Was passiert in der Welt?
Während sich der Bereich Datenschutz in unserem Land rasant entwickelt, bleiben weltweite Innovationen weiterhin im Fokus der Datenschutzbehörde („Behörde“).
Anhand von Beispielen, mit denen wir bereits mehrfach konfrontiert wurden, können wir beobachten, dass die Behörde mit den Entwicklungen auf der weltweiten Agenda Schritt hält, insbesondere mit den Bestimmungen der Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“), und versucht, den Anforderungen der sich schnell verändernden Welt des Datenschutzes gerecht zu werden.
GRC LEGAL verfolgt die weltweiten Entwicklungen aufmerksam und stellt Ihnen in diesem Beitrag eine Auswahl aktueller Informationen zur Verfügung.
Die folgenden Nachrichten stammen aus dem Januar 2023.
The Data Act: „Datengesetz”
Im heutigen digitalen Zeitalter ist es nicht falsch, Daten als neue Währung zu bezeichnen. Die Europäische Union („EU“) hat dies berücksichtigt und mit dem Data Act („Datengesetz“) eine Reihe neuer Vorschriften in Kraft gesetzt, die eine Revolution in der Art und Weise darstellen, wie die von verbundenen Geräten erzeugten Daten geteilt und genutzt werden.
Verbraucher und Unternehmen können auf die Daten ihrer Geräte zugreifen und diese für After-Sales- und Mehrwertdienste nutzen. Kommerzielle und industrielle Akteure werden über mehr Daten verfügen und von einem wettbewerbsorientierten Datenmarkt profitieren. After-Sales-Dienstleister können personalisiertere Dienstleistungen anbieten – und mit ähnlichen Dienstleistungen der Hersteller gleichberechtigt konkurrieren.
Industriedaten können auch kombiniert werden, um völlig neue digitale Dienstleistungen zu entwickeln.
Die neue Verordnung wird es Nutzern vernetzter Geräte, von intelligenten Haushaltsgeräten bis hin zu intelligenten Industriemaschinen, ermöglichen, auf Daten zuzugreifen, die durch die Nutzung dieser Geräte gewonnen werden und in der Regel nur von Herstellern und Dienstleistern gesammelt werden.
Infokasten
Datengesetz: Das Datengesetz ist ein neues EU-Gesetz, das darauf abzielt, einen fairen und wettbewerbsorientierten Datenmarkt zu schaffen, indem es den Datenaustausch und die Wiederverwendung von Daten zwischen Branchen und Interessengruppen erleichtert.
Verpflichtungen zum Datenaustausch: Das Datenschutzgesetz verpflichtet Hersteller vernetzter Geräte und relevante Dienstleister, unter bestimmten Bedingungen und Ausnahmen Daten für Nutzer und Dritte zugänglich zu machen.
Unfaire Vertragsbedingungen: Das Datenrecht verbietet einseitig auferlegte Vertragsbedingungen, die erheblich von guten Geschäftspraktiken abweichen, und nennt Beispiele für solche Bedingungen.
Bereitstellung von Daten für öffentliche Einrichtungen: Das Datenschutzgesetz legt einen Rahmen für die kostenlose Bereitstellung von Daten für öffentliche Einrichtungen fest, wenn ein außergewöhnlicher Bedarf für die Verwendung der Daten für einen bestimmten öffentlichen Zweck besteht.
Wechsel zwischen Cloud- und Edge-Diensten: Das Datenschutzgesetz enthält neue Vorschriften, die es Kunden ermöglichen, ohne unnötige Verzögerungen oder Kosten zwischen verschiedenen Datenverarbeitungsanbietern zu wechseln und ihre Daten und digitalen Vermögenswerte zu einem anderen Anbieter oder auf ihre eigene Infrastruktur zu übertragen.
Internationale Übermittlung nicht personenbezogener Daten: Das Datenschutzgesetz erweitert die Verpflichtungen in Bezug auf internationale Datenübermittlungen im Rahmen der Datenschutz-Grundverordnung der Europäischen Union (General Data Protection Regulation, „GDPR“) und des Schrems-II-Urteils auf Datenverarbeitungsdienstleister und verlangt von ihnen, geeignete Schutzmaßnahmen zu ergreifen, um unzulässigen oder rechtswidrigen Zugriff durch Drittstaaten zu verhindern.
