Archiv für die Kategorie: Ereignisse

Positionspapier gibt Handlungsempfehlungen aus Praxisperspektive
Anlässlich der ersten Evaluierung der am 25.05.2018 anwendbar gewordenen Datenschutz-Grundverordnung (DSGVO) spricht sich der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. für eine Entlastung kleiner und mittelständischer Unternehmen aus. In einem Positionspapier fordert der Verband einen Abbau von Bürokratie durch stärkere Einbindung des Datenschutzbeauftragten (DSB). Denn durch die DSGVO begründete Bürokratie ergibt sich nicht durch die Benennung des DSB, sondern aufgrund der hiervon unabhängig bestehenden und bußgeldbewehrten umfassenden Organisations- und Dokumentationspflichten der DSGVO. Die Einbindung des DSB führt daher zu einer Entlastung des Mittelstands.

Pressemitteilung
Positionspapier

Das Landesarbeitsgericht (LAG) Köln entschied mit seinem Urteil vom 07.02.2020 (aSa 329/19), dass eine außerordentliche Kündigung aufgrund umfangreicher privater Internetnutzung während der Arbeitszeit trotz Verbot gerechtfertigt ist.

Der Kläger war als einziger Mitarbeiter bei der Beklagten, ein Unternehmen, das im Bereich Webdesign, Social Media und Online-Marketing tätig war, angestellt.

Vertraglich vereinbart war, dass die von der Beklagten zur Verfügung gestellte IT-Infrastruktur nicht zu privaten Zwecken benutzt werden durfte. Es stellte sich heraus, dass der Kläger an mehreren Tagen und über Monate hinweg regelmäßig das Internet und den betrieblichen E-Mail-Account zu privaten Zwecken nutzte. Daraufhin kündigte die Beklagte dem Kläger fristlos. Gegen diese Kündigung zog der Arbeitnehmer vor Gericht. Das LAG Köln lehnte nun die Revision des Arbeitnehmers und Klägers als unbegründet ab und beurteilte damit die Kündigung für wirksam.

Als Nachweise hatte die Beklagte vor Gericht, Inhalte aus den E-Mail-Verläufen auf dem dienstlichen Laptop und dem Browser-Cache vorgebracht. Dahingehend unterstellte der Kläger der Beklagten „massive Datenverstöße“. Durch die Vorlage der Beweise stellte sich das LAG Köln die Frage, ob die Beklagte die Daten überhaupt speichern durfte oder ob ein Beweisverwertungsverbot gegeben war.

Im Ergebnis bejahte das LAG Köln die Verwendung der Informationen und führte dazu folgendes aus:

„Einer prozessualen Verwertung der Inhalte der E-Mails auf dem dienstlichen Laptop und der Einträge in den Log-Dateien der Internet-Browser steht auch kein sog. prozessuales Verwertungsverbot (…) entgegen. Rn. 128

Greift die prozessuale Verwertung eines Beweismittels in das allgemeine Persönlichkeitsrecht eines Arbeitnehmers ein (1. Stufe), das – jedenfalls außerhalb des unantastbaren Kernbereich privater Lebensführung – nicht schrankenlos gewährleistet wird, überwiegt bei einer Güterabwägung das Interesse des Arbeitgebers an seiner Verwertung und der Funktionstüchtigkeit der Rechtspflege das Interesse am Schutz dieses Grundrechts nur dann, wenn weitere, über das schlichte Beweisinteresse hinausgehende Umstände auf Seiten des Arbeitgebers hinzutreten (2. Stufe).“ Rn. 94

Da die vorliegend streitgegenständlichen Speichervorgänge noch vor Inkrafttreten der DSGVO und des BDSG-nF passierten, beruht diese Entscheidung noch auf der alten Rechtslage. Allerdings hat diese Entscheidung auch nach aktuellem Datenschutzrecht noch Bestand. Denn der § 26 BDSG-nF, in der die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis geregelt ist, entspricht weitestgehend der alten Regelung in § 32 BDSG-aF und wurde in der Entscheidung zusätzlich zitiert.

