Datenschutz- und Compliance-Bulletin – Mai 2023
Das Gesetz zum Schutz personenbezogener Daten und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur durch Gesetze, Verordnungen und Bekanntmachungen, sondern auch durch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses werden zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes festgelegt. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken der Datenschutzbehörde zu informieren und sie auf dem Laufenden zu halten.
Im Mai 2023 wurden von der Behörde zwei Meldungen über Datenschutzverletzungen veröffentlicht, darunter auch von branchenführenden Unternehmen.
In unserer Ausgabe vom Mai 2023 werden neben den Meldungen über Datenverstöße auch vier vom Ausschuss am 24. April 2023 veröffentlichte Zusammenfassungen von Ausschussbeschlüssen behandelt, darunter der Beschluss zur Anhebung der Obergrenze der Datenschutz-Grundverordnung der Europäischen Union (General Data Protection Regulation, „GDPR“).
HISTORISCHE STRAFE DER EUROPÄISCHEN DATENSCHUTZBEHÖRDE GEGEN META
Die höchste Verwaltungsstrafe, die jemals im Rahmen der DSGVO verhängt wurde, wurde im Mai 2023 mit der seit drei Jahren erwarteten Entscheidung der irischen Datenschutzbehörde gegen META Ireland verhängt.
Die gegen META verhängte Strafe in Höhe von 1,2 Milliarden Euro ist die höchste Geldstrafe, die bisher gegen ein Unternehmen wegen Verstoßes gegen die DSGVO verhängt wurde. Die bisher höchste Geldstrafe war eine Strafe in Höhe von 746 Millionen Euro, die 2021 gegen den E-Commerce-Riesen Amazon wegen Verstoßes gegen die DSGVO verhängt wurde.
In der Entscheidung wird festgestellt, dass Meta nach der Entscheidung des Gerichtshofs der Europäischen Union („EuGH“) in der Rechtssache Datenschutzbeauftragter gegen Facebook Ireland Limited und Maximillian Schrems durch die fortgesetzte Übermittlung personenbezogener Daten aus der Europäischen Union/dem Europäischen Wirtschaftsraum in die USA gegen Artikel 46 Absatz 1 der DSGVO verstoßen hat.
Aufgrund der Verteidigung von META in Bezug auf die genannten Vorwürfe kam man zu dem Schluss, dass META nicht auf die Risiken für die Grundrechte und -freiheiten der Dateninhaber reagiert habe, weshalb gegen META eine Verwaltungsstrafe in Höhe von 1,2 Milliarden Euro verhängt wurde. META wurde aufgefordert, die Übermittlung personenbezogener Daten in die USA für einen Zeitraum von fünf Monaten auszusetzen und die unrechtmäßige Verarbeitung personenbezogener Daten von EU-/EWR-Nutzern, die unter Verstoß gegen die DSGVO in die USA übermittelt wurden, einschließlich ihrer Speicherung in den USA, innerhalb von sechs Monaten nach Bekanntgabe der Entscheidung einzustellen und die Verarbeitungsaktivitäten in Übereinstimmung mit der DSGVO zu bringen.
MELDUNGEN VON DATENVERLETZUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit“ gemäß KVKK Art. 12/5. „Werden verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und der Kommission melden. Die Kommission kann diesen Umstand gegebenenfalls auf ihrer Website oder auf andere ihr geeignet erscheinende Weise bekannt geben.“
Im Mai 2023 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr zwei Meldungen über Datenverstöße veröffentlicht.
Trabzonspor Sportif Yatırım ve Futbol İşletmeciliği Ticaret A.Ş.
In der Meldung über die Datenverletzung, die der Ausschuss von Trabzonspor Sportif Yatırım ve Futbol İşletmeciliği Ticaret A.Ş. in seiner Eigenschaft als Datenverantwortlicher erhalten hat, heißt es zusammengefasst:
Die Server des Datenverantwortlichen wurden infolge eines Cyberangriffs verschlüsselt, die Verletzung ereignete sich am 19.05.2023 und wurde am selben Tag festgestellt. Von dem Cyberangriff waren außerdem Trabzonspor Ticari Ürünler ve Turizm İşletmeciliği Ticaret A.Ş, Trabzonspor Futbol İşletmeciliği Ticaret A.Ş., Trabzonspor Telekomünikasyon Danışmanlık ve Servis Hizmetleri Ticaret A.Ş., Bordo Mavi Futbol Yatırımlar Ticaret A.Ş., Trabzonspor Kulübü Derneği und Trabzonspor Bordo Mavi Enerji Elektrik Üretim A.Ş. betroffen waren und dass auf die auf den verschlüsselten Servern gespeicherten Dateien nicht zugegriffen werden konnte; Aus diesem Grund konnte die Anzahl der von der Verletzung betroffenen Personen und Datensätze nicht ermittelt werden. Von der Verletzung betroffene Personengruppen sind Mitarbeiter, Nutzer, Studenten, Kunden und potenzielle Kunden.