Um jeder Anfrage zur Datenweitergabe nachkommen zu können, müssen Unternehmen sicherstellen, dass sie über geeignete Mechanismen und Richtlinien verfügen, um Daten (einschließlich der zur Identifizierung dieser Daten erforderlichen Metadaten) schnell, sicher, umfassend und strukturiert aus ihren verbundenen Geräten zu extrahieren. Unternehmen sollten außerdem ihre Verträge überprüfen, um sicherzustellen, dass sie keine Bestimmungen enthalten, die gemäß dem Datenschutzgesetz als ungerechtfertigt angesehen werden könnten.
Amtsblatt Datenschutzgesetz
Das Datenschutzgesetz trat am 11. Januar 2024 in Kraft, nachdem es am 22. Dezember 2023 im Amtsblatt veröffentlicht worden war. Einige Vorschriften treten zwar erst später in Kraft, aber die meisten Vorschriften gelten ab dem 12. September 2025 und gelten für die in der Tabelle auf der nächsten Seite aufgeführten Interessengruppen.
AKTEURE ERLÄUTERUNG
Hersteller und Anbieter Hersteller von verbundenen Produkten und Anbieter von „verbundenen Dienstleistungen”, die in der EU in Verkehr gebracht werden, unabhängig von ihrem Standort.
Nutzer Nutzer von verbundenen Produkten oder verbundenen Dienstleistungen in der EU.
Dateneigentümer Personen, die Daten an Empfänger in der EU bereitstellen, unabhängig von ihrem Standort.
Datenempfänger Datenempfänger in der EU, denen die Daten zur Verfügung gestellt werden.
Öffentliche Stellen Öffentliche Stellen, die Europäische Kommission, die Europäische Zentralbank und EU-Organe, die Daten von Dateninhabern anfordern, wenn diese Daten ausnahmsweise für die Erfüllung einer bestimmten Aufgabe von öffentlichem Interesse erforderlich sind, sowie Dateninhaber, die diese Daten auf diese Anforderung hin bereitstellen.
Cloud- und Edge-Anbieter Anbieter von Datenverarbeitungsdiensten, die unabhängig von ihrem Standort Kunden in der EU solche Dienste anbieten.
Sonstige Interessengruppen Teilnehmer im Datenbereich und Anbieter von Anwendungen, die intelligente Verträge nutzen, sowie Personen, deren Handel, Geschäft oder Beruf die Bereitstellung intelligenter Verträge für andere im Rahmen der Durchführung eines Vertrags umfasst.
Datenaustausch
Das Datenschutzgesetz schreibt vor, dass Dateninhaber die Nutzer nicht unnötig daran hindern dürfen, ihre Präferenzen in Bezug auf ihre Daten zu nutzen, indem sie ihnen beispielsweise Optionen auf nicht neutrale Weise anbieten oder die Autonomie, Entscheidungsfreiheit oder Wahlfreiheit der Nutzer durch die Struktur, Gestaltung, Funktion oder Funktionsweise einer digitalen Benutzeroberfläche beeinträchtigen.
Das Datenschutzgesetz erlegt Dritten, die auf Wunsch eines Nutzers Daten erhalten, bestimmte Verpflichtungen auf:
Die erhaltenen Daten dürfen nur für die mit dem Nutzer vereinbarten Zwecke verwendet werden und müssen gelöscht werden, wenn diese Zwecke nicht mehr bestehen oder nicht mehr erforderlich sind.
Die Daten dürfen nicht an eine Organisation weitergegeben werden, die gemäß dem Gesetz über digitale Märkte („Digital Markets Act“) als „Gatekeeper“ gilt.
Die Daten dürfen nicht in einer Weise verwendet werden, die sich negativ auf die Sicherheit des verbundenen Produkts oder der damit verbundenen Dienste auswirkt.
Verbraucher dürfen nicht daran gehindert werden, ihre Daten anderen Parteien zur Verfügung zu stellen.
Große Online-Plattformen, die im Rahmen des Digital Markets Act als Gatekeeper definiert sind, gelten nicht als geeignete Dritte.
Kleinst- und Kleinunternehmen sind von den Datenaustauschpflichten ausgenommen. Gleiches gilt für Daten, die durch die Nutzung verbundener Produkte oder der damit verbundenen Dienste eines Unternehmens, das seit weniger als einem Jahr als mittelständisches Unternehmen eingestuft ist, sowie für verbundene Produkte, die von einem mittelständischen Unternehmen innerhalb eines Jahres nach ihrem Markteintritt hergestellt wurden.
