Die Schweiz und die Digitalstrategie der Europäischen Union: Eine Übersicht über Rechtsgrundlagen, Massnahmen und mögliche Auswirkungen auf die Schweiz

Die interdepartementale Koordinationsgruppe EU-Digitalpolitik des Bundes (IK-EUDP) erarbeitet alle zwei Jahre eine ausführliche Analyse der regulatorischen Entwicklungen im Zusammenhang mit der EU-Digitalpolitik. Dabei fokussiert die IK-EUDP auf Massnahmen, welche in den Bereich der EU-Digitalstrategie "Europa für das digitale Zeitalter" fallen und mögliche Auswirkungen auf die Schweiz haben. Das jüngste Analysedokument wurde im März 2023 veröffentlicht und behandelt u.a. folgende EU-Rechtsgrundlagen:

(i) Digital Services Act (DSA; am 16. November 2022 in Kraft getreten)

Der DSA sieht einheitliche Regeln für die Rechte und Verantwortlichkeiten von digitalen Diensten, insbesondere auch Online-Plattformen, im Umgang mit illegalen und/oder schädlichen Online-Inhalten vor. Auch im EU-Binnenmarkt tätige Schweizer Online-Dienstanbieter werden den Verpflichtungen des DSA grundsätzlich folgen müssen. Die Auswirkungen dürften sich im Rahmen halten, können aber erst im Laufe der Umsetzung abschliessend abgeschätzt werden.

(ii) Digital Markets Act (DMA; am 1. November 2022 in Kraft getreten)

Der DMA stellt für bestimmte grosse Online-Plattformen (sog. «Gatekeeper») eine Reihe neuer ex-ante Regeln auf. Ziel des DMA ist die Gewährleistung von Bestreitbarkeit und Fairness auf digitalen Märkten. Er ergänzt das Wettbewerbsrecht. Da derzeit keine sehr grossen Plattformen oder Zugangskontroller ihren Sitz in der Schweiz haben, ist das Risiko, dass das DMA direkte Auswirkungen auf Schweizer Online-Anbieter hat, de facto sehr gering.

(iii) Data Governance Act (DGA; am 23. Juni 2022 in Kraft getreten)

Die Verordnung soll die Verfügbarkeit von Daten in allen Tätigkeitsbereichen des Binnenmarkts fördern, indem Anreize für die Weiterverwendung von sensiblen Daten (personenbezogenen und nicht- personenbezogenen Daten) geschaffen werden. Im Rechtsakt werden u. a. spezifische Bedingungen und gemeinsame Grundsätze für Datenvermittler festgelegt. Die Vorgaben für die Weitergabe von vertraulichen Daten öffentlicher Stellen sowie die gesetzlichen Anforderungen für Datenintermediäre gelten nicht für die Schweiz. Schweizer Unternehmen werden jedoch insofern betroffen sein, als Datenintermediäre, welche ihre Dienstleistungen in der EU anbieten, aber nicht in der EU niedergelassen sind, und gewisse Regeln befolgen (Ernennung eines gesetzlichen Vertreters in einem Mitgliedstaat).

(iv) Data Act (Gesetzesvorschlag der KOM vom 23. Februar 2022)

Der Vorschlag legt fest, unter welchen Umständen, in der EU erzeugte, personen- und nicht- personenbezogenen Daten in verschiedenen Wirtschaftssektoren genutzt werden können und wer darauf zugreifen darf. Im Zusammenhang mit dem Data Act stellt sich die Frage der extraterritorialen Wirkung und ob es gegebenenfalls zu Hindernissen im Datentransfer mit der Schweiz kommen könnte. Der Verordnungsvorschlag zum Data Act ist aber weiterhin im Gesetzgebungsprozess und wird noch diskutiert. Es dürften also noch Änderungen zu erwarten sein.

(v) KI-Verordnung (AI Act; Legislativpaket der KOM vom 21. April 2021)

Ein Vorschlag für eine Verordnung zur Festlegung harmonisierter Regeln für Künstliche Intelligenz. Die KI-Verordnung sieht eine Pyramide von Verpflichtungen für KI-Anwendungen vor, die sich nach ihrem Risikoniveau richten. Die Verordnung sieht ebenfalls eine extraterritoriale Wirkung vor und könnte sich daher auch auf die Schweiz auswirken. Der Legislativprozess ist jedoch noch nicht abgeschlossen und insbesondere im Parlament sind noch viele Änderungsvorschläge hängig. Es wird also auch hier noch Änderungen geben.

(vi) Europäische digitale Identität (e-ID; Vorschlag der KOM vom 3. Juni 2021; der Trilog dürfte 2023 beginnen)

Die Verordnung soll einen Rechtsrahmen für verschiedene Formen der digitalen Identifizierung schaffen (eSignature, eID usw.). Die Bürgerinnen und Bürger verfügen künftig über von den Mitgliedstaaten anerkannte digitale Brieftaschen, die ihnen Zugang zu Online-Dienstleistungen bieten. Mit Blick auf die Schaffung einer staatlichen elektronischen Identität in der Schweiz werden die Entwicklungen in der EU genau beobachtet. Damit soll sichergestellt werden, dass eine Schweizer Lösung kompatibel mit den EU-Normen ausgestaltet und ein gegenseitiger grenzüberschreitender Einsatz ermöglicht wird.

(vii) Cybersicherheitsstrategie (schrittweise Umsetzung der Massnahmen seit 2017)

Die Strategie erstreckt sich auf die Sicherheit wesentlicher Dienste wie Krankenhäuser, Energienetze, Eisenbahnen und vernetzte Geräte in Haushalt, Büros und Industrie. Sie bezweckt den Aufbau kollektiver Kapazitäten, um grössere Cyberangriffe abwehren zu können. Die Bemühungen der EU im Bereich Cybersicherheit decken sich mit jenen der Schweiz. Aufgrund der zunehmenden Bestrebungen zur Stärkung der strategischen Autonomie Europas muss die EU die Bedingungen für die Anerkennung von Zertifizierungssystemen von Drittstaaten bzw. für deren Beteiligung am Coordination Centre noch festlegen.

Michal Cichocki 

Künstliche Intelligenz (KI): Guidelines und Whitepapers (Update)

Künstliche Intelligenz (KI) ist nicht zuletzt dank einer intensiven Berichterstattung über Phänomene wie z.B. den Chatbot ChatGPT (wieder) in aller Munde. Aus rechtlicher Sicht interessiert vor allem der zunehmende Ruf nach einer KI-spezifischen Regulierung um vermeintlich negative Auswirkungen zu verhindern.

In diesem Zusammenhang wird oft folgendem Umstand zu wenig Beachtung geschenkt: Der Einsatz von KI-Technologien ist kein Selbstzweck, sondern ein Mittel zur Erreichung bestimmter Ziele bzw. Umsetzung bestimmter Use Cases. Insbesondere Letztere entscheiden über die anwendbaren Rechtsgrundlagen: Auf die Auswertung von z.B. Personendaten im Gesundheitswesen oder der Analyse anonymisierter Verkehrsdaten gelangen jeweils unterschiedliche Gesetze zur Anwendung. Diese tragen den Eigenheiten beider Use Cases hinreichend Rechnung und zwar unabhängig von der eingesetzten (KI-)Technologie als Mittel zu deren Umsetzung. Folglich besteht die eigentliche Herausforderung viel mehr in der Ummünzung bestehender Rechtsgrundlagen in (nicht-rechtliche) Vorgaben für technisch/organisatorische Massnahmen (TOM-Vorgaben), die auch durch (neue) KI-Technologien umgesetzt werden können. Die Schaffung zusätzlicher, KI-spezifischer Rechtsgrundlagen ist in der Regel nicht zielführend.

Diese Unterscheidung gilt es auch bei der Lektüre der nachfolgenden Auswahl an Guidelines, Whitepapers etc. zu beachten:

(a) UK Information Commissioner: Updated Guidance on AI and Data Protection, 2023: Link 

(b) Deutscher Ethikrat: Mensch und Maschine – Herausforderungen durch Künstliche Intelligenz: Stellungnahme (Vorabfassung), 2023: Link 

(c) Cesluk-Grajewski Marcin, Think Tank European Parliament: Briefing: What Think Tanks are Thinking - Artificial Intelligence, 2023: Link 

(d) Swiss AI Report, 2022: Link 

(e) BAKOM: Monitoring der Leitlinien "Künstliche Intelligenz" für den Bund, 2022: Link 

(f) EDA: Künstliche Intelligenz und internationales Regelwerk, 2022: Link 

(g) Google: AI Principles Progress Update, 2022: Link 

(h) Christoph Lütge/Ellen Hohma/Auxane Boch/Franziska Poszler/Caitlin Corrigan, IEAI White Paper, TU München: On a Risk-Based Assessment Approach to AI Ethics Governance, 2022: Link 

(i) BSI/Fraunhofer-Institut für Nachrichtentechnik/Verband der TÜV e.V.: Towards Auditable AI Systems - Current status and future directions, 2021: Link   

(j) Leitlinien "Künstliche Intelligenz" für den Bund: Orientierungsrahmen für den Umgang mit künstlicher Intelligenz in der Bundesverwaltung, 2020: Link 

(k) Herausforderungen der künstlichen Intelligenz, Bericht der interdepartementalen Arbeitsgruppe "Künstliche Intelligenz" an den Bundesrat, 2019: Link 

(l) Bericht der Projektgruppe "Internationale Gremien und künstliche Intelligenz", 2019: Link 

(m) Berichte im Auftrag des SBFI: (i) Künstliche Intelligenz im Industrie- und Dienstleistungssektor, 2019: Link; (ii) Anwendung von künstlicher Intelligenz in Wissenschaft und Forschung, 2019: Link; (iii) Künstliche Intelligenz, Medien & Öffentlichkeit, 2019: Link; (iv) Automatisierte Mobilität und künstliche Intelligenz, 2019: Link 

(n) Generalsekretariat VBS: Bericht der Projektgruppe - Künstliche Intelligenz in der Cybersicherheit und Sicherheitspolitik, 2019: Link

Übrigens: Auf die Frage, ob es ein Gesetz für ChatGPT brauche, antwortete der Chatbot: "Da ChatGPT eine KI-basierte virtuelle Assistentin ist und keine eigenständige Entität mit eigenem Handeln, ist es nicht notwendig, spezifische Gesetze für ChatGPT zu erstellen".

