Aktuelle Fragen zur EU-Datenschutz-Grundverordnung
Antworten auf die wichtigsten Fragen
- „Personalisierte Werbung auf Instagram und Facebook nur nach vorheriger Einwilligung“
- Wenn jemand meinen Newsletter nicht mehr will (z.B. ist dieser abbestellt worden), was muss ich tun?
- Wohnhausanlage – Namensschilder bei Gegensprechanlage
- Warum gilt der Steuerberater nicht mehr als Auftragsverarbeiter?
- Update WhatsApp
- Ich habe gehört, dass ich jetzt auch über 50 Empfängern E-Mails zu Werbezwecken verschicken darf, stimmt das?
- EU-US Privacy Shield ist nicht mehr gültig!
- Cookie-Banner richtig gestalten
- Achtung bei der Datenschutzerklärung!
1. „Personalisierte Werbung auf Instagram und Facebook nur nach vorheriger Einwilligung“
Der Europäische Datenschutzausschuss (EDSA) hat entschieden, dass personalisierte Werbung auf Facebook und Instagram („Meta“) nur mehr auf Basis einer Einwilligung der betroffenen Nutzer:innen erfolgen darf. Meta hatte bislang damit argumentiert, personalisierte Werbung auf Basis der Nutzungsbedingungen anzeigen zu dürfen. Dagegen hatte sich die Non-Profit Organisation NOYB – European Center for Digital Rights bei der irischen Datenschutzbehörde beschwert.
Was ist das Problem?
Personalisierte Werbung basiert auf der Verarbeitung von personenbezogenen Daten der Nutzer:innen. Personenbezogene Daten und weitere Informationen über die Nutzer:innen werden ausgewertet um diesen für sie relevante Werbung auf Basis ihrer Interessen individuell anzeigen zu können. Diese Verarbeitung muss eine datenschutzrechtliche Grundlage haben. Meta hat bislang argumentiert, dass diese aufgrund der Zustimmung zu den Nutzungsbedingungen vorliegt. Der EDSA hat dem aber eine Absage erteilt.
Wie geht es weiter?
Der Europäische Datenschutzausschuss (EDSA) ist nicht die letzte Datenschutz-Instanz, das letzte Wort hat immer noch der Europäische Gerichtshof (EuGH). Dennoch kann bei Auslegungsfragen der DSGVO der EDSA für die einheitliche Auslegung durch verschiedene Datenschutz-Aufsichtsbehörden in den Mitgliedstaaten zuständig sein. Seine Entscheidung muss nun von der irischen Aufsichtsbehörde umgesetzt werden. Es ist recht sicher, dass Meta dagegen vorgehen wird (es sind außerdem auch noch zwei ähnliche Verfahren beim EuGH offen). Mit einer endgültigen Klärung ist daher noch nicht so schnell zu rechnen.
Empfehlungen?
Meta ist ein weltweit agierender Konzern, dessen Kerngeschäft die Verarbeitung personenbezogener Daten ist. Es gibt daher im Moment auch einige datenschutzrechtliche Baustellen, die bei den Behörden und Gerichten in der EU anhängig sind. Ein Problem, das noch nicht gelöst ist, ist zB auch der Datentransfer aus der EU in die USA. Jedes Unternehmen, das auf Facebook oder Instagram Accounts („Fanpages“) anlegt und/ oder personalisierte Werbung schaltet, muss sich bewusst sein, dass datenschutzrechtliche Probleme bestehen und man mit dem Konzern mitverantwortlich ist. Es sollte daher unbedingt eine informierte, ganzheitliche, betriebswirtschaftliche Entscheidung getroffen werden, ob man daran festhalten möchte oder nicht (zB generiere ich wirklich Klicks und Kontakt über die Plattformen oder habe ich den Auftritt nur, damit er da ist?).
Was kann passieren?