Das Konzept der Datenweitergabe ist ein wesentlicher Bestandteil des Datenschutzgesetzes, jedoch gibt es begrenzte Fälle, in denen Nutzer und Dateneigentümer den Zugriff auf Daten, die Verwendung von Daten oder die Weitergabe von Daten einschränken oder verbieten können. Zu diesen begrenzten Fällen gehören Situationen, in denen die Sicherheit eines unternehmensbezogenen Produkts beeinträchtigt werden könnte und dies schwerwiegende negative Auswirkungen auf die Gesundheit, Sicherheit oder Unversehrtheit natürlicher Personen haben könnte.
Verpflichtungen für Dateninhaber, die gemäß EU-Recht Daten zugänglich machen müssen
In bestimmten Situationen zwischen Unternehmen vereinbaren die betroffenen Personen mit dem Datenempfänger Regelungen zur Bereitstellung der Daten, und zwar zu fairen, angemessenen und nichtdiskriminierenden Bedingungen und auf transparente Weise. Darüber hinaus wird festgelegt, dass ein Dateninhaber bei Vereinbarungen über die Bereitstellung von Daten zwischen Datenempfängern vergleichbarer Kategorien keine Diskriminierung vornehmen darf. Ist ein Datenempfänger der Ansicht, dass die Bedingungen, unter denen ihm die Daten bereitgestellt werden, diskriminierend sind, stellt der Dateninhaber dem Datenempfänger Informationen zur Verfügung, um nachzuweisen, dass keine Diskriminierung vorliegt.
Unfaire Vertragsbedingungen
Das Datenschutzgesetz verbietet es, kleinen oder mittleren Unternehmen einseitig auferlegten Vertragsbedingungen in Bezug auf den Zugang zu Daten und die Nutzung von Daten oder die Verletzung oder Kündigung von Verpflichtungen im Zusammenhang mit Daten als unangemessen angesehen werden, da sie erheblich von guten Geschäftspraktiken abweichen, und daher als ungerecht gelten, und nennt Beispiele für Vertragsbedingungen, die automatisch als ungerecht angesehen werden.
Beispielsweise wird eine unangemessene Einschränkung der Rechtsbehelfe bei Nichterfüllung der vertraglichen Verpflichtungen als unangemessene Vertragsbedingung angesehen und ist daher unwirksam.
Wechsel zwischen Datenverarbeitungsdiensten
Das Datenschutzgesetz enthält neue Vorschriften, die es Kunden ermöglichen, effektiv zwischen verschiedenen Cloud- und Edge-Dienstleistern zu wechseln. Ziel ist es, alle prä-kommerziellen, kommerziellen, technischen, vertraglichen oder organisatorischen Hindernisse zu beseitigen, die Kunden behindern. In diesem Zusammenhang sind beispielsweise Regelungen, die Kunden daran hindern, neue Verträge mit einem anderen Datenverarbeitungsdienstleister abzuschließen, der die gleiche Art von Dienstleistungen anbietet, als unzulässig anzusehen.
Das Datenschutzgesetz zielt darauf ab, diese Probleme zu lösen, indem es vertragliche Anforderungen festlegt, die es einem Kunden ermöglichen, zu einem anderen Dienstleister zu wechseln oder alle exportierbaren Daten und digitalen Vermögenswerte ohne unnötige Verzögerungen – und in jedem Fall innerhalb von 30 Tagen nach Ablauf einer Kündigungsfrist von höchstens zwei Monaten – mit voller Unterstützung und ohne Unterbrechung der Dienstleistung zu übertragen.
Zusätzlich zu den vertraglichen Maßnahmen sieht das Datenschutzgesetz neben den Informationspflichten für Anbieter von Datenverarbeitungsdiensten einen Rahmen für die schrittweise Senkung der Gebühren für den Wechsel zu einem anderen Dienstleister vor und gewährleistet, dass der sogenannte Ausstiegsservice drei Jahre nach Inkrafttreten des Datenschutzgesetzes für den Kunden kostenlos angeboten wird.
Internationale Übermittlung nicht personenbezogener Daten
Das Datenschutzgesetz, das ein ähnliches System wie die DSGVO vorsieht, wird die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß der DSGVO und dem Schrems-II-Urteil des Europäischen Gerichtshofs auf Datenverarbeitungsdienstleister ausweiten, die geeignete Maßnahmen ergreifen müssen, um die internationale Übermittlung von Industriedaten oder den Zugriff durch Drittstaaten, die nicht mit den Rechtsvorschriften der EU oder nationalen Rechtsvorschriften im Einklang stehen, zu verhindern.