Das Gericht führte weiter an, dass die Verarbeitung der Browser-Verlaufsdaten und der E-Mails auf Grundlage von § 32 Abs. 1 BDSG aF / § 26 Abs. 1 BDSG nF zulässig sei:

„Vorliegend gestattet § 32 Abs. 1 BDSG aF / § 26 Abs. 1 BDSG nF der Beklagten sowohl Erhebung und Verarbeitung (Speicherung) der bei Internetnutzung entstehenden Verlaufsdaten in der Browserchronik und der E-Mails, als auch deren spätere Nutzung (Auswertung), auch im vorliegenden Prozess.

Hiernach dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für seine Durchführung oder Beendigung erforderlich ist.

Dass die Beklagte die ausgewerteten personenbezogenen Daten im Kündigungsschutzprozess auch als Beweismittel nutzen wollte, diente zudem der Beendigung des Beschäftigungsverhältnisses “

Dass der Kläger bei der Auswertung nicht hinzugezogen wurde, sei dabei unerheblich. Zwar erhöhe die Heimlichkeit einer in Grundrechte eingreifenden Maßnahme typischerweise das Gewicht der Freiheitsbeeinträchtigung, so heißt es in einer Urteilsbegründung des BAG. Demzufolge sei eine in Anwesenheit des Klägers durchgeführte Schrankkontrolle gegenüber einer heimlichen Durchsuchung das mildere Mittel, da die Kontrolle in seinem Beisein dem Kläger die Möglichkeit gebe, auf die Art und Weise der Durchführung Einfluss zu nehmen.

Im vorliegenden Fall stelle eine in Anwesenheit des Klägers durchgeführte Auswertung der Log-Dateien der Internet-Browser sowie der E-Mails jedoch kein milderes Mittel gegenüber der ohne Hinzuziehung des Klägers erfolgenden Auswertung dar. Die Art und Weise der Auswertung wäre auch bei Anwesenheit des Klägers keine andere gewesen, so führte das Gericht weiter aus.

Besteht also ein ausdrückliches Verbot für die private Internetnutzung während der Arbeitszeit, stellt eine Zuwiderhandlung einen Verstoß gegen die arbeitsvertraglichen Pflichten dar. In diesem Zusammenhang sollten sich Unternehmen verdeutlichen, welche Folgen es haben kann, wenn die betriebliche Internet- und E-Mailnutzung nicht klar geregelt ist. Sofern nichts geregelt ist oder eine Privatnutzung sogar erlaubt ist, kann eine Protokollierung wie sie in diesem Fall erfolgt ist, schnell zu einem Datenschutz-Problem werden.

Auch bei einer Erlaubnis der Privatnutzung sind ebenfalls klare Regeln nötig, um den dienstlichen Datenverkehr im Rahmen der datenschutzrechtlichen Möglichkeiten überwachen zu können. In jedem Fall ist dazu geraten, die Privatnutzung der IT-Systeme zu regeln, sei es durch ein ausdrückliches Verbot oder eine Erlaubnis. Bei der Formulierung einer solchen Richtlinie sollte der Datenschutzbeauftragte sowie ggf. auch der Betriebsrat einbezogen werden.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat eine Neuauflage des Ratgebers „Wie sicher ist dein Smartphone?“ veröffentlicht. Der Ratgeber richtet sich an Jugendliche und Heranwachsende und erklärt leicht verständlich, welche Gefahren beim Umgang mit dem Smartphone für die Privatsphäre drohen und mit welchen Tipps Nutzerinnen und Nutzer sich bestmöglich schützen können.

Die handliche Broschüre behandelt in kurzen übersichtlichen Kapiteln bekannte Gefahren, z. B. Smartphone-Viren, Spionage und Datenklau, und erklärt zudem weniger offensichtliche Risikofelder wie die Erstellung von Bewegungsprofilen oder die Nutzung unverschlüsselter WLAN-Hotspots. Darüber hinaus finden sich in dem Ratgeber nützliche Hinweise dazu, wie man persönliche Informationen datenschutzgerecht löscht, bevor ein Telefon entsorgt oder weggegeben wird, und wie wichtige Daten richtig gesichert werden können.

