Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
GRC LEGAL verfolgt die weltweiten Entwicklungen aufmerksam und stellt Ihnen in diesem Beitrag eine Auswahl aktueller Informationen zur Verfügung.
Die folgenden Nachrichten stammen aus dem Dezember 2023.
Information Commissioner’s Office x Vereinigtes Königreich
Die Datenschutzbehörde hat die führenden Websites des Vereinigten Königreichs darauf hingewiesen, dass sie gemäß dem Datenschutzgesetz Änderungen an ihren Cookies vornehmen müssen, da ihnen sonst Sanktionen drohen.
Einige Websites bieten ihren Nutzern keine fairen Optionen hinsichtlich der Frage, ob sie für personalisierte Werbung verfolgt werden möchten oder nicht. Das Information Commissioner’s Office (ICO) hatte zuvor klare Leitlinien veröffentlicht, wonach Unternehmen es den Nutzern ebenso einfach machen müssen, alle Werbe-Cookies abzulehnen wie alle zu akzeptieren. Diese Leitlinien besagen, dass Websites weiterhin Werbung anzeigen dürfen, wenn Nutzer jegliche Nachverfolgung ablehnen, diese jedoch nicht an den jeweiligen Nutzer anpassen/personalisieren dürfen.
Das ICO hat in einem Schreiben seine Bedenken gegenüber den Unternehmen geäußert, die die meisten der meistbesuchten Websites im Vereinigten Königreich betreiben, und ihnen eine Frist von 30 Tagen gesetzt, um ihre Websites mit den gesetzlichen Bestimmungen in Einklang zu bringen.
Stephen Almond, Director of Regulatory Risk Management bei der ICO, schrieb in dem Schreiben: „Wir alle sind überrascht, wenn wir beispielsweise einen Flug ins Ausland buchen und dann eine Hotelwerbung sehen, die speziell auf uns zugeschnitten zu sein scheint. Unsere Untersuchungen zeigen, dass viele Menschen besorgt sind, dass Unternehmen personenbezogene Daten ohne die Zustimmung der Betroffenen für gezielte Werbezwecke verwenden. Glücksspielsüchtige können mit auf ihren Browsing-Daten basierenden Wettangeboten angesprochen werden, Frauen können kurz nach einer Fehlgeburt mit traurigen Babywerbungen angesprochen werden und jemandem, der gerade seine Sexualität entdeckt, können Anzeigen präsentiert werden, die seine sexuelle Orientierung offenlegen. Die meisten führenden Websites haben ihre Praktiken korrekt umgesetzt, aber wir bieten den Unternehmen, die dies noch nicht geschafft haben, eine klare Wahl: Nehmen Sie jetzt Änderungen vor oder tragen Sie die Konsequenzen.“
Die ICO wird im Januar ein Update zu dieser Studie veröffentlichen, einschließlich Details zu Unternehmen, die ihre Bedenken nicht ausgeräumt haben. Die Maßnahme ist Teil umfassenderer Bemühungen, die Rechte der Menschen durch die Online-Werbeindustrie zu schützen.
Kommentar von GRC LEGAL
Unternehmen, die sich vor allem auf den E-Commerce und viele andere Bereiche spezialisiert haben, setzen über ihre Websites Cookies ein, die sowohl gegen die DSGVO als auch gegen nationale Rechtsvorschriften verstoßen. Dadurch werden Personen gezielter Werbung und Profiling ausgesetzt, was den Grundsatz des Schutzes personenbezogener Daten als Grundrecht zutiefst untergräbt. Der Hauptgrund dafür, dass diese Aktivitäten, die durch zahlreiche bisher veröffentlichte Leitfäden, Richtlinien und Entscheidungen der Verwaltungsbehörden verboten wurden, immer noch fortgesetzt werden, ist die mangelnde Abschreckungswirkung der vorgesehenen Sanktionen.
Angesichts der Einnahmen, die diese Unternehmen mit der Verwendung von Cookies erzielen, werden die gegen sie verhängten Verwaltungsstrafen als akzeptables Risiko angesehen.
Es ist bereits jetzt spannend zu sehen, welche abschreckenden Sanktionen die ICO, die den Unternehmen eine klare Botschaft gesendet hat, für diejenigen vorsieht, die sich nicht an die Gesetze halten, und in welche Richtung die Unternehmen ihre Aktivitäten zum Schutz der personenbezogenen Daten der Nutzer im Online-Umfeld gestalten werden.