Interoperabilität
Das Datenschutzgesetz sorgt für die Entwicklung von Interoperabilitätsstandards für industriell genutzte Daten, die branchenübergreifend wiederverwendet werden sollen, und definiert und legt neben den grundlegenden Anforderungen zur Erleichterung der Interoperabilität von industriell genutzten Daten, Datenaustauschmechanismen und -diensten auch die grundlegenden Anforderungen für intelligente Verträge zum Datenaustausch fest.
Darüber hinaus regelt es offene Interoperabilitätsspezifikationen wie Architekturmodelle und technische Standards, die Regeln und Vorschriften zwischen den Parteien, die den Datenaustausch fördern, wie z. B. Zugriffsrechte und die technische Übersetzung von Einwilligungen oder Genehmigungen, sowie europäische Standards für die Interoperabilität von Cloud-Dienstleistern, um eine reibungslose Multi-Vendor-Cloud-Umgebung zu fördern.
GRC LEGAL Kommentar
Wie wir bereits in der vierzehnten Ausgabe unserer Reihe „Was passiert in der Welt?“ erwähnt haben, zielt das Datenschutzgesetz darauf ab, durch wichtige Änderungen im Bereich der Datenverwaltung in der Europäischen Union eine Standardisierung in diesem Bereich zu erreichen. In diesem Zusammenhang stärkt das Gesetz das Recht der Nutzer auf Zugang zu ihren Daten, indem es eine einfache, sichere, umfassende und strukturierte Bereitstellung der Daten gewährleistet, sowie das Recht der Nutzer, ihre Daten an Dritte weiterzugeben, indem es sicherstellt, dass Daten nur mit Zustimmung des Nutzers weitergegeben werden dürfen.
Darüber hinaus verpflichtet das Datenschutzgesetz die Datenempfänger, ihre Datenverarbeitungsaktivitäten regelmäßig zu überprüfen und die erforderlichen Maßnahmen zu ergreifen. In diesem Zusammenhang wird von den Datenempfängern erwartet, dass sie die erforderlichen Schritte zum Schutz der Sicherheit und Vertraulichkeit der Daten unternehmen. Angesichts der schrittweisen Umsetzung des Datenschutzgesetzes und des Anpassungsprozesses ist es zum jetzigen Zeitpunkt zwar noch nicht möglich, seine Auswirkungen vollständig zu bewerten, aber es lässt sich sagen, dass es die Kontrolle der betroffenen Personen über ihre Daten stärken und zur Erhöhung der Transparenz und Rechenschaftspflicht bei der Datenverarbeitung beitragen wird.
Fahrzeugortungsdaten erhöhen das Risiko der Verfolgung von Opfern häuslicher Gewalt!
Laut der New York Times sind Datenschützer besorgt, dass moderne Fahrzeuge zu „Smartphones auf Rädern” geworden sind und Opfer häuslicher Gewalt einem höheren Risiko aussetzen. Der Grund dafür ist die Vielzahl von Kameras, Gewichtssensoren und mit Smartphones verbundenen Geräten, die eine Vielzahl personenbezogener Daten an unbekannte Organisationen übertragen. So wurde beispielsweise berichtet, dass eine Frau, die sich in Scheidung befand, von ihrem Ehemann mithilfe der App „Mercedes Me” überwacht wurde und dass Mercedes ihr den Zugriff auf die App nicht verweigern konnte, da ihr Ehemann ursprünglich den Autokredit und die Zulassung erhalten hatte.
Kommentar von GRC LEGAL
Laut den Ergebnissen des von Mozilla im Jahr 2023 durchgeführten Projekts „Privacy Not Included” wurden selbst die grundlegendsten Datenschutz- und Sicherheitsstandards in den neuen internetfähigen Modellen großer Automarken nicht eingehalten, und 25 der von Mozilla untersuchten Marken haben den Test nicht bestanden.
Es wurde festgestellt, dass die Technologie-Giganten neben Daten wie der ethnischen Zugehörigkeit, den Gesichtsausdrücken, dem Gewicht, den Gesundheitsdaten und dem Einsatzort der Fahrzeuge auch Daten sammeln, die man von Fahrzeugen nicht erwarten würde, darunter Details zu sexuellen Aktivitäten, ethnischer Zugehörigkeit und Migrationsstatus.