Der in der Vergangenheit stark nachgefragte Ratgeber wurde erstmalig im Jahr 2008 veröffentlicht und ist nun in der 3. aktualisierten und ergänzten Auflage kostenfrei erhältlich. Er kann als gedruckte Ausgabe bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit angefragt und digital unter _https://www.datenschutz-berlin.de/infothek-und-service/veroeffentlichungen/informationsmaterialien/_ abgerufen werden.

Aktiv zustimmen oder nur nicht widersprechen? Für das Setzen von Cookies im Internet hat der BGH eine Unklarheit zwischen deutschem und europäischen Gesetzestext ausgeräumt.

Cookies sind allgegenwärtig im Internet. Wer sie auf seinen Internetseiten setzen will, braucht nach einem Urteil des Bundesgerichtshofs (BGH) vom Donnerstag aber in jedem Fall die aktive Zustimmung der Nutzer. Konkret ging es um den Streit zwischen Planet49, einem Anbieter von Online-Gewinnspielen, und dem Bundesverband der Verbraucherzentralen. Ein voreingestellter Haken im Feld zur Cookie-Einwilligung benachteilige den Nutzer unangemessen.

Der Senat habe für seine Entscheidung das deutsche Telemediengesetz (TMG) mit seiner Widerspruchsregelung nach den Vorgaben der seit 2018 geltenden EU-Datenschutzgrundverordnung (DS-GVO) ausgelegt, sagte der Vorsitzende Richter Thomas Koch. Zuvor hatten die Richter dem Europäischen Gerichtshof Fragen zur Vorabentscheidung vorgelegt. Der deutsche Gesetzgeber habe das TMG nach Einführung der DS-GVO zwar nicht überarbeitet, es sei aber klar, dass er keinen Widerspruch zum europäischen Recht sehe. (I ZR 7/16).

Cookies speichern beim Surfen im Internet Daten auf der Festplatte des Nutzers. Bei einem späteren Besuch der Webseite werden mit ihrer Hilfe die Nutzer und ihre Einstellungen wiedererkannt. Cookies werden auch dazu verwendet, Verbrauchern individuelle Werbung zu präsentieren. Wenn ein Nutzer im vorliegenden Fall das voreingestellte Häkchen nicht entfernte, stimmte er einer Auswertung seines Surfverhaltens und interessengerichteter Werbung zu.

Das Urteil des Bundesgerichtshofs sorge dafür, dass die Rechtsunsicherheit für Unternehmen erheblich reduziert werde. Denn endlich ist klar, was in Sachen Cookies erlaubt ist und was nicht. Gleichzeitig steige mit sofortiger Wirkung auch das Abmahn- und Haftungsrisiko bei Verstößen – etwa, wenn Unternehmen nicht sofort handeln und ihre Webseiten und Apps nicht anpassen.

Der Verband der Internetwirtschaft (eco) begrüßte die BGH-Entscheidung. »Das Urteil gibt Unternehmen und Nutzern endlich Klarheit und Rechtssicherheit im Umgang mit Cookies«, sagte Eco-Geschäftsführer Alexander Rabe.

Der Branchenverband Bitkom kritisierte dagegen das Urteil scharf. Es treffe die Webseitenbetreiber schwer und es nerve viele Internetnutzer, erklärte Bitkom-Hauptgeschäftsführer Bernhard Rohleder. Alle Cookies, die als nicht unbedingt erforderlichen gelten, dürften jetzt nur noch mit aktiver Einwilligung gesetzt werden. »Welche Cookies damit gemeint sind, bleibt jedoch unklar. Dieser Unsicherheit wird für alle Seiten zu höheren Aufwänden führen.« Für Internetnutzer entstehe mit dem BGH-Urteil ein weiterer Komfortverlust: »Sie müssen häufiger Banner wegklicken oder Häkchen setzen, bevor sie die gewünschten Inhalte sehen.« Dabei dienten Cookies den Webseitenbetreibenden und Usern gleichermaßen, etwa bei Warenkörben in Online-Shops oder um das Webseitenerlebnis für Nutzer zu verbessern.

