Ab 2018 können Nutzer ihre Daten von einem Anbieter zu einem anderen mitnehmen – von einem sozialen Netzwerk zum anderen; von einer Versicherung zur nächsten. Neben diesen naheliegenden Möglichkeiten sind auch noch viele andere Datentransfers denkbar. Was nach großer Freiheit für Verbraucher und nach einer Chance klingt, bestehende Monopole im Digitalmarkt aufzubrechen, kann allerdings auch Risiken mit sich bringen.

Zu diesem Ergebnis kommt eine aktuelle Studie der vom Bund gegründeten Stiftung Datenschutz. Denn für die Umsetzung des Rechts auf Datenübertragbarkeit brauchen Wirtschaft und Verbraucher noch Präzisierung und Aufklärung. Die Studienautoren zeigen auf, dass ansonsten Datenschutzrisiken drohen oder das neue Schutzinstrument ins Leere laufen kann.

Link zur Meldung

• Onlinespiele auf Facebook dürfen nicht so präsentiert werden, dass Verbraucher beim Anklicken des Buttons „Spiel spielen“ ohne nähere Informationen in die Weitergabe ihrer Daten einwilligen.
• Die Berechtigung der Spiele-App-Betreiber zum „Posten“ eigener Inhalte über das Facebookprofil des Nutzers ist intransparent.
• Ausschlaggebend dafür, welches Datenschutzrecht gilt, ist die Tätigkeit von Facebook in Deutschland.

---

Facebook darf personenbezogene Daten seiner in Deutschland lebenden Nutzer nicht ohne deren wirksame Einwilligung herausgeben. In Facebooks App-Zentrum, in dem Computerspiele von Drittanbietern angeboten werden, wurden Nutzer nicht ausreichend über Umfang und Zweck der Datenweitergabe informiert. Das hat das Kammergericht nach einer Klage des Verbraucherzentrale Bundesverbands (vzbv) entschieden.

„Facebook muss besser darüber informieren, was Drittanbieter auf seiner Webseite mit den Daten der Nutzerinnen und Nutzer anstellen“, sagt Heiko Dünkel, Rechtsreferent beim vzbv. „Es kann nicht sein, dass Spieleanbieter ohne jegliche Einschränkung im Profil des Nutzers Beiträge posten können.“

In seinem App-Zentrum bietet Facebook seinen Kunden die Möglichkeit, kostenfreie Spiele von anderen Anbietern zu spielen. Dort war im November 2012 unter anderem das Spiel „The Ville“ verfügbar. Unter dem Button „Sofort spielen“ wurden Hinweise zur Weitergabe von personenbezogenen Daten des Nutzers angezeigt. So sollten mit Beginn des Spiels die E-Mail-Adresse, Statusmeldungen und weitere Informationen über den Nutzer an den Betreiber des Spiels übermittelt werden. Angaben über den Zweck der Datenverarbeitung fehlten. Bei drei weiteren Spielen wurden vergleichbare Informationen angezeigt. So hieß es beim Spiel „Scrabble“: „Diese Anwendung darf Statusmeldungen, Fotos und mehr in deinem Namen posten.“

„Die bereitgestellten Informationen waren in keinem Fall geeignet, eine informierte und freiwillige Einwilligung der Nutzer in die Weitergabe ihrer personenbezogenen Daten einzuholen.“, so Dünkel. Damit verstoße Facebook gegen deutsches Datenschutzrecht.

Informationen für Datenweitergabe nicht ausreichend

Das Berliner Kammergericht stellte klar, dass deutsches Datenschutzrecht trotz des irischen Unternehmenssitzes anwendbar sei. Hierzu genüge, dass Facebook sein Angebot auch an deutsche Nutzer richte und in Hamburg eine für die Förderung des Anzeigengeschäfts zuständige Schwestergesellschaft der Beklagten unterhalte.

