BfDI zur Abfrage des Impf- und Teststatus durch Arbeitgeber

/in /von

Der BfDI, Professor Ulrich Kelber, fordert eine rechtliche Klarstellung, zur Abfrage des Impf- und Teststatus von Beschäftigten: „Ich rate zu einer bundeseinheitlichen Regelung, die einen Flickenteppich verhindert. Der Verordnungsgeber ist jetzt in der Pflicht zu handeln.„

Der BfDI steht hierzu bereits mit den beteiligten Bundesministerien in Kontakt. Mit wenigen Ausnahmen, wie beispielsweise im Gesundheitsbereich, können Arbeitgeber und Dienstherren momentan weder den Impf- oder Teststatus ihrer Beschäftigten erfragen oder irgendeine Art von Testungspflicht anordnen. Der BfDI betont, dass hier datenschutzfreundliche Regelungen im Sinne der informationellen Selbstbestimmung der Beschäftigten getroffen werden sollten: Je nachdem, ob man sich für 2G oder 3G entscheidet, müsste die Arbeitgeberin oder der Arbeitgeber auch gar nicht wissen, welchen konkreten Status ihre Beschäftigten haben. Eine Unterscheidung der Nachweise wäre dann nicht notwendig.

Um die geforderte Rechtsklarheit zu schaffen, wird der BfDI die beteiligten Bundesministerien weiterhin intensiv beraten.

BvD: Die Einwilligung für Kinderbilder bleibt ein schwieriges Feld

/in /von

Um im digitalen Zeitalter Fotos von Kindern in Sozialen Medien oder dem Internet zu veröffentlichen, müssen alle gemeinsam Sorgeberechtigten einverstanden sein (OLG Düsseldorf Beschluss vom 20.07.2021, Az: 1 UF 74/21). Das OLG Düsseldorf bestätigt die Entscheidung des OLG Oldenburg (Beschluss vom 24.05.2018, Az: 13 W 10/18).

Den Entscheidungen der beiden Oberlandesgerichte lagen ähnliche Sachverhalte zugrunde. Die Eltern der betroffenen Kinder leben getrennt. Die neue Lebensgefährtin bzw. der neue Lebensgefährte eines Elternteil veröffentlicht Fotos der Kinder zu Werbezwecken im Internet (Soziale Medien, Homepage). Von dem weiteren Elternteil lag keine Einwilligung vor.

Entscheidungen, die erhebliche Bedeutung im Leben eines Kindes haben, sind von den Eltern gemeinsam zu treffen. Dies gilt unabhängig davon, ob die Eltern zusammen (§§ 1629, 1627, 1628 BGB) oder getrennt leben (§§ 1687, 1628 BGB).

Die Veröffentlichung von Kinderfotos im Internet hat erhebliche Konsequenzen für das Leben der Kinder. Das WWW vergisst nichts. Fotos lassen sich aus dem Internet kaum entfernen, so die Oberlandesgerichte. Die Entscheidung der Eltern für oder gegen eine Veröffentlichung von Fotos hat erhebliche Bedeutung für die Entwicklung und das Wohl der Kinder. Das ergibt sich aus der Begründung des Beschlusses durch das OLG Düsseldorf. Fehlt bei gemeinsamer elterlicher Sorge die Zustimmung eines Sorgeberechtigten, so fehlt die Einwilligung und somit die Rechtsgrundlage für die Verarbeitung der Fotos.

Was ist das Besondere an der Entscheidung des OLG Düsseldorf?

Das Gericht setzte sich umfassend mit den Persönlichkeitsschutz auseinander. Neben der familienrechtlichen Regelung werden datenschutzrechtliche (DSGVO) und urheberrechtliche (KunstUrhG) Regelungen beleuchtet.

Das OLG Düsseldorf stellt in seiner Entscheidung klar, die in der DSGVO genannte „elterliche Verantwortung“ (Art. 8, Art. 40 und ErwG. 38) entspricht der „elterliche Sorge“ nach deutschem Recht. Ist eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) erforderlich und hat die Verarbeitung der Daten erhebliche Bedeutung für ein Kind, muss die Erklärung beider Sorgeberechtigten vorliegen. Erst dann ist die Einwilligung wirksam. Die Zustimmung der Eltern ist nicht auf die an Kinder gerichtete Dienste der Informationsgesellschaft (Art. 8 DSGVO) begrenzt. Eine gemeinsame Einwilligung der Sorgeberechtigten kann für jede Einwilligung erforderlich werden.

Außerdem stellt das Gericht in einem Nebensatz klar, dass es auf die Einwilligung des betroffenen Kindes nicht ankommt, solang die Einwilligung der Sorgeberechtigten nicht vorliegt. Die Entscheidung des OLG Düsseldorf macht deutlich, dass minderjährige Kinder nicht gegen den Willen der Sorgeberechtigten in eine Verarbeitung einwilligen können. Sagen die Eltern „Nein“ oder liegt eine sonst unwirksame Einwilligung der Eltern vor, führt das „Ja“ der Minderjährigen nicht zu einer rechtmäßigen Verarbeitung.

Es bleibt abzuwarten, ob diese Aussage durch weitere Entscheidungen bestätigt wird.

Das Gericht lässt das Verhältnis zwischen DSGVO und KunstUrhG ungeklärt, weil es darauf in der Entscheidung nicht ankommt. Auch die Einwilligung nach § 22 KunstUrhG ist bei gemeinsamer elterlicher Sorge von beiden Sorgeberechtigten abzugeben. Da die Einwilligung des einen Elternteils fehlt, liegt auch nach § 22 KunstUrhG keine wirksame Einwilligung vor.

Ergebnis: Bei der Veröffentlichung von Fotos im Internet, die Kinder ablichten, ist darauf zu achten, dass die Einwilligung beider Sorgeberechtigten vorliegt. In jede Datenverarbeitung, die erhebliche Bedeutung für die Entwicklung eines Kindes hat, kann durch beide Sorgeberechtigten nur gemeinsam eingewilligt werden.

Autorin: Rechtsanwältin Sascha Lotzkat, externe betriebliche Datenschutzbeauftragte, Fachanwältin für Arbeitsrecht

Max Schrems: Datenschützer legen mit weiteren Beschwerden nach

/in /von

Die Datenschützer von noyb haben im Mai eine Beschwerdewelle gegen manipulative und rechtswidrige Cookie-Banner auf großen Websites gestartet. Ein Teil der betroffenen Firmen hat inzwischen nachgebessert. Andere müssen nun mit formalen Beschwerden rechnen.

Die europäische Datenschutzorganisation noyb legt bei ihrem Kampf gegen rechtswidrige Cookie-Zustimmungsabfragen im Internet nach. Nach einer ersten Beschwerdewelle, die sich Ende Mai noch an die Webseitenbetreiber selbst richtete, will das Team um den österreichischen Datenschutzaktivisten Max Schrems nun 422 formale Beschwerden bei zehn Datenschutzbehörden einreichen. Nach Ansicht der Aktivisten verstoßen die Firmen mit manipulativen Cookie-Bannern gegen die europäische Datenschutz-Grundverordnung (DSGVO).

Cookies sind kleine Datensätze, die Webseiten hinterlegen, um die Nutzer identifizierbar zu machen. Mit ihrer Hilfe können individuelle Profile erstellt werden, die weitreichende Rückschlüsse über Surfverhalten, Vorlieben und Lebensgewohnheiten zulassen. Dieses Wissen wird dann etwa für personalisierte Werbung herangezogen.

Nach den Schreiben an mehr als 500 Unternehmen am 31. Mai seien 42 Prozent aller Verstöße auf mehr als 516 Websites beseitigt worden. Zu den Unternehmen, die die Verwendung von «dark patterns» zur Einholung der Zustimmung vollständig eingestellt haben, gehören globale Marken wie Mastercard, Procter & Gamble, Forever 21, Seat oder Nikon.

Unter „dark patterns“ versteht man Bedienoberflächen, die Nutzer zu einer Handlung bringen sollen, die nicht ihren eigentlichen Absichten entspricht. Im Fall von Cookie-Hinweisen werden Buttons, Aufbau und Beschriftung gezielt so gewählt, dass die Website-Besucher am ehesten eine datenschutzunfreundliche Auswahl treffen.

Nur eine Minderheit der angeschriebenen Unternehmen kam der Aufforderung von noyb nach, den Widerruf so einfach wie die Erteilung der Einwilligung zu gestalten. Nur 18 Prozent hätten eine solche Option quasi als Widerrufssymbol auf ihrer Website eingerichtet.

Unternehmen wollen Recht auf Manipulation

In dem Cookie-Streit hat es die werbetreibende Industrie mit einem einflussreichen Gegner zu tun. Schrems hat in zwei spektakulären Fällen bereits Facebook in die Knie gezwungen. Er setzte zum einen im Oktober 2015 vor dem Europäischen Gerichtshof (EuGH) durch, dass die von Facebook genutzte transatlantische Datenschutzvereinbarung „Safe Harbor“ gekippt wurde. Im Juni 2020 brachte er vor dem EuGH schließlich auch die Nachfolgeregelung „Privacy Shield“ zu Fall.

Schrems erklärte nun, Unternehmen hätten die Befürchtung geäußert, dass ihre Konkurrenten die Vorschriften nicht einhalten, was zu einem unfairen Wettbewerb führen würde. „Andere sagten, dass sie auf eine klare Entscheidung der Behörden warten, bevor sie die Gesetze einhalten. Wir hoffen daher, dass die Datenschutzbehörden bald Entscheidungen und Sanktionen erlassen werden.“

Unabhängig von der Überprüfung der mehr als 500 Webseiten in der ersten Beschwerdewelle nahmen Schrems und sein Team auch größere globale und nationale Websites unter die Lupe, die individuelle „Cookie-Banner“ verwenden und daher eine manuelle Überprüfung erfordern. Dazu gehören alle großen Plattformen wie Amazon, Twitter, Google oder Facebook. „Sie alle haben sich geweigert, ihre Banner zu verbessern“, erklärten die Datenschutz-Aktivisten. Noyb reiche deshalb weitere 36 Beschwerden gegen diese Unternehmen ein.

„Größere Akteure und Seiten, die stark von Werbung abhängig sind, haben unsere Verwarnung weitgehend ignoriert“, beklagte Schrems. „Sie argumentieren teilweise offen, dass sie das Recht hätten, Nutzer mit Manipulationen zu einem Klick auf den „Okay“-Button zu bringen.“ Schrems setzte sich für „klare gesamteuropäische Regeln“ ein. „Im Moment hat ein deutsches Unternehmen das Gefühl, dass die Auslegung der DSGVO durch die französischen Behörden nur für Frankreich gilt, obwohl das Recht überall gleich gelten sollte.“

BayLDA: -Tätigkeitsbericht 2020- Anhaltender Bedarf für Beratungen und Entscheidungen im Datenschutz

/in /von

Der Präsident des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA), Michael Will, stellte am Dienstag, den 13. Juli 2021 den Tätigkeitsbericht seiner Be-
hörde für das Jahr 2020 vor. „Auch im Datenschutz war 2020 – das Jahr der Pandemiebekämpfung – geprägt von neuen Arbeitsbedingungen genauso wie von
unzähligen neuen Fragestellungen. Das Datenschutzrecht hat diese Bewährungsprobe gut bestanden und die widerstreitenden Interessen effektiver Seuchenabwehr in Unternehmen wie Vereinen und Transparenz bzw. Kontrolle des Einzelnen über seine Daten ausbalanciert. Trotz guter Ausgangsbedingungen bleiben die anhaltend hohen Fallzahlen gerade bei Beschwerden und Datenschutzverletzungen eine Herausforderung.“

Der nach der Datenschutz-Grundverordnung (DS-GVO) jährlich vorzulegende Tätigkeitsbericht der derzeit aus 33 Beschäftigten bestehenden Datenschutzaufsichtsbehörde für die bayerischen Unternehmen und Vereine umfasst auf 86 Seiten statistische Übersichten und knappe Erläuterungen der Schwerpunktthemen der verschiedenen Branchen und Datenschutzbereiche wie dem Internet, der Videoüberwachung oder dem Technischen Datenschutz und der Cybersicherheit.

