Home

6. Tätigkeitsbericht - Bayerisches Landesamt für Datenschutzaufsicht

1. Ba Wohnungswirtschaft und Mieterdatenschutz ressen des Vermieters und der Adressaten von Mieterh hungsverlangen gerechtfertigt einer vorherigen Zustimmung der Mieter die als Vergleichsmieter benannt werden bedarf es dabei nicht 18 2 Verifizierung des Einkommens durch Zuleitung eines ausge f llten Mieterfragebogens an Arbeitgeber des Mieters Ein Vermieter darf Eigenangaben eines Mieters ber sein Einkommen ohne Ein willigung des Mieters nicht an dessen Arbeitgeber zum Zwecke der Verifizie rung bermitteln Ein Vermieter schickte den ausgef llten Mieter fragebogen worin ein Mieter vor Abschluss des Mietvertrags u a die H he seines Netto einkommens eingetragen hatte ohne Wissen des Mieters an dessen Arbeitgeber und bat ihn zu best tigen dass die Eigenangaben des Mie ters zutreffend sind Der Mietvertrag lief bereits seit mehreren Jahren der Mieter zahlte seinen Mietzins ordnungsgem hatte aber zuletzt wegen eines behaupteten Mangels die Miete gemindert Die bermittlung war unzul ssig Zwar darf der Vermieter die H he des Nettoeinkommens erfragen und jedenfalls sofern der Mietver tragsabschluss unmittelbar bevorsteht vom Mieter auch die Vorlage von Gehaltsnachwei sen verlangen Letzteres hatte der Vermieter allerdings seinerzeit vor Vertragsschluss nicht getan Dies berechtigt ihn nicht nach Ab schluss des Mietvertrags bei ordnungsgem em Zahlungsverhalten des Mieters die Eigen
2. WEG genommen werden m ssen Aber auch ohne eine solche ausdr ckliche Bestimmung kann im Falle erkennbar dienstlicher E Mail Adressen oder Telefonnummern nicht ohne weiteres davon ausgegangen werden dass der betroffene Eigent mer damit einver standen w re von den anderen Eigent mern unter einer solchen dienstlichen Adresse bzw Telefonnummer kontaktiert zu werden Solche Daten sollte der Verwalter daher zumindest nicht aktiv an andere Eigent mer bermitteln und zudem soweit nicht aus besonderen Gr nden im Einzelfall erforderlich auch kri tisch pr fen ob sie berhaupt zu den Unterla gen der WEG als solchen zu nehmen sind 18 4 Einsicht in Unterlagen der Hausverwaltung durch die Revisionsabteilung der Muttergesellschaft des Haus verwaltungsunternehmens Die Muttergesellschaft eines Hausverwal tungsunternehmens darf Verwaltungsun terlagen der Hausverwaltung grunds tz lich zu Revisionszwecken zur Kenntnis nehmen ohne dass datenschutzrechtliche Interessen der Eigent mer der verwalte ten WEG entgegenst nden Eine Wohnungseigent merin innerhalb einer Wohnungseigent mergemeinschaft beschwer te sich ber die Verwaltung der WEG Als Ver walterin fungierte eine GmbH die zu einem Konzern geh rte Gegenstand der Beschwerde war dass die Konzernrevisionsabteilung der Muttergesellschaft der Hausverwaltungs GmbH im Rahmen ihrer Revisionst tigkeit Ein sicht in die von der GmbH gef hrten Verwal tungsunterla
3. Angeregt durch diesen Bericht haben wir die Zul ssigkeit der Video berwachung in zahlrei chen Gesch ften innerhalb der M nchner Fu g ngerzone berpr ft Kontrolliert wurde da bei ob die Vorschriften zur Video berwachung von ffentlich zug nglichen R umen nach 8 6b BDSG eingehalten werden Nach dieser Be stimmung ist die Beobachtung ffentlich zu g nglicher R ume z B Ladenfl chen und Ver kaufsr ume mit optisch elektronischen Ein richtungen Video berwachung f r private Stellen nur zul ssig soweit sie zur Wahrneh mung des Hausrechts oder berechtigter Inte ressen f r konkret festgelegte Zwecke erfor derlich ist und keine Anhaltspunkte bestehen dass schutzw rdige Interessen der Betroffenen berwiegen Insgesamt wurde die Video berwachung in 27 Unternehmen anhand verschiedenster Kriterien wie z B Zweck der Video berwachung Spei cherdauer Zugriffsrechte L schungskonzept etc berpr ft Festgestellt haben wir dass es zwar einige Unzul nglichkeiten bei der Video berwachung gegeben hat gravierende Ver st e oder nachhaltiges Verweigern den An forderungen der Datenschutzaufsicht Rech nung zu tragen haben wir jedoch nicht festge stellt Die Pr fung hatte deshalb weder den Erlass von Anordnungen zur datenschutzkon formen Nutzung von Video berwachungsanla gen noch den Erlass von Bu geldbescheiden zur Folge Kontrollen und Pr fungen Bei der absoluten Anzahl der installierten
4. als Anfrage ber die Zul ssigkeit eines be stimmten Datenumgangs gemeint war Ebenso stellt sich in anderen F llen bei Beratungsan fragen heraus dass diese als konkrete Be schwerde gedacht waren Nicht immer klar ist auch bei Eing ngen von Polizeibeh rden die in den letzten Jahren deutlich zugenommen ha ben ob es sich dabei um neutrale Ereignismel dungen im Sinne der Anregung f r ein auf sichtliches T tigwerden oder um ein bereits eingeleitetes Ordnungswidrigkeitenverfahren handeln soll In der Praxis bereitet dies keine Probleme da im Laufe der Bearbeitung relativ schnell erkannt werden kann mit welcher Ziel richtung man sich an uns gewandt hat um dann das Verfahren in der richtigen Art und Weise weiter zu betreiben 2 1 1 Beschwerden Die Zahl der bei uns eingegangenen Be schwerden ist in den letzten beiden Jahren doch ein gro es St ck angestiegen aber nicht in dem au ergew hnlichen Umfang wie wir es nach den Ver ffentlichungen von Edward Snowden und den bekannt gewordenen zahl reichen Datenpannen in der ganzen Welt er wartet haben Wir f hren dieses Ansteigen einerseits auf eine etwas gesteigerte Sensibilit t der B rgerinnen und B rger zur ck und andererseits als Erfolg Beschwerden 1000 900 800 700 600 500 400 300 Anzahl der Beschwerden 200 100 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 T tigkeitsbericht 2013 14
5. f fentlich zug nglichen R umen nach 8 6b BDSG eingehalten werden Folgende Fragestellungen haben wir dabei besonders hervorgehoben e Findet tats chlich eine Video berwa chung statt wenn ja in welchen Berei chen e Nelchem Zweck dient die Video ber wachung e Wie werden bei der Video berwachung die Interessen der Betroffenen ber ck sichtigt e Weshalb sind keine anderen milderen Mittel zum Erreichen des Zwecks m g lich e Werden die Videoaufnahmen aufge zeichnet e Wer hat unter welchen Bedingungen Zugriff auf die Aufzeichnungen e Wann und wie erfolgt die L schung der Aufzeichnungen e Werden auch Tonaufzeichnungen die nach 201 Strafgesetzbuch strafbar w ren angefertigt e Wurde gem 6b Abs 2 BDSG auf die Video berwachung hingewiesen Insgesamt wurde dabei festgestellt dass es zwar einige Unzul nglichkeiten bei der Video berwachung gegeben hat gravierende Ver st e oder nachhaltiges Verweigern den An forderungen der Datenschutzaufsicht Rech nung zu tragen mussten jedoch nicht festge stellt werden In den Gesch ften wurden so wohl funktionslose Kameraattrappen Kunden z hler die keine personenbezogenen Daten i S d BDSG erfassen und optisch einer Video kamera hneln k nnen als auch Videokameras mit und ohne Aufzeichnung eingesetzt Die Anzahl der eingesetzten Video berwachungs kameras bewegt sich dabei zwischen vier bis 70 Videokameras je verantwortli
6. keit der bermittlung von Bewerberdaten an den Arbeitgeber ist ma geblich inwieweit die ser die Daten f r das weitere Procedere ben tigt Das Erheben Verarbeiten und Nutzen der Be werberdaten ist bei Beachtung der obigen Ausf hrungen insbesondere bei entsprechen der Information der Bewerber ber die Weiter gabe ihrer Daten deshalb m glich weil ein rechtsgesch fts hnliches Verh ltnis zwischen dem Bewerber und dem Personalberater bzw dem potentiellen Arbeitgeber mit dem Inhalt zustande kommt dass die Bewerberdaten je nach dem vom Arbeitgeber an den Personal berater oder umgekehrt weitergegeben wer den k nnen 1 14 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Gesundheit und Soziales Er 16 Gesundheit und Soziales T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 15 u Gesundheit und Soziales 16 Gesundheit und Soziales 16 1 Pr fungen von Arztpraxen Wie im letzten T tigkeitsbericht ange k ndigt haben wir unsere Pr fungen von Arztpraxen auch in den vergangenen beiden Jahren fortgesetzt Hierzu haben wir Arztpraxen an Hand eines Fragebo gens einer schriftlichen Pr fung unterzo gen und diese schriftliche Pr fung in ei nigen F llen durch eine Vor Ort Kontrolle erg nzt rzte sind im Hinblick auf die nach 203 StGB strafbewehrte Schweigepflicht in der Regel f r die Belange des Datenschutzes erheblich st r ker sensibilis
7. und im brigen gel scht werden m ssen Werbung und Adressenhandel Unter Erl uterung dieser Argumente haben wir dem Kandidaten unsere datenschutzrechtliche Bewertung verdeutlichen k nnen Er hat zuge sagt die Daten der Unterst tzer des B rgerbe gehrens f r keine weitere Wahl oder sonstige politische Werbung zu verwenden sondern umgehend zu l schen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 83 u Handel und Dienstleistung 13 Handel und Dienstleistung 84 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 13 Handel und Dienstleistung 13 1 Offener E Mail Verteiler Die Versendung einer E Mail mit einem f r jeden offen einsehbaren Verteiler stellt in der Regel eine unzul ssige bermittlung personenbezogener Daten dar Insbesondere seit Ver ffentlichung unserer Pressemitteilung vom 28 06 2013 ber eine von uns verh ngte Geldbu e wegen Verwendung eines offenen E Mail Verteilers erreichten uns immer wieder Beschwerden mit Hinweisen auf die Verwendung offener E Mail Verteiler durch Unternehmen und andere verantwortliche Stel len gt gt gt http www lda bayern de lda datenschutzaufsich Yp_archiv 2013 pm004 html Meist handelte es sich um Gruppen E Mails mit denen Unternehmen gleichgelagerte Kurz informationen an einen mehr oder minder gro en Kreis von Kunden versandten in einem Fall beispielsweise eine Eingangsbest tigung in
8. Anspr che handelt kann die Datenschutzauf sichtsbeh rde Betroffene bei der Geltendma chung solcher Vorlage Herausgabeanspr che nicht unterst tzen 6 2 Anspruch auf w rtliche Wiedergabe Die auskunftspflichtige Stelle muss dem Betroffenen seine Daten grunds tzlich im Wortlaut Klartext nennen Eingabef hrer w nschten im Rahmen des da tenschutzrechtlichen Auskunftsanspruchs h u fig die Mitteilung interner Aufzeichnungen im Wortlaut Unstreitig ist dass der Betroffene Anspruch auf Nennung seiner bei der verant wortlichen Stelle gespeicherten personenbe zogenen Daten im Klartext somit letztlich im Wortlaut hat Die Nennung der blo en Da 44 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Rund um den datenschutzrechtlichen Auskunftsanspruch tenkategorien gen gt nicht denn das Aus kunftsrecht nach 8 34 BDSG soll den Betroffe nen in die Lage versetzen einen berblick ber die bei der verantwortlichen Stelle zu seiner Person gespeicherten Informationen zu erhal ten und ggf etwaige nderungs Sperrungs oder L schverlangen nach 35 BDSG geltend zu machen Dies ist nur m glich wenn dem Betroffenen die Daten im Klartext mitgeteilt werden z B die konkrete gespeicherte Tele fonnummer oder Adresse genannt wird anstel le der blo en Angabe Wir speichern Ihre Ad resse bzw Wir speichern Ihre Telefonnum mer Leider war in der Praxis imme
9. bis auf wenige durch die Euro p ische Kommission anerkannte Ausnahmef l le kein Datenschutzniveau das demjenigen der EU EWR Staaten vergleichbar w re F r die Betroffenen deren Daten an solche Auf tragsverarbeiter transferiert werden ist dies im Rahmen der datenschutzrechtlichen Auskunft daher transparent zu machen da es sich hier bei um einen Umstand handelt die f r die Beurteilung der Datenverarbeitung aus Sicht der Betroffenen potentiell von Interesse ist Aus diesem Grund muss im brigen die ver antwortliche Stelle den Betroffenen diesen 46 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Rund um den datenschutzrechtlichen Auskunftsanspruch Umstand auch bereits bei der Datenerhebung im Zuge der Information nach 4 Abs 3 Nr 3 BDSG mitteilen Im Rahmen unserer beraten den T tigkeit haben wir bei Unternehmen die sich Auftragsdatenverarbeitern in Drittstaaten bedienten festgestellt dass auch diese Infor mation etwa in Datenschutzerkl rungen auf Unternehmenswebsites nicht immer gegeben wird in solchen F llen haben wir f r entspre chende Nachbesserung gesorgt 6 5 Auskunftsanspruch ber Dienstleister als Empf nger von Daten Anlass zu einer weiteren Beschwerde gab die nicht vollst ndig erteilte Auskunft einer Versicherung gem 34 Abs 1 BDSG ber die Empf nger personenbe zogener Daten im Zusammenhang mit der Einstellung von Daten in eine Kfz Restw
10. dass mindes tens 70 bis 80 aller Hashwerte die aus E Mail Adressen bestehen von handels bli chen PCs ohne gr eren Aufwand zur ckge rechnet werden k nnen Bei Telefonnummern muss aufgrund des klei nen Nummernraumes sogar davon ausgegan gen werden dass weit ber 90 solcher Hash werte in sehr kurzer Zeit zur ckgerechnet wer den k nnen Facebook k nnte somit ohne wesentlichen Aufwand einen Hashwert bei der berwiegen den Zahl der F lle zur ckrechnen wodurch auch Nicht Facebook Nutzer betroffen sind Es bedarf somit einer Einwilligung der Personen deren Daten im Rahmen der Custom Audi ences an Facebook bermittelt werden Da diese im Allgemeinen nicht vorliegen d rfte ist von der Nutzung dieses Dienstes abzuraten Der Einsatz der Custom Audiences ohne Ein willigung der Nutzer stellt eine Ordnungswid rigkeit dar die entsprechend mit Bu geldern sanktioniert werden kann 22 14 Phishing und Malware Neue zielgerichtete Angriffe auf einzelne Nutzer erschweren die Erkennung von Datendiebstahl und Betrugsversuchen Im Rahmen von Datenschutzbeschwerden ha ben wir uns regelm ig mit den Themen Phishing und Schadsoftware besch ftigt Die aktuelle Feststellung von IT Sicherheitsunter nehmen dass eine Verschiebung von allge meinen Massen Phishing Attacken hin zu ziel gerichteten Betrugsversuchen einzelner Nutzer stattfindet sehen wir in unserer aufsichtlichen Praxis best tigt Diese sogenann
11. der BCR implementiert hat m ssen f r bermittlungen personenbezogener Daten an Konzerngesellschaften mit Sitz au erhalb des EWR dann nicht mehr z B sog EU Standardvertr ge abschlie en Daher f hren BCR dazu dass sich die in der EU ans ssigen Unternehmen eines Konzerns f r Transfers personenbezogener Daten an Konzernmitglie der in Drittstaaten den Abschluss einer u U ganz erheblichen Anzahl andernfalls erforder licher Einzel bermittlungsvertr ge etwa von EU Standardvertr gen sparen Dies erkl rt die massiv ansteigende Attraktivit t des Instruments BCR f r international t tige Kon zerne angesichts der sich stetig verst rkenden Globalisierung in der Wirtschaft Vor diesem Hintergrund ist es verst ndlich dass sich der Trend zu BCR im Berichtszeitraum sowohl f r Konzerne mit deutscher Konzern muttergesellschaft als auch f r andere interna tional t tige Konzerne deutlich verst rkt hat Auf der Informationswebsite der Europ ischen Kommission auf der die bislang abgeschlosse nen BCR Anerkennungsverfahren aufgef hrt sind finden sich dementsprechend mittlerweile die Namen von ber 60 Konzernen und Unter nehmensgruppen Diese Entwicklung stellt die Datenschutzbeh rden in den Mitgliedstaaten vor erhebliche Herausforderungen se http ec europa eu justice data protection documentj international transfers binding corporate rules ber_cooperation index_en htm Der Trend zu BCR hat demen
12. dig zun chst auszulegen was das Ziel der betreffenden Anzeige bzw Eingabe ist H u fig war bei verst ndiger W rdigung und Ausle gung letztlich erkennbar dass Ziel des Anzei geerstatters nicht eigentlich die Ahndung eines behaupteten Versto es war sondern es ihm vielmehr um die Beseitigung eines Zustan des ging bei dem er sich in seinen daten schutzrechtlichen Positionen verletzt sah In solchen F llen haben wir die Anzeige daher als Eingabe an die Datenschutzaufsichtsbeh r de interpretiert und sie als solche behandelt dies machten wir den Anzeigeerstattern in den entsprechenden F llen transparent Neben solchen F llen gab es auch Eingaben die auch nach verst ndiger W rdigung sowohl auf eine Ahndung als auch auf ein daten schutzaufsichtliches Einschreiten gerichtet wa ren solche Eingaben mussten wir dementspre chend sowohl im Rahmen unserer Zust ndig keit als Bu geldbeh rde als auch im Rahmen unserer Aufgaben als Datenschutzaufsichtsbe h rde behandeln Wie bereits in unserem T tigkeitsbericht 2011 2012 betont nehmen wir stets eine strikte verfahrens und aktenm ige Trennung zwischen datenschutzaufsichtlichem Verfahren und Bu geldverfahren vor da f r die beiden Verfahrensarten unterschiedliches Ver fahrensrecht gilt mit der Folge dass f r die Beh rde unterschiedliche Befugnisse und f r die Verfahrensbeteiligten unterschiedliche Rechte bestehen Von den 37 ergangenen Bu gel
13. f r die Einschaltung von Subunternehmern mit Sitz au erhalb der EU bzw des EWR sah der Vertrag u a den Abschluss eines sogenannten EU Standardvertrags vor Das Unternehmen begr ndete die Notwendigkeit ggf auch Sub unternehmer in die Wartung einzubeziehen insbesondere damit dass in den medizinischen Ger ten h ufig Technologie anderer Unter T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 17 Rz Gesundheit und Soziales nehmen zum Einsatz komme in einem solchen Fall verf gten oftmals nur diese anderen Un ternehmen ber das technische Spezialwissen um eine Wartung durchf hren zu k nnen Vor diesem Hintergrund fragten Krankenh user bei uns nach ob gegen die Unterzeichnung des vorgelegten Vertrags datenschutzrechtliche Bedenken best nden und ob bzw unter wel chen Voraussetzungen auch Subunternehmer mit Sitz au erhalb der EU bzw des EWR im Rahmen der Fernwartung eingeschaltet werden d rften Werden Unternehmen im Rahmen einer Fern wartung nach 8 11 Abs 5 BDSG t tig sind sie grunds tzlich nicht als Dritte im Sinn des 8 3 Abs 8 Satz 2 BDSG anzusehen dies hat zur Folge dass Daten die sie erhalten nicht bermittelt werden und demnach hierf r keine gesonderte Rechtsgrundlage erforder lich ist Abweichend hiervon sind beauftragte Unternehmen angesichts der Regelung in 8 3 Abs 8 Satz 3 BDSG jedoch dann als Dritte anzusehen wenn sie ihren Sitz au erhalb der EU
14. ffent lichkeit sichtbar gemacht z B in einem sozia len Netzwerk Facebook im dort ffentlich zug nglichen Bereich eingestellt wird Grund s tzlich muss in solchen F llen deshalb eine Einwilligung der abgebildeten Person zur Ver ffentlichung des Fotos eingeholt werden Soweit es sich bei der abgebildeten Person um eine minderj hrige Person handelt kann diese bei vorhandener Einsichtsf higkeit eine Einwil ligung selbst erteilen ansonsten m ssen die gesetzlichen Vertreter einwilligen Die Ein sichtsf higkeit einer Person ist dann zu beja hen wenn die abgebildete Person einsch tzen kann was eine Ver ffentlichung im Internet bedeutet wer dieses Foto zur Kenntnis neh men kann und welche Folgen aus der Ver f fentlichung entstehen k nnen Regelm ig wird vom Vorliegen der Einsichtsf higkeit zwi schen 13 und 16 Jahren ausgegangen wobei aber stets auf den konkreten Einzelfall abzu stellen ist Da die abgebildete Person im kon kreten Fall erst neun Jahre alt gewesen ist war eine Einsichtsf higkeit der Person noch nicht gegeben so dass es der Einwilligung der ge setzlichen Vertreter bedurfte Muss die gesetzliche Vertretung des Kindes einwilligen sind dies grunds tzlich die Eltern vgl 1626 BGB Soweit diesen jedoch das Sorgerecht entzogen und ein Vormund bestellt wurde vertritt dieser gem 1793 BGB das M ndel und kann die Einwilligung zur Ver f fentlichung der Bilder erteilen Nachdem di
15. ffentli chen Sicherheit regeln Diese Vorschrift bietet aber ausdr cklich nur eine Rechtsgrundlage f r Beh rden und nicht f r Privatpersonen Das bedeutet jedoch nicht dass es Beh rden er laubt ist Fahndungsbilder in sozialen Netzwer ken zu ver ffentlichen Vielmehr hat der f r die bayerische Polizei zust ndige Bayerische Lan desbeauftragte f r den Datenschutz bereits seit l ngerem Handlungshinweise bereitge stellt die von der Rechtswidrigkeit der Nut zung von Facebook durch ffentliche Stellen ausgehen Liegen die Voraussetzungen f r eine ffentlichkeitsfahndung vor d rfen auch Straf verfolgungsbeh rden Abbildungen von Ver d chtigen oder T tern im Internet nur auf Sei T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 53 Rz Datenschutz im Internet ten von Anbietern ver ffentlichen die die Vor gaben des deutschen Datenschutzrechts be achten Bedenken hatten wir insbesondere aufgrund zahlreicher ungekl rter Rechtsfragen im Zu sammenhang mit der Datenverarbeitung durch Facebook und vor dem Hintergrund dass Ver ffentlichungen in sozialen Netzwerken h ufig eine Eigendynamik entwickeln die oftmals nicht mehr gesteuert werden kann Zudem hatte die Polizei unseres Erachtens in Bezug auf die Ver ffentlichung der Fotos alles getan um ihrer Rolle als Strafverfolgungsbeh rde gerecht zu werden Die Verlinkung auf der privaten Facebook Fanpage zu der Inter netver ffentlichung
16. geld gegen die Gesch ftsf hrung einer verantwortlichen Stelle verh ngt wird sollte sich herausstellen dass die notwendigen Organisationsma nah men zur IT Sicherheit grob fahrl ssig unter lassen wurden 22 4 Verschl sselung Der Schutz personenbezogener Daten durch kryptographische Verschl sse lungsverfahren ist heute wichtiger denn je und muss deshalb sorgf ltig umgesetzt werden Sp testens seit der Aussage von Edward Snowden dass Verschl sselung funktioniert sollte der Stellenwert geeigneter Verschl sse lungsverfahren zur Sicherung personenbezo gener Daten bewusst geworden sein Das BDSG sieht diesen Stellenwert explizit in der Anlage zu 9 BDSG wenn es um die Umset zung der Schutzma nahmen der Zuganggs Zugriffs und Weitergabekontrolle geht Insbe sondere bei diesen Kontrollen sind Verschl s selungsverfahren nach dem Stand der Technik einzusetzen Damit wird die Wertigkeit und Notwendigkeit kryptographischer Verfahren benannt die sowohl ausreichend kryptogra phisch sicher sind also unter praktischen Szenarien und in absehbarer Zeit nicht ge knackt werden k nnen als auch in der tat s chlichen Anwendung keine bekannten Schwachstellen besitzen mit der die Verschl s selung umgangen werden kann Ein in der aufsichtlichen Praxis h ufig vorkom mender Sachverhalt ist der Einsatz von Hash funktionen die f lschlicherweise als Verschl s selungsverfahren benannt und auch einges
17. hochspezialisierte Schulungen der Mitarbeiter sowie die Aufgaben und Verantwortungstei lung im IT Sicherheitsumfeld m ssen im Un ternehmen klar geregelt sein Eine ausreichen de Sicherheit der personenbezogenen Daten erreicht ein Unternehmen n mlich nur dann wenn die IT Sicherheit tats chlich zur Chefsa che wird und eine Organisation der IT Sicherheit vorhanden ist Dazu sollte einerseits eine IT Sicherheitsleitlinie entwickelt werden die ein klares Bekenntnis der Gesch ftsf hrung enth lt und die notwen digen Ressourcen und Kompetenzen eindeutig regelt Eine Umsetzung dieser Leitlinie in der Praxis findet sich wiederum in aktuell gehalte nen und f r die verantwortliche Stelle spezifi schen IT Sicherheitsrichtlinien wieder Durch den benannten IT Sicherheitsverantwortlichen wird dann der Sicherheitsprozess mit Leben gef llt u a eine Identifizierung kritischer Da ten und Anwendungen sowie eine Umsetzung von Schutzma nahmen Eine regelm ige berpr fung und Anpassung an sich ndernde Gef hrdungslagen stellt dann das eigene Si cherheitskonzept kritisch auf den Pr fstand Im Rahmen der aufsichtlichen Praxis pr fen wir deshalb neben den technischen Anforderun gen des 9 BDSG auch die organisatorischen Schutzma nahmen eines Unternehmens Wenn es zum Beispiel zu einer unrechtm igen bermittlung personenbezogener Daten an unbefugte Dritte gekommen ist kann es im Einzelfall dazu f hren dass ein Bu
18. llig ausge w hlten Android und iOS Apps bei einer vor gegebenen Benotungsskala von O bis 3 0 als schlechteste Wertung lediglich ein Durch schnittsergebnis von 0 98 erreicht werden konnte Im Gegensatz zum Vorjahr hatten wir dabei jedoch nicht nur bayerische sondern auch internationale Apps jeweils 30 gepr ft um auch die Umsetzung der Transparenzanforde rungen au erhalb Bayerns zu erfahren Aller dings r hrte das negative Ergebnis von 0 98 nicht allein von der Intransparenz der interna tionalen Apps her Zu unserem Erstaunen schnitten gerade die bayerischen iOS Apps mit der Durchschnittsnote 0 5 am schlechtesten ab Die internationalen iOS Apps konnten zumin dest einen Durchschnittswert von 1 2 erreichen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 5 1 Ra Datenschutz im Internet Ebenfalls die Note 1 2 konnten die bayerischen Android Apps erreichen w hrend die interna tionalen Android Apps mit der Note 1 1 be wertet wurden Noten bersicht getrennt nach Android iOS siehe Kapitel 3 4 6 Der Punktevergleich zwischen internationalen und bayerischen Apps ist der nachfolgenden Grafik zu entnehmen Punkteverteilung 14 m 0 Anzahl der Apps 0 0 schlecht T 2 gut 3 Erreichte Punkte E International E Bayern Im Anschluss an den Sweep wurden die bayerischen Apps wiederum im aufsichtlichen Verfahren nach deuts
19. mehrere Jahrzehnte lang sein An diesen Zeit spannen orientieren sich unsere Anforderun gen bei der Bewertung kryptographischer Ver fahren So sollte beim symmetrischen AES Verfahren eine Schl ssell nge von 256 Bit ge w hlt werden die nach heutigem Kenntnis T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 161 u Technischer Datenschutz und IT Sicherheit stand auch eine langg ltige Vertraulichkeit gew hrleistet auch nicht so bekannte Verfah ren wie beispielsweise Blowfish eignen sich bei entsprechend langer Schl ssell nge Bei Einsatz des asymmetrischen RSA Verfahrens ist bei personenbezogenen Daten mit normalem Schutzbedarf eine Schl ssell nge von 2048 Bit als Stand der Technik anzusehen bei erh h tem Schutzbedarf und langg ltiger Vertrau lichkeit w re eine Schl ssell nge bis zu 15360 Bit aus heutiger Sicht notwendig Die Proble matik liegt momentan aber darin dass derart lange Schl ssel in der Praxis nicht effizient einsetzbar sind In Anbetracht dieser momen tanen Einschr nkung sehen wir bei erh htem Schutzbedarf eine RSA Schl ssell nge von 4096 Bit als zul ssig aber auch zwingend not wendig an Durch Verfahren der sogenannten Elliptischen Kurven existiert neben dem RSA Verfahren eine weitere Algorithmenklasse zur asymmetri schen Verschl sselung die effizienter bere chenbar ist und heute schon ein h heres Si cherheitsniveau bei langg ltiger Vertraulichke
20. nen F r einen wirksamen Einsatz dieser Trans portverschl sselung m ssen die Webserver so konfiguriert sein dass die Verschl sselung nicht umgangen werden kann Das Protokoll SSL3 ist sp testens seit dem Poodle Angriff der Session Cookies mit verh ltnism igem Aufwand entwenden kann nicht mehr als si cher einzustufen Als Stand der Technik sollte deswegen das Protokoll TLS1 2 verwendet werden das von allen modernen Browsern und Betriebssystemen unterst tzt wird Ein besonderes Augenmerk ist auf die Proble matik zu richten dass verschl sselte Verbin dungen von einem Angreifer auf Vorrat ge speichert und ggf zu einem sp teren Zeitpunkt entschl sselt werden k nnten Dies w re zum Beispiel durch das Brechen eines in der HTTPS Verschl sselung verwendeten Algorithmus oder einfacher durch das Entwenden des pri vaten Langzeitschl ssels auf Seiten des Web Technischer Datenschutz und IT Sicherheit servers m glich Werden auf dem System da gegen nur Verschl sselungsalgorithmen mit Perfect Forward Secrecy unterst tzt so wird f r jede verschl sselte Verbindung ein neuer Ver schl sselungsschl ssel generiert der sich nicht vom geheimen Langzeitschl ssel des Webser vers ableitet Ein Angreifer der den privaten Schl ssel in Erfahrung bringt m glich zum Beispiel ber die Heartbleed L cke k nnte damit folglich auf Vorrat aufgezeichnete Ver bindungen nicht nachtr glich entschl sseln Selbst bei B
21. nicht durchgesetzt werden Denn der Aus kunftsanspruch gem 8 34 BDSG ggf in Ver bindung mit 8 12 Abs 7 TMG richtet sich nur auf die Nennung der personenbezogenen Da ten nicht jedoch auf die Vorlage der Unterla gen Dokumente Dateien bzw Datei Ausdrucke oder sonstiger Datentr ger in denen diese Daten enthalten sind Gem 8 34 Abs 1 BDSG kann ein Betroffener Auskunft verlangen ber 1 die zu seiner Person gespeicherten Daten auch soweit sie sich auf die Herkunft dieser Daten beziehen 2 Empf nger oder Kategorien von Emp f ngern an die Daten weitergegeben werden und 3 den Zweck der Speicherung Die Auskunft ist in aller Regel in Textform zu erteilen 8 34 Abs 6 BDSG Der datenschutz rechtliche Auskunftsanspruch ist somit nur auf die Nennung von Daten in der Regel in Textform gerichtet nicht hingegen auf Vorla ge oder Herausgabe von Unterlagen oder sonstiger Datentr ger Ein Anspruch auf Vorla ge oder Herausgabe von Datentr gern d h von Gegenst nden k nnte sich ggf nur je nach Fall aus zivilrechtlichen oder sonstigen Vorschriften au erhalb des Datenschutzrechts ergeben dies zu beurteilen liegt jedoch au er halb der Zust ndigkeit der Datenschutzauf sichtsbeh rde Die Durchsetzung solcher An spr che w re daher ggf unter Inanspruchnah me der Gerichte im einschl gigen z B zivil rechtlichen Rechtsweg zu versuchen Da es sich hierbei nicht um datenschutzrechtliche
22. nnte er seiner Aufgaben stellung in Bezug auf Personalakten und daten im Sinne des Schutzes der Besch ftigten nicht hinreichend nachkommen 4 5 Keine DSB Bestellpflicht bei normaler Video berwachung Tankstelle Auch bei Tankstellen ist ein Datenschutz beauftragter regelm ig erst dann zu bestellen wenn mehr als neun Personen st ndig mit der automatisierten Verarbei tung personenbezogener Daten besch f tigt sind nicht aber schon wenn eine normale Video berwachung installiert wird Verschiedentlich wurden wir von Tankstellen inhabern angefragt ob sie auch mit weniger als zehn besch ftigten Personen wegen der bei ihnen eingesetzten Videokameras von Geset zes wegen einen Datenschutzbeauftragten bestellen m ssen Wir sehen bei kleinen Tankstellen mit weniger als zehn besch ftigten Personen 8 4f Abs 1 BDSG allein wegen der dort blicherweise eingesetzten Video berwachung keine Pflicht zur Bestellung eines Datenschutzbeauftragten Wir gehen beim Einsatz einer Video berwa chung nicht generell von einer Vorabkontroll pflicht nach Ad Abs 5 und 6 BDSG aus F r eine Vorabkontrollpflicht wegen des Einsatzes von Videokameras m ssen aus unserer Sicht weitere Umst nde hinzukommen dass von 36 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht besonderen Risiken f r die Rechte und Freihei ten der Betroffenen im Sinne von Ad Abs 5 BDSG durch die Video berwachung gespro chen w
23. tzte Aufbewahrung der Karte kann wegen der nicht g nzlich aus zuschlie enden heimlichen Auslesbarkeit im Nahbereich wenige Zentimeter dann empfoh len werden wenn auch momentan theoretisch eingesch tzte Risiken garantiert ausgeschlos sen werden sollen Die Datenschutzaufsichtsbeh rden legten Wert darauf dass die Kunden von den Banken transparent ber die M glichkeiten und Risiken der NFC f higen Geldkarte entsprechend 8 6c BDSG informiert werden per Info Blatt im Internet etc und so der Betroffene bewusst entscheiden kann ob er berhaupt Geld auf l dt wann er die Karte mit sich tr gt usw Unter diesen Bedingungen gehen wir hier von ausrei chenden Datenschutz und Datensicherheits ma nahmen aus F r die Zukunft soll au erdem die Software so ver ndert werden dass der Kunde selbst die NFC Funktion aus bzw einschalten kann so dass dann auch ohne Metallh lle eine Ausles barkeit vom Kunden verhindert werden kann Zwischenzeitlich sind vermehrt auch Smart phones mit NFC Bezahltechnologie auf dem Markt Die dadurch entstehenden erg nzenden Sicherheitsrisiken insbesondere bei Aufnahme von weiteren Angeboten auf die Karten ggf sogar von Drittanbieter werden derzeit noch von den Datenschutzaufsichtsbeh rden unter sucht 10 3 Ausweiskopien f r Banken F r die Banken bestehen spezialgesetzli che Regelungen zur Anforderung und Aufbewahrung von Ausweiskopien In unserem T tigkeitsbericht 2
24. und die Chancen Risiken und rechtlichen Voraussetzungen f r die datenschutzgerechte Video berwachung zu veranschaulichen Die Datenschutzaufsichtsbeh rden haben an Hand von Beispielen f r ffentlich zug ngli chen R ume ffentliche Verkehrsfl chen Ver kaufsr ume Gastst tten etc f r Situationen im Besch ftigtenverh ltnis und zur Video ber wachung in nicht ffentlich zug nglichen R u men ihre datenschutzrechtlichen Anforderun gen dargestellt Allgemeine Ausf hrungen und ein Fragenkatalog der Verantwortlichen und Datenschutzbeauftragten als Checkliste dienen kann runden das Dokument ab Die Orientierungshilfe kann im Internet auf unserer Webseite abgerufen werden gt gt gt http www lda bayern de lda datenschutzaufsich U lda_daten Orientierungshilfe_Videoueberwachu ng_durch_nicht_oeffentliche_Stellen pdf 146 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Fahrzeugdaten BE ZU Fahrzeugdaten T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 147 F Fahrzeugdaten 20 Fahrzeugdaten 20 1 Verkehrsgerichtstag 2014 Ein Thema des Verkehrsgerichtstags vom Januar 2014 war Wem geh ren die Fahr zeugdaten Der Deutsche Verkehrsgerichtstag eine alle Themen des Stra enverkehrsrechts behan delnde j hrliche Expertenkonferenz hatte sich in der Tagung vom 29 bis 31 Januar 2014 wieder einmal in einem eigenen Arbeitskreis mit den Date
25. 1 OWiG bei der unternehmerischen T tigkeit zu einem Versto eines oder mehrerer Mitarbei ter gegen bu geldbewehrte datenschutzrecht liche Vorschriften gekommen war Ist ein derar tiger Mangel in der betrieblichen Organisation oder Aufsicht einer Person mit Leitungsverant wortung innerhalb des Unternehmens im Sin ne von Fahrl ssigkeit vorzuwerfen so kann nach den Vorschriften des Ordnungswidrigkei tenrechts eine Geldbu e gegen das Unterneh men selbst festgesetzt werden wovon wir in derartigen F llen h ufig Gebrauch machten Die den 37 verh ngten Geldbu en zugrunde liegenden Sachverhalte k nnen wie folgt skiz ziert werden e Nichtbeantwortung eines Auskunftser suchens der Aufsichtsbeh rde drei Bu geldbescheide e Unzul ssige bermittlung von Adress daten in einer gro en Zahl von F llen Bu geldverfahren Entsorgung von Patientendaten aus ei ner Arztpraxis im Hausm ll zwei Bu geldbescheide bermittlung von Gesundheitsdaten ei ner Kundin durch Mitarbeiterin einer sozialen Einrichtung zwecks Spenden Einwerbung Keine datenschutzrechtliche Aus kunftserteillung an Betroffenen zwei Bu geldbescheide Aussp hung des PCs eines Mitarbeiters durch Arbeitgeber mittels Spezialsoft ware Massen E Mail mit offenem Verteiler zwei Bu geldbescheide Kundendaten Bestelldaten in einem Webshop einsehbar Unzul ssiger Abruf von Kontobewe gungsdaten durch Bankmitarbeiter zu privaten Zwe
26. 1 GG be fugt ist seine Angelegenheiten durch interne Regelungen frei zu gestalten solange die ge troffenen Regelungen die Grundrechte der Betroffenen etwa das Recht auf informatio nelle Selbstbestimmung nicht willk rlich oder grob unangemessen begrenzen Trifft der Ver ein eine entsprechende ausdr ckliche Rege lung so w re die Bekanntgabe der Telefon nummer zur Durchf hrung des zwischen den Vereinsmitgliedern und dem Verein bestehen den mitgliedschaftlichen Verh ltnisses erfor derlich und somit grunds tzlich nach 28 Abs 1 Satz 1 Nr 1 BDSG gerechtfertigt auf die schwierige Abw gung zwischen dem Interes se des Mitglieds und dem Vereinsinteresse 8 28 Abs 1 Satz 1 Nr 2 BDSG k me es dann nicht mehr an T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 131 BEN Vereine und Verb nde 17 5 bermittlung der Kontakt daten von Vereinsmitgliedern an Dachverb nde F r die bermittlung personenbezogener Daten von Vereinsmitgliedern an Dach verb nde ist h ufig eine Einwilligung des Betroffenen erforderlich Ein Mitglied eines Sportvereins monierte dass sein Verein personenbezogene Daten der Ver einsmitglieder an Dachverb nde weitergebe ohne dass den Vereinsmitgliedern eindeutig bekannt sei welche Daten f r welche Zwecke bermittelt w rden Wir holten eine Stellungnahme des Vereins ein Dieser f gte seiner Stellungnahme auch Stel lungnahmen mehrerer Dachverb nd
27. 178 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Stichwortverzeichnis Adobe Analytics Ahnenforschung TZIDFAXIS eesssesseessseseesssesseenassnensantesnnenennss kennen Auftragsdatenverarbeitung o 25 28 39 40 grenz berschreitend Hosting sss sessssesssscessssssssssesssssssssseenunmnennnienmennenneneene HOUSING unseren eG Personalberater isss ReStWwWEn DOr E rniii a AUSK NFt uun nenne Bewertungsportal Bu geld Dienstleister ent Doppelbezug snseeenmnnssereonnennnnnssersennnmnnsestnnnnneet Mitgesellsch fter neeemmenmnserreenmmenseernnenneer Rechtsanwalt une eeeteneenn Ausk nftei sungen B Bank Eeee EAEAN 32 73 Besch ftigtendaten mnnenneennnnnseersennnnerenen 110 Fahrzeugdaten Dienstwagen ee 150 F hrerscheinkopie uunmmnemneenn 112 Mith ren von Telefongespr chen 112 Speicherdauer Fehlzeiten 110 Telefondaten snnensumensee 111 Betriebsrat 110 Bewegungsprofilbildung eeeeee 166 Bewertungsportal 47 54 Binding Corporate Rules BCR ueee 94 99 B rgerbegehren snseenmnnsnseeteennnenssereennnnnnsennnnnr 82 Bu geld 15 58 172 175 Dachverband uassassnsseneeeenneeneennennnennennnennennnnnee 132 DAS NE Aitete A nee Bu geld Stichwortverzeichnis BE Datenarchivierung esemnseeemmeeenmne 39 Datenschutzbeauftragter eeenee 3
28. 23 Bu geldbescheide 25 20 15 2006 2007 2008 2009 2010 2011 2012 2013 2014 u oO Konkrete Angaben ber die H he einzelner Bu gelder machen wir nicht ffentlich da sie zu Fehldeutungen f hren k nnten Bei der Festsetzung des Bu geldes flie en der Un rechtsgehalt und die wirtschaftlichen Verh lt nisse des Adressaten zusammen so dass glei che Bu geldsachverhalte mit deutlich unter schiedlichen Bu geldern belegt werden k n nen Zudem ist zu beachten F r vors tzlich Beratungen Unternehmen 2000 1800 1600 1400 1200 1000 800 Anzahl der Beratungen 600 400 200 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 15 pe Allgemeiner berblick ber die T tigkeit des BayLDA begangene Ordnungswidrigkeiten ist der er ffnete Bu geldrahmen doppelt so hoch wie f r lediglich fahrl ssige Verst e Geldbu en wurden sowohl gegen nat rliche Personen als auch bei Vorliegen der entspre chenden gesetzlichen Voraussetzungen ge gen Unternehmen als solche verh ngt Geld bu en gegen Unternehmen haben wir insbe sondere in einer Reihe von F llen verh ngt in denen festzustellen war dass es an hinreichen den organisatorischen oder sonstigen Vorkeh rungen der innerbetrieblichen Aufsicht im Un ternehmen fehlte und es als Fol
29. A A A A nn rn A A A rn A Ta Ad sagh g5z3F g Zasas gSa 333323 Um erkennen zu k nnen ob und in welchem Umfang unsere Homepage wahrgenommen wird erfassen wir ohne sonstige weitere Daten die blo e Zahl der Zugriffe und stellen fest dass sich diese zwar mit bestimmten Schwan kungen aber dennoch auf einem hohen Ni veau eingependelt hat 18 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Kontrollen und Pr fungen m Kontrollen und Pr fungen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 19 u Kontrollen und Pr fungen 3 Kontrollen und Pr fungen Nach 8 38 Abs 1 BDSG ist es Aufgabe der Da tenschutzbeh rde die Ausf hrung des Bun desdatenschutzgesetzes sowie anderer Vor schriften ber den Datenschutz zu kontrollie ren Eine derartige Kontrolle findet bei der Bearbeitung jeder plausiblen Beschwerde statt die im Einzelfall auch mit einer Ortseinsicht verbunden sein kann Daneben haben wir uns in den letzten Jahren zum Ziel gesetzt dass unter der Federf hrung aller Referate sog Gro pr fungen durchgef hrt werden um das Bewusstsein f r die Belange des Datenschutzes in m glichst viele Branchen und alle Teile Bay erns hineinzubringen Durch entsprechende Vorbereitungen ist es uns gelungen die Einleitung vieler Pr fungen weitestgehend automatisiert durchzuf hren In der Praxis zeigte sich dabei dass in einigen F llen aber trotzdem ein erheblicher
30. Angeboten fest Seit 2013 l dt das Global Privacy Network GPEN j hrlich weltweit Aufsichtsbeh rden dazu ein sich am International Sweep Day zu beteiligen Hierbei sollen Online Angebote im Rahmen einer koordinierten Pr fung hinsicht lich vorab konkret festgelegter internationaler Pr fkriterien berpr ft werden Ziel ist es zu n chst einen berblick ber die jeweiligen Angebote zu erhalten eine Vergleichbarkeit herzustellen und insbesondere datenschutz Datenschutz im Internet rechtliche M ngel festzustellen Nach Durch f hrung des Sweeps ist es den Aufsichtsbe h rden freigestellt weitergehende Pr fungen auf Basis des jeweils nationalen Rechts durch zuf hren In beiden Pr faktionen des Berichtszeitraumes haben wir uns mobile Applikationen angese hen und diese hinsichtlich der Transparenz berpr ft Hierzu wurden die Apps im App Store aufgerufen installiert und gestartet In jedem dieser Schritte wurde die Transparenz der Datenumg nge berpr ft Pr fung durch Sichtung 2013 nahmen wir uns die Pr fung von 30 zuf l lig ausgew hlten bayerischen Android und iOS Apps vor und mussten feststellen dass lediglich ca 25 der gepr ften Apps ber eine App spezifische Datenschutzerkl rung verf gten m App spezifische Datenschutzhinweise vorhanden m Keine App spezifischen Datenschutzhinweise vorhanden Aber auch im Jahr 2014 fanden wir heraus dass bei der Pr fung von 60 zuf
31. B rzte vergleichbar sei Denn die Tat sache dass der Staat im Prozess h ufig als Gegner auftrete z B im Verwaltungs oder Steuerrecht mache es erforderlich die Rechts anw lte der staatlichen Kontrolle zu entziehen und sie der Aufsicht durch die Rechtsanwalts kammern zu unterstellen Diesem Umstand werde beispielsweise durch die gesondert ein gerichtete Anwaltsgerichtsbarkeit Rechnung getragen Eine Zust ndigkeit der Datenschutz aufsichtsbeh rden bestehe daher lediglich dann wenn Rechtsanw lte unternehmerisch t tig w rden oder es um den Besch ftigtenda tenschutz von Mitarbeitern gehe Im brigen st nden den Datenschutzaufsichtsbeh rden keine Befugnisse gegen ber Rechtsanw lten zu Unserer Auffassung nach sind hingegen die Datenschutzaufsichtsbeh rden zur Kontrolle Rechtsanw lte von Berufsgeheimnistr gern im Sinn des 203 Abs 1 StGB und damit grunds tzlich auch zur Pr fung bei Rechtsanw lten befugt Denn an gesichts der gesetzlich geregelten Aufsichtsbe fugnisse in 38 BDSG liegt bei einer solchen Pr fung grunds tzlich kein unbefugtes Offen baren von Berufsgeheimnissen vor Insbeson dere im Hinblick auf einen Beschluss des Kammergerichts Berlin vom 20 08 2010 Az 1 Ws B 51 07 erkennen wir aber eine Be schr nkung unserer Aufsichtsbefugnisse an soweit es um die Einsicht in Daten geht die sich auf ein konkretes anwaltliches Mandat beziehen diese Daten unterliegen somit nicht unserer P
32. Bayerisches Landesamt f r Datenschutzaufsicht 65 Rechtsanw lte schen Hinweise insbesondere zur Verbesserung ihrer technisch organisatorischen Ma nahmen nach 8 9 BDSG und der Anlage dazu 66 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Versicherungswirtschaft FE Versicherungswirtschaft T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 67 Ba Versicherungswirtschaft 9 Versicherungswirtschaft 9 1 Erfahrungen mit der neuen Einwilligungs und Schweige pflichtentbindungserkl rung Das Bundesverfassungsgericht hat sich 2013 erneut zum zul ssigen Umfang ei ner Einwilligung und Schweige pflichtentbindungserkl rung einer Versi cherung ge u ert Im letzten T tigkeitsbericht hatten wir dar ber berichtet dass infolge einer Entscheidung des Bundesverfassungsgerichts BVerfG aus dem Jahr 2006 zwischen der Versicherungswirt schaft und den Aufsichtsbeh rden eine neue Einwilligung und Schweigepflichtentbin dungserkl rung f r den Umgang mit Gesund heitsdaten abgestimmt worden ist Seitdem gingen bei uns zahlreiche Anfragen von Be troffenen ein die sich ber die Bedeutung und Tragweite der Einwilligungs und Schweige pflichtentbindungserkl rung informieren woll ten oder Zweifel an der von ihrer Versicherung verwendeten Erkl rung hatten Bei den meisten von uns berpr ften Eingaben konnten wir keine Datenschutzverst e feststellen In ein zelne
33. Cloud Anbieter bieten eine F lle unterschiedlicher Dienste zur Verarbeitung personenbezogener Daten an angefangen von der blo en Speicherung von Daten auf Servern des Anbieters h ufig auch au erhalb des EU Raumes bis hin etwa zu komplexen Customer Relationship Management Kom plettsystemen Viele dieser Dienste sind gerade auch f r kleine und mittelst ndische Unter nehmen interessant so dass ihr Einsatz f r Unternehmen beinahe jeder Branche und jeder Gr enordnung eine Option sein kann Diese Entwicklung hat zur Folge dass auch kleine und mittlere Unternehmen sehr schnell von den beraus komplexen datenschutzrecht lichen Fragen des grenz berschreitenden Da tenverkehrs und damit auch von der durch Snowden aufgezeigten Problemlage betroffen sein k nnen Es ist daher nicht verwunderlich dass die Zahl der bei uns eingegangenen Bera tungsanfragen zu Cloud Angeboten insbeson dere von US Unternehmen im Berichtszeitraum deutlich angewachsen ist Meist waren es dabei Datenschutzbeauftragte bayerischer Unter nehmen die uns fragten welche datenschutz rechtlichen Konsequenzen die Problematik von Datenzugriffen durch US Beh rden im Hinblick auf bermittlungen personenbezogener Daten in die USA oder allgemein an US Unternehmen haben H ufig wurde gezielt gefragt wie die deutschen Datenschutzbeh rden derartige bermittlungen vor dem genannten Hinter 104 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutz
34. Corporate Rules unter Federf hrung des BayLDA In den Jahren 2013 und 2014 waren wir erst malig federf hrende Datenschutzbeh rde in mehreren EU weiten Verfahren zur Pr fung so genannter verbindlicher Unternehmensrichtli nien Binding Corporate Rules BCR Diese sind ein datenschutzrechtliches Instrument das international t tige Unternehmensgruppen immer h ufiger verwenden um das gesetzlich geforderte angemessene Datenschutzniveau bzw ausreichende Datenschutzgarantien 88 4b 4c BDSG beim Transfer personenbezo gener Daten innerhalb des Konzerns aus der EU in Drittstaaten ohne angemessenes Daten schutzniveau zu erbringen Innerhalb internati onal t tiger Konzerne sind grenz berschrei tende Daten bermittlungen insbesondere von Mitarbeiterdaten z T aber auch von perso nenbezogenen Kunden oder Lieferantendaten praktisch Alltag Gerade unter konzernangeh rigen Gesellschaften findet eine Vielzahl derar tiger bermittlungen statt etwa weil Konzerne versuchen bestimmte Aufgaben innerhalb des Konzerns bei einzelnen Gesellschaften zu zent ralisieren und so Synergieeffekte zu erzielen F r bermittlungen personenbezogener Daten innerhalb eines Konzerns aus der EU bzw dem EWR an konzernangeh rige Gesellschaften mit Sitz in Drittstaaten ohne angemessenes Daten schutzniveau bieten BCR ein sehr interessantes Instrument zur Erf llung der Anforderungen nach 88 4b 4c BDSG Gesellschaften eines Kon zerns
35. Custom Audiences von Facebook Unternehmen die das Facebook Produkt Custom Audiences einsetzen riskieren die Er ffnung eines Bu geldverfahrens Aufgrund mehrerer Beratungsanfragen haben wir uns mit dem Produkt Custom Audiences von Facebook Inc besch ftigt Hierbei werden personenbezogene Datens tze die als Identifi kationskennungen eine E Mail Adresse oder eine Telefonnummer besitzen von Unterneh men vermeintlich anonymisiert an Face book weitergegeben Facebook vergleicht die Hashwerte der bermittelten Daten mit eige nen Hashwerten die im Rahmen der Face book Nutzung erhoben wurden Bei einer bereinstimmung geh rt der jeweils bermit telte Datensatz folglich einem Facebook Nutzer und kann entsprechend der Nut zungsbedingungen von Facebook weiterver arbeitet werden Als Algorithmus kommt das bekannte MD5 Verfahren zum Einsatz das aufgrund seiner effizienten Berechnung siehe Kapitel 22 4 f r Anonymisierungsverfahren im Allgemeinen ungeeignet ist Im vorliegenden Fall kann eine Brute Force Attacke deutlich beschleunigt werden wenn urspr ngliche Klartext Eigenschaften der MD5 gehashten Werte be r cksichtigt werden E Mail Adressen bestehen oftmals aus Vornamen Nachname Punkten und Zahlen und sind dabei aufgrund einer statistischen Verteilung h ufig bei wenigen E Mail Providern zu finden Diese Annahme zu Grunde gelegt gehen wir bei einer sehr vor sichtigen Sch tzung davon aus
36. Diebstahl bzw Einbruchdiebstahl von Datentr gern und IT Ger ten unueeseee 153 21 2 Verlust von Daten bzw Datentr gern auf dem Transportweg unsesesssensssennensssennnnennner 154 21 3 Hacking der Internet Zugangsdaten bei einer Privatschule 154 214 Hacking der Kundendaten eines Internetshops 21 5 Hacking bei einem Reisebuchungsdienstleister 21 6 Geiselnahme von Vereinsdaten useennseeennssennnnseennnsesnnsssennnssenunssenunssennnnssnnenssnnunsssnnnnenanen 21 7 Diebstahl einer Datensicherungsfestplatte mit Gesundheitsdaten ueeeeee 155 22 Technischer Datenschutz und IT Sicherheit rsursunsorsnssnsonsonsnnsnssnsnnsonsnnsnsnssnsnnsnnsnnsnnsnen 156 22 1 Techrische Pr f ng von Apps 2 4 22 0n annerkekeie ai 157 22 2 IT Sicherheit im Kontext des Datenschutzes uuuneesseennssennssennnssennnssnnunssenunnsennnnennnen 158 22 3 11 Sieherheitsorga nisation 2 2 sunn Heike 159 224 Verschl sselung usseensennnseeensesennssenunssenunssennnnsennnnsennnnsennnnenenenssenunssenunssennnssnnnnssnnnnsssannrsnanen 160 22 5 Die Heartbleed L cke uuseensensssennssennnssennssennunssnnnnsennnnnssennnssenunssenunssennnnssenunssennnssnnnnnenanen 162 22 6 Datenschutzaspekte bei Webanwendungen uesenseennnsesennsesennnssenunssenunssennnnsnennnssnnnnssnnnnnenanen 162 22 7 Sicherer Umgang mit Passw rtern u seeneennseennnseennsseennnsennnnsennnnnsnennnssenunssennnssennnssnn
37. En Versicherungswirtschaft sicht dass zur Erf llung des Auskunftsan spruchs allerdings ein Hinweis auf die von der Versicherung im Internet ver ffentlichte Dienstleisterliste gen ge Ein solcher Hinweis war im vorliegenden Fall aber schon deshalb nicht ausreichend weil die betreffende Dienst leisterliste nur die Stellen enthielt mit denen die Versicherung unter Verwendung von Ge sundheitsdaten und weiterer nach 203 StGB gesch tzter Daten zusammenarbeitet Eine Online Restwertb rse aus dem Bereich Kfz Versicherung war nicht in der Liste enthalten Auf unsere Veranlassung hin erteilte das Versi cherungsunternehmen dem Betroffenen eine um die FIN bzw die Restwertb rse als Daten empf nger erg nzte Auskunft nach 8 34 Abs 1 BDSG siehe dazu auch Kapitel 6 5 9 3 Personenverschiedenheit von Versicherungsnehmer und versicherter Person Sind Versicherungsnehmer und versicher te Person nicht identisch ist sorgf ltig zu pr fen wem die Versicherung jeweils Daten bermitteln oder Auskunft erteilen darf Im Regelfall sind Versicherungsnehmer und versicherte Person identisch Beim Austausch von versichertenbezogenen Daten zwischen der Versicherung und ihrem Versicherungs nehmer etwa im Rahmen der Leistungsab rechnung stellt sich daher grunds tzlich nicht die Frage nach der Zul ssigkeit eines solchen Austauschs Anders verh lt es sich wenn es sich bei dem Versicherungsnehmer und der versicherten Person um zwei
38. Grund m ssen E Mail Server die am Ver sand und Empfang personenbezogener Daten mit dem SMTP Protokoll beteiligt sind insbe sondere auch STARTTLS zur Verschl sselung unterst tzen Das STARTTLS Protokoll das im RFC 3207 beschrieben wird erweitert das SMTP Protokoll derart dass bei dem Klartext verbindungsaufbau abgefragt werden kann ob auch verschl sselte Verbindungen ber SSL TLS m glich sind Sofern dies der Fall ist und die beteiligten E Mail Server entsprechend konfiguriert sind wird die Klartextverbindung durch das STARTTLS Kommando in eine ver schl sselte Verbindung umgewandelt Eine Absicherung der E Mail Kommunikation mit Technischer Datenschutz und IT Sicherheit STARTTLS erh ht den Schutz der Vertraulich keit von E Mail Kommunikation bez glich pas siver Angriffe z B Mitlesen eines E Mail Inhalts an einem Internet Knotenpunkt deut lich Wird dagegen eine Verbindung aktiv an gegriffen bspw mit Man In The Middle Techniken so kann der Aufbau des verschl s selten Kanals wenn auch erkennbar unterbun den werden Unterst tzt ein E Mail Server kei ne STARTTLS Verschl sselung so werden die E Mail Nachrichten trotzdem wenn auch im Klartext zugestellt opportunistische Ver schl sselung Aus diesen Gr nden stellt das STARTTLS Protokoll zwar nur einen geringen aber nach unserer Auffassung mittlerweile notwendigen Baustein zur Absicherung elekt ronischer Kommunikation dar Es muss aller ding
39. Informations technik z B Netze durch Firewalls Rechner Serverr ume verwendet und umfasst damit nicht den Schutz der Daten die sich in dem Begriff der Informationssicherheit wiederfin den Heutzutage m sste sogar h ufig auch von Cybersicherheit gesprochen werden da viele Systeme weitmaschig ber das Internet ver netzt und in Cloud Diensten integriert sind Im Folgenden wird aber der Begriff IT Sicherheit 158 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht aufgrund der umgangssprachlichen Verbrei tung in der Praxis f r all diese Bereiche ver wendet Das BDSG legt in 8 9 Technische und organisa torische Ma nahmen fest dass verantwortli che Stellen f r den Schutz der ihnen unterlie genden Daten zu sorgen haben Dabei sind sowohl technische als auch organisatorische Ma nahmen zu treffen die im Kontext der IT Sicherheit die Vertraulichkeit Integrit t und Verf gbarkeit der personenbezogenen Daten gew hrleisten sollen Dazu sind insbesondere aber nicht nur die Ma nahmen zu treffen die in der Anlage zu 9 BDSG aufgelistet sind Da die IT Sicherheit auch im Spannungsfeld von Kosten der Schutzma nahmen und der An wendbarkeit im Alltag durch die Anwender steht wird ein hundertprozentiges Schutzni veau nie praktikabel erreicht werden k nnen Aus diesem Grund fordert 9 BDSG nur dieje nigen Ma nahmen deren Aufwand in einem angemessenen Verh ltnis zum angestrebten Schutzz
40. Messe zu unterscheiden d h ob eine Messe ausschlie lich f r Fachbesucher ge ffnet ist die f r einen Besuch eine bestimmte fachliche Qualifikation vorweisen m ssen geschlosse ne Messe oder sich die Messe an die breite ffentlichkeit richtet und der Besuch damit jedem Interessenten offen steht offene Mes se Handelt es sich um eine geschlossene Messe ist die Erhebung Verarbeitung und Nutzung personenbezogener Daten von Messebesu chern aus datenschutzrechtlicher Sicht zul ssig sofern dies zum Zweck der Legitimationspr fung erforderlich ist 28 Abs 1 Satz 1 Nr 1 BDSG Anders zu beurteilen ist der Sachverhalt bei einer offenen Messe Hier l sst sich eine zwangsweise Besucherregistrierung sowohl an der Kasse vor Ort als auch bei einer Ticket bestellung im Online Shop grunds tzlich nicht auf die Erlaubnisse des BDSG st tzen denn diese Datenerhebung ist f r die Erf llung und die Zweckbestimmung des Vertragsver h ltnisses zwischen dem Messeveranstalter und dem Messebesucher nicht erforderlich Diesbez glich weisen wir auf unseren 1 T tig keitsbericht 2002 2003 S 39 f hin Allerdings ist es datenschutzrechtlich zul ssig wenn die Gew hrung von Verg nstigungen z B Gutschein f r eine Eintrittskarte Vorver kaufsrabatt im Rahmen der allgemeinen Ver tragsfreiheit von Seiten des Messeveranstalters von einer Besucherregistrierung abh ngig ge macht wird sofern de
41. Nach kommen an der Nicht Benennung und dem Interesse der ver ffentlichenden Stelle an der Bekanntmachung der Nach kommen durchzuf hren In vielen F llen gen gt die Kennzeichnung dass lebende Nachkommen existieren und ggf welches Geschlecht diese haben Eine Eingabef hrerin hat sich an uns gewandt und vorgetragen sie sei zuf llig auf den Inter netauftritt einer Familienstiftung gesto en die sich mit der Abstammungs Geschichte einer bestimmten Familie besch ftigt Es seien dort insbesondere auch ein Stammbaum sowie verschiedene weitere Datensammlungen zur Familie z B Geburten in einem bestimmten Zeitraum ver ffentlicht In diesen Datensamm lungen und dem Stammbaum habe sie Daten zu ihrer eigenen Person und ihren Kindern entdeckt In eine solche Ver ffentlichung per sonenbezogener Daten im offenen Internet habe sie nicht eingewilligt Bei den Ermittlungen zum vorgetragenen Sachverhalt wurde festgestellt dass in besag tem Internetauftritt zur Person der Eingabef h rerin der Anfangsbuchstabe ihres Vornamens sowie ihr Geburtsname zu ihren Kindern der vollst ndige Vor und Familienname samt Ge burtsdatum ver ffentlicht wurden Bei der datenschutzrechtlichen Bewertung von Familienstammb umen im offenen Internet gehen wir davon aus dass sich der Anwen dungsbereich des BDSG nur auf nat rliche Datenschutz im Internet Epa lebende Personen erstreckt also nicht auf be reits verstorbene Personen und dann
42. Regel zehn unternehmens bezogene Fragen beschr nken die wir den Unternehmen vorab zuschicken und dann im Rahmen einer Pr fung vor Ort vertiefen Diese Pr fungen finden im Wesentlichen unter Fe derf hrung unseres technischen Referates statt und sollen auch in Zukunft mindestens einmal im Monat mit mindestens zwei gepr ften Un ternehmen fortgef hrt werden Durch die straffe Strukturierung dieser Pr fun gen stellen wir sicher dass wir in aller Regel unmittelbar nach der Pr fung den Pr fbericht fertigstellen und an den Folgetagen verschi cken k nnen Die Resonanz auf diese Pr fun gen bei den Unternehmen ist durchweg posi tiv weil sie meist schnell erkennen dass es uns nicht darum geht Sachverhalte f r die Durch f hrung eines Bu geldverfahrens zu ermitteln sondern Erkenntnisse ber den Datenumgang im bestimmten Unternehmen und Branchen zu erlangen und zu beraten wie man es im einen oder anderen Bereich noch besser machen kann 22 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht So fanden im Berichtszeitraum bei folgenden Unternehmenskategorien derartige fokussierte Vor Ort Pr fungen statt e Onlineshop e Gro konzern e Steuerberatungsgesellschaft e Rechtsanwalt e Sportverein e Arztpraxis e Verlag e Hotel e Apotheke e Modehersteller e Reiseb ro Die Fragen die im Rahmen einer fokussierten Pr fung behandelt werden variieren in Abh n gigkeit vom untersucht
43. Satz 3 Geldw schegesetz nicht zwingend ist sondern daraus nur eine gesetzlich m gliche Verfahrensweise abgeleitet werden kann gen gt es f r Banken auch einen Ausweis durch pers nliche Einsichtnahme zu pr fen und die Tatsache der Pr fung sowie die notwendigen Identifikationsdaten in sonstiger Weise festzuhalten z B h ndisch zu notieren oder softwareseitig zu erfassen Dies gilt ins besondere dann wenn die Identit t eines Kun den und dessen pers nliche Daten bei der Bank aufgrund einer schon bestehenden Ge sch ftsbeziehung gepr ft bzw bekannt sind 10 4 Umfang der Datenerhebung zu Geldanlagekonten Familienstand Bei der Er ffnung von Geldanlagekonten ist es nicht erforderlich dass Banken den Familienstand des Neukunden erheben und speichern In Kontoer ffnungsantr gen von Banken wer den zur Vertragsdurchf hrung und aufgrund gesetzlicher Vorgaben z B im Geldw schege setz im Wertpapierhandelsgesetz oder im Kreditwesengesetz eine Reihe von Daten des neuen Kunden abgefragt und bei der Bank gespeichert Ein Betroffener fragte uns ob und aus welchem Grund er bei der Neuer ffnung eines Geldan lagekontos auch seinen Familienstand gegen ber der Bank angeben muss Unsere Pr fung hat ergeben dass hierf r auf grund der obengenannten gesetzlichen Vor gaben Angaben zum Familienstand nicht er forderlich sind und damit auch nicht als Pflicht feld in einem solchen Geldanlagekonto Antrag abgefordert
44. Unwirksamer Widerspruch bei Webtracking Verfahren Beim Tracking Opt Out von Webseiten besuchern muss die bertragung von Nutzungsdaten auch tats chlich unterlas sen werden Verfahren zur statistischen Auswertung von Nutzerverhalten einer Webseite finden sich heutzutage bei fast allen Angeboten wieder seien es Shops Nachrichtenseiten Kommuni kationsdienste oder Spiele Immer h ufiger bersteigt die Anzahl der hierf r eingesetzten Technischer Datenschutz und IT Sicherheit RZ Werkzeuge ein berschaubares Ma bei manchen Webseiten befinden sich bis zu drei Big Trackingtools oder gar mehr im Einsatz Dadurch wird erm glicht jeden Klick und so gar auch jeden Nicht Klick eines Webseiten besuchers aufs Genaueste zu erfassen Nach 8 15 Abs 3 Satz 2 TMG muss dem Web seitenbesucher eine Widerspruchsm glichkeit gegen dieses Tracking angeboten werden Durch einen Klick auf einen entsprechenden Link soll das Tracking des eigenen Nutzungs verhaltens dauerhaft unterbunden werden Im Rahmen von Webseitenpr fungen auf Basis von 38 BDSG stellten wir in letzter Zeit bei mehreren Diensten fest dass nach Klicken ei nes Opt Out Links zwar ein sog Opt Out Cookie auf dem Browser gesetzt wird dieser aber die bertragung der Nutzungsdaten an den Tracking Anbieter gar nicht unterbindet Stattdessen wird der Opt Out als zus tzlicher HTTP GET Parameter mit den bislang bermit telten Daten des Nutzers bertragen Diese
45. angabe des Mieters gegen ber dem Arbeitge ber mitzuteilen Da der Mieter seine Miet zahlungspflichten ordnungsgem erf llte fehlte es bereits an einem berechtigten Interes se des Vermieters im Sinne von 28 Abs 1 Satz 1 Nr 2 BDSG an der bermitt lung Dass dem Arbeitgeber die tats chliche Einkommensh he seines Arbeitnehmers des Mieters bekannt ist ndert hieran nichts Denn die Eigenangabe stellt als solche ein ge gen ber der tats chlichen Einkommensh he eigenst ndiges personenbezogenes Datum des Mieters dar 18 3 bermittlung von Adress daten von Wohnungseigen t mern durch Verwalter einer Wohnungseigent mer gemeinschaft WEG an die anderen Wohnungs eigent mer Immer wieder gibt es Streit ber die Mit teilung von Kontaktdaten von Eigent mern einer Wohnungseigent merge meinschaft WEG durch den Verwalter an andere Eigent mer Die Rechtsprechung erkennt zwar ein umfassendes Einsichts recht des einzelnen Eigent mers in die Verwaltungsunterlagen der WEG an In bestimmten F llen kann es f r den Ver walter dennoch geboten sein bestimmte Kontaktdaten der einzelnen Eigent mer nicht an andere Eigent mer weiterzuge ben Mehrere Beschwerden betrafen die bermitt lung von Adressdaten von Mitgliedern von Wohnungseigent mergemeinschaften an die anderen Mitglieder durch den Verwalter der WEG Der einzelne Wohnungseigent mer in einer Wohnungseigent mergemeinschaft hat ein umfasse
46. aufgehoben in einer Mitteilung vom 27 11 2013 hat sie jedoch an die US Seite dreizehn Empfehlungen zur berarbeitung der Safe Harbor Grunds tze gerichtet und ist mit der amerikanischen Re gierung in Verhandlungen eingetreten um auf eine entsprechende Anhebung des Schutz standards in den Safe Harbor Grunds tzen hinzuwirken Diese Verhandlungen dauern derzeit noch an Der Abschluss wurde wieder holt verschoben derzeit wird er seitens der Kommission wohl f r den Fr hsommer 2015 angestrebt Allerdings bieten sowohl die Safe Harbor Entscheidung der Kommission als auch die drei derzeit zur Verf gung stehenden EU Standardvertr ge f r die Datenschutzbeh rden der EU Mitgliedstaaten f r bestimmte Aus nahmef lle die M glichkeit Daten bermittlun gen auszusetzen Nach dem Wortlaut von Art 3 Abs 1 Satz 1 Buchstabe b der Safe Harbor Entscheidung k nnen die Datenschutz beh rden der EU Mitgliedstaaten Daten bermittlungen an Safe Harbor zertifizierte US Unternehmen u a aussetzen wenn eine hohe Wahrscheinlichkeit besteht dass die Safe Harbor Datenschutz Grunds tze verletzt werden oder wenn die fortgesetzte Daten bermittlung f r die betroffenen Personen das unmittelbar bevorstehende Risiko eines schwe ren Schadens schaffen w rde und wenn die zust ndigen Beh rden in den Mitgliedstaaten die Organisation Anm hiermit ist das daten empfangende US Unternehmen gemeint un ter den gegebenen Umst nden in
47. berhaupt mit der Datenschutzumsetzung im Sinne der gesetzli chen Anforderungen begonnen haben Obwohl wir nach unserer Auffassung die entspre chenden Frageb gen sehr einfach strukturiert hatten mussten wir berwiegend feststellen dass viele Betreiber solcher Studios das Thema Datenschutz bislang noch kaum beachtet hat ten Zudem mussten einige Betreiber mit er heblichem Aufwand unsererseits zur Beantwor tung der Fragen motiviert werden Kontrollen und Pr fungen Lediglich 10 der kontrollierten Fitnessstudios hatten die grundlegenden Anforderungen umgesetzt und waren entsprechend organi siert M ngel waren ber den gesamten Fragenkata log festzustellen Besonders gravierend war dass oftmals keine Vertr ge zur Auftragsdaten verarbeitung vorlagen Vielen Studiobetreibern war nicht einmal bekannt dass diese Vertr ge erforderlich sind bzw dass das Fehlen der sol chen einen bu geldbewehrten datenschutz rechtlichen Versto darstellt Dar ber hinaus haben wir festgestellt dass die Kommen und Gehen Zeiten sehr h ufig weit ber die gesetz lich erlaubten Zwecke hinaus erfasst und ge speichert wurden Diese Pr fung hat uns best tigt dass auch bei kleineren Einrichtungen Kontrollen dieser Art sehr sinnvoll sind um das dort praktizierte Datenschutzniveau anzuheben Allerdings ist f r uns neben dem erheblichen Verwaltungs aufwand durch z T umfangreichen Schriftver kehr auch ein hoher Beratungsa
48. den Kfz Halter auf die allgemeinen Informationen ber Fahrzeugdatenspeicher in der Betriebsanleitung seines Fahrzeugs auf merksam gemacht wo f r konkrete Detailfra Fahrzeugdaten gen auf die Mitarbeiter des Servicenetzes ein schlie lich Hersteller verwiesen wird Hierzu haben wir den Kfz Halter an den Datenschutz beauftragten des Herstellers verwiesen der das Anliegen des Kunden offensichtlich zufrieden stellend behandeln konnte Jedenfalls hat der Kfz Halter eine von uns angebotene weitere Unterst tzung bei fortbestehenden Unklarhei ten nicht mehr in Anspruch genommen Uns hat der Datenschutzbeauftragte des Herstellers noch mitgeteilt dass der betreffende H ndler in diesem Fall eine falsche Auskunft an den Kfz Halter erteilt habe dass eine L schung des Eintrags Kupplung k hlen durch den H ndler in der Werkstatt m glich sei und nun im Nach hinein noch durchgef hrt worden sei 20 3 2 Batteriekontrollleuchte Ein Fahrzeughalter sagte uns dass er sein Auto zum Kundendienst gebracht habe weil die Batteriekontrolllampe aufgeleuchtet habe Der Monteur in der Werkstatt habe ihm erkl rt dass die Autobatterie wegen der vielen Kurz streckenfahrten ersch pft sei Der Kunde sei in den letzten Monaten laut Fahrzeugdatenspei cher 107 Mal nur jeweils vier Kilometer gefah ren Wir haben auch hier den Kfz Halter auf die allgemeinen Informationen ber Fahrzeugda tenspeicher in der Betriebsanleitung seines Fahrzeu
