Huch! Schon wieder März 2023. Das bedeutet aber auch, dass es nur noch knapp 6 Monate bis zum nächsten IT JuristInnen Tag am 15. September 2023 sind! Turnusgemäß  findet der von Marlene Schreiber und mir veranstaltete IT JuristInnen Tag in diesem Jahr wieder in der schönsten Stadt Deutschlands, also in Hamburg, statt. (Sorry Marlene. ;-)). Neben „Moin“ zum Gruße, Labskaus, Fischbrötchen und kreischenden Möwen wird damit der IT JuristInnen Tag fester Bestandteil der Hafenstadt.

Auch beim vierten IT JuristInnen Tag möchten wir im BarCamp-Format mit zahlreichen KollegInnen jedweden Geschlechts und an den Themen Digitalisierung & Recht interessierten Menschen zusammenkommen, um mit Ihnen gemeinsam IT- und datenschutzrechtliche Fragestellungen zu erörtern und fachlich zu diskutieren. Im Vordergrund steht zum einen das Ziel, den Wissenshorizont rund um die Themen Digitalisierung und Recht zu erweitern und zum anderen neben dem Wissensaustausch unkompliziert und über alle Senioritätslevel hinweg zu netzwerken.

Und traditionell haben wir auch dieses Jahr für unser BarCamp eine Keynote-Speakerin gewinnen können, die dann unsere Veranstaltung offiziell eröffnen wird: Frau Barbara Schmitz! Sie hat nicht nur über 20 Jahre Wissen auf dem Gebiet des Datenschutzes in verschiedenen Unternehmen gesammelt, sondern ist auch als Dozentin und Referentin auf unterschiedlichsten Veranstaltungen sehr gefragt und ebenso als Mitautorin bekannter Fachkommentare. Schließlich ist sie Mitglied des wissenschaftlichen Beirats für Datenschutz (ZD).

Sie sind am IT JuristInnen Tag interessiert? Sie möchten wissen, was genau ein „BarCamp“-Format ist? Oder direkt ein Ticket bestellen? Dann informieren Sie sich sehr gerne auf unserer Webseite zum IT JuristInnen Tag. Oder unter den Hashtags #ITJurT19, #ITJurT21 und #ITJurT22 auf Twitter. Wie auch immer.

Last but not least: Wir verlosen hiermit zwei Tickets für den IT JuristInnen Tag am 15. September in Hamburg! Einfach eine E-Mail mit dem Betreff „#ITJuristInnenTag2023“ bis zum 15. Mai 2023 an kontakt at anwaltskanzlei-diercks de schicken. Wir benachrichtigen die Gewinner*innen spätestens bis Ende Mai.

An dieser Stelle auch noch ein großer Dank an unsere Sponsoren:

Wir freuen uns in jedem Fall, Sie bei dem diesjährigen IT JuristInnen Tag Willkommen zu heißen!

In diesem Sinne,

Nina Diercks & Marlene Schreiber

Die Berliner Aufsichtsbehörde ist vom Landgericht Berlin für ihren Bußgeldbescheid gegen die Deutsche Wohnen SE deutlich abgewatscht worden und die inhaltlichen Fragen zur Datenverarbeitung der Deutsche Wohnen sind ungeklärt, der Bußgeldbescheid perdu. Was ist passiert?

Im November 2019 war die Aufregung groß, als die Berliner Beauftragte für Datenschutz und Informationsfreiheit mitteilte, ein Bußgeld über 14,5 Mio gegen die Deutsche Wohnen SE verhängt zu haben. Auch wir hier im Blog haben uns mit dem Thema auf Basis dessen befasst, was sich dieser Pressemitteilung entnehmen ließ. Dabei ging es um die Frage, ob die Behörde die Datenverarbeitung der Deutsche Wohnen SE zu recht beanstandet hat oder nicht. Da das Unternehmen Einspruch gegen den Bußgeldbescheid eingelegt hat, musste eine Strafkammer des LG Berlins entscheiden.

Mit Beschluss vom 18.02.2021 hat das Gericht das Verfahren nun einfach eingestellt, die behaupteten Rechtsverstöße gar nicht erst gesprüft und die juristische Welt nahm an, dass das Landgericht der Ansicht sei, ein Bußgeldbescheid wegen Verstößen gegen die DSGVO sei gegenüber einem Unternehmen so nicht möglich. Dann könnten Bußgeldbescheide nur gegen Organe der Unternehmen verhängt werden. (Aber halt, Bußgelder gegen Unternehmen sind trotzdem möglich, bitte nicht zu früh freuen).