Es wurde angegeben, dass die betroffenen Personen über das Callcenter Informationen über die Datenverletzung erhalten können, von der Identitäts-, Kommunikations-, Personal-, Kunden-, Finanz-, Berufserfahrungs-, Marketing-, Bild- und Tonaufzeichnungen sowie andere Datenkategorien betroffen sind.
In der Datenverletzungsmeldung, die dem Ausschuss von Boyner Büyük Mağazacılık Anonim Şirketi in seiner Eigenschaft als Datenverantwortlicher übermittelt wurde, heißt es zusammenfassend:
Der Datenverantwortliche nutzt Messaging-Dienste für den Versand von Massen-SMS und -MMS, um Informationen zu Themen zu übermitteln, die gesetzlich zulässig und/oder vorgeschrieben sind, und um seinen Kunden, die ihre Zustimmung zum Erhalt kommerzieller elektronischer Nachrichten gegeben haben, kommerzielle elektronische Nachrichten zu senden. Dieser Messaging-Dienst wird über das SMS-Versand-Panel bereitgestellt, das auf der Website des Datenverarbeiters eingerichtet wurde. Bei den durchgeführten Kontrollen wurde festgestellt, dass über das SMS-Versandpanel wiederholt und mehrfach verdächtige Zugriffe unter Verwendung des Benutzernamens und des Passworts eines der Konten erfolgten, die für den Zugriff auf die über das SMS-Versandpanel angebotenen Dienste verwendet werden. Da bei diesen Zugriffen keine falschen Passwortversuche festgestellt wurden, wird davon ausgegangen, dass die Personen, die auf das System zugegriffen haben, über die richtige Kombination aus Benutzername und Passwort verfügten; jedoch konnte noch nicht festgestellt werden, wie diese Personen an den Benutzernamen und das Passwort gelangt sind.
Es wurde angegeben, dass die Verletzung am 28.04.2023 begann und am 06.05.2023 festgestellt wurde und dass voraussichtlich 3.055.907 Personen von der Verletzung betroffen waren. Es wurde festgestellt, dass auf die Kommunikationsdaten (Mobiltelefonnummern) und Kundentransaktionsdaten (Informationen darüber, welche Marketing-SMS an den jeweiligen Kunden gesendet wurden und ob diese SMS den jeweiligen Kunden erreicht haben) von insgesamt 2.313.962 Kunden, die im SMS-Versand-Panel registriert sind, zugegriffen wurde. Außerdem wurde festgestellt, dass 534.605 dieser Personen SMS-Nachrichten mit einem Link zu einer gefälschten Website erhalten haben, die die von Media Markt Turkey Ticaret Ltd. Şti. betriebene Website „www.mediamarkt.com.tr” imitiert. Über diese gefälschte Website wurden nicht nur die Identitäts-, Kommunikations- und Finanzdaten der Nutzer gesammelt, sondern auch Geld ohne Bankkonto zu senden und zu empfangen sowie Geld auf ein Konto in der Anwendung einzuzahlen und abzuheben. Darüber hinaus wurde angegeben, dass an insgesamt 741.945 im SMS-Versand-Panel registrierte Kunden ohne Zugriff auf deren Daten erneut SMS versandt wurden, deren Inhalt gegenüber den zuvor über das SMS-Versand-Panel versandten SMS geändert worden war.
GRC LEGAL Kommentar: Angesichts der Tatsache, dass im Rahmen der von BOYNER durchgeführten Marketingaktivitäten möglicherweise die Erlaubnis zur Nutzung der HOPİ-App eingeholt wurde, um von Kampagnen und Rabatten profitieren zu können, könnte die Frage aufkommen, ob die betroffenen Personen diese Erlaubnis aus freiem Willen erteilt haben, was erneut den Begriff der Illusion des freien Willens in den Vordergrund rückt.