Es ist bekannt, dass Hersteller, die in modernen Autos verschiedene Datenerfassungsinstrumente wie Mikrofone, Kameras und die von den Fahrern an die Autos angeschlossenen Telefone verwenden, auch über Apps und Websites Daten sammeln. Wie in der oben genannten Meldung erwähnt, scheinen diese Apps sogar in den Scheidungsprozess eines Paares einzugreifen. In diesem Sinne ist es wichtig, dass diese Marken ihre Datenschutzprozesse mit großer Sorgfalt und Transparenz durchführen. Mozilla zufolge greifen jedoch viele Automobilmarken auf „Privacy Washing” zurück oder vermitteln den Verbrauchern den Eindruck, dass sie sich keine Sorgen um Datenschutzprobleme machen müssen, obwohl genau das Gegenteil der Fall ist. In diesem Sinne kann man durchaus sagen, dass unsere Privatsphäre sogar in unseren Autos, in denen wir uns wie zu Hause fühlen, verletzt wird.
Informationsecke
„Privacy Washing“ ist möglicherweise die schlimmste Form irreführender Werbepraktiken. Einfach ausgedrückt bedeutet dies, dass ein Unternehmen vorgibt, einen hohen Stellenwert auf Datenschutz zu legen, ohne tatsächlich Datenschutzmaßnahmen zu ergreifen. Unternehmen, die ihre Produkte und/oder Dienstleistungen mit einem „Datenschutzmantel“ versehen, sammeln, teilen und verkaufen dennoch sensible/vertrauliche Daten ihrer Kunden.
Google Chrome x Datenverfolgungs-Cookies
Google hat damit begonnen, Änderungen zu testen, die es Unternehmen ermöglichen, Nutzer online zu verfolgen. Die neue Funktion im Chrome-Browser deaktiviert Drittanbieter-Cookies, kleine Dateien, die auf Ihrem Gerät gespeichert werden, um Analysedaten zu sammeln, Online-Werbung zu personalisieren und Ihr Surfverhalten zu verfolgen. Zunächst wird diese Funktion etwa 30 Millionen Nutzern, also 1 % der weltweiten Nutzer, zur Verfügung stehen.
Google bezeichnet die Änderungen als Test und plant für später in diesem Jahr eine umfassende Version, um Cookies vollständig abzuschaffen. Einige Werbetreibende sagen jedoch, dass sie dadurch Schaden nehmen würden.
Cookies können verwendet werden, um verschiedene Daten über Nutzer zu speichern, darunter Ihre Aktivitäten auf der Website, Ihren Standort, das von Ihnen verwendete Gerät und die Orte, an denen Sie später online waren. Konkurrenten wie Safari und Mozilla Firefox, die weit weniger Internetverkehr haben als Chrome, der beliebteste Internetbrowser der Welt, bieten bereits Optionen zum Blockieren von Cookies von Drittanbietern, die diese Daten sammeln.
Google gibt an, dass zufällig ausgewählte Nutzer gefragt werden, ob sie „mit mehr Privatsphäre im Browser surfen” möchten. Anthony Chavez, Vice President bei Google, sagte: „Wir verfolgen einen verantwortungsvollen Ansatz, um Drittanbieter-Cookies in Chrome schrittweise zu entfernen. Wenn eine Website ohne Drittanbieter-Cookies nicht funktioniert und Chrome ein Problem feststellt, bieten wir die Möglichkeit, Drittanbieter-Cookies für diese Website vorübergehend wieder zu aktivieren.”
Google gibt an, daran zu arbeiten, das Internet privater zu gestalten, aber für viele Websites sind Cookies ein wichtiger Bestandteil des Verkaufs der damit verbundenen Werbung. Angesichts der Erfahrung von Nutzern, denen nach dem Besuch einer Website oder einem Kauf auf allen besuchten Websites relevante Werbung angezeigt wird, lässt sich kaum leugnen, dass solche Werbung auch eine störende Dimension hat.
Kommentar von GRC LEGAL
Cookies gibt es in vielen verschiedenen Arten. Sie werden als kleine Textdateien definiert, die beim Besuch einer Website bestimmte Informationen über die Nutzer auf deren Geräten speichern. Werbe- und Marketing-Cookies werden jedoch dazu verwendet, die Online-Aktivitäten der Nutzer im Internet zu verfolgen, um ihnen Werbung anzuzeigen, die auf ihre Interessen zugeschnitten ist.