Heute wurde – zunächst nur in kostenpflichtigen juristischen Datenbanken – der Beschluss des Landgerichts Berlin (Az. 526 OWi LG) 212 Js-OWi 1/20 (1/20))  nun veröffentlicht und brachte eine große Überraschung mit sich. Ja, das LG Berlin ist in der Tat der Auffassung, dass ein Bußgeldbescheid nicht gegen eine juristsche Person verhängt werden könne, aber das war nicht die Überraschung.

Überraschend war, dass das Landgericht ganz deutlich ausführte, dass der Bußgeldbescheid unter derart gravierenden Mängeln leidet, dass er nicht Grundlage eines Verfahrens sein kann. Das ist peinlich für die Behörde, die die – lange bekannte – Thematik von Bußgeldern gegenüber juristischen Personen offenbar übersehen hat und beleidigt mit einer Pressemitteilung reagiert hat. Ausführlich und schön hat sich der Kollege Stephan Hansen-Oest auf seiner Seite über die Berliner Aufsichtsbehörde und ihr Verhalten nach der Entscheidung geärgert.

Ob die datenschutzrechtlichen Vorwürfe gegen die Deutsche Wohnen, die wir seinerzeit besprochen haben, zutreffend waren, wird vielleicht nie geklärt werden. Allerdings hat die hierfür zuständige Staatsanwaltschaft Berlin gegen den Beschluss des LG Berlin sofortige Beschwerde eingelegt. Nun wird sich das Kammergericht Berlin zumindest mit der Frage befassen, ob eine juristische Person Betroffene in einem Bußgeldverfahren sein kann. In Österreich hat der Verwaltungsgerichtshof, vergleichbar mit dem deutschen Bundesverwaltungsgericht, im Sommer 2020 zu Voraussetzungen der Bußgeldverhängung gegen juristische Personen, insbesondere also Unternehmen, Stellung bezogen, was im Rechtsüberblick 02/20 hier besprochen wurde. Auch der österreichische Verwaltungsgerichtshoft war, wie das LG Berlin, der Ansicht, dass keine direkte Zurechnung von Verstößen gegen die DSGVO gegenüber einer juristischen Person möglich sei, sondern man andere Wege gehen müsse. Demgegenüber hat das LG Bonn im November 2020 bestätigt, dass gegen 1&1 ein Bußgeld direkt aus Art. 83 DSGVO verhängt werden durfte.

Bevor aber nun die Sektkorken knallen noch einmal der Hinweis: Doch, es ist durchaus möglich, ein Bußgeld gegen ein Unternehmen zu verhängen und ja, auch nach Ansicht des LG Berlin. Die Frage ist: wie.

Der juristische Streit geht darum, ob § 30 OWiG, das Bußgelder für Unternehmen nur unter engen Voraussetzungen vorsieht, anzuwenden ist oder ob aus Art. 83 DSGVO direkt unter Anwendung der supranationalen Kartellrechtsgrundsätze gegen Unternehmen Bußgelder verhängt werden können. Klingt kompliziert, ist es auch – aber auch unglaublich spannend. Vielleicht legt das Kammergericht Berlin die Frage dem EuGH zur Entscheidung vor und wir werden bald mehr wissen.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) hat heute eine Pressemitteilung zur datenschutzrechtlichen Bewertung von Office365 herausgegeben. Die DSK hatte einen „Arbeitskreis Verwaltung zur Auftragsverarbeitung bei Microsoft Office 365“ eingesetzt. Der Arbeitskreis hatte „die dem Einsatz des Produktes Microsoft Office 365 zu Grunde liegenden Online Service Terms (OST) sowie die Datenschutzbestimmungen für Microsoft-Onlinedienste (Data Processing Addendum / DPA) – jeweils Stand: Januar 2020“ geprüft. Dieser Arbeitskreis hat am 15. Juli 2020 eine Bewertung abgegeben. Diese Bewertung ergibt, „dass auf Basis der genannten Unterlagen kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist„.

Diese Bewertung wurde von der DSK „mehrheitlich zustimmend zur Kenntnis genommen„. Eine interessante Formulierung, die schon erahnen lässt, dass die Sach- und Rechtslage im Hinblick auf die Beurteilung wohl so eindeutig nicht ist.

Dennoch werden mit an Sicherheit grenzender Wahrscheinlichkeit in Kürze Headlines wie „Deutsche Datenschutzbehörden erklären Office365 für rechtswidrig“ durch die Lande ziehen. Damit werden zahlreiche Unternehmen, die Office365 im Einsatz haben, hochgradig verunsichert sein und sich fragen, ob ihnen nun bei jedwedem Einsatz ihrer Office365 Software ein Bußgeld der zuständigen Aufsichtsbehörde droht.