Weitere Blog-Beiträge zu KI sind hier abrufbar. 

Michal Cichocki

Europäischer Datenschutzausschuss (EDSA/EDPB) veröffentlicht "Report of the work undertaken by the Cookie Banner Taskforce" als Reaktion auf die 700 "Cookie-Banner-Beschwerden" von NOYB

Der Europäische Datenschutzausschuss (EDSA/EDPB) hat seinen vom 17. Januar 2023 datierten "Report of the work undertaken by the Cookie Banner Taskforce" veröffentlicht. Dieser Report legt die Auffassung einer Taskforce der EU-Datenschutzaufsichtsbehörden dar, die sich mit den über 700 "Cookie-Banner-Beschwerden" der NGO des Datenschutz-Aktivisten Max Schrems, NOYB, befasst.

Kernaussagen des Reports:

(i) Der EDSA weist darauf hin, dass der mit der EU-
Datenschutzgrundverordnung (EU DSGVO) eingeführte One-Stop-Shop Mechanismus nicht für Fragen im Zusammenhang mit Cookies gelte, da Cookie-bezogene Rechtsfragen primär unter die EU Richtlinie für elektronische Kommunikation (EU ePrivacy Directive) fallen - und nicht unter die EU DSGVO.


(ii) Die Verwendung von vorangekreuzten Kästchen für die Erteilung einer Einwilligung für den Einsatz von technisch nicht notwendigen Cookies sei unzulässig.

(iii) Täuschende "Link-Design"-Praktiken, die z.B. lediglich einen Link (anstelle einer Schaltfläche) zur Ablehnung des Einsatzes von technisch nicht notwendigen Cookies enthalten, seien unzulässig. Dies gelte auch für Praktiken, die den Nutzern den Eindruck vermitteln, dass sie zustimmen müssen, um auf eine bestimmte Website zuzugreifen, oder die den Nutzer eindeutig zur Zustimmung drängen.

(iv) Irreführende Praktiken, die unterschiedliche Farben und Kontraste der Cookie-Banners verwenden, um die Schaltfläche "Alle akzeptieren" gegenüber den übrigen Schaltflächen hervorzuheben, seien unzulässig. Während die Gültigkeit eines Designs von Fall zu Fall beurteilt werden sollte, dürften alle Schaltflächen i.d.R. idealerweise die gleiche Grösse, Farbe, Schriftart und Kontrast aufweisen, um sicherzustellen, dass die Zustimmung tatsächlich "freiwillig" abgegeben werden könne.

(v) Lediglich die Mehrheit der EU-Datenschutzaufsichtsbehörden sei der Ansicht, dass auf der ersten Ebene des Cookie-Banners eine Schaltfläche "Alle ablehnen" vorhanden sein müsse, damit der Einsatz von technisch nicht notwendigen Cookies ebenso einfach akzpetiert wie abgelehnt werden könne.

(vi) Der Einsatz technisch nicht notwendiger Cookies (z. B. gezielte Werbe-Cookies) könne sich nur auf eine gültige Einwilligung und nicht auf "berechtigte Interessen" abstützen.

(vii) Die Betreiber von Websites sollten leicht zugängliche Lösungen einführen, die es den Nutzern ermöglichen, ihre Einwilligung jederzeit zu widerrufen, z. B. durch die Verwendung eines kleinen, ständig sichtbaren Symbols oder eines Links an einer sichtbaren und standardisierten Stelle.

(viii) Zusammenspiel zwischen der EU ePrivacy Directive und der EU DSGVO: Der EDSA hat auch klargestellt, dass die Nichteinhaltung der Vorgaben für den Einsatz technisch nicht notwendiger Cookies gemäss EU ePrivacy Directive dazu führe, dass eine nachgelagerte Verarbeitung personenbezogener Daten gemäss DSGVO (sofern eine solche überhaupt stattfindet), nicht zulässig sei.

(ix) Schliesslich hat der EDSA den nachfolgenden Disclaimer im Zusammenhang mit dem vorliegenden Report veröffentlicht:

"The positions presented in this document result from the coordination of the members of the TF with a view to handling the “cookies banner” complaints received from NOYB. They reflect the common denominator agreed by the SAs in their interpretation of the applicable provisions of the ePrivacy Directive, and of the applicable provisions of the GDPR, for the analysis to be led when handling these complaints. These positions reflect a minimum threshold in this multi-layered legal framework to assess the placement/reading of cookies and subsequent processing of the data collected. They do not constitute stand-alone recommendations or findings to obtain a greenlight from a competent authority. The positions do not prejudge the analysis that will have to be made by the authorities of each complaint and each website concerned. These positions have to be combined with the application of additional national requirements stemming from the national laws transposing the ePrivacy Directive in the Member States, as well as to further clarifications and guidance provided by the national competent authorities to enforce the law transposing the ePrivacy Directive at national level, which remain fully applicable".

Michal Cichocki

Guidelines zu Cloud Computing: Eine Übersicht

Cloud Computing bleibt ein aktuelles Thema - dies zeigt sich auch an der zunehmenden Anzahl unterschiedlicher Cloud Guidelines. Diese beleuchten die Cloud aus jeweils verschiedenen Perspektiven und gehen z.B. auf technische, rechtliche, politische und/oder Business-Aspekte ein. Damit tragen sie zwar dem stark arbeitsteiligen Querschnittscharakter des Phänomens Cloud Rechnung; die Navigation durch den Cloud-Dschungel wird aufgrund der grossen Anzahl der Guidelines nicht einfacher.

Ausserdem fehlt eine Legaldefinition der Cloud. Ferner kann aus den technischen Definitionen der Cloud nur eingeschränkt ein Rückschluss auf den rechtserheblichen Sachverhalt und damit die anwendbaren (daten)rechtlichen Voraussetzungen gewonnen werden. Gleichwohl kann mit einer gewissen Unschärfe gesagt werden, dass es sich aus (daten)rechtlicher Sicht beim Phänomen Cloud oftmals um Service Provider Management handelt. Dies zieht immerhin die Anwendung gewisser Rechtsnormen nach sich. Diese variieren je nach Branche stark. Hinzu kommt die praxisgemässe Unterscheidung zwischen rechtlichen Voraussetzungen (Vorgaben) und deren eigenständige Übersetzung in nicht-rechtliche Vorgaben für technisch/organisatorische Massnahmen (TOM-Vorgaben)

Die nachfolgende Übersicht soll einen Kompass durch den Cloud-Dschungel bieten. Selbstverständlich ohne Anspruch auf Vollständigkeit, Richtigkeit oder Relevanz für das jeweilige Cloud-Projekt:

Cloud Guidelines Schweiz
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): Link
PRIVATIM: Link
Bundesverwaltung/Bundeskanzlei: Link
Schweizerische Bankiervereinigung (SBVg): Link
Verein Unternehmens-Datenschutz (VUD): Link
Kantonsverwaltung ZH/Regierungsratsbeschluss: Link

Cloud Guidelines EU
European Banking Authority (EBA): Link
European Securities and Markets Authority (ESMA): Link
Information Commissioner's Office UK (ICO): Link
National Cyber Security Centre UK (NCSC): Link
Commission Nationale de l'Informatique et des Libertés FR (CNIL): Link
Datenschutzkonferenz Deutschlands (DSK): Link
Deutsches Bundesamt für Sicherheit in der Informationstechnik (BSI): Link, Link und Link
European Data Protection Supervisor (EDPS): Link
European Data Protection Board (EDPB): Link

Cloud Guidelines restliche Welt
U.S. Department of Justice (DOJ): Link
U.S. National Institute of Standards and Technology (NIST): Link und Link
Hong Kong Monetary Authority (HKMA): Link
Canadian Centre for Cyber Security (CCCS): Link

Michal Cichocki

Tracking-Technologien: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) analysiert Handlungsbedarf

Gemäss Medienmitteilung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) vom 27. September 2022 wurde offenbar in den USA eine Klage gegen Oracle America Inc. im Zusammenhang mit dem Einsatz von Tracking-Technologien eingereicht. Gegen welche rechtlichen Voraussetzungen Oracle konkret verstossen haben soll, geht aus der Medienmitteilung nicht hervor. Stattdessen wird festgehalten, dass Oracle Tracking-Technologien unter anderem zur Erhebung sowie Auswertung einer Vielzahl von Internetnutzern zwecks Erstellung einer Datensammlung einsetze und dies "sogar geräteübergreifend".

Ferner wird festgehalten, dass der EDÖB die vorgenannte Klage zur Kenntnis genommen habe, diese und allfällige Auswirkungen auf die Schweiz analysiere. Ausserdem habe der EDÖB Oracle Software (Schweiz) GmbH angeschrieben und behalte sich vor, gegebenenfalls weitere Schritte einzuleiten.

Der EDÖB fokussiert laut erwähnter Medienmitteilung seine Analyse u.a. auf folgende Aspekte:

a) Einhaltung der datenschutzrechtlichen Bearbeitungsgrundsätze der "Transparenz und der Verhältnismässigkeit".

b) "Erforderlichkeit einer ausdrücklichen Einwilligung für die Erstellung von Persönlichkeitsprofilen und die Bearbeitung von besonders schützenswerten Personendaten".

