Beispiele aus der anwaltlichen Praxis

Transkript

1 Die Nutzung von personenbezogenen Daten in Deutschland, der Schweiz und cross-border Beispiele aus der anwaltlichen Praxis Auftragsdatenverarbeitung zwischen Anbieter von IT- Lösungen und TK-Provider schweizerisches Portal im Internet diverse Datenschutzerklärungen für Online-Shops konzerninterne Übermittlung von Gesundheitsdaten in die USA Datenverarbeitung für Eventveranstalter Datenschutz bei Cloud-Computing-Projekt Beschwerden von Kunden beim Datenschutzbeauftragten 2 von 20 1

2 Agenda Martin Schirmbacher Lukas Bühlmann Kundendaten Erhebung, Verarbeitung, Nutzung Anmerkungen aus Schweizer Sicht Lukas Bühlmann Martin Schirmbacher Martin Fricker Erhebung, Bearbeiten und Verwendung von Personendaten am Beispiel des Dienstes Google Street View Ticken Schweizer Uhren anders? Anmerkungen aus deutscher Sicht Datenpannen als GAU in der Unternehmenskommunikation Do's und Dont's aus kommunikativer Sicht Diskussion und Erfahrungsaustausch 3 von 20 Kundendaten Erhebung, Verarbeitung, Nutzung 10. März 2010 Berlin Dr. Martin Schirmbacher Fachanwalt für IT-Recht twitter.com/mschirmbacher HÄRTING Rechtsanwälte Chausseestraße Berlin 2

3 Übersicht Grundzüge des deutschen Datenschutzrechts Personenbezug von Daten Erhebung und Datenverarbeitung gesetzliche Erlaubnis Einwilligung vs. Datenschutzerklärung Nutzung von Daten zur Kundenansprache Übermittlung von Daten über Ländergrenzen Auftragsdatenverarbeitung in der Schweiz Konzernverhältnis Daten von Schweizer Kunden 5 von 20 Grundzüge wesentliches Gesetz: BDSG daneben für Online-Bereich: TMG 4 Abs. 1 BDSG: Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. 6 von 20 3

4 Personenbezug von Daten 7 von 20 Personenbezug von Daten 3 Abs. 1 BDSG: Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Beispiele Namen, Adressen, Zahlungsdaten, Geburtsdatum, Gewicht, Fotos Kfz-Kennzeichen IP-Adressen 8 von 20 4

5 Gesetzliche Erlaubnis 28 BDSG: für eigene Geschäftszwecke 15 Abs. 1 TMG: für Nutzungsdaten aber 28 Abs. 1 S. 2 BDSG: Stets Zweckbindung, d.h. einmal erhobene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben worden sind. 9 von 20 Einwilligung vs. Datenschutzerklärung Pflicht zur Datenschutzerklärung ( 13 Abs. 1 TMG) Einwilligung erforderlich, wenn keine gesetzliche Erlaubnis vorliegt Einwilligung empfehlenswert, wenn Zweifel über gesetzliche Erlaubnis bestehen Beispiele Speicherung von Zusatzdaten Speicherung von IP-Adressen Nutzung von Daten zur Personalisierung von Werbung Zweckfremde Nutzung von Daten Übermittlung von Daten ins Ausland à Einwilligung und Datenschutzerklärung 10 von 20 5

6 Nutzung von Daten zur Kundenansprache Entscheidung für jedes einzelne erhobene Datum, ob Erlaubnis oder Einwilligung zur Kundenansprache vorliegt entscheidend ist der Zweck der Datenerhebung entsprechende Formulierungen in der Datenschutzerklärung und Einwilligungserklärung Problem: Transparenz! Tipp: Schon bei der Vertragsgestaltung auf Datenschutzaspekte achten: Wer sich verpflichtet, Daten in bestimmter Weise zu nutzen, bedarf keiner Einwilligung 11 von 20 Auftragsdatenverarbeitung in der Schweiz Berliner Internet-Dienstleister Rechenzentrumsvertrag + Datenverarbeitungsauftrag Schweizer Rechenzentrum 12 von 20 6