Die erforderliche Einwilligung in die durch Facebook angekündigte Weitergabe der Daten lag nach Auffassung des Gerichts nicht vor, denn die bereitgestellten Informationen reichten nicht aus, um eine freie und informierte Entscheidung der Nutzer über die begehrte Generaleinwilligung herbeizuführen. Die ebenfalls beanstandete Berechtigung zum Posten im Namen des Verbrauchers hielten die Richter für zu unbestimmt, denn die nach der Klausel möglichen Posts seien für Verbraucher in Zahl und Inhalt nicht absehbar. Selbst Werbung für sexuell anzügliche Produkte sei von der Formulierung abgedeckt. Die Vertragsbestimmung verstoße daher gegen das AGB-rechtliche Transparenzgebot sowie gegen Datenschutzvorschriften.

Mit seinem Urteil bestätigte das Kammergericht die Rechtsauffassung der Vorinstanz. Gegen die Entscheidung des Landgerichts Berlin hatte Facebook 2014 Berufung eingelegt. Wegen der grundsätzlichen Bedeutung des Falls hat das Kammergericht die Revision zum Bundesgerichtshof zugelassen.

Der Sächsische Landesdatenschutzbeauftragte Andreas Schurig hat in seinem aktuellen Tätigkeitsbericht auf die Pflicht zur Verschlüsselung bei E-Mails von Berufsgeheimnisträgern (Apotheker, Ärzte und Rechtsanwälte, …) hingewiesen, wenn diese sensible personenbezogene Daten enthalten.

Laut Schurig ist insbesondere das Versenden von Gesundheitsdaten per unverschlüsselter E-Mail rechtlich unzulässig, da es sich hierbei um besondere Arten von personenbezogenen Daten i.S.v. § 3 Abs. 9 BDSG handelt. Dies würde nicht den Anforderungen der Nr. 4 der Anlage zu § 9 BDSG entsprechen. Danach muss gewährleistet sein, dass personenbezogene Daten bei der elektronischen Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Schurig begründet dies mit der Tatsache, dass eine unverschlüsselte E-Mail von allen an der Übertragung beteiligten Stellen problemlos mitgelesen werden kann und nicht dem aktuellen Stand der Technik entsprechen.

Für die in § 203 Strafgesetzbuch (StGB) genannten Berufsgeheimnisträger wie z.B. Apotheker, Ärzte und Rechtsanwälte kann dies laut Schurig auch zu einer Strafbarkeit wegen der Verletzung von Privatgeheimnissen führen. § 203 StGB schütze die Individualinteressen Betroffener in besonderer Weise dadurch, dass er Geheimnisträgern wie z.B. Rechtsanwälten, denen Betroffene im Rahmen der Mandatserteilung regelmäßig Geheimnisse anvertrauen, für den Fall der Verletzung ihrer Geheimhaltungs- und Verschwiegenheitspflichten entsprechende Strafen androht. Wegen des hohen Schutzbedarfs der Kommunikationsinhalte sei daher in jedem Fall eine Verschlüsselung des E-Mail Verkehrs erforderlich.

Soweit die rechtliche Theorie. In der Realität ist dieses Problembewusstsein jedoch noch nicht verbreitet genug. Die Nutzung einer Verschlüsselungslösung wird oft aufgrund des vermeintlich hohen Aufwands und den Kosten nicht in Erwägung gezogen. Tatsächlich hält sich beides aber mittlerweile in Grenzen und bei einer modernen Softwarelösung verschickt der Anwender seine E-Mails ganz normal ohne zusätzlichen Aufwand. Der Knackpunkt ist, dass auch der Empfänger die Verschlüsselung einsetzen muss damit das Ganze funktioniert. Letztlich scheitert daran die verschlüsselte Kommunikation oftmals in der Praxis.

Berufsgeheimnisträger sollten sich daher auf sichere Kommunikationswege wie Post oder Fax beschränken, wenn sie keine E-Mail Verschlüsselung nutzen können. Falls es in dieser Ausgangslage doch einmal notwendig sein sollte, eine E-Mail mit sensiblen Daten zu verschicken, sollte man diese in einer verschlüsselten und passwortgeschützten Zip-Datei verschicken. Dabei muss man natürlich ein ausreichend starkes Passwort verwenden. Dieses lässt man dann dem Empfänger durch ein anderes, sicheres Kommunikationsmittel (z.B. am Telefon) zukommen.

