Deutsche Vereinigung fuer Datenschutz e.V.

Stellungnahme der DVD e.V. für den „Bericht über die DSGVO“ der EU-Kommission Seite 1 Stellungnahme der Deutschen Vereinigung für Datenschutz e.V. für den „Bericht über die Datenschutz-Grundverordnung“ der Europäischen Kommission Allgemein Die Deutsche Vereinigung für Datenschutz e.V. (DVD) sieht die EU-Datenschutz-Grundverordnung (DSGVO) als einen wichtigen Schritt zu einer Vereinheitlichung des Datenschutzrechts in der EU und dem Europäischen Wirtschaftsraum (EWR). Die Erfahrungen von nun fast zwei Jahren nach dem Wirk- samwerden zeigen, dass sowohl in der Bevölkerung als auch bei Unternehmen ein größeres Interesse am Datenschutz entstanden ist. Bei den Unternehmen liegt dies sicher an dem – gegenüber dem im alten Bundesdatenschutzgesetz (BDSG-alt) geltenden – deutlich höheren Bußgeldrahmen.

…sicher an dem – gegenüber dem im alten Bundesdatenschutzgesetz (BDSG-alt) geltenden – deutlich höheren Bußgeldrahmen. Während zumindest in Deutschland bisher Datenschutzverstöße nach dem BDSG-alt häufig „aus der Porto- kasse“ bezahlt werden konnten, sind die nach den Regelungen der DSGVO möglichen Bußgelder in- zwischen bei vielen Unternehmen in das unternehmerische Risikomanagement aufgenommen wor- den. Dies führt wenn auch nicht bei allen, so doch bei einer deutlichen Anzahl von Unternehmen dazu, dass der Datenschutz ernster genommen wird, was wiederum den betroffenen Personen insbeson- dere als VerbraucherInnen und Beschäftigte wiederum zugutekommt.

…wird, was wiederum den betroffenen Personen insbeson- dere als VerbraucherInnen und Beschäftigte wiederum zugutekommt. Wenn auch die DSGVO zu einer deutlichen Vereinheitlichung des Datenschutzrechts und des Daten- schutzniveaus geführt hat, so enthält die DSGVO doch noch zu viele Konkretisierungs- und Rege- lungsklauseln, die von den Mitgliedstaaten genutzt werden müssen oder dürfen. Auch darüber hinaus besteht aus Sicht der DVD noch Handlungsbedarf. Drei Hinweise an dieser Stelle: 1. In dieser Stellungnahme können nur einige Punkte exemplarisch angesprochen werden. 2. Die Reihenfolge der Punkte orientiert sich an der DSGVO und stellt keine Priorisierung oder Gewichtung dar. 3. Einige Formulierungen in der deutschen Übersetzung sollten zur besseren Verständlichkeit noch geändert werden (siehe Anhang).

Formulierungen in der deutschen Übersetzung sollten zur besseren Verständlichkeit noch geändert werden (siehe Anhang). Informationspflichten Die in Teilen sehr konkret geregelten Informationspflichten sind grundsätzlich zu begrüßen. Es gibt aber einige Fälle, in denen die Umsetzung sich als in der Praxis zumindest schwierig erweist. So ist ge- rade dann, wenn betroffene Personen von sich aus erstmalig beispielsweise bei einem Unternehmen, einer Arztpraxis, eine Anwalts- oder Steuerberaterkanzlei anrufen, zwar möglich vor der Aufnahme Reuterstraße 157 53113 Bonn Telefon: 0228 / 22 24 98 Telefax: 0228 / 24 38 470 [email protected] www.datenschutzverein.de Stellungnahme der DVD Bonn, 29.04.2020 Ref. Ares(2020)2299966 - 29/04/2020 Stellungnahme der DVD e.V. für den „Bericht über die DSGVO“ der EU-Kommission Seite 2 personenbezogener Daten die Datenschutzhinweise gemäß Art.

…für den „Bericht über die DSGVO“ der EU-Kommission Seite 2 personenbezogener Daten die Datenschutzhinweise gemäß Art. 13 DSGVO vorzulesen oder von ei- nem Band ansagen zu lassen. In der täglichen Praxis ist dies aber meist wenig zielführend. Die teil- weise genutzte rechtliche Fiktion, dass die betroffene Person in einem solchen Fall die Nummer im Internet gefunden habe und dort auch die Möglichkeit gehabt habe, auf die Datenschutzhinweise des angerufenen Verantwortlichen zu stoßen, ist praxisfremd und erfüllt zudem kaum die Anforderungen aus der Rechenschaftspflicht des Art. 5 Abs. 2 DGSVO. Hier sei nur auf die Nutzung von (Online)-Tele- fonbüchern, Mundpropaganda, die Weitergabe von Visitenkarten, Flyern etc. hingewiesen. In all diesen Fällen kann nicht davon ausgegangen werden, dass die betroffene Person die Datenschutzhinweise bereits zur Kenntnis genommen hat, also im Sinne des Art.

…werden, dass die betroffene Person die Datenschutzhinweise bereits zur Kenntnis genommen hat, also im Sinne des Art. 13 Abs. 4 über die Informationen schon verfügt. Hier sollte eine Regelung gefunden werden, die zum Einen zu Rechtssicherheit auf der Seite der Verantwortlichen führt und zum anderen sicherstellt, dass die betroffene Person bei einem derar- tigen Anruf zumindest eine Kurzinformation erhalten kann und die Möglichkeit bekommt, die vollstän- digen Informationen zu erhalten. Automatisierte Entscheidungsfindung und Profiling Der Anwendungsbereich von Artikel 22 DSGVO ist – gerade mit Blick auf BigData und KI zu eng ge- fasst. Er sollte daher erweitert werden.

