Home / Aktuelles & Termine / it.sec blog

In Italien wurde von den Aufsichtsbehörden ein Bußgeld nach der Datenschutzgrundverordnung (DSGVO) in Höhe von über 2 Millionen Euro verhängt. Dieses richtete sich gegen ein Unternehmen, das über ein albanisches Callcenter Telemarketing und Teleselling Maßnahmen ohne eine entsprechende Einwilligung durchgeführt hat.

 

Das Callcenter wurde im Auftrag des Unternehmens zur Akquisition neuer Kunden tätig und benutzte dafür Telefonnummern aus dem eigenen Kundenstamm. Auf den Kundenstamm der italienischen Firmen wurde nicht zugegriffen.

 

Die zuständige Finanz- und Zollpolizei Guardia di Finanzia stellte fest, dass die kontaktierten betroffenen Personen nicht über ihre Rechte informiert wurden und auch keine schriftliche Einwilligung zur Erhebung und Verarbeitung der personenbezogenen Daten zu Marketingzwecken vorlag. Der Verantwortliche konnte seine Informationspflichten nicht durch die Vorlage der Verträge erfüllen, weil diese den betroffenen Personen erst im Anschluss übermittelt wurden. Die Verträge wurden auch nicht durch die betroffenen Personen unterschrieben, es befand sich darauf lediglich ein Kürzel des Mitarbeiters des Verantwortlichen. Eine Information der betroffenen Personen während des Telefongesprächs fand nicht statt. Das Callcenter besaß kein Skript, das den betroffenen Personen die entsprechenden Informationen zur Verfügung stellen sollte.

 

Das Bußgeld richtete sich nach Art. 83 Abs. 5 DSGVO und setzte sich zusammen aus 78 Verstößen gegen das Erhebungsverbot zu je 6.000 Euro/Verstoß und 155 Verstößen gegen das Verarbeitungsverbot zu je 10.000 Euro/Verstoß. Dabei wurde der einzelne Verstoß schon am unteren Ende des möglichen Strafrahmens gebildet. Die Höhe des Bußgeldes kam daher aufgrund der Vielzahl der Verstöße zustande.

 

Berücksichtigt wurden dabei u.a. der Mangel an der Einhaltung der Datenschutzbestimmungen, die fehlende Bezeichnung des Verantwortlichen, die kurze Zeitspanne zwischen den einzelnen Verletzungshandlungen, die Schwere der Verstöße bezüglich wirtschaftlicher und sozialer Tätigkeiten, das Verhalten des Verantwortlichen gegenüber der Guardia di Finanzia während der Ermittlungen, der Jahresabschluss des verantwortlichen Unternehmens aus 2016 und dass keine vorherigen Sanktionsverfahren vorlagen.

 

Hieran lässt sich wieder erkennen, dass die Datenschutzverstöße aufgrund einer Vielzahl von Aspekten bewertet werden und eine Kooperation mit den Aufsichtsbehörden strafmildern berücksichtigt werden kann.

 

Es zeigt aber auch, dass ein Verstoß gegen die DSGVO nicht auf die leichte Schulter zu nehmen ist. Achten Sie bei Telefonwerbung unbedingt darauf die Einwilligung der betroffenen Personen einzuholen, deren Daten Sie zum Zwecke der Telefonwerbung verarbeiten wollen.

 

Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz

Etwas mehr als ein Jahr ist es her, dass die Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) kurz bevor es mit der DSGVO ernst wurde verkündete, dass vor dem Einsatz von Tracking-Tools auf jeden Fall eine Einwilligung benötigt werde (wir berichteten, siehe Blog "Datenschutzkonferenz legt Regelung zur Einwilligung bei Cookies neu aus").

Daher beraten wir unserer Kunden seitdem entsprechend und weisen immer wieder darauf hin, dass eine explizite Einwilligung benötigt wird, und zwar bereits bevor das Tracking aktiv wird.

Das Bayerische Landesamt für Datenschutzaufsicht hat in den Wintermonaten viele Webseiten geprüft und kommt zu einem eindeutigen Ergebnis: Von 40 geprüften Webseiten war keine einzige Einwilligung wirksam.

