BEWERTUNG DER GRUNDSATZENTSCHEIDUNG DER DATENSCHUTZKOMMISSION ZU DEN SCHWARZLISTENPRAKTIKEN IN DER AUTOVERMIETUNGSBRANCHE
Grundsatzentscheidung des Datenschutzausschusses („Ausschuss”) vom 23. Dezember 2021 mit der Nummer 2021/1304 („Entscheidung”) wurde am 20. Januar 2022 im Amtsblatt veröffentlicht. Die Ergebnisse der Entscheidung basieren auf Meldungen über die Verwendung von „schwarzen Listen“-Software und -Programmen in der Autovermietungsbranche. Die Kommission hat jedoch in mehreren wichtigen Punkten, darunter insbesondere die Definition des Begriffs „gemeinsame Verantwortliche“ (joint controllers), der in der Datenschutz-Grundverordnung („DSGVO“) definiert ist, aber nicht im Gesetz Nr. 6698 Gesetz zum Schutz personenbezogener Daten („Gesetz”) und in sekundären Rechtsvorschriften nicht geregelt ist, auf einige wichtige Punkte hingewiesen.
- BLACKLIST-ANWENDUNGEN
Bei den genannten Blacklist-Anwendungen wurde darauf hingewiesen, dass der Entwickler der Fahrzeugvermietungssoftware und die Verkäufer den Vermietungsunternehmen oder den natürlichen Personen, die diese Tätigkeit ausüben, eine Fahrzeugvermietungssoftware mit einer „Blacklist”-Funktion anbieten, dass in dieser Software die personenbezogenen Daten der natürlichen Personen, die Fahrzeuge von ihren Kunden mieten, verarbeitet werden, dass die Daten auch negative Vorkommnisse während der Fahrzeugnutzung oder Kommentare des Unternehmens enthalten und Schließlich wurde betont, dass ein System eingerichtet wurde, das einen Datenfluss/Datenaustausch zwischen dem Autovermietungsunternehmen und der Software sowie zwischen der Software und anderen Autovermietungsunternehmen, die diese Software verwenden, ermöglicht, und dass die natürlichen Personen, die Fahrzeuge mieten, über diese Situation nicht informiert sind.
- BEWERTUNG DER FAHRZEUGVERMIETUNGSTÄTIGKEITEN IM RAHMEN DES KVKK
In der Entscheidung wurde, wie bei allen Entscheidungen der Kommission üblich, zunächst auf die einschlägigen Bestimmungen des Gesetzes verwiesen, wonach personenbezogene Daten ohne ausdrückliche Zustimmung nicht verarbeitet werden dürfen und Ausnahmen davon erläutert werden müssen. Es wird daran erinnert, dass die betroffenen Personen und die für die Datenverarbeitung Verantwortlichen gemäß Artikel 12 verpflichtet sind, alle erforderlichen technischen und administrativen Maßnahmen zu ergreifen, um ein angemessenes Sicherheitsniveau zu gewährleisten, um die unrechtmäßige Verarbeitung personenbezogener Daten zu verhindern, den unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern und die Aufbewahrung personenbezogener Daten sicherzustellen.
In diesem Zusammenhang wurde darauf hingewiesen, dass die Datenverantwortlichen bei der Durchführung von Fahrzeugvermietungsaktivitäten gemäß den einschlägigen Bestimmungen des Gesetzes Nr. 1774 über die Meldepflicht gegenüber den Strafverfolgungsbehörden und aufgrund der erforderlichen Eingabe in das Mietwagenmeldesystem personenbezogene Daten verarbeiten müssen, was auf der Grundlage von Artikel 5/2/a-ç des Gesetzes als „in den Gesetzen ausdrücklich vorgesehen” und „für die Erfüllung der gesetzlichen Verpflichtungen des Datenverantwortlichen erforderlich ist”. Der zwischen den Parteien geschlossene Vertrag über die Fahrzeugvermietung fällt gemäß Artikel 5/2/c des Gesetzes unter die Ausnahme „sofern dies für den Abschluss oder die Erfüllung eines Vertrags unmittelbar erforderlich ist und die Verarbeitung der personenbezogenen Daten der Vertragsparteien erforderlich ist”.
