Schlagwort-Archive: Einwilligung

Die EU-Datenschutzgrundverordnung (EU-DSGVO) ist da! – Worauf müssen sich Unternehmen einstellen? – Teil 3

Mitautor: Christian Frerix*

Die grundlegenden Voraussetzungen der Datenverarbeitung nach der DSGVO – Von Einwilligungen und Erlaubnistatbeständen

Mit großen Schritten stapft die DSGVO auf Europa zu. Seit Mai 2016 ist sie in Kraft. Ab Mai 2018 wird sie ihre Wirkung über den Kontinent entfalten. Ach? Das sagten wir schon mal? Stimmt. In Teil 1 und Teil 2 unserer kleinen Serie zur europäischen Datenschutzgrundverordnung (DSGVO).

Nachdem in Teil 1 der grundlegende Aufbau des neuen (unmittelbar wirkenden) Gesetzes erläutert wurde und wir uns in Teil 2 den wichtigsten Begriffen der DSGVO zugewendet hatten, stellen wir hier nun die Grundprinzipien vor, auf denen der Datenschutz in Europa künftig fußt.

Das heißt, wir gucken uns heute an, unter welchen Voraussetzungen eine Datenverarbeitung nach der DSGVO künftig möglich sein wird.

Voraussetzungen? Grundprinzipien? Datenschutz? Ja, ja, ich kann ihre Gedanken lesen. Heimlich drücken Sie gerade das Kotz-Emoj. (Erwischt! Ich weiß.) Auch wenn Ihnen per se Spannenderes einfällt, als den Ausführungen einer Anwältin zu den Voraussetzungen einer rechtmäßigen Datenverarbeitung nach der DSGVO zu lauschen/lesen, ist das dennoch sehr empfehlenswert. Schließlich sind Sie bzw. Ihr Unternehmen sowie alle Datenverarbeiter im europäischen Raum an diese Verordnung gebunden. Und wenn Sie sich nicht dran halten, dann erwarten Sie – je nach dem gegen welche Norm Sie verstoßen haben – Bußgelder in Höhe von bis zu 10 000 000 Euro bzw. bis zu 2 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres  gemäß Art. 83 Abs. 4 DSGVO oder in Höhe von bis zu 20 000 000 Euro bzw. bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres gemäß Art. 83 Abs. 5 DSGVO (siehe dazu bereits Teil 2).

Ja, das sind Summen, da bilden die meisten Unternehmen nicht „mal eben“ eine Rückstellung für. Also, vielleicht doch weiterlesen…

Weiterlesen

Aus, aus, aus! Safe Harbor ist aus! – Zur Entscheidung des EuGH C-362/14 – Schrems

Alea iacta est. Der Gerichtshof der europäischen Union (EuGH) hat die Entscheidung der Kommission, dass die USA ein angemessenes Schutzniveau übermittelter personenbezogener Daten gewährleisten („Safe Harbor“ ), für ungültig erklärt.

Es rummst gerade und zwar gewaltig.

Die wenigsten haben bis jetzt die Urteilsgründe der Entscheidung EuGH C-362/14 gelesen (ich auch noch nicht habe es bislang auch nur überflogen). Und so bleibt zunächst einmal abzuwarten, was eine Analyse desselben ergibt bzw. welche Konsequenzen das Urteil im Einzelnen letztlich tatsächlich haben wird. Fest steht jedoch schon jetzt: Es werden nicht keine sein.

Nach der Pressemitteilung des EuGH genügt das Safe Harbour insoweit nicht europäischen Datenschutzstandards, als dieses Abkommen (ungerechtfertigte) Eingriffe in die Grundrechte von Personen seitens von Behörden (insb. NSA & Co) ermöglicht und vor allem, weil dem Betroffenen keine Rechtsbehelfe gegen derartige Eingriffe zur Verfügung stehen. Folglich sei die Entscheidung der Kommission, dass „dass die USA ein angemessenes Schutzniveau gewährleistet“ ungültig. Und damit steht Safe Harbor vor dem aus.

Das ist die sehr verkürzte Darstellung der ebenfalls bereits die Urteilsgründe stark vereinfachenden Pressemitteilung des EuGH, aber so im Wesentlichen die Begründung.

