Kern des Falls war die Frage, ob der Plattformbetreiber nur „Technikdienstleister“ ist, der Inhalte Dritter hostet, oder ob er datenschutzrechtlich selbst verantwortlich ist? Der EuGH beantwortet das deutlich: Der Betreiber eines Online-Marktplatzes ist „Verantwortlicher“ im Sinne der DSGVO für die Verarbeitung der personenbezogenen Daten, die in Nutzeranzeigen enthalten sind. Dies gilt jedenfalls dann, wenn die Plattform nicht nur neutral speichert, sondern die Veröffentlichung aktiv strukturiert und wirtschaftlich nutzt, etwa durch Vorgaben zur Darstellung, Rubrizierung, Laufzeit und Reichweite oder durch eigene kommerzielle Zwecke wie Werbung. Gerade weil die Daten erst durch die Plattform „ins Internet gebracht“ und für die Öffentlichkeit zugänglich werden, bleibt es nicht bei einer rein passiven Rolle.

Besonders weitreichend ist, was der EuGH daraus ableitet: Für Plattformen reicht ein reines „Melden-und-Löschen“ nicht aus, wenn ihr Dienst typischerweise das Risiko birgt, dass Nutzer sensible Daten einstellen. Der EuGH betont, dass Verantwortliche die Grundsätze rechtmäßiger Datenverarbeitung sicherstellen müssen und dafür technische und organisatorische Maßnahmen so gestalten müssen, dass Datenschutzverstöße möglichst schon vor der Veröffentlichung verhindert werden. Für „besondere Kategorien“ personenbezogener Daten (umgangssprachlich: sensible Daten, etwa zum Sexualleben) hat dies zur Folge, dass eine Veröffentlichung grundsätzlich verboten ist, es sei denn, es liegt eine ausdrückliche Einwilligung oder eine andere eng begrenzte Ausnahme nach Art. 9 Abs. 2 DSGVO vor. Entsprechend muss der Betreiber Prozesse vorsehen, die diese Voraussetzungen vor Veröffentlichung verlässlich absichern. 

Damit verknüpft der EuGH sehr konkrete Compliance-Konsequenzen. Aus dem Urteil ergibt sich, dass der Plattformbetreiber bei einem anonymen Anzeigesystem nicht einfach die Augen vor dem Einwilligungsproblem verschließen darf. Ermöglichen Plattform und Inserent gemeinsam die Veröffentlichung, muss der Plattformbetreiber die Identität des Inserenten erheben und in einem geeigneten Rahmen verifizieren können, um die Verantwortlichkeiten und Nachweise (insbesondere zur Einwilligung bei sensiblen Daten) praktisch handhabbar zu machen. Außerdem stellt der EuGH klar, dass die Haftungsprivilegien des E-Commerce-Rechts (und die Logik „keine allgemeine Überwachungspflicht“) die Pflichten aus der DSGVO nicht aushebeln. Datenschutzrechtliche Verantwortlichkeit und die Pflicht zu angemessenen Schutzmaßnahmen bestehen unabhängig davon.

Für die Praxis ist das ein Paradigmenwechsel: Betreiber von Kleinanzeigen-Portalen, Marktplätzen und Plattformen mit nutzergenerierten Inseraten müssen ihre Produkt- und Moderationsarchitektur überdenken, und zwar weg von rein reaktiven Abläufen, hin zu risikobasierten Vorkehrungen „by design“. Je eher einem Angebot ein Missbrauchsrisiko aufweist (zum Beispiel Kontaktanzeigen, Dienstleistungen mit Personenbezug, „Adult“-Rubriken), desto eher sind Identitätschecks, Vorab-Filter, gestufte Freigaben, Einwilligungs-Workflows und belastbare Nachweisprozesse erforderlich sein. Gleichzeitig steigt das Haftungs- und Bußgeldrisiko, weil Betroffene nicht mehr nur gegen den anonymen Inserenten, sondern datenschutzrechtlich direkt gegen den Plattformbetreiber vorgehenkönnen. 

