DSGVO Datenschutz-Grundverordnung für BerufsfotografInnen. Mag Florian Pitner & DI Peter Havel

Transkript

1 DSGVO Datenschutz-Grundverordnung für BerufsfotografInnen Mag Florian Pitner & DI Peter Havel

2 Zitat: Datenschutz ist wichtig, aber man kann auch überziehen. Die Furcht vor dem Staat trägt teilweise paranoide Züge. Otto Schily (2015) 2

3 fpph GmbH (i.g.) Mag Florian Pitner RSV- Verbandsanwalt DI Peter Havel IT- und Datenschutzexperte fpph GmbH (i.g.) Florian Pitner Peter Havel Weihburggasse 18-20/ Wien office@fpph.at

4 4 Studiofotografen mit Mitarbeitern

5 Überblick Teil 1: Rechtsgrundlagen = Was ist ab relevant? Teil 2: Ausführung = Wie wird es umgesetzt? Teil 3: Praxis mit Fragen = Arbeitsblätter 5

6 Teil 1 Welche Daten unterliegen dem DSG nach dem ? personenbezogene Daten Ausnahme: Daten für persönliche und private Zwecke 6

7 Personenbezogene Daten Personenbezogene Daten sind Daten, die einer bestimmten natürlichen Person zugeordnet werden können: Name, Anschrift Telefonnummer, Religion Politische Einstellung Sexualität können alle auch auf Fotos abgebildet sein Exif- und Metadaten!! 7

8 Jede Verarbeitung von personenbezogenen Daten ist verboten!... außer es besteht eine Rechtsgrundlage (= Rechtfertigungsgrund) 8

9 Rechtmäßigkeit der Datenverarbeitung Wann darf ich Fotos nach dem aufnehmen? Einwilligung Vertragserfüllung berechtigtes bzw. überwiegendes Interesse oder gesetzliche Verpflichtung 9

10 Einwilligung Erfolgt idr in Form eines Model-Release Bisherige Release sind voraussichtlich zu wenig Eine wirksame Einwilligung erfordert nämlich eine Aufklärung Welche Verarbeitung Was geschieht weiter Lösch-, Widerruf- und sonstige Rechte Wurde das Model für die Aufnahmen bezahlt, dann besteht bereits die Rechtgrundlage der Vertragserfüllung 10

11 Vertragserfüllung Wenn zwischen Fotograf und Model bzw. abgebildeter Person ein Vertrag besteht, der von beiden Seiten erfüllt werden muss Das gilt für Fotomodels genauso wie für Porträt-, Pass- oder Bewerbungsfotos Die Informationspflichten bestehen trotzdem Zweck, Dauer und Umfang der Nutzung 11

12 Überwiegendes Interesse wie sieht es bei Dritten aus? Kein Vertrag und idr keine (ausreichende) Einwilligung Der Fotograf hat aber ein überwiegendes Interesse... genauso wie sein Auftraggeber oder Vertragspartner! Interessenabwägung zw. Datenschutz und anderen Rechten Vergleich dazu das Recht am eigenen Bild (gemäß 78 UrhG) 12

13 Mitarbeiter Hier kommen nicht nur datenschutzrechtliche, sondern auch arbeits- und sozialrechtliche Bestimmungen zur Anwendung! Bei Fotos von Mitarbeiter: berechtigtes Interesse oder Einwilligung WR aber jederzeit möglich 13

14 Fazit von Teil 1 Personenbezogene Daten sind Daten, die einer bestimmten natürlichen Person zugeordnet werden können Jede Verarbeitung von personenbezogenen Daten ist verboten... außer es besteht eine Rechtsgrundlage Einwilligung, Vertragserfüllung, berechtigtes Interesse, 14

15 Umsetzung Teil 2 Organisation von Betroffenenrechten Verarbeitungsverzeichnis Ausreichende Datensicherheit Datenschutzerklärung und Informationspflichten Verträge, Einwilligungen 15

16 Auskunftsbegehren vom , 0:22h von Sehr geehrte Damen und Herren, Wien, 26. Mai 2018 gemäß DSGVO fordere ich Sie auf, mir folgende Auskünfte zu erteilen: Über welche gespeicherten Daten zu meiner Person verfügen Sie und woher haben Sie diese Daten? An welche Empfänger oder sonstige Stellen werden diese Daten weitergegeben? Sollten Sie dieses Schreiben ignorieren, werde ich mich an den zuständigen Landesdatenschutzbeauftragten wenden. Außerdem behalte ich mir weitere rechtliche Schritte vor. 16 Ich setze Ihnen zur Erfüllung meiner Forderungen eine Frist bis zum 15. Juni 2018 Mit freundlichen Grüßen Dr. Mag. Maria C. Musterfrau

