Home / Aktuelles & Termine / it.sec blog

Situation nach Schrems II-Urteil des EuGH

Nach dem Schrems II- Urteil des EuGH vom 16. Juli 2020, Rechtssache C-311/18, ist es gängige Praxis geworden, dass Unternehmen EU-Standarddatenschutzklauseln abgeschlossen haben, um einen Datentransfer in einen Drittstaat entsprechend abzusichern. Doch auch dieses Vorgehen verursachte bisher Unsicherheiten bei den Unternehmen, da nicht klar war, ob und welche zusätzlichen Maßnahmen getroffen werden müssen, um das gleiche Datenschutzniveau wie in den EU-Mitgliedsstaaten gewährleisten zu können.

Empfehlungen des European Data Protection Board (EDPB)

Am 11.11.2020 hat das EDBP hierauf reagiert und Empfehlungen für Transfer- und Überwachungsmaßnahmen im Rahmen des internationalen Datentransfers veröffentlicht.

Um herauszufinden, ob Datenexporteure zusätzliche Maßnahmen ergreifen müssen, um einen sicheren Datentransfer in Drittstaaten zu gewährleisten, soll gemäß EDPB wie folgt vorgegangen werden :

  1. Welche Datenübermittlungen in Drittstaaten liegen im Unternehmen vor?
    Beispiel: Archivierung von personenbezogenen Daten auf Servern eines Dienstleisters mit Sitz in einem Drittstaat.
  2. Auf welche Garantie stützt sich das Unternehmen bei der Datenübertragung gem. Art. 46 DSGVO?
    Beispiel: SCC oder Binding Corporate Rules.
  3. Beurteilung des eingesetzten Übertragungsinstruments unter Berücksichtigung aller Umstände der Datenübertragung auf seine Wirksamkeit hin.
    Beispiel: Im Rahmen des Schrems II Urteils des EuGH wurde festgestellt, dass die Zugriffsrechte der Behörden unter Abschnitt 702 der US-FISA nicht auf das notwendige beschränkt sind und damit dem Verhältnismäßigkeitsgrundsatz der DSGVO widersprechen.
  4. Festlegung zusätzlicher Maßnahmen (technische, organisatorische oder vertragliche Maßnahmen).
    Beispiel: Pseudonymisierung oder Verschlüsselung der übertragenen personenbezogenen Daten.
  5. Weitere Verfahrensschritte für die zusätzlich festgelegten Maßnahmen.
    Beispiel: Zusätzliche vertragliche Vereinbarungen zur Umsetzung der zusätzlich festgelegten Sicherheitsvorkehrungen müssen getroffen werden (Bsp. Aufbewahrung des Entschlüsselungscodes), welche den SCC nicht entgegen stehen dürfen und das Schutzniveau der DSGVO einhalten.
  6. Überwachung und Bewertung des Datentransfers in regelmäßigen Abständen.
    Beispiel: Es ist wurde ein Prozess implementiert, der die Datenübertragung in das Drittland stoppt, sobald Änderungen in der Gesetzgebung des Drittlandes dazu führen, dass die festgelegten Sicherheitsmaßnahmen zur Datenübertragung nicht mehr ausreichend sind.

Im Whitepaper des EDPB wird nach wie vor festgehalten, dass Unternehmen selbst für die Datensicherheit verantwortlich sind und nicht jede Datenverarbeitung in einem Drittstaat entsprechend abgesichert werden kann.

Entwurf für neue Standarddatenschutzklauseln (SCC) der Europäischen Kommission

Auch die Europäische Kommission hat am 13.11.2020 auf das Schrems II-Urteil reagiert und einen Entwurf über neue SCC veröffentlicht.


Die nachfolgenden Regelungen sind nun explizit in dem Entwurf der neuen SCC enthalten:

  1. Die Einhaltung der SCC soll nicht durch die Rechtslage des Bestimmungslandes vereitelt werden
  2. Die Informationspflicht gegenüber der betroffenen Personen bei Anfragen von Behörden besteht weiterhin.
  3. Es werden Rechtsmittel zur Anfechtung der Entscheidung eingelegt, sofern betroffene Personen bei behördlichen Maßnahmen nicht benachrichtigt werden dürfen.

Derzeit befinden sich die neuen Klauseln noch in der öffentlichen Konsultation und sind noch nicht von der Europäischen Kommission angenommen worden.

Fazit

Unternehmen sind gut damit beraten, die weiteren Entwicklungen hinsichtlich SCC und dem internationalen Datentransfer im Auge zu behalten. Es sollten entsprechende Prozesse für den internationalen Datentransfer im Unternehmen implementiert werden, welche sich an den Vorgaben des EDPB orientieren.

Laura Piater

Justiziarin

Consultant für Datenschutz

Im Zuge eines Kundenprojekts konnte das Research Team der it.sec GmbH eine bisher unbekannte Schachstelle im SharePoint Server identifizieren und auszunutzen. Hierbei handelte es sich um die Manipulation eines Requests, welcher vom SharePoint selbst erstellt wurde. Die Schwachstelle wurde seitens Microsoft als Cross Site Scripting (XSS) deklariert.

Die Schwachstelle befand sich in der Foto-Funktion des angemeldeten Benutzers. Beim Hochladen eines neuen Profilbilds wurde die Datei auf dem Server abgelegt. In einem zweiten Schritt hatte der Benutzer die Möglichkeit das Bild zu ändern oder das angezeigte Bild zu speichern. Der Request zum Speichern des Bildes enthielt einen Parameter, welcher die URL zum hochgeladenen Bild als Wert hatte. Der Inhalt des übergebenen Parameters wurde jedoch nicht serverseitig validiert, sodass eine beliebige URL übergeben werden konnte.