- GEMEINSAMER DATENVERANTWORTLICHER UND WEITERE WICHTIGE PUNKTE
Der Ausschuss hat festgestellt, dass es hinsichtlich der Verarbeitung von personenbezogenen Daten in Form von schwarzen Listen, die auf die Geschäftstätigkeit beschränkt sind, und der Weitergabe dieser Daten an andere Datenverantwortliche über Softwareunternehmen Unterschiede geben wird. In diesem Zusammenhang muss eine Abwägungsprüfung zwischen der Verarbeitungsvoraussetzung „die Verarbeitung der Daten ist für die berechtigten Interessen des Datenverantwortlichen erforderlich, sofern dies nicht die Grundrechte und Grundfreiheiten der betroffenen Person beeinträchtigt” und den berechtigten Interessen des Datenverantwortlichen durchgeführt werden. Wenn das berechtigte Interesse überwiegt, sollte die Verarbeitung auf die Geschäftstätigkeiten beschränkt bleiben, d. h. die Aufnahme in die schwarze Liste kann unter der Voraussetzung, dass die Daten beim Datenverantwortlichen verbleiben, je nach konkretem Fall anwendbar sein.
An dieser Stelle wird betont, dass die Weitergabe der verarbeiteten Daten an andere Datenverantwortliche die Grundrechte und -freiheiten der betroffenen Person nicht verletzen darf und dass dies insbesondere gegen die im Gesetz festgelegten allgemeinen Grundsätze „Übereinstimmung mit dem Gesetz und den Regeln der Redlichkeit“, „Verarbeitung für bestimmte, eindeutige und rechtmäßige Zwecke“
„Zweckbindung, Begrenztheit und Verhältnismäßigkeit“ verstoßen würde und daher nicht in den Anwendungsbereich fallen kann.
Da die in der betreffenden Anwendung verarbeiteten Daten nicht auf die Struktur des für die Verarbeitung Verantwortlichen beschränkt sind, sondern auch andere Autovermietungsunternehmen, die die Software nutzen, Zugriff auf die in die Software übertragenen personenbezogenen Daten haben und über diese Daten verfügen, wird davon ausgegangen, dass eine gemeinsame Verantwortlichkeit der Autovermietungsunternehmen, die die schwarze Liste zu ihrem eigenen Vorteil nutzen, und der Softwareunternehmen besteht.
Die gemeinsame Datenverantwortung ist in Artikel 26 der DSGVO geregelt, und „wenn zwei oder mehr Datenverantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen”, werden diese Personen als gemeinsame Datenverantwortliche definiert. Gemäß der DSGVO reicht es aus, wenn nur einer dieser Datenverantwortlichen Zugriff auf die Daten hat. In der betreffenden Entscheidung wird deutlich, dass der Ausschuss dieses Konzept in unser innerstaatliches Recht übernommen hat.
Der Ausschuss hat betont, dass zur Feststellung des Umfangs der Verantwortung und des Verschuldens der gemeinsamen Verantwortlichen die Prozesse untersucht und die Kontrolle über die betreffenden Daten festgestellt werden müssen. Bei der Feststellung des Verschuldensanteils werden Faktoren wie die Person, die die Daten eingegeben hat, die Verarbeitungszwecke und die Aktivitäten, die die Datenverantwortlichen, die neben dem Datenverantwortlichen, der die Daten erhoben hat, Zugriff auf die Daten haben, mit den Daten durchführen, als Kriterien herangezogen, und es wird erklärt, dass auch eine Bewertung im Hinblick auf die Rechte der betroffenen Person vorgenommen wird.
Es wurde festgestellt, dass die Anwendung von schwarzen Listen naturgemäß zu negativen Urteilen über die betreffende Person führen kann und dass dies wahrscheinlich im Rahmen der Profilierung geschieht. Infolgedessen wurde klargestellt, dass die betroffenen Personen aufgrund der Tatsache, dass sie keine Informationen über andere Autovermietungsunternehmen haben, mit denen ihre personenbezogenen Daten geteilt werden, ihre Rechte aus dem Gesetz nicht geltend machen können.
Außerdem ist nicht klar, an wie viele Autovermietungsunternehmen oder welche Personen und Institutionen die durch die Profilerstellung gewonnenen Daten über die zentrale Software weitergegeben werden. Daher kann man davon ausgehen, dass die in Artikel 11/1/g des Gesetzes aufgeführten Rechte, insbesondere das Recht, „der Verarbeitung personenbezogener Daten durch automatisierte Verfahren zu widersprechen, wenn dies zu einem Ergebnis führt, das sich nachteilig auf die betroffene Person auswirkt“, von den betroffenen Personen nicht ausgeübt werden können und sogar verhindert werden.
In diesem Zusammenhang hat der Ausschuss festgestellt, dass im Falle der Verarbeitung personenbezogener Daten im Rahmen der Blacklist-Praktiken in der Fahrzeugvermietungsbranche, die gegen die allgemeinen Grundsätze gemäß Artikel 4, die Verarbeitungsbedingungen gemäß Artikel 5 und die Bestimmungen zur Übermittlung gemäß Artikel 8 des Gesetzes verstoßen, die Fahrzeugvermietungsunternehmen, die die Kontrolle über die betreffenden Daten haben, als gemeinsam für die Datenverarbeitung Verantwortliche mit den Softwareunternehmen anzusehen und diese rechtswidrigen Praktiken zu beenden, um sicherzustellen, dass die Verarbeitung personenbezogener Daten im Einklang mit dem Gesetz erfolgt, die erforderlichen administrativen und technischen Maßnahmen von den für die Datenverarbeitung Verantwortlichen zu ergreifen.
