, abgeschlossen.

Die Antragstellerin begehrte nun vom LfDI, dass er das gegen die B. GmbH gerichtete Beschwerdeverfahren nach Art. 77 Abs. 1 DSGVO wieder aufnimmt und fortsetzt.

Entscheidung

Das VG lehnt die begehrte einstweilige Anordnung gegenüber dem LfDI ab. Die Antragstellerin habe einen Anordnungsgrund nicht glaubhaft gemacht. Es könne damit offenbleiben, ob ein Anordnungsanspruch bestehe.

Der Antrag der Antragstellerin ist quasi auf eine Fortsetzung des Beschwerdeverfahrens gerichtet. Nach Art. 77 Abs. 1 DSVGO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Da hier die Fortsetzung des Verfahrens Antragsziel ist, könnte die besondere Form der Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO statthaft sein. Danach hat jede betroffene Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf, wenn die zuständige Aufsichtsbehörde sich nicht mit einer Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

Jedoch verweist das VG in seiner Begründung zurecht darauf, dass der LfDI als Aufsichtsbehörde hier das Verfahren bereits durch einen rechtsverbindlichen Beschluss abgeschlossen hat.

Gegen diesen Verwaltungsakt als Abschlussverfügung des LfDI kann die betroffene Person grundsätzlich nach Art. 78 Abs. 1 DSGVO vorgehen. Jedoch ist der Antrag hier gerade nicht nur auf die Aufhebung eines Verwaltungsakts bzw. die Anfechtung eines rechtsverbindlichen Beschlusses der Aufsichtsbehörde gerichtet, sondern zumindest auch auf ein Tätigwerden des LfDI.

Grundsätzlich relevant ist die Ansicht des VG, dass Art. 78 Abs. 1 DSGVO nicht nur auf Anfechtungsklagen gegen die rechtsverbindlichen Beschlüsse der Aufsichtsbehörde beschränkt ist, sondern darüber hinaus

auch Verpflichtungs- und Leistungsklagen zur Gewährung eines effektiven Rechtsschutzes für die betroffene Person

umfasst.

Danach geht das VG noch auf die Frage ein, was konkret die Antragstellerin überhaupt von dem LfDI verlangen könnte.

In diesem Zusammenhang verweist das VG auf die durchaus (auch schon gerichtlich) divers diskutierte Frage nach dem Umfang der – gerichtlich gegebenenfalls durchsetzbaren – Pflichten der Auskunftsbehörde.

Zum einen wird die Auffassung vertreten, dass von der Aufsichtsbehörde gemäß Art. 77 Abs. 1 DSGVO und Art. 57 Abs. 1 lit. f) DSGVO nur eine Bearbeitung der Beschwerde bzw. eine zeitnahe Unterrichtung über den Stand und das Ergebnis der Untersuchungen verlangt werden kann.

Andererseits gibt es aber auch die Rechtsmeinung, dass die Aufsichtsbehörde zu konkreten Maßnahmen verpflichtet werden kann.

Nach Ansicht des VG (nach der im Eilverfahren gebotenen summarischen Prüfung) spricht einiges dafür,

dass der Aufsichtsbehörde ein (weiter) Ermessensspielraum zusteht, ob und welche Maßnahmen sie ergreift, um einen etwaigen Verstoß gegen die DSGVO festzustellen oder einen Auskunftsanspruch des Beschwerdeführers durchzusetzen.

Danach kann eine betroffene Person nur Ermessensfehler rügen, jedoch nicht in Form eines Anspruchs direkt nur eine bestimmte aufsichtsbehördliche Maßnahme fordern. Vorliegend begehrt die Antragstellerin aber nicht den Erlass einer ermessensfehlerfreien Entscheidung und etwa einen Anspruch auf behördliches Einschreiten des Antragsgegners gegen die B. GmbH, sondern sie hat nur eine Fortsetzung des Beschwerdeverfahrens beantragt.