49. der Polizei erschien uns als datenschutzrechtlich angemessener Weg Auf diese Weise konnte der Juwelier weiterhin auf den Raub berfall aufmerksam machen und um Unterst tzung bei der Suche nach den T tern bitten 7 5 Portale mit Bewertungs m glichkeit Neben reinen Bewertungsportalen rei chern immer mehr Telefonb cher Bran chenverzeichnisse Auskunftsdienste usw ihre Online Angebote um eine Bewer tungsfunktion an Hierbei werden mitun ter auch Freiberufler oder auch einzelne Gewerbetreibende bewertet Wir haben einige Diensteanbieter mit einem umfas senden Fragenkatalog angeschrieben um Beantwortung desselben gebeten die Antworten anschlie end gepr ft und auf eine datenschutzkonforme Ausgestaltung hingewirkt Im Berichtszeitraum stellten wir fest dass im mer mehr Auskunftsdienste im Internet dazu bergehen ihr Angebot mit einer Bewertungs funktion anzureichern d h Nutzer k nnen ber solche Dienste nicht mehr nur Name Anschrift und Telefonnummer beispielsweise eines gesuchten Freiberuflers oder Gewerbe treibenden ausfindig machen sondern be kommen gleichzeitig noch angezeigt wie bis herige Kunden deren T tigkeit beurteilt haben bzw wird ihnen die M glichkeit er ffnet der Allgemeinheit mitzuteilen wie die eigene Be wertung seiner beruflichen T tigkeit ausf llt Im Rahmen mehrerer Eingaben aber auch anlasslos waren wir im Berichtszeitraum mit verschiedenen Portalen befasst und haben deren A
50. deren AGBs unzul ssige bertragung von Halbtages Tages und Mehrtages Skip ssen auf andere Personen st rker zu kontrollieren Um eine Weitergabe nicht bertragbarer Tickets ausschlie en zu k nnen wird bei erstmaliger Nutzung der Kar te an einem Liftzustieg ein Foto des Nutzers angefertigt und im System gespeichert Dieses Foto wird dann bei jedem Einsatz der Karte dem Mitarbeiter auf einem Monitor angezeigt damit dieser einen Abgleich mit dem momen tanen Inhaber vornehmen kann Ergeben sich hier Unstimmigkeiten wird dem Karteninhaber der Zustieg zum Lift verweigert und die Liftkar te eingezogen Auf die Unzul ssigkeit der bertragbarkeit von Tickets wird in den AGBs hingewiesen Der Liftbetreiber gab uns gegen ber an dass zur Gew hrleistung der Sicherheit der Fahrg s te und des Seilbahnbetriebes sowie zur Ver meidung missbr uchlicher Nutzung von Fahr ausweisen die Zugangsbereiche auch zeitweise mit einer Videoanlage berwacht w rden Die Aufzeichnung erfolge ausschlie lich zur Wah rung des Hausrechts und der betrieblichen Sicherheitsinteressen ein Hinweisschild mache darauf aufmerksam Den Sachverhalt haben wir wie folgt beurteilt Eine berwachung der Zustiegstellen der Bah nen mittels einer Videoanlage halten wir ent sprechend den Vorschriften nach 6b BDSG f r zul ssig Nach dieser Bestimmung ist die T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 145 u Video be
51. dieser sie uns mitteilt Da diese Mitteilung frei willig ist machen einige Betroffene hierzu im Rahmen der Anh rung keine Angaben In sol chen F llen m ssen wir die wirtschaftlichen Verh ltnisse sch tzen Teilt der Betroffene dann erstmalig im gerichtlichen Verfahren sei ne wirtschaftlichen Verh ltnisse mit muss das Gericht auf dieser Grundlage die H he der Geldbu e ggf anpassen Im Berichtszeitraum haben wir in 76 F llen mit denen wir als Bu geldbeh rde befasst waren kein Bu geld oder Verwarnungsverfahren eingeleitet oder aber das Bu geldverfahren eingestellt Dazu geh ren auch einige Vorg n ge die uns als Aktenabgaben durch die Staats anwaltschaften zugeleitet wurden Die Gr nde f r die Einstellung bzw die Nichteinleitung von Bu geldverfahren waren vielf ltig In einer Reihe von F llen zeigte sich dass der der An zeige zugrunde liegende Sachverhalt keine unserer Zust ndigkeit unterfallenden Bu geldtatbest nde erf llte Als Beispiel sei eine Anzeige erw hnt bei der der Anzeigeerstatter monierte dass eine Auskunftei anl sslich einer von ihm dort eingeholten datenschutzrechtli chen Auskunft einen Scorewert zu seiner Per son gebildet hatte Hierin sah der Anzeigeer statter eine anlasslose und unberechtigte Scorewert Bildung Unsere Pr fung ergab je doch dass das Verhalten der Auskunftei keinen datenschutzrechtlichen Versto darstellte Aus kunfteien sind gem 8 34 Abs 4 Satz 1 Nr 2 BD
52. drei EU weite BCR Pr fverfahren unter unserer Federf hrung erfolgreich abgeschlossen Es handelt sich um die BCR folgender Unternehmensgruppen e Siemens e BMW e OSRAM Damit haben wir im bundesweiten Vergleich die gr te Anzahl von EU weiten BCR Anerkennungsverfahren als federf hrende Beh rde geleitet Weitere Verfahren bei denen wir federf hrend agieren sind anh ngig Da neben waren wir in mehreren F llen als sog Co Pr fer bei Federf hrung von Datenschutz beh rden anderer Mitgliedstaaten t tig Bei Redaktionsschluss f r den vorliegenden T tigkeitsbericht befanden sich ber die drei bereits abgeschlossenen BCR hinaus zwei weitere BCR in der EU weiten koordinierten Pr fung unter unserer Federf hrung Daneben haben zwei weitere Unternehmensgruppen die Absicht zur Erstellung und Vorlage von BCR bekundet f r deren Pr fung wir ebenfalls EU weit federf hrend zust ndig w ren Diese Un ternehmensgruppen arbeiten nach unserem Kenntnisstand bereits intensiv an entsprechen den Textentw rfen Mit der f rmlichen Antrag stellung in diesen beiden F llen ist in K rze zu rechnen Neben den unter unserer Federf hrung ge f hrten BCR Pr fungen waren und sind wir als sog Co Pr fer an der koordinierten Pr fung der BCR weiterer Unternehmensgruppen in F llen beteiligt die der Federf hrung der Da tenschutzbeh rden anderer EU Mitglied staaten oblagen bzw obliegen Bei den drei o g unter unserer F
53. einem anderen Fall Weihnachtsgr e Sofern die E Mail Adresse personenbezogen ist stellt auch der Inhalt der E Mail d h die Mitteilung als solche h ufig ein personenbe zogenes Datum dar Durch die Versendung von E Mails mit offen einsehbarem Verteiler wer den die Adressen aller Empf nger allen ande ren Empf ngern bekannt gegeben womit wie aus den bei uns eingegangenen Eingaben er sichtlich ist nicht jeder einverstanden ist Die Versendung einer Sammel E Mail an einen offenen E Mail Verteiler stellt in diesen F llen eine unzul ssige bermittlung personenbezo gener Daten im Sinne des BDSG an jeweils alle anderen Empf nger dar Ein solcher Versto kann grunds tzlich mit einer Geldbu e geahndet werden 8 43 Abs 2 Nr 1 BDSG unbefugte Verarbeitung perso nenbezogener Daten die nicht allgemein zu g nglich sind Wir haben inzwischen in mehre ren F llen dieser Art Geldbu en verh ngt Hierbei ist zu beachten dass Geldbu en Handel und Dienstleistung grunds tzlich sofern zumindest fahrl ssig gehandelt wurde gegen die Person zu ver h ngen sind die in eigener Person den Versto begangen hat d h selbst die E Mail versandt hat Jedoch sind gem den Ma gaben des Ordnungswidrigkeitenrechts auch Geldbu en gegen die betreffenden Unternehmen m glich sofern festgestellt wird dass mangelhafte in nerbetriebliche organisatorische Vorkehrungen ma geblich dazu beigetragen haben dass es z
54. eines Mehrfamilienhauses aus h ngen Die Verwaltung einer WEG h ngte ein von ihr verfasstes Informationsschreiben im Trep penhaus eines Mehrfamilienhauses aus Darin informierte sie die Bewohner ber die Ergeb nisse einer in der Wohnanlage durchgef hrten Legionellenuntersuchung Bei dieser Untersu chung war das Warmwassernetz gem den Vorgaben der Trinkwasserverordnung auf et waige Legionellenkontamination berpr ft worden Im Informationsschreiben f hrte die Verwaltung zwei Bewohner namentlich auf in deren Wohnungen eine erh hte Legionellen konzentration festgestellt worden sei und teil te mit dass die Ursache vermutlich in einem fehlerhaften Nutzerverhalten liege Das Schreiben enthielt ferner einige Verhaltens empfehlungen an die Betroffenen etwa dahin gehend dass bestimmte Duschk pfe und Was serhahnsiebe ausgetauscht werden sollten Wir haben den Aushang f r datenschutzrecht lich unzul ssig befunden zum einen weil sich auch Besucher im Treppenhaus aufhalten und so das Schreiben lesen k nnen Zum anderen war es aber auch nicht erforderlich und damit im Ergebnis unzul ssig die Namen der beiden Bewohner allen Hausbewohnern bekannt zu geben vielmehr w re es ausreichend und f r die Hausverwaltung zumutbar gewesen die Eigent mer der betroffenen Wohnungen per s nlich zu informieren Das von der Rechtspre chung anerkannte Recht des einzelnen Eigen t mers auf Einsicht in die Verwaltungsunt
55. erst erstaunlich fanden wir dabei dass es einige gro e deutsche IT Dienstleister gab die STARTTLS und somit auch PFS nicht unter st tzten und sich dann auch erst mal quer gestellt hatten zum Teil mit der Begr ndung dass dies ber dem derzeitigen Stand der Technik liege und somit berzogene Forde rungen w ren Wenn dann auf den Webseiten dieser Dienstleister noch mit E Mail Sicherheit Made in Germany geworben wurde l ste dies bei uns durchaus Verwunderung aus Mittler weile k nnen aber auch die meisten dieser Anbieter die von uns geforderten Mindestan forderungen f r deren Kunden erf llen Interessant war zudem dass es einige f hrende und internationale Appliance Hersteller gab die Perfect Forward Secrecy nicht unterst tz ten die sich aber auf Grund unserer Pr fung rasch pers nlich bei uns meldeten und in k r zester Zeit neue Firmware Versionen f r ihre Kunden bereitstellten um auch diesen Sicher heitsbaustein anbieten zu k nnen Vom Ergebnis sehen wir unser Vorgehen auch IT Sicherheitsanforderungen bez glich Ver schl sselungsverfahren nach dem Stand der Technik zu pr fen als richtige und wegweisen de Entscheidung an Aus diesem Grund werden wir weiterhin automatisierte Onlinepr fungen im Bereich der IT Sicherheit durchf hren und unserer Pr fmethoden gezielt ausbauen 26 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 4 4 Autoh user Unter anderem aufg
56. etwaigen Mitgliederforum o nicht zustimmt 17 3 Zul ssige Kommunikation unter Vereinsmitgliedern Meinungs u erungen sind am Ma stab des Grundrechts auf Meinungsfreiheit zu beurteilen dem Datenschutzrecht sind hierf r grunds tzlich keine eigenst ndi gen Ma st be zu entnehmen Steht eine tats chliche Behauptung im Vordergrund greift hingegen das Datenschutzrecht In mehreren F llen erhielten wir gerade aus Vereinen Beschwerden dar ber dass sich jemand per E Mail gegen ber anderen Perso nen kritisch ber den jeweiligen Beschwerde f hrer ge u ert hatte Die Beschwerdef hrer sahen in der aus ihrer Sicht unberechtigten oder berzogenen Kritik gleichzeitig einen datenschutzrechtlichen Versto und baten uns um aufsichtliche Reaktion In anderen F llen monierten Beschwerdef hrer Tatsachenbehauptungen durch andere Ver einsmitglieder die nach Ansicht des jeweiligen Beschwerdef hrers so nicht zutreffend seien Derartige F lle sind zun chst am Ma stab der Meinungsfreiheit zu beurteilen Es liegt nicht schon darin eine unzul ssige bermittlung personenbezogener Daten dass Vereinsmit glieder miteinander z B per E Mail kommu nizieren und hierbei Mitglied A als Absender gegen ber Mitglied B als Empf nger eine Mei nungs u erung ber z B Mitglied C t tigt Meinungs u erungen sind von der Meinungs freiheit gedeckt solange die u erung nicht gegen Strafgesetze insbe
57. gehen kann So sind nicht nur der physikalische Schutz der Server und die Absicherung der Netzwerke durch Firewalls essentiell sondern insbesondere auch das Bewusstsein dass die eingesetzte Anwendung als solche die gro e Gefahr birgt z B durch einen Softwarefehler eine ausnutzbare Schwachstelle zu offenbaren Im Rahmen der Kontrollen orientieren wir uns deshalb an Best Practice Ans tzen die metho disch effizient umsetzbar sind und m glichst viele Schwachstellen bzw Problemfelder auf decken k nnen Dadurch haben die Unterneh men die M glichkeit proaktiv gezielte Ma nahmen zu treffen bevor ein m glicher Scha densfall z B Hacking eintritt Zum einen verweisen wir dazu auf die OWASP Top 10 2013 um potentielle Schwachstellen aufzusp ren die m glicherweise anhand Injec tion Angriffen Cross Site Scripting oder Cross Site Request Forgery Methoden ausgenutzt werden k nnen Ebenfalls wird berpr ft ob es zu einer Datenoffenbarung in den Webanwen dungen kommen kann indem auf vermeintlich gesch tzte Daten ffentlich zugegriffen wer den kann Verantwortliche Stellen m ssen des halb im Rahmen von Vor Ort Kontrollen nach weisen dass und ggf wie sie mit diesen Arten von Schwachstellen in den eigenen Anwen dungen umgehen gt gt gt https www owasp org index php Top_10_2013 Top_10 A5 Security Misconfiguration Technischer Datenschutz und IT Sicherheit A10 Unvalidated Redirects a
58. gesamte Inhalt der E Mail an andere Vereinsmitglieder be kannt gegeben werden darf Die Kommunikati on wird mit den vom Absender im An bzw cc Feld angegebenen Personen gef hrt die brigen Vereinsmitglieder sind im Verh ltnis dazu Dritte Die Weiterleitung von E Mails an Letztere stellt daher eine bermittlung perso nenbezogener Daten jedenfalls auch des Ab senders dar die gem 8 4 Abs 1 BDSG nur mit Einwilligung des Absenders oder bei Ein greifen einer erlaubenden Rechtsvorschrift zul ssig ist Vereine und Verb nde In der Regel ist die Weiterleitung der E Mail an andere Vereinsmitglieder nicht zur Durchf h rung des Mitgliedvertrages erforderlich so dass die bermittlung nicht auf 28 Abs 1 Satz 1 Nr 1 BDSG gest tzt werden kann Ob berechtigte Interessen des urspr nglichen Empf ngers oder eines Dritten eine bermitt lung an andere Vereinsmitglieder rechtfertigen k nnen 8 28 Abs 1 Satz 1 Nr 2 oder Abs 2a BDSG ist eine Frage des Einzelfalls d rfte aber im Ergebnis eher selten zu bejahen sein Der Absender hat jedenfalls in vielen F llen ein berwiegendes schutzw rdiges Interesse da ran dass die in seiner E Mail enthaltenen In formationen nicht an Dritte weitergegeben werden Ausnahmen hiervon sind im Einzelfall denkbar etwa wenn der Verein als Dritter gem 28 Abs 2 Nr 2a BDSG ein berechtigtes Inte resse an der Ver ffentlichung einer derartigen E Ma
59. gewisse H rde bei der 164 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht R ckrechnung von entwendeten Passw rtern zu erreichen Empfehlenswert sind f r die Transformation von Passw rtern Hash verfahren die bez glich Brute Force Attacken ineffizient sind im Tagesgesch ft bei entspre chend performanten Servern aber zu einer akzeptablen Reaktionszeit bei den Anmelde vorg ngen f hren Wir haben in diesem Zu sammenhang Verfahren wie berypt oder PBKDF2 empfohlen die f r den Endkunden den Vorteil haben dass auch 8 stellige Pass w rter bei entsprechender Zuf lligkeit des Alphabets ausreichend sicher sein k nnen 22 8 Konfiguration von Mailservern nach dem Stand der Technik Mailserver m ssen so konfiguriert wer den dass diese eine opportunistische Transportverschl sselung mittels SSL TLS unterst tzen Die Kommunikation mit E Mail erfolgt in vielen F llen immer noch unverschl sselt ber das Internet indem die Datenpakete ber mehrere Router vom E Mail Sender zum E Mail Empf nger geleitet werden Eine solche unver schl sselte Verbindung erm glicht es Dritten den Inhalt der E Mails zu lesen oder zu ver n dern Selbst bei Einsatz einer Ende zu Ende Verschl sselung z B mit PGP oder S MIME k nnen bei einem Transport ber einen unver schl sselten Kanal noch sogenannte Meta Informationen wie Absender Empf nger Zeit punkt oder Betreff ermittelt werden Aus die sem
60. glichen Datenschutzversto hinge wiesen werden 3 1 2 Anlasslose Pr fungen Anlasslose Pr fungen sind dagegen dann ge geben wenn wir eigeninitiativ im Rahmen von Stichprobenkontrollen Unternehmen oder gan ze Branchen pr fen ohne dass bereits im Vor feld konkrete Anhaltspunkte f r Datenschutz verst e gegeben sind Unabh ngig davon dass es im Ergebnis der anlasslosen Pr fungen meist nur sehr wenige F lle gibt bei denen kein Verbesserungsbedarf im Umgang mit personenbezogenen Daten festzustellen ist erfordern diese Kontrollen Merkmale von Pr fungen Pr fungsanlass Pr fungsform Pr fungsgr e anlassbezogen schriftlich einzeln anlasslos online bzw im Labor gro vor Ort fokussiert 20 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht dennoch einen bestimmten Begr ndungsauf wand bei den untersuchten Unternehmen warum gerade diese Ziel unserer Pr fung sind Dies gelingt uns in den allermeisten F llen problemlos In keinem einzigen Fall war es bis heute erforderlich sich mit Hilfe von Zwangs mitteln Zugang zum Unternehmen verschaffen zu m ssen 3 2 Pr fungsform 3 2 1 Schriftliche Pr fungen Bei schriftlichen Pr fungen erhalten die kon trollierten Unternehmen i d R ein Schreiben und einen Fragenkatalog den sie blicherweise innerhalb von sechs Wochen teilweise mit Vorlage relevanter Dokumente beantworten und an uns zur cksenden m ssen Dar ber hina
61. nach den Medienberichten ber die umfassen den M glichkeiten der Geheimdienste und nat rlich auch krimineller Hacker eigentlich erwartet Nicht immer wird dabei gesehen dass das Leitungspersonal von Unternehmen die mit personenbezogenen Daten von Kunden und Mitarbeitern umgehen nicht nur f r das konomische Wohlergehen ihres eigenen Un ternehmens Verantwortung tragen sondern auch f r den Grundrechtsschutz der betroffe nen Kunden und Mitarbeiter verantwortlich sind Personenbezogene Daten von Kunden und Mitarbeitern sind eben nicht nur Wirt schaftsg ter wie Baustoffe oder Maschinen sondern nach wie vor Bestandteile des Pers n lichkeitsrechts der Betroffenen f r deren Um gang andere Ma st be gelten Dieses Bewusst sein bei den verantwortlichen Stellen zu schaffen d h bei denjenigen die mit perso nenbezogenen Daten Dritter umgehen ist eine gewaltige Herausforderung f r alle Daten schutzbeh rden aber auch und insbesondere f r alle betrieblichen Datenschutzbeauftragten Die Erfahrungen und insbesondere die R ck meldungen zu unserer ersten wirklichen Gro pr fung die Untersuchung des Einsatzes von Google Analytics auf 13 404 Webseiten bayeri scher Unternehmen siehe Seite 20 des 5 T tigkeitsberichts 2011 2012 haben uns veran lasst der Pr fungst tigkeit eine noch gr ere Bedeutung beizumessen Grunds tzlich richten wir die Priorit ten unserer Arbeit danach aus dass die Bearbeitung
62. nachfol gender Verwaltungsaufwand erforderlich war weil eine gro e Anzahl der gepr ften Unter nehmen gar nicht oder nur unzul nglich auf die Pr fungsfragen reagiert hat Aufgrund un seres selbst gesteckten Ziels dass wir das was wir aktiv eingeleitet haben auch konsequent zu Ende bringen mussten wir diesen Aufwand stemmen In einer nicht zu vernachl ssigenden Anzahl von F llen war es erforderlich unserem Aus kunftsbegehren durch Erlass von Zwangsgeld androhungen und gelegentlich auch Einleitung von Bu geldverfahren Nachdruck zu verleihen Eine andere im Rahmen der vorangegangenen Pr fung des Einsatzes von Google Analytics gemachte Erfahrung hat sich erneut best tigt dass selbst sehr detaillierte Hinweise auf unse rer Webseite zur Behebung festgestellter M n gel bei Pr fungen nicht in dem Umfang gele sen werden wie wir es uns w nschen Vielmehr greifen viele Adressaten lieber zum Telefon um eine pers nliche und individuelle Beratung zu bekommen Die von uns durchgef hrten Kontrollen lassen sich grunds tzlich durch die Merkmale Pr fungsanlass Pr fungsform und Pr fungsgr e klassifizieren Die Auspr gungen dieser einzel nen Merkmale stellen wir nachfolgend kurz vor 3 1 Pr fungsanlass 3 1 1 Anlassbezogene Pr fungen Anlassbezogene Pr fungen unserer Aufsichts beh rde finden statt wenn wir durch Be schwerden und Anfragen von Betroffenen Informationen Dritter oder der Medien auf einen m
63. nicht er ffnet ist wenn die Erhebung Verarbeitung oder Nutzung personenbezogener Daten aus schlie lich f r pers nliche oder famili re T tig keiten erfolgt 1 Abs 2 Nr 3 BDSG Ist der Anwendungsbereich des BDSG er ffnet handelt es sich bei einer Ver ffentlichung per sonenbezogener Daten im Internet um eine bermittlung personenbezogener Daten f r die es einer Rechtsgrundlage bzw der aus dr cklichen Einwilligung der von der Ver ffent lichung betroffenen Person bedarf Konfron tiert mit diesen datenschutzrechtlichen Rah menbedingungen hat die f r die Internetver f fentlichung verantwortliche Familienstiftung darauf umgehend reagiert die Ver ffentli chungen aus dem ffentlich zug nglichen Be reich des Internetauftritts beseitigt und auf den Mitgliederbereich der Familienstiftung be grenzt zu dem nur auf Antrag von Familien mitgliedern eine Zugangsberechtigung erteilt wird Da der Kreis der potentiell zugangsberechtig ten Familienmitglieder aber ca 1 500 Personen umfasst haben wir die Auffassung vertreten dass im konkreten Sachverhalt auch nach der Beschr nkung auf den Mitgliederbereich nicht mehr von einer pers nlichen oder fami li ren T tigkeit ausgegangen werden kann und sich der Umgang mit den personenbezo genen Daten am Ma stab des BDSG messen lassen muss Das Gesetz beinhaltet zwar keine Definition wann genau von einer pers nlichen oder fami li ren T tigkeit auszug
64. nnte Auch von einer stillschweigenden Einwilligung kann nicht ausgegangen werden Es ist folglich eine Abw gung der widerstreitenden Interessen von Besch ftigtendatenschutz Arbeitgeber und Gespr chsteilnehmer nach 28 Abs 1 Satz 1 Nr 2 BDSG durchzuf hren Um insoweit Probleme zu vermeiden empfiehlt es sich nur die Vorwahl und einen Teil der Rufnummer des Gespr chspartners zu spei chern da dies f r eine stichprobenartige Kon trolle unter R ckfrage des Besch ftigten regelm ig ausreicht 15 4 Nachweis der Betriebs zugeh rigkeit f r Erhalt von Nachl ssen bei Gesch ften Wenn ein Arbeitgeber seinen Mitarbei tern verg nstigte Einkaufsm glichkeiten bei Gesch ften in der Region verschafft handelt sich um eine freiwillige Leistung Mitarbeiter die diese Verg nstigung in Anspruch nehmen wollen k nnen des halb verpflichtet werden ihren Firmen ausweis ohne Lichtbild und Personal ausweis in den Gesch ften vorzulegen um Missbrauch durch berlassen des Firmenausweises an Unberechtigte zu verhindern Ein Unternehmen handelte bei diversen Ge sch ften in der Region f r seine Mitarbeiter einen Sonderrabatt aus wenn sie dort einkau fen Die Mitarbeiter erhielten dazu einen Aus weis ohne Lichtbild auf dem sich ihr Name und die Best tigung dass sie bei dem betref fenden Unternehmen besch ftigt sind befan den Bei Vorlage des Ausweises sollten die Mitarbeiter dann den Rabatt erhalten Ein
65. reich in dem sich die pers nliche Entfaltung von vornherein im Kontakt mit anderen Per sonen vollzieht Hier muss sich der Einzelne auf die Beobachtung seines Verhaltens durch eine breitere ffentlichkeit sowie auf Kritik einstellen Missbrauchsgefahren ist der betroffene Arzt nicht schutzlos ausgeliefert da er von der Beklagten die L schung un wahrer Tatsachenbehauptungen sowie be leidigender oder sonst unzul ssiger Bewer tungen verlangen kann Dass Bewertungen anonym abgegeben werden k nnen f hrt zu keinem anderen Ergebnis Denn die M g lichkeit zur anonymen Nutzung ist dem In ternet immanent aus der Pressemitteilung des BGH zu dem angesprochenen Urteil Wenngleich das Gesch ftsmodell einer Bewer tungsfunktion im Internet zur beruflichen T tigkeit von Einzelpersonen nicht von vornhe rein unzul ssig ist obliegt es dem jeweiligen Diensteanbieter durch verschiedene Ma nah men den Schutz bewerteter Personen im ge setzlichen Rahmen zu gew hrleisten Hierzu Datenschutz im Internet z hlt beispielsweise dass Nutzer das Alter der jeweiligen Einzelbewertung erkennen k nnen m ssen Einzelbewertungen nur bis zu einem bestimmten Alter in eine ver ffentlichte Ge samtbewertung einflie en d rfen Ma nahmen zur Vermeidung von Missbrauchs und Mani pulationsm glichkeiten entwickelt werden und ein transparentes Verfahren zum Umgang mit Beschwerden bewerteter Personen zur Verf gung gestellt wird Bereits
66. seiner Video ber wachungsanlage auf welcher die T ter zu er kennen waren zu Fahndungszwecken auf seine Facebook Fanpage gestellt hat Zeitgleich hat te bereits die Polizei eine ffentlichkeitsfahn dung angesto en und Fotos und Videos der T ter die ebenfalls aus der Video berwachung des Juweliers stammten auf ihrer Homepage ver ffentlicht Die Ver ffentlichung des Bild materials durch den Juwelier sahen wir als nicht ohne Weiteres zul ssig an und bewerteten diese als Grenzfall Auf unser Anraten hin ent fernte der Juwelier die Bildaufnahmen von seiner Facebook Fanpage und verwies statt dessen von seiner Fanpage mittels eines Links auf die Homepage der Polizei auf der die Fo tos der T ter ver ffentlicht waren Anzumerken ist dass wir anders als in der Presse zum Teil dargestellt zu keinem Zeitpunkt eine daten schutzaufsichtliche Anordnung angedroht oder erlassen haben Speziell f r die Ver ffentlichung von Bildnissen stellt das Kunsturhebergesetz KUG strenge Anforderungen Regelm ig ist eine Einwilli gung der abgebildeten Personen erforderlich Nur wenn eine der in 23 Abs 1 KUG abschlie Bend aufgez hlten Ausnahmen gegeben und ein berechtigtes Interesse des Abgebildeten nicht verletzt ist ist eine Einwilligung der ab gebildeten Person nicht erforderlich Dar ber hinaus gibt das KUG in 8 24 die zentralen Ma st be vor die die Ver ffentlichung von Bildern zu Zwecken der Rechtspflege und der
67. sich der Eingabef hrer daraufhin beim Grundversorger beschwerte da er nicht Eigent mer des Objekts sei wurde dort diese Anmeldung storniert Mangels Kenntnis des beim Netzbetreiber noch vorhandenen diver gierenden Datenbestandes wurde der Eingabe f hrer jedoch beim n chsten Lauf des EoG Prozesses erneut in die Grundversorgung an gemeldet weshalb es zu einem weiteren Be gr ungsschreiben kam Im Rahmen unseres T tigwerdens konnte der beschriebene Datenschiefstand zwischen Ver trieb und Netzbetreiber bereinigt werden Der Datenbestand auf Seiten des Netzbetreibers wurde berichtigt Ein datenschutzrechtlicher Versto war den beteiligten Unternehmen bei dieser Sachlage nicht vorzuwerfen Ein gesellschafts bergrei fender Datenabgleich zwischen Vertriebsunter nehmen und Netzbetreiber durfte nicht durch gef hrt werden Letztlich h tte sich der Einga bef hrer bei Ver u erung seines Hauses auch T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 91 u Handel und Dienstleistung beim Netzbetreiber abmelden m ssen Der Eingabef hrer wusste jedoch offenbar nichts davon dass aus einer Gesellschaft inzwischen zwei geworden waren Netzbetreiber und Ver sorger 13 7 bermittlung von Beratungs protokollen von freien Finanzberatern an Finanz institute Die bermittlung des Beratungsproto kolls an Emittenten durch einen freibe ruflichen also nicht in die Organisation de
68. soll einen EU Standardvertrag zur Auftragsdatenverarbeitung gem Kommissi onsbeschluss 2010 87 EU abschlie en was zu einem h ufig sehr hohen vertragsabschluss technischen Aufwand f hren w rde BCR P erm glichen eine deutliche Reduzierung dieses Aufwands Der Auftraggeber schlie t mit einem einzigen der konzernangeh rigen Unterneh men aus dem ADV Konzern einen Auftrag nach 8 11 BDSG die Weitergabe der Daten von T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 99 FO Internationaler Datenverkehr diesem Konzernunternehmen an die anderen in die Auftragsverarbeitung involvierten kon zernangeh rigen Unternehmen auch in unsi chere Drittstaaten kann anschlie end auf der Basis der BCR P erfolgen Es ist dann f r den Auftraggeber nicht mehr erforderlich mit jedem einzelnen dieser Unternehmen einen jeweils gesonderten schriftlichen Auftrag nach 11 BDSG abzuschlie en vgl WP 204 Nr 2 2 1 am Ende Betont werden muss dass die Gesellschaften des ADV Konzerns der BCR P besitzt nicht Datenexporteure im Sinne des deutschen Datenschutzrechts d h im Sinne von 4b BDSG oder 8 4c BDSG sind da Auftrags und Unterauftragsdatenverarbeiter selbst nicht verantwortliche Stellen im datenschutzrecht lichen Sinne sind Datenexporteur im Sinne von 88 4b 4c BDSG kann nur eine verantwort liche Stelle sein nicht jedoch ein Auftrags oder Unterauftragsd
69. steht eingewilligt hat Eine Erlaubnis durch Rechtsvor schrift kommt au erhalb des Telemedienge setzes nach dem Gesetzeswortlaut lediglich dann in Betracht wenn sich eine solche Vor schrift ausdr cklich auf Telemedien bezieht Der aus Treu und Glauben 242 BGB hergeleitete allgemeine Auskunftsanspruch beinhaltet keine Erlaubnis im Sinne des 12 Abs 2 TMG die sich ausdr cklich auf Tele medien bezieht Eine Erm chtigung zur Erteilung der begehrten Auskunft ergibt sich auch nicht aus 14 Abs 2 TMG Nach dieser EN Rund um den datenschutzrechtlichen Auskunftsanspruch Bestimmung die nach 15 Abs 5 Satz 4 TMG auf Nutzungs und Abrechnungsdaten entsprechend anwendbar ist darf zwar der Diensteanbieter auf Anordnung der zust n digen Stellen im Einzelfall Auskunft ber Be standsdaten erteilen soweit dies f r Zwecke der Strafverfolgung zur Gefahrenabwehr durch die Polizeibeh rden der L nder zur Erf llung der gesetzlichen Aufgaben der Verfassungsschutzbeh rden des Bundes und der L nder des Bundesnachrichtendienstes oder des Milit rischen Abschirmdienstes oder des Bundeskriminalamtes im Rahmen seiner Aufgabe zur Abwehr von Gefahren des internationalen Terrorismus oder zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist Eine Erm chtigung zur Auskunftserteilung zu Zwecken des Schutzes von Pers nlichkeitsrechten ist darin nicht enthalten Damit ist der Betreiber einer Bew
70. unzul ssige zweck n dernde Nutzung der Adressdaten der Mitglie der dar Die Vereinsmitglieder stellen ihre Kon taktdaten dem Verein lediglich zur Erf llung der satzungsm ig festgelegten Vereinszwe cke zur Verf gung Die schutzw rdigen Inte ressen der Vereinsmitglieder stehen bei der nach 28 Abs 1 Satz 1 Nr 2 BDSG gebotenen Interessenabw gung einer Nutzung ihrer Da ten durch den Verein oder durch einzelne Funktionstr ger f r Wahlwerbezwecke oder sonstige politische Zwecke entgegen Dies gilt selbst dann wenn der Werbende erkl rt er werde sich im Falle eines Wahlerfolgs z B im Gemeinderat f r die Belange des Vereins ein setzen Denn die gesetzlich definierten Aufga ben und die damit einhergehenden Entschei dungsbefugnisse kommunaler Mandatstr ger reichen ber die satzungsm ig definierten Zwecke eines Vereins weit hinaus Daher stellt die Nutzung der Adressdaten von Vereinsmit gliedern f r Wahlwerbezwecke eine Zweck n derung dar die so erheblich ist dass sie von den Vereinsmitgliedern nicht hingenommen werden muss In den uns bekanntgewordenen F llen dieser Art haben wir die betreffenden Vereine bzw Vereinsfunktion re nachdr cklich auf die Unzu l ssigkeit einer solchen Nutzung von Daten von Vereinsmitgliedern hingewiesen Gibt ein Funktionstr ger eines Vereins Daten von Ver einsmitgliedern an einen Au enstehenden weiter l ge darin sogar eine unzul ssige bermittlung personenbezogener D
71. verschl sselter Form berlassen Es stellt sich dann die Frage ob bei dem Archivdienstleister noch von einem Umgang mit personenbeziehbaren Daten im Sinne des Datenschutzrechts auszugehen ist Nach Ziffer 26 der Erw gungsgr nde zur EU Datenschutzrichtlinie 95 46 sollten bei der Entscheidung ob eine Person bestimmbar ist alle Mittel ber cksichtigt werden die vern nf tigerweise entweder von dem Verantwortlichen f r die Verarbeitung oder von einem Dritten eingesetzt werden k nnen um die betreffende Person zu bestimmen Das Arbeitspapier WP 136 der EU Art 29 Datenschutzgruppe f hrt dazu auf Seite 17 unten weiter aus dass die rein hypothetische M glichkeit zur Bestimmung der Person nicht ausreicht um die Person als bestimmbar anzusehen gt gt gt http ec europa eu justice policies privacy docs wpdocs 2007 wp136_de pdf Ein Teil der deutschen Datenschutzaufsichts beh rden h lt personenbezogene Daten die mit einem starken kryptografischen Verfahren nach dem aktuellen Stand der Technik sicher verschl sselt sind bei einem Dienstleister f r nicht personenbezogen da er sie nicht zur Kenntnis nehmen k nne Zu dieser Gruppe der Aufsichtsbeh rden geh ren auch wir T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 39 Erh lt also ein externer Dienstleister nur voll st ndig und sicher verschl sselte Daten als Archivar zur Aufbewahrung ist dies dort keine Verarbeitung pe
72. von Personal beratern bei Bewerbungs verfahren Wenn ein Unternehmen im Rahmen eines Bewerbungsverfahrens einen Personalbe rater einschaltet h ngt es von den kon kreten Umst nden ab ob dieser Auf tragsdatenverarbeiter oder eigene ver antwortliche Stelle ist Ein Unternehmen das als Personalberatung t tig ist fragte an inwieweit es mit Daten der Besch ftigtendatenschutz Bewerber umgehen und diese an Dritte weiter geben darf Wir wiesen darauf hin dass es daf r auf die Umst nde des Einzelfalls ankomme Es kann sein dass Personalberater im Rahmen von Stellenausschreibungen lediglich die Bewer bungen entgegennehmen nach bestimmten Vorgaben sortieren und an den Arbeitgeber weiterleiten Sie sind dann Auftragsdatenverar beiter Als Verantwortlicher auch hinsichtlich des Handelns des Personalberaters tritt nur der Arbeitgeber den Bewerbern gegen ber auf und haftet gegebenenfalls Das Erheben der Bewerberdaten wird dem Arbeitgeber zuge rechnet auch wenn es tats chlich durch den Personalberater erfolgt Die berlassung der Bewerberunterlagen durch den Personalberater an den Arbeitgeber ist keine bermittlung sondern eine interne Weitergabe und deshalb datenschutzrechtliich unproblematisch Der Personalberater muss sich an die Vorgaben des Arbeitgebers halten Zwischen Arbeitgeber und Personalberater ist in diesen F llen ein Vertrag zur Auftragsdatenverarbeitung abzuschlie en der die Voraussetzungen des 8
73. vor dem Hintergrund spezifischen Verbandsrechts bestehen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 133 En Wohnungswirtschaft und Mieterdatenschutz 18 Wohnungswirtschaft und Mieterdatenschutz 134 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Wohnungswirtschaft und Mieterdatenschutz DE 18 Wohnungswirtschaft und Mieterdatenschutz 18 1 Weitergabe von Mieterdaten in Mieterh hungsschreiben Soweit zur Begr ndung einer Mieterh hung Vergleichswohnungen zu benennen sind d rfen diese auch so konkret be zeichnet werden dass deren Mieter ohne nennenswerte Schwierigkeiten aufgefun den werden k nnen Ein Mieter wandte sich an uns und monierte dass sein Vermieter in einem Mieterh hungs schreiben die Anschriften dreier anderer Woh nungen einschlie lich Namen der Mieter der Wohnfl che und der Grundmiete dieser Woh nungen angegeben hatte Diese Angaben dienten zum Nachweis der orts blichen Ver gleichsmiete und wurden vom Vermieter allen Mietern bei denen er eine Mieterh hung an strebte zugesandt Mieterh hungsverlangen m ssen gem 558a Abs 2 des B rgerlichen Gesetzbuches BGB begr ndet werden In 8 558a Abs 2 Nr 4 BGB wird den Vermietern die M glichkeit er ffnet die Begr ndung anhand von drei Ver gleichswohnungen vorzunehmen Erfolgt die Begr ndung in dieser Weise so soll der Mieter durch die Benennung einzelner Wohnunge
74. wegen einer langfristi gen Erkrankung auf unabsehbare Zeit nicht erf llen besteht Handlungsbedarf f r die verantwortliche Stelle Einige Anfragen von Unternehmen betrafen Sachverhalte des l ngeren krankheitsbedingten Ausfalls des Datenschutzbeauftragten und der sich daraus ergebenden Folgerungen Die l ngerfristige krankheitsbedingte Abwe senheit des Datenschutzbeauftragten kann in T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 35 u Der betriebliche Datenschutzbeauftragte Unternehmen zun chst regelm ig mit einer Stellvertreter Regelung berbr ckt werden wenn die R ckkehr des Datenschutzbeauftrag ten absehbar ist siehe dazu auch unseren 3 T tigkeitsbericht 2008 unter Nr 3 Eine ber viele Monate andauernde langfristige Erkrankung mit nicht absehbarem R ckkehr zeitpunkt kann jedoch die zuverl ssige Aufga benerf llung des Datenschutzbeauftragten im Sinne von 8 4f Abs 2 Satz 1 BDSG ausschlie Ben so dass f r die verantwortliche Stelle zum Schutz der Betroffenen siehe 4g Abs 1 und 4f Abs 5 Satz 2 BDSG ein Widerruf der Be stellung aus wichtigem Grund 8 4f Abs 3 Satz 4 BDSG und eine folgende Neubestellung einer anderen Person geboten sein kann Zum arbeitsrechtlichen Vorgehen beim Wider ruf der Bestellung mittels Teil K ndigung siehe das Urteil des Bundesarbeitsgerichts vom 13 M rz 2007 Az 9 AZR 612 05 4 4 Einsichtnahme in Personal akten durch den D
75. wenn eine Stigmatisierung soziale Ausgrenzung oder Prangerwirkung zu besorgen sind Dass Bewertungsportale aus datenschutzrecht licher Sicht nicht grunds tzlich unzul ssig sind hat der BGH in einem weiterem Urteil vom 23 September 2014 Az VI ZR 358 13 best tigt 54 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht in dem er den Anspruch eines Arztes auf L schung seiner Daten aus einem rztebewer tungsportal abgelehnt hat Zwar wird ein Arzt durch seine Aufnahme in ein Bewertungsportal nicht unerheblich belastet Abgegebene Bewertungen k nnen neben den Auswirkungen f r den sozialen und beruflichen Geltungsanspruch des Arz tes die Arztwahl behandlungsbed rftiger Personen beeinflussen so dass er im Falle negativer Bewertungen wirtschaftliche Nachteile zu gew rtigen hat Auch besteht eine gewisse Gefahr des Missbrauchs des Portals Auf der anderen Seite war im Rah men der Abw gung aber zu ber cksichtigen dass das Interesse der ffentlichkeit an In formationen ber rztliche Leistungen vor dem Hintergrund der freien Arztwahl ganz erheblich ist und das von der Beklagten be triebene Portal dazu beitragen kann einem Patienten die aus seiner Sicht erforderlichen Informationen zur Verf gung zu stellen Zu dem ber hren die f r den Betrieb des Por tals erhobenen gespeicherten und bermit telten Daten den Arzt nur in seiner soge nannten Sozialsph re also in einem Be
76. werden d rfen Dies kann allenfalls als freiwillige Angabe f r eventuelle steuerliche Zwecke mancher Kunden Steuerfreibetr ge von gemeinsam veranlagten Ehegatten etc abgefragt werden ic T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 75 FF Auskunfteien 11 Auskunfteien 76 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 11 Auskunfteien 11 1 Ausweiskopie bei Eigenaus k nften Auskunfteien k nnen zur Identit ts ber pr fung grunds tzlich teilgeschw rzte Ausweiskopien fordern Immer wieder fragen uns betroffene Personen ob das Verlangen von Auskunfteien nach einer Ausweiskopie zu einem Antrag auf Eigenaus kunft ber gespeicherte Daten nach 34 BDSG datenschutzrechtlich zul ssig ist Die von Auskunfteien teilweise geforderte Ausweiskopie bei der Beantragung von Eigen ausk nften soll im Schwerpunkt die Identit ts pr fung bei namensgleichen oder namens hn lichen Personen erleichtern denn die Eigen auskunft darf nur die richtige Person erhalten Des Weiteren geht es bei der Forderung nach einer Ausweiskopie aber auch darum das Er schleichen von Bonit tsausk nften durch Un berechtigte zu erschweren im Haushalt in einer Wohngemeinschaft mitlebende Personen etc was leider in der Praxis auch immer wie der vorkommt aus Neugier in Trennungsf l len bei Streitigkeiten usw und soweit wie m glich vermieden werden muss Weil ein
77. zeitlich begrenzte Passwort ndern Links die zwar per E Mail versendet werden die Pass worteingabe dann aber ber eine HTTPS ver schl sselte Seite erm glichen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 163 FH Technischer Datenschutz und IT Sicherheit Die berpr fung von Webanwendungen wird auch zuk nftig ein fester Bestandteil unserer aufsichtlichen Pr fungen sein und wird im Au genblick bez glich der Anzahl der von uns gefundenen Schwachstellen nur durch die personellen Kapazit ten des technischen Refe rats begrenzt 22 7 Sicherer Umgang mit Passw rtern Die Authentisierung eines Nutzers an einem System mit Zugangsname und Passwort birgt hohe Risiken des Identi t tsdiebstahls Als Anfang 2014 das Bundesamt f r Sicherheit in der Informationstechnik die Meldung ber eine zugespielte Datenbank mit E Mail Adressen samt Passw rtern ver ffentlichte und die Gefahr von unbefugten Offenbarungen eigener personenbezogener Daten f r jeder mann greifbar wurde war kaum vorstellbar dass eine Steigerung bez glich der Anzahl Betroffener noch m glich sein k nnte Als im Jahr 2014 die unfassbare Zahl von mehreren hundert Millionen gekaperter Identit ten die Runde machte stellte sich noch dringlicher die Frage wie die Sch den solch massenhafter Datenbest nde verringert werden k nnen Ein bedeutender Negativ Faktor dem wir in unseren Vor Ort Kontrollen nach wie vor seh
78. 011 2012 haben wir unter Kapitel 11 4 allgemein ber die Zul s sigkeit des Kopierens von Personalausweisen im Gesch ftsleben informiert Immer wieder erreichen uns Anfragen wegen der Forderung von Banken nach Vorlage einer Ausweiskopie F r Banken und andere dem Geldw schegesetz unterliegende Finanzinstitu te besteht die Pflicht der Identifizierung ihrer Vertragspartner anhand von Ausweisen und der Aufzeichnung der relevanten Daten Zur Erf llung der Aufzeichnungspflicht nach 8 8 des Geldw schegesetzes ist auch die Anferti gung einer Kopie des Ausweisdokuments ge setzlich m glich Nach dem Geldw schegesetz pr fungs und aufzeichnungspflichtig sind bei nat rlichen Personen folgende Daten Name Geburtsort Geburtsdatum Staatsangeh rig keit Anschrift sowie Art und G ltigkeit des Ausweises Zu den brigen im Ausweis enthal tenen Daten wie Lichtbild Gr e Augenfarbe Ausweisnummer besteht keine Aufzeich nungspflicht nach dem Geldw schegesetz so dass diese Daten mangels Erforderlichkeit von den Banken auch nicht verlangt werden d rfen Um nur die erforderlichen Daten zu erheben kann dies bei Kopien dadurch erfolgen dass entweder per Schablone die nicht erforderli chen Daten abgedeckt oder danach ge schw rzt werden Weil die gesetzliche Regelung zur Aufzeich nung einer Identit tspr fung durch Ausweis 74 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht kopien in 8 Abs 1
79. 107 Ei Internationaler Datenverkehr eingegangenen Verpflichtungen nicht vollum f nglich erf llen k nnen Ungeachtet dessen ist darauf hinzuweisen dass beim Europ ischen Gerichtshof EuGH derzeit ein Verfahren anh ngig ist bei dem der EuGH aus Grundlage einer Vorlage des obers ten irischen Gerichts Irish High Court vom 18 06 2014 ber die Verbindlichkeit des Safe Harbor Beschlussess der Kommission vom 26 07 2000 zu entscheiden hat Anlass hierf r war eine Klage mit der der sterreichische Jurist Max Schrems die irische Datenschutzauf sichtsbeh rde vor dem Hintergrund von Dar stellungen Edward Snowdens verpflichten woll te gegen Daten bermittlungen von Facebook Ireland Ltd an Facebook Inc in den USA einzu schreiten Facebook beruft sich bei diesen bermittlungen auf seine Safe Harbor Zertifizierung Der Irish High Court hatte die Auffassung vertreten dass die irische Daten schutzbeh rde an den Safe Harbor Kommissionsbeschluss gebunden sei und da nach keine Ma nahmen einleiten k nne je doch sah der Irish High Court Anlass den Fall dem EuGH zur Kl rung der Frage vorzulegen ob die Safe Harbor Entscheidung im Lichte der Entwicklungen die seit seinem Inkrafttreten stattgefunden haben sowie im Lichte der Arti kel 7 und 8 der Europ ischen Grundrechtechar ta die das Recht auf Achtung der Privatsph re und der Kommunikation sowie auf Schutz per sonenbezogener Daten beinhalten noch als bindend ange
80. 11 Abs 2 BDSG zu erf llen hat Den Bewerbern muss fr hzeitig also bei der Stellenausschreibung bzw im On line Bewerbungsbogen mitgeteilt werden dass deren Daten auch Dritte erhalten die f r den Arbeitgeber unterst tzend t tig werden 8 4 Abs 3 BDSG Auftragsdatenverarbeiter ist Empf nger Trifft der Personalberater aus dem Kreis der Bewerber eine Vorauswahl hat also diesbez g lich eine eigene Entscheidunggsfreiheit liegt eine Funktions bertragung vor Er ist dann eine eigene verantwortliche Stelle d h er erhebt die Bewerberdaten selbst und bermittelt dann die Unterlagen der in die engere Auswahl ge kommenen Bewerber an den Arbeitgeber Er darf insoweit die gleichen Daten erheben wie auch der Arbeitgeber selbst also alle die f r die Entscheidung ber die Begr ndung des Besch ftigungsverh ltnisses erforderlich sind 8 32 Abs 1 Satz 1 BDSG Die Bewerber m s sen rechtzeitig darauf hingewiesen werden dass ihre Daten nur zum Zweck des Bewer bungsprozesses erhoben gespeichert verar beitet oder genutzt werden und im gleichen Rahmen an bestimmte Dritte n mlich Unter T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 13 a Besch ftigtendatenschutz nehmen die eine Stelle zu besetzen haben f r die der Bewerber in Betracht kommt ggf auch Sozialversicherungstr ger denen gegen ber eine gesetzliche Mitteilungspflicht besteht weitergegeben werden Auch f r die Zul ssig
81. 2 Gro Pr lungen san nme Rene E AEE TeereneleheErareerneeneTee re near 23 3 4 Durchgef hrte Pr fungen uunnemeenseennseennnseennsesennsssennnssenunssennnnsennnnssnnunsennnnennnnnssenunssenunssennnsennnen 24 3 4 1 _ Zahnarztpraxen und Dentallabore unesennssennnsseennseennnseennnesnnnnesenunssenenseennnneennnnen 24 34 2 Fitnessst dios u 25 343 Mailserver 26 344 A toh user 222 222 ai 27 345 Adobe Analytics 2 022SEERR RR 28 3 4 6 Mobile Applikationen Apps ussseeesensssennssennnssennnssennnnssennnsennnnssnnnnenenenssenunssennnssennnnen 29 4 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Inhaltsverzeichnis BE 34 7 ArZtPFaXeNnn ennsenesesensnenssrbnehie andren nebenan 30 3 48 SMArt IV ansehen T 31 3 4 9 Datenschutzorganisation uessensennnseennsseeensssenenssennnssennnsssnnnsssennnssnnunssennnssanerssenenssenunssennnsssananen 32 3 4 10 Video berwachung usesensseensssennnssennsesennnssenenssennnssennnsssnnnsssennnssnnunssennnsssanerssenenssennnssennnsssannnet 33 4 Der betriebliche Datenschutzbeauftragte rsusonsonssnsonsonsnnsnsnsonsnnsnssnsnnsnnsnsnnsnssnsnnsonsnnsnnnnee 34 41 Auditierung der Arbeit des Datenschutzbeauftragten uu useseenseeennsssennssennssennnneenn 4 2 Keine Meldepflicht f r die Bestellung eines Datenschutzbeauftragten 4 3 Langfristige Erkrankung eines Datenschutzbeauftragten Zuverl ss
82. 2 findet sich dazu die Aussage dass auch eine freiwillige Abgabe des Ausweises an Dritte nicht erfolgen sollte Im Ergebnis ist jedenfalls auch das mehr oder minder freiwillige Aus der Hand Geben des Personalausweises zu Pfandzwecken unzul s sig Hierf r spricht auch der Wortlaut von 20 Abs 1 PAuswG wonach der Inhaber den Per sonalausweis lediglich als Identit tsnachweis oder Legitimationspapier verwenden darf die Verwendung als Pfand geh rt ersichtlich nicht zu diesen Zwecken Vor dem Hintergrund dass gerade der neue Personalausweis miss br uchlich durch Dritte verwendet werden k nnte sollte dieses Verbot ernst genommen werden Denn der neue Personalausweis bein haltet eine kontaktlose Schnittstelle die f r Authentifizierungs und Signaturzwecke ver wendet werden kann Hat ein Unbefugter Ge wahrsam am Personalausweis besteht die Ge fahr eines Missbrauchs dieser Funktionen Handel und Dienstleistung Rz 13 4 Versendung von Kontodaten mit unverschl sselter E Mail bei Information zur Umstel lung auf SEPA Verfahren Bankverbindungsdaten von Kunden d r fen aus Sicherheitsgr nden nicht per un verschl sselter E Mail versandt werden Im Berichtszeitraum erhielten wir eine Reihe von Beschwerden ber Unternehmen aus un terschiedlichsten Branchen im Zusammenhang mit der Versendung von Kontoverbindungsda ten per unverschl sselter E Mail Anfang des Jahres 2014 anl sslich der endg ltigen Um
83. 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 5 Inhaltsverzeichnis 7 11 Ahnenforschung im Internet uuneenesensssennssennssennnssennnnsennnnssnnnnssnnnnsennnnnssenenssenunssenunssennnssnnnen 61 7 12 Anfertigung von Fotos im Kindergarten mit anschlie ender Online Bestellm glichkeit 62 8 Rechtsanw lte ussssssssssnssssnenssnensnenesnsnssnensenssssnsnssnenennensnnensnesnensnnensnsnssnsnssnenssnsnnsnsnssnsnssnensnnsnsnnenne 64 9 Versicherungswirtsch ft sssssstssssseessssenssunssesssesssenisnncennenkshkenegensennennsegesnenneeneehnehteh teren een 67 91 Erfahrungen mit der neuen Einwilligungs und Schweigepflichtentbindungserkl rung 68 9 2 Beauftragung einer Restwertb rse zwecks Ermittlung des Restwerts eines Kfz 68 9 3 Personenverschiedenheit von Versicherungsnehmer und versicherter Person 70 9 3 1 Auskunftserteilung bei Angaben mit Doppelbezug neensensssensssennseennnnseen 70 9 3 2 Versand von Leistungsabrechnungen bei Versicherung f r fremde Rechnung 71 9 3 3 Auskunftserteilung ber medizinische Gutachten uusseseseennsssensssensssennsssennnnennn 71 10 Banken u u m een ee nase len naadehennenrnneokersdnr nnd 72 10 1 Neues Kirchensteuer Abzugsverfahren f r Zinsertr ge ueensseensseenunseennnssesennssennssennnnenen 73 10 2 _ Bezahlverfahren mittels NFC Technologie uunneeenseennseennnseennnsenennsesennnssenunssennnssennnnennn 73 10 3 Ausw
84. 252 000 175 Diebstahl 155 Verschl sselung 161 GPS Ortung seen 124 150 175 H FHaekih gesinnen 154 162 164 Hausverwalt ng sussseisseennennnn 137 HbBTV een 168 Heartbleed L cke ununnsnneeeeneneenneene 26 162 Hilfsmittelerbringer eene 119 Hotel uaasssnnsssnsnssennenneennennsennennsennennnennennnenne 86 88 I Identit tsfeststellung Immobilienmakler 87 175 IT Sicherheit anna 158 IT Sicherheitsorganisation ueeeee 159 K Kameraattrappe ueneseenssennessennseennssennnseenn 142 144 Kirchensteuer Abzugsverfahren ee 73 KOMZERMiaeassonsteeissssunteesssstsestsseernnenenenene Kundenkonto M MailServer ssis Meinungsfreiheit Melderegister s neaennnene Mieterh hungsschreiben ueeeeee 135 Mobile Applikationen Apps 29 51 56 157 N NFC sans 73 Nutzungsprofil eeeeee 56 57 169 176 O Online Pr fung ee 22 28 52 166 P PASS WON oeccsecscseeicseisisisiansa 63 154 160 161 164 Perfect Forward Secrecy PFS 26 117 161 165 Personalakte unnsannnnsneeneeneennenneennenneennenne 36 110 Pers nalauswels an ee e 86 Auskunftei KOPIE iiie aa PANG eresien in nE EA Personalisierungsdienste uuuee 170 Phishing iunii 172 Pr fungen 20 R Rechtsanw lte 65 S Safe HarbOr reseca aa 105 Schweigepflicht 30 65 116 125 Einwilligungs und Schweigepflichtentbindungs erkl rung
85. 5 AUditier ung ienaa 35 Bestellpflicht un 36 Erkrankung 35 Meldepflicht usssesenseersennnssereennsesteennunnnee 35 Datenschutzerkl rung ueeseeeeen 55 58 App spezifisch eeensenene 29 51 Diebstahl ea 153 155 164 D sseldorfer Krejsa 17 Einwilligung 53 58 59 69 80 121 128 132 E Mail Verteiler uansassnnnsnsseeessenesnenneneennennnennen 85 EU Standardvertrag eeeeee 99 102 106 Facebook Custom Audiences u e 172 ELEA E 27 Dashcam eseensseenmnsseenssennnsseenunnee 141 Fahrzeugdaten neiuna 148 F hrerscheinkopie uusmmnemneen 112 Identifizierungsnummer uunemnenn 68 Mautforderung ses een 90 Vermietung FErnWartUng assssssssseesssessseesssesssessseessnennennnennennennserssansseessseseen Finanzberater uusesensseensseensseennnssennnn Firmenauswels umensenen nennen FOtOEN Kindergarten Krankenkasse Patienten Skipa SS siisii Ver ffentlichung 58 Fragebogen Krankenkasse 120 Mister ss 136 A n eaa 121 Funktions bertragung ueemeneee 41 113 G Gehaltsliste sssssesossssssessssssiosssseseramenamsnnenesunnessesesersssunne 110 Geldw schegesetz eee 74 87 G amp Ofeneing nennen 124 151 Gesichtserkennung ensnennnsseenensseensenennen 143 Gesundheitsdaten 25 30 68 116 121 125 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 179 zu Stichwortverzeichnis Bu geld
86. 6 T tigkeitsbericht des Bayerischen Landesamtes f r Datenschutzaufsicht f r die Jahre 2013 und 2014 Vorwort Datenschutz und Datensicherheit waren und sind wenn man die Resonanz in den Medien als Gradmesser heranzieht absolute Top themen in den letzten beiden Jahren Die Berichte von Edward Snowden haben Men schen weltweit auch uns vertiefte Erkennt nisse dar ber gebracht wie mit personenbe zogenen Daten umgegangen wird Ob diese neuen Erkenntnisse und die in diesem Zusam menhang verdienstvolle Arbeit der Medien dazu gef hrt haben dass Datenschutz und Datensicherheit auch bei den B rgerinnen und B rgern als besonders bedeutsame Themen wahrgenommen werden w re eine vertiefte sozialwissenschaftliche Untersuchung wert Nach unseren t glichen Erfahrungen als Daten schutzaufsichtsbeh rde werden diese Themen weiterhin eher mit Zur ckhaltung wahrge nommen Wie sich aus den im Folgenden dargestellten statistischen Angaben ergibt haben die Anfra gen und Beschwerden im Berichtszeitraum zwar zugenommen jedoch nicht in dem von uns auf Grund der genannten Enth llungen erwarteten und zugegebenerma en auch bef rchteten Umfang Kontrollen die wir bei Unternehmen sowohl im Rahmen von Gro pr fungen als auch fokussierten Pr fungen vorgenommen haben zeigen dass viele Un ternehmen insbesondere die Fragen der Da tensicherheit vielfach noch nicht mit der gebo tenen Bedeutung angehen Dies hatten wir
87. 68 122 oE a AE 77 178 SE Ne eee eais 31 167 S SU M S aaa 161 165 T Technische Pr fverfahren ee 157 T rS PIO Mimivirus 143 U Unterauftragnehmer ssssssesisesrssesrsssrrsssrrreserrssnreserrresenres 101 V VEr lNE uses ee 128 Verrechnungsstelle umnemeeenne 122 Verschl sselung 39 116 125 153 155 160 165 Versorgungsamt eseseeneseenenseenensennssenssenenstnnnne 120 Video berwachung 141 Attra ppENississiiiississii iisi 144 BUBgEIG s ssssesssssceessssesesssssssessssesessiseneensnnntennessseesesesenne 178 Orientierungshilfe ueenene 146 Pr fung W Wahlwerbungssieseteetesstieteenzseieesesansassernssteerteneseneen 80 Werbewiderspruch uueesseemneeemmeeneennen 176 Wettkampfergebnisse ueeenen 128 Widerspruch bei Webtracking u eeee 171 Wohnungseigent mergemeinschaft 136 137 180 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht
88. Amtshilfeverfahren hat das BayLDA im November Dezember 2014 drei zehn aktuelle Smart TVs Modelle aus 2014 einer technischen berpr fung unterzogen Durch eine Marktabdeckung von ca 90 soll te ein repr sentativer Einblick in Funktionalit ten der Ger te genommen werden Ziel der Pr fung war nicht einzelne Ger te f r gut oder schlecht zu befinden was aufgrund der Pro duktvielfalt auf dem Markt und sich h ufig nderbarer Firmware Versionen auch nicht sonderlich praktikabel w re sondern anhand der beschriebenen Testszenarien eine Basis f r eine datenschutz rechtliche Bewertung und damit f r eine aufsichtliche Kontrolle zu schaf fen Ein Nutzer eines Smart TV steht mehreren datenschutzrechtliichen Verantwortungssph ren gegen ber die sich je nach Smart TV in einem oder mehreren Akteuren wiederfinden Im Nachfolgenden stellen wir die unterschiedli chen Akteure kurz vor und beschreiben die jeweiligen Pr fungsergebnisse e Ger te Hersteller Zur Aufrechterhaltung der Funktionali t t des Ger tes sind Datenfl sse f r re gelm ige Softwareupdates notwendig die entweder Sicherheitsl cken schlie en oder neue Features anbieten Es wurden von uns auch Aufrufe an Zeit server und Inhaltsanbieter ermittelt die z B Grafiken Javascript Code oder Textinformationen zur Darstellung ber das Internet mit HTTP laden Auffal lend war dass die Ger tehersteller i d R eine eindeutige Ger te ID MAC A
89. Aus datenschutzrechtlicher Sicht ist es von zentraler Bedeutung ob MAC Adressen oder andere Ger te IDs sowie eine zeitliche Abfolge von verketteten Standorten als personenbe ziehbare Daten angesehen werden Die MAC Adresse wird zum Beispiel bei Android im Rahmen einer Produktregistrierung die mit dem Namen der E Mail Adresse und h ufig einer Kreditkarte einhergeht an Google ber tragen Ebenso k nnen Android Apps die Zu griff auf die Berechtigung AC CESS_NETWORK_STATE erhalten auf die MAC Adresse des Ger ts zugreifen und diese an Dritte bertragen Auch ist es nicht auszu schlie en dass MAC Adressen die in WLAN Signalen enthalten sind gerade auch in Pro Technischer Datenschutz und IT Sicherheit dukten zur Besucherstrommessung mit perso nenbezogenen Daten wie einer EC Kartenzahlung verkn pft und an Dritte weiter gegeben werden Letzteres gilt auch f r eine Abfolge von verketteten Standortdaten die sofern nur bei einem Standort Zusatzwissen zur Identifikation des Tr gers vorhanden ist zu einer Personenbeziehbarkeit von vermeintlich anonymen Bewegungsprofilen f hren kann Aus diesen Gr nden sieht das BayLDA ger te bezogene Identifikationsdaten wie die MAC Adresse als personenbezogenes Datum und damit die Anwendbarkeit des Bundesdaten schutzrechts als gegeben an Dies hat zur Folge dass eine Erhebung der MAC Adresse durch Dritte ohne Einwilligung des betroffenen Smartphonebesitzers daten schutz
90. BCR auf die Verar beitungen solcher Daten in Drittstaaten An wendung finden die vorher dem Datenschutz recht von EU Mitgliedstaaten unterfallen sind Eine Formulierung wonach die BCR auf Daten anwendbar sind die aus der EU stammen ist nach unserer Auffassung nicht hinreichend eindeutig und m sste daher im o g Sinne zu mindest klarstellend erg nzt werden Zum Teil Erfordernis beh rdlicher Genehmi gungen f r Datenexporte auf der Grundlage von BCR Wir weisen Konzerne die BCR einf hren wol len sowohl im Rahmen von BCR Pr fverfahren als auch im Rahmen der Erteilung allgemeiner Informationen stets darauf hin dass nach er folgreichem Abschluss des Anerkennungsver fahrens in einigen Bundesl ndern bzw EU Mitgliedstaaten noch ein weiterer Schritt erfor derlich ist bevor die konzernangeh rigen Un ternehmen auf der Basis von BCR mit dem Export personenbezogener Daten aus der EU an die konzernangeh rigen Gesellschaften mit Sitz in unsicheren Drittstaaten beginnen k n nen So ist in zahlreichen Mitgliedstaaten so wie was Deutschland betrifft jedenfalls in einer Reihe von Bundesl ndern vor dem Export per sonenbezogener Daten auf der Grundlage von BCR durch eine einzelne Gesellschaft zus tz lich zum Vorliegen von aufsichtsbeh rdlich bereits gepr ften und als hinreichend aner kannten BCR noch eine gesonderte Datenex portgenehmigung nach 4c Abs 2 Satz 1 BDSG zu beantragen Dies muss die jeweilige d
91. BDSG ausgehen bei welcher alle Betroffenen informiert werden m ssen Bevor ein Passwort gespeichert wird muss es durch geeignete Hash Verfahren so umgewan delt werden dass eine Rekonstruktion des urspr nglichen Passworts aus dem Hash Wert mit praktikablen Mitteln nicht m glich ist Das weit verbreitete MD5 Verfahren sollte nicht mehr eingesetzt werden zwar ist dessen be kannte Schwachstelle durch einen Kollisions angriff nicht unmittelbar auf die Passwort speicherung bertragbar das Risiko dass auch weitere Schwachstellen zu diesem Verfah ren entdeckt werden die eine R ckrechnung erheblich vereinfachen ist jedoch auch auf grund deutlich sichererer Alternativen zu hoch W hrend Hash Verfahren wie RIPEMED oder SHA 256 noch als kryptographisch sicher gel ten haben diese bez glich Brute Force Attacken Durchprobieren aller bzw der wahr scheinlichsten Passwortkombinationen den Nachteil dass sich diese effizient berechnen lassen Man muss heute davon ausgehen dass bei diesen Verfahren ein leistungsf higer Rechner 10 Milliarden Hash Werte pro Sekun de berechnen kann ganz zu schweigen wel che M glichkeiten gro e Organisationen oder staatliche Stellen bei entsprechender Finanz ausstattung h tten Aus diesen Gr nden for dern wir bei personenbezogenen Daten mit normalem Schutzbedarf mindestens 10 stellige und bei personenbezogenen Daten mit erh h tem Schutzbedarf 12 14 stellige Passw rter um zumindest eine
92. Bayerisches Landesamt f r Datenschutzaufsicht 13 m Allgemeiner berblick ber die T tigkeit des BayLDA unseres Bem hens im Rahmen unserer ffent lichkeitsarbeit publik zu machen dass es uns gibt welche Aufgabe wir haben und dass wir im Einzelnen durchaus helfen k nnen Wie schon in den vergangenen Berichten ist auch hier wieder festzustellen dass die Be schwerden viele unterschiedliche Bereiche be treffen Die prozentuale Zuordnung der be troffenen Themen hat sich dabei im Verh ltnis zu den fr heren Aufstellungen nicht wesentlich ge ndert Internet Video berwachung IT Sicherheit und Technik 11 Auskunftsanspruch 9 Internationaler Datenverkehr a Werbung und Adressenhandel 8 al Versicherungswirtschaft al Gesundheit und Soziales al Banken Arbeitnehmer 5 Vereine und Verb nde 4 Wohnungswirtschaft und Mieterdaten 3 5 Sonstiges 5 2 1 2 Beratung Beratungen erfordern wie sich aus den folgen den Aufstellungen ergibt den gr ten Arbeits aufwand Wir versuchen dabei nicht nur unsere Auffassung bekanntzugeben sondern weisen sofern einschl gig auf Beschl sse des D ssel dorfer Kreises hin so dass die Anfragenden insoweit von einer etwas gefestigten einheitli chen Auffassung der Datenschutzaufsichtsbe h rden ausgehen k nnen 2 1 2 1 Beratung der B rger Betroffenen Die Beratung von Betroffenen ist nicht aus dr cklich im Aufgabe
93. Datenschutzkonferenz teil selbst wenn dort ganz berwiegend datenschutzpolitische Fra gestellungen diskutiert werden Bem hungen diese Arbeit besser zu struktu rieren und transparent zu machen ob und in welchem Umfang gemeinsame Beschl sse als verbindlich angesehen werden haben ihren Niederschlag in einer Arbeitsgruppe gefunden die eine Gesch ftsordnung f r die Gremien der Datenschutzbeh rden erstellen soll M ge ihr Erfolg beschieden sein 2 4 Teilnahme und Mitwirkung bei Veranstaltungen der Wirt schaft und anderer Berufs gruppen Weiterhin als Gewinn bringend f r alle Seiten betrachten wir den Erfahrungsaustausch mit den betrieblichen Datenschutzbeauftragten in den Erfa Kreisen die unter der Federf hrung der Gesellschaft f r Datenschutz und Datensi cherung e V GDD in M nchen N rnberg W rzburg und Coburg zwei bis dreimal j hr lich stattfinden Schon fast traditionell unterst tzen wir die Aktivit ten des Berufsverbandes der Daten schutzbeauftragten Deutschlands e V BvD bei dem Projekt Datenschutz geht zur Schule dessen Hauptveranstaltung j hrlich am zweiten Dienstag im Februar d h dem Safer Internet Day stattfindet Allgemeiner berblick ber die T tigkeit des BayLDA Zu Vortr gen und Teilnahme an Podiumsdis kussionen wurden wir zu 142 Veranstaltungen eingeladen Diese Einladungen die zwar mit einem nicht unerheblichen Vorbereitungsauf wand verbunden sind nehmen wi
94. Dazu geh rt dass sie umfassend und verst ndlich dar ber zu informieren sind wel che Daten beim Betrieb des Fahrzeugs erfasst und verarbeitet sowie welche Daten ber wel che Schnittstellen an wen und zu welchen Zwe cken bermittelt werden Schlie lich muss durch geeignete technische und organisatorische Ma nahmen Datensi cherheit und integrit t gew hrleistet sein Dies gilt insbesondere f r die Datenkommunikation aus Fahrzeugen heraus Mit dem Verband der Automobilindustrie wird nun ber die Umsetzung der aufsichtsbeh rdli chen Anforderungen f r Datenschutz und Da tensicherheit bei der Kraftfahrzeug IT gespro chen 20 3 Was wei ein Kraftfahrzeug und wer erf hrt davon F lle aus der Praxis In einigen F llen wandten sich B rger an uns weil sie aus ihrer Sicht berraschen de Mitteilungen ihrer Fahrzeug IT zur Kenntnis genommen haben 20 3 1 Hinweis im Display Kupplung k hlen Ein betroffener Kfz Halter teilte uns mit dass im Display seines neuen Autos nach einer Fahr leistung von rund 1 000 km der Hinweis Kupp lung k hlen erschienen sei Daraus ergebe sich dass in seinem Wagen ohne seine Kennt nis ein Ger t eingebaut sei das die Auswirkung seines Fahrverhaltens auf die Kupplung regist riere Nach Auskunft seines H ndlers k nne eine einmal erfolgte Registrierung nicht ge l scht werden Das bedeutet u a dass sie auch beim Verkauf des Wagens erhalten bleibe Wir haben
95. Diese verst rkte Pr fungst tigkeit im Gesundheitswesen haben wir nun im Rahmen von schriftlichen Pr fungen in den vergange nen Jahren fortgef hrt Dabei haben wir 16 Arztpraxen verschiedener Fachrichtungen aus gew hlt teils zuf llig teils aufgrund von Missst nden die durch anonyme Eingaben bekannt wurden Inhalte unseres umfangreichen Fragebogens waren Fragen der Praxisorganisation z B Pra xisstruktur Empfangs und Wartebereich ma teriell rechtliche Themen des Datenschutzes u a Verfahrensverzeichnis Datenweitergabe an externe Stellen und Aspekte der Datensi cherheit insbesondere Backup Konzept und E Mail Kommunikation Um ausf hrliche Antworten auf die umfassen den Fragen erhalten zu k nnen haben wir den rzten deren Hauptaufgabe bei der Versor gung und Betreuung ihrer Patienten liegt lan ge Fristen und auch gro z gig Fristverl nge rungen gew hrt Trotzdem trafen wir manch mal auf Unverst ndnis und sogar auf Ignoranz unserer Schreiben Zum Teil wurden die Fragen erst beantwortet als ein Zwangsgeld ange droht worden war Da rzte unweigerlich im Alltag mit Gesund heitsdaten und damit mit besonders sensiblen Daten umgehen m ssen und zudem der straf rechtlich bewehrten Schweigepflicht unterlie gen kommt der Beachtung datenschutzrechtli cher Vorgaben in Arztpraxen besondere Be deutung zu Allerdings zeigte unsere Pr fung dass in vielen Bereichen erheblicher Nachbes serungsbedarf
96. En Rund um den datenschutzrechtlichen Auskunftsanspruch 6 Rund um den datenschutzrechtlichen Auskunftsanspruch Beschwerden Betroffener im Zusammenhang mit der Erteilung oder Nichterteilung daten schutzrechtlicher Auskunft nehmen bei uns einen Spitzenplatz ein In der Praxis gibt es sowohl bei Betroffenen als auch bei den ver antwortlichen Stellen immer wieder unzutref fende Vorstellungen dar ber was eigentlich mit Hilfe des datenschutzrechtlichen Aus kunftsanspruchs durchgesetzt werden kann und wie weit der Anspruch im Einzelnen reicht Nachfolgend soll anhand der bei uns einge gangenen Beschwerden zu diesem Themen komplex auf einige der h ufigsten Fehlvorstel lungen kurz eingegangen werden 6 1 Gegenstand des Auskunfts anspruchs personenbezogene Daten nicht jedoch Daten tr ger Der datenschutzrechtliche Auskunftsan spruch richtet sich auf die Nennung der personenbezogenen Daten nicht auf die Vorlage oder Herausgabe von Uhnterla gen in denen die Daten enthalten sind H ufig wandten sich Beschwerdef hrer mit der Bitte um Unterst tzung an uns die von einer verantwortlichen Stelle z B Unternehmen nicht lediglich Auskunft ber die dort zu ihrer Person gespeicherten Daten erhalten sondern die Vorlage oder Herausgabe der Unterlagen oder sonstiger Datentr ger erwirken wollten in denen jene Daten enthalten waren Die Vorlage oder Herausgabe kann jedoch im Wege des datenschutzrechtlichen Auskunftsanspruchs
97. Form der Implementierung des Opt Out erin nert an das Do Not Track Flag mit dem ein Webseitenbesucher dem Betreiber einer Web seite lediglich seinen Wunsch mitteilen kann nicht getrackt zu werden Es stellt sich folglich die Frage warum Webseitenbetreiber Nut zungsdaten in dieser Form auch bei einem bewussten Opt Out des Nutzers erheben ob wohl diese berhaupt nicht verwendet werden d rfen Auch ist zu hinterfragen inwieweit ein Widerspruch in diesen F llen wirksam sein kann wenn der Webseitenbesucher keine Kon trolle mehr ber das eigene Opt Out besitzt und nur noch auf die datenschutzfreundliche Interpretation des Begriffs Nutzungsprofilbil dung beim jeweiligen Tracking Anbieter hoffen kann Selbst wenn ein solcher Widerspruch dazu f hrt dass ein Nutzungsprofil nicht mehr er stellt wird und das jeweilige Verfahren somit den Anforderungen an eine Widerspruchsm g lichkeit i S d 8 15 Abs 3 Satz 2 TMG entspricht bedeutet dies jedoch zugleich das weiterhin Nutzungsdaten i S d 8 15 Abs 1 TMG an den Diensteanbieter flie en Eine Rechtsgrundlage f r die Erhebung und ggf Verwendung dieser Nutzungsdaten ist nicht ersichtlich da dies T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 171 FH Technischer Datenschutz und IT Sicherheit weder f r die Erm glichung der Inanspruch nahme des Dienstes noch zu Abrechnungszwe cken erforderlich ist 22 13 Unwirksame Anonymisierung der