Der Fokus der Analyse des EDÖB ist in zweifacher Hinsicht überraschend:  

1) Vorab ist nicht primär das Datenschutzgesetz (DSG), sondern Art. 45c lit. b Fernmeldegesetz (FMG) für den Einsatz von Tracking-Technologien (d.h. einem Auslesen oder Übermitteln von Daten mittels fernmeldetechnischer Übertragung auf fremde Geräte) anwendbar. Bereits damit werden Transparenz (Information) sowie die Möglichkeit einer Ablehnung (sog. Opt-Out) technisch nicht notwendiger Trackings sichergestellt. Dies erfolgt unabhängig davon, ob Personendaten gemäss Art. 3 lit. a DSG bearbeitet werden oder nicht.

2) Falls im Rahmen eines Trackings Personendaten bearbeitet werden, also zwischen den fraglichen Daten ein Personenbezug ohne unverhältnismässig grossen Aufwand (sog. relative Methode) hergestellt werden kann, ist zusätzlich das DSG anwendbar. 

Im DSG gilt jedoch der Grundsatz der Erlaubnis mit Verbotsvorbehalt: Danach ist im Privatbereich weder eine datenschutzrechtliche Einwilligung noch ein anderer datenschutzrechtlicher Rechtfertigungsgrund als Voraussetzung für die Bearbeitung (z.B. Erstellung) von Personendaten erforderlich, sofern insbesondere die (i) Bearbeitungsgrundsätze (Art. 4 ff. DSG i.V.m. Art. 12 Abs. 2 lit. a DSG) eingehalten werden, (ii) keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile an echte Dritte bekanntgegeben werden (Art. 12 Abs. 2 lit. c DSG) und (iii) kein ausdrücklicher Widerspruch der betroffenen Person vorliegt (Art. 12 Abs. 2 lit. b DSG).

Folglich sieht das DSG keine Einwilligung für die Erstellung von Persönlichkeitsprofilen oder die Erhebung besonders schützenswerter Personendaten vor - weder im Zusammenhang mit Tracking-Technologien noch für andere Bearbeitungen.

Dieser Grundsatz gilt auch im totalrevidierten DSG, das am 01. September 2023 in Kraft tritt.

Michal Cichocki

Datenschutzaufsichtsbehörden Deutschlands (DSK) veröffentlichen FAQ zu Facebook-Fanpages

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden Deutschlands (DSK) veröffentlichte Ende Juni 2022 ein weiteres Dokument zum datenschutzrechtlichen Evergreen-Thema Facebook-Fanpages: „FAQ zu Facebook-Fanpages“.

Facebook-Fanpages (Facebook-Seiten) sind „Mini-Webseiten“, die „Unternehmen, Marken, Gruppierungen oder Personen des öffentlichen Lebens“ für die eigene Präsentation auf Facebook nutzen können. Davon abzugrenzen sind "normale" Facebook-Profile für private Zwecke.

In diesem Zusammenhang geht die DSK in ihren FAQ u.a. auf den Themenbereich „Joint-Controllership“ ein: Danach müssen die Betreiber von Facebook-Fanpages und Meta Platforms u.a. die Voraussetzungen über die gemeinsame Verantwortung gemäss Art. 26 DSGVO erfüllen und diese in einem Vertrag abbilden; die DSK bemängelt u.a. das aktuelle Vertragstemplate von Meta Platforms zu Art. 26 DSGVO:

„Das aktuelle von Meta Platforms vorgelegte Addendum erfüllt diese Anforderungen [Art. 26 DSGVO] nicht. Wissen Verantwortliche nicht genau, welche Datenverarbeitung stattfindet, können sie eine rechtskonforme Verarbeitung der personenbezogenen Daten nicht sicherstellen. Das betrifft auch die Frage, in welchem Umfang eine Übermittlung personenbezogener Daten in das außereuropäische Ausland stattfindet. Eine solche ist nämlich nur dann zulässig, wenn die Vorgaben der Art. 44 ff. Datenschutz-Grundverordnung (DSGVO) eingehalten werden“ (vgl. FAQ Nr. 2: Warum ist der Betrieb von Facebook-Fanpages datenschutzrechtlich problematisch?).

Hintergrund

Knacknuss „Joint-Controllership“: Insbesondere wegen der „Facebook (Audience) Insight“-Funktion qualifizierte der EuGH in einem umstrittenen Urteil (C- 210/16, „Wirtschaftsakademie“) die Betreiber von Facebook-Fanpages und Meta Platforms (Betreiberin von Facebook) als gemeinsame Verantwortliche gemäss Art. 26 DSGVO. Dies obwohl die Betreiber von Facebook-Fanpages mittels „Facebook Insight“ lediglich statistische Auswertungen der eigenen Fanpages einsehen und diese zu eigenen Zwecken (z.B. zur Durchführung für Werbeaktionen und -veranstaltungen) nutzen können. Zwar können diese statistischen Auswertungen individuell eingestellt (sog. Parametrierung) werden - die Betreiber „sehen“ jedoch nicht, welche Nutzer ausgewertet worden sind; ein Personenbezug liegt nicht vor. Dennoch vertrat der EuGH im Zusammenhang mit Facebook-Fanpages die Auffassung, dass die Möglichkeit zur Einsichtnahme von parametrierten Statistiken, die auf personenbezogenen Daten beruhen, um daraus wirtschaftliche Vorteile zu ziehen, bereits für eine gemeinsame Verantwortlichkeit ausreiche.

Weitere Dokumente der DSK im Zusammenhang mit Facebook-Fanpages

(i) Kurzgutachten zur datenschutzrechtlichen Konformität des Betriebs von Facebook‐Fanpages vom 18.03.2022

(ii) Beschluss zu Facebook Fanpages vom 23.03.2022

Diese Dokumente geben ausschliesslich die Sichtweise der deutschen DSK im Zusammenhang mit Facebook-Fanpages sowie im Anwendungsbereich der EU DSGVO wieder und sind gerichtlich nicht bestätigt.

Michal Cichocki

Dark Patterns: Vernehmlassung zu Guidelines des Europäischen Datenschutzausschusses (EDSA) abgeschlossen

Im Mai 2022 wurde die öffentliche Vernehmlassung zu den Draft Guidelines „on dark patterns in social media platform interfaces: how to recognise and avoid them“ des Europäischen Datenschutzausschusses (EDSA) abgeschlossen.

In diesen Draft Guidelines befasst sich der EDSA mit der Frage, wann eine gezielte Beeinflussung von Nutzern auf Social Media Plattformen durch den Einsatz von grafischen Benutzerschnittstellen (GUI) sowie User Experiences (UX) zur Preisgabe zusätzlicher Personendaten noch zulässig sei und wann diese Schwelle überschritten werde.

Der EDSA ist der Auffassung, dass von einer unzulässigen Beeinflussung durch dark patterns bereits dann gesprochen werden könne, wenn das Design von GUI und UX den Nutzer zu einer "unbeabsichtigten, ungewollten sowie potenziell schädlichen Entscheidung" hinsichtlich der Verarbeitung seiner personenbezogenen Daten verleite.

Zur Konkretisierung dieser generell-abstrakten Formel werden in den Draft Guidelines verschiedene Anwendungsfälle (dark pattern categories), Beeinflussungsmittel (dark pattern types) sowie Beispiele behandelt.

Das folgende Beispiel fällt gemäss EDSA unter die dark pattern category „overloading” sowie den dark pattern type „continuous prompting“ und sei bereits unzulässig: „In the first step of the sign-up process, users are required to choose between different options for their registration. They can either provide an email address or a phone number. When users choose the email address, the social media provider still tries to convince users to provide the phone number, by declaring that it will be used for account security, without providing alternatives on the data that could be or was already provided by the users. Concretely, several windows pop up throughout the sign-up process with a field for the phone number, along with the explanation “We’ll use your [phone] number for account security”. Although users can close the window, they get overloaded and give up by providing their phone number“ (vgl. S. 14 Draft Guidelines).

Weiter werden folgende fünf dark pattern categories in den Draft Guidelines beschrieben (vgl. S. 7 f.):

Skipping: designing the interface or user experience in a way that the users forget or do not think about all or some of the data protection aspects.

Stirring: affects the choice users would make by appealing to their emotions or using visual nudges.

Hindering: an obstruction or blocking of users in their process of getting informed or managing their data by making the action hard or impossible to achieve.

Fickle: the design of the interface is inconsistent and not clear, making it hard for users to navigate the different data protection control tools and to understand the purpose of the processing.

Left in the dark: an interface is designed in a way to hide information or data protection control tools or to leave users unsure of how their data is processed and what kind of control they might have over it regarding the exercise of their rights.

Des Weiteren führen die Draft Guidelines verschiedene DSGVO-Bestimmungen auf, die durch den Einsatz von dark patterns betroffen sein könnten: u.a. die Verarbeitungsgrundsätze (Art. 5 DSGVO), Einwilligungsbedingungen (Art. 4 Abs. 11 i.V.m. Art. 7 DSGVO), Betroffenenrechte (Art. 12 ff. DSGVO) sowie Privacy by Design and Default (Art. 25 DSGVO).

Im Rahmen der öffentlichen Vernehmlassung hat der EDSA sechsundzwanzig Eingaben verschiedener Stakeholder entgegengenommen. In diesem Zusammenhang wurde u.a. vorgebracht, dass der Begriff „Social Media Plattformen“ nicht definiert und damit der Anwendungsbereich der Guidelines unklar sei oder die Annahmen betreffend Erwartungen der Nutzer nicht „evidence-based and research-supported“ seien („as one example, the draft guidelines imply that humour easily distracts users, and that users would not expect account deletion functionalities on the bottom page of account settings“).