Folglich wurde diese URL von jedem Benutzer aufgerufen, sobald eine Seite angezeigt wurde, welche das Bild des Angreifers anzeigte.

Auch wenn es sich hierbei nicht um eine direkte Ausführung von JavaScript handelte, war es doch möglich verschiedene Informationen zu erhalten und dem Unternehmen zu schaden. Die folgenden vier Beispiele zeigen das Angriffspotenzial dieser Schwachstelle.

1. Denial of Service (DoS)

Hierbei könnte durch die Interaktion mit vielbesuchten Seiten, durch das Einbetten des Profilbilds, ein Link zu großen Dateien eingebunden werden. Dieser Netzwerkverkehr könnte z.B. zu einem Denial of Service (DoS) des aufrufenden Benutzers führen. Sollten mehrere Nutzer diese Seite aufrufen, könnte es unter Umständen zu einem vollen Ausnutzen der Bandbreite oder zu einer Überlastung des Firmen-Proxies oder der Firewall kommen.

2. Tracking (GDPR)

In der Standardkonfiguration des SharePoints mit dem Microsoft IIS Webserver wird der gesamte Referrer mitgesendet. Dies kann je nach Applikation sensible Daten enthalten, welche dann gespeichert und ausgewertet werden könnten.

3. Verschleiern von Angriffen

Das Einbinden einer beliebigen URL könnte auch von einem Angreifer genutzt werden, um andere Firmen anzugreifen. Hierbei könnte eine XSS-Schwachstelle oder eine DoS-Schwachstelle auf einer anderen Seite identifiziert worden sein. Der Angriff würde dann durch SharePoint Benutzer ausgeführt ohne dass diese es bemerken.

4. Reputationsschaden

Sollte der Link z.B. zu einer intern gesperrten Ressource führen, würde eventuell der aufrufende Benutzer wegen auffälligen Verhaltens gesperrt bzw. könnten diese persönlich in Verbindung mit dem Aufruf von beliebigen Seiten gebracht werden.

Die Schwachstelle (CVE-2020-1456) wurde bereits behoben und ein Security Patch steht bereit. Wir raten allen SharePoint Betreibern Sicherheitsupdates stehts zeitnah zu installieren, um bekannte Schwachstellen zu beheben.

Ihr it.sec Research Team

H&M wurde durch den Hamburgischen Datenschutzbeauftragten wegen der Überwachung von Mitarbeitern in einem Servicecenter in Nürnberg ein Rekordbußgeld von 35,3 Millionen Euro auferlegt.

 

Seit mindestens sechs Jahren wurden von einem Teil der Beschäftigten des Servicecenters umfangreich deren private Lebensumstände erfasst und auf einem Netzlaufwerk dauerhaft gespeichert. Bekannt wurde dies im Oktober 2019, weil die Notizen durch einen Konfigurationsfehler für einige Stunden unternehmensweit einsehbar waren.

 

Nach Angaben des hamburgischen Datenschutzbeauftragten führten die Vorgesetzten nach Urlaubs- und Krankheitsabwesenheiten der Mitarbeiter sog. Welcome Back Talks durch. Dadurch erlangtes Wissen wurde in etlichen Fällen festgehalten, z.B. konkrete Urlaubserlebnisse der Mitarbeiter oder Krankheitssymptome und Diagnosen. Die Vorgesetzten eigneten sich zusätzlich durch Einzel- oder Flurgespräche ein umfangreiches Wissen über das Privatleben der Mitarbeiter an, das von harmlosen Details bis zu familiären Problemen oder religiösen Bekenntnissen reichte. Diese Informationen wurden teilweise aufgezeichnet, digital gespeichert und konnten von bis zu 50 Führungskräften am Standort eingesehen werden. Die Aufzeichnungen waren zum Teil sehr detailliert und wurden laufend fortgeschrieben. Die so erhobenen Daten wurden neben einer akribischen Auswertung der individuellen Arbeitsleistung u.a. genutzt, um ein Profil der Mitarbeiter für Maßnahmen und Entscheidungen im Arbeitsverhältnis zu erhalten.

 

Die Kombination aus der Ausforschung des Privatlebens und der laufenden Erfassung, welcher Tätigkeit sie jeweils nachgingen, führte nach Angaben des Hamburgischen Datenschutzbeauftragten zu einem besonders intensiven Eingriff in die Rechte der betroffenen Personen und stellt eine schwere Missachtung des Beschäftigtendatenschutzes dar. Vor diesem Hintergrund sei das Bußgeld in seiner Höhe angemessen und geeignet, Unternehmen von Verletzungen der Privatsphäre ihrer Beschäftigten abzuschrecken.

 

Positiv bewertet wurde das Bekenntnis der Unternehmensleitung zur Unternehmensverantwortung nach einem Datenschutzverstoß. Es wurde ein umfassendes Datenschutzkonzept vorgelegt, die Unternehmensleitung hat sich ausdrücklich bei den Betroffenen entschuldigt und bemüht sich um Wiedergutmachung. In diesem Zuge soll den Betroffenen ein unbürokratischer Schadensersatz in beachtlicher Höhe ausgezahlt werden.

 

Dieses Bußgeld von 35,3 Millionen Euro übersteigt alle seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) in Deutschland verhängten Bußgelder deutlich und ist trotz der transparenten Aufklärung und Kooperation des Unternehmens hoch ausgefallen. Die Aufsichtsbehörden verschärfen also scheinbar ihr Vorgehen bei Datenschutzverstößen. Die Einhaltung der Vorschriften der DSGVO ist daher zur Vermeidung von (hohen) Bußgeldern unerlässlich.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

In den Art. 12 ff. Datenschutzgrundverordnung (DSGVO) sind die Rechte der betroffenen Personen geregelt. Art. 15 DSGVO regelt das Auskunftsrecht der betroffenen Personen, dessen Reichweite und Grenzen schon einige Gerichte beschäftigt hat und auch in Zukunft noch beschäftigen wird.

