Blog für IT- | Medien- | Datenschutz- und Arbeitsrecht
Blog für IT- | Medien- | Datenschutz- und Arbeitsrecht

Search Results

Teil 9 zur EU-DSGVO

Mitautor: Christian Frerix*

Die Meinungsfreiheit hat in Deutschland eine „schlechthin konstituierende Bedeutung für eine freiheitlich-demokratische Staatsordnung“ – so staatstragend formuliert es jedenfalls das Bundesverfassungsgericht (BVerfG, Urteil vom 15.1.1958 – „Lüth). Gemeint ist damit schlicht, dass der Meinungsfreiheit im (Rechts-)Leben ein sehr hoher Stellenwert beigemessen wird – was so verwunderlich nicht ist, handelt es sich doch um eines der Grundrechte. Und wenngleich die Meinung des Einzelnen im zweiten Jahrhundert vor Christus diesen Stellenwert wohl noch nicht hatte, so erkannte der römische Dichter Terenz  schon damals: „Wie viele Leute, so viele Meinungen“. Geändert hat sich daran an sich nichts. Nur ist es heute dank Mobiltelefon, PC, Facebook & Co. wesentlich einfacher, seine Meinung in der ganzen Welt – oder wenigstens in der eigenen Filterblase -zu verbreiten. Dass diese Möglichkeit die Welt nicht nur besser werden lässt, lässt sich unter nahezu jedem Facebook-Posting der Tagesschau oder von DER SPIEGEL beobachten.

Doch ob eine Meinung in Stein gemeißelt oder über Twitter kundgetan wird, spielt keine Rolle. Denn Artikel 5 Abs. 1 des Grundgesetzes (GG) gewährleistet jedem das Recht, eine Meinung zu haben und diese in Wort, Schrift und Bild auch frei zu äußern und zu verbreiten. Und dieses Recht steht jedem zu. Folglich gibt auch kein Arbeitnehmer das Recht auf Meinungsfreiheit an der Bürotür oder dem Werkstor ab. Die Meinungsfreiheit gilt auch in Arbeitsverhältnissen, gleich ob während oder außerhalb der Arbeitszeit. Es gilt also: Jede/r kann seine/ihre Meinung grundsätzlich immer und überall zum Besten geben.

Doch was tun, wenn Mitarbeiter sich auf eine Art und Weise äußern, die dem Unternehmen Schaden zufügt? Mit dieser Fragestellung beschäftigte ich mich bereits zusammen mit Andreas Schöning (Geschäftsführer der unter anderem auf HR-Kommunikation spezialisierten Agentur markenfrische) in der Session #hrgegenrechts auf dem diesjährigen HR BarCamp in Berlin. Intensiv diskutierten wir zusammen mit den Teilnehmern sowohl aus juristischer als auch (krisen-)kommunikativer Sicht, wie Unternehmen mit derartigen Fällen umgehen könnten.

Einen solchen Konjunktiv konnte sich das Arbeitsgericht Mannheim (Urteil vom 19.2.2016 – Az. 6 Ca 190/15) nicht leisten. Es hatte exakt über einen solchen Fall zu entscheiden. Und so nehmen wir hier dieses Urteil zum Anlass, um die Grenzen von Meinungsäußerungen im Arbeitsverhältnis und die Voraussetzungen einer Kündigung wegen unzulässiger Meinungsäußerung (im Social Web) dem Grunde nach aufzuzeigen. 

Den ganzen Artikel lesen.

Mitautor: Christian Frerix*

Die grundlegenden Voraussetzungen der Datenverarbeitung nach der DSGVO – Von Einwilligungen und Erlaubnistatbeständen

Mit großen Schritten stapft die DSGVO auf Europa zu. Seit Mai 2016 ist sie in Kraft. Ab Mai 2018 wird sie ihre Wirkung über den Kontinent entfalten. Ach? Das sagten wir schon mal? Stimmt. In Teil 1 und Teil 2 unserer kleinen Serie zur europäischen Datenschutzgrundverordnung (DSGVO).

Nachdem in Teil 1 der grundlegende Aufbau des neuen (unmittelbar wirkenden) Gesetzes erläutert wurde und wir uns in Teil 2 den wichtigsten Begriffen der DSGVO zugewendet hatten, stellen wir hier nun die Grundprinzipien vor, auf denen der Datenschutz in Europa künftig fußt.

Das heißt, wir gucken uns heute an, unter welchen Voraussetzungen eine Datenverarbeitung nach der DSGVO künftig möglich sein wird.

