Datenschutz 3

Datenschutzgesetz, Digitale Dienste Gesetz und E-Commerce-Gesetz

• Das Bundesdatenschutzgesetz (BDSG) regelt den Datenschutz in Deutschland seit 2001.
• Es verankert das Grundrecht auf Schutz personenbezogener Daten im Verfassungsrang.
• Das BDSG wurde mehrfach novelliert, zuletzt 2018 zur Umsetzung der Datenschutz-Grundverordnung (DSGVO).
• Zusammen mit der DSGVO schützt das BDSG personenbezogene Daten in Deutschland.
• Es gilt auch bei Datenverarbeitung im Zusammenhang mit einer deutschen Niederlassung, selbst wenn die Verarbeitung im EU-Ausland stattfindet.
• Für Niederlassungen außerhalb der EU gilt das Marktortprinzip (die DSGVO gilt für Datenverarbeitung von EU-Bürgern).
• Die DSGVO gilt auch für Unternehmen in den USA, die ihre Produkte in Deutschland über das Internet anbieten.
• Das BDSG gilt nur für die Verarbeitung von Daten natürlicher Personen; juristische Personen sind grundsätzlich ausgenommen, es sei denn, die Daten betreffen natürliche Personen, die für das Unternehmen tätig sind.
• Das BDSG enthält Regelungen zur Berichtigung, Löschung und Einschränkung von Auskunftsansprüchen.
• Es gibt besondere Bestimmungen zur Verarbeitung personenbezogener Daten im Zusammenhang mit strafrechtlichen oder verwaltungsbehördlichen Maßnahmen.
• Das BDSG regelt Datenverarbeitungen für wissenschaftliche, historische oder statistische Forschungszwecke, um einen rechtlichen Rahmen zu schaffen, ohne die Grundrechte der betroffenen Personen unangemessen zu beeinträchtigen.

Datenverarbeitung zu spezifischen Zwecken

• Fotos und Videoaufnahmen dürfen nur unter bestimmten Bedingungen gemacht werden.
• Dies ist der Fall, wenn sie im lebenswichtigen Interesse einer Person erforderlich sind, wenn die Person eingewilligt hat, wenn eine gesetzliche Pflicht besteht oder wenn ein berechtigtes Interesse des Verantwortlichen vorliegt und die Verhältnismäßigkeit gewahrt wird.
• Die Verhältnismäßigkeit ist beispielsweise bei der Überwachung eines Einfamilienhauses zum Schutz von Personen oder Sachen gegeben, oder bei der Überwachung eines öffentlich zugänglichen Ortes, der dem Hausrecht unterliegt.
• Es sind die sonstigen Bestimmungen der DSGVO zu beachten, wie die Pflicht zur Datenschutzmitteilung.
• Bildaufnahmen im höchstpersönlichen Lebensbereich ohne ausdrückliche Einwilligung der betroffenen Person sind unzulässig, insbesondere im Arbeitsverhältnis.
• Bildaufnahmen zum Zweck der Kontrolle von Arbeitnehmern sind verboten, dies betrifft nur die unmittelbare Überwachung von Arbeitsplätzen, nicht aber Überwachungskameras im Eingangsbereich oder in Aufzügen.
• Ein digitaler Abgleich mehrerer Bildaufnahmen ist nicht zulässig.
• Die Auswertung von Bildaufnahmen darf nicht im Hinblick auf sensible Daten erfolgen (Verbot der Gesichtserkennung).
• Anlasslose Bildaufnahmen zum Zweck ihrer potenziellen Verwendung in Rechtsstreitigkeiten sind unzulässig.
• Foto- und Videoaufnahmen dürfen üblicherweise nur 72 Stunden aufbewahrt werden.
• Eine längere Speicherung ist nur zulässig, wenn sie für den Verarbeitungszweck erforderlich ist, verhältnismäßig erfolgt und gesondert protokolliert und begründet wird oder wenn die Bildaufnahme eine strafbare Handlung dokumentiert.
• Aufzeichnungen einer Videoüberwachung dürfen nur zum Schutz von personenbezogenen Daten ausgewertet werden, wenn der begründete Verdacht eines Angriffs auf Personen oder Sachen besteht.
• Der Anlassfall muss vom Zweck der Videoüberwachung erfasst sein.
• Der Verantwortliche muss sicherstellen, dass der Zugang zu Bildaufnahmen und ihre nachträgliche Veränderung durch Unbefugte ausgeschlossen ist.
• Eine Videoüberwachung im Betrieb erfordert eine Betriebsvereinbarung oder eine Einwilligung der Arbeitnehmer.
• Bildaufnahmen müssen gekennzeichnet und der Verantwortliche erkennbar sein.
• Potenziell Betroffene können vom Eigentümer oder Nutzungsberechtigten einer Liegenschaft Auskunft über die Identität des Verantwortlichen einfordern, wenn keine ausreichenden Informationen zur Verfügung gestellt werden.