In Folge dessen werde ich diese Aussage der DSK hier nun einmal kurz einordnen:

Eine rechtshistorische Prüfung

Zunächst einmal ist festzuhalten, dass die geprüften Dokumente den „Stand Januar 2020“ aufweisen. Wer sich näher mit Microsoft Office365 Produkten in den letzten Jahren beschäftigt hat, der weiß, dass Microsoft seit Januar 2020 nicht nur Änderungen in den Verträgen, sondern vor allem auch umfängliche und erhebliche Änderungen in der Dokumentation vorgenommen hat. Das heißt, ob die OST und das DPA aus 2020 einen datenschutzgerechten Einsatz ermöglichen oder nicht, ist nur noch aus rechtshistorischer Sicht interessant.

Exkurs Dokumentation: Warum verweise ich hier auf die maßgeblichen Änderungen in der Dokumentation, wenn es doch um die OST und das DPA geht? Die Dokumentation der Software einschließlich der dort vorfindlichen Beschreibungen zu Funktionen wie Datenverarbeitungen der verschiedenen Applikationen ist durchaus wesentlich für die Bewertung der Verträge. Wie bei hochkomplexen Produkten üblich, sind die Verträge recht abstrakt gestaltet. In der Zusammenschau mit der jeweiligen Dokumentation können diese abstrakt gehaltenen vertraglichen Regelungen jedoch im Hinblick auf die jeweiligen Applikationen konkretisiert werden. Und während die Dokumentationen bis ins Jahr 2019 und in Teilen auch noch bis Anfang 2020 nahezu nichts sagend waren, lassen sich nun mehr tatsächlich detailliert sämtliche Funktionen und Datenverarbeitungen nachlesen. (Obacht! Nothings perfect. In Sachen Auffindbarkeit und damit Transparenz der Dokumentation kann MS immer noch hart nacharbeiten. Aber das scheint nach meinem Eindruck der letzten Monate auch stetig weiter der Fall zu sein.)

Es gibt kein Produkt „Office365“

Daneben ist es wirklich wichtig zu bemerken, dass es kein Produkt „Office365“ gibt, dass prüfbar wäre. Office365 ist ein Oberbegriff für eine ganze Produktgruppe. Und selbst dieser Oberbegriff ist inzwischen veraltet, weil es derzeit zwei Produktgruppen gibt, nämlich Office365 und Microsoft365. Innerhalb dieser beiden Produktgruppen gibt es zum einen zahlreiche Produkte bzw. Lizenzen – von Microsoft „Pläne“ genannt. (Business, E1, E3, E5 uvm.). Diese beiden Produktgruppen mit den jeweiligen Plänen gibt es dann noch branchenspezifisch angepasst. Für privat (Microsoft365 „zu Hause“), für Unternehmen, Behörden oder Bildungseinrichtungen. Und alle diese Pläne in den unterschiedlichen Produktgruppen werden in unterschiedlichen Grundkonfigurationen und mit unterschiedlichen Konfigurationsmöglichkeiten ausgeliefert.

Da lautet die Frage: Was ist denn hier überhaupt geprüft worden!? Ich weiß das bis heute nicht.

Nun kann man zu recht kritisieren, dass die unterschiedlichen Pläne und Produktgruppen auch im Hinblick auf den Datenschutz und die Datensicherheit (derzeit) mit unterschiedlich guten Grundkonfigurationen und Einstellungsmöglichkeiten ausgeliefert werden. Und ja, natürlich müssten alle Produkte schlicht schon in den Default-Einstellungen DSGVO-konform sein. Geschenkt.

Wenn die Behörden sich aber zu der Aussage hinreißen lassen, dass „kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist“, dann muss mindestens die Frage erlaubt sein, was genau denn da bitte geprüft wurde. Denn auch für die Prüfung „nur“ der Verträge und damit der datenschutzrechtlichen Seite des Ganzen, ist auch ein Blick auf die zu prüfende Software notwendig (oder ich hab meinen Job bisher nicht so richtig verstanden. Who knows.).

We only agree to disagree – Die Behörden sind sich eben nicht einig

Diese Bewertung wurde von der DSK „mehrheitlich zustimmend zur Kenntnis genommen„. Wie oben schon geschrieben steht, ist dies eine interessante Formulierung, die schon erahnen lässt, dass die Sach- und Rechtslage im Hinblick auf die Beurteilung wohl so eindeutig nicht ist.

Die Entscheidung der DSK erging äußert knapp. Nämlich 9:8. Das heißt, neun Aufsichtsbehörden stimmten der Wertung zu. Acht Aufsichtsbehörden konnten und wollten dieser Wertung nicht uneingeschränkt zustimmen.