 

Das Bundesverwaltungsgericht (Urteil vom 16.9.2020, Az. 6 C 10.19) hat nun entschieden, dass der Insolvenzverwalter vom Finanzamt keine Auskunft über das Steuerkonto des Insolvenzschuldners, dessen Vermögen er verwaltet, verlangen kann, weil er nicht betroffene Person im Sinne der DSGVO ist.

 

Betroffene Person ist nach Art. 4 Nr. 1 DSGVO nur diejenige natürliche Person, die durch die personenbezogenen Daten identifiziert oder identifizierbar ist.

 

Nach Art. 15 Abs. 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende, personenbezogene Daten verarbeitet werden. Ist dies der Fall, hat die betroffene Person das Recht auf Auskunft über diese personenbezogenen Daten und die in Art. 15 Abs. 1 DSGVO genannten Informationen (z.B. Verarbeitungszwecke, Kategorien personenbezogener Daten, die verarbeitet werden). Nach Art. 15 Abs. 3 DSGVO hat die betroffene Person ferner das Recht auf den Erhalt einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind.

 

Das Auskunftsrecht ist ein höchstpersönliches Recht der betroffenen Person und gehört als solches nicht zur Insolvenzmasse und geht deshalb nicht mit Eröffnung des Insolvenzverfahrens auf den Insolvenzverwalter über. Als höchstpersönliches Recht ist es auch nicht darauf gerichtet, Dritten Informationen über die bei staatlichen Stellen vorhandenen Informationen zu verschaffen.

 

Eine Erweiterung des Auskunftsrechts auf den Insolvenzverwalter stehe dem Sinn und Zweck der Betroffenenrechte entgegen. Denn diese dienen dem Schutz des Grundrechts auf Achtung der Privatsphäre aus Art. 8 der Charta der Grundrechte der Europäischen Union. Dafür muss sich die betroffene Person von der Richtigkeit der Daten und der Zulässigkeit der Verarbeitung vergewissern können, was mit dem Auskunftsanspruch erreicht werden kann. Der Insolvenzverwalter wollte damit jedoch potentiell anfechtungsrelevante Sachverhalte zur Mehrung der Insolvenzmasse ermitteln und damit Auskunft über Informationen mit vermögensrechtlichem Bezug.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Das Landesarbeitsgericht (LAG) Berlin-Brandenburg (Urteil vom 04.06.2020, Az.: 10 Sa 2130/19) hat entschieden, dass Arbeitnehmer die Nutzung eines Zeiterfassungssystems mittels Fingerabdrucks verweigern dürfen.

 

In dem Fall führte der Arbeitgeber ein elektronisches Zeiterfassungssystem ein, das die Mitarbeiter mittels eines Fingerabdruckscanners identifizierte. Dafür verarbeitete das System die sog. Minutien, d.h. die Endpunkte und Verzweigungen der Fingerlinien. Der Fingerabdruck der Mitarbeiter konnte auf Grund der gespeicherten Minutien nicht rekonstruiert werden. Ein Mitarbeiter verweigerte die Nutzung dieses elektronischen Zeiterfassungssystems und erfasste seine Arbeitszeit weiterhin händisch. Daraufhin erteilte der Arbeitgeber ihm eine Abmahnung, gegen die sich der Mitarbeiter mit einer Klage wandte.

 

Das LAG hat entscheiden, dass der Arbeitnehmer die Nutzung des Zeiterfassungssystems verweigern und die Entfernung der Abmahnung aus der Personalakte verlangen darf.

 

Auch wenn das System nicht den ganzen Fingerabdruck, sondern nur die Minutien verarbeite, handele es sich dabei um biometrische Daten i.S.d. Art. 9 Abs. 1 DSGVO. Eine zulässige Verarbeitung dieser Daten kommt nur ausnahmsweise in den in Art. 9 Abs. 2 DSGVO geregelten Fällen in Betracht. Dies kann der Fall sein, wenn die Verarbeitung erforderlich ist, damit der Verantwortliche die ihm aus dem Arbeitsrecht erwachsenden Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen kann, Art. 9 Abs. 2 lit. b DSGVO, oder die betroffene Person ihre Einwilligung erteilt hat. Die Erforderlichkeit einer Arbeitszeiterfassung mittels Fingerabdruck lehnte das LAG hier jedoch ab.

 

Insgesamt sollten Arbeitgeber somit auf die Zeiterfassung mittels biometrischer Daten verzichten.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

 

Schrems II Urteil des EuGH

 

Nachdem der EuGH mit seinem Urteil vom 16. Juli 2020, Rechtssache C-311/18 — „Schrems II“ den EU – U.S. Privacy Shield für unwirksam erklärt hat, genügt die Teilnahme am U.S. Privacy Shield nicht mehr, um innerhalb der EU als datenschutzkonform zu gelten.

 

Schweizer Bundesbeauftragte für Datenschutz und Information (FDPIC) prüft Swiss- U.S. Privacy Shield

 

Zwar ist die Schweiz nicht Mitglied der EU und daher nicht an das Urteil des EuGH gebunden. Dennoch wurde der Swiss- U.S. Privacy Shield nun vor dem Hintergrund des EuGH Urteils neu bewertet. In seinem Positionspapier vom 08.09.2020 kommt der Schweizer Bundesbeauftragte für Datenschutz und Information (FDPIC) zu dem Schluss, dass auch der Swiss- U.S. Privacy Shield kein angemessenes Sicherheitsniveau für den Datenaustausch zwischen der Schweiz und der USA bietet.

