Jahr: 2016

Der Europäische Gerichtshof hat am 19. Oktober 2016 in der Rechtssache Patrick Breyer gegen Bundesrepublik Deutschland (C-582/14) zwei Fragen beantwortet, die für fast jeden Betreiber einer Website von Bedeutung sind. Vorgelegt hatte der Bundesgerichtshof. Der Kläger wandte sich dagegen, dass Websites des Bundes die IP-Adressen der Besucher über den Besuch hinaus speicherten, um Angriffe abwehren und verfolgen zu können.

IP-Adressen: Personenbezug auch ohne eigenes Zusatzwissen

Eine dynamische IP-Adresse wird bei jeder Einwahl neu vergeben. Der Websitebetreiber allein kann daraus nicht ablesen, wer seine Seite besucht hat. Der Zugangsanbieter kann die Adresse aber einem Anschlussinhaber zuordnen. Der EuGH stellt darauf ab, ob der Betreiber über rechtliche Mittel verfügt, die es ihm vernünftigerweise ermöglichen, die Person mithilfe des Zusatzwissens eines Dritten bestimmen zu lassen.

Diese Möglichkeit bejaht der Gerichtshof für Deutschland. Im Fall eines Cyberangriffs kann sich der Betreiber an die Strafverfolgungsbehörden wenden, die vom Provider Auskunft über den Anschlussinhaber erhalten können. Damit ist die dynamische IP-Adresse für den Betreiber ein personenbezogenes Datum im Sinne von Art. 2 lit. a der Datenschutzrichtlinie 95/46/EG. Der lange Streit zwischen absolutem und relativem Personenbezug ist damit im Ergebnis zugunsten eines weiten Verständnisses entschieden.

§ 15 TMG ist zu eng gefasst

Nach § 15 Abs. 1 TMG dürfen Diensteanbieter Nutzungsdaten nur erheben und verwenden, soweit dies erforderlich ist, um die Inanspruchnahme des Dienstes zu ermöglichen und abzurechnen. Nach verbreiteter Auslegung mussten die Daten mit dem Ende des Nutzungsvorgangs gelöscht werden. Eine Speicherung zur Abwehr von Angriffen war danach nicht gedeckt.

Der EuGH hält diese Beschränkung für unvereinbar mit Art. 7 lit. f der Datenschutzrichtlinie. Die Mitgliedstaaten dürfen die Interessenabwägung nicht von vornherein ausschließen. Websitebetreiber müssen sich deshalb auf ein berechtigtes Interesse an der Funktionsfähigkeit ihres Dienstes berufen können, wozu auch die Abwehr von Cyberangriffen gehört. Ob dieses Interesse im Einzelfall überwiegt, muss nun der BGH prüfen.

Was Websitebetreiber jetzt beachten sollten

Das Urteil bringt zwei Botschaften. Erstens unterliegen Server-Logfiles, Analyse-Tools und Sicherheitssysteme, die IP-Adressen verarbeiten, dem Datenschutzrecht. Zweitens gibt es nun eine tragfähige Grundlage, IP-Adressen für Sicherheitszwecke für einen begrenzten Zeitraum zu speichern.

• Prüfen Sie, welche Systeme IP-Adressen speichern: Webserver, Firewalls, Content-Delivery-Netzwerke, Analyse- und Werbedienste.
• Legen Sie für jede Speicherung einen Zweck und eine Speicherdauer fest. Für Sicherheitslogs werden häufig sieben Tage diskutiert; die richtige Dauer hängt vom Angriffsrisiko ab.
• Kürzen Sie IP-Adressen bei Analyse-Tools, soweit die Funktion es zulässt.
• Weisen Sie in der Datenschutzerklärung auf die Speicherung und ihren Zweck hin.
• Schließen Sie mit externen Dienstleistern, die Logdaten verarbeiten, Verträge zur Auftragsdatenverarbeitung.

Ausblick

Die Entscheidung ist noch zur Datenschutzrichtlinie ergangen. Die ab Mai 2018 geltende Datenschutz-Grundverordnung übernimmt in Erwägungsgrund 26 die Prüfung, ob Mittel zur Identifizierung „nach allgemeinem Ermessen wahrscheinlich genutzt werden“. Erwägungsgrund 49 nennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse. Die Linie des EuGH dürfte sich damit fortsetzen.

Fragen dazu? Wir prüfen Logging-Konzepte, Tracking-Einsatz und Datenschutzerklärungen Ihrer Websites. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, IT-Sicherheit und IP-Adressdatenauskunft.

