Category: Behörden und Ausschüsse

EDSA zum EuGH Urteil C-311/18 (Privacy Shield)

Der EDSA hat nach seinem ersten Statement zum Urteil im Fall C-311/18 ein FAQ veröffentlicht. Dabei verweist der EDSA auch auf seine Leitlinien zur Auslegung des Art. 49 DSGVO.

Zudem hat der EDSA in seiner 37. Sitzung die Einrichtung einer Task Force beschlossen:

As a follow-up to the CJEU’s Schrems II ruling and in addition to the FAQ adopted on 23 July, the Board has created a taskforce. This taskforce will prepare recommendations to assist controllers and processors with their duty to identify and implement appropriate supplementary measures to ensure adequate protection when transferring data to third countries.

Rechtssprechung der DSB zum Medienprivileg

Wie der stv. Leiter der DSB Dr. Schmidl in einem Beitrag im jusIT 2/2020 darlegt ändert die Behörde ihre Rechtssprechungspraxis zum Medienprivileg (§9 DSG). Ging die Behörde bisher von einem weiten Anwendungsbereich des §9 Abs 1 DSG aus, was in vielen Fällen ihre Unzuständigkeit begründete, ist sie nun unter Berücksichtigung der Rechtssprechung des EuGH zu eienr differenzierteren Auslegung gelangt. Letztlich wird es nun immer zu einer Einzelfallprüfung verbunden mit  einer Güterabwägung ob das Grundrecht auf Datenschutz oder jenes auf freie Meinungsäußerung überwiegt kommen.

Update 2: Contact Tracing (Tracking Apps)

Die EU Kommission hat ein Instrumentarium und Leitlinien bezüglich Contact Tracing Apps veröffentlicht.

Der europäische Datenschutzausschuss hat Leitlinien bezüglich der Verwendung von Standortdaten und Contact Tracing Apps im Kontext des COVID-19 Ausbruchs veröffentlicht.

Laut Medienberichten soll am 11 Mai eine auf DP3T basierende Contact Tracing App veröffentlicht werden. DP3T gilt als dezentrale Alternative zu PEPP-PT. Auf Github sind auch Dokumente zur Funktionsweise und implementierung von DP3T bereitgestellt. Für eine dezentral basierten Technik spricht, dass diese dem Datenminimierungsprinzip und daher auch dem Gebot Privacy by Design und Default besser entscpricht als ein sonst gleichwertige Technik die Daten zentral vorhält.

Ebenfalls in den Medien wird über den Review des Codes der Stopt Corona App des Roten Kreuz berichtet. Demnach ist geplant diese App auf DP3T Standard umzustellen. Der Bericht über die technische und rechtliche Umsetzung der App ist hier veröffentlicht.

Informationen zu COVID-19 und Datenschutz

Mit dem Ausbruch der COVID-19 Pandemie und den nationalstaatlichen Maßnahmen zur Eindämmung der “Corona Krise” stellen sich auch immer wieder Fragen, inweit datenschutzrechtliche Bestimmungen weiterhin anwendbar sind, oder ob nicht Gesundheit vor Datenschutz geht. Dazu ist festzuhalten, dass die DSGVO Bestimmungen enthält, die einen Spielraum eröffnen. Die Frage was wichtiger ist, Gesundheit oder Datenschutz ist daher ebenso falsch gestellt, wie die Frage ob öffentliche Sicherheit  oder Datenschutz wichtiger sind. Die DSGVO ist anzuwenden und wo das Recht auf Schutz der personenbezogenen Daten beschränkt wird ist stets das gelindeste Mittel zu verwenden und braucht es eine entsprechende Rechtsgrundlage. Sofern eine Interessensabwägung unter diesen besonderen Rahmenbedingungen der Pandemie nun anders ausfällt als sonst, gilt diese nur bis zur Eindämmung der Pandemie und wird daher stets zu überprüfen sein. Andere in diesem Kontext wiederholt auftretende Fragen sind wer welche Daten – insbesondere Gesundheitsdaten – verarbeiten und an wem übermitteln darf.

Siehe dazu auch die Informationen europäischer und nationaler Stellen:

Bildverarbeitung nach DSG

Wie die Datenschutzbehörde in ihrem Newsletter berichtet, wird sie die §12 und §13 DSG nicht mehr anwenden. Grund hierfür ist, dass das BvWG in zwei Erkenntnissen die Anwendbarkeit des 3 Abschnitt DSG in Zweifel gezogen hat auf denen Bescheide der DSB beruhten. Demnach kommt nun auch das BvWG zum Schluss, dass die DSGVO den Nationalstaaten keinen Spielraum zur Regelung der Bildverarbeitung gewährt.  Eine  Bildverarbeitung wird daher an den Erfordernissen der Art. 5 und 6 DSGVO zu beurteilen sein.

Damit wird in der Regel eine Datenschutzfolgenabschätzung durchzuführen sein.