Die Aufsichtsbehörden Baden-Württembergs, Bayerns, Hessens und des Saarlands stellten ausdrücklich klar, dass sie „die Bewertung des Arbeitskreises Verwaltung vom 15. Juli 2020 zwar als relevante Arbeitsgrundlage, aber noch nicht als entscheidungsreif angesehen“ haben. Eben diese Behörden brachten heute auch eine eigene Pressemitteilung heraus, in der sie das Vorstehende noch einmal betonten. Sie kritsierten unter anderem, dass eben Microsoft die Vertragsbedingungen zwischenzeitlich bereits zwei Mal überarbeitet hat und dass bisher keine förmliche Anhörung Microsoft zu den Bewertungen des Arbeitskreises erfolgt ist.

Einig sind sich die Behörden augenscheinlich (nur) dahingehend, dass Microsoft seine Produkte noch nicht zur Perfektion gebracht hat. (Okay, okay, das war nur spitz ausgedrückt.)

Und nun? – Eine weitere Arbeitsgruppe nimmt die Arbeit auf

Was sicher im Rahmen der Aufregung untergehen oder jedenfalls nicht hinreichend Beachtung finden wird, ist das die DSK einstimmig dafür votiert hat, einen neue Arbeitsgruppe unter der Führung der Aufsichtsbehörden Brandenburgs und Bayerns einzusetzen, die zeitnah mit Microft Gespräche aufnehmen soll.

Fazit

Auf Basis veralteter Vertragsdokumente und eines unklaren Prüfungsfokus ist der Arbeitskreis der DSK zu der Wertung gelangt, dass kein datenschutzgerechter Einsatz von Microsoft Office 365 möglich ist. Dass einer solchen auf dieser Basis vorgenommenen Wertung gerade einmal neun von 17 Aufsichtsbehörden zugestimmt haben, finde ich jetzt nicht erstaunlich. Mich erstaunt viel eher, dass einer solchen pauschalen Wertung auf dieser Basis überhaupt eine Aufsichtsbehörde zugestimmt hat. (Zur Frage, ob Behörden „Produktwarnungen“ aussprechen dürfen und wenn ja, in welchen Umfang, haben wir uns schon hier auseinandergesetzt.)

Und nach all dem ist nun hoffentlich klar, dass der Einsatz von Office365 oder Microsoft365 eben nicht seit heute klar datenschutzwidrig ist.

Ebenso klar dürfte aber hoffentlich auch sein, dass man sich als Unternehmen leider (noch?) nicht darauf verlassen kann, dass die Produkte und Pläne von 365 einfach ohne jedwede Konfiguration der Grundeinstellungen oder jedenfalls die Nachprüfung dieser Konfiguration datenschutzkonform genutzt werden kann. [Sidenote: Obwohl ich letztens bei der Prüfung eines Microsoft365 Plan beinahe Bauklötze gestaunt habe, was alles per Default aus ist. Ich vermutete fast, ich sei gar nicht in einem MS-Admin-Center. ;)] Vielmehr muss ich mir als Unternehmen genau überlegen, welche Produkte und Pläne in welcher Konfiguration einen datenschutzkonformen Einsatz ermöglichen (könnten).

In diesem Sinne,

Augen auf bei dem Einsatz Ihrer Office-Software – gleich von welchem Hersteller.

PS: Nein, leider werde ich immer noch nicht von Microsoft für Äußerungen dieser Art bezahlt. Damn!

Die Hamburger Datenschutzbehörde hat heute morgen mittels einer Pressemitteilung bekannt gegeben, dass gegenüber der Modekette H&M ein Bußgeldbescheid in Höhe von 35,3 Millionen erlassen wurde.

Ruuuummmsss!

Die Gesellschaft H&M Hennes & Mauritz Online Shop A.B. & Co. KG hat ihren Sitz in Hamburg, so dass der Hamburger Beauftragte für Datenschutz und Informationssicherheit (HmbBfDI) für Datenschutzverstöße dieses Unternehmens zuständig ist. Konkret ging es um ein Servicecenter des Unternehmens in Nürnberg. Dort fand eine „Mitarbeiterbetreuung“ statt, wie man sie bis dato wohl nur aus Schleckerfilialen kannte. Seit dem Jahr 2014 wurden von Beschäftigten in großem Umfang private Lebensumstände dokumentiert. Dies meint, dass nicht nur Urlaubs- oder Krankentage erfasst wurden (soweit normal wie zur Abrechnung notwendig), sondern freundliche „Welcome Back Talks“ geführt wurden. Dabei wurden dann sowohl Urlaubserlebnisse wie auch Krankheitssymptome und Diagnosen dokumentiert. Ebenso fanden sich Aufzeichnungen zum Privatleben der Mitarbeiter, die die Führungskräfte wohl dem Flurfunk entnahmen, wie religöse Bekenntnisse oder familiäre Probleme. Damit das ganze seine Ordnung hat, wurden diese Erkenntnisse digital gespeichert und waren einem Kreis von bis zu 50 Führungskräften zugänglich. Schließlich wurden diese Erkenntnisse auch zu Auswertungen von individuellen Arbeitsleistungen sowie zur Erstellung von Profilen der Beschäftigten genutzt, um daraus Maßnahmen und Entscheidungen das Arbeitsverhältnis betreffend zu ergreifen.

