Schlagwort-Archive: Einwilligung

Stirbt Active Sourcing unter der ePrivacy Verordnung? – Active Sourcing und Talent Relationship Management (TRM) unter der Datenschutzgrundverordnung II – Teil 10 zur EU-DSGVO

Fast zwei Monate ist es her, dass hier der Artikel Active Sourcing und Talent Relationship Management (TRM) unter der DSGVO I erschien. Dort erläuterten wir, wie sich die Rechtslage hinsichtlich der Kandidatensuche und der Anlage eines Kandidatenpools ab 2018 gestaltet und welchen (erweiterten) Dokumentations- und Informationspflichten Unternehmen spätestens dann nachkommen müssen.

Nun, ein paar sehr arbeitsintensive Wochen und einen phantastischen – natürlich 😉 viel zu kurzen – Urlaub später geht es heute um die rechtlichen Fragen der Kandidatenansprache im Hinblick auf die Änderungen, die uns 2018 erwarten. Das sind – leider – weder kleine Änderungen noch sehr angenehme und das hat vor allem mit der schon im Titel genannten ePrivacyVO zu tun. Man könnte sagen, es wird eher dunkel.

Doch der Reihe nach.

Weiterlesen

Datenschutzbehörden bewerten Einsatz von Skype und zeitversetzten Video-Interviews in Personalauswahlverfahren grundsätzlich als unzulässig

Ja, Sie haben leider richtig gelesen. Doch bei allem Schrecken, ich verspreche Ihnen, am Ende des Tunnels ist noch Licht. Oder vielmehr leuchtet in diesem Artikel zuweilen (etwas mehr als) der Silberstreif am Horizont.

Nun aber von vorne und der Reihe nach:

Die Datenschutzbehörden NRW und die Datenschutzbehörde Berlin haben ihre sogenannten „Tätigkeitsberichte“ für 2016 veröffentlicht. In diesen Tätigkeitsberichten berichten die Behörden, nicht sehr überraschend, über ihre Tätigkeit im vergangenen Jahr. Etwa wie sie bestimmte Verhaltensweisen, Arbeitsprozesse oder eingesetzte Tools im öffentlichen Bereich (Behörden) oder nicht-öffentlichen Bereich (Unternehmen) geprüft und beurteilt haben.

In beiden Tätigkeitsberichten wird auch zum Thema Beschäftigtendatenschutz Stellung genommen, dabei unter anderem zu den Themen „Bewerbungsgespräche über Skype“ und „videobasierte zeitversetzte Interviews„. Darum soll es dann auch hier im Folgenden gehen. Weiterlesen

Der Entwurf zur E-Privacy-Verordnung, das Verhältnis zur DSGVO und seine Bedeutung für die Praxis

Mitautor: Christian Frerix

Es dürfte sich mittlerweile herumgesprochen haben, dass die EU-Datenschutzgrundverordnung (DSGVO) ab Mai 2018 für die Regelung des Datenschutzes in ganz Europa maßgeblich sein wird. Unternehmen beschäftigen sich daher intensiv mit den bevorstehenden Änderungen und Neuerungen, die diese mit sich bringt. Oder sollten sich zumindest damit beschäftigen, da es ja nun nicht mehr lange hin ist, bis diese gelten. Aber das wissen unsere treuen Blogleser(innen) ja alles schon aus der – bereits siebenteiligen – Beitragsserie zur DSGVO hier im Blog. Als wäre diese Umstellung nicht schon herausfordernd genug, hat die EU-Kommission im Januar 2017 den Entwurf einer weiteren Verordnung zur Regelung des Datenschutzes in Europa veröffentlicht. Konkret geht es dabei um die „Verordnung über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG“ (kurz: E-Privacy-Verordnung oder hier einfach nur „Entwurf“). Was es damit auf sich hat und wie Unternehmen damit umgehen sollten, erläutern wir in den folgenden Zeilen.

Oh je…noch eine EU-Verordnung zum Thema Datenschutz!?