 

Einschätzung desSchweizer Bundesbeauftragte für Datenschutz und Information (FDPIC)

 

Seit dem 11.01.2017 gilt die USA bei der Schweiz als Land mit „angemessenem Schutzniveau unter bestimmten Umständen“. Das bedeutet, dass Datentransfers bzgl. personenbezogener Daten zwischen der Schweiz und U.S. Unternehmen, welche sich für den Swiss- U.S. Privacy Shield zertifizieren haben lassen, als geschützt gelten.

 

Doch auch der Schweizer Bundesbeauftragte für Datenschutz und Information (FDPIC) bemängelt in dem Positionspapier vom 08.09.2020 unter anderem den Zugriff auf personenbezogene Daten durch die U.S. Behörden. Betroffene Personen aus der Schweiz haben demnach keine ausreichend durchsetzbaren Rechte in den USA. Dies gilt umso mehr, nachdem die Wirksamkeit des Ombudsmann- Prinzips, welches einen Rechtbehelf innerhalb der USA zusichern soll, mangels Transparenz nicht eingeschätzt werden kann. Zudem fehlen hinreichende Garantien der USA hinsichtlich der Beschränkung des Zugriffsrechts der U.S. Behörden auf personenbezogene Daten. Der Bundesbeauftragte für Datenschutz und Information (FDPIC) erklärt im Positionspapier weiter, dass ein solcher Eingriff durch U.S. Behörden in die Privatsphäre und die informationelle Selbstbestimmung der betroffenen Personen in der Schweiz vor diesem Hintergrund gegen die Grundsätze der rechtmäßigen Bearbeitung von personenbezogener Daten im Sinne des Schweizer Datenschutzgesetzes verstößt.

 

Hat die Einschätzung desSchweizer Bundesbeauftragte für Datenschutz und Information (FDPIC) Auswirkungen auf den Swiss- U.S. Privacy Shield?

 

Die Einschätzung des Schweizer Bundesbeauftragte für Datenschutz und Information (FDPIC) hat keinen direkten Einfluss auf die Anwendung des Swiss- U.S. Privacy Shield. Derzeit gibt es hierzu auch noch keine Rechtsprechung der Schweizer Gerichte. Es bleibt daher ungewiss, ob ein Zugriff der U.S. Behören auf personenbezogene Daten beim internationalen Datentransfers mit dem Schweizer Datenschutzgesetz konform ist.

 

Fazit

 

Zwar wurden im Positionspapier vom 08.09.2020 bereits Handlungsstrategien für betroffene Unternehmen veröffentlicht, wie zum Beispiel die Benutzung der EU Standarddatenschutzklauseln. Hierbei handelt es sich jedoch lediglich um eine Empfehlung und keine zwingend einzuhaltende Vorgabe.

 

Letztlich können sich Schweizer und U.S. Unternehmen daher derzeit noch weiterhin auf den Swiss- U.S. Privacy Shield berufen.

 

Laura Piater

 

Justiziarin

 

Consultant für Datenschutz

In einem Beschluss (Beschluss v. 22.07.2020 - Az.: 6 A 211/17) hat das OVG Lüneburg auf die Risiken bei der Verwendung von Faxgeräten zum Versand sensibler personenbezogener Daten hingewiesen. Im Rahmen eines Prozesses hatte eine Behörde ihrem Prozessbevollmächtigte wiederholt unverschlüsselt per Fax sensible Daten über den Kläger zukommen lassen, obwohl der Kläger der unverschlüsselten Übermittlung von personenbezogenen Daten bereits zu Beginn des Verfahrens widersprochen und auf seine besondere Schutzbedürftigkeit hingewiesen hatte.

 

Das Gericht sah hierin einen Verstoß gegen das Niedersächsischen Landesdatenschutzgesetzes durch die Behörde. Faxen sei ein unsicheres Kommunikationsmedium, weil die Informationen grundsätzlich unverschlüsselt versandt werden, abhörbar seien und ein Fehlversand aufgrund falscher Eingabe der Rufnummer immer wieder vorkommen. Außerdem hätten bei modernen Faxgeräten oftmals Wartungsfirmen Zugriff auf die Geräte und könnten daher Kenntnis vom Inhalt versandter Dokumente erhalten. Daher sei irrelevant, dass die Mitarbeiter der Kanzlei als Empfänger der Nachricht ebenso wie die Rechtsanwälte selbst einer beruflichen Schweigepflicht unterliegen.

 

Wir nehmen das Urteil zum Anlass, Sie darauf hinzuweisen, auch beim Faxen die notwendigen datenschutzrechtlichen Vorgaben zu beachten:

 

  • Verzichten Sie möglichst auf das Faxen von sensiblen personenbezogenen Daten.
  • Verwenden Sie nach Möglichkeit Verschlüsselungslösungen im Faxgerät.
  • Erstellen Sie Adresslisten im Faxgerät selbst um eine Falscheingabe von Faxnummern zu verhindern
  • Sorgen Sie für einen zugangsbeschränkten Standort von Faxgeräten.
  • Prüfen Sie regelmäßig und sorgfältig die technischen Parameter Ihrer Geräte, Verteilerlisten und Protokolle der Faxsoftware.

 

Wie immer stehen wir bei weiteren Fragen gerne zur Verfügung.

 

C. Lürmann

 

Rechtsanwältin

 

Consultant für Datenschutz

Mit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) wurde das Recht des Einzelnen manifestiert, dass seine personenbezogenen Daten zu einem, zu bestimmenden, Zeitpunkt wieder gelöscht werden müssen. Unterschieden wurde in Art. 17 DSGVO zwischen unveröffentlichten Daten (Abs. 1) und veröffentlichten Daten (Abs. 2).Grundgedanke der Regelung des Art. 17 Abs. 2 DSGVO war dabei, dass Informationen über Personen nur so lange öffentlich auffindbar sein sollen, wie diese auch benötigt werden. Es war ein Versuch den Ausspruch: „Das Internet vergisst nicht“ umzukehren und dem Verantwortlichen die Pflicht aufzuerlegen, einmal veröffentlichte Daten auch wieder zu „ent-öffentlichen“.