98. Funksignale des eigenen Smartphones eigentlich geh ren Das BayLDA wurde im Rahmen der aufsichtli chen Beratungst tigkeit von mehreren Herstel lern von neu zu entwickelnden Produkten zu Rate gezogen die Funksignale von mobilen Endger ten f r Marketing und Prozessopti mierungszwecke auswerten m chten Betroffe ne w ren in den dargestellten Szenarien Besu cher von Gesch ften und Einkaufszentren so wie Kunden von Restaurantketten Mit den vorgestellten Produkten werden von Smart phones die MAC Adressen erhoben die durch WLAN Signale von jedem Ger t periodisch oder durch einen externen Ausl ser ausgesen det werden Zus tzlich sollen zum Teil die TMSI Nummern erhoben werden die ein Smartphone entsprechend einer momentan eingew hlten Funkzelle zugeordnet bekommt Anhand mathematischer Verfahren zur Trian gulation bei der neben einer eindeutigen Ge r te ID auch die Signalst rke aus mindestens drei Signalempf ngern ausgewertet wird kann ein auf wenige Meter genauer Standort eines Ger tes bestimmt werden Anhand mehrerer zeitlich versetzter Datenerhebungen kann ba sierend auf der eindeutigen Ger te ID ein Be wegungsprofil des Smartphones erstellt wer den Da eine MAC Adresse fest der Netzwerk hardware eines Ger tes zugeordnet ist ist ein so erstelltes Bewegungsprofil lange Zeit g ltig und k nnte auch mit anderen Bewegungsprofi len die ebenfalls auf der MAC Adresse des Ger tes basieren verkn pft werden
99. Ka meras wurden wir jedoch berrascht bis zu 70 Kameras waren alleine in einem gro en Ge sch ft montiert Bef rchtungen dass weite Fl chen der Fu g ngerzone von den Gesch f ten aus video berwacht w rden haben sich in den meisten F llen aber nicht best tigt Ledig lich einzelne Unternehmen wurden aufgefor dert die Einstellungen der Kameras entspre chend abzu ndern Nicht ganz zu erwarten war zudem das Ergeb nis dass die Daten nur bei gut der H lfte der berpr ften Unternehmen tats chlich gespei chert werden die anderen verzichteten auf diese Art der Datenverarbeitung Bei den Spei cherfristen gab es hierbei noch gr ere Span nen manche Stellen speicherten die Aufzeich nungen teilweise sogar l nger als 14 Tage In der Regel sind diese Daten jedoch au er in begr ndeten Ausnahmef llen nach zwei bis drei Arbeitstagen zu l schen Wir haben des halb veranlasst dass die L schfristen entspre chend angepasst werden Feststellungen bei den 27 gepr ften Stellen 7 5 3 3 g 9 amp P O K x Rt NS v E v KA o amp Y X O amp o Fa gt N O x x X S ge F RK Weitere Angaben zu dieser Pr fung befinden sich in Kapitel 19 2 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 33 u Der betriebliche Datenschutzbeauftragte Der betriebliche Datenschutzbeauftragte 34 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Der be
100. Kunde seinen Liefervertrag meldet der Altlieferant Vertriebsunternehmen dem Netzbetreiberunternehmen ber einen von der Bundesnetzagentur festgeschriebenen und in der GeLi Gas Gesch ftsprozesse Lieferanten Handel und Dienstleistung wechsel Gas beschriebenen Prozess automa tisiert eine Lieferabmeldung Liegt f r die Ab nahmestelle kein anderweitiger neuer Liefer vertrag vor meldet der Netzbetreiber dem rtlichen Grundversorger im Rahmen des Er satz und Grundversorgungsprozesses EoG Prozess automatisiert die bei ihm zu der Ver brauchsstelle vorliegenden Daten insbesonde re den vermerkten Eigent mer Der rtliche Grundversorger best tigt gegen ber dem Netzbetreiber dann die Aufnahme der Beliefe rung im Rahmen der sog Ersatz bzw Grund versorgung und st t die vertrieblichen Folge Prozesse an u a die Begr ung des Kunden in der Grund bzw Ersatzversorgung Im vorliegenden Fall hatte sich der neue Eigen t mer bei seinem Versorgungsunternehmen abgemeldet Offenbar wurde f r das Objekt kein anderweitiger Liefervertrag abgeschlos sen so dass der EoG Prozess angesto en wur de d h die beim Netzbetreiber hinterlegten nicht mehr den aktuellen Eigentumsverh ltnis sen entsprechenden Daten des Eingabef hrers wurden an den rtlichen Grundversorger zum Zwecke der Ersatzversorgung angemeldet Infolgedessen erhielt der Eingabef hrer ein Begr ungsschreiben vom rtlichen Grundver sorger Da
101. Landesamt f r Datenschutzaufsicht Bei der Bearbeitung der Beschwerden bei Pr fungen oder auch Beratungen versuchen wir deutlich zu machen auf welcher Rechtsgrund lage wir konkrete Forderungen erheben Dabei beschr nken wir uns in aller Regel darauf nur solche Forderungen zu erheben die wir wenn ihnen nicht Rechnung getragen wird durch hoheitliche Ma nahmen auch durchzusetzen versuchen Fundamentalistische Forderungen zu erheben und dann nicht durchzusetzen schafft Rechtsunsicherheit und entspricht nicht dem Leitbild unseres Landesamtes Die letzten beiden Jahre waren auch gepr gt durch die Diskussion um den Entwurf einer Datenschutz Grundverordnung den die Euro p ische Kommission am 25 Januar 2012 vor gelegt zu dem das Europ ische Parlament mit Beschluss vom 12 M rz 2014 Stellung ge nommen hat und der Europ ische Rat noch intensiv darum ringt seinen Standpunkt zu finden Konnte man vor einigen Monaten noch den Eindruck haben dass die Auffassungen in den Mitgliedstaaten so kontrovers sind dass das gesamte Projekt einer neuen Datenschutz reform in Europa auf der Kippe stand zeigte sich in den letzten Monaten insbesondere un ter der italienischen Ratspr sidentschaft eine gewaltige Zunahme der Dynamik der Beratun gen so dass heute niemand mehr ernsthaft daran zweifelt dass diese Datenschutz Grundordnung kommen wird sei es Ende 2015 oder Anfang 2016 Die ergebnisorientier te Dynamik der Beratungen di
102. PAuswG darf der Inhaber den Personalausweis gegen ber nicht ffentlichen Stellen nur zur Legitimation und zur Identit tsfeststellung verwenden Mit Blick darauf kann festgehalten werden Wenn der Ausweisinhaber bei der Stelle die die Identifi zierung durchf hren m chte pers nlich vor spricht und somit den Personalausweis zur Identifizierung vorlegen kann ist das Kopieren des Ausweises zum Zwecke der Identifizierung oder der Legitimation nicht erforderlich und daher unzul ssig Ausnahmen gelten nur in den F llen in denen eine spezialgesetzliche Vorschrift ausdr cklich das Kopieren des Per sonalausweises zul sst etwa gem dem Geldw schegesetz zu diesen Spezialf llen siehe unten 13 3 2 Hat ein Unternehmen oder eine andere ver antwortliche Stelle einen rechtlich tragf higen Grund und damit eine Rechtsgrundlage um Identit tsdaten des Betroffenen noch ber den Identifizierungsvorgang hinaus zu speichern 86 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht z B weil die Daten zur Durchf hrung eines Vertragsverh ltnisses mit dem Betroffenen ben tigt werden und die Speicherung daher nach 8 28 Abs 1 Satz 1 Nr 1 BDSG zul ssig ist so rechtfertigt auch dieser Umstand nicht das Kopieren des Personalausweises des Betroffe nen Denn das Unternehmen k nnte auch in diesen F llen sofern der Ausweisinhaber an wesend ist und den Ausweis vorzeigt die ben tigten Daten aus dem v
103. Praxis blicher weise bereits die Pr fung der BCR Unterlagen seitens der jeweiligen federf hrenden Beh rde jedenfalls auch anhand der englischen Sprachfassung Die Federf hrung in den Verfahren zu Pr fung von BCR richtet sich grunds tzlich danach in welchem Mitgliedstaat die Muttergesellschaft des Konzerns ihren Sitz hat Sofern die Mutter gesellschaft ihren Sitz au erhalb der EU hat kommt es darauf an in welchem Mitgliedstaat die Europa Zentrale des Konzerns ans ssig ist vgl WP 107 der Artikel 29 Gruppe Da in Bayern die Muttergesellschaften oder Europa Zentralen zahlreicher international t tiger Konzerne ihren Sitz haben ist damit zu rech nen dass auf uns auch in den Folgejahren die Federf hrung in weiteren EU weiten BCR Pr fungen zukommen wird Umfassende Informationen zu BCR finden sich auf der Homepage der EU Kommission gt http ec europa eu justice data protection document international transfers binding corporate rules index_en htm Konzernen die an der Einf hrung von BCR interessiert sind ist die Lekt re dieser Informa tionen nachdr cklich zu empfehlen Darunter finden sich auch mehrere Arbeitspapiere Wor king Papers WP in denen die Artikel 29 Gruppe die Anforderungen an BCR zusam mengefasst hat um den interessierten Unter nehmensgruppen praktische Hilfe bei der For mulierung der BCR zukommen zu lassen Internationaler Datenverkehr Im Berichtszeitraum wurden
104. SG verpflichtet einem Betroffenen im Falle eines Auskunftsersuchens Auskunft zu erteilen gerade auch ber die Wahrscheinlichkeitswer te die sich zum Zeitpunkt des Auskunftsver langens nach dem von der Auskunftei ange wandten Verfahren f r den jeweiligen Betroffe nen ergeben Die Auskunftei hatte sich daher rechtm ig verhalten Daneben gab es auch eine Reihe von F llen in denen wir unter Aus bung pflichtgem en Ermessens 47 Abs 1 OWiG von der Einlei tung eines Bu geldverfahrens abgesehen oder eingeleitete Bu geldverfahren eingestellt ha ben insbesondere weil es sich um vergleichs weise geringf gige Verst e handelte und die Ahndung mit einer Geldbu e im konkreten Fall nicht berwiegend angezeigt war Als Beispiel seien einige Ordnungswidrigkeitenanzeigen im Zusammenhang mit Video berwa chungskameras genannt die zur berwachung von H usern verwendet wurden wobei jedoch das Kamerablickfeld so eingestellt war dass davon in einem berm igen Umfang auch ffentlicher Gehweg und oder Stra enbereich erfasst war In derartigen F llen war eine Ahn dung mit Geldbu e meist nicht angezeigt Vielmehr erweist es sich hier regelm ig als zielf hrender mit den Mitteln der Daten schutzaufsichtsbeh rde dem Kamerabetreiber die datenschutzrechtlichen Anforderungen an eine Video berwachung nachdr cklich zu er l utern und f r die Herstellung rechtm iger Zust nde zu sorgen was regelm ig gelingt
105. U Kommission in Kennt nis der Auffassung der amerikanischen Seite durch Fortschreibung ihres Safe Harbor Beschlusses bzw durch berarbeitung der Standardvertragsklauseln vornehmen Auf der Grundlage der derzeitigen Erkenntnis lage haben wir bislang keine Ma nahmen zur Aussetzung von Transfers personenbezogener Daten durch Unternehmen aus Bayern in die USA auf Grundlage von Art 3 Abs 1 Satz 1 Buchstabe b des Safe Harbor Entscheidung oder auf Grundlage hnlicher Befugnisse aus den EU Standardvertragsklauseln eingeleitet Auch sind jedenfalls auf Grund des gegenw r tigen Erkenntnisstandes von hiesiger Seite derzeit keine entsprechenden Ma nahmen vorgesehen Jedoch m ssen und werden wir die weiteren Entwicklungen und insbesondere die aktuellen Verhandlungen der Kommission mit der US Seite ber eine Verbesserung des Safe Harbor Schutzstandards sorgf ltig be obachten Zudem stimmen wir uns in der Be wertung der Problematik eng mit den anderen Datenschutzbeh rden in Deutschland und der EU ab Anfragende Unternehmen weisen wir jedoch darauf hin dass andere Datenschutz aufsichtsbeh rden in Deutschland diese Frage anders als wir beurteilen k nnten auch wenn uns bisher noch keine Anordnungen anderer deutscher Datenschutzbeh rden bekannt ge worden sind mit der eine Daten bermittlung in einen Drittstaat auf der Grundlage des Safe Harbor Abkommens oder von Standardver 106 T tigkeitsbericht 2013 14 Bayerisches Landesamt
106. agen auf Ersuchen des Versorgungsamts erfolgt Im Rahmen von Verfahren zur Feststellung des Grads einer Behinderung ersuchen die Versor gungs mter regelm ig die von den Antrag stellern benannten rzte um bersendung von aktuellen Befundberichten oder sonstigen me dizinischen Unterlagen rzte d rfen derartige Unterlagen nur dann an das anfragende Ver sorgungsamt bermitteln wenn der Patient d h der Antragsteller eine entsprechende Einverst ndniserkl rung abgibt die den Arzt zugleich von seiner Schweigepflicht entbindet Da die Patienten ihre Einwilligungserkl rung in der Regel gegen ber dem Versorgungsamt abgeben haben rzte bei uns angefragt ob sie das Versorgungsamt um Vorlage zumindest einer Kopie der Einwilligungserkl rung bitten m ssen oder ob sie auf den Hinweis des Ver sorgungsamts vertrauen d rfen dass der Pati ent eine solche Erkl rung abgegeben hat Den Anfragen der rzte lag ein Schreiben des Ver sorgungsamts zugrunde wonach dessen schriftliche Zusage dass die bermittlung da tenschutzrechtlich zul ssig sei f r den Arzt gen ge um dem Ersuchen rechtm ig nachzu kommen Da das Versorgungsamt als ersu chende Stelle dem Schreiben zufolge nach 8 67d Abs 2 Satz 2 SGB X bzw 15 Abs 2 Satz 2 BDSG die Verantwortung f r die Richtig keit des bermittlungsersuchens trage entbin de die Befundanforderung des Versorgungs amts den Arzt von der Verpflichtung die Ein haltung datenschutz
107. altet werden k nnen Entscheidende Bedeu tung kommt dabei jedoch der Tatsache zu dass eine Wartung f r das einwandfreie Funk tionieren medizinischer Ger te und damit f r die ordnungsgem e Behandlung der Patien ten erforderlich ist Dieses Ergebnis ist damit nicht auf andere Konstellationen im Gesund heitswesen bertragbar in denen externe Dienstleister zu anderen Zwecken z B zur Archivierung f r Schreibarbeiten oder zur Ab rechnung eingeschaltet werden sollen 1 18 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 16 3 Daten bermittlung von Hilfsmittelerbringern an Krankenkassen Welche Daten Hilfsmittelerbringer im Rahmen der Abrechnung an gesetzliche Krankenkassen bermitteln d rfen rich tet sich allein nach 8 302 Abs 1 SGB V Die Befugnis der Hilfsmittelerbringer die hierf r erforderlichen Daten zu erheben folgt aus 294 SGB V Hilfsmittelerbringer z B Orthop die Techniker oder Sanit tsh user erheben und verarbeiten im Rahmen der Leistungen f r ihre Kunden h ufig sensible Daten Insbesondere im Rah men der Abrechnung von Leistungen die f r gesetzlich Versicherte erbracht werden beste hen oftmals Unsicherheiten welche Daten vom Hilfsmittelerbringer an die Krankenkasse bermittelt werden d rfen insbesondere ob die bermittlung auch sensible medizinische Daten oder Fotos umfassen darf Zudem wurde uns die Frage gestellt auf welcher Rechts grundlage Hilfsmitt
108. alwahlen einreichte und auch einen Kandidaten f r das B rgermeisteramt benann te nach bayerischem Kommunalwahlrecht k nnen Wahlvorschl ge von Parteien oder von sog W hlergruppen eingereicht werden wobei als W hlergruppen jede Vereinigung oder Gruppe nat rlicher Personen in Betracht kommt deren Ziel es ist sich an den Kommu nalwahlen zu beteiligen Der Kandidat f r das B rgermeisteramt war seinerzeit einer der Initiatoren des B rgerbe gehrens gewesen Die Adressdaten der Unter st tzer des B rgerbegehrens waren bei ihm augenscheinlich noch vorhanden Der Kandidat f r das B rgermeisteramt griff nun im Vorfeld der Kommunalwahlen auf diese Adressdaten zur ck und verschickte an die damaligen Un terst tzer des B rgerbegehrens Wahlwerbung f r sich selbst sowie f r den Wahlvorschlag Kandidatenlisteliste dem er angeh rte Meh rere der so Angeschriebenen beschwerten sich bei uns ber diese Nutzung ihrer Daten Der von uns zur Stellungnahme aufgeforderte Be werber argumentierte er und die von ihm an gef hrte Liste Wahlvorschlag seien faktisch aus dem Kreis der Initiatoren des B rgerbegeh rens hervorgegangen Er und weitere der da maligen Initiatoren h tten sich nunmehr dazu entschieden sich als politische Gruppierung mit einer Kandidatenliste um Sitze im Gemein derat sowie um das B rgermeisteramt zu be werben um auf diese Weise durch Mitarbeit in den kommunalen Organen gerade auch das urspr nglic
109. anderen Eigent mer in recht m iger Weise zur Kenntnis nehmen Dies bedeutet jedoch nicht dass jegliche pro aktive Weitergabe von Kontaktdaten einzelner WEG Mitglieder die sich bei den Verwaltungs unterlagen befinden durch die Hausverwal tung an die anderen WEG Mitglieder stets zul ssig w re Vielmehr muss die Hausverwal tung im Einzelfall abw gen ob einer Weiterga be schutzw rdige Interessen des Betroffenen entgegenstehen Jedoch wird man aufgrund der o g Rechtsprechung nur in Ausnahmef l len zu dem Ergebnis kommen dass die Wei tergabe von Kontaktdaten der WEG Mitglieder die sich bei den Verwaltungsunterlagen befin den an die anderen Mitglieder derselben WEG unzul ssig ist Denn das einzelne WEG Mitglied k nnte sich gem der o g Rechtsprechung im Wege der Einsichtnahme in die Verwaltungs unterlagen auf legalem Weg Kenntnis von die sen bei den Verwaltungsunterlagen befindli chen Daten verschaffen Eine zus tzliche Schwierigkeit bestand im Falle einer bei uns eingegangenen Eingabe jedoch darin dass einer der Eigent mer dem Verwal ter eine nicht ver ffentlichte dienstliche Tele fonnummer ausdr cklich nur zu dem Zweck zur Verf gung gestellt hatte um f r den Ver walter im Notfall unkompliziert erreichbar zu sein Es ist bereits fraglich ob solche Kontakt daten die allein f r den Verwalter bestimmt waren berhaupt zu den Unterlagen der Wohnungswirtschaft und Mieterdatenschutz
110. angemesse ner Weise unterrichten und ihr Gelegenheit zur Stellungnahme geben In etwa hnliche Rege lungen enthalten auch alle EU Standard vertr ge Damit ist festzuhalten dass sowohl der Safe Harbor Beschluss als auch die EU Standard vertragsklauseln den Datenschutzbeh rden der EU Mitgliedstaaten jedenfalls f r bestimmte extreme F lle grunds tzlich die M glichkeit er ffnen Datenexporte in die USA bzw gene rell in einen Drittstaat zu unterbinden unge achtet des Umstands dass der Datenempf n ger eine g ltige Safe Harbor Zertifizierung besitzt oder mit ihm ein EU Standardvertrag abgeschlossen wurde Wir sind daher wie auch die anderen Datenschutzbeh rden in der EU aufgerufen die datenschutzrechtlichen Risiken f r die von solchen Daten bermittlun gen betroffenen Personen zu bewerten Zu kritisieren ist insoweit allerdings dass dem Safe Harbor Beschluss und auch den Stan dardvertr gen kaum handhabbare n here Anhaltspunkte dazu zu entnehmen sind f r welche praktischen Fallgestaltungen die dort vorgesehenen beh rdlichen Befugnisse zur Aussetzung von Daten bermittlungen zum Tragen kommen sollen Namentlich sind weder dem Safe Harbor Beschluss noch den Stan dardvertragsklauseln klare Aussagen dazu zu entnehmen wie in diesem Zusammenhang mit Datenzugriffen ausl ndischer Nachrichten dienste oder anderer ausl ndischer Beh rden umzugehen ist Eine weitere Pr zisierung k nn te allerdings nur die E
111. arauf hin dass sich jeder Diensteanbieter nach 8 2 Nr 1 TMG mit der Thematik einer Datenschutzerkl rung im Internetauftritt bzw in der mobilen Online Applikation zu besch ftigen hat selbst wenn ein Nutzer nicht aktiv Daten eingeben kann und auch keine Cookies o Verfahren genutzt werden Dies h ngt damit zusammen dass die Erhebung und Verwendung der IP Adresse des Nutzers als technische Steuerungsinformation zur bertragung von Informationen im Internet zwischen Diensteanbieter und Nutzer erforder lich ist Da die IP Adresse von den Aufsichtsbe h rden als personenbezogenes Datum ange sehen wird ist eine Information hierzu nicht entbehrlich Daraus ergibt sich dass eine Da tenschutzerkl rung zumindest hierzu selbst dann entsprechende Informationen beinhalten muss wenn ansonsten bei der Nutzung des Internetauftritts oder der mobilen Online Applikation kein weiterer Umgang mit perso nenbezogenen Daten ausgel st wird Nach unserer Erkenntnis sind die abstrakten fehlerhaften und unvollst ndigen Datenschutz erkl rungen h ufig darauf zur ckzuf hren dass Diensteanbieter oder deren Dienstleister die Datenschutzerkl rung entweder aus Un wissenheit oder Sorglosigkeit vollst ndig oder zumindest teilweise aus verschiedensten Mustern im Internet kopiert hatten bzw zum Teil auch online verf gbare Konfiguratoren zur Erstellung von Standard Datenschutzerkl rungen nutzten Allzu oft werden dabei sicher he
112. aten ber seinen Versicherungsver trag bermittelt Denn seine Ex Frau im vorlie genden Fall die versicherte Person hatte von seiner Versicherung die Auskunft erlangt dass ihm als Versicherungsnehmer die Kosten ihrer Behandlung erstattet worden waren Da die Information ber die Erstattung sf higkeit der Behandlungskosten f r die Frage entscheidend war ob die begonnene medizinische Behand lung fortgesetzt bzw abgeschlossen werden konnte berwog das Interesse der Frau an der Auskunftserteilung das Geheimhaltungsinte resse ihres geschiedenen Mannes Die Versi cherung war demnach gem 34 Abs 1 BDSG zur Auskunftserteilung verpflichtet berwiegt hingegen das Geheimhaltungsinte resse des Versicherungsnehmers besteht ge m 8 34 Abs 7 i V m 33 Abs 2 Satz 1 Nr 3 BDSG keine Pflicht zur Auskunftserteilung Die Versicherung ist in einem solchen Fall dann auch nicht befugt Auskunft zu erteilen Dies 70 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht ergibt sich zun chst aus dem Wortlaut des 8 33 Abs 2 Satz 1 Nr 3 BDSG wonach die Daten im Fall des berwiegenden rechtlichen Interesses des Dritten geheim gehalten werden m ssen Zudem w rde sich die Zul ssigkeit einer sol chen Daten bermittlung nach 8 28 Abs 2 Nr 2a BDSG richten und daher wiederum von ei ner Interessenabw gung abh ngen Vor die sem Hintergrund besteht in den F llen in de nen das Geheimhaltungsin
113. aten schutzbeauftragten Auch Personalakten k nnen vom Daten schutzbeauftragten im Rahmen seiner Aufgabenerf llung nach datenschutz rechtlichen Gesichtspunkten berpr ft werden Uns wurde ein Fall geschildert in dem einem Datenschutzbeauftragten die datenschutz rechtliche Pr fung von Personalakten in sei nem Unternehmen verweigert werden sollte Diesen Schutz der Personalakten auch ihm gegen ber hielt der Datenschutzbeauftragte als zu weitgehend und sah sich in der Erf llung seiner gesetzlichen Aufgaben beeintr chtigt Aufgrund seiner Aufgabenstellung nach 8 4g Abs 1 Satz 1 BDSG Hinwirkung auf die Ein haltung des BDSG und anderer Vorschriften ber den Datenschutz ist der Datenschutzbe auftragte nach unserer Auffassung auch be rechtigt stichprobenartig zum Zweck der Kon trolle der Einhaltung datenschutzrechtlicher Vorschriften Einsicht in Personalakten zu neh men z B um die Frage der Erforderlichkeit gespeicherter Daten zu den Besch ftigten im Rahmen von 32 Abs 1 BDSG zu pr fen Wir orientieren uns insoweit am Bundesar beitsgericht das z B f r den Fall der Revision entschieden hat dass f r deren Pr fungszwe cke im Einzelfall Einsicht in Personalakten ge nommen werden kann und dies nicht von einer Zustimmung des betroffenen Besch ftigten abh ngig ist Urteil vom 4 April 1990 Az 5 AZR 299 89 Gleiches muss aufgrund seiner Funktion auch f r den Datenschutzbeauftrag ten gelten sonst k
114. aten die gem 43 Abs 2 Nr 1 BDSG mit Geldbu e geahndet werden kann 12 3 2 Zul ssige personalisierte Wahl werbung durch Parteien und andere Wahlvorschlagstr ger Immer noch nicht durchg ngig bekannt ist offenbar die f r Parteien und andere Tr ger von Wahlvorschl gen gesetzlich er ffnete M glichkeit sich im Vorfeld politischer Wahlen Adressdaten von Werbung und Adressenhandel Wahlberechtigten aus dem Melderegister zu beschaffen Mehrere Beschwerdef hrer beschwerten sich auch im Vorfeld der Bayerischen Kommunal wahlen 2014 wieder ber pers nlich an sie adressierte postalische Wahlwerbung von Par teien oder einzelnen Kandidaten Offensichtlich sind die einschl gigen gesetzlichen Vorschrif ten die Parteien und anderen Wahlvorschlags tr gern ein solches Vorgehen erlauben noch nicht durchg ngig in der Bev lkerung bekannt Wir haben die Beschwerdef hrer darauf hin gewiesen dass sich gem Art 32 Abs 1 des Bayerischen Meldegesetzes BayMeldeG Par teien W hlergruppen und andere Tr ger von Wahlvorschl gen im Zusammenhang mit all gemeinen Wahlen und Abstimmungen auf staatlicher oder kommunaler Ebene in den sechs Monaten vor der Stimmabgabe aus dem Melderegister Namen und postalische An schriften von Gruppen von Wahlberechtigten beschaffen d rfen f r deren Zusammenset zung das Lebensalter der Betroffenen bestim mend ist sog Gruppenausk nfte Die Parteien und Tr ger von Wahlvorschl ge
115. atenexportierende Gesellschaft bei der f r sie rtlich zust ndigen Datenschutzbeh rde tun Diejenigen Beh rden die Datenexporte auf der Basis von BCR f r nicht genehmigungsbed rf tig halten darunter unsere Beh rde be gr nden ihre Auffassung damit dass BCR be reits im Rahmen der Bewertung der Angemes senheit des Datenschutzniveaus beim Daten empf nger im Sinne von 8 4b Abs 2 Satz 2 und Abs 3 BDSG ber cksichtigt werden k nnen Besitzt ein Konzern BCR die von den Daten schutzbeh rden in einem BCR Pr fverfahren als hinreichend akzeptiert worden sind kann nach Auffassung dieser Datenschutzbeh rden grunds tzlich angenommen werden dass die daran gebundenen konzernangeh rigen Ge sellschaften ein angemessenes Schutzniveau im Sinne von 8 4b Abs 2 Satz 2 und Abs 3 BDSG haben Datenexporte nach 4b Abs 2 Satz 2 BDSG bed rfen anders als nach 4c Abs 2 Satz 1 BDSG nicht der vorherigen Ge nehmigung Auf einer Website der EU Kommission findet sich eine bersicht dazu in welchen Mitglied staaten bzw Bundesl ndern dieses zus tzli che Erfordernis gilt dort unter dem Link Table of national administrative requirements _ gt http ec europa eu justice data protection documentj international transfers binding corporate rules tools index_en htm Die Datenschutzbeh rden der Mitgliedstaaten bem hen sich derzeit diese bersicht zu aktu alisieren K nftig soll darin u a eine g
116. atenverarbeiter Datenex porteure sind mithin alle Unternehmen die Verantwortliche Stellen sind und sich als Auf traggeber f r Zwecke der Auftragsverarbeitung eines ADV Konzerns bedienen m chten der BCR P anwendet Diese Auftraggeber m ssen daher selbst die entsprechende Datenexport genehmigung bei den f r sie rtlich zust ndi gen Datenschutzbeh rden beantragen jeden falls soweit die rtlich zust ndige Beh rde f r Datenexporte in unsichere Drittstaaten auf der Basis von BCR P von einer Genehmigungsbe d rftigkeit ausgeht Hierbei ist wie f r Daten exporte auf der Basis von BCR C auch f r Ex porte auf Grundlage von BCR P anzumerken dass ein Teil der Datenschutzbeh rden diese als genehmigungsbed rftig erachtet w hrend der andere Teil der Beh rden von Genehmi gungsfreiheit ausgeht Die Artikel 29 Gruppe wird auf der Homepage der Kommission in der bereits erw hnten ver ffentlichten Tabelle in K rze auch Angaben zu BCR P aufnehmen dort soll k nftig auch bez glich BCR P f r den Zust ndigkeitsbereich aller Datenschutzbeh r den in der EU angegeben werden ob die je weiligen Datenexporte genehmigungsfrei oder aber genehmigungsbed rftig sind gt gt gt http ec europa eu justice data protection documentj international transfers binding corporate rules tools index_en htm 14 3 Cloud Computing und Unter auftragserteilung Uns erreichten zahlreiche Anfragen baye rischer Unternehmen d
117. ationsschreiben in Abstimmung mit uns erstellt wurde Grunds tzlich ist festzuhalten dass die freiwil lige Abgabe eines Fragebogens als konkluden te Einwilligung in die Verwendung der ge machten Angaben anzusehen ist Dies kann jedoch nur gelten wenn ausreichend und transparent ber den vorgesehenen Umgang informiert wird Wir haben den Verein f r den Fall weiterer Fragebogenaktionen auf diese ausf hrliche Hinweispflicht hingewiesen 16 6 Einschaltung von rztlichen Verrechnungsstellen Bedient sich ein Arzt f r die Abrechnung bei privat Versicherten einer rztlichen Verrechnungsstelle ist hierf r vom Pati enten eine Einwilligungs und Schweige pflichtentbindungserkl rung einzuholen Diese Erkl rung ist h ufig fehlerhaft Im Gegensatz zu gesetzlich Versicherten rech nen rzte bei privat Versicherten direkt mit dem Patienten ab Um sich von dem mit der Rechnungsstellung verbundenen Verwaltungs aufwand zu entlasten schalten rzte teilweise hierauf spezialisierte Unternehmen sogenann te rztliche Verrechnungsstellen ein Die Rechtslage f r die Daten bermittlung an die rztliche Verrechnungsstelle ist eigentlich klar Patientendaten d rfen nur mit einer wirksamen Einwilligung und Schweigepflichtentbin dungserkl rung des Betroffenen dorthin ber mittelt werden Dennoch erreichen uns hierzu regelm ig Beschwerden Hier die h ufigsten Fehlerquellen e Fehlende Freiwilligkeit Die nach 8 4a Abs 1 Sa
118. auch als ausreichend ange sehen den bertragungskanal zu verschl sseln SSL TLS mit Perfect Forward Secrecy eine zus tzliche Verschl sselung der Inhalte vor der bertragung der Daten haben wir nicht gefor dert sofern die an der Transportverschl sse lung beteiligten Systeme ein ann hernd glei ches Sicherheitsniveau wie bei einer Inhaltsver schl sselung gew hrleisten 126 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Vereine und Verb nde I Vereine und Verb nde T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 127 BE Vereine und Verb nde 17 Vereine und Verb nde 17 1 Ver ffentlichung der Ergeb nisse von Sportwettk mpfen aus dem Amateurbereich im Internet Die Ver ffentlichung von Ergebnissen von Sportwettk mpfen aus dem Ama teurbereich im Internet ist zwar zumin dest grunds tzlich auch ohne Einwilli gung zul ssig sofern es sich um ffent lich ausgetragene Wettk mpfe handelt Die Ver ffentlichung ist jedoch zeitlich zu begrenzen Immer h ufiger erreichen uns Eingaben von Vereinsmitgliedern sowie Beratungsanfragen von Sportvereinen zur Frage der Zul ssigkeit der Ver ffentlichung von Ergebnissen von Sport Wettk mpfen mit personenbezogenen Daten im Internet So fragte uns ein Segel sportverein ob und ggf wie lange er Ergebnis se einer von ihm veranstalteten Regatta auf seiner Homepage ver ffentlichen d rfe Da Ver
119. auchswerte und Geschwindigkeitsklassen usw um das Fahrverhalten seiner Besch ftig ten anhand der f r ihn personenbeziehbaren Fahrzeugdaten detailliert zu kontrollieren Wir haben die Auffassung vertreten dass die Regelungen zum Besch ftigtendatenschutz 8 32 BDSG einer so weit gehenden Mitarbei terkontrolle entgegen stehen und die Werk statt in diesem Sinne f r ihr weiteres Vorgehen beraten 20 3 5 Auslesen von Fahrzeugdaten zu einem Dienstwagen Um einen umfassenden Eindruck von den ins gesamt in einem Kraftfahrzeug abgespeicher ten Daten und deren Personenbeziehbarkeit zu gewinnen haben wir die R ckgabe eines be h rdlichen Dienstwagens an den Hersteller nach Ablauf des Leasingvertrags dazu genutzt um uns vom Hersteller alle Daten in den ver schiedenen Steuerger tespeichern zu zeigen zu erl utern und ausdrucken zu lassen Der Hersteller ist unserer Bitte gerne gefolgt hat zu der Pr faktion ca 20 Mitarbeiterinnen und Mitarbeiter abgestellt um uns das Ausle sen der Daten aus den verschiedenen Kompo nenten zu zeigen transparent zu machen wel che Daten nur der Hersteller und welche eine Werkstatt auslesen kann und die Ergebnisse zu erl utern Einschlie lich einer Reihe von rein oder eher technischen Daten wie korrekte elektrische Spannungswerte f r verschiedene Funktionen den korrekten K ltemitteldruck oder die End werte bestimmter Hebelfunktionen usw erga ben sich dabei auch viele Daten die
120. auf den EC Karten statt Daten speicherung auf dem Magnetstreifen zu tun haben kann Im Folgenden stellen wir auff llige H ufungen von Sachverhalten und einige besondere Da tenpannen vor Sachverhalt 2010 Hacking von Internet Websites Kopieren von EC Kartendaten an Geldautomaten Skimming Diebstahl bzw Einbruch Diebstahl von Datentr gern oder DV Ger ten Fehlversendungen und Verlust von Datentr gern auf dem Transportweg Verschiedene weitere Sachverhalte 2011 21 1 Diebstahl bzw Einbruchdieb stahl von Datentr gern und IT Ger ten Sowohl 2013 wie auch 2014 betraf die gr te Gruppe von gemeldeten Datenpannen krimi nelle Handlungen des Diebstahls oder Ein bruchdiebstahls verschiedenster Arten von Datentr gern und IT Ger ten Dem h tte h u fig durch Datensicherheitsma nahmen wirksam abgeholfen werden k nnen Zum Beispiel werden teilweise auf ganz banale Art aus Bankbriefk sten berweisungs oder Scheckformulare entwendet zu den eigenen Gunsten der T ter verf lscht und dann wieder in den Verkehr gebracht Besondere Sicher heitsbriefk sten k nnen dem vorbeugen Eine sichere Ger teverschl sselung von IT Hardware wie Laptops oder Festplatten zum Beispiel mit dem AES 256 Algorithmus f hrt datenschutzrechtlich dazu dass eine Kenntnis nahme von personenbezogenen Daten ausge schlossen ist und l sst damit auch keine Infor mationspflichten der verantwortlichen Stelle gegen ber d
121. auf her k mmliche Webseiten setzten Im Rahmen dieser koordinierten Pr fung des Global Privacy Network GPEN wurden mit vorab festgelegten internationalen Pr fkrite rien die Transparenz der Apps berpr ft Ziel war es zun chst einen berblick ber die je weiligen Angebote zu erhalten eine Vergleich barkeit herzustellen und insbesondere daten schutzrechtliche M ngel festzustellen Nach Durchf hrung des Sweeps ist es den Aufsichtsbeh rden freigestellt weitergehende Pr fungen auf Basis des jeweils nationalen Rechts durchzuf hren Einer solchen weiterge henden Pr fung haben wir die Apps auch auf grund des erschreckenden Pr fungsergebnis ses dass nur 25 der gepr ften Apps ber eine App spezifische Datenschutzerkl rung verf gten unterzogen Die 30 von uns behan delten Apps wurden dabei nicht allein auf die Pr fung der Transparenz limitiert sondern zum Teil auch technisch berpr ft 2014 wurde ein weiterer Sweep Day organi siert bei dem diesmal explizit Apps und deren Transparenz im Pr ffokus standen Auch hieran haben wir uns beteiligt Aus Gr nden der Ver gleichbarkeit beschr nkten wir uns bei der Pr fung nach den internationalen Kriterien jedoch nicht mehr nur auf bayerische Apps jeweils 15 iOS und Android Apps sondern pr ften auch internationale Apps ebenfalls Kontrollen und Pr fungen jeweils 15 iOS und Android Apps Dar ber hinaus kontrollierten wir nochmals die von uns i
122. aufsicht grund aktuell bewerten und ob ggf aufsichts beh rdlich gegen solche Daten bermittlungen eingeschritten werde Diese vor allem von Unternehmen gestellten Anfragen konzentrierten sich letztlich auf die Frage inwieweit die europ ischen Daten schutzbeh rden bermittlungen personenbe zogener Daten in die USA vor dem Hinter grund der Berichte ber den Umfang an Da tenzugriffen dortiger Nachrichtendienste un tersagen und wie sich datenexportierende deutsche Unternehmen verhalten sollten Die Konferenz der Datenschutzbeauftragten des Bundes und der L nder hat in einer Pres semitteilung vom 24 07 2013 erkl rt dass die deutschen Datenschutzbeh rden vor dem Hin tergrund der Darstellungen ber Datenzugriffe US amerikanischer Nachrichtendienste pr fen m ssen ob Daten bermittlungen in Drittstaa ten namentlich in die USA auszusetzen sind Vor allem diese Pressemitteilung war Anlass f r zahlreiche bei uns eingegangene Anfragen bayerischer Unternehmen Den anfragenden Unternehmen erl uterten wir unsere gegenw rtige datenschutzrechtliche Bewertung wie folgt Personenbezogene Daten d rfen aus dem Inland in einen Drittstaat nur bermittelt wer den wenn dort ein von der EU Kommission f rmlich gem Art 25 Abs 6 der EG Datenschutzrichtlinie RL 95 46 EG anerkann tes sog angemessenes Datenschutzniveau besteht 4b Abs 2 Abs 3 BDSG oder wenn anderweitig ausreichende Garantien f r den Schutz
123. ausible Gr nde gibt sofern jedoch ein Vereinsmitglied damit nicht einverstanden ist bringt es sein Interesse am Unterbleiben der Bekanntgabe zum Ausdruck Welche Interessen berwiegen ist nicht leicht zu beurteilen Jedoch sollte bedacht werden Wenn der Beschwerdef hrer im vorliegenden Vereine und Verb nde Fall mit der Ver ffentlichung nicht einverstan den ist w re denkbar dass der Verein die Auf fassung vertritt ihm unter diesen Umst nden mit Berufung auf Sicherheitsgr nde die Benut zung des vereinseigenen Flugplatzes und oder von Maschinen nicht mehr zu erlauben Ein solcher Streit w re sofern anderweitig keine Einigung gelingt letztlich nur auf zivilrechtli chem Weg zu l sen Mit datenschutzrechtli chen Mitteln konnte die Meinungsverschie denheit daher nach unserer Auffassung nicht beigelegt werden Um die mit der Interessenabw gung verbun denen Schwierigkeiten zu vermeiden haben wir dem Verein empfohlen eine ausdr ckliche Regelung dahingehend zu treffen dass die Benutzung des Flugplatzes bzw von Maschi nen nur unter der Voraussetzung zul ssig ist dass der Pilot eine Telefonnummer angibt unter der er grunds tzlich f r R ckfragen in den dargestellten F llen erreichbar ist Liegt eine solche vereinsinterne Regelung vor so kann sie die entsprechende Datenverarbeitung grunds tzlich legitimieren da der Verein unter Inanspruchnahme der grundgesetzlich ver b rgten Vereinsfreiheit Art 9 Abs
124. be stimmtes Gesch ft forderte allerdings vom Unternehmen eine Liste mit den Namen der Mitarbeiter um einen Abgleich vornehmen und etwaigen Missbrauch verhindern zu k n nen Das Unternehmen fragte an ob dies da tenschutzrechtlich in Ordnung sei Da der Ausweis des Unternehmens kein Licht bild enth lt bestand die Gefahr des Miss brauchs indem ein Mitarbeiter seinen Ausweis einem unberechtigten Dritten gibt der diesen dann beim Einkauf vorlegen und so in den Genuss des Rabatts kommen k nnte Unab h ngig davon dass wir keine Rechtsgrundlage T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 11 a Besch ftigtendatenschutz daf r gesehen haben eine Mitarbeiterliste an die Partnergesch fte zu bermitteln k nnte ein Missbrauch auch durch einen Abgleich von Firmen Ausweis und Mitarbeiterliste nicht ver hindert werden Wir schlugen vor dass ein Mitarbeiter neben den vom Unternehmen aus gestellten Firmenausweis noch seinen Perso nalausweis vorzuzeigen h tte Dadurch w ren eine Identifizierung der Person und eine Fest stellung der Berechtigung eindeutig m glich Es handelt sich um eine freiwillige Angelegen heit des Arbeitgebers wenn er seinen Mitar beitern die M glichkeit eines verg nstigten Einkaufs bei verschiedenen Gesch ften bietet so dass hier eine Einwilligungsl sung m glich ist Der Arbeitgeber kann die o g Identifizie rungsbedingungen vorgeben zu denen diese Verg
125. be keine Aus sage dar ber ob bzw welche Daten an die Restwertb rse bermittelt worden seien Das Versicherungsunternehmen vertrat die Auffassung dass die Restwertb rse keine per sonenbezogenen Daten erhalten habe Vor diesem Hintergrund sei im Rahmen der Aus kunftserteilung nach 34 Abs 1 BDSG auch nicht auf die Restwertb rse eingegangen wor den Diese Einsch tzung teilen wir nicht Denn die FIN erm glicht es auch privaten Stellen den Halter des Fahrzeugs ohne unverh ltnis m igen Aufwand zu ermitteln Hierzu gen gt eine einfache Registerauskunft nach 8 39 Abs 1 des Stra enverkehrsgesetzes StVG wonach Versicherungswirtschaft die Zulassungsbeh rde oder das Kraftfahrt Bundesamt u a den Namen und die Anschrift des Fahrzeughalters bermittelt wenn der Empf nger unter Angabe der FIN ein berech tigtes Interesse an diesen Daten darlegt Eine solche Abfrage bereitet weder einen gro en Aufwand noch verursacht sie hohe Kosten vgl Urteil des AG Coburg vom 07 11 2012 Az 12 C 179 12 und Urteil des LG Kassel vom 25 02 2014 Az 1 S 172 13 F r die Einordnung der FIN als personenbezogenes Datum im Sinn des 3 Abs 1 BDSG spricht auch die Regelung in 45 Satz 2 StVG wonach die FIN ausdr ck lich zu den Daten geh rt die einen Bezug zu einer bestimmten oder bestimmbaren Person erm glichen Wir haben daher das Versiche rungsunternehmen darauf hingewiesen dass sie der Restwertb rse mit der FIN ein pers
126. beh rde Wir das Bayerische Landesamt f r Daten schutzaufsicht BayLDA sind f r die Daten schutzaufsicht im nicht ffentlichen Bereich in Bayern zust ndig Wir ben diese Aufgabe neben dem Bayerischen Landesbeauftragten f r den Datenschutz der f r die Kontrolle und Beratung im ffentlichen Bereich zust ndig ist als eigenst ndige unabh ngige Datenschutz beh rde aus Personelle nderungen haben sich im Berichts zeitraum nicht ergeben Es sind nach wie vor auf 16 Planstellen 17 Mitarbeiterinnen und Mitarbeiter besch ftigt 1 2 Gesetzliche Grundlage f r die Erstellung des T tigkeits berichts Gem 38 Abs 1 Satz 7 des Bundesdaten schutzgesetzes BDSG hat die Aufsichtsbeh r de regelm ig sp testens alle zwei Jahre ei nen T tigkeitsbericht zu ver ffentlichen Der letzte T tigkeitsbericht f r die Jahre 2011 und 2012 wurde der ffentlichkeit am 21 M rz 2013 vorgestellt e Leitung e Grundsatzfragen e ffentlichkeitsarbeit Eee ale ale eis ee os Besch ftigten Banken e Versicherungen Internet Industrie e Technischer datenschutz e Auskunfteien e Gesundheits Telemedien Handel Datenschutz Video Werbung Wesen e Geodatendienste Bu geldverfahren gt MFSiaheinen berwachung e Freiberufliche i Auftragsdaten een Apps Internationaler verarbeitung T tigkeiten Datenverkehr Kundenbindung Soziale e Vereine Einrichtungen e Datenschutz organisa
127. bei Kennt nis des Halters Fahrers oder Mitfahrers perso nenbeziehbare Aussagen erlauben Zeit und gefahrene Wegstrecke seit der letzten Inspek tion lassen z B erkennen wie sorgf ltig ein Halter sein Fahrzeug pflegt Das Beispiel des Prozentwertes Fahrzeitanteil sportlich l sst R ckschl sse auf die Fahrweise des Fahrers zu Und Sitzbelegungswerte k nnen im Zusam menwirken mit Daten ber nicht geschlossene Sicherheitsgurte in einer Unfallsituation gege benenfalls Aussagen ber das Verhalten von Mitfahrern erlauben Selbstverst ndlich haben wir vorher die Einwil ligung des Fahrers und seines Hauptfahrgastes die diesen Wagen in den letzten Jahren fast ausschlie lich genutzt haben eingeholt Der Fahrer hat an der Pr fung teilgenommen und war wie wir auch durchaus berrascht welche Erkenntnisse ber das Fahrverhalten auslesbar waren Anhaltspunkte daf r dass mit diesen Daten durch Hersteller oder Werkstatt daten schutzrechtlich unzul ssig umgegangen wor den w re haben sich nicht ergeben Unsere dabei gewonnenen Erkenntnisse flie en in die unter Kapitel 20 2 erw hnten Gespr che mit dem Verband der Automobilindustrie zur Umsetzung der Entschlie ung der Daten schutzkonferenz mit ein 20 4 GPS Ortung von Mietwagen Die GPS Ortung von Mietwagen ohne Information des Mieters ist auch dann unzul ssig wenn es sich um hochpreisige Kraftfahrzeuge handelt und ein Dienst leister die Ortung im Rahmen eines G
128. ben Funktionseinheit angesiedelt sein da eine solche L sung das Audit zu einer Art Selbstkontrolle durch den zu Kontrollierenden selbst machen w rde was naturgem nicht akzeptabel ist Da es sehr naheliegt dass bei Konzernen mit deutscher Muttergesellschaft die BCR einf h ren m chten die Datenschutzbeauftragten im Sinne von 4f BDSG die Zust ndigkeit erhal ten auf die Umsetzung der BCR wie auch des gesetzlichen Datenschutzrechts im Alltag hinzuwirken k nnen diese nicht gleichzeitig zu BCR Auditoren bestimmt werden Diese Tren nung der Zust ndigkeiten muss aus dem Text der BCR klar hervorgehen Dies mag aus deut scher Sicht etwas berraschend und unbefrie digend erscheinen liegt jedoch in der Syste matik der BCR begr ndet und wurde auch von den Datenschutzbeh rden der anderen Mit gliedstaaten nachdr cklich bekr ftigt Die Zust ndigkeit f r das BCR Audit muss da her anderen Funktionstr gern berantwortet werden als denjenigen die auf die BCR Compliance im Alltag hinwirken sollen Denk bar ist es z B die BCR Audits einer Abteilung im Konzern zu berantworten die auch Audits Internationaler Datenverkehr bzw Compliance Pr fungen zu anderen Themen durchf hrt Je nach Organisations struktur des Konzerns sind aber auch andere L sungen denkbar Sofern es z B eine zentrale Datenschutzabteilung o im Konzern gibt k nnte das Audit dieser Abteilung zugewiesen werden so
129. ben Pflich ten treffen wie sie f r den ersten Auftrag nehmer gelten Andernfalls w rde sich die datenschutzrechtliche Verantwortlichkeit des Auftraggebers jedenfalls f r die bei den Unter auftragnehmern erfolgenden Datenverarbei tungsschritte verfl chtigen was mit 11 Abs 1 BDSG nicht vereinbar w re 102 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Neues Verfahren zur EU weit koordinierten Pr fung von Vertragsklauseln zur internatio nalen Auftragsdatenverarbeitung Wie im vorangegangenen Gliederungspunkt erl utert haben uns im Berichtszeitraum meh rere Unternehmen die die Auslagerung von Datenverarbeitungen an Cloud Computing Anbieter oder Anbieter sonstiger Auftragsda tenverarbeitungsdienste erwogen um Bewer tung der datenschutzrechtlichen Vertragsklau seln gebeten die ihnen hierbei durch h ufig US amerikanische Cloud oder ADV Anbieter unterbreitet wurden Wie uns aus dem Kontakt mit Datenschutzbeh rden anderer Mitglied staaten bekannt ist erhalten auch andere Da tenschutzbeh rden in der EU h ufig hnliche Bitten um Bewertung vorformulierter Vertrags klauseln die Anbieter von Cloud bzw Auf tragsverarbeitungsdiensten ihren potentiellen Kunden Auftraggebern zum Abschluss vorle gen H ufig bieten die Anbieter von Cloud und ADV Diensten dieselben datenschutz rechtlichen Vertragsklauseln f r potentielle Kunden weltweit und somit auch in den ver schied
130. ber bei Markt und Meinungs forschungsunternehmen u ueenssennssennssssnnnsssenunssennnssennnsssennnesenenssennnssennnssnnnrssannnssenunssennnsnanenen 112 15 7 Einschaltung von Personalberatern bei Bewerbungsverfahren uaseeseeneene 113 16 Gesundheit und Soziales uesusosseonenensseenenesnennenssnenenesnsnesnenennensnesnenennensnenesnsnennenennsnsnnrsenennenene 115 16 1 Pr fungen von Arztpraxen sesseeeenssennnssennnsssnnnsssnnunssnnnnsennnnnenennnesenenssenunssennnssennnssnnnssenunssnnnnsssnnnssnanen 116 16 2 Fernwartung medizinischer Ger te mit Einschaltung von Subunternehmenn uee 117 16 3 Daten bermittlung von Hilfsmittelerbringern an Krankenkassen 119 16 4 _Daten bermittlung von rzten an das Versorgungsamt uueesssesssssssmnmnnnnnnseseeene 120 16 5 Erhebung von Gesundheitsdaten durch einen Verein mittels Fragebogen u s 121 16 6 Einschaltung von rztlichen Verrechnungsstellen uuseseseenssseennssenunseennnneennnnennner 122 16 7 Identifizierung von Patienten mittels Foto oder Ausweiskopie unseemeeeneene 123 16 7 1 Identifizierung mittels Foto ssesesennnsseennseennnseennnsesnnnssenenssennnssennnssennnnssnnunssnnnnsenannnenen 123 16 7 2 Identifizierung mittels Ausweiskopie uunseennseennseennnsesennsesenenssenunssenunssennnnssnnunssnnnnnenannnenen 123 16 8 GPS f r Demenzkranke uuunsensennseennnssennnsseennssennnsennnnsssennnssennnssenunssennnssennnnsennnnsse
131. bermit teln d rfen Denn auch bei einem Foto das der Hilfsmittelerbringer von einem K rperteil des Kunden anfertigt handelt es sich um ein per sonenbezogenes Datum dessen bermittlung sich nach den oben genannten datenschutz rechtlichen Vorschriften richtet Vor diesem Hintergrund kann grunds tzlich auch die bermittlung eines Fotos an die Krankenkasse nach 8 302 Abs 1 SGB V zul ssig sein Wie bei sonstigen Daten ist aber zu pr fen ob es sich dabei um eine erforderliche Angabe ber den Befund handelt bzw ob wegen der besonderen Sensibilit t der gemachten Aufnahme nur eine bermittlung an den MDK in Betracht kommt Ein Verfahren das unabh ngig von den Um st nden des Einzelfalls generell die bermitt lung von Fotos an die Krankenkasse vorsieht gen gt diesen Anforderungen nicht Welche Daten umgekehrt die Krankenkassen von den Leistungserbringern erheben d rfen richtet sich nach den 88 284 ff SGB V diese Frage entzieht sich jedoch angesichts der Tatsache dass es sich bei den gesetzlichen Krankenkas sen um ffentliche Stellen handelt unserer Beurteilung 16 4 Daten bermittlung von rzten an das Versorgungs amt bermittelt ein Arzt im Rahmen eines Schwerbehindertenverfahrens medizini sche Unterlagen an ein Versorgungsamt tr gt er auch dann die Verantwortung f r das Vorliegen einer wirksamen Einwilli gungs und Schweigepflichtentbindungs erkl rung des Patienten wenn die ber mittlung der Unterl
132. bestand siehe Grafik Bei den meisten berpr ften Praxen wurde inzwischen nachgebessert so dass der Ab schluss der letzten Pr fungen unmittelbar be vorsteht Wir gehen davon aus dass wir das Ziel unserer Pr fung den rzten und ihren Mitarbeitern die Sensibilit t der Patientendaten und die erforderliche Sorgfalt beim t glichen Umgang mit diesen nochmals bewusst zu ma chen erreicht haben Au erdem haben wir den Eindruck dass wir nicht nur die gepr ften Pra xen sondern durch die Streuwirkung auch andere Praxen erreicht auf uns aufmerksam gemacht und sensibilisiert haben Weitere Ausf hrungen zu dieser Pr fung be finden sich im Kapitel 16 1 Vorgefundene M ngelbereiche Verfahrensverzeichnis ADV Vertr ge PC Zugangssicherung Webseite E Mail Sicherheit Backup Verschl sselung Einwilligungsformulare 6 8 10 12 14 16 Anzahl der Arztpraxen mit dem jeweiligen Defizit 30 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 4 8 Smart TV Der Spion im eigenen Wohnzimmer TV mit Augen oder schlichtweg ein heimlicher Schn ffler Smart TVs wurde 2013 in den Medien einiges unterstellt z B im Hintergrund heimlich das Umschaltverhalten des Fernseh zuschauers zu bertragen und gar mittels ein gebauter Kamera den Nutzer gezielt zu Hause zu berwachen Da die Berichterstattung zu diesem Zeitpunkt nur sehr wenige technische Fakten pr sentierte und diese
133. bestimmten Person einzustufen sind bedeutet noch nicht dass der gesamte Inhalt jenes Dokuments aus personenbezogenen Daten im rechtlichen Sin ne best nde Es gibt durchaus Inhalte die kei nen Informationsgehalt zu einer bestimmten oder bestimmbaren nat rlichen Person haben und die deshalb nicht unter den gesetzlichen Begriff des personenbezogenen Datums fallen So sagen etwa technische Beschreibungen eines Gegenstandes grunds tzlich lediglich etwas ber den Gegenstand als solchen aus nicht jedoch auch ber eine Person etwa den Eigent mer des Gegenstands und sind daher f r sich gesehen keine personenbezogenen Daten Inhalte die z B lediglich interne Ar beitsprozesse oder Verwaltungsvorg nge der T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 45 verantwortlichen Stelle beschreiben stellen f r sich gesehen ebenfalls keine Einzelangaben ber eine nat rliche Person im Sinne des Begriffs des personenbezogenen Datums 8 3 Abs 1 BDSG dar Bei der Bearbeitung bei uns eingegangener Beschwerden haben wir den Beschwerdef h rern in solchen F llen daher erl utert dass der datenschutzrechtliche Auskunftsanspruch auf personenbezogene Daten im gesetzlichen Sinne beschr nkt ist und haben versucht die Reichweite des Anspruchs im konkreten Fall zu erl utern Wie weit im konkreten Einzelfall Dokumenten und Dateiinhalte personenbezogene Daten des Auskunftbegehrenden
134. bez glich der Schl ssel l nge es ist angedacht nach Pr fung der Verh ltnism igkeit entsprechend 9 BDSG im Rahmen von weiteren automatisierten Online Pr fungen eine Erh hung der Schl ssell nge auf 2048 Bit RSA bei personenbezogenen Daten mit normalen Schutzbedarf und 4096 Bit RSA bei personenbezogenen Daten mit er h htem Schutzbedarf einschlie lich Perfect Forward Secrecy als aktueller Stand der Technik aufsichtlich durchzusetzen X 509 SSL Zertifikat Bit L nge vs Tats chlich verwendete Bit L nge X 509 X 509 X 509 1024 bit 2048 bit 4096 bit Tats chlich verwendete Bit L nge W512 bit W768 bit 1024 bit E2048 bit W 4096 bit Im Rahmen der E Mail Server Pr fung wurde bei Einsatz von PFS auch berpr ft welche Schl ssell nge bei den jeweiligen Verbindun gen zum Einsatz kam Sehr h ufig wurde fest gestellt dass die Bitl nge des Server Zertifikats 2048 Bit RSA betr gt die Bitl nge des Ver schl sselungsschl ssels aber nur 1024 Bit RSA In einigen F llen waren die tats chlichen Verbindungen sogar nur mit 512 Bit RSA abgesichert wobei die Serverzertifikate 2048 22 10 Besucherstrommessung mit dem Smartphone Ger tebezogene Identifikatoren wie die MAC Adresse sollen zur Bewegungspro filbildung von Besuchern in Einkaufszen tren und Restaurants verwendet werden und werfen die Frage auf wem denn die 166 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht
135. bzw des EWR haben Eine Beauftragung von Unternehmen au erhalb der EU bzw des EWR ist daher trotz Vorliegens eines Vertrags nach 8 11 BDSG nur dann zul ssig wenn eine Rechtsvorschrift die Daten bermittlung erlaubt oder der Betroffene eingewilligt hat Als ge setzliche Rechtsgrundlage kommt im vorlie genden Fall insbesondere Art 27 Abs 5 des Bayerischen Krankenhausgesetzes in Betracht wonach eine bermittlung im Rahmen des Behandlungsverh ltnisses zul ssig ist Das Be handlungsverh ltnis erstreckt sich dabei nicht nur auf die durch den Arzt oder das sonstige Krankenhauspersonal durchgef hrten Behand lungen sondern umfasst auch das Bereitstellen ordnungsgem funktionierender Ger te die eine einwandfreie Behandlung des Patienten gew hrleisten sollen Im Ergebnis kann daher die Fernwartung durch einen Subunternehmer au erhalb der EU bzw des EWR ausnahmswei se als zul ssig angesehen werden wenn dies f r das ordnungsgem e Funktionieren medi zinischer Ger te erforderlich ist Wie bei jeder Fern Wartung sind dabei zur Gew hrleistung der Datensicherheit technische und organisa torische Ma nahmen zu treffen die dem ho hen Schutzbedarf der betroffenen Daten Rech nung tragen insbesondere setzt die M glich keit auf personenbezogene Daten zuzugreifen eine Freischaltung durch das Krankenhaus voraus Um auch bei Unternehmen mit Sitz au erhalb der EU bzw des EWR ein angemessenes Da tenschutzniveau sicherz
136. ch wenn er gegebenenfalls gewisse Zusatzklauseln enth lt Denn nur in diesem Fall steht mit dem EU Standardvertrag ein hin reichend eindeutiger Ma stab zur Verf gung anhand dessen eine koordinierte Pr fung unter Ber cksichtigung des damit verbundenen Auf wands leistbar ist Durch diese Einschr nkung soll zudem Cloud Anbietern ein Anreiz gebo ten werden ihren Kunden datenschutzrechtli che Vertragsklauseln anzubieten die dem EU Standardvertrag m glichst entsprechen und damit ein hohes Datenschutzniveau gew hr leisten Die koordinierte Pr fung solcher Vertragsklau seln durch die Datenschutzbeh rden wird auf die Frage beschr nkt sein ob der angebotene Vertrag auch wenn er ggf gewisse Zusatzklau seln enth lt letztlich keine nachteiligen Abwei chungen im Vergleich zum o g EU Standardvertrag beinhaltet vgl WP 226 Nr ILA und Nr I1 B 3 Eine dar ber hinausge hende Komplettpr fung des angebotenen Datenschutzvertrages durch die Datenschutz beh rden etwa im Hinblick auf die technisch organisatorischen Ma nahmen ist hierbei nicht beabsichtigt sie ist im geltenden Datenschutz recht nicht vorgesehen und w re im brigen mit Blick auf die Kapazit ten der Datenschutz beh rden und die Vielzahl der am Markt ange botenen grenz berschreitenden Cloud und sonstigen ADV Dienste auch kaum leistbar Es wird interessant sein zu beobachten inwie weit international t tige Anbieter von Cloud Computing
137. che Stelle Die Gesch ftsinhaber gaben bei der Pr fung meist an dass damit haupts chlich die Verkaufsfl chen zum Schutz des Eigentums berwacht werden sollen Bereiche die nicht video berwacht werden d rfen wie z B Kundenumkleiden oder Auf enthaltsr ume f r Mitarbeiter wurden nach berpr fung des uns vorgelegten Bildmaterials und auch nach dem Ergebnis der Vor Ort Pr fung nicht erfasst Ebenso haben sich Bef rchtungen dass weite Fl chen der Fu g ngerzone von den Gesch ften aus video berwacht w rden in den allermeisten F llen nicht best tigt Lediglich einzelne Unterneh men wurden aufgefordert die Einstellungen der Kameras entsprechend abzu ndern Inte ressanter Weise werden die Daten nur bei gut der H lfte der berpr ften Unternehmen ge speichert die anderen verzichteten auf diese Art der Datenverarbeitung Zudem setzt erfreu licherweise keines der berpr ften Unterneh men eine Tonaufzeichnung ein Alle Unternehmen kamen insgesamt der Kenn zeichnungspflicht nach 8 6b Abs 2 BDSG nach Teilweise wurde sogar darauf hingewiesen obwohl keinerlei berwachungsger te instal liert waren Die Vor Ort berpr fung ergab jedoch bei manchen H ndlern dass die Hin weisschilder zu klein an zweifelhaften Stellen oder durch Werbetafeln verdeckt waren Hier haben wir zur Nachbesserung aufgefordert Im Ergebnis haben wir erkannt dass es zwar einige Unzul nglichkeiten bei der Video ber wa
138. cheiden allenfalls im Augenblick noch in den geringeren M glichkeiten auf personenbezogene Daten wie Kontakte oder Standort zu zugreifen liegt es nahe diese daten schutzrechtlich auch identisch zu be werten siehe Kapitel 3 4 6 e Betreiber von Personalisierungsdiens ten z B beim elektronischen Pro grammf hrer Neben den bertragungen von techni schen Grundfunktionen standen Perso nalisierungsdienste ganz besonders im Fokus der Pr fung Dies sind zum Bei spiel Programmempfehlungen anhand des bisher angesehenen Fernsehpro gramms oder Werbeeinblendungen auf Basis von aufgenommenen Sendungen oder gestarteten Apps Da bei den Da tenfl ssen zur Generierung von perso nalisierten Diensten meist eine eindeu tige Ger te ID z B MAC Adresse fest gestellt wurde und diese Ger te ID auch bei einer Registrierung zum Bei spiel mit einer E Mail Adresse bertra gen wird sehen wir bei den Personali sierungsdiensten des Smart TV vom Grundsatz her einen Personenbezug als gegeben an Insgesamt betrachtet k nnen wir festhalten dass eine detaillierte Pr fung von Daten ber tragungen bei Smart TVs bei aktuellen Model len meist u erst schwierig ist da viele ber tragungen mit dem HTTPS Protokoll abgesi chert sind Auch ist die Implementierung in nerhalb der Ger te mittlerweile so dass mit Man In The Middle Techniken die HTTPS Verbindungen in unseren Laboraufbauten nicht mehr zu Pr fzwecken umgang
139. chem Datenschutzrecht gepr ft Durch die beiden Sweeps konnten wir innerhalb kurzer Zeit eine gro e Anzahl von Apps sichten und so eine Vergleichbarkeit her stellen um konkrete M ngel in der Transpa renz erkennen zu k nnen Dies f hrte dazu dass wir Hinweise zu den Anforderungen an Datenschutzerkl rungen f r bayerische App Anbieter ver ffentlichten und dieser Thematik auch in unserer 2014 erstellten umfangreichen Orientierungshilfe zu den Datenschutzanforde rungen an App Entwickler und App Anbieter ein besonderes Gewicht beima en Diese Orientierungshilfe und andere umfas sende Informationen zum Thema Mobile Ap plikationen befinden sich auf unserer Websei te gt gt gt http www lda bayern de MobileApplikationen index html 7 3 Pr fung des Einsatzes von Adobe Analytics im Internetauftritt bayerischer Unternehmen Bereits bei der Durchf hrung der Google Analytics Pr fung im vergangenen Be richtszeitraum vgl 5 T tigkeitsbericht 2011 2012 Kapitel 4 1 3 hatten wir an gek ndigt den Einsatz eines weiteren Verfahrens zur Reichweitenmessung von Webseiten im Rahmen einer weiteren Online Pr fung zu pr fen Im Berichts zeitraum haben wir deshalb das Verfah ren zur Reichweitenmessung von Adobe Adobe Analytics ehemals Omniture SiteCatalyst gepr ft Auf Grundlage des Beschlusses des D sseldor fer Kreises vom 26 27 11 2009 ber die bean standungsfreie Ausgestaltung von Analyseve
140. chen Wohnort der Hintergrund In solchen F llen wurden wir von betroffenen Personen eingeschaltet um schnellstm glich f r eine Datenberichtigung zu sorgen Nicht immer sind solche Verwechslungsf lle mit entsprechender Sorgfalt von vorne herein vermeidbar z B wenn Vater und Sohn den gleichen Vornamen haben und unter gleicher Anschrift wohnen oder wenn sonst Namens gleiche auch noch zuf llig das gleiche Ge burtsdatum haben F hrt allerdings im Schwerpunkt das Wohnum feld schon zu einem schlechteren Scorewert z B nach dem Umzug einer Person so ist die Geeignetheit des Scoreberechnungsverfahrens grunds tzlich zu hinterfragen 78 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Werbung und Adressenhandel 12 Werbung und Adressenhandel T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 79 3 Werbung und Adressenhandel 12 Werbung und Adressenhandel 12 1 Anwendungshinweise Werbung und Adresshandel Die Anwendungshinweise der Aufsichts beh rden wurden inzwischen wesentlich erweitert Die Ad hoc Arbeitsgruppe Werbung und Adresshandel der Datenschutzaufsichtsbeh r den siehe dazu unseren 5 T tigkeitsbericht 2011 2012 Kapitel 10 2 hat sich in weiteren jeweils zweit gigen Sitzungen 2013 und 2014 unter unserer Leitung auch mit Erg nzungen der ver ffentlichten Anwendungshinweise zu den Datenschutzvorschriften ber den Um gang mit personenbez
141. cht hinreichend Rechnung Diesen Vorgaben des BVerfG wird die neue Erkl rung dadurch gerecht dass der Betroffene nur in die Erhebung Verarbeitung und Nut zung seiner Gesundheitsdaten einwilligen soll soweit dies zur Antrags bzw Leistungsfallpr fung erforderlich ist Vor diesem Hintergrund ergibt sich unserer Einsch tzung nach aus der Entscheidung des BVerfG derzeit kein nde rungsbedarf f r die mit der Versicherungswirt schaft abgestimmte Einwilligungs und Schweigepflichtentbindungserkl rung Die Versicherungen haben aber daf r Sorge zu tragen dass sich die Erhebung von Gesund heitsdaten tats chlich auf das erforderliche Ma beschr nkt Dies gilt insbesondere f r die F lle in denen der Betroffene seine Einwilli gung bereits vor Abgabe der Vertragserkl rung generell erteilt vgl 213 Abs 2 des Versiche rungsvertragsgesetzes und deshalb vor einer Datenerhebung von der Versicherung im kon kreten Fall informiert werden muss von wem und zu welchem Zweck die Daten erhoben werden sollen Diese Unterrichtung muss es dem Betroffenen erm glichen die Erforderlich keit der beabsichtigten Datenerhebung nach zuvollziehen 9 2 Beauftragung einer Restwert b rse zwecks Ermittlung des Restwerts eines Kfz Die Fahrzeug Identifizierungsnummer ist ein personenbezogenes Datum Verlangt 68 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht ein Versicherungsnehmer gegen ber dem Versic
142. chung gegeben hat gravierende Verst e oder nachhaltiges Verweigern den Anforde rungen der Datenschutzaufsicht Rechnung zu tragen mussten jedoch nicht festgestellt wer den Die Pr fung hatte deshalb weder den 142 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Erlass von Anordnungen zur datenschutzkon formen Nutzung von Video berwachungsanla gen noch den Erlass von Bu geldbescheiden zur Folge 19 3 Einsatz von Gesichtserken nungskameras f r Marketing zwecke Eine rein f r statistische Zwecke vorge nommene Auswertung von Gesichtsdaten unterliegt nicht dem BDSG wenn die per sonenbezogenen Daten nur f r die tech nisch notwendige Zeitspanne der Aus wertung verarbeitet werden und ein Zu griff auf die Klardaten oder eine Wieder herstellung dieser nicht m glich ist Im vergangenen Berichtszeitraum erhielten wir Anfragen zum Einsatz von Produkten zur statis tischen Analyse von Kundenbewegungen in Ladengesch ften oder Einkaufszentren bzw zur Auswertung des Interesses einzelner Kun den an einer Werbung Den vorgestellten Sys temen war gemeinsam dass eine Kamera bzw ein Scanner die Gesichter von Kunden in einem Ladengesch ft oder von Personen die eine auf einem Monitor gezeigte Werbung ansehen erfasst und von einem direkt angeschlossenen Computer ausgewertet werden Die Bilddaten werden dabei nicht dauerhaft gespeichert sondern einzig im Arbeitsspeicher RAM und nur f r die Dau
143. chutz Information f r die Betriebsanleitungen zu Fahrzeugen erarbeitet siehe dazu auch die Pressemitteilung vom 6 Februar 2012 auf un serer Webseite gt http www lda bayern de lda datenschutzaufsich t p_archiv 2012 pm002 html Inzwischen haben viele neue Fahrzeuge Zu satz IT Systeme wie Mobilit ts Notruf und Ortungssysteme sowie umfangreiche und ver netzte Infotainment Komponenten Telefon Navigation Radio Internet usw wodurch sich eine Reihe von neuen Fragestellungen zu Datenschutz und Datensicherheit ergeben In mehreren Sitzungen haben sich die Auf sichtsbeh rden im Arbeitskreis Verkehr mit den Grundlagen der IT Systeme moderner Kraftfahrzeuge befasst und deren datenschutz rechtliche Bewertung vorgenommen was dann in eine Entschlie ung der Datenschutzkonfe renz m ndete gt gt gt http www bfdi bund de SharedDocs Publikation en Entschliessungssammlung DSBundLaender 8 amp DSK_DatenschutzimKfz html nn 5217228 Einige Kernforderungen der Aufsichtsbeh rden dabei sind Datenverarbeitungsvorg ngen im und um das Fahrzeug muss das Prinzip der Datenvermei dung und Datensparsamkeit zu Grunde liegen Daten sind in m glichst geringem Umfang zu erheben und umgehend zu l schen nachdem sie nicht mehr ben tigt werden 148 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht F r Fahrer Halter und Nutzer von Fahrzeugen muss vollst ndige Transparenz gew hrleistet sein
144. cken zwei Bu geldbe scheide Versicherungsmitarbeiter erhebt Versi chertendaten bei einem Arzt trotz feh lender Einwilligung des Versicherten Stellenbewerbungen auf Unterneh menshomepage im offenen Internet ab rufbar Unzul ssige Datenverarbeitungen im Zusammenhang mit der T tigkeit von Apothekenrechenzentren drei Bu geldbescheide Aussp hung von Fahrtrouten durch An bringung eines GPS Peilsenders an Kraftfahrzeug zwei Bu geldbescheide Immobilienmakler erhebt bei Gelegen heit einer Vermittlung unzul ssig Daten von nicht am konkreten Fall beteilig ten anderen Wohnungseigent mern Erschleichen von Daten Chat Inhalten aus einem Smartphone durch T u schung Betreiben einer Wildbeobachtungska mera ohne plausible Begr ndung mit Blick auf einen Waldweg T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 175 m Bu geldverfahren e _Bonit tsabfrage ohne berechtigtes Inte resse e Erschleichen von Daten eines Kfz Halters durch Veranlassung einer poli zeiseitigen Kfz Halterabfrage e Mehrfache Werbung trotz Werbewider spruchs drei Bu geldbescheide e Laufendes Filmen des Stra enverkehrs zu Beweissicherungszwecken mit einer Dashboard Kamera im Kraftfahrzeug e Versicherungsvermittler informiert un befugt einen Dritten ber die Vertrags k ndigung eines Versicherten e bermittlung ungek rzter IP Adressen mittels Google Analytics z T auch fehlen
145. darstellen kann somit nur unter strikter Anwendung der ge setzlichen Definition des Begriffs der perso nenbezogenen Daten auf die jeweilige Anga be entschieden werden Die auskunftspflichtige verantwortliche Stelle muss daher pr fen wel che bei ihr gespeicherten Informationen Ein zelangaben ber den jeweiligen Betroffenen darstellen Hat die verantwortliche Stelle erst einmal die Angaben herausdestilliert die als personenbezogene Daten des Auskunftsersu chenden anzusehen sind muss sie diese Anga ben dem Auskunftsersuchenden allerdings dann grunds tzlich im Wortlaut mitteilen sie he dazu Kapitel 6 2 6 4 Auskunftsanspruch hinsichtlich Standorten von Auftragsdatenverarbeitern Setzt ein Unternehmen z B durch Inan spruchnahme von Cloud Computing Diensten Auftragsdatenverarbeiter in Staaten au erhalb der Europ ischen Uni on ein muss es Betroffene hier ber im Rahmen der Auskunft informieren Bei unserer beratenden T tigkeit im Berichts zeitraum sind wir immer wieder F llen begeg net bei denen Unternehmen uns mitteilten im Zuge der Einschaltung von Auftragsdatenver arbeitern personenbezogene Daten auch an Auftragsdatenverarbeiter in Staaten au erhalb EN Rund um den datenschutzrechtlichen Auskunftsanspruch der Europ ischen Union bzw des Europ ischen Wirtschaftsraums EWR zu transferieren H u figer Fall ist die Inanspruchnahme von Cloud Computing Dienstleistungen aber auch schon das b