Weiterlesen

Die EU-Datenschutzgrundverordnung (EU-DSGVO) ist da! – Worauf müssen sich Unternehmen einstellen? – Teil 3

Mitautor: Christian Frerix*

Die grundlegenden Voraussetzungen der Datenverarbeitung nach der DSGVO – Von Einwilligungen und Erlaubnistatbeständen

Mit großen Schritten stapft die DSGVO auf Europa zu. Seit Mai 2016 ist sie in Kraft. Ab Mai 2018 wird sie ihre Wirkung über den Kontinent entfalten. Ach? Das sagten wir schon mal? Stimmt. In Teil 1 und Teil 2 unserer kleinen Serie zur europäischen Datenschutzgrundverordnung (DSGVO).

Nachdem in Teil 1 der grundlegende Aufbau des neuen (unmittelbar wirkenden) Gesetzes erläutert wurde und wir uns in Teil 2 den wichtigsten Begriffen der DSGVO zugewendet hatten, stellen wir hier nun die Grundprinzipien vor, auf denen der Datenschutz in Europa künftig fußt.

Das heißt, wir gucken uns heute an, unter welchen Voraussetzungen eine Datenverarbeitung nach der DSGVO künftig möglich sein wird.

Voraussetzungen? Grundprinzipien? Datenschutz? Ja, ja, ich kann ihre Gedanken lesen. Heimlich drücken Sie gerade das Kotz-Emoj. (Erwischt! Ich weiß.) Auch wenn Ihnen per se Spannenderes einfällt, als den Ausführungen einer Anwältin zu den Voraussetzungen einer rechtmäßigen Datenverarbeitung nach der DSGVO zu lauschen/lesen, ist das dennoch sehr empfehlenswert. Schließlich sind Sie bzw. Ihr Unternehmen sowie alle Datenverarbeiter im europäischen Raum an diese Verordnung gebunden. Und wenn Sie sich nicht dran halten, dann erwarten Sie – je nach dem gegen welche Norm Sie verstoßen haben – Bußgelder in Höhe von bis zu 10 000 000 Euro bzw. bis zu 2 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres  gemäß Art. 83 Abs. 4 DSGVO oder in Höhe von bis zu 20 000 000 Euro bzw. bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres gemäß Art. 83 Abs. 5 DSGVO (siehe dazu bereits Teil 2).

Ja, das sind Summen, da bilden die meisten Unternehmen nicht „mal eben“ eine Rückstellung für. Also, vielleicht doch weiterlesen…

Weiterlesen

Aus, aus, aus! Safe Harbor ist aus! – Zur Entscheidung des EuGH C-362/14 – Schrems

Alea iacta est. Der Gerichtshof der europäischen Union (EuGH) hat die Entscheidung der Kommission, dass die USA ein angemessenes Schutzniveau übermittelter personenbezogener Daten gewährleisten („Safe Harbor“ ), für ungültig erklärt.

Es rummst gerade und zwar gewaltig.

Die wenigsten haben bis jetzt die Urteilsgründe der Entscheidung EuGH C-362/14 gelesen (ich auch noch nicht habe es bislang auch nur überflogen). Und so bleibt zunächst einmal abzuwarten, was eine Analyse desselben ergibt bzw. welche Konsequenzen das Urteil im Einzelnen letztlich tatsächlich haben wird. Fest steht jedoch schon jetzt: Es werden nicht keine sein.

Nach der Pressemitteilung des EuGH genügt das Safe Harbour insoweit nicht europäischen Datenschutzstandards, als dieses Abkommen (ungerechtfertigte) Eingriffe in die Grundrechte von Personen seitens von Behörden (insb. NSA & Co) ermöglicht und vor allem, weil dem Betroffenen keine Rechtsbehelfe gegen derartige Eingriffe zur Verfügung stehen. Folglich sei die Entscheidung der Kommission, dass „dass die USA ein angemessenes Schutzniveau gewährleistet“ ungültig. Und damit steht Safe Harbor vor dem aus.

Das ist die sehr verkürzte Darstellung der ebenfalls bereits die Urteilsgründe stark vereinfachenden Pressemitteilung des EuGH, aber so im Wesentlichen die Begründung.

Diese Entscheidung hat nicht nur für amerikanische, sondern vor allem auch für europäische und damit deutsche Unternehmen Brisanz. Hier trifft es wiederum ganz besonders solche, die auf Dienstleistungen von US-Unternehmen angewiesen sind (Gretchenfrage: Wer ist das nicht?!) und/oder die selbst etwa übergreifende (personenbezogene) Big Data Analysen, CRMs (Customer-Relationship-Management-Tools) oder Webmonitoring nutzen oder anbieten.