Nun haben sich erfreulicherweise sowohl die DSK als auch der Landesbeauftrage für den Datenschutz und die Informationssicherheit Baden-Württemberg nochmals zu dem Thema geäußert. Demnach können prinzipiell auch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO den Einsatz von Tracking-Tools rechtfertigen. Allerdings ist hier bekanntermaßen eine Abwägung zwischen den Interessen des Verantwortlichen und den Interessen der betroffenen Personen vorzunehmen, die tendenziell eher zugunsten der Nutzer ausfallen dürfte, zumindest wenn die Daten an Dritte weitergegeben werden. Der LfDI Baden-Württemberg geht jedoch davon aus, dass z.B. lokal installierten Trackingtools ohne Weitergabe der Daten an Dritte zumindest ohne Einwilligung aufgrund des berechtigten Interesses zulässig wären.

Sie können bestimmte Tracking-Tools also auch ohne vorherige Einwilligung einsetzen!

 

Dabei ist zwingend folgendes zu beachten:

 

  • Die Tools müssen lokal installiert sein.
  • Daten dürfen nicht an Dritte weitergeben werden.
  • In der Datenschutzerklärung muss über den Einsatz der Tools informiert werden. Dort darf auch der Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO nicht fehlen.

 

 

Wenden Sie sich bei Fragen gerne an uns.

C. Lürmann

 

Rechtsanwältin

 

Consultant für Datenschutz

Europäischer Gerichtshof für Menschenrechte (EGMR) zur privaten Nutzung von Firmen-PCs

 

In seinem Urteil vom 22.02.2018 - 588/13 beschäftigte sich der EGMR mit der Frage, ob die Durchsuchung des dienstlichen Computers ein Eingriff in das Recht auf Privatleben nach Art. 8 EMRK des Arbeitnehmers ist. Ein Arbeitnehmer wurde in diesem Fall entlassen, weil bei einer Durchsuchung seines Computers in einem Laufwerk, das mit „Persönliche Daten“ gekennzeichnet war im Ordner „Zum Lachen“ pornografische Dateien gefunden hatte. Eine interne Unternehmensrichtlinie gestattete in begrenztem Umfang die private Nutzung, die privaten Dateien sollten dann als „privat“ gekennzeichnet werden.

 

Der EGMR stellte fest, dass der Arbeitgeber grundsätzlich Dateien verwenden darf, die nicht eindeutig als „private Dateien“ gekennzeichnet sind. Entscheidend ist also eine unmissverständliche Kennzeichnung als solche. Der Ordnername „Persönliche Daten“ dürfte hierfür nicht ausreichen, da dies auch Dokumente sein können, die der Mitarbeiter als persönlich behandelt, die jedoch nicht eindeutig auch privat sind. Außerdem dürfe der Arbeitnehmer nicht ein gesamtes (berufliches) Laufwerk für private Zwecke verwenden.

 

Als Arbeitgeber sollten Sie unbedingt die Nutzung der betrieblichen Arbeitsmittel und elektronischen Kommunikationsmedien durch Ihre Mitarbeiter genau regeln. Wir empfehlen in der Regel, die Privatnutzung von betrieblichen Arbeitsmitteln und elektronischen Kommunikationsmedien zu verbieten. Die Mitarbeiter müssen dann über das Privatnutzungsverbot einschließlich der Folgen bei Zuwiderhandlung informiert (z.B. als Passus im Arbeitsvertrag) und über die Aufrechterhaltung des Privatnutzungsverbots regelmäßig belehrt werden.

 

OLG München zum berechtigten Interesse

 

Das OLG München (Teilurteil vom 24.10.2018 – 3 U 1551/17) hat zum berechtigten Interesse nach Art. 6 Abs. 1 lit. f) DSGVO entschieden, dass bei der Abwägung der Interessen der betroffenen Person und des Verantwortlichen/Dritten eine weite Auslegung des berechtigten Interesses (unions-)grundrechtlich geboten ist. Dabei sind nicht nur rechtliche, sondern auch wirtschaftliche und ideelle Interessen zu berücksichtigen.