Wie unter „Wie geht es weiter?“ beschrieben, gibt es noch keine endgültige Entscheidung. Dennoch gibt es akute Problemfelder. Es ist einerseits möglich, dass eine „Abmahnung“ erfolgt, d.h. Mitbewerber:innen, Kund:innen oder andere Organisationen schicken (kostenpflichtige) Schreiben aus. Andererseits könnten Verfahren bei der Datenschutzbehörde (Geldstrafen) oder den Zivilgerichten (Schadenersatzforderungen) drohen. Es ist aus derzeitiger Sicht wahrscheinlich, dass der Meinung des EDSA gefolgt wird.
Was gilt für Agenturen und IT-Dienstleister?
Werden Fanpages für Kund:innen erstellt und betreut, empfehlen wir auf diese Problematik hinzuweisen. Eine Haftung von Berater:innen, welche die Seiten bereits erstellt haben und betreuen, liegt unserer Meinung nach noch nicht vor. Es handelt sich um das erste Verfahren in dieser Sache, das noch nicht rechtskräftig ist, d.h. Berater:innen konnten noch nichts von einer allfälligen Datenschutzverletzung wissen. Informieren die Berater:innen ihre Kund:innen jetzt über die Situation, sind die Kund:innen in der Lage, informierte Entscheidungen zu treffen. Wichtig: Ob die Werbung / die Seite weiterhin betrieben wird, ist die Entscheidung der Kund:innen.
Achtung: folgendes muss auf Unternehmensseiten jedenfalls geachtet werden:
- es muss ein Impressum auf der FB-Seite angeführt werden,
- es muss eine DS-Erklärung des eigenen Unternehmens ausgewiesen werden,
- in der DS-Erklärung sollte jedenfalls und nach wie vor über die Datenverarbeitung via Facebook informiert werden (bspw muss auch auf die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO hingewiesen werden inkl. Verweis bzw Verlinkung auf das Page Controller Addendum / Informationen zu Seiten-Insights)
Weitere Infos:
2. Wenn jemand meinen Newsletter nicht mehr will (z.B. ist dieser abbestellt worden), was muss ich tun?
Sie dürfen in einem solchen Fall dem jeweiligen Empfänger keine elektronischen Nachrichten zu Werbezwecken mehr schicken, dh Sie müssen sicherstellen, dass er bei der nächsten Newsletter-Aussendung nicht mehr in Ihrem Mailverteiler aufscheint. Ob Sie die E-Mail-Adresse generell löschen müssen, hängt davon ab, ob Sie diese noch aus anderen Gründen (nicht mehr Newsletter-Versand) benötigen (z.B. um einen Vertrag erfüllen zu können). Wenn das nicht der Fall ist, sollten Sie die E-Mail-Adresse auch löschen.
3. Wohnhausanlage – Namensschilder bei Gegensprechanlage
Gemeindewohnungen in Wien werden aufgrund einer Datenschutz-Beschwerde eines Mieters, dessen Namensschild an der Türklingel bei der Gegensprechanlage ausgewiesen wurde, alle Klingelschilder gegen Türnummern austauschen. Diese Entscheidung wurde von der zuständigen Magistratsabteilung der Stadt Wien getroffen. Eine Entscheidung der Datenschutzbehörde selbst ist offenbar nicht getroffen bzw gar verlangt worden (so im Ö1 Mittagsjournal vom 12. Oktober).