Den ganzen Artikel lesen.

Man könnte sagen, es kommt, wie es kommen musste, auch wenn wir bis zuletzt hofften, dass es anders kommen möge.

In einem Monat hätte der 2. IT JuristInnen Tag am 02. Oktober 2020 mit Armgard von Reden als Keynote-Speakerin stattfinden sollen. Wir, Marlene Schreiber, Partnerin bei Haerting Rechtsanwälte und ich, hatten uns als Organisatorinnen nach der Auftaktveranstaltung am 25. Oktober 2019, die mit hochverdichtetem Informationsaustausch während der Sessions, Networking zwischen diesen sowie zwei tollen Keynotes von Saskia Esken und Dr. Brigitte Zypries gefüllt war und – so munkelt man – mindestens einen Jobwechsel zur Folge hatte ;),  bereits ganz außerordentlich auf die zweite Auflage gefreut. Schließlich hatten wir bereits während und auch nach dem IT JuristInnen Tag unglaublich tolles Feedback von den TeilnehmerInnen erhalten (siehe zB auf Twitter unter #ITJurT19).

Doch trotz aller Hoffnung und langer Überlegung kommen wir zu keinem anderen Ergebnis:

Wir müssen dem IT JuristInnen Tag 2020 eine SARS-CoV2-bedingte Absage erteilen.

Es ist  es schon nicht möglich, eine Networking-Veranstaltung wie die unsrige mit den Auflagen, die nach der SARS-CoV2-EindämmungsVO verpflichtend sind, so durchzuführen, dass der Charakter erhalten bliebe. Schließlich wäre die Teilnehmerzahl inklusive aller Organisatoren und Mitarbeiter auf 100 begrenzt, all diese Personen müssten stets 1,5 Meter Abstand halten, pro Person müssten wir Platz in den Veranstaltungsräumen von 10 qm garantieren, ständig müsste gelüftet werden können, Buffets wären nicht erlaubt, d.h. es müsste mit Abstand am Platz gegessen werden und der Networking-Drink am Abend dürfte auf keinen Fall ein Wein oder Bier sein, da in diesem Fall nur maximal 50 Personen erlaubt wären. Zugegeben, die letzte Regelung ließe sich nur allzu leicht umsetzen. Alle anderen Regelungen sorgen aber jedoch eben dafür, dass der Networking-Charakter der Veranstaltung nicht mehr vorhanden wäre. Auch lässt sich aus unserer Sicht eine solche Veranstaltung, anders als klassische Konferenzen, nicht in die digitale Welt übertragen.

Das alles ist schon Grund genug für eine Absage.

Darüber hinaus finden wir es auch nicht richtig, mit dem Herbst vor der Tür, dem anerkannten Übertragungsweg durch Aerosole und den grundlegende Empfehlungen des RKI möglichst Veranstaltungen bzw. Menschenansammlungen zu vermeiden, selbst eine solche Veranstaltung durchzuführen und damit möglicherweise zur weiteren SARS-CoV2-Verbreitung sowie zu weiteren Ausbrüchen von COVID-19 beizutragen.

Better safe than sorry.

Mit den schlechten Nachrichten kommen aber auch zu gleich die guten:

Der zweite IT JuristInnnen Tag wird am 10. September 2021 stattfinden!

Die Tickets behalten bis dahin ihre Gültigkeit. Selbstverständlich können die Tickets auch storniert werden (eine Stornierung ist ausschließlich via Eventbrite möglich), wir würden uns aber natürlich freuen, wenn wir uns alle einfach im nächsten Jahr wieder sehen würden. Dann ganz bestimmt mit vorhanden Impfstoffen, ohne Masken, ohne zwei Armeslängen Abstand und mit gemeinsamen Lachen am Buffet!

In diesem Sinne,

wir freuen uns schon jetzt auf Euch!

Nina Diercks & Marlene Schreiber