 

 

AG Diez zu Schadensersatz für unzulässigen Newsletter

 

Das AG Diez (Urteil vom 07.11.2018 – 8 C 130/18) hat sich mit der Frage beschäftigt, ob für einen unzulässigen Newsletterversand Schadensersatz an die betroffene Person zu zahlen ist.
In diesem Fall hatte der Beklagte am Tag des Inkrafttretens der DSGVO eine E-Mail versandt, mit der er die Einwilligung des Klägers für den Versand des Newsletters einholen wollte. Für den Kläger war dies ein Verstoß gegen die DSGVO und er forderte 500 Euro Schmerzensgeld. Das AG Diez lehnte dies mit der Begründung ab, dass der Verstoß gegen die DSGVO ohne Eintritt eines Schadens nicht zum Schadensersatz führt. Es müsse ein „spürbarer Nachteil entstanden sein und es muss um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen“.

 

Die Entscheidung lässt die Möglichkeit einer Bußgelderteilung durch die Aufsichtsbehörde unberührt. Auch wenn der betroffenen Person kein Schaden entstanden ist, liegt ein Verstoß gegen die DSGVO vor und die Aufsichtsbehörde kann ein entsprechendes Bußgeld erteilen. Denn auch die Einholung der Einwilligung ist schon als Werbemaßnahme zu sehen, selbst wenn in der E-Mail selbst noch keine Werbezusätze enthalten sind.

 

 

LAG Baden-Württemberg: Auskunftsrecht des Arbeitnehmers

 

Das LAG Baden-Württemberg hat im Urteil vom 20.12.2018 – 17 Sa 11/18 über den Umfang des Auskunftsrechts des Arbeitnehmers entschieden und das Auskunftsrecht der Arbeitnehmer gestärkt. Der Arbeitgeber muss demnach einem Arbeitnehmer umfassend Auskunft zu über ihn gesammelten Informationen geben. Dazu gehören Einsicht in die Personalakte, Informationen über interne Ermittlungen und nicht in der Personalakte gespeicherte Leistungs- und Verhaltensdaten (samt einer Kopie dieser Leistungs- und Verhaltensdaten gemäß Art. 15 Abs. 3 S. 1 DSGVO).

 

Der Arbeitgeber kann dies verweigern, wenn er ein Geheimhaltungsinteresse geltend macht. Er muss dieses konkret darlegen und darf sich nicht lediglich pauschal drauf berufen. Es ist eine Einzelabwägung zwischen dem konkreten Interesse des Arbeitnehmers an der Auskunftserteilung und dem betrieblichen Interesse des Arbeitgebers an der Auskunftsverweigerung bzw. an den berechtigten Interessen der Dritten erforderlich. Der Schutz von Informanten (sog. Whisteblowern) kann ein solches Geheimhaltungsinteresse darstellen.

 

 

Julia Eisenacher
Consultant für Datenschutz
Juristin (Univ.)