Voraussetzungen? Grundprinzipien? Datenschutz? Ja, ja, ich kann ihre Gedanken lesen. Heimlich drücken Sie gerade das Kotz-Emoj. (Erwischt! Ich weiß.) Auch wenn Ihnen per se Spannenderes einfällt, als den Ausführungen einer Anwältin zu den Voraussetzungen einer rechtmäßigen Datenverarbeitung nach der DSGVO zu lauschen/lesen, ist das dennoch sehr empfehlenswert. Schließlich sind Sie bzw. Ihr Unternehmen sowie alle Datenverarbeiter im europäischen Raum an diese Verordnung gebunden. Und wenn Sie sich nicht dran halten, dann erwarten Sie – je nach dem gegen welche Norm Sie verstoßen haben – Bußgelder in Höhe von bis zu 10 000 000 Euro bzw. bis zu 2 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres  gemäß Art. 83 Abs. 4 DSGVO oder in Höhe von bis zu 20 000 000 Euro bzw. bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres gemäß Art. 83 Abs. 5 DSGVO (siehe dazu bereits Teil 2).

Ja, das sind Summen, da bilden die meisten Unternehmen nicht „mal eben“ eine Rückstellung für. Also, vielleicht doch weiterlesen…

Den ganzen Artikel lesen.

Mitautor: Christian Frerix*

Die wichtig(st)en Begriffe der Datenschutzgrundverordnung kurz erklärt

Wie wir in der letzten Woche in Teil 1 dieser Serie erläuterten, ist die EU-Datenschutzgrundverordnung (DSGVO) am 25. Mai 2016 in Kraft getreten und wird ihre Wirkungen im Mai 2018 in aller Pracht entfalten.

Bis dahin sollten sich Unternehmen mit den damit für sie einhergehenden Änderungen tunlichst auseinandersetzen. Warum? Warum nicht wie bisher ignorieren? Nun, der alte Tiger Datenschutz hat – wie wir bislang nur zaghaft andeuteten – neue Zähne bekommen. Das bedeutet unter anderem, dass Verstöße gegen die Verordnung – je nach dem gegen welche Norm Sie verstoßen haben – mit Bußgeldern in Höhe von bis zu 10 000 000 Euro bzw. bis zu 2 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres  oder in Höhe von bis zu 20 000 000 Euro bzw. bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres mit Geldbußen  geahndet werden können (vgl. Art. 83 Abs. 4 u 5 DSGVO). Daneben sind nun auch klar Schadensersatzansprüche in der DSGVO verankert (vgl. Art. 82 DSGVO). Tja, bei diesen Beträgen fällt es schon schwer, eine „Rückstellung“ zu budgetieren geschweige denn tatsächlich einzukalkulieren. Dazu ein anderes Mal mehr; aber dies vielleicht als kleinen Anreiz, mit einem wachen Auge auf die anstehenden Änderungen zu schauen.

Den ganzen Artikel lesen.

Mitautor: Christian Frerix*

Der erste einordnende Überblick zur neuen EU-Datenschutzgrundverordnung

Im Dezember 2015 haben sich EU-Kommission, EU-Parlament und EU-Ministerrat nach vierjährigem Hin und Her auf eine Reform des Datenschutzrechts geeinigt. Das Ergebnis ist die unter dem leicht einprägsamen Namen erarbeitete „Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr“ (kurz: EU-Datenschutzgrundverordnung, noch kürzer: DSGVO). Nachdem jüngst auch das Europäische Parlament zugestimmt hat, ist die DSGVO am 04. Mai 2016 im EU-Amtsblatt veröffentlicht worden und damit 20 Tage später am 25. Mai 2016 in Kraft getreten.

Was?! In Kraft getreten?! Himmel! Schon? Und jetzt?! Und wieso wird erst heute darüber gebloggt!? Ganz ruhig. Alles ist gut. Und zwar einfach aus dem folgenden Grund: Die DSGVO ist zwar schon seit dem 25. Mai 2016 in Kraft, jedoch entfaltet sie gemäß Artikel 99 Absatz 2 DSGVO erst zwei Jahre nach dem Inkraftreten der Verordnung ihre Wirkung.

Folglich haben Unternehmen von nun an bis Mai 2018 zwei Jahre Zeit, ihre Datenverarbeitungsprozesse an die neuen gesetzlichen Rahmenbedingungen anzupassen. Sich angesichts dieser Übergangsfrist bis zum Februar 2018 mit geschlossenen Augen zurückzulehnen, könnte sich aber als äußerst unvorteilhaft erweisen. Denn aufgrund der vielen neuen Regelungen und Anforderungen sowie der stark erhöhten Bußgeldandrohungen sollten Unternehmen  besser jetzt beginnen, sich mit den kommenden Veränderungen im Umgang mit personenbezogenen Daten vertraut zu machen, um die Übergangszeit konstruktiv und ohne Hektik nutzen zu können.

Den ganzen Artikel lesen.

Vor gut sechs Wochen hatten die Aufsichtsbehörden von Berlin, Brandenburg, Hamburg, Hessen, Niedersachsen, NRW, Rheinland-Pfalz, Saarland, Sachsen, Schleswig-Holstein, Thüringen, Bayern und der Bundesbeauftragte für Datenschutz und Informationsfreiheit eine inhaltlich übereinstimmende Presseerklärung zum Einsatz von Tracking Tools, insbesondere zu Google Analytics herausgegeben (die einzelnen Pressemitteilungen finden Sie hinter den Links).