Erstmals wurde nicht nur der Bericht selbst in rein digitaler Form veröffentlicht, auch die Vorstellung in einer Pressekonferenz vor Presse- und Fachöffentlichkeit wurde in eine Online-Konferenz verlegt. Will erläuterte: „Diese rein digitale Präsentation spiegelt die Kernthemen des Berichtsjahres wieder: Corona und den Internationalen Datenverkehr. Die Entscheidung des Europäischen Gerichtshofs in der Rechtssache „Schrems II“ hat uns nicht anders als allen Verantwortlichen in Betrieben oder im Ehrenamt schwierige Aufgaben aufgezeigt, die bei der Mehrzahl der gängigen Datenverarbeitungen wie E-Mail- und Cloud-Diensten oder Videokonferenzsystemen zu berücksichtigen sind. Diese Aufgaben und ihre praxisgerechte Handhabung werden sicher auch 2021 zu den Schwerpunktbereichen unserer Beratung und Prüfung zählen.“

Die statistischen Auswertungen des Berichts zeigen, dass die Pandemie trotz aller anhaltenden Bedrohungen im Cyberraum nicht zu einer Zunahme der Meldungen von Datenschutzverletzungen geführt hat. Diese bleiben mit 3752 Meldungen knapp 10 % hinter dem Spitzenwert des Vorjahres. Ebenso haben sich die an das BayLDA gerichteten Beratungsanfragen mit rd. 2600 Eingängen auf hohem Niveau, dennoch aber zumindest 20 % hinter dem Wert des Vorjahres stabilisiert. Der Rückgang bestätigt damit vor allem den Erfolg proaktiver Beratung durch allgemeine Informationsangebote im Internetauftritt des BayLDA.

Dagegen erreichen die Eingangszahlen bei Beschwerden und Kontrollanregungen mit 6185 Fällen einen weiteren Höchstwert. Will stellt hierzu fest: „Trotz des stetigen Ausbaus und der hohen Effizienz unserer Behörde bleibt die Verzehnfachung der Eingangszahlen im zurückliegenden Jahrzehnt eine zentrale Herausforderung unseres Teams auch in den kommenden Jahren, zumal wir gleichzeitig Kernaufgaben der DS-GVO wie der wichtigen, aber auch anspruchsvollen Zusammenarbeit unter dem Dach des Europäischen Datenschutzausschusses gerecht werden wollen und müssen.“

Der Tätigkeitsbericht für das Jahr 2020 ist ebenso wie ein Videomitschnitt der virtuellen Pressekonferenz unter folgendem Link erreichbar: https://www.lda.bayern.de/de/taetigkeitsberichte.html

DSK: Ergänzende Prüfungen und Maßnahmen trotz neuer EU-Standardvertragsklauseln für Datenexporte nötig

/in /von

Pressemitteilung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 21.06.2021

Mit Durchführungsbeschluss vom 4. Juni 2021 hat die Europäische Kommission neue Standardvertragsklauseln erlassen, die eine rechtskonforme Übermittlung personenbezogener Daten in Drittländer ermöglichen sollen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) weist wie auch der Europäische Datenschutzausschuss (EDSA) darauf hin, dass auch bei Verwendung der neuen EU-Standardvertragsklauseln eine Prüfung der Rechtslage im Drittland und zusätzlicher ergänzender Maßnahmen erforderlich ist.

In ihrem Beschluss ist die EU-Kommission unter anderem auf die „Schrems II“-Entscheidung des Europäischen Gerichtshofs (EuGH) eingegangen. Der EuGH hatte in seinem Urteil vom 16. Juli 2020 (Rs. C-311/18 – Schrems II) festgestellt, dass Übermittlungen personenbezogener Daten in die USA nicht länger auf Basis des sogenannten Privacy Shields erfolgen können. Die von der EU-Kommission beschlossenen Standardvertragsklauseln können zwar grundsätzlich weiterhin als Rechtsgrundlage für Übermittlungen personenbezogener Daten in Drittländer herangezogen werden. Allerdings müssen alle Verantwortlichen ergänzend eine Prüfung durchführen, ob die Rechtslage oder die Praxis in dem jeweiligen Drittland negativen Einfluss auf das durch die Standardvertragsklauseln gewährleistete Schutzniveau haben können. Ist dies der Fall, etwa weil die Behörden des Drittlands übermäßige Zugriffsrechte auf verarbeitete Daten haben, müssen die Verantwortlichen vor der Datenübermittlung in das Drittland zusätzliche Maßnahmen ergreifen, um wieder ein Schutzniveau zu gewährleisten, das dem in der Europäischen Union garantierten Niveau der Sache nach gleichwertig ist. Ist dies nicht möglich, müssen die Übermittlungen unterbleiben.