Kanada x LockBit
In einer Erklärung gaben die Behörden bekannt, dass eine Datenpanne, von der die kanadische Regierung, das Militär und Polizeibeamte betroffen sind, persönliche und finanzielle Daten aus 24 Jahren enthalten könnte.
Das kanadische Finanzministerium veröffentlichte eine Erklärung, in der es alle Personen, die seit 1999 die Dienste der staatlichen Auftragnehmer SIRVA oder BGRS Canada, zwei weltweit führende Unternehmen im Bereich Transport und Logistik, in Anspruch genommen haben, darauf hinwies, dass ihre Daten möglicherweise gefährdet sind. Unterdessen übernahm die Ransomware-Bande LockBit die Verantwortung für den Angriff.
Die SIRVA/BGRS-Verletzung wurde erstmals am 20. Oktober in einer Mitteilung an Militär- und Zivilpersonal durch Regierungsbeamte öffentlich bekannt gegeben, die jedoch nur wenige Informationen über den Umfang des Angriffs enthielt. Laut dem staatlichen kanadischen Rundfunk- und Fernsehsender CBC erfolgte die Mitteilung nach einer Unterbrechung der Transportdienste und dem Ausfall der Website von BGRS am 29. September. Die Behörden gehen nun davon aus, dass Daten von Mitarbeitern der aktuellen und früheren kanadischen Regierung, der kanadischen Streitkräfte (CAF) und der Royal Canadian Mounted Police (RCMP) von der Verletzung betroffen sind.
In einer Erklärung des Finanzministeriums heißt es: „Angesichts der derzeit zu bewertenden Datenmenge können wir die betroffenen Personen noch nicht identifizieren. Vorläufige Informationen deuten jedoch darauf hin, dass die kompromittierten Daten alle Personen betreffen könnten, die seit 1999 die Transportdienstleistungen in Anspruch genommen haben, und dass sie Finanzdaten enthalten könnten, die Mitarbeiter den Unternehmen zur Verfügung gestellt haben.“
Der Vorfall wurde auch dem Canadian Cyber Security Centre, dem Office of the Privacy Commissioner und der RCMP gemeldet. Die Regierung arbeitet mit SIRVA/BGRS zusammen, um den Vorfall zu untersuchen und sicherzustellen, dass die bei dem Angriff ausgenutzten Sicherheitslücken geschlossen werden. Ein Sprecher des kanadischen Finanzministeriums erklärte gegenüber SC Media, dass keine weiteren Details bekannt gegeben werden könnten, dass jedoch weitere Informationen veröffentlicht würden, sobald diese verfügbar seien.
LockBit behauptet, 1,5 TB Daten von der kanadischen Regierung gestohlen zu haben!
Die Ransomware-Bande LockBit hat laut einem von BleepingComputer veröffentlichten Screenshot die Verantwortung für den Angriff übernommen, der am 17. Oktober auf einer Dark-Internet-Leak-Website durchgeführt wurde. Die Gruppe behauptet, mehr als 1,5 TB an Dokumenten und „3 vollständige CRM-Backups” aus den europäischen, nordamerikanischen und australischen Niederlassungen von SIRVA gestohlen zu haben. Am 20. November gab LockBit auf seiner Website bekannt, dass die Gruppe „alle vorhandenen Daten” veröffentlicht habe. Regierungsbeamte haben weder die Identität des Täters noch den genauen Umfang der gestohlenen Daten in öffentlichen Erklärungen bestätigt.
Die kanadische Regierung nutzt seit 1995 die Dienste von BGRS. Laut einer Übersicht auf der Website von BGRS erleichtert der Auftragnehmer jährlich den Umzug von mehr als 14.000 CAF-Mitgliedern. Laut Regierungsunterlagen hat die Regierung seit 2009 auch einen Vertrag mit SIRVA Canada abgeschlossen. SIRVA und BGRS fusionierten im August 2022. SC Media wandte sich an SIRVA, um eine Stellungnahme zu diesem Thema zu erhalten, erhielt jedoch keine Antwort.
Die Regierung bietet allen aktuellen und ehemaligen Mitarbeitern der Regierung, der CAF und der RCMP, die in den letzten 24 Jahren nach Kanada gezogen sind, Dienstleistungen an, darunter Kreditüberwachung und die Neuausstellung von Pässen. Die Behörden forderten außerdem potenziell betroffene Personen auf, sich anzumelden und ihre Anmeldedaten zu aktualisieren, die Multi-Faktor-Authentifizierung zu aktivieren und ihre Online-Konten auf ungewöhnliche Aktivitäten zu überwachen.