ZUSAMMENFASSUNG DER ENTSCHEIDUNGEN DES AUSSCHUSSES
Die wichtigsten Quellen, um mit der Geschwindigkeit der Datenwelt Schritt zu halten, sind die Grundsatzentscheidungen des Ausschusses und die Zusammenfassungen der Entscheidungen zu Verwaltungsstrafen. Die Gesetzgebung wurde in Übereinstimmung mit diesen Entscheidungen weitgehend gestaltet, und neben vielen Verfahren und Grundsätzen wurden auch Begriffe und Ausdrücke aus der Europäischen Datenschutz-Grundverordnung übernommen. In Artikel 22 des KVKK sind die Aufgaben und Befugnisse des Ausschusses aufgeführt, und die Verbindlichkeit der Zusammenfassungen der Beschlüsse basiert auf dieser Bestimmung.
DER DATENVERANTWORTLICHE DARF DIE ANTRÄGE DER BETROFFENEN PERSONEN AN SICH NICHT ERSCHWEREN!
In den Beschwerden der betroffenen Personen (Schuldner und Sohn) wird zusammengefasst, dass im Zusammenhang mit dem gegen den Schuldner eingeleiteten Vollstreckungsverfahren die Telefonnummer seines Sohnes wiederholt vom für die Datenverarbeitung Verantwortlichen, einem Rechtsanwalt, angerufen wurde, um Informationen über die Schulden zu erhalten, dass die rechtlichen und finanziellen Informationen des Schuldners ohne dessen ausdrückliche Zustimmung an seinen Sohn, der eine dritte Person ist, weitergegeben wurden Andererseits sei die Telefonnummer des Sohnes des Schuldners, dem die Informationen über die Schulden mitgeteilt wurden, unrechtmäßig erlangt und verwendet worden. Die betroffenen Personen hätten sich in dieser Angelegenheit an den für die Datenverarbeitung Verantwortlichen, einen Rechtsanwalt, gewandt, doch ihre Beschwerde sei nicht beantwortet worden. Sie forderten, dass im Rahmen des KVKK die erforderlichen Maßnahmen ergriffen würden.
Der Datenverantwortliche erklärte, dass im Rahmen der vollstreckbaren Zwangsvollstreckung gegen den verschuldeten Vater ein Anwalt der Kanzlei an dem festgelegten Termin zur Durchführung der Pfändungs- und Sicherungsmaßnahmen an die Pfändungsadresse gegangen sei, wo er dem anwesenden Schuldner und seinem Sohn den Grund für sein Erscheinen vor Ort erläutert habe. Dies sei auch in den Pfändungsprotokollen festgehalten worden. Der Sohn des Schuldners habe behauptet, er sei der Bevollmächtigte des schuldnerischen Unternehmens, der Schuldner sei sein Gast, der Schuldner habe nichts mit dem Unternehmen zu tun, die gepfändeten Gegenstände gehörten dem Unternehmen. Er behauptete, dass die gepfändeten Gegenstände ihm als Verwahrer überlassen worden seien, und unterzeichnete das Pfändungsprotokoll. Auf diese Weise wurden die personenbezogenen Daten des Sohnes des Schuldners am Tag der Pfändung vom Vollstreckungsbeamten verarbeitet. Entgegen der Behauptung wurde der Sohn des Schuldners nicht über die Schulden seines Vaters informiert, da beide Seiten bereits über die Angelegenheit informiert waren. die betroffenen Personen keinen ordnungsgemäßen Antrag beim Datenverantwortlichen gestellt haben, die Vollmacht im Antrag des Schuldners keine besondere Bestimmung enthält, die die erforderliche ausdrückliche Zustimmung für die Kontaktaufnahme mit dem Datenverantwortlichen im Rahmen des Datenschutzes enthält, und der Antrag des Sohnes des Schuldners aufgrund der Tatsache, dass der Antragsteller und der Bevollmächtigte in der Vollmacht nicht identisch sind, unzulässig ist.