Next steps: Der EDSA wird die Vernehmlassungseingaben einarbeiten und die finale Version der Guidelines voraussichtlich im zweiten Halbjahr 2022 veröffentlichen.

Michal Cichocki

Europäischer Datenschutzbeauftragter (EDPS) sowie Europäischer Datenschutzausschuss (EDPB) veröffentlichen ihre Tätigkeitsberichte für 2021

Diesen Monat haben der Europäische Datenschutzbeauftragte (EDPS) sowie der Europäische Datenschutzausschuss (EDPB) ihre Tätigkeitsberichte für das Jahr 2021 veröffentlicht:

Der Europäische Datenschutzbeauftragte (EDPS)
i) Annual Report 2021
ii) Executive Summary 2021
iii) Factsheet

Der Europäische Datenschutzausschuss (EDPB)
i) Annual Report 2021
ii) Executive Summary 2021

Rückblick: Sowohl der EDPS wie auch der EDPB haben 2021 eine Vielzahl an Guidances publiziert:

Der EDPS hat in seiner Eigenschaft als Datenschutzexperte der EU-Kommission u.a. folgende Stellungnahmen („opinions“) veröffentlicht bzw. verabschiedet:
i) Opinion on the Digital Services Act (DSA) 10/02/2021
ii) Opinion on the Digital Markets Act (DMA) 10/02/2021
iii) Opinion on cybersecurity 11/03/2021
iv) Opinion on distributed ledger technology 23/04/2021
v) Opinion on digital operational resilience for the financial sector (DORA) 10/05/2021
vi) Proposal for a regulation on markets in crypto-assets (MICA) 25/06/2021
vii) Proposal for a Directive on consumer credits 26/08/2021
viii) AML package 21/09/2021

Der EDPB hat im Rahmen seiner Kompetenz zur Sicherstellung der Rechtsklarheit bzw. einheitlichen Anwendung der EU DSGVO u.a. folgende sog. Allgemeine Anleitungen („general guidance“) vorgelegt:
i) Guidelines 01/2020 on processing personal data in the context of connected vehicles and mobility related applications
ii) Guidelines 07/2020 on the concepts of controller and processor in the GDPR
iii) Guidelines 8/2020 on the targeting of social media users
iv) Guidelines 01/2021 on examples regarding data breach notification
v) Guidelines 02/2021 on virtual voice assistants
vi) Guidelines 04/2021 on codes of conduct as tools for transfers
vii) Guidelines 05/2021 on the interplay between the application of Art. 3 and the provisions on international transfers as per Chapter V of the GDPR
viii) Guidance on certification criteria assessment (Addendum to Guidelines 1/2018 on certification and identifying certification criteria in accordance with Articles 42 and 43 of the Regulation)
ix) Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data
x) Recommendations 02/2021 on the legal basis for the storage of credit card data for the sole purpose of facilitating further online transactions

Schliesslich haben der EDPB sowie der EDPS sog. gemeinsame Stellungnahmen („joint opinions“) veröffentlicht:
i) EDPB-EDPS Joint Opinion 1/2021 on standard contractual clauses between controllers and processors
ii) EDPB-EDPS Joint Opinion 2/2021 on standard contractual clauses for the transfer of personal data to third countries
iii) EDPB-EDPS Joint Opinion 03/2021 on the Proposal for a regulation of the European Parliament and of the Council on European data governance (Data Governance Act)
iv) EDPB-EDPS Joint Opinion 5/2021 on the proposal for a Regulation of the European Parliament and of the Council laying down harmonised rules on artificial intelligence (Artificial Intelligence Act)

Michal Cichocki

Deutsche Datenschutzkonferenz (DSK): Orientierungshilfe zu Direktwerbung veröffentlicht

Die deutsche Datenschutzkonferenz (DSK) veröffentlichte am 18. Februar 2022 ihre Orientierungshilfe „zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der Datenschutz-Grundverordnung (DSGVO)".

In diesem Zusammenhang wird der Begriff der „Werbung“ weit verstanden: Darunter fällt „jede Äusserung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschliesslich unbeweglicher Sachen, Rechte und Verpflichtungen, zu fördern" (vgl. Art. 2 lit. a der EU-Richtlinie 2006/114/EG). Innerhalb dieser Definition gilt "die unmittelbare Ansprache der Zielperson” als Direktwerbung. Letztere kann in unterschiedlicher Form erfolgen, "z.B. postalisch, per E-Mail, Telefon, Fax oder SMS.”

Anders als unter dem Regime des schweizerischen Datenschutzgesetzes (Grundsatz der Erlaubnis mit Verbotsvorbehalt), muss sich eine Datenverarbeitung im Anwendungsbereich der EU DSGVO stets auf eine Rechtsgrundlage (vgl. Art. 6 EU DSGVO) abstützen - hier gilt der Grundsatz des Verbots mit Erlaubnisvorbehalt.

Die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung stützt sich regelmässig auf Art. 6 Abs. 1 lit. f DSGVO ("Wahrung berechtigter Interessen des Verantwortlichen”). Dazu enthält die Orientierungshilfe zahlreiche Ausführungen: Danach müssen die Interessen des datenschutzrechtlich Verantwortlichen sowie der betroffenen Person im Einzelfall gegeneinander abgewogen werden. Dabei spielen die "vernünftigen Erwartungen" der betroffenen Person eine Rolle. Die DSK ist, wie immer, streng und vertritt die Meinung, dass die (stets subjektiv gefärbte) Erwartung der betroffenen Person nicht durch die Pflichtinformationen (vgl. Art. 13 ff. EU DSGVO) "erweitert" werden könne. Dies hätte zur Folge, dass der Verarbeitung bestimmter, "objektiv vernünftigerweise nicht erwartbarer" Formen der Direktwerbung die Abstützung auf das berechtigte Interesse des Verantwortlichen verwehrt bliebe - trotz einer transparenten, verständlichen Orientierung darüber.

Ferner legt die DSK ihre Auffassung zur Interessenabwägung folgender "Grobkategorien" im Zusammenhang mit Direktwerbung dar (vgl. Ziff. 1.3.2 Orientierungshilfe):

i) Zusendung von Werbung nach Bestellung ohne Selektion oder nach Selektion ohne zusätzlichen
Erkenntnisgewinn (ohne Profiling): In dieser "Grobkategorie" fällt die Interessenabwägung in der Regel zu Gunsten des Verantwortlichen aus.

ii) Zusendung von Werbung nach Bestellung und Selektion (Profiling): Hier scheint sich die DSK am Profiling als "Vorleistung" für gezielte Werbung zu stören, weswegen die Interessenabwägung in der Regel zu Gunsten der betroffenen Person (und nicht des Verantwortlichen) ausfallen solle.

iii) Ansprache per Telefonanruf, E- Mail, Fax etc.: Die DSK verknüpft das Schicksal der datenschutzrechtlichen Interessenabwägung in Bezug auf die Auswahl des Kontaktmittels mit dessen Zulässigkeit gemäss (deutschem) UWG. Danach führe ein Verstoss gegen das (deutsche) UWG „automatisch“ zum Verlust des berechtigten Interesses gemäss DSGVO an der Datenbearbeitung durch den Verantwortlichen.

iv) Nutzen der E-Mail-Adressen von Bestandskunden: In dieser "Grobkategorie” fällt die Interessenabwägung in der Regel zu Gunsten des Verantwortlichen aus, sofern auch hier das deutsche UWG eingehalten werde.

v) Nutzen von Telefonnummern: Im B2C-Bereich fällt hier die Interessenabwägung gemäss DSK zu Gunsten der betroffenen Person, d.h. des Konsumenten, aus. Demnach sei Art. 7 Abs. 1 DSGVO i.V.m. 7a UWG anwendbar, weswegen eine ausdrückliche Einwilligung der betroffenen Person eingeholt werden müsse. Im B2B-Bereich, d.h. gegenüber "professionellen" Marktteilnehmern, geht die DSK von deren "mutmasslicher Einwilligung“ aus, wobei für den Anruf ein konkreter und aus dem Interessenbereich des Anzurufenden herzuleitender Grund vorliegen müsse (dies könne z. B. ein geschäftlicher Vorkontakt sein).

Michal Cichocki

EU Kommission veröffentlicht Entwurf für ein EU-Datengesetz

Die Umsetzung der EU-Datenstrategie schreitet weiter voran: Nach dem Daten-Governance-Gesetz aus dem Jahre 2020 legte die EU Kommission am 23. Februar 2022 ihren Entwurf für ein EU-Datengesetz vor (Proposal for a Regulation on harmonised rules on fair access to and use of data; Data Act). Das vorgeschlagene EU-Datengesetz sieht Regeln für die Nutzung nicht-personenbezogener Daten (Nicht-Personendaten) vor; dessen Geltungsbereich wird wie folgt umschrieben:

„This Regulation lays down harmonised rules on making data generated by the use of a product or related service available to the user of that product or service, on the making data available by data holders to data recipients, and on the making data available by data holders to public sector bodies or Union institutions, agencies or bodies, where there is an exceptional need, for the performance of a task carried out in the public interest“ (vgl. Art. 1 Abs. 1 E-Datengesetz).