Der Beitrag Zur Verantwortlichkeit von Online-Marktplätzen erschien zuerst auf DPL Consult Datenschutzagentur.

Der BGH hat den Auskunftsanspruch der Rechtsanwaltsgesellschaft verneint und damit die Entscheidungen der Vorinstanzen bestätigt. Nach Auffassung des Gerichts lag kein „rechtswidriger Inhalt“ im Sinne der einschlägigen Vorschrift vor, der eine Auskunftspflicht auslösen würde. Entscheidend war dabei die Abgrenzung zwischen Tatsachenbehauptungen und Werturteilen: Eine strafbare Tatsachenbehauptung setzt voraus, dass eine Aussage überprüfbar und belegbar ist und den Tatbestand einer der in § 21 Abs. 2 TDDDG genannten Strafnormen erfüllt, etwa Beleidigung, üble Nachrede oder Verleumdung. Der BGH stellte fest, dass die beanstandete Bewertung im vorliegenden Fall nicht als objektiv überprüfbare, tatsachenbezogene Aussage zu qualifizieren war, sondern als subjektive Meinungsäußerung mit Werturteil-Charakter. Soweit sie tatsächliche Elemente enthielt, waren diese untrennbar mit dem wertenden Eindruck verbunden, den der Nutzer vermitteln wollte. In Fällen mehrdeutiger Aussagen sei im Zweifel zugunsten der Meinungsfreiheit zu entscheiden, so der BGH. 

Mit dieser Entscheidung hat der BGH die rechtlichen Maßstäbe für die Frage gesetzt, wann ein Betreiber einer digitalen Plattform verpflichtet ist, personenbezogene Daten eines Nutzers offenzulegen. Das Gericht hat deutlich gemacht, dass eine bloß rufschädigende oder subjektive Kritik allein nicht ausreicht, um eine Auskunftspflicht auszulösen. Erst wenn eindeutig strafbare Inhalte vorliegen, die den Tatbestand der in § 21 Abs. 2 TDDDG genannten Vorschriften erfüllen, kann der Plattformbetreibers zur Herausgabe von Bestandsdaten verpflichtet sein. Ob eine Auskunftspflicht besteht, ist – wie regelmäßig – eine Frage des Einzelfalls.  

Für Bewertungsplattformen hat der BGH schon in der Vergangenheit entschieden, dass die Betreiber nicht schon bei jeder Beschwerde über rufschädigende Inhalte verpflichtet sind, die Inhalte zu löschen. Mit der jetzt vorliegenden Entscheidung erstreckt der BGH diese Rechtsprechung auf die Identität der Nutzer. Deren Anonymität bei der Bewertung von Unternehmen steht grundsätzlich im Vordergrund, solange die Äußerungen keinen der in § 21 Abs. 2 TDDDG aufgeführten Straftatbestände erfüllt. Gleichzeitig bedeutet das Urteil für Plattformbetreiber auch, dass sie rechtliche Prüfprozesse etablieren müssen, um auf Beschwerden im Einzelfall zu beurteilen, ob eine Bewertung einen strafrechtlich relevanten Inhalt aufweist. Betreiber sollten daher im eigenen Interesse interne 

Der Beitrag Herausgabe von Nutzerdaten erschien zuerst auf DPL Consult Datenschutzagentur.