 

Sowohl selbstständig veröffentlichende Verantwortliche, insbesondere (Online-)Zeitungen oder auch Verbände und Unternehmen mittels Pressemitteilungen als auch Suchmaschinenbetreiber, die lediglich bereits online vorhandene Informationen darstellen, sind in diesem Zusammenhang besonders gefordert: Wann müssen Informationen über Personen gelöscht werden, welche Informationen über Personen dürfen nicht (mehr) angezeigt werden?

 

Rechtsprechung des Bundesgerichtshofs (BGH)

 

Mit seinem jüngsten Urteil hat der BGH nun die Grenzen des Rechts auf Vergessenwerdens aufgezeigt. Im Verfahren VI ZR 405/18 ging es darum, dass ein ehemaliger Geschäftsführer eines Verbands erreichen wollte, dass ein erschienener Artikel über finanzielle Unregelmäßigkeiten in der Ergebnisliste eines Internet-Suchdienstes nicht mit seinem Namen in Verbindung gebracht werden sollte. Während das oberste deutsche Gericht (BGH) bislang davon ausging, dass die Schutzinteressen der betroffenen Personen regelmäßig Vorrang genießen, wies es nun darauf hin, dass bei Prüfung eines Löschverlangens zwischen den Interessen der betroffenen Personen und denen der Öffentlichkeit abgewogen werden müssen. Darüber hinaus könne sich die betroffene Person im Rahmen der Grundrechtsabwägung nicht auf nationale Vorschriften berufen, da das Datenschutzrecht abschließend Europäisch geregelt ist und damit Anwendungsvorrang genießt. Die Klage blieb hier erfolglos, da die Berichterstattung im konkreten Fall rechtmäßig war.

 

Im Rahmen eines weiteren Verfahrens VI Z8R 476/18 kam es gerade auf die Rechtmäßigkeit der Berichterstattung an. Hier bestritten die betroffenen Personen die Rechtmäßigkeit einer Berichterstattung und verlangten die Löschung ihrer Namen und Bilder vom beklagten Suchmaschinen-Betreiber. In diesem Fall legte der BGH dem EuGH zwei Fragen zur Vorabentscheidung vor:

 

  1. Darf in einer vorzunehmenden Grundrechtsabwägung maßgeblich darauf abgestellt werden, dass der betroffenen Person andere Rechtsmittel (etwa eine einstweilige Verfügung gegen den Webseitenbetreiber, zu dem ein Link führt) zur Verfügung stehen?
  2. Muss bei einer Bildersuche der Kontext einer Berichterstattung mit berücksichtigt werden auch wenn der Kontext nicht mit angezeigt wird?

 

Bewertung

 

Durch das erste Verfahren wurde seitens des BGH der europäische Kontext der Datenschutz-Grundverordnung gestärkt. Er hat deutlich gemacht, dass Europäische Normen nur im Europäischen Wertekontext zu messen sind. Darüber hinaus hat das Gericht jedoch auch deutlich gemacht, dass bei der Kollision zwischen verschiedenen europäischen Grundrechten eine Abwägung im Einzelfall vorzunehmen ist, ebenso wie dies bei nationalen Grundrechten auf nationaler Ebene der Fall ist. Das Gericht ebnet damit den Weg zu einer einheitlichen Europäischen Rechts- und damit Werteordnung.

 

Die Entscheidung des EuGHs zu den beiden Vorabfragen darf mit Spannung erwartet werden. Insbesondere bei Bejahung der zweiten Frage wäre die Entwicklung künstlicher Intelligenz zur Feststellung eines Kontextes, in dem ein Bild veröffentlicht wird, offensichtlich stark gefordert.

 

C. Lürmann

 

Rechtsanwältin

 

Consultant für Datenschutz

Arbeitnehmer haben nach Art. 15 Datenschutzgrundverordnung (DSGVO) ein Auskunftsrecht gegenüber ihrem Arbeitgeber. Dieser ist verpflichtet, die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache spätestens innerhalb eines Monats nach Eingang des Antrags zur Verfügung zu stellen. Art. 82 DSGVO regelt bei Verstößen einen entsprechenden Schadensersatzanspruch.

 

Ein ehemaliger Arbeitnehmer hat gegenüber seinem Arbeitgeber diesen Auskunftsanspruch nach Art. 15 DSGVO geltend gemacht. Der Arbeitgeber ist diesem Auskunftsverlangen jedoch erst nach Monaten und auch nur unvollständig nachgekommen.

 

Das Arbeitsgericht Düsseldorf (Az.: 9 Ca 6557/18) hat das beklagte Unternehmen aus diesem Grund nun zu Schadensersatz in Höhe von 5.000 Euro verurteilt.

 

Die 5.000 Euro Schadensersatz setzen sich wie folgt zusammen: je 500 Euro für die ersten zwei Monate der Verspätung, je 1.000 Euro für die weiteren drei Monate und für die beiden inhaltlichen Mängel der Auskunft je 500 Euro. In die Abwägung des Gerichts floss dabei ein, dass es nur von einem fahrlässigen Verstoß des Unternehmens ausging, der entstandene immaterielle Schaden beim Kläger nur gering war, keine anderen Verstöße bekannt waren und das Unternehmen eine hohe Finanzkraft hatte.

 

Die Entscheidung ist noch nicht rechtskräftig, da das Gericht wegen der grundsätzlichen Bedeutung der Sache, insbesondere der fehlenden höchst- und obergerichtlichen Rechtsprechung, die Berufung zugelassen hat.