McNee schloss sich der Empfehlung der Regierung an und fügte hinzu, dass das Alter der Daten einige zusätzliche Vorsichtsmaßnahmen erforderlich mache. McNee sagte außerdem: „Wir empfehlen den Bürgern, die Antworten auf Sicherheits- oder Kontowiederherstellungsfragen für wichtige Online-Konten zu ändern, da die ‚richtigen‘ Antworten auf Fragen wie ‚In welcher Straße haben Sie 2005 gewohnt?‘ ebenfalls in den durchgesickerten Informationen enthalten sein könnten.“
Kommentar von GRC LEGAL
Das Ausmaß der Datenverletzung stellt eine ernsthafte Bedrohung für die Privatsphäre und Sicherheit von Personen dar. Die Tatsache, dass öffentliche Einrichtungen wie Regierung, Armee und Polizei von der Datenverletzung betroffen sind, gefährdet potenziell weite Teile der Gesellschaft. Darüber hinaus zeigt die Tatsache, dass die Ransomware-Bande LockBit die Verantwortung für die Datenverletzung übernommen hat, von der viele Menschen betroffen sind, dass Cyberkriminalität zunehmend organisiert wird.
In diesem Zusammenhang muss betont werden, dass alle erforderlichen Maßnahmen zum Schutz der Datensicherheit getroffen werden müssen und dass diese Maßnahmen aktuell und wirksam sein müssen. In diesem Zusammenhang sind wir der Meinung, dass die von der Regierung vorgeschlagenen Maßnahmen zur Aktualisierung der Benutzerdaten, zur Aktivierung der Multi-Faktor-Authentifizierung und zur Überwachung von Online-Konten die grundlegendsten Schritte zur Verbesserung der Sicherheit personenbezogener Daten sind.
Meta x Minderjährige Nutzer
Meta, das Mutterunternehmen von Social-Media-Plattformen wie Facebook und Instagram, sieht sich in einem laufenden Bundesverfahren mit schwerwiegenden Vorwürfen konfrontiert. Aus den veröffentlichten Gerichtsunterlagen geht hervor, dass Meta seit mindestens 2019 beschuldigt wird, wissentlich Konten von Kindern unter 13 Jahren aktiv zu lassen und ohne die Zustimmung der Eltern personenbezogene Daten zu sammeln.
Diese Erklärung kommt zu einer Zeit, in der die Bedenken hinsichtlich der Online-Privatsphäre und des Schutzes von Minderjährigen in sozialen Medien zunehmen.
Meldungen über minderjährige Nutzer und rechtliche Konsequenzen
33 Staatsanwälte gaben an, dass das Unternehmen zwischen Anfang 2019 und Mitte 2023 mehr als eine Million Meldungen über minderjährige Nutzer auf Instagram erhalten habe, die aus verschiedenen Quellen stammten, darunter Eltern und Mitglieder der Community.
Trotz dieser Meldungen soll Meta nur einen Teil dieser Konten deaktiviert haben. Diese Handlung bzw. Unterlassung bildet die Grundlage der Klage. Die Klage umfasst 54 Anklagepunkte und behauptet, dass Meta gegen eine Reihe von Verbraucherschutzgesetzen auf Bundesstaatenebene und gegen den Children’s Online Privacy Protection Act (COPPA) verstoßen habe.
COPPA verbietet es Unternehmen, ohne elterliche Zustimmung personenbezogene Daten von Kindern unter 13 Jahren zu sammeln. In den Gerichtsunterlagen wird betont, dass die Aufzeichnungen von Meta zeigen, dass Instagram eine beträchtliche Anzahl minderjähriger Nutzer hat und dass „Millionen von Kindern unter 13 Jahren” und „Hunderttausende junger Nutzer” viel Zeit auf der Plattform verbringen, was die Bedeutung der minderjährigen Nutzerbasis unterstreicht.
Die Antwort von Meta und die Schwierigkeit der Altersüberprüfung
Als Antwort auf die Vorwürfe erklärte Meta, dass die Nutzungsbedingungen von Instagram Nutzer unter 13 Jahren verbieten und dass das Unternehmen Maßnahmen zur Löschung solcher Konten ergreift.