Im Urteil vom 5. Dezember 2023 ging es um ein sehr hohes Bußgeld, das die Berliner Datenschutzbehörde gegen ein großes Immobilienunternehmen verhängt hatte. Streitpunkt war weniger der zugrunde liegende Datenschutzverstoß als vielmehr die rechtliche Grundlage der Sanktion. Nach deutschem Ordnungswidrigkeitenrecht galt lange der Grundsatz, dass eine juristische Person nur dann mit einem Bußgeld belegt werden kann, wenn einer konkreten Leitungsperson ein schuldhaftes Verhalten nachgewiesen wird. Der EuGH hat dieser Sichtweise eine klare Absage erteilt. Er stellte fest, dass das Bußgeldsystem der DSGVO unionsrechtlich autonom ist und nicht von nationalen Zurechnungsregeln abhängig gemacht werden darf. Entscheidend ist vielmehr, ob ein „Unternehmen“ im Sinne des Unionsrechts einen Datenschutzverstoß begangen hat. Dieser Unternehmensbegriff ist funktional zu verstehen und stammt aus dem EU-Kartellrecht. Er erfasst jede wirtschaftliche Einheit, unabhängig davon, aus wie vielen rechtlich selbständigen Gesellschaften sie besteht. Ein Konzern kann daher als Ganzes Adressat eines Bußgeldes sein, ohne dass einer bestimmten natürlichen Person ein individuelles Verschulden nachgewiesen werden muss.

Damit war zugleich eine zweite, für die Praxis besonders relevante Frage berührt: Worauf bezieht sich der in der DSGVO vorgesehene Bußgeldrahmen von bis zu zwei oder vier Prozent des weltweiten Jahresumsatzes? Der EuGH hat klargestellt, dass sich dieser Prozentsatz auf den Umsatz des gesamten Unternehmens im funktionalen Sinn beziehen kann, also auf den Konzernumsatz. Das Urteil von 2023 hat damit die Tür für deutlich höhere Bußgelder geöffnet und das Datenschutzsanktionsrecht in die Nähe des Kartellrechts gerückt.

Das EuGH-Urteil vom 8. Februar 2025 knüpft an diese Linie an und präzisiert sie weiter. Auch hier ging es um die Auslegung des Begriffs „Unternehmen“ im Zusammenhang mit der Berechnung von DSGVO-Bußgeldern. Der EuGH hat seine Rechtsprechung vom Dezember 2023 bestätigt, dass für die Bestimmung der gesetzlichen Obergrenze maßgeblich auf die wirtschaftliche Einheit abzustellen ist. Neu ist, dass der Gerichtshof noch deutlicher herausarbeitet, dass diese Betrachtung zwingend aus der DSGVO selbst folgt, insbesondere aus ihrem Erwägungsgrund 150. Die Aufsichtsbehörden haben danach keinen Ermessensspielraum, den Bußgeldrahmen nur auf die einzelne Tochtergesellschaft zu beschränken, wenn es sich bei ihr um ein Konzernunternehmen handelt. Der funktionale Unternehmensbegriff ist verbindlicher Maßstab, nicht bloß eine Option.

Für die Praxis haben die beiden Urteile erhebliche Konsequenzen. Es ist nach der DSGVO nicht möglich, Datenschutzrisiken auf einzelne Tochtergesellschaften zu isolieren oder organisatorisch „auszulagern“. Verstöße auf operativer Ebene können finanzielle Auswirkungen haben, die den gesamten Konzern treffen. Das erhöht den Druck, konzernweite Datenschutz-Compliance-Strukturen zu etablieren, klare Verantwortlichkeiten zu definieren und einheitliche Standards durchzusetzen. 

Der Beitrag Der Unternehmensbegriff der DSGVO erschien zuerst auf DPL Consult Datenschutzagentur.

Der BGH hat in diesem Urteil insbesondere klargestellt, dass ein immaterieller Schaden bereits dann vorliegen kann, wenn eine betroffene Person die Kontrolle über ihre personenbezogenen Daten verliert, auch wenn diese nicht missbräuchlich verwendet wurden oder ein konkreter materieller Nachteil eingetreten ist. Dies bedeutet, dass schon der „bloße und kurzzeitige“ Verlust der Kontrolle über die eigenen Daten, beispielsweise weil sie durch Scraping erfasst und publiziert werden, einen Schadensersatzanspruch nach Art. 82 DSGVO begründen kann. Der Schutz personenbezogener Daten stellt ein eigenständiges Rechtsgut dar, dessen Verletzung unabhängig von einer konkreten Folge als schützenswert angesehen wird. Der Schwerpunkt bei der Bewertung von Schadensersatzansprüchen liegt damit stärker auf dem Schutz der informationellen Selbstbestimmung als auf klassisch materiellen Folgen. 

