Kategorie: Archiv

Die Europäische Kommission hat am 10. Juli 2023 den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF) angenommen. Damit gibt es drei Jahre nach dem Schrems-II-Urteil des EuGH, mit dem im Juli 2020 das Privacy Shield fiel, wieder eine Grundlage nach Art. 45 DSGVO für Datenübermittlungen in die USA. Für viele Unternehmen, die Cloud-, CRM- oder Analysedienste aus den USA nutzen, vereinfacht sich die Lage. Ganz erledigt ist das Thema nicht.

Wie das Data Privacy Framework funktioniert

Der Beschluss gilt nicht für die USA insgesamt, sondern nur für US-Unternehmen, die sich beim US-Handelsministerium zertifiziert haben. Sie verpflichten sich auf Datenschutzgrundsätze, die denen des Privacy Shield ähneln. Die Liste der teilnehmenden Unternehmen veröffentlicht das Handelsministerium. Unternehmen, die bereits unter dem Privacy Shield zertifiziert waren, können ihre Teilnahme mit vergleichsweise geringem Aufwand umstellen.

Neu sind die Zusagen auf US-Seite: Der Zugriff von Nachrichtendiensten soll auf das Notwendige und Verhältnismäßige beschränkt werden, und für Betroffene aus der EU wird ein zweistufiges Rechtsbehelfsverfahren geschaffen, an dessen Ende ein neues Data Protection Review Court steht. Die Kommission will das Funktionieren des Rahmens nach einem Jahr erstmals überprüfen.

Was sich für Unternehmen ändert

Übermittelt ein Unternehmen personenbezogene Daten an einen zertifizierten US-Empfänger, ist keine zusätzliche Garantie nach Art. 46 DSGVO mehr nötig. Standardvertragsklauseln und ein Transfer Impact Assessment sind dann für diesen Transfer nicht erforderlich.

Wichtig: Die US-Garantien zum Behördenzugriff gelten für alle Übermittlungen in die USA, auch wenn sie auf Standardvertragsklauseln gestützt sind. Das erleichtert die Bewertung im Transfer Impact Assessment auch für Empfänger, die nicht zertifiziert sind.

Was Sie jetzt prüfen sollten

• Für jeden US-Dienstleister in der Liste des Handelsministeriums prüfen, ob eine aktive Zertifizierung besteht und welche Datenkategorien sie abdeckt
• Verzeichnis von Verarbeitungstätigkeiten und Datenschutzerklärung anpassen: Rechtsgrundlage für den Transfer ist nun gegebenenfalls Art. 45 DSGVO
• Standardvertragsklauseln trotzdem beibehalten, wo sie bereits vereinbart sind. Sie dienen als Rückfallebene, falls der Beschluss gekippt wird
• Auftragsverarbeitungsverträge mit Unterauftragnehmern auf US-Bezug prüfen

Bestandsrisiko: Schrems III

Der österreichische Datenschutzaktivist Max Schrems und seine Organisation noyb haben bereits angekündigt, den Beschluss anzugreifen. Ob das DPF hält, hängt im Kern davon ab, ob der EuGH die US-Zusagen als gleichwertig ansieht. Wir halten ein erneutes Verfahren vor dem EuGH für wahrscheinlich. Ein Ergebnis wird aber Jahre auf sich warten lassen.

Unsere Empfehlung lautet daher, das DPF zu nutzen, die Dokumentation aber so aufzubauen, dass ein Wechsel auf Standardvertragsklauseln kurzfristig möglich ist. Bei besonders sensiblen Daten, etwa Gesundheits- oder Beschäftigtendaten, bleibt die Frage nach EU-Alternativen und Verschlüsselung mit Schlüssel in der EU relevant.

Fragen dazu? Wir prüfen Ihre Datenübermittlungen und Verträge mit US-Anbietern. Nutzen Sie unsere Onlineberatung. Mehr unter Datentransfer in Drittländer, Auftragsverarbeitung und Microsoft 365.

