DATENSCHUTZ

Sehr geehrte Damen und Herren,

mit dem heutigen Rundschreiben starten wir in das neue Datenschutzjahr, das mit neuer Rechtsprechung hoffentlich weiter zur Rechtssicherheit beitragen wird.

Rechtssicherheit hätten sich viele Unternehmen im Dezember auch im Zusammenhang mit der Abmahnwelle durch Google Fonts gewünscht. Es wurden hier zahlreiche Unternehmen, man geht von einer sechsstelligen Zahl aus, für die dynamische Einbindung von Google Fonts abgemahnt. Die Abmahnwelle wurde durch zwei Kanzleien durchgeführt, wobei eine der beiden mittlerweile selbst in den Fokus der Berliner Staatsanwaltschaft wegen gewerbsmäßigen Betruges geraten ist. Mittels Arrestbeschlusses sind auch 346.000 € bei dem Anwalt beschlagnahmt worden, die er definitiv durch die Abmahnungen eingenommen hatte. Es ist allerdings davon auszugehen, dass der Betrag deutlich höher gewesen sein dürfte. Das Vorgehen der Staatsanwaltschaft fußte auf 420 Strafanzeigen und dürfte abschreckende Wirkung für Trittbrettfahrer entfalten. Nichtsdestotrotz zeigt die Abmahnwelle, dass DSGVO-Kenntnisse im Zusammenhang mit der Homepage-Gestaltung unerlässlich sind, da auch zukünftig mit Abmahnungen in diesem Bereich zu rechnen sein wird.

Sollten die Abmahnungen und die damit verbundenen Bauchschmerzen zu Krankmeldungen in den Betrieben führen, werden wir zum Jahresbeginn sehen, inwieweit die seit Januar geltende elektronische AU in der Praxis funktioniert. Neben den arbeitsrechtlichen Fragen wird auch der Datenschutz durch dieses Thema gefordert. Die niedersächsische Datenschutzbeauftragte hatte hierzu einen Hinweis zum Umgang mit der eAU gegeben.

Zudem erwarten wir in der ersten Plenarsitzung des Bundesrates am 10.2.2023 die Zustimmung zum neuen Hinweisgeberschutzgesetz, das die EU-Whistleblower-Richtlinie mit einiger Verspätung umsetzen wird. Wenn alles wie erwartet läuft, könnte das Gesetz noch im Mai 2023 in Kraft treten. Wir halten Sie hierzu auch im Rahmen unseres virtuellen Veranstaltungsformats „Datenschutz zum Feierabend“ auf dem Laufenden.

Beinahe täglich sind Meldungen über Cyberattacken zu lesen, die Unternehmen, Kommunen, Universitäten und viele weitere datenverarbeitende Institutionen treffen. Dabei gehen die Täter immer professioneller vor.

Am 28.2.2023 ab 16:30 Uhr werden wir uns deshalb im Rahmen unserer ERFA-Runde mit dem Datenschutz und der IT-Sicherheit beschäftigen. Dabei freuen wir uns auf den Vortrag von Herrn Strobel, der uns aus Sicht der IT-Sicherheitsfirma Cirosec näherbringen wird, welche Bedrohungen aktuell bestehen und wie Sie sich hiergegen in den Unternehmen wappnen können. Als gastgebendes Unternehmen lädt uns die Leister Technologies Deutschland GmbH in ihre neuen Räumlichkeiten am Standort in Wuppertal ein.

Wir freuen uns auf ein erfolgreiches Jahr 2023 mit Ihnen und wünschen Ihnen wie immer viel Spaß bei der Lektüre des aktuellen Rundschreibens!

Ihre AGAD Service GmbH

Zurück

Aktuelles Urteil des EuGH konkretisiert Auskunftsanspruch nach Art. 15 DSGVO

Mit seinem Urteil vom 12.01.2023 in der Rs. C-154/21 hat der EuGH entschieden, dass jeder das Recht hat zu erfahren, an wen seine personenbezogenen Daten weitergegeben wurden.