Zugleich hat der BGH die Bemessung des Schadensersatzes thematisiert und klargestellt, dass er im Einzelfall unter Beachtung der besonderen Funktion des Art. 82 DSGVO als Ausgleichs- und Entschädigungsnorm nach den Vorschriften über die Schätzung des Schadens (§ 287 ZPO) festzulegen ist. In ähnlich gelagerten Fällen haben Gerichte eine Kompensation in der Größenordnung von etwa 100 Euro als angemessen angesehen, wenn es bei einem reinen Kontrollverlust ohne weitere gravierende Folgen bleibt.

Für Plattformbetreiber, soziale Netzwerke und Anbieter digitaler Dienste hat dieses Urteil erhebliche Bedeutung. Betreiber müssen sich bewusst sein, dass sie bei Datenschutzverstößen nicht nur mit behördlichen Bußgeldern, sondern auch mit einer Vielzahl von zivilrechtlichen Schadensersatzansprüchen konfrontiert werden können, selbst wenn die betroffenen Daten nicht missbräuchlich verwertet wurden. Dies betrifft insbesondere Fälle, in denen Dritte durch Schwachstellen der Plattform oder durch nicht ausreichend gesicherte Schnittstellen Daten automatisiert auslesen können. Betreiber sollten daher ihre Sicherheits- und Datenschutzvorkehrungen überprüfen und gegebenenfalls verbessern, um Scraping-Angriffe oder ähnliche Datenzugriffe zu verhindern und so das Risiko von Schadensersatzforderungen zu reduzieren. Für betroffene Nutzer bedeutet die Entscheidung eine Stärkung ihrer Rechte: Der BGH anerkennt ausdrücklich, dass der bloße Verlust der Hoheit über persönliche Daten einen Schaden darstellen kann, der nach europäischem Recht auszugleichen ist. 

Der Beitrag Schadensersatz bei „Scraping“ erschien zuerst auf DPL Consult Datenschutzagentur.

1. Welche datenschutzrechtlichen Herausforderungen ergeben sich beim Einsatz von KI?
   
   KI basiert auf großen Mengen von Daten, die analysiert, verarbeitet oder genutzt werden, um Muster zu erkennen, Vorhersagen zu treffen oder Entscheidungen zu unterstützen. Dabei können auch personenbezogene Daten wie Name, Adresse, Gesundheitszustand oder Präferenzen betroffen sein. Dies birgt verschiedene Risiken für den Datenschutz:
   
   • Mangelnde Transparenz: Die Nutzer der KI wissen oft nicht, welche Daten über sie gesammelt werden, wie ihre Daten verarbeitet werden oder wer Zugriff darauf hat. Dies erschwert es ihnen, ihre Rechte auf Auskunft, Berichtigung oder Löschung wahrzunehmen oder ihre Einwilligung zu widerrufen. 
     
   • Mangelnde Kontrolle: Die Nutzer haben in der Regel wenig Einfluss auf die Art der Datenverarbeitung und ihre Folgen. Problematisch ist dies insbesondere dann, wenn die Nutzerdaten zu einem anderen, als dem ursprünglich bestimmten Zweck genutzt werden oder die Datenverarbeitung gegen das eigene Interesse verstößt. Auch kann es zu Diskriminierungen und Benachteiligungen kommen, durch fehlerhafte oder voreingenommene Algorithmen. 
     
   • Mangelnde Sicherheit: Nutzerdaten können durch Cyberangriffe oder menschliches Versagen von Hacking, Diebstahl oder Manipulation betroffen sein. Dies kann im schlimmsten Fall zu Identitätsdiebstahl, Erpressung oder anderen Schäden bei den Betroffenen führen.
     