Für die Prüfung der Rechtslage im Drittland und der ergänzenden Maßnahmen können Verantwortliche die „Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten“ heranziehen. Deren endgültige Fassung hat der EDSA nach öffentlicher Konsultation am 18. Juni 2021 beschlossen (https://edpb.europa.eu/system/files/2021-06/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_en.pdf ).

An der beschriebenen Situation und den sich daraus ergebenden Verpflichtungen hat sich durch die neuen Standardvertragsklauseln nichts geändert. Diese regeln die bisher nur aus der Rechtsprechung des EuGH folgenden Anforderungen nun vielmehr ausdrücklich (Klausel 14). Die EU-Kommission und der EDSA haben die neuen Standardvertragsklauseln und die Empfehlungen 01/2020 bewusst aufeinander abgestimmt. Das heißt, auch bei Verwendung der neuen Klauseln muss der Datenexporteur die Rechtslage und -praxis des Drittlands prüfen und ggf. zusätzliche Schutzmaßnahmen ergreifen bzw., wenn dies nicht gelingt, von der Übermittlung Abstand nehmen.

In seinem Urteil „Schrems II“ hat der Europäische Gerichtshof das Datenschutzniveau in den USA im Detail geprüft und für unzureichend befunden. Im Fall von Datenübermittlungen in die USA sind daher regelmäßig ergänzende Maßnahmen erforderlich, die einen Zugriff der US-Behörden auf die verarbeiteten Daten verhindern. Solche Maßnahmen sind allerdings nur für wenige Fälle denkbar.

Unternehmen und andere Akteure, die personenbezogene Daten in Drittländer übermitteln, müssen gegenüber der Aufsichtsbehörde nachweisen können, dass sie die hier dargestellte Prüfung zum Schutzniveau im Drittland im Einzelfall durchgeführt haben und zu einem positiven Ergebnis gekommen sind. Die deutschen Aufsichtsbehörden haben mit Beratungen und Prüfungen dazu begonnen, ob und wie die Anforderungen des „Schrems II“-Urteils eingehalten werden.

Weitere Informationen zur DSK: www.datenschutzkonferenz-online.de

BayLDA: Hilfestellungen bei der Kontaktdatenerfassung und anderen infektionsschutzrechtlichen Aufgaben

/in /von

Verantwortliche sind hier in der Pflicht, einen wichtigen Beitrag zur Pandemiebekämpfung zu leisten und zugleich die sensiblen Daten ihrer Kundinnen und Kunden sorgsam zu verarbeiten. Michael Will, Präsident des Landesamts für Datenschutzaufsicht appelliert deshalb an die Verantwortlichen: „Datenschutz und Pandemiebekämpfung sind weder unversöhnliche Gegenspieler noch doppelte Bürokratie für die Unternehmen. Nur beide gemeinsam sichern das Vertrauen der Kundinnen und Kunden auf dem Weg zurück in unserer gewohnten Alltag.“

Das Landesamt für Datenschutzaufsicht hat bereits in der Vergangenheit vielfältige Hinweise entwickelt, die die praxisgerechte Umsetzung infektions- und datenschutzrechtlicher Anforderungen unterstützen: https://www.lda.bayern.de/de/thema_corona_gastronomie.html. Eine besondere Warnung gilt allen, die Kontaktdaten sorglos mit offenen Kontaktlisten auf Papier erfassen wollen und damit den Datenschutz ihrer Gäste missachten. Stattdessen empfiehlt das Landesamt bei Papiernutzung Einzelbögen mit den aktuell geforderten Angaben, für die ein Muster zum Download bereitsteht.

