Es ist August 2020. Die Anwaltskanzlei Diercks ist mit allen Mitarbeitern gut in den neuen Räumen angekommen. Aber auch wenn die Arbeit von allen Seiten ruft- was an den leeren Seiten hier wohl zu erkennen ist -, ist es doch wirklich Zeit, sich endlich mal wieder dem Blog und vor allem der ins Leben gerufenen Reihe „Rechtsüberblick“ zu widmen. So viele sind es dieses Jahr zwar noch nicht gewesen, aber so lange ist kann es ja auch nocht nicht her sein. … Ouch! Doch! Der letzte Rechtsüberblick ist auf den 28. Februar datiert. Oh je! Also bat ich Tobias Hinderks doch einmal nach den Schönsten Perlen der letzten Monate zu tauchen. Et voilà! Hier ist er, der Rechtsüberblick, den wir maßgeblich der Recherche- und Schreibkunst von Tobias zu verdanken haben:

Liebe Leserinnen und Leser,

es gibt Momente, da wundert man sich, dass schon wieder ein Monat vergangen ist und  schon wieder ein Rechtsüberblick angefertigt werden will. Dann merkt man im August bestürzt, dass der letzte Rechtsüberblick auf den 28. Februar datiert ist… Und streicht das „monatlich“ reuend aus den Gedanken. Nichtsdestoweniger wollen wir nicht auf ihn verzichten und deshalb kann ich Sie heute einladen, einen Blick auf den Rechtsüberblick 02/20 zu werfen.

Heute beschäftigen wir uns mit diesen Themen:

1. BlnBfDI versus Microsoft: Dürfen Behörden Produktwarnungen aussprechen?
2. Präsident Trumps Executive Order nach Faktencheck auf Twitter
3. Österreichischer Verwaltungsgerichtshof begrenzt Zurechenbarkeit von Datenschutzverstößen
4. BMJV stellt Gesetzesvorhaben zu Unternehmenssanktionsrecht vor
5. BGH entscheidet in Sachen Planet 49

Ich wünsche Ihnen viel Freude beim Lesen!Den ganzen Artikel lesen.

Vor gut sechs Wochen hatten die Aufsichtsbehörden von Berlin, Brandenburg, Hamburg, Hessen, Niedersachsen, NRW, Rheinland-Pfalz, Saarland, Sachsen, Schleswig-Holstein, Thüringen, Bayern und der Bundesbeauftragte für Datenschutz und Informationsfreiheit eine inhaltlich übereinstimmende Presseerklärung zum Einsatz von Tracking Tools, insbesondere zu Google Analytics herausgegeben (die einzelnen Pressemitteilungen finden Sie hinter den Links).

In den Presserklärungen, wie der Presserklärung aus Hamburg, heißt es sinngemäß

• Google Analytics dürfe nicht mehr ohne Einwilligung verwendet werden
• Google habe das Produkt derart weiterentwickelt, dass alte Hinweise wie „Hinweise des HmbBfDI zum Einsatz von Google Analytics“ inzwischen veraltet seien und sich darauf nicht mehr gestützt werden könne
• Google habe sich einräumen lassen, die Daten auch zu eigenen Zwecken zu verwenden, d.h. Daten zum Surfverhalten würden auch an Dritte weitergegeben werden, die sei ohne Einwilligung unzulässig
• in Folge der Übermittlung der Daten an Dritte zu eigenen Zwecken und damit außerhalb einer Auftragsverarbeitung, so das BayLDA, reiche auch die von Google angebotene IP-Maskierung nicht aus, um den Dienst rechtskonform zu betreiben.

An den Presserklärungen der vorgenannten Aufsichtsbehörden ist zweierlei bemerkenswert.

Zum einen scheint es so, dass sich unter den deutschen Aufsichtsbehörden offensichtlich kein Konsens zum Thema „Google Analytics nur mit Einwilligung“ finden ließ. Denn wäre dies der Fall gewesen, hätte es wohl eine gemeinsame Veröffentlichung zum Thema über die Datenschutzkonferenz gegeben.

Zum anderen negieren die mit den Presseerklärungen verbreiteten Auffassungen der Behörden, die Tatsachen, dass es unterschiedliche, datenschutzrelevante, Formen der Analyse und des Trackings gibt sowie dass insbesondere Google in seinem Produkt Universal Analytics (wie es seit knapp 2 Jahren eigentlich heißt) zahlreiche Einstellungsmöglichkeiten im Hinblick auf datenschutzrelevante Tracking- bzw. Analyseformen vorsieht. Ein Defizit, dass diese Presseerklärungen mit den bisherigen Positionsbestimmungen und sonstigen Papieren der Datenschutzkonferenz – leider – teilen (dazu so gleich noch mehr).

Diese mangelnde Differenzierung führt dazu, dass die mit dem Titel dieses Beitrags aufgeworfene Frage „Warnen die Aufsichtsbehörden zu Recht vor dem Einsatz von Google Analytics ohne Einwilligung?“ in aller Kürze nur mit der klassischen Juristenantwort: „Es kommt darauf an!“ beantwortet werden kann. Auch wenn diese Juristen-Antwort sehr verhasst ist, trifft sie im Hinblick auf die Frage, ob Google Analytics nur noch mit einer Einwilligung der Nutzer oder aber doch noch aufgrund von berechtigter Interessen im Sinne von Art. 6 I f) DSGVO verwendet werden kann, den Kern der Sache.