Das Ende der (Daten-)Welt?

Und jetzt? Das Ende der Welt? Facebook und Twitter down? Apple vor dem aus?  Wohl kaum. Die EU und USA müssen sich jetzt unmittelbar an ein neues Abkommen setzen, das wissen beide Seiten. Doch bis hier etwas steht, werden noch ein paar Tage *hust ins Land gehen. Und es gibt – neben Safe Harbor – durchaus Möglichkeiten datenschutzkonform Datentransfer zwischen den USA und Europa zu betreiben.

Schließlich war es schon immer so gewesen, dass nach § 4c Abs. 1 Nr. 3 BDSG die Übermittlung an andere Stellen, auch wenn bei ihnen ein angemessenes Datenschutzniveau nicht (!) gewährleistet ist, zulässig ist, sofern

  1. der Betroffene seine Einwilligung gegeben hat oder
  2. die Übermittlung für die Erfüllung eines Vertrags zwischen dem Betroffenen und der verantwortlichen Stelle oder zur Durchführung von vorvertraglichen Maßnahmen, die auf Veranlassung des Betroffenen getroffen worden sind, erforderlich ist oder
  3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll […].

Das heißt, wenn der betroffene seine konkrete, bewusste und ausdrückliche Einwilligung gemäß der Anforderungen von § 4a BDSG gegeben hat, ist (fast) alles möglich. (Es ist aber durchaus nicht ganz einfach hier den Anforderungen zu genügen).

Ferner dürfen zur Vertragserfüllung weiterhin Daten ausgetauscht werden. Da dieses „Problem“ nun auch wahrlich kein Einzelfall ist, hält die EU Standard-Vertragsklauseln vor, nach bzw. mit denen der Transfer von personenbezogenen Daten zwischen den Parteien rechtskonform geregelt werden kann.

Last but not least, es gibt weiter die Möglichkeit für international aufgestellte Konzerne sich „betriebseigene“ verbindliche Regelungen zum Umgang mit personenbezogenen Daten – auf Basis von EU-Vorgaben – zu schaffen, diese Regelungen werden zumeist unter dem Schlagwort „Binding Corperate Rules“ abgehandelt (klingt ja auch gleich viel besser!). Auch hier steht der Konzern nicht alleine dar, die EU, bzw. konkret die Artikel 29 Datenschutzgruppe gibt hier mit dem Arbeitsdokument mit einer Übersicht über die Bestandteile und Grundsätze verbindlicher unternehmensinterner Datenschutzregelungen freundlicher Weise eine Handreichung (Obacht! Aus 2008. Im Zweifel mal genauer hingucken!).

Fazit (vorerst)

Safe Harbor ist aus. Das Spiel aber natürlich nicht. Es gab und gibt Wege legal mitzuspielen. Nur sind die jetzt etwas umständlicher geworden. Den Datenschutz schlicht zu ignorieren (ja, das tun immer noch relativ viele Unternehmen relativ ungeniert) wird immer ungemütlicher. Zumal die nationalen Aufsichtsbehörden die Entscheidung mit Sicherheit dergestalt lesen werden, als ihnen die Entscheidung nun erweiterte (wiedererhaltene, durch die Kommissions-Entscheidung vorher beschnittene) Befugnisse gewährt.

Update (06.10.2015, 15:28): Ja, die Aufsichtsbehörden fühlen sich gestärkt. Der Hamburgische Beauftragte für Datenschutz: „Bei der Umsetzung dieser Entscheidung werden die nationalen und europäischen Datenschutzbehörden künftig eine Schlüsselrolle einnehmen.“ (PM vom 06.10.2015).

Also, es bleibt spannend.

So auch die Frage: Was ist mit all den hübschen Social-PlugIns? Bedarf es nun Overlayer allerorten, mit denen die audrückliche Einwilligung der Nutzer eingeholt wird? Und genügt eine Einwilligung, die wie ein – lästiger – Cookie-Hinweis schlicht achtlos weggeklickt wird? Fragen über Fragen. Die Antworten kommen sicher. Beizeiten.

In diesem Sinne,

so schnell geht die Welt nicht unter, auch wenn sie sich gerade mächtig am ändern ist.