Datenschutz gibt es nicht erst seit dem 25. Mai 2018, auch zuvor bestanden schon (strenge) datenschutzrechtliche Regelungen in Österreich. Namensschilder bei Türen wurden teilweise aufgrund von ausdrücklichen Einwilligungen (Ankreuzmöglichkeit beim Mietvertrag / separate Unterschrift), schlüssigen Einwilligungen oder auch aufgrund von „berechtigten Interessen“ angebracht. Auch mit der EU-Datenschutz-Grundverordnung (DSGVO) hat sich hier keine Änderung ergeben. Dh sofern nicht die Interessen der betroffenen Person überwiegen, ist es nach wie vor möglich, mit berechtigten Interessen des Datenschutz-Verantwortlichen oder von Dritten zu argumentieren. Auch Einwilligungen (ausdrücklich oder schlüssig) sind nach wie vor zulässig. Es liegt noch keine anderslautende Entscheidung der Datenschutzbehörde vor. „Berechtigte Interessen“ könnten im Fall Türschilder mit verschiedenen Beispielen argumentiert werden, zB Einsatzfahrzeuge müssen rasch und oftmals in akuten Notsituationen Wohnungen auch mit möglicherweise schlechterer Adressbeschreibung aufsuchen; Post- oder Paketzusteller erhalten fehlerhafte Adressen, etc. Es kommt nach der DSGVO darauf an, was Personen vernünftigerweise erwarten können. Im Rahmen eines Mietvertrags- aber auch Verwaltervertragsverhältnis wird üblicherweise auch bisher davon ausgegangen worden sein, dass Namen der Bewohner auch bei Türschildern oder Klingelanlagen angebracht werden. Nach der Gewerbeordnung müssen Gewerbetreibende sogar zur äußeren Kennzeichnung der Betriebsstätte den Namen anführen.
Es wäre aber möglich, dass sich eine betroffene Person an den Verantwortlichen wendet und einen Widerruf ihrer Einwilligung oder einen Widerspruch wegen „höherwertiger“ Interessen einlegt, dh verlangt, dass die Daten nicht (mehr) offengelegt werden. Das ist offensichtlich im Fall der Gemeindewohnungen passiert. Der Betreiber hat sich daher nun dazu entschlossen, eine einheitliche Lösung zu finden und sich für diesen Weg entschieden. Die Mieter haben lt Presseberichten nach wie vor die Möglichkeit, selbst das Schild gegen ein Namensschild einzutauschen. Diese Lösung ist risikolos, jedoch nicht die einzig gangbare. Wer sich nicht mit Interessenabwägungen („berechtigte Interessen“) befassen und auf Nummer sichergehen will, kann sich zB auch bei Mietvertragsabschlüssen bestätigen lassen, was am Klingelschild ausgewiesen sein soll (zB separates Kästchen im Mietvertrag). Möglich wäre auch, die Mieter/ Eigentümer anzuschreiben und um Einwilligung („bis zum…“) zu fragen – wenn diese bis zum Stichtag nicht erhalten wird, sollte das Türschild aber abmontiert werden (Schweigen gilt nicht als Einwilligung).
4. Warum gilt der Steuerberater nicht mehr als Auftragsverarbeiter?
Das ist eine gute Frage. Wir haben uns als WKO immer auf eine bereits ergangene Entscheidung der Datenschutzbehörde gestützt, ebenso wie auf die Stellungnahme der Artikel 29 Gruppe zu Auftragsverarbeitern und Verantwortlichen aus 2010 (wp169 DE Verantwortlicher Auftragsverarbeiter). Nun gibt es seit Jänner (veröffentlicht im April) eine neue Entscheidung der DSB zu diesem Thema (DSB-D122.767/0001-DSB/2018). Diese Entscheidung argumentierte neu und ließ den bisherigen Bescheid aus 2005 (K120.862/0011-DSK/2005) unkommentiert. Da es sich um eine neue Entscheidung handelt, wird auch diese im Moment zitiert und übernommen.
Achtung: Auch diese Information könnte jederzeit wieder „alt“ sein, da wie bereits erwähnt, es sich lediglich um eine Entscheidung in der 1. Instanz handelt. Es gibt zu dieser Problematik noch keine Entscheidung der österreichischen Verwaltungsgerichte und noch keine des Europäischen Gerichtshofs. Datenschutz ist kein starres Thema („Der 25. Mai ist vorbei, jetzt ist alles fertig“), es wird sich ständig Neues ergeben, auf das geachtet werden muss. Meinungen/Auslegungen können auch revidiert werden!
5. Update WhatsApp
Wieder hat eine deutsche Datenschutzstelle eine Empfehlung bzw eine Fragebeantwortung zum Thema „WhatsApp“ aufgenommen. Im Newsletter des DSBA von Rheinland-Pfalz wurde folgendes ausgewiesen: „Darf ich mit den Eltern über E-Mail oder WhatsApp kommunizieren?"