Damit sollen u.a. folgende Anwendungsfälle adressiert werden:

i) Datenübertragbarkeit: Insbesondere im Falle eines vernetzten Gerätes ("Internet of Things"; IoT) soll offenbar nicht ausreichend klar sein, „wer was mit den Daten [die durch die Nutzung des Geräts erzeugt werden] tun darf. Oder im Kaufvertrag ist u. U. festgelegt, dass sämtliche erzeugten Daten ausschließlich vom Hersteller gesammelt und genutzt werden dürfen (…). Das Datengesetz wird sowohl Einzelpersonen als auch Unternehmen durch ein gestärktes Recht auf Datenübertragbarkeit mehr Kontrolle über ihre Daten einräumen, sodass sie Daten problemlos an verschiedene Diensteanbieter weitergeben können. Dies gilt für Daten, die mit intelligenten Objekten, Maschinen und Geräten erzeugt werden. Beispielsweise könnte ein Auto- oder ein Maschinenbesitzer entscheiden, mit dem Auto oder der Maschine erzeugte Daten an seinen Versicherer weiterzugeben.“

ii) Blacklisting missbräuchlicher Vertragsklauseln: „Vertragsfreiheit ist nach wie vor das Grundprinzip, aber KMU sind nun vor missbräuchlichen Vertragsklauseln [zur Nutzung von Daten] geschützt, weil es eine Liste mit einseitig auferlegten Vertragsklauseln gibt, die als missbräuchlich gelten oder bei denen davon ausgegangen wird, dass sie missbräuchlich sind. Vertragsklauseln, die auf dieser Liste stehen, sind für KMU nicht bindend. Ein Beispiel sind Klauseln, wonach ein Unternehmen die Vertragsbestimmungen einseitig auslegen darf.“

Ferner will die EU Kommission unverbindliche Mustervertragsbedingungen/Standardklauseln erarbeiten, um die Verhandlungsposition insbesondere von KMU gegenüber marktmächtigen Gegenparteien zu stärken.

iii) Herausgabe von Daten an EU-Behörden: „Das Datengesetz sieht vor, dass in Ausnahmesituationen von grossem öffentlichem Belang wie etwa bei Überschwemmungen oder Waldbränden der Zugang zu Daten privater Unternehmen möglich ist (…) Die neuen Vorschriften sehen eine Verpflichtung für Unternehmen zur [teilweise kostenlosen] Bereitstellung bestimmter Daten vor (…).“

iv) Herausgabe von Daten an Nicht-EU/EWR-Behörden (Foreign Lawful Access): „Ausserdem wird das Datengesetz vertrauensbildend wirken, da es die Einführung verbindlicher Garantien zum Schutz der Daten in Cloud-Infrastrukturen vorsieht. Dadurch werden unrechtmässige Zugriffe durch Regierungen von Ländern, die nicht zur EU oder zum EWR gehören, verhindert. Mit diesen Massnahmen wird das Datengesetz die Cloud-Einführung in Europa unterstützen, was wiederum einen effizienten Datenaustausch innerhalb von und zwischen Sektoren fördern wird.“

Im Zusammenhang mit dem Entwurf des EU-Datengesetzes stellen sich bereits heute zahlreiche Abgrenzungsfragen - insbesondere zur EU DSGVO. In jüngster Zeit haben verschiedene EU-Datenschutzbehörden in immer mehr Fällen „Daten“ als personenbezogene Daten (Personendaten) qualifiziert, was die Anwendung der EU DSGVO nach sich zieht. Dieser Trend dürfte sich auch bei IoT-Anwendungsfällen fortsetzen. Infolgedessen können betroffene Personen bereits heute und gestützt auf Art. 20 EU DSGVO ihren Anspruch auf Datenportabilität (Datenübertragbarkeit) geltend machen. Schliesslich stellt sich die Frage, inwiefern im Zusammenhang mit Daten i.S. des EU-Datengesetzes eine Diskussion über einen denkbaren Foreign Lawful Access Sinn macht und ob hier ein vergleichbares Konzept mit „Garantien“ analog Schrems II (d.h. Foreign Lawful Access bei personenbezogenen Daten; vgl. C-311/18) überhaupt zielführend sein kann.

Michal Cichocki

Europäischer Datenschutzausschuss (EDSA/EDPB) veröffentlicht Guidelines zu Art. 23 EU DSGVO (Beschränkungen von Rechten und Pflichten)

Im Nachgang zur öffentlichen Konsultation veröffentlichte der Europäische Datenschutzausschuss (EDSA/EDPB) am 13. Oktober 2021 seine Guidelines zu Art. 23 EU DSGVO in der Version 2.0 (Guidelines 10/2020 on restrictions under Article 23 GDPR).

Art. 23 EU DSGVO sieht die Möglichkeit vor, dass die EU Mitgliedsstaaten die Rechte und Pflichten gemäss Art. 12 bis 22 EU DSGVO (Rechte der betroffenen Personen) sowie Art. 34 EU DSGVO (Benachrichtigung bei Data Braches) und Art. 5 EU DSGVO (Grundsätze für die Verarbeitung personenbezogener Daten) unter bestimmten Voraussetzungen beschränken können.

Diese Voraussetzungen hat der EDSA mit der oben erwähnten Guideline aktualisiert und wie folgt zusammengefasst (vgl. Conclusion/Kapitel 8):

a) Article 23 GDPR allows under specific conditions, a national or Union legislator to restrict, by way of a legislative measure, the scope of the obligations and rights provided for in Articles 12 to 22 and Article 34, as well as Article 5 GDPR in so far as its provisions correspond to the rights and obligations provided for in Articles 12 to 22, when such a restriction respects the essence of the fundamental rights and freedoms and is a necessary and proportionate measure in a democratic society to safeguard, inter alia, important objectives of general public interest of the Union or of a Member State. 


b) Restrictions of data subjects’ rights need to observe the requirements stated in Article 23 GDPR. The Member States or the Union issuing the legislative measures setting those restrictions and the controllers applying them should be aware of the exceptional nature of these restrictions. 


c) The proportionality test should be carried out before introducing in Union or Member State law restrictions on the rights of data subjects. 


d) SAs should be consulted before the adoption of the legislative measures setting the restrictions and have the powers to enforce its compliance with the GDPR. 
 

e) Once restrictions are lifted, data subjects must be allowed to exercise their rights by the controller.

Unter Kapitel 9 wurde ausserdem eine Checkliste mit dem Titel „Article 23 GDPR in a nutshell“ publiziert.

Michal Cichocki

Gutachten des Bundesamts für Justiz zum US CLOUD Act veröffentlicht

Das Bundesamt für Justiz (BJ) veröffentlichte am 17. September 2021 ein als Bericht zum US CLOUD Act bezeichnetes Gutachten. Darin geht das BJ u.a. auf folgende Themenbereiche ein:

(i) Generelle Erläuterungen zum US CLOUD Act sowie zu darauf beruhenden Executive Agreements.

(ii) Rechtsvergleichende Beleuchtung des US CLOUD Acts mit weiteren aktuellen oder geplanten Rechtsgrundlagen wie z.B. EU E-Evidence Verordnung bzw. Richtlinie, Zusatzprotokoll zur Cybercrime-Konvention des Europarats, Executive Agreement zwischen den USA und UK, EU DSGVO sowie DSG.

(iii) Rechtliche Ausführungen zur Vereinbarkeit des US CLOUD Acts bzw. Executive Agreements mit europäischem und schweizerischem Völker-, Straf-, Rechtshilfe- und Datenschutzrecht aus der Sicht des BJ.

(iv) Nicht rechtliche Ausführungen zu technischen/organisatorischen Massnahmen (TOM) im Bereich "Datensicherheit und Entschlüsselung".

Als Schlussfolgerung (vgl. Kapitel 7 Gutachten) hält das BJ unter anderem Folgendes fest:

a) Das BJ vertritt u.a. die Auffassung, dass die Schweiz nur dann am "freien Datenverkehr mit der EU teilhaben" und den "uneingeschränkten Zugang zum "digitalen Binnenmarkt" der EU behalten" könne, wenn sie ihren Status als Land mit angemessenem Datenschutzniveau aus der Sicht der EU behalte. Folglich habe das EU-Datenschutzrecht "einen grossen Einfluss auf die Schweiz".

b) Hinsichtlich des Datenschutzrechts ist das BJ u.a. folgender Meinung: "Das Ergebnis dieser Analyse legt den Schluss nahe, dass eine Herausgabe von Daten gestützt auf eine Herausgabeanordnung auf der Grundlage des CLOUD Acts nur in spezifischen Ausnahmefällen mit dem schweizerischen und europäischen Datenschutzrecht vereinbar ist".

c) Aus der Sicht des Rechtshilferechts schlussfolgert das BJ u.a. Folgendes: "Der Abschluss eines Executive Agreements würde damit zu einem Paradigmenwechsel im Bereich der internationalen Strafrechtskooperation führen: Erstmals würde ein schweizerischer Privater direkt an einem ausländischen Strafverfahren mitwirken, ohne dass dafür ein schweizerisches Verfahren oder wenigstens eine Bewilligung im Einzelfall vorliegt. Diese neue Form der Zusammenarbeit hätte Auswirkungen auf verschiedene Garantien und Prinzipien, welche im Recht der internationalen Rechtshilfe in Strafsachen gelten. Insbesondere betroffen wären die verfassungsmässigen Garantien des rechtlichen Gehörs und des Zugangs zu einem Gericht in der Schweiz, da die von der Datenherausgabe betroffene Person (...) keine Kenntnis von der Bekanntgabe mehr erlangen würde und dagegen folglich auch keine Beschwerde erheben könnte" . (...) "Auch mit Blick auf die Vereinbarkeit mit den Prinzipien des Rechtshilferechts wirft der CLOUD Act also grosse Fragen auf und scheint schwer mit dem übergeordneten schweizerischen Recht vereinbar zu sein".

Next Steps: Das Gutachten des BJ soll als Grundlage zur Diskussion mit unterschiedlichen Stakeholdern dienen. Anschliessend wird das BJ dem Generalsekretariat des EJPD einen Antrag zum weiterem Vorgehen "in Sachen US CLOUD Act im Speziellen und "E-Evidence" generell" unterbreiten.