Dabei kann sich der für die Datenverarbeitung Verantwortliche jedoch darauf beschränken, nur die Empfängerkategorien mitzuteilen. Allerdings gilt dies nur, wenn es nicht möglich ist, die Empfänger zu identifizieren, oder wenn der Antrag offenkundig unbegründet oder exzessiv ist.

Der Kläger beantragte bei der Österreichischen Post ihm mitzuteilen, gegenüber welchen Empfängern sie seine personenbezogenen Daten offengelegt habe.

Er stützte sich auf Art. 15 Abs. 1 Buchst. c) DSGVO. Danach hat eine betroffene Person das Recht, von dem Verantwortlichen Informationen über die Empfänger oder Kategorien von Empfängern zu erhalten, gegenüber denen ihre personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden. Im Lauf des gerichtlichen Verfahrens teilte die Österreichische Post dem Kläger mit, seine Daten seien an Kunden weitergegeben worden, zu denen werbetreibende Unternehmen im Versandhandel und stationären Handel, IT-Unternehmen, Adressverlage und Vereine wie Spendenorganisationen, Nichtregierungsorganisationen (NGOs) oder politische Parteien gehört hätten.

Der österreichische OGH, bei dem der Rechtsstreit in letzter Instanz anhängig ist, legte dem EuGH die Frage zur Auslegung des Art. 15 DSGVO vor.

Der EuGH legt Art. 15 Abs. 1 Buchst. c) DSGVO so aus, dass der Verantwortliche, wenn personenbezogene Daten gegenüber Empfängern offengelegt worden sind oder noch offengelegt werden, verpflichtet ist, der betroffenen Person auf Anfrage die Identität der Empfänger mitzuteilen. Nur wenn es (noch) nicht möglich ist, diese Empfänger zu identifizieren, kann sich der Verantwortliche darauf beschränken, lediglich die Kategorien der betreffenden Empfänger mitzuteilen. Dies ist auch der Fall, wenn der Verantwortliche nachweist, dass der Antrag offenkundig unbegründet oder exzessiv ist.

Der EuGH weist darauf hin, dass dieses Auskunftsrecht der betroffenen Person erforderlich ist, um es ihr zu ermöglichen, die anderen Rechte auszuüben, die ihr gemäß der DSGVO zukommen. Dies betrifft das Recht auf Berichtigung, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Widerspruch gegen die Verarbeitung oder auch das Recht auf einen Rechtsbehelf im Schadensfall.

(Quelle: PM Nr. 4/23, EuGH vom 12.01.2023)

Praxishinweis:
Treffen Sie im Unternehmen die Vorbereitungen, um eine angemessene und fristgerechte Reaktion auf ein Auskunftsbegehren zu gewährleisten. Definieren Sie einen betrieblichen Prozess für eingehende Auskunftsbegehren. Wer hat intern wen und bis wann zu informieren.  Sichern Sie ein internes gemeinsames Verständnis für die Bearbeitung der Auskunftsanfragen. Welche Systeme müssen abgefragt werden, um relevante Daten zur Verfügung zu stellen? Entwerfen Sie Musterschreiben für diese Anfragen und aktualisieren Sie regelmäßig die internen Abläufe von der Datenerfassung bis zur Datenlöschung.

Datenschutzrechtliche Hinweise im Zusammenhang mit der eAU

Der “gelbe Schein“ ist seit Anfang des Jahres durch die elektronische Arbeitsunfähigkeitsbescheinigung (kurz: eAU) abgelöst worden. Neben dem Arbeitsrecht ist auch das Datenschutzrecht hierbei zu berücksichtigen.

Die niedersächsische Datenschutzbeauftragte hat Hinweise zu Datenverarbeitungen im Zusammenhang mit der Vorlage von Arbeitsunfähigkeitsbescheinigungen sowie zu Entgeltfortzahlungen im Krankheitsfall zusammengestellt.

Beschäftigte sind im Krankheitsfall verpflichtet, dem Arbeitgeber bzw. dem Dienstherrn ihre Arbeitsunfähigkeit und deren voraussichtliche Dauer unverzüglich mitzuteilen.