Diese Entscheidung hat nicht nur für amerikanische, sondern vor allem auch für europäische und damit deutsche Unternehmen Brisanz. Hier trifft es wiederum ganz besonders solche, die auf Dienstleistungen von US-Unternehmen angewiesen sind (Gretchenfrage: Wer ist das nicht?!) und/oder die selbst etwa übergreifende (personenbezogene) Big Data Analysen, CRMs (Customer-Relationship-Management-Tools) oder Webmonitoring nutzen oder anbieten.

Das Ende der (Daten-)Welt?

Und jetzt? Das Ende der Welt? Facebook und Twitter down? Apple vor dem aus?  Wohl kaum. Die EU und USA müssen sich jetzt unmittelbar an ein neues Abkommen setzen, das wissen beide Seiten. Doch bis hier etwas steht, werden noch ein paar Tage *hust ins Land gehen. Und es gibt – neben Safe Harbor – durchaus Möglichkeiten datenschutzkonform Datentransfer zwischen den USA und Europa zu betreiben.

Schließlich war es schon immer so gewesen, dass nach § 4c Abs. 1 Nr. 3 BDSG die Übermittlung an andere Stellen, auch wenn bei ihnen ein angemessenes Datenschutzniveau nicht (!) gewährleistet ist, zulässig ist, sofern

  1. der Betroffene seine Einwilligung gegeben hat oder
  2. die Übermittlung für die Erfüllung eines Vertrags zwischen dem Betroffenen und der verantwortlichen Stelle oder zur Durchführung von vorvertraglichen Maßnahmen, die auf Veranlassung des Betroffenen getroffen worden sind, erforderlich ist oder
  3. die Übermittlung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist, der im Interesse des Betroffenen von der verantwortlichen Stelle mit einem Dritten geschlossen wurde oder geschlossen werden soll […].

Das heißt, wenn der betroffene seine konkrete, bewusste und ausdrückliche Einwilligung gemäß der Anforderungen von § 4a BDSG gegeben hat, ist (fast) alles möglich. (Es ist aber durchaus nicht ganz einfach hier den Anforderungen zu genügen).

Ferner dürfen zur Vertragserfüllung weiterhin Daten ausgetauscht werden. Da dieses „Problem“ nun auch wahrlich kein Einzelfall ist, hält die EU Standard-Vertragsklauseln vor, nach bzw. mit denen der Transfer von personenbezogenen Daten zwischen den Parteien rechtskonform geregelt werden kann.

Last but not least, es gibt weiter die Möglichkeit für international aufgestellte Konzerne sich „betriebseigene“ verbindliche Regelungen zum Umgang mit personenbezogenen Daten – auf Basis von EU-Vorgaben – zu schaffen, diese Regelungen werden zumeist unter dem Schlagwort „Binding Corperate Rules“ abgehandelt (klingt ja auch gleich viel besser!). Auch hier steht der Konzern nicht alleine dar, die EU, bzw. konkret die Artikel 29 Datenschutzgruppe gibt hier mit dem Arbeitsdokument mit einer Übersicht über die Bestandteile und Grundsätze verbindlicher unternehmensinterner Datenschutzregelungen freundlicher Weise eine Handreichung (Obacht! Aus 2008. Im Zweifel mal genauer hingucken!).

Fazit (vorerst)

Safe Harbor ist aus. Das Spiel aber natürlich nicht. Es gab und gibt Wege legal mitzuspielen. Nur sind die jetzt etwas umständlicher geworden. Den Datenschutz schlicht zu ignorieren (ja, das tun immer noch relativ viele Unternehmen relativ ungeniert) wird immer ungemütlicher. Zumal die nationalen Aufsichtsbehörden die Entscheidung mit Sicherheit dergestalt lesen werden, als ihnen die Entscheidung nun erweiterte (wiedererhaltene, durch die Kommissions-Entscheidung vorher beschnittene) Befugnisse gewährt.

Update (06.10.2015, 15:28): Ja, die Aufsichtsbehörden fühlen sich gestärkt. Der Hamburgische Beauftragte für Datenschutz: „Bei der Umsetzung dieser Entscheidung werden die nationalen und europäischen Datenschutzbehörden künftig eine Schlüsselrolle einnehmen.“ (PM vom 06.10.2015).

Also, es bleibt spannend.

So auch die Frage: Was ist mit all den hübschen Social-PlugIns? Bedarf es nun Overlayer allerorten, mit denen die audrückliche Einwilligung der Nutzer eingeholt wird? Und genügt eine Einwilligung, die wie ein – lästiger – Cookie-Hinweis schlicht achtlos weggeklickt wird? Fragen über Fragen. Die Antworten kommen sicher. Beizeiten.