…von Artikel 22 DSGVO ist – gerade mit Blick auf BigData und KI zu eng ge- fasst. Er sollte daher erweitert werden. Statt sich nur auf „Entscheidungen, die ausschließlich auf au- tomatisierter Verarbeitung, einschließlich Profilerstellung, beruhen und rechtliche Auswirkungen auf ihn oder sie haben oder ihn in ähnlicher Weise erheblich betreffen“ zu beziehen sollten Regelungen getroffen werden, die dann anzuwenden sind, wenn eine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profilerstellung, basiert und wahrscheinlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, insbesondere wenn sie rechtliche Auswir- kungen auf ihn oder sie hat oder ihn oder sie in ähnlicher Weise erheblich beeinträchtigt. Auch in Hinblick auf das mögliche Profiling sollten die Rechte der betroffenen Personen gestärkt wer- den.

Auch in Hinblick auf das mögliche Profiling sollten die Rechte der betroffenen Personen gestärkt wer- den. Die aktuellen Regelungen sind hier gerade aus Sicht von VerbraucherInnen aber auch aus Sicht von Beschäftigten nicht ausreichend. Zumindest sollte aber die im Anhang vorgeschlagene Verbesserung der Formulierung in der deutschen Übersetzung des Art. 22 ernsthaft ins Auge gefasst werden. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Die Anforderungen des Art. 25 DSGVO sind nur an die Verantwortlichen adressiert.

Anforderungen des Art. 25 DSGVO sind nur an die Verantwortlichen adressiert. Zwar enthält Er- wägungsgrund 78 folgenden Satz 4: „In Bezug auf Entwicklung, Gestaltung, Auswahl und Nutzung von Anwendungen, Diensten und Produkten, die entweder auf der Verarbeitung von personenbezogenen Daten beruhen oder zur Erfüllung ihrer Aufgaben personenbezogene Daten verarbeiten, sollten die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden, das Recht auf Datenschutz bei der Entwicklung und Gestaltung der Produkte, Dienste und Anwendungen zu berücksichtigen und un- ter gebührender Berücksichtigung des Stands der Technik sicherzustellen, dass die Verantwortlichen und die Verarbeiter in der Lage sind, ihren Datenschutzpflichten nachzukommen.“ Allerdings führt dies Stellungnahme der DVD e.V.

…in der Lage sind, ihren Datenschutzpflichten nachzukommen.“ Allerdings führt dies Stellungnahme der DVD e.V. für den „Bericht über die DSGVO“ der EU-Kommission Seite 3 – insbesondere wegen noch fehlender Datenschutz-Zertifizierungsverfahren (s.u.) – nicht dazu, dass wenigstens Hersteller mit Sitz in der EU oder dem EWR nur noch solche Produkte, Dienstleistungen und Anwendungen auf den Markt bringen würden, die datenschutzkonform einsetzbar sind, ganz zu schweigen von datenschutzfreundlichen Voreinstellungen oder Berücksichtigung der Datenschutz- Grundsätze aus Art. 5 DSGVO, wie die Datenminimierung. Die Hersteller sollten daher in die Pflicht ge- nommen werden und zumindest für den EU-Markt nur solche Produkte, Dienste und Anwendungen anbieten dürfen, die es den Verantwortlichen ermöglichen, ihre Pflichten aus der DSGVO mit einem verhältnismäßigen Aufwand umzusetzen.

…die es den Verantwortlichen ermöglichen, ihre Pflichten aus der DSGVO mit einem verhältnismäßigen Aufwand umzusetzen. Datenschutzbeauftragte Es ist zu begrüßen, dass mit dem Wirksamwerden der DSGVO zum einen alle Behörden eine oder ei- nen Datenschutzbeauftragten zu benennen haben und zum anderen diese Person – wie es in Deutschland auch schon vor dem Wirksamwerden der DSGVO für Unternehmen und andere nichtöf- fentliche Stellen geregelt war – auch eine externe Person sein kann. Die Erfahrung zeigt, dass es häu- fig schwierig ist, in den eigenen Reihen eine oder einen Datenschutzbeauftragten zu finden. Auch ist die geforderte Unabhängigkeit der Datenschutzbeauftragten bei externen Personen einfacher zu ge- währleisten. Die Regelungen des Art. 37 Abs. 1 Buchst.

Datenschutzbeauftragten bei externen Personen einfacher zu ge- währleisten. Die Regelungen des Art. 37 Abs. 1 Buchst. b) und c) DSGVO für andere Verantwortliche als Behörden und öffentliche Stellen sind allerdings so weit gefasst, dass auf dieser Grundlage viele Unternehmen keine Datenschutzbeauftragte benennen müssen. Zwar erlaubt es Art. 37 Abs. 4 den Mitgliedstaaten weitere Regelungen für die Pflicht zur Benennung von Datenschutzbeauftragten zu erstellen und auch den Unternehmen freiwillig Datenschutzbeauftragte zu benennen. Diese Möglichkeit wurde aber nur in den wenigsten Mitgliedstaaten und wird auch nur von den wenigsten Unternehmen wahrgenom- men. Auch Deutschland, dessen diesbezügliche Regelunge eine lange Praxiserprobung vorweisen konnten, hat die entsprechenden Regelungen aufgeweicht.

23 → 12

originalus šaltinis (PDF) ↗