Mit Urteil vom 4. Mai 2023 (Rs. C-300/21, Österreichische Post) hat der Gerichtshof der Europäischen Union erstmals Grundsatzfragen zum immateriellen Schadensersatz nach Art. 82 DSGVO entschieden. Die Entscheidung war mit Spannung erwartet worden, weil deutsche Gerichte bislang sehr unterschiedlich urteilten: Manche sprachen schon für den bloßen Verstoß Geld zu, andere verlangten einen spürbaren Nachteil von einigem Gewicht.

Der Fall

Die Österreichische Post hatte als Adresshändlerin Informationen über die vermutete Parteiaffinität österreichischer Bürger gesammelt. Mithilfe eines Algorithmus ordnete sie den Kläger einer bestimmten politischen Partei zu. Weitergegeben wurden die Daten nicht. Der Kläger fühlte sich durch die Zuordnung bloßgestellt und verlangte immateriellen Schadensersatz. Die österreichischen Instanzgerichte wiesen die Klage ab, weil ein bloßer Verstoß und ein Gefühl des Kontrollverlusts keinen Schaden darstellten. Der österreichische Oberste Gerichtshof legte dem EuGH drei Fragen vor.

Die drei Kernaussagen des EuGH

• Der bloße Verstoß gegen die DSGVO begründet noch keinen Schadensersatzanspruch. Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang zwischen beiden.
• Eine Erheblichkeitsschwelle gibt es nicht. Der Anspruch darf nicht davon abhängig gemacht werden, dass der immaterielle Schaden einen bestimmten Grad an Erheblichkeit erreicht.
• Die Bemessung des Schadensersatzes richtet sich nach dem innerstaatlichen Recht der Mitgliedstaaten. Dabei sind der Äquivalenz- und der Effektivitätsgrundsatz zu wahren. Der Schadensersatz soll den erlittenen Schaden vollständig ausgleichen, einen Strafcharakter hat er nicht.

Was das für die Praxis bedeutet

Beide Seiten können dem Urteil etwas abgewinnen. Für Unternehmen ist wichtig, dass Kläger einen Schaden darlegen und beweisen müssen. Pauschale Behauptungen, man sei verunsichert oder verärgert, reichen nicht ohne Weiteres. Die deutschen Gerichte werden genauer prüfen müssen, worin der Schaden konkret besteht.

Für Betroffene ist entscheidend, dass die Bagatellgrenze fällt. Auch geringe immaterielle Schäden sind ersatzfähig. Das spricht für viele Verfahren mit eher niedrigen Beträgen, die in der Summe für Unternehmen dennoch teuer werden können, etwa nach Datenlecks mit tausenden Betroffenen.

Offen bleibt, welche Anforderungen an den Nachweis eines immateriellen Schadens zu stellen sind, etwa ob die begründete Befürchtung eines Datenmissbrauchs genügt. Dazu sind weitere Verfahren beim EuGH anhängig.

Wie Unternehmen sich aufstellen sollten

Nach unserer Erfahrung entstehen die meisten Schadensersatzklagen aus drei Konstellationen: Datenpannen, verspätete oder unvollständige Auskünfte nach Art. 15 DSGVO und unzulässige Weitergaben an Dritte. Wir empfehlen:

• Auskunftsersuchen fristgerecht und vollständig beantworten, Prozesse dafür dokumentieren
• Datenpannen sauber nach Art. 33 und 34 DSGVO behandeln und die Kommunikation mit Betroffenen abstimmen
• im Prozess konsequent bestreiten, dass ein konkreter Schaden eingetreten ist, und Kausalität prüfen
• bei Massenverfahren früh eine Verteidigungsstrategie und Textbausteine entwickeln

Wer auf Klägerseite steht, sollte die eigenen Beeinträchtigungen frühzeitig und konkret festhalten.

Fragen dazu? Wir vertreten Unternehmen und Betroffene in Verfahren nach Art. 82 DSGVO. Nutzen Sie unsere Onlineberatung. Mehr unter Bußgeld und Schadensersatz, Datenpanne und Datenschutz.

