Datenschutz/Legal

In der Rechtssache C‑311/18 betreffend ein Vorabentscheidungsersuchen nach Art. 267 AEUV, eingereicht vom High Court (Hoher Gerichtshof, Irland) mit Entscheidung vom 4. Mai 2018, beim Gerichtshof eingegangen am 9. Mai 2018, in dem Verfahren mit den Beteiligten: Data Protection Commissioner gegen Facebook Ireland Ltd, Maximillian Schrems.

DSGVO-Text - offizielle Übersetzung in Deutsch vom 27. April 2016 als PDF

Es geht damit um die Frage, in welche Rolle die beteiligten Unternehmen beim Social Media Targeting datenschutzrechtlich einzuordnen sind; konkret, ob es sich um Allein-Verantwortliche, gemeinsam Verantwortliche oder Auftragsverarbeiter handelt.

Der kürzlich aktualisierte «Leitfaden für die Datenübermittlung ins Ausland» des EBÖB soll die Prüfung der Zulässigkeit von Datenübermittlungen von personenbezogenen Daten ins Ausland erleichtern.

Nach knapp vierjährigem Gesetzgebungsprozess verabschiedete das Parlament im Herbst 2020 die Revision des Schweizer Datenschutzrechts. Dabei wurde das Schweizer Datenschutzrecht grundlegend überarbeitet und zu einem grossen Teil an die EU-Datenschutzgrundverordnung (DSGVO) angeglichen.

Auch für Schweizer Unternehmen hielt der EDÖB jüngst fest, dass der Einsatz von Mailchimp immer einer sorgfältigen Einzelfallprüfung bedarf. Der Fall zeigt exemplarisch, dass seit dem Schrems II Entscheid des EuGH Unternehmen hohe Sorgfaltspflichten einhalten müssen, wenn sie Softwaretools von US-Anbietern datenschutzkonform nutzen wollen.

In seinem Urteil entschied das Gericht, wie bereits zuvor das Bundesverwaltungsgericht, sodann, dass Anbieterinnen dieser OTT-Dienste nicht den ausgedehnten Überwachungspflichten für Fernmeldedienst-Anbieterinnen, sondern den weniger weitgehenden Überwachungspflichten für Anbieterinnen abgeleiteter Kommunikationsdienste (AAKD) unterstehen.

Wegen des Schrems II Urteils ist im Anwendungsbereich der EU-DSGVO umstritten, wie und gestützt auf welche Rechtsgrundlagen Personendaten weiterhin legal in Staaten ohne angemessenes Datenschutzniveau, insbesondere in die USA, übermittelt werden können.

Dieser Fall ruft gerade auch Schweizer Unternehmen in Erinnerung, dass sie einen EU-Vertreter benennen müssen, sobald sie ihr Angebot auf Verbraucher in der EU ausrichten. Andernfalls drohen hohe Bussgelder.

Ende 2020 veröffentlichte die Europäische Kommission ihren mit Spannung erwarteten Vorschlag zur Regulierung der digitalen Dienste. Dabei handelt es sich um den Vorschlag für das Gesetz über digitale Dienste.

Auch für Schweizer Unternehmen sind die Beschlüsse von Bedeutung, weil davon auszugehen ist, dass der EDÖB und künftig wohl auch der Bundesrat das Datenschutzniveau im UK ebenfalls (weiterhin) als angemessen ansieht. Für die grenzüberschreitende Übermittlung von Personendaten in das UK werden deshalb nach wie vor keine zusätzlichen Garantien implementiert werden müssen.

Mit diesem Vorschlag will sie auf Risiken reagieren, die bestimmte KI-Systeme in sich bergen. Die EU-Kommission verfolgt dabei einen Risk-Based-Approach, der auf eine vierstufige, riskoabhängige Einteilung von KI-Systemen setzt.

Unser zweiter SDV LawCast beschäftigt sich mit dem Thema "Transparenz und Informationspflichten" im neuen Datenschutzgesetz. Dabei geht es auch um die Benennung des Verantwortlichen und den daraus entstehenden Verpflichtungen.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Februar eine ausführliche Stellungnahme zur Totalrevision des Schweizer Datenschutzgesetzes (revDSG) veröffentlicht. Darin erläutert der EDÖB die wichtigsten Bestimmungen aus seiner Sicht und gibt Hinweise dafür, wie er seine Praxis in Zukunft ausgestalten wird.