Angebote digitaler Kontaktdatenerfassung können eine wertvolle Entlastung bieten und stellen durch leistungsfähige Verschlüsselungsverfahren sicher, dass Unbefugte die Daten nicht für eigene Zwecke missbrauchen. Weitere Informationen finden Sie unter https://www.lda.bayern.de/de/thema_luca.html sowie hier: https://www.datenschutzkonferenz-online.de/media/oh/20210429_DSK_OH_Kontaktnachverfolgung.pdf.

Will stellt dazu fest: „Der unbedachte Umgang mit Kontaktdaten auf Papier war im ersten Jahr der Pandemie viel zu oft Anlass für Einzelfalluntersuchungen bis hin zu Geldbußen. Solche Verfahren sind unnötig und vermeidbar. Neben unseren Hilfestellungen für papiergebundene Kontaktdatenerfassung sehen wir mittlerweile einige leistungsfähige elektronische Kontaktdatenerfassungsverfahren, die datenschutzrechtlich gute Lösungen ermöglichen. Unsere bisherigen Prüfungen geben trotz einiger kritischer Diskussionen bislang keinen Anlass, von solchen Verfahren abzuraten, soweit die Anwendungshinweise der Hersteller zuverlässig umgesetzt werden.“

Sollten Verantwortliche die Vorlage von negativen Testergebnissen, Impf- oder Genesungsbestätigungen oder Atteste zur Befreiung von der Maskenpflicht überprüfen müssen, dürfen diese Nachweise nach dem Wortlaut der einschlägigen gesetzlichen Bestimmungen lediglich vorgelegt, also gesichtet, jedoch nicht kopiert werden. Weitere Informationen dazu finden Sie hier: https://www.lda.bayern.de/media/veroeffentlichungen/20210310_Befreiung_MNB.pdf.

Datenschutz-Aufsichtsbehörden: Koordinierte Prüfung internationaler Datentransfers

/in /von

Länderübergreifende Kontrolle der Datenschutzaufsichtsbehörden von Unternehmen zur Umsetzung der Schrems II Entscheidung des Europäischen Gerichtshofs

Presseinformation der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht vom 01.06.2021

Im Rahmen einer länderübergreifenden Kontrolle werden Datenübermittlungen durch Unternehmen in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittstaaten) überprüft. Das Ziel ist die breite Durchsetzung der Anforderungen des Europäischen Gerichtshofs in seiner Schrems-II-Entscheidung vom 16. Juli 2020 (Rs. C-311/18). Darin hat das Gericht festgestellt, dass Übermittlungen in die USA nicht länger auf Basis des sogenannten Privacy Shields erfolgen können. Der Einsatz der Standarddatenschutzklauseln für Datenübermittlungen in Drittstaaten ist ferner nur noch unter Verwendung wirksamer zusätzlicher Maßnahmen ausreichend, wenn die Prüfung des Verantwortlichen ergeben hat, dass im Empfängerstaat kein gleichwertiges Schutzniveau für die personenbezogenen Daten gewährleistet werden kann. Das Urteil des EuGH erfordert in vielen Fällen eine grundlegende Umstellung lange praktizierter Geschäftsmodelle und -abläufe.

Die an der Kontrolle teilnehmenden Behörden – darunter die brandenburgische Landesdatenschutzbeauftragte – schreiben nun die jeweils ausgewählten Unternehmen auf der Basis eines gemeinsamen Fragekatalogs an. Dabei wird es unter anderem um den Einsatz von Dienstleistern zum E-Mail-Versand, zum Hosting von Internetseiten, zum Webtracking, zur Verwaltung von Bewerberdaten und um den konzerninternen Austausch von Kundendaten und Daten der Beschäftigten gehen. Jede Aufsichtsbehörde entscheidet individuell, in welchen dieser Themenfelder sie tätig wird.