- ERGEBNIS
Die oben untersuchte Entscheidung des Ausschusses enthält Leitlinien zum Schutz personenbezogener Daten und den damit verbundenen Prozessen, die Teil der geltenden Rechtsvorschriften sind. Das bedeutet Folgendes:
Der Begriff „gemeinsamer/mitverantwortlicher Datenverantwortlicher”, der in unseren Rechtsvorschriften nicht geregelt ist, wurde durch eine Entscheidung einer unabhängigen Verwaltungsbehörde an unser innerstaatliches Recht angepasst und übernommen.
Bei Betrachtung der Gesetze und Anwendungen der Kommission, die sich am GDPR orientieren, ist dies zwar keine Überraschung, doch ist die Entscheidung hinsichtlich der Rechtstechnik und -methode kritikwürdig. Es bleibt abzuwarten, ob dieses Thema in der für den 31.3.2022 geplanten Gesetzesaktualisierung, die auf der Grundlage der Bestimmungen des GDPR zum Datentransfer ins Ausland die notwendigen Änderungen im Gesetz vorsieht, behandelt wird.Die Grundsatzentscheidung betrifft direkt Personen und Einrichtungen, die SaaS (Software as a Service) und ähnliche Dienste anbieten. Die in der Entscheidung genannten Verantwortungsfälle deuten darauf hin, dass Softwareanbieter ihre Arbeit künftig viel sorgfältiger und im Sinne des Datenschutzes (Privacy by Design/Privacy by Default) ausführen müssen. Dieser Punkt sollte in Bezug auf die technische und institutionelle Architektur als Kontrollpunkt in den Prozess aufgenommen werden. In diesem Zusammenhang kann gesagt werden, dass die in unserer derzeitigen Praxis bestehenden gemeinsamen Verantwortlichkeiten zwischen dem Datenverantwortlichen und dem Datenverarbeiter gemäß dem Grundsatzbeschluss auf gemeinsame/gemeinsame Datenverantwortlichkeiten ausgeweitet wurden.In der Entscheidung wird in Bezug auf die rechtlichen Gründe für die Verarbeitung personenbezogener Daten gemäß Artikel 5/2/f des Gesetzes, der als Garantieklausel bezeichnet werden kann, festgestellt, dass „die Verarbeitung von Daten für die berechtigten Interessen des Datenverantwortlichen erforderlich sein muss, sofern dies nicht die Grundrechte und Grundfreiheiten der betroffenen Person beeinträchtigt”. Bei der Auslegung dieser Bestimmung muss eine Abwägungsprüfung durchgeführt werden, wobei sowohl die berechtigten Interessen des für die Verarbeitung Verantwortlichen als auch die der betroffenen Person zu berücksichtigen sind. In diesem Zusammenhang kann gesagt werden, dass eine Begründung gemäß Artikel 5/2/f künftig nicht mehr ohne Weiteres möglich sein wird und dass die Kommission ihre Haltung zugunsten der betroffenen Person verstärkt hat.Auch die Methoden zur Wahrung der Rechte der betroffenen Person wurden sowohl allgemein als auch speziell aufgeführt, und es kann gesagt werden, dass die Datenverantwortlichen durch den Ausschuss für Maßnahmen bestraft werden können, die direkt oder vorsätzlich, indirekt oder fahrlässig gegen die Methoden zur Wahrung der Rechte der betroffenen Person verstoßen.Ähnlich wie bei den Diskussionen über die „Einwilligung, die an die Bedingungen eines Produkts oder einer Dienstleistung geknüpft ist” wird auch die Frage der „Grenzen der Profilerstellung” im Rahmen der Entscheidung erneut aufgegriffen. Gemäß dem Test zur Abwägung berechtigter Interessen wurde die Auffassung vertreten, dass Profiling nur dann zulässig ist, wenn das berechtigte Interesse des Datenverantwortlichen überwiegt und sich auf die Geschäftstätigkeiten beschränkt, wobei die Daten ausschließlich beim Datenverantwortlichen verbleiben müssen.
In diesem Zusammenhang kann gesagt werden, dass die behandelten Profiling-Anwendungen im Rahmen des Datenschutz-by-Design- und Datenschutz-by-Default-Konzepts sorgfältig geprüft und von den für die Datenverarbeitung Verantwortlichen angewendet werden können.
