Mitautoren: Tobias Hinderks*, Nina Diercks**

Liebe Leserinnen und Leser,

willkommen zum zweiten Teil der Blogreihe rund um den transatlantischen Datenverkehr. Ziel dieser Blog-Reihe ist es, sich mit dem Themenkomplex der EuGH-Rechtsprechung C-311/18 (Schrems II) zu beschäftigen. Dabei wollen wir uns die Reaktionen der Aufsichtsbehörden ansehen, einen Blick auf die Sichtweise jenseits des Atlantiks werfen und einfach mal aufräumen bei den vielen unterschiedlichen Fragen, die durch den digitalen Raum geistern.Den ganzen Artikel lesen.

Mitautoren: Tobias Hinderks*, Nina Diercks*

2020/2021. Die ganze EU diskutierte, wie nach dem EuGH Urteil C-311/18 (Schrems II) noch legal personenbezogene Daten in die USA übermittelt werden können. Die ganze EU? Nein, eine (kleine) Staatskanzlei in Düsseldorf sieht in einer Übertragung überhaupt kein Problem.

Ok, ein wenig Kontext? Die Landesregierung NRW hat eine kleine Anfrage der Grünen-Fraktion im Landtag NRW beantwortet, die sich um den Einsatz eines von Amazon Web Services gehosteten Messengers für Schüler*innen dreht. Die Grünen hatten unter anderem gefragt, ob die Landesregierung bei der Umsetzung auch Subunternehmen in Betracht gezogen hat, die nicht dem US CLOUD Act unterliegen. Hierauf antwortete die Landesregierung:

„Darüber hinaus ist darauf hinzuweisen, dass der CLOUD Act nur dann einen Zugriff auf Daten zulässt, wenn eine rechtmäßige Verfügung einer amerikanischen Ermittlungsbehörde oder eines amerikanischen Gerichts vorausgegangen ist. Insofern unterscheidet sich die Rechtslage nicht von der Rechtslage in anderen Staaten, einschließlich Deutschlands.

[…]

Aber selbst bei einer theoretischen Herausgabe der Daten durch [Amazon Web Services] an amerikanische Ermittlungsbehörde wäre der übermittelte Datensatz aufgrund der durch den Dienstleister SVA eingerichteten Verschlüsselung nach sehr hohem Industriestandard von in der Cloud abgelegten Daten für amerikanische Behörden nicht verwertbar.“ (Drs. 17/11271, S. 3)

Das ist ein interessantes Statement der Regierung des bevölkerungsreichsten Bundeslandes. Inhaltlich dazu später. Für uns soll es zunächst der Aufhänger sein, uns mit der Zeit nach Schrems II zu befassen.

• Wo ist eigentlich das Problem mit der Datenübertragung in die USA?
• Was sagt denn die US-Regierung zum Urteil?
• Was haben die Aufsichtsbehörden zu Schrems II veröffentlicht?
• Wie könnten Lösungen aussehen? Gibt es überhaupt Lösungen?

Fragen über Fragen und die dringende Suche nach einer Antwort.

An dieser Stelle müssen wir kurz durchatmen. Denn auf uns kommt viel Arbeit zu. Die Übermittlung von Daten in die USA war bereits vor Schrems II sehr intensiv diskutiert worden. Und nach der tiefgreifenden Änderung durch Schrems II ist man sich eigentlich nur noch in einem sicher: Es ist kompliziert.

Um ein verständliches Bild zu schaffen und dieses facettenreiche Thema abzuhandeln, braucht es mehr als einen Blog-Artikel. Deshalb ist dieser Blog-Beitrag der Beginn einer kleineren Serie rund um das Thema: Reaktionen auf Schrems II – Rechtslage im transatlantischen Datenverkehr, bestehend aus vier Beiträgen.

Wir beginnen mit Teil 1: Was hat der EuGH entschieden und wie beurteilen die USA die Auswirkungen. In Teil 2 sehen wir uns an, wie Datentransfer auf Basis von geeigneter Garantien gelingen könnten. Dabei setzen wir uns mit dem Schutzniveau und den Ansichten der Aufsichtsbehörden auseinander. Teil 3 wird sich um den CLOUD Act drehen und in Teil 4 nutzen wir die gewonnen Erkenntnisse um uns ein eigenes Bild der Ausführungen des EuGH zu machen  (Spoiler: Man muss nicht in allem einer Meinung mit dem EuGH sein) und ziehen ein Fazit zum Thema Datenübermittlungen in die USA.

Den ganzen Artikel lesen.

Die Hamburger Datenschutzbehörde hat heute morgen mittels einer Pressemitteilung bekannt gegeben, dass gegenüber der Modekette H&M ein Bußgeldbescheid in Höhe von 35,3 Millionen erlassen wurde.

Ruuuummmsss!