Der Gerichtshof hat seine Erwartung klar formuliert, dass die Behörden unzulässige Transfers „aussetzen oder verbieten“. Das Aussetzen einer Übermittlung kann voraussichtlich in vielen Fällen im kooperativen Dialog mit den Unternehmen gelingen. Wo dies nicht möglich ist, wird mit den zur Verfügung stehenden aufsichtsbehördlichen Maßnahmen reagiert. Die Aufsichtsbehörden sind sich der besonderen Herausforderungen, die das EuGH-Urteil zu Schrems II für die Unternehmen in Deutschland und Europa mit sich bringt, bewusst. Sie stehen für Verständnisfragen auch im weiteren Verlauf des Prüfungsverfahrens zur Verfügung, soweit dies nach Maßgabe der vorhandenen Kapazitäten möglich ist.

Der Fragenkatalog zu den jeweiligen Fallgruppen kann am Ende dieser Seite abgerufen werden:

Die Pressemitteilungen der Landesbeauftragten für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg können hier abgerufen werden.

Luca-App ist ein Einfallstor für Viren

/in /von

Während die Macher der Luca-App weiterhin versuchen, die Sicherheitsbedenken zahlreicher Entwickler abzuwiegeln, zeigt ein Security-Experte eindrücklich, wie leicht sich darüber sogar Malware in Gesundheitsämter einschleusen lässt.

Schon seit Wochen tobt in Deutschland ein heftiger Streit um die Luca-App zur Kontaktverfolgung. Während sie in der Bevölkerung, wohl nicht zuletzt durch den rührigen Marketing-Einsatz schwäbischer Pop-Prominenz, vorwiegend als hippe Hoffnung auf mehr Freiheiten gesehen wird, sehen andere in ihr ein regelrechtes Teufels(werk)zeug. Neben grundsätzlichen Fragen über die Notwendigkeit und den Datenschutz entsprechender Lösungen im Allgemeinen geht es dabei vor allem ganz konkret um die mangelhafte Sicherheit von Luca. Immer wieder zeigen Software- und Security-Experten anhand von Schwachstellen auf, dass die Lösung technisch offensichtlich nicht ganz ausgereift ist. Bislang konnten die Macher diese jedoch in der öffentlichen Wahrnehmung recht locker als vermeintliche Kleinigkeiten vom Tisch wischen. In aktuellen Umfragen schenken die Deutschen der Luca-App sogar mehr Vertrauen, als der offiziellen Corona-Warn-App.

Dass es sich bei den Schwachstellen aber keineswegs nur um unbedeutende Kinderkrankheiten handelt, macht jetzt der Security-Experte Marcus Mengs anhand einer kürzlich entdeckten Lücke  mehr als deutlich. Diese betrifft die bei der Namenseingabe erlaubten Zeichen. Nachdem Luca-Chef Patrick Hennig gegenüber der Zeit behauptet hatte, eine Code-Injektion sei darüber nicht möglich, schaute sich Mengs die Sache noch einmal genauer an und bewies jetzt wenige Tage später prompt das genaue Gegenteil. Er zeigt dabei nicht nur, dass sich über die Ausnutzung der Schwachstelle sehr wohl Code einschleusen ins Luca-Backend lässt, sondern auch, was damit alles möglich wird. Da Hacker über diese Hintertür sogar Zugang zu angeschlossenen Gesundheitsämtern bekommen könnten, ist das Gefahrenpotenzial enorm.

Mit einem simulierten Gesundheitsamtssystem demonstriert Mengs in seiner Demo etwa, dass sich auf diesem Weg sensible Daten aus den Netzwerken der Behörden absaugen lassen. In die andere Richtung könnten Hacker damit auch Malware einschleusen. In seinen Versuchen tauchte dabei lediglich eine kleine Warnmeldung von Office bei den zu infizierenden Clients auf, die viele Behördenmitarbeiter wohl einfach wegklicken würden. Ist diese Hürde genommen, könnten die Angreifer beispielsweise weitere Schädlinge nachladen um damit im internen Netz auf Raubzug zu gehen, oder die Ämter gar mit einer Ransomware-Attacke lahmlegen.

Damit ist es für Bürger wie Politik und Verwaltung gleichermaßen spätestens jetzt an der Zeit, die App-Strategie noch einmal genau zu überdenken. Dabei stehen sie vor einem paradoxen Problem. Während die offizielle Warn-App eher durch zu hohe Sicherheitsansprüche und eine traditionelle Skepsis gegenüber Behörden ausgebremst wird, setzen die gegenüber Bürger und auch viele Unternehmer lieber auf die offensichtlich deutlich riskante Alternative. Dass diese zudem zusätzliche Steuergelder kostet, ohne dafür einen echten Mehrwert zu bieten, wie Experten schon länger kritisieren, wird damit fast schon zur Randnotiz.

BAG zum Auskunftsanspruch Erteilung einer Kopie nach Art. 15 Abs. 3 DS-GVO

/in /von

Das Bundesarbeitsgericht (BAG, Urteil vom 27. April 2021 – 2 AZR 342/20) musste sich mit der Frage befassen, in welchem Umfang eine Arbeitgeberin ihren Beschäftigten im Rahmen eines Auskunftsverlangens nach Art. 15 Abs. 3 DS-GVO Kopien von deren personenbezogenen Daten zur Verfügung stellen muss. Die Parteien stritten im konkreten Fall darüber, ob der Kläger von der Beklagten die Erteilung einer Kopie seines E-Mail-Verkehrs mit ihr sowie der E-Mails, die ihn persönlich erwähnen, verlangen kann.

Der Kläger war bei der Beklagten als Wirtschaftsjurist beschäftigt. Nachdem die Beklagte das Arbeitsverhältnis gekündigt hatte, erteilte sie dem Kläger auf dessen Verlangen im März 2019 Auskunft über seine von ihr verarbeiteten personenbezogenen Daten bzw. deren Kategorien. Außerdem stellte sie dem Kläger die gespeicherten personenbezogenen Daten als sog. ZIP-Dateien zur Verfügung. Mit seiner Klage hat der Kläger u.a. geltend gemacht, die Beklagte schulde ihm gemäß Art.15 Abs. 3 DS-GVO weiterhin eine Kopie seiner von ihr verarbeiteten personenbezogenen Daten. Zu diesen gehörten auch der zwischen ihm und der Beklagten geführte E-Mail-Verkehr sowie diejenigen E-Mails, in denen er genannt werde. Das Arbeitsgericht hat die Klage, soweit sie auf die Erteilung einer Kopie seiner personenbezogenen Daten gerichtet ist, abgewiesen. Das Landesarbeitsgericht hat ihr teilweise entsprochen und sie im Übrigen abgewiesen. Es hat angenommen, der Kläger habe zwar einen Anspruch auf Erteilung einer Kopie seiner personenbezoge-nen Daten, die Gegenstand der Verarbeitung sind. Ein weitergehender Anspruch, insbesondere auf Kopien des vollständigen E-Mail-Verkehrs, bestehe dagegen nicht. Mit seiner Revision verfolgte der Kläger sein Begehren, soweit er damit unterlegen ist, weiter.

Das BAG hat nun entschieden, dass ein Klageantrag auf Überlassung einer Kopie von E-Mails nicht hinreichend bestimmt sei (iSv. § 253 Abs. 2 Nr. 2 ZPO), wenn die E-Mails, von denen eine Kopie zur Verfügung gestellt werden soll, nicht so genau bezeichnet sind, dass im Vollstreckungsverfahren unzweifelhaft ist, auf welche E-Mails sich die Verurteilung bezieht.

BvD: Rückschlag für UK Angemessenheitsbeschluss

/in /von

Am Donnerstag (20.05.2021) hat das EU-Parlament mit knapper Mehrheit die Zustimmung zum Angemessenheitsbeschluss mit UK abgelehnt.
Das genaue Verfahren, wie das EU-Parlament mit seinem LIBE-Ausschuss in die Entscheidungsfindung für Durchführungsrechtsakte der EU-Kommission eingebunden ist, wird in diesem informativen Beitrag von BHO-Legel beschrieben.
Die Ablehnung war mit 353 Stimmen zu 334 Stimmen bei 7 Enthaltungen knapp.
Momentan laufen die nächsten Entschließungsanträge im EU-Parlament. Es bleibt spannend…

Und wer Unternehmen mit Hauptsitz in Großbritannien berät, sollte nicht vergessen, zu prüfen, ob ein Vertreter nach Art. 27 DS-GVO eingerichtet werden muss, bevor dies als Datenschutzverstoß bewertet wird.

/