Bislang bewegten sich Betreiber von öffentlichen Hotspots in Deutschland in einer rechtlichen Grauzone. Das neue WLAN-Gesetz soll hier Sicherheit schaffen.

Am Freitag, zwei Tage vor der Bundestagswahl befasst sich der Bundesrat ein letztes Mal mit dem neuen WLAN-Gesetz, das eine bessere rechtliche Grundlage für Anbieter öffentlicher Hotspots schaffen soll. Vom Bundestag war es bereits Ende Juni beschlossen worden. Da die Zeit vor der parlamentarischen Sommerpause zu knapp war, befasst sich der Bundesrat am kommenden Freitag abschließend damit. Bereits im Mai hatten sich die Länder in einer Stellungnahme sehr zufrieden mit den Regierungsplänen gezeigt.

Von öffentlichen Hotspots profitieren viele Menschen. Betreiber von Cafés, Hotels oder Restaurants wollen damit zudem ihren Kunden mit einem komfortablen Zugang zum Internet einen zusätzlichen Service bieten. Doch lange rangierte Deutschland im europäischen Ländervergleich weit hinten. Der Grund: Anbieter öffentlicher Hotspots – ob privat oder gewerblich – gerieten schnell in eine rechtliche Grauzone. Wenn ein Nutzer die Leitung missbrauchte, um illegal Inhalte herunterzuladen, drohten dem Anbieter wegen der sogenannten Störerhaftung bislang teure Abmahnungen. Mit der Änderung des Telemediengesetzes sollte rechtliche Klarheit geschaffen werden.

Die Störerhaftung wird unter anderem im Bürgerlichen Gesetzbuch (BGB) geregelt. Danach kann jemand zur Verantwortung gezogen werden, wenn er an der Verletzung eines geschützten Gutes beteiligt ist, ohne selbst Täter zu sein. In der Vergangenheit wurde sie vielfach bei Urheberrechtsverletzungen im Internet bemüht. Wer etwa auf seiner Website auf geschützte Inhalte verlinkt, kann sich damit strafbar machen. Auch Betreiber von Auktionsplattformen können in die Haftung genommen werden, wenn sie zum Beispiel gefälschte Markenprodukte oder Plagiate vertreiben. Auch auf Anbieter von öffentlichen Hotspots wurde sie bei Missbrauch durch Dritte angewandt.

Das vom Wirtschaftsminister Anfang 2015 auf den Weg gebrachte WLAN-Gesetz sollte Hotspot-Betreibern eine klare rechtliche Grundlage verschaffen. Doch bereits der erste Entwurf geriet prompt ins Fadenkreuz der Kritik. Er sah noch vor, dass Betreiber eine Reihe von Auflagen erfüllen sollten. So sollten gewerbliche Anbieter ihre Router verschlüsseln und von den Nutzern schriftlich zusichern lassen, dass sie keine Rechtsverletzungen planen. Kritiker sahen darin unrealistische und alltagsuntaugliche Hürden, die eine Verbreitung öffentlicher Hotspots eher behindern als fördern würden.

Verbände und Verbraucherschützer übten harsche Kritik und äußerten die Befürchtung, dass durch das Gesetz neue Rechtsunsicherheiten für die Betreiber festgeschrieben werden. Im Bundesrat forderten schließlich mehrere Länder deutliche Korrekturen. Zu viele «interpretationsbedürftige Einschränkungen» sowie Unklarheiten seien dort enthalten. Und die Störerhaftung sei auf Grundlage der Formulierungen nicht vom Tisch.

Sind alle Zweifel nun ausgeräumt?

Mit der im Juni im Bundestag beschlossenen Fassung des WLAN-Gesetzes sollten schließlich alle umstrittenen Punkte entfernt und die Störerhaftung endgültig passé sein. Weder eine Verschlüsselung, noch eine Vorschalt-Seite zur Registrierung der Nutzer ist mehr vorgesehen. Auch der Europäische Gerichtshof bekräftigte zuvor in einem Urteil im September 2016, dass Betreiber nicht bei Urheberrechtsverletzungen anderer haften. Bei konkreten Missbrauchsfällen sollen sie laut Urteil des EuGH jedoch dazu verpflichtet werden können, den Zugang per Passwort zu sichern.