Offen lässt das VG im Rahmen der Prüfung des Anordnungsanspruchs, welche Pflichten die nach Art. 77 Abs. 1 DSGVO angerufene und mit einer Beschwerde befasste Aufsichtsbehörde hat, ob ein (weiter) Ermessensspielraum besteht oder ob sie zum Erlass bestimmter Maßnahmen verpflichtet ist bzw. verpflichtet werden kann. Denn das Gericht lehnt den Antrag bereits wegen Fehlens eines Anordnungsgrundes (keine hinreichende Glaubhaftmachung, dass ihr ein Abwarten einer Entscheidung in der Hauptsache nicht zumutbar ist) ab.

ePrivacy: neuer Vorschlag im Rat zur Aufnahme „berechtigter Interessen“ als Grundlage des Trackings

Posted on by

Mit Datum vom 21.02.2020 hat die aktuelle Ratspräsidentschaft neue Vorschläge zur Anpassung der Art. 6 und 8 des Entwurfs der ePrivacy-Verordnung vorgelegt (PDF). Hiervon erfasst ist auch eine Anpassung von Art. 8 („Schutz von Informationen im Zusammenhang mit Endeinrichtungen“), also die Regelungen zum Einsatz von Tracking-Technologien.

In Art. 8(1)(g) des Vorschlags hat die Präsidentschaft eine neue Grundlage für die Verarbeitung von Informationen auf der Grundlage von „berechtigten Interessen“ eingeführt. Dies ist deshalb relevant, da die ePrivacy-Verordnung bislang ihren Fokus sehr stark auf die Einwilligung von betroffenen Personen gelenkt hatte. Hiermit zusammenhängende Änderungen sind auch in den begleitenden Erwägungsgründen 20, 21, 21b und 21c enthalten.

Nach Art. 8 (1)(g) des Entwurfs ist jede Nutzung der Verarbeitungs- und Speicherfunktionen von Endeinrichtungen und jede Erhebung von Informationen aus Endeinrichtungen der Endnutzer grundsätzlich untersagt. Dies gilt nicht, wenn es für die von einem Diensteanbieter verfolgten berechtigten Interessen erforderlich ist, die Verarbeitungs- und Speichermöglichkeiten von Endgeräten zu nutzen oder Informationen von den Endgeräten eines Endnutzers zu sammeln, es sei denn, dieses Interesse wird von den Interessen oder den Grundrechten und -freiheiten des Endnutzers überlagert.

Der Vorschlag zieht hier also die aus der DSGVO bekannt Interessenabwägung in die ePrivacy-Verordnung. Dies auch nicht nur bezogen auf spezifische Zwecke, wie etwa statistische Analysen, sondern ganz generell.

Diese Anpassung würde für die Wirtschaft sicherlich eine begrüßenswerte und pragmatische Öffnung der strengen und engen Vorgaben des Art. 8 des Entwurfs bedeuten. Aufgrund der fehlenden Beschränkung auf bestimmte Zwecke des Zugriffs auf Informationen in Endgeräten oder des Auslesens, würde dies also wohl auch den Einsatz von Cookies oder Pixeln zum Zweck der Werbeausspielung umfassen.

Man mag nun direkt in kritische Würdigungen verfallen, da diese Anpassung ad hoc natürlich sehr weit und unbestimmt klingt. Jedoch scheint sich die Ratspräsidentschaft hierzu einige Gedanken gemacht zu haben und verengt die Möglichkeit der Nutzung der Interessenabwägung dadurch, dass sie gesetzliche Vermutungen aufstellt, wann die Interessen der Endnutzer überwiegen sollen.

Es wird davon ausgegangen, dass die Interessen des Endnutzers die Interessen des Diensteanbieters überwiegen, wenn

  • der Endnutzer ein Kind ist oder
  • wenn der Diensteanbieter die Informationen verarbeitet, speichert oder sammelt, um das Wesen und die Eigenschaften des Endnutzers zu bestimmen oder
  • um ein individuelles Profil des Endnutzers zu erstellen, oder
  • wenn die Verarbeitung, Speicherung oder Sammlung der Informationen durch den Diensteanbieter besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs.1 DSGVO enthält.

Insbesondere die Ausschlussgründe der Bestimmung des „Wesens oder der Eigenschaften eines Endnutzers“ sowie der Erstellung eines „individuellen Profils“ dürften für den Einsatz von Tracking-Technologien für Werbezwecke von Relevanz sein. Interessant ist übrigens auch die entsprechende Änderung hierzu in Erwägungsgrund 21b. Denn dort werden “Wesen” und “Merkmale” alternativ genannt (“oder”), wohingegen in dem Vorschlag zu Art. 8 beide Merkmale kumulativ (verbunden mit „und“) aufgezählt werden.