Die Beschäftigten haben nach § 5 des Entgeltfortzahlungsgesetzes (EntgFG) im Krankheitsfall eine Mitteilungs- und Nachweispflicht gegenüber dem Arbeitgeber. In bestimmten Fällen bedarf es der Vorlage einer ärztlichen Bescheinigung.

Seit dem 1.1.2023 sieht § 5 EntgFG in Abänderung der derzeit bestehenden Regelungen nur noch eine Verpflichtung des Arbeitnehmers vor, die Arbeitsunfähigkeit und deren Dauer feststellen und sich selbst eine ärztliche Bescheinigung aushändigen zu lassen. Die elektronische Bescheinigung muss sich der Arbeitgeber bei den Krankenkassen abrufen.

Im Rahmen des Prüfverfahrens zur Feststellung der Arbeitsunfähigkeit sowie zur Festsetzung der Entgeltfortzahlung im Krankheitsfall werden sowohl personenbezogene Daten der Beschäftigten im Sinne von Art. 4 Nr. 1 DS-GVO, wie zum Beispiel Kontaktdaten der Betroffenen oder nähere Informationen zu deren Krankenversicherung (gesetzlich oder privat), als auch besondere Kategorien von personenbezogenen Daten im Sinne von Art. 9 Abs. 1 DS-GVO, wie Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DS-GVO, verarbeitet.

Die Hinweise sollen sowohl dem Verantwortlichen im Sinne von Art. 4 Nr. 7 DS-GVO als auch den Betroffenen im Sinne von Art. 4 Nr. 1 DS-GVO einen Überblick verschaffen, welche datenschutzrechtlichen Vorgaben von den Verfahrensbeteiligten zu beachten sind.

(Quelle: Information der LDI Niedersachsen, Dezember 2022) 

Praxishinweise: 
Informieren Sie Ihre Beschäftigten im Hinblick auf das neue Verfahren.  Der Abruf der eAU und die damit verbundene Datenverarbeitung wird auf § 26 Abs. 1 und 3 BDSG gestützt. Es handelt sich hierbei nämlich um eine Datenverarbeitung zur Durchführung des Beschäftigungsverhältnisses. Der Arbeitgeber muss die Vertraulichkeit und Integrität der Verarbeitung gewährleisten. Hierfür muss die Organisation so gestaltet werden, dass möglichst wenige Personen auf die Daten zugreifen können. Denn bei einer eAU handelt es sich um Gesundheitsdaten, die einer erhöhten Schutzklasse unterliegen. Die Daten müssen durch geeignete technisch organisatorische Maßnahmen vor dem Zugriff durch Unbefugte geschützt werden.

Zurück

Gefährdung der Cyber-Sicherheit in Deutschland

Das BSI gibt regelmäßig Hinweise im Rahmen eines Jahresberichts zur Lage der IT-Sicherheit in Deutschland.

Die Meldungen über erfolgreiche Attacken in Unternehmen jeder Größe, Behörden, Universitäten und weiteren Institutionen, die personenbezogene Daten verarbeiten, häufen sich in jüngster Zeit.

Die Gründe und Ursachen sind vielfältig. Die Gefahr, Opfer eines solchen Angriffs zu werden, lässt sich nicht zu 100 % ausschließen. Dennoch gibt es verschiedene Muster, die das BSI in seinem Bericht 2022 identifiziert.

Wenn Sie ein paar Mindestvorkehrungen im unternehmerischen Umfeld treffen und gerade Ihre Mitarbeiter und Dienstleister regelmäßig sensibilisieren, können Sie es den Angreifern auf Ihre Systeme zumindest erschweren. Der investierte Aufwand an Zeit und Geld zahlt sich später aus.