In den Presserklärungen, wie der Presserklärung aus Hamburg, heißt es sinngemäß

  • Google Analytics dürfe nicht mehr ohne Einwilligung verwendet werden
  • Google habe das Produkt derart weiterentwickelt, dass alte Hinweise wie „Hinweise des HmbBfDI zum Einsatz von Google Analytics“ inzwischen veraltet seien und sich darauf nicht mehr gestützt werden könne
  • Google habe sich einräumen lassen, die Daten auch zu eigenen Zwecken zu verwenden, d.h. Daten zum Surfverhalten würden auch an Dritte weitergegeben werden, die sei ohne Einwilligung unzulässig
  • in Folge der Übermittlung der Daten an Dritte zu eigenen Zwecken und damit außerhalb einer Auftragsverarbeitung, so das BayLDA, reiche auch die von Google angebotene IP-Maskierung nicht aus, um den Dienst rechtskonform zu betreiben.

An den Presserklärungen der vorgenannten Aufsichtsbehörden ist zweierlei bemerkenswert.

Zum einen scheint es so, dass sich unter den deutschen Aufsichtsbehörden offensichtlich kein Konsens zum Thema „Google Analytics nur mit Einwilligung“ finden ließ. Denn wäre dies der Fall gewesen, hätte es wohl eine gemeinsame Veröffentlichung zum Thema über die Datenschutzkonferenz gegeben.

Zum anderen negieren die mit den Presseerklärungen verbreiteten Auffassungen der Behörden, die Tatsachen, dass es unterschiedliche, datenschutzrelevante, Formen der Analyse und des Trackings gibt sowie dass insbesondere Google in seinem Produkt Universal Analytics (wie es seit knapp 2 Jahren eigentlich heißt) zahlreiche Einstellungsmöglichkeiten im Hinblick auf datenschutzrelevante Tracking- bzw. Analyseformen vorsieht. Ein Defizit, dass diese Presseerklärungen mit den bisherigen Positionsbestimmungen und sonstigen Papieren der Datenschutzkonferenz – leider – teilen (dazu so gleich noch mehr).

Diese mangelnde Differenzierung führt dazu, dass die mit dem Titel dieses Beitrags aufgeworfene Frage „Warnen die Aufsichtsbehörden zu Recht vor dem Einsatz von Google Analytics ohne Einwilligung?“ in aller Kürze nur mit der klassischen Juristenantwort: „Es kommt darauf an!“ beantwortet werden kann. Auch wenn diese Juristen-Antwort sehr verhasst ist, trifft sie im Hinblick auf die Frage, ob Google Analytics nur noch mit einer Einwilligung der Nutzer oder aber doch noch aufgrund von berechtigter Interessen im Sinne von Art. 6 I f) DSGVO verwendet werden kann, den Kern der Sache.

Um leichter verstehen zu können, warum die Antwort „Es kommt darauf an“ lautet und warum (fast) überall zu lesen ist, dass Google Analytics nur noch mit einer Einwilligung zu verwenden sei, begeben wir uns zunächst noch einmal in die jüngere Vergangenheit. Im Anschluss wenden wir uns dem aktuellen Diskussionsstand zu und lösen auf, worauf es denn nun bei der Implementierung von Google Analytics ankommt. Last but not least, sehen wir uns einmal die Entscheidung der belgischen Aufsichtsbehörde an, die ein Bußgeld in Höhe von 15.000 EUR wegen der Nutzung von Google Analytics verhängt hat.

Den ganzen Artikel lesen.

1 2 3 4 5 6

Diercks Digital Recht

 

Nina Diercks (M.Litt, University of Aberdeen) arbeitet seit 2010 als Rechtsanwältin. Sie führt die Anwaltskanzlei Diercks in Hamburg. Die Anwältin berät und vertritt Unternehmen bundesweit, ist jedoch ausschließlich im IT-| Medien-| Datenschutz und Arbeitsrecht tätig. Daneben steht die Nina Diercks gern und oft als Referentin auf der Bühne sowie als Interviewpartnerin und Gastautorin zur Verfügung. Dazu hat sie im Jahr 2010 diesen Blog (früher: Social Media Recht Blog) ins Leben gerufen. Mehr

Anmeldung zum Blog-Newsletter

Twitter

Wenn Sie ausschließlich an juristischen Informationen zum IT-| Medien-| Datenschutz-| und Arbeitsrecht interessiert sind, dann folgen Sie dem Kanzlei-Account @kanzleidiercks.

Sehr gerne können Sie auch meinem persönlichen Account unter @RAinDiercks folgen. Hier finden Sie neben dem Recht persönliche Meinung zu den Themen Politik, HR und Vereinbarkeit. Und dann oder wann den einen oder anderen Nonsense.

Social

Follow me on: