Schlagwort: Datenschutzgrundverordnung

Immaterieller Schadenersatz bei Verstößen gegen die Datenschutzgrundverordnung

am von Alix Frank Rechtsanwälte GmbHin Allgemein, DSGVO, EU-DSGVO

Von Franz J Heidinger / Laurin Maran: Vom 21. August bis zum 5. September 2018 hatten Cyberkriminelle Zugriff auf personenbezogene Daten von Kunden der britischen Fluggesellschaft British Airways, die in diesem Zeitraum Flüge über die Homepage oder die App gebucht hatten. Es seien rund 380.000 Bank- und Kreditkartenzahlungen betroffen, aber auch Namen, Rechnungsanschriften und E-Mail-Adressen.

Einer von vielen Datenskandalen in den letzten Jahren. Einer dieser Datenskandale, bei dem sich das Unternehmen reumütig entschuldigt und verspricht, dass so etwas nie wieder vorkommen wird: „Please accept our deepest apologies for the worry and inconvenience that this criminal activity has caused,” heißt es in einer Mail an die betroffenen Kunden von British Airways. In der Regel hörte man dann nichts weiter davon.

Seit 25. Mai 2018 ist allerdings die EU-Datenschutzgrundverordnung (EU-DSGVO) in Kraft, die zumindest derzeit auch noch im Vereinigten Königreich anzuwenden ist und die bei Verstößen drakonische Geldbußen der Behörden vorsieht (Mehr zum Thema Brexit und die damit verbundenen rechtlichen Folgen auf: http://www.brexit-alixfrank.at/). British Airways muss nun aber nicht nur die britische Datenschutzbehörde fürchten, sondern auch die 380.000 Kunden, deren Daten gestohlen wurden. Gemäß Art. 82 EU-DSGVO hat nämlich jede Person, der wegen eines Verstoßes gegen die EU-DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen.

Mehrere britische Rechtsanwaltskanzleien sind derzeit auf der Suche nach betroffenen Kunden und bereiten Sammelklagen gegen die Fluggesellschaft vor. Das Bemerkenswerte daran ist, dass nicht die finanziellen Schäden geltend gemacht werden sollen, die beispielsweise durch den Missbrauch von Kreditkartendaten entstehen können, sondern immaterielle Schäden. Man möchte also eine Entschädigung für die mit dem Data Breach erlittenen Unannehmlichkeiten, Sorgen und Ärgernisse durchsetzen. Aus Insiderkreisen hört man, dass bis zu GBP 5.000,- pro Person eingeklagt werden sollen. Geht man davon aus, dass sich 200.000 Geschädigte dem Verfahren anschließen, ergibt das einen Streitwert von GBP 1 Milliarde (rund EUR 1.142.665.000,-), zuzüglich Verfahrenskosten. Ein Betrag, den British Airways unter Umständen für das mulmige Gefühl der Kunden bezahlen muss, die ihre personenbezogenen Daten in den falschen Händen wissen. Sollten Sie tatsächlich Opfer eines Kreditkartenbetruges werden, wäre dieser Schaden natürlich zusätzlich von Britisch Airways zu bezahlen

In Österreich wurde bislang kein Fall bekannt, bei dem ein Unternehmen auf Grundlage der EU-DSGVO für einen immateriellen Schaden in Anspruch genommen wurde. Es ist jedoch damit zu rechnen, dass Betroffenen bald auf diversen Internetplattformen angeboten wird, neben ihren Ansprüchen aus verspäteten Flügen oder überhöhten Mietzinsen auch Ansprüche wegen Verstößen gegen die EU-DSGVO durchzusetzen.

Ein Unternehmen wird in einem solchen Fall nur dann von seiner Haftung befreit werden, wenn es nachweist, dass es in keiner Weise für den Schaden verantwortlich ist. Es kommt sozusagen zu einer Beweislastumkehr: Der Betroffene muss lediglich beweisen, dass ein Schaden vorliegt, der vom Unternehmen verursacht wurde. Das Unternehmen muss dann nachweisen, dass es in keiner Weise verantwortlich ist und die Regeln der EU-DSGVO eingehalten hat.

Wer darauf nicht vorbereitet ist, kann massive Probleme bei der Abwehr solcher Ansprüche bekommen. Wenn man bedenkt, dass die Datenschutzbehörde eine Geldbuße verhängt, Betroffene Ansprüche für materielle und immaterielle Schäden geltend machen und aufgrund der hohen Sensibilität der Öffentlichkeit mit Umsatzeinbußen zu rechnen ist, könnte ein kleiner Verstoß gegen die EU-DSGVO Folgen haben, die für ein kleines oder mittelständischen Unternehmen nur schwer zu stemmen sind.

Rechte der Betroffenen (Teil 4): Recht auf Vergessenwerden

am von Alix Frank Rechtsanwälte GmbHin Allgemein, Datenschutz, DSGVO, EU-DSGVO

Von Franz J Heidinger / Laurin Maran: Mario ist eitel. Als sein Haus in El Escorial nahe Madrid gepfändet wurde, war es für ihn schlimmer, davon in der Zeitung zu lesen, als die Pfändung an sich. „Schwamm drüber“, dachte er sich dann aber, „ich werde meine Schulden tilgen und an den Zeitungsartikel mit den Pfändungen wird sich in zwei Wochen niemand mehr erinnern“. Mario sollte recht behalten. Er bezahlte und der unangenehme Zeitungsartikel geriet schnell in Vergessenheit. Mario erinnert sich nicht gerne an diese schwere Zeit.

 Einige Jahre später in einem Redaktionsgebäude in Barcelona: In der Chefetage beschließt man, dass es Zeit ist, mit der Zeit zu gehen. Und wer mit der Zeit geht, muss Online gehen. Dafür werden alle Zeitungen der letzten Jahre eingescannt und auf der Homepage veröffentlicht.

Zur etwa selben Zeit im kalifornischen Ort Mountain View. Die beiden Google-Gründer Larry Page und Sergey Brin werden Sponsor von GeoEye-1, einem Satelliten, der hochauflösende Bilder für Google Maps liefern soll. Als GeoEye-1 am 6. September 2008 mit einer Delta-II-Rakete auf die Reise geschickt wird, sind Page und Brin vor Ort. Stolz blicken sie der Rakete nach. „Jetzt also auch der Weltraum“, denken sie wohl.

Drei Geschichten, die auf den ersten Blick nichts miteinander zu tun haben und doch zu einer Gerichtsentscheidung führten, die das europäische Datenschutzrecht nachhaltig geprägt hat:

Der längst vergessene Zeitungsartikel landete im Internet und wurde jedem angezeigt, der Mario bei Google gesucht hat. Mario passte das gar nicht. Er fühlte sich dadurch in seinen Persönlichkeitsrechten verletzt und wollte Google per Gericht verbieten lassen, dieses konkrete Suchergebnis mit der alten Geschichte anzuzeigen.

Der Fall landete schließlich vor dem Europäischen Gerichtshof und der stellte im Mai 2014 völlig überraschend fest, dass es im Internet ein Recht auf Vergessenwerden gibt. Das bedeutet, dass Suchmaschinen unerwünschte Suchergebnisse löschen müssen, wenn diese Persönlichkeitsrechte der Betroffenen verletzen. Der Inhalt verschwindet dadurch zwar nicht aus dem Internet, ist aber sehr viel schwerer zu finden.

Mit der Datenschutzgrundverordnung wurde dieses Recht in weiterentwickelter Form gesetzlich verankert. Nach Art. 17 DSGVO kann man von dem für die Datenverarbeitung Verantwortlichen verlangen, dass personenbezogene Daten unverzüglich gelöscht werden, wenn einer der in Absatz 1 genannten Voraussetzungen erfüllt ist. Dies ist beispielsweise der Fall, wenn die Einwilligung der Datenverarbeitung widerrufen wurde, die Daten unrechtmäßig verarbeitet wurden oder für den Zweck, für die sie ursprünglich erhoben wurden, nicht mehr notwendig sind.

Hat der Verantwortliche die Daten bereits veröffentlicht, müssen sie das jeweilige Löschungsgesuch an andere Stellen weiterleiten und darüber informieren, dass eine betroffene Person die Löschung aller Links zu diesen Daten oder von Kopien verlangt hat.

Hat ein Kind (Personen unter 16 Jahre) in die Datenverarbeitung eingewilligt, muss der Verantwortliche die Daten unverzüglich löschen, wenn das Kind oder dessen Eltern das verlangen. Dieser Löschungsanspruch kann nicht abgewehrt werden und steht selbstverständlich auch dann noch zu, wenn das Kind bereits volljährig ist. Diese auf Facebook, YouTube und Co. zugeschnittene Regelung wird wohl viele junge Menschen davor bewahren, von Jugendsünden eingeholt zu werden, die sie auch nach vielen Jahren noch um einen Job bringen könnten.

Wenn es auch Ihnen wie Mario geht und Sie unliebsame Inhalte nicht mehr im Internet sehen wollen, müssen Sie sich glücklicherweise nicht mehr bis zum EuGH durchkämpfen. Die Experten der Alix Frank Rechtsanwälte GmbH unterstützen Sie gerne bei der Durchsetzung Ihrer Rechte.

Hier finden Sie die weiteren Teile unserer Reihe „Rechte der Betroffenen“:

TEIL 1: Informationsrecht

TEIL 2: Recht auf Auskunft

TEIL 3: Berichtigung

Datenschutz-Anpassungsgesetz 2018 – Ministerialentwurf liegt vor (Teil 2)

am von Alix Frank Rechtsanwälte GmbHin Allgemein

Von Franz J Heidinger / Laurin Maran – Der zweite Teil unseres Beitrags zum Datenschutz-Anpassungsgesetz 2018, in dem wir die weiteren Ziele des Gesetzes vorstellen möchten.

Anpassung des Grundrechts auf Datenschutz

Das verfassungsrechtlich verankerte Grundrecht auf Datenschutz soll nach Vorgabe der EU-DSGVO angepasst und verständlicher werden. So ist beispielsweise die Drittwirkung des Grundrechtes derzeit  nicht  ausdrücklich geregelt. Der eigentliche Zweck von Grundrechten ist es, die Bürger vor staatlicher Willkür zu schützen. Von einer Drittwirkung von Grundrechten spricht man dann, wenn sich die Schutzwirkung eines Grundrechtes nicht nur zwischen Staat und Bürger entfaltet, sondern auch zwischen Bürgern untereinander. Das Grundrecht auf Datenschutz ist das einzige verfassungsrechtliche gewährleistete Recht mit unmittelbarer Drittwirkung. Dies ist zwar unter Juristen bekannt, wurde aber noch nirgends in eine Norm gegossen. Bis jetzt, denn § 1 Abs 3 DSG 18 lautet wie folgt: „Das Grundrecht auf Datenschutz verpflichtet auch Private.“

Im noch aktuellen Datenschutzgesetz 2000 sind auch personenbezogene Daten juristischer Personen, also von Unternehmen, Vereinen, Stiftungen etc. geschützt. Dieser Schutz ist in der EU-DSGVO nicht mehr vorgesehen. Zukünftig haben nur noch natürliche Personen Anspruch auf Geheimhaltung der sie betreffenden personenbezogenen Daten.

Regelung von Datenverarbeitungen zu spezifischen Zwecken

Die Datenverarbeitungen zu spezifischen Zwecken (zum Beispiel zum Zwecke der wissenschaftlichen Forschung und Statistik oder die Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von Betroffenen) sollen verständlicher ausgestaltet und an die Terminologie der EU-DSGVO angepasst werden.

Regelung der Bildverarbeitung

Zahlreiche Regelungen im DSG 2000 zum Thema Videoüberwachung haben sich in der Praxis nicht bewährt. Daher sollen diese Bestimmungen nun modernisiert und angepasst werden. Zu finden sind die neuen Bestimmungen im 6. Abschnitt des DSG 2018. Da hier allerdings ganz allgemein von Bildaufnahmen gesprochen wird, ist wohl davon auszugehen, dass nicht nur Videoaufnahmen, sondern auch Fotos geregelt werden sollen. Wie genau der 6. Abschnitt zu verstehen ist und welchen Einfluss das Gesetz auf spontane Schnappschüsse haben wird, werden wir in einem eigenen Blog-Beitrag erörtern.

20170608_120014

Soweit die sechs großen Ziele des geplanten neuen Datenschutzgesetzes. In wie weit der Entwurf noch überarbeitet wird, bleibt abzuwarten. Die Verhandlungen zur EU-DSGVO wurden zur größten Lobbyisten-Schlacht in der Geschichte der europäischen Union. Zwar geht es bei den verschiedenen nationalen Anpassungsgesetzen nur noch um Feinjustierungen, es ist aber wohl zu erwarten, dass sich die großen datenverarbeitenden Konzerne und ihre Interessensverbände diese Chance nicht entgehen lassen und nochmal versuchen werden, Einfluss zu nehmen. Es wird sich zeigen, welches Gesetz am Ende dabei herauskommen. Wir werden den Prozess jedenfalls aufmerksam beobachten und auf www.eu-dsgvo.at berichten.

Teil 1 dieses Beitrages finden Sie hier.

Rechte der Betroffenen (Teil 3): Berichtigung

am von Alix Frank Rechtsanwälte GmbHin Allgemein, EU-DSGVO

Von Franz J Heidinger / Laurin Maran -Im letzten Blog-Beitrag wurde das Recht auf Auskunft vorgestellt. Die von einer Datenverarbeitung betroffene Person sollte nach einem Auskunftsbegehren darüber Bescheid wissen, über welche Daten das jeweilige Unternehmen verfügt. Sollte sich herausstellen, dass gewissen Daten falsch gespeichert wurden, haben Betroffene gemäß Art. 16 EU-DSGVO das Recht, von dem für die Verarbeitung Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen.

Mit dieser Norm soll sich der in Art. 5 Abs 1 lit d EU-DSGVO verankerter Grundsatz der Richtigkeit von personenbezogenen Daten auch von Betroffenen durchsetzen lassen. Denn grundsätzlich müssen Daten stets sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein. Wenn ein Unternehmen schon Daten speichert und verarbeitet, dann sollen diese Daten den Betroffenen und seine Lebensumstände auch richtig wiederspiegeln.

Ein Unternehmen hat diesem Wunsch innerhalb eines Monats nachzukommen und den Betroffenen über die Änderungen zu informieren. Wenn es die Komplexität des Antrages oder die Anzahl der Anträge erforderlich macht, kann diese Frist um 2 Monate verlängert werden.

Neben der Berichtigung kann eine betroffene Person auch die Vervollständigung unvollständiger, personenbezogener Daten verlangen.

Der Antrag kann völlig formfrei gestellt werden, ein Identitätsnachweis ist nur in Zweifelsfällen notwendig. Wie beim Auskunftsrecht kann der Verantwortliche nur bei exzessiven Anträgen oder im Fall von Wiederholungen ein angemessenes Entgelt verlangen.

Hier finden Sie die weiteren Teile unserer Reihe „Rechte der Betroffenen“:

TEIL 1: Informationsrecht

TEIL 2: Recht auf Auskunft

Rechte der Betroffenen (Teil 2): Auskunft

am von Alix Frank Rechtsanwälte GmbHin Allgemein, Datenschutz, EU-DSGVO

Von Franz J Heidinger / Laurin Maran – Nachdem der letzte Blog-Beitrag die Pflicht vorstellte, Betroffene aktiv und unaufgefordert über eine Datenverarbeitung zu informieren, widmet sich dieser Artikel dem Recht der Betroffenen, auf Antrag vom Verantwortlichen Auskunft über die von ihm verarbeitenden Daten zu verlangen.

Dieses Auskunftsrecht findet sich in Art. 15 der ab Mai 2018 geltenden Datenschutzgrundverordnung (EU-DSGVO) und bietet Betroffenen, also Personen, deren Daten verarbeitet werden, die Möglichkeit zu überprüfen, ob ihre Daten rechtmäßig verarbeitet werden. So müssen Sie beispielsweise über die Verarbeitungszwecke, die Kategorien der personenbezogenen Daten, die verarbeitet werden, die Empfänger, gegenüber denen die Daten offengelegt werden und die geplante Dauer, für die die Daten gespeichert werden, informiert werden. Wurden die Daten nicht von demjenigen erhoben, an den das Auskunftsersuchen gerichtet wurde, müssen alle Informationen über die Herkunft der Daten mitgeteilt werden. Ferner muss der Verantwortliche darüber informieren, ob sich der Betroffene bei einer Aufsichtsbehörde über ihn beschweren kann.

Nutzt der Verantwortliche ein Programm zur automatisierten Entscheidungsfindung, muss er aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person bereitstellen.

Beispiel für eine automatisierte Entscheidungsfindung: Einer Person, die mit einem teuren Handy einen Flug bucht, wird ein anderer Preis angeboten wird, als einer anderen Person, die den gleichen Flug mit einem billigeren Handy bucht.cropped-20160916_1114211.jpg

Im österreichischen Datenschutz ist dieses Auskunftsrecht nicht völlig fremd, findet sich doch in § 26 DSG 2000 ein sehr ähnliche Regelungen.

Werden Daten an ein Drittland übermittelt, muss die Person, deren Daten übermittelt wurden, über die geeigneten Garantien unterrichtet werden, die sicherstellen müssen, dass seine Daten auch im Ausland geschützt werden. Solche Garantien können beispielsweise darin bestehen, dass auf verbindliche interne Datenschutzvorschriften oder auf von einer Aufsichtsbehörde genehmigte Vertragsklausel zurückgegriffen wird.

Bei all den zu erteilenden Informationen muss der Verantwortliche aber stets darauf achten, dass dabei nicht die Rechte und Freiheiten anderen Personen beeinträchtigt werden (Art. 15 Abs 4 EU-DSGVO).

All die eben beschriebenen Informationen hat der Verantwortliche kostenlos zur Verfügung zu stellen. Nur bei exzessiven Anträgen oder im Fall von Wiederholungen kann der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern, die Auskünfte zu erteilen. Dieses kostenlose Auskunftsrecht ist natürlich mit einigem Aufwand und Kosten für Unternehmen verbunden. Dennoch sollte diesen Pflichten gewissenhaft und rasch (binnen eines Monats) nachgekommen werden, denn diese Pflichten sind keineswegs nur Leitlinien oder grobe Orientierungshilfen, sondern können bei Verstößen mit erheblichen Geldstrafen sanktioniert werden.

Hier finden Sie die weiteren Teile unserer Reihe „Rechte der Betroffenen“:

TEIL 1: Informationsrecht

Rechte der Betroffenen (Teil 1): Information

am von Alix Frank Rechtsanwälte GmbHin Allgemein, Datenschutz, EU-DSGVO

logoVon Franz J Heidinger / Laurin Maran – Ein Hauptanliegen des europäischen Gesetzgebers war die Stärkung  individueller Rechte von Betroffenen, also von Menschen, deren Daten verarbeitet werden. So wurde in Art. 17 EU-DSGVO erstmals das sogenannte „Recht auf Vergessenwerden“ gesetzlich normiert und mit Art 20 EU-DSGVO das „Recht auf Datenübertragbarkeit“ eingeführt.

Damit ein Betroffener seine Rechte ausüben kann, muss er allerdings darüber informiert sein, welche Daten von ihm auf welche Weise verarbeitet werden.  Daher beginnt Kapitel III der Datenschutzgrundverordnung, in dem die individuellen Rechte von Betroffenen geregelt werden, mit einer allgemeinen Norm, die deutlich zeigt, dass die europäische Datenverarbeitung ab 2018 von mehr Information und Transparenz geprägt sein wird.

Um eine solche transparente Verarbeitung von Daten sicherzustellen, werden die für die Datenverarbeitung Verantwortlichen in Art 13 und 14 EU-DSGVO verpflichtet, aktiv und unaufgefordert zu informieren. Nur so können Betroffene ihre Rechte effektiv wahrnehmen und durchsetzen. Ob und in welcher Form informiert werden muss, hängt davon ab, ob die Daten direkt bei der betroffenen Person erhoben werden oder aus anderen Quellen stammen.

Grundsätzlich muss jeder Betroffene bei jeder Verarbeitung über den Zweck und die Rechtsgrundlage der Verarbeitung, die Kontaktdaten des Verantwortlichen, ggf. die Kontaktdaten des Datenschutzbeauftragten  und die unter Umständen beabsichtigte Übermittlung in Drittstaaten informiert werden. Erfolgt die Verarbeitung auf Grund eines „berechtigten Interesses“ und nicht aufgrund einer Einwilligung der betroffenen Person, muss mitgeteilt werden, welche berechtigten Interessen vom Verantwortlichen verfolgt werden.

Manche Informationen müssen nur in bestimmten Situationen mitgeteilt werden. So muss ein Betroffener beispielsweise darüber informiert werden, dass über ihn im Zuge von Profiling-Prozessen Entscheidungen  automationsunterstützt getroffen werden.