Die wichtigste Voraussetzung für die Wiederherstellung der Betriebsfähigkeit nach einem Ransomware-Angriff ist eine klare Backup-Strategie. Diese umfasst die Verfügbarkeit funktionierender und aktueller Backups. Die Funktionsfähigkeit dieser Backups muss regelmäßig geprüft werden. Es ist inzwischen bei Schadprogramm-Infektionen üblich, dass Angreifende mit zuvor erlangten Administrationsrechten gezielt nach allen Backups suchen und diese, ebenso wie Produktivsysteme, verschlüsseln. Daher sollte zumindest je eine Kopie offline gesichert werden. Diese Kopien werden nach dem Backup von den anderen Systemen der Einrichtung getrennt und sind daher vor Remote-Angriffen geschützt.
Um der zunehmenden Ausleitung von Daten und der Drohung einer Veröffentlichung wirksam begegnen zu können, ist ein systematisches, regelgeleitetes Monitoring des Datentransfers erforderlich. So lässt sich etwa der Abfluss ungewöhnlich hoher Datenmengen erkennen und unterbinden.
Updates der Betriebssysteme sowie der Server- und Anwendungssoftware sollten regelmäßig und zeitnah durchgeführt werden. Zur Minimierung der Angriffsfläche sollte außerdem die Anzahl der von außen zugänglichen Systeme geringgehalten werden.

Zudem sollte die Nutzung durch Unbefugte erschwert werden. Als Beispiele hierfür kommen Mehrfaktor-Authentisierung, Einsatz eines Virtuellen Privaten Netzes (VPN) sowie strenge Passwortvorgaben in Betracht.

Für alle Institutionen sollten die umfassende und kontinuierliche Schulung aller Mitarbeiterinnen und Mitarbeiter zum Thema Informationssicherheit (Erhöhung der Aufmerksamkeit) selbstverständlich sein. Zudem sollte eine Beschränkung des administrativen Zugangs zu den Systemen auf möglichst wenige Personen gelten.

Wenn ein Angriff dennoch erfolgreich gewesen ist, müssen Reaktionsszenarien schriftlich dokumentiert werden, die alle beschriebenen Aspekte eines Angriffs, zum Beispiel Schäden an Produktionsanlagen, den Einsatz von Personal und Sicherheitsfirmen, alternative Geschäftsprozesse oder den Reputationsverlust, als Teil des Notfallmanagements mit einbeziehen.

Das BSI rät grundsätzlich davon ab, einer Lösegeldforderung nachzukommen, zumal in der Regel keine Garantie besteht, dass die Angreifer den Schlüssel tatsächlich herausgeben.

Praxistipp:

• Stellen Sie sich jederzeit auf mögliche Attacken Ihrer IT-Infrastruktur ein!
• Sprechen Sie mit Ihren Auftragsverarbeitern zu der aktuellen Bedrohungslage in Bezug auf Ihre Systeme!
• Sensibilisieren Sie Ihre Mitarbeiter in Bezug auf die Bedrohungslage und treffen Sie entsprechende Vorsichtsmaßnahmen.
• Stellen Sie sicher, dass alle erforderlichen Sicherheitsupdates Ihrer IT-Systeme schnellstmöglich durchgeführt werden.
• Sollten Sie dennoch von einer meldepflichtigen Datenpanne betroffen sein, sprechen Sie uns gerne an!

SAVE THE DATE!
28.2.2023, 16:30 Uhr: ERFA-Runde zu Datenschutz und IT-Sicherheit!

Bundestag verabschiedet Hinweisgeberschutzgesetz – Zustimmung des Bundesrates im Februar?!

Das „Gesetz für einen besseren Schutz hinweisgebender Personen sowie zur Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden“, haben die Abgeordneten des Deutschen Bundestages am Freitag, 16. Dezember 2022 beschlossen.

In der ersten Plenarsitzung des Bundesrates am 10.2.2023 wird unter TOP 2 die Zustimmung zum neuen Hinweisgeberschutzgesetz erwartet. Das Gesetz wird die EU-Whistleblower-Richtlinie mit einiger Verspätung umsetzen. Das Gesetz könnte noch im Mai 2023 in Kraft treten.