17 Beschwerde Informationspflicht und Auskunftsprozess Datenschutzerklärung Webseite Auskunftsbegehren Auskunftsbeantwortung Rechnungen & Logistik Personalverwaltung Datenschutzverfahren Bewerberkartei Bildverarbeitung 17

18 Organisation der Betroffenenrechte 18 Motive der Personen Ich darf es also tue ich es Phishing Rache Rechtsstreit Identifikation des Auskunftswerbers eine Kopie eines amtlichen Lichtbildausweises Betroffenenrechteorder Sammelordner für Auskunft, Antwort, Verträge, Erklärungen, Antwort binnen 1 Monat Immer schriftlich eventuell mit Einschränkungen Beschwerde bei der Datenschutzbehörde Falls keine Antwort rechtzeitig kommt Betroffenenrechteordner

19 Verantwortungsbereiche Bilddatenbank EDV-Dienstleister Fotoentwicklung Fotolabor Online- Service / Cloud / Shop Wer hat Zugang? Subauftragnehmer? EU oder US? 19

20 20 Verarbeitungsverzeichnis - Datenfluss Wer ist Verantwortlicher? Sie selbst als Fotograf / Fotografin Brauche ich einen Datenschutzbeauftragten? i.d. R. NEIN, aber es könnte z.b. einen Wettbewerbsvorteil darstellen. Wer ist Auftragsverarbeiter? Fotolabor, Bildagentur??, Datenhoster, Cloud, Steuerberater, Buchhalter,, EDV-Dienstleister, Ein Subauftragnehmer / Fotograf Wer ist Empfänger der Daten? Kunde Bildagentur??, Steuerberater, Finanzamt, Gerichte, Sozialversicherung WKO Allgemeines MUSTER fpph MUSTER für BerufsfotografInnen M.pdf

21 Personenbezogene Daten / Datenarten Privatkunde Brautpaar Namen, Mädchenname, adresse, Hochzeitstermin Bilder, Hochzeitsgäste, Geistlicher, Standesbeamter Kontaktperson Identitätsdaten Firma Funktion Modell Name, Adresse, Geburtsdatum, Bei minderjährigen Models die Einwilligung des gesetzlichen Vertreters Größe, Gewicht, Bilder 21

22 22 Verarbeitungen - eine Auswahl Betroffenenrechteordner Zusammenfassung aller Schriftstücke bzgl. Datenschutz Kundendatenbank Firmen, Ansprechpartner, Privatkunden, Agentur, Rechnung Lieferantendatei Fotolabor, Steuerberater, Bilddatenbank Auftrag, Bildnummer, Metadaten, Mitarbeiter / Personalordner Lohnzettel, Lebenslauf, Bild, Honorarnote, Adresse, , Bewerberordner Bewerbung, Korrespondenz, Lebenslauf, Externes Backup Datensicherung, Cloud,

23 Kundendatenbank (Firmenkunde) Verarbeitungszweck: Verarbeitung und Übermittlung von Daten im Rahmen einer Geschäftsbeziehung einschließlich Korrespondenz ( / Brief) Betroffene Personen Kundenansprechpartner (Name, Funktion, adresse, s,??, Vertretungsbefugnis und aus Gesprächen und Gehörtem!!! Geburtsdatum, Wohnort, Familienstand, Religionsbekenntnis, Urlaubsort, Urlaub wann, ) Sensible Daten (eigentlich nicht) Rechtsgrundlage / berechtigtes Interesse Datenlöschung (7 Jahre Finanzamt) Empfänger (Auftragsverarbeiter, Sublieferanten, Banken, Finanzamt, ) Datensicherheitsmaßnahme (mein User, Passwort) 23

24 Datensicherheit (ein Auszug) Pseudonymisierung Passwort Verschlüsselung Schlüssel Geschäftsräume Mitarbeiterschulung Scanner (biometrisches Passwort) Anonymisierung Barcode / Schlüsselcode Sicherung / Archivierung Datenvernichtung / Schredder Ablage versperrt 24