146. dass jedenfalls Gesellschaften desselben Konzerns eine Art Einheit bilden w rden und daher die explizite bertragung der Auftragnehmerpflichten auf jede einzelne Konzerngesellschaft die als Unter Auftrag nehmer an der Verarbeitung beteiligt sein soll nicht erforderlich sei Datenschutzrechtlich ist diese Vorstellung unzutreffend Richtigerweise muss jede einzelne Gesellschaft die in die Auf tragsdatenverarbeitung eingebunden sein soll in vertraglich eindeutiger Weise als Auftrag nehmer oder Unterauftragnehmer ausgewiesen und an die entsprechenden datenschutzrechtli chen Pflichten gebunden werden indem ihr hinsichtlich der von ihr verarbeiteten Daten und erbrachten Verarbeitungsschritte diesel ben Pflichten auferlegt werden die f r den Hauptauftragnehmer gelten Zwar kommt u U auch eine Erteilung des Unterauftrags durch den ersten Auftragnehmer anstelle des Auf traggebers in Betracht etwa wenn zwischen Auftraggeber und erstem Auftragnehmer der Standardvertrag 2010 87 EU abgeschlossen wurde denn gem Klausel 11 dieses Stan dardvertrags kann der Auftragnehmer Unter auftr ge auch im eigenen Namen vergeben freilich nur mit vorheriger Zustimmung des Auftraggebers s o vgl WP 196 Jedoch muss daf r gesorgt werden dass auch in solchen Unterauftr gen Auftragskontrollrechte des Auftraggebers gegen ber dem Unterauftrag nehmer ausdr cklich vorgesehen werden und dass den Unterauftragnehmer diesel
147. daten schutzrechtliches Pr fprojekt gestartet siehe Kapitel 3 4 8 Dazu wurden Testszenarien aus gearbeitet die eine praxisnahe Nutzung der Ger te wiederspiegeln und eine technische Feststellung der jeweiligen Datenfl sse erm g lichen sollen Folgende Kategorien standen im Fokus der Pr fungen 1 Information bei Inbetriebnahme eines neuen Ger ts 2 Datenfl sse bei Inbetriebnahme eines neuen Ger ts ohne Nutzeraktion 3 Datenfl sse bei Nutzung des Smart TVs als normaler Fernseher 4 Datenfl sse bei Nutzung von HbbTV 5 Datenfl sse bei Nutzung ger tespezifi scher Hauptmen s bzw App Panels 6 Datenfl sse bei Aufnahme und an schlie ender Wiedergabe einer Fern sehsendung auf einem USB Datentr ger 7 Datenfl sse bei Verwendung des elekt ronischen Programmf hrers 8 Datenfl sse bei Nutzung von Apps 9 Datenfl sse bei Wiedergabe von Medien Videos MP3s Bilder ber den Smart TV 168 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Von besonderer Bedeutung ist aus Sicht des Datenschutzes ob Datenfl sse existieren die den Nutzer oder das konkrete Ger t eindeutig identifizieren personenbezogene Daten und oder ob anhand der Ger tenutzung sog Nutzungsprofile erstellt werden k nnen aus denen sich Aussagen ber Interessen das Al ter politische oder religi se Ansichten sowie den Gesundheitszustand ableiten lassen siehe Kapitel 7 7 Im Rahmen von
148. dbescheiden wurden 30 ohne Einlegung eines Rechtsmittels bestandskr ftig In einem Fall haben wir auf grund Einspruchs des Betroffenen und nachge schobener Begr ndung den Bu geldbescheid aufgehoben in einem anderen Fall die Geld bu e mit Blick auf die nachgeschobene Mittei lung des Betroffenen ber seine wirtschaftli chen Verh ltnisse reduziert In vier F llen wur de die verh ngte Geldbu e nach eingelegtem Einspruch durch das Amtsgericht reduziert Das bedeutet andererseits aber auch dass die Ge richte auch in diesen vier F llen die Geldbu en jedenfalls dem Grunde nach wenn auch nicht in voller H he best tigt haben In zwei dieser vier F lle erfolgte die Reduzierung der Geldbu e durch das Gericht im brigen allein wegen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 177 m Bu geldverfahren der wirtschaftlichen Verh ltnisse der Betroffe nen die uns die Betroffenen vorher nicht mit geteilt hatten so dass sie von uns hatten ge sch tzt werden m ssen Dass es in solchen F llen zur Reduzierung der Geldbu e durch die Amtsgerichte kommen kann liegt in der Natur der Sache Die H he der Geldbu e richtet sich gem dem Gesetz neben Bedeutung des Versto es sowie Tatvorwurf auch nach den wirtschaftlichen Verh ltnissen des Betroffenen Als Bu geldbeh rde k nnen wir die tats chli chen wirtschaftlichen Verh ltnisse des Bu geldadressaten nur ber cksichtigen wenn
149. de Einr umung eines Wider spruchsrechts gegen die Erstellung pseudonymer Nutzungsprofile durch Google Analytics entgegen 8 15 Abs 3 S 2 TMG drei Bu geldbescheide e Zuleitung einer ausgef llten Mieter selbstauskunft durch den Vermieter an den Arbeitgeber des Mieters zur Verifi zierung der Eigenangabe des Mieters unzul ssig weil Mietverh ltnis schon lief und Mieter den Mietzins laufend bezahlte e unterlassene Unterrichtung ber das Werbewiderspruchsrecht entgegen 28 Abs 4 S 2 BDSG Wie aus dieser Zusammenstellung erkennbar ist betrafen die Bu geldbescheide eine breite Vielfalt von Lebenssachverhalten und sehr un terschiedliche Datenschutzverst e Hervorge hoben seien dennoch die drei Unternehmen gegen ber denen wir die Verwendung des Webanalysetools Google Analytics auf Websei ten mit Geldbu e geahndet haben weil die Unternehmen das Tool ohne eine sog Anony misierungsfunktion verwendet hatten was zu bermittlungen ungek rzter IP Adressen der Websitebesucher an Google Inc in die USA ohne Rechtsgrundlage f hrte In zwei dieser F lle hatten die Unternehmen zudem den Nut zern entgegen den Anforderungen des Tele mediengesetzes keine M glichkeit einger umt der Erstellung anonymisierter Nutzungsprofile eine solche findet beim Einsatz von Google Analytics statt zu widersprechen etwa indem ein Link zu einem Browser Zusatzprogramm gesetzt wird mittels dessen der Nutzer Google Analytics dea
150. dem Zahnarzt h ufig auch einen elektroni schen Abrechnungsdatensatz zur Verf gung Gesundheit und Soziales Hintergrund ist die Tatsache dass die Ver tragszahn rzte mit der Kassenzahn rztlichen Vereinigung nur noch papierlos abrechnen und hierf r die Laborabrechnungsdaten auch in elektronischer Form ben tigen Im Hinblick auf die bei der bermittlung der Daten zu gew hr leistende Datensicherheit wurde uns gegen ber die Ansicht vertreten dass die bei der Auftragserteilung verwendete Auftragsnummer eine anonyme elektronische Daten bermitt lung erm gliche und deshalb die Labordaten beispielsweise in Form einer XML Datei ohne Verschl sselung per E Mail an die Zahnarztpra xis bermittelt werden k nnten Diese Auffas sung teilen wir nicht Vom System ist vorgesehen jeden Laborauf trag mit einer Auftragsnummer zu versehen die zwar nicht den Klarnamen des Patienten aber die in der Zahnarztpraxis verwendete Patientennummer enth lt Bei dieser Auftrags nummer handelt es sich um ein Pseudonym im Sinn des 8 3 Abs 6a BDSG Denn nach der ge setzlichen Definition ist Pseudonymisieren das Ersetzen des Namens und anderer Identifikati onsmerkmale durch ein Kennzeichen zu dem Zweck die Bestimmung des Betroffenen aus zuschlie en oder wesentlich zu erschweren Eine Anonymisierung im Sinn des 8 3 Abs 6 BDSG wird mit der Auftragsnummer nicht er reicht denn der Auftrag muss zumindest in der Zahnarztpraxis wieder dem jewei
151. dem die Daten an den entsprechenden Unterauftragnehmer bereits geflossen sind Hierf r m gen aus Sicht des Cloud Anbieters Praktikabilit tsgr nde spre T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 101 Ei Internationaler Datenverkehr chen zumal jedenfalls f r bestimmte Varianten des Cloud Computing gerade der Umstand typisch sein soll dass die Verarbeitung auf eine Vielzahl einzelner unter Umst nden rol lierender Unternehmen verteilt wird Mit der umfassenden Verantwortlichkeit des Auftrag gebers gem europ ischem und deutschem Datenschutzrecht 11 Abs 1 BDSG ist ein solches Vorgehen jedoch nicht vereinbar Die Datenschutzbeh rden der EU Mitgliedstaaten haben darauf hingewiesen vgl WP 196 Nr 3 3 2 dass der Auftraggeber vor jeder Un terauftragserteilung ber die Identit t des je weiligen Unterauftragnehmers informiert und ihm vertraglich ausdr cklich ein zeitlich aus reichend bemessenes Recht zum Widerspruch oder zur Vertragsbeendigung einger umt wer den muss Soweit uns im Rahmen unserer T tigkeit Vertragsklauseln bekannt geworden sind die diesen Anforderungen nicht gen g ten haben wir die beteiligten Unternehmen darauf hingewiesen dass Daten bermittlungen an Unterauftragnehmer die den genannten Anforderungen nicht gen gen unzul ssig sind Sollten konkrete derartige F lle bekannt wer den werden wir daher geeignete Reaktionen bis hin zur Anordn
152. der Ausweiskopien keine ausreichende Sensibilit t und datenschutz rechtliche Kenntnisse vorhanden waren Insbe sondere das schlechte Abschneiden im techni schen Bereich der Pr fung stimmt bedenklich und veranlasst uns dazu berzugehen diese Punkte k nftig noch st rker in den Pr ffokus unserer Kontrollen zu nehmen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 27 Kontrollen und Pr fungen 3 4 5 Adobe Analytics Nachdem wir 2012 eine Onlinepr fung bei 13 404 Webseiten hinsichtlich des Einsatzes von Google Analytics durchgef hrt hatten k ndigten wir bereits damals die Pr fung wei terer Verfahren zur Reichweitenmessung an F r diese Pr fung haben wir uns im Jahr 2013 das Verfahren Adobe Analytics vormals Omni ture SiteCatalyst der Adobe Inc ausgesucht da dieses Werkzeug auch bei bayerischen Un ternehmen zum Einsatz kommt und zudem Adobe eine Niederlassung in unserem Zust n digkeitsbereich besitzt Vor der Durchf hrung unserer Pr fung haben wir uns deshalb mit Adobe ber die datenschutzrechtlichen Anfor derungen an den Einsatz des angebotenen Verfahrens in Verbindung gesetzt Diese erge ben sich auch aus dem Beschluss des D ssel dorfer Kreises vom 26 27 November 2009 Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet Angeboten Diskussionsschwerpunkte waren bei den Gespr chen der auf Anfrage zur Verf gung gestellte Auftragsdatenv
153. der Daten beim Datenempf nger er bracht werden wobei im letztgenannten Fall die bermittlung grunds tzlich der vorherigen Genehmigung der Datenschutzbeh rde bedarf 8 4c Abs 2 Satz 1 BDSG Die USA besitzen zwar nicht als Ganzes ein angemessenes Da tenschutzniveau im vorgenannten Sinne al lerdings hat die Europ ische Kommission in ihrer Entscheidung 2000 520 EG vom 26 07 2000 festgelegt dass f r US Unternehmen die sich den sog Safe Harbor Datenschutzgrunds tzen unterwerfen von einem angemessenen Datenschutzniveau im Sinne von Art 25 Abs 6 RL 95 46 EG auszuge Internationaler Datenverkehr BE hen ist Diese Entscheidung der Kommission ist gegenw rtig nach wie vor in Kraft und f r die Datenschutzbeh rden der Mitgliedstaaten bindend Art 25 Abs 6 Satz 2 RL 95 46 EG Auch wenn gerade die deutschen Daten schutzbeh rden bereits mehrfach Kritik an der praktischen Umsetzung des Safe Harbor Systems ge u ert haben ist die Safe Harbor Kommissionsentscheidung auch f r sie bin dend Damit ist nach wie vor davon auszuge hen dass US Unternehmen die eine aktuelle g ltige Safe Harbor Zertifizierung besitzen jedenfalls grunds tzlich ein angemessenes Datenschutzniveau im Sinne von 4b BDSG aufweisen In der praktischen Konsequenz be deutet dies dass sofern auch die brigen Voraussetzungen an Daten bermittlungen erf llt sind d h die bermittlung gem 4 Abs 1 BDSG aufgrund Einwi
154. der Krankenkasse gegen ber die Leistungen zu bezeichnen und Daten anzugeben stellt datenschutzrechtlich die Befugnis des Hilfsmittelerbringers dar die se Daten an die Krankenkasse zu bermitteln Der Umfang der zul ssigen Datenerhebung und verarbeitung richtet sich im Rahmen der Abrechnung mit den Krankenkassen allein nach diesen datenschutzrechtlichen Vorschriften des SGB V und kann auch mit Einwilligung des Versicherten nicht erweitert werden Denn der Gesetzgeber hat mit den detaillierten Vor schriften zum Abrechnungsverfahren in der gesetzlichen Krankenversicherung eine ab schlie ende Regelung getroffen von der auch mit Einwilligung des Betroffenen nur dort ab gewichen werden kann wo dies im SGB V aus dr cklich vorgesehen ist vgl Urteil des BSG vom 10 12 2008 Az B 6 KA 37 07 R Der Voll st ndigkeit halber sei darauf hingewiesen dass diese Einschr nkung bez glich der Zul ssigkeit einer Einwilligung nur f r Datenerhebungen und verarbeitungen gilt die Leistungserbrin ger im Zusammenhang mit Aufgaben nach dem SGB vornehmen F r Datenerhebungen und verarbeitungen die in keinem direkten Zusammenhang mit der gesetzlichen Kranken versicherung bzw mit der Erf llung von Auf gaben nach dem SGB stehen ist auch bei ge setzlich Versicherten ein R ckgriff auf die all gemeinen Regelungen des BDSG und somit eine Einwilligung nach 8 4a BDSG m glich Auf der Grundlage des 8 302 Abs 1 SGB V d r fen
155. der Zweck der Systeme der ist den Nutzern Daten ohne Personenbezug an zubieten darf nicht au er Acht gelassen wer den dass im Bearbeitungsvorgang mit perso nenbezogenen Daten umgegangen wird Die Bildaufnahme ist insoweit als personenbezo genes Datum zu sehen Das Bild soll allerdings nur f r eine technische Sekunde bis zum Abgleich mit dem vorhandenen Muster im Arbeitsspeicher gespeichert und f r niemanden sichtbar sein Da sichergestellt wird dass es sich insoweit um einen geschlossenes System handelt auf das mit an Sicherheit grenzender Wahrscheinlichkeit niemand Zugriff haben kann bzw aus dem keine personenbezogenen Daten erhoben werden k nnen ist kein Perso nenbezug mehr vorhanden und eine daten schutzrechtliche Relevanz nach unserer Auffas sung derzeit nicht gegeben 19 4 Digitaler T rspion Eine permanente Bildspeicherung eines digitalen T rspions scheitert an der Er forderlichkeit der verantwortlichen Stelle nach 8 28 Abs 1 BDSG und ist daher un zul ssig T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 143 u Video berwachung Wir erhielten eine Anfrage zur datenschutz rechtlichen Bewertung eines Digitalen T rspi ons Dieses Ger t das auf einen vorhandenen optischen T rspion aufgesteckt wird besteht aus einer Digitalkamera und einem kleinen Monitor in einem Geh use Wenn die Kamera auf Knopfdruck aktiviert wird bertr gt diese f r 20 Sekunden das Gesc
156. die ffent lichkeit und andere Familienmitglieder durch einen schlichten Hinweis im Internetauftritt auf weitere lebende Personen bzw auf deren Ge schlecht dem Widerspruch der Eingabef hrerin nachgekommen 7 12 Anfertigung von Fotos im Kindergarten mit anschlie ender Online Bestellm glichkeit Bei der Durchf hrung von Fototerminen in Kinderg rten und einer online angebo tenen Bestellm glichkeit f r die Eltern ist darauf zu achten dass diese ber die An fertigung der Fotos und der Nachbestel lungsm glichkeit ber ein Online Portal hinreichend informiert werden Besteht kein Interesse mehr an den Fotos und wird dies von den Eltern kommuniziert m ssen diese aus dem Online Portal ent fernt werden Im konkreten Sachverhalt wurde den Eltern nach Erstellung von Aufnahmen durch einen professionellen Fotografen ber den Kinder garten eine entsprechende Fotomappe zu ih rem Kind ausgeh ndigt und zum Kauf angebo ten Dabei war in der Fotomappe ein Hinweis enthalten wonach die Fotos auch in einem geschlossenen Bereich des Internetauftritts des Fotounternehmens gespeichert sind von den Eltern durch Eingabe eines Benutzernamens und eines Passwortes dort eingesehen werden und eventuelle Nachbestellungen in Auftrag gegeben werden k nnen Da die Eltern in unserem Fall kein Interesse an der Fotomappe hatten gaben sie diese dem Kindergarten zur ck Bei uns haben sich die Eltern schlie lich ber den Umstand beschwer
157. diesem Unterneh men bestehen Aus hiesiger Sicht ist daher ein genereller An satz erforderlich bei dem den durch die Snow den Berichten gewonnenen neuen Erkenntnis sen bereits im Rahmen der Rechtsetzung auf EU Ebene insbesondere im Rahmen der kom menden EU Datenschutzgrundverordnung Rechnung getragen werden muss Als weiterer Schritt sollten diese Erkenntnisse zur berar beitung aller datenschutzrechtlichen Instru mente f hren die f r den Export personenbe zogener Daten in Drittstaaten zur Verf gung gestellt werden d h insbesondere der EU Standardvertragsklauseln sowie der Safe Harbor Entscheidung Namentlich sollte in diesen Instrumenten wesentlich st rker gekl rt werden welche Bedeutung der Frage von Da Internationaler Datenverkehr tenzugriffen ausl ndischer Beh rden bei der Beurteilung des Datenschutzniveaus im kon kreten Fall zukommt Die dringende Aufgabe der Kl rung dieser Grundsatzfrage kommt letztlich der Europ ischen Kommission zu denn die Zust ndigkeit im Hinblick auf die Anerkennung des Safe Harbor Regimes als angemessenes Datenschutzniveau liegt ge m der EG Datenschutzrichtlinie bei der Eu rop ischen Kommission gleiches gilt im Hin blick auf die Zurverf gungstellung von Stan dardvertragsklauseln Was Daten bermittlungen in die USA auf der Basis von Safe Harbor angeht ist daher pri m r die Europ ische Kommission aufgerufen den von ihr unterbreiteten dreizehn Empfe
158. dresse Zufallszahl Seriennummer bei jedem Aufruf an die Server des Herstel Technischer Datenschutz und IT Sicherheit lers mitsenden In manchen F llen wur de auch festgestellt dass grundlegende Bedienfunktionen z B Betreten des Einstellungsmen s ffnen des Medi enplayers verkn pft mit der Ger te ID bertragen werden Dies erm glicht zumindest anhand der Datenbasis eine Einsichtnahme in die Art und Weise wann und wie ein Ger t bedient wird HbbTV Anbieter HbbTV Inhalte werden von den Fern sehsendern angeboten und stellen vom Grundsatz her speziell an den Fernseher angepasste HTML Seiten dar Zugriffe auf Fernsehfunktionalit ten sind nur ber die im HbbTV Standard definier ten Javascript Schnittstellen m glich Wie bei einem Browser auf einem PC besteht dabei auch die M glichkeit Cookies zu setzen und diese dem HbbTV Seitenanbieter mit einem HTTP Request zuzusenden Die berpr fung von Fernsehsendern war nicht Schwer punkt der Pr fung da uns die grundle gende Funktionalit t von HbbTV schon bekannt war Dennoch wurden im Rah men der Smart TV Pr fung exempla risch Fernsehsender ausgew hlt um festzustellen wie sich HbbTV Inhalte auf den jeweiligen Ger ten verhalten Ebenso wurde in den Pr fszenarien analysiert inwiefern auch Aufrufe an den Ger tehersteller gehen wenn nur HbbTV Inhalte angezeigt werden da diese zumindest aus Sicht des Endan wenders mit dem Ger te
159. e Ausweiskopie regelm ig nur der Ausweisin haber und damit der Berechtigte f r eine Selbstauskunft nach 34 BDSG vorlegen kann ergibt sich daraus eine zus tzliche Sicherheit f r Wirtschaftsauskunfteien zur Abwehr von Missbrauch F r die Identifikation nicht notwendige Daten wie z B Gr e Augenfarbe Ausweisnummer Bild Unterschrift k nnen in der Ausweiskopie geschw rzt bzw beim Kopieren abgedeckt werden Die Datenschutzaufsichtsbeh rden und Aus kunfteien haben dar ber hinaus in einer Be sprechung schon im Februar 2011 Einverneh men dar ber erzielt dass jedenfalls in folgen den Fallgruppen grunds tzlich auf die Vorlage einer Ausweiskopie verzichtet wird Auskunfteien e Der Betroffene macht seinen Aus kunftsanspruch nach 34 BDSG in ei nem zeitlichen Zusammenhang zu einer vorherigen Benachrichtigung nach 8 33 BDSG geltend bis zu vier Wochen nach Benachrichtigung e Die Auskunftei hat keine Bonit ts oder sonstigen Inhaltsdaten Negativ oder Positivdaten zu der betroffenen Person gespeichert 11 2 Verwendung der Anschrift zur Bildung eines Scorewerts Das Einbeziehen von Anschriftendaten f r eine Scorewert Berechnung ist gesetzlich nicht verboten W hrend rtliche Unternehmen aufgrund der bisherigen Gesch ftsbeziehungen und der rtlichen Kenntnisse meist eine ausreichende eigene Datenbasis f r die Bewertung der Boni t t eines Verbrauchers haben liegen bei Onli ne Unternehmen o
160. e der Systeme durchf hren und ein neues SSL Zertifikat beim Zertifikatsherausgeber beantra gen W hrend die meisten Webserver relativ zeitnah aktualisiert wurden ergab sich durch eine Stichprobenpr fung bei E Mail Servern eine f r uns etwas berraschende nicht so hohe Behebungsrate der Sicherheitsl cke Dies f hrte dazu dass die berpr fung der Heart bleed L cke im Rahmen der automatisierten E Mail Server Pr fung mit aufgenommen wurde siehe Kapitel 3 4 3 22 6 Datenschutzaspekte bei Webanwendungen Webanwendungen sind durch Ihre meist weltweite Erreichbarkeit ein beliebtes Angriffsziel und m ssen daher den Schutz personenbezogener Daten durch geeignete Schutzma nahmen sicherstel len Es vergeht kaum ein Tag an dem in den Medi en nicht von einem spektakul ren Hacking Angriff berichtet wird So wurde im Jahr 2014 die Superlative bei der Zahl der Betroffenen solcher Vorf lle erreicht indem Datens tze von Nutzern im sieben oder gar achtstelligen Be reich gestohlen wurden Diese Entwicklung haben wir zum Anlass ge nommen bei Datenschutzkontrollen von Un ternehmen siehe Kapitel 3 insbesondere auch Webanwendungen zu begutachten Dabei muss die verantwortliche Stelle nachweisen dass sie mit den Besonderheiten bez glich der IT Sicherheitsanforderungen die diese Art von 162 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Softwareanwendungen mit sich bringen um
161. e Einwilligungserkl rungen infor miert abgegeben werden k nnen hatten wir uns ausnahmsweise bereit erkl rt sie in die Amtssprache des afrikanischen Landes die gl cklicherweise Englisch war zu bersetzen 7 10 Messe Registrierungen Ob und inwieweit die Erhebung Verar beitung und Nutzung personenbezoge ner Daten von Besuchern einer Messe zul ssig ist h ngt zun chst ma geblich davon ab ob es sich um eine Messe han delt die f r jedermann oder nur f r ein bestimmtes Fachpublikum zug nglich ist Unabh ngig davon kann die Erhebung und Verarbeitung von Besucherdaten erforderlich sein wenn Gutscheine von Ausstellern einer Messe eingel st wer den Im Berichtszeitraum haben sich auffallend viele B rger an uns gewandt die sich ber die Erhe bung Verarbeitung und Nutzung ihrer perso nenbezogenen Daten im Zusammenhang mit einem Messebesuch beschwert haben Dabei wurde beispielsweise vorgetragen dass bei der Bestellung von Tickets im Online Shop des Messeveranstalters obwohl der Besteller im Besitz eines Gutscheins f r ein Tagesticket war eine Vielzahl von personenbezogenen Daten anzugeben waren oder die Messebesucher vor Ort zum Ausf llen eines Registrierungsformu lars animiert worden sind Wir haben uns mit der durch die Eingaben wieder aktuell gewordenen Thematik befasst und verschiedenen Messeveranstaltern unsere folgende Auffassung mitgeteilt Zun chst ist nach dem Charakter der jeweiligen
162. e Gesch ftszwecke auf grund der Benachrichtigung erheblich gef hr det sein m ssen und das Interesse an der Be nachrichtigung die Gef hrdung nicht ber wiegt Diese Einsch tzung nahm das Mietwagenun ternehmen zur Kenntnis und teilte uns mit dass bis auf weiteres keine GPS Ger te mehr in den Mietfahrzeugen eingesetzt w rden T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 51 u Informationspflichten bei Datenpannen 842 a BDSG 815a TMG 21 Informationspflichten bei Datenpannen 3 42a BDSG 8 15a TMG 152 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Informationspflichten bei Datenpannen 842 a BDSG 815a TMG EEE 21 Informationspflichten bei Datenpannen 42a BDSG 8 15a TMG Bei bestimmten Datenschutzverst en und Datenschutzpannen m ssen die ver antwortlichen Stellen die Datenschutz aufsichtsbeh rden und die betroffenen Personen informieren wenn schwer wiegende Beeintr chtigungen f r die Rechte oder schutzw rdigen Interessen der Personen drohen siehe dazu unseren T tigkeitsbericht 2009 2010 Kapitel 17 1 Deutlich zur ckgegangen ist die Anzahl der gemeldeten F lle des heimlichen Erfassens von EC Kartendaten an Geldautomaten das sog Skimming was zum einen mit der strittigen Rechtslage der Meldepflicht f r solche Sach verhalte aber auch mit verbesserten Sicher heitsma nahmen der Banken wie z B Chip Technologie
163. e Nutzer u a mit Verlust der Garantie in der Lage sind ber Rooting oder Jailbreaks einen Vollzugriff auf ein Ger t zu bekommen ist der aktuelle Stand bei Smart TV der dass dieser ein f r den Nutzer vollkommen geschlossenes System bzw Ger t darstellt Dies bedeutet dass der TV zwar ber die graphische Oberfl che so bedient werden kann wie der Hersteller es vorgesehen hat Einblick in die gespeicherten Daten innerhalb des Ger ts kann aber i d R nicht genommen werden Auch das L schen der eigenen Nutzerdaten seien es Cookies oder personalisierte Anmeldedaten sind im Vergleich zu einem PC ber ein klassi sches Dateisystem nicht m glich Da ein Smart TV entweder ber eine WLAN Anbindung oder ein LAN Kabel mit dem Inter net verbunden ist setzen wir die M glichkeiten unseres Pr flabors vgl Kapitel 22 1 ein um die entstehenden Datenfl sse gezielt zu analy sieren Anhand einer solchen dynamischen Pr fung k nnen wir feststellen e wann ein Smart TV mit welchen Servern kommuniziert d h nach Nutzeraktion e welches Internetprotokoll eingesetzt wird HTTP HTTPS ICMP und e was der Inhalt der Aufrufe ist bei HTTP ggf bei HTTPS Um einen aussagekr ftigen berblick ber das Verhalten der in Deutschland erh ltlichen Smart TV Ger te zu erhalten haben wir in Abstimmung mit denjenigen Aufsichtsbeh r den in Deutschland in deren Bundesland ein Ger tehersteller seinen Sitz hat ein
164. e bei Es stellte sich heraus dass der Verein im Wesent lichen Namen Adressen und Geburtsdaten sowie z T ausge bte Sportart der Vereinsmit glieder an mehrere Dachverb nde bermittel te Den Mitgliedern waren soweit f r uns ersichtlich jedenfalls nicht alle Zwecke der bermittlungen bekannt gegeben worden Einer der Dachverb nde teilte mit Namen Adressen Geburtsdaten sowie die ausge bte Sportart aller Mitglieder der angeschlossenen Mitgliedsvereine zu ben tigen um die vom Verein an den Dachverband zu leistenden Mit gliedsbeitr ge ermitteln zu k nnen Diese Bei tr ge bemessen sich ausweislich der Satzung des Dachverbands nach der Zahl der Mitglieder des Mitgliedsvereins sowie deren Sparte Sportart Wir forderten den Mitgliedsverein auf seine eigenen Mitglieder ber diese bermittlung an den Dachverband angemessen zu informieren Die Betroffenen m ssen gem 8 4 Abs 3 Nr 2 BDSG bereits bei bzw vor Eintritt in den Verein die M glichkeit haben diese Information zur Kenntnis zu nehmen Der Verein musste zudem sicherstellen dass dar ber hinausgehende Daten z B Telefonnummern von der ber mittlung an den Dachverband ausgenommen werden Der Dachverband teilte zudem mit dass er von bestimmten Funktionstr gern der Mitglieds vereine zus tzlich Telefonnummern und E Mail Adressen ben tige um in eiligen F llen Kontakt aufnehmen zu k nnen Nach unserer Auffassung kann dies zwar bei Funktio
165. e insbesondere im formellen Trilog zwischen EU Kommission EU Parlament und dem Rat zum Ausdruck kommen wird wenn der Rat sich auf s eine Auffassung verst ndigt hat und damit sprech f hig ist darf nicht dar ber hinwegt uschen dass es nach wie vor in den Mitgliedstaaten erhebliche unterschiedliche Auffassungen dar ber gibt wie die datenschutzrechtliche Rege lung in Zukunft aussehen soll Schon heute steht fest dass die Bezeichnung Grundver ordnung wenn sie denn so bestehen bleibt leider zutreffend zum Ausdruck bringt dass hier jedenfalls im Vergleich zum Bundesdaten schutzgesetz und zahlreichen bereichsspezifi schen datenschutzrechtliichen Regelungen keine sehr detaillierte Rechtsgrundlage ge schaffen werden soll Dies wird dazu f hren dass die zwei Jahre die derzeit als bergangs Vorwort zeit nach Verabschiedung der Verordnung bis zu deren Inkrafttreten vorgesehen sind nicht nur intensiv daf r genutzt werden m ssen die nationalen Normen anzupassen sondern dass auch verantwortliche Stellen und Datenschutz beh rden ohne dass Letztere ihre Entschei dungskompetenz aufgeben sich dar ber ver st ndigen sollten wie bestimmte Regelungen der Verordnung in der Praxis umzusetzen sind Dies gilt insbesondere f r die Bereiche der Video berwachung der Werbung des Adress handels und der Auskunfteien f r die es keine konkreten Regelungen mehr geben wird son dern lediglich eine allgemeine Grundlage
166. e leibliche Mutter ber die Rechts lage informiert wurde hat sie auf unsere Auf forderung hin wenn auch wenig einsichtig und unter Protest die Bilder ihres Kindes von ihrem Facebook Account entfernt 58 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 7 9 Einwilligung aus Afrika Regelm ig erreichen uns Anfragen zu der Formulierung von Einwilligungen insbesondere zur Ver ffentlichung von Fotos Ungew hnlich war der Wunsch nach Unterst tzung bei der Formulierung einer Einwilligungserkl rung von einer in Afrika t tigen deutschen Hilfsorganisati on f r die Ver ffentlichung von Bildern in Deutschland Die Hilfsorganisation wandte sich an uns und sagte sie wolle ber die Verwendung von ge sammelten Spenden f r ein Hilfsprojekt in Afrika berichten und dabei Bilder von hilfsbe d rftigen Kindern sowie alten Menschen die konkrete Hilfe erfahren haben auf den Web seiten von Unterst tzungsorganisationen in Deutschland durch diese ver ffentlichen las sen Wohl wissend dass die von der Ver ffentli chung betroffenen Personen in Afrika gewich tigere Sorgen als die Ver ffentlichung ihres Fotos auf der Homepage einer deutschen Hilfsorganisation haben sind wir unserer Bera tungspflicht nat rlich dennoch gerne nachge kommen und haben folgenden Einwilligungs vorschlag unterbreitet Einwilligung zur Ver ffentlichung von Fotos im Internet unter bitte URL angeben Ich bin dami
167. e mehrere Softwareprodukte zum Tra cking der eigenen Webseitenbesucher ein Bei einem technischen Datenschutzblick auf die Funktionalit t dieser Verfahren f llt einem zwangsl ufig der klassische Cookie ein der gerne als kleine Textdatei beschrieben und von einer Webseite auf dem Rechner des Nut zers abgelegt wird Diese Cookies werden technisch als sogenannte HTTP Cookies be nannt und sind Bestandteil des Internetproto kolls Ein Nutzer kann in der Regel in seinem Browser die abgelegten Cookies ansehen die se nach Bedarf l schen auch direkt als Einstel lung bei Beenden des Browsers oder soge nannte Drittanbieter Cookies die h ufig f r Werbe Tracking eingesetzt werden grund s tzlich ablehnen Ebenso existiert mittlerweile eine Menge von Browsererweiterungen Add ons die Drittanbieterinhalte und deren Coo kies aus Nutzersicht komfortabel blockieren Aus Sicht eines Webseiten oder Trackingbe treibers ist diese Entwicklung bei der ein End anwender vermehrt die Kontrolle ber die ei genen Datenfl sse beh lt und zunehmend auch umsetzt insofern nachteilig da die An zahl der zum Tracking geeigneten Browser bzw Nutzer und damit die Menge der erhobe nen Daten sp rbar weniger werden In den letzten Jahren wurden neuartige Verfahren entwickelt bzw entdeckt die das Tracking von Webseitenbesuchern erm glichen ohne auf die Hilfe von blichen Cookies zur ck zu grei fen e _Nachverfolgung ber sogenannte F
168. e nicht g nzlich ersetzen Auch im Hinblick auf die W rde des Menschen die zugleich einer der Grundpfeiler des Rechts auf informa tionelle Selbstbestimmung ist sind dem Einsatz technischer Ger te die der Kontrolle demenz kranker Menschen dienen daher Grenzen ge setzt Welche rechtlichen Anforderungen im Einzel nen zu beachten sind h ngt ma geblich von der konkreten Ausgestaltung der Ortung ab Denkbar ist es das Gebiet um das Pflegeheim mit einem sogenannten Geo Zaun zu markie ren Geofencing wird dieser Geo Zaun ber schritten d h der voreingestellte Bereich ver lassen erfolgt beispielsweise per SMS eine Benachrichtigung des Heims Von entschei dender Bedeutung ist dabei die Gr e des umgrenzten Bereichs in dem sich der Betroffe ne bewegen kann ohne eine Meldung auszu l sen und damit das Heim zu benachrichtigen Ist der zugelassene Bewegungsradius sehr eng kann dies einer unterbringungs hnlichen Ma nahme gleichkommen f r die ggf eine be treuungsrichterliche Genehmigung erforderlich ist Alternativ zu einem solchen Geofencing ist es m glich den Betroffenen mit einem GPS Sender auszustatten dessen Position nur in Notf llen abgefragt wird Dabei ist sicherzu stellen dass abgesehen von Notf llen kein Zugriff auf die Standortdaten erfolgt bzw dass solche Zugriffe protokolliert werden auch im brigen bedarf es ausreichender technischer und organisatorischer Ma nahmen um die Sicher
169. e unbefugt ihre Zugriffsm glichkeiten ausnutzt schlimmen Schaden am Pers nlich keitsrecht der Nutzer anrichten In den Medien ist deswegen h ufig von einem Spion in der Hosentasche die Rede der als Bezahlung f r seine vermeintlich kostenlosen Dienste die personenbezogenen Daten der Nutzer verwendet Aus datenschutzaufsichtli cher Sicht stellt sich in diesem Zusammenhang die Frage wie eine App technisch analysiert werden kann um festzustellen ob diese einen gro z gigen Zugriff auf die Daten der Nutzer gestattet oder gar als trojanisches Pferd das Ger t in eine digitale Wanze oder in einen Sensor zur Erstellung von Bewegungsprofilen umwandelt Basierend auf Methoden der Schadsoftwareanalyse hat das BayLDA deswe gen zu Beginn des Jahres 2013 ein Pr flabor f r mobile Anwendungen aufgebaut mit dem folgende Analysen m glich sind e Dynamische Analyse Mit einer dynamischen Analyse werden Datenfl sse die eine App mit den be teiligten Servern durchf hrt sichtbar gemacht Durch Protokollierung dieser Datenfl sse auf Netzwerkebene sowie Man In The Middle Techniken inner halb der Laborumgebung kann damit festgestellt werden mit welchen Ser vern eine App wann kommuniziert und in vielen F llen sogar welche Daten an diese bertragen werden Statische Analyse Anhand einer statischen Analyse mittels Reverse Engineering Techniken wird der Quelltext einer App derart rekon struiert dass die g
170. echtli chen Schutz sie geh ren nicht zur Intimsph re sondern fallen in den Bereich der Privatsph re und der Sozialsph re Gegen ber den anderen Eigent mern in einer WEG hat der einzelne Wohnungseigent mer im Hinblick auf die in den Verwaltungsunterlagen enthaltenen Daten des einzelnen Eigent mers nach der Recht sprechung grunds tzlich ohnehin keine be rechtigte Anonymit tserwartung vgl dazu den vorangegangenen Gliederungspunkt Zudem war Gegenstand der Pr fung durch die Mut tergesellschaft vorliegend die T tigkeit der Hausverwaltungs GmbH nicht das Verhalten der einzelnen Wohnungseigent mer Bei dieser Sachlage konnte die bermittlung nach unse rer Auffassung gem 8 28 Abs 2 Nr 2a BDSG mit berechtigten Interessen der Muttergesell schaft als Dritter gerechtfertigt werden da die Interessen der Eigent mer insoweit nicht ent gegenstanden Ungeachtet dessen teilten wir der Hausverwal tung jedoch mit dass die Eigent mer innerhalb der WEG gem 8 4 Abs 3 Nr 3 BDSG ber die in Rede stehende bermittlung an die Revisi onsabteilung der Muttergesellschaft zu infor mieren sind da sie jedenfalls nicht ohne weite res damit rechnen m ssen 18 5 Aushang eines Schreibens mit personenbezogenen Daten der Bewohner durch die Hausverwaltung im Treppen haus eines Mehrfamilien hauses Der Hausverwalter darf Schreiben mit personenbezogenen Daten einzelner Be wohner nicht in ffentlich zug nglichen Bereichen
171. ederf hrung bereits abgeschlossenen Verfahren standen u a die folgenden Fragestellungen in besonderer Weise im Fokus e M glichkeiten zur Herstellung rechtli cher Verbindlichkeit der BCR und ihrer Durchsetzbarkeit durch beg nstigte Dritte e _Konzerninterne Zuweisung der Zust n digkeit zur F hrung von BCR Audits T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 95 Ei Internationaler Datenverkehr Welche Einheit innerhalb eines Kon zerns kann die BCR Audits durchf h ren e Erfordernis der Einholung zus tzlicher beh rdlicher Genehmigungen f r Da tenexporte in Drittstaaten auf der Basis von BCR e Formulierung des Anwendungsbereichs der BCR vor dem Hintergrund dass die BCR f r alle personenbezogenen Daten anwendbar sein m ssen die aus der EU stammen Im Rahmen der BCR Anerkennungsverfahren an denen wir beteiligt waren haben wir im Austausch mit den Datenschutzbeh rden an derer Mitgliedstaaten zu diesen Fragen folgen de Ergebnisse erarbeitet Abschluss eines mehrseitigen Vertrags unter allen Konzerngesellschaften die an BCR ge bunden sein sollen h ufig erforderlich BCR m ssen u a sog externe Verbindlichkeit besitzen Hierunter versteht man dass die Be troffenen z B Besch ftigte die M glichkeit haben m ssen die ihnen in den BCR verliehe nen subjektiven datenschutzrechtlichen An spr che z B auf Auskunft Berichtigung L schung Sperrun
172. ehen ist Wir sind der Auffassung dass dieser Tatbestand restriktiv auszulegen und entscheidend ist dass der Datenumgang im privaten Aktionskreis statt findet Auch wenn das Gesetz nicht verlangt dass zu allen vom Datenumgang Betroffenen eine pers nliche Beziehung besteht wird an genommen dass der betroffene Personenkreis meist den pers nlichen oder famili ren Zweck widerspiegelt Bei dem gro en Kreis von 1 500 Familienange h rigen sind wir nicht mehr von einer pers n lichen oder famili ren T tigkeit ausgegangen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 61 Rz Datenschutz im Internet und haben die Ver ffentlichung nur bei Vorlie gen einer Einwilligung der Betroffenen oder einer einschl gigen Rechtsgrundlage f r die bermittlung f r datenschutzrechtlich als zu l ssig erachtet Da eine ausdr ckliche Einwilligung der Be troffenen in dem uns vorgetragenen Fall nicht vorgelegen hat kamen als Rechtsgrundlage nach dem BDSG die Vorschriften des 8 28 Abs 1 Satz 1 Nr 2 3 BDSG in Betracht Damit hat eine Abw gung zwischen dem berechtigten Interesse der Familienstiftung einerseits und der von einer Erhebung Verarbeitung und Nutzung ihrer personenbezogenen Daten be troffenen Person andererseits zu erfolgen Im vorliegenden Fall konnten uns keine berwie genden Interessen durch die Familienstiftung dargelegt werden Die Stiftung ist deshalb durch eine Sperrung der Daten f r
173. einer gesetzlichen Verpflich tung zur Aufzeichnung der Daten nachzukom men 13 3 3 Erheben der Seriennummer des Personalausweises durch Hotels Hotels d rfen keine Seriennummern aus deutschen Personalausweisen oder Rei sep ssen erheben und speichern Einige Hotelg ste monierten dass Hotels die Seriennummern ihres Personalausweises no tiert h tten Dies ist unzul ssig Das Bayerische Gesetz ber das Meldewesen BayMeldeG gibt in den Artikeln 23 und 24 abschlie end die personenbezogenen Daten vor die Beherber gungsbetriebe z B Hotels von ihren G sten erheben m ssen Die Hotelg ste m ssen die entsprechenden Daten handschriftlich in einen Meldeschein eintragen Andere als die im Ge setz genannten Daten d rfen vom Beherber gungsbetrieb nicht erhoben werden Zu den Daten die der Beherbergungsbetrieb erheben muss geh ren Tag der Ankunft und der voraussichtlichen Abreise Familienname gebr uchlicher Vorname Rufname Tag der Geburt Anschrift sowie Staatsangeh rigkeit Diese Daten sind vom Gast in den Meldeschein handschriftlich einzutragen Art 23 Abs 2 Satz 1 Art 24 Abs 2 Satz 1 BayMeldeG Die Se riennummer ist im Gesetz nicht genannt und darf daher vom Beherbergungsbetrieb nicht aufgeschrieben oder anderweitig erhoben werden Eine allgemeine Verpflichtung zur Vorlage ei nes Identit tsdokuments gegen ber dem Hotel gibt es im bayerischen Melderecht im brigen nicht lediglich f r Ausl nder gi
174. eingesetzt werden Hinweise zur sicheren E Mail Verschl sselung und zu den hierf r geeigneten Verfahren S MIME und PGP bzw GPG finden sich auf den Internet seiten des Bundesamtes f r Sicherheit in der Informationstechnik gt gt https www bsi bund de 16 2 Fernwartung medizinischer Ger te mit Einschaltung von Subunternehmern Ein Vertrag zur Fernwartung von medizi nischen Ger ten der auch die Einschal tung von Subunternehmern au erhalb der EU bzw des EWR vorsieht ist aus nahmsweise zul ssig wenn die Wartung bzw der Einsatz des Subunternehmers f r das einwandfreie Funktionieren der Ger te erforderlich ist und der Vertrag hierzu transparente Regelungen enth lt Von einer Reihe von Krankenh usern haben wir Anfragen zu einem Fernwartungsvertrag erhal ten der ihnen von einem Unternehmen das medizinische Ger te herstellt zur Unterschrift zugesandt worden war Da das Unternehmen nicht ausschlie en konnte dass im Wartungs fall ein Zugriff auf personenbezogene Daten erfolgt sollten mit diesem Vertrag die Anfor derungen nach 8 11 Abs 5 BDSG erf llt wer den Eine Besonderheit des Vertrags bestand darin dass das Unternehmen als Auftragneh mer berechtigt sein sollte zur Vertragserf l lung Subunternehmer einzusetzen als Subun ternehmer sollten dabei auch Unternehmen beauftragt werden d rfen die ihren Sitz au er halb der EU bzw des EWR haben Hierzu ent hielt der Vertrag detaillierte Regelungen
175. eiskopien f r Banken unessennsseennnseennnsennnnssennnssennnssenunssennnssnnnnssnnnnssnnnnnsnannsenennnssenunssennnstennnsenen 74 10 4 Umfang der Datenerhebung zu Geldanlagekonten Familienstand ueseeeee 75 11 Auskunfteien su 00s 54200000240202002000000020n 20 ssensnn nano nnenenaknnen on ehenennsdeendenernennenne nn nennenenerener sses isss 76 11 1 _ Ausweiskopie bei Eigenausk nrften u uussensssensssennnssennnsssnnunssenunssenunsssnnnssennnesenenssennnssennnnenen 77 11 2 Verwendung der Anschrift zur Bildung eines Scorewerts uuassensseennssennnsennennssennnssennnnenen 77 12 Werbung und Adressenhandel 0 2 22000002022020000020020000n0020010n20n00n001002000n00n0000000000R00 RR RD 0000 79 12 1 Anwendungshinweise Werbung und Adresshandel usseeeeennseeensssennssennnseennnneenn 80 12 2 Verwendung von aus dem Internet stammenden Kontaktdaten Homepage Impressum 80 12 3 Politische Wahlwerbung useseseennnseeennsesensssennnssenunseennnnssnnnnssnnnnssnnnnsennnnnsnennnssenunssennnssennnsenen 80 12 3 1 Unzul ssige Wahlwerbung durch Vereine uununseennnseennseennnseennnseeennnssenunssenunssenunnsennnnen 80 12 3 2 Zul ssige personalisierte Wahlwerbung durch Parteien und andere Wahlvorschlagstr ger ussesenseennnseeennsesennssenunseenunssennnnssnnnnssnnunssnnnnsennnnnsnenenssenenssennnsennnnnen 81 12 3 3 Unzul ssige Wahlwerbung gegen ber Unterst tzern eines B
176. eisten von uns gepr ften F llen enth lt der Laborauftrag neben weiteren pers nlichen Angaben jedoch auch den Namen des jeweili gen Patienten so dass der datenschutzrechtli che Gedanke der Auftragsnummer zur Vermei dung pers nlicher Patientendaten dadurch untergraben wird Dies wird besonders bei den 13 Zahnarztpraxen deutlich die angegeben haben neben der vom System generierten Auftragsnummer auch pers nliche Daten des Patienten zu bermitteln Insgesamt f llt auf dass die Auftragsnummer generell nur von relativ wenigen Zahnarztpraxen verwendet wird Bei wie vielen der 70 Zahnarztpraxen wurde das jeweilige Datum bertragen C I X l SE E Er O 1 v S So S y y i x ge RS E vw Andererseits hat unsere Pr fung auch ergeben dass die Daten bermittlung selbst oftmals nicht ausreichend verschl sselt war Hier haben wir es deshalb f r die Versendung von pseu donymisierten Laborabrechnungsdaten als erforderlich angesehen den bertragungska nal zu verschl sseln SSL TLS mit Perfect For ward Secrecy oder eine sichere Inhaltsver schl sselung zu nutzen Auf Grund des aus Datenschutzsicht schlechten Pr fungsergebnisses werden wir den Datenaustausch zwischen Arztpraxen und Laboren auch k nftig im Blick behalten Weitere Ausf hrungen zu dieser Pr fung be finden sich in Kapitel 16 9 24 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 4 2 Fitnessstudios In Fitnessstudi
177. eitung wurde angenom men da der Suchmaschinenbetreiber die Nie derlassung Google Spain in dem Mitgliedstaat Spanien f r die F rderung des Verkaufs der Werbefl chen der Suchmaschine und des Ver kaufs selbst unterh lt und aufgrund der gleich zeitigen Aufblendung von Suchergebnissen und damit verbundenen Werbeanzeigen eine Verarbeitung im Rahmen der Werbet tigkeit der Google Spain erfolgt Auf der Basis der dargestellten Bewertungen f hrte der EuGH weiter aus dass der Suchma schinenbetreiber verpflichtet ist Suchergebnis se die anhand des Namens einer Person auf gezeigt werden zu entfernen soweit das Inte resse der betroffenen Person das Interesse der ffentlichkeit und des Suchmaschinenbetrei bers berwiegt Als Orientierung f r die Durch f hrung der Interessenabw gung hat die Arti kel 29 Gruppe inzwischen Richtlinien und einen Kriterienkatalog entwickelt WP 225 Guide lines on the implementation of the Court of Justice of the European Union Judgment on Google Spain and Inc v Agencia Espanola de Proteccion de datos AEPD and Mario Costeja Gonz lez C 131 12 Die Entfernung von Ergebnissen aus der Ergebnisliste einer Suchmaschine bedeutet jedoch nicht dass der zugrunde liegende Arti kel gel scht wird Vielmehr ist dieser nach der Entfernung des entsprechenden Links nicht mehr anhand einer Namenssuche ber die Suchmaschine auffindbar allerdings kann der Artikel bei Eingabe sonstiger passender Suc
178. eldorfer Kreises zur Reichweitenmessung existiert und im Rahmen der vorangehenden Google Analytics Pr fung die datenschutz rechtlichen Anforderungen an ein solches Ver fahren in der breiten ffentlichkeit bekannt gemacht wurden diese oftmals nicht auf das konkrete Verfahren in diesem Fall Adobe Ana Iytics bertragen werden Dies best rkt uns weiterhin das Gespr ch mit Anbietern solcher Verfahren und vor allem mit den verantwortli chen Stellen zu suchen Weitere Angaben zum Verlauf der Pr fung und den rechtlichen Rahmenbedingungen befinden sich im Kapitel 7 3 28 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 4 6 Mobile Applikationen Apps Seit zwei Jahren f hren wir gr er angelegte Pr fungen bayerischer mobiler Applikationen Apps durch Im Jahr 2013 hatten wir uns ins besondere durch technische Pr fungen von Apps siehe Kapitel 22 1 und einer daraufhin rechtlichen Bewertung den speziellen techni schen und rechtlichen Gegebenheiten im Zu sammenhang mit Apps angen hert Veranlasst durch den GPEN International Sweep Day 2013 einer international angelegten Pr fakti on f hrten wir dann auf der Grundlage unserer bis dahin erworbenen Kenntnisse eine gr er angelegte Pr fung von 30 zuf llig ausgew hl ten bayerischen Apps jeweils 15 iOS und Android Apps durch wenngleich die weiteren teilnehmenden Datenschutzaufsichtsbeh rden ihren Fokus bei dieser Pr fung noch
179. elerbringer beim Betroffe nen Daten erheben d rfen wenn diese Daten von der Krankenkasse zwecks Abrechnung der Leistung ben tigt werden Rechtsgrundlage f r die Erhebung Verarbei tung und Nutzung von Gesundheitsdaten durch Hilfsmittelerbringer ist grunds tzlich 8 28 Abs 7 Satz 3 BDSG der ausdr cklich auf die Angeh rigen von Berufen abstellt deren Aus bung die Herstellung oder den Vertrieb von Hilfsmitteln mit sich bringt F r das Abrech nungsverfahren mit den gesetzlichen Kranken kassen enth lt das SGB V jedoch Spezialrege lungen die gem 8 1 Abs 3 Satz 1 BDSG den Vorschriften des BDSG vorgehen So sind ge m 294 SGB V die Leistungserbringer ver pflichtet die f r die Erf llung der Aufgaben der Krankenkassen notwendigen Angaben die aus der Erbringung von Versicherungsleistungen entstehen aufzuzeichnen aufzeichnen be deutet im datenschutzrechtlichen Sinn dass die entsprechenden Daten erhoben und ge speichert werden d rfen Hinsichtlich der Mit teilung dieser Daten an die Krankenkassen verweist 294 SGB V auf die nachstehenden Gesundheit und Soziales Vorschriften d h die 88 295 ff SGB V So sind die Hilfsmittelerbringer nach 8 302 Abs 1 SGB V verpflichtet den Krankenkassen die von ihnen erbrachten Leistungen zu bezeichnen und dabei u a die Verordnung des Arztes mit der Diagnose und den erforderlichen Angaben ber den Befund anzugeben Die Verpflichtung des Hilfsmittelerbringers
180. en Daten des Kindes der Fotos darauf gest tzt dass dies f r die Durchf hrung eines rechts gesch ftlichen oder rechtsgesch fts hnlichen Schuldverh ltnisses mit dem Betroffenen er forderlich ist 28 Abs 1 Satz 1 Nr 1 BDSG muss den Eltern der Vertragsinhalt und der damit einhergehende Umgang mit den perso nenbezogenen Daten des Kindes klar sein Dies umfasst einerseits die Erstellung von Fotos f r Bildermappen die den Eltern zum Kauf ange boten werden andererseits aber auch die Auf nahme der erstellten Fotos in eine Bilderda Datenschutz im Internet tenbank zu Nachbestellzwecken f r den Zeit raum eines Kindergartenjahres W hrend das Fotounternehmen in unserem Fall darauf abgestellt hat dass die Information der Eltern durch die Kindergartenleitung ber nommen wird haben wir darauf hingewiesen dass die Informationspflicht dem Fotounter nehmen als der im datenschutzrechtlichen Sinn verantwortlichen Stelle obliegt und dieses durch geeignete Ma nahmen sicherzustellen hat dass den Eltern zu fotografierender Kinder die erforderlichen Informationen zukommen Als vertretbare und praxisnahe L sung haben wir im Ergebnis angesehen dass in den ausge gebenen Fotomappen neben dem Hinweis auf die M glichkeit der Bestellung Nachbestellung k nftig auch eine deutliche Information ber die Dauer der Speicherung des Bildes zu finden sein wird und den Eltern die M glichkeit und der Weg einer vorzeitigen L
181. en Durch das Audit soll der Konzern die tat s chliche Umsetzung der BCR bei allen betei ligten Konzerngesellschaften regelm ig ber pr fen Nach Aussagen der einschl gigen Ar beitspapiere der Artikel 29 Gruppe kann das Audit grunds tzlich sowohl durch externe als auch durch interne Auditoren durchgef hrt werden Anl sslich einiger von unserer Beh rde 96 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht federf hrend gef hrten BCR Anerkennungs verfahren gab es intensive Diskussionen mit Datenschutzbeh rden anderer Mitgliedstaaten dar ber ob das BCR Audit auch durch solche Funktionstr ger innerhalb des Konzerns durch gef hrt werden kann die Datenschutzbeauf tragte im Sinne des deutschen Datenschutz rechts 4f BDSG sind F r deutsche Unter nehmen mag das naheliegend erscheinen Im Ergebnis scheidet jedoch diese L sung in den meisten F llen aus Dies liegt daran dass in BCR klar getrennt werden muss zwischen dem Hinwirken auf die Umsetzung der BCR im Alltag einerseits und dem BCR Audit anderer seits F r die Umsetzung der BCR im Alltag muss ein gesonderter Mitarbeiterstab gebildet werden der die Einhaltung der BCR Vorschriften berwacht und gew hrleistet dies ist der Mitarbeiterstab von dem in WP 154 unter Nr 15 oder in WP 153 unter Nr 2 4 die Rede ist Die beiden Aufgaben Audit berpr fung der BCR Compliance im Alltag d rfen nicht bei dersel
182. en des Personalausweises doch gab es auch an dere Fragestellungen 13 3 1 Kopieren des Personalausweises h ufig unzul ssig Das Personalausweisgesetz schr nkt die Zwecke zul ssiger Verwendungen des Personalausweises ein Gem 20 Abs 1 PAuswG darf der Inhaber den Personal ausweis gegen ber nicht ffentlichen Stellen nur zur Legitimation und zur Iden tit tsfeststellung verwenden Das in der Praxis immer wieder zu beobachtende Kopieren des Personalausweises durch Unternehmen ist bei n herer Betrachtung jedenfalls h ufig unzul ssig Ein datenschutzrechtlicher Dauerbrenner ist das Kopieren von Personalausweisen Aus mehreren Branchen erreichten uns Beschwer den dar ber dass Unternehmen von Kunden eine Kopie des Personalausweises forderten oder selbst anfertigten In einem Fall informier te uns ein Hotelgast dass das Hotel eine Kopie seines Personalausweises anfertigen wollte In einem anderen Fall wurden wir dar ber ver st ndigt dass ein Autohaus das auch Fahrzeu ge vermietet offenbar Personalausweise von Fahrzeugmietern kopierte Bei genauer Betrachtung dieser oder anderer Situationen in denen es in der Praxis offenbar immer wieder zum Kopieren von Personalaus weisen kommt zeigt sich dass das Kopieren jedenfalls in vielen dieser F lle datenschutz rechtlich unzul ssig ist Das Personalausweisgesetz begrenzt die Zwe cke zul ssiger Verwendungen des Personal ausweises Gem 8 20 Abs 1
183. en f r den Fall dass eine Maschine vermisst wer de die M glichkeit haben grunds tzlich alle Piloten telefonisch zu kontaktieren Aus Sicht des Beschwerdef hrers war dies jedenfalls nicht zwingend erforderlich Dieser Fall zeigt wie schwierig die daten schutzrechtliche Beurteilung gerade beim Um gang mit personenbezogenen Daten durch Vereine h ufig ist Im vorliegenden Fall gab es zwischen den Beteiligten unterschiedliche Auf fassungen dar ber wie wichtig die telefonische Kontaktm glichkeit f r alle Piloten untereinan der ist Durch Einholung einer Stellungnahme der Luft fahrtaufsichtsbeh rde haben wir gekl rt dass jedenfalls eine gesetzliche Verpflichtung zur Bekanntgabe von Telefonnummern in der dar gestellten Weise nicht bestand Letztlich mag man in derartigen F llen wie auch die Betei ligten unterschiedlicher Meinung dar ber sein ob die Bekanntgabe der Telefonnummern auf diese Weise zur Durchf hrung des Ver tragsverh ltnisses das zwischen den Vereins mitgliedern besteht oder aufgrund berechtig ter Interessen des Vereins bzw seiner Mitglie der erforderlich ist Eine explizite vereinsinterne Regelung zur Bekanntgabe von Kontaktdaten an andere Vereinsmitglieder etwa in der Ver einssatzung in einer Datenschutzordnung o lag im konkreten Fall jedoch nicht vor Die Vereinsf hrung hat uns zwar nachvollzieh bar dargestellt dass es f r die Bekanntgabe der Telefonnummern pl
184. en Art der m glichen Auslagerungen keine solchen kon kreten Vorgaben H ufig kann f r die datenschutzrechtliche Rechtfertigung der Aufgaben oder Funktions ausgliederung mangels anderer Rechtsgrund lagen nur die Regelung in 28 Abs 1 Satz 1 Nr 2 BDSG als rechtliche Basis herangezogen wer den Bei der in 28 Abs 1 Satz 1 Nr 2 BDSG vorgeschriebenen Abw gung der Interessen der verantwortlichen Stelle mit den schutzw r digen Interessen der betroffenen Personen f r die Bewertung der Zul ssigkeit der mit einer Aufgaben oder Funktionsausgliederung ver bundenen bermittlung personenbezogener Daten ist auch entscheidend inwieweit die verantwortliche Stelle in dem Vertrag mit dem bernehmer die Datenschutzbelange sicher stellt 8 28 Abs 5 Satz 3 BDSG regelt z B aus dr cklich dass die bermittelnde Stelle den Dritten als Datenempf nger auf die Zweckbin dung der betreffenden personenbezogenen Daten hinweisen muss T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 41 FO Auftragsdatenverarbeitung oder Funktions bertragung allgemein Bei der Aufgaben oder Funktionsauslagerung an bereichsspezifisch streng reglementierte Dritte wie z B e der Auslagerung der Lohnabrechnung Steuererkl rung oder Finanzbuchhal tung an einen Steuerberater oder e der betriebs rztlichen Betreuung an ei nen niedergelassenen Arzt sind aus unserer Sicht allgemeinere Regelun gen zu den durchzuf hre
185. en Unternehmen Bei spielhaft listen wir nachfolgend einige Punkte die zum Teil auch im Berichtszeitraum vor Ort abgefragt wurden hierf r auf e bersicht ber Art personenbezogener Daten des Unternehmens e Art des Web und Mailhostings inklusi ve ADV Vertr ge nach 11 BDSG e Passwortsicherheitsrichtlinien Art der Speicherung und Komplexit t e Einsatz von Verfahren zur Nutzungspro filbildung Reichweitenmessung e Ma nahmen zum Schutz vor Web hacking Angriffen e _Datenschutzerkl rung auf der Webseite e Datenschutzkonforme Datentr gerver nichtung nach DIN 66399 e Umgang mit Kundendaten zu Marke ting und Retargeting Zwecken e Video berwachung e Auftragsdatenverarbeitung Einsatz ex terner Dienstleister zur Datenverarbei tung e _HTTPS Konfiguration der Webseite Kontrollen und Pr fungen e _STARTTLS Konfiguration bei eingesetz ten Mailservern e Versand und Auswertung von Newslet ter e IT Sicherheitsleitlinie und richtlinie e Netzwerktopologie des Unternehmens zur Pr fung verschiedener Punkte der Anlage zu 9 BDSG e Informationen zu Schulungen der Mit arbeiter bez glich Datenschutz und IT Sicherheit e Berechtigungskonzept e Patch Management e Einsatz von Verschl sselungsverfahren Web E Mails ggf Cloud Dienste e erfahrensverzeichnis e Beschreibung zur Umsetzung der Ver pflichtung des Datengeheimnisses nach 5 BDSG 3 3 Pr fungsgr e 3 3 1 E
186. en hierf r neben Informationsbl ttern einen Fragebogen um uns ein Bild des aktuellen Umsetzungs standes datenschutzrechtlicher Vorschriften in den gepr ften Unternehmen machen zu k n nen Der Fragenkatalog umfasste zahlreiche allge meine Pr fpunkte zur Datenschutzorganisation z B Verpflichtung auf das Datengeheimnis Bestellung und Aufgabenerf llung des Daten schutzbeauftragten Auftragsdatenverarbei tung Video berwachung private Verwendung von Kommunikationsmitteln am Arbeitsplatz sowie einige Sicherheitsma nahmen aus dem technischen Bereich Als Ergebnis der Pr fung haben wir erkannt dass bei einem Gro teil der Unternehmen die grundlegenden Vorgaben aus dem BDSG wie z B die Bestellung eines Datenschutzbeauf tragten oder die Verpflichtung der Besch ftig ten auf das Datengeheimnis erf llt waren Lediglich ca f nf Prozent der gepr ften Unter nehmen haben erst aufgrund unseres An schreibens mit der Datenschutzumsetzung im Sinne der gesetzlichen Anforderungen begon nen Bei manchen Unternehmen gab es jedoch im Detail noch mehr oder weniger deutliche L cken die erst aufgrund der Pr fungsinitiative aufgearbeitet wurden Die h ufigsten M ngel waren festzustellen bei der Bestellung und T tigkeit des Datenschutz beauftragten z B wegen nicht vertretbarer Interessenkollisiion Datenschutzbeauftragter gleichzeitig DV Administrator Personalchef Vorstand oder hnliches bei der zu langen Speich
187. en werden konn ten bei lteren Modellen war uns dies zum Teil noch m glich Aus Gr nden der IT Sicherheit ist dies sehr zu begr en da es damit Unbe fugten unm glich bzw sehr schwer gemacht wird in die Daten bertragungen der Smart TVs Einblick zu nehmen Viele Hersteller setzen das HTTPS Protokoll nach dem Stand der Technik ein TLS1 2 Perfect Forward Secrecy Zertifikat mit 2048 Bit Die sich gleichzeitig daraus ergebende man gelhafte technische Pr ftransparenz ist jedoch der gr te Kritikpunkt zumindest aus techni scher Sicht Smart TVs sind als abgeschottete Ger te konzipiert die interessierten und tech nikaffinen Kunden der Forschung Verbrau cherzentralen sowie den Datenschutzaufsichts beh rden keine einfache M glichkeit geben eine vollst ndige Transparenz der Datenfl sse herzustellen Dies w re zum Beispiel wie bei Smartphones dadurch m glich dass eigene selbstsignierte X 509 Zertifikate in die Vertrau enskette des eigenen Smart TVs hinzuf gbar sind In unseren Pr fungen wurden die HTTPS Verbindungen an Server deren Ausl sung wir im jeweiligen Testszenario nicht erwartet hat ten durch Wiederholungen soweit einge grenzt dass Indizien f r datenschutzrechtlich relevante bertragungen geschaffen wurden So war bei einem Hersteller zum Beispiel bei Einstecken eines USB Sticks mit Musik und 170 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Videos eine ve
188. enaue Implementie rung nachvollzogen werden kann So ist es zum Beispiel bei einer Android App damit m glich festzustellen welche Daten mit der Berechtigung Kontakte lesen tats chlich ausgelesen werden und was im Anschluss mit den Daten geschieht So wurde zum Beispiel bei einer Navigations App festgestellt dass die genannte Berechtigung nur f r die Anzeige von im Ger t gespeicherten Kontakten verwendet wurde Eine aus gew hlte Adresse wurde dann in eine lokale Navigationskomponente ber geben eine bermittlung von Adress daten an den App Betreiber oder Dritte fand dagegen nicht statt Forensischer Ansatz Beim forensischen Ansatz werden die Datenspuren die die Nutzung einer App auf dem Ger t hinterl sst ausge wertet Durch eine Umgehung der Si cherheitsrestriktionen durch Jailbreak bzw Rooting kann das Dateisystem der Ger te ausgelesen werden Da viele Apps Daten in eigenen App lokalen Datenbanken abspeichern kann durch Auslesen dieser Datenbanken ein R ck schluss auf das interne App Verhalten gezogen werden So stellte sich uns zum Beispiel die Frage wie mit einem Cookie der die MAC Adresse des Smartphones enthielt umgegangen T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 57 Hl Technischer Datenschutz und IT Sicherheit wird oder auch inwiefern ein in den Konfigurationsdateien im Klartext ge speichertes Passwort den Anforderun gen an die Zugangskont
189. enen EU Mitgliedstaaten an Wir haben daher im Rahmen unserer Mitwir kung in der Unterarbeitsgruppe International Transfers der Artikel 29 Gruppe darauf hin gewiesen dass es sinnvoll w re die Texte sol cher EU weit angebotenen datenschutzrechtli chen Vertragsklauseln durch die Datenschutz beh rden der EU Mitgliedstaaten koordiniert zu bewerten vergleichbar etwa dem bew hrten EU weiten koordinierten Verfahren zur Pr fung von Binding Corporate Rules vgl dazu Kapitel 14 1 Nachdem unser Vorschlag auch von den Be h rden anderer Mitgliedstaaten geteilt wurde hat die Artikel 29 Gruppe in ihrem WP 226 k rzlich erkl rt dass Unternehmensgruppen die ihre Dienste der Auftragsdatenverarbeitung in mehreren Mitgliedstaaten anbieten die M glichkeit haben die von ihnen f r diese Dienste den potentiellen Auftraggebern Kun den angebotenen Datenschutzvertragsklau seln koordiniert von den Datenschutzbeh rden der Mitgliedstaaten bewerten zu lassen Internationaler Datenverkehr ee gt http ec europa eu justice data protection article 29 documentation opinion recommendation files 2014 wp226_en paf Eine wichtige Einschr nkung besteht jedoch darin dass die Datenschutzbeh rden die koor dinierte Pr fung nur unter der Voraussetzung anzubieten bereit sind dass der angebotene Vertragstext weitgehend auf dem EU Standardvertrag zur Auftragsdatenverarbeitung gem Kommissionsbeschluss 2010 87 EU beruht au
190. enschutzerkl rung nicht ber den konkreten Datenumgang bei der Nutzung des T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 55 Rz Datenschutz im Internet Dienstes informierte Eine auf den Dienst be zogene Datenschutzerkl rung wird jedoch gem 8 13 Abs 1 TMG gefordert Zur Informationspflicht des Diensteanbieters bestimmt 8 13 Abs 1 Satz 1 TMG dass er den Nutzer zu Beginn des Nutzungsvorgangs ber Art Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten in allgemein verst ndlicher Form zu unter richten hat F r den Fall dass der Diensteanbieter be absichtigt f r Zwecke der Werbung der Marktforschung oder zur bedarfsgerechten Gestaltung des Diensteangebotes Nutzungs profile bei Verwendung von Pseudonymen zu erstellen ist der Nutzer in der Datenschutzer kl rung auf sein diesbez gliches Wider spruchsrecht hinzuweisen 8 15 Abs 3 TMG Gem 13 Abs 1 Satz 2 TMG hat der Diensteanbieter den Nutzer zudem bei einem automatisierten Verfahren das eine sp tere Identifizierung des Nutzers erm g licht und eine Erhebung oder Verwendung personenbezogener Daten vorbereitet zu Beginn dieses Verfahrens zu unterrichten Diese Anforderung stellt insbesondere auf den Einsatz von Cookies ab gilt jedoch allgemein bei dem Einsatz entsprechender Verfahren Zus tzlich sind die Informationspflichten des 84 Abs 3 BDSG zu beachten Erg nzend weisen wir d
191. entiert dass eine Firewall sowie ein Antivirenscanner vorhanden und damit die notwendigen Schutzma nahmen nach 8 9 BDSG umgesetzt seien Eine oder mehrere Firewalls sind auch aus unserer Sicht sicherlich ein notwendiger Baustein zum Erreichen eines angemessenen Schutzniveaus Auch Antivi T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 59 FH Technischer Datenschutz und IT Sicherheit rensoftware muss trotz der zum Teil nicht ho hen Erkennungsraten bei neuem oder speziali siertem Schadcode vorhanden sein Die Wirk samkeit von IT Sicherheitsprodukten ergibt sich jedoch nicht nur aus dem Zweck zu dem diese eingesetzt werden eine klassische Fire wall wird z B keinen Schutz gegen Cross Site Scripting bieten k nnen sondern h ngt viel mehr davon ab ob diese sicher konfiguriert und administriert werden Als Negativbeispiele in der aufsichtlichen Praxis treten hier IT Systeme auf die durch einen Einstellungsfehler wie allow all auf der Paketfilterebene der Firewall den Zugriff auf einen Datenbankserver erm glichen der nur mit einem einfachen Passwort gesch tzt ist und so den Zugriff auf alle gespeicherten Daten ohne wirksame Schutzmechanismen offenbart Die Verantwortung bei Szenarien dieser Art einfach auf den Administrator abzuw lzen greift deutlich zu kurz Vor allem die erforderli chen personellen Kapazit ten die finanzielle und zeitliche Ausstattung f r regelm ige und
192. eo fencing bernimmt 1 50 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Von der Staatsanwaltschaft haben wir ein Schreiben mit der Information erhalten dass sich in einem Verfahren wegen Unterschlagung bzw versuchter Unterschlagung eines gemie teten Kraftfahrzeuges herausgestellt habe dass dieses Kfz mit einem GPS Sender versehen war und die Mieter dahingehend berwacht wur den ob sie sich den Landesgrenzen n herten Dabei seien die Mieter bei Abschluss des Miet vertrages nicht ber den Einsatz des GPS Ger tes informiert worden Dem uns von der Staatsanwaltschaft zugesandtem Mietvertrag konnten wir unter der berschrift Vertrags strafe lediglich die Information entnehmen dass eine Vertragsstrafe f llig werde wenn das Bundesgebiet verlassen w rde oder Rennstre cken o befahren w rden Zugleich wird in den AGB geregelt dass der Vermieter aus dr cklich berechtigt sei die Fahrzeuge diesbe z glich zu berwachen Auf Nachfrage wurde uns dargestellt dass derzeit kein GPS Sender mehr in Mietfahrzeu gen eingesetzt werde dies aber bei besonde ren Gef hrdungslagen geplant sei Die GPS Sender und das Geofencing d h die Technik zur Feststellung wenn ein bestimmtes Objekt ein vordefiniertes Gebiet verl sst w rden durch einen Schweizer Dienstleister zur Verf gung gestellt Lediglich wenn eines der Miet fahrzeuge den zuvor bestimmten Bereich ver lasse w rde die Aut
193. er Datenschutzaufsichtsbeh rde und den betroffenen Personen entstehen 2012 2013 2014 Gesamt 4 6 8 1 19 1 2 12 10 28 1 4 8 14 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 53 21 2 Verlust von Daten bzw Datentr gern auf dem Transportweg Vergleichsweise h ufiger betrafen informati onspflichtige Datenpannen auch den Bereich des Transportwegs personenbezogener Daten z B bei Fehlversendungen an Dritte dem Ver lust von Unterlagen auf dem Post und sonsti gen Transportweg oder der Besch digung verschlossener Sendungen mit Kenntnisnah mem glichkeit vom Inhalt f r Dritte Bei elektronischen Datentr gern zum Daten transport wie USB Sticks ist gleichfalls eine sichere Verschl sselung geboten siehe oben Fehlversendungen k nnen nur durch sorgf lti ge Arbeitsweise und berwachung der Technik verhindert werden worauf durch organisatori sche Ma nahmen hinzuwirken ist 21 3 Hacking der Internet Zugangsdaten bei einer Privatschule Bei dem Homepage Provider einer Privatschule wurden die Internet Zugangsdaten E Mail Adressen und Passworte der Lehrer und Sch ler mittels SQL Injection gehackt und anschlie Bend wohl als Beweis des Erfolgs auf einer Hacker Plattform im Internet ver ffentlicht Da die verwendeten Passworte mangels techni scher Vorgaben teilweise v llig unzureichend gestaltet waren z B nur drei vier oder f nf Ziffern oder W rterbuchbegr