 

Nehmen Sie daher Auskunftsansprüche ernst und beginnen Sie unverzüglich mit deren Bearbeitung.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Ein Logistik- und Versandunternehmen hat anhand von Bildaufnahmen kontrolliert, ob die Arbeitnehmer den Corona-Sicherheitsabstand von mindestens 2 Metern im Betrieb einhalten.

 

Das Arbeitsgericht Wesel hat (Az.: 2 BVGa 4/20) dem Unterlassungsanspruch des Betriebsrats insofern stattgegeben, als das Unternehmen es zu unterlassen hat, die Aufnahmen zum Zwecke der Abstandsmessung/-überwachung zu verarbeiten oder an Dritte zu übermitteln ohne zuvor eine entsprechende Einigung mit dem Betriebsrat herbeizuführen.

 

Der Entscheidung lag folgende Situation zugrunde: Die Videokameras waren aufgrund einer Betriebsvereinbarung rechtmäßig installiert. Das Unternehmen anonymisierte die Videodaten mittels einer Software auf Datenservern in Dublin, auf denen die Aufnahmen für sieben Tage gespeichert und danach automatisch gelöscht wurden.

 

Der Betriebsrat hatte in diesem Fall ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG (Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen) und nach § 87 Abs. 1 Nr. 7 BetrVG (Regelungen über den Gesundheitsschutz im Rahmen der gesetzlichen Vorschriften).

 

Das Arbeitsgericht Wesel weist in seinem Beschluss ferner darauf hin, dass der Arbeitgeber auch in Eilfällen verpflichtet ist, den Betriebsrat zu beteiligen und dessen Mitbestimmungsrecht nach § 87 BetrVG zu wahren. Dies gelte auch unter Berücksichtigung der gegenwärtigen Corona-Pandemie. Lediglich in sog. Notfällen, in denen sofort gehandelt werden müsse, um von dem Betrieb oder den Arbeitnehmern Schaden abzuwenden und in denen entweder der Betriebsrat nicht erreichbar sei oder keinen ordnungsgemäßen Beschluss fassen könne, könne man über ein Recht des Arbeitgebers für einseitige Anordnungen diskutieren. Ein solcher Notfall und eine solche akute Gefahr, die es abzuwenden gilt, sei in diesem Fall jedoch nicht gegeben.

 

Aufgrund der Betriebsvereinbarung dürfen zwar Aufnahmen von Arbeitnehmern gemacht und gespeichert werden. Die Aufnahmen dürfen jedoch nicht zu anderen als den vereinbarten Zwecken verarbeitet und weitergegeben werden. Der Zweck der Corona-Abstandsmessung wurde bei Abschluss der Betriebsvereinbarung nicht geregelt, sodass datenschutzrechtlich bereits ein Verstoß gegen den Zweckbindungsgrundsatz des Art. 5 Abs. 1 lit. b DSGVO vorliegt.

 

Die Mitbestimmungsrechte des Betriebsrats und der Datenschutz sind daher auch in diesen Fällen zwingend zu beachten.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

