Der Komet 5611 – Seite 19

Datenschutzgrundverordnung (DS-GVO) Informationen der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen BSM Was ist der sachliche Anwendungsbereich? Die Verordnung gilt für die ganz oder teilweise auto- matisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung per- sonenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 DS-GVO). Die Verarbeitung ist in Art. 4 Nr. 2 DS-GVO definiert als jeder mit oder ohne Hilfe auto- matisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit perso- nenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Die Verordnung findet nach Art. 2 a) - d) DS-GVO keine Anwendung auf die personenbezogene Datenverar- beitung, welche: a) vom EU-Recht ausgenommen ist b) unter die gemeinsame Außen- und Sicherheitspo- litik oder c) unter das „,Haushaltsprivileg" fällt (Datenverarbei- tung durch natürliche Personen zur ausschließlich persönlichen oder familiären Tätigkeit) oder d) in den Anwendungsbereich der JI-Richtlinie fällt e) (Datenverarbeitung durch zuständige Behörden zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten, zur Vollstreckung straf- rechtlicher Sanktionen oder zum Schutz vor und zur Abwehr von Bedrohungen der öffentlichen Sicherheit). Des Weiteren findet die Verordnung keine Anwen- dung auf die Verarbeitung personenbezogener Daten, welche unter die Datenschutzrichtlinie für elektroni- sche Kommunikation (Richtlinie 2002/58/EG) fällt. Die Verordnung erlegt natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektro- nischer Kommunikationsdienste in öffentlichen Kom- munikationsnetzen in der Union keine zusätzlichen Pflichten auf, soweit sie besonderen in der Richtlinie 2002/58/EG festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen (Art. 95 DS-GVO). Was ist der räumliche Anwendungsbereich? Der Anwendungsbereich des EU-Datenschutzrechts wird erheblich erweitert: Neben dem Niederlassungs- prinzip gilt auch das neue Marktortprinzip. Nach Art. 3 Abs. 1 DS-GVO findet die Verordnung Anwendung auf die Verarbeitung personenbezogener Daten im Rahmen von Tätigkeiten einer Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union; dabei kommt es allein auf den Ort der Niederlassung an und nicht auf den Ort der Daten- verarbeitung (Niederlassungsprinzip). Art. 3 Abs. 2 DS-GVO normiert das Marktortprinzip: Danach gilt die Verordnung in den folgenden Fällen auch für Verantwortliche und Auftragsverarbeiter ohne Nie- derlassung in der EU: a) Die Datenverarbeitung steht im Zusammenhang damit, betroffenen Personen in der Union Waren oder Dienstleistungen anzubieten, unabhängig davon, ob von diesen betroffenen Personen eine Zahlung zu leisten ist. b) Die Datenverarbeitung steht im Zusammenhang damit, das Verhalten betroffener Personen zu Der Komet 5611 | 30.06.2018 beobachten, soweit ihr Verhalten in der Union erfolgt. Was sind personenbezogene Daten? "Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („,betroffene Person") beziehen (Art. 4 Nr. 1 DS-GVO). Neu ist, dass bestimmte Merkmale wie Standortdaten, Online-Kennung sowie genetische Identität erwähnt werden. Dazu ist auf Erwägungs- grund 30 der DS-GVO hinzuweisen: ,,Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Ken- nungen, die ihr Gerät oder Software-Anwendungen und -Tools oder Protokolle liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet. Dies kann Spuren hinterlassen, die insbe- sondere in Kombination mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der natürli- chen Personen zu erstellen und sie zu identifizieren. Ob und inwieweit die neue EuGH-Rechtsprechung zu IP-Adressen Auswirkungen hat und was dies für die Praxis und das neue Recht genau bedeutet, ist noch zu klären (vgl. Urteil des EuGH vom 19.10.2016, Az. C-582/14 „Breyer vs. Bundesrepublik Deutschland"). Wann ist eine personenbezogene Datenverarbeitung zulässig? Es bleibt auch nach den neuen Regelungen der DS-GVO bei dem datenschutzrechtlichen Verbot mit Erlaubnisvorbehalt. Danach ist eine personen- bezogene Datenverarbeitung verboten, soweit keine gesetzliche Erlaubnisregelung diese gestattet oder eine Einwilligung der betroffenen Person vorliegt, welche die Verarbeitung ihrer Daten legitimiert (Art. 6 Abs. 1 DS-GVO). Einwilligung Damit bleibt die Einwilligung ein zentrales Legiti- mationsmittel für die Datenverarbeitung. Sie ist definiert als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abge- gebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verste- hen