194. er der eigentlichen Datenbearbeitung f r Sekundenbruchteile zwischengespeichert und danach umgehend irreversibel gel scht Aufgrund der Hardware konfiguration und absicherung ist ein Zugriff auf die Klardaten nicht m glich Als Ergebnis daten werden an den H ndler nur statistische Werte wie Geschlecht Altersgruppe ethnische Zuordnung Verweildauer und Interesse ausge geben F r die verarbeitende Stelle ist dabei die Iden tit t der betroffenen Personen weder von Inte resse noch hat sie zu irgendeinem Zeitpunkt Zugang zu identifizierenden Merkmalen Die ihr zug nglich gemachten statistischen Aus Video berwachung wertungen lassen keinen Bezug zu einer be stimmten oder bestimmbaren Person zu Fraglich ist ob das BDSG bei diesem Sachver halt anwendbar ist Voraussetzung daf r w re dass mittels der Kamera personenbezogene Daten erhoben werden Nach 8 3 Abs 1 BDSG sind personenbezogene Daten Einzelangaben einer bestimmten oder bestimmbaren nat rli chen Person Nachdem biometrische Daten des Gesichts erhoben werden sind wir zun chst unabh ngig davon was mit diesen Aufnahmen geschieht davon ausgegangen dass das BDSG anwend bar ist Die Auswertung der Bilder beinhaltet lediglich statistisch weiter verarbeitbare rein quantitative und anonymisierte Daten Im Er gebnis fehlt damit jeglicher Personenbezug so dass die entsprechende Nutzung aus daten schutzrechtlicher Sicht nicht beschr nkt ist Selbst wenn
195. erarbei tungsvertrag die Lebensdauer des Tracking Cookies und die geforderte Anonymisierung der IP Adressen Nachdem die M glichkeit eines beanstan dungsfreien Einsatzes durch die Webseitenbe treiber bei Vornahme verschiedener Einstellun gen sichergestellt war wurden 10 238 bayeri sche Webseiten online daraufhin gepr ft ob das Verfahren Adobe Analytics eingesetzt wird Wir fanden so heraus dass das Verfahren bei 44 Webseiten bzw Unternehmen eingesetzt wurde Da die Vornahme der erforderlichen Datenschutzeinstellungen und Vorkehrungen nicht ausschlie lich in einer Onlinepr fung von uns durchgef hrt werden konnte wurden die betroffenen Webseitenbetreiber mit einem Fragebogen angeschrieben Im Ergebnis teilten uns sechs Webseitenbetrei ber mit dass sie das Verfahren Adobe Analytics zuk nftig nicht mehr einsetzen die anderen 38 Webseitenbetreiber nahmen unser Schreiben zum Anlass entsprechende Anpassungen f r einen beanstandunggsfreien Einsatz des Verfah rens vorzunehmen soweit unsere Forderungen noch nicht umgesetzt waren So mussten bei spielsweise noch zahlreiche Unternehmen den erforderlichen Vertrag zur Auftragsdatenverar beitung abschlie en 45 40 35 30 25 E Adobe Analytics im Einsatz E ADV Vertrag abgeschlossen 20 15 Anzahl der Unternehmen 10 Bei Nach Pr fbeginn Pr fabschluss Im Ergebnis m ssen wir etwas berraschend feststellen dass obwohl ein Beschluss des D ss
196. erartige Bewertungsportale aus datenschutz rechtlicher Sicht nicht grunds tzlich unzul ssig sind siehe dazu Kapitel 7 5 F hlt sich eine Person durch eine im Portal ver ffentlichte Bewertung in ihrem Pers nlich keitsrecht verletzt besteht h ufig das zun chst aus ihrer Sicht nachvollziehbare Interesse die Identit t des Bewertenden in Erfahrung zu bringen Da den ver ffentlichten Bewertungen in diesen Portalen regelm ig keine personen bezogenen Daten zum Autor einer Bewertung zu entnehmen sind werden die gew nschten Ausk nfte oft von den Plattformbetreibern gefordert Letztere weigern sich in der Regel die entsprechende Auskunft zu erteilen Aus diesem Grund erreichten uns im Berichtszeit raum zahlreiche Anfragen und Beschwerden bewerteter Personen die die Identit t des Be wertenden erfahren wollten Begr ndet wurde dies meist damit dass sich der Bewertete dann direkt an die bewertende Person wenden k n ne bzw diese Informationen f r die F hrung eines Rechtsstreits hilfreich w ren Eine Rechtsgrundlage f r einen solchen Anspruch auf Auskunft ber die Person des Bewertenden ist jedoch nach dem einschl gigen Telemedi engesetz nicht vorhanden T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 47 Dies hat der Bundesgerichtshof BGH nunmehr in seinen Entscheidungen vom 01 07 2014 Az VI ZR 345 13 und 23 09 2014 Az VI ZR 358 13 zum Auskunftsanspruch gegen ein Arztbewertun
197. erdauer der Video berwachungsdaten oder einer fehlenden Regelung der privaten Internet und E Mail Nutzung am Arbeitsplatz In Einzelf llen haben wir im Nachgang zur schriftlichen Gro pr fung zus tzlich noch eine Vor Ort Pr fung durchgef hrt um gewisse Bereiche einer vertieften Kontrolle zu unterzie hen und in Stichproben die Angaben der Un ternehmen zu berpr fen Die anlasslosen Kontrollen mittels einer schrift lichen Abfrage dieser Art empfinden wir als eine gut geeignete M glichkeit in kurzer Zeit eine gro e Anzahl Unternehmen Freiberufler Vereine etc zu erreichen Aus diesem Grund planen wir auch in Zukunft in dieser oder hn licher Form solche Datenschutzorganisations pr fungen durchzuf hren 32 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 4 10 Video berwachung Eine M nchner Tageszeitung berichtete im April 2013 unter der berschrift Die Fu g n ger berwachungszone ber Videokameras in Gesch ften der M nchner Fu g ngerzone In dem Bericht waren die Standorte vieler Kame ras aufgef hrt und m gliche Verst e gegen das Datenschutzrecht benannt So wurde z B vermutet dass ber die T rschwelle hinaus auf den Gehweg gefilmt werden w rde weil bei den teilweise eingesetzten Domekameras die Ausrichtung nicht klar zu erkennen war Dar ber hinaus wurden die fehlenden aber gem 8 6b Abs 2 BDSG erforderlichen Hinweise auf die Video berwachung moniert
198. erden kann z B besonders intensive berwachungsformen Unabh ngig davon verbleiben f r die Tankstel leninhaber als verantwortliche Stellen im Sinne des BDSG nat rlich die allgemein geltenden Pflichten aus dem BDSG wie die Besch ftigten bei der Verpflichtung auf das Datengeheimnis nach 5 BDSG ber die Datenschutzanforde rungen in ihrem Arbeitsbereich zu unterrichten und die Video berwachung insgesamt daten schutzkonform nach 88 6b und 9 BDSG durch zuf hren Der betriebliche Datenschutzbeauftragte DZ T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 37 a Auftragsdatenverarbeitung oder Funktions bertragung allgemein Auftragsdatenverarbeitung oder Funktions bertragung allgemein 38 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Auftragsdatenverarbeitung oder Funktions bertragung allgemein 5 Auftragsdatenverarbeitung oder Funktions bertragung allgemein 5 1 Miete von R umen und Rechnern Housing ist keine Auftragsdatenverarbeitung Die reine Miete von R umen und Rech nern ist keine Auftragsdatenverarbeitung Aus Platz und Infrastrukturgr nden mieten inzwischen wieder h ufiger Unternehmen ex tern R ume und Rechner an um dort ihre auch personenbezogenen Daten zu verarbei ten Dabei stellt sich die Frage wie solche Sachverhalte datenschutzrechtlich einzuordnen sind Die reine Miete von R umen mit Infrastruktur Strom K hlung Heizun
199. erla gen der WEG f hrt zu keiner anderen Bewer tung da in der proaktiven Mitteilung durch die Hausverwaltung schon deshalb ein eigen st ndiger Eingriff zu sehen ist weil nicht fest 138 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht steht ob der einzelne Eigent mer tats chlich Einsicht in die Verwaltungsunterlangen der WEG nehmen wird Die Hausverwaltung hat uns mitgeteilt k nftig auf vergleichbare personalisierte Aush nge zu verzichten Auch andere im Berichtszeitraum eingegange ne Beschwerden betrafen das Aush ngen von Schreiben durch Verwaltungen von Mehrfami lienh usern im Treppenhaus Allgemein gilt dass WEG Verwalter Schreiben mit personen bezogenen Daten z B zu einzelnen Eigent mern oder Mietern nicht in Gemeinschaftsbe reichen und erst recht nicht in ffentlich zu g nglichen Bereichen wie z B Treppenh usern oder Aufz gen aush ngen sollten Soweit in einer Verwaltungsangelegenheit Bedarf an einer Information aller Wohnungseigent mer besteht und hierbei im Einzelfall eine namentli che Benennung einzelner Eigent mer oder Bewohner gerechtfertigt ist sind solche Infor mationen z B in der Eigent merversammlung oder mit Schreiben zu erteilen die an die Ei gent mer versandt werden Wohnungswirtschaft und Mieterdatenschutz DE T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 139 FT Video berwachung 19 Video berwachun
200. ertb rse Das Versicherungsunternehmen vertrat die Auffassung dass ein Hinweis auf die von der Versicherung im Internet ver ffentlichte Dienstleisterliste an den Betroffenen gen ge um ein Auskunftsersuchen nach 8 34 BDSG zu erf llen das sich ausdr cklich auch auf die Empf nger der Daten bezog Dieser Hinweis war jedoch schon deshalb nicht ausreichend weil die Dienstleisterliste in dem konkreten Fall lediglich die Stellen enthielt mit denen die Versicherung unter Verwendung von Gesund heitsdaten und weiterer nach 203 StGB ge sch tzter Daten zusammenarbeitet Eine Onli ne Restwertb rse aus dem Bereich Kfz Versicherung an die die Daten im Rahmen einer Auftragsdatenverarbeitung weitergege ben worden waren siehe dazu auch Kapitel 9 2 war in dieser Liste jedoch nicht enthalten 6 6 Kein Anspruch einer bewerteten Person gegen ber dem Betreiber einer Internet Bewertungsplattform auf Auskunft ber die Person des Bewertenden Wird eine Person auf einer Bewertungs plattform z B f r rzte bewertet und m chte diese vom Plattformbetreiber Auskunft ber die Identit t des Bewer tenden ist keine Rechtsgrundlage ersichtlich die den Plattformbetreiber erm chtigen w rde ohne eine entspre chende Einwilligung des bewertenden Nutzers die gew nschten Ausk nfte zu erteilen Die Rechtsprechung hat in j ngerer Vergan genheit in Bezug auf Internetportale zur Be wertung von rzten mehrfach festgestellt dass d
201. ertungsplatt form im Internet mangels einer gesetzlichen Erm chtigungsgrundlage grunds tzlich nicht befugt ohne Einwilligung des Bewertenden dessen personenbezogene Daten an eine be wertete Person zu bermitteln die einen Aus kunftsanspruch wegen einer Pers nlichkeits rechtsverletzung an ihn herangetragen hat 48 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Datenschutz im Internet Er Datenschutz im Internet T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 49 ER Datenschutz im Internet 7 Datenschutz im Internet 7 1 Google Urteil des EuGH Mit Urteil vom 13 Mai 2014 C 131 12 entschied der Europ ische Gerichtshof EuGH in einem Vorabentscheidungsver fahren dass der Suchmaschinenbetreiber Google als verantwortliche Stelle Suchergebnisse aus den Ergebnislisten entfernen muss soweit das berechtigte Interesse der betroffenen Person das Interesse des Suchmaschinenbetreibers und der ffentlichkeit berwiegt Auch wenn sich das EuGH Urteil speziell auf den Suchmaschinenbetreiber Google bezieht sind die Aussagen des Urteils auch auf die sonstigen Suchmaschinenbetreiber innerhalb und au erhalb der Europ ischen Union EU wie z B Microsoft Bing und Yahoo an wendbar Da diese beiden Suchmaschinenbe treiber Niederlassungen in Bayern f hren sind wir f r Anfragen und Eingaben zu diesen zu st ndig Entgegen der Erwartungen erre
202. es bis sp testens 30 Juni 2014 dem Bundeszen tralamt f r Steuern mitteilen und dort einen sogenannten Sperrvermerk beantragen der dann dem Finanzamt bekanntgegeben wurde Banken Die Informationskampagnen der Banken ber das neue Kirchensteuer Abgeltungsverfahren haben auch zu einer Reihe von Eingaben von irritierten Kunden bei uns gef hrt Kunden wollten nicht dass ihre Zugeh rigkeit oder Nicht Zugeh rigkeit zu einer Religionsgemein schaft bei ihrem Finanzinstitut bekannt wird und sahen nicht ein dass sie nun einem Hand lungszwang zur Eintragung eines Sperrver merks beim Bundeszentralamt f r Steuern unterworfen werden Wir konnten die anfragenden B rgerinnen und B rger nur auf die neue gesetzliche Regelung und die M glichkeit des Sperrvermerks hinwei sen Mehr insbesondere eine vorherige Einwil ligung der B rgerinnen und B rger gibt das Gesetz nicht her Weitere Informationen dazu und einen Link zum Antrag f r die Eintragung eines Sperrver merks h lt das Bundeszentralamt f r Steuern auf seiner Homepage vor gt gt gt http www bzst de DE Steuern_National Kirchen steu er Info_Buerger Informationen_fuer _Buerger_node html 10 2 Bezahlverfahren mittels NFC Technologie Die NFC Technologie f r das kontaktlose Bezahlen mit EC Karten wurde in einen datenschutzrechtlich und datensicher heitsm ig vertretbaren Rahmen ge bracht Die deutschen Datenschutzaufsichtsbeh rden wurden dar ber info
203. esnen 90 13 7 bermittlung von Beratungsprotokollen von freien Finanzberatern an Finanzinstitute 92 14 Internationaler Datenverkehr srsusssnssnsnnsnrsnssnnsnrsnsnsnnsnnsnssnsnnsnnsnnsnssnsnsnnsnnsnnsnssnsnnssnsnnsnnnnnen 93 14 1 Binding Corporate Rules BCR uesenseeennsseensssennnssennnsennnnssennnnssnnnnssnnnnssnennnsnenenssenenssennnssennnnee 14 2 BCR f r Auftragsdatenverarbeiter ein neues Instrument 14 3 Cloud Computing und Unterauftragserteilung ussesesssennsssennssssennssenunssenunnennnnnennner 14 4 Problematik des Exports personenbezogener Daten vor dem Hintergrund der Darstellungen von Edward Snowden uusesenssennnseeennsesennssenenssenunssennnnsennnnssnnnnssennnssnnnnenannnenen 104 15 Besch ftigtendatenschutz esesossssnsnsnsssenenesnenssnssnensnesnsnssnenennensnnsnenennenenensnnsnsnnenennsnsnesnsnennennne 109 15 1 Speicherdauer f r krankheitsbedingte Fehlzeiten unuseensensseennseennneennnenener 110 15 2 _Zweckwidrige Nutzung von Gehaltslisten zur Feststellung ob Gewerkschaftsbeitrag Bezahlte Wird er Ae E e area een a 15 3 Erfassung von Telefondaten durch Arbeitgeber uu nnsesennsseenssseennnssennseennnssennnnssnner 15 4 Nachweis der Betriebszugeh rigkeit f r Erhalt von Nachl ssen bei Gesch ften 15 5 Kopie des F hrerscheins durch Arbeitgeber uussennseennseennnssennnseennnsennnnsennnnnenener 15 6 Mith ren von Telefongespr chen durch Arbeitge
204. esnnesnnesnnennesnne 2 Inhaltsverzeichnis 2 22 22222 50502220222250220250000000 224020000 0 0ubsgBaadnbeGendpendnngesccunneberdenbseekdahecse re hegeneReFerrenFeEeeHeee 4 1 Datenschutzaufsicht im nicht ffentlichen Bereich 0u00us00s00n000000000n00n00n0nn0nnennenonnnee 10 11 Die bayerische Datenschutzaufsichtsbeh rde ununsesennseennnseeennsesennssennseennnnsennen 11 1 2 Gesetzliche Grundlage f r die Erstellung des T tigkeitsberichts uuesesesseeen 11 2 Allgemeiner berblick ber die T tigkeit des BayLDA nunsenssussusssssenssnsoneoneonnennennsenesenseneeneener 12 21 Statistik a re ee ee NR 13 2 1 1 Beschwerden a 2c ai eHni Ei eisermieenerikershine 13 2 1 22 Beratungen een 14 2 1 2 1 Beratung der B rger Betroffenen unssensennseennnssennnsesnnnssennnsennnnsssnnnnesenenssenunssennnnsennnnen 14 2 1 2 2 Beratung der verantwortlichen Stellen und der betrieblichen Datenschutzbeauftragten 15 2 1 3 Bu geldverfahren und Strafantr ge uusneesennseennnsseennsseennsennnnsennnnnennnnnsnenenssenenssenunssennnnnnn 15 2 2 ffentliches Register der nach 4d meldepflichtigen automatisierten Verarbeitungen 16 2 3 Zusammenarbeit mit den anderen Datenschutzaufsichtsbeh rden eneeneee 17 2 4 Teilnahme und Mitwirkung bei Veranstaltungen der Wirtschaft und anderer Berufsgruppen nesseessseenesssenmnnsssenenssennnssennnsssnnunssenunssennnssnnnsssennnssennnssennnss
205. esonder te Rubrik f r BCR f r Auftragsdatenverarbei ter aufgenommen werden Dauer von BCR Pr fverfahren Was die Dauer der BCR Pr fverfahren betrifft bem hen sich die Datenschutzbeh rden der Mitgliedstaaten um weitere Beschleunigung Aufgrund der stetig steigenden Anzahl einge hender Antr ge auf BCR Anerkennung stellt dies die Beh rden jedoch vor erhebliche Her ausforderungen Zwar kann ein Zeitraum von in Einzelf llen ggf auch deutlich unter einem Jahr durchaus realistisch sein die Dauer h ngt jedoch ma geblich ab von der Qualit t der eingereichten Unterlagen und auch der Schnel 98 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht ligkeit mit der der Konzern die Anmerkungen und Hinweise der federf hrenden Daten schutzbeh rde sowie der Co Pr fer Beh rden umsetzt 14 2 BCR f r Auftragsdatenverar beiter ein neues Instrument Im Berichtszeitraum erreichte uns eine Vielzahl von Fragen zum neuen Instru ment der BCR f r Auftragsdatenverar beiter Mehrere Konzerne haben derarti ge BCR angek ndigt deren EU weite Pr fung unter unserer Federf hrung erfol gen wird In einem Verfahren dieser Art haben wir bereits als Co Pr fer mitge wirkt BCR standen zun chst nur als Instrument f r den Export personenbezogener Daten durch verantwortliche Stellen die alle ein und dem selben Konzern angeh ren m ssen an kon zernangeh rige Empf nger in Drittstaaten
206. etzt werden Bei Hash Verfahren kann nur dann von Verschl sselung gesprochen werden wenn sogenannte keyed hash Verfahren eingesetzt 160 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht werden Bei diesen Algorithmen wird immer noch ein kryptographischer Schl ssel mit ver wendet ohne welchen eine R ckrechnung eines Hashwertes auf den urspr nglichen Ein gabetext nicht praktikabel m glich ist In der Praxis werden heutzutage vielf ltige Verschl sselungsverfahren eingesetzt VPN Verbindungen basieren meist auf dem IPSec Protokoll E Mails k nnen mit S MIME oder PGP auf Inhaltsebene verschl sselt werden Backups werden durch eine AES 256 Verschl sselung sicher bei Dritten aufbewahrt und SSL TLS sch tzt die Kommunikation im Web durch HTTPS oder beim Transport von E Mails STARTTLS Werden personenbezogene Daten ber das Internet versendet so ist eine wirksame Ver schl sselung mit einem kryptographischen Verfahren nach dem Stand der Technik zwin gend notwendig Die Anwendung dieser Ver fahren war und bleibt ein Schwerpunkt bei unseren Kontrollen Sofern personenbezogene Daten ber das Web HTTP bertragen wer den ist eine HTTPS Verschl sselung einzuset zen Dies betrifft z B die Eingabe von Zu gangsdaten im Rahmen einer Authentifizierung Login Name und Passwort die bermittlung von Inhaltsdaten als auch Session Token die einen mittelbaren Personenzug herstellen k n
207. f nger von Daten unsseneenmnseennneenn 47 6 6 Kein Anspruch einer bewerteten Person gegen ber dem Betreiber einer Internet Bewertungsplattform auf Auskunft ber die Person des Bewertenden nneeee 47 7 Datenschutz im Internet 2 0 nenne lheierstennen 49 71 Google Urteil des EuGH 7 2 International Sweep Day usemsennnsseensseennsennnnseennnnssennnssenunssennnssennnssnnnnssnnnnssnnnnssanensnennnssenunssennnsstnn 7 3 Pr fung des Einsatzes von Adobe Analytics im Internetauftritt bayerischer Unternehmen 52 74 Privatfahndung in sozialen Netzwerken uusnesenseensssennssennssennnsssenunssenunssennnnssanenssenenssenunssennnnenanen 53 7 5 Portale mit Bewertungsm glichkeit uunasssssensssensssennsssennsssenunssenunssennnsssanunssenenssenunssennnsenannn 54 7 6 Keine schematisierten Datenschutzerkl rungen im Internet uusesennsensssennnsenne 55 7 7 Tracking mit fortgeschrittenen Webtechnologien uussesensensssennnsseensssennssennnssennnneenn 57 7 8 Ver ffentlichung von Fotos im Internet usesennssennnssennnnseennnssennnsssnnnnssennnssenunssenunssennnnennn 58 79 Einwilligung aus Afrika ussemseeneeennseennnseennnsesnnnnesenenssenunssenunssennnnsennenssenunssnnnnenennnssenenssenunssennnsennnen 59 7 10 _ Messe Registrierungen unenenenseensenneenunsennneennnsennnsenentennnsennstennstennstnnnstnnnssnnnsennnsenunsennnsenentennsennstannne 60 T tigkeitsbericht
208. f r Interessensabw gungen Dass diese Entschei dungen dann nicht mehr nur im Fokus des nationalen Rechtsverst ndnisses und der nati onalen Rechtskultur getroffen werden k nnen sondern bei der Auslegung auch das Verst nd nis in den anderen Mitgliedstaaten der Europ ischen Union heranzuziehen sein wird ist eine Herausforderung bei der uns zu gegebener Zeit der Europ ische Gerichtshof in Luxemburg sagen wird ob und inwieweit wir dieser ge wachsen waren oder nicht Ernsthafte Anzeichen daf r dass Datenschutz und Datensicherheit an Bedeutung verlieren werden gibt es keine Wir werden uns deshalb auch in Zukunft mit Nachdruck daf r einsetzen dass Datenschutzverst e im nicht ffentlichen Bereich in Bayern m glichst gar nicht entste hen oder wenn wir doch welche erkennen diese abgestellt werden Dabei verstehen wir uns wie in der Vergangenheit nicht nur als Interessenvertreter der betroffenen B rgerin nen und B rger sondern haben auch die be rechtigten Interessen der Unternehmen im Auge um beim Umgang mit personenbezoge nen Daten eine f r alle Beteiligten angemesse ne Praxis sicherzustellen Ansbach im M rz 2015 Thomas Kranig Pr sident T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 3 Inhaltsverzeichnis Inhaltsverzeichnis Vorwort euessusssnsssussnnesnnesnnesnnssnnesnnesnesnnesnnesnnesnnesnnesnnesnnesnnersnnesnnesnnesnnennesnnesnnesnnesnnnssnnesnnesnnesnnesnn
209. f r Datenschutzaufsicht tragsklauseln aus Anlass der in Rede stehenden Problematik als datenschutzrechtlich unzul s sig untersagt worden w re Aus unserer Sicht k nnen die von den Berich ten ber massive Datenzugriffe von US Nachrichtendiensten aufgeworfenen schwer wiegenden datenschutzrechtlichen Fragen ihrer Art nach letztlich nur systemisch gel st wer den nicht jedoch durch beh rdliche Einzel ma nahmen die nur einzelne Unternehmen betreffen w rden Denn letztlich geht es hier bei nicht prim r um Datenschutzrisiken die spezifisch bei einzelnen US Unternehmen best nden sondern vielmehr um die vom US amerikanischen Recht den dortigen Beh rden generell er ffneten Befugnisse und deren Um setzung in der dortigen Verwaltungspraxis Eine derartige systemische aus der Rechtsord nung und Verwaltungspraxis eines Drittstaates USA insgesamt erwachsende Problemlage kann unseres Erachtens kaum sinnvoll durch Einzelma nahmen von Datenschutzaufsichts beh rden einzelner EU Mitgliedstaaten be gegnet werden die nach Artikel 3 Abs 1 Satz 1 Buchstabe b der Safe Harbor Entscheidung den Datenschutzbeh rden der Mitgliedstaaten er ffneten Befugnisse sind nach unserer Auf fassung nicht auf den Umgang mit solchen Datenschutzrisiken zugeschnitten die einen Drittstaat als Ganzes betreffen sondern auf spezifische Risiken die f r Datenexporte an ein bestimmtes Unternehmen aufgrund der spezi fischen Gegebenheiten bei
210. fern die entsprechenden Personen nicht gleichzeitig Funktionen als Datenschutz beauftragte f r Konzernunternehmen inneha ben und in dieser Eigenschaft wie dann in der Praxis meist der Fall ausweislich den Festle gungen im Text der BCR auch die Zust ndig keit f r die BCR Compliance im Alltag als Mitarbeiterstab im Sinne von WP 154 Nr 15 und von WP 153 Nr 2 4 zugewiesen erhalten Anwendungsbereich von BCR Schwierigkeiten bereitete bei einigen BCR die Formulierung ihres Geltungsbereichs Die Arti kel 29 Gruppe hat darauf hingewiesen dass BCR zwingend jedenfalls auf die Verarbeitung der personenbezogenen Daten anwendbar sein m ssen die aus der EU bermittelt wer den vgl WP 154 Nr 1 Dies ist angesichts der Funktion von BCR als Mittel zur Herstellung eines angemessenes Datenschutzniveaus bzw als ausreichende Datenschutzgarantien 88 Ab 4c BDSG bei Daten bermittlungen aus der EU bzw dem EWR selbstverst ndlich Eini ge Unternehmen untersch tzen aber die Reichweite der BCR in der Praxis Im Rahmen der von uns gef hrten BCR Pr fverfahren ha ben wir die Unternehmen daher darauf hinge wiesen dass die BCR h ufig auch f r solche Daten anwendbar sind die urspr nglich zwar nicht aus der EU stammen also nicht in der EU erstmalig erhoben worden sind jedoch einmal an ein konzernangeh riges Unternehmen in die EU bermittelt worden sind und dort dann Gegenstand einer Verarbeitung ode
211. ffassung im Wesentlichen davon ab e ob der Externe Freie nach den Vorga ben und unter der Aufsicht der verant wortlichen Stelle vergleichbar den fest angestellten Mitarbeitern z B zur Be w ltigung von Arbeitsspitzen t tig wird oder e ob der Externe Freie auf weitgehend eigenst ndiger Basis seine Dienstleis tungen f r die verantwortliche Stelle erbringt z B beauftragt mit Program mierung und Wartung von spezieller Software Im letzteren Fall w re eine vertragliche Beauf tragung des Externen nach 8 11 BDSG das rich tige Mittel nach dem BDSG im ersteren Fall eine Verpflichtung nach 8 5 BDSG auf das Da tengeheimnis 5 6 Vertragliche Regelungen zum Datenschutz bei Aufgaben oder Funktionsauslagerungen Bei den vertraglichen Gestaltungen der datenschutzrechtlichen Seite einer Auf gabenauslagerung bzw Funktions ber tragung kommt es nach unserer Auffas sung wesentlich darauf an um welche Art der Auslagerung und um welche Aufga ben bernehmer es sich handelt Immer wieder werden wir gefragt wie die ver traglichen Regelungen zum Datenschutz bei einer Aufgaben oder Funktionsausgliederung aussehen m ssen W hrend der aus datenschutzrechtlicher Sicht notwendige Inhalt von Vertr gen zur wei sungsgebundenen Auftragsdatenverarbeitung in 11 Abs 2 Satz 2 BDSG vom Gesetz her schon detailliert vorgegeben wird bestehen f r die Auslagerung von Aufgaben bzw Funktio nen an Dritte wegen der verschieden
212. ffentlichungen personenbezogener Daten im Internet einen wesentlich h heren Verbreitungsgrad als sonstige Ver ffentlichun gen haben greifen sie wesentlich st rker in die Datenschutzinteressen der Betroffenen ein als bspw Ver ffentlichungen in der Vereinszei tung Daher ist die Internetver ffentlichung personenbezogener Daten von einfachen Vereinsmitgliedern zu Themen die das Ver einsleben betreffen wie z B Ehrungen Jubil en grunds tzlich nur mit vorheriger Einwilli gung des Betroffenen zul ssig F r die Inter netver ffentlichung von Wettkampfergebnis sen und pers nlicher z B sportlicher Leistun gen von Vereinsmitgliedern im Amateur und Breitensportbereich w re dies allerdings zu eng Denn hierbei ist auch zu ber cksichtigen dass sportliche Wettk mpfe die von einem Verein oder Verband ausgerichtet werden jedenfalls in der Regel ffentliche Veranstal tungen darstellen so dass es sich insoweit um allgemein zug ngliche Daten handelt deren Ver ffentlichung daher an 8 28 Abs 1 Satz 1 Nr 3 BDSG zu messen ist Die schutzw rdigen Interessen der Betroffenen gebieten es aber auch bei solchen Daten Internetver ffentli chungen nur f r eine begrenzte Zeit als zul s sig anzusehen Pauschale Aussagen im Hinblick auf die zul ssige Ver ffentlichungsdauer sind indessen kaum m glich Kriterien hierf r k n nen etwa u a der Grad des ffentlichen Inte resses am betreffenden Wettkampf die Spie
213. fl chendeckenderen Verschl sselung der Kommunikation aufgefordert Dieses Schrei ben das auch in unserem Namen publiziert wurde hat uns bewogen den Worten Taten folgen zu lassen Hierzu haben wir 2236 verantwortliche Stellen in Bayern zuf llig ausgew hlt anhand heuris tischer und manueller Verfahren legten wir den Schwerpunkt auf gr ere und mittlere Unter nehmen Im Fokus der Pr fung standen die Unterst tzung von STARTTLS Perfect Forward Secrecy PFS und die Behebung der Heart bleed L cke siehe Kapitel 22 5 und 22 8 Bei unserem ersten Pr fdurchlauf im Septem ber 2014 hatten wir positiv zur Kenntnis ge nommen dass eine berw ltigende Mehrheit bereits STARTTLS eingesetzt hatte Von diesen hatten auch sehr viele Perfect Forward Secrecy unterst tzt ohne dieses Verfahren bietet eine Transportverschl sselung heutzutage keinen wirksamen Schutz mehr Erschreckend war jedoch dass 44 Unternehmen die Heartbleed L cke ber die zu dem Zeitpunkt bereits seit einem halben Jahr in den Medien berichtet wurde immer noch nicht auf Ihren Mailservern geschlossen hatten Die meisten Unternehmen hatten keine Schwierigkeiten die von uns bem ngelten IT Sicherheitsanforderungen umzusetzen da die se im Allgemeinen durch eine Anpassung der Mailserver Konfiguration mit wenigen Zeilen Code sehr einfach durchzuf hren ist Ergebnis der untersuchten MX Records E STARTTLS und PFS E Nur STARTTLS m weder noch u
214. ft keinerlei Vorinformatio nen zu Bestellern vor Online Unternehmen ziehen deshalb bei finanziellen Ausfallrisiken z B bei Warenlieferung gegen offene Rech nung bei Vorleistung mittels Energiebeliefe rung oder Telekommunikationsdienstleistun gen regelm ig Auskunfteien Informationen in ma geblicher Weise zu Rate Einen sekun denschnellen berblick im Rahmen eines On linekontakts bieten sog Scorewerte die von Auskunfteien als Prognosewert f r die Wahr scheinlichkeit eines Zahlungsausfalls anhand eines mathematisch statistischen Verfahrens berechnet werden Immer wieder fragen uns von Scorebewertun gen der Auskunfteien betroffene Personen ob und inwieweit auch die aus der Anschrift er schlie bare Art der Wohnung und des Woh numfelds f r eine Bonit tsscore Berechnung herangezogen werden darf T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 77 Be Auskunfteien Das BDSG l sst in 28b auch die Verwendung von Anschriftendaten f r die Berechnung von Scorewerten grunds tzlich zu Voraussetzung dabei ist dass daf r nicht ausschlie lich An schriftendaten genutzt und die Verbraucher ber eine solche Art der Scoreberechnung unterrichtet werden z B mittels der Ge sch ftsbedingungen des angestrebten Ver tragspartners Liegt ein Scorewert einer Auskunftei nach Mei nung der betroffenen Person voll daneben ist manchmal eine Personenverwechslung bei Namensgleichen am glei
215. ft zu Die datenschutzrechtli che Verantwortung und insbesondere das strafrechtliche Risiko daf r dass die Einwilli gung tats chlich vorliegt und im Streitfall ggf auch vorgelegt werden kann tr gt aber der Arzt Vor diesem Hintergrund empfehlen wir rzten sich vom Versorgungsamt die Einwilli gungserkl rung des Betroffenen vorlegen zu lassen 16 5 Erhebung von Gesundheits daten durch einen Verein mittels Fragebogen Auf die nach 4a Abs 1 Satz 3 BDSG er forderliche Schriftform einer daten schutzrechtlichen Einwilligung kann bei Datenerhebungen mittels Frageb gen verzichtet und eine konkludente Einwilli gung durch Abgabe des Fragebogens als ausreichend angesehen werden Aller dings setzt dies einen Hinweis auf die Gesundheit und Soziales Freiwilligkeit der Abgabe und transparen te Informationen ber den Umgang mit den im Fragebogen erhobenen Daten voraus Um die Versorgungssituation von Menschen mit bestimmten Behinderungen durch konkre te Initiativen zu verbessern hat ein Verein ei nen Fragebogen entwickelt und diesen im In ternet ver ffentlicht bzw an Betroffene ver schickt Dabei wurden neben allgemeinen An gaben zur betroffenen Person wie Name Vor name und Geburtsjahr Daten zur rztlich fest gestellten Diagnose zum Grad der Behinde rung und zur Pflegestufe abgefragt sowie Fra gen zur aktuellen und erw nschten Versor gungssituation gestellt Da der Fragebogen bzw das Anschreiben keine
216. g usseesensennssseensseenunssennnsssnnnnssenenssenunssennnnsennnnee 20 Fahrzeugdaten amp 02405 5002 0002000000000028080080n80800enns henrsneunndennsrhetn cerndursdesnsehesnnentehes hesehnsnendenne 20 1 Verkehrsgerichtstag 2014A uuesesennnseennnsseensssennssenunssennnssennnnsennenssnnnnsennnnsenennesenenssenunssenunssennnseten 20 2 Arbeitskreis Verkehr der Datenschutzaufsichtsbeh rden useseeemenseenneeenneeen 20 3 Was wei ein Kraftfahrzeug und wer erf hrt davon F lle aus der Praxis ee 20 3 1 Hinweis im Display Kupplung k hlen ununssesenseennnseennnsesennesennssenunssennnnennnnnee 20 3 2 Batteriekontrollleuchte ussensennssennsssennssssnnsssennnssennnssennnnssnnnnssenenssenunssennnnssanenee 20 3 3 Onlinemeldung Bremsbel ge uuunsssensennsssennsssennnsssennssenunssennnnssnnnnesenenssennnssennnnsennener 20 3 4 Ausdruck der Fahrzeugdaten f r Arbeitgeber uusseseneeensssensssensssennnssennenee 20 3 5 Auslesen von Fahrzeugdaten zu einem Dienstwagen useeensesennnssenenssenenssennnneennnne 8 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Inhaltsverzeichnis BE 20 4 GPS Ortung von Mietwagen unnsenseseennsennnsennnsenunsennneennnsennneennstennsennnsnnnnsennnsnnuntennnsennstennntennstnnntnnn 150 21 Informationspflichten bei Datenpannen 8 42a BDSG 15a TMG zursussnsonsorsnssnsnnennee 152 21 1
217. g 140 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 19 Video berwachung 19 1 Dashcam Urteil VG Ansbach Wenn ein Autofahrer mit einer in seinem Fahrzeug eingebauten on board Kamera Dashcam permanent Aufnahmen des von ihm befahrenen ffentlichen Bereichs in der Absicht macht die Aufzeichnungen Dritten z B bei einem Unfall der Polizei zur Verf gung zu stellen ist dies daten schutzrechtlich unzul ssig Ein Autofahrer hatte in seinem Fahrzeug eine on board Kamera eingebaut und offensichtlich alle seine Fahrten aufgenommen Er dokumen tierte zahlreiche F lle von ihm festgestellter Verst e anderer Verkehrsteilnehmer brachte diese bei der Polizei zur Anzeige und bergab teilweise zum Beleg daf r Videoaufnahmen Dies ist datenschutzrechtlich unzul ssig Wenn ein Kamerabetreiber die Absicht hat die Aufnahmen gegebenenfalls Dritten zur Verf gung zu stellen z B bei einem Unfall der Poli zei oder einer Versicherung als Beweismittel oder durch Einstellen ins Internet gilt das BDSG Ein Fall pers nlicher T tigkeit bei der das BDSG nicht anwendbar ist liegt dann nicht vor weil die Aufnahmen durch die bergabe an Dritte den pers nlichen Bereich verlassen Da dabei auch die anderen Verkehrsteilnehmer erkennbar waren war auch der notwendige Personenbezug vorhanden Eine Video berwachung von ffentlich zu g nglichen Bereichen ist nach 8 6b Abs 1 Nr 3 BDSG zul ssig wenn s
218. g TK Anbindungs m glichkeit etc als Standort von gemieteten Rechnern Housing d h Zurverf gungstel lung der H lle ohne konkrete Verarbeitungs vorg nge bez glich der Daten keine Netz Support Wartungs und Datensicherungsleis tungen bez glich der Datenverarbeitung durch den Vermieter ist nach unserer Auffassung keine nach 11 BDSG zu regelnde Auftragsda tenverarbeitung es fehlt dabei an einem Vor gang der Verarbeitung personenbezogener Daten im Sinne des BDSG durch den Vermieter Im Rahmen der allgemeinen Sicherheitsma nahmen nach 9 BDSG sind in dem Mietver h ltnis angemessene Regelungen insbesonde re zur Raum und Infrastruktursicherheit zu treffen 5 2 Archivierung verschl sselter Daten ist keine Auftrags datenverarbeitung Sind extern archivierte Datenbest nde sicher verschl sselt gehen wir beim Archivdienstleister nicht mehr von einer Personenbeziehbarkeit der Daten aus Bei gro en und meist aus handels und steuer rechtlichen Gr nden l ngerfristig zu archivie renden Datenbest nden mit personenbezoge nen Daten z B Buchhaltungsunterlagen ist f r manche Unternehmen die externe Auslagerung an einen spezialisierten Dienstleister zur dorti gen Speicherung und Sicherung der Daten ein Thema Aus Datenschutz und Datensicherheitsgr n den Betriebsgeheimnisse werden manchen Archivdienstleistern die Datenbest nde nur in vorher nach dem aktuellen Stand der Technik sicher
219. g von Daten sowie auf Scha densersatz rechtlich durchzusetzen insbeson dere durch Anrufung von Datenschutzauf sichtsbeh rden und Gerichten in der EU So fern konkrete BCR was seitens der Aufsichts beh rden unter bestimmten Voraussetzungen akzeptiert wird vgl WP 155 der Artikel 29 Gruppe Nr 3 ein Haftungsregime enthalten das demjenigen der EU Standardvertr ge ent spricht so dass grunds tzlich der jeweilige Datenexporteur oder ggf sogar der jeweilige Datenimporteur f r Verst e haftet muss zweifelsfrei sein dass alle teilnehmenden und somit bei diesem Haftungsregime potentiell haftenden Gesellschaften rechtsverbindlich an die BCR gebunden sind Dies ist grunds tzlich nur dann gew hrleistet wenn alle teilnehmen den Konzerngesellschaften sich vertraglich durch einen mehrseitigen Vertrag intra group agreement auf die Verbindlichkeit der BCR verpflichten Denn nur Vertr ge erzeugen zwei felsfrei nach allen Rechtsordnungen der Mit gliedstaaten eine Drittbeg nstigungswirkung vgl WP 74 Nr 3 3 2 Im Falle der Wahl eines Haftungsmodells entsprechend den EU Standardvertragsklauseln gen gt es daher nicht wenn die betreffenden BCR ohne Ab schluss eines mehrseitigen Vertrags unter den Konzerngesellschaften lediglich als Konzern richtlinie in Kraft gesetzt werden denn in die sem Fall ist es zumindest nicht zweifelsfrei ob insoweit von einem hinreichend nachgewiese nen Willen aller potentie
220. ge eines sol chen Mangels im Unternehmen zu einem Ver sto gegen bu geldbewehrte datenschutz rechtliche Vorschriften gekommen ist Unter nehmen sind daran zu erinnern dass sie die Pflicht haben durch organisatorische Vorkeh rungen daf r Sorge zu tragen dass es bei der betrieblichen und unternehmerischen T tigkeit nicht zu Verst en gegen bu geldbewehrte Vorschriften kommt Wie es vom Gesetz er m glicht wird haben wir in solchen F llen Geldbu en gegen Unternehmen verh ngt wenn Verst e gegen die betriebliche Auf sichtspflicht Personen zur Last zu legen waren denen im Unternehmen oder Betrieb Leitungs aufgaben zukamen Strafantr ge wurden von uns auch in diesem Berichtszeitraum lediglich in f nf F llen ge stellt Festzustellen war aber dass zahlreiche datenschutzrechtliiche Strafverfahren bei Staatsanwaltschaften anh ngig waren die dann nach Feststellung dass ein Straftatbe stand nicht erf llt war an uns als Verwaltungs beh rde zur Durchf hrung eines Bu geldver fahrens in eigener Zust ndigkeit abgegeben wurden 2 2 ffentliches Register der nach Ad meldepflichtigen auto matisierten Verarbeitungen Nach 38 Abs 2 BDSG f hren wir ein Register der nach Ad BDSG meldepflichtigen automa tisierten Verarbeitungen bei verantwortlichen Stellen in Bayern Im Wesentlichen sind die folgenden zwei Gesch ftsfelder gegen ber uns als Daten schutzaufsichtsbeh rde meldepflichtig e Datenspeic
221. gen der WEG genommen hatte Da die Muttergesellschaft ein von der Haus verwaltungs GmbH verschiedenes Unterneh men d h ein anderer Rechtstr ger war stellt die Einsicht der Revisionsabteilung eine Be kanntgabe personenbezogener Daten der Wohnungseigent mer durch die Hausverwal tungs GmbH an einen Dritten und somit ge m 8 3 Abs 4 Satz 2 Nr 3b BDSG eine Daten T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 137 En Wohnungswirtschaft und Mieterdatenschutz bermittlung dar Die bermittlung haben wir im vorliegenden Fall aufgrund berechtigter Interessen der Hausverwaltung und ihrer Mut tergesellschaft gem 8 28 Abs 1 Satz 1 Nr 2 und Abs 2 Nr 2a BDSG f r zul ssig erachtet Ma geblich hierf r war dass die Konzernmut ter uns gegen ber plausibel erkl rte ein be rechtigtes Interesse daran zu haben Haftungs risiken der mit ihr verbundenen Unternehmen etwa der Hausverwaltungs GmbH zu berwa chen und zu minimieren und zu diesem Zweck entsprechende Ausk nfte einzuholen dem habe die Einsicht durch die Revisionsabteilung gedient Die Konzern Innenrevision hat dabei Vorg nge gepr ft die im Zusammenhang mit der Ver waltung der Wohnungseigent mergemein schaft anfallen z B Daten von Wohnungsei gent mern ggf auch Handwerkern Dienstleis tern oder Lieferanten Diese Arten von Daten unterliegen jedenfalls keinem in ganz besonde rem Ma e gesteigerten pers nlichkeitsr
222. gewinnung durch US Nachrichtendienste aber auch von Nachrich tendiensten weiterer mit den US Diensten zusammenarbeitender Staaten Das von die sen Darstellungen berichtete Ausma der In formationsgewinnung und m glicher Zugriffe auf personenbezogene Daten durch Nachrich tendienste hat in der ffentlichkeit zu intensi ven Debatten gef hrt Jenseits der politischen Dimension der Materie haben die Berichte selbstverst ndlich auch weitreichende Fragen f r die Arbeit und die Aufgaben der Daten schutzbeh rden in Deutschland und anderen EU Mitgliedstaaten aufgeworfen Nicht zuletzt haben die Darstellungen von Snowden aber vielfach auch bei Unternehmen also den un serer Aufsicht unterliegenden Stellen offen bar Anlass zu einer intensiveren Auseinander setzungen mit Fragen des Datenschutzes gelie fert Diese intensivere Auseinandersetzung machte sich im Berichtszeitraum f r unsere t gliche T tigkeit zum einen bemerkbar in verst rkten Beratungsanfragen von Unterneh men mit stark international ausgerichteter Ak tivit t Ein zweiter Bereich in dem wir aus die sem Anlass verst rkte Anfragen erhielten be traf die Nutzung von Cloud Computing Diensten insbesondere US amerikanischer Anbieter Dieser zweite Bereich h ngt damit zusammen dass der Weg in die Cloud in den letzten Jahren eine rasante Entwicklung ge nommen hat und gerade US amerikanische Anbieter vielfach den Markt f r Cloud Dienste dominieren
223. gezielt Wahlwerbung f r eine bestimmte Kandidatenliste oder einen B rgermeisterkandidaten zu erhalten Denn der Gegenstand eines B rgerbegehrens ist grund s tzlich eine begrenzte einzelne Sachfrage w hrend bei den Kommunalwahlen die kom munalen Organe gew hlt werden denen an schlie end die Entscheidungsbefugnisse ber die gesamten kommunalpolitischen Angele genheiten zukommen Die Zust ndigkeiten und Befugnisse eines B rgermeisters und eines Gemeinderats gehen mithin ber den Gegen stand eines einzelnen B rgerbegehrens weit hinaus Bei dieser Sachlage kann und darf nicht einfach unterstellt werden dass diejenigen Personen die ein B rgerbegehren unterst tzt haben die kommunalpolitische Agenda als Ganzes derjenigen Personen unterst tzen die seinerzeit jenes B rgerbegehren initiiert hatten und daher grunds tzlich mit dem Erhalt per s nlich adressierter Wahlwerbung f r diese Kandidaten einverstanden w ren Der Um stand dass sich mehrere der Unterst tzer des B rgerbegehrens gegen das Vorgehen des B rgermeisterkandidaten bei uns beschwerten ist letztlich ein Beleg f r diese Interessenlage Gerade aus diesem Grund hatten wir bereits in unserem T tigkeitsbericht 2006 dort Kapitel 13 2 darauf hingewiesen dass die Adressdaten der Unterst tzer eines B rgerbegehrens zwar noch zum Zwecke der Werbung f r einen sich anschlie enden B rgerentscheid genutzt wer den d rfen nicht jedoch f r andere Zwecke
224. ggebers vor Klausel 5f Wenn wir im Rahmen unserer T tigkeit derartige unzu reichende Klauseln festgestellt haben haben wir die betreffenden Unternehmen Cloud Anbieter bzw potentielle Auftraggeber darauf hingewiesen dass die Datenexporte unter die sen Umst nden den Anforderungen an eine hinreichende Auftragskontrolle gem 8 11 Abs 2 Satz 4 BDSG nicht gen gen und daher bei Bedarf durch aufsichtsbeh rdliche Anord nungen gem 8 38 Abs 5 BDSG unterbunden werden k nnten Einschaltung von Unterauftragnehmern min destens vorherige Widerspruchsm glichkeit f r den Auftraggeber Die Einschaltung von Unterauftragnehmern ist in jedem Einzelfall nur mit vorheriger Zustim mung des Auftraggebers zul ssig Blanko erm chtigungen des Auftraggebers an den Auftragsverarbeiter zur Einschaltung vorher nicht namentlich benannter z B mehr oder minder beliebig rollierender Unterauf tragsverarbeiter gen gen dieser Anforderung nicht Mehrere Vertr ge von Cloud Anbietern die uns durch potentielle Auftraggeber Unternehmen mit der Bitte um Beurteilung vorgelegt wurden wiesen in dieser Frage of fensichtliche M ngel auf Die uns vorgelegten Texte von Datenschutzver tr gen von Cloud Anbietern sahen h ufig vor dass der Cloud Anbieter d h der Auftragsver arbeiter die M glichkeit haben soll Unterauf tragnehmer in die Verarbeitung einzubinden ber deren Identit t der Auftraggeber erst informiert wird nach
225. ggf meist un differenziert wollten wir wissen welche Wahrheiten sich tats chlich hinter diesen Schlagzeilen verbergen Daher haben wir uns des Themas bereits Ende 2013 angenommen und auf Basis der leider sehr wenigen vor handenen wissenschaftlichen Untersuchungen den Smart TVs allm hlich technisch angen hert Im Laboraufbau haben wir bei unserem ersten Testger t unter anderem festgestellt dass nicht nur beim Umschalten eines Senders sondern bereits beim Einschalten des Fernsehger ts an zahlreiche unterschiedliche Server weltweit Daten bertragen werden Dies hat uns dazu veranlasst das Thema gezielt technisch aufzu arbeiten und sowohl an die verantwortlichen Stellen selbst als auch an die Datenschutzauf sichtsbeh rden der anderen Bundesl nder mit dem erarbeiteten Wissen heranzutreten W hrend wir 2014 zuerst damit begonnen haben die verschiedenen Akteure und unter schiedlichen Verantwortungssph ren bei Smart TV Nutzung aus rechtlicher Sicht abzu grenzen d h auch unsere Zust ndigkeit f r ein m gliches aufsichtliches T tigwerden zu defi nieren konnten wir auch durch verschiedene technische Testszenarien Erfahrung sammeln und zur Vorbereitung einer Gro pr fung nut zen Parallel dazu haben wir begonnen auch HbbTV Angebote in unserer Zust ndigkeit zu begutachten und die verantwortlichen Stellen bei festgestellten M ngeln zu kontaktieren Ende 2014 konnten wir in Absprache mit und in Amtshilfe f
226. gs aufmerksam gemacht wo f r kon krete Detailfragen auf die Mitarbeiter des Ser vicenetzes einschlie lich Hersteller verwiesen wird Dort konnte dem betroffenen Kfz Halter offensichtlich in seinem Sinne geholfen wer den weil er die im Bedarfsfalle angebotene weitere Unterst tzungsm glichkeit durch uns nicht mehr in Anspruch nahm 20 3 3 Onlinemeldung Bremsbel ge Ein Fahrzeughalter wandte sich an uns weil seine Vertragswerkstatt ihn angerufen und ihm mitgeteilt habe dass bei seinem Fahrzeug laut Online Meldung die Bremsbel ge ziemlich abgefahren seien und er deshalb mit seinem Fahrzeug die Werkstatt aufsuchen solle T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 149 pe Fahrzeugdaten Wir haben nach R cksprache mit dem betref fenden Kfz Hersteller den Fahrzeughalter da rauf hingewiesen dass er beim Fahrzeugkauf vertraglich eine Online Servicefunktion verein bart habe die auch diesen Hinweisdienst um fasse Wenn er k nftig diesen Online Service nicht mehr haben m chte k nne er den Ser vicevertrag k ndigen 20 3 4 Ausdruck der Fahrzeugdaten f r Arbeitgeber Der Besitzer einer Fahrzeugflotte m chte von der Werkstatt f r jedes seiner Fahrzeuge Aus drucke bestimmter protokollierter Informatio nen aus den Fahrzeugdatenspeichern wie be anspruchte Drehmomente und Drehzahlberei che Bremsbet tigung und Bremseinsatz Kupp lungsbet tigung und verschlei Kraftstoffver br
227. gsleistung benannt hat Liegt eine solche schriftliche Erkl rung des Versicherungsnehmers vor darf die Leistungs Versicherungswirtschaft abrechnung nur der versicherten Person zuge sandt werden Die Zusendung der Leistungsab rechnung an den Ehegatten als Versicherungs nehmer stellte daher im vorliegenden Fall eine unzul ssige Daten bermittlung dar 9 3 3 Auskunftserteilung ber medizinische Gutachten Auch wenn eine Versicherung im Rahmen der Pr fung ihrer Leitungspflicht ein Gutachten ber die Notwendigkeit einer medizinischen Behandlung eingeholt hat stellt sich die Frage wer Auskunft bzw Einsicht in das Gutachten verlangen kann F r diesen Fall hat der Gesetz geber eine spezielle Regelung im Versiche rungsvertragsgesetz getroffen Gem 202 Satz 1 VVG ist die Versicherung verpflichtet auf Verlangen des Versicherungsnehmers oder der versicherten Person Auskunft ber bzw Einsicht in das Gutachten zu gew hren so dass grunds tzlich beide Personen Inhaber eines entsprechenden Anspruchs sein k nnen Nach 202 Satz 3 VVG kann der Anspruch allerdings nur von der jeweils betroffenen Person oder ihrem gesetzlichen Vertreter geltend gemacht werden T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 71 BE Banken 72 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 10 Banken 10 1 Neues Kirchensteuer Abzugsverfahren f r Zins ertr ge F
228. gsportal festgestellt Der BGH vertritt darin die Auffassung dass die fehlende M glichkeit des Arztes sich mit dem Bewer tenden direkt auseinanderzusetzen angesichts der dem Internet immanenten M glichkeit zur anonymen Nutzung hinzunehmen ist In Er mangelung einer gesetzlichen Erm chtigungs grundlage im Sinne des 8 12 Abs 2 TMG ist der Betreiber eines Internetportals grunds tzlich nicht befugt ohne Einwilligung des Nutzers dessen personenbezogene Daten im Rahmen eines wegen einer behaupteten Pers nlich keitsrechtsverletzung geltend gemachten Aus kunftsanspruchs an den bewerteten Arzt zu bermitteln Der Bundesgerichtshof f hrt hierzu in seiner Entscheidung vom 01 07 2014 Folgendes aus Offen bleiben kann ob 13 Abs 6 Satz 1 TMG wonach ein Diensteanbieter die Nut zung von Telemedien anonym oder unter Pseudonym zu erm glichen hat soweit dies technisch m glich und zumutbar ist einer Auskunftserteilung ber Nutzerdaten entge gensteht Die vom Kl ger begehrte Aus kunftserteilung scheitert jedenfalls daran dass die Beklagte gem 12 Abs 2 TMG nicht zur Herausgabe der zur Bereitstellung des Telemediums erhobenen Anmeldedaten befugt ist Nach dem Gebot der engen Zweckbindung des 12 Abs 2 TMG d rfen f r die Bereitstellung von Telemedien erho bene personenbezogene Daten f r andere Zwecke nur verwendet werden soweit eine Rechtsvorschrift dies erlaubt oder der Nutzer was hier nicht in Rede
229. gsstelle bermittelt werden In einem Fall wurde beispielsweise ber sehen dass auch bei einem gesetzlich Versicherten eine Einwilligung zur Ab rechnung ber die Verrechnungsstelle dann erforderlich ist wenn seine Be handlung nicht ber die gesetzliche Krankenkasse abgerechnet sondern die Rechnung vom Patienten selbst oder von einer privaten Zusatzversicherung beglichen wird die Arztpraxis bermit telte in diesem Fall die Daten wie bei einem privat Versicherten zwecks Ab rechnung an die Verrechnungsstelle ohne hierf r jedoch eine Einwilligung einzuholen Zur Vermeidung solcher Fehler ist es dringend anzuraten in je dem Fall vor einer Daten bermittlung zu pr fen ob die erforderliche Einwilli gung eingeholt wurde und im Be schwerdefall nachgewiesen werden kann 16 7 Identifizierung von Patienten mittels Foto oder Ausweis kopie 16 7 1 Identifizierung mittels Foto Ein Foto das in den Patientenstammda ten zu Identifizierungszwecken gespei Gesundheit und Soziales chert werden soll darf von einer Arztpra xis nur mit Einwilligung des Betroffenen aufgenommen werden Nach unserem Eindruck gehen rzte zuneh mend dazu ber in der Patientenakte zu den Patientenstammdaten auch ein Foto des Pati enten zu speichern Als Begr ndung f r dieses Vorgehen geben die rzte an damit einem Missbrauch der Krankenversicherungskarte vorbeugen zu wollen oder sich anhand des Fotos besser an den Patienten erinnern zu
230. gument das Unternehmen habe z B nicht den kompletten Inhalt eines Kundenkontos oder nicht alle dort vorliegen den Dokumente aus der Korrespondenz mit dem Betroffenen vollst ndig zitiert Wie weit der Anspruch gem 34 BDSG reicht muss indessen strikt danach beurteilt werden ob es sich bei der einzelnen gespei cherten Information um ein personenbezoge nes Datum des jeweiligen Betroffenen im ge setzlichen Sinne handelt d h um eine Einzel angabe ber pers nliche oder sachliche Ver h ltnisse dieser Person 3 Abs 1 BDSG Dies ist nicht automatisch bei allen Einzelinformati onen und Aufzeichnungen der Fall die z B in einem bestimmten Kundenkonto o gespei chert oder einem solchen Kundenkonto zuge ordnet sind Denn nicht ein Kundenkonto eine Datei oder ein Dokument als solches d h in seiner Gesamtheit stellt ein personenbezoge nes Datum im rechtlichen Sinn dar Vielmehr ist die Frage ob es sich um ein personenbezoge nes Datum handelt f r jede in dem betreffen den Kundenkonto bzw in der betreffenden Datei oder dem jeweiligen Dokument enthal tene Einzelinformation Einzelangabe im Sin ne von 3 Abs 1 BDSG jeweils gesondert zu beurteilen Dass ein Dokument etwa ein Ver trag eine Gespr chsnotiz ein Protokoll eine Datei usw einige Angaben enth lt die unter Zugrundelegung der Definition des Begriffs des personenbezogenen Datums s o als personenbezogene Daten einer
231. h begriffe weiterhin aufgefunden werden Dies wird auch ausdr cklich von der 88 Daten schutzkonferenz in ihrer Entschlie ung Zum 50 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Recht auf Sperrung von Suchergebnissen bei Anbietern von Suchmaschinen vom 8 9 Ok tober 2014 dargestellt Betroffene Personen die eine Entfernung von unter ihrem Namen auffindbaren Links begeh ren m ssen sich zun chst an den jeweiligen Suchmaschinenbetreiber wenden Zu diesem Zweck stellen einige Suchmaschinenbetreiber Online Formulare zur Verf gung Google https support google com legal contact Ir_eudp a product websearch amp hl de Microsoft Suchmaschine Bing https www bing com webmaster tools eu privacy request Yahoo https de hilfeyahoo com kb search SLN24378 html impressions true Wird der Antrag auf Entfernung eines Links abgelehnt ist es dem Betroffenen m glich sich bei der jeweils zust ndigen Datenschutzauf sichtsbeh rde zu beschweren W hrend wir in Deutschland f r Microsoft und Yahoo zust n dig sind liegt die Zust ndigkeit f r Google bei dem Hamburgischen Beauftragten f r Daten schutz und Informationsfreiheit 7 2 International Sweep Day In den Jahren 2013 und 2014 nahmen wir an dem durch das Global Privacy Net work angeregten International Sweep Day teil Hierbei stellten wir einen erheb lichen Mangel an Transparenz bei den berpr ften Online
232. h lungen zur Verbesserung der Safe Harbor Grunds tze in den aktuellen Verhandlungen mit der US Seite Nachdruck zu verleihen Von besonderer Wichtigkeit sind hier vor allem die Empfehlungen zur Frage der Zugriffe von US Beh rden auf personenbezogene Daten die aus der EU stammen Die Kommission hatte insoweit betont dass Zugriffe von US Beh rden f r Zwecke der nationalen Sicherheit auf personenbezogene Daten die aus der EU bermittelt worden sind in einem k nftigen Safe Harbor Regelwerk wesentlich klarer als bislang den Grunds tzen der Erforderlichkeit und Verh ltnism igkeit unterworfen werden m ssen Dieser Aspekt wird auch aus der Sicht der Artikel 29 Gruppe entscheidende Bedeu tung besitzen f r die Beurteilung der Ergebnis se der derzeitigen Verhandlungen zu Safe Harbor vgl dazu das Schreiben der Artikel 29 Gruppe an die Europ ische Kommission vom 10 04 2014 gt gt gt http ec europa eu justice data protection article 29 documentation other document files 2014 20140410_wp29_to_ec _on_sh_recommendations pdf Ferner hat die Artikel 29 Gruppe unter ande rem vorgeschlagen dass die Kommission durch die US Regierung k nftig ber alle US amerikanischen Rechtsvorschriften informiert werden sollte die f r Safe Harbor zertifizierte US Unternehmen dazu f hren k nnten dass diese ihre durch die Safe Harbor Zertifizierung T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht
233. he Anliegen des B rgerbegehrens weiter zu bef rdern Wir haben die Nutzung der Adressdaten als unzul ssig bewertet Auch wenn die Argumen tation des Bewerbers auf den ersten Blick eine gewisse Plausibilit t zu haben scheint stehen die schutzw rdigen Interessen der angeschrie benen Unterst tzer des B rgerbegehrens bei der nach 8 28 Abs 1 Satz 1 Nr 2 BDSG gebo tenen Interessenabw gung der Nutzung ihrer Adressdaten zum Zwecke der Wahlwerbung entgegen Dies gilt auch unter Ber cksichti gung der vom Kandidaten f r das B rgermeis teramt vorgetragenen Argumente Die Tatsa che dass dieser und weitere Personen die auf der von ihm angef hrten Liste bei den Kom 82 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht munalwahlen kandidierten seinerzeit zu den Initiatoren des B rgerbegehrens geh rt hatten reicht nicht aus um die Nutzung der Adressda ten der damaligen Unterst tzer des B rgerbe gehrens f r Zwecke der Wahlwerbung legiti mieren zu k nnen Denn im Unterschied zu dem sehr engen Sachzusammenhang der zwi schen einem B rgerbegehren und einem dar aus hervorgegangenen anschlie enden B r gerentscheid besteht s o ist die Verbindung zwischen einem B rgerbegehren einerseits und den allgemeinen Kommunalwahlen anderer seits nicht so eng dass man unterstellen k nn te dass die Unterst tzer des B rgerbegehrens keine Einw nde dagegen h tten unter Nut zung ihrer Adressdaten
234. hehen vor der T r auf den Monitor Wird sie nicht aktiviert bleibt dieser dunkel und befindet sich im Stromspar modus Dies ist zun chst aus datenschutzrecht licher Sicht nicht zu beanstanden Allerdings bietet das Ger t die M glichkeit Bildaufnahmen anzufertigen Sobald eine MicroSD Speicherkarte eingesteckt wird ist diese Funktion aktiviert Automatisch werden bei Bet tigen des o g Schalters drei Bilder der Ansicht aufgenommen Diese Bilder werden auf der SD Karte gespeichert bis sie ber PC wie der gel scht werden das Ger t selbst bietet keine L schfunktion Problematisch ist hierbei dass jede Bet tigung der Power Taste also auch wenn ein blo es Durchsehen beabsichtigt ist sofort drei Auf nahmen anfertigt In der Regel d rften T rspi one in Mehrfamilienh usern mit angeschlosse nen Treppenh usern bzw weiten Hausfluren eingesetzt werden Diese Hausflure stellen keine ffentlich zug nglichen R ume dar so dass die Speicherung der Aufnahmen mit einer optisch elektronischen Einrichtung wie dem digitalen T rspion nicht nach 8 6b BDSG son dern nach den allgemeinen Vorschriften des 28 Abs 1 Nr 2 BDSG zu bewerten ist Der Nutzer muss deshalb seine berechtigten Interessen mit den schutzw rdigen Interessen der Betroffenen abw gen Als Datenschutzauf sichtsbeh rde stehen wir dieser st ndigen Aufnahmefunktion kritisch gegen ber weil ein st ndiger Einsatz der Aufnahmefunktion schon an der Erforde
235. heit der Daten zu gew hrleisten und Missbrauch vorzubeugen Durch die M glich keit der Ortung d rfen zudem weder perma nente Bewegungsprofile erstellt noch Dritte die mit dem Betroffenen Zeit verbringen berwacht werden Grundvoraussetzung ist in jedem Fall das Vorliegen einer wirksamen Ein willigung die bei demenzkranken Menschen in der Regel von deren Betreuer eingeholt wer den muss 16 9 Datenaustausch zwischen Zahnarztpraxen und Dental laboren Der Datenaustausch zwischen Zahnarzt praxen und Dentallaboren war Gegen stand einer Pr fungsaktion in deren Rahmen 70 Zahnarztpraxen schriftlich befragt wurden Gepr ft wurde im Wesentlichen ob bzw wel che personenbezogenen Daten an Dentallabo re bermittelt werden in welcher Form die Daten ausgetauscht werden und ob bei der elektronischen bertragung die Daten ver schl sselt werden Aus dieser Pr fungsaktion m chten wir an dieser Stelle zwei Punkte die 124 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht bermittlung des Patientennamens an das Dentallabor sowie die Datensicherheit bei der elektronischen Rechnungsversendung vom Labor an den Zahnarzt aufgreifen 16 9 1 bermittlung des Patienten namens an das Dentallabor Dem Ergebnis der Pr fung zufolge bermitteln die meisten Zahn rzte den Patientennamen zumindest im Papierauftrag an das beauf tragte Dentallabor Als gesetzliche Rechts grundlage f r diese berm
236. hersteller nichts zu tun haben Beispielhaft wurde auch gezeigt wie ein sender bergreifendes Tracking von HbbTV Inhalten bei manchen Sendern eingesetzt wird und damit prinzipiell festgestellt werden kann wie Fernseh programme innerhalb einer Sender gruppe genutzt werden Vom Ansatz ist dies insofern bedeutend da damit zu mindest technisch eine M glichkeit be steht Fernsehquoten mit einer hohen Wahrscheinlichkeit zu bestimmen ohne dass die Fernsehzuschauer dazu einge T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 169 u Technischer Datenschutz und IT Sicherheit willigt h tten oder dies berhaupt mer ken e App Store Betreiber Die Verantwortlichkeit des Betriebs des App Stores des jeweiligen Smart TV liegt bei manchen Ger ten bei dem Ge r tehersteller bei vielen jedoch bei ei ner unabh ngigen verantwortlichen Stelle Unsere Pr fung ergab dass bei einem Teil der Ger te die Bedienung innerhalb des App Stores an den Be treiber bermittelt wurde damit ist es f r diesen m glich festzustellen wann welche App ge ffnet wurde Da bei die sen Aufrufen i d R immer auch eine eindeutige Ger tekennung z B MAC Adresse enthalten ist kann zumindest anhand der Datenbasis ein Nutzungs profil des Smart TV Nutzers erstellt werden e App Anbieter Einzelne Apps standen nicht im Fokus unserer Pr fung Da sich Smart TV Apps vom Grundsatz nicht von Smart phone Apps unters
237. herung zum Zweck der bermittlung also der Handel mit per sonenbezogenen Daten wie es bei Wirtschaftsauskunfteien und Adress h ndlern der Fall ist und e Datenspeicherung zum Zweck der ano nymisierten bermittlung also die T tigkeit der Markt Meinungs und Sozi alforschungsinstitute Uns lagen zum Ende des Berichtszeitraums insgesamt 153 Anmeldungen aus Bayern vor Wie auch zum Zeitpunkt des letzten T tigkeits berichts entf llt etwa die H lfte dieser Anmel dungen auf Auskunfteien und Adressh ndler die andere H lfte auf die analysierenden Insti tutionen der Markt Meinungs und Sozialfor schung Angemeldete Unternehmen nach 8 4d Meldepflicht 80 60 40 20 00 80 60 40 20 0 03 04 05 06 07 08 09 10 11 12 2013 2014 Das bei uns gef hrte Register ber die melde pflichtigen Unternehmen kann nach 8 38 Abs 2 Satz 2 BDSG von jedem eingesehen werden 16 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 2 3 Zusammenarbeit mit den anderen Datenschutz aufsichtsbeh rden Mit den anderen Datenschutzaufsichtsbeh r den arbeiten wir insbesondere in dem in der Regel zweimal j hrlich tagenden D sseldorfer Kreis zusammen um uns dort ber Auslegung und Vollzugsfragen zu verst ndigen Ferner nehmen wir an den ebenfalls zweimal j hrlich stattfindenden Konferenzen der Datenschutz beauftragten des Bundes und der L nder
238. herungsunternehmen Aus kunft nach 34 Abs 1 BDSG ist ihm da her auch mitzuteilen welche Dienstleister dieses Datum von der Versicherung er halten haben Um nach Verkehrsunf llen den Wert zu ermit teln der sich bei einem Verkauf eines besch digten Fahrzeugs noch erzielen l sst beauftra gen Kfz Versicherungen sogenannte Online Restwertb rsen Zu diesem Zweck erh lt das Unternehmen das die Restwertb rse betreibt von der Versicherung verschiedene Angaben ber das besch digte Fahrzeug zwecks ein deutiger Identifizierung des Fahrzeugs z hlt zu diesen Angaben auch die sogenannte Fahr zeug Identifizierungsnummer FIN Die On lineb rse stellt daraufhin die relevanten Infor mationen in ein Online Portal ein ohne dabei jedoch die vollst ndige FIN anzugeben Nach Abschluss der Aktion informiert die Restwert b rse die Versicherung ber das h chste An gebot das dort abgegeben wurde sowie ber den Namen und die Kontaktdaten des entspre chenden H ndlers Die Versicherung gibt diese Informationen wiederum an den Versiche rungsnehmer weiter damit dieser sich mit dem H ndler in Verbindung setzen kann Nachdem ein B rger von seiner Kfz Versicherung ber ein solches Angebot eines H ndlers unterrich tet worden war beschwerte er sich bei uns dass seine Daten rechtswidrig an die Restwert b rse bermittelt worden seien zudem enthal te die Auskunft die er nach 34 Abs 1 BDSG von der Versicherung erbeten ha
239. hinaus stellt sich aber auch die Frage wie eine wirksame Widerspruchsm glichkeit bei den einzelnen Tracking Technologien berhaupt machbar w re Wir empfehlen daher grunds tzlich vom Ein satz alternativer Trackingverfahren dieser Art Abstand zu nehmen Das Risiko eines Bu gel des w re hier insofern erh ht da wir den ord nungswidrigen Einsatz von Verfahren mit de nen die Nutzereinstellungen zum Schutz vor einer Nutzungsprofilbildung gezielt ausgehe belt werden verst rkt mit Bu geldern ahnden Wir weisen darauf hin dass stattdessen der Einsatz von HTTP Cookies nach wie vor m g lich ist 7 8 Ver ffentlichung von Fotos im Internet Die Ver ffentlichung von Fotos eines minderj hrigen Kindes durch die leibliche Mutter ist unzul ssig wenn dieser das Sorgerecht entzogen wurde und keine Einwilligung der gesetzlichen Vertreter vorliegt Pflegeeltern haben sich an uns mit dem Hin weis gewandt dass die leibliche Mutter ihres neunj hrigen Pflegekindes Fotos des Kindes in ihrem Facebook Account ver ffentlicht die von jedem Dritten eingesehen werden k nnen Hierf r h tten sie keine Einwilligung erteilt und forderten die L schung dieser Fotos Gem 22 Satz 1 Kunsturhebergesetz KUG d rfen Bildnisse nur mit Einwilligung des Abgebildeten verbreitet oder ffentlich zur Schau gestellt werden Davon ist im Sinne dieser Vorschrift auszugehen wenn ein Foto mit einer Person einer nicht begrenzten
240. hmen zur Schadensbegrenzung nach Infizierung ei nes Systems auch in unserer aufsichtlichen Praxis zunehmend an Bedeutung Technischer Datenschutz und IT Sicherheit T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 173 am Bu geldverfahren 23 Bu geldverfahren 174 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 23 Bu geldverfahren Wir haben im Berichtszeitraum 117 Bu geldvorg nge abschlie end bearbeitet In 37 dieser F lle haben wir Bu geldbescheide erlas sen und in zwei F llen Verwarnungen ausge sprochen Zu den genannten 117 Verfahren z hlen wir unabh ngig davon ob wir im kon kreten Fall ein Bu geldverfahren im rechtlichen Sinne eingeleitet haben auch alle Vorg nge die wir als Bu geldbeh rde im Wege von Ak tenabgaben von den Staatsanwaltschaften erhalten haben da wir auch in solchen F llen stets eine Pr fung unter dem Gesichtspunkt vornehmen m ssen ob ein Bu geldverfahren einzuleiten ist Ferner z hlen wir zu den 117 Verfahren alle Eingaben die eindeutig als Ord nungswidrigkeitenanzeigen zu behandeln wa ren Es wurden sowohl Geldbu en gegen nat rliche Personen als auch gegen juristische Personen oder Personenvereinigungen meist Unter nehmen festgesetzt Geldbu en gegen Unter nehmen betrafen h ufig F lle in denen es auf grund mangelhafter innerbetrieblicher Organi sation oder Aufsicht im Sinne von 8 130 Abs
241. hstellen in den technischen und organi satorischen Ma nahmen vorhanden sind die von einer Bedrohung ausgenutzt werden k n nen eine Gef hrdung Wird diese tats chlich ausgenutzt so spricht man von einem Vorfall Dies k nnte zum Beispiel ein Smartphone Trojaner sein der auf das Auslesen einer Adressliste spezialisiert ist und erst dann t tig wird wenn dieser aufgrund des organisatori schen Mangels eines Mobile Device Manage ments auf einem Smartphone installiert wird das nicht die neueste Firmware Version bein haltet Ein solcher Vorfall kann zu einem Scha den f hren die entwendeten Adresslisten wer den f r Spear Phishing erfolgreich verwendet oder wenn man Gl ck hat auch nicht die entwendeten Adresslisten finden auf dem Schwarzmarkt keinen K ufer Geeignete Ma nahmen nach 8 9 BDSG m ssen sofern diese dem Angemessenheitsgrundsatz nicht widersprechen Gef hrdungen so redu zieren dass der Schutz personenbezogener Daten der Einzelnen gew hrleistet wird Wel che Ma nahmen in einem angemessenem Verh ltnis stehen wird auch von uns in Vor Ort Kontrollen bewertet Gegebenenfalls wer den erforderliche Ma nahmen im aufsichtli chen Verfahren durchgesetzt 22 3 IT Sicherheitsorganisation Eine Organisation von IT Sicherheit ist notwendig um den Schutz personenbe zogener Daten zu gew hrleisten In unserer aufsichtlichen Praxis wird bei Fragen zur IT Sicherheit h ufig seitens der Unterneh men argum