     
2. Welche Chancen kann KI für den Datenschutz haben?
   
   Der Einsatz von KI birgt neben datenschutzrechtlichen Risiken auch Chancen für den Datenschutz. KI kann dazu beitragen, den Datenschutz zukünftig zu verbessern und zu stärken.
   
   • Entwicklung datenschutzfreundlicher Technologien:  Es gibt verschiedene Ansätze, den Datenschutz in die Entwicklung und Anwendung von KI einzubauen. Dazu zählen beispielsweise Pseudonymisierung, Anonymisierung, Verschlüsselung, Differential Privacy oder Federated Learning. Diese Technologien können die Identifizierbarkeit der Daten verhindern, die Datensparsamkeit erhöhen oder die Kontrolle der Nutzer stärken.
     
   • Frühzeitige Prävention von Datenschutzverstößen: Durch KI können potentielle datenschutzrechtliche Risiken frühzeitig erkannt und entsprechende Gegenmaßnahmen ergriffen werden. Zum Beispiel können Algorithmen daraufhin überprüft werden, ob sie diskriminierende oder unfaire Ergebnisse erzeugen. Oder es können Warnsysteme eingerichtet werden, die rechtzeitig auf verdächtige Aktivitäten hinweisen.
     
   • Förderung des Datenschutzbewusstseins: KI kann auch dazu beitragen, das Bewusstsein für den Datenschutz bei allen Beteiligten zu erhöhen und eine datenschutzfreundliche Kultur zu schaffen. Chatbots oder virtuelle Assistenten können Nutzer über ihre Rechte informieren oder ihnen Tipps zum Schutz ihrer Privatsphäre geben. Durch Schulungen oder Spiele kann Datenschutzwissen vermittelt werden.

(Hinweis: Dieser Blogbeitrag wurde von einer KI geschrieben)

Der Beitrag Künstliche Intelligenz – Risiken und Chancen für den Datenschutz erschien zuerst auf DPL Consult Datenschutzagentur.

1. Für welche Verstöße hafte ich?
   
   Für einen Datenschutzverstoß reicht es aus, wenn Ihr Unternehmen Daten gesetzeswidrig speichert, weiterleitet, nutzt oder anderweitig rechtswidrig verarbeitet. Schickt Ihr Mitarbeiter eine Nachricht mit persönlichen Daten des Betroffenen versehentlich an eine falsche Person, kann dies zur Haftung auf Schadensersatz führen.
   
   Die Verletzung von Betroffenenrechten, etwa die verspätete Erteilung einer Datenauskunft, kann nach einem Urteil des Oberlandesgericht Köln zu einer Haftung führen, wenn dadurch eine psychische Belastungssituation für den Betroffenen entsteht. Andere Gerichte haben eine Haftung auf Schadensersatz wegen verspäteter Datenauskunft dagegen abgelehnt.
   
   
2. Für welche Schäden hafte ich?
   
   Geht es um den Ersatz materieller Schäden, muss die betroffene Person nachweisen, dass ihr ein konkreter Schaden entstanden ist. Ein solcher Schaden kann darin liegen, dass ihr beispielsweise aufgrund der Datenschutzverletzung ein Kredit nicht gewährt wurde. Wenn der Datenschutzverstoß zusätzlich oder anstelle eines konkreten Schadens zu einer Diskriminierung, einem Verlust der Vertraulichkeit, einer Rufschädigung oder anderen vergleichbaren gesellschaftlichen Nachteilen führt, kommt außerdem die Zahlung eines immateriellen Schadensersatzes, ähnlich einer Schmerzensgeldzahlung, in Betracht. 
   