Gleichzeitig räumt Meta ein, dass es schwierig ist, das Alter von Online-Nutzern zu überprüfen, insbesondere von denen, die keine Identitätsdaten angegeben haben. In einer Erklärung gegenüber CNN betonte Meta, dass es das Bundesgesetz unterstütze, wonach Jugendliche unter 16 Jahren die Zustimmung ihrer Eltern einholen müssen, um Apps aus App-Stores herunterzuladen.
Laut Meta würde dieser Ansatz den Bedarf an sensiblen Daten wie Ausweisen für die Altersüberprüfung verringern. Im Verlauf des Verfahrens kommen wichtige Fragen zum Vorschein, die die Online-Privatsphäre, den Schutz Minderjähriger und die Verantwortung der Technologiegiganten bei der Überwachung ihrer Plattformen betreffen
Mit möglichen Strafen in Höhe von mehreren hundert Millionen Dollar könnte dieses Verfahren einen Präzedenzfall für den Umgang von Social-Media-Unternehmen mit minderjährigen Nutzern und dem Datenschutz darstellen.
Kommentar von GRC LEGAL
Wir sehen, dass Meta, Eigentümer von Plattformen mit Millionen von Nutzern weltweit, mit Vorwürfen wegen Datenschutzverletzungen gegenüber Kindern konfrontiert ist, was zu einer globalen Krise geführt hat. Tatsächlich ist sich Meta bewusst, dass es mit dem Verbot von Nutzern unter 13 Jahren keine Maßnahme ergriffen hat, die als gutes Beispiel für den Schutz von Kindern im Online-Umfeld gelten könnte. In diesem Sinne könnte der vorliegende Fall einen Präzedenzfall für Social-Media-Unternehmen darstellen.
Diese Nachricht bringt erneut das Thema zur Sprache, dass es in unserer Gesetzgebung keine speziellen Bestimmungen und/oder Leitlinien für Kinder gibt, obwohl es in der internationalen Gesetzgebung die DSGVO und andere Vorschriften zum Schutz der personenbezogenen Daten von Kindern gibt. Wir hoffen, dass die Leitlinien für Kinder, mit deren Ausarbeitung die Behörde bereits begonnen hat, alle diese internationalen Rechtsvorschriften und Entwicklungen berücksichtigen und entscheidende Regelungen enthalten, die als Orientierung für die Umsetzung dienen können.
CNIL x Groupe Canal +
Die französische Datenschutzbehörde („CNIL“) hat bekannt gegeben, dass sie aufgrund von Bedenken hinsichtlich der Direktmarketingaktivitäten des Medienunternehmens eine Geldstrafe in Höhe von 600.000 € gegen die Groupe Canal+ verhängt hat.
Laut CNIL hat das Unternehmen sowohl gegen die DSGVO als auch gegen das französische Datenschutzgesetz verstoßen, indem es Marketing-E-Mails ohne Zustimmung der Nutzer versandt hat. Die CNIL stellte fest, dass das Unternehmen Marketing-E-Mails an Personen versandt hatte, die ihre personenbezogenen Daten nicht Canal+ selbst, sondern einem Partner von Canal+ zur Verfügung gestellt hatten.
Dabei wurde den Personen nicht mitgeteilt, dass die Daten für Marketingzwecke an Canal+ weitergegeben und von Canal+ verwendet werden würden. Nach Ansicht der CNIL hätte die Groupe Canal+ dafür sorgen müssen, dass die Konzernunternehmen die erforderliche Einwilligung einholten.
Darüber hinaus enthielt die Entscheidung gegen das Unternehmen auch andere mutmaßliche Verstöße gegen die DSGVO. Eine dieser Behauptungen betrifft die Nichtangabe der Datenspeicherdauer in der Datenschutzerklärung des Unternehmens. Weitere Behauptungen betreffen die Nichtabgabe von Datenschutzerklärungen bei der telefonischen Kommunikation mit Verbrauchern und die Nichtbeantwortung von Rechtsansprüchen von Verbrauchern innerhalb eines Monats. Die CNIL stellte außerdem fest, dass die Zugangsanträge bestimmter Verbraucher nicht beantwortet wurden.
In der Entscheidung wurden neben Datenschutzbedenken auch Datensicherheitsbedenken hervorgehoben. Nach Ansicht der CNIL hat das Unternehmen bei der Speicherung von Mitarbeiterpasswörtern keine angemessenen Sicherheitsvorkehrungen getroffen. Darüber hinaus führte die Nichtmeldung von Abonnentendaten an die CNIL dazu, dass diese Daten fünf Stunden lang für andere Personen einsehbar waren.