242. hteten Person zu pr fen keine gesetzliche Verpflichtung zum Erstellen einer Ausweiskopie Um zu vermeiden dass sich in betr gerischer Absicht eine andere Person zur Begutachtung vorstellt gen gt es vielmehr das Ausweisdokument einzusehen und die erfolgte Identit tspr fung durch einen kurzen Vermerk in der Patientenakte zu dokumentie ren Auf unseren Hinweis hin hat uns der Arzt best tigt k nftig von der bisherigen Verfah rensweise abzusehen s mtliche Ausweiskopien vernichtet und eingescannte Dokumente ge l scht zu haben 16 8 GPS f r Demenzkranke Der Einsatz von GPS Ortungsger ten bei demenzkranken Patienten kann deren Bewegunggsfreiheit und Sicherheit verbes sern wirft aber datenschutzrechtliche Fragen auf Pflegeeinrichtungen erw gen seit kurzem bei demenzkranken Menschen den Einsatz von GPS Ortungsger ten beispielsweise als kleine Sender im G rtel oder am Arm um sie im Notfall orten zu k nnen Dadurch soll es De menzkranken die krankheitsbedingt die Orien tierung verlieren k nnen erm glicht werden sich auch ohne Begleitung sicher au erhalb des Heims zu bewegen Der Einsatz eines sol chen Ger ts wirft aber nicht nur datenschutz rechtliche Fragen auf sondern betrifft ganz allgemein den Umgang mit demenzkranken bzw pflegebed rftigen Menschen Technische Hilfsmittel bringen Pflegebed rftigen ihren Angeh rigen und Pflegekr ften erhebliche Erleichterungen k nnen aber pers nliche F r sorg
243. i dem seine zum Forde rungseinzug ben tigten Daten nicht an den Mautdienstleister bermittelt werden Wir haben allerdings vom Mietwagenunter nehmen verlangt die Kunden in seinen AGB gem 4 Abs 3 Satz 1 Nr 3 BDSG Informa tion ber Kategorien von Datenempf ngern transparent dar ber zu informieren dass in solchen F llen Name und Adresse des Fahr zeugmieters zum Zweck der Durchsetzung von Mautforderungen bermittelt werden Fahr zeugmieter d rfen ber die bermittlung ihrer Daten anl sslich der Bearbeitung solcher Maut forderungen nicht im Dunkeln gelassen wer den Eine entsprechende Information fehlte in den AGB des Unternehmens Sie wurde seitens des Unternehmens inzwischen dort erg nzt 13 6 Veraltete Eigent merdaten bei Energieversorgungsunter nehmen Die gesetzlich geforderte rechtliche Tren nung von Vertrieb und Netz bei Energie versorgungsunternehmen f hrte zu einer Trennung der Datenbest nde bei den betroffenen Unternehmen Hierbei kann es f r den Kunden bei Vertragsk ndigun 90 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht gen durchaus noch zu kuriosen Situatio nen kommen Ein Eingabef hrer beschwerte sich bei uns dar ber dass er seit 2009 immer wieder von ei nem Energieversorgungsunternehmen Schrei ben Begr ungsschreiben Abrechnungen Beendigungsmitteiluingen und weitere Korres pondenz erhalte er aber dort niemals Kunde gewesen sei T
244. icht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht als bei Interviewern mit sehr langer Berufser fahrung Die notwendige Transparenz gegen ber den Interviewern hinsichtlich des Mith rens war hier dadurch gew hrleistet dass sie im Vertrag umfassend dar ber informiert wurden und au erdem eine Einverst ndniserkl rung unter zeichneten Dies hielten wir f r ausreichend Wenn das einzelne Mith ren verdeckt erfolgte war das insoweit unsch dlich Aufzeichnungen fanden nach Mitteilung des Unternehmens nicht statt Die Belange der Befragten werden durch das zeitweise Mith ren telefonischer Interviews ohne dass sie informiert werden nicht verletzt Die Befragten werden zu Beginn des Interviews ber den Zweck des Telefonanrufs informiert und geben durch ihre Einwilligung in das Inter view zu erkennen dass sie mit der Auswertung ihrer Angaben durch das Forschungsinstitut einverstanden sind Ein telefonisches Interview zu Zwecken der Markt und Sozialforschung ist kein vertrauliches Gespr ch zwischen zwei Pri vatpersonen sondern seine Inhalte sind bei Wahrung der Anonymit t der Befragten explizit f r Dritte bestimmt Die Anonymit t der Be fragten wurde hier dadurch gewahrt dass ein Aufschalten des Supervisors erst nach der Kon taktphase erfolgte Insgesamt gesehen war somit die Vorgehens weise des Unternehmens beim Mith ren der Telefongespr che datenschutzrechtlich nicht zu beanstanden 15 7 Einschaltung
245. ichten uns seit dem EuGH Urteil lediglich eine sehr geringe Anzahl an Anfragen und Eingaben welche mit wachsendem zeitlichem Abstand zu der Verk ndung des Urteils kontinuierlich zu r ckgingen Konkret ging es in dem Verfahren um einen spanischen B rger der sich unter anderem ber Google Spain und Google Inc beschwer te da bei Eingabe seines Namens in der Such maschine Google Links zu zwei Seiten einer spanischen Tageszeitung aus dem Jahr 1998 aufgefunden werden konnten die auf eine Anzeige zu einer Versteigerung eines Grund st cks aufgrund einer Pf ndung hinwiesen Die Spanische Aufsichtsbeh rde gab der Be schwerde gegen die Google Inc statt Hierge gen klagte die Google Inc vor dem spanischen Gericht das wiederum dem EuGH einige Fra gen zur Vorabentscheidung vorlegte Der EuGH entschied dass es sich bei dem Suchmaschinenbetreiber Google Inc um eine datenschutzrechtliich verantwortliche Stelle handelt die personenbezogene Daten verar beitet Auch wenn sich der Sitz der Google Inc in den USA d h au erhalb der EU befindet wurde der Anwendungsbereich des jeweils in den Mitgliedstaaten geltenden nationalen Da tenschutzrechts hier des spanischen Daten schutzrechts als er ffnet angesehen da eine Datenverarbeitung im Rahmen der T tigkeiten einer Niederlassung die der f r die Verarbei tung Verantwortliche im Hoheitsgebiet eines Mitgliedstaats besitzt ausgef hrt wird Eine solche Datenverarb
246. ie auf einem Datentr ger gespei cherten Daten nicht durch eine kryptographi sche Verschl sselung gesichert f hrt der Dieb stahl eines Datentr gers mit Patientendaten grunds tzlich zu einer Datenpanne im Sinn des 42a BDSG Eine solche Datenpanne ist nicht nur gegen ber der Aufsichtsbeh rde zu mel den auch die Betroffenen m ssen von der Arztpraxis ber den Verlust der Daten infor miert werden Dies bedeutet f r die Arztpraxis nicht nur einen gro en organisatorischen Auf wand sondern kann auch mit einem erhebli 1 16 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht chen Imageschaden einhergehen Wurden die Daten hingegen verschl sselt abgespeichert und dadurch ausreichend vor dem Zugriff un befugter Dritter gesch tzt kann in der Regel davon ausgegangen werden dass f r die schutzw rdigen Interessen der Betroffenen keine schwerwiegenden Beeintr chtigungen drohen und deshalb das Vorliegen einer mel depflichtigen Datenpanne im Sinn des 42a BDSG zu verneinen ist Immer mehr Arztpraxen bieten ihren Patienten auf ihren Internetseiten den Service einer schnellen und einfachen Kontaktaufnahme per E Mail oder Web Formular an Einige Arztpra xen stellen ihren Patienten mittlerweile auch Apps zur Verf gung Patienten sollen dadurch unkompliziert Termine vereinbaren Rezepte bestellen oder medizinische Informationen erhalten k nnen Einige Web Formulare und Apps sehen dabei vor dass die Pa
247. ie eine Auslage rung bestimmter Datenverarbeitungen in die Cloud erw gen jedoch die ihnen von den Cloud Anbietern vorgelegten datenschutzrechtlichen Vertragsklauseln kritisch bewerteten und uns daher um eine Bewertung baten Der Mega Trend zum Cloud Computing hat sich im Berichtszeitraum deutlich verst rkt auch wenn durchaus festzustellen ist dass bayerische Unternehmen gerade bei Fragen des Datenschutzrechts begr enswerterweise auch kritische Fragen in diesem Zusammen hang aufwerfen Gerade gro e US amerikanische Cloud Anbieter bieten Dienste zur Verarbeitung personenbezogener Daten im Wege von Cloud Modellen massiv auf dem Weltmarkt an Vor diesem Hintergrund erreich te uns im Berichtszeitraum eine Vielzahl von Fragen bayerischer Unternehmen zu Cloud Computing Diensten Die meisten dieser Fra gen wurden von Datenschutzbeauftragten von h ufig mittelst ndischen Unternehmen ge stellt deren Gesch ftsleitungen auf der Suche nach Kostenoptimierungsm glichkeiten die vielf ltigen am Markt angebotenen Dienste zur Auslagerung der Speicherung oder sonstiger Verarbeitungen personenbezogener Daten in die Cloud pr fen Mehrere bayerische Unternehmen legten uns die ihnen von h ufig gro en US amerikanischen Cloud Computing Dienst leistern vorgeschlagenen Datenschutzvertr ge vor weil sie Zweifel an der Vereinbarkeit be stimmter Klauseln mit dem deutschen Daten schutzrecht hatten Die von uns daraufhi
248. ie zur Wahrnehmung berechtigter Interessen f r konkret festgelegte Zwecke erforderlich ist und kein Grund zu der Annahme besteht dass schutzw rdige Interes sen der Betroffenen berwiegen Nach 6b Abs 2 BDSG sind der Umstand der Beobach tung und die verantwortliche Stelle durch ge eignete Ma nahmen erkennbar zu machen Diese Voraussetzungen sind beim Einsatz einer Dashcam nicht erf llt weil die schutzw rdigen Interessen der aufgenommenen Verkehrsteil nehmer berwiegen Die Datenschutzauf Video berwachung Fan sichtsbeh rden haben dazu einen entspre chenden Beschluss gefasst gt gt gt http www lda bayern de lda datenschutzaufsich t lda_daten Beschluss_DK_26022014Unzulaessig keit_von_Videoueberwachung_aus_Fahrzeugen pdf Aufgrund des informationellen Selbstbestim mungsrechts muss es jedem Einzelnen m glich sein sich in der ffentlichkeit frei zu bewegen ohne bef rchten zu m ssen ungewollt durch eine Videokamera berwacht zu werden Ein permanentes Aufnehmen des vor dem Fahr zeug befindlichen Verkehrsraumes beeintr ch tigt das informationelle Selbstbestimmungs recht deshalb in unzul ssiger Weise zumal die allermeisten der betroffenen Verkehrsteilneh mer durch ihr Verhalten keinen Anlass daf r gegeben haben Sie wissen auch nichts von den Kameraaufnahmen da nicht darauf hinge wiesen wird und haben keine M glichkeit den Aufnahmen auszuweichen Das permanente Aufnehmen steht dar ber hinau
249. iert als viele andere Berufsgrup pen Zugleich sind in Arztpraxen wegen der hohen Schutzbed rftigkeit von Gesundheitsda ten aber besonders strenge Anforderungen an den Datenschutz und die Datensicherheit zu erf llen In der Praxis besteht h ufig Unsicher heit welche konkreten Vorgaben sich aus den datenschutzrechtliichen Regelungen ergeben bzw wie diese Vorgaben im Praxisalltag umzu setzen sind In dem Fragebogen der unserer Pr fung von Arztpraxen h ufig zugrunde liegt werden Fra gen der Praxisorganisation ebenso angespro chen wie materiell rechtliche Themen des Da tenschutzes und technisch organisatorische Aspekte der Datensicherheit Bei unseren Pr fungen haben wir festgestellt dass bestimmte Punkte immer wieder besondere Herausforde rungen f r die Praxen darstellen oder nicht ausreichend ber cksichtigt werden In vielen F llen lassen sich bereits durch vergleichsweise einfache Ver nderungen gro e Verbesserun gen erzielen Dies gilt insbesondere f r den h ufig zu be obachtenden Missstand dass die unbefugte Kenntnisnahme von Patientendaten durch an dere Patienten nicht konsequent genug durch geeignete Gegenma nahmen verhindert wird Dies ist zugleich ein Manko das im Rahmen von Eingaben uns gegen ber besonders oft von B rgern bem ngelt wird So k nnen war tende Patienten durch Sitzgelegenheiten in unmittelbarer N he des Empfangsbereichs bzw infolge mangelnder Trennung von Emp fangs und Wartebe
250. iese ist bei dem Einsatz von Adobe Analytics im Gegensatz zu sonsti gen Analyseverfahren notwendig da zun chst eine Geolokalisierung stattfindet Das Ergebnis dieser Geolokalisierung wiederum wird zur statistischen Auswertung an das Tracking Paket das zun chst die vollst ndige IP Adresse enth lt hinzugef gt Da in beiden F llen eine Verwendung Geolokalisierung Auswertung der vollst ndigen IP Adresse vorl ge f r wel che keine Rechtsgrundlage ersichtlich ist be darf es jeweils einer wirksamen Anonymisie rung Sofern nach Auswertung der eingegangenen Antworten Nachbesserungen erforderlich wa ren wurden diese im Rahmen aufsichtlicher Verfahren durchgef hrt und dadurch ein bean standungsfreier Einsatz von Adobe Analytics herbeigef hrt 7 4 Privatfahndung in sozialen Netzwerken Gro es Presseecho erfuhren wir als wir einem Juwelier von der Ver ffentlichung von Aufnahmen seiner Video berwa chung welche die T ter eines Raub ber falls zeigten abrieten und ihm stattdes sen das Setzen eines Links auf die Polizei Homepage auf welcher ebenfalls Bilder der T ter ver ffentlicht waren empfah len Eine Privatfahndung mittels eines sozialen Netzwerks ist unserer Ansicht nach datenschutzrechtlich nicht ohne Weiteres zul ssig Datenschutz im Internet Im Rahmen einer Presseanfrage wurden wir auf einen Juwelier aufmerksam der Opfer eines Raub berfalls geworden war und Bilder und Ausschnitte von Aufnahmen
251. iffe als Passwort und au erdem zu schwach verschl sselt waren MD5 Hashwerte ohne zus tzlichen SALT Wert konnten Dritte die meisten Passworte ohne gr ere M he entschl sseln Weil verschiedene Personen aus Bequemlich keit die gleichen Zugangsdaten f r mehrere Internet Dienste verwenden z B auch bei Online Bezahldiensten versuchen Kriminelle aus erlangten Zugangsdaten insoweit finanziel len Nutzen zu ziehen er Informationspflichten bei Datenpannen 842 a BDSG 15a TMG Es war deshalb eine sofortige Unterrichtung der betroffenen Lehrer und Sch ler geboten damit diese ihre Passwortvergaben pr fen und bei Bedarf ndern um finanzielle Sch den zu vermeiden Des Weiteren war bei der Schule und deren Homepage Provider die Passwort vergabe und die Passwortverschl sselung dem Stand der Technik siehe Kapitel 22 7 anzupas sen 21 4 Hacking der Kundendaten eines Internetshops Eine deutsche gesch ftliche Internet Handels plattform mit knapp 700 000 registrierten Nut zern hatte f r die technische Umsetzung einen Provider in Litauen im Einsatz Dort hatten Unbefugte Zugriff auf die Nutzerdatenbank und hatten mit den erlangten Daten versucht Geld von der deutschen Internet Plattform zu erpressen Erlangt wurden E Mail Adressen und nur unzu reichend verschl sselte Passw rter sowie teil weise auch Namen Postadressen usw Die betroffenen Nutzer mussten unverz glich per Mail informiert und aufgefordert
252. igkeit 35 4 4 Einsichtnahme in Personalakten durch den Datenschutzbeauftragten ueeeeeeee 36 4 5 Keine DSB Bestellpflicht bei normaler Video berwachung Tankstelle 36 5 Auftragsdatenverarbeitung oder Funktions bertragung allgemein susuesesnssesnenesnennnen 38 5 1 Miete von R umen und Rechnern Housing ist keine Auftragsdatenverarbeitung 39 5 2 Archivierung verschl sselter Daten ist keine Auftragsdatenverarbeitung s s 39 5 3 Zusatzleistungen von Postunternehmen sind h ufig Auftragsdatenverarbeitung 40 5 4 Kontrollm glichkeit darf nicht ausgeschlossen werden uunnseseennssesenenssenunssennnneennnn 40 5 5 Einbindung von freien Mitarbeitern uunsnsennssennssennnssennnssennnnssnnunssnnnnnenennnssenenssenunssennnsennnnn 41 5 6 Vertragliche Regelungen zum Datenschutz bei Aufgaben oder Funktionsauslagerungen 41 6 Rund um den datenschutzrechtlichen Auskunftsanspruch 2u20 2022020000n002202000000020020000000000 43 6 1 Gegenstand des Auskunftsanspruchs personenbezogene Daten nicht jedoch Datentrager E E E E E E E E 44 6 2 Anspruch auf w rtliche Wiedergabe uuusensssensssennnssennssssenunssenunssennnnssnnnnssenenssenunssennnnennn 44 6 3 Auskunftsanspruch nur hinsichtlich personenbezogener Daten uneeneemnseennneeen 45 6 4 Auskunftsanspruch hinsichtlich Standorten von Auftragsdatenverarbeitern sss 46 6 5 Auskunftsanspruch ber Dienstleister als Emp
253. il geltend machen k nnte namentlich sofern es sich weitgehend oder gar aus schlie lich um vereinsinterne Sachverhalte handelt Die Ver ffentlichung wird jedoch auch hier in einer Reihe von F llen am berwiegen schutzw rdiger Interessen des Absenders scheitern Wenn etwa der Absender in der E Mail pers nliche Wertungen oder andere potentiell kontroverse Aussagen get tigt hat bei denen davon auszugehen ist dass er sie etwa in einer Mitgliederversammlung nicht in derselben Art und oder mit einem weitgehend hnlichen Wortlaut t tigen w rde d rften die gewichtigeren Gesichtspunkte meist gegen die Zul ssigkeit der Ver ffentlichung sprechen Dies haben wir in mehreren bei uns eingegan genen Beschwerden dieser Art so bewertet Die Beschwerdef hrer hatten sich in den entspre chenden E Mails z T kritisch und mit sehr de zidierter Wortwahl ber einzelne Vereinsmit glieder bzw funktionstr ger ge u ert Es kann nicht schlicht unterstellt werden dass sie sich in derselben Weise und mit weitestgehend demselben Wortlaut auch z B in einer Mitglie derversammlung ge u ert h tten Letztlich kommt es auf den Einzelfall an Die Ver ffentlichung ist aber jedenfalls dann nicht zul ssig wenn sich der E Mail Verfasser explizit dahingehend ge u ert hat dass er einer Ver f T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 129 BE Vereine und Verb nde fentlichung der E Mail z B in einem
254. im M rz 2013 haben die Datenschutzaufsichtsbeh rden daten schutzrechtliche Leitlinien mit Mindestanforde rungen f r die Ausgestaltung und den Betrieb von Arztbewertungsportalen im Internet ver ffentlicht die neben den bereits zitierten und weiteren unterinstanzlichen Urteilen als Orien tierung f r einen datenschutzgerechten Um gang mit personenbezogenen Daten im Rah men eines Bewertungsportals bzw einer Be wertungsfunktion herangezogen werden k n nen In konstruktiven Gespr chen und bereitwilliger Zusammenarbeit verschiedener Betreiber von Auskunftsdiensten mit Bewertungsfunktion konnten im Berichtszeitraum nderungen in der Verfahrenspraxis und berarbeitungen der Internetauftritte erreicht werden die vor allem auch dem Schutz bewerteter Personen dienen Dazu z hlt nicht zuletzt dass wir darauf geach tet haben dass diese Diensteanbieter ihrer Pflicht zur Bestellung eines betrieblichen Da tenschutzbeauftragten 88 4f Ag BDSG und ihrer Meldepflicht aus 4d Abs 4 Nr 1 BDSG nachgekommen sind 7 6 Keine schematisierten Daten schutzerkl rungen im Internet Baukasten bzw schematisierte Daten schutzerkl rungen verf hren Dienstean bieter h ufig dazu unzureichende oder falsche Datenschutzerkl rungen zu erstel len und zu ver ffentlichen Im Rahmen der berpr fung von Datenschutz erkl rungen stellten wir in zahlreichen F llen fest dass die in einem Diensteangebot ver f fentlichte Dat
255. inanzinstitute insbesondere Banken informierten ihre Kunden im Jahr 2014 pflichtgem dar ber dass die Verfah rensweise zur Begleichung der Kirchen steuer auf Kapitalertr ge ge ndert wurde Dies f hrte offensichtlich teilweise zu Irritationen bei Kunden und in der Folge zu Beschwerden bei der Datenschutzauf sicht Der Deutsche Bundestag hatte mit nderung des Einkommensteuergesetzes EStG die Ver fahrensweise zur Begleichung der Kirchensteu er auf Kapitalertr ge neu geregelt Zur Einkommensteuer selbst war man es schon gewohnt dass diese zu Zinsertr gen von den Banken pauschal abgef hrt bzw die Zinsertr ge den Finanz mtern mitgeteilt werden Nun m ssen die Banken aber ggf auch Versiche rungen k nftig grunds tzlich auch zur Kir chensteuer einen entsprechenden Abgeltungs betrag einbehalten und an das Finanzamt ab f hren Damit die Banken wissen ob ein Kunde kirchensteuerpflichtig ist und welcher Religi onsgemeinschaft die Kirchensteuer eines Kun den zusteht m ssen die Banken nach 51a EStG beim Bundeszentralamt f r Steuern nach fragen und bekommen dann von dort die not wendige Information Wer diese Information der Zugeh rigkeit oder Nicht Zugeh rigkeit zu einer bestimmten Religionsgemeinschaft an seine Bank und die automatische Kirchensteuer Abgeltung von vorne herein nicht haben sondern weiterhin seine Kirchensteuer selbst ber die j hrliche Steuererkl rung zahlen m chte musste di
256. inzelpr fungen Sofern sich die Pr fung auf einzelne oder zu mindest wenige verantwortliche Stellen be zieht bezeichnen wir diese Art der Kontrollen als Einzelpr fung Zwar erfolgen diese Pr fun gen nicht automatisiert und bedeuten daher grunds tzlich einen etwas h heren Aufwand je verantwortliche Stelle f r uns jedoch kann die Ausrichtung des Pr fungsschwerpunkts deut lich individueller gestaltet werden als bei einer Gro pr fung bliches Beispiel f r Einzelpr fungen sind die von uns durchgef hrten fokussierten Vor Ort Kontrollen 3 3 2 Gro pr fungen Als Gro pr fungen bezeichnen wir Pr fungen bei denen in einem Pr flauf mehr als ca 20 Unternehmen gepr ft werden und der Ablauf dabei m glichst automatisiert unterst tzt wird T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 23 Kontrollen und Pr fungen 3 4 Durchgef hrte Pr fungen In den nachfolgenden Abschnitten stellen wir jeweils in einer kurzen Zusammenfassung dar welche Gro pr fungen wir im Berichtszeitraum durchgef hrt haben Neben den Hintergr n den und den mit den Pr fungen verbundenen Zielen halten wir hier auch das datenschutz rechtliche Ergebnis fest Weitere Details zu den einzelnen Pr fungen finden sich teilweise in den jeweiligen Fachkapiteln dieses T tigkeits berichts 3 4 1 Zahnarztpraxen und Dentallabore Uns wurde vorgetragen dass Dentallabore dem Auftrag erteilenden Zahnarzt einen ele
257. it gew hrleistet Als Schl ssell nge sollten hier 512 Bit eingesetzt werden sofern dies schon m glich ist Zus tzlich muss der Kurventyp betrachtet werden da es m glicherweise Ver fahren gibt die immanente Schwachstellen aufweisen und zumindest von Seiten der Geheimdienste ausnutzbar sein k nnen 22 5 Die Heartbleed L cke Eine der schwerwiegendsten Sicherheits l cken der letzten Jahre fand sich im SSL Protokoll und f hrte zum Verlust der Ver traulichkeit der verschl sselten Kommu nikation im Internet Im April 2014 wurde von einer Sicherheitsl cke in der SSL TLS Implementierung OpenSSL berichtet die eine weite Verbreitung im Inter net besitzt und zum Beispiel von vielen Web servern und E Mail Servern aber auch Firewalls eingesetzt wird Durch einen Programmierfeh ler kann ein Server der diese L cke aufweist derart angesteuert werden dass ein Teilbereich des Hauptspeichers unbemerkt ber das Inter net ausgelesen werden kann Durch h ufig nacheinander ausgef hrte Anfragen k nnen zum Beispiel Teile des HTTPS Verkehrs wie Session Token Adress und Kreditkartendaten aber m glicherweise auch der private Schl ssel des Webservers ausgelesen werden Die L cke tritt in den Versionen 1 0 1 bis 1 0 1f der OpenSSL Bibliothek auf In vergangen Berichtszeitraum hatten wir auch in Bayern mehrere Eingaben zu dadurch ver wundbaren Servern Die betroffenen Unter nehmen mussten schnellstm glich ein Updat
258. iter die eben falls Mitglied in der betreffenden Gewerkschaft sind zur berpr fung verwendet inwieweit diese ihren satzungsm igen Gewerkschafts beitrag 1 vom Bruttolohn zahlen Der Arbeitgeber gew hrt dem Betriebsrat und damit auch dem betreffenden Betriebsratsmit glied den Zugriff auf die Gehaltsdaten der Mit arbeiter zul ssigerweise soweit dies zur Erf l lung der Aufgaben des Betriebsrats erforderlich ist Der Betriebsrat ben tigt diese um im Rah men der Mitbestimmung bei Eingruppierungen oder Gew hrung sonstiger Gehaltsbestandteile Stellung nehmen zu k nnen Da der Betriebsrat insoweit Teil der verantwort lichen Stelle ist handelt es sich dabei um eine Datennutzung die nach 8 28 Abs 1 Satz 1 Nr 2 BDSG gerechtfertigt ist Nutzt der Betriebsrat diese Gehaltsdaten zur berpr fung ob ein bestimmter Mitarbeiter seinen Gewerkschaftsbeitrag entrichtet hat ist dies nicht mehr von dem gerechtfertigten Zweck umfasst und damit datenschutzrechtlich unzul ssig 1 10 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 15 3 Erfassung von Telefondaten durch Arbeitgeber Wenn ein Arbeitgeber seinen Mitarbei tern Diensthandys zur Verf gung stellt und die Privatnutzung verbietet kann er Einblick in die Einzelverbindungsnachwei se nehmen um die ihm diesbez glich zustehenden Kontrollbefugnisse wahr nehmen zu k nnen Ein Unternehmen hat seinen Mitarbeitern Diensthandys zur Verf gu
259. itshalber alle Textbausteine angeklickt oder gar die komplette Muster Datenschutz erkl rung bernommen Dies f hrt dazu dass eine Datenschutzerkl rung erstellt und ver f fentlicht wird die ber Sachverhalte informiert die auf den konkreten Dienst nicht zutreffen oder es werden Textbausteine f r bestimmte Sachverhalte nicht gefunden so dass eine Da tenschutzerkl rung unvollst ndig bleibt und gerade nicht ber den konkreten Datenum gang informiert Da gem 8 16 Abs 2 Nr 2 TMG eine Ord nungswidrigkeit begeht wer entgegen 13 Abs 1 Satz 1 oder 2 TMG den Nutzer vors tz lich oder fahrl ssig nicht nicht richtig nicht vollst ndig oder nicht rechtzeitig informiert ist es ratsam die Datenschutzerkl rung mit der entsprechenden Sorgfalt zu gestalten und bei konkreten Fragestellungen Rat bei fachkundi gen Stellen oder der Aufsichtsbeh rde einzu holen Aus den dargestellten Gr nden stellen wir kein Muster f r eine Datenschutzerkl rung zur Ver f gung Unabh ngig davon pr fen wir uns vorgelegte Datenschutzerkl rungen soweit uns dies m glich ist 56 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 7 7 Tracking mit fortgeschrittenen Webtechnologien Die gezielte Verfolgung von Webnutzern ist ohne Hilfe der allgemein bekannten Cookies m glich jedoch gestaltet sich ein datenschutzkonformer Einsatz h ufig recht schwierig Nahezu alle gr eren Webseiten setzen mitt lerweil
260. ittlung kommt 28 Abs 7 Satz 2 BDSG in Betracht Danach richtet sich die Zul ssigkeit einer bermittlung von personenbezogenen Gesundheitsdaten nach den f r die rzte geltenden Geheimhaltungs pflichten d h nach den einschl gigen berufs rechtlichen Regelungen Nach 8 7 Abs 1 der Berufsordnung f r die Bayerischen Zahn rzte BO hat der Zahnarzt die Pflicht ber alles was ihm in seiner Eigenschaft als Zahnarzt an vertraut oder bekannt geworden ist gegen ber Dritten Verschwiegenheit zu wahren 8 12 Abs 3 BO sieht jedoch die M glichkeit der Weitergabe von Patientendaten an vor mit oder nachbehandelnde Zahn rzte oder rzte vor soweit das Einverst ndnis des Patienten vorliegt Dieses Einverst ndnis ist anders als die datenschutzrechtliche Einwilligung nach Aa BDSG an keine gesetzliche Form gebun den weshalb es auch m ndlich oder konklu dent erteilt werden kann Eine konkludente Einwilligung setzt zumindest voraus dass der Patient dar ber informiert wird welches exter ne Labor beauftragt wird und er dem nicht widerspricht Durch ein solches Einverst ndnis wird der Zahnarzt zugleich von seiner strafbe wehrten Schweigepflicht nach 203 Abs 1 Nr 1 StGB befreit Auch wenn die Schriftform demnach nicht vorgeschrieben ist ist dies aus Nachweisgr nden dennoch empfehlenswert 16 9 2 Datensicherheit bei der Rechnungsversendung vom Labor an den Zahnarzt F r die erbrachten Leistungen stellt das Labor
261. k nnen z B wenn es sp ter zu einem nicht pers nlichen Kontakt mit dem Patienten kom men sollte Um f r solche Zwecke ein Foto von Patienten aufnehmen und dieses in der Patientenakte speichern zu d rfen bedarf es mangels gesetz licher Erlaubnis einer Einwilligung des Betroffe nen Vor Erteilung der Einwilligung muss der Betroffene dabei ausreichend ber die Zweck bestimmung der Datenerhebung die Freiwil ligkeit und die M glichkeit eines Widerrufs informiert werden 16 7 2 Identifizierung mittels Ausweis kopie Das Erstellen und Speichern einer Aus weiskopie ist zur Identifizierung des Pati enten nicht erforderlich und deshalb nicht zul ssig Ein f r die Rentenversicherung als Gutachter t tiger Arzt hat die Forderung der Rentenversi cherung die Identit t der begutachteten Per son zu pr fen dahingehend verstanden dass dies durch eine Ausweiskopie belegt werden muss Aus diesem Grund kopierte er den vor gelegten Ausweis des Betroffenen gegen des sen Willen und speicherte diese Kopie in der Patientenakte Nachdem sich der Betroffene bei uns be schwerte teilten wir dem Arzt mit dass das Kopieren eines Ausweises nur in Ausnahmef l len zul ssig sei siehe dazu Kapitel 13 3 Insbe sondere bestand im vorliegenden Fall trotz der Forderung der Rentenversicherung die Identi T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 123 BR Gesundheit und Soziales t t der begutac
262. keit gehabt h tte ihm dem Mieter die Rechnung des Dienst leisters zur Begleichung zukommen zu lassen Nach unserer Bewertung konnte die bermitt lung mit berechtigten Interessen der Miet wagenfirma gem 8 28 Abs 1 Satz 1 Nr 2 BDSG begr ndet werden Unstreitig ist dass der Mieter nicht erwarten kann dass das Miet wagenunternehmen die Mautgeb hren tr gt So war denn auch in den Allgemeinen Ge sch ftsbedingungen des Mietwagenunterneh mens klargestellt dass Mautgeb hren vom Mieter zu tragen sind Die AGB enthielten aber keine n heren Angaben ber das Verfahren zum Umgang mit solchen Mautrechnungen Nach unserer Auffassung hat der Fahrzeugmie ter jedenfalls keinen Anspruch darauf dass die Mietwagenfirma z B norwegische Mautrech nungen so bearbeitet dass sie die Rechnung an den Mieter mit dem Ersuchen um Beglei chung weiterleitet dies w re f r das Unter nehmen wie von diesem nachvollziehbar dar gestellt wurde mit einem deutlichen Mehrauf wand verbunden da das Unternehmen dann im Nachgang u a kontrollieren m sste ob der Mieter die Rechnung beglichen hat Daher war das Vorgehen dergestalt dass das Mietwagen unternehmen dem Mautdienstleister Name und Adresse des Mieters nennt datenschutz rechtlich vertretbar Das Interesse des Mieters gegen ber dem Mautdienstleister anonym zu bleiben wiegt demgegen ber nicht so schwer dass er von der Mietwagenfirma ein Vorgehen verlangen k nnte be
263. konkreten Hinwei se ber den weiteren Umgang mit den erho benen Daten enthielt wurden wir auf die An gelegenheit aufmerksam gemacht und um Intervention gebeten Wir haben uns mit dem Verein in Verbindung gesetzt und den Verantwortlichen mitgeteilt dass zwar die Abgabe eines Fragebogens als konkludente Einwilligung in die Verwendung der Angaben angesehen werden kann jedoch nur wenn die Betroffenen vorher transparent ber den geplanten Datenumgang informiert wurden Ein entsprechender Hinweis sollte neben Informationen welche Daten ggf an wen bermittelt werden auch Ausf hrungen ber die Ma nahmen zur Datensicherheit z B wo werden die Frageb gen aufbewahrt und wie werden sie gesichert wer hat Zugriff auf die Frageb gen wie lange werden die Daten aufbewahrt usw enthalten Da zum Zeitpunkt unseres T tigwerdens die Abgabefrist f r den Fragebogen fast abgelau fen war und bereits R ckmeldungen eingegan gen waren war eine nderung des Fragebo gens bzw des dazugeh rigen Anschreibens nicht mehr m glich Wir haben den Verein deshalb dazu angehalten die erforderlichen datenschutzrechtlichen Hinweise zumindest nachzureichen und den Teilnehmern anstelle einer Einwilligung ausnahmsweise eine nach tr gliche Widerspruchsm glichkeit einzur u men Dies wurde vom Verein umgesetzt wobei T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 121 Rz Gesundheit und Soziales das Inform
264. kt ronischen Abrechnungsdatensatz zur Verf gung stellen w rden der in vielen F llen un verschl sselt versendet werde Dies haben wir im Jahr 2013 zum Anlass genommen den Da tenaustausch zwischen Zahnarztpraxen und Dentallaboren im Rahmen einer schriftlichen Pr fung n her zu beleuchten Um n here Informationen dar ber zu erhalten welche Daten zwischen den Zahnarztpraxen und ihren Dentallaboren ausgetauscht werden in welcher Form der Datenaustausch erfolgt und welche Datensicherheitsma nahmen bei der elektronischen Daten bermittlung getrof fen werden haben wir stichprobenartig 70 Zahnarztpraxen angeschrieben und insbeson dere um Antwort gebeten welche konkreten Patientendaten z B Name Anschrift Geburts datum medizinische Daten usw an ein exter nes Dentallabor bermittelt werden Die Auswertung der Antworten hat einerseits gezeigt dass die Zahn rzte in den meisten F llen neben dem Laborauftrag selbst welcher z T auch Fotos oder Modelle Abdr cke ent h lt auch personenbezogene Daten des Pati enten direkt an das Dentallabor bermitteln Auff llig ist dabei dass gerade einmal 10 der von uns angeschriebenen Zahn rzte einen solchen Laborauftrag ausschlie lich auf der Grundlage einer Auftragsnummer erteilen Die einheitlich generierte Auftragsnummer wurde eigentlich von den beteiligten Stellen einge f hrt um eine Laborbeauftragung ohne Preis gabe des Patientennamens zu erm glichen In den m
265. ktivieren kann Hervorgehoben sei auch ein Bu geldbescheid den wir gegen einen Fahrzeugf hrer erlassen haben der in seinem Fahrzeug eine sog Dash board Kamera installiert hatte mit der er lau fend den Stra enverkehr filmte Dass derartige Aufnahmen unter datenschutzrechtlichen Ge sichtspunkten in bestimmten F llen unzul ssig sind wird unter Kapitel 19 1 dieses Berichts n her erl utert Die Anfertigung der Aufnah men stellte in den dort beschriebenen F llen aus unserer Sicht eine unbefugte Erhebung und Verarbeitung personenbezogener Daten dar und erf llte damit Tatbest nde von Ord nungswidrigkeiten nach 43 Abs 2 Nr 1 BDSG Wir haben im Berichtszeitraum daher in einem ersten derartigen Fall einen inzwischen bestandskr ftigen Bu geldbescheid erlassen und in einer Reihe vergleichbarer F lle eben falls Bu geldverfahren er ffnet die jedoch noch nicht abgeschlossen sind In drei F llen setzten wir Geldbu en gegen Unternehmen wegen wiederholter Werbung trotz Werbewiderspruchs fest In einem dieser F lle hatte ein Unternehmen bei einer E Mail Werbeaktion Werbewiderspr che Betroffener missachtet Ursache war wie sich zeigte ein Fehler im Rahmen von in Vorfeld stattgefunde nen Programmierarbeiten hinsichtlich der ver wendeten Datenbank in denen die E Mail Adressen von Kunden gespeichert waren Das Unternehmen hatte es vers umt nach den Programmierarbeiten durch hinreichende Test l ufe zu berpr fe
266. l bzw Wettkampfklasse Liga und die allge meine Sensibilit t der Daten sein Was die Da tenkategorien betrifft wird in der Regel nur die Ver ffentlichung des Namens der Vereinszu geh rigkeit und des Wettkampfergebnisses zul ssig sein Organisiert ein Verein eine ffentlich zug ngli che Wettkampfveranstaltung an der auch Mit glieder anderer Vereine teilnehmen wird man im Hinblick auf eine Ver ffentlichung der Er gebnisse durch den veranstaltenden Verein keinen Unterschied zwischen den eigenen Mit gliedern und den Mitgliedern anderer Vereine machen m ssen Denn die Wettkampfergeb nisse stellen bei den Angeh rigen beider Gruppen gleicherma en allgemein zug ngliche personenbezogene Daten dar In dem uns vorgelegten konkreten Fall ging es um eine j hrlich stattfindende Segelregatta Hier haben wir die Ver ffentlichung der Ergeb nisse f r eine Dauer von zwei Jahren auf der Homepage des veranstaltenden Vereins f r noch vertretbar erachtet Bei anderen Wett k mpfen k nnte jedoch je nach Fall unter Umst nden eine ggf auch deutlich k rzere Dauer geboten sein Bei der Ver ffentlichung von Wettkampf und Spielergebnissen Minderj hriger kann jedoch die Interessenabw gung unter Umst nden insbesondere je nach Alter zu Gunsten der minderj hrigen Teilnehmer bzw Spieler ausfal len so dass 8 28 Abs 1 Satz 1 Nr 3 BDSG nicht als Erlaubnis herangezogen werden kann In solchen F llen bedarf es eine
267. lash Cookies Local Shared Objects das sind Dateien mit einer Gr e von 100 Kilobytes in die Flash Anwendungen beliebige Daten eben auch Tracking Daten ablegen k nnen Datenschutz im Internet e Verwendung von Long Storage Objects wie HTMLS5 Storage Java und Silver light Persistierungen zur Speicherung von Tracking Informationen e Einsatz von ETags Der HTTP Header If None Match der f r die erfolgte Zu stellung von Web Ressourcen konzi piert ist und automatisch wie HTTP Cookies an Webserver als Bestandteil des HTTP Requests versendet wird kann zur Speicherung von eindeutigen Kennungen verwendet werden und so Anwender identifizieren e _Browser Fingerprinting Durch Ausf h rung von JavaScript Code im Browser des Webnutzers k nnen plattform und browserindividuelle Informationen der Webseitenbesucher wie z B User Agent Plugin Liste installierte Schriftar ten derart abgerufen werden dass eine u erst hohe Wahrscheinlichkeit f r die Eindeutigkeit der Browser berechnet werden kann e Canvas Fingerprinting Durch Aufruf der OpenGL API des Browsers k nnen bei HTML5 Renderinginformationen ermit telt werden die eine hnlich hohe Ein deutigkeit besitzen wie das Browser Fingerprinting mit JavaScript Der Einsatz dieser Trackingmethoden erm g licht folglich dass der Browser eines Websei tenbesuchers mit sehr hoher Wahrscheinlich keit eindeutig bestimmt werden kann Somit w re damit techni
268. lichen F llen wurde ein Tole ranzbereich von h chstens bis zu einem Meter gemessen ab der Au enwand f r vertretbar angesehen Wir haben den Betreiber daher gebeten die Attrappen so auszurichten dass sie nicht mehr den Eindruck erwecken als w r den sie den gesamten Gehweg vor dem Laden erfassen Eine derartige echte Video berwa chung h tten wir dann f r diesen Fall f r zul s sig erachtet so dass wir den datenschutzrecht lich geringeren Eingriff mit funktionslosen Dummies erst recht billigten Soweit vertretbar informieren wir die Betroffe nen nicht ber die Tatsache des Einsatzes einer Attrappe sondern u ern uns in der Regel dahingehend dass wir keine Veranlassung zu einem aufsichtlichen Einschreiten sehen Dem Betroffenen bleibt es selbstverst ndlich freigestellt dagegen zivilrechtlich vorzugehen wenn er sich in seinem Pers nlichkeitsrecht verletzt f hlt Video berwachung 19 6 Fotoabgleich bei Liftkarten benutzern Ein Abgleichen eines gespeicherten Fotos vom Nutzer eines Mehrtagestickets zur Unterbindung von unzul ssiger berlas sung der Liftkarte an Dritte ist zul ssig wenn die K ufer auf die Bildspeicherung hingewiesen werden Mehrere Anfragen erhielten wir zu der zuneh menden Praxis von Skiliftanlagenbetreiber Lichtbilder von Tageskartennutzern anzuferti gen und diese bei jedem Einsatz der Karte ab zugleichen Immer mehr Skiliftbetreiber gehen dazu ber eine entsprechend
269. ligen Patien ten zugeordnet werden k nnen zudem kann in vielen F llen auch das Labor den Patienten bestimmen wenn der Zahnarzt im Laborauf trag auch den Patientennamen mitgeteilt hat Da der Patient somit bestimmbar ist sind die Labordaten als personenbezogene Daten im Sinn des 3 Abs 1 BDSG anzusehen Nach Nr 4 der Anlage zu 9 Satz 1 BDSG Weitergabekontrolle muss gew hrleistet wer den dass personenbezogene Daten bei der elektronischen bertragung oder w hrend ihres Transports oder ihrer Speicherung auf Datentr ger nicht unbefugt gelesen kopiert ver ndert oder entfernt werden k nnen Eine Ma nahme in diesem Sinn ist gem Satz 3 der Anlage zu 9 Satz 1 BDSG insbesondere die Verwendung von dem Stand der Technik ent sprechenden Verschl sselungsverfahren Mit der Pseudonymisierung der Datens tze wird T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 125 Rz Gesundheit und Soziales zwar insofern ein gewisser Schutz erreicht als Angreifer nicht ohne Weiteres in der Lage sind die Labordaten einer bestimmten Person zuzu ordnen Dies allein gen gt jedoch nicht den Anforderungen an eine sichere Daten bermitt lung Zudem kann eine Pseudonymisierung keinen Schutz vor einem unbefugten ndern oder Entfernen der Daten gew hrleisten Im Rahmen unserer technischen Bewertung haben wir es deshalb f r die Versendung von pseu donymisierten Laborabrechnungsdaten als erforderlich aber
270. ll haftenden Gesell schaften zur Einhaltung der BCR einschlie lich bernahme der Haftung f r Verst e gegen drittbeg nstigende Inhalte ausgegangen wer den kann W hlt hingegen ein Konzern ein Haftungsmodell bei dem allein z B die im EWR ans ssige Muttergesellschaft f r BCR Verst e durch die au erhalb des EWR ans s sigen konzernangeh rigen Gesellschaften haf tet w re ein Vertragsschluss durch alle Kon zerngesellschaften wohl nicht zwingend erfor derlich vielmehr w rde es dann u U gen gen wenn die haftende Mutter Gesellschaft ge gen ber allen Betroffenen d h Beg nstigten etwa eine Garantieerkl rung zur Einhaltung der BCR abgibt dies w re jedenfalls dann ausrei chend wenn auf diese Garantieerkl rung deut sches Zivilrecht Anwendung findet Denn man k nnte bei Geltung deutschen Zivilrechts wohl davon ausgehen dass auf diese Weise ein Ga rantievertrag mit den Betroffenen zustande kommt Um aber Zweifel im Hinblick auf die Durchsetzbarkeit der BCR durch die Beg nstig ten so weit wie m glich zu vermeiden empfeh len wir auch bei diesem Haftungsregime den noch grunds tzlich den Abschluss eines mehr seitigen Vertrags unter allen beteiligten Kon zerngesellschaften Getrennte konzerninterne Zust ndigkeiten f r BCR Compliance im Alltag und f r BCR Audit BCR m ssen unter anderem zwingend Festle gungen zur laufenden Auditierung der BCR Regelungen innerhalb des Konzerns beinhal t
271. lligung oder einer Rechtsvorschrift zul ssig ist personenbezo gene Daten aus dem Inland an US Unternehmen mit g ltiger Safe Harbor Zertifizierung grunds tzlich bermittelt werden d rfen Als Alternative zu einer Safe Harbor Zertifizierung des datenempfangenden US Unternehmens kommt f r bermittlungen personenbezogener Daten in die USA freilich auch der Abschluss eines der sog EU Standardvertr ge zwischen dem datenexpor tierenden Unternehmen und dem US Datenempf nger in Betracht Durch den Ab schluss eines dieser Standardvertr ge werden angemessene Datenschutzgarantien im Sinne von 8 4c Abs 2 Satz 1 BDSG f r den Datenex port in einen Drittstaat erbracht Sofern die Klauseln eines der Standardvertr ge unver n dert verwendet werden wird der Datenexport durch die deutschen Datenschutzbeh rden als genehmigungsfrei angesehen Mithin ist festzuhalten dass der o g Safe Harbor Beschluss der Kommission vom 26 07 2000 nach wie vor in Kraft und somit f r die Datenschutzbeh rden verbindlich zu be achten ist Nicht zuletzt unter dem Eindruck der Snowden Berichte erkennt allerdings inzwi schen auch die Europ ische Kommission er heblichen Nachbesserungsbedarf hinsichtlich des durch die Safe Harbor Grunds tze ge schaffenen Schutzniveaus Zwar hat die Kom T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 105 Ei Internationaler Datenverkehr mission den Beschluss nicht
272. llten Mieterfragebogens an Arbeitgeber des Mieters uuuneseenseeensssennnssennnssennnnsennnnssenunssnnnnsennnnnsnennnssenenssenunssennnssennnnen 18 3 bermittlung von Adressdaten von Wohnungseigent mern durch Verwalter einer Wohnungseigent mergemeinschaft WEG an die anderen Wohnungseigent mer 184 Einsicht in Unterlagen der Hausverwaltung durch die Revisionsabteilung der Muttergesellschaft des Hausverwaltungsunternehmens ueennsseennesennssennnssennnnennn 18 5 Aushang eines Schreibens mit personenbezogenen Daten der Bewohner durch die Hausverwaltung im Treppenhaus eines Mehrfamilienhauses unuseeeeeen 19 Videouberwachung sz ur 0 2402053000 s24020000s0n88800580 550 0 amp 0s0nR00JHsRheRnEngeseehhsn nen ben sn se ner FasThen nes Heer 19 1 Dashcam Urteil VG Ansbach 19 2 Video berwachung in Gesch ften der M nchner Fu g ngerzone 19 3 Einsatz von Gesichtserkennungskameras f r Marketingzwecke unnseeeenseennene 194 Digitaler T rspion uesesnssennnssennnsssennsssnnnsennnnsssennnssenunssennnssennnsssnnnnssnnnnssnnnnssnannssnenenssenunssennnssnnnnnsn 19 5 Attrappen von Videokameras sind keine optisch elektronischen Einrichtungen 19 6 Fotoabgleich bei Liftkartenbenutzern u ussesennsssennnsseennssenunssenunsennnnnssenenssennnssennnssennnnee 19 7 Anwendbarkeit des BDSG bei Botschaften und Konsulaten uneenne 19 3 Orientierungshilfe zur Video berwachun
273. lo e Hosting personenbezogener Daten bei einem Dienstleister in einem Drittstaat z hlt dazu Gleiches gilt auch f r Zugriffe auf perso nenbezogene Daten die physisch in der EU bzw im EWR gespeichert sind durch Dienst leister aus Drittstaaten zu Support Zwecken oder im Rahmen sonstiger Ma nahmen der Pr fung und Wartung von Datenverarbei tungsanlagen vgl 11 Abs 5 BDSG In sol chen F llen haben wir die Unternehmen darauf hingewiesen dass sie im Falle der Beantwor tung datenschutzrechtlicher Auskunftsersuchen die Betroffenen auch ber den Umstand infor mieren m ssen dass ihre Daten auch an Dienstleister gegeben werden die au erhalb der Europ ischen Union ans ssig sind Denn gem 34 Abs 1 Nr 2 BDSG muss die ver antwortliche Stelle Betroffenen im Rahmen der Auskunft auch die Kategorien von Empf n gern nennen an die ihre Daten weitergege ben werden Als Empf nger sind hierbei nach weitgehend unstreitiger und auch unserer Auf fassung auch Auftragsdatenverarbeiter anzu sehen Wenn ein Unternehmen Auftragsdatenverar beiter au erhalb der Europ ischen Union EU bzw des Europ ischen Wirtschaftsraums EWR einschaltet muss es daher diesen Umstand im Rahmen der datenschutzrechtlichen Auskunft mitteilen da derartige Datenempf nger als eine spezifische Kategorie von Empf ngern im Sinne von 8 34 Abs 1 Nr 2 BDSG anzusehen sind Denn Staaten au erhalb der EU und des EWR besitzen
274. lt eine solche Vorlagepflicht Art 23 Abs 3 BayMeldeG Das Hotel hat in diesen F llen die im Meldeschein gemachten Angaben mit denjenigen im Identi t tsdokument zu vergleichen und etwaige Ab weichungen auf dem Meldeschein zu vermer ken Das Kopieren von Personalausweisen oder sonstiger Ausweisdokumente von Hotelg sten durch Hotels ist im Gesetz weder bei In noch bei Ausl ndern vorgesehen und daher unzul s 88 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht sig Im Berichtszeitraum gingen dennoch bei uns einige Beschwerden ein aus denen sich ergab dass hiergegen in der Praxis offenbar zumindest gelegentlich versto en wird Den entsprechenden F llen sind wir nachgegangen und haben daf r gesorgt dass die betreffen den Hotels k nftig keine Personalausweisko pien mehr anfertigen 13 3 4 Hinterlegung des Personal ausweises als Pfand Der Personalausweis darf nicht grund s tzlich auch nicht freiwillig als Pfand hinterlegt werden Gelegentlich erreichten uns Beschwerden ber Unternehmen die von Kunden das Hinterlegen des Personalausweises als Pfand verlangt hat ten so etwa im Falle einer Diskothek Dies ist nach dem ausdr cklichen Gesetzeswortlaut unzul ssig Gem 8 1 Abs 1 Satz 3 PAuswG darf vom Inhaber nicht verlangt werden den Personalausweis zu hinterlegen oder in sonsti ger Weise den Gewahrsam daran aufzugeben In der Gesetzesbegr ndung BT Drs 16 10489 S 3
275. m Vorjahr gepr ften Apps nach den vorgege benen Kriterien Im Ergebnis wurden bei einer Punktevergabe Note von 0 bis 3 Punkten wobei 0 die schlechteste und 3 die beste Note war folgende Ergebnisse erzielt Pr fungsergebnisse 2014 im Vergleich gut Notenpunkte 0 5 schlecht 0 Android iOS E Internationale Apps E Bayerische Apps E Bayerische Apps aus dem Vorjahr Zwar war auch bei der Pr fung 2014 das Er gebnis der erstmalig gepr ften Apps eher schlecht jedoch konnten wir uns zumindest dar ber freuen dass bei den im Vorjahr nega tiv gepr ften Apps mittlerweile auch dank unserer Kontrolle und aufsichtlichem T tigwer den deutlich nachgebessert und ein gutes Pr fergebnis erzielt wurde In vielen F llen in denen Dienstleister bei der Entwicklung von Apps eingesetzt werden m s sen wir leider immer noch feststellen dass sich App Anbieter Auftraggeber zum Teil blind darauf verlassen dass die datenschutzrechtli chen Anforderungen automatisch d h ohne Anweisung und Kontrolle vom Dienstleister bei der Programmierung ber cksichtigt bzw umgesetzt werden was sich in manchen F l len als t ckischer Trugschluss erweist T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 29 u Kontrollen und Pr fungen 3 4 7 Arztpraxen Im T tigkeitsbericht 2011 2012 hatten wir ber unsere Vor Ort Pr fungen in Arztpraxen be richtet
276. n die M glichkeit haben sich ber die Ver gleichswohnungen zu informieren und die behauptete Vergleichbarkeit nachzupr fen BGH Urteil vom 18 12 2002 Az VII ZR 141 02 Die Vergleichswohnungen m ssen deshalb so genau bezeichnet werden dass der Mieter sie ohne nennenswerte Schwierigkeiten auffinden kann Wenn sich in einem Mehrfami lienhaus mit mehreren Geschossen auf dersel ben Ebene mehr als eine Wohnung befindet sind nach Auffassung des BGH f r die Auffind barkeit der Wohnung ber die Angabe der Adresse und des Geschosses hinaus weitere Angaben erforderlich Solche Angaben k nn ten z B die Lage der Wohnung im Geschoss die Bezeichnung einer nach au en hin erkenn baren Wohnungsnummer oder der Name des Mieters sein Der Vermieter hat ein berechtigtes Interesse daran ein Mieterh hungsverlangen so zu be gr nden dass es vor Gericht bestand hat Aus 558a Abs 2 Nr 4 BGB l sst sich mithin ent nehmen dass der Vermieter ein von der Rechtsordnung anerkanntes Interesse hat die von ihm benannten Vergleichswohnungen so genau zu beschreiben wie es erforderlich ist damit die Begr ndung seines Mieterh hungs verlangens rechtswirksam ist Die Adressaten der Mieterh hungsschreiben wiederum haben ein berechtigtes Interesse die Berechtigung eines gem 558a Abs 2 Nr 4 BGB begr n deten Mieterh hungsverlangens nachpr fen zu k nnen indem sie die genannten Vergleichs wohnungen auffinden k nnen Zwar habe
277. n die neue Produkte oder Verfahren vor stellen und unsere Auffassung dazu kennen lernen wollen Eine fundierte Beratung in die sen F llen w rde ein intensives Durcharbeiten der vorgelegten Unterlagen und eine vertiefte Auseinandersetzung mit den datenschutzrecht lichen Fragestellungen erfordern Vor allem bei der technischen Begutachtung sto en wir da bei zunehmend an Kapazit tsgrenzen Um f r uns den Aufwand vertretbar zu halten und dennoch eine auch uns selbst zufriedenstellen de Beratung anbieten zu k nnen sind wir in vielen F llen dazu bergegangen die Anfra genden aufzufordern uns ihre eigene Bewer tung beziehungsweise ihre Antwort auf von uns gestellte Fragen zum Beratungsgegen stand schriftlich zuzuschicken Dadurch k nnen wir unsere Beratung in dem einen oder ande ren Fall darauf beschr nken dass wir uns die ser Beurteilung anschlie en oder kurz darstel len inwieweit wir davon abweichen Einige Anwaltskanzleien kommunizieren schon sehr lange auf diese Art und Weise mit uns und haben bislang auch durchaus Verst ndnis f r diese begr ndete Verfahrensweise gezeigt Allgemeiner berblick ber die T tigkeit des BayLDA p 2 1 3 Bu geldverfahren und Strafantr ge Im Berichtszeitraum haben wir insgesamt 117 Bu geldverfahren gef hrt und abgeschlossen davon 37 mit Erlass eines Bu geldbescheides Die H he der insgesamt festgesetzten Bu gel der betrug rund 200 000 EUR n here Anga ben siehe Kapitel
278. n ob Werbewiderspr che noch ordnungsgem erkannt und die Be troffenen somit von E Mail Werbesendungen zuverl ssig aussortiert werden Derartige Test l ufe im Anschluss an Programmierarbeiten sind jedoch zwingend erforderlich da Pro grammierfehler letztlich nie g nzlich auszu schlie en sind so dass es eines Kontrollprozes ses bedarf um Rechtsverst e als Auswirkun gen derartiger Fehler zu verhindern Es geh rte daher in dem von uns behandelten Fall zur Aufsichtspflicht des Betriebsinhabers im Sinne von 130 Abs 1 OWiG sicherzustellen dass 176 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht geeignete Testl ufe stattfinden die Verantwor tung hierf r musste daher in dem Unterneh men jedenfalls auf Leitungsebene wahrge nommen werden wobei eine Delegation dieser Aufgabe selbstverst ndlich m glich ist Da das Unternehmen im konkreten Fall indessen kei nerlei diesbez gliche Vorkehrungen nachwei sen konnte sind wir von einem Versto gegen die betriebliche Aufsichtspflicht 130 Abs 1 OWiG durch eine Leitungsperson des Unter nehmens ausgegangen und haben eine Geld bu e gegen das Unternehmen als solches ver h ngt Wie bereits angedeutet erreichte uns ein nicht unerheblicher Teil der F lle ber die wir in unserer Eigenschaft als Bu geldbeh rde zu entscheiden hatten im Wege von Aktenabga ben durch Staatsanwaltschaften Stellt die Staatsanwaltschaft ein von ihr gef hr
279. n F llen haben wir darauf hingewirkt dass seitens der betroffenen Versicherungen Anpas sungen in ihren Formularen vorgenommen werden oder der Betroffene erg nzende Aus k nfte erh lt Im Jahr 2013 hat sich das BVerfG erneut mit einer Einwilligungs und Schweigepflichtent bindungserkl rung besch ftigt die von einer Versicherung f r die Erhebung von Gesund heitsdaten verwendet worden war Beschluss vom 17 07 2013 Az 1 BvR 3167 08 Zwar liegt der Entscheidung ein Sachverhalt zugrunde in dem noch nicht die neue Einwilligungs und Schweigepflichtentbindungserkl rung zum Einsatz kam Die Anforderungen die das BVerfG dort f r den zul ssigen Umfang einer Einwilligung und Schweigepflichtentbin dungserkl rung aufgestellt hat sind aber auch f r die nun verwendete Erkl rung von Bedeu tung In dem vom BVerfG entschiedenen Fall sollte rzten durch die Einwilligungserkl rung erlaubt werden der Versicherung umfassend Auskunft ber die Gesundheitsverh ltnisse der Betroffenen zu erteilen Das BVerfG stellte hier zu fest dass es dadurch der Versicherung er m glicht w rde auch ber das f r die Ab wicklung des Versicherungsfalls erforderliche Ma hinaus in weitem Umfang sensible Infor mationen einzuholen die Formulierung w rde damit auch Informationen umfassen die f r die Abwicklung des Versicherungsfalls bedeu tungslos sind Eine solche Regelung trage dem Recht auf informationelle Selbstbestimmung ni
280. n die Mieter der Vergleichswohnun gen die im Mieterh hungsschreiben angege ben werden ein grunds tzlich schutzw rdiges Interesse dahingehend dass ihre personenbe zogenen Daten die in derartigen F llen auch die Privatsph re betreffen und gewisse R ck schl sse auf ihre Wohn und Lebensverh ltnis se zulassen grunds tzlich nicht an Dritte be kannt gegeben werden Dieses Interesse ist jedoch gem 8 28 Abs 1 Satz 1 Nr 2 BDSG mit dem o g berechtigten Interesse des Ver mieters sowie gem 8 28 Abs 2 Nr 2a BDSG mit dem o g berechtigten Interesse des Ad ressaten des Mieterh hungsverlangens abzu w gen Im Hinblick auf diese Abw gung ist 558a Abs 2 Nr 4 BGB letztlich die gesetzliche Wertung zu entnehmen dass dem Informa tionsinteresse des Adressaten eines Mieterh hungsverlangens sowie dem Interesse des Vermieters an einer rechtlich tragf higen Be gr ndung seines Mieterh hungsverlangens ein so hoher Stellenwert zukommt dass demge gen ber das Interesse des Mieters der benann ten Vergleichswohnung zur ckstehen muss Die Mitteilung der Namen der zu Vergleichs zwecken herangezogenen Mieter im Erh hungsschreiben sowie weiterer Angaben die im Hinblick auf die Beurteilung der Vergleich barkeit der Wohnungen erforderlich sind ist daher gem 28 Abs 1 Satz 1 Nr 2 BDSG und Abs 2 Nr 2a BDSG durch berechtigte Inte T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 135
281. n ge pr ften Vertr ge zeigten dass solche Zweifel h ufig berechtigt waren 100 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht H ufige Probleme bereiten gerade die Cloud Vertr ge von Anbietern aus Drittstaaten Bei spielhaft seien einige der konkreten Fragestel lungen dargestellt Unzureichende Einr umung von Auftragskon trollrechten f r den Auftraggeber Als besonders h ufiger Schwachpunkt daten schutzrechtlicher Vertr ge f r Cloud Dienste erwies sich die unzureichende Einr umung von Auftragskontrollrechten f r den Auftraggeber insbesondere bei Einschaltung von Unterauf tragnehmern Auf diese Problematik haben wir bereits in unserem 5 T tigkeitsbericht 2011 2012 hingewiesen Unsere damalige Beobach tung dass gerade Cloud Computing Vertr ge diesbez glich h ufig unzureichend sind hat sich im Berichtszeitraum 2013 2014 fortgesetzt Bei der Vergabe von Unterauftr gen zur Da tenverarbeitung auch im Rahmen von Cloud Computing ist daran zu erinnern dass die Verantwortlichkeit zur Einhaltung der daten schutzrechtlichen Vorschriften stets beim Auf traggeber Kunden Cloud Anwender ver bleibt w hrend der Cloud Anbieter in aller Regel Auftragsdatenverarbeiter ist Dem Auf traggeber m ssen auch gegen ber allen etwaigen Unterauftragnehmern Auftragskon trollm glichkeiten gem 11 Abs 2 Satz 4 BDSG ausdr cklich vorbehalten bleiben Bei mehreren von
282. n gem gel tendem Verbandsrecht f r die Pr fung eines derartigen Vorwurfs gegen den Leistungsrich ter zust ndig Wettkampfteilnehmer k nnen Einspr che in denen derartige Verst e von Leistungsrichtern moniert werden beim zu st ndigen Leistungsrichterobmann einreichen Es zeigte sich dass der Leistungsrichterob mann im vorliegenden Fall die Leistungsurkun de bei der Eingabef hrerin offenbar deshalb angefordert hatte um aufgrund des bei ihm eingegangenen Einspruchs gem seiner Zu st ndigkeit den Vorwurf einer unzul ssigen nachtr glichen Ab nderung der Leistungsur kunde durch den Leistungsrichter zu untersu chen Die entsprechende Zust ndigkeit war verbandsrechtlich ausdr cklich so festgelegt wie ein Blick in die Verbandssatzung best tigte Da der Obmann im Rahmen seiner Zust ndig keit gehandelt hatte stellte die Anforderung Vereine und Verb nde der Leistungsurkunde keinen datenschutz rechtlichen Versto dar F r den weiteren seitens der Eingabef hrerin gegen den Ob mann erhobenen Vorwurf dieser habe sie mit sachlich unwahren Angaben zur bersendung der Urkunde aufgefordert fanden sich im Rahmen unserer Pr fung keine Belege Dieser Fall zeigt exemplarisch die gerade im Vereins und Verbandsbereich nicht untypi schen mitunter erheblichen Schwierigkeiten die f r die Datenschutzaufsichtsbeh rde ange sichts sich bisweilen widersprechender Tatsa chenbehauptungen der Beteiligten und
283. n in und aus Kraftfahrzeugen be fasst die infolge zunehmender IT Komponenten in den Kraftfahrzeugen immer mehr werden Damit Innovationen f r die Automobilit t in Europa auch zuk nftig gesellschaftlich akzep tiert werden muss nach Ansicht des Verkehrs gerichtstags der Austausch von Daten und Informationen aus dem Fahrzeug Regeln un terworfen werden die das informationelle Selbstbestimmungsrecht durch Transparenz und Wahlfreiheit der Betroffenen z B Fahr zeughalter und Fahrer sichern F r den Umgang mit Fahrzeugdaten hat der Verkehrsgerichtstag Empfehlungen verab schiedet denen wir worauf wir bei verschie denen Beratungen hingewiesen haben durchaus zustimmen im Dokument Empfeh lungen Arbeitskreis VI gt gt gt http www mobilundsicher de media empfehlun gen_52_vgt pdf 20 2 Arbeitskreis Verkehr der Da tenschutzaufsichtsbeh rden Die neuen bzw erweiterten IT Systeme in Kraftfahrzeugen f hren zu neuen daten schutzrechtlichen Risiken ber den not wendigen datenschutzrechtlichen Rah men muss deshalb mit der Automobilin dustrie gesprochen werden um auch f r Fahrzeughalter und Fahrer interessenge rechte L sungen zu erreichen In einer fr heren Runde von Gespr chen der Aufsichtsbeh rden mit dem Verband der Au tomobilindustrie von 2009 bis 2011 waren vor allem die im Fahrzeug betriebsnotwendigen Datenspeicher auf der Tagesordnung Als Er gebnis dieser Gespr che wurde eine Daten s
284. n machen von dieser gesetzlichen M glichkeit offenbar regen Gebrauch und verschicken postalische Wer bung an die Betroffenen Die Erhebung Nut zung und Verarbeitung der Daten in diesem Rahmen stellt daher keinen datenschutzrechtli chen Versto dar M chte ein Betroffener keine pers nlich adres sierte Wahlwerbung so hat er die M glichkeit einen entsprechenden Widerspruch bei der Meldebeh rde einzulegen worauf er von der Meldebeh rde bei der Anmeldung hingewie sen werden muss Art 32 Abs 2 Satz 1 und 2 BayMeldeG Hierzu haben wir im April 2014 auch eine Pres seerkl rung auf unserer Webseite ver ffent licht gt gt gt http www lda bayern de lda datenschutzaufsich Yp_archiv 2014 pm006 html T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 8l FE Werbung und Adressenhandel 12 3 3 Unzul ssige Wahlwerbung gegen ber Unterst tzern eines B rgerbegehrens Geht aus der Gruppe der Initiatoren eines kommunalen B rgerbegehrens sp ter eine Gruppierung hervor die einen Wahl vorschlag Kandidatenliste zur Teilnahme an den Kommunalwahlen einreicht d r fen die Adressdaten der Unterst tzer des B rgerbegehrens nicht dazu verwendet werden an diese Personen Wahlwerbung f r den betreffenden Wahlvorschlag zu verschicken Bereits in unserem T tigkeitsbericht 2006 dort Kapitel 13 2 hatten wir die Frage behandelt ob Personen die ein B rgerbegehren initiiert ha ben die Ad
285. n oder im Hinblick auf seine Verpflich tung ein betriebliches Eingliederungsma nagement nach 84 Abs 2 SGB IX anzubieten von Bedeutung sein Nach der arbeitsgerichtli chen Rechtsprechung kann zur Begr ndung einer krankheitsbedingten K ndigung auf Fehl zeiten f r einen Zeitraum von bis zu vier Jahren zur ckgegriffen werden bersteigen in einem Jahr die Fehlzeiten sechs Wochen d rfen die Fehlzeiten wegen einer potentiellen K ndi gungsm glichkeit vier Jahre vorgehalten wer den liegen sie darunter so ist nur eine Dauer von einem Jahr zul ssig Datenschutzrechtlich ist die oben angesprochene Erforderlichkeit f r die Durchf hrung oder Beendigung des Be sch ftigungsverh ltnisses nur gegeben wenn der genannte zeitliche Rahmen eingehalten wird Das Vorhalten der Krankheitstage ber den vom Fragesteller genannten Zeitraum von zehn Jahren ist somit unzul ssig 15 2 Zweckwidrige Nutzung von Gehaltslisten zur Feststellung ob Gewerkschaftsbeitrag be zahlt wird Wenn ein Betriebsrat der zugleich auch Gewerkschaftsmitglied ist seine Zu griffsm glichkeit auf die Gehaltsdaten zur berpr fung nutzt ob die Mitarbei ter die ebenfalls Mitglied in der betref fenden Gewerkschaft sind ihren Mit gliedsbeitrag entrichtet haben ist dies unzul ssig Wir wurden gefragt ob es datenschutzrechtlich zu beanstanden w re wenn ein Betriebsrat der zugleich Mitglied in einer DGB Gewerkschaft ist die Gehaltsdaten der Mitarbe
286. nd Forwards Einer der h ufig von uns untersuchten Bereiche ist hierbei der Login Sofern die Anmeldung an einer Webanwendung mittels Zugangsname und Passwort durchgef hrt wird stellt gerade der Schutz des Passwortes ein Hauptaugen merk unserer Untersuchung dar Das resultiert auch daraus dass viele Anwender das gleiche Passwort bei mehreren Diensten u a Soziales Netzwerk Online Shop Email verwenden und ein unbefugter Zugriff auf die Authentifizie rungsdaten weitreichende Folgen wie z B Be trugsf lle Identit tsdiebstahl und Verwendung der Daten f r Cyberangriffe haben kann Eine sichere Speicherung der Passw rter ist daher wichtig und mit daf r geeigneten Hash Verfahren technisch mittlerweile problemlos m glich da Verfahren wie bcrypt oder PBKDF2 in vielen Softwarebibliotheken einfach verf g bar sind In der Praxis werden h ufig aber im mer noch ungeeignete Verfahren wie MD5 oder SHA f r das Hashen von Passw rtern eingesetzt die aufgrund ihrer effizienten Bere chenbarkeit Mindestpasswortl ingen von 12 bzw 14 Stellen f r einen sicheren Schutz ge gen Brute Force Angriffe voraussetzen w rden Ein Problemfeld ist nach wie vor auch der Um gang mit vergessenen Passw rtern Diese werden auf Anforderung eines Kunden h ufig immer noch im Klartext per E Mail versendet Wir bem ngeln dies und fordern die Verant wortliche Stelle auf diese Praxis abzustellen Dabei verweisen wir auf einfache Verfahren wie
287. nden T tigkeiten zur Zweckbindung von bermittelten Daten und zur Geheimhaltung ausreichend weil die dort geltenden berufsrechtlichen Vorschriften Steuerberatergesetz rztliche Berufsordnung 203 Abs 1 StGB usw schon Grenzen ziehen und eigenverantwortliche Pflichten festlegen Zudem besteht dort auch noch eine berufs rechtliche Kammeraufsicht die f r die Einhal tung der rechtlichen Pflichten ihrer Kammer Mitglieder zust ndig ist Anders ist es beim Fehlen solcher enger be reichsspezifischer Regelungen wie z B e bei einer Auslagerung der Personalver waltung an eine Schwester oder die Muttergesellschaft eines Unternehmens oder e bei der gesamten Auslagerung des Ein zugs r ckst ndiger Forderungen an ein Inkassounternehmen Hier sind detailliertere Regelungen notwendig die sich auch an den gesetzlichen Vorgaben von 8 11 Abs 2 Satz 2 BDSG orientieren k n nen Als Beispiel kann dazu auch auf den Art 22 Abs 4 der mit den Datenschutzaufsichtsbeh r den abgestimmten Verhaltensregeln in der Versicherungswirtschaft verwiesen werden gt gt http www gdv de wp content uploads 2013 03 GDV_Code of Conduct_Datenschutz_2012 pdf 42 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Rund um den datenschutzrechtlichen Auskunftsanspruch GE Rund um den datenschutzrechtlichen Auskunftsanspruch T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 43
288. ndes Einsichtsrecht in die Verwal tungsunterlagen der WEG BGH Urteil vom 11 02 2011 Az V ZR 66 10 Inhaltliche Be schr nkungen dieses Einsichtsrechts z B der gestalt dass bestimmte Daten dabei nicht ein gesehen werden d rften sind der Rechtspre chung soweit ersichtlich nicht zu entnehmen Die Rechtsprechung betont bisweilen sogar dass das Datenschutzrecht der Einsichtnahme nicht entgegensteht So hat das Landgericht N rnberg F rth im Beschluss v 27 10 2006 Az 14 T 4826 06 vom OLG M nchen als n chst h here Instanz mit Beschluss v 09 03 2007 Az 32 Wx 177 06 best tigt ausdr cklich erkl rt 136 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht dass jeder Wohnungseigent mer ein Recht auf Einsicht in s mtliche Verwaltungsunterlagen einschlie lich der Einzelabrechnungen aller Wohnungseigent mer hat ohne dass hierbei datenschutzrechtliiche Einschr nkungen zu beachten w ren Das OLG M nchen betont in der o g Entscheidung Diesem Anspruch Anm auf Einsicht in die Verwaltungsunterla gen steht das Bundesdatenschutzgesetz nicht entgegen da die Wohnungseigent merge meinschaft keine anonyme Gemeinschaft ist und die Einsichtnahme dem Zweck des Ge meinschaftsverh ltnisses dient Mithin k nnte ein einzelner Eigent mer im Wege der Wahrnehmung seines Einsichts rechts welches grunds tzlich in den B ror u men des Verwalters auszu ben ist z B Kon takt Daten der