Um leichter verstehen zu können, warum die Antwort „Es kommt darauf an“ lautet und warum (fast) überall zu lesen ist, dass Google Analytics nur noch mit einer Einwilligung zu verwenden sei, begeben wir uns zunächst noch einmal in die jüngere Vergangenheit. Im Anschluss wenden wir uns dem aktuellen Diskussionsstand zu und lösen auf, worauf es denn nun bei der Implementierung von Google Analytics ankommt. Last but not least, sehen wir uns einmal die Entscheidung der belgischen Aufsichtsbehörde an, die ein Bußgeld in Höhe von 15.000 EUR wegen der Nutzung von Google Analytics verhängt hat.

Den ganzen Artikel lesen.

Das mit Spannung erwartete Urteil des EuGH C-673/17 in Sachen Planet49 GmbH ./. Bundesverband der Verbraucherverbände um die (vermeintliche) Frage, ob Cookies einer Einwilligung bedürfen, ist endlich da. Und wie zu erwarten, tönte es schon mit der Pressemitteilung (fast) unisono aus allen Ecken „Cookies sind nur noch mit Einwilligung erlaubt!“ und „Das war es mit den Werbenetzwerken!“. Doch wie immer gilt zu hinterfragen: Ist das wirklich so?

Die tl,dr Version oder: Die Pressemitteilung

Um zu verstehen, warum die Headlines voll mit Aussagen á la „Cookies sind nur noch mit Einwilligungen erlaubt!“ sind, ist es hilfreich einen Blick in die Pressemittelung zu werfen. Dort heißt es:

„Mit seinem heutigen Urteil entscheidet der Gerichtshof, dass die für die Speicherung und den Abruf von Cookies auf dem Gerät des Besuchers einer Website erforderliche Einwilligung durch ein voreingestelltes Ankreuzkästchen, das der Nutzer zur Verweigerung seiner Einwilligung abwählen muss, nicht wirksam erteilt wird. [betrifft Frage 1. a) und c)]

Es macht insoweit keinen Unterschied, ob es sich bei den im Gerät des Nutzers gespeicherten oder abgerufenen Informationen um personenbezogene Daten handelt oder nicht. Das Unionsrecht soll den Nutzer nämlich vor jedem Eingriff in seine Privatsphäre schützen, insbesondere gegen die Gefahr, dass „Hidden Identifiers“ oder ähnliche Instrumente in sein Gerät eindringen. [betrifft Frage 1. b)]

Der Gerichtshof stellt klar, dass die Einwilligung für den konkreten Fall erteilt werden muss. Die Betätigung der Schaltfläche für die Teilnahme am Gewinnspiel stellt deshalb noch keine wirksame Einwilligung des Nutzers in die Speicherung von Cookies dar.

Der Gerichtshof stellt ferner klar, dass der Diensteanbieter gegenüber dem Nutzer hinsichtlich der Cookies u.a. Angaben zur Funktionsdauer und zur Zugriffsmöglichkeit Dritter machen muss. [betrifft Frage 2.]“

Für den unbefangenen Betrachter klingt es tatsächlich so, als sei eine Einwilligung stets von Nöten.

Die einschlägig bewanderte JurstIn denkt dazu hingegen: Ist dieses Ergebnis überraschend? Nein, nicht wirklich. Und: Bedeutet das jetzt, dass für jedes Cookie eine Einwilligung eingeholt werden muss? Nein, auch das nicht.

Und so ist es durchaus sinnvoll für die praktische Arbeit, sich das Urteil einmal näher anzusehen und die möglichen Konsequenzen zu diskutieren. Dies aber nicht, ohne vorher einen Blick in den Sachverhalt und auf die gesetzlichen Grundlagen, auf derer das Urteil basiert, zu werfen (das hilft schließlich gemeinhin bei der Rechtsfindung).

Den ganzen Artikel lesen.

Heute übernehme ich, Tobias Hinderks, den Rechtsüberblick. Denn das Datenschutzrecht und die IT-Welt ist bekannterweise voll von Themen und neuen Entwicklungen. Heute geht es um ein Urteil des EuGH, dass bei Google bestimmt mit großer Begeisterung aufgenommen wurde, einen Ausflug in den 27. Tätigkeitsbericht des Bundesdatenschutzbeauftragten und einen weiteren (lohnenswerten) Ausflug in das Thüringische Personalvertretungsgesetz (nein, der Autor hat nicht den Verstand verloren…). Danach wenden wir uns der technischen Welt und einem Sicherheitsproblem mit – man kann es erraten – dem beA zu, um mit einem Beschluss des Europäischen Datenschutzausschusses zur Datenverarbeitung im Vertragskontext zu enden.

Viel Spaß beim Lesen!

Den ganzen Artikel lesen.

Nach einer Meldung vom gestrigen Tage (09.02.) (u.a. bei Heise, GoogleWatchBlog, ZDNet) verlangt Google Play nun, dass in den Store eingestellte Apps eine Datenschutzerklärung enthalten – und droht mit dem Entfernen der Apps aus dem Store, wenn nicht bis zum 15. März (!) Datenschutzrichtlinien vorliegen. Mhm, dachte ich, okay, der 15.03., das ist mal ein knackiger Zeithorizont für die App-Betreiber und wird bei dem einen oder anderen für Schweiß auf der Stirn sorgen. Aber sonst? Eigentlich ist das alles doch nichts Neues?

Nun aber von vorne und der Reihe nach: Wie ist die Rechtslage, was will Google und was müssen Sie als App-Betreiber tun?

Den ganzen Artikel lesen.