Kommentar von GRC LEGAL
Eine strenge Kontrolle insbesondere von Medienunternehmen, die intensive Marketingaktivitäten durchführen, und die Verhängung hoher Verwaltungsstrafen gegen diese Unternehmen werden dazu beitragen, Datenverstöße im Zusammenhang mit Direktmarketingaktivitäten, die eine ausdrückliche Einwilligung erfordern, zu verhindern. In diesem Sinne hoffen wir, dass die gegen die Groupe Canal+ verhängte Geldstrafe in Höhe von 600.000 Euro eine abschreckende Wirkung auf alle Medienunternehmen hat.
Diese Nachricht bringt erneut das Thema zur Sprache, dass es in unserer Gesetzgebung keine speziellen Bestimmungen und/oder Leitlinien für Kinder gibt, obwohl in der internationalen Gesetzgebung die DSGVO und andere Vorschriften sowie Gesetze zum Schutz der personenbezogenen Daten von Kindern in Kraft sind. Wir hoffen, dass die Leitlinien für Kinder, mit deren Ausarbeitung die Behörde bereits begonnen hat, alle diese internationalen Rechtsvorschriften und Entwicklungen berücksichtigen und entscheidende Regelungen enthalten, die als Orientierung für die Umsetzung dienen können.
Booking.com x Cyberangreifer
Cyberangreifer verstärken ihre Angriffe auf Kunden von Booking.com, indem sie in Dark-Internet-Foren Anzeigen schalten, in denen sie um Hilfe bei der Suche nach Opfern bitten.
Cyberangreifer bieten Menschen, die in Hotels übernachten, bis zu 2.000 Dollar (1.600 £) für die Zugangsdaten der Hotels. Seit mindestens März werden Kunden dazu verleitet, Geld an Cyberangreifer zu überweisen.
Cybersicherheitsexperten sagen, dass Booking.com selbst nicht angegriffen wurde, aber dass die Cyberangreifer Wege gefunden haben, sich Zugang zu den Verwaltungsportalen der Hotels zu verschaffen, die diesen Dienst nutzen.
Forscher des Cybersicherheitsunternehmens Secureworks sagen, dass die Cyberangreifer sich wie ein ehemaliger Gast verhalten haben, der seinen Reisepass in seinem Zimmer vergessen hat, und so das Hotelpersonal dazu gebracht haben, eine Schadsoftware namens Vidar Infostealer herunterzuladen.
Anschließend senden sie einen Google Drive-Link, der angeblich ein Foto des Reisepasses enthält. Der entsprechende Link lädt die Malware auf die Computer der Mitarbeiter herunter und führt automatisch einen Scan der Hotelcomputer nach Zugriffen auf Booking.com durch. Auf diese Weise können alle Kunden mit Zimmer- oder Urlaubsbuchungen angezeigt werden, wenn sie sich beim Booking.com-Portal anmelden. Cyberangreifer können Kunden dann über die App Nachrichten senden und sie dazu verleiten, statt an das Hotel an sie selbst zu zahlen.
Ein Sprecher von Booking.com sagte: „Obwohl dieser Verstoß nicht bei Booking.com stattgefunden hat, sind wir uns der Schwere der Situation für die Betroffenen bewusst. Daher arbeiten unsere Teams mit Hochdruck daran, die Systeme unserer Partner so schnell wie möglich zu sichern und den potenziell Betroffenen zu helfen. Dazu gehört auch die Rückerstattung der verlorenen Gelder an die Kunden.“
Der Cybersicherheitsexperte Graham Cluley sagt, dass Booking.com-Hotels eine Multi-Faktor-Authentifizierung einführen sollten, um Kriminellen den illegalen Zugriff zu erschweren. Cluley: „Booking.com hat begonnen, unter den Chat-Fenstern eine Warnmeldung anzuzeigen, aber sie könnten noch viel mehr tun. Wenn beispielsweise Links zu Websites, die weniger als ein paar Tage aktiv sind, nicht in den Chat aufgenommen werden dürfen, würde das verhindern, dass neu erstellte gefälschte Websites genutzt werden, um Kunden zur Zahlung zu verleiten.“
Kommentar von GRC LEGAL
Angesichts der Tatsache, dass auf die Kundeninformationen auf Booking.com durch Angriffe auf die Verwaltungsportale der Hotels zugegriffen wurde, ist es als administrative Maßnahme wichtig, dass die für die Datenverarbeitung verantwortlichen Hotels ihren Mitarbeitern Schulungen zum Thema personenbezogene Daten anbieten. Darüber hinaus würden technische Maßnahmen, die den Zugriff auf Links, die an Hotelmitarbeiter gesendet werden, aus Sicherheitsgründen blockieren, selbst wenn diese von Personen angeklickt werden, die Datensicherheitmaßnahmen verstärken und möglichen Datenverstößen vorbeugen.