Allgemeine Hinweise, Einladungen zu Veranstaltungen etc. sind auch per E-Mail möglich. Persönliche Daten in Bezug auf einzelne Kinder sollten per Mail nicht unverschlüsselt versendet werden.
Beachten Sie: Eine unverschlüsselte E-Mail gleicht vom Sicherheitsniveau her einer Postkarte. Die Nutzung privater Endgeräte, wie Smartphones und Tablets, für dienstliche Zwecke sollte nur in Absprache mit der Kitaleitung erfolgen. Sofern es als notwendig erachtet wird, über Messenger mit Eltern zu kommunizieren, kommen nur europäische Anbieter, die eine Ende-zu-Ende-Verschlüsselung anbieten, in Betracht (z. B. Pidgin/OTR, Signal 2.0, SIMSme, Chiffry, Signal, Threema oder Wire).
Die Nutzung von WhatsApp ist daher für dienstliche Kommunikation nicht zulässig. Dort werden die Daten auf Servern verarbeitet, die in rechtlicher und technischer Hinsicht nicht europäischem Datenschutz-Standard entsprechen. Sie unterliegen einem unkontrollierten Zugriff durch US-amerikanische Stellen.“
6. Ich habe gehört, dass ich jetzt auch über 50 Empfängern E-Mails zu Werbezwecken verschicken darf, stimmt das?
Nein! E-Mails zu (Direkt-)werbezwecken unterliegen sehr strengen Vorgaben (vgl auch die FAQ Newsletter-Versand), das bereits ab der ersten elektronischen Nachricht. „Spamming“ ist nach wie vor (außer in speziellen Ausnahmen, vgl Newsletter-Versand) verboten, allerdings besteht eine kleine Erleichterung für E-Mails, welche nicht zu Direktwerbezwecken versendet werden. Hier ist die ominöse 50 Mail Grenze (Massensendung) gefallen. Direktwerbung wird von der Rechtsprechung weit ausgelegt und erfasst jeden Inhalt, der für ein bestimmtes Produkt, eine bestimmte Idee, bestimmte politische Anliegen wirbt oder Argumente liefert (Beispiele für Direktwerbung: Abfrage eines gewissen Verbraucherverhaltens, Kundenzufriedenheitsanfragen). Markt- und Meinungsforschung gilt dann nicht als Direktwerbung, wenn diese nicht dem Ziel dient, unmittelbar oder mittelbar den Absatz eines Unternehmens zu fördern.
Außerdem müssen allgemeine Anforderungen bei der Zulässigkeit der Werbemails eingehalten werden:
- die Identität des Absenders, in dessen Auftrag die Nachricht übermittelt wird, darf nicht verschleiert oder verheimlicht werden,
- die Bestimmungen des § 6 Abs 1 E-Commerce-Gesetz müssen eingehalten werden, d.h.
- kommerzielle Kommunikation muss als solche erkennbar sein und
- die natürliche oder juristische Person, die die kommerzielle Kommunikation in Auftrag gegeben hat, muss sich zu erkennen geben,
- Angebote zur Absatzförderung wie etwa Zugaben und Geschenke müssen als solche erkennbar sein und einen einfachen Zugang zu den Bedingungen für ihre Inanspruchnahme enthalten und
- Preisausschreiben und Gewinnspiele müssen als solche zu erkennen sein und einen einfachen Zugang zu den Teilnahmebedingungen beinhalten
- der Empfänger darf nicht aufgefordert werden, Websites zu besuchen, die gegen § 6 Abs 1 E-Commerce-Gesetz verstoßen oder
- in denen keine authentische Adresse vorhanden ist, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann.
D.h. die Erleichterung, die mit der Telekommunikationsgesetz-Novelle 2018 einherging, betrifft Newsletter und „normale Werbemails“ leider nicht.
7. EU-US Privacy Shield ist nicht mehr gültig
Was ist das EU-US Privacy Shield?
Das EU-US Privacy Shield ist ein Abkommen zwischen der EU und den USA, welches die Übermittlung personenbezogener Daten von der EU in die USA regelte. Mit dem Privacy Shield sollte ein Nachfolger für das vorherige Abkommen, Safe Harbor, gefunden werden, das bereits 2015 vom Europäischen Gerichtshofs (EuGH) für ungültig erklärt wurde („Urteil Schrems I“).
Dieses Abkommen ist eine sogenannte „Angemessenheitsentscheidung“, mit der festgestellt wird, dass die USA ein EU-konformes Datenschutzniveau für den Datentransfer aus der EU an US-Unternehmen, die sich diesem „Privacy Shield“ unterwerfen, gewährleisten. US-Unternehmen hatten die Möglichkeit, sich in eine vom US-Handelsministerium geführten Liste („Privacy Shield List“) eintragen zu lassen, wenn sie sich zur Einhaltung der vereinbarten verbindlichen Anforderungen („Privacy Shield Principles“) durch eine Selbstzertifizierung gegenüber dem US-Handelsministerium verpflichten.
Was ist passiert?
Max Schrems, ein österreichischer Datenschutzaktivist, der bereits den Anlassfall zum Fall von Safe Harbor gab, wandte sich bzgl der Übermittlung seiner personenbezogenen Daten von Facebook Irland in die USA neuerlich an den EuGH. Das Recht und die Praxis der USA im Hinblick auf Datenzugriffe würden keinen ausreichenden Schutz vor dem Zugriff der Behörden bieten, so der Vorwurf. Zum einen wurden die „Standarddatenschutzklauseln“ kritisiert (das sind Vertragsklauseln, die von der Kommission für den internationalen Datenverkehr erlassen werden), zum anderen wurde die Gültigkeit des Privacy Shields in Frage gestellt. Das Privacy Shield wurde eigentlich jährlich überprüft und für angemessen erklärt, nun wurde es aber in einem neuerlichen Verfahren vom EuGH für ungültig erklärt. Die Standardvertragsklauseln bleiben allerdings gültig.
Sind österreichische Unternehmen betroffen?
Ja. Jegliche Weiterleitung von personenbezogenen Daten in die USA ist grundsätzlich betroffen (zB viele Cloud-Lösungen, Office-Lösungen, Social Media Netzwerke, etc). Verwendet ein österreichisches Unternehmen zB Webtracking (zB „Gefällt mir“-Button bei Facebook), wickelt E-Mail-Accounts über die USA ab, nutzt Cloud-Lösungen mit Speicherung der Daten in den USA oder lagert schlichtweg diverse Datenverarbeitungsprozesse an Unternehmen mit Sitz in den USA aus, könnte das Unternehmen betroffen sein. Allerdings stützt sich nicht jeder Datenverkehr mit den USA auf das Privacy Shield.
Welche anderen Möglichkeiten für den internationalen Datenverkehr gibt es?
Angemessenheitsbeschlüsse sind nur eine Möglichkeit für einen rechtmäßigen internationalen Datenverkehr. Es gibt natürlich auch andere, wie zB das Vorliegen „geeigneter Garantien“. Diese können zB in verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules), die von der zuständigen Aufsichtsbehörde genehmigt worden sind, bestehen oder in den oben bereits erwähnten Standarddatenschutzklauseln, die von der Europäischen Kommission erlassen oder von einer Aufsichtsbehörde angenommen und von der Kommission genehmigt worden sind. Auch eine ausdrückliche Einwilligung der betroffenen Personen im Einzelfall oder die Erforderlichkeit für die Erfüllung eines Vertrages mit der betroffenen Person kann eine Möglichkeit für den internationalen Datenverkehr sein (nähere Informationen dazu finden sich hier: EU-Datenschutz-Grundverordnung (DSGVO): Internationaler Datenverkehr).
Wo finde ich solche Standardvertragsklauseln?
Diese finden sich im Durchführungsbeschluss über Standardvertragsklauseln für die Übermittlung personenbezogener Daten.
Wie geht es weiter? Was muss ein österreichisches Unternehmen tun?