Aufgrund der Bewertung der Angelegenheit und der vorliegenden Informationen und Unterlagen konnte nicht nachgewiesen werden, dass der Datenverantwortliche die Telefonnummer des Sohnes des Schuldners rechtswidrig verarbeitet hat, sodass im Rahmen des KVKK keine Maßnahmen zu ergreifen sind. Aus den vom Datenverantwortlichen an die Kommission , dass der Sohn des Schuldners zum Zeitpunkt der Pfändung zur Eintreibung der betreffenden Schuld am Ort der Pfändung anwesend war und das Pfändungsprotokoll unterzeichnet hat, sodass er bereits über die Schulden seines Vaters informiert war, und dass die Aufzeichnungen über die beanstandeten Anrufe vom Tag nach dem Datum der Erstellung des genannten Pfändungsprotokolls stammen. Aus diesen Gründen kann im Rahmen des KVKK keine Maßnahme in Bezug auf die Beschwerde des Schuldners ergriffen werden, dass „die Informationen über seine Verschuldung, die gleichzeitig seine personenbezogenen Daten sind, vom Datenverantwortlichen an seinen Sohn weitergegeben wurden“. Der Datenverantwortliche hat von den betroffenen Personen, die sich über ihre Vertreter an ihn gewandt haben, eine „besondere Befugnis in Bezug auf personenbezogene Daten“ verlangt, obwohl keine gesetzliche Verpflichtung dazu bestand. und dass diese Situation es den betroffenen Personen erschwert, sich an den Datenverantwortlichen zu wenden, wurde beschlossen, den Datenverantwortlichen in dieser Angelegenheit zu verwarnen .
Vorsicht bei der Verteilung von Broschüren zu Marketingzwecken!
In der beim Ausschuss eingereichten Petition wird zusammengefasst, dass ein freiberuflicher Unternehmer einem 8-jährigen Kind (betroffene Person) per Brief eine Broschüre zu Werbezwecken für ein Produkt eines Marketingunternehmens zugesandt hat. Daraufhin habe der Erziehungsberechtigte die in dem Brief angegebene Telefonnummer angerufen und gefragt, woher die persönlichen Daten seiner 8-jährigen Tochter stammten. Bei diesem Gespräch habe die Gegenseite ihm jedoch keine Auskunft gegeben und auch keine Maßnahmen in Bezug auf die persönlichen Daten seiner Tochter ergriffen. In diesem Zusammenhang wandte sich der Erziehungsberechtigte an das Marketingunternehmen, um zu erfahren, wie es an die persönlichen Daten des Kindes, wie z. B. die Anschrift und den Namen, gelangt war. Auch nach dieser Anfrage wurden keine Informationen gegeben. Der Erziehungsberechtigte erklärte, dass er keine Zustimmung zur Verarbeitung der persönlichen Daten des Kindes gegeben habe und dass die persönlichen Daten des Kindes ohne seine ausdrückliche Zustimmung zu Werbezwecken verarbeitet worden seien, und forderte die erforderlichen Maßnahmen im Rahmen des KVKK.
In der Antwort des Marketingunternehmens wurde zusammengefasst, dass es sich um ein Direktvertriebsunternehmen handelt, das Produkte wie Gesundheits- und Schönheitsprodukte verkauft, dass zwischen dem Verkäufer und dem Unternehmen ein Vertragsverhältnis besteht, das dem Verkäufer die Option zum Kauf und Verkauf der Produkte des Unternehmens einräumt, dass der Verkäufer als unabhängiger Unternehmer/Selbstständiger handelt und vom Unternehmen unabhängig ist, Personen, die die Produkte des Unternehmens verkaufen möchten, können sich beim Unternehmen bewerben, um freiberuflicher Unternehmer zu werden, und sind ausschließlich in ihrem eigenen Interesse und nach ihrem eigenen Programm tätig. In Bezug auf die personenbezogenen Daten, die sie von den Kunden erhalten, für die sie Dienstleistungen erbringen, einschließlich Direktmarketingzwecken, handeln freiberufliche Unternehmer allein und unabhängig als Datenverantwortliche. im konkreten Fall wurde die Broschüre nicht vom Marketingunternehmen versandt und der Freiberufler erhielt vom Unternehmen keine Anweisung zum Versand der Broschüre, die Broschüre wurde vom Freiberufler unter Verwendung zuvor unabhängig erhobener personenbezogener Daten versandt, das Unternehmen hat keine personenbezogenen Daten der betroffenen Person verarbeitet und diese Daten wurden nicht an den Freiberufler weitergegeben, Das Unternehmen ist zwar nicht für die von den Freiberuflern verarbeiteten personenbezogenen Daten verantwortlich, überwacht jedoch die Freiberufler und verhängt bei Verstößen gegen die vertraglichen Bestimmungen Sanktionen. Die Untersuchung aufgrund der Beschwerde ergab, dass der Freiberufler in der Vergangenheit Broschüren an Kunden verschickt hatte, die im Internet eingekauft hatten, und dass es sich um einen Irrtum handelte, da er nicht wusste, dass es sich bei dem Käufer um ein 8-jähriges Kind handelte.