Europäischer Datenschutzausschuss x Meta
Nach der Nach der verbindlichen Dringlichkeitsentscheidung vom 27. Oktober 2023 hat die irische Datenschutzbehörde (Irish Data Protection Authority, „IE DPA“) in ihrer Entscheidung vom 10. November 2023 gegen Meta Ireland Limited („META IE“) die Verarbeitung personenbezogener Daten für Zwecke der verhaltensorientierten Werbung auf der Grundlage vertraglicher und berechtigter Interessen verboten.
Verhaltensbasierte Werbung ist ein Werbemodell, bei dem auf der Grundlage des Online-Verhaltens von Internetnutzern personalisierte Werbung erstellt und präsentiert wird. Diese Art der Werbung zielt darauf ab, durch die Analyse von Daten wie den Online-Surfgewohnheiten, Suchbegriffen, dem Klickverlauf und anderen Online-Interaktionen von Personen Werbung zu schalten, die den Interessen und Verhaltensweisen der Nutzer entspricht. Verhaltensbasierte Werbung kann jedoch auch Bedenken hinsichtlich der Privatsphäre der Nutzer und der Datensicherheit aufwerfen. Da solche Werbemodelle durch die Verarbeitung von Nutzerdaten persönliche Profile erstellen, stellen sie einen Bereich dar, der hinsichtlich der Verwendung und des Schutzes dieser Daten sorgfältig verwaltet werden muss.
Die dringende verbindliche Entscheidung der EDBP folgte auf die Forderung der norwegischen Datenschutzbehörde (Norwegian Data Protection Authority, „NO DPA“) nach endgültigen Maßnahmen, die im gesamten Europäischen Wirtschaftsraum (European Economic Area, „EEA“) wirksam sein sollen.
Die Vorsitzende der EDBP, Anu Talus, erklärte dazu: „Nach sorgfältiger Prüfung kam die EDBP zu dem Schluss, dass es notwendig ist, die IE DPA anzuweisen, ein EWR-weites Verarbeitungsverbot gegen Meta IE zu verhängen. Im Dezember 2022 hatte der EDPB in seinen verbindlichen Entscheidungen bereits klargestellt, dass der Vertrag keine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch Meta für Zwecke der verhaltensorientierten Werbung darstellt. Darüber hinaus wurde festgestellt, dass Meta die Anordnungen der IE DPA vom Ende des letzten Jahres nicht befolgt hat. Dies führte zur Anwendung des in Artikel 66 Absatz 1 der DSGVO geregelten Dringlichkeitsverfahrens, das eine Ausnahme vom üblichen Kooperationsverfahren darstellt und nur in Ausnahmefällen angewendet werden kann.
Am 14. Juli 2023 hatte die NO DPA auf der Grundlage eines Vertrags oder eines berechtigten Interesses eine vorläufige Untersagungsverfügung gemäß Artikel 66 der DSGVO gegen Meta IE und Facebook Norway AS („Facebook Norway“) hinsichtlich der Verarbeitung personenbezogener Daten betroffener Personen in Norwegen für Zwecke der verhaltensorientierten Werbung erlassen. Dieses Verbot galt zeitlich und räumlich für drei Monate und nur innerhalb der Grenzen Norwegens. Am 26. September 2023 beantragte die NO DPA beim EDPB eine dringende verbindliche Entscheidung, um endgültige Maßnahmen für Nutzer in allen EWR-Ländern zu ergreifen.
Infokasten
Gemäß dem in Artikel 66 der DSGVO geregelten Dringlichkeitsverfahren können Datenschutzbehörden in Ausnahmefällen, in denen sie feststellen, dass dringende Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen innerhalb ihrer Grenzen erforderlich sind, vorübergehende Maßnahmen mit einer Rechtswirkung innerhalb ihrer Grenzen für einen Zeitraum von höchstens drei Monaten ergreifen.
Diese Maßnahmen werden durch eine Abweichung vom Kohärenzmechanismus der DSGVO (Artikel 63 DSGVO) oder vom Mechanismus der einzigen zuständigen Behörde (Artikel 60 DSGVO) angenommen. Diese Ausnahme ist so konzipiert, dass die Behörden jederzeit und unter allen Umständen in der Lage sind, die Rechte und Freiheiten der Personen in ihren Mitgliedstaaten zu schützen.