289. ng gestellt und die private Nutzung dieser Handys verboten Der Datenschutzbeauftragte fragte an ob es zul s sig sei wenn der Arbeitgeber Einsicht in die Einzelverbindungsnachweise nehmen m chte um z B das Verbot der Privattelefonie zu berwachen Der Arbeitgeber darf mit Mitarbeiterdaten umgehen wenn dies f r die Durchf hrung des Besch ftigungsverh ltnisses erforderlich ist Zun chst ist zu ber cksichtigen dass hier die Privatnutzung verboten war somit das Fern meldegeheimnis nicht galt bzw eine erh hte Schutzbed rftigkeit der Mitarbeiter nicht ge geben war Da der Arbeitgeber kraft seiner Stellung gewisse Kontrollbefugnisse hat be steht f r ihn auch eine Berechtigung die von jedem Mitarbeiter dienstlich veranlassten Kos ten aufgeschl sselt nach Zeitpunkt und Dauer festzuhalten Auch eine Kontrolle ob unerlaubt Privatgespr che gef hrt wurden kann in die sem Zusammenhang vorgenommen werden Der Arbeitgeber hat gegen ber der Telefonge sellschaft allerdings schriftlich zu erkl ren dass er die Mitarbeiter diesbez glich informiert hat und k nftige Mitarbeiter informieren wird und dass der Betriebsrat beteiligt worden ist oder eine solche Beteiligung nicht erforderlich war 8 99 TKG Fraglich ist ob die Speicherung der kompletten Zielnummer zul ssig ist Zwischen Arbeitgeber und externen Gespr chspartnern der Mitarbei ter fehlt ein Vertragsverh ltnis das die Tele fondatenerfassung rechtfertigen k
290. ngebot auf eine datenschutzkonforme Ausgestaltung hin berpr ft bzw diese bei einer entsprechenden berarbeitung des In ternetauftritts begleitet Hierzu haben wir uns eines umfangreichen Fragenkatalogs bedient um von Anfang an einen umfassenden ber blick zu erhalten Aus datenschutzrechtlicher Sicht ist der An wendungsbereich des BDSG nur dann er ffnet wenn sich die Bewertung auf eine bestimmte oder bestimmbare nat rliche Person bezieht Die Vorschriften des BDSG sind daher zwar anwendbar auf die Bewertung einer Einzelper son z B Arzt Handwerker Rechtsanwalt nicht aber beispielsweise auf die Bewertung eines aus mehreren Personen bestehenden Handwerksbetriebs oder Unternehmens Messen lassen muss sich die Bewertungsfunk tion am Ma stab des 29 BDSG in dessen Anwendung eine Abw gung zwischen dem Schutz des Rechts auf informationelle Selbst bestimmung nach Art 2 Abs 1 i V m Art 1 Abs 1 Grundgesetz GG und dem Recht auf Kommunikationsfreiheit nach Art 5 Abs 1 GG stattzufinden hat siehe auch Kapitel 4 1 4 un seres T tigkeitsberichts 2009 2010 Der Bun desgerichtshof BGH hat in seinem sogenann ten spickmich Urteil vom 23 Juni 2009 Az VI ZR 196 08 entschieden dass Meinungs u Berungen die die berufliche T tigkeit einer Lehrerin betreffen nur im Falle schwerwiegender Auswirkun gen auf das Pers nlichkeitsrecht mit negati ven Sanktionen verkn pft werden d rfen so etwa dann
291. ngsalgorithmen Schwachstellen in der Im plementierung z B Heartbleed Change Cipher Spec Attacke sowie Protokollversio nen oder Verwendung eines vertrauensw rdi gen Zertifikats mit ausreichender Schl ssell n ge ab Durch eine geeignete Konfiguration des Web oder E Mail Servers kann Perfect For ward Secrecy PFS eingesetzt werden bei dem f r jede Verbindung ein eigener zuf llig gene rierter Verschl sselungs Key generiert wird Das Server Zertifikat wird in diesem Fall nicht f r die Generierung des Schl ssels verwendet sondern nur um die Authentizit t des Schl s seltausches sicherzustellen Diese Besonderheit f hrt dazu dass die L nge eines kryptographischen Schl ssels bei PFS nicht vom dem SSL Zertifikat abh ngt das h ufig von einer Zertifizierungsstelle erworben wird Stattdessen h ngt die Bitl nge von einer Einstellung in der SSL TLS Implementierung ab die auch ber Konfigurationsdateien abge passt werden k nnen sollte Bit RSA hatten In diesem F llen kamen ein zelne SSL TLS Verbindungen mit so schwa chen Schl ssell ngen zustande dass diese von entsprechend technisch versierten Angreifern in kurzer Zeit entschl sselt werden k nnten obwohl vermeintlich PFS mit 2048 Bit zum Einsatz kam Im Rahmen unsere aufsichtlichen Aufgaben haben wir eine Erh hung der Schl ssell nge von 512 Bit RSA gefordert Zum jetzigen Zeitpunkt sehen wir RSA 1024 Bit als einen kritischen Grenzwert
292. ngsprotokoll den Finanzanlagevermittlern als Nachweis dass sie den Anleger entsprechend seiner Anlageziele und seiner finanziellen Ver h ltnisse beraten haben Das Protokoll muss daher beim Finanzanlagevermittler bleiben und eine Kopie dem Anleger ausgeh ndigt werden Da im Protokoll viele Kundendaten enthalten sind die nicht zum Vertragsschluss mit dem Emittenten erforderlich sind w re eine ber mittlung des Protokolls an den Emittenten grunds tzlich nur zul ssig wenn der Kunde darin eingewilligt hat Die Einwilligung m sste der Formvorschrift nach 4a BDSG gen gen erforderlich ist somit eine sog informierte Ein willigung der Kunde m sste daher ber die Tatsache der bermittlung an den jeweiligen Emittenten informiert werden und in diese bermittlung durch eine Unterschrift einwilli gen Diese Einwilligung kann auf den Bera tungsprotokollen selbst oder alternativ auf einem gesonderten Blatt eingeholt werden 92 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Internationaler Datenverkehr 7 14 Internationaler Datenverkehr T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 93 FO Internationaler Datenverkehr 14 Internationaler Datenverkehr 14 1 Binding Corporate Rules BCR Abschluss dreier EU weiter Verfahren zur Pr fung von konzernweiten Datenschutz regelungen zur konzerninternen ber mittlung personenbezogener Daten in Drittstaaten Binding
293. nkatalog des 38 BDSG f r die Datenschutzaufsichtsbeh rden genannt Selbst wenn diese Beratungen wie gerade ausgef hrt mit einem erheblichen Aufwand verbunden sind hielten wir es f r unzumutbar diese Beratungsleistung gegen ber den Be troffenen nicht zu erbringen zumal das Ergeb nis dieser Beratungen in sehr vielen F llen an die verantwortlichen Stellen weitergetragen und dort zu einer nderung ihrer Praxis f hren d rfte Die unten stehende Grafik zeigt dass im Jahr 2014 erstmals seit f nf Jahren wieder ein deut licher Anstieg dieser Beratungsanfragen zu verzeichnen ist so dass wir derzeit von einer nicht unerheblichen Anzahl an Beratungsleis tungen unserseits f r Betroffene bzw B rger sprechen k nnen Beratungen B rger Betroffene 1400 1200 1000 800 600 Anzahl der Beratungen 400 200 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 14 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 2 1 2 2 Beratung der verantwortlichen Stellen und der betrieblichen Datenschutzbeauftragten Nicht nur die Anzahl der geleisteten Beratun gen von verantwortlichen Stellen und betriebli chen Datenschutzbeauftragten sondern auch die Bandbreite der Art der Anfragen ist sehr gro Manche Fragen lassen sich mit einem Telefonanruf oder einer E Mail rasch kl ren Nach wie vor erreichen uns aber in vielen F l len Anfragen insbesondere von Anwaltskanz leie
294. nnnssnnnnssnannsenanen 124 16 9 Datenaustausch zwischen Zahnarztpraxen und Dentallaboren useeene 124 16 9 1 bermittlung des Patientennamens an das Dentallabor ne 125 16 9 2 Datensicherheit bei der Rechnungsversendung vom Labor an den Zahnarzt 125 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 7 Inhaltsverzeichnis 17 Vereine und Verb nde 0000er aaa gen r ehren geeeupae derer huutee ee 17 1 Ver ffentlichung der Ergebnisse von Sportwettk mpfen aus dem Amateurbereich Nm nit Lat 1 a 1 1 BWIN IRRE NIE NER EO EAEOI OE TE AONE NEUN EL EHRE TEO LEOS ESE EOE TOE TET 17 2 Ver ffentlichung des E Mail Verkehrs zwischen einzelnen Vereinsmitgliedern f r alle Vereinsmitglieder 0 2 32 2 asRaasrbe na 17 3 Zul ssige Kommunikation unter Vereinsmitgliedenn uneeeeeennsesennssennseennnnennnnnee 174 Ver ffentlichung von Kontaktdaten von Vereinsmitgliedern gegen ber anderen Vereinsmitgliedem 2242 32 22 2 a aaa 17 5 bermittlung der Kontaktdaten von Vereinsmitgliedern an Dachverb nde uuuuee 17 6 Anforderung einer Urkunde im Rahmen satzungsgem er Aufgabenerf llung in einem Verbania ER ARRE 18 Wohnungswirtschaft und Mieterdatenschutz eusrsrsussnssnssnsonsonsnnsnsnnsonsnnsnsnnsnnnnsonsnnsnnnnnne 18 1 Weitergabe von Mieterdaten in Mieterh hungsschreiben usseenseneennnne 18 2 Verifizierung des Einkommens durch Zuleitung eines ausgef
295. nnte der PC nicht mehr gestartet werden Der Kas sierer sollte f r ein Entsperren seines Rechners ein L segeld in Form anonymer digitaler Zahlung t tigen Es musste davon ausgegangen werden dass Daten der Vereinsmitglieder einschlie lich deren Bankverbindungsdaten abgegriffen wur den Weil T ter mit erlangten Bankverbindungsda ten immer wieder versuchen ber betr geri sche Lastschrifteinz ge an das Geld der be troffenen Personen zu kommen waren die Vereinsmitglieder ber den Datendiebstahl zu informieren und auf die deshalb gebotene sorgf ltige berwachung ihrer Girokontoum s tze hinzuweisen Nat rlich war auch die Zu griffssicherheit f r Externe bei dem PC des Vereinskassiers zu verbessern 21 7 Diebstahl einer Daten sicherungsfestplatte mit Gesundheitsdaten Bei einem Unternehmen mit dem T tigkeitsfeld der Eingliederung von Menschen mit seeli schen Erkrankungen wurde eine unverschl s selte Back up Sicherungsfestplatte mit den Daten zu gesunden und kranken Mitarbeitern gestohlen einschlie lich deren Bankdaten Gesundheitsdaten in Berichten des Sozialdiens tes Schwerbehinderten Status usw Die betroffenen Mitarbeiter mussten hier ber informiert werden zum einen weil T ter mit erlangten Bankverbindungsdaten immer wie der versuchen ber betr gerische Lastschrift einz ge an das Geld der betroffenen Personen zu kommen zum anderen um sich auf die m gliche Offenlegung ihres teilweise
296. nschutzaufsichtsbeh rde nicht zust ndig sind 8 1 Abs 2 Nr 3 BDSG Unbestritten k nnen aber Kameraattrappen das Pers nlichkeitsrecht von Menschen tangie ren die in den vermeintlichen Fokus einer der artigen Attrappe gelangen und unter diesem Eindruck zu einer Verhaltens nderung veran lasst werden Ob und inwieweit der Einsatz derartiger Kameraattrappen rechtm ig ist ist von den Zivilgerichten zu entscheiden wenn 144 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht ein Betroffener sich gegen den Einsatz einer derartigen Attrappe wendet Nach unseren Erfahrungen gehen die Zivilgerichte davon aus dass jedenfalls in den F llen in denen eine Videobeobachtung mit einer funktionsf higen Kamera datenschutzrechtlich zul ssig w re auch der Einsatz einer Attrappe nicht als rechtswidrig festgestellt wird Nach 8 6b BDSG ist die Beobachtung ffentlich zug nglicher R ume mit optisch elektronischen Einrichtungen Video berwa chung f r private Stellen insbesondere nur dann zul ssig soweit sie zur Wahrnehmung des Hausrechts oder berechtigter Interessen f r konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen dass schutzw rdige Interessen der Betroffenen berwiegen Im vorliegenden Fall h tten wir aufgrund der geschilderten Vorf lle ein berechtigtes Interes se an einer tats chlichen berwachung des Au enbereiches um den Laden als gegeben angesehen In hn
297. nstigung zur Verf gung gestellt wird Ist ein Mitarbeiter mit den Bedingungen nicht einverstanden kann er die Verg nstigung nicht in Anspruch nehmen 15 5 Kopie des F hrerscheins durch Arbeitgeber Ein Arbeitgeber darf die F hrerscheine von Mitarbeitern kopieren die Dienst fahrzeuge bei der Aus bung ihrer berufli chen T tigkeit benutzen Ein Unternehmen fragte an ob es berechtigt ist die F hrerscheine der Mitarbeiter die mit dem F hren von Firmenfahrzeugen beauftragt sind oder denen ein Firmenfahrzeug f r die Aus bung ihrer beruflichen T tigkeit zur Ver f gung gestellt wird zum Zweck der Kontrolle zu kopieren Der Arbeitgeber darf Daten seiner Mitarbeiter erheben verarbeiten oder nutzen wenn dies f r die Durchf hrung des Besch ftigungsver h ltnisses erforderlich ist 32 Abs 1 Satz 1 BDSG Den Arbeitgeber trifft die Pflicht in gewissen Abst nden zu pr fen ob die Mitar beiter die mit Firmenfahrzeugen fahren ber einen g ltigen F hrerschein verf gen Es sind Situationen denkbar bei denen der Arbeitge ber nachweisen k nnen muss dass er sich vom Vorhandensein eines g ltigen F hrerscheins eines bestimmten Mitarbeiters berzeugt hat Dabei kann es hilfreich sein wenn er eine Ko pie des F hrerscheins zur Verf gung hat Da zudem im F hrerschein nur Daten enthalten sein d rften die dem Arbeitgeber ohnehin schon bekannt sind bzw die eher banal sind z B F hrerscheinklasse halten wi
298. nstr gern ein legitimer Zweck im Sinne von 28 Abs 1 Satz 1 Nr 2 BDSG sein der die ber mittlung rechtfertigen kann die Betroffenen m ssen jedoch ber diese bermittlung und ihre Zwecke gem 8 4 Abs 3 Satz 1 Nrn 2 und 3 BDSG transparent informiert werden und es ist ihnen ein Recht zum Widerspruch gegen die bermittlung einzur umen Nur unter die sen Voraussetzungen darf davon ausgegangen werden dass die Funktionstr ger die insoweit nicht widersprochen haben keine berwiegen den schutzw rdigen Interessen am Unterblei ben der bermittlung ihrer Telefonnummer bzw E Mail Adresse an den Dachverband ha ben Der Verein wurde von uns aufgefordert eine umfassende abschlie ende und verst ndliche bersicht dar ber zu erstellen welche perso nenbezogenen Daten von Vereinsmitgliedern an welche Dachverb nde f r welche Zwecke bermittelt werden und aktuelle und k nftige Mitglieder unter Verwendung dieser bersicht umfassend zu informieren 17 6 Anforderung einer Urkunde im Rahmen satzungsgem er Aufgabenerf llung in einem Verband Bestimmte Funktionstr ger denen inner halb eines Verbands nach geltendem Verbandsrecht bestimmte Aufgaben zu kommen d rfen grunds tzlich perso nenbezogene Daten erheben ohne die sie diese Aufgabe nicht erf llen k nnen Die Teilnehmerin eines von einem Verband ausgerichteten Wettkampfs beschwerte sich bei uns ber einen sog Leistungsrichterob mann des Verbande
299. nternehmen zur einfacheren Versendungsorganisation zur Datenpflege und Aktualisierung oder auch die Auslagerung der Verwaltung und Kontrolle der Versandauftr ge sind als weisungsgebundene Datenverarbei a Auftragsdatenverarbeitung oder Funktions bertragung allgemein tungen im Auftrag nach 11 BDSG einzuord nen und zu regeln 5 4 Kontrollm glichkeit darf nicht ausgeschlossen werden Unabh ngig davon ob klassische IT Rechendienstleistungen oder Daten hosting Pr fung und Wartung von Sys temen und Software im Auftrag durchge f hrt werden Der Auftraggeber als nach dem BDSG verantwortliche Stelle darf von Kontrollm glichkeiten beim Dienst leister nicht ausgeschlossen sein Aus der Praxis wird uns immer wieder vorge tragen dass meist ausl ndische Unterneh men die zu personenbeziehbaren Daten IT Rechendienstleistungen oder Datenhosting Pr fung und Wartung von Systemen und Soft ware im Sinne von 8 11 BDSG erbringen den Auftraggebern m glichst keine eigenst ndigen Vor Ort Auftragskontrollrechte einr umen oder solche Rechte jedenfalls vertraglich abbe dingen m chten etwa indem der Auftragge ber darauf verzichtet Hierzu vertreten die deutschen Datenschutz beh rden die Auffassung dass es nicht zul s sig ist die Vor Ort Kontrolle durch den Auf traggeber oder einen vom Auftraggeber aus gew hlten geeigneten Dritten recht lich vertraglich auszuschlie en Dies w re mit der aufgrund
300. ntieren gen gt stattdessen in aller Regel die Anfertigung eines Vermerks wonach die Identifizierung unter Vorlage des Personalausweises oder einer Ausweiskopie durchgef hrt worden ist Darf die verantwortliche Stelle bestimmte Daten des Ausweisinhabers ber den Identifizierungsvor gang hinaus speichern z B nach 28 Abs 1 Satz 1 Nr 1 BDSG s o kann sie diese Daten Handel und Dienstleistung aus der erhaltenen Ausweiskopie notieren und die Kopie selbst anschlie end vernichten Das Behalten der Kopie als solcher ist jedenfalls dann unzul ssig wenn in der Kopie au er den jenigen Daten des Inhabers die die verant wortliche Stelle ber den Identifizierungsvor gang hinaus noch z B gem 8 28 Abs 1 Satz 1 Nr 1 BDSG speichern darf weitere Daten ungeschw rzt enthalten sind was in der Pra xis h ufig der Fall sein wird Diese Grunds tze haben wir bei Bearbeitung der bei uns eingegangenen Beschwerden an gewendet Dem eingangs erw hnten Autohaus das Fahrzeuge vermietete haben wir etwa mitgeteilt dass sie Personalausweise von per s nlich anwesenden Fahrzeugmietern nicht kopieren darf 13 3 2 Kopieren des Personalausweises zur Erf llung von Anforderungen nach dem Geldw schegesetz Einige gesetzliche Spezialvorschriften erlauben f r bestimmte Zwecke aus dr cklich das Kopieren des Personalaus weises darunter die Vorschriften des Geldw schegesetzes GwG Lehnt der Ausweisinhaber das Kopieren ab m
301. nur die f r die Abrechnung erforderlichen Angaben an die Krankenkasse bermittelt wer den Davon werden beispielsweise solche Da ten nicht erfasst die nicht f r die Abrechnung der Leistung ben tigt werden sondern der Krankenkasse die Aufkl rung erm glichen sol len ob ein drittverursachter Gesundheitsscha den z B Behandlungs oder Pflegefehler vorliegt auf Grund dessen der Krankenkasse m glicherweise Anspr che gegen einen Dritten T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 19 Rz Gesundheit und Soziales zustehen So befand sich in einem Fragebogen den Hilfsmittelerbringer f r eine Krankenkasse ausf llen sollten und uns zur Pr fung vorgelegt haben u a die Frage wo der Dekubitus eines Patienten entstanden ist z B Krankenhaus Eine solche Mitteilung kann zwar an die Kran kenkasse nach anderen Vorschriften z B 294a SGB V zul ssig sein wenn die entspre chenden Voraussetzungen vorliegen Da es sich dabei aber um keine zur Abrechnung der Leistung erforderliche Angabe ber den Be fund handelt ist eine bermittlung nach 302 Abs 1 SGB V unzul ssig Auch sensible medizi nische Daten deren Kenntnisnahme dem Me dizinischen Dienst der Krankenversicherung MDK vorbehalten ist d rfen nicht an die Krankenkasse bermittelt werden Diese Grunds tze gelten auch f r die Frage ob Hilfsmittelerbringer zur Veranschaulichung des Sachverhalts der Krankenkasse Fotos
302. o nenbezogenes Datum mitgeteilt hat deren bermittlung grunds tzlich der Einwilligung des Betroffenen oder einer Rechtsgrundlage bedarf Eine Restwertb rse kann f r ein Versiche rungsunternehmen jedoch im Rahmen einer Auftragsdatenverarbeitung t tig werden Wird hierf r ein Vertrag gem 11 BDSG abge schlossen stellt der Austausch personenbezo gener Daten zwischen Versicherung und Rest wertb rse keine Daten bermittlung im Sinn des BDSG dar sondern wird gesetzlich privile giert vgl 3 Abs 8 Satz 3 BDSG Sind die Voraussetzungen nach 8 11 BDSG erf llt ben tigt die Versicherung weder eine Rechtsgrund lage noch die Einwilligung des Betroffenen um der Restwertb rse personenbezogene Daten wie die FIN mitzuteilen Macht ein Versicherungsnehmer gegen ber seiner Versicherung einen Auskunftsanspruch nach 8 34 Abs 1 BDSG geltend hat ihn die Versicherung dar ber zu informieren dass die FIN als personenbezogenes Datum an die Restwertb rse weitergegeben wurde Denn gem 8 34 Abs 1 Satz 1 Nr 2 BDSG hat sich die Auskunft u a auf den Empf nger an den Daten weitergegeben werden zu beziehen Empf nger ist dabei jede Stelle die Daten erh lt und umfasst anders als der Begriff des Dritten auch Auftragnehmer die als interne Stelle behandelt werden vgl 3 Abs 8 BDSG Das Versicherungsunternehmen war der An T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 69
303. ogenen Daten f r werb liche Zwecke befasst die jetzt mit dem Stand September 2014 ver ffentlicht wurden gt gt gt http www lda bayern de lda datenschutzaufsich WY lda_daten Anwendungshinweise_Werbung pdf 12 2 Verwendung von aus dem Internet stammenden Kontaktdaten Homepage Impressum Die ffentliche Zug nglichkeit der Pflichtangaben eines Homepage Impressums erlaubt nicht automatisch deren Nutzung zu Werbezwecken Verbraucher aber auch Unternehmen und Selbst ndige klagen bei uns immer wieder dar ber dass die von ihnen im Homepage Impressum einzutragenden Pflichtangaben zur postalischen und elektronischen Erreichbarkeit dort abgegriffen und f r werbliche Kontaktauf nahmen missbraucht werden F r die Verwendung von aus dem Homepage Impressum erlangten Postadressdaten von Verbrauchern gibt es in der ma geblichen Spezialvorschrift von 28 Abs 3 BDSG keine datenschutzrechtliche Erlaubnis zur Zusendung von Briefwerbung F r die Postadressen von Unternehmen und Selbstst ndigen gilt diese Einschr nkung wegen deren gesch ftlicher T tigkeit und der dort anderen Positionierung in der ffentlichkeit nicht F r E Mail Werbung ist au erhalb von Be standskundenbeziehungen sowohl bei Ver brauchern wie auch bei Unternehmen und Selbst ndigen Voraussetzung dass eine aus dr ckliche Einwilligung der betreffenden Per son oder des betreffenden Gewerbetreibenden vorliegt Die ffentliche Zug nglichkei
304. orgezeigten Aus weis notieren so dass auch insoweit kein Be darf an einer Ausweiskopie als solcher besteht Daher ist das Kopieren des Personalausweises oder das Verlangen einer solchen Kopie zwecks Identifizierung grunds tzlich nur in solchen F llen datenschutzrechtlich zul ssig in denen der Ausweisinhaber nicht pers nlich anwesend ist zu den wenigen Ausnahmen etwa nach dem Geldw schegesetz siehe unten in Kapitel 13 3 2 Der Ausweisinhaber ist in solchen F l len von der verantwortlichen Stelle allerdings darauf hinzuweisen dass er die Daten die nicht zur Identit tspr fung ben tigt werden z B Seriennummer Zugangsnummer auf der Kopie schw rzen kann denn solche Daten sind zur Identit tspr fung gerade nicht erforder lich im Sinne von 8 28 Abs 1 Satz 1 Nr 1 oder Nr 2 BDSG Zur Identit tspr fung gen gen regelm ig der Vor und Nachname das Ge burtsdatum und die postalische Adresse Sofern eine Personalausweiskopie nach dem oben Gesagten berhaupt angefordert bzw erstellt werden darf d h im Wesentlichen nur soweit der Ausweisinhaber nicht pers n lich anwesend ist ist sie nach durchgef hrter Identifizierung zu vernichten Die h ufig zu beobachtende Praxis die Kopie aufzubewah ren um die Durchf hrung der Identifizierung nachzuweisen zu dokumentieren ist soweit keine gesetzlichen Ausnahmevorschriften dies ausnahmsweise erlauben unzul ssig Um die Identifizierung zu dokume
305. os Gesundheitscentern oder Trainingszentren unabh ngig davon wie sich diese Einrichtungen heutzutage bezeichnen werden neben den allgemeinen Daten der Trainierenden wie z B Name Geburtsdatum und Anschrift oftmals auch besonders sensible Gesundheitsdaten erfasst Zus tzlich werden Kommen und z T Gehen Zeiten Check In Check Out erhoben In einigen Studios sind zudem Videokameras im Einsatz Auf Grund dieser Datenerhebungen und der zus tzlichen Tatsache dass wir gelegentlich Beschwerden ber vermutete Datenschutzverst e erhalten hatten haben wir uns dazu entschieden gera de bei Fitnessstudios eine gro fl chige anlass lose Pr fung durchzuf hren Ziel unserer Pr fung war es gerade kleine und mittelst ndische Studios in die Pr fung mitein zubeziehen um auch diese auf die daten schutzrechtlichen Anforderungen hinzuweisen und f r den Datenschutz zu sensibilisieren Die gepr ften 100 Unternehmen wurden aus schlie lich per Zufallssuche ausgew hlt Der Pr ffokus lag neben den allgemeinen daten schutzrechtlichen Vorgaben z B Verpflichtung der Mitarbeiter auf das Datengeheimnis Auf tragsdatenverarbeitung Bestellung eines Da tenschutzbeauftragten haupts chlich auf der Video berwachung der Erfassung der Check In Check Out Zeiten sowie dem Umgang mit besonders sensiblen Daten Ergebnis unserer Pr fung war dass etwa 90 der 2013 gepr ften Fitnessstudios erst durch unser Pr fungsanschreiben
306. overmietungsgesellschaft eine Kurznachricht erhalten die einen Hinweis auf das Fahrzeug und den Standort enthalte und dar ber informiere dass ein bestimmter Bereich verlassen wurde Nachdem das Mietwagenunternehmen zu n chst eine Einwilligung der Nutzer in die GPS Ortung einholen wollte schwenkte es sp ter um und wollte von uns wissen unter welchen Umst nden eine Information des Mieters ge gebenenfalls nicht notwendig sei Hierzu wurde argumentiert dass es sich bei den Mietfahr zeugen ausschlie lich um hochpreisige Kfz Wert bis zu 500 000 Euro handle und nur ohne eine Information Straftaten verhindert werden k nnten Wenn n mlich die GPS Ortung bekannt sei w rde der Sender ausge baut oder durch St rsender so irritiert dass eine Ortung nicht mehr m glich sei W re also eine Information erforderlich w rden die Ge Fahrzeugdaten sch ftszwecke des Unternehmens erheblich gef hrdet Konkrete Informationen dazu wel che Anhaltspunkte vorliegen m ssten dass ein GPS Sender eingebaut bzw aktiviert w rde wurden uns hingegen nicht genannt Wir haben anhand dieser Argumentation nicht die Zul ssigkeit einer verdeckten GPS Ortung erkennen k nnen Insbesondere sahen wir kein derart pauschales gewichtiges Interesse des Mietwagenunternehmens an der verdeckten Ortung und die Ausnahme des 8 33 Abs 2 Nr 7b BDSG nicht als einschl gig an wonach eine Pflicht zur Benachrichtigung des Betroffenen nicht besteht wenn di
307. r fahren zur Reichweitenmessung bei Internet angeboten haben wir uns mit der Firma Adobe dar ber verst ndigt wie das Produkt Adobe Analytics angepasst werden muss damit es die bayerischen Webseitenbetreiber beanstan dungsfrei einsetzen k nnen Nach dieser Ver st ndigung berpr ften wir 10 238 zuf llig ausgew hlte Webseiten daraufhin ob das Ana lysetool eingesetzt wurde Diejenigen Websei tenbetreiber welche Adobe Analytics einsetz ten wurden von uns mit einem Fragebogen angeschrieben Mit Hilfe des Fragebogens wurde e der Abschluss des Vertrages zur Auf tragsdatenverarbeitung e das Vorhandensein einer angepassten den Einsatz von Adobe Analytics dar stellenden Datenschutzerkl rung e das Vorhandensein einer wirksamen Widerspruchsm glichkeit gegen das Setzen von Tracking Cookies von Ado be e die Begrenzung der Cookie Laufzeit auf maximal 24 Monate e das vollst ndige Ersetzen der IP Adresse durch eine generische IP 52 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Adresse durch Vornahme der Einstel lung Obfuscate IP Removed und e die vollst ndige Anonymisierung der IP Adressen vor deren systematischer Ver arbeitung z B Geolokalisierung durch Vornahme der Einstellung Before Geo Lookup Replace visitor s last IP octet with 0 abgefragt Besonderes Augenmerk hatten wir dabei auf die zweifache Einstellung zur Anonymisierung der IP Adresse gelegt D
308. r malen Praxisalltag sind solche besonde ren Umst nde nicht erkennbar weil der Patient pers nlich anwesend ist und ohne Weiteres die Einwilligungserkl rung unterschreiben kann Eine m ndli che Einwilligung oder ein Aushang im Wartezimmer gen gt deshalb nicht Keine ausreichende Hervorhebung 4a Abs 1 Satz 4 BDSG fordert eine be sondere Hervorhebung wenn eine da tenschutzrechtliche Einwilligung zu sammen mit anderen Erkl rungen schriftlich erteilt werden soll Wird f r die Einwilligungserkl rung zur Daten bermittlung an die Verrechnungsstelle kein gesondertes Formblatt verwendet sondern ist sie beispielsweise in einen allgemeinen Patientenaufnahmebogen 122 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht mit Fragen zu Vorerkrankungen zur Medikation etc integriert muss die da tenschutzrechtliche Einwilligungserkl rung deutlich vom allgemeinen Teil ge trennt werden In jedem Fall ist die Ein willigungserkl rung mit einer aussage kr ftigen berschrift zu versehen Dar ber hinaus bedarf es einer zus tzlichen optischen Hervorhebung Je nach Ge staltung des Formulars kommt hierf r eine farbliche Hinterlegung eine Um randung o in Frage e Fehler in Sonderf llen z B bei gesetz lich Versicherten Immer wieder f hren auch Fehler im Einzelfall dazu dass ohne die erforderli che Einwilligung und damit unbefugt Patientendaten an eine rztliche Ver rechnun
309. r fung Dies ist insbesondere f r die jenigen F lle relevant in denen sich Eingabe f hrer an uns mit der Bitte wenden gegen ber einem gegnerischen Rechtsanwalt einen Aus kunftsanspruch nach 8 34 Abs 1 BDSG durch zusetzen um zu erfahren ber welche Infor mationen der Rechtsanwalt verf gt und woher er diese erhalten hat Bei derartigen Eingaben weisen wir die Eingabef hrer auf das anwaltli che Berufsgeheimnis und die damit einherge hende Schweigepflicht des Rechtsanwalts hin Auch wenn solche konkreten mandatsbezoge nen Daten nicht unserer Pr fung unterliegen sind wir der Auffassung dass insbesondere Fragen der Datensicherheit die unabh ngig vom konkreten Mandat generell dem Schutz der Daten in der Kanzlei dienen unserer Kon trollkompetenz unterfallen und wir deshalb insbesondere zur Pr fung der Einhaltung der Vorschriften des 9 BDSG befugt sind Bevor wir im Rahmen unserer laufenden Pr f verfahren ggf eine Anordnung nach 8 38 Abs 5 BDSG erlassen die zur Kl rung durch die Verwaltungsgerichtsbarkeit f hren kann haben wir auf Bitten der BRAK das Thema im D ssel dorfer Kreis er rtert um eine Abstimmung unter den Aufsichtsbeh rden zu erreichen Eine abschlie ende Befassung hierzu steht noch aus Unabh ngig davon haben wir auch andere Rechtsanwaltskanzleien gepr ft die keine Zweifel an unserer Pr fungskompetenz hatten sich vielmehr dankbar zeigten f r die prakti T tigkeitsbericht 2013 14
310. r h ufig begegnen sind ungen gend gesicherte Passw rter zu Benutzerkonten beispielweise von Web Shops Portalen und Kommunikati onsangeboten Kommt es bei diesen Unter nehmen zu einem unbefugten Abgreifen von Datens tzen zum Beispiel durch Ausnutzung von Web Hacking Schwachstellen dann stellt meist ein geeignet gespeichertes Passwort die einzige H rde zwischen der Entwendung der personenbezogenen Daten Name Adresse Einkaufshistorie als solche und deren Ver wendung mittels Identit tsdiebstahl um weite re Straftaten zu begehen dar Erschreckend ist dass es im Berichtszeitraum immer noch Webangebote gab und wohl auch nach wie vor gibt die Passw rter im Klartext speichern Kommt es dann zu einem erfolgrei chen Angriff zum Beispiel mittels SQL Injection oder forensischer Analyse eines gefundenen Smartphones so kann ein Angreifer die digita le Identit t die an dem Benutzerkonto h ngt bernehmen und den urspr nglichen Nutzer durch eine einfache Passwort nderung aus sperren Da viele B rger f r mehrere Dienste sowohl die gleiche E Mail Adresse als auch das gleiche Passwort verwenden kann ein unzu reichend gesicherter Dienst weitreichende Fol gen f r die betroffenen Nutzer haben Dies ist u a auch ein Grund wieso wir bei Hacking Vorf llen bei denen neben einer E Mail Adresse das Passwort im Klartext gespeichert oder unzureichend gesichert ist von einer meldepflichtigen Datenpanne nach 42 a
311. r Einwilligung der gesetzlichen Vertretung des minderj hrigen Kindes 128 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 17 2 Ver ffentlichung des E Mail Verkehrs zwischen einzelnen Vereinsmitgliedern f r alle Vereinsmitglieder Bei der Kommunikation per E Mail unter Vereinsmitgliedern muss der Absender grunds tzlich nur damit rechnen dass die von ihm als Empf nger einer E Mail bestimmten Personen Kenntnis von der E Mail erhalten Die Weiterleitung solcher E Mails an alle Vereinsmitglieder ist ohne entsprechende Einwilligung des Absen ders jedenfalls in der Regel unzul ssig Mehrere bei uns eingegangene Beschwerden betrafen F lle in denen einige Mitglieder eines Vereins miteinander per E Mail kommuniziert hatten und dann einzelne Mitglieder solche E Mails an andere Vereinsmitglieder weiterge leitet hatten Bei der Kommunikation per E Mail muss ein Absender zumindest in der Regel nur damit rechnen dass die von ihm als Adressaten ge zielt angeschriebenen Personen Kenntnis von der E Mail und deren Inhalt erlangen nicht jedoch auch andere Personen Dies gilt grunds tzlich auch f r die Kommuni kation unter Mitgliedern eines Vereins und in der Regel auch dann wenn die E Mail auch Angelegenheiten betrifft die als solche grund s tzlich auch anderen Vereinsmitgliedern in der Mitgliederversammlung mitgeteilt werden k nnten Denn daraus kann nicht automatisch geschlossen werden dass der
312. r Messebesucher auf die Alternative eines anonymen Messebesuches durch Kauf eines regul ren Tickets aufmerksam gemacht wird z B durch einen Hinweis auf dem Gutschein und oder der Datenschutzer kl rung des Online Shops Regelm ig wer den die Daten der Besucher die einen von einem Aussteller zur Verf gung gestellten Ein trittsgutschein einl sen an diesen weitergelei tet So kann er nachvollziehen welche seiner Kunden den Gutschein eingel st haben und f r wie viele Gutscheine er gegen ber der Messe aufkommen muss Es ist aus unserer Sicht jeweils entscheidend dass der Messeveranstalter auf eine ausrei chende Transparenz gegen ber dem Messebe sucher sowohl im Internetauftritt z B Ticket Shop als auch vor Ort Registrierungsformu lar achtet um ihm gegen ber beispielsweise deutlich zu machen dass das Ausf llen eines Registrierungsformulars bei einer offenen 60 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Messe vor Ort auf ausdr cklich freiwilliger Basis erfolgt oder die M glichkeit des Einl sens eines Gutscheins von einem bestimmten Da tenumgang abh ngig gemacht wird 7 11 Ahnenforschung im Internet Werden im Rahmen einer Ahnenfor schung auch lebende Nachkommen be nannt so ist zun chst zu pr fen inwie fern der famili re und pers nliche Be reich berschritten wird Wird dies bejaht ist eine Interessenabw gung zwischen dem Interesse der noch lebenden
313. r Nutzung waren Denn auf diese Daten findet gem Art 4 Abs 1 Buchst c der EG Datenschutzrichtlinie das Datenschutzrecht des Mitgliedstaates An wendung in dem die Verarbeitung oder Nut zung unter R ckgriff auf dortige Mittel statt findet Wenn somit z B eine konzernangeh ri ge brasilianische Gesellschaft Daten ihrer Mit arbeiter an eine Gesellschaft z B die Mutter gesellschaft nach Deutschland bermittelt ist auf Verarbeitungen und Nutzungen dieser Daten in Deutschland und folglich auch f r anschlie ende Weiter bermittlungen dieser T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 97 am Internationaler Datenverkehr Daten aus Deutschland an andere Konzernge sellschaften in Drittstaaten grunds tzlich das deutsche Datenschutzrecht anwendbar Wenn solche Daten somit aus Deutschland an andere konzernangeh rige Gesellschaften in Drittstaa ten z B Indien USA bermittelt werden m ssen die BCR grunds tzlich auch hierauf und folglich dann auch auf die Weiterverarbei tung dieser Daten beim konzernangeh rigen Empf nger z B in Indien USA etc Anwendung finden Dies muss aus der Formulierung des Anwendungsbereichs in den BCR hinreichend deutlich hervorgehen Missverst ndliche oder unklare Formulierungen wurden in den von uns gef hrten BCR Verfahren daher moniert und von den Unternehmen entsprechend nachge bessert Aus der verwendeten Formulierung muss hervorgehen dass die
314. r die Datenschutzaufsichtsbe h rden in Berlin Hamburg Hessen Nordrhein Westfalen und Rheinland Pfalz Smart TV Ger te von insgesamt 13 Herstellern pr fen Kontrollen und Pr fungen Diese haben ihren Sitz in Deutschland oder zumindest eine deutsche Niederlassung und decken gleichzeitig mehr als 90 des Marktes in Deutschland ab Der Fokus der ger tebezo genen Pr fung lag dabei auf dem Verhalten des jeweiligen Ger teherstellers z B wie er den Zuschauer Nutzer ber die Datennutzung am Smart TV informiert und welche Datenfl s se er im Hintergrund initiiert Inhalt und Ablauf dieser Pr fung siehe Kapitel 22 11 Das hierbei festgestellte Ergebnis war u erst vielf ltig und zum Teil auch berraschend So haben wir bei Szenarien der gew hnlichen TV Nutzung Datenfl sse festgestellt die nicht direkt zu erwarten waren Abgesehen vom vorhandenen Informationsdefizit keine Daten schutzhinweise bei vielen Herstellern war auf f llig dass gerade die Zusatzdienste der Smart TVs das Fernseherlebnis pers nlicher gestalten wollten hierf r jedoch viele Nutzeraktionen z B wie Umschalten auf einen anderen Sender Aufnehmen von Sendungen Abspielen von Inhalten eines USB Sticks etc an den Herstel ler bertrugen Welche Daten flie en an den SmartTV Hersteller 100 90 80 Informationen 70 E zum Ger t 60 Ger te ID A zum laufenden 50 Fernsehprogramm 40 E beim ffnen
315. r es f r ver tretbar wenn der Arbeitgeber den F hrer schein kopiert 15 6 Mith ren von Telefon gespr chen durch Arbeitgeber bei Markt und Meinungs forschungsunternehmen Der Arbeitgeber darf Telefongespr che der Mitarbeiter eines Markt und Mei nungsforschungsunternehmens in einem gewissen Umfang mith ren wenn er die Mitarbeiter allgemein dar ber informiert hat und den Grundsatz der Verh ltnism Bigkeit beachtet Eine Mitarbeiterin eines Markt und Meinungs forschungsinstituts beschwerte sich dar ber dass ihre Telefongespr che teilweise mitgeh rt werden Das Mith ren von Telefongespr chen ist ein Erheben von Mitarbeiterdaten das nach 28 Abs 1 Satz 1 Nr 2 BDSG zul ssig ist wenn es zur Wahrnehmung berechtigter Interessen des Unternehmens erforderlich ist und kein Grund zu der Annahme besteht dass schutzw rdige Interessen der Betroffenen am Ausschluss des Datenumgangs berwiegen Bei einem Markt und Meinungsforschungs institut besteht die Hauptaufgabe der Intervie wer im Telefonieren Der Gesch ftserfolg l sst sich nur durch ein hohes Qualit tsniveau der Telefonate erzielen so dass das Mith ren der Gespr che in einem gewissen Umfang erfor derlich ist Der Grundsatz der Verh ltnism ig keit war hier beachtet worden da das Mith ren nicht dauerhaft erfolgte Bei neuen Intervie wern oder erh htem Schulungsbedarf k nnen die Kontrollen h ufiger vorgenommen werden 1 12 T tigkeitsber
316. r in aller Re gel gerne an weil wir dabei die M glichkeit haben unsere Sicht der Dinge darzustellen und uns in den Diskussionen ein Bild dar ber zu verschaffen ob das was wir uns f r den Um gang mit personenbezogenen Daten vorstel len in der Praxis ankommt und akzeptiert wird Datenschutz Vortr ge 80 70 60 50 40 30 20 10 2007 2008 2009 2010 2011 2012 2013 2014 2 5 ffentlichkeitsarbeit Die ffentlichkeitsarbeit betrachten wir als einen wichtigen Teil unserer T tigkeit in dem wir versuchen sehr verantwortungsbewusst umzugehen Selbstverst ndlich nehmen wir zu Fragen der Medien Stellung wenn es unseren eigenen Aufgabenbereich betrifft und verwei sen ansonsten an die zust ndige Datenschutz aufsichtbeh rde Pressemitteilungen geben wir im Wesentlichen zum Ergebnis durchgef hrter gr erer Pr fungsaktionen heraus ohne die gepr ften Unternehmen namentlich zu benen nen Wir bem hen uns dar ber hinaus Infor mationen ber datenschutzrechtliche Vollzugs fragen auf unserer Homepage darzustellen und freuen uns ber das relativ gro e Interesse daran T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 17 Fr Allgemeiner berblick ber die T tigkeit des BayLDA Serverstatistik 350000 300000 je 250000 5 5 200000 3 5 150000 2 R 100000 E lt 50000 0 am mmmn mm mn nm m m m m tt FFF TF Ff F y y Hd A A A aA aA aA
317. r wieder festzustellen dass Unternehmen zun chst den Betroffenen nur die Datenkategorien und erst auf unsere Hinweise hin Klartext Daten mitteil ten 6 3 Auskunftsanspruch nur hinsichtlich personen bezogener Daten Enth lt ein Dokument oder eine Datei gewisse personenbezogene Daten im rechtlichen Sinn bedeutet dies nicht zwingend dass das gesamte Dokument bzw die gesamte Datei aus personenbe zogenen Daten des Betroffenen besteht Schwierigkeiten bereitete immer wieder die Frage was eigentlich im Rahmen der daten schutzrechtlichen Auskunft dem Betroffenen mitgeteilt werden muss Unternehmen und anderen verantwortlichen Stellen ist h ufig nicht klar welche bei ihnen gespeicherten In formationen im datenschutzrechtlichen Sinne personenbezogene Daten zu dem im kon kreten Fall jeweiligen Betroffenen darstellen und daher dem Auskunftsanspruch unterfallen Betroffene wiederum bersch tzen offenbar manchmal den Umfang ihres Auskunftsan spruchs und sind dann bisweilen unzufrieden wenn Unternehmen im Wege der Auskunft bestimmte Dateien oder Dokumenten nicht komplett sondern nur in Teilen wiedergeben H ufig verlangten Betroffene z B die Wieder gabe aller Aufzeichnungen aller Informatio nen o die bei einem Unternehmen z B zum Kundenkonto des jeweiligen Betroffenen vorhanden sind Im Berichtszeitraum beschwer ten sich Betroffene bei uns in solchen F llen h ufig mit dem Ar
318. rechen eines verschl sselten Da tensatzes was nur mit immensem Aufwand m glich ist w re lediglich der Inhalt des ge knackten Datensatzes offenbart und nicht die Inhalte aller anderen Datens tze Der Aufwand der Implementierung von Perfect Forward Secrecy ist im Allgemeinen u erst gering da nur die Menge aller Cipher Suites auf diejenigen beschr nkt werden m ssen die das sogenannte Diffie Hellmann Verfahren zum Schl sseltausch einsetzen Vereinzelt kann es bei verantwortlichen Stellen dazu f hren dass diese sofern die bisher eingesetzte Soft bzw Hardware veraltet ist ein Upgrade auf den aktuellen Stand durchzuf hren haben Da dies aber bei Einsatz von IT Systemen grund s tzlich zur Sicherstellung eines ausreichenden Schutzes notwendig ist stellt der Aufwand f r die Umsetzung von Perfect Forward Secrecy ein verh ltnism iges Mittel nach 8 9 BDSG dar und ist daher umzusetzen Bei Einsatz von Verschl sselungsverfahren h ngt die Sicherheit auch wesentlich von den Schl ssell ngen ab Die L nge muss beim je weiligen Algorithmus so gew hlt werden dass die Vertraulichkeit nicht nur zum Zeitpunkt der Verschl sselung gew hrleistet werden kann W hrend bei der bermittlung einer Transakti onsnummer bei Bankgesch ften ein Verschl s selungsverfahren nur einige Minuten sicher sein muss kann zum Beispiel bei Gesundheits daten die ber das Internet transportiert wer den die notwendige Vertraulichkeitsdauer
319. rechtlich problematisch ist Eine Kl rung mit dem Ziel einer einheitlichen Bewertung aller Datenschutzaufsichtsbeh rden l uft der zeit noch 22 11 Smart TV Pr fungen Wir gehen der Frage nach ob es den Spion im Wohnzimmer wirklich gibt Die Vernetzung von bekannten Alltagsgegen st nden mit dem Internet ver ndert nicht nur deren Einsatz weitreichend sondern auch die Folgen f r das informationelle Selbstbestim mungsrecht der Nutzer Aus Handys wurden Smartphones mit denen auch noch telefo niert werden kann PC Programme die fr her von CDs installiert wurden sind mittlerweile durch Apps ersetzt worden die meist nur noch durch eine dauerhafte Internet Anbindung funktionieren Und so werden auch Fernsehge r te in fr heren Zeiten Anschaffungen f r l ngere Zeiten und unterscheidbar haupts ch lich in der Bildschirmgr e durch interaktive und internetf hige Ger te ersetzt die mit dem Namen Smart TV den Kunden zum Kauf ani mieren sollen hnlich den Smartphones sind die nderun gen die sich bei Smart TVs im Vergleich zu normalen Fernsehger ten ergeben au eror dentlich Die Internetanbindung des Smart TV beschr nkt sich nicht nur auf einen Browser im T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 167 u Technischer Datenschutz und IT Sicherheit Fernseher der erst mit zuk nftigen Generatio nen praktikabel und benutzerfreundlich am TV selbs
320. rechtlicher Bestimmungen selbst zu pr fen Die tats chliche Vorlage der Entbindungserkl rung werde weder vom SGB X noch von anderen Gesetzen gefordert 120 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Wir mussten die anfragenden rzte darauf hinweisen dass wir diese rechtliche Einsch t zung nicht teilen sondern davon ausgehen dass auch bei einem Ersuchen des Versor gungsamts der Arzt die Verantwortung f r die Zul ssigkeit der Daten bermittlung tr gt Ins besondere setzen die vom Versorgungsamt zitierten Vorschriften wonach die Verantwor tung auf die anfragende Stelle bergeht vo raus dass die bermittlung durch einen Sozial leistungstr ger bzw durch eine ffentliche Stelle erfolgt auf eine bermittlung durch nicht ffentliche Stellen finden diese Vorschrif ten hingegen keine Anwendung Da die Ver antwortung nicht auf das Versorgungsamt bergeht ist der Arzt nicht von seiner Ver pflichtung entbunden die Einhaltung daten schutz und strafrechtlicher Bestimmungen selbst zu pr fen Dem Versorgungsamt ist zwar insofern zuzustimmen als das Vorliegen der Einwilligungserkl rung beim Versorgungsamt gen gt um den Arzt von seiner Schweige pflicht zu entbinden und ihm die bermittlung der betreffenden Daten zu erlauben Auch der Hinweis des Versorgungsamtes dass die tat s chliche Vorlage der Einwilligungserkl rung weder vom SGB X noch von anderen Gesetzen gefordert wird trif
321. reich Gespr che oder Tele fonate des Praxispersonals mith ren Patien tenakten werden oftmals vom Praxispersonal auf dem Empfangstresen oder im Behand lungszimmer f r den Arzt bereit gelegt oder vom Arzt nach der Behandlung dort abgelegt Patienten die sich gerade am Empfang anmel den k nnen dadurch Daten anderer Patienten leicht einsehen Gleiches gilt wenn Bildschirme von Praxisrechnern oder von medizinischen Ger ten so ausgerichtet sind dass ohne gr e re Schwierigkeiten ein Mitlesen durch Dritte erm glicht wird oder bei Abwesenheit von Mitarbeitern nicht gesperrt werden All diese Situationen bergen die Gefahr dass Dritte sen sible Patientendaten zur Kenntnis nehmen und dadurch gegen datenschutzrechtliche Vor schriften versto en wird Organisatorische Ver nderungen k nnen hier oft Abhilfe leisten ohne berm ig stark in den Praxisbetrieb einzugreifen Von zentraler Bedeutung f r ei nen zuverl ssigen Datenschutz in der Arztpra xis ist in jedem Fall die regelm ige Schulung und Sensibilisierung der Mitarbeiter f r die Erfordernisse eines datenschutzgerechten Um gangs mit Patientendaten Ein Punkt der h ufig bersehen wird ist die angemessene Sicherung von Backupmedien vor unbefugtem Zugriff Auch wenn Backup medien in einem gesonderten Schrank oder Raum verschlossen werden stellt dies allein im Falle eines Einbruchsdiebstahls keinen ausrei chenden Schutz der darauf befindlichen Daten dar Sind d
322. ressdaten der Unterst tzer des B rgerbegehrens dazu verwenden d rfen an die Unterst tzer Werbung f r den B rgerent scheid zu verschicken der durch das B rger begehren durchgesetzt worden ist Wir haben diese Frage bejaht Denn ein B rgerbegehren ist gerade darauf gerichtet ber das betreffen de Anliegen die Durchf hrung eines B rger entscheids durchzusetzen Daher wird man bei den Unterst tzern des B rgerbegehrens grunds tzlich annehmen d rfen dass sie ein Interesse haben dem mit dem B rgerbegehren verfolgten Anliegen zur Durchsetzung zu ver helfen hierzu dient gerade der B rgerent scheid Es kann daher davon ausgegangen werden dass bei diesen Personen keine ber wiegenden schutzw rdigen Interessen einer Nutzung ihrer Adressdaten zum Zweck der Werbung f r den B rgerentscheid entgegen stehen so dass die Nutzung insoweit nach 8 28 Abs 1 Satz 1 Nr 2 BDSG zul ssig ist Anders lag der Fall nun bei einer Eingabe die uns im Vorfeld der Kommunalwahlen 2014 erreichte In diesem Fall hatte es in einer Ge meinde in der Vergangenheit ein B rgerbe gehren gegeben das seinerzeit von einer B r gerinitiative initiiert worden war und in einen B rgerentscheid gem ndet hatte Parallel zu diesem B rgerentscheid schlossen sich einige der Initiatoren des B rgerbegehrens im Hin blick auf die anstehenden Kommunalwahlen 2014 zu einer W hlergruppe zusammen die einen Wahlvorschlag Kandidatenliste f r die Kommun
323. rfahren e Unzureichende oder berhaupt nicht vorhandene Vertr ge zu Auftragsdaten verarbeitung In Einzelf llen wurden im Nachgang hierzu noch Vor Ort Pr fungen durchgef hrt um nicht nur auf schriftliche Antworten und Unter lagen vertrauen zu m ssen sondern auch zu zeigen dass gemachte Angaben auch im Pra xisbetrieb berpr ft werden Das Ergebnis dieser aufsichtlichen Kontrolle im schriftlichen Verfahren hat insgesamt gezeigt dass solche Pr fungsaktionen eine geeignete M glichkeit sein k nnen um in k rzerer Zeit eine gr ere Zahl von Unternehmen Freiberuf lern Vereinen etc zu erreichen Wir planen deshalb f r die Zukunft weitere schriftliche Pr fungsaktionen durchzuf hren Die zuf llige Auswahl der in eine Pr fungsaktion einbezo genen Stellen wird dabei einerseits relevante Branchen mit umfangreicherer oder kritischer Verarbeitung personenbezogener Daten be treffen dar ber hinaus aber auch wieder die gesamte Breite der Wirtschaft erfassen Unser Hauptziel ist dabei stets durch Information und Beratung einen gesetzeskonformen Umgang mit den pers nlichen Daten z B von Mitarbei tern Kunden Mandanten Patienten usw so wie eine angemessene Datenschutz und Da tensicherheitsorganisation zu erreichen und folglich die Anzahl der Datenschutzbeschwer def lle und Datenpannen zu reduzieren 3 2 2 Online und Laborpr fungen Bereits seit 2012 k nnen wir Pr fungen zum Teil auch weitestgehend au
324. rgerbegehrens 82 13 Handel und Dienstleistung u00ss20s0ue0esnenssossnsnsnennenesnenensensnssnenennensnsnennensnnenennsnsnnsnssnenennennne 84 13 1 Offener E Mail Verteiler 22 2 2 2 22 22 2r Ran 85 13 2 Herausgabe von Gesellschafterlisten mit Kontaktdaten von Anlegern oft auf Grund gerichtlicher Entscheidung amp 2 2 4 amp 322232 20BRER LEER 85 13 3 Datenschutz rund um den Personalausweis uusesesensssennssssnnsssenunssennnssnnnnnssenenssenunssennnssennnnenen 86 13 3 1 Kopieren des Personalausweises h ufig unzul ssig usesseseeseenenssennssensseennnne 86 13 3 2 Kopieren des Personalausweises zur Erf llung von Anforderungen nach dem Geldw schegesetz 2 22 ar 13 3 3 Erheben der Seriennummer des Personalausweises durch Hotels 13 3 4 Hinterlegung des Personalausweises als Pfand uuussesennsseennsesennssennssennnnsennnne 89 6 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Inhaltsverzeichnis BE 13 4 Versendung von Kontodaten mit unverschl sselter E Mail bei Information zur Umstellung auf SEPA Verfahren a 4 A0ae ek 89 13 5 Fahrzeugvermietung bermittelt Name und Adresse des Mieters zwecks Einzugs norwegischer Mautforderungen uunsseseensssennssennsssennssssnnnnssenunssenunssennnnssnnenssenenssenunssennnsssannnee 90 13 6 Veraltete Eigent merdaten bei Energieversorgungsunternehmen uussenee
325. rliche Person muss der Verpflichtete zur Erf llung der Identi fizierungspflicht Name Geburtsort Geburtsda tum Staatsangeh rigkeit und Anschrift seines Vertragspartners erheben 4 Abs 3 Nr 1 GwG und aufzeichnen 8 8 Abs 1 Satz 1 GwG Das Gesetz erlaubt ausdr cklich diese Auf zeichnung durch Anfertigung einer Kopie des Ausweises vorzunehmen 8 Abs 1 Satz 3 GwG Die Aufzeichnungen d h ggf die Ausweiskopie d rfen ausdr cklich auch auf einem Bildtr ger oder sonstigen Datentr ger gespeichert werden 8 8 Abs 2 Satz 1 GwG Somit er ffnet 8 Abs 1 Satz 3 GwG die M g lichkeit den Personalausweis zu Zwecken der Dokumentation der Erf llung der Pflichten nach dem GwG zu kopieren und die Kopie aufzubewahren Da die Aufzeichnung der o g Daten jedoch nach dem Gesetzeswortlaut auch in anderer Form als durch Anfertigung einer Ausweiskopie z B durch Notieren der Daten m glich ist enth lt die Vorschrift anderer seits keine Pflicht den Ausweis als solchen zu kopieren Dies teilten wir auch den Immobili enmaklern mit die sich an uns gewandt hatten Die Verpflichtung zur Erhebung und Dokumen tierung bezieht sich auf die in 4 Abs 3 Nr 1 GwG genannten Daten nicht auf eine Ausweis kopie als solche Daher muss der Verpflichtete z B f r den Fall dass der Ausweisinhaber das Kopieren seines Personalausweises ablehnt die o g Daten aus dem vorgezeigten Ausweis einzeln erheben und notieren um s
326. rlichkeit scheitern d rfte 19 5 Attrappen von Videokameras sind keine optisch elektronischen Einrichtungen Der Einsatz von Kameraattrappen f llt nicht unter das Bundesdatenschutzge setz Sofern diese wie echte Kameras im datenschutzrechtlich zul ssigen Rahmen eingesetzt werden sehen wir keine Ver anlassung diesen Umstand den Betroffe nen mitzuteilen In einem Ladengesch ft wurden aufgrund vo rangegangener erheblicher Sachbesch digun gen im Schaufensterbereich Kameraattrappen installiert Ziel des Einsatzes der funktionslosen Ger te war es Jugendliche davor abzuschre cken das Schaufenster und die Fassade zu besch digen bzw zu verunreinigen Die At trappen waren von echten Videokameras kaum zu unterscheiden und vermittelten den Ein druck als w rde der gesamte Gehweg vor dem Laden gefilmt Ein Anwohner bat uns darum die datenschutzrechtliche Zul ssigkeit dieser Kameras zu pr fen Die Kameraattrappen die tats chlich funkti onslos und nicht nur ausgeschaltete funktions f hige Kameras sind haben wir folgenderma Ben beurteilt Das BDSG regelt in 6b unter welchen Voraus setzungen die Beobachtung ffentlich zug ng licher R ume mit optisch elektronischen Ein richtungen und damit eine Video berwachung zul ssig ist Attrappen sind keine optisch elektronischen Einrichtungen Es werden damit keine personenbezogenen Daten erhoben oder verarbeitet so dass das BDSG nicht anwendbar ist und wir als Date
327. rmiert dass nun auch Ban ken f r die EC Karten das von Stadion oder Veranstaltungskarten bekannte kontaktlose Bezahlverfahren mittels Near Field Communi cation Technologie NFC einf hren und ha ben sich daraufhin mit Fragen des Datenschut zes und der Datensicherheit f r diese neue Bezahlungsform befasst T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 73 BE Die Technik auf den EC Karten f r kontaktlose Geldkartenzahlungen per NFC unterscheidet sich von der bisherigen kontaktbehafteten EC Geldkarte nur durch die kontaktlose Auslese m glichkeit Bei einer Zahlung muss die EC Karte m glichst direkt an das Leseger t gehal ten werden funktioniert aber auch noch in einem Abstand von etwa drei bis vier Zentime tern Bei den auf dem Geldkartenteil gespeicherten Daten haben sich keine Ver nderungen erge ben Gespeichert sind insbesondere der noch verf gbare Restbetrag die letzten drei Auf ladevorg nge und die letzten f nfzehn Zah lungsvorg nge mit der Terminalnummer des H ndlers sowie Datum und Betrag des Kaufs Ohne aktive Aufladung der NFC f higen Geld karte k nnen aus der Karte neben dem Ju gendschutzmerkmal unter ber 18 Jahre we gen der Zigarettenautomaten und dem Kar tentyp kontogebundene Karte noch die Kar tennummern ausgelesen werden Nicht lesbar ist die Karte wenn sie der Kunde in einer Metall oder Alu Schutzh lle aufbe wahrt Eine solche gesch
328. rolle nach der Anlage zu 9 BDSG noch erf llen kann Nach Aufbau des Pr flabors haben wir im Be richtszeitraum bei 31 zuf llig ausgew hlten Apps bayerischer Unternehmen eine techni sche Pr fung mit den beschriebenen Ans tzen durchgef hrt Unter Ber cksichtigung der Er fahrungen die wir aus diesen Analysen ge wonnen hatten wurde unser technischer Pr f katalog der die aufsichtlichen Pr fungen struk turiert ablaufen l sst weiter verfeinert Bei M ngeln die einen Versto gegen die techni schen und organisatorischen Ma nahmen nach 9 BDSG samt Anlage darstellten wurde im Pr fungsfall ein aufsichtliches Verfahren gegen die Unternehmen er ffnet und eine Nachbes serung der App durchgesetzt Gepr fte Apps nach Themenfelder m Unternehmensdarstellung m Nachrichten amp Information m Gesundheit m Shops m Navigation m Soziale Kommunikation m Unterhaltung amp Tools Bei ca 70 der gepr ften Apps wurden M n gel unterschiedlicher Auspr gung festgestellt Beispiele hierf r sind e Ger te bzw Kartenkennungen wurden oftmals ohne Erfordernis und Einwilli gung bertragen e Standortdaten wurden unn tig h ufig und zu genau erfasst e Logging wurde sehr intensiv eingesetzt z T mit personenbezogenen Daten e Reichweitenmessungsverfahren wurden auch bei Apps mangelhaft eingesetzt e _Unverschl sselte bertragung der Zu gangsdaten ber HTTP e Mangelhafte L schung personenbe
329. rotz mehrmaligen Kontakts per Telefon und E Mail habe sich die Situation nicht ge ndert Seine Aufforderungen seine pers nlichen Daten aus der Datenbank zu l schen seien erfolglos geblieben Im Zuge unserer Sachverhaltsaufkl rung stellte sich die Situation wie folgt dar Der Eingabef hrer war als Eigent mer eines Hauses fr her Kunde eines Energieversorgers gewesen und hatte daher mit diesem seinerzeit einen Belieferungsvertrag ber Gas abge schlossen Dann verkaufte er das Haus und meldete sich bei dem Gasversorger ab Der neue Eigent mer w hlte einen anderen Ver sorger Die im Rahmen des Vertragsverh ltnis ses hinterlegten Daten des alten Eigent mers wurden im Datenbestand gesperrt Aufgrund der vom Gesetzgeber durch das Energiewirtschaftsgesetz 2005 vorgegebenen rechtlichen Trennung von Vertrieb und Netz bei Energieversorgungsunternehmen wurde der Eigent merwechsel nicht gesellschafts bergreifend und damit nicht automatisch auch im Datenbestand des Netzbetreiber Unternehmens umgesetzt Die Trennung in Netzbetreiberunternehmen und Vertriebsun ternehmen f hrte zu getrennten Datenbest n den Der Eingabef hrer hatte sich bei Verkauf des Hauses zwar bei seinem Versorgungsun ternehmen Vertriebsunternehmen abgemel det nicht jedoch auch beim Netzbetreiber Deshalb blieben seine Daten als in Wirklich keit nicht mehr aktueller Eigent mer des Ob jekts beim Netzbetreiber gespeichert K ndigt ein
330. rschl sselte und unknackbare Daten bertragung an den Server des Herstel lers festzustellen Durch eine Bewertung des bertragungsvolumens und einer Erh hung sowohl der Anzahl der Medien auf dem USB Stick als auch der L nge der Dateinamen konn te festgestellt werden dass die L nge der bertragung gleich blieb Dies legte die Ver mutung nahe dass Bedieninformationen z B USB Stick eingesteckt bertragen werden nicht aber die Inhalte des Mediums Durch die Befugnisse aus 38 BDSG ist es den Daten schutzaufsichtsbeh rden m glich beim Her steller die Testszenarien derart nachzustellen dass ein Einblick in die Verschl sselung inner halb eines Testaufbaus genommen werden kann Bei einem Besuch im Labor des Herstel lers dessen Smart TV Daten bertragungen nach Einstecken des USB Sticks gestartet hat wurde brigens ohne aufsichtliche Ma nah me die aufgrund der Unzust ndigkeit des BayLDA aufgrund des Bundeslandsitzes gar nicht m glich gewesen w re festgestellt dass die Vermutung richtig war dass lediglich Be nutzeraktionen USB Stick eingesteckt an die sen bertragen werden und keine Medienin halte Im Nachgang der technischen Pr fung werden die Ergebnisse als Basis f r eine rechtliche Be wertung dienen die im Fr hjahr 2015 begin nen wird Anhand dieser Bewertung k nnen dann die Datenschutzaufsichtsbeh rden in ihrem Zust ndigkeitsbereich die Einhaltung der Gesetze berwachen 22 12
331. rsonenbezogener Daten im Auftrag nach 8 11 BDSG Der Auftraggeber muss dabei jedoch trotzdem vertraglich ein Mindestma an Kontrolle und Weisungsbefugnis ber die Verarbeitung der verschl sselten Daten beim Dienstleister behal ten z B dass er ohne weiteres die Daten bzw Datentr ger vollst ndig zur ckfordern kann oder dass ein Subunternehmer Einsatz ausge schlossen ist Die Schutzwirkung einer Ver schl sselung h lt bekannterma en infolge steigender Rechnerleistungen nicht jahrelang an insoweit muss der Auftraggeber die tech nische Entwicklung im Auge behalten 5 3 Zusatzleistungen von Post unternehmen sind h ufig Auftragsdatenverarbeitung Zusatzdienste von Postunternehmen die ber die Transport und Zustellleistung hinausgehen erf llen h ufig den Tatbe stand einer nach 8 11 BDSG zu regelnden Auftragsdatenverarbeitung Postunternehmen bieten als zus tzlichen Ser vice f r ihre Kunden neben dem Postzustell Dienst inzwischen teilweise Zusatzleistungen wie zentrale Adressverwaltung oder Auf trags bersicht an die auf Kundenwunsch er bracht werden Solche Zusatzdienstleistungen im Kundenauf trag mit einer Verwendung personenbezoge ner Daten gehen ber die eigentliche Post dienstleistung nach dem Postgesetz und der Postdienstleistungsverordnung Transport Zustellleistung hinaus und sind datenschutz rechtlich gesondert zu beurteilen Die externe Auslagerung z B von Kundenad ressen an Postu
332. rund von mehreren Be schwerden bez glich des Kopierens von Perso nalausweisen bei verschiedenen Kfz H ndlern sahen wir uns veranlasst im Jahr 2014 bei Au toh ndlern eine gro fl chige Pr fung durchzu f hren Ziel dieser Pr fung war es in erster Linie kleine und mittelst ndische Unterneh men auf die Anforderungen des Datenschutzes hinzuweisen und f r erforderliche Daten schutzma nahmen in konkreten Anwendungs f llen zu sensibilisieren Insgesamt haben wir 107 Autoh user bayern weit nach dem Zufallsprinzip ausgew hlt Ne ben grunds tzlichen datenschutzrechtlichen Anforderungen lag unser Fokus hierbei auf dem Kopieren von Personalausweisen der Weitergabe personenbezogener Daten an Drit te z B an Autohersteller und IT Sicherheits ma nahmen im Bereich der Unternehmens Webseiten Im Ergebnis mussten wir feststellen dass im merhin rund 70 der Kfz H ndler Ausweisko pien anfertigten und ungef hr 50 der Unter nehmen personenbezogene Daten an Dritte weitergeleitet haben Kfz H ndler welche Ausweiskopien anfertig ten wurden von uns darauf hingewiesen dass das Kopieren von Personalausweisen soweit kein Gesetz dies ausdr cklich vorschreibt h u fig Bedenken begegnet da hier neben den Identifikationsdaten Name Adresse Geburts datum dar ber hinausgehende Daten wie Bild Unterschrift Ausweisnummer Staatsan geh rigkeit Gr e Augenfarbe etc erhoben werden die in der Regel f r die ange
333. rwachung Beobachtung ffentlich zug nglicher R ume mit optisch elektronischen Einrichtungen Vi deo berwachung f r private Stellen nur zul s sig soweit sie zur Wahrnehmung des Haus rechts oder berechtigter Interessen f r konkret festgelegte Zwecke erforderlich ist und keine Anhaltspunkte bestehen dass schutzw rdige Interessen der Betroffenen berwiegen Als berechtigtes Interesse kann hier sowohl die vom Betreiber angef hrte Wahrung des Haus rechts als auch die berwachung der betriebli chen Sicherheit gewertet werden Allerdings sehen wir die Speicherung und permanente zumindest f r die Dauer des Einsatzes der je weiligen Karte Nutzung eines Fotos nicht durch diese Vorschrift und auch nicht durch die Hinweise zur Video berwachung gedeckt Wir halten jedoch die Speicherung und Nut zung der Fotodaten zur Verhinderung von Missbrauch auf Grundlage des 8 28 Abs 1 Nr 2 BDSG unter bestimmten Voraussetzungen f r zul ssig Nach 28 Abs 1 Nr 2 BDSG ist eine Speicherung und Nutzung f r die Erf llung eigener Gesch ftszwecke zul ssig soweit es zur Wahrung berechtigter Interessen der ver antwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht dass das schutzw rdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nut zung berwiegt In der Bek mpfung von Missbrauch der Karten kann ein berechtigtes Interesse gesehen wer den Der Bildabgleich stellt ein praktikables Mi
334. s Der Obmann so die Eingabef hrerin habe sich einige Tage nach dem Wettkampf telefonisch an sie gewandt 132 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht und sie unter Vorspiegelung unzutreffender Tatsachen veranlasst ihm ihre beim Wett kampf erhaltene Leistungsurkunde per Fax zuzuleiten dies habe sie getan Nachtr glich habe sie festgestellt dass der Obmann keine Zust ndigkeit besessen habe die Urkunde von ihr anzufordern zudem habe er ihr gegen ber im Hinblick auf den Grund seines Ersuchens falsche Angaben gemacht Die Eingabef hrerin vertrat daher die Auffassung der Obmann habe unberechtigt personenbezogene Daten zu ihrer Person erhoben bzw sich die Daten sogar erschlichen Im Zuge unserer berpr fung konnten die von der Eingabef hrerin erhobenen Vorw rfe nicht best tigt werden vielmehr zeigte sich folgen der Sachverhalt Einige Tage nach dem Wettkampf hatte sich ein anderer Wettkampfteilnehmer mit einem Einspruch gegen den bei jenem Wettkampf agierenden Leistungsrichter an den Leistungs richterobmann gewandt Der Einspruchsf hrer hatte dabei den Vorwurf erhoben der Leis tungsrichter habe die Leistungsurkunde einer anderen Wettkampfteilnehmerin namentlich der Eingabef hrerin die sich sp ter an uns wenden sollte nachtr glich rechtswidrig ab ge ndert konkret die vergebene Punktzahl nachtr glich erh ht Wie unsere Pr fung ergab war der Leistungsrichterobman
335. s Emittenten direkt eingebundenen Finanzanlagevermittler ist nur mit Einwil ligung des Kunden zul ssig Ein Finanzanlagevermittler ist an uns herange treten und hat uns geschildert dass Finanzan lagevermittler nach 16 der Verordnung ber die Finanzanlagenvermittlung FinVermV um fangreiche Informationen ber ihre Kunden einholen m ssten anhand derer sie die Geeig netheit von Produkten f r den jeweiligen Kun den einsch tzen m ssten Nach 18 FinVermV muss der Vermittler ein Beratungsprotokoll anfertigen das die eingeholten Informationen des Kunden als Basis f r die Anlageempfeh lung enth lt und die Arbeit des Beraters do kumentiert Eine Abschrift des Protokolls ist dem Anleger zur Verf gung zu stellen Der Vermittler schilderte dass einige Emitten ten Antr ge nur noch unter der Bedingung annehmen dass ein firmeneigenes Protokoll unterschrieben vom Kunden entgegen 18 Abs 1 FinVermV beim Emittenten eingereicht wird Damit w rden jedoch Kundendaten vom Vermittler an den Emittenten weitergegeben die jedenfalls in diesem Umfang f r den Vertragsabschluss mit dem Emittenten nicht erforderlich sind Durch Zuleitung des Proto kolls an den Emittenten erf hrt dieser nicht nur das komplette Risikoprofil des Anlegers son dern auch dessen detaillierte Verm gensauf stellung unabh ngig von der H he der im konkreten Einzelfall get tigten Investition Nach unserem Verst ndnis dient das Bera tu
336. s ausdr cklich darauf hingewiesen werden dass eine STARTTLS Unterst tzung keinen Ersatz f r eine Ende zu Ende Verschl sselung darstellt die z B bei besonderen Arten perso nenbezogener Daten u a Gesundheitsdaten zwingend zus tzlich einzusetzen ist Werden personenbezogene Daten ber das TLS Protokoll ausgetauscht so handeln die beiden beteiligten Stellen einen kryptographi schen Schl ssel aus mit dem die Inhalte ver schl sselt werden Da bei Einsatz einer START TLS Verschl sselung kryptographische Verfah ren nach aktuellem Stand der Technik zu un terst tzen sind Anlage zu 9 BDSG muss der Schl sseltausch durch Verfahren erfolgen die Perfect Forward Secrecy unterst tzen Siehe Abschnitt 22 4 22 9 Die richtige Konfiguration von Perfect Forward Secrecy bei SSL TLS Ein weitverbreitetes Missverst ndnis von der Funktionsweise von Perfect Forward Secrecy f hrt zu einer Abschw chung der Verschl sselungsst rke oder gar zu ent schl sselbaren Verbindungen Eine vertrauliche bertragung von Inhalten ber das Internet ist ohne das SSL TLS Protokoll nicht vorstellbar Fast alle webbasier ten Dienste und viele Apps setzen dieses f r T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 165 IH Technischer Datenschutz und IT Sicherheit den Aufbau eines verschl sselten Transportka nals ein Die Sicherheit dieser Verbindungen h ngt von vielen Faktoren wie Verschl sse lu