25 Analyse von Webauftritten von Fotografen Referenzen mit Namen Bewerberdaten für Content Manager ohne Datenschutzerklärung 50% fehlt Datenschutzerklärung Newsletter Registrierung ohne explizite Einwilligung Kontaktformular ohne SSL Sicherheit Shop von Firmenfeiern Geschützter Kundenbereich mit Passwort Verwendung von Facebook Social Plugins Facebook ausloggen 25

26 Newsletter Inhalte Der Empfänger muss nachweißbar seine Einwilligung zum Empfang gegeben haben Er muss sich jederzeit wieder abmelden können ECG-Liste von der RTR-GmbH Gewisse Informationspflichten sind einzuhalten Es besteht eine Impressumspflicht Nie die adressen in an: oder cc: Datenschutzerklärung auf eigener Webseite 26

27 Datenschutzerklärung Neben Impressumspflicht Datenschutzerklärung auf Hauptseite ist Pflicht Datenschutz ist wichtig gesetzliche Bestimmungen (DSGVO, TKG 2003) Kontaktformulare (Zweck der Verarbeitung) Datenspeicherung (Produkthaftung, gesetzliche Aufbewahrungspflicht) Newsletter Keine Weitergabe an Dritte Cookies Google Analytics Facebook Ihre Rechte (Auskunft, Beschwerde DSB, ) 27

28 Zusammenfassung Teil 2 Betroffenenrechte nie ignorieren Legen sie ein Verarbeitungsverzeichnis an Prüfen sie Ihren Umfang mit Daten / Ihre Datensicherheit Eine Webpage braucht eine Datenschutzerklärung Achten sie auf Informationspflichten bei Datenerhebung Adaptieren sie ihre Verträge, Einwilligungen 28

29 Teil 3 Praxis mit Fragen Jemand verlangt die Herausgabe von personenbezogene Daten darf ich Ihn ignorieren, weil seine Identität fraglich ist? Ist ein Löschansuchen rechtens ich habe ja das Urheberrecht? Mein ehemaliger Mitarbeiter möchte alle über Ihn gespeicherte Daten per Mail zugeschickt haben? Sind künstlerische Fotos von Modells von der DSGVO ausgenommen? Ich speichere meine Daten nicht verschlüsselt in meinem Backup ist dies ein Grund zur Sorge? Sind telefonische Auskünfte erlaubt? 29

30 Arbeitsblatt 1: Datenübermittlung an Auftraggeber Annahme: Sie fotografieren im Studio Anna Mustermann, bearbeiten die Fotos und stellen dann diese Fotos Frau Mustermann zur Verfügung. Wie gehen sie vor? 30

31 Arbeitsblatt 2: Auskunftsbegehren Ex-Mitarbeiter Annahme: Sie hatten eine Assistentin vor 3 Jahren und diese verlangt nun Auskunft per Mail von einer adresse, die ihnen nicht bekannt ist. Sehr geehrte Damen und Herren Ich Frau Sonja Musterfrau, war bei Ihnen, wie sie wissen, tätig. Ich möchte sämtliche Daten, lt. Datenschutzverordnung via Dropbox geschickt bekommen. Grüße Sonja Musterfrau, Wien Wie gehen sie vor? 31

32 Arbeitsblatt 3: Löschersuchen Annahme: Sie fotografieren eine Frau Musterfrau und die Bilder sind auf Ihrer Homepage und auch in ihrer Auslage und auch in Ihrem Folder. Sie haben eine Einwilligung aus dem Jahr 2017, dass sie die Daten zu Werbezwecke verwenden dürfen. Sie haben ja damals von mir Fotos gemacht, diese sind ja noch auf Ihrer Homepage und sonst auch noch wo. Lt. DSGVO verlange ich Auskunft, welche Daten über mich gespeichert sind, die Herausgabe der Daten und Bilder und die sofortige Löschung dieser. Wie gehen sie vor? 32

33 Arbeitsblatt 4: Löschen von Mitarbeiterfotos Annahme: Sie fotografieren ein Mitarbeiterfotos der Fa. Mustermann und jemand gibt deutlich zu erkennen, dass er nicht fotografiert werden will und verlangt alle Fotos unmittelbar zu löschen, wo er drauf sein könnte. Wie gehen sie vor? 33

34 fpph GmbH (i.g.) Mag Florian Pitner RSV- Verbandsanwalt DI Peter Havel IT- und Datenschutzexperte fpph GmbH (i.g.) Florian Pitner Peter Havel Weihburggasse 18-20/ Wien