In der Antwort des Unternehmers heißt es zusammengefasst: Während der Zeit, in der er Verkäufe über das Internet tätigte, habe er die personenbezogenen Daten der betreffenden Person über eine E-Commerce-Website in seinem eigenen Namen und auf eigene Rechnung von den Produkten des Unternehmens bezogen, die er verkauft habe. Die Erziehungsberechtigte der betreffenden Person habe eine Rechnung auf den Namen ihrer Tochter ausstellen lassen. und dass die Erziehungsberechtigte der betreffenden Person, die ihre Adresse und Kontaktdaten freiwillig über die E-Commerce-Website mitgeteilt habe, zwar ihre eigenen Adress- und Telefondaten angegeben habe, die Bestellung jedoch unter dem Namen ihres Kindes aufgegeben habe, und dass ihr im Rahmen dieser Bestellung die Broschüre zugesandt worden sei, weshalb die betreffende Verarbeitung als Ausnahme zu betrachten sei und es sich um ein Missverständnis handele.
Die Untersuchung der Angelegenheit ergab, dass die Person, die die Broschüre an die betroffene Person versandt hatte, gemäß den mit dem Unternehmen vereinbarten Vertragsbedingungen ein freiberuflicher Unternehmer war und unabhängig vom Unternehmen handelte, sodass der freiberufliche Unternehmer bei der Verarbeitung der personenbezogenen Daten seiner Kunden unabhängig vom Unternehmen als Datenverantwortlicher fungierte. Da das Unternehmen keinen Bezug zu den untersuchten Aktivitäten zur Verarbeitung personenbezogener Daten hatte, wurde entschieden, dass keine Maßnahmen im Rahmen des KVKK gegen das Unternehmen ergriffen werden. Durch den Versand der Broschüre zu Werbezwecken per Post im Namen der betroffenen Person wurden deren personenbezogene Daten in Form von Namen und Kontaktdaten verarbeitet, die jedoch keinen Bezug zu der in der vom Datenverantwortlichen vorgelegten Rechnung aufgeführten Bestellung hatten. die der betroffenen Person zu Werbezwecken zugesandte Broschüre nicht zusammen mit der in der Rechnung angegebenen Bestellung versandt wurde, der Versand der Broschüre, die Gegenstand der Untersuchung ist, ohne Bezugnahme auf eine der in der KVKK definierten Verarbeitungsbedingungen erfolgte, unter Berücksichtigung der Unrechtmäßigkeit der begangenen Straftat sowie des Verschuldens und der wirtschaftlichen Lage des für die Datenverarbeitung Verantwortlichen wurde beschlossen, gegen den für die Datenverarbeitung Verantwortlichen eine Verwaltungsstrafe in Höhe von 30.000 TL zu verhängen.
Der Beschwerdeführer, der als Rechtsanwalt tätig ist, gab in seiner Beschwerde an, dass ein Rechtsanwalt, der sich während der Verhandlungen über die Kündigung des Rechtsberatungs- und Anwaltsvertrags zwischen ihm und der Vereinigung, die eine juristische Person des öffentlichen Rechts ist, als Vertreter der Vereinigung vorgestellt habe, ihn angerufen und aufgefordert habe, den Vertrag zu kündigen. Während die Gespräche zu diesem Thema noch andauerten, habe der Anwalt in einer Weise gesprochen, die nicht mit der Berufsethik vereinbar sei, woraufhin die betreffende Person eine Beschwerde bei der Anwaltskammer eingereicht habe, um eine Disziplinaruntersuchung gegen den Anwalt einzuleiten. Daraufhin habe der beschuldigte Anwalt im Rahmen des Beratungsvertrags Kopien der Originaldokumente, die sich ausschließlich im Besitz des Verbandes befanden und an den Verband ausgestellt waren, sowie Kopien der Freiberuflerrechnung und der Quellensteuerzahlungsliste, die die personenbezogenen Daten der betreffenden Person enthielten, der Anwaltskammer als Anlage zu seiner Verteidigung vorgelegt.