„Datenschutz by Design“ – dafür setzt sich das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) seit Jahrzehnten ein. Bisher waren Konzepte für innovative Datenschutztechnik hauptsächlich in akademischen Papieren zu finden. Obwohl die Datenschutz-Grundverordnung „Datenschutz durch Technikgestaltung“ fordert, finden die Ideen bisher nur selten den Weg in die Praxis. Für die Contact-Tracing-App ist „Datenschutz by Design“ möglich – und auch nötig.

Weltweit wird zurzeit als einer von vielen Bausteinen zur Pandemie-Bekämpfung das „Contact Tracing“ diskutiert, um Menschen zu warnen, die sich mit dem neuartigen Corona-Virus angesteckt haben könnten. Damit soll per App auf dem Smartphone mitgespeichert werden, wenn Nahkontakte mit anderen Menschen bestanden, die ebenfalls eine solche App einsetzen. Stellt sich später heraus, dass bei solchen Begegnungen eine der beteiligten Personen infiziert war, können die anderen per App benachrichtigt werden – auch wenn man einander nicht kennt.

Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, hat sich mit den Konzepten eingehend beschäftigt: „Das Contact Tracing funktioniert wie eine Art digitales Tagebuch mit Einträgen über Nahkontakte auf dem Smartphone, die später abgeglichen werden können. Eine solche App kann in Ergänzung zu anderen Pandemie-Maßnahmen hilfreich zur Eindämmung sein. Das wird aber nur funktionieren, wenn die Nutzerinnen und Nutzer ein berechtigtes Vertrauen in die App haben können – und dafür ist ‚Datenschutz by Design‘ wesentlich. Das bedeutet zum Beispiel, dass Namen und Orte nicht gespeichert werden und alles verschlüsselt abgelegt wird. Entscheidend für ein Abschätzen des Missbrauchsrisikos ist dabei die Frage, wo die Daten beim Abgleich gespeichert sind und ob damit zusätzliche Auswertungen – bis hin zur Überwachung – ermöglicht werden.“

Grundlegend für die technische Entwicklung ist die Architektur des Systems: Die Kontaktdaten werden zunächst nur auf den Smartphones der Nutzerinnen und Nutzer gesammelt. Die Frage ist, ob Abgleich und Benachrichtigung der möglicherweise Betroffenen über einen zentralen Server realisiert werden oder ob der Abgleich dezentral in den Apps der Nutzerinnen und Nutzer geschieht und nur die Nutzenden selbst das Ergebnis erfahren.

Dieser Richtungsstreit „zentral – dezentral“ wurde besonders deutlich, als am 20.04.2020 Datenschutzforscherinnen und –forscher aus aller Welt, von denen viele an verschiedenen Entwicklungsprojekten zu Contact Tracing beteiligt sind, ihre Bedingungen an ein solches App-Design in einem offenen Brief formulierten: Insbesondere dürfe eine Contact-Tracing-App nur dem Zweck dienen, Kontakte nachzuverfolgen, und vollständige Transparenz und Datenminimierung seien zu gewährleisten. Sie betonen, dass bei mehreren Gestaltungsoptionen diejenige zu wählen sei, die Datenschutz am besten gewährleistet.

Am 21.04.2020 hat der Europäische Datenschutzausschuss (EDSA), in dem die Datenschutzaufsichtsbehörden von Bund und Ländern – auch Hansens Team – mitarbeiten, klargestellt, dass die Einhaltung von datenschutzrechtlichen Vorgaben unverzichtbar ist. Dies ist nicht zuletzt deshalb wichtig, um ein berechtigtes Vertrauen in der Bevölkerung herstellen zu können, das zwingende Voraussetzung für die Akzeptanz einer freiwilligen Lösung ist. Es gehört zu den Aufgaben der nationalen Gesetzgeber, sicherzustellen, dass diese Freiwilligkeit auch tatsächlich besteht. Personen, die eine solche Anwendung nicht nutzen wollen oder können, dürfen dadurch keinerlei Nachteile erleiden Auch muss sichergestellt sein, dass eine Verarbeitung nur für die im Vorfeld festgelegten Zwecken erfolgt. Wie bei allen anderen derartigen Maßnahmen gilt auch hier, dass eine zeitliche Befristung notwendig ist.