Seit dem 1. Dezember 2021 gilt das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, BGBl. 2021 I S. 1982). Kern für Websitebetreiber und App-Anbieter ist § 25 TTDSG: Wer Informationen auf dem Endgerät eines Nutzers speichert oder dort ausliest, braucht grundsätzlich dessen Einwilligung. Am 20. Dezember 2021 hat die Datenschutzkonferenz (DSK) ihre Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Sie zeigt, wie die Aufsichtsbehörden die neue Norm lesen.

Was § 25 TTDSG regelt

Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie endlich ausdrücklich ins deutsche Recht um. Sie erfasst nicht nur Cookies, sondern jeden Zugriff auf das Endgerät: Local Storage, Fingerprinting-Techniken, Werbe-IDs in Apps oder das Auslesen von Gerätekennungen. Ob dabei personenbezogene Daten im Spiel sind, ist nach Ansicht der DSK unerheblich.

Ohne Einwilligung ist der Zugriff nur erlaubt, wenn er der Übertragung einer Nachricht dient oder wenn er unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (§ 25 Abs. 2 TTDSG). Die DSK legt diese Ausnahme eng aus und prüft sie für jede Funktion einzeln.

Cookie-Banner: Anforderungen der Aufsichtsbehörden

Aus der Orientierungshilfe ergeben sich klare Vorgaben für die Gestaltung:

• Die Einwilligung muss vor dem ersten Zugriff vorliegen. Cookies dürfen nicht schon beim Laden der Seite gesetzt werden.
• Scrollen, Weitersurfen oder vorausgewählte Kästchen genügen nicht. Opt-out-Lösungen sind ungeeignet.
• Die Ablehnung muss auf der ersten Ebene mit gleichem Aufwand möglich sein wie die Zustimmung. Ein Banner nur mit „OK“ reicht nicht.
• Zwecke, beteiligte Dritte und Speicherdauer sind konkret zu benennen.
• Der Widerruf muss so einfach sein wie die Erteilung.

Die Verantwortung bleibt beim Websitebetreiber, auch wenn er eine Consent-Management-Plattform einsetzt.

TTDSG und DSGVO: zwei Stufen

§ 25 TTDSG betrifft nur den Zugriff auf das Endgerät. Die anschließende Verarbeitung personenbezogener Daten richtet sich weiter nach der DSGVO. Eine Einwilligung nach TTDSG ersetzt nicht automatisch die nach Art. 6 Abs. 1 lit. a DSGVO, beide lassen sich aber in einem Dialog bündeln, wenn alle Zwecke genannt werden. Auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO lässt sich Tracking nach Auffassung der DSK nur in wenigen Fällen stützen.

Hinzu kommt die Drittlandfrage. Seit dem Schrems-II-Urteil des EuGH reichen Standardvertragsklauseln für US-Dienste häufig nicht allein aus. Für dauerhaftes Tracking scheidet Art. 49 DSGVO als Grundlage in der Regel aus.

Reichweitenmessung und Analyse

Eine pauschale Freigabe für Webanalyse enthält die Orientierungshilfe nicht. Entscheidend ist der konkrete Zweck. Wer Analyse ohne Einwilligung betreiben will, muss gut begründen, warum gerade diese Messung für den vom Nutzer gewünschten Dienst unbedingt erforderlich ist. In der Praxis raten wir derzeit zur Einwilligung, sofern keine streng datensparsame, selbst gehostete Lösung eingesetzt wird.

Was Sie jetzt tun sollten

Wir empfehlen eine Bestandsaufnahme aller Skripte, Pixel und SDKs auf Website und App. Für jedes Element ist festzuhalten, ob es unter die Ausnahme fällt oder eine Einwilligung braucht. Danach folgen Banner, Datenschutzerklärung und Dokumentation. Die in § 26 TTDSG vorgesehenen anerkannten Dienste zur Einwilligungsverwaltung gibt es noch nicht; dafür fehlt die Rechtsverordnung.

Fragen dazu? Wir prüfen Ihre Website und Ihre App auf die Anforderungen des TTDSG. Nutzen Sie unsere Onlineberatung. Weiterführend: Datenschutz, Cookies und Tracking und Datentransfer in Drittländer.