In diesem Sinne,

so schnell geht die Welt nicht unter, auch wenn sie sich gerade mächtig am ändern ist.

 

Von der Idee über die Entwicklung bis zur Vermarktung einer App – Wo liegen die rechtlichen Hürden? (Part 2)

Mit Schrecken muss ich feststellen, dass wir den 18. Mai 2015 schreiben. Das bedeutet, dass die Veröffentlichung des ersten Teils zu den rechtlichen Hürden von App-Entwicklung und App-Vermarktung fast zwei Monate zurück liegt. Huch. Nun denn, jetzt aber.

Während sich der erste Teil mit Fragen des Markenrechts („Wie soll das Kind denn heißen?“) sowie mit IT-Verträgen und Softwarelizenzen im Rahmen der App-Erstellung herumschlug, beschäftigen wir uns im folgenden einmal mit dem Impressum, der Einbindung von Dritt-Services, und insbesondere dem Datenschutz (ach ja, ich weiß… das ungeliebte Kind 😉 ) sowie last but not least, dem Vertrag zwischen dem App-Betreiber und dem End-Nutzer.

Weiterlesen

„Double-Opt-In vor dem aus? – Zum Urteil des AG Berlin (Az. 101 C 1005/14)

In der Internet World ist die Schlagzeile „Double-Opt-In vor dem Aus?“ zu lesen. Dann wird bemerkt, dass „ein Gerichtsurteil“ das Double-Opt-In-Verfahren in Frage stellt. Die Aufregung auf Facebook, Twitter & Co ist groß.

Die Aufregung wird von der juristischen Zunft nicht geteilt. Soviel vorab.

Weiterlesen

Von Emails, SPAM, Abmahnungen, Unterlassungserklärungen, Vertragsstrafen und einer Weihnachtsfeier

Ja, ich weiß. Weihnachten ist vorbei. Vielerorts herrscht die 5. Jahreszeit. Und an das nächste Weihnachten will noch keiner denken. Und trotzdem wird hier und heute am 03. Februar 2015 eine Weihnachtsfeier eine Rolle spielen. Und zwar die Weihnachtsfeier 2014 der Kanzlei Dirks & Diercks. Wie es dazu kommt? Nun, das ist eine längere Geschichte, die allerdings – aufgrund ihrer grundsätzlichen Relevanz hinsichtlich der Schlagworte Email-Marketing, Direkt-Marketing, Double-Opt-In sowie Abmahnung und Vertragsstrafe einmal erzählt werden muss (und die zumindest bis zur Hälfte vermutlich jeder so oder so ähnlich aus eigenem Erleben kennt):

Weiterlesen

Truffls – Tinder für Jobs. Klingt cool. Kann das rechtlich sauber gehen?

Nicht nur in der täglichen Mandatsarbeit haben wir ständig mit Apps und deren rechtlichen Gegebenheiten zu tun, auch hier auf dem Blog haben wir das zunehmend wichtig werdenden Thema  vermehrt auf die Agenda gehoben. Erst im September hatten wir anhand von Tinder & Co einmal grundlegend den datenschutzrechtlichen  Rahmen von Apps vorgestellt. Und im Juli beschäftigten wir uns mit der „Hot or not“-App für Kollegen namens Knozen befasst.

Letztere ist in der rechtlichen Bewertung nicht so gut weggekommen, insbesondere nicht, wenn man aus der Brille des Personalers auf Knozen guckt (die mehr oder minder ausführliche rechtliche Einschätzung findet sich im Recrutainment Blog, im unteren Abschnitt des Artikels  Knozen: Mitarbeiter bewerten Kollegen per iPhone-App -´Crowdsourced Personality Profile´ oder schlicht ´der Kollege, der mich anschwärzt´?).

Nun gibt es etwas Neues: Truffls. Truffls ist Tinder für Jobs. Als der Name dieser App in meiner Timeline auftauchte, dachte ich zunächst „Ja, ja, schon wieder so ein Murks aus den USA, bei dem wahrscheinlich erstmal die Seele verkauft werden muss….“. Irgendwo hieß es dann aber, dass die App aus Deutschland kommt. Aus Deutschland? So was Innovatives? Na, das musste ich mir trotz aller derzeit vorhandener Arbeitsbelastung dann doch angucken.

Truffls funktioniert wie Tinder. Nur für Jobs.

Weiterlesen