20 Mitarbeiter 50 Millionen A1 Digital Abbinder Abmahnung Abmahnungen Abo-Falle Abstandsmessung Abstandsüberwachung Abstimmung Abwehr terroristischer Straftaten ADCERT Adressbuch AfD Airbnb Amnesty Anbieter Angemessenheitsbeschluss Angemessenheitsentscheid Angreifer Angriff Anklage Anonymisierung Ansteckungsgefahr Anwendbarkeit Anwendung Anwesenheit AOK Apple Applikationen AppLocker Arbeitgeber Arbeitnehmer Arbeitsabläufe Arbeitsgericht Arbeitsmittel Arbeitsrecht Arbeitsunfähigkeitsbescheinigung Arbeitszeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Attacken Auchfsichtsbehörde Audit Aufsichtsbehörde Aufsichtsbehörden Auftragsverarbeiter Auftragsverarbeitung Aufzeichnung Auskunft Auskunftei Auskunftsanspruch Auskunftsansprüche Auskunftsrecht Auskunftsverlangen auslisten Ausnutzung Ausspähen Austritt Austrittsabkommen Auswertung Authentizität Automatisierte Einzelentscheidung Autsch Avast Backup Baden-Württemberg BAG BayDSG Bayerisches Datenschutzgesetz BDSG BDSG-Neu Beamte BEAST Bedrohung Beekeeper Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Benutzerauthentifizierung Berechtigungen Berufsgeheimnis Beschäftigtendatenschutz Beschäftigtenumfragen Beschluss Beschlussfassung Beschwerde besondere Kategorien personenbezogener Daten Besucherdaten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsrat Betriebsratssitzung Betriebsvereinbarung Betriebsverfassungsgesetz Betriebsversammlungen betroffene Person betroffene Personen Betroffenenanfragen Betroffenendaten Betroffenenrechte BetrVG Bewegungsprofil Bewerberdaten BfDI BGH Bildaufnahmen Bildberichterstattung Bildersuche Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom BKA Black- bzw. Whitelisting Technologie Bonität Bonitätsprüfung Bounty Brexit Britische Datenschutzbehörde Browser BSI Bug-Bounty-Programm Bund Bundesamt für Sicherheit in der Informationstechnik Bundesarbeitsgericht Bundesfinanzministerium Bundeskartellamt Bundesnetzagentur Bundesregierung Bürokratieentlastungsgesetz Bußgeld Bußgelder Bußgeldverfahren BVG Callcenter Cambridge Analytics Citizen-Score Cloud Cloud-Lösung CNIL Compliance Computer Cookie Cookies Corona Coronavirus COVID-19 CovidLock Malware Coworking-Spaces Cross Site Scripting Custom Audience CVE-2020-1456 Cyber Cyber-Attacken Cyberangriffe Cyberkriminalität Cyberkriminelle Cybersicherheit Cyble c`t Darknet Dashcam data breaches data protection officer Daten Daten-für-alle-Gesetz Datenaustausch Datenerhebung Datenlöschung Datenminimierung Datenmonopol Datenpanne Datenpannen Datenschutz Datenschutz Grundverordnung Datenschutz und Informationsfreiheit Datenschutz- und Informationssicherheitsbeauftragten Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzaufsichtsbehörde Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragten Datenschutzbeauftragter Datenschutzbehörde Datenschutzerklärung Datenschutzgesetz Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzkonferenz datenschutzkonform Datenschutzmängel Datenschutzniveau Datenschutzprinzipien Datenschutzvereinbarung Datenschutzverletzung Datenschutzverletzungen Datenschutzverstöße Datenschutzverstößen Datensicherheit Datentransfer Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenübertragung Datenverarbeitung Datenverarbeitungsprozesse Dating Dating-Portale Denial of Service Deutsch deutsch Deutsche Bahn Deutsche Bundesbank deutsche Telemediengesetz Deutsche Wohnen SE Diagnose Diebstahl Dienste Diensteanbieter Dienstleister Diesel-Fahrverbot Dieselfahrverbot Dieselskandal Direktwerbung Do not track-Funktion Dokumentation Donald Trump Dritter Drittland Drittstaat Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSG DSGVO DSK Durchsuchung Dynamic Data Exchange Protokoll dynamische IP-Adresse E-Mail E-Mail-Kampagnen e-Privacy-Verordnung E-Rechnung eCall-Technologie EDÖB EDPB EES EFAIL ehrenamtlich tätiger Vereine Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Eigentum Einhaltung Einschränkungen Einsichtnahme Einwilligung Einwilligungserklärung Einwilligungserklärungen Einzelfall elektronische Kommunikation Empfänger Empfehlungen Ende-zu-Ende Ende-zu-Ende-Verschlüsselung Englisch ENISA Entlastung Entsorgung ePrivacy ePVO Erfassung Ergebnisliste Erhebung Erhebung personenbezogener Daten Erhebungsverbot Ernährung Erwägungsgrund 48 der DSGVO eSafety-Initiative Essenswünsche Ethik ETIAS EU EU Kommission EU-Bürger EU-Datenschutz-Grundverordnung EU-Datenschutzgrundverordnung EU-Mitgliedsstaaten EU-Parlament EU-Richtlinie EU-Standardvertragsklauseln EU-Vertreter EuGH Euratom Europa Europäische Atomgemeinschaft Europäische Aufsichtsbehörde Europäische Kommision Europäische Kommission Europäische Union europäischen Vorschriften Europäischer Gerichtshof European Data Protection Board EWR externe Quellen Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber Faxgerät FBI FDPIC Feedback Fernmeldegeheimnis Festplatte Finanzamt Finanzsektor Fingerabdruck Fingerabdruckscanner Firmensitz FlugDaG Fluggast Fluggastdaten Fluggastdatengesetz Folgenabschätzung Formalien Foto Foto-Funktion Framework freiwillig fristlose Kündigung Funkmäuse Funktastaturen Fürsorgepflicht GDPR gefährdet Geheimhaltung Geldbörse Geldbußen Geldstrafe Gemeinsam Verantwortliche Gericht Gerichtsbeschluss Gesellschaft für Informatik Gesetz Gesetz gegen den Unlauteren Wettbewerb Gesetz gegen Wettbewerbsbeschränkungen gestohlen Gesundheitsdaten Gewährleistung ginlo Business Google Google Analytics GPS grenzüberschreitend Groß-Britannien Großbritannien Grundrechte Grundrechtsabwägung Grundrechtseingriffen Grundsatz der Zweckbindung GWB H & M H&M Hack hack day Hackathon hacken Hacker Hackerangriff hackfest halal Handy-Tracking Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Health Checks Hinweisgeber Hoccer höchstpersönlich Höchstvermietungsdauer Home Office Home-Office Homeoffice Hygiene Immobilienmakler Infomationen Information Informationen Informationsfreiheit Informationspflicht Informationspflichten Informationssicherheit Informationssicherheitsbeauftragte Infrastruktur Inhalteanbieter Insights Insolvenzmasse Insolvenzverfahren Insolvenzverwalter Installation Integrität interner Datenschutzbeauftragter Internet Intrusion-Prevention-Systeme Investition iOs-App IP-Adresse iPad iPhone IPS Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Mitarbeiter