Michal Cichocki

Europäischer Datenschutzbeauftragter (EDSB/EDPS) veröffentlicht Stellungnahme zur Revision der EU-Richtlinie über Verbraucherkreditverträge (directive on consumer credits)

Im Rahmen der Beratungen zur Revision der EU-Richtlinie über Verbraucherkreditverträge (2008/48/EG) hat der europäische Datenschutzbeauftragte (EDSB/EDPS) seine Stellungnahme abgegeben: Opinion 11/2021 on the Proposal for a Directive on consumer credits. Darin äussert er sich vor allem zu datenschutzrechtlichen Aspekten bei der Kreditprüfung und hält u.a. folgendes fest:

Die Digitalisierung im EU Consumer Credit Sector (EU-Verbraucherkreditmarkt) ziehe gemäss EDPS einen zusätzlichen Schutzbedarf für die Persönlichkeitsrechte der betroffenen Personen (Kreditnehmer) nach sich, insbesondere in den Bereichen der Peer-to-Peer Lending Platforms, Online Sales, Short-Term High-Cost Loans und Automated Decision-Making for Credit Scoring. Der EDPS empfiehlt in diesem Zusammenhang u.a. folgende Anpassungen der vorgenannten EU-Richtlinie:

(i) Von der Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) solle gänzlich abgesehen werden.

(ii) Auf die Auswertung von Search Queries oder das Herauslesen von Online Browsing Activities der Kreditnehmer solle ebenfalls verzichtet werden.

(iii) Dem Kreditnehmer solle im Voraus mitgeteilt werden, welche externen Quellen (Datenbanken, Auskunfteien) beigezogen würden, welche Betroffenenrechte er ausüben könne und an welche Kontaktperson er sich hierfür wenden könne.

(iv) Der Grundsatz der Datenrichtigkeit bzw. - qualität spiele eine wichtige Rolle und müsse mit angemessenen technischen/organisatorischen Massnahmen (TOM) sichergestellt werden.

(v) Für Profiling oder andere automatisierte Bearbeitungen solle nicht nur eine Human Intervention vorgesehen, sondern ein offenbar weitergehendes Assessment durch den Kreditgeber durchgeführt werden.

(vi) Diejenigen Kategorien personenbezogener Daten, welche als Parameter für die Erstellung einer personal offer verwendet werden sollen, müssten begrenzt, klar umschrieben und zusammen mit der verwendeten Logik offengelegt werden.

(vii) Personenbezogene Daten, welche im Zusammenhang mit der Prüfung der Kreditwürdigkeit bearbeitet werden, sollen nicht für Werbe- und Marketingzwecke verwendet werden dürfen.

(viii) Die vorliegenden Überlegungen sollen im Rahmen des laufenden Rechtsetzungsverfahrens zum EU Artificial Intelligence Act, insbesondere bei der Zertifizierung von KI-Systemen, berücksichtigt und koordiniert werden.

(ix) Schliesslich ist der EDPS der Meinung, das EU-Datenschutzrecht übe eine komplementäre Rolle zum EU-Konsumentenschutzrecht aus; auf welche Rechtsgrundlage sich diese Aussage stützen soll, wird jedoch nicht erwähnt.

Michal Cichocki

Europäischer Datenschutzbeauftragter (EDPS/EDSB) und die Agencia Española de Protección de Datos (AEPD) veröffentlichen eine gemeinsame Stellungnahme zu Anonymisierung

Ende April 2021 veröffentlichten der Europäische Datenschutzbeauftragte (EDPS/EDSB) zusammen mit der spanischen Datenschutzaufsichtsbehörde (Agencia Española de Protección de Datos - AEPD) eine gemeinsame Stellungnahme zum Themenbereich Anonymisierung (von Personendaten gemäss EU DSGVO).

Darin halten die erwähnten Behörden u.a. folgende Definitionen im Zusammenhang mit „Anonymisierung“ fest:

(i) Anonymous data is “information which does not relate to an identified or identifiable natural person or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable”.

(ii) Datasets which include personal data may contain direct and indirect identifiers, which allow an individual to be identified or become identifiable.

(iii) A direct identifier is specific information that references to an individual, such as name or an identification number.

(iv) An indirect identifier (also called quasi-identifier) is any piece of information (e.g. a geographical position in a certain moment or an opinion about a certain topic) that could be used, either individually or in combination with other quasi-identifiers, by someone that has knowledge about that individual with the purpose of re-identifying an individual in the dataset.

(v) The re-identification likelihood is the probability in a given dataset of re-identifying an individual, by turning anonymised data back into personal data through the use of data matching or similar techniques.

Ferner gehen der EDPS/EDSB und die AEPD in ihrer gemeinsamen Stellungnahme auf folgende „top ten misunderstandings“ zur Anonymisierung ein:

Misunderstanding 1: Pseudonymisation is the same as anonymisation. Fact: Pseudonymisation is not the same as anonymisation.

Misunderstanding 2: Encryption is anonymisation. Fact: Encryption is not an anonymisation technique, but it can be a powerful pseudonymisation tool.

Misunderstanding 3: Anonymisation of data is always possible. Fact: It is not always possible to lower the re-identification risk below a previously defined threshold whilst retaining a useful dataset for a specific processing.

Misunderstanding 4: Anonymisation is forever. Fact: There is a risk that some anonymisation processes could be reverted in the future. Circumstances might change over time and new technical developments and the availability of additional information might compromise previous anonymisation processes.

Misunderstanding 5: Anonymisation always reduces the probability of re-identification of a dataset to zero. Fact: The anonymisation process and the way it is implemented will have a direct influence on the likelihood of re-identification risks.

Misunderstanding 6: Anonymisation is a binary concept that cannot be measured. Fact: It is possible to analyse and measure the degree of anonymization.

Misunderstanding 7: Anonymisation can be fully automated. Fact: Automated tools can be used during the anonymisation process, however, given the importance of the context in the overall process assessment, human expert intervention is needed.

Misunderstanding 8: Anonymisation makes the data useless. Fact: A proper anonymisation process keeps the data functional for a given purpose.

Misunderstanding 9: Following an anonymisation process that others used successfully will lead our organisation to equivalent results. Fact: Anonymisation processes need to be tailored to the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons.

Misunderstanding 10: There is no risk and no interest in finding out to whom this data refers to. Fact: Personal data has a value in itself, for the individuals themselves and for third parties. Re-identification of an individual could have a serious impact for his rights and freedoms.

Weitergehende Erläuterungen zu den einzelnen misunderstandings sind hier abrufbar.

Michal Cichocki

EU & KI: EU-Kommission veröffentlicht Entwurf zum Artificial Intelligence Act

Am 21. April 2021 veröffentlichte die EU-Kommission ihren Entwurf eines Legal Frameworks zur Regulierung von Künstlicher Intelligenz (KI): Proposal for a Regulation laying down harmonised rules on artificial intelligence (Artificial Intelligence Act).

Damit sollen die (Grund)Rechte der betroffenen Personen sowie Unternehmen gewahrt und gleichzeitig ein zukunftsgerichtetes Legal Framework für die Entwicklung von KI und generell von Innovation in der EU geschaffen werden. Dies könnte auch für die Schweiz relevant sein; im Entwurf ist mindestens derzeit folgender Anknüpfungspunkt zu finden: „(…) this Regulation should also apply to providers and users of AI systems that are established in a third country, to the extent the output produced by those systems is used in the Union“.

Der Entwurf sieht u.a. einen risikobasierten Regulierungsansatz vor. Danach werden KI-Systeme in vier Risikokategorien eingeteilt, welche sich insbesondere an bestimmten Verwendungszwecken und damit zusammenhängenden Risiken orientieren: unacceptable risk, high-risk, limited risk und minimal risk. Je nach Risikokategorie sind die Voraussetzungen an KI-Systeme strenger bzw. weniger streng:

1) Unacceptable risk: Für Zwecke, die eine Gefahr für "the safety, livelihoods and rights of people" darstellen, sollen KI-Systeme nicht genutzt werden dürfen. Darunter fallen "AI systems or applications that manipulate human behaviour to circumvent users' free will (e.g. toys using voice assistance encouraging dangerous behaviour of minors) and systems that allow ‘social scoring' by governments“.

2) High-risk: KI-Systeme, welche zu den nachfolgenden Zwecken genutzt werden, sollen unter die Kategorie high-risk fallen:
a) Critical infrastructures (e.g. transport), that could put the life and health of citizens at risk
b) Educational or vocational training, that may determine the access to education and professional course of someone's life (e.g. scoring of exams)
c) Safety components of products (e.g. AI application in robot-assisted surgery)
d) Employment, workers management and access to self-employment (e.g. CV-sorting software for recruitment procedures)
e) Essential private and public services (e.g. credit scoring denying citizens opportunity to obtain a loan)
f) Law enforcement that may interfere with people's fundamental rights (e.g. evaluation of the reliability of evidence)
g) Migration, asylum and border control management (e.g. verification of authenticity of travel documents)
h) Administration of justice and democratic processes (e.g. applying the law to a concrete set of facts)
i) In particular, all remote biometric identification systems are considered high risk and subject to strict requirements

Bevor KI-Systeme der Risikokategorie high-risk genutzt werden dürfen, sollen folgende Voraussetzungen erfüllt werden:
i) Adequate risk assessment and mitigation systems
ii) High quality of the datasets feeding the system to minimise risks and discriminatory outcomes
iii) Logging of activity to ensure traceability of results
iv) Detailed documentation providing all information necessary on the system and its purpose for authorities to assess its compliance
v) Clear and adequate information to the user
vi) Appropriate human oversight measures to minimise risk
vii) High level of robustness, security and accuracy

3) Limited risk: „(…) specific transparency obligations: When using AI systems such as chatbots, users should be aware that they are interacting with a machine so they can take an informed decision to continue or step back".