Sollen Daten zu einem anderen Zweck verarbeitet werden, als für den sie ursprünglich gesammelt wurden, muss der Betroffene über diese Zweckänderung informiert werden und auch bezüglich des „neuen“ Zweckes erneut alle Informationen bekanntgeben.

Werden die Daten direkt beim Betroffenen erhoben, muss dieser bereits zum Zeitpunkt der Datenerhebung mit allen relevanten Informationen versorgt werden. Werden die Daten nicht beim Betroffenen erhoben, sondern stammen von einer anderen Quelle, muss der Betroffene spätestens nach einem Monat informiert werden.

Von diesen sehr umfangreichen Informationspflichten gibt es jedoch auch Ausnahmen. So muss ein Betroffener nicht informiert werden, wenn er die nötigen Informationen bereits kennt oder die Erlangung durch Rechtsvorschriften der Union oder eines Mitgliedstaates ausdrücklich geregelt ist. Zudem darf die Benachrichtigung ausbleiben, wenn die Daten nicht direkt beim Betroffenen erhoben werden und die Unterrichtung für den Verantwortlichen unmöglich ist oder zumindest einen unverhältnismäßigen Aufwand erfordern würde. Dieser Aufwand kann beispielsweise dann unverhältnismäßig sein, wenn die Daten zur Archivzwecken im öffentlichen Interesse oder zu Zwecken der Forschung und Statistik verarbeitet werden. Die Frage der Auslegung des doch recht vagen Begriffes des „unverhältnismäßigen Aufwandes“ wird in Zukunft wohl noch das ein oder andere Gericht beschäftigen. Grundsätzlich wird in diese Verhältnismäßigkeitsprüfung noch einfließen, ob die Daten aus einer allgemein zugänglichen Quelle stammen, für sie ein besonderes Geheimhaltungsinteresse besteht und welche Bedeutung der „Aufwand“ für das Unternehmen hat.

Unterliegt der Verantwortliche nach dem Recht des Staates, dem er unterliegt oder nach Unionsrecht einem Berufsgeheimnis, wird die Informationspflicht aufgehoben.

In allen anderen Fällen ist eine Benachrichtigung des Betroffenen unumgänglich. Damit die Informationspflicht auch ihren gewünschten Zweck erfüllt, sind bestimmte Formvorschriften einzuhalten. So sind die Informationen in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ zu erteilen. Weiters muss dies in schriftlicher oder in anderer Form, gegebenenfalls auch elektronisch und unentgeltlich erfolgen.

Dies alles klingt nach sehr viel Aufwand und Kosten für datenverarbeitende Unternehmen. Es wird jedoch, in Anbetracht der Folgen für Verstöße, dringend davon abgeraten, hier nicht rechtzeitig die nötigen Maßnahmen zu ergreifen. Spart man doch bei drohenden Bußgeldern von bis zu EUR 20.000.000,–  und Schadenersatzansprüche der Betroffenen hier sicherlich an der falschen Stelle.

Der nächste Beitrag widmet sich dem Recht der Betroffenen, von Verantwortlichen Auskunft zu verlangen. Bis dahin kann nur empfohlen werden, dass Unternehmer ihre Datenschutzerklärung unter die Lupe nehmen und prüfen, ob die Pflichten der EU-DSGVO eingehalten werden. Die Profis der Alix Frank Rechtsanwälte GmbH unterstützt Sie dabei gerne!

Grundprinzipien des Datenschutzrechts (Teil 4): Integrität und Vertraulichkeit

am von Alix Frank Rechtsanwälte GmbHin Datenschutz, EU-DSGVO

Von Franz J. Heidinger / Laurin Maran – Im letzten Teil unseren kleinen Serie zu den Grundprinzipien des Datenschutzrechts behandeln wir heute Art 5 Abs 1 lit f EU-DSGVO und erklären das Prinzip der Integrität und Vertraulichkeit:

„Persönliche Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.“

Damit wird die Gewährleistung von Datensicherheit als zentrales Prinzip des Datenschutzrechts gesetzlich verankert. Wenn personenbezogene Daten verarbeitet werden, hat der dafür Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu sicherzustellen.

Daraus ergeben sich unterschiedliche Schutzniveaus für unterschiedliche Datenanwendungen. So muss beispielsweise ein Arzt oder eine Anwaltskanzlei, die teilweise im Besitz von hochsensiblen Daten sind, mehr Geld und Zeit in den Schutz dieser Daten investieren, als ein Friseursalon, der personenbezogene Daten nur mit dem Zweck verwendet, jährlich Weihnachtskarten an seine Kunden zu verschicken.

Art 32 EU-DSGVO bietet ein paar Maßnahmen an, wie dieses Schutzniveau hergestellt werden kann. So können die Daten beispielsweise pseudonymisiert oder verschlüsselt werden. Weiters sollten die für die Verarbeitung Verantwortlichen die Fähigkeit haben, die Verfügbarkeit der Daten bei einem physischen oder technischen Zwischenfall schnell wiederherzustellen. Außerdem empfiehlt sich ein Verfahren zur regelmäßigen Kontrolle der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit und der Verarbeitung zu entwickeln. Falls das Unternehmen über ein internes Kontrollsystem verfügt, könnte dies auf die Kontrolle von Datenschutzmaßnahmen erweitert werden.

