Controller-Controller-Vertrag
Ist ein Vertrag zwischen Verantwortlichen, die nicht gemeinsame Verantwortliche sind, notwendig? Werden zwischen Unternehmen personenbezogene Daten ausgetauscht oder nutzen zwei oder mehrere Unternehmen einen gemeinsamen Datenpool, das findet sich häufig in Konzernkonstellationen, regelt die DSGVO zwei Fallkonstellationen: Die Auftragsverarbeitung (Art. 28 DSGVO) und die gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Ein Unternehmen ist dann Auftragsverarbeiter (Begriffsbestimmung siehe Art. 4 Nr. 8 DSGVO), wenn es personenbezogene Daten für die Zwecke eines Verantwortlichen weisungsgebunden verarbeitet. In dieser Fallkonstellation sieht die DSGVIO vor, dass der...
Outlook E-Mails verschlüsseln
Immer wieder geht es beim Thema DSGVO und Datenschutz um das Problem, wie unsicher der Versand von E-Mail ist. Zumindest immer dann, wenn sensible personenbezogene Daten (sog. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO) oder eine große Anzahl personenbezogener Daten übermittelt werden sollen, sind dem risiko-basierten Ansatz der DSGVO folgend weitere Sicherheitsmaßnahmen erforderlich. Bei den dann diskutierten Sicherheitsmaßnahmen steht die Verschlüsselung von E-Mails zwar oft an erster Stelle, aber so richtig durchgesetzt hat sich die Verschlüsselung von E-Mails...
Berliner Aufsichtsbehörde kämpft weiter gegen Deutsche Wohnen
Im Oktober 2019 hatte die Berliner Aufsichtsbehörde (BlnBDI) ein Bußgeld in Höhe von 14,5 Millionen EUR gegen die Deutsche Wohnen SE erlassen. Sie warf der Deutschen Wohnen vor, ein Archivsystem für Mieterdaten nicht DSGVO-konform geführt zu haben. Die Gesellschaft, die mit einem Bestand von rund 165.700 Einheiten zu den größten Vermietern der Hauptstadt zählt, habe darin personenbezogene Informationen wie Gehaltsbescheinigungen, Selbstauskunftsformulare, Steuer-, Sozial- und Krankenversicherungsangaben sowie Kontoauszüge gespeichert und nicht überprüft, ob dies zulässig oder überhaupt erforderlich gewesen sei. Gegen diesen...
Datenschutz und Brexit – Besteht Handlungsbedarf?
Die Übergangsregelung für das Datenschutzrecht bezüglich des Brexits verschafft erneut Zeit für alle betroffenen Unternehmen, um sich für einen etwaigen Datenverkehr ins Vereinigte Königreich abzusichern. Es ist dabei nicht ratsam, dass sich betroffene Unternehmen auf den fristgerechten Abschluss eines Angemessenheitsbeschlusses der EU-Kommission verlassen. Unternehmen sollten sich vielmehr auf die Situation vorbereiten, dass das Vereinigte Königreich zumindest vorübergehend zu einem Drittland wird.
Homeoffice und Datenschutz – Was ist zu beachten?
Homeoffice und mobiles Arbeiten manifestieren sich als Arbeitsform in Unternehmen. Mit der Umsetzung der sog. Notbremse im Infektionsschutzgesetz werden Arbeitgeber nun unabhängig von der Inzidenz noch stärker in die Pflicht genommen: Aktuell sollen Arbeitgeber von Homeoffice-Angeboten nur noch dann absehen dürfen, wenn dem „zwingende betriebliche Gründe“ im Wege stehen. Arbeitnehmer wiederum müssen dieses Angebot annehmen, solange ihrerseits kein gravierender Grund dagegenspricht. Solche Maßnahmen erhöhen in den Unternehmen den Handlungsdruck. befördern das. Unternehmen müssen neben den organisatorischen und arbeitsrechtlichen Voraussetzungen...
Erste Cookie Banner Abmahnung
Sie sind unsicher, welche Anforderungen bei der Gestaltung eines Cookie Banner zu beachten sind? Erste Abmahnungen sind bereits erfolgt, um so dringender ist es, die Gestaltung von Cookie-Bannern genau unter die Lupe zu nehmen. Lesen Sie unseren Blog-Beitrag, was es zu beachten gilt!
SCHUFA-Scoring und Datenschutz
Der heutige Blog-Beitrag hat das Thema: SCHUFA-Scoring und Datenschutz inkl einem Ausblick auf das Vielwechlser-Scoring. Nach eigener Aussage hat die SCHUFA über 1 Milliarde Daten zu 6 Millionen Unternehmen und 67,9 Millionen natürlichen Personen. Sie erteilt pro Tag im Schnitt 460.000 Auskünfte an Unternehmen. Da verwundert es nicht, dass fast alle schon einmal von einer SCHUFA-Auskunft gehört haben. Eine Auskunft kann auch in einem SCHUFA-Scoring der bestehen. Was ist eigentlich ein SCHUFA-Scoring und was beudetet das für den...