Die Datenschutzbehörde, die solche vorläufigen Maßnahmen ergreift, muss diese Maßnahmen und die Gründe für ihre Annahme unverzüglich den anderen betroffenen Datenschutzbehörden, dem Europäischen Datenschutzausschuss und der Europäischen Kommission mitteilen.
Stellt die Datenschutzbehörde, die solche vorläufigen Maßnahmen ergriffen hat, fest, dass endgültige Maßnahmen dringend erforderlich sind, kann sie unter Ausnahme von den üblichen Verfahren für Zusammenarbeit und Kohärenz eine dringende Stellungnahme oder eine dringende verbindliche Entscheidung des EDPB beantragen, indem sie die Gründe für die Dringlichkeit der endgültigen Maßnahmen darlegt.
Der EDPB kam zu dem Schluss, dass META IE aufgrund der vorliegenden Beweise weiterhin gegen Artikel 6 Absatz 1 der DSGVO (Rechtsgrundlagen für die Verarbeitung) verstößt, indem es bei der Verarbeitung personenbezogener Daten, die für verhaltensorientierte Werbung erhoben wurden, die Rechtsgrundlagen „Vertrag“ und „berechtigtes Interesse“ unangemessen verwendet, und insbesondere gegen die endgültige Entscheidung der IE DPA vom Dezember 2022 , und insbesondere die endgültige Entscheidung der IE DPA vom Dezember 2022 nicht befolgt hat.
Aufgrund der Dringlichkeit kam der EDPB zu dem Schluss, dass die üblichen Mechanismen der Zusammenarbeit nicht angewendet werden können und dass ohne endgültige Maßnahmen die Gefahr besteht, dass den betroffenen Personen schwerwiegender und irreparabler Schaden zugefügt wird, sodass endgültige Maßnahmen dringend erforderlich sind.
Darüber hinaus stellte der EDPB fest, dass die IE DPA nicht innerhalb der in der DSGVO festgelegten Frist auf das Amtshilfeersuchen der NO DPA reagieren konnte, und wies darauf hin, dass in diesem Fall die in Artikel 61 Absatz 8 der DSGVO vorgesehene Dringlichkeitsprämisse gilt und eine Abweichung von den üblichen Kooperations- und Kohärenzmechanismen erforderlich ist.
Im Ergebnis hat der EDPB entschieden, dass es angemessen, verhältnismäßig und erforderlich ist, dass die IE DPA Meta IE eine Verarbeitungsverbotsanweisung für die Verarbeitung personenbezogener Daten, die über Meta-Produkte erhoben wurden, für Zwecke der vertraglich und auf berechtigten Interessen beruhenden verhaltensorientierten Werbung erteilt, und dass die IE DPA in diesem Verfahren endgültige Maßnahmen ergreifen muss. Diese dringende verbindliche Entscheidung wurde an die IE DPA, die NO DPA und andere betroffene Datenschutzbehörden übermittelt, und die IE DPA hat ihre endgültige Entscheidung zu diesem Thema am 10. November 2023 getroffen.
Kommentar von GRC LEGAL
Verhaltensbasierte Werbeaktivitäten, die eine Kategorisierung/Profilierung betroffener Personen ermöglichen und die Erhebung besonders sensibler personenbezogener Daten ermöglichen, wurden von Meta unter Berufung auf Artikel 6 der DSGVO unter dem Deckmantel vertraglicher und berechtigter Interessen rechtswidrig durchgeführt, was durch ein Eilverfahren unterbunden wurde. Dieser Fall zeigt, wie wichtig ein schnelles und wirksames Eingreifen bei Verstößen gegen die DSGVO und die Zusammenarbeit zwischen nationalen Behörden und auf europäischer Ebene ist. Wir hoffen, dass die Entscheidung des EDPB eine abschreckende Wirkung auf Meta hat und auch anderen Unternehmen, die Daten für verhaltensbasierte Werbung sammeln, als Beispiel dient.
Europäischer Gerichtshof x Bewertungsalgorithmen
Der Gerichtshof der Europäischen Union (Court of Justice of the European Union, „CJEU“) hat am Donnerstag, dem 7. Dezember, entschieden, dass Entscheidungen auf der Grundlage von Bewertungssystemen, die personenbezogene Daten verwenden, rechtswidrig sind. Damit hat der CJEU Jahre nach Inkrafttreten der DSGVO seine erste Entscheidung zu einem Artikel über automatisierte Einzelentscheidungen veröffentlicht. Es wird davon ausgegangen, dass diese Entscheidung erhebliche Auswirkungen auf Sozialversicherungs- und Kreditinstitute haben wird.