Wissenschaftliche Forschungszwecke

• Die DSGVO sieht eine privilegierte Stellung von wissenschaftlicher und historischer Forschung, Statistik und Archiven im öffentlichen Interesse vor.
• Im Rahmen des Datenschutzgesetzes wurden Erleichterungen für die Zulassung derartiger Datenverarbeitungen geschaffen.
• Falls die Verarbeitung keine personenbezogenen Ergebnisse zum Ziel hat,, dürfen zusätzlich zu öffentlich zugänglichen Daten auch jene verwendet werden, die für andere Untersuchungen ermittelt wurden.
• Die Identität der betroffenen Personen darf mit rechtlich zulässigen Mitteln nicht bestimmt werden können.
• Wissenschaftliche Untersuchungen mit personenbezogenen Ergebnissen dürfen nur gemäß besonderen gesetzlichen Vorschriften, mit Zustimmung der betroffenen Person oder mit einer Genehmigung durch die Aufsichtsbehörde verarbeitet werden.
• Die Datenschutzbehörde kann eine Genehmigung erteilen, wenn ein öffentliches Interesse an der Durchführung eines Forschungsvorhabens besteht.
• In jenen Fällen, in denen die Verarbeitung personenbezogener Daten für wissenschaftliche Forschung oder Statistik zulässig ist, ist der direkte Personenbezug unverzüglich zu verschlüsseln.

Aufgaben und Befugnisse der Datenschutzbehörde

• Die für die Vollziehung der DSGVO in Deutschland zuständige Aufsichtsbehörde ist die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).
• Sie wurde bereits 1978 gegründet und arbeitet weisungsfrei.
• Ihre Aufgaben liegen in der Überwachung der Einhaltung des Datenschutzrechts und der DSGVO in Deutschland.
• Sie entscheidet über Beschwerden von Betroffenen, die wegen Verletzungen des Rechts auf Auskunft, Geheimhaltung, Löschung und Richtigstellung vorgebracht werden.
• Sie kann von Branchenverbänden erstellte Verhaltenskodizes im Rahmen der DSGVO genehmigen.
• Die BfDI übt auf deren Ersuchen eine Beratungsfunktion für Bundestagsausschüsse, Bundesregierung und Landesregierungen bezüglich legislativer und administrativer Maßnahmen aus.
• Sie ist befugt, vom Verantwortlichen oder Auftragsverarbeiter alle notwendigen Aufklärungen zu verlangen und Einsicht in Datenverarbeitungen sowie in diesbezügliche Unterlagen zu erhalten.
• Sie ist berechtigt, Räumlichkeiten zu betreten, in denen Datenverarbeitungen durchgeführt werden, und Datenverarbeitungsanlagen in Betrieb zu nehmen.
• Bei unmittelbarer Gefährdung der Geheimhaltungsinteressen der betroffenen Person kann die BfDI die Weiterführung der Datenverarbeitung mit Bescheid untersagen.
• Die BfDI ist befugt, einen Verantwortlichen oder Auftragsverarbeiter zu verwarnen, wenn Verarbeitungsvorgänge voraussichtlich gegen die erlassenen Vorschriften verstoßen.
• Sie kann den Verantwortlichen oder Auftragsverarbeiter anweisen, Verarbeitungsvorgänge zu berichtigen, personenbezogene Daten zu löschen oder die Datenverarbeitung einzuschränken.
• Nicht zuletzt kann die Datenschutzbehörde die Verarbeitung vorübergehend oder endgültig einschränken oder verbieten, sowie Geldbußen verhängen.
• Die Datenschutzbehörde muss jährlich einen Tätigkeitsbericht erstellen.
• Entscheidungen der Datenschutzbehörde von grundlegender Bedeutung müssen veröffentlicht werden.