Gesetzentwurf der Bundesregierung
Die Bundesregierung will Hinweisgeber (Whistleblower) im beruflichen Umfeld künftig umfassender schützen. Für die Meldung von Verstößen im Unternehmen oder in einer Behörde sollen sowohl interne als auch externe Meldestellen eingerichtet werden. Zudem sollen Whistleblower vor beruflichen Repressalien geschützt werden. Mit dem Entwurf solle der bislang lückenhafte und unzureichende Schutz hinweisgebender Personen ausgebaut werden, führt die Bundesregierung zur Begründung an.

Änderungen im Rechtsausschuss
Wer verfassungsfeindliche Äußerungen von Beamtinnen und Beamten meldet, soll künftig unter den Hinweisgeberschutz fallen und somit vor Repressalien geschützt sein. Das soll auch für Äußerungen unterhalb der Strafbarkeitsschwelle gelten.

Eine weitere wesentliche Änderung bezieht sich auf den Umgang mit anonymen Meldungen. Nun ist vorgesehen, dass sich die Meldestellen damit beschäftigen müssen. Eine weitere Änderung an dem Gesetzentwurf sieht vor, dass auch der Digital Markets Act der EU zum sachlichen Anwendungsbereich des Gesetzes gehören soll. Damit wird eine entsprechende EU-Vorgabe umgesetzt. Weitere Anpassungen beziehen sich etwa auf Anreize zur Nutzung interner Meldestellen, Konzernmeldewege, die Regelung zur Einrichtung von Meldestellen kommunaler Unternehmen, Löschfristen sowie Ausnahmen im Bereich von Nachrichtendiensten. Zudem sollen Hinweisgebende, die Repressalien erleiden, auch dann eine Entschädigung in Geld verlangen können, wenn es sich nicht um einen Vermögensschaden handelt.

Hinweisgeberschutzgesetz
Kernstück des Entwurfes ist ein neu zu schaffendes „Gesetz für einen besseren Schutz hinweisgebender Personen“ (Hinweisgeberschutzgesetz, HinSchG). Dieses Gesetz soll dem Entwurf zufolge die wesentlichen Anforderungen und Verfahren an den Hinweisgeberschutz beinhalten. Danach müssen grundsätzlich alle Unternehmen mit mindestens 50 Mitarbeitern eine interne Meldestelle einrichten.

Interne und externe Meldestellen
Die hinweisgebende Person soll laut Entwurf wählen können, ob sie sich an eine interne oder externe Meldestelle wendet. Die Identität der hinweisgebenden Person ist in beiden Fällen grundsätzlich vertraulich zu behandeln. Meldungen sollen laut Entwurf auch anonym möglich sein.

Schutzregelungen sollen in bestimmten Fällen auch greifen, wenn die hinweisgebende Person die Informationen offenlegt.

Interne Untersuchungen
Der sachliche Anwendungsbereich umfasst zahlreiche Rechtsbereiche, dazu zählen Verstöße gegen diverse EU-rechtliche Regelungen, nationales Strafrecht und bestimmte ordnungsrechtliche Regelungen, die bußgeldbewehrt sind und dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dienen. Der Entwurf sieht Ausnahmen für bestimmte Meldungen vor.

Nach einer Meldung soll die Meldestelle laut Entwurf Folgemaßnahmen ergreifen müssen. Dazu gehören unter anderem interne Untersuchungen oder die Einstellung des Verfahrens aus „Mangel an Beweisen“. Verfahren können zwecks weiterer Untersuchungen auch an eine zuständige Arbeitseinheit oder eine zuständige Behörde abgegeben werden.

Schutz vor Repressalien
Für hinweisgebende Personen und bestimmte andere Personen gilt nach einer Meldung ein Schutz vor Repressalien beziehungsweise vor einer Drohung damit. Nach einer Meldung erfolgte „Benachteiligungen“ einer hinweisgebenden Person „im Zusammenhang mit ihrer beruflichen Tätigkeit“ sollen laut Entwurfstext vermutet werden, dass es sich um eine Repressalie handelt.