   
3. Löst bereits jedes „ungute Gefühl“ über die Datenschutzverletzung eine Haftung aus?
   
   Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 4. Mai 2023 (C-300/21) entschieden, dass der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung für sich genommen nicht ausreicht, einen Schadensersatzanspruch zu begründen. Erforderlich ist vielmehr ein entstandener Schaden, wobei der EuGH offenließ, worin dieser bestehen kann. Der Begriff des Schadens, insbesondere der des „immaterieller Schadens“ im Sinne von Art. 82 DSGVO, müsse in Anbetracht des Fehlens jeglicher Bezugnahme auf das innerstaatliche Recht der Mitgliedstaaten eine autonome und einheitliche unionsrechtliche Definition erhalten. Aus den Erwägungsgründen der DSGVO ergäbe sich, dass „[d]er Begriff des Schadens … im Lichte der Rechtsprechung des Gerichtshofs weit auf eine Art und Weise ausgelegt werden, die den Zielen dieser Verordnung in vollem Umfang entspricht“. Der EuGH kommt in seinem Urteil vom 4. Mai 2023 zu dem Ergebnis, dass zu dem vom Unionsgesetzgeber gewählten weiten Verständnis des Begriffs „Schaden“ im Widerspruch stünde, wenn dieser Begriff auf Schäden mit einer gewissen Erheblichkeit beschränkt wäre. Entgegen einigen Entscheidungen deutscher Gerichte sind nationale Regelungen nicht mit dem Unionsrecht vereinbar, die den Ersatz eines immateriellen Schadens im Sinne der DSGVO davon abhängig machen, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Erheblichkeit erreicht hat. 
   
   Soweit es die Höhe des immateriellen Schadensersatzes betrifft, gibt es eine klare Einordnung durch die Gerichte bislang nicht. Das OLG Köln hat einer Klägerin einen Ersatzanspruch in Höhe von 500 € zugesprochen, weil diese durch die verzögerte Datenauskunft ihres Anwalts mit „Stress und Sorge“ um ihre wirtschaftliche Position in einem Verkehrsunfallprozess psychisch belastet war (Urteil vom 14.7.2022 – 15 U 137/21). Das Landgericht Darmstadt sprach dem Kläger für die versehentliche Weiterleitung von Bewerbungsdaten an einen Dritten ein Schmerzensgeld in Höhe von 1000 € zu (Urteil vom 26.5.2020 – 13 O 244/19). Das Landgericht Köln hielt die einmalige Übersendung eines Kontoauszugs an einen falschen Empfänger für nicht ausreichend belastend und wies die Klage ab (LG Köln, Urteil vom 7.10.2020 – 28 O 71/20). 

Als Faustregel gilt: Ist ein konkreter Schaden entstanden, haftet der Verantwortliche, es sei denn, er kann sich entlasten. Bei immateriellen Schäden gilt, je stärker der Einzelne durch den Datenschutzverstoß betroffen ist, desto wahrscheinlicher ist, dass ein Schmerzengeld fällig wird.

Der Beitrag Schadensersatz und Schmerzensgeld bei Verstößen gegen die DSGVO erschien zuerst auf DPL Consult Datenschutzagentur.

Die Bezeichnung Datenschutzbeauftragter ist keine Berufsbezeichnung. Der Datenschutzbeauftragte ist vielmehr die Instanz, die den Datenschutz im Unternehmen überwacht und die Unternehmensleitung auf datenschutzrechtliche Mängel hinweist bzw. Empfehlungen für einen rechtkonformen Datenschutz ausspricht. Die Aufgaben des Datenschutzbeauftragten sind in der DSGVO (Artikel 39) ausdrücklich geregelt:

Aufgaben von Datenschutzbeauftragten im Überblick

• Der Datenschutzbeauftragte informiert die Unternehmensleitung über aktuelle datenschutzrechtliche Vorschriften sowie über Entscheidungen der Aufsichtsbehörden. 
• Zu den zentralen Aufgaben eines Datenschutzbeauftragten gehört die langfristige und regelmäßige Überwachung der Einhaltung der datenschutzrechtlichen Vorschriften. Er muss in alle datenschutzrechtlich relevanten Fragen frühzeitig eingebunden werden. 
• Der Datenschutzbeauftragte steht betroffenen Personen und Mitarbeitern des Unternehmens in datenschutzrechtlichen Belangen zur Verfügung. Sie können den Datenschutzbeauftragten zu allen datenschutzrechtlichen Fragen zu Rate ziehen.
• Der Datenschutzbeauftragter ist Ansprechpartner für Aufsichtsbehörden.