50 Millionen Abbinder Abmahnung Abmahnungen Abo-Falle ADCERT Airbnb Angemessenheitsbeschluss Angreifer Angriff Anklage Anwendbarkeit Anwendung Arbeitgeber Arbeitnehmer Arbeitsmittel Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeiter Auftragsverarbeitung Auskunftei Auskunftsansprüche Auskunftsrecht Ausspähen Austritt Authentizität Automatisierte Einzelentscheidung Autsch Backup Baden-Württemberg BAG BayDSG Bayerisches Datenschutzgesetz BDSG-Neu Beamte BEAST Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Berufsgeheimnis Beschäftigtendatenschutz Beschäftigtenumfragen besondere Kategorien personenbezogener Daten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsvereinbarung betroffene Personen Betroffenenrechte Bewerberdaten BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonität Bonitätsprüfung Brexit Britische Datenschutzbehörde Browser BSI Bund Bundesarbeitsgericht Bundesnetzagentur Bundesregierung Bußgeld Bußgelder BVG Callcenter Cambridge Analytics Citizen-Score Cloud CNIL Compliance Computer Cookie Cookies Custom Audience Cyber Dashcam Daten Daten-für-alle-Gesetz Datenaustausch Datenerhebung Datenlöschung Datenminimierung Datenmonopol Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung datenschutzkonform Datenschutzprinzipien Datenschutzverletzung Datenschutzverstöße Datensicherheit Datentransfer Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Dating Dating-Portale Deutsche Bahn Diebstahl Dienstleister Diesel-Fahrverbot Dieselfahrverbot Dieselskandal Direktwerbung Do not track-Funktion Donald Trump Dritter Drittstaat Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSG DSGVO DSK Durchsuchung Dynamic Data Exchange Protokoll dynamische IP-Adresse E-Mail e-Privacy-Verordnung E-Rechnung eCall-Technologie EES EFAIL ehrenamtlich tätiger Vereine Eigentum Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entlastung Entsorgung Erhebung Erhebung personenbezogener Daten Erhebungsverbot Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EU-Vertreter EuGH Europa Europäische Aufsichtsbehörde Europäische Union externe Quellen Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis Firmensitz FlugDaG Fluggastdaten Folgenabschätzung Foto freiwillig Funkmäuse Funktastaturen Fürsorgepflicht Geheimhaltung Geldbörse Geldstrafe Gemeinsam Verantwortliche Gericht Gesellschaft für Informatik Gesetz gegen den Unlauteren Wettbewerb gestohlen Gesundheitsdaten Gewährleistung Google Google Analytics grenzüberschreitend Groß-Britannien hacken Hacker Hackerangriff Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Hinweisgeber Höchstvermietungsdauer Home Office Immobilienmakler Informationspflicht Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights Integrität interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Security IT-Sicherheit IT-Systeme Italien ITSECX Japan Jin-hyok Joint Control Kanada Kennzeichen-Scan Keynote Klagebefugnis Klingelschilder kollektive Daten Kommune Konferenz Kontaktdaten Kontakte Konzern konzerninterner Datentransfer KoSIT Kriminalität KUG Kundenbindung Kundenzufriedenheit Künstliche Intelligenz Kunsturhebergesetz Laptop Lazarus Leistungs- und Verhaltenskontrolle LfDI Baden-Württemberg Löschung personenbezogener Daten Löschungsrecht Lösegeld Makler Malware Markennamen Markenrecht Marktortprinzip MD5 Meldebehörde Meldepflicht Meldescheine Meldesystem Meldung Meltdown Messenger Microsoft Mieter Mietverhältnis Misch-Account Mitarbeiter Mitbewerber MouseJack-Angriffe Nebenjob Nebentätigkeit Netzwerklabor NIST No-Deal-Brexit Nordkorea Notebook Nutzung Nutzungsbedingungen Office Öffnungsklauseln One Stop Shop One-Stop-Shop OpenPGP Österreich Papierrechnung Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortfilters Passwortregeln Passwortschutz Patientendaten Penetrationstest Personalausweiskopien Personalfragebogen Personalverantwortliche personenbezogene Daten Personenbilder persönliche Daten Persönlichkeitsrechte Pflichten Pharmalobbyist Plattformbetreiber PNR-Daten PNR-Instrumente Polizei POODLE Power Query Praxistipps Privacy by Default Privacy by Design Privacy Shield privat private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Privatsphäre Profiling Quantencomputer Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person rechtswidrig Referenten Regelungsaufträge Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management Rufschädigung Ruhezeiten S/MIME SamSam Sanktion Sanktionen Schaden Schadprogramm Schadsoftware schutzwürdige Interessen Schwachstellen Schweiz Security by Design Seitenbetreiber SHA1 sicher Sicherheitslücke Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Signatur Skype Smartphone Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke SPD Spectre Speicherdauer Sponsoren Standardvertragsklauseln Steuerberater Strafe Strafverfolgung Studenten Supercomputer Risikolage Support Systemadministrator Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telefonnummer Telefonwerbung Telemarketing Telemediendienst Telemediengesetz Teleselling Telstra Security Report TKG TLS TMG Tracking Tracking Tools Tracking-Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unerlaubt unpersonalisierter Benutzer-Account Unternehmen Unternehmensgröße Unternehmensgruppe unzulässig US-Regierung USA UWG Verantwortlicher Verantwortung Verarbeitungsverbot Verbot Vereinbarung Vereinigtes Königreich Großbritannien und Nordirland verloren Verlust Vermieter Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselung Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Vertragsanbahnung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Virus Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking weisungsunabhängig Weitergabe an Dritte Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblower Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wirklichkeitsmodell Wohnung X-Rechnung Zertifikat Zertifizierung Zugangsdaten Zugriff zulässig Zulässigkeit zuständig § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30