Nach Prüfung durch den Ausschuss wurde festgestellt, dass die Verordnung über die Erbringung von Rechtsdienstleistungen in öffentlichen Verwaltungen im Rahmen des Gesamthaushaltsplans und in Verwaltungen mit Sonderhaushalt „… zur Erbringung von Rechtsdienstleistungen … Dienstleistungen von freiberuflichen Rechtsanwälten oder Anwaltskanzleien im Rahmen eines Direktbeschaffungsverfahrens erworben werden können.“ In der Verordnung über die Verfahren und Grundsätze für die Inanspruchnahme von Dienstleistungen freiberuflicher Rechtsanwälte heißt es: „Behörden können Rechtsdienstleistungen von ihren eigenen Rechtsabteilungen oder, wenn die Dienstleistung besondere Fachkenntnisse erfordert, mit Genehmigung des zuständigen Ministers von freiberuflichen Rechtsanwälten erwerben.“ In der Anwaltsordnung heißt es: „Anwälte oder Anwaltskanzleien können einem anderen Anwalt oder einer anderen Anwaltskanzlei eine Vollmacht erteilen, die alle Vollmachten umfasst, zu deren Erteilung sie befugt sind. Diese Vollmacht hat die gleiche Wirkung wie eine Vollmacht.“ Und in der Anwaltsgesetzverordnung heißt es: „Rechtsanwälte oder Anwaltskanzleien können durch Ausstellung einer besonderen Vollmacht, die alle Vollmachten umfasst, für die sie die Befugnis zur Bevollmächtigung anderer haben, einen anderen Rechtsanwalt oder eine andere Anwaltskanzlei als Bevollmächtigten für ihre Mandanten bestellen. Diese Vollmacht hat die gleiche Rechtswirkung wie eine Vollmacht und gilt für alle Gerichte sowie für öffentliche und private Personen, Institutionen und Organisationen.“
In diesem Zusammenhang hat der beschwerte Rechtsanwalt nach der Kündigung des Rechtsberatungsvertrags zwischen der betreffenden Person und der Vereinigung durch die von der Vereinigung beauftragte Vollmacht ebenfalls die Stellung eines Vertreters der Vereinigung erlangt.
Die Vereinigung die Dokumente mit den personenbezogenen Daten der betreffenden Person, die sich in ihrem Besitz befinden, mit dem beschuldigten Rechtsanwalt, der die Rechtsberatung erbracht hat, geteilt hat, und damit den Zweck und die Mittel der Verarbeitung personenbezogener Daten festgelegt hat, ist sie als Datenverantwortliche anzusehen, und da die Vereinigung als juristische Person des öffentlichen Rechts die ihr übertragenen Aufgaben erfüllt, hat sie externe Rechtsdienstleistungen in Anspruch genommen, und in diesem Fall kann die Weitergabe von Dokumenten, die personenbezogene Daten der betreffenden Person enthalten, durch den betreffenden Rechtsanwalt und der betroffenen Person Dokumente mit personenbezogenen Daten weitergegeben hat, im Rahmen der Verarbeitungsbedingung „die Verarbeitung von Daten ist für die Begründung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich” bewertet werden kann, wurde festgestellt, dass im Zusammenhang mit der Beschwerde der betroffenen Person gegen die Vereinigung keine Maßnahmen im Rahmen des Gesetzes zu ergreifen sind.