„EU-US Privacy Shield“ – EuGH kippt Datendeal
Der EuGH hat die Vereinbarung zwischen der EU und den USA über den Transfer personenbezogener Daten, das sogenannte "Privacy Shield", für ungültig erklärt. In seinem Urteil stellt der EuGH fest, dass die Zugriffsmöglichkeiten der US-Behörden und insbesondere das Fehlen geeigneter Garantien, durchsetzbarer Rechte und wirksamer Rechtsbehelfe den Anforderungen an den Datenschutz der EU widersprechen. Eine weitere Möglichkeit den Transfer von personenbezogenen Daten in die USA zu rechtfertigen, die sog. Standardvertragsklauseln, hat das Gericht jedoch grundsätzlich bestätigt. Im Ergebnis helfen...
BGH Urteil zu Cookies – Verschärfte Anforderungen an die Einwilligung
Der BGH hat entschieden, dass Cookies nur mit expliziter Einwilligung des Webseitenbesuchers gesetzt werden dürfen. Entsprechende Cookie-Banner sind damit nun unumgänglich. Vorausgewählte Checkboxen für eine Einwilligung sind nicht zulässig.
Meldefrist bei Datenschutz-Verletzung: (keine) Probleme bei der Berechnung?
Nach Artikel 33 Abs. 1 der Datenschutzgrundverordnung (DSGVO) hat der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, bei der zuständigen Aufsichtsbehörde nach deren Bekanntwerden zu melden. Aber wie wird die Meldefrist bei Datenschutz-Verletzung berechnet? 1. Anwendbare Normen Zunächst ist festzustellen, dass die aus dem deutschen Recht bekannten Normen zur Berechnung von Fristen (insbes. §§ 186 ff. BGB) für eine europäische Verordnung nicht anwendbar sind. Es existiert auch keine Regelung innerhalb der DSGVO, die nationale...
M&A Transaktionen und Datenschutz
Integraler Bestandteil jeder Unternehmenstransaktion (M&A Transaktionen) ist die sorgfältige Prüfung des zu erwerbenden Unternehmens im Hinblick auf seine wirtschaftliche, rechtliche, steuerliche und finanzielle Situation. Im Allgemeinen haben potenzielle Erwerber ein erhebliches Interesse daran, das Zielunternehmen mit all seinen Informationen möglichst umfassend zu analysieren. Beziehen sich die übermittelten Informationen auf Lieferanten, Kunden oder die Beschäftigten der Zielgesellschaft werden regelmäßig personenbezogene Daten verarbeitet, mit der Folge, dass die Regelungen des Datenschutzrechts zu beachten sind. Die am 25.05.2018 wirksam gewordene Datenschutz-Grundverordnung (DS-GVO) stellt...
Cookies & Einwilligung – Höchstrichterliche Stellungnahme des EUGH
Am 1. Oktober 2019 hat der Europäische Gerichtshof (EuGH) in einem sog. Vorabentscheidungsverfahren (Az.: C-673/17) hinsichtlich des Setzens von Cookies entschieden, dass eine aktive Einwilligung des Internetnutzers erforderlich ist. Ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, genüge diesen Anforderungen nicht. Das Betätigen einer Schaltfläche für die Teilnahme am Gewinnspiel stelle deshalb noch keine wirksame Einwilligung des Nutzers in die Speicherung von Cookies dar. D. h., notwendig ist ein aktives Verhalten des Nutzers. Er muss...
Anpassung des § 38 BDSG durch das zweite Datenschutzanpassungsgesetz
Was bringt die Absenkung der Anforderungen an die Bestellung eines Datenschutzbeauftragten? Nachdem nun der Bundesrat dem zweiten Datenschutzanpassungsgesetz (Zweites Datenschutz-Anpassungs- und Umsetzungsgesetz EU – 2. DSAnpUG-EU) zugestimmt hat, ist die von Wirtschaft, Verbänden und Vereinen geforderte Absenkung der Anforderungen an die Bestellungen eines Datenschutzbeauftragten (DSB) in greifbare Nähe gerückt. Sobald das Gesetz in Kraft tritt, wirkt die Anpassung des § 38 Abs. 1 BDSG. Danach muss dann ein Datenschutzbeauftragter erst bestellt werden, wenn in der Regel 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener...
Zulässigkeit von Videoüberwachung zu privaten Zwecken – obiter dictum schafft Klarheit für die Praxis
Das BVerwG hat mit seinem Urteil vom 27.03.2019 klargestellt, dass sich die Zulässigkeit von Videoüberwachungen zu privaten Zwecken direkt nach Art. 6 Abs. 1 Unterabs. 1 Buchstabe f DSGVO richte. Die Öffnungsklauseln des Art. 6 Abs. 2 und 3 DSGVO für eine Verarbeitung von Daten nach Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO erfasse nicht die Videoüberwachung durch private Verantwortliche. Für die zukünftige Anwendung des § 4 Abs. 1 Satz 1 BDSG n.F. gebe es für diese...