 

Von der Idee über die Entwicklung bis zur Vermarktung einer App – Wo liegen die rechtlichen Hürden? (Part 2)

Mit Schrecken muss ich feststellen, dass wir den 18. Mai 2015 schreiben. Das bedeutet, dass die Veröffentlichung des ersten Teils zu den rechtlichen Hürden von App-Entwicklung und App-Vermarktung fast zwei Monate zurück liegt. Huch. Nun denn, jetzt aber.

Während sich der erste Teil mit Fragen des Markenrechts („Wie soll das Kind denn heißen?“) sowie mit IT-Verträgen und Softwarelizenzen im Rahmen der App-Erstellung herumschlug, beschäftigen wir uns im folgenden einmal mit dem Impressum, der Einbindung von Dritt-Services, und insbesondere dem Datenschutz (ach ja, ich weiß… das ungeliebte Kind 😉 ) sowie last but not least, dem Vertrag zwischen dem App-Betreiber und dem End-Nutzer.

Weiterlesen

„Double-Opt-In vor dem aus? – Zum Urteil des AG Berlin (Az. 101 C 1005/14)

In der Internet World ist die Schlagzeile „Double-Opt-In vor dem Aus?“ zu lesen. Dann wird bemerkt, dass „ein Gerichtsurteil“ das Double-Opt-In-Verfahren in Frage stellt. Die Aufregung auf Facebook, Twitter & Co ist groß.

Die Aufregung wird von der juristischen Zunft nicht geteilt. Soviel vorab.

Weiterlesen

Von Emails, SPAM, Abmahnungen, Unterlassungserklärungen, Vertragsstrafen und einer Weihnachtsfeier

Ja, ich weiß. Weihnachten ist vorbei. Vielerorts herrscht die 5. Jahreszeit. Und an das nächste Weihnachten will noch keiner denken. Und trotzdem wird hier und heute am 03. Februar 2015 eine Weihnachtsfeier eine Rolle spielen. Und zwar die Weihnachtsfeier 2014 der Kanzlei Dirks & Diercks. Wie es dazu kommt? Nun, das ist eine längere Geschichte, die allerdings – aufgrund ihrer grundsätzlichen Relevanz hinsichtlich der Schlagworte Email-Marketing, Direkt-Marketing, Double-Opt-In sowie Abmahnung und Vertragsstrafe einmal erzählt werden muss (und die zumindest bis zur Hälfte vermutlich jeder so oder so ähnlich aus eigenem Erleben kennt):

Weiterlesen

Truffls – Tinder für Jobs. Klingt cool. Kann das rechtlich sauber gehen?

Nicht nur in der täglichen Mandatsarbeit haben wir ständig mit Apps und deren rechtlichen Gegebenheiten zu tun, auch hier auf dem Blog haben wir das zunehmend wichtig werdenden Thema  vermehrt auf die Agenda gehoben. Erst im September hatten wir anhand von Tinder & Co einmal grundlegend den datenschutzrechtlichen  Rahmen von Apps vorgestellt. Und im Juli beschäftigten wir uns mit der „Hot or not“-App für Kollegen namens Knozen befasst.

Letztere ist in der rechtlichen Bewertung nicht so gut weggekommen, insbesondere nicht, wenn man aus der Brille des Personalers auf Knozen guckt (die mehr oder minder ausführliche rechtliche Einschätzung findet sich im Recrutainment Blog, im unteren Abschnitt des Artikels  Knozen: Mitarbeiter bewerten Kollegen per iPhone-App -´Crowdsourced Personality Profile´ oder schlicht ´der Kollege, der mich anschwärzt´?).

Nun gibt es etwas Neues: Truffls. Truffls ist Tinder für Jobs. Als der Name dieser App in meiner Timeline auftauchte, dachte ich zunächst „Ja, ja, schon wieder so ein Murks aus den USA, bei dem wahrscheinlich erstmal die Seele verkauft werden muss….“. Irgendwo hieß es dann aber, dass die App aus Deutschland kommt. Aus Deutschland? So was Innovatives? Na, das musste ich mir trotz aller derzeit vorhandener Arbeitsbelastung dann doch angucken.

Truffls funktioniert wie Tinder. Nur für Jobs.

Weiterlesen