Die Datenschutzaufsicht Niedersachsen hat erfolgreich gegen eine Online-Apotheke geklagt, die im Rahmen ihres Bestellprozesses das Geburtsdatum als zwingende Angabe abfragte. Diese Praxis verstöĂt gegen den Grundsatz der Datenminimierung, wie das NiedersĂ€chsische Oberverwaltungsgericht bestĂ€tigte.
Die Nutzung von FaxgerĂ€ten geht im Zeitalter der Digitalisierung immer weiter zurĂŒck. Grund dafĂŒr ist nicht nur, dass es technisch neuere Alternativen gibt, sondern auch dass es mit der Ausweitung des Datenschutzes zu rechtlichen Problemen kommt. Daher will unter anderen der bayerische Staatsminister fĂŒr Digitales keine interne Kommunikation mehr ĂŒber das Fax laufen lassen.Â
Im Rahmen der Verarbeitung personenbezogener Daten hat der Betroffene gemÀà Art. 15 DSGVO ein Auskunftsrecht gegen den Verantwortlichen. Dabei hat er einen Anspruch darauf, zu erfahren, welche Daten in welchem Umfang verarbeitet werden. Um seiner Pflicht nachzukommen, muss der Verantwortliche dem Betroffenen gemÀà Art. 15 Abs. 3 DSGVO eine “Kopie der verarbeiteten Daten” zur VerfĂŒgung stellen. Jedoch war bisher umstritten, was genau unter einer solchen Kopie zu verstehen ist. In einem aktuellen Urteil stellte der EuGH nun klar, wie der Begriff der “Kopie” in Art. 15 Abs. 3 DSGVO auszulegen ist.Â
Nachdem europĂ€ische Unternehmen und Website-Betreiber lange darauf gewartet haben, ging es plötzlich doch ganz schnell: Am 10.07.2023 hat die EU-Kommission den lange angekĂŒndigten Angemessenheitsbeschluss fĂŒr das EU-US Data Privacy Framework erlassen. Damit ist der Nachfolger des Privacy Shields offiziell in Kraft und kann ab sofort als Grundlage fĂŒr Datentransfers an zertifizierte US-Unternehmen herangezogen. Hierdurch wird der Einsatz zahlreicher Software-Produkte wie beispielsweise Cloud-Dienste, Newsletter-Services oder auch Analysetools wieder deutlich einfacher – zumindest vorlĂ€ufig.
Hintergrund: Seit der EuropĂ€ische Gerichtshof im am 16.07.2020 in seinem Schrems II – Urteil das “Privacy Shield” Abkommen fĂŒr unwirksam erklĂ€rt hatte, waren transatlantische Datentransfers immer mit einem erheblichen Risiko verbunden. EuropĂ€ische Unternehmen, welche Dienste von US-Services wie Google, Microsoft, Facebook & Co. einsetzen wollten, mussten sicherstellen, dass diese durch “besondere MaĂnahmen” ein angemessenes Schutzniveau gewĂ€hrleisten. In der Praxis war dies kaum möglich. In der Folge erging eine ganze Reihe von Entscheidungen, in denen Tools wie Google Analytics oder MailChimp durch Datenschutzbehörden faktisch untersagt wurden.
KĂŒnftig können sich US-Unternehmen unter dem Data Privacy Framework zertifizieren lassen. HierfĂŒr mĂŒssen sie bestimmte DatenschutzgrundsĂ€tze einhalten. Hierzu zĂ€hlt beispielsweise die Pflicht, personenbezogene Daten zu löschen, wenn sie fĂŒr den Zweck, fĂŒr den sie erhoben wurden, nicht mehr erforderlich sind. AuĂerdem ist der Fortbestand des Schutzes zu gewĂ€hrleisten, wenn personenbezogene Daten an Dritte weitergegeben werden. DarĂŒber hinaus sieht der neue Rechtsrahmen BeschrĂ€nkungen fĂŒr den Zugriff von US-Geheimdiensten auf DatenbestĂ€nde vor. Dieses Zugriffsrecht war einer der HauptgrĂŒnde, der zur UngĂŒltigkeit des Privacy Shields gefĂŒhrt hatte. KĂŒnftig sind solche Zugriffe auf das zum Schutz der nationalen Sicherheit notwendige und verhĂ€ltnismĂ€Ăige MaĂ zu beschrĂ€nken.
Durch den Angemessenheitsbeschluss wird die Verwendung US-amerikanische Softwareprodukte und Tools erheblich erleichtert. Ăbergangslösungen – wie beispielsweise den Datentransfer auf eine informierte Einwilligung gemÀà Art. 49 Abs. 1 lit. a DSGVO zu stĂŒtzen – werden vorlĂ€ufig obsolet. Verbraucher- und DatenschĂŒtzer, allen voran der Ăsterreicher Max Schrems, haben allerdings bereits angekĂŒndigt, auch das Data Privacy Framework gerichtlich prĂŒfen zu lassen. Aus ihrer Sicht bestehen die Bedenken, die zur UngĂŒltigkeit des Pricacy Shields gefĂŒhrt hatten, auch beim neuen Abkommen fort. Die Entwicklung bleibt abzuwarten. Unternehmen ist zu empfehlen, die in den letzten Jahren erarbeiteten Konzepte und zusĂ€tzlichen SchutzmaĂnahmen nicht von heute auf morgen ĂŒber den Haufen zu werfen.
Bild: Midjourney
In einem aktuellen Urteil hat das Arbeitsgericht Oldenburg ein Unternehmen zur Zahlung eines Schadensersatzes in Höhe von EUR 10.000,00 verurteil. BegrĂŒndet wurde es mit einem immateriellen Schaden den der KlĂ€ger durch die Verletzung des datenschutzrechtlichen Auskunftsanspruchs erlitten haben soll.