Mehr zur Sicherheit der Datenverarbeitung folgt in einem eigenen Kapitel.

Abschließend bleibt zu sagen, dass der Verantwortliche für die Einhaltung all dieser Grundsätze verantwortlich ist und dessen Einhaltung auf Verlangen nachweisen können muss. Diese Rechenschaftspflicht könnte von den Gericht zukünftig dahingehend ausgelegt werden, dass natürliche Personen, denen aufgrund einer Verletzung des Rechts auf Schutz ihrer persönlichen Daten ein Schaden entsteht, für eine Schadenersatzklage gegen den Verantwortlichen nur das Vorliegen eines Schadens nachweisen müssen. Es läge dann am Verantwortlichen zu beweisen, dass er alle rechtlichen Verpflichtungen eingehalten hat und ihn kein Verschulden trifft. Juristisch ausgedrückt kommt es zu einer Beweislastumkehr: Der Geschädigte hat nur den Schaden und die Kausalität zu beweisen, der für die Datenverarbeitung Verantwortliche muss beweisen, dass er nicht rechtswidrig und schuldhaft gehandelt hat.

Grundprinzipien des Datenschutzrechts (Teil 2): Zweckbindung

am von Alix Frank Rechtsanwälte GmbHin EU-DSGVO

Art. 5 Abs 1 lit b: „Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesem Zweck nicht zu vereinbarenden Weise weiterverarbeitet werden.“

20160919_141430

Von Franz J. Heidinger / Laurin Maran – Zur Einhaltung des Zweckbindungsprinzips müssen die einzelnen Verarbeitungsschritte erst in zwei Phasen getrennt werden. Anschließend muss der Zweck aller auf die erstmalige Erhebung der Daten folgenden Datenbearbeitungen darauf geprüft werden, ob er mit dem ursprünglichen Erhebungszweck ident oder zumindest vereinbar, also kompatibel ist. Um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen Zweck, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, sind die in Art 6 Abs 4 EU-DSGVO genannte Punkte zu berücksichtigen:

  1. Jede Verbindung zwischen den Zwecken, für die die Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung;
  2. den Zusammenhang, in dem die Daten erhoben wurden;
  3. die Art der personenbezogenen Daten, also insbesondere ob besonders schutzwürdige Daten verarbeitet wurden;
  4. die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffene Person;
  5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Anhand dieser Kriterien, die übrigens in Laufe der Zeit noch durch Gerichte oder Behörden erweitert werden könnten, hat der Verantwortliche zu prüfen, ob durch die Weiterverarbeitung Rechte der betroffenen Person beeinträchtigt werden könnten.

Die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke wird stets als vereinbarer und rechtsmäßiger Verarbeitungsvorgang gelten.

Zusammenfassend kann also festgehalten werden, dass personenbezogene Daten für andere Zwecke als den ursprünglichen Zweck verarbeitet werden dürfen, wenn auch der neue Verarbeitungszweck für den Betroffenen vorhersehbar war, es sich nicht um sensible Daten handelt und sich der Verantwortliche um das Vorhandensein von geeignete Garantien, also um die Datensicherheit, kümmert. Der Betroffene muss dann allerdings über die Zweckänderung informiert werden und kann dann unter Umständen die Löschung seiner Daten verlangen.

Der nächste Artikel wird dem Grundsatz der Datenminimierung gewidmet sein.

Zulässigkeit der Datenverarbeitung (Teil 2): Berechtigtes Interesse des Verantwortlichen

am von Alix Frank Rechtsanwälte GmbHin EU-DSGVO

Von Franz J. Heidinger / Laurin Maran – Nachdem im letzten Beitrag die rechtmäßige Verarbeitung personenbezogener Daten aufgrund der Einwilligung der betroffenen Personen behandelt wurde, widmet sich dieser Artikel dem nächsten Erlaubnistatbestand: Art 6 Abs 1 lit f normiert, dass die Verarbeitung rechtmäßig ist, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist. Allerdings nur dann, wenn durch die Verarbeitung personenbezogener Daten nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es sind folglich die Interessen des Verantwortlichen gegen die Interessen der betroffenen Person abzuwägen. Je nachdem wessen Interessen überwiegen, ist die Verarbeitung rechtmäßig oder nicht. Die Interessen des Verantwortlichen müssen allerdings nochmal deutlich schwerer wiegen, wenn auf der anderen Seite der Waage die Interessen eines Kindes in der Waagschale liegen.

In anderen Worten ausgedrückt bedeutet das, dass ein Unternehmer personenbezogene Daten verarbeiten darf, wenn

  1. er ein berechtigtes Interesse an der Verarbeitung von personenbezogenen Daten hat, UND
  2.  die Person, von der die Daten stammen, kein Geheimhaltungsinteresse im Bezug auf diese Daten hat, das gegenüber dem Interesse des Unternehmers überwiegt.

Genauere Ausführungen, wie diese Interessenabwägung vorzunehmen ist, sind in augeErwägungsgrund 47 zu finden. So sind zum Beispiel die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Ein berechtigtes Interesse auf Seite des Verantwortlichen könnte beispielsweise vorliegen, wenn zwischen einem Unternehmer als die für die Verarbeitung verantwortliche Person und einer betroffenen Person eine Beziehung besteht, zum Beispiel wenn die betroffene Person Kunde des Unternehmens oder bei diesem angestellt ist. Weiters kann die Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.