Im Rahmen des Vertrags zwischen der Vereinigung und dem betreffenden Anwalt hat dieser im Rahmen seiner Tätigkeit die Dokumente, die die Beschwerde betrafen und die personenbezogene Daten der betroffenen Person enthielten, erhalten und diese Dokumente nach einer Auseinandersetzung mit der betroffenen Person an die Anwaltskammer weitergeleitet. Daher ist der beschuldigte Anwalt, der den Zweck und die Methode der Verarbeitung personenbezogener Daten festgelegt hat, im konkreten Fall als für die Datenverarbeitung Verantwortlicher anzusehen. Da die Weiterleitung der Dokumente, die die personenbezogenen Daten der betroffenen Person enthalten, an die Anwaltskammer im Rahmen der durchgeführten Untersuchung als Beweismittel diente, erfolgte dies gemäß Artikel 8 des KVKK im Rahmen der „Notwendigkeit der Datenverarbeitung zur Begründung, Ausübung oder Wahrung eines Rechts”. Aus diesem Grund wurde entschieden, dass im Zusammenhang mit der Beschwerde der betroffenen Person über den betreffenden Anwalt keine Maßnahmen im Rahmen des Gesetzes zu ergreifen sind.
Die Eigenschaft von Transportunternehmen als „Distributionsdienstleister“
Die Kopfhörer, die die betroffene Person zur Reparatur in einer Filiale der Elektronik-Einzelhandelskette abgegeben hatte, wurden von den Filialmitarbeitern an ein Transportunternehmen übergeben, um sie an den Distributor weiterzuleiten. Das Transportunternehmen lieferte das Produkt jedoch nicht an den Distributor, sondern an einen unbeteiligten Dritten.
In der Stellungnahme des Transportunternehmens an die Behörde heißt es zusammengefasst, dass das Transportunternehmen, das über eine IEC 27001-Zertifizierung verfügt, seine Dienstleistungen über Vertreter erbringt und dass in der Anlage zum mit dem Vertreter abgeschlossenen Vertretervertrag festgelegt ist, dass das Transportunternehmen die Dienstleistungen über seine Vertreter erbringt und dass in der Anlage zum mit dem Vertreter abgeschlossenen Vertretervertrag festgelegt ist, dass das Transportunternehmen die Dienstleistungen über seine Vertreter erbringt und dass in der Anlage zum mit dem Vertreter abgeschlossenen Vertretervertrag festgelegt ist, dass das Transportunternehmen die Dienstleistungen über seine Vertreter erbringt und dass in der Anlage zum mit dem Vertreter abgeschlossenen Vertretervertrag festgelegt ist, dass das Transportunternehmen die Dienstleistungen über seine Vertreter erbringt und dass in der Anlage zum mit dem IEC 27001-Zertifikat für Informationssicherheitsmanagement, Datenschutz und die Einhaltung der einschlägigen Rechtsvorschriften, dass das Transportunternehmen seine Dienstleistungen über Vertreter erbringt und dass im Anhang zum mit dem Vertreter geschlossenen Vertretervertrag die Informations- und Aufklärungspflichten des Transportunternehmens zum Schutz personenbezogener Daten erfüllt sind und dass im Dienstleistungsvertrag zwischen dem Vertreter und dem für die Abwicklung zuständigen Personal des Vertreters die Pflichten zum Schutz und zur Vertraulichkeit personenbezogener Daten festgelegt sind. und Vertraulichkeit enthalten sind, dass alle Mitarbeiter des Frachtunternehmens und die Mitarbeiter der Lieferanten/Agenturen vor Dienstbeginn in den Bereichen Vertraulichkeit personenbezogener Daten und Informationssicherheit geschult werden, dass der Inhalt der versendeten Fracht nicht in den Aufzeichnungen erfasst wird und dass die Parteien daher keine Informationen darüber haben, dass die personenbezogenen Daten der betroffenen Person im Inhalt der Sendung enthalten sind.
In seiner abschließenden Prüfung stellte der Ausschuss fest, dass die Verarbeitung/Übermittlung personenbezogener Daten, die darin bestand, dass der für die Datenverarbeitung Verantwortliche dem Vertriebsunternehmen Dokumente mit bestimmten personenbezogenen Daten der betroffenen Person zusandte, damit die Kopfhörer der betroffenen Person vom Vertriebsunternehmen repariert werden konnten, auf den rechtlichen Voraussetzungen „die Verarbeitung personenbezogener Daten der Vertragsparteien ist erforderlich“ und „die Verarbeitung ist für die Erfüllung der rechtlichen Verpflichtungen des für die Datenverarbeitung Verantwortlichen erforderlich“ beruhte und daher die Verarbeitung der personenbezogenen Daten der Vertragsparteien erforderlich ist” und „für die Erfüllung der rechtlichen Verpflichtungen des für die Verarbeitung Verantwortlichen erforderlich ist”, und daher keine Maßnahmen im Rahmen des Gesetzes zu ergreifen sind.