4) Minimal risk: „(…) allows the free use of applications such as AI-enabled video games or spam filters. The vast majority of AI systems fall into this category. The draft Regulation does not intervene here, as these AI systems represent only minimal or no risk for citizens' rights or safety".

Schliesslich sieht der Entwurf vor, dass u.a. die oben genannten Voraussetzungen direkt anwendbar sein und entlang eines Coordinated Plan on AI mit weiteren Regulierungsinitiativen der EU (z.B. new machinery regulation, European green deal) abgestimmt werden sollen. Das EU-Parlament und die EU-Mitgliedsstaaten werden nun über den vorliegenden Entwurf beraten.

Michal Cichocki

EU & KI: Entwurf einer Regulierung für Künstliche Intelligenz für Q2/2021 vorgesehen

Seit geraumer Zeit wird in der EU an einem Legal Framework für die Entwicklung und Nutzung von Technologien, die als Künstliche Intelligenz (K.I.) bezeichnet werden, gearbeitet.

Bereits 2019 hat die EU-Kommission „Ethics Guidelines“ zu K.I. veröffentlicht. Dabei handelt es sich im Wesentlichen um ein programmatisches Papier, das zur Einhaltung der (ohnehin verbindlichen) rechtlichen Vorgaben (wie z.B. DSGVO) aufruft, die schon heute auf K.I. anwendbar sind. 2020 folgten der „Report“ sowie das „White Paper“ zu K.I.
Der „Report“ befasst sich vor allem mit Fragen zu „Safety and Liability“ von K.I. Er kommt zum Ergebnis, dass die Rechtsordnungen der EU-Mitgliedsstaaten bereits heute über eine Vielzahl an Rechtsgrundlagen verfügen, die auf K.I. anwendbar seien und den Themenbereich „Safety and Liability“ regulieren; Handlungsbedarf gäbe es jedoch insbesondere im Bereich der „Product Liability“.
Das „White Paper“ ist ein Grundsatzpapier und dient als Basis zur Schaffung eines künftigen regulatorischen Rahmens für K.I. Es fokussiert dabei auf K.I.-Anwendungen mit einem sog. „hohen Risiko“.

In der Folge bejahte das EU-Parlament einen Handlungsbedarf hinsichtlich der Regulierung von K.I. und veröffentlichte im Oktober 2020 seinerseits einen Bericht mit Empfehlungen an die EU-Kommission für einen „Rahmen für die ethischen Aspekte von Künstlicher Intelligenz, Robotik und damit zusammenhängenden Technologien“.

Der Ball liegt nun wieder bei der EU-Kommission. Sie wird einen neuerlichen Entwurf zu vermeintlich ethischen sowie rechtlichen Fragen im Zusammenhang mit K.I. im Q2/2021 vorlegen. Damit wird sich zeigen, ob der Paradigmenwechsel weg von einer technologieneutralen hin zu einer KI-spezifischen Regulierung sinnvoll und praktikabel sein wird - oder ob damit eine weitgehende Wiederholung bereits heute geltender (KI-unabhängiger) Rechtsgrundlagen formuliert wird.

Michal Cichocki

Schrems II (C-311/18): Empfehlungen & Stellungnahmen verschiedener Datenschutzaufsichtsbehörden - eine Übersicht

Mit Urteil C-311/18 (Schrems II) vom 16. Juli 2020 erklärte der EuGH das EU-US Privacy Shield Framework für ungültig und stellte vermeintlich weitere Anforderungen an die Verwendung der Standardvertragsklauseln "SVK" (Standard Contractual Clauses „SCC“) für eine Bekanntgabe von Personendaten in Staaten ohne angemessenes Datenschutzniveau sowie - vereinfacht gesagt - mit „unzulässigen“ ausländischen Behördenzugriffen und ohne hinreichenden Rechtsschutz.

Im Nachgang zu diesem Urteil haben verschiedene Datenschutzaufsichtsbehörden diverse Empfehlungen sowie Stellungnahmen veröffentlicht. Darin sollen Möglichkeiten aufgezeigt werden, wie die Bekanntgabe von Personendaten in die vorgenannten Staaten auch im Lichte von Schrems II rechtskonform erfolgen könne. 

In diesem Zusammenhang werden unterschiedliche Lösungsansätze diskutiert, unter anderem die (laufende) Beurteilung der gesamten Rechtsordnung eines Staates hinsichtlich „unzulässiger“ Behördenzugriffe sowie hinrechendem Rechtsschutz. Aus Praktikabilitätsgründen dürfte der Fokus stattdessen auf der Definition sowie Durchsetzung nicht rechtlicher, sondern angemessener technischer/organisatorischer Massnahmen (TOM) liegen, welche die „unzulässigen" ausländischen Behördenzugriffe mit hoher Wahrscheinlichkeit verhindern sollen.

Die nachfolgende Übersicht ist eine Auswahl ohne Anspruch auf Vollständigkeit:

(i) Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Positionspapier vom 08. September 2020

(ii) U.S. Department of Commerce (USDOC)
FAQ vom 20. August 2020 (vgl. Blogbeitrag vom 09. August 2020)

(iii) EU Kommission
Entwurf der überarbeiteten Fassung der Standardvertragsklauseln "SVK" / Standard Contractual Clauses "SCC" ohne Datum (vgl. Blogbeitrag vom 15. November 2020)

(iv) Europäischer Datenschutzausschuss (EDSA/EDPB)
Pressemitteilung vom 17. Juli 2020
FAQ vom 23. Juli 2020 (vgl. Blogbeitrag vom 26. Juli 2020)
Stellungnahme gemäss Art. 64 DSGVO zu BCRs vom 31. Juli 2020
Pressemitteilung zu SCC-Entwurf und Recomendation 1/2020 vom 20. November 2020
Gemeinsame Stellungnahme 1/2021 des EDSA/EDPB und EDSB/EDPS zu SCC für die Verarbeitung zwischen Verantwortlichen und Auftragsverarbeitern vom 14. Januar 2021
Gemeinsame Stellungnahme 2/2021 des EDSA/EDPB und EDSB/EDPS zu SCC für die Übermittlung personenbezogener Daten in Drittländer vom 14. Januar 2021
Pressemitteilung vom 15. Januar 2021

(v) Europäischer Datenschutzbeauftragter (EDSB/EDPS)
Erklärung vom 17. Juli 2020
Strategie für EU-Institutionen 29. Oktober 2020 (vgl. Blogbeitrag vom 2. Januar 2021)
Newsletter Nr. 84 vom 21. Dezember 2020
Gemeinsame Pressemitteilung EDSA/EDPB und EDSB/EDPS vom 15. Januar 2021

(vi) Deutsche Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)
Pressemitteilung vom 28. Juli 2020
Pressemitteilung vom 26. November 2020 (vgl. Blogbeitrag vom 6. Dezember 2020)

(vii) Deutscher Bundesbeauftragter für Datenschutz und Informationsfreiheit (BfDI)
Pressemitteilung vom 24. Juli 2020
Informationsschreiben zur Auswirkung der Rechtsprechung des EuGH auf den internationalen Datentransfer vom 8. Oktober 2020
Stellungnahme zu den überarbeiteten SCC vom 15. Januar 2021

(viii) Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Orientierungshilfe: Was jetzt in Sachen internationaler Datentransfer? vom 24. August 2020 (aktualisiert am 7. September 2020)

(ix) Der Bayerische Landesbeauftragte für den Datenschutz
Pressemitteilung: Stärkung der Nutzer-Rechte: Microsoft ergänzt Standardvertragsklauseln vom 20. November 2020

(x) Österreichische Datenschutzbehörde
Stellungnahme vom August 2020 (aktualisiert im November 2020)

(xi) The UK's Information Commissioner’s Office (ICO)
Update vom 27. Juli 2020
Guidance: Datenschutz nach der Übergangsperiode (Brexit) ohne Datum

(xii) Commission Nationale de l'Informatique et des Libertés de France (CNIL)
Pressemitteilung vom 17. Juli 2020
Urteil des obersten Verwaltungsgerichts (Conseil d´État) vom 13. Oktober 2020

Michal Cichocki

Europäischer Datenschutzausschuss (EDSA/EDPB) veröffentlicht Strategie 2021 bis 2023

Der Europäische Datenschutzausschuss (EDSA/EDPB) veröffentlichte Ende Dezember 2020 sein Strategiepapier für den Zeitraum 2021 bis 2023. Darin fokussiert er auf seine Kernaufgaben, u.a. die (i) Sicherstellung der einheitlichen Anwendung der EU Datenschutz-Grundverordnung (DSGVO) sowie die (ii) effektive Zusammenarbeit der nationalen EU-Datenschutzaufsichtsbehörden und formuliert dazu vier strategische Ziele:

1) Einheitliche Praxis: Advancing Harmonization and Facilitating Compliance
Die DSGVO enthält zahlreiche unbestimmte Normen sowie Öffnungsklauseln, die von den einzelnen EU-Mitgliedsstaaten individuell konkretisiert, ergänzt oder modifiziert werden können. Infolgedessen gibt es eine uneinheitliche Praxis, was zu Rechtsunsicherheit führt.

Der EDSA hat sich vorgenommen, diese Rechtsunsicherheit zu verringern. Er wird die Erarbeitung von Guidelines zu Schlüsselthemen wie "concept of legitimate interest" und "scope of data subjects’ rights" weiter vorantreiben. Ferner will der EDSA vermehrt Kohärenzverfahren gemäss Art. 63 DSGVO durchführen, um ein einheitliches Verständnis der DSGVO bei den EU-Datenschutzaufsichtsbehörden sicherzustellen.