gibt, dass sie mit der Verarbeitung der sie betref- fenden personenbezogenen Daten einverstanden ist" (Art. 4 Nr. 11 DS-GVO). Bedingungen, die eine Einwilli- gung erfüllen muss, sind in den Art. 7 und 8 DS-GVO definiert. Bereits nach bisherigem Recht erteilte Einwilligungen können weiter gelten, sofern sie der Art nach den Bedingungen der Datenschutz-Grund- verordnung entsprechen (Erwägungsgrund 171, Satz 3 DS-GVO). Bisher rechtswirksame Einwilligungen erfüllen grundsätzlich diese Bedingungen. Informa- tionspflichten nach Art. 13 DS-GVO müssen dafür nicht erfüllt sein, da sie keine Bedingungen im Sinne des genannten Erwägungsgrundes sind. Besondere Beachtung verdienen allerdings die folgenden Bedin- gungen der DS-GVO; sind diese Bedingungen nicht erfüllt, gelten bisher erteilte Einwilligungen nicht fort: Freiwilligkeit („Kopplungsverbot", Art. 7 Abs. 4 in Ver- bindung mit Erwägungsgrund 43 DS-GVO), Altersgrenze: 16 Jahre (soweit im nationalen Recht nichts anderes bestimmt wird; Schutz des Kindes- wohls, Art. 8 Abs. 1 in Verbindung mit Erwägungsgrund 38 DS-GVO). Verantwortliche Stellen müssen in der Übergangs- phase bis Mai 2018 prüfen, ob deren eingeholte Einwil- ligungen der Art nach den Bedingungen der DS-GVO entsprechen. Dies beinhaltet datenschutzrechtliche Grundsätze wie Transparenz und Zweck der Verarbei- tung der personenbezogenen Daten. Mindestanfor- derung ist, dass eine bislang eingeholte Einwilligung momentan rechtswirksam ist. Unabhängig davon gilt selbstverständlich, dass ab dem 25. Mai 2018 sämtliche Voraussetzungen nach der DS-GVO - und damit auch u. a. die Informationspflichten und Daten- schutzgrundsätze, wie „Privacy by Design" - durch die Unternehmen umgesetzt werden müssen. Vor diesem Hintergrund empfehlen die Aufsichtsbehörden den Unternehmen, bei den bestehenden Einwilligungen in der Übergangsphase bis Mai 2018 die Vorgaben zu den Informationspflichten gemäß Art. 7 Abs. 3 S. 3, 13 und 14 DS-GVO nachzuholen. Die Gesamtthema- tik der Einwilligung wird in den Arbeitsgremien der Datenschutzkonferenz weiterbearbeitet. Es ist zu erwarten, dass aus den Arbeitsergebnissen weitere Konkretisierungen entstehen, die zügig veröffentlicht werden. Vgl. hierzu den Beschluss des Düsseldorfer Kreises vom 13./14.09.2016. Welche Datenschutzbehörde ist zuständig? Nach Art. 55 Abs.1 DS-GVO ist jede Aufsichtsbehörde für die Erfüllung der Aufgaben und die Ausübung der Befugnisse, die ihr übertragen wurden, im Hoheitsge- biet ihres eigenen Mitgliedstaats zuständig. Unternehmen und andere nicht-öffentliche Stellen Für Unternehmen und andere nicht-öffentliche Stel- len in Deutschland sind grundsätzlich weiterhin die örtlich zuständigen Landesaufsichtsbehörden zustän- dig, es sei denn, es liegt eine Sonderzuständigkeit der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit vor. Dies ist im Bereich Telekommunikations- und Postdienstleistungen der Fall. Wenn es um eine grenzüberschreitende Verarbeitung geht, gilt das neue sogenannte „One-Stop-Shop"-Ver- fahren: Die Behörde am Sitz der Hauptniederlassung hat eine federführende Zuständigkeit. Unternehmen müssen sich also nicht mehr mit Aufsichtsbehörden in mehreren EU-Mitgliedstaaten als Ansprechpartner auseinandersetzen (Art. 56 DS-GVO). Sogenannte „lokale Fälle" sind davon ausgenommen: Hängt der Gegenstand der Beschwerde ausschließlich mit der Niederlassung eines Mitgliedsstaates zusammen oder wirkt sich die Datenverarbeitung nur auf betrof- fene Personen in diesem Mitgliedstaat aus, so ist jede Aufsichtsbehörde „lokal" zuständig (Art. 56 Abs. 2 DS-GVO). Unabhängig davon können sich betroffene Personen mit Beschwerden an jede Behörde wenden. Beim,,Marktortprinzip" (Sitz im Drittstaat, keine Nie- derlassung in der EU) muss es - mangels Hauptnieder- lassung - dabei bleiben, dass jede Behörde zuständig ist. Die Begriffe „grenzüberschreitende Verarbeitung", „Hauptniederlassung“ und „betroffene Behörde" sind in Art. 4 Nr. 16, 22, 23 DS-GVO definiert. Die Art. 29-Arbeitsgruppe hat am 13. Dezember 2016 „Leitlinien zur Bestimmung der federführenden Auf- sichtsbehörde" (Arbeitspapier 244 sowie Anhang, jeweils in englischer Sprache) verabschiedet. Sie dienen u.a. als Auslegungshilfe des Begriffs „Haupt- niederlassung" zur Bestimmung der „federführenden Aufsichtsbehörde" und des Merkmals „erhebliche Auswirkungen" zur Bestimmung einer „betroffenen Aufsichtsbehörde”- 19