Es wurde festgestellt, dass die personenbezogenen Daten der betroffenen Person, die in den vom Datenverantwortlichen an den Vertriebspartner gesendeten Unterlagen enthalten sind, dem normalen Lebensablauf entsprechen und kein offensichtlicher Verstoß gegen die in Artikel 4 des KVKK genannten allgemeinen Grundsätze vorliegt. Gleichzeitig wurde beschlossen, den Datenverantwortlichen darauf hinzuweisen, dass in Zukunft bei der Übermittlung von Paketen an Reparaturfirmen zum Zwecke der Produktreparatur nur ein Mindestmaß an personenbezogenen Daten in den Formularen enthalten sein darf und dass die geteilten personenbezogenen Daten so weit wie möglich maskiert werden müssen.
Bei der dem Beschwerde zugrunde liegenden Sendung hat der Datenverantwortliche mit Rechtspersönlichkeit die Eigenschaft eines „Absenders” und das Vertriebsunternehmen mit Rechtspersönlichkeit die Eigenschaft eines „Empfängers”, während die betroffene Person nicht Partei der Sendung ist. Aus diesem Grund und aufgrund der Tatsache, dass von dem Versandunternehmen in diesem konkreten Fall nicht erwartet werden kann, dass es den Inhalt der Sendung kennt, und dass das Versandunternehmen keine personenbezogenen Daten der betroffenen Person in seiner Eigenschaft als Datenverantwortlicher oder Datenverarbeiter verarbeitet, gibt es keine Maßnahmen, die gemäß den Bestimmungen des Gesetzes gegen das Versandunternehmen ergriffen werden könnten. Denn in dem auf der offiziellen Website der Behörde veröffentlichten Leitfaden mit dem Titel „Datenverantwortlicher und Datenverarbeiter” heißt es: „… Auch wenn das Transportunternehmen die Kreditkarten physisch in seinem Besitz hat, ist es ihm nicht möglich, auf die mit diesen Kreditkarten verbundenen Informationen zuzugreifen. In diesem Fall hat das Transportunternehmen, das als Distributionsdienstleister fungiert, weder den Status eines Datenverantwortlichen noch den eines Datenverarbeiters. Daher ist es lediglich für die Sicherheit der transportierten physischen Güter verantwortlich und unterliegt keinen Verpflichtungen hinsichtlich der Verarbeitung personenbezogener Daten.”
Kommentar von GRC LEGAL
Wir sind der Ansicht, dass in den vom Ausschuss veröffentlichten Zusammenfassungen der Entscheidungen häufig auf Grundprinzipien Bezug genommen wird, wobei der Grund für diese Bezugnahme darin liegt, dass auf die Einhaltung der in Artikel 4 aufgeführten allgemeinen Grundsätze hingewiesen werden soll, auch wenn diese auf den in der KVKK enthaltenen Verarbeitungsbedingungen beruhen.
Im Bereich des Schutzes personenbezogener Daten sollte das Ziel vorrangig darin bestehen, eine Kultur zu etablieren, bevor man sich mit der Verwaltung von Dokumentationen wie Informationsschriften und Datenübertragungsverpflichtungserklärungen befasst. Begriffe wie Verhältnismäßigkeit und Datenminimierung sollten häufiger thematisiert werden. Es ist leicht zu erkennen, dass Unternehmen, bevor sie ein Projekt zur Einhaltung der Datenschutzgrundverordnung in Angriff nehmen, darüber nachdenken sollten, auf welche Daten sie in ihrem Lebenszyklus verzichten können.
Ein weiterer Punkt, der in der untersuchten Zusammenfassung der Entscheidungen hervorzuheben ist, ist, dass bei den verhängten Strafen für Verstöße die wirtschaftliche Lage des für die Datenverarbeitung Verantwortlichen bewertet wird, dass die Bewertung der Schwere unabhängig von dem gegen den für die Datenverarbeitung Verantwortlichen begangenen Verstoß und der Beschwerde erfolgt und dass sie als Kriterium für die Festlegung der Höhe der Strafe herangezogen wird.