Mit der neuen Funktion von Google soll die Deaktivierung von Werbe- und Marketing-Cookies erreicht werden. Mit der Einführung dieser Funktion durch Google, dessen Browser weltweit am häufigsten verwendet wird, könnte dies negative Auswirkungen auf Plattformen wie Meta und X haben, die insbesondere aufgrund ihrer global verbreiteten Werbe-/Marketingaktivitäten, die von diesen Cookies profitieren, weiterhin im Fokus stehen. Mit diesem Schritt kann jedoch verhindert werden, dass Nutzer/betroffene Personen allein durch den Besuch einer Website gezielter Werbung ausgesetzt werden.
ICO x Unternehmen
Laut einer Analyse eines Beraters für Cybersicherheit und Datenschutz hat das Information Commissioner’s Office (ICO) im Jahr 2023 18 Unternehmen wegen Datenmissbrauchs mit Geldstrafen in Höhe von insgesamt mehr als 14,3 Millionen Pfund belegt. Das ICO hat außerdem 36 Unternehmen verwarnt, 19 Unternehmen eine Vollstreckungsanordnung zugestellt und vier Unternehmen wegen Nichteinhaltung ihrer Informationspflichten verklagt.
Die Social-Media-Plattform TikTok wurde mit einer Geldstrafe von 12,7 Millionen Pfund belegt, der höchsten Strafe, die wegen Verstoßes gegen das Datenschutzgesetz verhängt wurde, darunter auch wegen der unrechtmäßigen Verwendung personenbezogener Daten von Kindern. Nach Schätzungen des ICO gab es im Vereinigten Königreich im Jahr 2020 1,4 Millionen Kinder unter 13 Jahren, die die Video-Sharing-App nutzen konnten.
Drei Marketingfirmen wurden mit einer Geldstrafe von insgesamt 310.000 Pfund belegt, weil sie insgesamt 483.051 unerwünschte Marketinganrufe getätigt und 107 Millionen Spam-E-Mails an Arbeitssuchende verschickt hatten. Zwei Energieunternehmen wurden mit einer Geldstrafe von insgesamt 250.000 Pfund belegt, weil sie Personen und Unternehmen, die im britischen „Nicht anrufen”-Register eingetragen waren, mit unzulässigen Marketinganrufen bombardiert hatten. Ein Unternehmensberater wurde mit einer Geldstrafe von 30.000 Pfund belegt, weil er ohne gültige Genehmigung 558.354 Direktmarketing-SMS verschickt hatte. und ein Geräteservice- und Reparaturunternehmen wurde mit einer Geldstrafe von 200.000 Pfund belegt, weil es mehr als 1,7 Millionen unerwünschte Direktmarketing-Anrufe getätigt hatte.
Laut einer Studie von CSS Assure wurden in den letzten sechs Monaten des Jahres zehn Unternehmen mit Geldstrafen von insgesamt mehr als 800.000 Pfund belegt, weil sie 4.698.841 unerwünschte SMS-Nachrichten, 39.906.342 E-Mails und 1.937.028 belästigende Telefonanrufe getätigt hatten.
Charlotte Riley, Director of Technology Information Security bei CSS Assure, sagte:
„Die von der ICO im Jahr 2023 verhängten Geldstrafen unterstreichen die schwerwiegenden Folgen des Missbrauchs von Daten. Der Missbrauch personenbezogener Daten verstößt nicht nur gegen Datenschutzgesetze, sondern untergräbt auch das Vertrauen der Verbraucher.
Die Geldstrafe in Höhe von 12,7 Millionen Pfund gegen TikTok unterstreicht, wie wichtig es ist, personenbezogene Daten rechtmäßig zu verwenden und insbesondere im Hinblick auf Kinder geeignete Maßnahmen zu ergreifen. TikTok ist eine große, bekannte Marke, und aufgrund der Menge der darin enthaltenen Daten war die Geldstrafe sehr hoch. Aber auch viel kleinere KMU wurden mit Sanktionen belegt und mussten Verwaltungsstrafen zahlen.
Die Strafen für Unternehmen, die unerwünschte Anrufe, SMS und Spam-E-Mails versenden und die „Nicht anrufen”-Eintragung ignorieren, zeigen die erheblichen Auswirkungen aggressiver Marketingpraktiken. Diese Strafen senden eine klare Botschaft, dass Unternehmen die Datenschutzpräferenzen von Personen respektieren und sie nicht mit unerwünschten Nachrichten bombardieren dürfen.