Der Beitrag Aufgaben und Pflichten von Datenschutzbeauftragten erschien zuerst auf DPL Consult Datenschutzagentur.

Die Datenschutz-Grundverordnung erlaubt den Transfer personenbezogener Daten in Drittstaaten unter bestimmten Voraussetzungen. So ist ein Datentransfer in sog. sichere Drittländer zulässig. Dabei handelt es sich insbesondere um Länder, für die die Europäische Kommission einen sog. Angemessenheitsbeschluss verabschiedet hat. Für diese Länder gilt, dass in ihnen gesetzliche Regelungen bestehen, die ein Datenschutzniveau gewährleisten, das dem in der EU entspricht.

Welche Drittländer gelten als sicher?

Für folgende Drittländer hat die EU-Kommission bspw. Angemessenheitsbeschlüsse verabschiedet, so dass Datenübermittlungen in diese Länder als sicher gelten:

• Argentinien
• Kanada (nur kommerzielle Organisationen)
• Israel
• Neuseeland
• Schweiz
• Süd-Korea
• Japan
• Vereinigtes Königreich
• USA (an zertifizierte Unternehmen)

Eine Übermittlung personenbezogener Daten in Drittländer ohne Angemessenheitsbeschluss ist dagegen nur unter weiteren Voraussetzungen zulässig. 

Dazu gehört die vorherige genaue Analyse des Datenschutzniveaus in dem jeweiligen Drittland sowie der Abschluss datenschutzrechtlicher Verträge mit den Datenempfängern im Drittland, durch die sichergestellt werden soll, dass der Schutz der übermittelten personenbezogenen Daten gewährleistet ist. Die Europäische Kommission hat hierfür sog. Standard Vertragsklauseln zur Verfügung gestellt. Wir beraten Sie bei der Ermittlung des Datenschutzniveaus im Drittland und bei der Gestaltung der Standardvertragsklauseln, die Ihnen die Übermittlung personenbezogener Daten in Drittländer ohne Angemessenheitsbeschluss ermöglichen. 

Der Beitrag Internationaler Datenschutz: Was müssen Unternehmen beim internationalen Datentransfer beachten? erschien zuerst auf DPL Consult Datenschutzagentur.

Mitwirkungspflicht von Verantwortlichen

Werden personenbezogene Daten in entwendet oder zerstört, ist dies grundsätzlich unverzüglich, spätestens innerhalb von 72 Stunden, an zuständige Aufsichtsbehörde zu melden (Art. 33 Abs. 2 DSGVO). Als Datenschutzbeauftragter beraten wir Sie bei der Abfassung der Meldung und bei den zu veranlassenden Maßnahmen. 

Rufschädigung bei Datenschutzverletzungen

• Der Verlust von Kundendaten kann zu erheblichen Schäden führen, z.B. im Falle des Identitätsdiebstahls. Schadensersatzforderungen der Kunden sind möglich (Art. 82 DSGVO).
• Weitaus verheerender kann die Rufschädigung nach Bekanntwerdung eines vertuschten Datenverlustes ausfallen. Kunden verlieren das Vertrauen in Unternehmen, wenn der Verbleib ihrer Daten nicht offen kommuniziert wird.
• Grundsätzlich ist kein Sicherheitssystem zu 100 % gegen Hackerangriffe geschützt. Werden sensible Daten missbräuchlich von Hackern genutzt, wirkt sich dies auch nach einer ordnungsgemäßen Meldung auf den Ruf des Unternehmens aus.
• Umso wichtiger ist es für ein positives Image des Unternehmens, auch nach außen zu kommunizieren, dass im IT- und Datenschutzbereich alle Möglichkeiten ausgeschöpft werden, um Kundendaten zu schützen und Verstöße durch Hacker zu verfolgen.