Nach dem neuen Erwägungsgrund 21b sind bei der Abwägung die berechtigten Erwartungen der Endnutzer zu berücksichtigen. Beispielhaft nennt der Vorschlag den Zugriff auf Informationen in Endgeräten zum Zweck der Behebung von Sicherheitslücken als vom berechtigten Interesse umfasst. Zusätzlich verweist der Vorschlag auch darauf, dass Diensteanbieter sich auf berechtigte Interessen stützen könnten, wenn der Dienst (etwa eine Webseite) und seine Inhalte ohne zusätzliche Zahlung zugänglich ist und teilweise oder gänzlich durch Werbung finanziert wird.

Zusätzlich verengt der Vorschlag in Erwägungsgrund 21b die Möglichkeit des Einsatzes von Trackingtechnologien aber weiter, indem hinsichtlich der angesprochenen Dienste ganz konkrete Arten benannt werden, die sich auf berechtigte Interessen stützen könnten. Hierbei handelt es sich um Dienste zur Wahrung der Meinungs- und Informationsfreiheit, einschließlich zu journalistischen Zwecken, wie Online-Zeitungen oder anderen Presseveröffentlichungen.

Zum anderen sieht der Vorschlag weitere Schutzmechanismen für Endnutzer in dem neuen Abs. 1a vor, wenn ein Diensteanbieter die Interessenabwägung als Erlaubnis nutzen möchte. Weitere Erläuterungen ergeben sich aus Erwägungsgrund 21c. Danach dürfen Diensteanbieter die aus Endgeräten gewonnen Informationen nicht mit Dritten teilen, es sei denn, die Informationen wurden zuvor anonymisiert. Dies gilt jedoch nicht in Bezug auf Auftragsverarbeiter, die in diesem Zusammenhang eingesetzt werden und auf der Grundlage von Art. 28 DSGVO eingeschaltet werden.

Interessant an diesem Vorschlag ist, dass anscheinend davon ausgegangen wird, dass bei dem in Art. 8 (1)(g) ePrivacy-Verordnung als potentiell zulässig anerkannten Zugriff auf Informationen und deren Nutzung stets personenbezogene Daten (iSd DSGVO) vorliegen. Denn ansonsten würde der Verweis auf eine vorzunehmende Anonymisierung der Daten keinen Sinn ergeben. Ebenfalls dafür spricht der Hinweis auf die Vorgaben des Art. 28 DSGVO (also zur Auftragsverarbeitung), die eingehalten werden sollen.

Zusätzlich sieht der Vorschlag vor, dass Endnutzern eine Widerspruchsmöglichkeit (Opt-out) angeboten werden muss.

Datenschutzbehörde Hamburg: Gemeinsame Verantwortlichkeit beim Einsatz von Google Analytics (in der Standardeinstellung)

Posted on by

In seinem aktuellen Tätigkeitsbericht für das Jahr 2019 (S. 126 ff.) befasst sich der Datenschutzbeauftragte aus Hamburg auch mit dem Thema Google Analytics. Nach seiner Ansicht sei eine Anonymisierung der Daten und damit Ausschluss des  Anwendungsbereichs der DSGVO allein durch die Kürzung der IP-Adresse schon vor dem Hintergrund, dass diese nur ein Nutzungsdatum unter vielen ist, nicht möglich.

Nach Angabe der Behörde diene das Tool außer dem Nutzen für den Webseitenbetreiber in Form von Nutzungsstatistiken auch der Informationsgewinnung durch Google.

In der von der Behörde beanstandeten und von Google den Webseitenbetreibern empfohlenen Standardeinstellung soll zunächst zwischen der Google LLC und dem Webseitenbetreiber ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen werden. Darüber hinaus werde dem Webseitenbetreiber, soweit die Standard-Einstellung ausgewählt wird, zusätzlich der Abschluss eines „Controller-Controller-Agreement“ zur zwingenden Bedingung gemacht, aus dem sich ergibt, dass sowohl Google als auch der Webseitenbetreiber in eigener Verantwortlichkeit handeln und die Möglichkeit einer eigenen anderweitigen Verarbeitung der Daten vorbehalten bleibt. Nach Ansicht der Behörde sei eine derartige Aufspaltung von Verarbeitungsvorgängen allerdings lebensfremd.

Die Kritik der Behörde zielt darauf ab, dass es sich bei dem durch Google Analytics im Rahmen des Seitenbesuchs durch den Nutzer ausgelösten technischen Vorgangs, der gleichzeitig Daten sowohl für den Webseiten-Betreiber selbst erhebt als auch an Google überträgt, um einen einzigen Lebenssachverhalt handele. Ein „Aufschwingen“ vom Auftragsverarbeiter zum eigenverantwortlichen Datenverarbeiter innerhalb einer Verarbeitungstätigkeit sei dem gesetzlichen Rollenverständnis der DSGVO fremd.

Die Behörde kommt zu dem Ergebnis, dass unter Berücksichtigung der europäischen Rechtsprechung (EuGH, Urteil v. 29.07.2019, Az: C-40/17) daher in der von Google empfohlenen Standardeinstellung von einer gemeinsamen Verantwortlichkeit gemäß Art. 26 DSGVO auszugehen sei.

Kritik

Die Einordnung der Behörde, die Aufspaltung von Verarbeitungsvorgängen nach verschiedenen Zwecken der Nutzung und verschiedenen Verantwortlichkeitsrollen, sei lebensfremd, würde ich so nicht teilen. Meines Erachtens kommt es hierbei stets auch darauf an, zu welchem Zweck Daten verarbeitet werden sollen. Natürlich ist es möglich, dass ich eine Datenverarbeitung zu einem bestimmten Zweck (hier: Erstellung von Analysen) als Auftragsverarbeiter ausführe, daneben, zu einem anderen (eigenverantwortlichen) Zweck, aber eine weitere Verarbeitung der Daten vornehme. Schon die Art. 29 Gruppe hat in ihrem WP 169 (pdf, S. 30) festgestellt, dass „ein und dieselbe Organisation gleichzeitig hinsichtlich bestimmter Verarbeitungen als für die Verarbeitung Verantwortlicher und hinsichtlich anderer Verarbeitungen als Auftragsverarbeiter handeln“ kann.

Auch das Argument, dass ein „Aufschwingen“ vom Auftragsverarbeiter zum eigenverantwortlichen Datenverarbeiter innerhalb einer Verarbeitungstätigkeit dem gesetzlichen Rollenverständnis der DSGVO fremd sei, würde ich anders sehen. Denn genau für diesen Fall gibt es eine gesetzliche Regelung: Art. 28 Abs. 10 DSGVO. Dieser Exzess des Auftragsverarbeiters muss aber einen Verstoß gegen die DSGVO als Voraussetzung beinhalten. Wenn jedoch die Parteien eines AV-Vertrages regeln, wann eine Partei Auftragsverarbeiter ist und wann sie mit den Daten als eigener Verantwortlicher agiert, sehe ich nicht, wie man hierin einen Verstoß gegen die DSGVO (zB die Weisungen) verstehen könnte. Denn die Rollenverteilung ist ja gerade vertraglich vereinbart und klar abgegrenzt.

 

Österreichische Datenschutzbehörde: Fehlendes Double-Opt-In-Verfahren als Verstoß gegen Art. 32 DSGVO

Posted on by

Die österreichische Datenschutzbehörde (DSB) hat mit Bescheid (pdf) vom 9.10.2019 einen Verstoß eines Unternehmens gegen die Vorgaben des Art. 32 DSGVO festgestellt. Der Verstoß lag nach Ansicht der DSB in der fehlenden Umsetzung eines Double-Opt-In-Verfahrens für Registrierungen auf einer Onlinedating-Plattform.

Sachverhalt

Der Beschwerdeführer erhielt auf seine E-Mail-Adresse „Kontaktvorschläge“ und Benachrichtigungen der Beschwerdegegnerin zugesendet. Er selbst hatte sich aber gar nicht auf den Dating-Portalen der Beschwerdegegnerin angemeldet. Zur Erstellung eines Profils bzw. zur Registrierung auf den Dating-Portalen muss der User sein Geschlecht, seinen gewünschten Benutzernamen, ein Passwort und eine E-Mail-Adresse angeben. Die bei Registrierung angegebene E-Mail-Adresse wird ab Erstellung des Profils fortlaufend mit Benachrichtigungen der Beschwerdegegnerin beschickt. Nutzern ist bereits nach erfolgter Registrierung durch Einloggen in die Profile möglich, die Onlinedating-Portale zu nutzen. Für die Nutzung der Onlinedating-Portale der Beschwerdegegnerin muss der User die E-Mail-Adresse, die er bei Registrierung angegeben hat, nicht noch einmal durch Anklicken eines „Aktivierungslinks“, der ihm auf die – bei Registrierung angegebene – E-Mail-Adresse zugeschickt wurde, bestätigen.

Entscheidung

Die DSB sieht in dem hier umgesetzten Registrierungsverfahren einen Verstoß gegen Art. 32 DSGVO. Eine, wie hier vorliegende, unberechtigte Verwendung von E-Mail-Adressen kann nach Ansicht der DSB gegen Art. 5, Art. 6 und Art. 32 DSGVO verstoßen.

Die von Art. 32 DSGVO verlangten technischen und organisatorischen Maßnahmen zur Herstellung der Sicherheit der Datenverarbeitung können nach Ansicht der DSB auf mehrere Arten gewährleistet sein kann.

„Beispielsweise kann eine solche Datenschutzsicherheitsmaßnahme in der Implementierung eines Double-Opt-In-Verfahrens zur rechtskonformen Erlangung einer Einwilligung bestehen“.

Die DSB versteht unter dem Double-Opt-In-Verfahren die Einholung der Zustimmungserklärung des Teilnehmers in einem zweistufigen System, das eine Anmeldung zum Bezug elektronischer Informationen etwa auf der Webseite des Anbieters vorsieht. Erst nach einer auf die Aktivierungsmail bzw. die Kurznachricht gegebenen, die Anmeldung bestätigenden Antwort oder vergleichbaren Reaktion (zB Anklicken eines Links) erfolgt die Zusendung von Werbenachrichten.

Ein solches Verfahren wurde hier nicht umgesetzt, da Nachrichten und Kontaktvorschläge schon vor der Aktivierung eines versandten Links übersendet wurden.

Somit ist es möglich, dass sich ein User nicht mit seiner eigenen E-Mail-Adresse, sondern mit der E-Mail-Adresse eines unbeteiligten Dritten auf den Onlinedating-Portalen registriert.

Dadurch, dass die Beschwerdegegnerin keine ausreichenden, Art. 32 DSGVO entsprechenden Datensicherheitsmaßnahmen gesetzt hat, war es möglich, dass personenbezogene Daten des Beschwerdeführers (nämlich seine E-Mail-Adresse) unrechtmäßig verarbeitet wurden.

Fazit

Leider geht die DSB nicht auf die relevante Frage ein, ob das hier beanstandete System, dass bereits nach erfolgter Registrierung durch Einloggen auf den Webseiten die Onlinedating-Portale genutzt werden können, ohne dies von der Aktivierung im Rahmen des Double-Opt-In abhängig zu machen, gegen den damals geltenden „Stand der Technik“ verstößt. Auf diesen unbestimmten Begriff stellt Art. 32 DSGVO hinsichtlich der Anforderungen an die Maßnahmen ab.

Als Besonderheit kam hier sicherlich hinzu, dass auch ohne separate Bestätigung der E-Mail-Adresse direkt Kontaktvorschläge und andere Informationen (vermutlich werblicher Natur) versendet wurden. Hinsichtlich der Anmeldung zum Erhalt von Werbemails ist das Vorhalten eines Double-Opt-In-Verfahrens schon seit längerer Zeit in der Praxis üblich. Auch wenn man hinzufügen muss, dass dies keine gesetzliche Anforderung darstellt, sondern vielmehr der Nachweisbarkeit einer Anmerkung und damit verbundenen Einwilligung dienen soll.

Womöglich muss man, hinsichtlich der Praxisrelevanz der Entscheidung, auch in Bezug auf den Zweck der Anmeldung unterscheiden. Die DSB bezieht sich in ihrer Begründung ausdrücklich darauf, dass es hier um die Erlangung einer Einwilligung ging. Für diese sollte das Double-Opt-In genutzt werden.

Wie sieht es aber aus, wenn schlicht eine Angabe der E-Mail-Adresse erforderlich ist, die zB im Rahmen eines Kaufs eingegeben wird (etwa für den Versand der Rechnung)? Hier wird man sicherlich diskutieren, ob das geforderte Double-Opt-In Verfahren stets als die erforderliche Sicherheitsmaßnahme anzusehen ist oder ob es nicht Alternativen gibt.

