Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Die Kontakteinschränkungen aufgrund der Corona-Pandemie halten an. Das bedeutet für viele Unternehmen und Behörden, dass berufliche Besprechungen in Form von Video- oder Telefonkonferenzen abgehalten werden. Auch in Bildungseinrichtungen, in persönlichen Beratungen oder Betreuungen und in Ehrenämtern werden Videokonferenzen eingesetzt. Auf was muss man achten, um dabei die Datenschutzanforderungen zu erfüllen?

English Translation of press-release
Contact Tracing *mit* Datenschutz by Design - jetzt die Chance nutzen

The Independent Centre for Data Protection Schleswig-Holstein (ULD) has been advocating “data protection by design” for decades. Until now, concepts for innovative data protection technology were mainly found in academic papers. Even though the General Data Protection Regulation calls for “data protection by design”, relevant concepts have rarely found their way into practice. When it comes to a so-called “Contact Tracing App”, “data protection by design” is possible - and essential.

English Translation

„Datenschutz by Design“ – dafür setzt sich das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) seit Jahrzehnten ein. Bisher waren Konzepte für innovative Datenschutztechnik hauptsächlich in akademischen Papieren zu finden. Obwohl die Datenschutz-Grundverordnung „Datenschutz durch Technikgestaltung“ fordert, finden die Ideen bisher nur selten den Weg in die Praxis. Für die Contact-Tracing-App ist „Datenschutz by Design“ möglich – und auch nötig.

Zum Volltext des Berichts

Marit Hansen, die Landesbeauftragte für Datenschutz Schleswig-Holstein, hat diese Woche ihren Tätigkeitsbericht für das Jahr 2019 vorgelegt: Auf knapp 150 Seiten werden die Themen Datenschutz und Informationsfreiheit beleuchtet, Empfehlungen gegeben und Verbesserungen eingefordert. Interessante Fälle dienen als mahnendes Beispiel, wie es die Verantwortlichen nicht machen sollen.

Aufgrund der Corona-Pandemie sollen alle Menschen ihre direkten Kontakte einschränken. Das bedeutet auch, dass die meisten nun zu Hause bleiben. Wann immer es geht, schicken Unternehmen und Behörden ihre Mitarbeiterinnen und Mitarbeiter ins Homeoffice. Auf was muss man achten, um auch zu Hause die Datenschutzanforderungen zu erfüllen?

In den letzten Tagen wurden kurzfristig mehrere neue Regelungen eingeführt und Maßnahmen zur Eindämmung des Corona-Virus (SARS-CoV-2) getroffen. Einige dieser Regelungen führen zu einer Erhebung und Verarbeitung personenbezogener Daten, beispielsweise wenn nun durch die Kreise und Städte Registrierungspflichten im Dienstleistungs- und Handwerksgewerbe eingeführt werden.

Darf eine Datenschutzbehörde anordnen, dass eine Facebook-Fanpage deaktiviert wird? Eine solche Anordnung hatte das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) erlassen. Dies ist der Kern des Rechtsstreits zu Facebook-Fanpages, der seit 2011 läuft und bereits das Verwaltungsgericht Schleswig, das Oberverwaltungsgericht Schleswig, das Bundesverwaltungsgericht in Leipzig, den Europäischen Gerichtshof und wieder das Bundesverwaltungsgericht beschäftigt hat.

Immer wieder beschweren sich Sporttreibende und Fitness-Fans bei der Landesbeauftragten für Datenschutz, Marit Hansen, über Videokameras in Fitness-Studios. Vor einigen Jahren hatte ihre Dienststelle, das Unabhängige Landeszentrum für Datenschutz (ULD), vier Fitness-Studios in Schleswig-Holstein geprüft. Für alle vier Fitness-Studios stellte das ULD fest, dass die Videoüberwachung einiger Bereiche gegen das Datenschutzrecht verstieß, und untersagte daraufhin im  Juni 2017 die Überwachung dieser Bereiche.

Vielen Nutzerinnen und Nutzern im Internet ist nicht bewusst, dass mit dem Aufruf einer Webseite häufig nicht nur eine Verbindung zu dem Anbieter aufgebaut wird, sondern auch eingebundene Dienstleister die Klicks sehen und auswerten können. Besonders bekannt sind Analyse-Dienste, die das Nutzungsverhalten analysieren oder die Nutzenden beim Surfen über verschiedene Webangebote beobachten („Tracking“). Nicht jeder Webanbieter hat bei der Einbindung solcher Dienste das Datenschutzrecht im Blick.

Schon seit 2011 läuft der Rechtsstreit zu Facebook-Fanpages: Damals hatte das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) der Wirtschaftsakademie Schleswig-Holstein per Anordnung aufgegeben, ihre Facebook-Fanpage aufgrund datenschutzrechtlicher Verstöße zu deaktivieren. Mittlerweile haben sich das Verwaltungsgericht Schleswig, das Oberverwaltungsgericht Schleswig, das Bundesverwaltungsgericht in Leipzig, der Europäische Gerichtshof und wieder das Bundesverwaltungsgericht mit dem Fall beschäftigt.

Nachdem der Europäische Gerichtshof im Juni 2018 die gemeinsame Verantwortlichkeit von Facebook und Fanpage-Betreibern festgestellt hatte, entschied das Bundesverwaltungsgericht am 11.09.2019 nach der mündlichen Verhandlung, dass eine Datenschutzbehörde den Betrieb einer Facebook-Fanpage untersagen kann.

In Kurzform bedeutet das Urteil:

1. Das Bundesverwaltungsgericht bestätigt die Verantwortlichkeit der Betreiber von Facebook-Fanpages.
2. Das ULD durfte damals gegen Fanpage-Betreiber eine Anordnung erlassen, zumal ein Vorgehen gegen Facebook zuständigkeitshalber nicht geboten war.
3. Zur Herstellung datenschutzkonformer Zustände kann eine Anordnung zur Deaktivierung der Fanpage ein verhältnismäßiges Mittel sein.