Weil ein App-Einsatz mit hohen Risiken für die Rechte und Freiheiten betroffener Personen verbunden ist, muss zwingend eine Datenschutz-Folgenabschätzung durchgeführt werden, deren Veröffentlichung der EDSA nachdrücklich empfiehlt. Unter den zahlreichen Bedingungen, die der EDSA aufführt, findet sich ebenso wie bei den Datenschutzforscherinnen und –forschern die Forderung nach weitestgehender Transparenz. Der Quellcode der Anwendung und des Backends müssen offen sein (Open Source); ebenso müssen die technischen Spezifikationen veröffentlicht werden, um eine Überprüfung zu ermöglichen.

Der EDSA hebt hervor, dass das Prinzip der Datenminimierung und das Prinzip des Datenschutzes by Design sorgfältig zu berücksichtigen sind. Wie bereits in seinem Schreiben an die Europäische Kommission am 14.04.2020 stellt der EDSA in diesem Zusammenhang fest, dass der Grundsatz der Datenminimierung bei einem dezentralen Ansatz besser gewahrt werde.

Dies ist auch aus Hansens Sicht wichtig: „Es gilt, das Risiko einer Identifizierung der betroffenen Personen zu minimieren – auch im Hinblick auf unbefugte Zugriffe, die bei zentralen Infrastrukturen alle Teilnehmenden betreffen würden. Das entsprechende Know-how sowie tragfähige Konzepte sind da. Diese Früchte teilweise jahrelanger Forschungsarbeit jetzt nicht zu ernten und gerade solche Konzepte nicht zu berücksichtigen, die Datenschutz durch ausgefeilte Technik in hohem Maße befördern, wäre ein großes Versäumnis.“

Hansen begrüßt die Transparenz der bisherigen Arbeiten der Datenschutzforscherinnen und –forscher: „Durch die Offenlegung von Konzepten, die ehrliche Diskussion von möglichen Risiken und Gegenmaßnahmen und die Bereitstellung von Quellcode wird es den Datenschutzaufsichtsbehörden und der interessierten Öffentlichkeit ermöglicht, die Ergebnisse zu überprüfen und weiterzuentwickeln. Wichtig ist auch, dass nicht jeder im stillen Kämmerlein an seiner eigenen Lösung strickt, sondern taugliche und datenschutzwahrende Modelle weltweit interoperabel funktionieren können. Die ersten Schritte dafür sind getan: Die ‚Datenschutz by Design‘-Expertinnen und –Experten verschiedener Projekte haben sich zusammengetan und kooperieren im Sinne einer guten Gesamtlösung mit eingebautem Datenschutz.“

Auch vom deutschen Gesundheitsministerium wünscht sich Hansen ein deutliches Bekenntnis zu ‚Datenschutz by Design‘, Datenminimierung und maximaler Transparenz.

Weiterführende Informationen:

• Europäischer Datenschutzausschuss (14.04.2020):
  EDPB Letter concerning the European Commission’s draft Guidance on apps supporting the fight against the COVID-19 pandemic
• Europäischer Datenschutzausschuss (21.04.2020):
  Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak
• Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) e. V.:
  Datenschutz-Folgenabschätzung für die Corona-App (V1.0 vom 14.04.2020, mehrere Aktualisierungen)

Datenschutzforscherinnen und –forscher zum Contact Tracing:

• Joint Statement on Contact Tracing (20.04.2020)
• „Decentralized Privacy-Preserving Proximity Tracing (DP-3T)“
• „A Global Coalition for Privacy-First Digital Contact Tracing Protocols to Fight COVID-19 (TCN Coalition)“
• „Private Automated Contact Tracing“
• „CovidSafe“

Die Informationen der Landesbeauftragten für Datenschutz zu Themen der Corona-Pandemie werden unter dem folgenden Link bereitgestellt und regelmäßig aktualisiert:

https://www.datenschutzzentrum.de/corona/