Seit Mai 2016 ist die endgültige Fassung der Datenschutz-Grundverordnung (DS-GVO) verabschiedet und veröffentlicht. Unternehmen haben nun bis zum 25. Mai 2018 Zeit, die neuen datenschutzrechtlichen Anforderungen umzusetzen. Denn dann gilt die Verordnung unmittelbar in allen EU-Mitgliedsstaaten und löst die bisherigen nationalen Regelungen und EU-weiten Richtlinien ab. Welche Maßnahmen Unternehmen bis dahin ergreifen sollten, zeigt der folgende Beitrag.

1. Der Status quo

In einem ersten Schritt sollte eine Bestandsaufnahme der vorhandenen datenschutzrechtlich relevanten Prozesse durchgeführt werden, um zu sehen an welchen Stellen das Unternehmen überhaupt Änderungsbedarf hat. Dann kann im Rahmen dieser sogenannten GAP-Analyse geklärt werden, auf welchem Stand sich der Datenschutz im Unternehmen befindet.

Auf Grund der daraus resultierenden Feststellungen kann dann geprüft werden, inwieweit der Ist-Zustand von den Anforderungen der DS-GVO abweicht. Anschließend sollte ein geeigneter Fahrplan für die verbleibende Umsetzungszeit festgelegt werden. So lässt sich systematisch mit entsprechenden Maßnahmen nach und nach der gewünschte Soll-Zustand erreichen.

2. Verfahrensverzeichnisse aufbauen

Das Verzeichnis von Verarbeitungstätigkeiten nach der DS-GVO ist im Grundsatz nichts anderes, als das altbekannte Verfahrensverzeichnis nach §§ 4g Abs. 2, 4e BDSG. Es handelt sich also um eine Dokumentation und Übersicht über Verfahren, bei denen personenbezogene Daten verarbeitet werden.

Die Pflicht ein solches Verfahrensverzeichnis zu führen trifft sowohl den Verantwortlichen als auch den Auftragsverarbeiter. Inhaltlich werden aber geringere Anforderungen an das Verfahrensverzeichnis eines Auftragsverarbeiters gestellt. Aus Art. 30 Abs. 5 DSGVO ergeben sich auch Ausnahmen für die Erstellung eines Verfahrensverzeichnisses: Die Pflicht zur Führung gilt zum Beispiel dann nicht, wenn der Verantwortliche oder Auftragsverarbeiter weniger als 250 Beschäftigte hat und „die von ihnen vorgenommene Verarbeitung nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt“ oder die Verarbeitung keine besonders sensiblen Datenkategorien oder strafrechtlich relevanten Daten betrifft.

3. Pflicht statt Kür – das Datenschutz-Management-System

Die DS-GVO verpflichtet Unternehmen zudem ein Datenschutz-Management-System einzuführen. Zentrale Normen sind hier Art. 5 und Art. 24 DS-GVO, aus denen sich eine Nachweis- und Rechenschaftspflicht für Unternehmen ableitet. Künftig müssen Unternehmen nämlich nicht nur sicherstellen, dass datenschutzrechtliche Vorgaben eingehalten werden, sondern sie müssen dies auch nachweisen können.

Gleiches gilt auch im Bereich Datensicherheit – denn auch hier bedarf es eines Nachweises, dass „geeignete technische und organisatorische Maßnahmen“ eingesetzt werden, die dem Schutz der betroffenen Personen dienen. Im Klartext heißt das, dass künftig Dokumentationen etwa aus den Bereichen:

• Datenschutzorganisation und Verantwortlichkeit für Datenverarbeitungen
• Einbindung des Datenschutzbeauftragten (Fälle, in denen Mitarbeiter sich an den Datenschutzbeauftragten wenden sollten)
• Verzeichnis von Verarbeitungstätigkeiten (an welchen Stellen liegen personenbezogenen Daten im Unternehmen vor?)
• Datenschutz-Folgenabschätzung, Art. 35 DS-GVO (wie Vorabkontrolle nach § 4d Abs. 5 BDSG beim Umgang mit sensiblen Daten)
• Vertragsmanagement (welche Dienstleister werden eingesetzt?)
• Datenschutz-Schulung und Verpflichtung auf das Datengeheimnis
• Prozess zur Wahrnehmung von Betroffenenrechten
• Meldung von Datenschutzverstößen
• Nachweis der Datensicherheit (Umsetzung von technischen und organisatorischen Maßnahmen) angelegt und gepflegt werden sollten.