IT-Security IT-Sicherheit IT-Systeme Italien ITSECX Jahresbericht Japan Jin-hyok Joint Control Kanada Kennzeichen-Scan Keynote Klagebefugnis Klingelschilder KNLTB kollektive Daten Kommune Kommunikation Kommunikationsmedium Konferenz Kontaktbeschränkungen Kontaktdaten Kontakte Kontaktpersonen Kontaktsperre Konzern konzerninterner Datentransfer Körpertemperatur KoSIT Krankenkasse Krankheit Kriminalität Kriminelle Krise KUG Kundenbindung Kundenzufriedenheit Künstliche Intelligenz Kunsturhebergesetz Kurzarbeit Landesarbeitsgericht Landesbeauftragte Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg Landesdatenschutzbeauftragten Landesdatenschutzgesetz Landesverband Laptop Lazarus Lebensweise Lehrer Leistungs- und Verhaltenskontrolle LfDI Baden-Württemberg LfDI BW Like-Button LLC Löschpflicht Löschung personenbezogener Daten Löschungsrecht Löschverlangen Lösegeld Machtposition Mail Makler Malware Manipulation eines Request Markennamen Markenrecht marktbeherrschende Stellung Marktforschung Marktortprinzip Maßnahmen MD5 Meldebehörde Meldepflicht meldepflichtige Krankheit Meldeportal Meldescheine Meldesystem Meldung Meltdown Menschenrecht Menschrechtsverletzungen Messenger Messung Microsoft Microsoft Office Mieter Mietverhältnis Minutien Misch-Account Missbrauch Missbrauch von Kundendaten missbräuchlich Mitarbeiter Mitbestimmung Mitbestimmungsrecht Mitbewerber Mitglieder Mitgliedsstaaten Mitwirkung Mobiltelefon MouseJack-Angriffe natürliche Person Nebenjob Nebentätigkeit Netzwerklabor Neutrale Schule nicht datenschutzkonform Niederlande NIST No-Deal-Brexit Nordkorea Notebook Nutzer Nutzung Nutzungsbedingungen Oberlandesgericht Düsseldorf öffentliche Stelle Office Office 365 Öffnungsklauseln OLG OLG Stuttgart One Stop Shop One-Stop-Shop Online Online-Gewinnspiel Online-Kommunikationstools OpenPGP Opfer Österreich Pandemie Papierrechnung Passenger Name Records Passwort Passwort-Sicherheit Passwörter Passwörter. 2016 Passwortfilters Passwortregeln Passwortschutz Patientendaten Penetration Tests Penetrationstest Penetrationstests personal data Personalabteilung Personalausweiskopien Personalfragebogen Personalverantwortliche personenbezogene Daten personenbezogenen Daten Personenbilder persönliche Daten Persönlichkeitsrechte Pflichten Pharmalobbyist Phishing Phishing-Kampagnen Phising Plattformbetreiber PNR-Daten PNR-Instrumente Polizei POODLE Power Query PowerShell-Umgebung Prävention Praxistipps Privacy by Default Privacy by Design Privacy Shield privat private Endgeräte private Handynummer private Mobilfunknummer private Telefonnummer Privatleben Privatnutzung Privatnutzungsverbot Privatspäre Privatsphäre Problem Profiling Quantencomputer Quarantäne Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Rechtmäßigkeitsvoraussetzungen Rechtsabteilung rechtswidrig Referenten Regelungsaufträge Reichweitenanalyse Reputationsschaden Research Risiken Risiko Risikogruppen Risikomanagement Risk & Compliance Management Robert-Koch-Institut Rufschädigung Ruhezeiten S/MIME SamSam Sanktion Sanktionen SCC Schaden Schadensersatz Schadprogramm Schadsoftware Schrems II Schüler Schulung Schutz schützenswert Schutzmaßnahmen Schutzniveau schutzwürdige Interessen Schwachstelle Schwachstellen Schweiz SDSG second line of defense Security by Design Seitenbetreiber Sensibilisierung SHA1 SharePoint sicher Sicherheit Sicherheits- und Datenschutzmängel Sicherheitslücke Sicherheitslücken Sicherheitsmängel Sicherheitsstandards Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Signal Signatur Sitzungen Skype Smartphone Social Plugin Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke soziale Netzwerke SPD Spectre Speicherdauer Sponsoren Sprache Sprachkenntnis Standarddatenschutzklauseln Standardvertragsklauseln Standort Steuer Steuerberater Strafe Strafverfolgung Studenten Suchanfrage Suchdienst Suchmaschine Supercomputer Risikolage supervisory authority Support Swiss IT Security Gruppe Swiss- U.S. Privacy Shield Swiss-US Privacy Shield Synergiepotenziale Systemadministrator Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Technische und organisatorische Maßnahmen technische und organisatorische Maßnahmen Telefonnummer Telefonwerbung Telemarketing Telemediendienst Telemediengesetz Teleselling Telstra Security Report Tennisclub Threema Work TIBER TIBER-DE TKG TLS TMG TOM Tools Totalrevision Tracking Tracking Tools Tracking-Tools Transfer- und Überwachungsmaßnahmen Transportverschlüsselung Twitter Übergangsphase Übermittlung personenbezogener Daten Übernahme Übertragung Überwachung Überwachungssoftware Umfrage Umsetzungsfrist Unberechtigte Datenabfrage unerlaubt Unionsbürger unpersonalisierter Benutzer-Account Unterlassungsanspruch Unternehmen Unternehmensgröße Unternehmensgruppe Unternehmenssprache unverschlüsselt unzulässig Update Urlaub Urteil US-Behörden US-Regierung USA UWG Vegan Vegetarier Verantwortlicher Verantwortung Verarbeitung Verarbeitungsverbot Verbot Verbraucher Verbraucherzentralen Verdachtsfälle Vereinbarung Vereinigte Königreich Vereinigtes Königreich Großbritannien und Nordirland Verfahren C-311/18 Vergessenwerden Verlängerung verloren Verlust Vermieter Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselung Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Vertragsanbahnung Verwaltungsakt Verwaltungsgericht Karlsruhe VG Mainz Video-Kommunikation Videokamera Videokonferenz Videokonferenzen Videoüberwachung Virus Voraussetzungen Voreinstellungen Vorgesetzte Vorsicht Vorteile Wachstum WAF WannaCry Warnung Web-Applikation-Firewalls Webcast Webseite Webseiten Webseitenbesucher Webseitenbetreiber Website Website-Betreiber Webtracking Webtrecking weisungsunabhängig Weitergabe Weitergabe an Dritte Weltanschauung Werbeaussage Werbezwecke Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblower Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wien Windows Wire Enterprise Wirklichkeitsmodell Wohnung X-Rechnung Youtube Zeiterfassung zentralisierte Verwaltung Zertifikat Zertifizierung Zoom Zoom Video Zugangsdaten Zugriff Zugriffsmöglichkeiten Zugriffsrechte Zugriffsverwaltung Zukauf zulässig Zulässigkeit zusätzliche Maßnahmen Zusatzschutz zuständig Zwangsgeld Zweck Zweckbindung Zweckbindungsgrundsatz § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30