Müssen Kunden über eine Datenpanne informiert werden?

Wenn durch Datenverlust ein besonders hohes Risiko für die betroffenen Personen entsteht, müssen die Geschädigten laut Art. 34 DSGVO über die Datenschutzverletzung informiert werden.

Beispiele für sensible personenbezogene Kundendaten

• Daten über den Gesundheitszustand
• Daten über die ethnische Herkunft
• Daten über strafrechtliche Verurteilungen
• Authentifizierungsdaten für E-Mail Postfach etc.

Wie melde ich einen Datenschutzverstoß durch Hacker?

Datenschutzpannen müssen der zuständigen DSGVO-Aufsichtsbehörde in Hamburg beziehungsweise in dem Bundesland, in dem der Verstoß begangen wurde, gemeldet werden. Die meisten Behörden stellen Online-Formulare für Verstoßmeldungen zur Verfügung. Nach Art. 33 Abs. 3 DSGVO müssen mindestens folgende Angaben gemacht werden:

• Wie viele Personen sind betroffen?
• Welche Kategorie von Daten ist betroffen?
• Kontaktdaten des Datenschutzbeauftragten
• Welche Folgen könnte der Datenverlust für Ihre Kunden haben?
• Welche Maßnahmen wurden ergriffen, um das Problem zu beheben?

Verzichten Sie nicht auf professionelle Unterstützung

Unternehmen, die mit sensiblen Kundendaten arbeiten, können nicht auf IT-Partner und Datenschutzbeauftragte verzichten. Spätestens beim ersten Anzeichen eines Datenverstoßes sollten Unternehmer dringend einen Experten zu Rate ziehen. Der Ruf von Unternehmen ist nur so gut wie ihr IT-Schutz!

Der Beitrag Datenschutzpanne im Unternehmen – wie können Unternehmer sich schützen? erschien zuerst auf DPL Consult Datenschutzagentur.

Welche Informationen können über Tracking-Cookies gesammelt werden?

• Mithilfe von Tracking-Cookies stellen Drittanbieter fest, welche Webseiten von Nutzern besucht werden und wie sie sich dort verhalten.
• Diese Informationsprofile sind für Shopanbieter nützlich: Unternehmen definieren auf diese Weise ihre Zielgruppe und verfolgen deren Interessen.
• Die Daten dienen als Grundlage für personalisierte Werbung, wodurch sich wiederum weitere Verkäufe und Einnahmen erzielen lassen.

Datensammler im Alltag

Die Nutzung von Tracking-Cookies durch Drittanbieter ist im modernen Internet weit verbreitet. Etwa 97 % aller kommerziellen Websites nutzen beispielsweise Google-Cookies.  Werden dabei personenbezogene Daten erhoben, müssen die Nutzer hierüber informiert werden (Artikel 13 DSGVO). Außerdem regelt das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – TDDDG), dass User vor dem Setzen technisch nicht erforderlicher Cookies ihre Einwilligung erteilen müssen. Wir prüfen Ihre Datenschutzerklärung auf Vollständigkeit und Richtigkeit.

Fazit: Das sollten Sie beachten, wenn Sie Tracking-Cookies setzen

Die Einbettung und Nutzung von Tracking-Cookies ist zulässig, wenn der Nutzer eingewilligt hat und nach Artikel 13 DSGVO über die Sammlung von personenbezogenen Daten informiert wird. Auch bei „einfachen“ Cookies kann das einiges an Aufwand bedeuten: Um die Datenschutzerklärung auf Ihrer Website immer aktuell zu halten, müssen die Angaben zu den genutzten Cookies stimmen. Wir unterstützen unsere Kunden dabei.

Der Beitrag Tracking-Cookies Vor- und Nachteile: Segen oder Fluch für Unternehmer? erschien zuerst auf DPL Consult Datenschutzagentur.