Ein DMS kann zwar bei unbeabsichtigten Datenschutzverstößen nicht mit Sicherheit den Vorwurf der Fahrlässigkeit entfallen lassen, ist jedoch nach Art. 83 Abs. 2 d) DS-GVO zumindest bußgeldmindernd zu berücksichtigen. Zudem ermöglicht ein effizientes System eine schnelle Reaktion des Unternehmens, falls es tatsächlich zu Datenschutzverstößen kommt.

4. Zulässigkeit der Datenverarbeitung

Des Weiteren ist auch zu überprüfen, ob die Verarbeitung und Nutzung personenbezogener Daten mit der erforderlichen Erlaubnis erfolgt. Daher sollten die Rechtsgrundlagen und Einwilligungen überprüft werden. In Betracht kommen die Artikel 6 bis 11 DS-GVO. Aus Art. 7 DS-GVO ergeben sich die Bedingungen, unter denen eine Einwilligung künftig rechtskonform sein wird:

• Freie Entscheidung des Betroffenen
• Ausführliche, erkennbare und bestimmte Information des Betroffenen
• Schriftform der Einwilligungserklärung
• Widerruflichkeit der Einwilligungserklärung

Eine Neuerung ergibt sich im Bereich der Einwilligung von Minderjährigen unter 16 Jahren (bzw. unter 13 Jahren wenn das nationale Recht dies vorsieht). Diese sollen generell nur wirksam sein, wenn und insoweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird (Art. 8 Abs. 1 DS-GVO).

5. Informationspflichten

Informationspflichten bei Datenerhebung und -verarbeitung sind fester Bestandteil des Datenschutzrechts. Unter der DS-GVO vervielfachen sich jedoch die von Unternehmen und Verantwortlichen zu berücksichtigenden Pflichten in Bezug auf die Information von Betroffenen. Maßgebliche Normen sind hier Art. 13 und 14 DS-GVO. Nach Art. 13 DS-GVO sind insbesondere die folgenden Informationen dem Betroffenen in präziser, transparenter, verständlicher und leicht zugänglicher Form zu erteilen:

• Identität des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten
• Verarbeitungszwecke und Rechtsgrundlagen
• Berechtigtes Interesse
• Empfänger der Daten
• Übermittlung der Daten in Drittstaaten
• Dauer der Speicherung
• Betroffenenrechte
• Widerrufbarkeit von Einwilligungen
• Beschwerderecht bei der Aufsichtsbehörde
• Verpflichtung zur Bereitstellung personenbezogener Daten
• Automatisierte Entscheidungsfindung und Profiling

Aus Art. 14 DS-GVO ergibt sich, dass nahezu dieselben Informationspflichten bestehen, wenn die Daten nicht beim Betroffenen selbst erhoben werden.

Rechtzeitiges Handeln zahlt sich aus

Das eher stiefmütterlich behandelte Thema Datenschutz darf künftig nicht auf die leichte Schulter genommen werden. Denn der europäische Gesetzgeber hat sich entschieden, die Bußgelder für Datenschutzverstöße drastisch zu erhöhen, auch um dadurch eine abschreckende Wirkung zu erzielen. Während aktuell nach dem BDSG gerade mal Geldbußen von bis zu 300.000 Euro je Verstoß verhängt werden können, sieht die DS-GVO als Obergrenze 4 % des globalen Konzernumsatzes des Vorjahres vor. Wenn sich Unternehmen jetzt bereits mit den kommenden Änderungen vertraut machen, kann vieles in die richtige Richtung gelenkt werden und so späteres Nacharbeiten oder sogar wirtschaftliche Einbußen vermieden werden.