Bei einem Verstoß gegen das Verbot von Repressalien soll dem Entwurf zufolge eine Schadenersatzpflicht durch den Verursacher bestehen. Als Ordnungswidrigkeiten sollen zudem beispielsweise geahndet werden, wenn eine interne Meldestelle nicht eingerichtet oder wenn die Kommunikation zwischen hinweisgebender Person und Meldestelle behindert wird. Hinweisgebende Personen sollen im Gegenzug für den Schaden aufkommen, „der aus einer vorsätzlichen oder grob fahrlässigen Meldung oder Offenlegung unrichtiger Informationen entstanden ist“. Zudem soll das Offenlegen unrichtiger Informationen eine Ordnungswidrigkeit darstellen. 

Entschließung angenommen
Mit den Stimmen der Koalitionsfraktionen und der Linksfraktion nahm der Bundestag darüber hinaus eine Entschließung an. Darin fordert das Parlament die Bundesregierung unter anderem dazu auf, zu prüfen, ob hinreichend gewährleistet ist, dass hinweisgebende Personen bei der Meldung von Verstößen gegen das AGG sowie von sonstigem erheblichen Fehlverhalten, dessen Aufdeckung im besonderen öffentlichen Interesse liegt, hinreichend geschützt sind und nötigenfalls entsprechende Erweiterungen des sachlichen Anwendungsbereichs auf den Weg zu bringen. (Quelle: Deutscher Bundestag,irs/scr/15.12.2022)

Praxishinweis:
Auch im Bereich HinSchG und bei der Umsetzung eines internen Meldekanals in Ihrem Unternehmen unterstützt Sie unser AGAD-Team gern. Unser günstiges Startangebot finden Sie hier:

>> Flyer Whistleblower<<

Sprechen Sie uns einfach an. Wir helfen sofort!

Entscheidung des EDSA zum Einsatz von Cookie-Bannern und Cloud-Diensten 

Der Europäische Datenschutzausschuss (EDSA) hat in seiner Sitzung am 17.01.2023 mit der Task Force Cookie-Banner sowie mit seiner koordinierten Maßnahme zu Cloud-Diensten konkrete Ergebnisse verabschiedet.

Der BfDI hat die Fortschritte zu einer einheitlicheren Aufsicht in diesen Bereichen begrüßt. Betreiber von Webseiten, die unbedingt personenbezogene Daten sammeln wollen, sollen sich eine Einwilligung nur mit fairen oder rechtmäßigen Mitteln einholen. Nach den Richtlinien zu trügerischen Designmustern habe er sich im EDSA darauf geeinigt, wie dieses Thema in der Aufsicht möglichst einheitlich umgesetzt werden kann. Die Ergebnisse der Task Force Cookie-Banner entsprächen nun zum größten Teil dem, was in Deutschland bereits in der Orientierungshilfe Telemedien festgehalten wurde.

Außerdem haben die EDSA-Mitglieder die Nutzung von Cloud-Diensten bei öffentlichen Einrichtungen untersucht. Der BfDI sieht sich durch die Ergebnisse der Untersuchung bestärkt, denn er betone immer wieder, dass gerade mit Blick auf die Schwierigkeiten internationaler Datentransfers bei Cloud-Projekten der Datenschutz von Anfang an mitgedacht werden muss. Der EDSA sorgt dafür, dass wir auch hier eine europaweit einheitliche Linie haben.

(Quelle: BfDI, PM 2/2023 v. 18.1.2023).

Praxishinweise:
Für Fragen zum korrekten Einsatz von Cookie-Bannern stehen wir Ihnen gerne zur Verfügung.
Soweit Sie bereits Cloud-Dienste einsetzen oder die Nutzung solcher Dienste planen, ist immer an den Datenschutz zu denken!

Bundeskartellamt mahnt Googles Konditionen zur Datenverarbeitung ab

Das Bundeskartellamt hat am 23.12.2022 der Alphabet Inc., Mountain View, USA, der Google Ireland Ltd., Dublin, Irland, und der Google Germany GmbH, Hamburg, seine vorläufige rechtliche Einschätzung in dem Verfahren wegen Googles Konditionen zur Datenverarbeitung übersandt. Nach dem jetzigen Verfahrensstand geht das Bundeskartellamt davon aus, dass die neuen Vorschriften für Digitalkonzerne (§ 19a GWB) einschlägig sind. Google muss deshalb seine Datenverarbeitungskonditionen und die darauf gestützte Praxis anpassen.
Auf Basis seiner aktuellen Konditionen kann Google eine Vielzahl von Daten aus verschiedensten Diensten kombinieren.