Rechtsmittel

• Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie eine Verletzung der DSGVO oder des Datenschutzgesetzes sieht.
• Die Beschwerde muss die Bezeichnung des verletzten Rechts, den Beschwerdegegner und eine Darstellung des Sachverhalts mit Begründung enthalten.
• Sie muss innerhalb eines Jahres nach Kenntnis der Rechtsverletzung eingebracht werden und kann maximal auf drei Jahre ausgedehnt werden.
• Der Beschwerdeführer muss innerhalb von drei Monaten über den Stand und das Ergebnis der Ermittlungen informiert werden.
• Andernfalls ist er berechtigt, das Bundesverwaltungsgericht zu befassen.
• Betroffene Personen können eine Einrichtung, Organisation oder Vereinigung ohne Gewinnerzielungsabsicht beauftragen, in ihrem Namen eine Beschwerde einzureichen.

Datenschutzregeln in der Kommunikation

• Die Regelungen für den Datenschutz im Zusammenhang mit Kommunikationsmedien und E-Commerce werden im Telekommunikationsgesetz (TKG 2021) und im E-Commerce-Gesetz (ECG) geregelt.
• Bei Verstößen drohen hohe Strafen.
• Das Telekommunikationsgesetz soll den fairen Wettbewerb und die Qualität der elektronischen Kommunikation fördern.
• Betroffen sind elektronische Post, wie E-Mails oder SMS, Telefonanrufe und Faxaussendungen.

Cold Calling

• Anrufe, Faxbenachrichtigungen und elektronische Benachrichtigungen zu Zwecken der Direktwerbung per E-Mail oder SMS bedürfen einer vorherigen Einwilligung des Empfängers.
• Diese Einwilligung kann jederzeit widerrufen werden.
• Bereits das Einholen der Einwilligung für nachfolgende Kontakte ist unzulässig.
• Bei Telefonanrufen zu Werbezwecken ist die Rufnummernanzeige verpflichtend.
• Marktforschungsunternehmen dürfen Cold Calling-Anrufe durchführen, wenn die Datenerhebung anonym erfolgt.
• Unerbetene Anrufe zu Werbezwecken werden mit Geldstrafen von bis zu 100.000 Euro geahndet.
• Das Unterdrücken oder Verfälschen der Rufnummernanzeige wird mit bis zu 50.000 Euro bestraft.
• Wiederholte unerbetene Werbung gilt als Verstoß gegen das Bundesgesetz gegen unlauteren Wettbewerb (UWG).
• Es drohen Unterlassungsklage und Schadenersatzklage.

Spamming

• Für E-Mails gilt im Zusammenhang mit Direktwerbung die Pflicht zur Einholung einer vorherigen Einwilligung.
• Eine vorherige Einwilligung ist ausnahmsweise nicht erforderlich, wenn der Absender die Kontaktinformation im Zusammenhang mit dem Verkauf oder einer Dienstleistung erhalten und die Nachricht dem Zweck der Direktwerbung für ähnliche Produkte oder Dienstleistungen dient.
• Der Kunde muss die Möglichkeit erhalten, den Empfang solcher Nachrichten bei jeder Übertragung kostenfrei und problemlos abzulehnen und die Zusendung nicht im Vorhinein abgelehnt haben.
• Die sogenannte ECG-Liste („Robinson-Liste“) ist zu beachten.
• Das Versenden anonymer elektronischer Post über eine verschleierte E-Mail-Adresse ist generell verboten.
• Bei jedem E-Mail-Versand muss die Adresse des Absenders klar erkennbar sein und es muss einen Rückkanal geben.
• Bereits der Versand einer einzigen E-Mail zu Werbezwecken erfüllt einen Verwaltungsstraftatbestand, sofern weder eine Einwilligung vorliegt noch eine Ausnahme zur Anwendung kommt.
• Jede Form von Werbung muss entsprechend gekennzeichnet werden, zum Beispiel über die Betreffzeile.

Newsletter

• Eine Einwilligung zum Empfang eines Newsletters ist nur erforderlich, wenn der Empfänger kein Kunde des Unternehmens ist.
• Bei der Erstellung von Newsletter-Verteilern ist das Einverständnis der Empfänger freiwillig und für diesen Zweck einzuholen und dokumentieren.
• Werbe-E-Mails, auch E-Mails, die an mehr als 50 Empfänger adressiert sind dürfen sollen nur nach Einwilligung versendet werden.
• Eine solche Einwilligung muss durch ein sogenanntes Double-Opt-In-Verfahren eingeholt werden.
• Zuerst muss der Nutzer seine E-Mail-Adresse auf der Website angeben und einwilligen, dass diese für die Zusendung von Werbung verwendet wird.
• Anschließend wird an den Nutzer eine Bestätigungs-E-Mail geschickt.
• Nur wenn der Nutzer den Link anklickt, wird die E-Mail-Adresse auf den Newsletter gesetzt.
• Dadurch kann die Inhaberschaft der E-Mail-Adresse verifiziert werden.
• In Newslettern, die mindestens viermal im Kalenderjahr gesendet werden, ist das Impressum direkt im Newsletter anzugeben.
• Darüber hinaus ist eine Offenlegung im Newsletter selbst oder per Link auf einer Website anzuführen.

Einsatz von Cookies

• Für den Einsatz von Cookies gelten die Bestimmungen des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), welches seit dem 1. Dezember 2021 in Deutschland in Kraft ist.

• Wenn über eine Website personenbezogene Daten verarbeitet werden gelten zusätzlich die Bestimmungen der DSGVO.

• Die IP-Adresse wird dabei als personenbezogenes Datum gewertet.

• Cookies sind Textdateien, die vom Informationsanbieter über den Browser auf dem Endgerät des Nutzers gespeichert werden.

• Sie dienen der Speicherung von Einstellungen (funktionale Cookies), der Analyse des Nutzerverhaltens (statistische Cookies) oder der Anzeige gezielter Werbung (Marketing-Cookies).

• Cookies, die technisch für die Funktionalität der Website zwingend erforderlich sind (z.B. Session-Cookies), benötigen keine Zustimmung.

• Für alle anderen Cookies ist eine aktive Einwilligung des Nutzers erforderlich.

• Bevor Cookies gesetzt werden, müssen dem Nutzer relevante datenschutzrechtliche Informationen bereitgestellt werden.

• Dazu gehören Informationen über die Weitergabe der Daten an Dritte, die Speicherdauer der Cookies und der Zweck der Datenverarbeitung.

• Einwilligungspflichtige Cookies dürfen nicht vor der entsprechenden Zustimmung gesetzt werden.

• Es ist nicht erlaubt, dass in einer Checkbox das Häkchen für die erforderliche Zustimmung vorab gesetzt wurde.

• Der Nutzer muss die Möglichkeit haben, die Cookies individuell zu akzeptieren oder abzulehnen.

• Empfohlen wird ein Cookie Consent Tool, über welches der Nutzer die Einstellungen vornehmen kann.

• Der Nutzer muss Cookies nach Kategorien zulassen oder abwählen können (funktionale Cookies, Tracking-Cookies oder Marketing-Cookies).

• Der Einsatz von Cookies muss auch in den Datenschutzbestimmungen der Website festgehalten werden.

• In diesen muss ein Hinweis auf den jederzeitigen Widerruf der Einwilligung enthalten sein.

• Da im Zusammenhang mit der Nutzung einer Website Nutzerdaten verarbeitet werden, besteht eine Dokumentationspflicht im Rahmen eines Verarbeitungsverzeichnisses.

• Dieses muss festhalten, welche Daten zu welchem Zweck erhoben werden und was damit geschieht.

• Eine Meldepflicht bei der Datenschutzbehörde besteht nur bei einem hohen Risiko für die Rechte und Freiheiten der betroffenen Personen (Datenschutz-Folgenabschätzung erforderlich).

• Die Einholung einer Einwilligung ist beim Einsatz von Cookies notwendig zur Vermeidung der Click-Fatigue der Nutzer.

• Seit Inkrafttreten der DSGVO und den Entwicklungen rund um die Datenschutzvorgaben wurden Third Party Cookies stärker ins Visier genommen.

• Viele Browser-Anbieter planen, den Einsatz von Third Party Cookies stark einzuschränken.

• Apple blockiert bereits sämtliche Cookies von Drittanbietern.

• Google hat mit der Privacy Sandbox eine Alternative zu Cookies entwickelt.