Betroffenen Unternehmen sollten jetzt prüfen, welche Dienste sie in Anspruch nehmen und ob hier ein Datenaustausch mit den USA stattfindet. Wenn das bejaht wird, sollte geprüft werden, ob hierfür bisher das Privacy Shield herangezogen wurde. Wenn nicht, besteht derzeit noch kein Änderungsbedarf. Wenn ja, muss geklärt werden, ob eine andere Grundlage für den Datenverkehr herangezogen werden kann (alle weiteren Möglichkeiten finden sich hier: EU-Datenschutz-Grundverordnung (DSGVO): Internationaler Datenverkehr).
Große Konzerne und Diensteanbieter werden diese Prüfung voraussichtlich rasch durchführen und die erforderlichen Änderungen schnell umsetzen. Aber ja: Das neue Urteil bringt einigen Mehraufwand mit sich und natürlich auch Rechtsunsicherheit im internationalen Datenverkehr mit den USA.
8. Cookie-Banner richtig gestalten
Der Europäische Datenschutzausschuss (EDSA) hat sich nach den „Dark Patterns“ bei Benutzeroberflächen von Social-Media-Plattformen nun auch die Gestaltung von Cookie-Banner auf allgemeinen Webseiten (Webseiten, Webshops, Apps etc) näher angesehen. Im “Draft Report of the work undertaken by the Cookie Banner Taskforce” zeigen die Vertreter:innen der europäischen Datenschutzbehörden, auf welche grafischen und gestalterischen Elemente besonders Acht gegeben werden muss. Die wichtigsten Punkte sind:
- Es muss einen „Zustimmen“- und einen „Ablehnen“-Button auf der ersten Ebene des Banners geben. Es sollen möglichst eindeutige Begriffe verwendet werden („Einstellungen speichern“ anstelle von Ablehnen kann irreführend sein).
- Es dürfen keine „vorabgehakten“ Kästchen verwendet werden. Nutzer:innen müssen eine aktive Zustimmung geben (No-Go: „Mit dem Weitersurfen akzeptieren Sie…“).
- Bei der Gestaltung darf keine täuschende Farbgebung oder Größe verwendet werden (zB roter, großer „Zustimmen“-Button und grau hinterlegter „Ablehnen“-Button).
- Der Widerruf der Einwilligung (ein nachträgliches „Ablehnen“) muss ähnlich einfach wie das „Zustimmen“ jederzeit möglich sein (zB ein Button mit „Ablehnen“ in der Datenschutzerklärung oder Cookie-Policy).
9. Achtung bei der Datenschutzerklärung!
Mit Datenschutzerklärungen (DSE) erfüllen Unternehmen die rechtlichen Informationspflichten aus der DSGVO, d.h. sie unterliegen hohen Anforderungen. Aber auch angesichts neuer konsumentenschutzrechtlicher Entscheidungen in Österreich muss bei den DSE besonders vorsichtig vorgegangen werden:
- DSE NICHT in Allgemeinen Geschäftsbedingungen oder sonstigen Vertragstexten verstecken,
- DSE nicht bestätigen oder unterschreiben lassen (zB kein Abhaken einer Checkbox im Onlineshop, keine Unterschrift auf einem ausgedruckten Dokument, kein „Ich nehme die Datenschutzerklärung zur Kenntnis“), sondern
- DSE mit einem simplen Verweis „Unsere Datenschutzerklärung finden Sie hier … (Link)“ oder „Unsere Informationen zum Schutz Ihrer personenbezogenen Daten finden Sie unter … (Link)“ zur Info anführen (ohne Checkbox, ohne Unterschrift).
- DSE als eigenes Dokument / als eigene Landingpage auf der Webseite anbieten,
- DSE so verständlich, eindeutig und deutlich wie möglich formulieren (nicht zu juristisch, keine chaotische Gliederungen oder generische Begriffe wie zB beispielhafte Aufzählungen, unklare Begriffe,..).
- Tipp: Die DSE sollte für alle im Unternehmen verständlich sein.
Weitere Infos finden Sie unter: EU-Datenschutz-Grundverordnung (DSGVO): Datenschutzerklärung / Informationspflichten