Die Konditionen sehen vor, dass Google Daten, z.B. mithilfe seiner zahlreichen eigenen, teils sehr reichweitenstarken Dienste, wie der Google Suche, YouTube, Google Play, Google Maps und dem Google Assistant, aber auch mithilfe von zahlreichen Webseiten und Apps Dritter, für verschiedenste Zwecke erheben und dienstübergreifend verarbeiten kann. Dies betrifft auch Daten aus sog. Hintergrunddiensten von Google, wie den Play Services, die teilweise regelmäßig Daten von Android-Geräten erheben.
Die bislang angebotenen Wahlmöglichkeiten sind insbesondere zu intransparent und pauschal, soweit Google überhaupt Wahlmöglichkeiten anbietet. Ausreichende Wahlmöglichkeiten setzen insbesondere voraus, dass Nutzerinnen und Nutzer die Datenverarbeitung auf den jeweils genutzten Dienst beschränken können.

Darüber hinaus müssen sie auch nach den Zwecken der Datenverarbeitung differenzieren können. Die angebotenen Wahlmöglichkeiten dürfen zudem nicht so ausgestaltet sein, dass sie es Nutzerinnen und Nutzern leichter machen, die Zustimmung zu einer dienstübergreifenden Datenverarbeitung zu erteilen als sie nicht zu erteilen. Nicht zulässig ist zudem eine anlasslos und präventiv erfolgende flächendeckende dienstübergreifende Vorratsdatenverarbeitung. Dies gilt auch für Sicherheitszwecke, wenn die Datenverarbeitung ohne jede Wahlmöglichkeit für Nutzerinnen und Nutzer erfolgt.

Das Bundeskartellamt stützt sich bei seinem Verfahren auf das deutsche Wettbewerbsrecht. Für bestimmte Dienste von Google dürfte zukünftig auch der europäische Digital Markets Act (DMA) anzuwenden sein. Dessen Durchsetzung fällt in die ausschließliche Zuständigkeit der EU-Kommission . Der DMA beinhaltet ebenfalls eine Vorschrift, welche eine dienstübergreifende Datenverarbeitung adressiert, allerdings nur sofern von der EU-Kommission noch zu benennende sog. zentrale Plattformdienste involviert sind. Das vorliegende Verfahren auf Basis des nationalen § 19a GWB reicht teilweise über die zukünftigen Anforderungen des DMA hinaus.
Das Bundeskartellamt führt gegen Google ein Verwaltungsverfahren. Die ausführlich begründete Abmahnung bildet zunächst einen Zwischenschritt. Das Unternehmen erhält die Möglichkeit zur vorläufigen Einschätzung des Amtes im Einzelnen Stellung zu nehmen und weitere Rechtfertigungsgründe oder Lösungsvorschläge vorzutragen. Am Ende kann es zu einer Einstellung des Verfahrens, Verpflichtungszusagen des Unternehmens oder einer Untersagung durch die Kartellbehörde kommen. Eine abschließende Entscheidung in der Sache wird voraussichtlich noch in diesem Jahr ergehen.

(Quelle: PM Bundeskartellamt v. 11.01.2023)

Praxishinweis:
Google-Dienste sind auch beim Bundeskartellamt im Fokus. Die Entwicklung des Wettbewerbsrechts wird auch Auswirkungen auf den Datenschutz haben. Sollten Sie Google Dienste auf Ihren Seiten einbinden, achten Sie auf ein rechtskonformes Cookiebanner und eine Datenschutzerklärung, die ausreichend über die eingesetzten Dienste informiert.

Sollten Sie hier Fragen haben, unterstützt Sie unser Team gern.

Zurück