Schonfrist abgelaufen (Update)
Die französische Datenschutzbehörde hat gegen Google aufgrund von Verstößen gegen die Datenschutzgrundverordnung (DSGVO) ein Bußgeld in Höhe von 50 Millionen Euro verhängt. Die britische Datenschutzbehörde Information Commissioner's Office (ICO) hat angekündigt gegen die Hotelkette Marriott ein Bußgeld von 99,2 Millionen britischen Pfund, umgerechnet rund 110 Millionen Euro, zu verhängen. Gegen die Fluggesellschaft British Airways hat die ICO bereits ein Bußgeld in Höhe von 183,39 Millionen Britische Pfund, umgerechnet etwa 204 Millionen Euro, verhängt. Sanktionen der Datenschutzbehörden Auch hierzulande sind die ersten Sanktionen...
Consent Management Database: Verwaltung von Einwilligungserklärungen
Auch mit der Datenschutz-Grundverordnung (DSGVO) bleibt es beim bisher in Deutschland bestehenden grundlegenden Prinzip des Datenschutzrechts: Grundsätzlich ist jede Verarbeitung personenbezogener Daten verboten; nur wenn es im Gesetz eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten gibt, dürfen diese Daten verarbeitet werden. Neben den unter anderem in Art. 6 DSGVO Abs. 1 b bis f geregelten Rechtsgrundlagen gibt es weiterhin die äußerst praxis-relevante Rechtsgrundlage der Einwilligung. Die Einwilligung wird als Rechtsgrundlage in Art. 6 Abs. 1 a DSGVO explizit erwähnt und ist...
DSGVO: Datenschutz-Folgenabschätzung
Unternehmen sollten sich im Zuge der Vorbereitung auf die Datenschutzgrundverordnung (DSGVO) rechtzeitig mit der Datenschutz-Folgenabschätzung vertraut machen. Diese ist immer dann durchzuführen, wenn eine Verarbeitung personenbezogener Daten ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Im Rahmen der Datenschutz-Folgenabschätzung sind Unternehmen gehalten, vor Einführung eines Datenverarbeitungsverfahrens eine Risikoeinschätzung vorzunehmen und zu dokumentieren 1). Es handelt sich insofern um eine Pflicht zur vorherigen Analyse der Folgen, welche die Verarbeitung für den Schutz...
Informationspflichten und Transparenz
Die im Mai 2018 in Kraft tretende Datenschutz Grundverordnung (DSGVO) führt in einigen Bereichen zu erheblichen Änderungen der aktuellen Gesetzeslage. Eine wichtige Neuerung betrifft die nunmehr notwendigen Informationspflichten bei der Erhebung von personenbezogenen Daten. Dies bedeutet, dass Unternehmen in jedem Fall ihre Datenschutzerklärungen überarbeiten müssen, insbesondere auf ihren Webseiten, sofern dort über Formulare oder auf anderen Wegen personenbezogene Daten gesammelt werden. Dieser Artikel soll helfen, einen Überblick über die künftig notwendigen Informationen in Datenschutzerklärungen zu geben. Welche Informationspflichten bestehen bei...
Social Plugins für Unternehmen
Für viele Unternehmen ist die Nutzung von Social Plugins als Marketinginstrument auf ihren Webseiten nicht mehr wegzudenken. Datenschutzrechtlich ist dies jedoch nicht immer ganz unbedenklich. So erklärte das Unabhängige Landeszentrum für Datenschutz in Schleswig-Holstein 2011 den Facebook-Like-Button als nicht datenschutzkonform. Dieser Einschätzung schlossen sich mittlerweile auch diverse Gerichte an. Etwas anderes gilt wohl nur für den mittlerweile veralteten Facebook „Share-Button“, der daher hier außer Betracht gelassen wird. Facebook: Das Problem mit dem Like-Button Um die datenschutzrechtlichen Probleme des Like-Buttons zu erörtern,...
Google Analytics: Datenschutzkonforme Anwendung
Die Unternehmenswebseite ist die Visitenkarte im Netz. In vielen Unternehmen wird sogar ein beträchtlicher Teil des Umsatzes über das Internet generiert. Hierfür ist die professionelle Pflege der Webseite essentiell. Ein wichtiges Werkzeug für die Performance einer Webseite ist die Web-Analyse. Eines der meist genutzten Tools zur Webanalyse ist Google Analytics. Google Analytics ist ein Online-Dienst des US-amerikanischen Unternehmens Google, der u.a. die Herkunft der Besucher auf der Webseite und ihre Verweildauer auf der Seite untersucht. Durch die Sammlung und Auswertung...