Dank der Regelung im Brexit-Deal verändert sich während einer weiteren Übergangsfrist bis mindestens Ende April 2021 für Datentransfers zwischen der EU und dem UK grundsätzlich nichts, gilt das UK bis dahin datenschutzrechtlich weiterhin nicht als Drittstaat. Aus Schweizer Sicht ist ferner weiterhin von einer Angemessenheit des englischen Datenschutzniveaus auszugehen und die Rechtslage bleibt bis auf Weiteres ebenfalls unverändert. Zu beachten ist jedoch, dass die Pflicht zur Bestellung eines Vertreters im Vereinigten Königreich direkte Auswirkungen auf Schweizer Unternehmen haben kann.

Wegen des Schrems II Urteils ist im Anwendungsbereich der EU-DSGVO umstritten, welche Massnahmen ergriffen werden können / müssen, um Personendaten weiterhin legal in Staaten ohne angemessenes Datenschutzniveau, insbesondere in die USA, zu übermitteln. Die EU-Kommission hat jüngst einen Entwurf für revidierte Standardvertragsklauseln publiziert, die bei solchen Transfers als Garantie vereinbart werden können. Der EDSA und der EDPS haben sich nun in einer Joint Opinion zu diesem Entwurf geäussert.

Wie die Aufsichtsbehörden in der EU bereits klargestellt haben, können Unternehmen die revidierten SCC jedoch nicht einfach ohne nähere Prüfung ihrer Eignung einsetzen. Bevor die SCC vereinbart werden, muss eine sorgfältige Eignungsprüfung (Transfer Impact Assessment) stattfinden und diese dokumentiert werden.

Unser zweiter SDV LawCast beschäftigt sich mit dem Thema "Transparenz und Informationspflichten" im neuen Datenschutzgesetz. Dabei geht es auch um die Benennung des Verantwortlichen und den daraus entstehenden Verpflichtungen.

Das neue Datenschutzgesetz in der Schweiz. In dieser Episode machen wir gemeinsam eine Auslegeordnung zu den grossen Brocken, die wir uns in den nächsten Folgen dann noch genauer anschauen werden.

«Es gibt in der EU keine Oasen» - Interview mit Prof. Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit + Mailing, innovative Geschäftsmodelle und Call-Center

Nach dem Schrems II Urteil ist im Anwendungsbereich der DSGVO umstritten. Der Europäische Datenschutzausschuss (EDSA) hat dazu einen Entwurf einer Empfehlung veröffentlicht, während die EU-Kommission einen Entwurf für revidierte Standardvertragsklauseln publiziert.

Der Europäische Datenschutzausschuss (EDSA) hat im November nun definitive Leitlinien zum räumlichen Anwendungsbereich der DSGVO veröffentlicht. Darin wird der Standpunkt des EDSA ausführlich und anhand von Beispielen erläutert.

In den vergangenen Monaten gerieten mehrere Unternehmen 2020 wegen Verstössen gegen die EU-Datenschutz-Grundverordnung (DSGVO) im Zusammenhang mit E-Mail-Marketingaktivitäten in den Fokus der Datenschutzbehörden. Sie wurden mit zum Teil einschneidenden Bussen sanktioniert.

Mit ihrer Orientierungshilfe vom 13. März 2020 hat die deutsche Datenschutzkonferenz (DSK) aufgezeigt, welche Anforderungen an die Verfahren zum Versand und zur Entgegennahme von E-Mail-Nachrichten durch Verantwortliche, ihre Auftragsverarbeiter und öffentliche E-Mail-Diensteanbieter auf dem Transportweg zu erfüllen sind. Die darin ausgeführten Schutzmassnahmen dienen zur Einhaltung der Vorgaben der EU-Datenschutzgrundverordnung (DSGVO)

Die vorliegende Orientierungshilfe zeigt auf, welche Anforderungen an die Verfahren zum Versand und zur Entgegennahme von E-Mail-Nachrichten durch Verantwortliche, ihre Auftragsverarbeiter und öffentliche E-Mail-Diensteanbieter auf dem Transportweg zu erfüllen sind.