337. s in keinem angemessenen Verh ltnis zu den sehr wenigen Anl ssen in denen die Aufzeichnungen einmal als Beweismittel ben tigt werden k nnten Unsere Beh rde verbot deshalb dem betref fenden Autofahrer den Einsatz der Dashcam durch Bescheid gegen den er Klage zum Ver waltungsgericht erhob Das Verwaltungsgericht Ansbach hob zwar den Bescheid aus formalen Gr nden auf best tigte aber inhaltlich unsere Auffassung Urteil vom 13 08 2014 Az AN 4 K 13 01634 gt gt gt http www vgh bayern de internet media vgans bach presse 13a01634u_1 pdf 19 2 Video berwachung in Gesch ften der M nchner Fu g ngerzone Wir haben die Zul ssigkeit der Video berwachung in zahlreichen Gesch ften T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 141 Zr Video berwachung in der M nchner Fu g ngerzone Kaufin gerstra e berpr ft und keine gravie renden Verst e festgestellt Im April 2013 wurden von einer M nchner Tageszeitung unter der berschrift Die Fu g nger berwachungszone zahlreiche Video berwachungskameras in der Kaufinger und Neuhauser Stra e der Fu g ngerzone M n chens unter die Lupe genommen und angege ben dass m gliche Verst e gegen das BDSG vorliegen w rden siehe Kapitel 3 4 10 Aufgrund dieses Berichts haben wir bei 27 Unternehmen die eingesetzte Video berwa chung dahingehend vor Ort berpr ft ob die Vorschriften zur Video berwachung von
338. sannsssanunssonnsssnnesssonenssennnssennnsssanen 17 2 5 Ohtenklichkeitsabeill use 17 3 Kontrollen und Pr fungen ns u s s220 nsns800n5650s0 nsennsensssnenssnsennsennsenesnsnnesninnsenstnnennsssrrnnesnnsnsednrenne 19 3 1 Pr fungsanlass uueseenmnnssennnssennnseennnssennnnssnnnnssnnnnennnnnenenenssennnssennnesnnnnssnnnnssnnnnennnnsssenenssenunssennnsssnnen 20 3 1 1 Anlassbezogene Pr fungen eenseennnseeennsesennnssennnssenunssennnnsennnnssnnnnssnnnnssnnnnnenenenssenenssennnssnnnnnen 20 3 1 2 Anlasslose Pr fungen unseseensseennssnnnnsesnnnsssennnssennnssenunssennnssennnnssennnssnnnnssnnnnnsnenenssenenssennnssennnnen 20 3 2 Pr fungsform ueseeseennseenensesenenssenunssennnssennnnssnnnnssnnnnsenennnenenunssenunssennnssnnnnssnnnnssnnnnennnnsssenenssennnssennnsssnnen 21 3 2 1 Schriftliche Pr fung eMs sinsiensinenininnninennniniianinnnnn iii 21 3 2 2 Online und Laborpr fungen uusseensssensssennnsssensssennnssennnssennnsssanunssenunssennnssennnnesenenssennnssennnsssnnnnee 22 3 2 3 Vor Ort Pr fungen fokussiert unneensensenseennseennseenssennssennsennnsennntensneennneensstennenenn 22 3 3 Pr fungsgr e unsseseensssenmmnsssensssennnssennnsssnnunssenunssennnsssnnnnssenenssennnssennnsssannnssenunssnnnnssnnesssenenssennnsssnnnsssanen 23 3 3 1 Einzelpr fungen u nsesenennsssennssennnsssnnnsssennnssenunssenunssennnssennnnssnnnnssnnnnssnnnnenannnssenenssenunssennnssennnssnnn 23 33
339. sch eine Alternative f r den Einsatz von herk mmlichen Cookies vorhan den die selbst bei Ablehnen und oder L schen von Cookies ein Tracking realisierbar macht Aus datenschutzrechtlicher Sicht ist das Erstel len von Nutzungsprofilen unter Pseudonym zu Zwecken der Werbung der Marktforschung oder zur bedarfsgerechten Gestaltung der Te lemedien in 15 Abs 3 TMG geregelt Das Erstellen eines pseudonymen Nutzungsprofils zu den genannten Zwecken ist jedoch nur er laubt wenn ein Nutzer einer solchen Nut zungsprofilbildung nicht widerspricht 15 Abs 3 Satz 1 TMG Auf seine Widerspruchs m glichkeit ist der Nutzer gem 15 Abs 3 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 57 Rz Datenschutz im Internet Satz 2 TMG im Rahmen der Datenschutzerkl rung gem 13 Abs 1 TMG ebenso wie auf das Verfahren an sich hinzuweisen 8 13 Abs 1 Satz 2 TMG Soweit bei den vorher genannten Ver fahren z B mangels Nutzungsprofilbildung unter Pseudonym oder aufgrund des verfolg ten Zwecks 8 15 Abs 3 TMG keine Anwendung findet bedarf es einer Einwilligung des Nut zers Nach unserer Erfahrung gestaltet sich die prak tische Umsetzung dieser gesetzlichen Anforde rung jedoch oftmals als nicht ausreichend Zwar ist eine Information theoretisch noch m glich scheitert jedoch h ufig an den Anfor derungen einer tats chlich transparenten und vor allem allgemein verst ndlichen Darstellung Dar ber
340. schung des Bil des aus der Bilderdatenbank des Fotounter nehmens aufgezeigt wird T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 63 BE Rechtsanw lte Rechtsanw lte 64 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 8 Rechtsanw lte Wir haben in der Vergangenheit sowohl anlassbezogen als auch im Rahmen an lassloser Pr faktivit ten Rechtsanwalts kanzleien datenschutzrechtlich berpr ft Aus aktuellem Anlass haben wir mit der Bundesrechtsanwaltskammer ein Ge spr ch ber die Reichweite unserer auf sichtlichen Befugnisse gef hrt und das Thema im D sseldorfer Kreis er rtert Ein Rechtsanwalt der von uns anlasslos gepr ft werden sollte hat sich unter Berufung auf sei ne anwaltliche Schweigepflicht nach 8 203 Abs 1 Nr 3 StGB 43a Abs 2 BRAO und 8 2 BORA geweigert uns die geforderten Ausk nfte ins besondere zur Gew hrleistung der Datensi cherheit zu erteilen und uns Zutritt zur Kanzlei zu gew hren Zudem hat er seine Bedenken der Bundesrechtsanwaltskammer BRAK vor getragen Vor diesem Hintergrund haben wir mit Vertretern der BRAK ein Gespr ch ber die Reichweite unserer aufsichtlichen Befugnisse nach 38 BDSG gegen ber Rechtsanw lten gef hrt Die Vertreter der BRAK betonten dass sich die Rechtsanw lte wegen ihrer gebotenen Staats ferne in einer besonderen Situation bef nden die nicht mit der anderer Berufsgeheimnistr ger z
341. schwieri gen Gesundheitszustandes einstellen zu k n nen Auch die Verschl sselung von Backup Sicherungsfestplatten ist mittlerweile mit dem AES 256 Algorithmus bei dem Unternehmen eingef hrt worden f r die entwendeten Da ten leider zu sp t T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 1 55 u Technischer Datenschutz und IT Sicherheit Technischer Datenschutz und IT Sicherheit 1 56 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Technischer Datenschutz und IT Sicherheit RZ 22 Technischer Datenschutz und IT Sicherheit 22 1 Technische Pr fung von Apps Mit Hilfe von Techniken aus dem Bereich der Schadcodeanalyse k nnen wir Apps gezielt analysieren so dass wir deren in ternes Verhalten ann hernd so verstehen wie der Entwickler der die App urspr ng lich programmiert hat Smartphones und Tablets sind mittlerweile Bestandteil des Alltags und haben eine feste Position bei der mobilen Nutzung von Interne taktivit ten eingenommen Immer mit dabei sind Apps mehr oder weniger kleine Anwen dungen die auf der einen Seite n tzliche Dienste f r den Anwender verrichten aus Da tenschutzsicht aber Risiken bedeuten da das Smartphone bei vielen Menschen der zentrale Sammelpunkt der digitalen Identit t geworden ist Durch den Zugriff auf den Standort die im Ger t gespeicherten Adressen und Termine Fotos und Videos sowie auf Dateien kann eine App di
342. sehen werden k nne Es ist zu hoffen dass die Entscheidung des EuGH einen Beitrag zur weiteren Kl rung der Frage leisten wird welche Rolle den Daten schutzaufsichtsbeh rden der Mitgliedstaaten jedenfalls unter dem Safe Harbor Regime im Zusammenhang mit der Frage von Datenzu griffen staatlicher US Stellen zukommt F r die praktische Arbeit der Datenschutzbeh rden w re eine weitere Kl rung von gro er Bedeu tung 108 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Besch ftigtendatenschutz Su 15 Besch ftigtendatenschutz T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 109 Ei Besch ftigtendatenschutz 15 Besch ftigtendatenschutz 15 1 Speicherdauer f r krankheits bedingte Fehlzeiten Ein Arbeitgeber darf die krankheitsbe dingten Fehlzeiten seiner Mitarbeiter grunds tzlich ein Jahr vorhalten falls in einem Jahr die Fehlzeiten allerdings mehr als sechs Wochen betrugen vier Jahre Wir erhielten eine Anfrage ob der Arbeitgeber berechtigt ist ber einen Zeitraum von zehn Jahren eine Liste mit den Krankheitstagen des Arbeitnehmers in der Personalakte zu f hren Das Vorhalten der krankheitsbedingen Fehlzei ten der Mitarbeiter in der Personalakte ist zu l ssig wenn dies f r die Durchf hrung des Besch ftigungsverh ltnisses erforderlich ist F r den Arbeitgeber k nnen die Fehlzeiten im Hinblick auf etwaige krankheitsbedingte K n digunge
343. sind damit einverstanden dass von meinem unserem Kind Name und Zu name Fotos welche im Rahmen des Projek tes bitte konkretisieren alternativ im Rahmen eines Projektes von Mitarbeitern der A Organisation gemacht wurden im In ternetauftritt unter bitte URL angeben ver ffentlicht werden Mir Uns ist bekannt dass ich wir diese Ein willigungserkl rung jederzeit mit Wirkung f r die Zukunft gegen ber der A Orga nisation bitte Kontaktdaten angeben an die ein Widerruf gerichtet werden kann wi derrufen kann k nnen Ort Datum Unterschrift en des der gesetzlichen Vertre ter s Daneben wiesen wir darauf hin dass bei der bermittlung von Fotos an andere Unterst t zungsorganisationen mit diesen klar vereinbart werden sollte zu welchem Zweck und f r wel che Dauer eine Ver ffentlichung der Fotos erfolgen soll kann und dass diese nach der bestimmten Frist gel scht werden m ssen Dar ber hinaus sollte bei der Einholung der Einwilligungserkl rung darauf geachtet wer den dass die Erkl rung sp ter einer konkreten Person zugeordnet werden kann auch bei unleserlicher Unterschrift M glich w re es T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 59 Ra Datenschutz im Internet noch eine Zeile einzuf gen bzw den Namen auf der Einwilligungserkl rung nochmals zu vermerken Dies ist insbesondere dann rele vant wenn eine Einwilligung widerrufen wird Damit dies
344. sondere den Straf tatbestand der Beleidigung verst t Die rechtlichen Ma st be f r die Bewertung der Zul ssigkeit von Meinungs u erungen sind daher grunds tzlich nicht dem Datenschutz recht zu entnehmen Ist eine Aussage danach von der Meinungsfreiheit gedeckt stellt sie keinen datenschutzrechtlichen Versto dar Die Verantwortung f r den Inhalt und die Form zwischenmenschlicher Kommunikation liegt bei der Person die die u erung t tigt Bei Tatsachenbehauptungen kann freilich eine unzul ssige bermittlung personenbezogener Daten vorliegen wenn der bermittelnde dem Empf nger eine Mitteilung ber einen Dritten macht und diese Mitteilung im Einzelfall weder aufgrund Einwilligung des Dritten noch auf grund einer Rechtsvorschrift zul ssig ist Sehr h ufig h ngt die datenschutzrechtliche Beur teilung von einer Interessenabw gung im kon kreten Einzelfall ab so dass sich pauschale Aussagen er brigen Was Tatsachenbehaup tungen im Rahmen von Kommunikation unter Vereinsmitgliedern angeht wird man ber ck sichtigen m ssen dass unter Umst nden alle Mitglieder ein Interesse an bestimmten Infor mationen haben k nnen die zumindest auch Vereinsangelegenheiten betreffen auch wenn eine solche Mitteilung auch Tatsachbehaup tungen ber andere Vereinsmitglieder enth lt Die datenschutzrechtliche Zul ssigkeit solcher Mitteilungen kann jedoch letztlich nur im Ein zelfall beurteilt werden 17 4 Ver ffen
345. stel lung auf das sog SEPA Verfahren im unbaren Zahlungsverkehr h uften sich solche Vorf lle sei es dass ein Hausverwalter einer Woh nungseigent mergemeinschaft eine E Mail mit den Bankverbindungsdaten von Wohnungsei gent mern zur berpr fung der Daten und R ckmeldung versandte oder dass ein Online shop oder ein Internet Domainbetreiber seine jeweiligen Kunden per E Mail ber die SEPA Umstellung informieren wollte und dabei die Bankverbindungsdaten im Klartext zur ber pr fung versandte Nach 8 9 BDSG einschlie lich Anlage hat eine Stelle die selbst oder im Auftrag personenbe zogene Daten erhebt verarbeitet oder nutzt die technischen und organisatorischen Ma nahmen zu treffen die erforderlich sind um die Ausf hrung der Vorschriften des BDSG und insbesondere der in der Anlage zu 9 BDSG dazu genannten Anforderungen zu gew hrleis ten Dazu geh rt u a personenbezogene Da ten so weit wie m glich vor unberechtigten Zugriffen Dritter zu sch tzen vgl Satz 2 Nr 4 der Anlage zu 9 BDSG Bei der bertragung von personenbezogenen Daten per unver schl sselter E Mail handelt es sich um ein unsi cheres Verfahren da an jedem an der Internet kommunikation beteiligten Knotenpunkt die Inhalte einer E Mail gelesen werden k nnen Zudem werden E Mails sowohl beim E Mail Provider des Absenders als auch des Empf n gers im Klartext gespeichert Damit k nnen s mtliche Daten welche auf diesem Weg ver sende
346. stleistung Der BGH hat in den vorgenannten Urteilen zur Begr ndung ausgef hrt dass bei einem Gesell schaftsvertrag einer Personengesellschaft bzw Personenhandelsgesellschaft das Recht seine Vertragspartner zu kennen ein grundlegendes Recht darstellt Dieses folgt als unentziehbares mitgliedschaftliches Recht aus dem durch den Gesellschaftsvertrag zwischen den Gesellschaf tern begr ndeten Vertragsverh ltnis als sol chem Der BGH hat ein sch tzenswertes Ge heimhaltungsinteresse der Mitgesellschafter untereinander im Hinblick auf ihre jeweilige Identit t und ihre Beteiligungsverh ltnisse grunds tzlich verneint Das Auskunftsbegehren eines Gesellschafters auf Mitteilung der Namen und Anschriften der Mitgesellschafter ist nur durch das Verbot der unzul ssigen Rechtsaus bung nach 8 242 BGB und das Schikaneverbot gem 8 226 BGB begrenzt Im Berichtszeitraum erreichten uns mehrere Anfragen von Publikums KGs die von einzel nen Gesellschaftern zur Nennung von Namen und Adressdaten aller Mitgesellschafter aufge fordert worden waren Angesichts der o g Rechtsprechung teilten wir in solchen F llen regelm ig mit dass die Herausgabe dieser Daten an den einzelnen Gesellschafter grund s tzlich keinen datenschutzrechtlichen Versto darstellt 13 3 Datenschutz rund um den Personalausweis Zahlreiche an uns gerichtete Eingaben betrafen datenschutzrechtliche Fragen zum Personal ausweis Dabei ging es meist um das Kopier
347. strebten Zwecke nicht erforderlich sind Als Alternative wurde unsererseits vorgeschlagen lediglich die notwendigen Identifikationsdaten aus den Ausweispapieren h ndisch abzuschreiben oder beim Kopieren z B mit Schablonen zu arbei ten die alle nicht erforderlichen Daten abde cken Bei den festgestellten Daten bermittlungen an Dritte haben wir die betroffenen Autoh user ber die denkbaren Rechtsgrundlagen z B Einverst ndniserkl rung informiert und auf die Kontrollen und Pr fungen Umsetzung der gesetzlichen Anforderungen hingewirkt Im Bereich der IT Sicherheit haben wir mehrere gravierende M ngel entdeckt So hatten zwar zahlreiche Kfz H ndler eigene Webseiten mit der M glichkeit gezielt personenbezogene Daten der Webseitenbesucher in Formularen zu erfassen z B bei Interesse an einem Wagen aus der Fahrzeugb rse jedoch besa en ledig lich zwei H ndler die daf r erforderliche HTTPS Verschl sselung Auch unterst tzten die eingesetzten Mailserver nur bedingt die von uns geforderten Einstellungen zu STARTTLS und PFS Dar ber hinaus setzten einige Auto h user auch Werkzeuge zur Reichweitenmes sung in einer unzul ssigen Art und Weise ein so dass wir auch dort auf Nachbesserungen hinwirken mussten 65 Zusammenfassend k nnen wir festhalten dass die grundlegenden datenschutzrechtlichen Vorgaben im Allgemeinen bei den Autoh u sern meist eingehalten werden jedoch insbe sondere im Bereich
348. t dass die Fotos ihrer Tochter offenbar f r die Dauer eines Jahres im geschlossenen Bereich des Internetauftritts des Fotounternehmens gespeichert und f r Nachbestellungen vorge halten werden Hierf r h tten sie keine Einwilli gung erteilt und eine Nachbestellung von Fo tos k nnten sie bereits zum jetzigen Zeitpunkt definitiv ausschlie en Der Beschwerde der Eltern konnte dadurch abgeholfen werden dass sich das Fotounter nehmen dazu bereit erkl rt hat eine L schung der Bilder aus der Datenbank vorzunehmen Dennoch war dieser Eingabefall Anlass f r uns die allgemeine Verfahrenspraxis des Unter nehmens aus datenschutzrechtlicher Sicht n her zu beleuchten Der grunds tzliche Ablauf einer Fotoaktion in einem Kindergarten wurde uns stichpunktartig wie folgt dargestellt wobei wir davon ausge hen dass sich dieser Ablauf auch bei der T tig keit vieler anderer Fotounternehmen wieder finden lassen d rfte e Das Fotounternehmen stimmt mit der Kindergartenleitung die Durchf hrung einer Fotoaktion ab und legt die kon kreten Termine fest e Die Kindergartenleitung informiert die Eltern der Kinder ber die Durchf h rung der Fotoaktion durch Aush nge und oder Verteilung entsprechender In formationszettel wobei auf die Freiwil ligkeit der Teilnahme hingewiesen wird e Beim Fototermin werden nur die Kinder der Eltern die dies w nschen fotogra fiert Das Fotounternehmen erhebt im Rahmen der Erstellung der Fo
349. t bedienbar sein wird sondern erweitert das klassische Fernsehprogramm um sog Mehrwertdienste die unter dem Standardisie rungsnamen HbbTV Hybrid Broadcast Broad band TV gel ufig sind Das lineare Fernseh Signal wird hierbei um einen internetbasierten R ckkanal erweitert Zunehmend bekannt wer den dar ber hinaus personalisierte Dienste wie z B ein elektronischer Programmf hrer EPG die dem Fernsehnutzer diejenigen Fernsehsen dungen vorschlagen die zumindest anhand eines maschinell erstellten und ausgewerteten Nutzungsprofils dem Betrachter wohl am besten gefallen k nnten Auch Apps die zum Teil auf den Ger ten vorinstalliert sind k nnen auf dem TV geladen bzw ausgef hrt werden und machen diese zum Informations Spiele und Medienmittelpunkt einer jeden Wohnung Nachdem wir im Jahr 2013 die Smartphone App Pr fungen als einen unserer Schwerpunk te durchgef hrt hatten sollten im Jahr 2014 die Smart TV Ger te datenschutzrechtlich er hellt werden Die genannte neue technologi sche Entwicklung ist aus Datenschutzsicht mit vielen Fragestellungen verbunden die zeitnah abgekl rt werden m ssen Vor einer rechtli chen Kl rung stellte sich uns zuerst die Frage was die Smart TV Ger te hinsichtlich der tech nischen Daten bertragungen tats chlich ma chen und wie dies verl sslich festgestellt wer den kann Im Vergleich zu Smartphones bei denen es aktive Communities gibt und tech nisch interessiert
350. t einer E Mail Adresse auf einer Homepage z B bei den Pflichtangaben im Impressum kann nicht als Einwilligung in eine Zusendung von E Mail Werbung gewertet werden siehe hierzu auch den BGH Beschluss vom 10 12 2009 Az I ZR 201 07 12 3 Politische Wahlwerbung 12 3 1 Unzul ssige Wahlwerbung durch Vereine Vereine m ssen der Versuchung wider stehen die Kontaktdaten ihrer Mitglieder zum Zweck der Versendung politischer Wahlwerbung zu nutzen oder an Au en stehende zu bermitteln Im Vorfeld der bayerischen Kommunalwahlen 2014 erreichte uns wie inzwischen regelm Big vor politischen Wahlen insbesondere Kommunalwahlen eine erhebliche Anzahl von Beschwerden im Zusammenhang mit der Ver sendung politischer Wahlwerbeschreiben per Post oder per E Mail Mehrere Beschwerden richteten sich gegen Vorstandsmitglieder von Vereinen die sich gleichzeitig im Rahmen der Kommunalwahlen f r politische mter bewar ben Funktionstr ger in Vereinen verf gen h ufig aufgrund ihrer spezifischen Vereinsfunk tion ber Adressdaten von Vereinsmitgliedern So verschickte ein solcher Funktionstr ger der bei einer Wahl zum Stadtrat kandidierte ein Wahlwerbeschreiben an zahlreiche Vereinsmit glieder und warb darin f r seine Wahl mit dem 80 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Argument er werde im Stadtrat den Interessen des Vereins Geh r verschaffen Datenschutz rechtlich stellt dies eine
351. t einverstanden dass Fotos welche im Rahmen des Projektes XY bitte konkretisieren alternativ im Rahmen eines Projektes von Mitarbeitern der A Orga nisation gemacht werden und auf denen ich abgebildet bin an die B Organisation bitte Name der Unterst tzungsorganisation ein tragen weitergegeben und von dieser im In ternet auf ihrer Webseite unter bitte URL angeben f r die Dauer von soweit der Zeitraum der Ver ffentlichung bekannt ist diesen bitte angeben ver ffentlicht werden Die Ver ffentlichung auf den Webseiten der Unterst tzerorganisation erfolgt um die T tigkeit und das Engagement der A Orga nisation einem gr eren Personenkreis be kannt zu machen Mir ist bekannt dass im Internet ver ffentlichte Fotos weltweit ab Datenschutz im Internet Epa rufbar sind und eine Weiterverwendung die ser Fotos durch Dritte nicht generell ausge schlossen werden kann Die von mir erteilte Einwilligungserkl rung kann ich jederzeit mit Wirkung f r die Zukunft gegen ber der A Organisation bitte Kontaktdaten ange ben an die ein Widerruf gerichtet werden kann widerrufen Ort Datum Unterschrift der abgebildeten Person Soweit eine Einsichtsf higkeit der abgebildeten Person nicht anzunehmen ist schlugen wir folgende Erg nzung f r die gesetzliche Vertre tung vor lch Wir Name und Zuname des der gesetzlichen Vertreter s habe n den oben aufgef hrten Text zur Kenntnis genommen und bin
352. t werden von potentiell Unbefugten gelesen werden T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 89 u Handel und Dienstleistung Nach 9 Satz 2 BDSG sind technische und organisatorische Ma nahmen nur erforderlich wenn ihr Aufwand in einem angemessenen Verh ltnis zu dem angestrebten Schutzzweck steht Es kommt also auch immer darauf an welche personenbezogenen Daten in der E Mail enthalten sind Da es sich gerade bei Bankdaten um missbrauchsanf llige und daher eher sensible Daten handelt m ssen diese entweder per verschl sselter E Mail Inhaltsver schl sselung zum Beispiel mit PGP oder S MIME oder aber per Post im verschlossenen Umschlag zugesandt werden um einen ange messenen Schutz zu gew hrleisten Darauf haben wir die betreffenden Unternehmen nachdr cklich hingewiesen 13 5 Fahrzeugvermietung ber mittelt Name und Adresse des Mieters zwecks Einzugs nor wegischer Mautforderungen Das Interesse des Fahrzeugvermieters nicht auf Mautforderungen sitzen zu bleiben berwiegt gegen ber dem Anonymit tsinteresse des Fahrzeugmie ters Eine Fahrzeugvermietung bermittelte Name und Adresse eines Fahrzeugmieters an eine britische Dienstleistungsgesellschaft die mit dem Einzug von norwegischen Mautgeb hren forderungen betraut ist Der Mieter monierte dass die bermittlung nicht erforderlich gewe sen sei er argumentierte dass die Mietwagen firma stattdessen die M glich
353. ten Spear Phishing Attacken beinhalten sehr pers nliche Bestandteile und sollen einen Anwender durch den pers nlichen Charakter der Anfrage z B die eines Freundes in einem sozialen Netz werk dazu bringen seine Daten in gef lschte Webseiten einzugeben oder einen E Mail Anhang zu ffnen der wiederum mit Schadcode infiziert ist Insider Informationen zum potentiellen Opfer werden vorher gezielt und sorgf ltig aus dessen sozialem Umfeld im Web recherchiert aus Blogs Webseiten Ar beitgeber Stammt eine Hinweisquelle oder ein Link in einer Email oder auf einer Webseite von einem vermeintlichen Bekannten hinter 172 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht fragen Nutzer deutlich seltener den Wahr heitsgehalt des angebotenen Inhalts Bei Malware sehen wir als besonders proble matisch die Entwicklung der vergangenen Jah re an Hierbei ist festzustellen dass Antivi rensoftware Schadcode zu h ufig noch nicht erkennt bzw erkennen kann und damit die sch dlichen Trojaner Viren oder W rmer auf einem Rechner des Nutzers installiert werden k nnen Diese Entwicklung wird sich zuk nftig stark in den Anforderungen an die IT Sicherheit nach 9 BDSG widerspiegeln indem mittlerweile davon ausgegangen werden muss dass einzelne Arbeitsplatzrechner nicht andau ernd gegen Schadcode gesch tzt werden k n nen Basierend auf dieser Annahme gewinnen technische und organisatorische Ma na
354. teresse des Versi cherungsnehmers das Interesse der versicher ten Person an der Auskunftserteilung ber wiegt weder eine Pflicht noch eine Befugnis der Versicherung zur Auskunftserteilung Entsprechendes gilt f r den umgekehrten Fall dass der Versicherungsnehmer Auskunft ber Daten verlangt die sich zugleich auf die versi cherte Person beziehen 9 3 2 Versand von Leistungs abrechnungen bei Versicherung f r fremde Rechnung In einem uns zur Pr fung vorgelegten Fall zahl te ein Versicherungsnehmer zwar weiterhin den Versicherungsbeitrag f r seine von ihm getrennt lebende Ehefrau hatte sie aber schriftlich mittels Vollmacht abweichend als empfangsberechtigte Person f r Versiche rungsleistungen bestimmt Dennoch erhielt der Ehemann als Versicherungsnehmer Leistungs abrechnungen die seine Frau betrafen Die Versicherung sah darin keinen Versto gegen datenschutzrechtliche Vorschriften da ihrer Auffassung nach der Versicherungsnehmer auch bei abweichender Auszahlungsbestim mung anspruchsberechtigt bleibe und daher die Leistungsabrechnungen an ihn versandt werden k nnten Diese Einsch tzung teilten wir nicht Denn nach 194 Abs 3 Satz 1 des Versicherungsvertrags gesetzes VVG kann bei einer Versicherung f r fremde Rechnung ausschlie lich die versicherte Person die Versicherungsleistung verlangen wenn der Versicherungsnehmer sie gegen ber der Versicherung in Textform als Empfangsbe rechtigten der Versicherun
355. tes straf rechtliches Ermittlungsverfahren ein h lt sie es jedoch f r denkbar dass der Sachverhalt eine datenschutzrechtliche Ordnungswidrigkeit nach 8 43 BDSG oder 8 16 Abs 2 Nr 2 bis 5 TMG darstellt so gibt sie die Akte an die zu st ndige Bu geldbeh rde ab Liegt in einem solchen Fall nach unserer Bewertung ein An fangsverdacht auf eine Ordnungswidrigkeit vor und erscheint die Notwendigkeit einer Ahn dung mit Geldbu e jedenfalls nicht von vorn herein ausgeschlossen so wird von uns ein Bu geldverfahren er ffnet Die erhebliche An zahl an Akten die wir auf diese Weise von Staatsanwaltschaften zur Bearbeitung erhalten haben belegt dass datenschutzrechtliche Ver st e auch bei den Staatsanwaltschaften mehr und mehr im Blickfeld stehen Neben Sachverhalten die uns von den Staats anwaltschaften vorgelegt wurden haben wir auch in F llen die wir zun chst selbst in unse rer Eigenschaft als Datenschutzaufsichtsbeh r de bearbeitet haben Bu geldverfahren er ff net sofern sich ein Anfangsverdacht auf einen Versto gegen eine bu geldbewehrte Vor schrift ergab und die Verfolgung und Ahndung mit Geldbu e im jeweiligen Fall berwiegend angezeigt erschien Schlie lich gab es auch F lle in denen Perso nen direkt uns gegen ber erkl rten eine Ord nungswidrigkeitenanzeige wegen eines be Bu geldverfahren stimmten Sachverhalts erstatten zu wollen In derartigen F llen war und ist es stets notwen
356. tienten An gaben ber ihre Person unter Umst nden auch ber ihre Krankenversicherung oder ihren Ge sundheitszustand machen und ggf zur Konkre tisierung ihrer Anfrage auch Fotos hochladen k nnen rzte weisen in diesem Zusammen hang oft darauf hin dass Patienten zunehmend einen solchen Service erwarten um ortsunab h ngig und flexibel die ben tigten Ausk nfte zu erhalten In vielen F llen werden dabei aber die datenschutzrechtlichen Anforderungen untersch tzt die bei der Umsetzung solcher Serviceangebote zu beachten sind In jedem Fall bedarf es zur Sicherung des Transportwegs einer SSL TLS Verschl sselung sowie des Ein satzes von Perfect Forward Secrecy um auch ein nachtr gliches Entschl sseln zu erschweren Dabei handelt es sich jedoch nur um Mindest ma nahmen die bei Arztpraxen angesichts des hohen Schutzbedarfs der betroffenen Daten in der Regel nicht ausreichen um einen ange messenen Schutz der Daten zu gew hrleisten Soweit Arztpraxen Web Formulare oder Apps einsetzen wollen ist daher eine sorgf ltige Pr fung im Einzelfall erforderlich welche Ma nahmen ergriffen werden m ssen um die da tenschutzrechtlichen Vorgaben insbesondere die in der Anlage zu 8 9 Satz 1 BDSG genann ten Anforderungen zu erf llen Bei der Kom munikation per E Mail kann hierf r neben der ohnehin erforderlichen Transportverschl sse lung s o beispielsweise eine Ende zu Ende Gesundheit und Soziales Verschl sselung
357. tion e Vermietung und Wohneigentum T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 11 FF Allgemeiner berblick ber die T tigkeit des BayLDA Allgemeiner berblick ber die T tigkeit des BayLDA 12 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Allgemeiner berblick ber die T tigkeit des BayLDA 2 Allgemeiner berblick ber die T tigkeit des BayLDA 2 1 Statistik Die Anzahl der bei uns eingegangenen Be schwerden ist im Vergleich zu den fr heren Jahren deutlich gestiegen aber nicht in einem ungew hnlichen Ausma 2013 2014 Beschwerden 925 953 Beratungen B rger 799 991 Beratungen Unternehmen 1733 1821 Bu geldverfahren 53 64 Erkennbar ist dass das Bed rfnis an Beratung sowohl f r Unternehmen als auch Privatperso nen nach wie vor sehr ausgepr gt ist Selbst wenn dies gelegentlich zu einer grenzwertigen Belastungssituation bei den Mitarbeiterinnen und Mitarbeitern f hrt betrachten wir diesen anhaltenden Trend als grunds tzlich positiv weil wir ihn f r uns so verstehen dass diejeni gen die um Beratung nachsuchen das Ziel haben sich dar ber zu informieren wie sie sich gesetzeskonform verhalten k nnen Nicht bei allen Eingaben l sst sich zu Beginn eindeutig feststellen ob es sich um eine Be schwerde oder eine Beratungsanfrage handelt da sich bei manchen Beschwerden erst im Lauf des Verfahrens herausstellt dass sie lediglich
358. tlichung von Kontaktdaten von Vereins mitgliedern gegen ber anderen Vereinsmitgliedern Ob ein Verein bestimmte Kontaktdaten der Mitglieder allen anderen Mitgliedern zur Kenntnis geben darf richtet sich nach dem Einzelfall Ma geblich ist vor allem der satzungsm ige Vereinszweck Die Mitglieder eines Vereins sind im Verh ltnis zueinander Dritte so dass eine Bekanntgabe von Kontaktdaten eines Vereinsmitglieds an andere Vereinsmitglieder datenschutzrechtlich eine bermittlung personenbezogener Daten ist Im Berichtszeitraum erreichten uns mehrere Eingaben von Vereinsmitgliedern die mit der Bekanntgabe bestimmter ihrer personenbezo genen Daten durch den Verein an andere Mit glieder nicht einverstanden waren Ein Mitglied in einem Luftsportverein be schwerte sich bei uns dar ber dass der Verein in einer Datenbank die Telefonnummern aller 130 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht aktiven Vereinsmitglieder Piloten hinterlegt hatte Jedes aktive Mitglied hatte darauf Zu griff Der Verein begr ndete dies damit dass andere Piloten die M glichkeit haben sollten f r den Fall etwaiger im sog Bordbuch einzu tragender technischer Vorkommnisse bei Be darf telefonisch kurzfristig erg nzende Fragen an das Mitglied zu stellen das die Eintragung vorgenommen hat Dies sei im Interesse der Sicherheit erforderlich Zudem sollen bestimm te f r die Flugleitung verantwortliche Person
359. tomatisiert in unserem technischen Pr flabor durchf hren Diese dort stattfindenden Kontrollen zeichnen sich dadurch aus dass wir im Vorfeld und w h rend der Durchf hrung dieser Pr fungen kei nen direkten Kontakt zu den verantwortlichen Stellen haben sondern erst dann auf diese zugehen wenn die in erster Linie technische Pr fung abgeschlossen ist und wir insbesonde re Datenschutzverst e als Ergebnis der Kon trolle festgestellt haben So ist es uns m glich einerseits Ger te an sich wie z B Smartpho nes Tablets Spielekonsolen oder Smart TVs zu untersuchen anderseits auch Datenfl sse der darauf laufenden Software z B Apps Be triebssysteme zu begutachten Ebenso kann aus dem Labor heraus eine herk mmliche On linepr fung von Internetangeboten bez glich festgelegter Kriterien z B bei Reichweiten messung oder Transportverschl sselung au tomatisiert durchgef hrt werden Bei den Laborpr fungen einzelner Ger te geht es uns hierbei insbesondere darum zu erken nen welche Daten bei der Nutzung des jewei ligen Ger tes zu welchem Zweck erhoben und an wen sie bermittelt werden sowie heraus zufinden welche M glichkeit der Nutzer hat diese Datenfl sse zu erkennen und darauf Ein fluss zu nehmen 3 2 3 Vor Ort Pr fungen fokussiert Erstmals im Jahr 2013 haben wir vor Ort auch fokussierte Pr fungen durchgef hrt Fokussiert nennen wir die Pr fung deshalb weil wir die Pr fung auf in der
360. tos keine personenbezogenen Daten zur Person 62 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht des fotografierten Kindes bzw dessen Eltern e ber die Kindergartenleitung werden den Eltern die Bilder ihres Kindes durch Aush ndigung einer Fotomappe zum Kauf angeboten Die Fotomappe enth lt einen individualisierten Zugangscode und ein Passwort mit deren Hilfe Eltern zu Nachbestellzwecken auf einen ge schlossenen Bereich des Internetauf tritts des Fotounternehmens und die dortigen Fotos des einzelnen Kindes zugreifen k nnen Die Bilder des Kindes bleiben dort f r die Dauer eines Kin dergartenjahres gespeichert e Fotomappen die nicht gekauft werden werden dem Kindergarten zur ckgege ben vom Fotounternehmen dort abge holt und datenschutzgerecht vernichtet Auf schriftlichen Wunsch der Eltern ei nes fotografierten Kindes werden die Fotos aus der Bilddatenbank im Inter netauftritt des Fotounternehmens ge l scht Zu ber cksichtigen ist hierbei dass ein Ver tragsschluss ber die Abnahme von Fotos zwi schen dem Fotounternehmen und den Eltern des fotografierten Kindes zustande kommt Zwar mag dem Kindergarten eine vermittelnde Rolle dadurch zukommen dass er die Eltern vorab ber eine bevorstehende Fotoaktion informiert und die Aush ndigung der Foto mappen bernimmt Vertragspartner sind aber das Fotounternehmen und die jeweiligen El tern Wird der Umgang mit den personenbezogen
361. tragsdatenverarbeitung einzustufen sind Dazu geh ren jedenfalls in der Regel verschiedene Formen von Cloud Computing Zu derartigen Unternehmensgruppen geh rt h ufig eine Vielzahl einzelner konzernangeh riger Gesellschaften von denen nicht selten einige ihren Sitz in Drittstaaten ohne angemes senes Datenschutzniveau haben In solchen F llen werden die Auftragsdatenverarbei tungsdienste somit auf mehrere einzelne Un ternehmen desselben Konzerns aufgeteilt Als Folgen hiervon sind dann zahlreiche Transfers der im Auftrag verarbeiteten Daten unter den konzernangeh rigen Gesellschaften derartiger Auftragsdatenverarbeitungskonzerne ADV Konzerne vorgesehen darunter auch an Kon zerngesellschaften in Drittstaaten Dies kann bereits der Fall sein wenn Support Dienste oder andere Dienstleistungen der Wartung und Pflege von Datenverarbeitungssystemen er bracht werden und hierbei unterschiedliche Gesellschaften einer Unternehmensgruppe die diese Leistungen anbietet involviert sind F r solche ADV Konzerne k nnen BCR P ein praxistaugliches Instrument sein Werden n m lich in dieser Weise zahlreiche einzelne Gesell schaften des ADV Konzerns in die Verarbei tung involviert m sste der jeweilige potentielle Auftraggeber an sich grunds tzlich mit jeder einzelnen dieser Gesellschaften einen schriftli chen Auftrag nach 8 11 BDSG und sofern die Verarbeitung in einem unsicheren Drittstaat erfolgen
362. triebliche Datenschutzbeauftragte 4 Der betriebliche Datenschutzbeauftragte 4 1 Auditierung der Arbeit des Datenschutzbeauftragten Eine Auditierung der DSB T tigkeit ist nur in allgemeiner Form m glich Anl sslich von Auditierungsverfahren durch externe Pr fer eines Unternehmens haben sich Datenschutzbeauftragte an uns mit der Frage gewandt ob sie sich in ihrem Aufgabenbereich als betriebliche Datenschutzbeauftragte sol chen Audits uneingeschr nkt unterziehen las sen m ssen Aufgrund der besonderen Rechtsstellung eines Datenschutzbeauftragten nach 8 Af BDSG ins besondere der weisungsfreien Aus bung der Fachkunde auf dem Gebiet des Datenschutzes gem 8 Af Abs 3 Satz 2 BDSG und der beson deren Verschwiegenheitspflichtt gem 8 4f Abs 4 BDSG ist eine Auditierung der T tigkeit eines Datenschutzbeauftragten nach unserer Auffassung nur in allgemeiner Form und unter Ber cksichtigung der besonderen Rechtsstel lung des Datenschutzbeauftragten m glich So muss z B die M glichkeit einer inhaltlichen Kenntnisnahme von den beim Datenschutzbe auftragten anh ngigen oder bearbeiteten Ein gaben und Beschwerden ausgeschlossen sein 4 2 Keine Meldepflicht f r die Bestellung eines Datenschutz beauftragten Das BDSG regelt f r die verantwortliche Stelle keine Mitteilungs Ver ffentli chungs oder Meldepflicht zur Person des Datenschutzbeauftragten Des fteren beschweren sich unzufriedene Kunden oder per Werb
363. tsprechend im Berichtszeitraum zu einem deutlich erh hten Arbeitsanfall in diesem Bereich bei den Daten schutzaufsichtsbeh rden der EU Mitglied staaten und gerade auch beim BayLDA gef hrt Es ist zu erwarten dass sich diese Entwicklung hnlich fortsetzen und ggf noch verst rken wird Durch die Einf hrung eines Verfahrens der sog Gegenseitigen Anerkennung mutual recognition N heres dazu auf der Homepage der EU Kommission haben die Datenschutz beh rden der meisten Mitgliedstaaten bereits vor einigen Jahren einen ma geblichen Beitrag f r eine Beschleunigung der Pr fung von BCR Unterlagen geleistet gt gt http ec europa eu justice data protection documentj international transfers binding corporate rules mutual_recognition index_en htm 94 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Die Datenschutzbeh rden der Mitgliedstaaten haben in den n chsten Jahren mit weiteren zahlreichen BCR Antr gen zu rechnen und m ssen daher durch entsprechende Speziali sierung ihrer Mitarbeiter die f r diese Verfah ren notwendigen Kenntnisse bereitstellen da runter auch Sprachkenntnisse Die Abstim mung unter den Datenschutzbeh rden der betroffenen Mitgliedstaaten im Rahmen der Pr fung von BCR wird in aller Regel auf Eng lisch gef hrt Die BCR Unterlagen m ssen den Datenschutzbeh rden aus diesem Grund je denfalls auch in englischer Sprache vorgelegt werden daher erfolgt in der
364. ttel dazu dar da eine weitere umfassendere Datenspeicherung damit vermieden werden kann Zu beachten ist dabei jedoch dass nur die zust ndigen Kontrolleure diese Bilddaten einsehen k nnen und ein Abrufen dieser Daten zu anderen Zwecken nicht zul ssig ist ferner eine Datenl schung umgehend erfolgt wenn ein Abgleich nicht mehr notwendig ist Allerdings ist auf die Datenerhebung ver arbeitung und nutzung mittels Fotoaufnahme explizit hinzuweisen 4 Abs 3 BDSG Ein Hinweis auf die Erhebung von Fotodaten sollte in die Verkaufsbedingungen f r die betroffe nen Karten sowohl an der Kasse vor Ort als auch im Internet aufgenommen werden 19 7 Anwendbarkeit des BDSG bei Botschaften und Konsulaten Wiederholt haben uns Eingaben zur Vi deo berwachung von in Bayern ans ssi gen Auslandsvertretungen erreicht Teil weise wird dort mit einer gro en Anzahl an Videokameras das umgebende Gel n de berwacht Botschaften und Konsulate haben einen exter ritorialen Status Sofern sie eine Video berwa chung auf ihrem Grundst ck oder von ihrem Grundst ck aus auch in den ffentlich zug ng lichen Bereich hinaus betreiben gehen wir nicht von der Anwendbarkeit des BDSG aus 19 3 Orientierungshilfe zur Video berwachung Aufgrund vielfacher Anfragen zum The ma Video berwachung durch nicht ffentliche Stellen haben sich die Daten schutzaufsichtsbeh rden entschlossen das Thema in einer Orientierungshilfe aufzugreifen
365. tz 1 BDSG erfor derliche Freiwilligkeit ist nur dann ge w hrleistet wenn dem Patienten eine echte Wahlm glichkeit verbleibt Erkl rt sich ein Patient nicht mit der Daten bermittlung an die rztliche Verrech nungsstelle einverstanden muss des halb sichergestellt sein dass die Rech nungsstellung durch die Praxis selbst erfolgen kann oder die medizinische Versorgung auf andere Weise gew hr leistet ist Mangelnde Transparenz Der Betroffene muss umfassend und verst ndlich dar ber informiert werden wie mit seinen Daten umgegangen wird Diesbez glich wurden uns im Be richtszeitraum Formulare vorgelegt in denen die rztliche Verrechnungsstelle nicht ausreichend konkret benannt wurde Auch war den Formularen oft nicht zu entnehmen welche Daten im Einzelnen bermittelt werden sollen Insbesondere wurden Patienten in eini gen F llen nicht dar ber informiert dass Gesundheitsdaten z B in Form von Diagnosen an die rztliche Ver rechnungsstelle bermittelt werden 4a Abs 3 BDSG schreibt jedoch vor dass sich die Einwilligung ausdr cklich auf besondere Arten personenbezoge ner Daten im Sinn des 8 3 Abs 9 BDSG also insbesondere auf Angaben ber die Gesundheit beziehen muss wenn sie den Umgang mit diesen Daten rechtfertigen soll Fehlende Schriftform Die Einwilligung bedarf nach 4a Abs 1 Satz 3 BDSG der Schriftform soweit nicht wegen besonderer Umst nde eine andere Form angemessen ist Im no
366. u der Versendung mit offenem Verteiler ge kommen ist 13 2 Herausgabe von Gesellschaf terlisten mit Kontaktdaten von Anlegern oft auf Grund gerichtlicher Entscheidung Sofern keine Anhaltspunkte f r eine un zul ssige Rechtsaus bung 8 242 BGB oder Schikane 226 BGB vorliegen sind Kontaktdaten von Gesellschaftern einer Personengesellschaft grunds tzlich an Mitgesellschafter herauszugeben Mitgesellschafter meist von gr eren Publi kumskommanditgesellschaften haben sich an uns mit der Bitte gewandt sie dabei zu unter st tzen dass ihre Gesellschafterstellung ge gen ber anderen Gesellschaftern bzw deren Rechtsanw lten nicht bekannt gegeben wird Wir orientieren uns dabei an der Rechtspre chung des Bundesgerichtshofs BGH der in zwei Urteilen vom 05 02 2013 Az II ZR 134 11 und II ZR 136 11 ausgef hrt hat dass jeder Gesellschafter einer Publikumsgesellschaft grunds tzlich Anspruch darauf hat von der Gesellschaft die Namen und Adressdaten sei ner Mitgesellschafter zu erhalten und zwar sowohl die Daten der unmittelbaren Gesell schafter als auch von etwaigen Treugebern die lediglich mittelbar ber einen Treuh nder an der Gesellschaft beteiligt sind Das bedeu tet dass die Gesellschaft verpflichtet ist Na men und postalische Adressen von Mitgesell schaftern in solchen F llen herauszugeben T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 85 u Handel und Dien
367. uelle Da tenpannen nach 8 42a BDSG Im Ergebnis der schriftlichen Pr fungen haben wir festgestellt dass etwa f nf Prozent der gepr ften Unternehmen erst aufgrund unseres Pr fungsanschreiben mit der Umsetzung der gesetzlichen Datenschutzanforderungen be gonnen haben Viele Unternehmen hatten dagegen schon grundlegende Vorgaben aus dem BDSG erf llt wie z B die Bestellung eines Datenschutzbeauftragten oder die Verpflich tung der Besch ftigten auf das Datengeheim nis Es gab aber oft auch noch deutliche L cken bei der Umsetzung des BDSG die im Rahmen der Pr fung aufgearbeitet wurden Nur bei sehr wenigen Unternehmen konnte die Pr fung ohne jede Anmerkung oder Hilfestellung unserseits abgeschlossen werden H ufiger wurden M ngel bei folgenden The men festgestellt e Die Bestellung und T tigkeit des Daten schutzbeauftragten z B nicht vertret bare Interessenkollision Datenschutz beauftragter gleichzeitig Personalchef IT Administrator Vorstand oder hnli ches oder zu wenig Aktivit t als Da tenschutzbeauftragter e Vorhandene Video berwachung ohne schriftliches Konzept e Keine geregelte Gestattung der privaten Internet und E Mail Nutzung oder des Einsatzes privater Ger te am Arbeits platz T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 21 u Kontrollen und Pr fungen e Die fehlende Erstellung des im BDSG vorgesehenen ffentlichen Verzeichnis ses der DV Ve
368. ufwand ent standen da viele Studiobetreiber weder unsere Beh rde noch grundlegende Anforderungen des Datenschutzrechts kannten M glicher weise werden wir bei k nftigen Pr fungen dieser Art den Fragenkatalog im Sinne der Praktikabilit t noch st rker eingrenzen Anteil der Fitnessstudios die innerhalb der ersten Frist geantwortet haben E Antwort fristgerecht eingegangen E Keine Antwort in der 1 Frist T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 25 u Kontrollen und Pr fungen 3 4 3 Mailserver Bei der Diskussion um E Mails wird h ufig der Vergleich zur gew hnlichen Postkarte gezogen der darauf abzielt dass jeder der Zugriff auf eine versendete E Mail hat auch deren Inhalt lesen und ver ndern kann Obwohl dieser Vergleich nicht falsch ist bestehen unabh ngig von den sinnvollen und notwendigen Formen der Inhaltsverschl sselung von E Mails Stich wort PGP S MIME bereits technische M g lichkeiten eine TLS Verschl sselung beim Transport zwischen Mailservern einzurichten Die Enth llungen von Edward Snowden haben gezeigt dass es mittlerweile starke Anhalts punkte daf r gibt dass jegliche Internetkom munikation systematisch ausgeleitet und er fasst wird Im Fr hjahr 2014 haben die Daten schutzaufsichtsbeh rden in Deutschland mit der gemeinsamen Entschlie ung Gew hrleis tung der Menschenrechte bei der elektro nischen Kommunikation zu einer besseren und
369. und anderer Dienste der Auftrags datenverarbeitung von dem Angebot der ko ordinierten Pr fung ihrer datenschutzrechtli chen Vertragsklauseln durch die Datenschutz T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 103 am Internationaler Datenverkehr beh rden der Mitgliedstaaten Gebrauch ma chen werden Orientierungshilfe Cloud Computing Version 2 0 Aufgrund der zahlreichen komplexen daten schutzrechtlichen Anforderungen an Cloud Computing haben die Datenschutzkonferenz und der D sseldorfer Kreis ihre im Jahr 2011 erstmals ver ffentlichte Orientierungshilfe Cloud Computing aktualisiert Sie ist auf unse rer Webseite in der aktuellen Fassung abrufbar gt gt gt http www lda bayern de lda datenschutzaufsich UY lda_daten Orientierungshilfe 20CloudComputi ng_Stand2014 pdf 14 4 Problematik des Exports personen bezogener Daten vor dem Hinter grund der Darstellungen von Edward Snowden Die Berichte von Edward Snowden ber Datenzugriffe massiven Umfangs durch US Sicherheitsbeh rden haben zu zahl reichen Anfragen von Unternehmen ge f hrt die personenbezogene Daten in die USA transferieren Die Berichte werfen auch f r die Datenschutzbeh rden schwerwiegende Fragen auf Beginnend mit dem Fr hsommer 2013 ver f fentlichte der ehemalige US Geheimdienstmit arbeiter Edward Snowden umfangreiche Infor mationen und zahlreiche Dokumente ber die Praxis der Informations
370. ung angesprochene Personen bei uns dar ber dass ihnen zu ihrer Nachfrage von der verantwortlichen Stelle nicht der Name und die Kontaktdaten des bestellten Datenschutzbeauftragten genannt werden und wollen diese Information von uns bekommen Das BDSG regelt f r die verantwortliche Stelle jedoch keine Mitteilungs Ver ffentlichungs oder Meldepflicht zur Person und den direkten Kontaktdaten des Datenschutzbeauftragten so dass die betroffenen Personen insoweit keine konkrete datenschutzrechtliche Anspruchs grundlage haben Andererseits bestimmt das BDSG dass sich Betroffene jederzeit an den Datenschutzbeauf tragten wenden k nnen 8 4f Abs 5 Satz 2 BDSG und dass der Datenschutzbeauftragte die Verfahrens bersicht jedermann in geeigne ter Weise verf gbar macht 8 4g Abs 2 Satz 2 BDSG Manche verantwortliche Stellen wollen durch zur ckhaltende Informationen nach au en ihren Datenschutzbeauftragten und seine t gli che Arbeit vor Querulanten etc sch tzen Ungeachtet dessen sehen wir es als daten schutzfreundlich an die Person des Daten schutzbeauftragen eines Unternehmens grunds tzlich auch extern angemessen publik zu machen z B durch Nennung auf der Homepage des Unternehmens oder zumindest mit einer Funktions E Mail Adresse eine direk te Kontaktaufnahme zu erm glichen 4 3 Langfristige Erkrankung eines Datenschutzbeauftragten Zuverl ssigkeit Kann der bestellte Datenschutzbeauftrag te seine Aufgaben
371. ung der Aussetzung derarti ger bermittlungen nach 38 Abs 5 BDSG pr fen Vertragsgestaltung bei der Erteilung von Un terauftr gen Bei Cloud Computing Dienstleistungen ist oft gewollt dass auf Seiten des Cloud Anbieters au er derjenigen rechtlichen Einheit Gesell schaft entity die den Auftragsverarbei tungsvertrag mit dem Auftraggeber abschlie t weitere Unternehmen desselben Cloud Konzerns und ggf auch konzernfremde Un ternehmen in die Erbringung der Cloud Leistungen eingebunden werden sollen Daten schutzrechtlich w ren solche Gesellschaften grunds tzlich als Unter Auftragnehmer einzu stufen In den Texten der datenschutzrechtli chen Vertr ge von Cloud Anbietern wird dieser Sachverhalt jedoch offenbar nicht immer ord nungsgem umgesetzt Uns wurden z B Ver tragstexte bekannt in denen auf solche Unter Auftragnehmer die gesetzlich zwin genden Pflichten eines Unter Auftragnehmers vertraglich nicht eindeutig bertragen wurden In manchen Auftragsverarbeitungsvertr gen wurden derartige weitere in die Verarbeitung eingebundene Gesellschaften zwar z B in einem Anhang genannt ohne jedoch eindeu tig zu regeln dass f r sie dieselben Pflichten gelten die gem dem zwischen Auftraggeber und Haupt Auftragsverarbeiter abgeschlos senen schriftlichen Auftrag nach 8 11 BDSG f r den Haupt Auftragsverarbeiter gelten Vermut lich steckt hinter diesem Fehler bisweilen die Vorstellung
372. uns gesichteten Vertr gen r umte der Cloud Anbieter Auftragsverar beiter dem Kunden Auftraggeber keine Auftragskontrollrechte ein oder wollte eine Auftragskontrolle ausschlie lich in der Form der Vorlage von Datensicherheitszertifikaten an den Auftraggeber akzeptieren Dies ist nach deutschem Datenschutzrecht nicht akzeptabel da es nicht vereinbar mit der Verantwortlichkeit des Auftraggebers gem 11 Abs 1 BDSG w re eigene Kontrollm glichkeiten des Auf traggebers vertraglich schlechthin auszuschlie en Zwar besteht Einigkeit dahingehend dass der Auftraggeber die Auftragskontrolle nicht zwingend vor Ort durchf hren muss sondern insoweit grunds tzlich auch die Vorlage geeig neter Zertifikate in Betracht kommt die das Vorhandensein ausreichender technischer und organisatorischer Ma nahmen beim Auftrags datenverarbeiter belegen Das vollst ndige Internationaler Datenverkehr vertragliche Ausschlie en jeglicher Vor Ort Kontrollm glichkeit indem vertraglich festge legt wird dass die Auftragskontrolle aus schlie lich durch die Vorlage von Zertifikaten an den Auftraggeber ausge bt wird kann je doch nicht hingenommen werden So sieht auch der Standardvertrag zur Auftrags verarbeitung gem Kommissionsbeschluss 2010 87 EU der als Modell f r die Anforde rungen an grenz berschreitende Auftragsda tenverarbeitung angesehen werden kann und muss zwingend ein eigenes Kontrollrecht des Auftra
373. unssnnnnssnnnnssnnnen 164 22 8 Konfiguration von Mailservern nach dem Stand der Technik 165 22 9 Die richtige Konfiguration von Perfect Forward Secrecy bei SSL TLS u eeeee 165 22 10 Besucherstrommessung mit dem Smartphone usenseennssssennsssennssennnssennnsssenunssenunssennnnsnanen 166 2211 Smart TV Pr fungen u u eaneskenennesteenteksanisnolsrernnnhenenenehenesnrandensknndtenenerneennerehonetttehdresknanenhne 167 22 12 Unwirksamer Widerspruch bei Webtracking Verfahren uuusseeesenseennseeennneeener 171 22 13 Unwirksame Anonymisierung der Custom Audiences von Facebook 172 22 14 Phishing und Malware uueeeseeenssssensssenunssennnssennnnssnnnnsennnnsennnnsesenenssenenssennnssennnssnnunssenunssnnnnnssanen 172 23 Bu geldverfahren s s s sss0s00003000000ns00000tsnnsnnensennssnesnakensrnnehnsnsensrenuennekhebuereendense near enesneehe here 174 Stichwortverzeichnis 425 22 a240 00e20 35240e505B02086nssnesssndenen kestnnsnsndendunnutensenesnendentesuendenssnsrukngeneeren 179 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 9 m Datenschutzaufsicht im nicht ffentlichen Bereich Datenschutzaufsicht im nicht ffentlichen Bereich 10 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Datenschutzaufsicht im nicht ffentlichen Bereich Fu 1 Datenschutzaufsicht im nicht ffentlichen Bereich 1 1 Die bayerische Datenschutz aufsichts
374. us legen wir unserem Schreiben meist umfangreiche Informationsbl tter bei die die abgefragten Sachverhalte den Gepr ften de tailliert erl utern Solche branchen bergreifende zum Teil sehr umfangreiche schriftliche Pr fungsaktionen haben wir in den Jahren 2013 und 2014 in ganz Bayern durchgef hrt um den Stand der Um setzung datenschutzrechtlicher Vorschriften abzufragen Exemplarisch stellen wir nachfolgend einen Teil unseres Fragenkatalogs der vergangenen schriftlichen Pr fungen dar e Die Erlaubnis Rechtsvorschriften f r die Erhebung Verarbeitung und Nutzung personenbezogener Daten auf die sich das betreffende Unternehmen st tzt e Den Datenschutzbeauftragten seine Stellung und seine konkrete T tigkeit e Das ffentliche Verfahrensverzeichnis e Die Verpflichtungen auf das Datenge heimnis e Die Vertr ge ber Auftragsdatenverar beitung e Ausgew hlte Punkte zum Besch ftig tendatenschutz wie z B die Regelun gen zur privaten Nutzung von Internet Kontrollen und Pr fungen und E Mail und zur Verwendung priva ter Kommunikationsmittel am Arbeits platz e Die Video berwachung einschlie lich der konkreten Zweck Festlegungen im Sinne von 8 6b Abs 1 Nr 3 BDSG e Die bestehenden Regelungen zur Sper rung bzw L schung von Daten e Das Konzept zu den getroffenen techni schen und organisatorischen Ma nah men nach 8 9 BDSG und der Anlage zu 8 9 BDSG e Den Ma nahmenplan f r event
375. uss der Verpflichtete jedoch die nach dem GwG zu erhebenden und zu dokumentie renden Daten auf andere Weise spei chern Mehrere Immobilienmakler wandten sich mit der Frage an uns ob es datenschutzrechtlich zul ssig sei zur Erf llung von Anforderungen nach dem Geldw schegesetz die Personalaus weise von Interessenten zu kopieren Einige wenige gesetzliche Spezialvorschriften erlauben f r bestimmte Lebenssachverhalte ausdr cklich die Anfertigung einer Personal ausweiskopie durch nicht ffentliche Stellen Hierzu geh rt mit einer beachtlichen Praxis relevanz 8 Abs 1 Satz 3 GwG Nach 8 3 Abs 2 Satz 1 Nr 1 GwG sind u a Immobilienmakler die meisten Kredit und Finanzdienstleistungs institute Lebensversicherungen und eine Reihe weiterer Stellen verpflichtet ihre Vertrags T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 87 u Handel und Dienstleistung partner u a bei Begr ndung einer Gesch fts beziehung zu identifizieren F r bayerische Immobilienmakler gilt diese Verpflichtung ge m einem Auslegungshinweis des Bayerischen Staatsministeriums des Innern f r Bau und Verkehr IC2 1116 31 18 Stand Februar beim An und Verkauf von Immobilien Der Ausle gungshinweis ist auf der nachfolgend genann ten Webseite abrufbar gt gt gt http www stmi bayern de sus inneresicherheit sicherheitundordnung geldwaeschegesetz index php Ist der Vertragspartner eine nat
376. ustellen sah der Ver trag der den Krankenh usern zur Unterschrift vorgelegt wurde hierf r den Abschluss von EU Standardvertr gen f r Auftragsdatenverar beiter gem der Kommissionsentscheidung 2010 87 EU vor Damit das Krankenhaus auch bei der Beauftragung von Subunternehmern Herr der Daten bleibt legten wir bei der Pr fung der Vertr ge zudem gro en Wert darauf dass das Krankenhaus transparent ber die eingeschalteten Subunternehmer informiert wird und unter bestimmten Voraussetzungen auch ein Widerspruchsrecht gegen neue Sub unternehmer erh lt Vor diesem Hintergrund haben wir darauf hingewirkt dass das Kran kenhaus nicht nur eine Liste der vom Auftrag nehmer aktuell eingesetzten Subunternehmer einsehen kann sondern auch ber ggf neu in die Wartungsprozesse eingebundene Subun ternehmer in geeigneter Weise rechtzeitig informiert wird Zudem muss das Krankenhaus grunds tzlich der Verwendung eines neuen Subunternehmers widersprechen k nnen wenn es gegen dessen Auswahl datenschutz rechtliche Bedenken hat unter Umst nden kann dies jedoch den Auftragnehmer zur K n digung des Wartungsvertrags berechtigen wenn der Wartungsvertrag infolge des Wider spruchs nicht mehr erf llt werden kann Ein Wartungsvertrag der die oben genannten Vorgaben erf llt ist daher aus unserer Sicht auch dann nicht zu beanstanden wenn im Rahmen der Wartung auch Subunternehmer mit Sitz au erhalb der EU bzw des EWR einge sch
377. verschiedene Personen handelt beispielsweise wenn der Ehegatte oder Kinder mitversichert sind Zur Frage wem in einem solchen Fall Abrech nungsdaten zuzusenden oder sonstige Aus k nfte zu erteilen sind erreichen uns immer wieder Anfragen von Versicherungsnehmern versicherten Personen und Versicherungen 9 3 1 Auskunftserteilung bei Angaben mit Doppelbezug Sind Versicherungsnehmer und versicherte Person nicht identisch handelt es sich bei den von der Versicherung erhobenen und gespei cherten Daten h ufig um Angaben mit Dop pelbezug d h um Daten die sich sowohl auf den Versicherungsnehmer als auch auf die versicherte Person beziehen Verlangt die ver sicherte Person in einem solchen Fall Auskunft nach 34 Abs 1 BDSG stellt sich die Frage ob die Versicherung in Erf llung des Auskunftsan spruchs an die versicherte Person damit auch Daten die sich zugleich auf den Versiche rungsnehmer beziehen bermitteln muss bzw darf Eine Pflicht zur Auskunftserteilung besteht gem 8 34 Abs 7 i V m 833 Abs 2 Satz 1 Nr 3 BDSG unter anderem dann nicht wenn die Daten wegen des berwiegenden rechtlichen Interesses eines Dritten geheim gehalten wer den m ssen Ob das rechtliche Interesse des Dritten berwiegt ist durch eine Interessenab w gung im Einzelfall zu kl ren So wandte sich in einem Fall ein Eingabef hrer mit dem Vorwurf an uns seine Versicherung habe seiner geschiedenen Ex Frau unzul ssi gerweise D
378. von SmartTV Apps 30 m u beim Einstecken eines USB Ger ts 20 10 0 Die Ergebnisse dieser technischen Pr fung werden nun als Basis f r eine rechtliche Bewer tung dienen die ab Fr hjahr 2015 beginnen kann Danach wird sich zeigen welche aufsicht lichen Ma nahmen wir ergreifen k nnen und werden Ausf hrliches zu dieser Pr fung be findet sich im Kapitel 22 11 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht 31 u Kontrollen und Pr fungen 3 4 9 Datenschutzorganisation Auf Grund unserer durchweg positiven Erfah rungen im Umgang mit pr ventiven Ma nah men und Pr fungen hatten wir uns auch im vergangenen Berichtszeitraum wieder ent schlossen anlasslos 262 Unternehmen Banken Finanzdienstleister und Unternehmen anderer Branchen in Bayern im Rahmen zweier Gro pr fungen zu kontrollieren Die Auswahl dieser Unternehmen erfolgte zum Teil regional d h nach Regierungsbezirken da bereits in den vergangenen Jahren Kontrollen speziell bei Banken bestimmter Regionen stattgefunden hatten Die Unternehmen die nicht aus dem Finanzsektor stammten wurden aus dem Ver zeichnis einer branchen bergreifenden Dach organisation nach dem Zufallsprinzip ausge w hlt Gro pr fung 2013 Y E Banken E Banken und Finanzdienstleister Gro pr fung 2014 E Unternehmen branchen bergreifend E Unternehmen branchen bergreifend Die verantwortlichen Stellen erhielt
379. von 8 11 Abs 1 Satz 1 BDSG be stehenden umfassenden datenschutzrechtli chen Verantwortlichkeit des Auftraggebers als verantwortliche Stelle auch f r die Datenum g nge beim Auftragnehmer und gegebenen falls bei von dort eingeschalteten Subauftrag nehmern nicht zu vereinbaren Dies gilt nach 8 11 Abs 5 BDSG auch f r F lle der Pr fung und Wartung von Systemen und Software Hinsichtlich der praktischen Durchf hrung der Auftragskontrolle im Alltag ist nicht allgemein eine Vor Ort Kontrolle zwingend H ufig ist es sachgerecht und ausreichend dass der Auf tragnehmer sein Datensicherheitskonzept 40 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Auftragsdatenverarbeitung oder Funktions bertragung allgemein und oder Datensicherheitszertifikate vorlegt und der Auftraggeber dies auf Schl ssigkeit und Nachvollziehbarkeit hin pr ft 5 5 Einbindung von freien Mitarbeitern Freie Mitarbeiter k nnen als Auftrags datenverarbeiter t tig oder vergleichbar den Festangestellten besch ftigt sein Das Bed rfnis nach Flexibilit t beim Personal einsatz in Unternehmen f hrt teilweise auch zum Einsatz von sog freien Mitarbeitern die von Unternehmen bei Bedarf au erhalb des klassischen Arbeitsverh ltnisses meist vo r bergehend besch ftigt werden Welche datenschutzrechtliche Einordnung von solchen freien Mitarbeitern eines Unterneh mens jeweils sachgerecht ist h ngt nach unse rer Au
380. von Beschwerden Vor rang vor allen anderen T tigkeiten hat da hierbei konkrete Datenschutzverst e behaup tet und wie unsere Bearbeitung zeigt in deut lich mehr als der H lfte aller F lle auch be gr ndet behauptet wird Soweit unsere Kapazi t ten es erlauben k nnen wir dar ber hinaus Beratungen anbieten und Pr fungen vorneh men Insbesondere von betrieblichen Daten schutzbeauftragten wurden wir gebeten in verst rktem Umfang Pr fungen vorzunehmen Diese h tten laut ihrer Aussage zur Folge dass bei den Gesch ftsf hrungen der Unternehmen bekannt wird dass es berhaupt eine Daten schutzaufsichtsbeh rde gibt und dass diese hoheitliche Kompetenzen hat die im Einzelfall auch wehtun k nnen Das f hre im konkreten Fall dazu dass den Anregungen und Forderun gen der betrieblichen Datenschutzbeauftragten deutlich mehr Beachtung beigemessen wird Da uns bewusst ist dass die Pr fung von eini gen hunderten Unternehmen bezogen auf den Gesamtbestand in Bayern immer nur ein Trop fen auf den hei en Stein sein kann informieren wir bei zahlreichen Vortragsveranstaltungen wie z B bei Industrie und Handelskammern Verb nden der Datenschutzbeauftragten oder sonstigen Berufsverb nden ber die Pr fungen und deren wesentliche Ergebnisse d h festge stellte M ngel um die Anwesenden zu moti vieren daraus ihre eigenen Schl sse f r das eigene Unternehmen zu ziehen 2 T tigkeitsbericht 2013 14 Bayerisches
381. weck steht Dieser Schutzzweck leitet sich aus dem potentiellen Schaden am Pers n lichkeitsrecht ab sollten Unbefugte Zugriff auf personenbezogene Daten bekommen Als pra xisnahe Methode eignet sich hier eine Einstu fung in die Schutzbedarfskategorien normal hoch und sehr hoch die in der IT Sicherheit unabh ngig vom Blickwinkel des Datenschutzes h ufig verwendet werden Handelt es sich um besondere Arten perso nenbezogener Daten im Sinne des 8 3 Abs 9 BDSG so sind diese mindestens in die Katego rie hoch einzustufen w hrend zum Beispiel Adressdaten eines Online Shops einem nor malen Schutzbedarf zugeordnet werden Im Unterschied zur Risikobewertung ohne Blick punkt auf den Datenschutz ist die Pr fung der Verh ltnism igkeit immer auf den einzelnen Betroffenen auszurichten So mag es zum Bei spiel f r einen Online Shop aus unternehmeri scher Sicht tolerierbar sein durch Hacking Angriffe die Daten von zehn Kunden pro Jahr an Unbefugte zu offenbaren und deswegen auf einen aufw ndigeren Penetrationstest zu ver zichten aus Sicht des Datenschutzes m ssen die Ma nahmen in diesem Beispiel trotzdem getroffen werden Technischer Datenschutz und IT Sicherheit Zur Feststellung welche Ma nahmen getroffen werden m ssen kann es hilfreich sein die kon kreten Bedrohungen f r die verantwortliche Stelle als Ausgangspunkt zu nehmen Bedro hungen existieren immer und ergeben sofern Schwac
382. werden sofort ihre Passworte bei der Handelsplattform zu ndern sowie in gleicher Form bei anderen Internet Diensten verwendete Zugangsdaten zu ndern Dar ber hinaus waren die Sicher heitsma nahmen bei dem Dienstleister in Li tauen zu verbessern insbesondere eine ausrei chende Verschl sselung der Passw rter einzu f hren 21 5 Hacking bei einem Reise buchungsdienstleister Bei einem IT Dienstleister f r viele bundesweit verteilte Reiseb ros und Online Reisebuchungsportale wurden tausende Da tens tze von Reisebuchungskunden einschlie lich deren Post und E Mail Adressen Telefon nummern sowie Kreditkartennummern mit zugeh rigen Sicherheitsnummern CVV Nummern von Unbefugten in Erfahrung ge bracht 1 54 T tigkeitsbericht 2013 14 Bayerisches Landesamt f r Datenschutzaufsicht Informationspflichten bei Datenpannen 842 a BDSG 815a TMG Die Reiseb ros und Online Reisebuchungs portale mussten unverz glich alle betroffenen Kunden informieren und zur verst rkten Kon trolle ihrer Kreditkartenabrechnungen im Hin blick auf eventuelle Betrugssachverhalte auf fordern 21 6 Geiselnahme von Vereinsdaten Der Kassierer eines Vereins wurde von einem vermeintlichen Service Mitarbeiter eines Be triebssystemherstellers unaufgefordert kontak tiert Dieser bot eine unkomplizierte und schnelle Beseitigung einer angeblichen Sicher heitsl cke auf dessen PC an Nachdem der Fremde Zugriff auf den Rechner hatte ko
383. zo gener Daten bei Deinstallation der App Technische App Pr fungen sind mittlerweile ein fester Bestandteil unseres Werkzeugkas tens und werden sowohl bei Datenschutzbe schwerden ber eine App als auch proaktiv und anlasslos f r Kontrollen eingesetzt 22 2 IT Sicherheit im Kontext des Datenschutzes Zur Vermeidung von Vorf llen sind ge eignete und angemessene technische und organisatorische Ma nahmen zu treffen Der Begriff der IT Sicherheit ist durch die Be richterstattung der Medien ber spektakul re Angriffe von Kriminellen oder die Massen berwachung durch die Geheimdienste auch in den Blickpunkt einer breiten ffentlichkeit geraten Gerade personenbezogene Daten bergen ein hohes Risiko f r den Einzelnen sollten diese einmal in die H nde von Unbe fugten gelangen Dies k nnen z B Bank oder Kreditkartendaten Kommunikationsinhalte wie E Mails oder Messenger Nachrichten als auch u erst sensible Daten wie Gesundheitsdaten oder Informationen zu politischen T tigkeiten sowie der ethnischen Herkunft sein Auch Da ten die auf den ersten Blick etwas schwerer zu fassen sind wie das Surfverhalten im Web oder das geographische Bewegungsverhalten u a ermittelbar durch ein mitgef hrtes Smartpho ne bergen hohe Risiken f r das Pers nlich keitsrecht sollten diese mit der Person in Ver bindung gebracht und ausgewertet werden Streng genommen wird der Begriff der IT Sicherheit f r die Sicherung von
384. zur Verf gung Die Artikel 29 Gruppe hat mit Wir kung zum 1 1 2013 erkl rt dass BCR auch als Instrument in Betracht kommen mit dessen Hilfe Konzerne deren Gesch ftsgegenstand die Auftragsdatenverarbeitung f r konzernfremde Stellen ist Daten an Konzerngesellschaften mit Sitz in Drittstaaten transferieren k nnen Die Artikel 29 Gruppe hat f r diese F lle eine neue Variante von BCR ins Leben gerufen die sog BCR f r Auftragsdatenverarbeiter BCR for Pro cessors BCR P im Unterschied dazu werden die unter dem vorangegangenen Gliederungs punkt dargestellten herk mmlichen BCR nunmehr zur Unterscheidung h ufig als BCR f r verantwortliche Stellen BCR for Control lers BCR C bezeichnet Inzwischen haben die Datenschutzbeh rden einiger EU Mitgliedstaaten die BCR P mehrerer Unternehmensgruppen abschlie end gepr ft und gemessen an den von der Artikel 29 Gruppe aufgezeigten Erfordernissen als hinrei chend anerkannt Wir haben bei einem dieser Verfahren den BCR P der Atos Gruppe als sog Co Pr fer mitgewirkt die Federf hrung Internationaler Datenverkehr f r diesen Fall oblag der franz sischen Daten schutzaufsichtsbeh rde Den Hintergrund f r die Einf hrung von BCR P als neues Instrument bilden die stetig zuneh menden Outsourcing Entwicklungen im Be reich der Datenverarbeitung Eine Reihe spezia lisierter Konzerne bieten am Markt spezifische datenverarbeitende Dienstleistungen an die als Auf

6. Tätigkeitsbericht - Bayerisches Landesamt für Datenschutzaufsicht

Contents

Download Pdf Manuals

Related Search

Related Contents

6. T&auml;tigkeitsbericht - Bayerisches Landesamt f&uuml;r Datenschutzaufsicht

Contents

Download Pdf Manuals

Related Search

Related Contents

6. Tätigkeitsbericht - Bayerisches Landesamt für Datenschutzaufsicht