2) Bessere Zusammenarbeit: Supporting Effective Enforcement and Efficient Cooperation Between National Supervisory Authorities
Neben der uneinheitlichen Auslegung bzw. Praxis zur DSGVO sei auch die Zusammenarbeit zwischen den EU-Datenschutzaufsichtsbehörden verbesserungswürdig. Zu diesem Zweck will der EDSA folgende Neuerungen etablieren: das "Coordinated Enforcement Framework (CEF) to facilitate joint actions in a flexible but coordinated manner" sowie ein "Support Pool of Experts (SPE) on the basis of a pilot project, with a view of providing material support in the form of expertise that is useful for investigations and enforcement activities of significant common interest".

3) Bewertung datenschutzrechtlicher Aspekte neuer Technologien: A Fundamental Rights Approach to New Technologies
Der EDSA hat sich vorgenommen, die Entwicklung neuer Technologien proaktiv zu monitoren, zu bewerten und Guidelines mit seinen Ergebnissen zu veröffentlichen. Er will dabei auf Datenbearbeitungen fokussieren, die "the greatest risks to individuals’ rights and freedoms (e.g. to prevent discrimination)" darstellen. Der EDSA ist der Auffassung, dass diese Risiken insbesondere bei folgenden Technologien vorkommen: artificial intelligence (AI), biometrics, profiling, ad tech, cloud services und blockchain.

Anders als in der EU ist in der schweizerischen Rechtsordnung die unmittelbare Drittwirkung von Grundrechten in der Privatwirtschaft nicht vorgesehen. Diesem Umstand sollte bei der Analyse künftiger EDSA-Guidelines hinreichend Beachtung geschenkt werden.

Schliesslich betont der EDSA richtigerweise die Wichtigkeit des Grundsatzes von "Privacy by Design und Default" und stellt hier "clear guidance on how to implement data protection principles effectively" in Aussicht. Dabei werden rechtliche Vorgaben in nicht rechtliche Vorgaben für technische und/oder organisatorische Massnahmen (TOM) übersetzt und anschliessend implementiert.

4) Bekanntgabe von Personendaten ins Ausland: The Global Dimension
Im Lichte der aktuellen Diskussionen rund um das Urteil des EuGH i.S. "Schrems II" (C-311/18) will auch der EDSA "promote the use of transfer tools ensuring an essentially equivalent level ofprotection and increase awareness on their practical implementation".

Bei "Schrems II" geht es im Wesentlichen um die Definition, Vereinbarung und Kontrolle technischer und/oder organisatorischer Massnahmen (TOM), welche unzulässige ausländische Behördenzugriffe mit hoher Wahrscheinlichkeit verhindern sollen.

Michal Cichocki

Konferenz der unabhängigen Datenschutzaufsichtsbehörden Deutschlands (DSK): Jubiläumskonferenz, neue Entschliessungen und Beschlüsse

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden Deutschlands (DSK) führte am 25./26. November 2020 ihre 100. Datenschutzkonferenz durch. Sie befasste sich u.a. mit den nachfolgenden Themen und veröffentlichte dazu jeweils eine Entschliessung bzw. Beschluss:

1) Datenschutzkonformer Einsatz von Windows 10 Enterprise sowie Prüfung der angekündigten Verbesserungen von Microsoft bei MS Office 365
Die DSK verweist auf Ihr "Prüfschema zum datenschutzkonformen Einsatz von Windows 10" sowie auf neue Ergebnisse einer Laboruntersuchung durch eine DSK-Arbeitsgruppe. Danach müsse ein datenschutzrechtlicher Verantwortlicher beim Einsatz der Windows 10 Enterprise-Edition die Telemetriestufe "Security" nutzen und die Übermittlung personenbezogener Telemetriedaten an Microsoft mittels technischer/organisatorischer Massnahmen (TOM) unterbinden. Dazu und zu den aus den Laboruntersuchungen verbliebenen Unwägbarkeiten wird die DSK weitere Gespräche mit Microsoft führen.

2) Initiative zur Aufweichung von Ende-zu-Ende-Verschlüsselungen zugunsten von Sicherheitsbehörden und Nachrichtendiensten in der EU
Die DSK spricht sich gegen die vorgenannte Initiative aus und hält u.a. folgendes fest: "Verschlüsselung ist ebenso ein zentrales Mittel für die Datenübermittlung in Drittländer gemäss den Empfehlungen zu ergänzenden Massnahmen für Übertragungsinstrumente zur Gewährleistung des EU-Schutzniveaus des Europäischen Datenschutzausschusses als Reaktion auf das "Schrems II"-Urteil des Europäischen Gerichtshofs".

3) Umsetzung der Vorgaben des BVerfG zur Ausgestaltung der manuellen Auskunft über Telekommunikationsbestandesdaten in Deutschland
Die DSK ist der Auffassung, dass insbesondere die "Übermittlungs- und Abrufregelungen" für  Telekommunikationsbestandesdaten "die Verwendungszwecke hinreichend begrenzen, mithin die Datenverwendung an bestimmte Zwecke, tatbestandliche Eingriffsschwellen und einen hinreichend gewichtigen Rechtsgüterschutz binden müssen".

4) Ausstehende Umsetzung der „ePrivacy"-Richtlinie (RL 2002/58/EG) in Deutschland
Die DSK fordert den deutschen Gesetzgeber auf, "endlich Regelungen zu erlassen, um die ePrivacy-Richtlinie vollständig und im Einklang mit der Datenschutz-Grundverordnung (DSGVO) umzusetzen".

Michal Cichocki

Datenschutz und Videokonferenzsysteme: deutsche Datenschutzaufsichtsbehörden (DSK) veröffentlichen Orientierungshilfe

Die deutsche Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) veröffentlichte am 23. Oktober 2020 ihre Orientierungshilfe für Videokonferenzsysteme.

Darin erläutert die DSK „datenschutzrechtliche Anforderungen an die Durchführung von Videokonferenzen durch Unternehmen, Behörden und andere Organisationen“ aus der Sicht der EU Datenschutz-Grundverordnung (DSGVO) sowie der strengen deutschen Behörden- und Gerichtspraxis.

Die DSK unterscheidet dabei zwischen drei Modellen, wie ihrer Meinung nach ein Videokonferenzsystem betrieben werden könne: (i) interner Dienst, (ii) externer IT-Dienstleister und (iii) (externer) Online-Dienst (Software as a Service). Dabei geht die DSK offensichtlich davon aus, dass eine individuelle Anpassung der Videokonferenzsysteme und -services an die Bedürfnisse der datenschutzrechtlichen Verantwortlichen möglich sei.

In diesem Zusammenhang geht die DSK auf die unterschiedlichen Rollen der beteiligten Akteure, die Rechtsgrundlagen sowie die (nicht rechtlichen) Anforderungen an technische und/oder organisatorische Massnahmen (TOM) für Videokonferenzsystem ein.

Hinsichtlich der Rechtsgrundlagen als Voraussetzung für die Verarbeitung personenbezogener Daten im Rahmen von Videokonferenzsystemen ist die DSK der Auffassung, dass entweder auf eine Einwilligung, Vertragserfüllung oder berechtigte Interessen abgestützt werden könne.

Zur Einwilligung hält die DSK folgende, strenge Sicht fest: Von einer freiwilligen Einwilligung „ist nur auszugehen, wenn eine echte Wahlmöglichkeit hinsichtlich der Teilnahme an der Videokonferenz besteht. (…) In solchen Fällen kommt eine wirksame Einwilligung nur in Betracht, wenn die Freiwilligkeit durch zusätzliche Maßnahmen sichergestellt wird, etwa indem denjenigen, die nicht an Videokonferenzen teilnehmen wollen, das relevante Wissen in gleichwertiger Form auch auf anderem Wege bereitgestellt wird bzw. andere Wege der Kommunikation angeboten werden (z. B. eine Teilnahme an der Konferenz per Telefon)“.

Für die Teilnahme an Videokonferenzen aus dem Home-Office formuliert die DSK unter anderem folgende Empfehlungen: „[Es] stellt sich das Problem, dass andere Teilnehmende ohne Einwilligung der Beschäftigten keine Einblicke in deren Privatsphäre durch Bild oder Ton erhalten dürfen. Der Arbeitgeber muss daher mit technischen und organisatorischen Maßnahmen (Art. 25 Abs. 1 DS-GVO) sicherstellen, dass derartige Einblicke nicht möglich sind, etwa durch Ausrichtung der Kamera oder Bereitstellung eines Paravents oder (…) durch Einblendung eines virtuellen Hintergrunds.“

Zu den Auswirkungen des Urteils des EuGH in der Rechtssache „Schrems II“ (C-311/18) und zur Frage, welche technischen/organisatorischen Massnahmen (TOM) eingesetzt werden sollen, um insbesondere übermässige Zugriffe ausländischer Behörden zu vermeiden, hält die DSK folgendes fest: „Es bedarf noch weiterer Analysen, um im Lichte dieser vom EuGH klargestellten Anforderungen konkretere Aussagen dahingehend treffen zu können, ob und unter welchen zusätzlichen Schutzvorkehrungen personenbezogene Daten in die USA oder an US-Anbieter übermittelt werden können. Aus diesem Grund empfiehlt die DSK derzeit die Nutzung von Videokonferenzprodukten US-amerikanischer Anbieter sorgfältig zu prüfen. Dies gilt auch, wenn Vertragspartner eine europäische Tochtergesellschaft ist. Das gleiche gilt für europäische Anbieter, sofern sie ihrerseits personenbezogene Daten in die USA übermitteln.“

Michal Cichocki