Die Gesellschaft H&M Hennes & Mauritz Online Shop A.B. & Co. KG hat ihren Sitz in Hamburg, so dass der Hamburger Beauftragte für Datenschutz und Informationssicherheit (HmbBfDI) für Datenschutzverstöße dieses Unternehmens zuständig ist. Konkret ging es um ein Servicecenter des Unternehmens in Nürnberg. Dort fand eine „Mitarbeiterbetreuung“ statt, wie man sie bis dato wohl nur aus Schleckerfilialen kannte. Seit dem Jahr 2014 wurden von Beschäftigten in großem Umfang private Lebensumstände dokumentiert. Dies meint, dass nicht nur Urlaubs- oder Krankentage erfasst wurden (soweit normal wie zur Abrechnung notwendig), sondern freundliche „Welcome Back Talks“ geführt wurden. Dabei wurden dann sowohl Urlaubserlebnisse wie auch Krankheitssymptome und Diagnosen dokumentiert. Ebenso fanden sich Aufzeichnungen zum Privatleben der Mitarbeiter, die die Führungskräfte wohl dem Flurfunk entnahmen, wie religöse Bekenntnisse oder familiäre Probleme. Damit das ganze seine Ordnung hat, wurden diese Erkenntnisse digital gespeichert und waren einem Kreis von bis zu 50 Führungskräften zugänglich. Schließlich wurden diese Erkenntnisse auch zu Auswertungen von individuellen Arbeitsleistungen sowie zur Erstellung von Profilen der Beschäftigten genutzt, um daraus Maßnahmen und Entscheidungen das Arbeitsverhältnis betreffend zu ergreifen.

Den ganzen Artikel lesen.

Die eine oder andere LeserIn entsinnt sich oder war gar als TeilnehmerIn dabei: Am 18. Juni 2020 griffen wir (Dr. Patrick Zeising und ich) das Thema „Mobiles Arbeiten aus arbeits- und datenschutzrechtlicher Sicht“ in Form eines Webinars auf. Das hat nicht nur viel Spaß gemacht, sondern kam bei den TeilnehmerInnen auch außerordentlich gut an. Jedenfalls wenn man dem vielen netten Feedback, das wir hinterher erhielten, Glauben schenken darf. (Danke nochmal dafür!)

Die Themen Mitbestimmung und Betriebsvereinbarungen konnten wir im Rahmen dieses Webinars jedoch nur streifen. Was lag und liegt also näher, genau dazu ein eigenes Webinar aufzusetzen? Nichts. Und so haben wir uns zusammengesetzt und uns inhaltlich das Folgende überlegt:

Mobiles Arbeiten aus kollektiv- und datenschutzrechtlicher Sicht

Homeoffice | Betriebsverfassungsgesetz | DSGVO – Wie passt das zusammen?

Webinar am 20. Oktober 2020 –  9:00 Uhr bis circa 11:00 Uhr

Den ganzen Artikel lesen.

Es ist August 2020. Die Anwaltskanzlei Diercks ist mit allen Mitarbeitern gut in den neuen Räumen angekommen. Aber auch wenn die Arbeit von allen Seiten ruft- was an den leeren Seiten hier wohl zu erkennen ist -, ist es doch wirklich Zeit, sich endlich mal wieder dem Blog und vor allem der ins Leben gerufenen Reihe „Rechtsüberblick“ zu widmen. So viele sind es dieses Jahr zwar noch nicht gewesen, aber so lange ist kann es ja auch nocht nicht her sein. … Ouch! Doch! Der letzte Rechtsüberblick ist auf den 28. Februar datiert. Oh je! Also bat ich Tobias Hinderks doch einmal nach den Schönsten Perlen der letzten Monate zu tauchen. Et voilà! Hier ist er, der Rechtsüberblick, den wir maßgeblich der Recherche- und Schreibkunst von Tobias zu verdanken haben:

Liebe Leserinnen und Leser,

es gibt Momente, da wundert man sich, dass schon wieder ein Monat vergangen ist und  schon wieder ein Rechtsüberblick angefertigt werden will. Dann merkt man im August bestürzt, dass der letzte Rechtsüberblick auf den 28. Februar datiert ist… Und streicht das „monatlich“ reuend aus den Gedanken. Nichtsdestoweniger wollen wir nicht auf ihn verzichten und deshalb kann ich Sie heute einladen, einen Blick auf den Rechtsüberblick 02/20 zu werfen.

Heute beschäftigen wir uns mit diesen Themen:

1. BlnBfDI versus Microsoft: Dürfen Behörden Produktwarnungen aussprechen?
2. Präsident Trumps Executive Order nach Faktencheck auf Twitter
3. Österreichischer Verwaltungsgerichtshof begrenzt Zurechenbarkeit von Datenschutzverstößen
4. BMJV stellt Gesetzesvorhaben zu Unternehmenssanktionsrecht vor
5. BGH entscheidet in Sachen Planet 49

Ich wünsche Ihnen viel Freude beim Lesen!Den ganzen Artikel lesen.