Selbstverständlich kann es bei der Abwägung nicht auf die Sicht des Unternehmens ankommen. Dies würde seine eigenen Interessen wohl regelmäßig wichtiger einschätzen als die der Betroffenen. Vielmehr wird es Aufgabe der Gerichte und Behörden sein, in vielen Einzelfallentscheidungen die Linie zwischen rechtsmäßiger und rechtswidriger Verarbeitung zu ziehen. Momentan herrscht diesbezüglich noch eine ziemliche Rechtsunsicherheit und es ist noch nicht absehbar, für welche Situationen dieser Erlaubnistatbestand herangezogen werden kann.

Wie eine solche Einzelfallentscheidung in Zukunft aussehen könnte, wurde erst kürzlich vom Gerichtshof der Europäischen Union in der Rechtssache C-131/12 Google Spain vs. AEPD demonstriert: Hier wurde das wirtschaftliche Interesse von Google gegen das Interesse einer Person, nicht in der Ergebnisliste der Suchmaschine aufzuscheinen, abgewogen. Die Richter in Luxemburg stellten fest, dass eine Verarbeitung personenbezogener Daten, die von einem Suchmaschinenbetreiber vorgenommen wird, es jedem Internetnutzer ermöglicht, bei Durchführung einer Suche anhand des Namens einer natürlichen Person mit der Ergebnisliste einen strukturierten Überblick über die zu ihr im Internet verfügbaren Informationen zu erhalten. Somit kann ein detailliertes Profil einer Person erstellt werden. Dieser Eingriff in die Rechte der betroffenen Person wiege so schwer, dass er nicht allein mit dem wirtschaftlichen Interesse des Suchmaschinenbetreibers an der Verarbeitung gerechtfertigt werden kann.

Ausgangspunkt war das Missfallen eines Spaniers am Umstand, dass man bei der Suche seines Namens auf einen alten Zeitungsartikel stieß, der ihn mit einer Insolvenz in Verbindung brachte. Der EuGH sah in der Indexierung und Zurverfügungstellung von Links zu bestimmten Homepages durch Google als Verantwortlichen eine eigenständige Verarbeitung personenbezogener Daten, für die Google einen Erlaubnistatbestand braucht. Dieser Erlaubnistatbestand war die oben beschriebene Interessensabwägung. Laut EuGH überwiegten in diesem Fall aber die Interessen des Spaniers, der Erlaubnistatbestand fiel somit weg und die Verarbeitung war rechtswidrig.

Seitdem kann bei Google ein Antrag auf Löschung gestellt werden. Das Unternehmen prüft dann intern, ob die Interessen des Antragsstellers größer sind als die wirtschaftlichen Interessen von Google und die Interesse der Internetnutzer an genau diesen Informationen und löscht gegebenenfalls konkrete Links aus der Ergebnisliste. Entscheidet der Suchmaschinenbetreiber nicht im Sinne des Antragstellers, bleibt diesem der Weg zu Gericht.

Diese Entscheidung ist, wie immer im Falle einer Interessensabwägung, nur eine Einzelfallentscheidung und kann für andere lediglich eine grober Kompass sein, der zeigt, in welche Richtung die Reise geht. Unternehmen, die aufgrund dieses Erlaubnistatbestandes personenbezogene Daten verarbeiten, ist daher zu empfehlen, zukünftige Entscheidungen genau zu studieren und ihre eigene Datenverarbeitung gegebenenfalls anzupassen. Sollte es diesbezüglich Neuerungen oder Konkretisierungen geben, wird sie DER DATENSCHUTZBLOG selbstverständlich darüber informieren.

Zulässigkeit der Datenverarbeitung (Teil 1): Die Einwilligung der betroffenen Person

am von Alix Frank Rechtsanwälte GmbHin Allgemein, EU-DSGVO

Von Franz J. Heidinger / Laurin Maran – Die entscheidende Frage im datenschutzrechtlichen Kontext ist die nach der Zulässigkeit der Verarbeitung personenbezogener Daten. Die EU-DSGVO bringt diesbezüglich keine überraschende Neuerung im Vergleich zur aktuellen Rechtslage, ein paar zusätzliche Bestimmungen gibt es allerdings schon.

Das europäische Datenschutzregime basiert auf dem Grundsatz „Verbot mit Erlaubnisvorbehalt“. Das bedeutet, dass die Verarbeitung personenbezogener Daten nur dann rechtmäßig ist, wenn mindestens eine der in Art. 6 Abs 1 EU-DSGVO aufgezählten Bedingungen erfüllt ist. Die Bedingungen sind die Folgenden:

  1. Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehreren bestimmte Zwecke gegeben.
  2. Die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.
  3. Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt.
  4. Die Verarbeitung ist erforderlich, um lebenswichtige Interessen einer natürlichen Person zu schützen.
  5. Die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.
  6. Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

20160919_141430.jpg

Die Einwilligung

Die Verarbeitung ist also grundsätzlich verboten, es sei denn, die betroffene Person willigt in die Verwendung ihrer personenbezogenen Daten ein. Dieser Erlaubnisgrund ist wohl die meist gebrauchte Rechtsgrundlage für die Datenverarbeitung. Der Begriff der Einwilligung wird in der EU-DSGVO in Art. 4 wie folgt definiert:

Die Einwilligung der betroffenen Person ist jede freiwillige für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden Personenbezogenen Daten einverstanden ist.

Diese Erklärung kann etwa durch das Anklicken eines Kästchens beim Besuch einer Internetseite oder durch die Auswahl technischer Einstellungen für Dienste der Informationsgesellschaft geschehen. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sind keine gültigen Einwilligungen. Die betroffene Person muss also in Kenntnis darüber, zu welchen Zwecken seine Daten verarbeitet werden, selbst und freiwillig aktiv werden.

Gemäß Art 7 Abs 1 EU-DSGVO muss der für die Verarbeitung Verantwortliche nachweisen können, dass die  betroffene Person in die Verarbeitung ihrer Daten eingewilligt hat. Unternehmen haben somit eine Protokollierungspflicht und müssen Einwilligungen bei Bedarf dokumentieren können.

Der Begriff Einwilligung in „informierter Weise“ wird in Art 7 Abs 2 weiter konkretisiert. Erfolgt diese nämlich durch eine schriftliche Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen um die Einwilligung in verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache erfolgen, und zwar so, dass es von anderen Sachverhalten eindeutig zu unterscheiden ist. Die betroffene Person muss also klar erkennen können, in was sie einwilligt, und zwar ohne davor ein datenschutzrechtliches Studium absolvieren zu müssen.

„Freiwillig“ ist eine Einwilligung nur dann, wenn sie sich nur auf Daten bezieht, die der Verarbeiter für die konkrete Vertragserfüllung benötigt. Lässt sich der Verarbeiter jedoch mit derselben Einwilligung auch die Verarbeitung von Daten erlauben, die für die Vertragserfüllung nicht benötigt werden, spricht das gegen die Freiwilligkeit. Somit gibt es ab 2018 ein sogenanntes Kopplungsverbot.

Beispiel für ein Kopplungsverbot:

Eine Bildbearbeitungs-App fürs Smartphone nimmt sich in seinen Datenschutzbestimmungen das Recht heraus, auf das Telefonbuch des Nutzers, auf die Nutzungsdauer des Handys und auf seine Standortdaten zuzugreifen. Dies sind eindeutig Daten, die nicht zur Bearbeitung von Fotos benötigt werden. Möchte der Nutzer die App jedoch nutzen, muss er den Zugriff vollumfänglich erlauben. Diese Datenschutzbestimmungen widersprechen den Kopplungsverbot und wären gemäß der EU-DSGVO rechtswidrig.

Einwilligung bei Kindern

Artikel 8 behandelt die Bedingungen für die Einwilligung von Kindern im Bezug auf Dienste der Informationsgesellschaft: Eine Person unter 16 Jahren ist nicht fähig, eine gültige Einwilligung zur Verarbeitung von personenbezogenen Daten zu geben. Für Kinder unter 16 Jahren muss die Einwilligung also von den Eltern gegeben werden. Von dieser Altersgrenze kann zwar jeder Mitgliedsstaat mit eigenen Regelungen abweichen, allerdings müssen Kinder mindestens das 13. Lebensjahr vollendet haben.

Wie die für die Datenverarbeitung verantwortlichen Personen diese Regelungen umsetzen sollen, wird im Gesetz nicht beschrieben und wird wohl mit erheblichen Problemen verbunden sein. Mit einem „mit Anklicken des Kästchen bestätige ich, dass ich über 16 Jahre alt bin“ wird es wohl nicht getan sein.

Ein weiteres Problem werden die unterschiedlichen Regelungen bezüglich der Altersgrenze in Europa aufwerfen. Gerade bei der Datenverarbeitung im Internet, das sich bekanntlich nicht an Ländergrenzen hält, werden die verschiedenen Altersgrenzen zur Einwilligungsfähigkeit erhebliche Schwierigkeiten bringen. Man stelle sich vor, die Altersgrenze in Österreich bleibt bei 16 Jahren, in Deutschland wird sie auf 15 Jahre gesenkt und der ungarische Gesetzgeber ist der Meinung, schon mit 13 Jahren könne man eine Einwilligung geben. Ein Betreiber einer Handy-App, dessen Datenverarbeitung auf der Einwilligung beruht, müsste nun für jeden Mitgliedsstaat individuelle Schutzmechanismen entwickeln. Mit einer Harmonisierung des europäischen Datenschutzrechts hat das nicht mehr viel zu tun.

Handlungsbedarf für Unternehmen

Unternehmen sollten jetzt ihre Datenschutzbestimmungen und Zustimmungserklärungen dahingehend überprüfen, ob sie den Regelungen der EU-DSGVO entsprechen. Sollte dies nicht der Fall sein, müssen sie bis zum 25. Mai 2018 überarbeitet und angepasst werden.

Falls nicht schon vorhanden muss eine Infrastruktur geschaffen werden, um abgegebene Einwilligungen individuell nachweisen zu können.

Sollten unter den Kunden auch Personen unter 16 Jahren sein, werden gegebene Einwilligungen ab 2018 wohl unwirksam sein und müssten dann neu eingeholt werden.

In Anbetracht der Strafdrohungen in Höhe von bis zu 20 Millionen Euro für Verstöße gegen die EU-DSGVO sollte unter Umständen die Beiziehung professioneller Unterstützung in Betracht gezogen werden.