Kommentar von GRC LEGAL
Wir sehen, dass die ICO im Hinblick auf die Einhaltung der Datenschutzgesetze nicht davor zurückschreckt, Unternehmen mit Geldstrafen zu belegen. Die gegen TikTok, das weltweit einen schlechten Ruf hat, verhängte Strafe unterstreicht die Notwendigkeit strengerer Maßnahmen zum Schutz sensibler Personengruppen wie Kinder, während die gegen andere Unternehmen verhängten Strafen darauf abzielen, unerwünschte Marketinganrufe, Spam-E-Mails und andere unerwünschte Kommunikationsformen zu bekämpfen, von denen heute alle Nutzer betroffen sind.
Angesichts der Höhe der Strafen kann dies als Warnung an kleine und mittlere Unternehmen angesehen werden, die Privatsphäre von Personen zu respektieren und Datenschutzstandards einzuhalten.
Microsoft erlaubt Cloud-Nutzern, ihre personenbezogenen Daten in Europa zu speichern, um Datenschutzbedenken auszuräumen
Microsoft gab im Januar bekannt, dass es seinen Cloud-Computing-Dienst aktualisiert hat und es seinen Kunden nun ermöglicht, alle personenbezogenen Daten innerhalb der Europäischen Union zu speichern, anstatt sie in die USA zu übertragen, wo es keine nationalen Datenschutzgesetze gibt.
Cloud-Computing-Unternehmen tendieren aufgrund der zunehmenden Anforderungen in der Europäischen Union mit ihren strengen Datenschutzgesetzen dazu, ihre Daten speicher- und verarbeitungsprozesse zu lokalisieren.
Nachdem der ehemalige Mitarbeiter der National Security Agency, Edward Snowden, enthüllt hatte, dass die US-Regierung die Online-Daten und Kommunikationen von Menschen abhört, diskutierten Brüssel und Washington jahrelang über die Sicherheit der Daten von EU-Bürgern, die von Technologieunternehmen in den USA gespeichert werden.
Microsoft erklärte, dass „die EU-Datengrenzen-Lösung über die europäischen Konformitätsanforderungen hinausgeht”. Das Unternehmen hatte zuvor bereits versprochen, dass die Daten seiner Kunden nicht außerhalb der EU übertragen werden. Nachdem Microsoft im vergangenen Jahr damit begonnen hatte, bestimmte Daten innerhalb Europas zu speichern und zu verarbeiten, erweitert es nun diesen Umfang auf alle personenbezogenen Daten, einschließlich pseudonymisierter Daten, die automatisch in automatisierten Systemprotokollen erstellt werden, wenn Online-Dienste ausgeführt werden. Gegen Ende dieses Jahres wird Microsoft damit beginnen, technische Supportdaten in Europa zu speichern.
Infokasten
Pseudonymisierung ist ein in der türkischen Gesetzgebung nicht definierter Begriff und bezeichnet eine Methode der Datenverarbeitung, die zum Schutz der Privatsphäre personenbezogener Daten eingesetzt wird. Bei dieser Methode werden die direkt identifizierenden Elemente personenbezogener Daten durch pseudonymisierte, also gefälschte oder veränderte Werte ersetzt, wobei die betreffenden Daten nicht anonymisiert werden und somit weiterhin der KVKK unterliegen.
Beispielsweise können in Daten, die für eine Gesundheitsstudie erhoben wurden, die Namen von Personen durch ein bestimmtes Kodierungssystem oder eine andere Methode anstelle der tatsächlichen Werte ersetzt werden. Dies macht die Analyse und Weitergabe der Daten sicherer, da die tatsächlichen Werte der personenbezogenen Daten nicht offengelegt werden. Die Forscher können jedoch weiterhin ihre Analysen durchführen und allgemeine Trends erkennen.
Kommentar von GRC LEGAL
Wir beobachten, dass Unternehmen Schritte unternehmen, um personenbezogene Daten innerhalb Europas zu speichern. Die von den Unternehmen unternommenen Schritte spiegeln ihre Bemühungen wider, die immer strenger werdenden Datenschutzgesetze der Europäischen Union einzuhalten. Diese Entwicklungen spiegeln die Notwendigkeit wider, dass Technologieunternehmen die lokalen Vorschriften zur Speicherung und Verarbeitung von Kundendaten einhalten müssen, und können als wichtiger Schritt im Zusammenhang mit dem Recht zur Verarbeitung personenbezogener Daten angesehen werden. Die Tatsache, dass das Konzept der Sicherheit personenbezogener Daten in Zukunft von allen Unternehmen übernommen wird, wird die Schaffung einer Infrastruktur erleichtern, die weniger Eingriffe in die Persönlichkeitsrechte erfordert.