Die Europäische Kommission hat am 12. Juli 2016 den Durchführungsbeschluss (EU) 2016/1250 über den EU-US-Datenschutzschild, den sogenannten Privacy Shield, angenommen. Damit gibt es wieder eine Grundlage, auf der personenbezogene Daten an US-Unternehmen übermittelt werden dürfen, ohne dass für jeden Transfer eigene Garantien vereinbart werden müssen. US-Unternehmen können sich ab dem 1. August 2016 beim US-Handelsministerium zertifizieren lassen.

Hintergrund: das Ende von Safe Harbor

Der Europäische Gerichtshof hatte im Oktober 2015 im ersten Schrems-Verfahren die Safe-Harbor-Entscheidung der Kommission aus dem Jahr 2000 für ungültig erklärt. Der Gerichtshof beanstandete vor allem den weitreichenden Zugriff US-amerikanischer Behörden auf Daten europäischer Bürger und das Fehlen wirksamer Rechtsbehelfe. Seitdem stützten viele Unternehmen ihre USA-Transfers auf die EU-Standardvertragsklauseln oder auf verbindliche Unternehmensregeln. Die deutschen Aufsichtsbehörden hatten eine Übergangsfrist bis Ende Januar 2016 eingeräumt und danach angekündigt, Transfers allein auf Basis von Safe Harbor zu beanstanden.

Was der Privacy Shield regelt

Der Privacy Shield ist kein völkerrechtlicher Vertrag, sondern eine Angemessenheitsentscheidung nach Art. 25 Abs. 6 der Datenschutzrichtlinie 95/46/EG. Sie gilt nur für US-Unternehmen, die sich selbst zertifizieren und auf der Privacy-Shield-Liste des Handelsministeriums stehen. Gegenüber Safe Harbor sind die Pflichten strenger:

• strengere Grundsätze zu Zweckbindung, Datenminimierung und Weitergabe an Dritte (Onward Transfer),
• eine jährliche Überprüfung durch die Kommission gemeinsam mit den US-Behörden,
• schriftliche Zusicherungen der US-Regierung zu Grenzen des behördlichen Datenzugriffs,
• eine Ombudsperson im US-Außenministerium für Beschwerden zu Geheimdienstzugriffen,
• mehrere Beschwerdewege für Betroffene bis hin zu einem Schiedsverfahren.

Was Unternehmen in Deutschland jetzt prüfen sollten

Wer Daten an einen US-Dienstleister übermittelt, sollte nicht einfach unterstellen, dass dieser zertifiziert ist. Die Zertifizierung muss tatsächlich bestehen und den konkreten Datenbereich abdecken. Personaldaten etwa sind nur erfasst, wenn das Unternehmen sich ausdrücklich auch dafür zertifiziert hat. Wir empfehlen, die Eintragung auf der offiziellen Liste zu prüfen und zu dokumentieren.

Der Privacy Shield ersetzt außerdem nicht die übrigen Anforderungen des Bundesdatenschutzgesetzes. Bei Cloud- und Hosting-Diensten bleibt eine Vereinbarung zur Auftragsdatenverarbeitung nach § 11 BDSG erforderlich. Auch die Rechtsgrundlage für die Übermittlung selbst muss weiterhin vorliegen. Die Angemessenheitsentscheidung betrifft nur die zweite Stufe der Prüfung, das Datenschutzniveau im Empfängerland.

Standardvertragsklauseln behalten

Wo bereits Standardvertragsklauseln vereinbart sind, raten wir derzeit dazu, diese nicht vorschnell aufzugeben. Die Kritik an der neuen Regelung ist erheblich. Die Artikel-29-Datenschutzgruppe hatte schon im Entwurfsstadium Bedenken zur Massenüberwachung und zur Unabhängigkeit der Ombudsperson geäußert. Eine erneute Klage vor dem EuGH halten wir für wahrscheinlich. Ein zweites Standbein reduziert das Risiko, bei einer Aufhebung kurzfristig ohne Rechtsgrundlage dazustehen.

Ausblick: Datenschutz-Grundverordnung

Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Art. 45 Abs. 9 DSGVO sieht vor, dass bestehende Angemessenheitsentscheidungen der Kommission in Kraft bleiben, bis sie geändert, ersetzt oder aufgehoben werden. Der Privacy Shield würde also auch unter dem neuen Recht zunächst fortgelten. Unternehmen sollten die Gelegenheit nutzen, ihre internationalen Datenflüsse ohnehin vollständig zu erfassen, denn die DSGVO verlangt hierzu ein Verzeichnis der Verarbeitungstätigkeiten.