7 Auftragsdatenverarbeitung in der Schweiz Übermitteln = Bekanntgeben personenbezogener Daten an einen Dritten. Dritter = jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dritte sind nicht Stellen, die im Inland, in einem EU-Mitgliedstaat oder EWR-Staat personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen 13 von 20 Auftragsdatenverarbeitung in der Schweiz 4b BDSG: besondere Regeln für die Übermittlung ins Ausland Privilegierung für Übermittlung in EU-Ausland Übermittlung in andere Staaten nur, wenn keine Interessen entgegenstehenden angemessenes Datenschutzniveau Beschluss der EU-Kommission: Schweiz hat angemessenes Datenschutzniveau entgegenstehende Interessen dennoch denkbar Beispiel: Gesundheitsdaten 14 von 20 7

8 Auftragsdatenverarbeitung in der Schweiz Empfehlungen für das Verhältnis zum Dienstleister: schriftlicher Datenverarbeitungsauftrag Verpflichtung auf die Einhaltung der wesentlichen Pflichten des 11 Abs. 2 BDSG Empfehlungen für das Verhältnis zum Kunden: Ergänzung der Datenschutzerklärung um Übermittlung ins Ausland Erweiterung der Einwilligungserklärung bei besonderen Daten (z.b. Gesundheitsdaten) 15 von 20 Konzernverhältnis Deutsche Tochter mit.de-website Schweizer Holding Schweizer Tochter mit.ch-website 16 von 20 8

9 Konzernverhältnis BDSG kennt keine Privilegierung im Konzernverhältnis! Empfehlungen: à Klare Verantwortlichkeiten definieren Wer erhebt welche Daten? Kommunikation bei der Datenerhebung à Auftragsdatenverarbeitung vereinbaren à Einwilligungserklärungen anpassen à bei einheitlicher Datenbank kann es Sinn machen, eine verarbeitende Stelle zu definieren CH-D- Unternehmen 17 von 20 Daten von Kunden aus der Schweiz Kunden aus der Schweiz können sich vor deutschen Gerichten auf deutsches Recht berufen. Insofern gelten keine Besonderheiten. Für privatrechtliche Ansprüche wegen Persönlichkeitsrechtsverletzungen kann sich der Schweizer aber vor deutschen Gerichten auch auf Schweizer Recht berufen (Art. 40 Abs. 1 S. 2 EGBGB). 18 von 20 9

10 Langer Arm des Schweizer DSG Art. 139 III IPRG: Persönlichkeitsverletzungen durch Bearbeiten von und Beeinträchtigen des Rechts auf Auskunft über Personendaten Wahlrecht des Geschädigten, Recht: Aufenthaltsort Geschädigter (wenn Schädiger mit Eintritt Erfolg dort rechnen musste) Niederlassung / gewöhnlicher Aufenthalt Schädiger Erfolgsort (wenn Schädiger mit Eintritt Erfolg dort rechnen musste) Wahlrecht besteht trotz Rechtswahl in Vertrag! Klarer Regelungsbedarf im Vertrag zumindest für vertraglich begründete Ansprüche 19 von 20 Zuständigkeit Schweizer Gerichte D CH: Lugano Übereinkommen Sitz /Aufenthaltsort des Beklagten (Art. 2 Abs. 1 LugÜ) Erfüllungsort bei Ansprüchen aus Vertrag (Art. 5 Ziff. 1 LugÜ) Handlungs- & Erfolgsort sowie (neu) Ort an dem der Erfolg droht (Art. 5 Ziff. 3 LugÜ) Schweizer Zuständigkeit und damit CH oder Drittrecht ist bei Online-Sachverhalten sehr schnell gegeben! 20 von 20 10

11 Unterschiede im Schweizer Recht Keine Einwilligung für s Beschaffen von (Kunden)daten notwendig Rechtfertigende Einwilligung muss nicht schriftlich sein Ins Internet stellen von (Kunden)daten gilt als Übermittlung ins Ausland DSG schützt (Kunden)daten von natürlichen und juristischen Personen Anmeldepflicht von Datensammlungen besteht grundsätzlich bei regelmäßiger Bearbeitung besonders schützenswerter Daten oder Datenbekanntgabe an Dritte 21 von 20 Kundendaten Erhebung, Speicherung, Weitergabe 10. März 2010 Berlin Dr. Martin Schirmbacher Fachanwalt für IT-Recht twitter.com/mschirmbacher HÄRTING Rechtsanwälte Chausseestraße Berlin 11