CNIL x Yahoo
Die französische Datenschutzbehörde (Commission Nationale De L’informatique Et Des Libertés, „CNIL“) hat entschieden, dass Yahoo.com die Entscheidung von Internetnutzern, die Cookies ablehnen, nicht respektiert und den Nutzern des Messaging-Dienstes „Yahoo! Mail”-Messaging-Dienst nicht die Möglichkeit gegeben hat, ihre Zustimmung zu Cookies frei zu widerrufen, eine Geldstrafe in Höhe von 10 Millionen Euro gegen das Unternehmen Yahoo Emea („Yahoo” oder „das Unternehmen”) verhängt.
Was war geschehen?
Bekanntlich bietet Yahoo verschiedene Internetdienste wie eine Suchmaschine und einen E-Mail-Dienst an. Die CNIL hatte zahlreiche Beschwerden erhalten, in denen beanstandet wurde, dass die Ablehnung von Cookies nicht berücksichtigt wurde und dass es Hindernisse beim Widerruf der Einwilligung zu deren Speicherung gab. Im Oktober 2020 und im Juni 2021 führte sie verschiedene Online-Prüfungen der Website Yahoo.com und des Messaging-Dienstes Yahoo! Mail durch.
Die folgenden Verstöße waren ausschlaggebend für die Verhängung der entsprechenden Strafe:
Ohne Zustimmung des Nutzers platzierte Cookies
Während der Untersuchung stellte die CNIL fest, dass das Cookie-Fenster, das beim Besuch der Website „Yahoo.com” angezeigt wird, den Zugriff auf eine Seite mit mehreren Schaltflächen ermöglicht, die dazu dienen, die Zustimmung zur Speicherung von Cookies einzuholen, und dass selbst in Fällen, in denen keine ausdrückliche Zustimmung erteilt wurde, etwa zwanzig Cookies zu Werbezwecken auf dem Endgerät des Internetnutzers platziert wurden.
Hinweise zum Widerruf der ausdrücklichen Zustimmung
Die CNIL stellte fest, dass Nutzer des Messaging-Dienstes „Yahoo! Mail”, die ihre Zustimmung zu Cookies widerrufen wollten, darauf hingewiesen wurden, dass sie dann keinen Zugang mehr zu den Diensten des Unternehmens hätten und den Zugang zu den Messaging-Diensten verlieren würden.
Die CNIL stellte fest, dass die Verweigerung oder der Widerruf der Einwilligung keine negativen Auswirkungen auf den Nutzer haben darf, und erklärte, dass das Unternehmen in diesem Fall, indem es Nutzern, die ihre Einwilligung widerrufen wollten, keine Alternative anbot, sondern ihnen lediglich die Möglichkeit gab, auf die Nutzung des Dienstes zu verzichten, das Element der freien Willensbildung bei der Einwilligung beeinträchtigt habe.
Eine weitere Einschätzung der CNIL betraf die Tatsache, dass eine E-Mail-Adresse insofern ein Teil der Privatsphäre des Nutzers ist, als sie ihm ermöglicht, Einkäufe zu tätigen, sein Netzwerk auszubauen und wichtige persönliche oder berufliche Korrespondenz zu archivieren. Da die Nutzer im Laufe der Zeit ein Archiv ihrer E-Mail-Adressen angelegt haben, sind die Optionen, die betreffende E-Mail-Adresse zu ändern oder die Nutzung des Dienstes einzustellen, grundsätzlich keine nutzerfreundlichen und leicht umsetzbaren Lösungen.
GRC LEGAL Kommentar
Es ist zu beobachten, dass Cookie-Anwendungen in letzter Zeit auf der Tagesordnung der Datenschutzbehörden stehen und dass Unternehmen aufgrund falscher Anwendungen mit hohen Strafen konfrontiert sind. Vor kurzem hat die Datenschutzbehörde in ähnlicher Weise dem Datenverantwortlichen, der der Vertreiber eines Online-Spiels in der Türkei ist, eine Verwaltungsstrafe in Höhe von 750.000 TL auferlegt, weil die Cookie-Anwendungen nicht ordnungsgemäß durchgeführt wurden. In diesem Zusammenhang ist es äußerst wichtig, dass Cookie-Panels benutzerfreundlich sind, dass Cookies, die eine ausdrückliche Zustimmung erfordern, nicht nur sichtbar, sondern auch im Hintergrund gemäß der Zustimmung verarbeitet werden und dass ein Opt-in-Mechanismus eingeführt wird.