Unsere Empfehlung

• Erfassen Sie alle Dienstleister mit Sitz oder Rechenzentrum in den USA.
• Prüfen Sie, ob eine Privacy-Shield-Zertifizierung vorliegt und welche Daten sie abdeckt.
• Halten Sie Standardvertragsklauseln als Rückfallebene vor.
• Passen Sie Ihre Datenschutzerklärung an, wenn Sie sich künftig auf den Privacy Shield stützen.

Fragen dazu? Wir prüfen Ihre Verträge mit US-Anbietern und die Grundlagen Ihrer Datenübermittlungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Cloud-Verträgen und Auftragsverarbeitung.

Nach mehr als vier Jahren Verhandlungen ist die Datenschutz-Grundverordnung beschlossen. Das Europäische Parlament hat am 14. April 2016 zugestimmt, heute ist die Verordnung (EU) 2016/679 im Amtsblatt der EU (L 119 vom 4. Mai 2016) veröffentlicht worden. Sie tritt am zwanzigsten Tag nach der Veröffentlichung in Kraft, gilt aber erst ab dem 25. Mai 2018. Bis dahin bleiben das Bundesdatenschutzgesetz und die Datenschutzregeln des Telemediengesetzes anwendbar.

Verordnung statt Richtlinie

Anders als die Datenschutzrichtlinie 95/46/EG wirkt die DSGVO unmittelbar in allen Mitgliedstaaten. Das BDSG wird in seiner jetzigen Form weitgehend verdrängt. Der deutsche Gesetzgeber kann nur noch dort eigene Regeln treffen, wo die Verordnung Öffnungsklauseln enthält, etwa beim Beschäftigtendatenschutz (Art. 88 DSGVO) oder bei der Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 4 DSGVO). Ein Anpassungsgesetz des Bundes ist zu erwarten.

Neu ist auch das Marktortprinzip in Art. 3 Abs. 2 DSGVO. Unternehmen ohne Niederlassung in der EU fallen unter die Verordnung, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Für deutsche Anbieter verbessert das die Wettbewerbsbedingungen gegenüber außereuropäischen Plattformen.

Die wichtigsten neuen Pflichten

• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Unternehmen müssen die Einhaltung der Grundsätze nachweisen können.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) statt des bisherigen Verfahrensverzeichnisses.
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).
• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO).
• Erweiterte Informationspflichten (Art. 13, 14 DSGVO) und ein neues Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

Bußgelder bis 20 Millionen Euro

Der deutlichste Einschnitt betrifft die Sanktionen. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das BDSG kennt bislang Höchstbeträge von 300.000 Euro. Hinzu kommt ein ausdrücklicher Anspruch auf Ersatz materieller und immaterieller Schäden in Art. 82 DSGVO. Wir rechnen damit, dass Betroffene diesen Anspruch künftig häufiger geltend machen werden.

Auftragsverarbeitung: Verträge müssen angepasst werden

Art. 28 DSGVO regelt die Auftragsverarbeitung neu. Auftragsverarbeiter haften künftig selbst und können eigenständig mit Bußgeldern belegt werden. Die Pflichtinhalte des Vertrags ähneln § 11 BDSG, sind aber nicht identisch. Bestehende Verträge mit IT-Dienstleistern, Hostern und Cloud-Anbietern sollten bis Mai 2018 überprüft und ergänzt werden.

Zwei Jahre sind kürzer, als sie klingen

Erfahrungsgemäß unterschätzen Unternehmen den Aufwand. Die Bestandsaufnahme aller Verarbeitungen, die Anpassung von Prozessen für Auskunfts- und Löschanfragen und die Überarbeitung von Verträgen und Einwilligungstexten binden Personal in IT, Rechtsabteilung und Fachbereichen. Wir empfehlen folgende Reihenfolge:

• Verantwortlichkeit im Unternehmen festlegen und Budget einplanen,
• Datenflüsse erfassen und mit dem bestehenden Verfahrensverzeichnis abgleichen,
• Rechtsgrundlagen prüfen, insbesondere bestehende Einwilligungen,
• Verträge mit Dienstleistern und Konzerngesellschaften anpassen,
• Meldeprozess für Datenpannen und Prozess für Betroffenenanfragen aufsetzen.

Fragen dazu? Wir begleiten Ihr Umstellungsprojekt von der Bestandsaufnahme bis zur Vertragsanpassung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Auftragsverarbeitung und Compliance.