Die 48-seitigen EDSA-Leitlinien, inklusive Flowcharts und Beispielen beinhalten eine Veranschaulichung der Definition des Verantwortlichen, der gemeinsam Verantwortlichen, des Auftragverarbeiters, des Dritten bzw. Empfängers sowie Ausführungen zu den Beziehungen zwischen den Beteiligten. Durch die Leitlinien will der EDSA zur Auslegung der in der Praxis z.T. herausfordernden Abgrenzungsfragen beitragen.

Das Europäische Data Protection Board (EDPB) hat Guidelines herausgegeben, wie die Begrifflichkeiten, Rollen und Kriterien in der gemeinsamen Verantwortung des Datenschutzes für Verantwortlicher und Auftragsbearbeiter zu gestalten sind.

Die (deutsche) Datenschutzkonferenz (DSK), ein unabhängiger Zusammenschluss der Datenschutzbehörden des Bundes und der Länder, hat im November 2018 eine Orientierungshilfe zur Direktwerbung unter der Datenschutz-Grundverordnung (DSGVO) erlassen. Insbesondere die Frage, wann für die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung ein berechtigtes Interesse angerufen werden kann ist in der Praxis umstritten.

Die DSK hat aktualisierte Hinweise zum Einsatz von Google Analytics im nicht-öffentlichen Bereich veröffentlicht. Damit passt die DSK ihre Hinweise vor dem Hintergrund der EU-Datenschutzgrundverordnung (DSGVO) an die geltende Rechtslage an. Die Verwendung des Tools setze zwingend eine Einwilligung der Website-Nutzer voraus.

Beim E-Mail-Marketing ist, zumindest in der Schweiz,  nicht nur das Datenschutzgesetz, sondern auch das Gesetz gegen unlauteren Wettbewerb (UWG) zu beachten, namentlich Art. 3 Abs. 1 lit. o UWG. Ein Verstoss gegen das UWG kann zu strafrechtlichen Sanktionen führen. Hier ein Fall des Zürcher Obergerichts.

Gegenüber stellung in Tabellenform. Aufgrund der Vielzahl von Unterschieden im Aufbau und der Systematik sowie zur Erzielung einer grösstmöglichen Übersicht wurden die Vorschriften der DSGVO im Vergleich zum nDSG und DSG selektiv und in der Regel auszugsweise in die Tabelle aufgenommen.

Im Nachgang zum Schrems II Urteil des EuGH hat sich der Eidgenössische Datenschutzbeauftragte (EDÖB) zum Swiss-US Privacy Shield und zu Datentransfers in die USA geäussert. Mit der Stellungnahme und der Anpassung der Staatenliste stellt die Swiss-US Privacy Shield Zertifizierung in der Regel auch aus Schweizer Sicht keine ausreichende Garantie für Datentransfers in die USA mehr dar.

Mit dem Schrems II Urteil des Europäischen Gerichtshofs wurde der EU-US Privacy Shield kurzfristig aufgehoben. Laut Urteil soll der "Privacy Shield nicht über die Schutzmassnahmen zu dem von der EU-DSGVO geforderten gleichwertigen Schutzniveau verfügen. Was bedeutet das für Unternehmen?

Das revidierte Schweizer Datenschutzgesetz könnte mit einer kurzen oder gar ohne Übergangsfrist in Kraft treten. Im FAQ 1 werden häufige Fragen zur Revision behandelt. Weitergehende Themen Finden Sie im Dokument FAQ 2.

Das revidierte Schweizer Datenschutzgesetz könnte mit einer kurzen oder gar ohne Übergangsfrist in Kraft treten. Im FAQ 1 werden häufige Fragen zur Revision behandelt. Weitergehende Themen finden Sie im Dokument FAQ 2.

Die Revision des Schweizer Datenschutzrechts (DSG-Revision) bringt strengere Sanktionen, erweiterte Informationspflichten, die Pflicht zur Erstellung eines Bearbeitungsverzeichnisses sowie einen Ausbau der Rechte der betroffenen Personen.