Verwaltungsgericht Hamburg: § 26 BDSG trifft für die Verarbeitung von Beschäftigtendaten keine abschließende Regelung

Posted on by

Das Verwaltungsgericht Hamburg (VG) hat mit Urteil vom 16.01.2020 (Az. 17 K 3920/19) entschieden, dass eine Verarbeitung der Daten von Beschäftigten nicht allein an den Vorgaben des § 26 BDSG zu messen ist. Ein Rückgriff auf die Erlaubnisnormen in Art. 6 Abs. 1 DSGVO bleibt möglich.

Sachverhalt

In dem Fall ging es um die Frage, ob das Universitätsklinikum Hamburg-Eppendorf (UKE) Informationen zu dem Gehalt des Geschäftsführers eines Tochterunternehmens nach § 3 Abs. 1 Nr. 15 des Hamburgischen Transparenzgesetzes veröffentlichen muss. Alleinige Trägerin des UKE ist die beklagte Freie und Hansestadt Hamburg. Der Geschäftsführer klagte gegen diese geplante Veröffentlichung gegen die Stadt Hamburg. Hierzu begründete er u.a., dass nach § 26 BDSG personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses nur verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich sei. An dieser Voraussetzung fehle es hier.

Begründung

Das VG wies die Klage als unbegründet ab. Im Kern geht es in dem Urteil um materiell-rechtliche Fragen zum Hamburgischen Transparenzgesetz.

Am Ende seiner Begründung setzt es sich dann noch mit den datenschutzrechtlichen Argumenten des Klägers auseinander.

Nach Ansicht des VG verstößt die Veröffentlichung der Vergütung des Klägers nicht gegen datenschutzrechtliche Vorschriften. Die hiermit verbundene Verarbeitung personenbezogener Daten des Klägers durch die Stadt Hamburg entspreche § 4 HmbDSG, da sie zur Erfüllung einer in ihrer Zuständigkeit liegenden Aufgabe, nämlich der Verpflichtung aus § 3 Abs. 1 Nr. 15 HmbTG, erfolge.

Sodann wendet sich das VG auch zu dem Verhältnis zwischen UKE (bzw. dessen Trägerin, der Stadt Hamburg) und dem Kläger und damit der Frage zu, ob die hier streitgegenständliche Verarbeitung von Beschäftigtendaten (Übermittlung zum Zwecke der Veröffentlichung) denn evtl. nicht von § 26 BDSG gedeckt wäre.

Nach Ansicht des VG ergibt sich eine Unzulässigkeit der Datenverarbeitung aber auch nicht aus § 26 Abs. 1 S. 1 BDSG.

„Zwar dürfte die Übermittlung der Vergütungsdaten zum Zwecke der Veröffentlichung in keine der in § 26 Abs. 1 S. 1 BDSG genannten Fallgruppen fallen. § 26 BDSG trifft jedoch keine abschließende Regelung zur Zulässigkeit der Verarbeitung persönlicher Daten von Beschäftigten, so dass jedenfalls ein Rückgriff auf die allgemeinen Regelungen der DSGVO möglich bliebe“

Daraus folgert das VG, meines Erachtens völlig zurecht, dass sich die Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 Abs. 1 lit. c und e DSGVO ebenfalls aus der in § 3 Abs. 1 Nr. 15 HmbTG normierten Verpflichtung ergebe.

Fazit

Es wird in der Literatur durchaus diskutiert, ob denn § 26 BDSG für den Umgang mit Beschäftigtendaten eine abschließende Regelung treffe und daher ein Rückgriff auf Art. 6 Abs. 1 DSGVO, insbesondere etwa auch die Ziff. f) zur Interessenabwägung, nicht mehr möglich sei. Dieser Ansicht erteilt das VG zurecht eine klare Absage (wenn auch ohne nähere Begründung). Meines Erachtens ergibt sich aber sowohl aus Art. 88 DSGVO als auch etwa aus dem Urteil des EuGH in Sachen „Breyer“, dass der nationale Gesetzgeber die europarechtliche (durch die DSVGO sogar unmittelbar) vorgegeben Erlaubnistatbestände zum Umgang mit personenbezogenen Daten nicht ein- oder beschränken darf. Dies bedeutet in der Praxis, dass sich Unternehmen natürlich auch auf Erlaubnistatbestände aus Art. 6 Abs. 1 DSGVO berufen können, wenn sie Mitarbeiterdaten verarbeiten.