Der Skandal, der zwischen 2018 und 2021 in den Niederlanden zum Rücktritt der dritten Regierung von Mark Rutte führte, war darauf zurückzuführen, dass die Steuerbehörden aufgrund eines fehlerhaften Risikobewertungsalgorithmus Tausende von Menschen des Betrugs im Rahmen des Kinderbetreuungshilfeprogramms beschuldigten. Das Gericht entschied, dass jede Art von automatischer Bewertung verboten ist, wenn sie das Leben von Menschen erheblich beeinträchtigt. In der Entscheidung bezüglich der SCHUFA, Deutschlands größter privater Kreditauskunftei, die Menschen anhand ihrer Kreditwürdigkeit bewertet, heißt es, dass die Bewertung der SCHUFA gegen die DSGVO verstößt, wenn die Kunden der SCHUFA (z. B. Banken) der SCHUFA eine „entscheidende” Rolle bei ihren vertraglichen Entscheidungen zuweisen.
Diese Entscheidung könnte weitreichende Folgen haben. In Frankreich beispielsweise verwendet der Nationale Familienbeihilfenfonds (CNAF) seit 2010 einen automatischen Risikobewertungsalgorithmus, um bei Verdacht auf potenziellen Betrug Hauskontrollen einzuleiten. Laut Le Monde und Lighthouse Reports analysiert und bewertet der Data-Mining-Algorithmus des CNAF monatlich 13,8 Millionen Haushalte, um die Kontrollen zu priorisieren. Dieser Algorithmus bewertet alle Begünstigten jeden Monat mit einer Punktzahl zwischen 0 und 1, wobei etwa 40 Kriterien auf der Grundlage personenbezogener Daten verwendet werden, denen ein Risikokoeffizient zugewiesen wird. Je näher die Punktzahl der Anspruchsberechtigten an 1 liegt, desto höher ist die Wahrscheinlichkeit, dass sie einer Hauskontrolle unterzogen werden.
Der französische Abgeordnete und CNIL-Mitglied Philippe Latombe erklärte gegenüber Euractiv, dass er den Algorithmus der CNAF lediglich als ein System zur Risikobewertung betrachte, das Menschen anhand ihrer Daten filtert und personenbezogene Daten für den Zweck der „Gewährung von Beihilfen an bedürftige Personen” verwendet. Latombe fuhr fort: „Wenn jedes Kriterium für sich genommen betrachtet wird, mag es im Kampf gegen Betrug sinnvoll erscheinen, aber wenn die Kriterien miteinander in Verbindung gebracht werden, kann die Summe diskriminierend sein.”
Der französische Abgeordnete Aurélien Taché kommentierte: „Wie immer bekämpft die Regierung eher die Armen als die Armut selbst und missachtet dabei selbst die grundlegendsten Prinzipien der Verteidigung der Freiheiten und des Rechts auf Privatsphäre durch soziale Bewertung.”
Einschränkungen bei der Bewertung
Die DSGVO befreit öffentliche und private Einrichtungen nur in drei Fällen von der Verwendung von Data-Mining-Algorithmen. Diese Fälle sind: die ausdrückliche Zustimmung der betroffenen Personen, vertragliche Verpflichtungen oder gesetzliche Verpflichtungen. In diesem Zusammenhang ist die Übertragung personenbezogener Daten an Bewertungsalgorithmen in der EU nun wesentlich eingeschränkter.
GRC LEGAL Kommentare
Bewertungsalgorithmen können durch die Zusammenführung vieler personenbezogener Daten zu Diskriminierungen oder Benachteiligungen von Personen führen und bei fehlerhafter Verwendung zu schwerwiegenden Folgen führen, ähnlich wie bei dem Skandal in den Niederlanden. Aus diesem Grund sind Leitlinien von Institutionen und Organisationen, wie solche Systeme zu verwenden sind, ebenso wie die entsprechende Gerichtsentscheidung von großer Bedeutung. Wir hoffen, dass diese Entscheidung sowohl für Institutionen als auch für Staaten eine treibende Kraft sein wird, um die Standards zum Schutz personenbezogener Daten zu stärken und ähnliche algorithmische Systeme sorgfältiger zu regulieren.