• Die Privacy Sandbox von Google zielt darauf ab, die Privatsphäre der Nutzer zu schützen und gleichzeitig effektive Werbelösungen bereitzustellen und wurde im Juli 2023 zur allgemeinen Verfügbarkeit gebracht.

• Ursprünglich plante Google, die Unterstützung für Drittanbieter-Cookies in Chrome bis Ende 2023 schrittweise einzustellen, allerdings wurde diese Entscheidung revidiert.

• Nutzern wird die Entscheidung gegeben, selbst zu entscheiden, ob sie Drittanbieter-Cookies zulassen möchten.

• Google entwickelt weiterhin Privacy Sandbox-Technologien und Schutzmaßnahmen gegen IP-Tracking im Inkognito-Modus.

• Die britische Wettbewerbs- und Marktaufsichtsbehörde (CMA) bestätigte diese Änderung.

• Google wurde kritisiert zu seinem ursprünglichen Plan, der Wettbewerb beeinträchtigen und dem eigenen Werbegeschäft zugutekommen könnte.

• Trotz Beibehaltung von Drittanbieter-Cookies bleibt die Privacy Sandbox ein bedeutender Schritt hin zu einem datenschutzfreundlicheren Web.

• Nutzer können Drittanbieter-Cookies selbst bestimmen, und Unternehmen können datenschutzfreundliche Werbelösungen implementieren.

• Das bekannte Tracking-Tool Google Analytics wurde von den Datenschutzbehörden in Deutschland und EU geprüft und für unzulässig erklärt, wenn die Daten ohne ausreichende Schutzvorkehrungen übertragen werden.

• Unternehmen, die Google Analytics weiterhin nutzen, müssen sicherstellen, dass die Einstellungen datensparsam erfolgen und das Setzen von Cookies auf einer transparenten Einwilligung beruht.

• Tools wie Matomo oder etracker, die eine lokale Datenverarbeitung auf eigenen Servern ermöglichen, sind eine datenschutzfreundliche Alternative.

• In Deutschland ist die Nutzung von Cookies grundsätzlich nur dann zulässig, wenn eine aktive Einwilligung der Nutzer vorliegt. Transparente Information und die Möglichkeit zur Auswahl von Cookie-Kategorien sind erforderlich, um den datenschutzrechtlichen Anforderungen der DSGVO und des TDDDG gerecht zu werden.

Soziale Netzwerke

• Werden Social-Media- wie Facebook, Instagram, Twitter oder WhatsApp, für Unternehmenszwecke genutzt, ist darauf zu achten, dass dabei oft unbedacht Datenschutz- oder andere Rechtsverstöße erfolgen.
• Laut einer Entscheidung des Europäischen Gerichtshofes ist beim Betrieb einer Facebook-Fanpage nicht nur Facebook selbst, sondern auch der Betreiber für Datenschutzrecht verantwortlich.
• Es ist erforderlich, dass der Nutzer so umfangreich wie möglich informiert wird.
• Bei Plugins ist es wichtig, dass Nutzer über eine allfällige Verwendung informiert werden.
• Die Einwillihung des Nutzers ist erfoderlich.
• Ohne ausdrückliche Einwilligung müssen die Plugins deaktiviert bleiben und es dürfen keine Daten übermittelt werden.

Behavioral Targeting

• Es ist wichtig, dass der Betreiber einer Webseite datenschutzrechtlich mitverantwortlich ist, wenn auf einer Webseite Platz für Dritte bereitgestellt wird.
• Der Betreiber muss sicherstellen, dass Behavioral Targetingdurchgeführt wird und dass personenbezogene Daten verarbeitet werden.
• Für diesen Zweck muss eine der Webseite eine Einwilligung eingeholt und Informationen über die Datenverarbeitung erteilt werden.

Videokonferenzen

• Waren Telefone früher meistens ortsgebunden und gegen ein unbefugtes Mithören abgesichert, gilt dies für die web- bzw. cloudbasierte Kommunikation nicht.
• Gerade die Bildübertragung rückt neben dem eigentlichen Arbeitsplatz etwa im Homeoffice gerne Kinder, Besucher oder persönliche Einrichtungsgegenstände in den Fokus.
• Die zusätzliche Möglichkeit, Videokonferenzen oder Webinare aufzuzeichnen, macht es nicht leichter, die Vertraulichkeit sicherzustellen.